A la poursuite du droit à l’oubli et d’un équilibre par rapport aux autres droits fondamentaux

Le droit à l’oubli sur Internet – dont le droit au déréférencement sur les moteurs de recherche – n’est pas un droit absolu. Il s’arrête là où commencent d’autres droits fondamentaux comme la liberté d’informer – selon le principe de proportionnalité. Mais cet équilibre est à géométrie variable.

Fabrice Lorvo*, avocat associé, FTPA.

L’oubli est une préoccupation récente aux racines millénaires. C’est d’abord un concept auquel notre civilisation est rompue depuis le code de Hammurabi (1). Cependant, l’effectivité de l’oubli a été profondément remise en cause par la révolution numérique car la donnée devient aujourd’hui indéfiniment apparente sur les sites web et immédiatement accessible par les moteurs de recherche. Dès lors, le législateur comme le juge œuvrent pour adapter un droit à l’oubli (2) à l’outil numérique.

Conditions du droit au déréférencement
Deux arrêts ont été rendus le 24 septembre 2019 par la Cour de justice de l’Union européenne (CJUE) qui contribuent à en définir les modalités. Nous nous intéresserons à celui (3) qui apporte d’importantes précisions sur les conditions dans lesquelles une personne peut exercer son droit au déréférencement. Ce droit permet à une personne de demander à un moteur de recherche de supprimer certains résultats qui apparaissent à partir d’une requête faite avec son nom et son prénom lorsque ces résultats renvoient vers des pages contenant des informations sensibles la concernant (par exemple, sa religion, ses opinions politiques ou l’existence d’une procédure pénale). Cette suppression concerne uniquement la page de résultats et ne signifie donc pas l’effacement des informations sur le site web source. Les informations continuent d’exister, mais il est plus difficile et long de les retrouver.
Au regard des textes successivement applicables (4), et des enseignements de la jurisprudence « Google Spain » (5) de 2014, la CJUE apporte les précisions suivantes :

Les interdictions et les restrictions au traitement de certaines données, comme les exceptions prévues par les textes, s’appliquent à l’exploitant d’un moteur de recherche à l’occasion de la vérification qu’il doit opérer à la suite d’une demande de déréférencement. Le rôle du moteur de recherche est décisif dans la mesure où, techniquement, il permet de trouver immédiatement, dans l’océan des données disponibles sur Internet, toutes les informations sur une personne dénommée, et, en les regroupant, de constituer ainsi un profil. La cour rappelle que l’exploitant d’un moteur de recherche n’est pas responsable des données existantes, mais uniquement de leur référencement et de leur affichage dans une page de résultats suite à une requête nominative. Cet exploitant doit respecter la législation sur le traitement des données comme les éditeurs de sites web. Tout autre interprétation constituerait « une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel » qui sont garantis par les textes.

L’exploitant d’un moteur de recherche a l’obligation de faire droit à la demande de la personne concernée… sauf si des exceptions (prévues par les textes) s’appliquent. La CJUE rappelle que les Etats membres doivent garantir aux personnes concernées le droit d’obtenir du responsable de traitement l’effacement des données dont le traitement n’est pas conforme aux textes. De même, en cas de demande de déréférencement, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, des liens vers des pages web, publiées par des tiers et contenant des informations sensibles relatives à cette personne, même si lesdites informations ne sont pas effacées préalablement ou simultanément de ces pages web, et même lorsque leur publication en elle-même sur lesdites pages est licite. Enfin, la cour rappelle que le consentement de la personne au traitement de ce type d’information est nécessaire et qu’il n’existe plus à partir du moment où ladite personne demande le déférencement. Il n’est donc pas nécessaire de prouver que le référencement cause un préjudice.

Droit absolu et principe de proportionnalité
Ce régime extrêmement protecteur, eu égard à l’importance de l’impact d’une telle publication pour l’individu, connaît néanmoins une exception de taille. En effet, l’ingérence dans les droits fondamentaux d’un individu peut cependant être justifiée par l’intérêt prépondérant du public à avoir accès à l’information (6) en question. Le droit au déréférencement des données à caractère personnel n’est donc pas un droit absolu, il doit être systématiquement comparé avec d’autres droits fondamentaux conformément au principe de proportionnalité. En conséquence, le droit à l’oubli de la personne concernée est exclu lorsqu’il est considéré que le traitement desdites données est nécessaire à la liberté d’information. Le droit à la liberté d’information doit répondre à des objectifs d’intérêt général reconnu par l’Union européenne ou, au besoin, de protection des droits et des libertés d’autrui.

Droits fondamentaux et liberté d’informer
Lorsqu’il est saisi d’une demande de déréférencement, l’exploitant d’un moteur de recherche doit donc mettre en balance, d’une part, les droits fondamentaux de la personne concernée et, d’autre part, la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche. D’après la CJUE, si les droits de la personne concernée prévalent, en règle générale, sur la liberté d’information des internautes, cet équilibre peut toutefois dépendre de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que l’intérêt du public à disposer de cette information. Or, cet intérêt peut varier notamment en fonction du rôle joué par cette personne dans la vie publique, comme l’illustre la jurisprudence « Google Spain ».

Enfin, la CJUE aborde la question cruciale de la publication relative à une procédure judiciaire, notamment quand ces informations sont devenues obsolètes. Il s’agit des informations concernant une enquête, une mise en examen ou un procès et, le cas échéant, de la condamnation qui en a résulté. La cour rappelle que la publication de ces données est soumise à des restrictions particulières (7) et qu’elle peut être licite lorsqu’elle est divulguée au public par les autorités publiques. Cependant, un traitement initialement licite de données exactes peut devenir avec le temps illicite, notamment lorsque ces données apparaissent inadéquates, qu’elles ne sont pas ou plus pertinentes, ou sont excessives au regard des finalités du traitement ou du temps qui s’est écoulé. L’exploitant d’un moteur de recherche doit encore vérifier, au jour de la demande de déréférencement, si l’inclusion du lien dans le résultat est nécessaire à l’exercice du droit à la liberté d’information des internautes potentiellement intéressés par l’accès à cette page web au moyen d’une telle recherche. Dans la recherche de ce juste équilibre entre le droit au respect de la vie privée des personnes, et notamment la liberté d’information du public, il doit être tenu compte du rôle essentiel que la presse joue dans une société démocratique et qui inclut la rédaction de comptes rendus et de commentaires sur les procédures judiciaires, ainsi que le droit pour le public de recevoir ce type d’information. En effet, selon la jurisprudence (8), le public a un intérêt non seulement à être informé sur un événement d’actualité, mais aussi à pouvoir faire des recherches sur des événements passés, l’étendue de l’intérêt du public quant aux procédures pénales étant toutefois variable et pouvant évoluer au cours du temps en fonction, notamment, des circonstances de l’affaire : notamment « la nature et la gravité de l’infraction en question, le déroulement et l’issue de ladite procédure, le temps écoulé, le rôle joué par cette personne dans la vie publique et son comportement dans le passé, l’intérêt du public à ce jour, le contenu et la forme de la publication ainsi que les répercussions de celle-ci pour ladite personne ».

Outre l’actualité ou le passé définitif, une difficulté demeure pour les informations obsolètes ou partielles. Par exemple, qu’en est-il pour une mise en examen annoncée sur Internet qui a aboutie à un non-lieu ? Ou pour une décision de condamnation frappée d’appel ? L’apport nouveau et essentiel de cet arrêt du 24 septembre 2019 est que la CJUE considère que même si la liberté d’information prévaut, l’exploitant est en tout état de cause tenu – au plus tard à l’occasion de la demande de déréférencement – d’aménager la liste de résultats, de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle. Ce qui nécessite notamment que des liens vers des pages web comportant des informations à ce sujet apparaissent en premier lieu sur cette liste. Il s’agit là d’une précision essentielle, en théorie, mais qui peut s’avérer complètement inefficace en pratique. Pour apparaître dans les résultats, ces pages (sur la situation judiciaire actuelle) doivent… exister. Que se passe-t-il si des pages web ne comportent pas d’informations sur la suite de la procédure ? Souvent, la presse s’intéresse plus aux mises en examen qu’aux cas de nonlieu. La personne concernée devra-t-elle publier elle-même des pages web sur sa situation judiciaire actuelle ? Mais dans l’esprit du public, quelle force aura cette preuve pro domo (9) ? Devra-t-elle avoir recours à une agence de communication pour ce faire ? Enfin, les délais de traitement des demandes de référencement sont très longs, d’abord pour les moteurs de recherche puis au niveau des autorités de contrôle (la Cnil en France), et, pendant ce temps-là, les résultats de la recherche demeurent affichés ; le mal est fait. Avoir raison trop tard, c’est toujours avoir tort dans l’esprit du public.

Renverser la charge de la preuve ?
Dans ces conditions, pour ce type d’information d’une extrême sensibilité et, au moins, pour les personnes qui ne recherchent pas les suffrages du public, ne conviendrait-il pas de renverser la charge de la preuve ? D’imposer que l’exploitant du moteur de recherche ait l’obligation, à première demande, de déréférencer ces données ? Et s’il considère que la balance penche dans l’intérêt du public, l’exploitant devra saisir l’autorité de contrôle puis, en cas de refus, les tribunaux pour demander l’autorisation de re-référencer le lien. @

* Fabrice Lorvo est l’auteur du livre « Numérique : de la
révolution au naufrage ? », paru en 2016 chez Fauves Editions.

Pourquoi le droit au déréférencement est une « forme » de droit à l’oubli

Alors que le règlement européen sur la protection des données personnelles est attendu pour janvier 2016, le droit à l’oubli numérique n’en finit pas de susciter la controverse. La solution du déréférencement apparaît comme une voie de compromis mais la question de son champ territorial reste posée.

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie

Le droit à l’effacement est inscrit dans la loi « Informatique et Libertés » depuis 1978. On le retrouve également dans la directive européenne de 1995 sur la protection des données à caractère personnel (1). En effet, toute personne a la faculté d’exiger l’effacement des données personnelles la concernant qui seraient
« inexactes, incomplètes, équivoques, périmées ou dont la collecte, l’utilisation, la communication ou la conservation est interdite » (2)
ou « dont le traitement n’est pas conforme à la présente directive [de 1995], notamment en raison du caractère incomplet ou inexact des données ».

Droit à l’effacement bientôt élargi
Ce droit à l’effacement découle du principe selon lequel les données à caractère personnel doivent être traitées pour une finalité déterminée, légitime et transparente. C’est à ce titre que le responsable du traitement est tenu de les conserver « sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement » (3). Les données doivent ensuite être soit supprimées, soit « anonymisées ».

Cette notion d’effacement devrait s’élargir significativement avec la proposition de règlement européen (4) qui prévoit, dans sa dernière version, à l’article 17, que la personne concernée pourra également demander l’effacement lorsqu’elle aura retiré son consentement au traitement. Le projet européen indique que chaque personne disposera d’un contrôle renforcé de ses propres informations personnelles, pouvant ainsi décider quelles informations la concernant peuvent être communiquées à qui et
à quelles fins, lui offrant ainsi, comme le précise la Cnil (5), « la possibilité (…) de maîtriser ses traces numériques et sa vie – privée comme publique – en ligne » (6).
Ce “contrôle” recouvre également le droit d’être au courant du sort des données,
d’être informé de qui sait quoi sur soi et pour en faire quoi.
Faut-il y voir la consécration d’un droit à l’oubli numérique ? Ce sujet n’en finit pas
de susciter la controverse. Ses partisans font valoir que ce droit doit permettre à l’internaute d’« être oublié » afin que certaines données le concernant cessent de resurgir sur Internet. On peut comprendre qu’un individu ne souhaite plus que certains éléments de sa vie privée, publiés volontairement mais à un âge où l’on peut être inconscient des conséquences ou tout simplement dans un moment d’égarement, ou à son insu, puissent lui nuire, dans sa vie personnelle comme dans sa vie professionnelle (7). Les opposants au droit à l’oubli dénoncent quant à eux une invitation pour chacun
à réécrire son passé, à effacer les éléments gênants, à gommer les imperfections de
« son » histoire, sans tenir compte des autres intérêts en présence, notamment ceux
de la personne qui traite ou publie les données en cause, voire certains intérêts publics. Ils considèrent que le droit à l’oubli entre en conflit avec le droit à l’information et au traitement de données nécessaire à des fins statistiques, de recherche historique ou scientifique ou d’archive. Il peut heurter la liberté d’expression et la liberté de la presse. Il conduit également à déresponsabiliser l’internaute, lequel doit, selon eux, assumer pleinement les conséquences de ses actes, notamment la publication des informations le concernant.

Dans ce contexte, la solution du déréférencement ordonnée par la Cour de justice de l’Union européenne (CJUE) dans son arrêt du 13 mai 2014 (8) apparaît comme une voie de compromis, en quelque sorte une « forme » de droit à l’oubli. Il serait en effet inexact de parler de « droit à l’oubli » car la CJUE n’a pas ordonné à l’éditeur du journal espagnol en cause de supprimer l’information qui avait été publiée, mais elle a demandé à Google la désindexation du lien contenant l’information, considérant que l’internaute qui revendiquait l’effacement a droit « à ce que l’information (…) relative
à sa personne ne soit plus (…) liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom (…) » à certaines conditions.

L’arrêt de la CJUE : un compromis
Dans cette affaire très médiatisée, la CJUE, saisie de questions préjudicielles en interprétation par la juridiction espagnole, a procédé à un raisonnement en plusieurs étapes qu’il est intéressant de rappeler. Tout d’abord, la Cour a considéré que l’indexation et le stockage temporaire des données personnelles par un moteur de recherche afin de les mettre à disposition de ses utilisateurs, sous forme de listes de résultat, constituent un « traitement » de données personnelles au sens de la directive de 1995. Elle a ensuite retenu que Google est « responsable de traitement » dans la mesure où l’entreprise détermine les finalités et les moyens utilisés. Enfin, concernant le champ d’application géographique, les activités des filiales européennes de Google (dont Google Spain) sont indissociablement liées à la maison mère – de droit américain – étant donné que ces activités, relatives à la promotion et à la vente d’espaces publicitaires, contribuent à la rentabilité économique du moteur de recherche.

Les données ne sont pas effacées
Dans ces conditions, la Cour a admis qu’un particulier peut s’adresser directement à Google afin de demander la suppression des liens vers les pages de sites Internet tiers comportant des informations relatives à ces personnes. Cette décision suscite plusieurs observations. Tout d’abord, il faut constater que la mesure ordonnée n’exige pas d’effacer les données mais uniquement d’effacer le résultat affiché par le moteur de recherche de manière à ce que les informations relatives à un individu ne soient plus liées à son nom dans la liste des résultats du moteur de recherche. Dès lors, c’est simplement l’accès à l’information qui devient plus difficile mais l’information en elle-même est toujours disponible.
Par ailleurs, les juges invitent à apprécier, au cas par cas, si la demande de désindexation est légitime et justifiée. Ainsi, si l’information litigieuse, objet de la demande de déréférencement, présente un intérêt prépondérant pour le public, il ne faut pas faire droit à la demande de l’intéressé. Il en est de même si la conservation des données en cause s’impose à des fins historiques, statistiques ou scientifiques. Dès lors, on peut constater, à l’instar du député français Patrice Verchère (Les Républicains, ex-UMP), que : « Les responsabilités que la Cour fait peser sur Google sont capitales.
Il revient en effet au moteur de recherche d’examiner lui-même le bien-fondé de chaque demande, en recherchant l’équilibre entre droit à l’information du public et protection de la vie privée. Cette situation laisse transparaître un risque réel de substitution du juge par un acteur privé alors même que le respect de droits fondamentaux est en jeu » (9). Il s’ensuit inévitablement des risques de censure comme le démontre la suppression des articles publiés sur les sites web de The Guardian et de la BBC. Le premier concernait un arbitre qui aurait menti quant à la justification d’un pénalty. Le second visait un ancien patron qui aurait fait perdre à sa banque plusieurs milmilliards de dollars… Des articles pour lesquels on peut considérer que la question du droit du public à l’information se pose. Enfin, la question du champ territorial du déréférencement est ouverte, le moteur de recherche ayant décidé de supprimer uniquement les résultats de recherche qui apparaissent sur le site de l’Etat de la nationalité du requérant. Cette interprétation restrictive de l’arrêt de Strasbourg est vivement contestée, notamment par la Cnil qui considère que : « (Afin) d’assurer l’effectivité du droit au déréférencement tel que reconnu par la CJUE, le déréférencement devra être effectif dans toutes les extensions pertinentes, y compris .com. En effet, limiter le déréférencement aux extensions européennes des moteurs
de recherche en considérant que les utilisateurs effectuent généralement des requêtes à partir des extensions nationales du moteur ne garantit pas de manière satisfaisante
le droit des personnes tel que retenu par la CJUE » (10). Mais Google entend résister
à cette analyse et a déclaré le 30 juillet 2015 refuser de déférer à la mise en demeure qui lui a été délivrée par la Cnil en juin 2015 (11), lui contestant au demeurant toute compétence pour contrôler les informations mondialement accessibles. Google estime en effet que « aucun pays ne devrait avoir l’autorité de décider à quel contenu peut accéder quelqu’un, dans un autre pays ». La Cnil a indiqué, pour sa part, qu’elle regardera les arguments présentés par Google dans son recours gracieux et se réserve « la possibilité d’une phase répressive ». Afin de montrer sa bonne foi, Google n’a pas hésité à mettre en ligne un « rapport de transparence » dans lequel il recense les demandes de déréférencement « reçues et traitées » (12).

40.000 requêtes en France
Si l’on dresse le bilan (13) des opérations de déréférencement dans la suite de l’arrêt CJUE « Google Spain », Google aurait répondu favorablement à près de la moitié des 170.000 requêtes reçues – dont 40.000 pour la France. Par ailleurs, lorsqu’il répond négativement, le moteur de recherche précise que sa réponse serait motivée, dans
92 % des cas, par le fait que « l’information mise en ligne est en lien avec l’activité professionnelle de la personne ou qu’elle reste pertinente au regard de l’actualité ou
de la finalité du traitement ». Ainsi, la question centrale demeure : « Comment trouver
le juste équilibre entre le droit à l’oubli d’une personne et le droit à l’information du public ? ». C’est précisément la question posée au comité consultatif de Google qui tente d’y apporter des réponses dans un rapport remis le 6 février 2015 (14). @*

Christiane Féral-Schuhl, ancien bâtonnier du Barreau de Paris.
Elle est co-présidente de la Commission de réflexion sur le droit et les
libertés à l’âge du numérique, à l’Assemblée nationale.