Le compte qu'on refuse d'effacer : le déroulé écrit

Mythe · Je clique sur « Désactiver » : le profil disparaît, donc les données aussi.

Le mythe le mieux installé des réglages : « désactiver, c'est supprimer » La phrase en gris clair sous le bouton disait la vérité : la désactivation masque le profil, elle conserve les contenus. Le règlement, lui, ne connaît pas la désactivation. Il connaît un verbe, effacer, et il en fait une obligation à la charge du responsable du traitement. Un profil masqué reste un profil dont les données sont conservées.

« La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique »

Traduit en clair : le texte dit « effacer », pas « masquer ». Tant que les données sont conservées, l'obligation n'est pas remplie, quel que soit l'état affiché de ton profil.

Mythe · Un effacement, ça s'obtient avec un motif sérieux. Je n'ai rien de grave à invoquer.

Le mythe : « il faut une bonne raison » La page officielle de l'Union résume la condition en une ligne, et elle ne demande aucune gravité : des données qui ne sont plus nécessaires suffisent. Le règlement dit la même chose et nomme un second motif tout aussi ordinaire, le retrait du consentement sur lequel le traitement était fondé. Ce qu'on attend de toi, ce n'est pas de te justifier : c'est de désigner le motif que tu invoques.

« Si vos données à caractère personnel ne sont plus nécessaires ou si elles sont utilisées de manière illégale, vous pouvez demander à ce qu'elles soient supprimées. C'est ce que l'on appelle le «droit à l'oubli». »

Traduit en clair : « ne sont plus nécessaires » est un motif à part entière. Tu n'as pas à raconter ta vie pour obtenir un effacement.

Mythe · Je paie les 15 € : c'est le prix de la tranquillité.

Le mythe : « un effacement, ça se paie » La première phrase du paragraphe ne laisse aucune marge : aucun paiement n'est exigé. Le texte prévoit une exception, et elle est étroite : des demandes manifestement infondées ou excessives, notamment en raison de leur caractère répétitif. Puis il ajoute la phrase qui renverse la table : il incombe au responsable du traitement de DÉMONTRER ce caractère. Ce n'est donc pas à toi de prouver que ta demande est légitime.

« 5. Aucun paiement n'est exigé pour fournir les informations au titre des articles 13 et 14 et pour procéder à toute communication et prendre toute mesure au titre des articles 15 à 22 et de l'article 34. Lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut: a) exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées; ou b) refuser de donner suite à ces demandes. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. »

Traduit en clair : la démarche ne coûte rien. Ils ne peuvent facturer ou refuser que dans un seul cas, et c'est à eux d'établir qu'on y est.

Mythe · Le règlement ne fixe pas de délai précis : ils répondront quand ils pourront.

Le mythe : « le règlement ne donne pas de délai » Il en donne un, et il le donne pour TOUTES les demandes de la série, de l'accès à l'opposition : un mois à compter de la réception. La formule « dans les meilleurs délais » ne remplace pas ce mois, elle s'y ajoute. Ce qui rend ce délai utilisable, c'est qu'il se compte depuis une date que tu connais : celle de leur accusé de réception.

« Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. »

Traduit en clair : le délai existe, il est d'un mois, et il court depuis leur réception, pas depuis leur bonne volonté.

Mythe · Leur silence vaut refus, et un refus, ça ne se discute pas.

Le mythe : « pas de réponse, donc dossier clos » Le règlement traite l'inaction pour ce qu'elle est, et il l'encadre trois fois. S'ils ne donnent pas suite, ils doivent t'informer des MOTIFS de leur inaction, au plus tard dans un délai d'un mois, ET t'indiquer deux portes : la réclamation auprès d'une autorité de contrôle et le recours juridictionnel. Un silence ne donne aucun motif, ne tient aucun délai et n'indique aucune porte : il ne remplit aucune des trois.

« 4. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. »

Traduit en clair : un refus se motive, et il doit lui-même te dire où aller ensuite. Le texte t'offre la marche suivante dans la phrase qui te refuse.

Mythe · Une fois les données parties chez des tiers, c'est perdu : personne ne peut les rattraper.

Le mythe : « parti chez un tiers, donc hors de portée » La page officielle de l'Union dit l'inverse en une phrase, et elle vise nommément les autres sites avec lesquels les données ont été partagées : c'est à l'entreprise de les informer. La même page rappelle au passage que ces règles s'appliquent aussi aux moteurs de recherche, considérés eux aussi comme des responsables du traitement. Le partage ne crée pas une zone hors du droit : il crée une liste de gens à prévenir.

« Ces règles s'appliquent également aux moteurs de recherche […] qui sont également considérés comme des responsables du traitement. […] Si une entreprise a mis en ligne vos données à caractère personnel et que vous lui demandez la suppression de ces données et des liens vers celles-ci, l'entreprise doit également en informer tous les autres sites web avec lesquels elles ont été partagées. »

Traduit en clair : c'est à l'entreprise d'informer les autres sites, pas à toi de les retrouver un par un.

Mythe · Un effacement efface tout, sans exception. Leurs 10 ans de facturation tombent aussi.

Le mythe : « le droit à l'oubli efface tout » L'article qui crée le droit lui pose lui-même des limites, dans son paragraphe 3, et elles sont nommées : l'exercice du droit à la liberté d'expression et d'information, le respect d'une obligation légale qui requiert le traitement, la constatation ou la défense de droits en justice. Ce que ton pays impose de conserver ne relève pas du même régime que ton profil, et ce site ne traite jamais le droit national. Connaître la limite d'un droit, c'est ce qui rend crédible tout le reste de la demande.

« 3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est nécessaire: a) à l'exercice du droit à la liberté d'expression et d'information; b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis […] e) à la constatation, à l'exercice ou à la défense de droits en justice. »

Traduit en clair : l'effacement s'arrête là où une autre règle impose de garder. Demande l'effacement de ce qui peut l'être, et le dossier tient debout.

Mythe · Ils écrivent que ma demande est excessive. C'est donc à moi de prouver le contraire.

Le mythe : « c'est écrit dans leur lettre, donc c'est établi » Le paragraphe qui autorise un refus se termine par une phrase que les refus ne citent jamais : il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. Écrire le mot « excessif » n'est pas le démontrer. Et le texte dit « manifestement » : c'est à eux d'établir qu'on y est, demande par demande.

« Lorsque les demandes d'une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut: a) exiger le paiement de frais raisonnables […] ou b) refuser de donner suite à ces demandes. Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande. »

Traduit en clair : la preuve est de leur côté, pas du tien. Tu n'as pas à te justifier d'avoir relancé.

Mythe · Un refus écrit, ça ne se combat qu'au tribunal, et je n'irai pas au tribunal.

Le mythe : « après leur refus, il n'y a que la justice » La page officielle de l'Union met les deux voies côte à côte. Elle présente la réclamation auprès de l'autorité nationale de protection des données comme une voie DIRECTE, avec un examen et une réponse dans un délai de trois mois, et elle écrit que le tribunal reste ouvert sans être obligé de passer d'abord par cette autorité. Autrement dit : deux portes, et tu n'es tenu d'en prendre aucune en premier. La même page ajoute qu'un préjudice matériel ou moral pourrait ouvrir droit à une indemnisation.

« Si vous estimez que vos droits en matière de protection des données n'ont pas été respectés, vous pouvez déposer plainte directement auprès de votre autorité nationale chargée de la protection des données, qui examinera votre plainte et vous répondra dans un délai de trois mois. Vous pouvez aussi choisir de poursuivre directement en justice l'entreprise ou organisation concernée sans passer préalablement par votre autorité nationale chargée de la protection des données. Vous pourriez avoir droit à une indemnisation si vous avez subi un préjudice matériel (comme une perte financière) ou moral (comme une souffrance psychologique) parce qu'une entreprise ou organisation n'a pas respecté les règles de l'UE en matière de protection des données. »

Traduit en clair : tu as deux portes, et tu choisis laquelle. L'autorité de ton pays répond dans les trois mois ; le tribunal reste ouvert avec ou sans elle.