Article 17 Droit à l’effacement (droit à l’oubli)

Analyse juridique et portée de l'article 17

L'article 17 reconnaît à la personne concernée un droit subjectif à l'effacement de ses données personnelles lorsque le maintien du traitement n'est plus justifié juridiquement ou factuellement. Il s'agit d'un droit conditionné, qui ne s'exerce pas de manière absolue mais uniquement dans les hypothèses prévues par le règlement.

Le droit à l'effacement permet notamment de mettre fin à des traitements devenus inutiles au regard de leur finalité initiale, à des traitements reposant sur un consentement retiré ou encore à des traitements illicites. Il constitue un prolongement du principe de limitation de la conservation et vise à éviter l'accumulation indéfinie de données personnelles sans justification légitime.

Lorsque les données ont été rendues publiques, le droit à l'effacement acquiert une dimension particulière. Le responsable du traitement est alors tenu de prendre des mesures raisonnables afin de faire cesser la diffusion des données et d'en limiter la propagation, en informant les autres responsables de traitement qui en assurent la reproduction ou l'indexation.

Conditions d'exercice du droit à l'effacement

Le droit à l'effacement s'exerce par une demande adressée au responsable du traitement. Conformément à l'article 12 du RGPD, celui-ci est tenu de faciliter l'exercice de ce droit et ne peut imposer de contraintes excessives ou dissuasives. Il peut néanmoins demander des informations supplémentaires afin de vérifier l'identité du demandeur lorsqu'il existe des doutes raisonnables à cet égard.

La personne concernée n'a pas à justifier d'un préjudice particulier. Il lui suffit d'invoquer l'un des fondements prévus par l'article 17 pour solliciter l'effacement de ses données. Le responsable du traitement doit alors apprécier la légitimité de la demande au regard des conditions fixées par le règlement.

Lorsque la demande est fondée, l'effacement doit intervenir dans les meilleurs délais. À défaut, le responsable du traitement s'expose à un manquement aux obligations relatives aux droits des personnes concernées.

Exceptions au droit à l'effacement

Le droit à l'effacement n'est pas absolu. L'article 17 prévoit expressément qu'il ne s'applique pas lorsque le traitement est nécessaire à l'exercice du droit à la liberté d'expression et d'information, au respect d'une obligation légale, à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, pour des motifs d'intérêt public dans le domaine de la santé publique, à des fins archivistiques dans l'intérêt public, de recherche scientifique ou historique ou à des fins statistiques, ou encore à la constatation, à l'exercice ou à la défense de droits en justice.

Ces exceptions traduisent la nécessité de concilier le droit à l'effacement avec d'autres droits et intérêts légitimes protégés par le droit de l'Union ou le droit national. Elles doivent être interprétées strictement et appliquées dans le respect du principe de proportionnalité.

Effets de l'effacement sur les traitements et les destinataires

L'effacement implique la suppression effective des données dans les systèmes du responsable du traitement, ainsi que l'arrêt de tout traitement ultérieur fondé sur ces données.

Lorsque les données ont été communiquées à des destinataires, l'article 19 du RGPD impose en principe que le responsable du traitement informe ces destinataires de l'effacement opéré, sauf si une telle communication se révèle impossible ou exige des efforts disproportionnés.

Dans le cas particulier des données rendues publiques, l'article 17 renforce cette obligation en imposant la mise en œuvre de mesures raisonnables pour limiter la diffusion ultérieure des données, en tenant compte des technologies disponibles et des coûts de mise en œuvre.

Articulation avec les autres dispositions du RGPD

L'article 17 doit être lu en articulation avec l'article 5 relatif aux principes fondamentaux du traitement, l'article 6 relatif aux bases juridiques, l'article 12 relatif aux modalités d'exercice des droits et l'article 16 relatif au droit de rectification. Il s'articule également avec l'article 18 relatif au droit à la limitation du traitement, qui peut constituer une alternative temporaire à l'effacement.

Il constitue l'un des mécanismes correctifs centraux du RGPD, permettant d'assurer que les traitements demeurent proportionnés, licites et limités à ce qui est nécessaire au regard des finalités poursuivies.

Jurisprudence relative à l'article 17

Les autorités de contrôle et les juridictions se réfèrent fréquemment à l'article 17 pour apprécier la légitimité des refus d'effacement opposés par les responsables de traitement. Les manquements constatés portent notamment sur le maintien de données devenues inutiles, l'absence de prise en compte du retrait du consentement ou le refus injustifié de procéder à l'effacement de données traitées illicitement.

La jurisprudence européenne, dans la lignée de l'arrêt Google Spain de la Cour de justice de l'Union européenne, souligne que le droit à l'effacement implique une mise en balance entre le droit à la protection des données personnelles et le droit à la liberté d'information, en fonction du rôle social de la personne concernée et de l'intérêt du public à accéder à l'information.

Recommandations de la CNIL et du CEPD

La Commission nationale de l'informatique et des libertés (CNIL) rappelle que le droit à l'effacement constitue l'un des droits les plus emblématiques du RGPD et qu'il suppose la mise en place de procédures internes permettant de supprimer effectivement les données concernées dans les systèmes d'information. Elle recommande aux responsables de traitement d'anticiper ces demandes en identifiant les durées de conservation applicables et en mettant en œuvre des mécanismes d'effacement automatique à l'issue de ces durées.

Le Comité européen de la protection des données (CEPD) souligne que le droit à l'effacement doit être mis en œuvre de manière effective et proportionnée, en tenant compte à la fois des droits des personnes concernées et des autres obligations légales pesant sur les responsables de traitement.