Le tribunal régional supérieur de Karlsruhe a considéré qu’un responsable du traitement ne peut pas s’opposer à une demande d’effacement au motif que les données sont nécessaires « à la constatation, à l’exercice ou à la défense de droits en justice », si le recours en justice est « improbable ».
1/ La demande d’effacement de données dont le traitement n’est plus nécessaire
Des pirates se sont introduits frauduleusement sur le compte d’un utilisateur d’un réseau social et y ont publié des fichiers pédopornographiques.
Alerté, le gestionnaire du réseau social a temporairement bloqué le compte de l’utilisateur le temps (i) d’enquêter sur les faits et (ii) de se prononcer sur une éventuelle sanction de l’utilisateur pour non-respect des conditions générales d’utilisation de la plateforme.
Le titulaire du compte piraté a indiqué au gestionnaire du réseau social qu’il n’était pas à l’origine de la publication des fichiers pédopornographiques et a demandé le déblocage de son compte.
Le gestionnaire du réseau social a rétabli le compte mais a conservé l’information selon laquelle ce compte a fait l’objet d’un blocage temporaire et que des publications y ont été supprimées.
L’utilisateur du réseau social a saisi la justice allemande afin, notamment, d’obtenir la suppression de ladite information conservée par le gestionnaire du réseau social.
Pour ce faire, l’utilisateur du réseau social se fondait sur l’article 17§1.a) du RGPD selon lequel la personne concernée a le droit d’obtenir du responsable du traitement l’effacement de ses données à caractère personnel lorsque les données« ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ».
Alexandre FIEVEE & Valentin VAUGE2/ L’impossibilité, pour le gestionnaire du réseau social, de s’opposer à l’effacement des données
Pour sa défense, le gestionnaire du réseau social s’opposait à la suppression des données relatives à l’incident en invoquant l’article 17§3.e) du RGPD qui dispose que le droit à l’effacement ne s’applique pas dans la mesure où le traitement est nécessaire « à la constatation, à l’exercice ou à la défense de droits en justice ».
Le tribunal a cependant indiqué que cet article du RGPD n’était pas invocable en l’espèce. En effet, selon le tribunal, les données personnelles de l’utilisateur avaient été collectées et traitées à la suite d’un incident afin (i) d’enquêter sur les faits et (ii) de se prononcer sur une éventuelle sanction mais puisque le gestionnaire du réseau social a conclu que les faits litigieux n’étaient pas le fait de la personne concernée, a rétabli le compte et n’a prononcé aucune sanction, les raisons qui ont motivé le traitement des données ont disparues et le traitement des données à caractère personnel n’est plus « nécessaire ». En outre, le tribunal a indiqué que, bien que l’existence d’un recours en justice d’un tiers ou de l’utilisateur est une possibilité, ce recours est « improbable », de sorte qu’il n’est pas possible de s’opposer à la suppression des données.
Compte tenu de ce qui précède, le tribunal a notamment ordonné au gestionnaire du réseau social de supprimer de ses bases de données les données relatives à l’existence d’un blocage temporaire et à l’existence de publications supprimées.