Article 17 du RGPD : le droit à l’oubli

Le « droit à l’oubli » de l’article 17 du RGPD, connu aussi sous le nom de « droit à l’effacement », permet aux individus de demander la suppression de leurs données personnelles auprès des responsables du traitement.

Cependant, le droit à l’oubli est bien plus qu’un individu demandant simplement à une entreprise de supprimer ses données personnelles.

📌 Article 17 RGPD : qu’est-ce que le droit à l’oubli ?

Le droit à l’oubli est présenté dans l’article 17 du RGPD, qui décrit que si au moins une des conditions s’applique, « la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais ».

* par « dans les meilleurs délais », on considère un délai d’un mois à compter de la réception de la demande.

💡 En savoir plus sur l’ensemble des droits des utilisateurs en vertu du RGPD dans ce guide.

📌 Article 17 RGPD : quand le droit à l’oubli s’applique-t-il ?

Les conditions spécifiques selon lesquelles le droit à l’oubli s’applique sont listées dans ce même article 17. Un individu a le droit de demander la suppression de ses données personnelles si :

1. les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées ;
2. la personne concernée retire le consentement, et il n’existe pas d’autre fondement juridique au traitement ;
3. la personne concernée s’oppose au traitement (qui est fondé sur la base de l’intérêt légitime), et il n’existe pas de motif légitime impérieux pour le traitement. Cela s’applique même lors de l’utilisation de données personnelles à des fins de marketing direct ;
4. les données à caractère personnel ont fait l’objet d’un traitement illicite ;
5. les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ;
6. les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information.

Lors qu’un utilisateur exerce son droit à l’oubli, plusieurs facteurs rentrent en jeu, et chaque demande doit être évaluée individuellement.

📌 Le droit à l’oubli : comment se conformer ?

Pour des raisons de conformité, la preuve du consentement des utilisateurs et toute demande de désactivation/retrait doivent être conservées. Le responsable du traitement qui reçoit une demande d’exercer son droit à l’oubli doit considérer chaque demande individuellement.

Pour que toutes les opérations de traitement des données soient effectuées sur la base juridique du consentement, le responsable du traitement doit garder une trace de la preuve du consentement obtenu.

D’autre part, les utilisateurs sont tenus de retirer tout autre consentement au traitement de leurs données qu’ils auraient pu donner ultérieurement.

Comment facilement conserver un registre des preuves de consentement ?

curl --location --request POST 'http://consent.iubenda.com/consent' --header 'Content-Type:application/json' --header 'ApiKey:YOUR_PRIVATE_API_KEY' --data-raw '{
  "subject":{
    "id":"subject_id"
  },
  "preferences":{
    "preferencel":"false",
    "preference2":"false",
    "rightToBeForgotten":"true"
  },
  "proofs":[
    {
      "content":"The user requested to be forgotten,and this is the proof of it"
    }
  ]
}
'

Voir également

• Consentement et RGPD
• Registre des consentements et RGPD