Droit à l'effacement – les demandes d'effacement en pratique

Quand existe-t-il un droit à l'effacement ?

Selon l'art. 17, al. 1, RGPD, les données à caractère personnel doivent notamment être effacées lorsqu'elles ne sont plus nécessaires au regard de la finalité, que le consentement a été retiré et qu'il n'existe pas d'autre base juridique, que la personne s'est opposée avec succès au traitement ou que les données ont fait l'objet d'un traitement illicite.

La LPD suisse ne connaît pas d'article portant ce titre, mais aboutit à un résultat similaire : les données personnelles doivent être détruites ou anonymisées dès qu'elles ne sont plus nécessaires au regard des finalités du traitement (art. 6, al. 4, LPD). Un traitement contre la volonté expresse de la personne constitue une atteinte à la personnalité, sauf motif justificatif (art. 30, al. 2, let. b, et art. 31 LPD), et la personne concernée peut demander l'effacement en justice (art. 32, al. 2, let. c, LPD).

Quelles exceptions s'appliquent ?

Toute demande d'effacement n'entraîne pas une suppression immédiate. Motifs typiques de conservation prolongée :

• Les obligations légales de conservation, par exemple dix ans pour les livres et pièces comptables (art. 958f CO ; art. 17, al. 3, let. b, RGPD).
• La constatation, l'exercice ou la défense de droits en justice (art. 17, al. 3, let. e, RGPD).
• Les procédures, enquêtes ou demandes d'autorités en cours (legal hold).
• Des intérêts prépondérants qui justifient le traitement (art. 31 LPD).

Dans ces cas, les données sont bloquées : elles sont conservées, mais ne peuvent plus être utilisées qu'aux fins de la conservation – et sont supprimées lorsque cette finalité disparaît.

Comment exécuter une demande d'effacement ?

Un processus rigoureux comporte six étapes :

1. 1Vérifier l'identité de la personne qui fait la demande.
2. 2Déterminer dans quels systèmes la personne apparaît.
3. 3Vérifier si des obligations de conservation ou des blocages de suppression s'y opposent.
4. 4Valider la suppression – dans les cas sensibles, selon le principe des quatre yeux.
5. 5Supprimer dans tous les systèmes concernés, dans le bon ordre.
6. 6Recueillir les retours, informer la personne et conserver la preuve.

Selon le RGPD, les destinataires auxquels les données ont été communiquées doivent en outre être informés de l'effacement, dans la mesure où cela est possible et proportionné (art. 19 RGPD).

Quel délai s'applique à une demande d'effacement ?

Selon le RGPD, le même délai que pour le droit d'accès s'applique : dans les meilleurs délais, au plus tard dans un délai d'un mois, avec possibilité de prolongation (art. 12, al. 3, RGPD). La LPD ne fixe pas de délai exprès pour les demandes d'effacement ; une demande devrait être traitée sans retard injustifié.

Supprimer, anonymiser, bloquer – quelle différence ?