Article 20. Droit à l'effacement (« droit à l'oubli »)

Article 20. Droit à l'effacement (« droit à l'oubli »)

1. La personne intéressée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, dans le délai fixé par le paragraphe 3 de l'article 15, l'effacement des données personnelles la concernant. Le responsable doit les effacer lorsque l'une des circonstances suivantes s'applique :

a) Les données personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière.

b) La personne intéressée retire le consentement sur lequel est fondé le traitement, et celui-ci ne repose sur aucun autre fondement juridique.

c) La personne intéressée s'oppose au traitement, sur la base du paragraphe 1 de l'article 24, et il n'existe pas d'autres motifs légitimes prévalant pour le traitement, ou lorsque la personne intéressée s'oppose au traitement sur la base du paragraphe 2 de l'article 24.

d) Les données personnelles ont fait l'objet d'un traitement illicite.

e) Les données personnelles doivent être effacées pour respecter une obligation légale.

f) Les données personnelles ont été collectées dans le cadre de l'offre directe de services de la société de l'information.

2. Si l'accès aux données personnelles s'effectue au moyen d'un moteur de recherche, le responsable du traitement doit déréférencer les données dans le délai fixé par le paragraphe 3 de l'article 15.

3. Si le responsable du traitement qui a rendu publiques les données personnelles, et est tenu de les effacer en vertu des dispositions du paragraphe 1, compte tenu des technologies disponibles et des coûts de mise en œuvre, le responsable du traitement doit prendre des mesures raisonnables, y compris d'ordre technique, pour informer les responsables qui traitent ces données que la personne intéressée a demandé l'effacement de tout lien vers ses données personnelles, ou de toute copie ou reproduction existante de celles-ci. Si la personne intéressée en fait la demande, le responsable doit l'informer de l'identité du destinataire de ses données.

4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque le traitement est nécessaire :

a) À l'exercice du droit à la liberté d'expression et d'information.

b) Pour respecter une obligation légale qui requiert le traitement de données ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable.

c) Pour des motifs d'intérêt public dans le domaine de la santé publique.

d) À des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où le droit à l'effacement compromettrait gravement la réalisation des objectifs dudit traitement.

e) À la constatation, à l'exercice ou à la défense de droits en justice.

5. Le responsable du traitement doit notifier à chacun des destinataires auxquels les données personnelles ont été communiquées tout effacement de celles-ci, à moins qu'une telle notification se révèle impossible ou exige des efforts disproportionnés. Si la personne intéressée en fait la demande, le responsable doit l'informer de ces destinataires.