Droit à l’oubli : l’obligation de communication à l’ensemble des responsables de traitement et aux moteurs de recherche

Un abonné d’un opérateur de téléphonie a porté plainte auprès de l’autorité belge de protection des données (ADP) pour violation de l’exercice de son droit à l’oubli auprès d’un fournisseur de services d’annuaires, Proximus. En l’espèce, l’opérateur de téléphonie transmet à des partenaires offrant des services d’annuaires et de renseignements les coordonnées de ses abonnés. L’abonné a une première fois demandé à Proximus l’effacement de ses coordonnées, ce dernier a exécuté la demande et prévenu certains moteurs de recherche également. Néanmoins, Proximus n’ayant pas informé l’opérateur de téléphonie de la demande, le retrait du consentement n’était que partiellement effectif et les coordonnées de l’abonné ont été de nouveau transmises à Proximus, qui les a republiées dans son annuaire. À la suite de la plainte de l’abonné, l’ADP a sanctionné Proximus à une amende de 20 000 € et ce dernier a interjeté appel. La cour d’appel de Bruxelles, considérant le RGPD en lex generalis et la directive e-privacy en lex specialis, s’est tournée vers la Cour de justice de l’Union européenne afin d’éclaircir quelles sont les obligations des fournisseurs d’annuaires pour l’exercice du droit à l’oubli ainsi que l’articulation entre la directive e-privacy et le RGPD à ce sujet.

Le consentement de l’abonné : « un acte positif clair »

S’il est commun pour les opérateurs de téléphonie de transmettre les coordonnées de leurs abonnés à des services d’annuaire, cela ne peut se faire sans le consentement de l’abonné par un mécanisme d’opt-in et non d’opt-out. La Cour de justice rappelle que le consentement doit être spécifique à un traitement de données, éclairé, univoque et libre (RGPD, art. 4-11) « prenant la forme...