CJUE, 27 oct. 2022, aff. C-129/21, Proximus

Le responsable du traitement de données personnelles est tenu de prendre des mesures raisonnables afin d’informer les moteurs de recherche sur Internet d’une demande d’effacement par la personne concernée, décide la Cour de justice dans un arrêt du 27/10/2022.

Consentement de la personne concernée. 

– La Cour confirme que le consentement d’un abonné dûment informé est nécessaire aux fins de la publication dans un annuaire public de ses données à caractère personnel; et que ce consentement s’étend à tout traitement ultérieur des données par des entreprises tierces actives sur le marché des services de renseignements téléphoniques accessibles au public et d’annuaires, pour autant que de tels traitements poursuivent la même finalité.

Ce consentement requiert une manifestation de volonté “libre, spécifique, éclairée et univoque” de la personne concernée, prenant la forme d’une déclaration ou d’ “un acte positif clair” marquant son acceptation du traitement des données à caractère personnel la concernant. Toutefois, il ne suppose pas que, à la date à laquelle il est donné, la personne concernée connaisse nécessairement l’identité de tous les fournisseurs d’annuaires. 

Droit à l’effacement. 

– La Cour rappelle également que les abonnés doivent avoir la possibilité de faire supprimer leurs données à caractère personnel des annuaires. Elle considère que la demande d’un abonné tendant à la suppression de ses données peut être considérée comme un recours au droit à l’effacement au sens du RGPD.

Obligations d’information et responsabilité du responsable du traitement. 

– Le juge européen confirme, par ailleurs, qu’il découle des obligations générales prévues par le RGPD qu’un responsable du traitement de données personnelles doit mettre en oeuvre des mesures techniques et organisationnelles appropriées pour informer les autres fournisseurs d’annuaires auxquels il a fourni de telles données du retrait du consentement de la personne concernée. Il doit également veiller à informer l’opérateur de services téléphoniques qui lui a communiqué ces données à caractère personnel afin que ce dernier adapte la liste des données personnelles qu’il transmet automatiquement à ce fournisseur d’annuaires. En effet, lorsque différents responsables du traitement se fondent sur le consentement unique de la personne concernée, il suffit, afin que cette personne retire un tel consentement, qu’elle s’adresse à l’un des responsables du traitement. 

In fine, la Cour juge qu’un responsable du traitement est tenu, en vertu du RGPD, de veiller à prendre des mesures raisonnables afin d’informer les moteurs de recherche de la demande qui lui a été adressée par l’abonné d’un opérateur de services téléphoniques et visant à l’effacement de ses données personnelles.

Source:

– Uroc