Le RGPD consacre des nouveaux droits, et notamment le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, et le droit à l’effacement.
I. Le droit à être informé
Le RGPD prévoit que les personnes concernées doivent être informées du traitement de leurs données à caractère personnel et liste les informations qui doivent être communiquées.
Consultez la checklist des éléments concernant l'information des personnes concernées.
II. Le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé y compris le profilage
• La notion de « profilage » est désormais très large puisqu’elle inclue la géolocalisation des individus
Suivant l’article 4 du RGPD, le profilage est « toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ».
• Le principe de l’interdiction et les limites
L’article 22 du RGPD reconnait le droit de la personne concernée de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire.
Il y a cependant trois situations dans lesquelles l’interdiction est levée (article 22 (2) RGPD) ;
- Lorsque la décision est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et un responsable du traitement ;
- Lorsque la décision est autorisée par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis et qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée ;
- Lorsque la décision est fondée sur le consentement explicite de la personne concernée.
Dans la 1ère et dernière hypothèse, le responsable du traitement doit au minimum permettre à la personne concernée d'obtenir une intervention d’une personne, d'exprimer son point de vue et de contester la décision automatisée.
III. Le droit à l’effacement
Le droit à l’effacement est l’écho du droit à l’oubli qui a été consacré par la CJCE (arrêt du 13 mars 2014 « Google Spain » Aff.C-131/12).
Suivant le considérant 65 du RGPD, les personnes concernées ont le droit d'obtenir que leurs données à caractère personnel soient effacées dans les cas suivants :
- lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière,
- lorsque les personnes concernées ont retiré leur consentement au traitement ou lorsqu'elles s'opposent au traitement
- lorsque le traitement de leurs données à caractère personnel ne respecte pas d'une autre manière le présent règlement.