Mise en demeure pour l'effacement des données personnelles sous le RGPD

Définition du droit à l'effacement sous le RGPD

Le droit à l'effacement, également connu sous le nom de "droit à l'oubli", est un droit fondamental inscrit dans le Règlement Général sur la Protection des Données (RGPD).Selon l'article 17 du RGPD, toute personne a le droit d'obtenir du responsable du traitement l'effacement de données à caractère personnel la concernant dans les meilleurs délais. Ce droit s'applique lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, lorsque la personne concernée retire son consentement, ou encore lorsque les données ont été traitées de manière illicite.

Il est important de noter que ce droit n'est pas absolu. Il existe des exceptions, notamment lorsque le traitement est nécessaire à l'exercice du droit à la liberté d'expression et d'information, pour des raisons d'intérêt public dans le domaine de la santé publique, ou encore pour la constatation, l'exercice ou la défense de droits en justice.

En France, ce droit est renforcé par la loi Informatique et Libertés, qui précise les modalités d'application du RGPD sur le territoire national. Ainsi, l'effacement des données doit être effectué sans retard injustifié, sauf si une exception légale s'applique.

Conditions d'application du droit à l'effacement

Pour exercer le droit à l'effacement, certaines conditions doivent être remplies. Selon l'article 17(1) du RGPD, le droit à l'effacement s'applique dans plusieurs situations :

• Les données ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées ou traitées.
• La personne concernée retire son consentement sur lequel le traitement est fondé, et il n'existe pas d'autre fondement juridique pour le traitement.
• La personne concernée s'oppose au traitement et il n'existe pas de motif légitime impérieux pour le traitement.
• Les données ont été traitées de manière illicite.
• Les données doivent être effacées pour respecter une obligation légale.

Il est crucial de comprendre que le responsable du traitement doit évaluer chaque demande d'effacement au cas par cas. En cas de refus, le responsable doit justifier sa décision, et la personne concernée peut alors envisager d'autres recours, tels que la saisine de la CNIL.

Procédure de mise en demeure pour l'effacement des données

La mise en demeure est une étape cruciale pour faire valoir le droit à l'effacement.Elle consiste à envoyer une demande formelle au responsable du traitement, exigeant l'effacement des données personnelles. Cette demande doit être claire, précise, et contenir toutes les informations nécessaires pour identifier les données concernées.

Conformément à l'article 12 du RGPD, le responsable du traitement doit répondre à la demande dans un délai d'un mois. Ce délai peut être prolongé de deux mois supplémentaires si la demande est complexe ou si le responsable doit traiter un grand nombre de demandes. Dans ce cas, le responsable doit informer la personne concernée de la prolongation et des raisons de ce retard.

Si le responsable du traitement ne répond pas ou refuse d'effacer les données, la personne concernée peut envisager de saisir la CNIL ou de porter l'affaire devant les tribunaux. Il est conseillé de conserver une copie de la mise en demeure et de toute correspondance échangée, car ces documents peuvent être utiles en cas de litige.

Jurisprudence sur le droit à l'effacement

La jurisprudence joue un rôle clé dans l'interprétation et l'application du droit à l'effacement. Un arrêt notable est celui de la CJUE, Google Spain SL, Google Inc.c. Agencia Española de Protección de Datos, Mario Costeja González, C-131/12, du 13 mai2014, qui a établi le droit à l'oubli en Europe, bien avant l'entrée en vigueur du RGPD. Cet arrêt a confirmé que les moteurs de recherche sont responsables du traitement des données personnelles et doivent respecter les demandes d'effacement.

En France,la Cass. civ. 1ère, 12 juillet 2017, n° 16-19.104, a également renforcé le droit à l'effacement en confirmant que les individus peuvent demander la suppression de leurs données personnelles lorsqu'elles ne sont plus pertinentes.

Plus récemment, laCJUE, GC et autres c. CNIL, C-136/17, du 24 septembre 2019, a précisé que le droit à l'effacement ne s'applique pas de manière absolue à l'échelle mondiale, mais doit être équilibré avec d'autres droits fondamentaux.

Cas pratiques et exemples d'application

Dans la pratique, le droit à l'effacement peut être exercé dans de nombreuses situations. Par exemple, un individu peut demander l'effacement de ses données personnelles auprès d'un réseau social s'il estime que ces données ne sont plus nécessaires ou ont été traitées de manière illicite. Un autre cas fréquent concerne les anciens employés qui souhaitent que leurs données soient supprimées des bases de données de leur ancien employeur.

Il est également courant que des consommateurs demandent l'effacement de leurs données auprès de sites de commerce en ligne après avoir fermé leur compte. Dans tous ces cas, la procédure de mise en demeure reste la même : une demande formelle doit être envoyée au responsable du traitement, et celui-ci doit répondre dans les délais impartis par le RGPD.

Les entreprises doivent être particulièrement vigilantes quant à la gestion des demandes d'effacement, car un non-respect peut entraîner des sanctions de la CNIL, comme le prévoit l'article 83 du RGPD, qui stipule que des amendes pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial peuvent être imposées.

Que faire en cas de litige sur l'effacement des données

En cas de litige concernant une demande d'effacement, plusieurs recours sont possibles.Tout d'abord, la personne concernée peut saisir la Commission Nationale de l'Informatique et des Libertés (CNIL). La CNIL peut mener une enquête et, si nécessaire, imposer des sanctions au responsable du traitement.

Si la CNIL ne parvient pas à résoudre le litige, ou si la personne concernée souhaite obtenir réparation, elle peut porter l'affaire devant les tribunaux. Selon l'article 79 du RGPD, toute personne a le droit d'introduire un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant si elle estime que ses droits ont été violés.

Il est conseillé de consulter un avocat spécialisé en droit des données personnelles pour évaluer les options disponibles et préparer une stratégie de recours.Les litiges en matière de données personnelles peuvent être complexes, et une assistance juridique peut s'avérer précieuse pour naviguer dans le processus judiciaire.

Que dit la jurisprudence ?

La Cour de cassation a apporté des précisions importantes sur les obligations contractuelles et la responsabilité civile.

Dans un arrêt Cass. civ. 1re, 25 janvier 2023, n° 21-19.834, la Cour a rappelé que le débiteur d’une obligation est tenu de l’exécuter de bonne foi (art. 1104 du Code civil). Le manquement à cette obligation peut entraîner la résolution du contrat et l’octroi de dommages-intérêts.

L’arrêt Cass. civ. 2e, 10 novembre 2022, n° 21-14.267 a confirmé que la réparation du préjudice doit être intégrale (art. 1240 du Code civil) : la victime a droit à la compensation de l’ensemble de son dommage, sans perte ni profit.

Ces décisions rappellent l’importance de constituer un dossier de preuves solide et d’agir dans les délais de prescription applicables (cinq ans en matière contractuelle, art. 2224 du Code civil).

Questions fréquentes (FAQ)

Qu'est-ce que le droit à l'effacement sous le RGPD ?

Le droit à l'effacement, ou "droit à l'oubli", permet à une personne de demander la suppression de ses données personnelles lorsque celles-ci ne sont plus nécessaires, ont été traitées illicitement, ou si le consentement est retiré. Ce droit est encadré par l'article 17 du RGPD.

Comment exercer le droit à l'effacement ?

Pour exercer ce droit, il faut envoyer une demande formelle au responsable du traitement, précisant les données à effacer. Le responsable doit répondre sous un mois, selon l'article 12 du RGPD. En cas de refus, des recours sont possibles.

Quelles sont les exceptions au droit à l'effacement ?

Les exceptions incluent la nécessité du traitement pour la liberté d'expression, des raisons de santé publique, ou des obligations légales. Ces exceptions sont détaillées dans l'article 17 du RGPD.

Que faire si ma demande d'effacement est refusée ?

En cas de refus, vous pouvez saisir la CNIL ou engager une action en justice. L'article 79 du RGPD prévoit un recours juridictionnel effectif contre le responsable du traitement.

Quels sont les risques pour les entreprises en cas de non-respect ?

Les entreprises risquent des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon l'article 83 du RGPD, en cas de non-respect des demandes d'effacement.

Passez à l’action

Utilisez notre vérificateur de délai de prescription pour évaluer précisément votre situation avant d’engager une démarche.