Bonjour aux administrateurs, j’ai trouvé de nombreux (beaucoup, beaucoup) sujets sur le RGPD, mais rien qui semblait contenir cette réponse. Je m’excuse si cela fait doublon.
J’utilise Discourse avec SSO, relié à un site d’adhésion plus vaste. J’essaie de comprendre quoi faire si un membre de mon site supprime son compte.
Normalement, je dirais : eh bien, je peux contacter Discourse pour anonymiser son profil Discourse, et cela règle le problème. Il est probablement acceptable que ses publications restent publiques, et je vais modifier mes CGU pour indiquer spécifiquement que si vous supprimez votre compte sur mon site, vos publications publiques sur le forum resteront sous un nom d’utilisateur anonyme. Cela semble correct.
Cependant, que se passe-t-il si une semaine plus tard, je reçois un e-mail de cette personne demandant, conformément au RGPD, que je supprime toutes ses données ?
Puisque j’ai déjà anonymisé son compte, comment puis-je déterminer quelles publications sur Discourse ont été créées par cette personne ?
Je ne peux pas, même en faisant de mon mieux, retrouver vos données car elles se trouvent dans un ensemble de données anonymisées. Si vous pouvez prouver que vous êtes le propriétaire des données, je serai ravi de les supprimer.
Comme cela représenterait un effort considérable pour l’utilisateur, la procédure s’arrête là. En vertu du RGPD, vous êtes tenu d’« oublier » un utilisateur et de supprimer toutes les données susceptibles d’être suivies ou associées à lui ; s’il ne peut pas le faire lui-même, personne ne le fera. Ceci est une interprétation très légère de la question, et si vous êtes vraiment inquiet sur le plan juridique, vous devriez toujours consulter un avocat.
Qu’en est-il des données non structurées ? J’ai vu récemment un cas sur un forum Discourse où un utilisateur a demandé la suppression de ses messages, car ceux-ci contenaient des détails permettant de l’identifier.
Oui, c’est exactement à cela que je pense. Et si quelqu’un publie un selfie ou son numéro de téléphone ? Ils suppriment leur compte sur mon site ; dans le cadre de ce processus (automatisé), leur compte Discourse est anonymisé… puis le lendemain, je reçois une demande de suppression au titre du RGPD. Je dois alors supprimer toutes leurs informations personnelles de mon site. Je me retrouve coincé.
J’aime bien cette idée, mais je doute qu’elle tienne la route dans le scénario que je décris ci-dessus.
Une autre option consisterait, au lieu d’anonymiser, à simplement les supprimer entièrement de Discourse. Bien sûr, le problème est que tous leurs anciens messages disparaissent, laissant des trous dans les sujets. Hmm. Je ne suis pas non plus très emballé par cette solution.
Hmm, je ne suis pas sûr de bien comprendre. Vous voulez dire que lorsque Discourse anonymise, il renomme le nom d’utilisateur anonymisé ? Si c’est le cas… alors je pourrais garder un journal de chaque anonymisation avec les noms d’utilisateur avant et après, afin d’avoir une trace. Ce n’est pas une mauvaise idée.
J’ai déjà reçu quelques demandes pour supprimer tous les messages de membres qui, heureusement, n’avaient pas encore été anonymisés… et je reçois régulièrement des demandes RGPD de type « oubliez-moi », actuellement 2 à 3 par mois. Mais étant donné que je suis basé en Europe et que j’ai une large base de membres européens, combiné au fait que ma communauté a de bonnes raisons d’être extrêmement sensible à la confidentialité… je pense qu’avoir une réponse solide et bien réfléchie à « comment gérez-vous les messages de mon forum » est extrêmement important. Actuellement, j’essaie de trouver cette réponse.
Voici un article d’un avocat néerlandais sur ce problème spécifique. Les passages en gras sont mis en évidence par mes soins.
Ce problème a déjà été reconnu lors de l’introduction du RGPD, et il est donc stipulé dans le droit à l’oubli qu’il ne s’applique pas si le traitement (c’est-à-dire la publication) est nécessaire à l’exercice du droit fondamental à la liberté d’expression (article 17, paragraphe 3 du RGPD). Cela signifie qu’un administrateur de forum peut, en principe, empêcher la suppression de messages. Un profil ou une inscription d’utilisateur ne relève pas de ce droit fondamental et doit donc être supprimé sur demande.
Un petit rappel amical : la plupart d’entre nous sur Meta ne sont pas avocats. Même les quelques utilisateurs qui le sont, ne sont pas vos avocats. Arnoud (de l’article lié par Richard) n’est pas votre avocat non plus.
Nous sommes heureux de discuter de l’aspect technique de la gestion des demandes d’effacement de données au titre du RGPD. Nous pouvons également aborder l’aspect gestion de communauté. En revanche, nous ne pouvons pas répondre aux questions juridiques. Pour cela, il faut faire appel à un avocat, et plus précisément à votre avocat. Un avocat qui connaît à la fois le RGPD et les spécificités de votre situation. Toute information fournie ici ne constitue pas, et ne doit pas être considérée comme, un conseil juridique.