Droit des données
le 24/01/2023

Droit à l’oubli : l’obligation de communication à l’ensemble des responsables de traitement en cas de retrait du consentement

CJUE, 27 oct. 2022, Proximus, aff. C-129/21

Dans une décision en date du 27 octobre, la Cour de justice de l’Union européenne (CJUE) a précisé les obligations des opérateurs en matière de consentement et d’opposition relatifs aux annuaires et services de renseignement.

En l’espèce, un abonné d’un opérateur de téléphonie avait porté plainte auprès de l’autorité belge de protection des données (ADP) pour violation de l’exercice de son droit à l’oubli auprès d’un fournisseur de services d’annuaires, Proximus. L’opérateur de téléphonie transmettait les coordonnées de ses abonnés à des partenaires offrant des services d’annuaires et de renseignements. L’abonné avait formulé une demande d’effacement de ses coordonnées auprès de Proximus qui avait fait suite à cette demande et prévenu certains moteurs de recherche. Toutefois, Proximus n’ayant pas informé l’opérateur de téléphonie de la demande, le retrait du consentement n’était que partiellement effectif et les coordonnées de l’abonné ont été retransmises à Proximus, qui les a republiées dans son annuaire.

À la suite de la plainte de l’abonné, l’ADP a sanctionné Proximus d’une amende et ce dernier a interjeté appel. La cour d’appel de Bruxelles, par voie de questions préjudicielles, s’est tournée vers la CJUE afin d’éclaircir les obligations des fournisseurs d’annuaires pour l’exercice du droit à l’oubli ainsi que l’articulation entre la directive e-Privacy et le RGPD à ce sujet.

En effet, la directive e-Privacy prévoit qu’il suffit qu’un abonné donne une seule fois son consentement en vue de l’utilisation de ses données dans un annuaire téléphonique, pour que d’autres fournisseurs d’annuaires puissent traiter ces mêmes données à cette même fin. Or, cela n’est pas sans soulever de difficultés lorsque l’abonné souhaite retirer son consentement pour faire valoir son droit à l’oubli garanti par le RGPD, notamment :

  • Comment qualifier cette demande de l’abonné ? ;
  • L’abonné doit-il adresser sa demande à son opérateur, au(x) fournisseur(s) d’annuaires ou à chacun d’eux ? ;
  • Le fournisseur est-il tenu de transmettre cette demande de suppression à des tiers (opérateur de l’abonné, autres fournisseurs d’annuaires ou moteurs de recherche) ?

C’est sur ces questions que la CJUE s’est prononcée en jugeant que « lorsque différents responsables du traitement se fondent sur le consentement unique de la personne concernée, il suffit que celle-ci s’adresse à l’un quelconque des responsables pour retirer son consentement ». La CJUE a ainsi estimé :

  • qu’un consentement était requis afin que les données personnelles d’un abonné de services de télécommunications figurent dans des annuaires téléphoniques/services de renseignements téléphoniques accessibles au public ;
  • qu’un abonné demandant la suppression de ses données des annuaires constitue un « droit à l’effacement » au sens du RGPD ;
  • qu’il peut être exigé que le responsable du traitement prenne les mesures techniques et organisationnelles appropriées pour informer les tiers (opérateur de télécommunications de l’abonné et autres fournisseurs d’annuaires auxquels il a transmis les données de l’abonné) du retrait du consentement de l’abonné ;
  • qu’il peut être demandé à un fournisseur d’annuaires de prendre des mesures raisonnables afin d’informer les moteurs de recherche de la demande d’effacement des données de l’abonné.

Ces réponses fournies par la CJUE permettront à la Cour de se prononcer sur l’appel interjeté par Proximus contre la décision de l’APD.