En bref. L’article 17 du RGPD prévoit un droit à l’effacement des données personnelles sous conditions, le déréférencement étant évalué séparément de la suppression de la page source.

Définition : L’article 17 du règlement général sur la protection des données (RGPD) permet à toute personne d’obtenir l’effacement de ses données personnelles dans les meilleurs délais si un motif énuméré s’applique, sous réserve d’exceptions. Ce droit peut imposer le retrait de liens des résultats de recherche sur son nom.

Points clés

La reproduction de l’article 17 par la CNIL énumère notamment les données devenues inutiles au regard de leur finalité et le traitement illicite.
Selon l’article 4, les données personnelles concernent une personne physique identifiée ou identifiable.
Les lignes directrices 5/2019, adoptées le 7 juillet 2020 du Comité européen de la protection des données (CEPD) expliquent que le déréférencement fondé sur le nom laisse la page source accessible.
Le résumé de l’affaire C-507/17, daté du 24 septembre 2019 de la Cour de justice de l’Union européenne (CJUE) explique la portée européenne du déréférencement exigé par le droit de l’Union.

Quand l’article 17 s’applique-t-il ?

Le responsable du traitement désigne la personne ou l’organisme déterminant les finalités et moyens du traitement des données personnelles, selon le texte de l’article 4 reproduit par la CNIL.

L’article 17(1) exige l’effacement lorsque les données ne sont plus nécessaires aux finalités de leur collecte ou d’un autre traitement. Les autres motifs couvrent le retrait du consentement sans autre fondement juridique, une opposition remplissant les conditions requises, un traitement illicite, une obligation légale d’effacement et une collecte liée à des services en ligne proposés à un enfant au titre de l’article 8(1).

Les dispositions pertinentes sont :

RGPD, article 17(1) : motifs d’effacement
RGPD, article 17(2) : données personnelles rendues publiques
RGPD, article 17(3) : exceptions

Pour une opposition selon l’article 21(1), le responsable du traitement peut poursuivre le traitement en démontrant des motifs légitimes et impérieux prépondérants ou des motifs liés à des droits en justice. L’article 17(1)(c) couvre également les oppositions à la prospection au titre de l’article 21(2).

Que change l’effacement en recherche ?

Le déréférencement consiste à retirer un lien de résultats de recherche déterminés. Les lignes directrices du CEPD distinguent le traitement du moteur de recherche de celui de l’éditeur du site. Le déréférencement ordinaire fondé sur le nom laisse la page source en ligne et les données dans l’index et le cache du moteur ; d’autres critères de recherche peuvent toujours retrouver le contenu. Ces lignes directrices reconnaissent aussi des cas exceptionnels exigeant l’effacement complet des index ou caches.

La portée territoriale constitue une autre limite. Dans son résumé de l’affaire C-507/17, la CJUE explique que le droit de l’Union exige le déréférencement sur les versions de tous les États membres, avec des mesures effectives empêchant ou décourageant sérieusement l’accès depuis ces États par d’autres versions. Le droit de l’Union n’exige pas de déréférencement mondial en général. Les autorités nationales peuvent ordonner un déréférencement mondial après mise en balance des droits selon les normes nationales de protection.

Quelles exceptions concernent la recherche ?

L’article 17(3) préserve les traitements nécessaires à la liberté d’expression et d’information, aux obligations légales ou aux missions publiques, à certains intérêts de santé publique, à l’archivage, à la recherche ou aux statistiques sous certaines conditions, ainsi qu’aux droits en justice. L’exception d’archivage, de recherche et de statistiques comporte des conditions relatives aux atteintes graves aux objectifs du traitement.

Les lignes directrices du CEPD expliquent la mise en balance propre aux moteurs de recherche : les facteurs pertinents comprennent la nature et la sensibilité de l’information, l’intérêt public à y accéder et le rôle de la personne dans la vie publique. Les justifications de l’éditeur pour conserver un article et du moteur pour l’afficher lors de recherches sur un nom nécessitent des évaluations distinctes.

Comment traiter une demande ?

L’article 12, reproduit par la CNIL, exige d’informer des suites données dans les meilleurs délais, sous un mois après réception. La complexité et le nombre de demandes peuvent justifier une prolongation de deux mois ; le responsable du traitement doit expliquer la prolongation dans le premier mois. Un refus exige d’indiquer, sous un mois, les motifs et les possibilités de réclamation auprès de l’autorité de contrôle et de recours juridictionnel.

Selon l’article 17(2), le responsable qui rend des données publiques et doit les effacer prend des mesures raisonnables, selon les technologies et les coûts, pour informer les autres responsables les traitant de la demande concernant les liens, copies ou reproductions. L’article 19 exige aussi de notifier l’effacement aux destinataires, sauf impossibilité ou efforts disproportionnés.

Termes associés

Questions fréquentes

Le déréférencement supprime-t-il l’article original ?

Selon les lignes directrices du CEPD, l’article reste contrôlé par l’éditeur et peut rester public après déréférencement fondé sur le nom.

Pouvez-vous demander l’effacement si le traitement est illicite ?

Oui. L’article 17(1)(d) inclut expressément le traitement illicite parmi les motifs d’effacement, sous réserve des exceptions de l’article 17(3).

Le déréférencement mondial est-il automatique ?

Le résumé de l’affaire C-507/17 par la CJUE indique que le droit de l’Union exige une protection dans toute l’UE ; les injonctions de portée mondiale dépendent de la mise en balance supplémentaire décrite dans cet arrêt.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Droit à l’effacement au titre du RGPD