La CJUE précise que le responsable du traitement de données personnelles est tenu de prendre des mesures techniques et organisationnelles appropriées afin d’informer les moteurs de recherche sur internet d’une demande d’effacement par la personne concernée.Dans un arrêt rendu le 27 octobre 2022 (affaire C-129/21), la Cour de justice de l'Union européenne (CJUE) confirme que le consentement d’un abonné dûment informé est nécessaire aux fins de la publication dans un annuaire public de ses données à caractère personnel et qu’il s’étend à tout traitement ultérieur des données par des entreprises tierces actives sur le marché des services de renseignements téléphoniques accessibles au public et d’annuaires, pour autant que de tels traitements poursuivent la même finalité.
Ce consentement requiert une manifestation de volonté "libre, spécifique, éclairée et univoque" de la personne concernée, prenant la forme d’une déclaration ou d’"un acte positif clair" marquant son acceptation du traitement des données à caractère personnel la concernant. Toutefois, un tel consentement ne suppose pas que, à la date à laquelle il est donné, la personne concernée connaisse nécessairement l’identité de tous les fournisseurs d’annuaires qui traiteront ses données personnelles.
La CJUE rappelle également que les abonnés doivent avoir la possibilité de faire supprimer leurs données à caractère personnel des annuaires. Elle considère que la demande d’un abonné tendant à la suppression de ses données peut être considérée comme un recours au droit à l’effacement au sens du règlement 2016/679 du 27 avril 2016 (règlement général sur la protection des données - RGPD).
Elle précise ensuite qu’un responsable du traitement de données personnelles doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour informer les autres fournisseurs d’annuaires auxquels il a fourni de telles données du retrait du consentement de la personne concernée. Un tel responsable doit également veiller à informer l’opérateur de services téléphoniques qui lui a communiqué ces données à caractère personnel afin que ce dernier adapte la liste des données personnelles qu’il transmet automatiquement à ce fournisseur d’annuaires. En effet, lorsque différents responsables du traitement se fondent sur le consentement unique de la personne concernée, il suffit, afin que cette personne retire un tel consentement, qu’elle s’adresse à l’un quelconque des responsables du traitement.
La Cour conclut qu’un responsable du traitement est tenu, en vertu du RGPD, de veiller à prendre des mesures raisonnables afin d’informer les moteurs de recherche de la demande qui lui a été adressée par l’abonné d’un opérateur de services téléphoniques et visant à l’effacement de ses données personnelles.
