Par arrêt du 27 octobre 2022, la Cour de justice de l’Union européenne précise les conditions de publication des données personnelles au sein des annuaires téléphoniques publics. Un abonné a demandé à son opérateur de ne plus transmettre ses coordonnées à des fournisseurs tiers de services de renseignements et d’annuaires universels. Ce contentieux s’est noué suite à une décision d’une autorité de contrôle ordonnant au fournisseur de cesser le traitement des données de cet utilisateur mécontent. Saisie par la Cour d’appel de Bruxelles le 2 mars 2021, la juridiction européenne doit se prononcer sur l’unité du consentement requis pour ces publications successives. Elle évalue aussi les obligations d’information pesant sur le responsable du traitement après une demande d’effacement formulée par une personne physique exerçant ses droits. La Cour juge que le consentement est nécessaire pour la figuration dans les annuaires et que la demande de retrait active le régime juridique du droit à l’effacement.
I. L’unicité du consentement et la qualification du droit à l’effacement
A. La validité d’un consentement global pour les fournisseurs d’annuaires
La Cour précise que le « consentement » de l’abonné est exigé afin que ses données « figurent dans les annuaires et les services de renseignements téléphoniques accessibles au public ». Ce consentement peut être fourni soit à l’opérateur de services téléphoniques soit à l’un des fournisseurs d’annuaires tiers traitant ces informations à caractère personnel. L’interprétation retenue privilégie une approche fonctionnelle du consentement qui évite la multiplication des démarches pour l’abonné tout en garantissant la licéité des traitements successifs effectués. Les juges considèrent qu’une information préalable suffisante sur la finalité du traitement permet de couvrir l’ensemble des publications réalisées par différents acteurs du secteur des télécommunications. Cette solution assure un équilibre entre la protection de la vie privée et la fluidité nécessaire au fonctionnement des services de renseignements téléphoniques européens.
B. L’assimilation du retrait du consentement au droit à l’effacement
La juridiction souligne que la demande de suppression des données par un abonné « constitue un recours au droit à l’effacement » au sens de l’article 17 du règlement. Cette qualification juridique est essentielle car elle déclenche l’application automatique des garanties protectrices prévues par le texte européen en faveur des personnes physiques identifiées ou identifiables. Le retrait du consentement ne se limite pas à une simple opposition mais impose une action concrète de suppression des informations litigieuses par le responsable du traitement. Les juges européens renforcent ainsi l’effectivité de la protection des données en facilitant l’exercice des droits pour les usagers souhaitant disparaître des répertoires publics accessibles. L’obligation de suppression devient immédiate dès lors que le traitement n’est plus fondé sur une base légale valide suite à la manifestation de volonté de l’intéressé.
II. Les obligations de diligence et la protection de la vie privée numérique
A. Le devoir d’information envers les responsables de traitement tiers
Une autorité de contrôle peut exiger que le fournisseur « prenne les mesures techniques et organisationnelles appropriées pour informer les responsables du traitement tiers » du retrait du consentement. Cette injonction administrative repose sur le principe de responsabilité qui impose au responsable initial de garantir que le droit à l’effacement soit respecté par ses partenaires commerciaux. Le fournisseur doit communiquer la demande de l’abonné à l’opérateur d’origine ainsi qu’aux autres éditeurs de services de renseignements auxquels il a transmis les données personnelles. Cette coopération interprofessionnelle permet de prévenir la persistance de données erronées ou non souhaitées au sein d’un écosystème numérique complexe comportant de multiples intervenants techniques indépendants. La Cour confirme que la diligence du responsable du traitement est une composante majeure de la conformité aux exigences du règlement général sur la protection des données.
B. La portée des mesures raisonnables à l’égard des moteurs de recherche
La Cour précise que le responsable doit prendre des « mesures raisonnables » afin d’informer les fournisseurs de moteurs de recherche de la demande d’effacement formulée par l’abonné. Cette obligation vise à limiter l’indexation des données personnelles sur internet afin de protéger la sphère privée de l’individu contre une exposition publique prolongée et non consentie. L’article 17, paragraphe 2, du règlement permet ainsi aux autorités nationales d’imposer des obligations d’action positive pour assurer la disparition effective des informations sensibles des résultats de recherche. Cette solution consacre une forme de droit à l’oubli numérique en contraignant les professionnels à agir sur les sources de diffusion des données au-delà de leurs propres fichiers. La protection de l’abonné s’étend donc à la visibilité globale de ses informations personnelles sur le réseau internet grâce à cette diligence imposée aux éditeurs d’annuaires.
