Comment obtenir l'effacement de ses données (droit à l'oubli) ?

Ce que prévoit l'article 17

L'article 17 du RGPD donne à toute personne le droit d'obtenir du responsable l'effacement de données la concernant dans les meilleurs délais, et oblige celui-ci à effacer ces données lorsque l'un des motifs prévus par le texte s'applique. Le terme de « droit à l'oubli », qui figure entre parenthèses dans l'intitulé de l'article, est souvent utilisé pour désigner ce droit, notamment dans le contexte des moteurs de recherche. Il s'exerce comme les autres droits, auprès du responsable, qui doit répondre dans un délai d'un mois.

Les six cas où l'effacement est de droit

L'effacement s'impose lorsque les données ne sont plus nécessaires au regard des finalités, lorsque la personne retire le consentement sur lequel reposait le traitement et qu'il n'existe pas d'autre fondement, lorsqu'elle exerce son droit d'opposition et qu'il n'existe pas de motif légitime impérieux pour poursuivre (ou dans tous les cas pour la prospection), lorsque les données ont fait l'objet d'un traitement illicite, lorsqu'elles doivent être effacées pour respecter une obligation légale, et lorsqu'elles ont été collectées auprès d'un mineur dans le cadre d'un service en ligne.

Le droit à l'oubli des mineurs

La loi Informatique et Libertés renforce ce droit pour les personnes qui étaient mineures au moment de la collecte de leurs données dans le cadre de services en ligne : le responsable doit effacer les données dans les meilleurs délais, et en l'absence de réponse dans un délai d'un mois, la personne peut saisir la CNIL, qui se prononce dans un délai de trois semaines (article 51 de la loi). C'est un levier précieux pour faire retirer des photos ou des publications de jeunesse.

Les exceptions

Le paragraphe 3 de l'article 17 prévoit plusieurs situations dans lesquelles le responsable peut refuser l'effacement : l'exercice du droit à la liberté d'expression et d'information, le respect d'une obligation légale de conservation (une facture doit être conservée dix ans), l'exécution d'une mission d'intérêt public, des motifs d'intérêt public dans le domaine de la santé publique, l'archivage dans l'intérêt public, la recherche ou les statistiques lorsque l'effacement compromettrait gravement leurs objectifs, et la constatation, l'exercice ou la défense de droits en justice. Le refus doit être motivé et la personne informée de son droit de saisir la CNIL.

Effacer ne veut pas toujours dire tout supprimer

Lorsqu'une partie des données doit être conservée pour une obligation légale, l'organisme efface les autres et place les données restantes en archivage intermédiaire, avec un accès restreint, jusqu'à la fin de la durée légale. Il doit en informer la personne. Une désinscription de la prospection peut aussi justifier de garder l'adresse dans une liste d'opposition, afin de ne pas réécrire à la personne par erreur : c'est une conservation dans son intérêt, limitée à cet usage.

Le déréférencement sur les moteurs de recherche

Depuis l'arrêt Google Spain du 13 mai 2014 (affaire C-131/12), toute personne peut demander à un moteur de recherche de supprimer, des résultats affichés à partir d'une recherche sur son nom, les liens vers des pages contenant des informations la concernant, lorsque ces informations sont inexactes, inadéquates, non pertinentes ou excessives. Le moteur met en balance le droit de la personne et l'intérêt du public à accéder à l'information, en tenant compte du rôle public de la personne, de l'ancienneté et de la nature des informations. Le déréférencement ne supprime pas la page d'origine, qu'il faut demander à l'éditeur du site. La Cour a précisé en 2019 (affaire C-507/17) que le déréférencement s'applique en principe aux versions européennes du moteur.

Les obligations de l'organisme après l'effacement

L'organisme doit notifier l'effacement à chaque destinataire auquel les données ont été communiquées, sauf impossibilité ou effort disproportionné (article 19). Lorsqu'il avait rendu les données publiques, par exemple sur un site, il doit prendre des mesures raisonnables pour informer les autres responsables qui les traitent que la personne a demandé l'effacement de tout lien vers ces données ou de toute copie. Les données doivent être effacées de manière effective, y compris chez les sous-traitants ; elles disparaîtront des sauvegardes à leur rotation. Le lien entre effacement et durée de conservation est expliqué dans le guide dédié.

Exercer son droit en pratique

La demande peut être adressée par courrier ou par courriel au service indiqué dans la politique de confidentialité, en précisant les données concernées et, si possible, le motif d'effacement. Pour un compte en ligne, de nombreux services proposent une fonction de suppression dans les paramètres. Pour la prospection, il est souvent plus rapide d'exercer le droit d'opposition, qui entraîne l'arrêt des envois. Sans réponse sous un mois, ou en cas de refus non justifié, une réclamation peut être déposée auprès de la CNIL.

L'arrêt Google Spain, fondateur du droit à l'oubli

Le droit à l'oubli sur internet est né d'un arrêt de la Cour de justice du 13 mai 2014, Google Spain et Google (C-131/12). Un citoyen espagnol, Mario Costeja González, demandait que les résultats de recherche associés à son nom ne renvoient plus vers une annonce de saisie immobilière publiée seize ans plus tôt dans un journal. La Cour a jugé que l'exploitant d'un moteur de recherche est responsable du traitement qu'il effectue en indexant les pages web, et que la personne peut lui demander de supprimer de la liste des résultats obtenus à partir de son nom les liens vers des pages contenant des informations inadéquates, non pertinentes ou excessives au regard des finalités, même si la publication initiale était licite et reste en ligne. Cet arrêt a ouvert la voie à des millions de demandes de déréférencement en Europe et a inspiré l'article 17 du RGPD.

La portée territoriale du déréférencement

Dans un litige qui l'opposait à la CNIL, Google contestait l'obligation de déréférencer les liens sur toutes les extensions de son moteur, y compris hors de l'Union. Dans l'arrêt Google contre CNIL du 24 septembre 2019 (C-507/17), la Cour de justice a jugé que le droit de l'Union n'impose pas un déréférencement mondial, mais seulement sur les versions du moteur correspondant à l'ensemble des États membres, accompagné de mesures empêchant ou décourageant sérieusement les internautes européens d'accéder aux liens litigieux depuis une autre version. Elle a précisé que les autorités nationales restent compétentes pour ordonner, dans certains cas, un déréférencement mondial au regard des standards nationaux de protection des droits fondamentaux. Le Conseil d'État a ensuite tiré les conséquences de cet arrêt en annulant partiellement la sanction infligée par la CNIL à Google.

Les données sensibles et les informations judiciaires

Dans l'arrêt GC et autres du 24 septembre 2019 (C-136/17), la Cour a précisé que l'interdiction de traiter des données sensibles s'applique aussi aux moteurs de recherche, qui doivent en principe faire droit aux demandes de déréférencement portant sur de telles données, sauf si l'accès à l'information est strictement nécessaire à la liberté d'information des internautes. Pour les informations relatives à une procédure judiciaire, le moteur doit apprécier si elles sont encore pertinentes, compte tenu notamment de leur ancienneté et de l'issue de la procédure, et organiser la liste des résultats de façon à ce que l'image globale de la personne reflète sa situation actuelle. Dans l'arrêt TU et RE du 8 décembre 2022 (C-460/20), la Cour a ajouté qu'un moteur doit déréférencer des informations dont le demandeur prouve qu'elles sont manifestement inexactes, sans qu'une décision de justice soit nécessaire.

Demander le déréférencement

Le déréférencement se demande d'abord auprès du moteur de recherche, au moyen du formulaire en ligne qu'il met à disposition. La personne indique les adresses des pages concernées, les requêtes associées à son nom et les raisons de sa demande. Le moteur examine la demande au cas par cas, en mettant en balance le droit à la vie privée du demandeur et le droit du public à l'information. En cas de refus ou d'absence de réponse dans un délai d'un mois, la personne peut saisir la CNIL d'une plainte. Le déréférencement ne supprime pas le contenu de la page source, qui reste accessible directement ou par d'autres requêtes : pour faire supprimer le contenu lui-même, il faut s'adresser à l'éditeur du site.

Effacer dans une entreprise : la méthode

Lorsqu'une demande d'effacement est fondée, l'organisme doit supprimer les données dans l'ensemble de ses outils : logiciel de gestion, CRM, outil d'envoi de courriels, comptes sur les plateformes publicitaires, fichiers partagés, archives papier. Il doit aussi informer les destinataires auxquels les données ont été communiquées, comme ses sous-traitants ou ses partenaires, sauf si cela se révèle impossible ou exige des efforts disproportionnés (article 19). Pour la prospection, il est recommandé de conserver une liste d'opposition, limitée à l'information strictement nécessaire, comme une adresse électronique sous forme hachée, afin de ne plus solliciter la personne si ses coordonnées réapparaissent dans un fichier. Cette conservation est admise par la CNIL, car elle sert précisément à respecter le choix de la personne.

Les sauvegardes

L'effacement n'impose pas de restaurer et modifier toutes les sauvegardes, ce qui serait techniquement disproportionné. Les données peuvent subsister dans les sauvegardes jusqu'à leur rotation normale, à condition qu'elles ne soient pas réutilisées et qu'une procédure garantisse leur suppression en cas de restauration. L'organisme peut indiquer à la personne que ses données seront définitivement effacées des sauvegardes dans un délai déterminé.

Le droit à l'effacement des contenus publiés par des tiers

Une personne peut demander la suppression d'un contenu la concernant publié par un tiers, par exemple une photo sur un réseau social, un article de blog ou un avis en ligne. Elle s'adresse d'abord à l'auteur, puis à l'hébergeur ou à la plateforme. Les plateformes disposent de mécanismes de signalement, renforcés par le règlement sur les services numériques, qui leur impose de traiter les notifications de contenus illicites avec diligence. Le droit à l'effacement se heurte alors à la liberté d'expression et d'information : un article de presse relatant des faits d'intérêt général ne sera pas supprimé, alors qu'une photo intime publiée sans consentement le sera. La diffusion de contenus à caractère sexuel sans consentement constitue en outre une infraction pénale.

Les délais et la réponse

L'organisme dispose d'un mois pour répondre à une demande d'effacement, prolongeable de deux mois en cas de complexité ou de nombre important de demandes, à condition d'en informer la personne dans le premier mois. S'il refuse, il doit motiver sa décision et indiquer la possibilité d'introduire une réclamation auprès de la CNIL et un recours juridictionnel. Pour les données collectées lorsque la personne était mineure dans le cadre de l'offre de services de la société de l'information, l'article 51 de la loi Informatique et Libertés prévoit que l'effacement intervient dans les meilleurs délais et, en l'absence de réponse dans un délai d'un mois, la personne peut saisir la CNIL, qui se prononce dans un délai de trois semaines.

Effacement et obligations de conservation

L'exception la plus fréquemment opposée à une demande d'effacement est l'obligation légale de conservation. Une entreprise doit conserver ses factures pendant dix ans, ce qui l'empêche d'effacer les données de facturation d'un ancien client qui le demande. Elle peut en revanche supprimer les données de prospection, l'historique de navigation, les préférences et toutes les informations qui ne sont pas nécessaires à cette obligation. Les données conservées doivent alors être archivées, avec un accès restreint, et ne plus être utilisées pour d'autres finalités. La réponse à la personne doit expliquer clairement ce qui a été supprimé, ce qui est conservé, pour quelle raison et jusqu'à quand.

Effacement et intelligence artificielle

L'exercice du droit à l'effacement sur les modèles d'intelligence artificielle soulève des difficultés techniques. Une fois des données utilisées pour entraîner un modèle, elles ne sont pas stockées comme dans une base classique, mais peuvent influencer ses paramètres et, dans certains cas, être restituées par le modèle. La CNIL recommande aux développeurs de faciliter l'exercice des droits en conservant la trace des sources d'entraînement, en filtrant les sorties pour empêcher la restitution de données personnelles et, lorsque c'est proportionné, en réentraînant périodiquement le modèle sans les données concernées. Elle reconnaît que le réentraînement n'est pas toujours possible à court terme et que des mesures alternatives peuvent être acceptées.

Les comptes en ligne et l'effacement

La suppression d'un compte sur un site ou une application est l'une des formes les plus courantes d'exercice du droit à l'effacement. Les lignes directrices et les recommandations de la CNIL invitent les éditeurs à permettre la suppression du compte aussi facilement que sa création, depuis les paramètres, sans exiger de démarches complexes ni de contact avec le service client. Le règlement sur les marchés numériques impose d'ailleurs aux grandes plateformes de faciliter la désinscription des services. Lors de la suppression, l'éditeur efface les données du compte, sous réserve de celles qu'il doit conserver pour respecter ses obligations, et informe l'utilisateur du sort des contenus qu'il a publiés, qui peuvent être supprimés ou anonymisés. Apple impose par ailleurs depuis 2022 aux applications qui permettent de créer un compte de proposer sa suppression dans l'application.

Le droit à l'effacement dans les ressources humaines

Un ancien salarié peut demander l'effacement de ses données. L'employeur doit alors distinguer les données qu'il est tenu de conserver, comme les bulletins de paie pendant cinq ans ou les éléments nécessaires à la défense en cas de contentieux pendant les délais de prescription, et celles qui ne sont plus nécessaires, comme les photos publiées sur l'intranet, la fiche dans l'annuaire interne ou la signature dans des modèles de documents. Les comptes informatiques de l'ancien salarié, et notamment sa messagerie, doivent être désactivés à son départ, puis supprimés après une période raisonnable permettant d'assurer la continuité du service, généralement de quelques semaines à quelques mois, avec un message automatique indiquant un autre contact.

Modèle de demande d'effacement

Une demande d'effacement identifie la personne, l'organisme, les données concernées et le motif invoqué parmi ceux de l'article 17 : données qui ne sont plus nécessaires, retrait du consentement, opposition au traitement, traitement illicite, obligation légale d'effacement, données collectées auprès d'un mineur. Par exemple : « En application de l'article 17 du RGPD, je vous demande d'effacer l'ensemble des données me concernant, ayant retiré mon consentement à leur traitement. Je vous remercie de me confirmer cet effacement dans le délai d'un mois, et d'en informer les destinataires auxquels ces données ont été communiquées. » La personne conserve une copie de sa demande et la preuve de son envoi. En l'absence de réponse satisfaisante dans le délai, elle peut saisir la CNIL.

Le droit à l'effacement et les avis en ligne

Les professionnels sont parfois confrontés à des avis négatifs publiés sur des plateformes. Un avis porte sur l'activité professionnelle, et la personne qui l'a rédigé exerce sa liberté d'expression : le professionnel ne peut pas obtenir sa suppression au seul motif qu'il lui déplaît, sur le fondement du droit à l'effacement. Il peut en revanche signaler un avis diffamatoire, injurieux, manifestement faux ou ne correspondant à aucune expérience réelle, en application des règles de la plateforme et du Code de la consommation, qui encadre les avis en ligne. À l'inverse, l'auteur d'un avis peut demander sa suppression ou l'effacement de son nom associé à l'avis.