Article 19
Notification obligation regarding rectification or erasure of personal data or restriction of processing

Official
Texts
Guidelines Caselaw Review of
EU Regulation
Review of
Nat. Regulation

The GDPR

Article 19 sets up a notification obligation of the data controller that requires them to communicate to each data recipient any rectification, erasure or restriction of processing on the basis of Articles 16, 17 (1) and Article 18 of the Regulation.

The controller, however, can avoid this obligation if they prove that such communications is impossible or involves disproportionate effort.

The final compromise on the future Regulation supplements Article 18 with an obligation to inform the data subject of the identity of recipients when the data subject so requests.

The Directive

The Directive already required the states to guarantee to data subjects the right to obtain notification to third parties to whom the data have been disclosed of any rectification, erasure or blocking, unless this proves impossible or involves a disproportionate effort (see Article 12 c)).

Potential issues

This right is difficult to manage. It requires a perfect management of data transfers to third parties and strongly depends on the sustainability of those third parties (transformation, bankruptcy, etc.). The inability to escape it must however be objective and can not be confused with the lack of implementation of a transmission monitoring procedure.

Retour au sommaire
Regulation
1e 2e

Art. 19

The controller shall communicate any rectification or erasure of personal data or restriction of processing carried out in accordance with Article 16, Article 17(1) and Article 18 to each recipient to whom the personal data have been disclosed, unless this proves impossible or involves disproportionate effort. The controller shall inform the data subject about those recipients if the data subject requests it.

1st proposal close

Art. 13 

The controller  shall communicate  any rectification or erasure carried out in accordance with Articles 16 and 17 to each recipient to whom the data have been disclosed, unless this proves impossible or involves a disproportionate effort.

2nd proposal close

Art. 17b

The controller shall communicate any rectification, erasure or restriction of processing carried out in accordance with Articles 16, 17(1) and 17a to each recipient to whom the data have been disclosed (...) unless this proves impossible or involves disproportionate effort.

Directive close

Art. 12

Member States shall guarantee every data subject the right to obtain from the controller:

c) Notification to third parties to whom the data have been disclosed of any rectification, erasure or blocking carried out in compliance with (b), unless this proves impossible or involves a disproportionate effort.

37. - (1)  The controller shall at the request of the data subject rectify, erase or block data which turn out to be inaccurate or misleading or in any other way processed in violation of law or regulations.

(2) The controller shall at the request of the data subject notify the third party to whom the data have been disclosed of any rectification, erasure or blocking carried out in compliance with subsection (1). However, this shall not apply if such notification proves impossible or involves a disproportionate effort.

France close

Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

Art. 40

Version initiale

Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite.

(….).

Si une donnée a été transmise à un tiers, le responsable du traitement doit accomplir les diligences utiles afin de lui notifier les opérations qu'il a effectuées conformément au premier alinéa.

Art. 40

Modifié par la loi n°2018-493 du 20 juin 2018

Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite.

(...)

Si une donnée a été transmise à un tiers, le responsable du traitement doit accomplir les diligences utiles afin de lui notifier les opérations qu'il a effectuées conformément au premier alinéa.

II. — Sur demande de la personne concernée, le responsable du traitement est tenu d'effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l'offre de services de la société de l'information lorsque la personne concernée était mineure au moment de la collecte. Lorsqu'il a transmis les données en cause à un tiers lui-même responsable de traitement, il prend des mesures raisonnables, y compris d'ordre technique, compte tenu des technologies disponibles et des coûts de mise en œuvre, pour informer le tiers qui traite ces données que la personne concernée a demandé l'effacement de tout lien vers celles-ci, ou de toute copie ou de toute reproduction de celles-ci.

close