Limiter un traitement : bloquer sans supprimer

Une mention « traitement limité » apparaît sur la fiche. Pourtant, un export nocturne reprend les données et un moteur de recommandation continue à les utiliser. La décision juridique existe ; son effet opérationnel reste à démontrer. Pour mettre en œuvre la limitation, il faut identifier les opérations interdites, celles qui restent possibles et les chemins par lesquels les données circulent.

L’Art. 4(3) définit la limitation comme le marquage de données conservées afin de limiter leur traitement futur. Le marquage est donc un moyen : son efficacité dépend de ce que font réellement les applications. RGPD, Art. 4(2)–(3).

Partir d’une décision dont le périmètre est clair

L’Art. 18(1) prévoit quatre situations : exactitude contestée pendant la vérification ; traitement illicite lorsque la personne préfère la limitation à l’effacement ; données devenues inutiles au responsable mais nécessaires à la personne pour ses droits en justice ; opposition fondée sur l’Art. 21(1), pendant la vérification de la prévalence des motifs du responsable. RGPD, Art. 18(1)(a)–(d).

Le guide juridique de l’article 18 RGPD précise ces conditions. Ici, l’objectif est de transformer une demande qualifiée en consignes applicables. Ne demandez pas au développeur de déduire seul le périmètre d’une formule comme « geler le client ».

La décision doit désigner les données concernées, le motif, les usages à arrêter et l’événement qui permettra un réexamen. Une limitation peut porter sur un champ et ses résultats dérivés, sans fermer tout le compte. À l’inverse, bloquer une seule valeur d’écran peut être insuffisant lorsque plusieurs calculs en dépendent.

Attribuez un responsable à la décision et un responsable à l’exécution. La procédure de gestion des droits doit permettre de les joindre, de suivre les délais et de résoudre les incertitudes. Le DPO conseille et contrôle selon ses missions ; sa présence ne remplace pas l’équipe capable de modifier le traitement.

Conserver les données ne permet pas tous les usages

L’Art. 18(2) autorise la conservation. Les autres traitements sont limités aux cas prévus : consentement de la personne, constatation, exercice ou défense de droits en justice, protection des droits d’une autre personne physique ou morale, ou motifs importants d’intérêt public de l’Union ou d’un État membre. RGPD, Art. 18(2).

Une consultation est elle-même un traitement. Il faut donc examiner pourquoi un agent accède au contenu, au lieu d’autoriser indistinctement tous les salariés à lire les données sous prétexte qu’ils ne les modifient pas. De même, un intérêt commercial habituel n’est pas une exception supplémentaire à l’Art. 18(2).

La décision ne doit pas non plus entraîner une suppression automatique. Dans le cas de l’Art. 18(1)(c), la conservation peut précisément être nécessaire pour permettre à la personne de défendre ses droits. Articulez les tâches de purge avec le motif de limitation et réexaminez la durée lorsque ce motif évolue.

Pour les équipes, le livrable utile est une liste d’opérations : ce qui s’arrête, ce qui demeure conservé, ce qui nécessite une décision particulière. Une simple liste de personnes habilitées ne décrit pas ces différences.

Exemple : une compétence contestée dans un annuaire

Le scénario suivant est fictif. Un annuaire professionnel attribue au profil P-84 une compétence « restauration de mobilier ancien ». La personne conteste cette attribution et demande la limitation pendant sa vérification. L’annuaire accepte la limitation sur ce périmètre. Les coordonnées et une autre compétence non contestée restent en dehors de cette décision.

La valeur litigieuse alimente trois usages : une rubrique publique, un moteur qui suggère des professionnels selon leur compétence et un export destiné à un partenaire. Une copie est également conservée dans l’historique interne. La fiche de décision L-08 décrit les effets attendus :

Ce tableau ne déclare pas licites les autres activités de l’annuaire : il borne la limitation étudiée. La vérification de l’exactitude est conduite par les personnes habilitées pour traiter la contestation. Elle ne leur ouvre pas une autorisation de réutiliser la compétence à d’autres fins.

Dans ce cas, la limitation est mise en œuvre sur la donnée source et sur les usages qui en dépendent. L’historique demeure conservé avec un accès restreint. Le partenaire reçoit l’information appropriée et l’équipe suit sa prise en compte. Le responsable peut expliquer ce qui a été arrêté et ce qui est encore en cours de confirmation, sans prétendre maîtriser instantanément toutes les copies externes.

Vérifier chaque chemin de traitement

Commencez par l’application principale, puis examinez ses consommateurs : exports manuels, tâches planifiées, index de recherche, outils analytiques, interfaces et fichiers déjà transmis. Le même identifiant de personne peut avoir été transformé ; un blocage fondé uniquement sur le nom affiché risque de manquer des copies.

Pour l’annuaire fictif, la vérification du moteur doit porter sur la recherche de la compétence litigieuse. Constater que la rubrique publique a disparu ne montre pas que le moteur a cessé de l’utiliser. Un index ancien pourrait encore sélectionner P-84 même si la fiche visible est correcte.

Préparez des contrôles comprenant une opération concernée et une opération témoin hors périmètre. Vérifiez aussi le prochain traitement programmé, pas seulement une action manuelle immédiate. Les résultats doivent préciser la version, le périmètre et les limites de l’observation. Il s’agit d’une méthode proposée ; aucun test de votre logiciel n’est présenté comme déjà réalisé.

Si l’application ne sait pas bloquer l’usage concerné, le dossier ne peut pas être déclaré exécuté sur la seule promesse d’une évolution. Étudiez une mesure intermédiaire : retrait d’un export, suspension d’un connecteur ou isolation du périmètre, sans supprimer les données à préserver. La mesure choisie doit aussi être évaluée pour ses conséquences sur les autres personnes et les traitements nécessaires.

Propager la limitation aux destinataires

L’Art. 19 impose de notifier la limitation à chaque destinataire auquel les données ont été communiquées, sauf impossibilité ou efforts disproportionnés. Il prévoit aussi l’information de la personne sur ces destinataires lorsqu’elle la demande. Les éventuelles exceptions doivent être justifiables. RGPD, Art. 19.

Pour un sous-traitant, adressez une instruction qui permet de retrouver le périmètre et de bloquer les opérations visées. Demandez une confirmation suffisamment précise pour apprécier l’exécution ; « dossier pris en charge » ne prouve pas l’arrêt des usages. L’assistance à l’exercice des droits relève de l’Art. 28(3)(e). RGPD, Art. 28(3).

Un destinataire responsable de traitement distinct reçoit la notification au titre de l’Art. 19 ; il ne devient pas un sous-traitant du seul fait de cette notification. Identifiez son rôle et suivez la réponse sans lui attribuer fictivement les mêmes instructions contractuelles qu’à un prestataire.

Dans L-08, le suivi sépare donc trois faits : notification envoyée, réponse reçue et portée de la confirmation. Une absence de réponse ne vaut ni preuve d’exécution ni autorisation de poursuivre les exports. Le responsable relance et traite la difficulté selon les circonstances.

Préserver la restriction lors d’une restauration

Une sauvegarde antérieure à la décision peut contenir la compétence sans son statut de limitation. Si elle est restaurée puis remise immédiatement en service, les usages bloqués peuvent reprendre. La procédure doit donc réappliquer les décisions intervenues depuis la sauvegarde avant la reprise des opérations concernées.

Conservez les informations nécessaires pour retrouver ces décisions dans un dispositif qui ne disparaît pas avec la seule base restaurée. Définissez qui rapproche l’état restauré des restrictions applicables et qui autorise la remise en service. Le guide des sauvegardes et de l’effacement décrit le même besoin de maîtrise des états anciens.

Vérifiez également les files de tâches. Un export préparé avant le blocage ne doit pas partir après celui-ci simplement parce qu’il a déjà été calculé. Le contrôle porte sur les opérations effectivement exécutées, y compris celles différées par l’application.

Lever la limitation sans rejouer tous les anciens usages

L’Art. 18(3) impose d’informer la personne avant la levée d’une limitation obtenue sur le fondement du paragraphe 1. Il ne fixe pas un préavis universel de plusieurs jours. Organisez une information compréhensible avant la reprise et conservez la trace de cette étape. RGPD, Art. 18(3).

Dans notre scénario, l’examen établit finalement que la compétence avait été attribuée à tort. La réponse annonce la rectification et l’issue de la limitation avant sa levée. L’équipe retire la compétence erronée des données utilisées et corrige les éléments dérivés concernés ; elle ne remet pas simplement P-84 dans toutes les sélections précédentes. L’historique du traitement de la demande reste distinct de la donnée courante.

La clôture prévoit également la notification de la rectification aux destinataires selon l’Art. 19. Une levée de limitation n’autorise pas le partenaire à reprendre une valeur désormais reconnue inexacte. Les tâches préparées avec cette valeur sont annulées ou recalculées selon le besoin licite actuel.

D’autres issues sont possibles : une partie reste contestée, un autre motif justifie une conservation limitée, ou la demande se poursuit. Ne programmez pas une levée automatique après trente jours sans décision sur le motif. Les bonnes pratiques de l’article 12 aident à expliquer les mesures prises et les voies de recours lorsque la personne n’obtient pas satisfaction.

Ce qu’il faut retenir

• Une limitation doit produire un effet sur les usages, y compris les traitements différés.
• Définissez le périmètre sans bloquer indistinctement tout le compte.
• Préservez les données nécessaires et justifiez les opérations qui restent permises.
• La levée exige une information préalable et un contrôle des données et tâches remises en circulation.

FAQ

Peut-on supprimer immédiatement les données limitées ?

Pas comme réponse automatique. La limitation peut précisément servir à préserver les données pour les droits de la personne. Examinez son motif avant d’exécuter une purge.

Un simple drapeau en base suffit-il ?

Il peut être un moyen technique pertinent si toutes les opérations concernées le respectent effectivement. Vérifiez les exports, index, files et restaurations ; le libellé visible seul ne démontre pas cette efficacité.

Le dossier peut-il rester limité sans suivi ?

Désignez un responsable et un événement de réexamen adapté au motif. Le suivi ne signifie pas une expiration automatique : il permet de décider si la restriction doit rester, évoluer ou être levée régulièrement.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.