La Cour administrative fédérale autrichienne a jugé qu’un responsable du traitement ne doit pas répondre mécaniquement à une demande d’effacement mais doit rechercher la volonté réelle du requérant, avant de procéder à l’effacement des données.
1/ La contradiction entre la demande d’opposition et la demande d’effacement
En juillet 2019, une personne avait adressé à une agence de marketing une demande « d’opposition et d’effacement de [ses] données conformément aux articles 17 et 21 du RGPD ». L’objectif annoncé de cette personne était de ne plus recevoir de communications commerciales.
L’agence avait répondu favorablement à cette demande en cessant toute forme de communication commerciale et en effaçant les données.
Toutefois, en avril 2022, la personne a reçu, à nouveau, des communications commerciales de la part de l’agence. Elle a alors déposé une plainte auprès de l’autorité de contrôle autrichienne.
Pour sa défense, l’agence considérait qu’elle avait correctement répondu à la demande de la requérante.
D’un côté, l’agence était consciente qu’en effaçant toutes les données, elle ne pourrait plus savoir que la requérante s’était opposée à recevoir des communications commerciales : il y avait donc un risque qu’à l’avenir, la requérante se retrouve à nouveau dans la base de données de l’agence et reçoive des communications commerciales.
Mais, de l’autre côté, l’agence considérait que le simple fait de cesser les communications commerciales sans effacer les données aurait constitué une violation de la demande de droit à l’effacement. L’agence avait alors répondu précisément à la demande en effaçant les données.
2/ L’interprétation nécessaire de la demande d’effacement
Selon la Cour administrative fédérale, une demande d’effacement ne doit « pas nécessairement être interprétée comme telle », puisqu’elle peut simplement traduire la « volonté de la personne de ne plus recevoir de communications commerciales ».
Selon la Cour, le responsable du traitement doit donc rechercher la « volonté réelle » du requérant et, en cas de doute, lui demander des précisions.
En l’espèce, il ressortait clairement de la demande que la personne ne souhaitait plus recevoir de communications commerciales. Ainsi, le responsable du traitement aurait dû se contenter de bloquer le traitement des données et mettre fin à toute communication commerciale, sans effacer les données. En cas de doute, il aurait dû (i) s’enquérir de la volonté réelle de la personne, (ii) l’informer des conséquences de l’effacement, (iii) s’assurer que la personne maintient sa demande d’effacement.
En ne procédant pas de la sorte, le responsable du traitement a ultérieurement traité de nouvelles données sans base légale, en violation des articles 5§1a) et 6§1f du RGPD.
Compte tenu de ce qui précède, la Cour a confirmé la décision de première instance de l’autorité de contrôle autrichienne qui avait sanctionné le responsable du traitement.