Droit à l'oubli numérique : droit virtuel ou bien réel ?

Si le droit à l'oubli n'est pas nouveau, les frontières de cette notion ont continuellement été débattues et font toujours l'objet de nombreuses controverses. L'avènement du numérique, en démultipliant la quantité de données échangées et instantanément disponibles sur internet, n'a fait que renforcer l'intérêt porté à ce droit qui revêt désormais une importance cruciale.

La naissance du droit à l'oubli

Le droit à l'oubli est initialement un concept européen. Les premiers jalons d'un droit à l'effacement ont été posés par la loi informatique et liberté de 1978, mais aussi par la directive européenne 95/46 (Directive 95/46/CE du 24/10/1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ) dont l'article 12 b) (désormais abrogé) dispose que toute personne a un droit d'obtenir d'un responsable de traitement, l'effacement des données personnelles qui la concernent lorsque celles-ci sont incomplètes ou erronées.

Toutefois, ce droit à l'effacement a rapidement montré ses limites, notamment en raison des facultés de stockage des données sur internet qui dépassent largement les capacités humaines (C. Féral-Schuhl, Cyberdroit : le droit à l'épreuve de l'internet, Praxis Dalloz, édition 2018/2019). En effet, les moteurs de recherche peuvent conserver les données relatives à un individu pour une période quasi illimitée, et ce, sans faire la distinction entre celles qui mériteraient d'être référencées et celles qui ne devraient plus l'être.

Face à ce constat, l'idée de créer un véritable « droit à l'oubli » a suscité de nombreux débats, notamment entre les régulateurs et les entreprises du net.

La jurisprudence a toutefois permis de préciser les contours d'un droit au déréférencement, notamment à l'occasion de l'affaire Google Spain de 2014 (CJUE, GC, 13/05/2014, Google Spain SL et Google Inc. c. AEPD et M.C. González, C-131/12). En se fondant sur la directive de 1995, la Cour de justice de l'Union européenne (CJUE) affirme que les moteurs de recherche sont responsables du référencement des données personnelles apparaissant sur les pages web publiées par des tiers.

Par ailleurs, elle reconnaît également à l'internaute « le droit à ce que l'information (...) relative à sa personne ne soit plus (...) liée à son nom par une liste de résultats affichée à la suite d'une recherche effectuée à partir de son nom », dès lors que les informations qui les concernent sont « inadéquates, pas ou plus pertinentes ou excessives au regard des finalités du traitement en cause ». La Cour reconnaît ainsi aux internautes européens dont les données personnelles ont été indexées par un moteur de recherche, la faculté d'effacer le résultat obtenu par le moteur de recherche, et non les données elles-mêmes. En ce sens, le « droit au déréférencement » tel qu'affirmé par la CJUE n'équivaut pas au « droit à l'oubli » stricto sensu, dans la mesure où il rend seulement l'accès à l'information plus ardu. L'information sur le site internet source n'est donc pas supprimée, le contenu reste consultable en allant directement sur le site à l'origine de la diffusion.

C'est la solution retenue par le Règlement général sur la protection des données, entré en vigueur le 25 mai 2018 (« RGPD » cf infra).

Quelle est la réalité du droit à l'oubli ?

A la suite de l'affaire Google Spain de 2014, Google a mis en place un formulaire de requête en ligne permettant aux internautes de faire une demande de déréférencement. Lorsque Google est saisi d'une requête en déréférencement, le moteur de recherche effectue une analyse au cas par cas pour déterminer si le lien litigieux donne accès à des informations qui s'avèrent « inadéquates, pas ou plus pertinentes ou excessives au regard des finalités du traitement en cause».
Dans la négative, le requérant conserve la faculté d'exercer un recours devant la CNIL. Celle-ci examine à son tour le bien-fondé de la demande et peut, le cas échéant, contraindre le moteur de recherche à désindexer les liens concernés. En 2017, la CNIL a reçu 335 demandes de déréférencement (CNIL, 38^e rapport activité (2017).

Dans l'affirmative, le moteur de recherche ne supprime toutefois que les résultats qui apparaissent sur le site de l'État de nationalité du requérant. Or, cette restriction territoriale suscite des controverses. Selon la CNIL, le refus de Google de déréférencer les liens sur toutes les extensions du nom de domaine du moteur de recherche représente une violation des droits d'opposition et d'effacement reconnus aux personnes faisant l'objet d'un traitement de données personnelles, dans la mesure où les liens demeurent « accessibles à tout utilisateur effectuant une recherche à partir des autres extensions du moteur de recherche ».

La CNIL a ainsi déjà mis en demeure Google d'effectuer les déréférencements sur toutes ses extensions dans un délai de quinze jours (CNIL, décis. n°2015-047, 21/05/2015). De son côté, Google considère que les pouvoirs de la CNIL se limitent à la France et que celle-ci ne saurait valablement se prononcer sur les extensions des autres pays, soutenant qu'un déréférencement mondial serait excessif et limiterait la liberté d'expression.

La CJUE a été saisie par le Conseil d'État le 24 février 2017 pour se prononcer sur des questions préjudicielles ayant trait à la portée du droit au déréférencement et ses conditions de mise en œuvre (CE, Assemblée, 24/02/2017, n°391000).

Dans l'attente de la réponse de la Cour, l'avocat général de la CJUE a rendu un avis le 10 janvier 2019 aux termes duquel il donne partiellement l'avantage à Google en soutenant que « l'exploitant d'un moteur de recherche n'est pas tenu, lorsqu'il fait droit à une demande de déréférencement, d'opérer ce déréférencement sur l'ensemble des noms de domaine de son moteur ».

Contrairement à la CNIL qui s'est largement positionnée en faveur de l'« amnésie générale », il propose que le « droit à l'oubli » ne s'applique qu'en Europe, laissant ainsi la possibilité de consulter un contenu référencé en France depuis l'étranger. S'il n'est qu'indicatif, l'avis de l'avocat général revêt toutefois une importance majeure, car ses recommandations sont souvent suivies par la Cour.

Un sujet à controverses

Pour ses plus fervents partisans, tout l'intérêt du droit à l'oubli est de nous permettre d'éviter que certaines informations compromettantes de notre vie privée, publiées volontairement par nous-mêmes ou à notre insu par d'autres, puissent ressurgir et avoir un impact négatif sur notre vie privée ou professionnelle.

Comme l'affirme Pierre Kayser « l'oubli est une valeur essentielle, il tient à la nature même de l'homme et refuser un droit à l'oubli c'est nourrir l'homme de remords, qui n'a d'autre avenir que son passé, dressé devant lui comme un mur qui bouche l'issue »(Kayser, La protection de la vie privée, T.1, Protection du secret de la vie privée, Economica et Presses Universitaires d'Aix Marseille, 1984). Les internautes redoutent ainsi que leur identité ne reste indéfiniment associée à des comportements ou attributs qui, quel qu'en soient les motifs, leur ont un jour été imputés. En ce sens, chacun serait donc condamné à subir les stigmates du passé alors irrémédiablement ancrés dans la mémoire commune.

Les détracteurs du droit à l'oubli considèrent que des considérations d'ordre plus moral sont à prendre en compte dans la perspective de potentielles dérives liées à la manipulation de l'information collective. Ils dénoncent ainsi le risque que chacun décide de réécrire son passé, voire d'en effacer les éléments gênants (V. Reding, The EU Data Protection Reform 2012 : Making Europe the Standard Setter for Modern Data Protection Rules in the Digital Age, Innovation Conference Digital, Life, Design, Munich, 22 janvier 2012).

Du point de vue de l'articulation de ce droit avec d'autres droit ou libertés fondamentaux, la question ne fait pas non plus consensus. Dans l'arrêt Google Spain de 2014, la CJUE estime que l'activité de référencement des moteurs de recherche est susceptible « d'affecter significativement les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel ». Aussi le droit à l'oubli découlerait des droits à la vie privée et à la protection de ses données personnelles.

Néanmoins, le droit à l'oubli peut notamment se heurter au droit à l'information, à la liberté d'expression ou à la liberté de la presse. Dans l'arrêt précité, la CJUE rappelle que l'intérêt du public à trouver l'information l'emporte sur le droit de l'internaute dès lors que « pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question ».

Selon une approche plus didactique, le droit à l'oubli peut également porter atteinte au traitement de données nécessaire à des fins statistiques ou de recherche scientifique ou historique. Le droit à l'oubli ferait ainsi peser une menace sur le travail d'archive des historiens, en entraînant la disparition d'informations indispensables à la compréhension de certains événements historiques (Ass. nat, Commission de réflexion et de propositions sur le droit et les libertés à l'âge du numérique, C. Paul, C Feral-Schuhl, rapp. n°3119, Numérique et libertés : un nouvel âge démocratique, 9/10/2015).

Le droit à l'oubli impliquerait en effet de procéder au déréférencement de l'information litigieuse, ainsi qu'au retrait de la publication de ladite information du site dont elle provient. Aussi, certains militent en faveur d'un moyen de garantir que l'information originale sera toujours accessible en ligne en consultant directement le site source ou en réalisant une recherche avec d'autres termes.

La recherche d'un équilibre

L'application du droit au déréférencement est soumise au principe de proportionnalité : il s'agit de concilier les intérêts de la personne concernée par le traitement des données personnelles avec ceux des autres parties en présence. Ainsi, d'une part, le droit au déréférencement doit garantir l'effectivité du déréférencement des informations erronées ou datées qui sont publiées à l'égard des internautes, mais, d'autre part, il ne doit pas menacer la qualité de l'information accessible à ces mêmes internautes via les moteurs de recherche.

En pratique, il incombe au moteur de recherche d'examiner lui-même le bien-fondé de chaque demande, en mettant en balance le droit à l'information du public et le droit au respect de la vie privée. Comme le souligne le député Patrice Verchère, « cette situation laisse transparaître un risque réel de substitution du juge par un acteur privé alors même que le respect des droits fondamentaux est en jeu »(Droit à l'effacement sur Google : un député réclame des gardes fous, Next Inpact, 1 juill. 2014).

On peut en effet craindre que le moteur de recherche décide de supprimer unilatéralement des articles relevant du droit du public à l'information. Pour pallier à ce problème, certains militent en faveur de l'instauration d'une procédure contradictoire qui permettrait au demandeur, au moteur de recherche et à l'éditeur du site dont le déréférencement est réclamé de faire valoir leurs observations, notamment devant un juge en cas de désaccord.

La consécration du droit à l'oubli par le RGPD ?

Nouveau cadre européen concernant le traitement et la circulation des données à caractère personnel, le RGPD consacre expressément le « droit à l'effacement » et alimente de nouveaux débats, interrogeant notamment la portée d'un droit à l'oubli dont les fondations sont désormais posées.
C'est l'article 17 du Règlement qui dresse les contours du
« droit à l'effacement » : celui-ci permet à la personne concernée, sous certaines conditions, d'obtenir l'effacement de données personnelles la concernant, la cessation de la diffusion de ces données ainsi que l'effacement par des tiers des liens vers ces données ou de toute copie ou reproduction de celles-ci.
Le responsable du traitement a ainsi l'obligation d'effacer les données dans les meilleurs délais lorsque l'un des motifs suivants trouve à s'appliquer :
I. les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées ;
II. la personne concernée retire le consentement sur lequel est fondé le traitement et il n'existe pas d'autre fondement juridique au traitement ;
III. la personne concernée s'oppose au traitement et il n'existe pas de motif légitime impérieux pour le traitement ;
IV. les données à caractère personnel ont fait l'objet d'un traitement illicite ; et
V. d'une manière générale, lorsque le traitement ne respecte pas les dispositions du RGPD.
Toutefois, le « droit à l'oubli » n'est pas absolu et connaît en réalité de nombreuses exceptions. L'article 17§3 du Règlement prévoit en effet des dérogations lorsque le traitement est nécessaire à l'exercice du droit à la liberté d'expression et d'information, au respect d'une obligation légale, pour des motifs d'intérêt public dans le domaine de la santé publique, à des fins archivistiques, de recherche scientifique ou historique, statistiques ou encore, à la constatation, à l'exercice ou à la défense de droits en justice.
Précisons également que la loi pour une République numérique de 2016 prévoit un régime spécifique pour les mineurs, allant dans le sens d'un renforcement de leurs droits. Les personnes concernées peuvent ainsi obtenir, sur demande et dans les meilleurs délais, l'effacement de toutes les données personnelles collectées lorsqu'elles étaient mineures. En cas d'inaction de la part du responsable du traitement, elles peuvent saisir la CNIL qui dispose alors d'un délai très bref pour se prononcer.
En ayant la faculté de décider quelles informations personnelles seront utilisées et à quelles fins, chacun devrait désormais être plus à même d'exercer un droit de regard sur le traitement de ses propres données.
Enfin, l'amende historique de 50 millions d'euros infligée récemment par la CNIL à Google au titre du RGPD témoigne d'un durcissement des sanctions prononcées à l'encontre des entreprises qui manqueraient de transparence vis-à-vis du traitement des données de leurs utilisateurs. Si la décision n'a pas été rendue sur le fondement d'une violation du droit à l'oubli, la CNIL reproche à Google de « ne pas recueillir convenablement le consentement des utilisateurs » et condamne le fait que « les informations ne sont ni facilement accessibles, ni facilement compréhensibles ». La CNIL souligne le caractère continu et grave des infractions, tout en précisant que Google « dispose d'opérations de combinaisons au potentiel quasi illimité permettant un traitement massif et intrusif des données des utilisateurs »(Délib. CNIL n°SAN-2019-001 du 21/01/2019).