Alors que le règlement européen sur la protection des données personnelles est attendu pour janvier 2016, le droit à l’oubli numérique n’en finit pas de susciter la controverse. La solution du déréférencement apparaît comme une voie de compromis mais la question de son champ territorial reste posée.
Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie
Le droit à l’effacement est inscrit dans la loi « Informatique et Libertés » depuis 1978. On le retrouve également dans la directive européenne de 1995 sur la protection des données à caractère personnel (1). En effet, toute personne a la faculté d’exiger l’effacement des données personnelles la concernant qui seraient
« inexactes, incomplètes, équivoques, périmées ou dont la collecte, l’utilisation, la communication ou la conservation est interdite » (2)
ou « dont le traitement n’est pas conforme à la présente directive [de 1995], notamment en raison du caractère incomplet ou inexact des données ».
Droit à l’effacement bientôt élargi
Ce droit à l’effacement découle du principe selon lequel les données à caractère personnel doivent être traitées pour une finalité déterminée, légitime et transparente. C’est à ce titre que le responsable du traitement est tenu de les conserver « sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement » (3). Les données doivent ensuite être soit supprimées, soit « anonymisées ».
Cette notion d’effacement devrait s’élargir significativement avec la proposition de règlement européen (4) qui prévoit, dans sa dernière version, à l’article 17, que la personne concernée pourra également demander l’effacement lorsqu’elle aura retiré son consentement au traitement. Le projet européen indique que chaque personne disposera d’un contrôle renforcé de ses propres informations personnelles, pouvant ainsi décider quelles informations la concernant peuvent être communiquées à qui et
à quelles fins, lui offrant ainsi, comme le précise la Cnil (5), « la possibilité (…) de maîtriser ses traces numériques et sa vie – privée comme publique – en ligne » (6).
Ce “contrôle” recouvre également le droit d’être au courant du sort des données,
d’être informé de qui sait quoi sur soi et pour en faire quoi.
Faut-il y voir la consécration d’un droit à l’oubli numérique ? Ce sujet n’en finit pas
de susciter la controverse. Ses partisans font valoir que ce droit doit permettre à l’internaute d’« être oublié » afin que certaines données le concernant cessent de resurgir sur Internet. On peut comprendre qu’un individu ne souhaite plus que certains éléments de sa vie privée, publiés volontairement mais à un âge où l’on peut être inconscient des conséquences ou tout simplement dans un moment d’égarement, ou à son insu, puissent lui nuire, dans sa vie personnelle comme dans sa vie professionnelle (7). Les opposants au droit à l’oubli dénoncent quant à eux une invitation pour chacun
à réécrire son passé, à effacer les éléments gênants, à gommer les imperfections de
« son » histoire, sans tenir compte des autres intérêts en présence, notamment ceux
de la personne qui traite ou publie les données en cause, voire certains intérêts publics. Ils considèrent que le droit à l’oubli entre en conflit avec le droit à l’information et au traitement de données nécessaire à des fins statistiques, de recherche historique ou scientifique ou d’archive. Il peut heurter la liberté d’expression et la liberté de la presse. Il conduit également à déresponsabiliser l’internaute, lequel doit, selon eux, assumer pleinement les conséquences de ses actes, notamment la publication des informations le concernant.
Dans ce contexte, la solution du déréférencement ordonnée par la Cour de justice de l’Union européenne (CJUE) dans son arrêt du 13 mai 2014 (8) apparaît comme une voie de compromis, en quelque sorte une « forme » de droit à l’oubli. Il serait en effet inexact de parler de « droit à l’oubli » car la CJUE n’a pas ordonné à l’éditeur du journal espagnol en cause de supprimer l’information qui avait été publiée, mais elle a demandé à Google la désindexation du lien contenant l’information, considérant que l’internaute qui revendiquait l’effacement a droit « à ce que l’information (…) relative
à sa personne ne soit plus (…) liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom (…) » à certaines conditions.
L’arrêt de la CJUE : un compromis
Dans cette affaire très médiatisée, la CJUE, saisie de questions préjudicielles en interprétation par la juridiction espagnole, a procédé à un raisonnement en plusieurs étapes qu’il est intéressant de rappeler. Tout d’abord, la Cour a considéré que l’indexation et le stockage temporaire des données personnelles par un moteur de recherche afin de les mettre à disposition de ses utilisateurs, sous forme de listes de résultat, constituent un « traitement » de données personnelles au sens de la directive de 1995. Elle a ensuite retenu que Google est « responsable de traitement » dans la mesure où l’entreprise détermine les finalités et les moyens utilisés. Enfin, concernant le champ d’application géographique, les activités des filiales européennes de Google (dont Google Spain) sont indissociablement liées à la maison mère – de droit américain – étant donné que ces activités, relatives à la promotion et à la vente d’espaces publicitaires, contribuent à la rentabilité économique du moteur de recherche.
Les données ne sont pas effacées
Dans ces conditions, la Cour a admis qu’un particulier peut s’adresser directement à Google afin de demander la suppression des liens vers les pages de sites Internet tiers comportant des informations relatives à ces personnes. Cette décision suscite plusieurs observations. Tout d’abord, il faut constater que la mesure ordonnée n’exige pas d’effacer les données mais uniquement d’effacer le résultat affiché par le moteur de recherche de manière à ce que les informations relatives à un individu ne soient plus liées à son nom dans la liste des résultats du moteur de recherche. Dès lors, c’est simplement l’accès à l’information qui devient plus difficile mais l’information en elle-même est toujours disponible.
Par ailleurs, les juges invitent à apprécier, au cas par cas, si la demande de désindexation est légitime et justifiée. Ainsi, si l’information litigieuse, objet de la demande de déréférencement, présente un intérêt prépondérant pour le public, il ne faut pas faire droit à la demande de l’intéressé. Il en est de même si la conservation des données en cause s’impose à des fins historiques, statistiques ou scientifiques. Dès lors, on peut constater, à l’instar du député français Patrice Verchère (Les Républicains, ex-UMP), que : « Les responsabilités que la Cour fait peser sur Google sont capitales.
Il revient en effet au moteur de recherche d’examiner lui-même le bien-fondé de chaque demande, en recherchant l’équilibre entre droit à l’information du public et protection de la vie privée. Cette situation laisse transparaître un risque réel de substitution du juge par un acteur privé alors même que le respect de droits fondamentaux est en jeu » (9). Il s’ensuit inévitablement des risques de censure comme le démontre la suppression des articles publiés sur les sites web de The Guardian et de la BBC. Le premier concernait un arbitre qui aurait menti quant à la justification d’un pénalty. Le second visait un ancien patron qui aurait fait perdre à sa banque plusieurs milmilliards de dollars… Des articles pour lesquels on peut considérer que la question du droit du public à l’information se pose. Enfin, la question du champ territorial du déréférencement est ouverte, le moteur de recherche ayant décidé de supprimer uniquement les résultats de recherche qui apparaissent sur le site de l’Etat de la nationalité du requérant. Cette interprétation restrictive de l’arrêt de Strasbourg est vivement contestée, notamment par la Cnil qui considère que : « (Afin) d’assurer l’effectivité du droit au déréférencement tel que reconnu par la CJUE, le déréférencement devra être effectif dans toutes les extensions pertinentes, y compris .com. En effet, limiter le déréférencement aux extensions européennes des moteurs
de recherche en considérant que les utilisateurs effectuent généralement des requêtes à partir des extensions nationales du moteur ne garantit pas de manière satisfaisante
le droit des personnes tel que retenu par la CJUE » (10). Mais Google entend résister
à cette analyse et a déclaré le 30 juillet 2015 refuser de déférer à la mise en demeure qui lui a été délivrée par la Cnil en juin 2015 (11), lui contestant au demeurant toute compétence pour contrôler les informations mondialement accessibles. Google estime en effet que « aucun pays ne devrait avoir l’autorité de décider à quel contenu peut accéder quelqu’un, dans un autre pays ». La Cnil a indiqué, pour sa part, qu’elle regardera les arguments présentés par Google dans son recours gracieux et se réserve « la possibilité d’une phase répressive ». Afin de montrer sa bonne foi, Google n’a pas hésité à mettre en ligne un « rapport de transparence » dans lequel il recense les demandes de déréférencement « reçues et traitées » (12).
40.000 requêtes en France
Si l’on dresse le bilan (13) des opérations de déréférencement dans la suite de l’arrêt CJUE « Google Spain », Google aurait répondu favorablement à près de la moitié des 170.000 requêtes reçues – dont 40.000 pour la France. Par ailleurs, lorsqu’il répond négativement, le moteur de recherche précise que sa réponse serait motivée, dans
92 % des cas, par le fait que « l’information mise en ligne est en lien avec l’activité professionnelle de la personne ou qu’elle reste pertinente au regard de l’actualité ou
de la finalité du traitement ». Ainsi, la question centrale demeure : « Comment trouver
le juste équilibre entre le droit à l’oubli d’une personne et le droit à l’information du public ? ». C’est précisément la question posée au comité consultatif de Google qui tente d’y apporter des réponses dans un rapport remis le 6 février 2015 (14). @*