Article 18 RGPD : limiter le traitement des données

Une personne conteste une dette et demande de ne plus utiliser le montant litigieux pendant les vérifications. Une autre souhaite conserver une preuve que l’organisme allait supprimer. L’article 18 du RGPD peut imposer de limiter l’utilisation des données tout en les conservant. Il faut identifier le motif du gel et ce qu’il doit effectivement empêcher.

Identifier l’un des quatre cas de limitation

L’Art. 18(1) du RGPD donne à la personne le droit d’obtenir la limitation dans quatre situations distinctes.

La CNIL présente la limitation comme un droit à demander, notamment pendant l’examen d’une rectification ou d’une opposition. N’exigez pas le mot « limitation » si le message demande clairement de suspendre un usage ou de préserver des données. Inversement, toute correction d’adresse ne déclenche pas automatiquement un blocage général du dossier.

Pour qualifier une contestation d’exactitude, partez de la procédure de rectification. Pour une demande de préservation contentieuse, délimitez les pièces et la période : le droit ne commande pas de conserver indistinctement toutes les données de l’organisme.

Conserver les données, encadrer les autres usages

L’Art. 18(2) permet la conservation. Les autres traitements supposent le consentement de la personne ou répondent à l’un des motifs énumérés : constatation, exercice ou défense de droits en justice ; protection des droits d’une autre personne physique ou morale ; motifs importants d’intérêt public de l’Union ou d’un État membre.

Documentez l’usage exceptionnel envisagé et son rattachement à ces conditions. Une tâche commerciale habituelle ou la commodité d’un logiciel ne suffit pas. La limitation n’efface pas les obligations de sécurité et n’autorise pas un accès général aux données conservées.

Cas pratique : préserver une discussion avant sa purge

Exemple fictif. Atelier Objectif propose des stages de photographie avec un espace de discussion réservé aux participants. Après la clôture du stage, les échanges sont normalement supprimés suivant une durée interne de trente jours, choisie pour les derniers échanges pédagogiques. Ce délai illustre le scénario ; il ne constitue pas une durée légale des forums.

Le 6 septembre, Hugo demande de conserver une discussion précise dont la suppression est programmée le lendemain. Il explique vouloir préparer un recours contre un autre participant au sujet de propos le concernant. Il fournit le titre du fil et les dates, et demande expressément de ne pas effacer ces éléments. L’organisme n’a plus besoin de cette discussion pour son service ; elle reste cependant nécessaire à Hugo pour l’exercice de droits en justice.

La chargée des demandes retient l’Art. 18(1)(c). Elle n’a pas à décider si Hugo gagnerait son procès pour reconnaître la nécessité de préserver les éléments identifiés. Elle délimite en revanche le périmètre : dix-huit messages dans un fil, leurs auteurs, leurs dates et trois pièces jointes. Elle n’immobilise pas les discussions sans rapport des autres stages.

Le dossier de limitation renseigné

Cette fiche transforme la demande en mesures exécutables. La date de revue est une proposition d’organisation : elle permet de demander si la conservation reste nécessaire, sans donner à l’organisme un droit de faire disparaître la preuve au bout de trois mois. Le dossier doit évoluer selon la situation, les pièces pertinentes et les autres justifications éventuelles de conservation.

La conservation d’un fil impliquant plusieurs personnes ne signifie pas sa remise intégrale et immédiate à Hugo. La demande d’accès ou de copie doit être traitée séparément, avec prise en compte des droits d’autrui selon l’Art. 15(4). À ce stade, l’urgence porte sur la non-destruction des éléments.

Rendre le blocage effectif dans les systèmes

L’Art. 4(3) du RGPD définit la limitation comme un marquage des données conservées destiné à restreindre leur traitement futur. Un statut dans une application ne suffit donc pas si les exports continuent d’alimenter les usages interdits.

La fiche opérationnelle doit préciser :

1. les personnes et données concernées, sans geler les dossiers d’homonymes ;
2. le motif, les usages bloqués et les usages exceptionnels autorisés ;
3. les applications, copies, exports et prestataires concernés ;
4. la personne chargée de contrôler le résultat et les échecs éventuels ;
5. la condition qui conduira à réexaminer la limitation.

Notre guide du blocage technique d’une limitation développe les vérifications sur les flux. Le chiffrement peut contribuer à la protection ; il ne prouve pas seul qu’un traitement interdit est empêché.

L’Art. 19 exige de notifier la limitation aux destinataires, sauf impossibilité ou efforts disproportionnés. Préparez cette transmission avec la procédure de notification aux destinataires. Un sous-traitant doit aussi apporter l’assistance prévue par l’Art. 28(3)(e).

Échec découvert : les fichiers restent dans une autre purge

Dans le scénario, le technicien marque le fil comme protégé. Son premier contrôle retrouve les dix-huit messages, mais la liste de la tâche nocturne comporte encore les trois pièces jointes. Le marquage appliqué à la base des discussions ne protège pas leur stockage séparé. Dire à Hugo que la mesure est achevée serait inexact.

La chargée des droits fait suspendre la tâche concernée avant son exécution. Le technicien exclut ensuite les trois fichiers de cette purge et vérifie qu’ils restent accessibles aux seules personnes habilitées. Il relit la liste des suppressions prévues : aucun élément du périmètre limité n’y figure. Les autres données arrivées à échéance peuvent suivre leur sort normal une fois cette exclusion maîtrisée.

L’organisme conserve la confirmation du prestataire et le résultat du contrôle. Il informe alors Hugo du périmètre effectivement préservé, de la limitation des usages et du suivi prévu. Si le fournisseur ne pouvait pas isoler les fichiers à temps, il faudrait d’abord empêcher leur destruction, puis mettre en place une conservation protégée adaptée. La difficulté technique ne permettrait pas de laisser la purge se produire en attendant une réponse contractuelle.

Si des pièces avaient déjà disparu, il faudrait documenter cette perte, rechercher les possibilités licites de récupération et évaluer l’incident au regard des Art. 33 et 34. L’organisme ne devrait ni fabriquer les messages manquants ni annoncer une conservation complète. La présente hypothèse s’arrête à un défaut repéré avant suppression, corrigé avec des données encore disponibles.

Répondre rapidement et préparer la levée

Les Art. 12(3) et 12(4) encadrent la réponse et un éventuel refus : meilleurs délais, au plus tard un mois. Une prolongation de deux mois suppose la complexité ou le nombre de demandes ; la personne doit en connaître les motifs dans le premier mois. Ce délai de réponse ne doit pas vider la mesure de son utilité : une demande de préservation d’images bientôt supprimées exige une prise en charge adaptée à cette urgence.

Le RGPD ne fixe pas un délai technique universel de quelques heures ni une carence générale de quinze jours avant reprise. Fixez des priorités selon les opérations et les risques, et documentez les actions effectives.

L’Art. 18(3) impose d’informer la personne avant la levée. Expliquez la décision, le périmètre et la reprise envisagée. Une fin de gel ne doit pas relancer par défaut tous les usages : vérifiez la base légale, les autres droits exercés et les restrictions encore applicables. La méthode de levée d’un gel documentaire aide à contrôler le sort de chaque ensemble.

Dans la suite fictive du cas, Hugo confirme avoir obtenu les pièces nécessaires et ne plus avoir besoin de cette préservation. La chargée des droits vérifie les autres motifs éventuels de conservation, puis l’informe avant la levée. Le technicien retire le blocage du périmètre autorisé et contrôle le résultat de la suppression prévue. Il ne rouvre pas l’ancien fil à l’ensemble des participants : lever une protection contre la purge ne signifie pas republier les messages.

En revanche, une absence de réponse au point de suivi ne prouverait pas, à elle seule, que le besoin contentieux a disparu. Il faudrait examiner les circonstances disponibles et justifier la décision, plutôt que d’utiliser la date de revue comme une expiration cachée du droit.

Ne pas confondre avec l’opposition à la prospection

L’Art. 18(1)(d) renvoie à l’Art. 21(1). La prospection relève d’une règle spécifique : les Art. 21(2)/(3) imposent de cesser de traiter les données à ces fins après opposition. Il n’existe pas une mise en balance permettant de poursuivre exceptionnellement la prospection contre cette opposition.

Ne transformez donc pas une désinscription en « gel provisoire pendant instruction de nos intérêts commerciaux ». La demande peut être enregistrée de manière proportionnée pour que l’opposition reste respectée ; cela ne permet pas de reprendre les envois.

Ce qu’il faut retenir

• Qualifiez l’un des quatre cas prévus par l’Art. 18(1).
• Conservez les données concernées et bloquez les usages non permis par l’Art. 18(2).
• Contrôlez les copies et informez les destinataires conformément à l’Art. 19.
• Informez la personne avant toute levée ; ne confondez pas limitation et opposition à la prospection.

FAQ

Une rectification entraîne-t-elle toujours une limitation ?

La personne peut obtenir la limitation pendant la vérification de l’exactitude. Repérez cette demande, même formulée sans vocabulaire juridique. Le texte ne transforme pas toute correction en gel automatique de l’ensemble du dossier.

Les données limitées peuvent-elles être supprimées par la purge habituelle ?

Une purge doit être suspendue lorsqu’elle ferait échec à une limitation destinée à préserver les données pour les droits de la personne. Délimitez les données et réexaminez la mesure lorsque sa justification évolue.

Peut-on reprendre sans prévenir la personne ?

Non. L’Art. 18(3) prévoit une information préalable. Consignez l’envoi et vérifiez quelles opérations peuvent légalement reprendre.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.