Le droit à l’oubli, ou droit à l’effacement, est un droit consacré par l’article 17 du RGPD. Par ce droit, toute personne concernée par un traitement de données personnelles peut demander l’effacement des données qui la concernent auprès du responsable de traitement.
Cependant, ce droit n’est pas absolu et connaît un cadre juridique précis.
Les limites au droit à l’effacement
Le droit à l’oubli n’est pas un droit applicable à tout moment. Son exercice n’est possible que pour certains motifs listés par l’article 17 du RGPD :
- Les données personnelles « ne sont plus nécessaires au regard des finalités » pour lesquelles elles ont fait l’objet d’un traitement ;
- La personne concernée a exercé son droit d’opposition ou a retiré son consentement ;
- Le traitement de données personnelles s’est révélé illicite ;
- L’effacement répond à une obligation légale.
L’article 17 du RGPD prévoit également une liste de motifs pour lesquels le droit à l’effacement peut être refusé. Ainsi, l’effacement de données personnelles n’est pas possible lorsque leur traitement est nécessaire :
- « Pour l’exercice de la liberté d’expression et d’information » ;
- Pour respecter une obligation légale, telle qu’une durée de conservation minimale ;
- Pour des motifs de santé publique ;
- A des fins d’archives publiques, de recherche scientifique ou historique ou à des fins statistiques ;
- Pour toute forme d’action en justice par une personne concernée.
La réponse au droit à l’effacement
Si votre organisme reçoit une demande d’exercice du droit à l’effacement, vous êtes dans l’obligation de répondre à ladite demande dans les meilleurs délais et dans un délai maximal d’un mois. Toutefois, si la demande se révèle complexe, notamment en raison d’une trop grande quantité de données personnelles à supprimer, le délai maximal peut être prolongé à trois mois. Le cas échéant, le responsable de traitement est tenu de justifier ce prolongement. Il est important de préciser que, conformément à l’article 19 du RGPD, l’ organisme saisi d’une demande d’exercice du droit à l’oubli doit notifier ladite demande à l’ensemble des destinataires des données afin que ceux-ci procèdent également à l’effacement.
Dans le cas où votre organisme aurait déjà procédé à la suppression des données personnelles, il vous faudra informer les personnes concernées que la suppression a déjà été réalisée en respectant les délais mentionnés ci-dessus.
