Comment démontrer la conformité à l'article 17 du RGPD

L'article 17 traite de l'un des aspects les plus importants de l'UE et du Royaume-Uni. RGPD loi – le « droit à l'oubli » des personnes concernées, également appelé « droit à l'effacement ».

L'article 17 énumère plusieurs raisons pour lesquelles une personne concernée peut souhaiter être oubliée, ainsi que l'obligation d'une organisation d'informer les autres responsables du traitement qui peuvent également traiter les données d'une personne conformément à leurs propres opérations.

Article 17 du RGPD Texte juridique

Version RGPD de l'UE

Article 17 – Droit à l'effacement (« droit à l'oubli »)

1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement des données personnelles la concernant dans les meilleurs délais et le responsable du traitement a l'obligation d'effacer les données personnelles dans les meilleurs délais lorsque l'un des motifs suivants s'applique :
• les données personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou autrement traitées ;
• la personne concernée retire le consentement sur lequel le traitement est fondé conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et lorsqu'il n'existe aucun autre fondement juridique pour le traitement ;
• la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1 et il n'existe aucun motif légitime et impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 ;
• les données personnelles ont été traitées illégalement;
• les données personnelles doivent être effacées pour le respect d'une obligation légale du droit de l'Union ou du droit de l'État membre à laquelle le responsable du traitement est soumis ;
• les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1.
2. Lorsque le responsable du traitement a rendu publiques les données à caractère personnel et est tenu, en vertu du paragraphe 1, de les effacer, le responsable du traitement, compte tenu de la technologie disponible et du coût de mise en œuvre, prend des mesures raisonnables, y compris des mesures techniques, pour informer les responsables du traitement qui sont traitant les données personnelles pour lesquelles la personne concernée a demandé l'effacement par ces contrôleurs de tout lien vers, ou la copie ou la réplication de ces données personnelles.
3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où le traitement est nécessaire :
• pour exercer le droit à la liberté d'expression et d'information;
• pour le respect d'une obligation légale qui nécessite un traitement en vertu du droit de l'Union ou du droit des États membres à laquelle le responsable du traitement est soumis ou pour l'exécution d'une mission effectuée dans l'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
• pour des raisons d'intérêt public dans le domaine de la santé publique, conformément à l'article 9, paragraphe 2, points h) et i), ainsi qu'à l'article 9, paragraphe 3 ;
• à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, dans la mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de ce droit traitement; ou
• pour l'établissement, l'exercice ou la défense de réclamations légales.

Version du RGPD au Royaume-Uni

Article 17 – Droit à l'effacement (« droit à l'oubli »)

1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement des données personnelles la concernant dans les meilleurs délais et le responsable du traitement a l'obligation d'effacer les données personnelles dans les meilleurs délais lorsque l'un des motifs suivants s'applique :
• les données personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou autrement traitées ;
• la personne concernée retire le consentement sur lequel le traitement est fondé conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et lorsqu'il n'existe aucun autre fondement juridique pour le traitement ;
• la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1 et il n'existe aucun motif légitime et impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 ;
• les données personnelles ont été traitées illégalement;
• les données personnelles doivent être effacées pour respecter une obligation légale en vertu du droit national à laquelle le responsable du traitement est soumis ;
• les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1.
2. Lorsque le responsable du traitement a rendu publiques les données à caractère personnel et est tenu, en vertu du paragraphe 1, de les effacer, le responsable du traitement, compte tenu de la technologie disponible et du coût de mise en œuvre, prend des mesures raisonnables, y compris des mesures techniques, pour informer les responsables du traitement qui sont traitant les données personnelles pour lesquelles la personne concernée a demandé l'effacement par ces contrôleurs de tout lien vers, ou la copie ou la réplication de ces données personnelles.
3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où le traitement est nécessaire :
• pour exercer le droit à la liberté d'expression et d'information;
• pour le respect d'une obligation légale qui nécessite un traitement en vertu du droit national ou pour l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
• pour des raisons d'intérêt public dans le domaine de la santé publique, conformément à l'article 9, paragraphe 2, points h) et i), ainsi qu'à l'article 9, paragraphe 3 ;
• à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, dans la mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de ce droit traitement; ou
• pour l'établissement, l'exercice ou la défense de réclamations légales.