Droit à l’effacement
Le droit à l’effacement permet à une personne d’exiger d’un organisme qu’il supprime ses données personnelles dans les meilleurs délais lorsque, par exemple, les données ne sont plus nécessaires, que le consentement est retiré ou que le traitement était illicite.L’article 17 du RGPD prévoit six motifs : les données ne sont plus nécessaires au regard de leur finalité ; la personne retire le consentement sur lequel reposait le traitement et il n’existe pas d’autre fondement juridique ; la personne s’oppose au titre de l’article 21 et il n’existe pas de motif légitime impérieux, ou elle s’oppose à la prospection ; les données ont fait l’objet d’un traitement illicite ; l’effacement est imposé par une obligation légale ; ou les données ont été collectées auprès d’un enfant dans le cadre d’un service en ligne. Si le responsable de traitement a rendu les données publiques, l’article 17, paragraphe 2 lui demande de prendre des mesures raisonnables pour informer les autres responsables de traitement. L’article 17, paragraphe 3 fixe les limites : la liberté d’expression, les obligations légales, la santé publique, l’archivage et la recherche, et les actions en justice. L’expression « droit à l’oubli » vient de l’arrêt Google Spain de la Cour de justice de l’Union européenne (C-131/12, 13 mai 2014) sur les résultats des moteurs de recherche.
La version californienne, la section 1798.105 du Code civil, couvre les informations personnelles que l’entreprise a collectées auprès du consommateur, et oblige l’entreprise à prévenir ses service providers, ses contractors et les tiers auxquels elle a vendu ou partagé les données.
Pour les cookies, le retrait du consentement est le déclencheur habituel : le site doit arrêter les traceurs et supprimer ce qu’il détient pour ce navigateur. Les enregistrements conservés pour prouver le consentement antérieur peuvent en général être gardés au titre de l’exception pour les actions en justice. Les demandes arrivent souvent avec une demande de droit d’accès ; voir la page CCPA et CPRA pour les délais américains.