Qu'est-ce que le Droit à l'Effacement (Droit à l'Oubli) ?
Le droit à l'effacement, plus communément appelé « droit à l'oubli », permet à toute personne physique de demander la suppression de ses données personnelles collectées et traitées par une organisation. Ce droit est inscrit dans le Règlement Général sur la Protection des Données (RGPD) de l'Union Européenne, entré en application le 25 mai 2018. Il vise à renforcer la maîtrise des individus sur leurs informations numériques.
Conditions d'exercice du Droit à l'Effacement
Le droit à l'effacement n'est pas absolu et est soumis à plusieurs conditions. Une demande de suppression peut être formulée dans les cas suivants :
- Les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées.
- La personne retire son consentement, et il n'existe pas d'autre fondement juridique au traitement.
- La personne s'oppose au traitement de ses données et il n'existe pas de motif légitime impérieux pour le traitement.
- Les données ont fait l'objet d'un traitement illicite.
- Les données doivent être effacées pour respecter une obligation légale prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis.
- Les données ont été collectées dans le cadre de l'offre de services de la société de l'information à des enfants.
Quelles sont les obligations pour les PME ?
Pour les petites et moyennes entreprises, la gestion des demandes d'effacement représente une responsabilité non négligeable. Une PME, en tant que responsable de traitement, doit mettre en place des procédures pour :
- Répondre aux demandes : Accuser réception et traiter les requêtes dans un délai d'un mois, renouvelable une fois si la complexité l'exige.
- Vérifier l'identité du demandeur : S'assurer que la personne qui formule la demande est bien celle dont les données sont concernées.
- Supprimer effectivement les données : Non seulement dans ses bases de données actives, mais potentiellement aussi dans les sauvegardes. Une anonymisation peut être envisagée si la suppression complète est techniquement complexe ou si l'entreprise a un intérêt légitime à conserver des données agrégées à des fins statistiques.
- Informer les tiers : Si les données ont été communiquées à d'autres entités, la PME doit les informer de la demande d'effacement afin qu'elles procèdent également à la suppression.
Le non-respect de ces obligations peut entraîner des sanctions de la CNIL (Commission Nationale de l'Informatique et des Libertés), allant de l'avertissement à des amendes administratives pouvant atteindre des montants significatifs, jusqu'à 4% du chiffre d'affaires annuel mondial pour les infractions les plus graves.