Article 19 : Obligation de notification concernant la rectification, l'effacement de données ou limitation du traitement
Sommaire
Introduction
L’article 19 du Règlement Général sur la Protection des Données (RGPD) impose au responsable du traitement (‘entité qui décide pourquoi et comment les données personnelles sont collectées, utilisées et gérées) une obligation de notification envers les personnes concernées et les destinataires des données. Cette obligation concerne toute rectification, effacement ou limitation du traitement des données à caractère personnel, effectuée suite à l’exercice par une personne de ses droits prévus par le RGPD.
Explication de l’article
Selon cet article, lorsque les droits d’une personne (comme le droit à la rectification, à l’effacement ou à la limitation du traitement) sont exercés et la demande correspondante traitée, le responsable du traitement doit informer chaque destinataire à qui les données personnelles modifiées ont été communiquées. Cette notification porte sur toute rectification, suppression ou limitation du traitement effectuée conformément aux articles 16, 17 (paragraphe 1) et 18 du RGPD.
Toutefois, cette obligation de notifier peut être écartée si elle s’avère impossible ou si elle exige des efforts disproportionnés, ce qui peut dépendre de facteurs techniques ou du coût de la notification par rapport au risque pour les droits de la personne concernée. Dans tous les cas, si la personne concernée le demande, le responsable doit lui fournir des informations sur les destinataires qui ont été informés.
Cet article assure ainsi que les données obsolètes, incorrectes ou limitées dans leur traitement ne circulent plus sans contrôle, ce qui protège les droits et la vie privée des personnes concernées dans les échanges de données à caractère personnel.
Texte original du RGPD
Le responsable du traitement notifie à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement effectué conformément à l’article 16, à l’article 17, paragraphe 1, et à l’article 18, à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés. Le responsable du traitement fournit à la personne concernée des informations sur ces destinataires si celle-ci en fait la demande.
Équivalent directive 95/46 CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données
Article 12
Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement: (…).
c) la notification aux tiers auxquels les données ont été communiquées de toute rectification, tout effacement ou tout verrouillage effectué conformément au point b), si cela ne s’avère pas impossible ou ne suppose pas un effort disproportionné
Équivalent de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi Informatique et Liberté)
Article 54
Modifié par l’ordonnance n° 2018-1125 du 12 décembre 2018
L’obligation de notification en cas de rectification ou d’effacement de données à caractère personnel ou la limitation du traitement s’exerce dans les conditions prévues à l’article 19 du règlement (UE) 2016/679 du 27 avril 2016.
Analyse des 3 textes qui précèdent
RGPD
- Obligation : le responsable de traitement doit notifier chaque destinataire des données en cas de rectification, effacement ou limitation du traitement (art. 19, en lien avec article 16, 17 §1, et 18).
- Exception : le responsable peut échapper à l’obligation si la notification est impossible ou implique un effort disproportionné.
- Nouveauté : obligation complémentaire d’informer la personne concernée de l’identité des destinataires si elle en fait la demande.
Le RGPD renforce donc l’obligation, en allant au-delà de la simple notification vers les tiers, en y ajoutant la transparence envers la personne concernée.
Directive 95/46/CE
- Obligation : les États membres devaient garantir que la personne concernée puisse obtenir que les tiers destinataires soient notifiés de toute rectification, effacement ou verrouillage.
- Exception : même limite que dans le RGPD : si cela est impossible ou suppose un effort disproportionné (art. 12, c)).
La Directive mettait déjà en place une base proche, mais laissait plus de marge d’interprétation aux États dans la transposition. Elle reposait sur le droit d’obtenir la notification, alors que le RGPD en fait une obligation directe du responsable.
La Loi Informatique et Libertés
- Transposition : article 40 Loi Informatique et Libertés
- Obligation : le responsable doit notifier les tiers destinataires en cas de rectification, effacement ou verrouillage.
- La France a donc clairement aligné son droit interne sur la Directive.
Ici, on retrouve une obligation similaire, mais sans l’élément de transparence directe envers la personne concernée(apporté plus tard par le RGPD).
Jurisprudences
Européennes
Décision affaire Energia verde S.p.A
L’affaire Energia Verde S.p.A. sanctionnée en Italie le 29 avril 2025 pour une amende de 100 000 euros concerne plusieurs manquements au RGPD, notamment en lien avec l’article 19. En effet, l’enquête a révélé qu’Energia Verde n’avait pas respecté les obligations de notification des destinataires des données en cas de rectification, d’effacement ou de limitation du traitement des données personnelles, comme l’exige l’article 19 du RGPD.