Le 27 octobre 2022, la CJUE (Cour de justice de l’Union européenne) a rendu une décision concernant la portée d’une demande d’effacement des données personnelles auprès d’un responsable de traitement, lorsque plusieurs entités ont utilisé ces données sur la base d’une finalité et d’un consentement unique. Bien que l’affaire en question relève du régime de l’article 12 de la directive e-privacy, le RGPD (Règlement Général sur la Protection des Données) apporte des précisions non négligeables, notamment sur le droit de suppression des données personnelles.
Contexte de la décision
L’affaire en question portait sur des fournisseurs d’annuaires publics, collectant les données personnelles auprès d’opérateurs téléphoniques en application de l’article 12 de la directive e-privacy. Un fournisseur d’annuaire a reçu une demande d’effacement et y a donné droit. Cependant, l’information n’a pas été transmise à l’opérateur téléphonique qui avait fourni les données à la société. Les données de la personne ayant effectué la demande se sont donc retrouvées de nouveau publiées.
Cette affaire a donné lieu à une condamnation, sur le fondement d’une violation du RGPD par la société ayant reçu la demande d’effacement. A la suite d’un appel formé contre cette décision, l’autorité belge de la protection de la donnée a donc décidé de saisir la CJUE de plusieurs questions préjudicielles.
Précision sur l’information à donner au moment de l’expression du consentement donné
L’obtention du consentement est un élément crucial pour certains traitements de données à caractère personnel. En effet, selon le RGPD, les traitements de données personnelles pour lesquels le fondement ne peut reposer que sur l’obtention d’un consentement préalable, se trouvent entachés d’illicéité si un tel traitement se poursuit malgré la demande de suppression des données par la personne concernée.
Dans l’affaire en question, la CJUE devait déterminer si l’article 12 de la directive e-privacy, qui requiert une « décision » de la personne concernée pour la publication de ses informations personnelles dans un annuaire public, contient ou non une obligation de collecte du consentement au sens du RGPD. La Cour confirme que l’article 12 de la directive e-privacy contient un consentement libre, spécifique et éclairé en ce qu’il permet d’indiquer les finalités du traitement avant l’exercice d’un choix par la personne concernée. Dans l’affaire ici en cause, la Cour a pu apporter une précision sur ce consentement en indiquant qu’il n’était pas nécessaire que la personne concernée par le traitement soit préalablement informée de tous les destinataires de ses données personnelles. Le consentement donné pour une unique finalité est suffisant pour justifier le traitement par différents destinataires, inconnus à l’origine, si ces derniers utilisent ces données dans le cadre de cette finalité unique.
Précisions sur la demande d’effacement des données personnelles
Une fois la question du consentement, et donc de la licéité du traitement, écartée, la CJUE a apporté deux précisions concernant le droit à l’effacement des données personnelles applicable en l’espèce.
En cas de chaîne de responsable de traitement utilisant les données personnelles collectées pour une même finalité, la CJUE précise que la demande d’effacement effectuée auprès de l’un de ces responsables de traitement doit être portée à la connaissance des autres responsables de traitements. Cette règle découle de l’article 19 du RGPD et de la responsabilité du responsable de traitement concernant l’information des destinataires des données collectées en cas de demande d’effacement.
Autre précision apportée par la CJUE : la demande d’effacement peut être effectuée auprès de n’importe quel responsable de traitement d’une telle chaîne de traitement. Peu importe donc que la demande ne soit pas portée devant le responsable de traitement qui a initialement recueilli son consentement et collecté ses données.
Quelle sont les conséquences de telles précisions ?
En reconnaissant la responsabilité du responsable de traitement au titre de l’article 19 du RGPD, la CJUE répond à l’affirmative à une des questions préjudicielles qui lui a été posée. Oui, les autorités nationales peuvent demander au responsable de traitement saisi de la demande d’effacement, de prendre des mesures techniques et organisationnelles appropriées afin de porter à la connaissance des autres responsables de traitements cette demande. Peu importe donc de savoir si le responsable de traitement a ou non transmis les données aux autres responsables de traitement. Il doit en informer tous les responsables de traitement indépendants de la chaîne. En l’espèce, le fournisseur d’annuaire devait donc informer l’opérateur par lequel il avait collecté les données, mais aussi tous les autres fournisseurs d’annuaires qui utilisaient les données si cela était possible par des moyens appropriés.
La seconde conséquence est l’obligation d’informer les moteurs de recherche (du type Google) de la suppression des données de la personne concernée. En application de l’article 17§2 du RGPD, la CJUE précise que le responsable de traitement qui a rendu des données publiques doit bien préciser aux moteurs de recherche, responsables de traitement, les demandes d’effacement reçues. Ils doivent le faire par des « mesures raisonnables », notamment lorsque le nombre de moteur de recherche en cause est limité.
Cette décision semble pouvoir être transposée à d’autres cas de chaînes de responsables de traitement indépendants et traitant des données personnelles collectées pour une finalité et un consentement unique. Les responsables de traitement dans cette situation devront donc être vigilants en cas de demande d’effacement des données.
BAL Cassiopée
Master 2 Cyberjustice – Promotion 2022/2023
Crédit image: Image de pch.vector sur Freepik
