Recht auf Löschung (Art. 17 DSGVO)

Un ancien client exige que ses données soient effacées. Les enregistrements du CRM sont vite supprimés. Mais qu’en est-il des sauvegardes, des anciens ordinateurs portables en stock ou du serveur démonté la semaine dernière ? Le droit à l’effacement va plus loin que beaucoup ne le pensent.

Que dit l’art. 17 du RGPD ?

L’art. 17 par. 1 du RGPD énumère six motifs d’effacement. Si l’un d’eux est réuni, le responsable du traitement doit effacer les données, même sans demande.

Motif d’effacement (art. 17 par. 1)	Exemple
a) Finalité disparue	La procédure de candidature est terminée, le délai pour d’éventuelles réclamations est écoulé
b) Consentement retiré	Désinscription de la newsletter sans autre base juridique
c) Opposition justifiée	Opposition à la prospection directe
d) Traitement illicite	Les données ont été collectées sans base juridique
e) Obligation légale d’effacement	Une loi prescrit l’effacement
f) Données d’enfants issues de services en ligne	Consentement d’un enfant à une offre en ligne

Si le responsable du traitement a rendu les données publiques, il doit en outre, en vertu du par. 2, prendre des mesures raisonnables pour informer les autres responsables de la demande d’effacement. À la suite d’une demande, il doit en règle générale répondre dans un délai d’un mois en vertu de l’art. 12 par. 3 du RGPD.

Quand le droit ne s’applique-t-il pas ?

L’art. 17 par. 3 du RGPD prévoit des exceptions. La plus importante pour les entreprises est une obligation légale de conservation, par exemple pour les pièces comptables ou les lettres commerciales. D’autres exceptions concernent la liberté d’expression, la santé publique, les finalités d’archivage et de recherche ainsi que la défense de droits en justice. Tant qu’un Durée de conservation est en cours, les données ne sont pas effacées mais verrouillées, et ne sont supprimées qu’à l’expiration du délai.

Que cela signifie-t-il pour le matériel informatique mis au rebut ?

Effacer au sens du RGPD signifie que les données sont supprimées de telle sorte qu’elles ne puissent plus être restaurées sans effort disproportionné. Une corbeille ou un formatage rapide ne suffit pas. Cela concerne aussi les appareils mis au rebut :

• Les anciens disques durs contiennent souvent des copies de données qui ont déjà été effacées dans les systèmes actifs.
• Par un Rémanence des données , des résidus restent lisibles dans le système de fichiers même après la suppression.
• Quiconque cède d’anciens appareils non effacés continue de traiter des données sans base juridique et enfreint le principe de Limitation de la conservation.

Un Concept d’effacement définit quand quelles données sont effacées et comment cela se passe pour les appareils en fin d’utilisation.

Droit à l’effacement chez Second IT

Pour le matériel mis au rebut, Second IT prend en charge la partie physique de l’effacement. Chaque appareil est effacé avec Blancco, y compris les zones cachées comme HPA et DCO, et reçoit un certificat d’effacement signé numériquement avec numéro de série. Vous documentez ainsi qu’aucune donnée ne subsiste sur les supports de données mis au rebut. En savoir plus sur les mesures de sécurité des données et dans l’article Protection des données pour les disques durs. Cette entrée ne remplace pas un conseil juridique.

Questions fréquentes sur l’art. 17 du RGPD

Quelle est la différence entre droit à l’effacement et droit à l’oubli ?

C’est le même droit. L’art. 17 du RGPD porte les deux appellations dans son titre. L’« oubli » met l’accent sur l’obligation du par. 2 d’informer aussi les tiers à propos de données publiées.

Les données doivent-elles aussi être effacées des sauvegardes ?

En principe oui, dès qu’un motif d’effacement existe. En pratique, les sauvegardes sont souvent écrasées selon des cycles fixes. L’essentiel est que les données effacées ne reviennent pas en exploitation active à partir d’une sauvegarde et que les anciens supports de sauvegarde soient finalement effacés en toute sécurité ou détruits.

Dans quel délai dois-je répondre à une demande d’effacement ?

Sans retard injustifié, au plus tard dans un délai d’un mois à compter de la réception. Dans les cas complexes, une prolongation de deux mois supplémentaires est possible. La personne concernée doit alors être informée dans le premier délai.

Quand le droit à l’effacement prévu à l’art. 17 du RGPD ne s’applique-t-il pas ?

L’art. 17 par. 3 du RGPD prévoit des exceptions. La plus importante est une obligation légale de conservation. D’autres concernent la liberté d’expression, la santé publique, les finalités d’archivage et de recherche ainsi que les droits en justice. Tant qu’un délai court, les données sont verrouillées et ne sont effacées qu’ensuite.

Le droit à l’effacement s’applique-t-il aussi aux données des anciens disques durs ?

Oui. Les supports de données mis au rebut contiennent souvent des copies de données déjà effacées dans les systèmes actifs. Une demande d’effacement n’est satisfaite que lorsque les copies, sauvegardes et anciens appareils ne sont plus lisibles non plus, sauf si une obligation de conservation s’y oppose.