Les données ne sont plus nécessaires à leur finalité initiale

Si vous avez collecté des données pour un projet spécifique et que celui-ci est maintenant terminé, l’effacement peut s’avérer nécessaire.

Le consentement est retiré

Si le traitement repose uniquement sur le consentement d’une personne et que celle-ci change d’avis, vous devez effacer les données, à moins qu’il n’existe une autre base légale.

Objection légitime sans raison impérieuse

Si une personne s’oppose au traitement de ses données et que vous ne pouvez pas fournir de raison impérieuse de continuer, vous êtes tenu de supprimer ses données.

Traitement illégal

Si vous découvrez que vous avez traité des données sans base juridique légitime, ces données doivent être supprimées.

Obligation légale

Vous devez respecter les lois de l’UE ou des États membres qui imposent l’effacement de certaines données.

Données provenant d’enfants offrant des services en ligne

Des protections spéciales sont en place pour les données relatives aux enfants, et l’effacement peut s’avérer nécessaire dans certaines situations.

Si vous avez publié des données à caractère personnel et qu’il vous est demandé de les effacer, vous devez prendre des mesures raisonnables pour informer les autres organisations qui traitent ces données de la demande d’effacement. Cette procédure doit consister à demander la suppression des liens, des copies ou des réplications.

Oui, il y a des exceptions. L’effacement n’est pas nécessaire lorsque

• Elle est contraire au droit à la liberté d’expression et d’information.
• Le traitement est nécessaire pour se conformer à une obligation légale ou pour une tâche d’intérêt public.
• C’est nécessaire pour des raisons de santé publique (comme indiqué dans le RGPD).
• Il s’agit d’archivage dans l’intérêt public, de recherche scientifique, historique ou statistique (en vertu de l’article 89, paragraphe 1), et l’effacement aurait une incidence sur ces objectifs.
• Les données sont essentielles pour les actions en justice.

Le RGPD vous oblige à supprimer les données à caractère personnel sans retard injustifié après avoir reçu une demande valide.

Commencez par établir des procédures internes claires pour traiter les demandes d’effacement. Il s’agit notamment de vérifier l’identité de la personne, d’évaluer si la suppression est légalement requise et de décrire le processus de suppression des données dans tous les systèmes et sauvegardes concernés.

Il est essentiel de savoir où votre organisation stocke les données à caractère personnel, ce qui constitue une bonne raison de disposer d’un registre détaillé des activités de traitement, comme l’exige l’article 30. Cela permettra d’assurer une suppression complète lorsque des demandes sont reçues.

Les outils techniques et l’automatisation peuvent constituer un atout majeur, en particulier pour les organisations dont les processus et le stockage des données sont complexes. Pensez à un logiciel qui permet de localiser et d’effacer les données personnelles.

Étant donné que les sauvegardes sont également importantes, élaborez une stratégie pour traiter les demandes d’effacement dans le contexte de vos sauvegardes. Il peut s’agir d’une suppression personnalisée des données des sauvegardes chaque fois que cela est possible ou d’une programmation régulière de la suppression complète des sauvegardes après un délai raisonnable.

Si vous partagez des données à caractère personnel avec des tiers, mettez en place un système permettant de les informer des demandes d’effacement et de veiller à ce qu’ils s’y conforment.

Enfin, n’oubliez pas de documenter toutes les mesures prises concernant les demandes d’effacement. Cela est important pour démontrer vos efforts de conformité au RGPD et aide lors du traitement de tout litige potentiel.