L’article 21 RGPD attribue à la personne concernée le droit de s’opposer, pour des raisons tenant à sa situation particulière, à tout moment, au traitement des données à caractère personnel la concernant. Le blocage des cookies sur une page web, par exemple, est un exemple d’objection.
Cette disposition et sa référence à la situation particulière de la personne concernée visent à équilibrer ses droits avec les intérêts légitimes d’autres personnes dans le traitement de leurs données. L’intérêt professionnel de la personne concernée pour la confidentialité en est un exemple. Il est important de souligner que le droit d’opposition est applicable lorsque la base légale du traitement est l’exécution par le responsable du traitement d’une tâche effectuée dans l’intérêt public, ou lorsque le traitement est fondé sur les intérêts légitimes du responsable du traitement. En tout état de cause, la charge de la preuve incombe au responsable du traitement, qui doit démontrer des raisons impérieuses de poursuivre le traitement.
L’opposition réussie, en effet, entraîne l’impossibilité de traiter les données en cause, alors que, selon l’Agence des droits fondamentaux (2018), les traitements effectués avant l’objection restent légitimes[1] . Voigt et von dem Bussche, au contraire, soutiennent qu’il n’est pas clair si l’objection réussie entraîne l’effacement obligatoire des données[2] . En tout état de cause, une opposition réussie permet à la personne concernée d’exercer le droit à l’effacement conformément à l’article 17.1(c) du RGPD.
Au plus tard lors de la première communication avec la personne concernée, le droit d’opposition doit être explicitement porté à l’attention de la personne concernée et présenté clairement et séparément de toute autre information.
Il n’en demeure pas moins que l’article 21.6 du RGPD empêche la personne concernée de s’opposer au traitement des données, à la condition que ce dernier soit effectué à des fins de recherche scientifique ou historique et à des fins statistiques et qu’il soit nécessaire à l’exécution d’une tâche effectuée pour des raisons d’intérêt public. La charge de la preuve concernant la nécessité incombe au responsable du traitement, qui n’a toutefois pas à démontrer l’existence de motifs légitimes impérieux, comme dans le cas de l’article 21 du RGPD, premier alinéa.[3] À cet égard, il est important de rappeler que, selon l’EDPB (2020), le champ d’application de cette dérogation devrait être limité aux cas où l’intégrité de la recherche serait compromise par l’exercice des droits de la personne concernée.[4] En effet, l’objection de plusieurs personnes concernées à tout ou partie d’une recherche scientifique peut avoir une influence négative sur la représentativité et la fiabilité des données de la recherche.
Bien qu’il ne soit pas lié aux fins de recherche, le RGPD apporte deux autres nuances concernant le droit d’opposition. Premièrement, l’article 21, paragraphe 2, du RGPD prévoit un droit d’opposition spécifique concernant l’utilisation de données à caractère personnel à des fins de marketing direct. Ce droit peut être exercé à tout moment et gratuitement et la personne concernée doit être informée de son existence de manière claire, distincte de toute autre information.
Deuxièmement, l’article 21.5 du RGPD régit le droit d’opposition, lorsque le traitement est effectué par des services de la société de l’information par des moyens automatisés. Dans ce contexte, qui est particulièrement pertinent en termes de recherche sur les TIC, le responsable du traitement doit développer des dispositions et des procédures techniques appropriées pour garantir que le droit d’opposition puisse être exercé de manière effective, comme dans le cas du blocage des cookies sur la page web et de la désactivation du suivi de la navigation sur Internet.
Liste de contrôle pour donner suite à une demande d’opposition L’exercice du droit d’opposition est-il conforme au RGPD ? ☐ Avez-vous reçu une demande d’opposition de la part d’une personne morale ? Dans la négative, veuillez indiquer que la demande n’a pas été introduite par une personne physique. ☐ La demande relève-t-elle de l’une des exceptions prévues à l’article 21.2-6 du RGPD ? Si oui, veuillez informer la personne concernée que la demande sera refusée. ☐ Les personnes concernées se sont-elles correctement identifiées ? Si ce n’est pas le cas, veuillez demander des informations supplémentaires pour confirmer l’identité. ☐ La demande peut-elle être satisfaite dans un délai d’un mois ? Si ce n’est pas le cas, veuillez indiquer pourquoi et combien de temps il faudra pour traiter la demande. ☐ La demande doit être satisfaite. Comment se conformer davantage à toutes les obligations liées au RGPD : ☐ Vérifier la situation particulière des personnes concernées vise à mettre en balance leurs droits et les droits légitimes d’autrui dans le traitement de leurs données. |
- Agence des droits fondamentaux (ed.), op. cit. , p. 231 ↑
- P. Voigt & von dem Bussche, op. cit. p. 179 ↑
- G. Zanfir-Fortuna, ” Article 21. Right to Object’, in C. Kuner, L. A. Bygrave & C. Docksey (eds.), The EU General Data Protection Regulation (RGPD) A Commentary, Oxford : Oxford University Press, 2020, p. 519. ↑
- EDPB, op. cit. pp. 21-22 ↑