Malgré des avancées de Google début mars dans la mise en oeuvre du droit à l’oubli, lui et tous les autres moteurs de recherche continuent d’avoir une large marge d’appréciation pour décider de donner – ou non – une suite favorable à la demande d’un internaute de rendre inaccessibles des pages le concernant.

Par Katia Duhamel, expert en droit et régulation des TICs

Face aux pressions de la Commission nationale de l’informatique et des libertés (Cnil) qui l’a mis en demeure
en juin 2015 (1) très fermement d’appliquer le droit à l’oubli pour toutes les extensions de son moteur de recherche
sans se limiter à l’Europe (.fr, .es, .uk, …), Google semble enfin consentir à faire un pas en avant en acceptant de restreindre l’accès aux pages web dites URL (2) dont le déréférencement lui a été demandé. Et ce, sur tous les domaines de recherche Google, y compris google.com. Il s’est également engagé à mettre en oeuvre ce changement rétroactivement, à toutes les pages qu’il a déjà déréférencées à la suite de la décision de la Cour de justice de l’Union européenne (CJUE) de mai 2014 (3). Cela n’a pas empêché Google de se voir infliger le 24 mars dernier par la Cnil une amende de 100.000 euros pour non respect de la mise en demeure de l’an dernier (voir https://lc.cx/Google100K€).

La longue résistance de Google
Le droit à l’oubli trouve un lointain ancêtre dans les lois d’amnistie ou le principe de prescription qui impose dans certaines circonstances de taire publiquement les fautes et les peines des citoyens, pour garantir paix et cohésion sociales (4). En revanche, la revendication individuelle « d’être oublié », rattachée aux règles de protection de la vie privée, n’a trouvé un écho important dans nos sociétés qu’avec l’explosion des usages numériques.
En France, où la loi « Informatique et libertés » prévoit un droit à l’accès et à la rectification des données ainsi qu’une durée de conservation, il est question, à partir
de 2009, d’inscrire le « droit à l’oubli numérique » dans la Constitution, à l’instar d’autres pays européens. Ainsi, à titre d’exemple, le tribunal constitutionnel fédéral allemand a reconnu un droit « à l’autodétermination informationnelle » dès 1983. En 2010, des publicitaires et des réseaux sociaux signent la charte française du « droit l’oubli numérique », mais ni Facebook ni Google n’y adhèrent. En mai 2014, la décision de la CJUE précitée ouvre largement la brèche en se fondant sur un article de la directive européenne « Protection des données personnelles » de 1995 pour exiger
de Google le déréférencement d’articles de presse remontant à 1998 et mentionnant
la vente sur saisie des biens appartenant au requérant, à l’époque lourdement endetté (5). Enfin, le projet de règlement européen sur la protection des données, qui n’est pas encore en vigueur mais dont la rédaction est aujourd’hui stabilisée, intègre plus explicitement un « droit à l’oubli ». Celui-ci prévoit que lorsqu’un individu ne souhaite plus que les données qui le concernent soient traitées, et dès lors qu’aucun motif légitime ne justifie leur conservation, ces données soient supprimées. Sous l’apparence de se plier à la décision de la CJUE et à grand renfort de communication médiatique, Google met en place dès mai 2014 un formulaire permettant aux internautes de demander le déréférencement de certaines données. De manière soit arbitraire, soit aléatoire, certains obtiennent de voir leur demande satisfaite, d’autres pas. Par ailleurs, Google choisit de ne prendre en considération les demandes des ressortissants de l’UE qu’en se limitant aux extensions européennes de son moteur de recherche. S’il est envisageable d’obtenir le déréférencement sur les sites européens du moteur de recherche, Google refuse de rendre inaccessibles les liens incriminés sur google.com.
Il suffit donc de surfer sur le site américain, pour retrouver toutes les données non accessibles sur les pages européennes et ainsi contourner le droit de l’Union européenne (8).

Pouvoir de sanction de la Cnil
La manœuvre excède la Cnil qui, le 21 mai 2015, prend une décision mettant en demeure la société Google de satisfaire, sous quinzaine, les demandes d’exercice
du droit à l’oubli sur toutes les extensions de son moteur de recherche. Google n’obtempère pas. Au contraire, en juillet, l’entreprise dépose un recours gracieux demandant le retrait de cette mise en demeure (9). Le 21 septembre 2015, la Cnil, soutenue par toutes les autorités européennes de protection des données personnelles, rejette le recours gracieux et somme le moteur de recherche de se conformer à la mise en demeure sous peine de sanction. La Cnil, qui peut imposer une amende d’un montant maximal de 150.000 euros, et, en cas de récidive, jusqu’à 300.000 euros, a donc finalement mis à exécution sa menace le 24 mars dernier : il en coûtera 100.000 euros à Google. L’Assemblée nationale a récemment adopté un amendement au projet de loi « République Numérique » qui pourrait porter le montant de ces amendes jusqu’à 20 millions d’euros ou à 4 % du chiffre d’affaires annuel mondial d’une entreprise si ce montant est plus élevé.

Là où le bât blesse encore
Le 4 mars dernier, sans doute plus soucieux de sa réputation qu’inquiet des menaces de sanctions pécuniaires qui ne représentent pas grand-chose pour le géant américain, Google annonce par la voix de son conseiller sur les questions relatives à la vie privée, Peter Fleischer : « A partir de la semaine prochaine, en plus de nos pratiques existantes, nous utiliserons également un signal de géolocalisation (comme une adresse IP) pour restreindre l’accès aux pages URL qui ne sont plus référencées, sur tous les domaines de recherche Google, dont google.com. Ce sera valable pour toutes les recherches menées à partir d’un pays où une personne a requis le retrait de certaines pages ». Et il ajoute : « Nous appliquerons ce changement rétroactivement,
à toutes les pages que nous avons déjà déréférencées en raison de la décision de la Cour européenne » (10).
Certes, la capitulation de Google s’agissant de la mise en oeuvre du droit à l’oubli sur le site google.com est une victoire pour la Cnil comme pour les internautes. Néanmoins, Google a précisé fin novembre 2015 avoir reçu plus de 348.000 demandes d’internautes pour le faire appliquer, mais il aurait refusé d’effacer de ses résultats plus de la moitié des liens mis en cause. En effet, l’effacement des liens demandé n’est pas automatique. Pour être acceptée, une demande de suppression soumise via le formulaire de droit à l’oubli doit répondre à différents critères :
• Elle doit émaner d’un individu ayant la nationalité de l’un des États-membres de l’Union Européenne.
• Il doit d’agir d’un particulier et non d’une entreprise ou d’un personnage public (bien qu’environ un quart des demandes concerne des professionnels).Par « personnage public », on entend des professions telles que présentateur télé, journaliste, politicien, dirigeant de grande entreprise ou artiste connu.
• Les résultats dont l’on souhaite la suppression doivent être considérés comme
« inadéquats, pas ou plus pertinents ou excessifs au regard des finalités du traitem-
ent ». Ce qui implique de justifier ces éléments auprès du moteur de recherche. Le 28 novembre 2014, la Cnil a communiqué treize critères permettant de bénéficier du droit
à l’oubli (11). Chacun de ces critères s’applique dans le respect des principes dégagés par la CJUE et en particulier à la lumière de « l’intérêt du public à accéder à l’information ».
La doctrine de la Cnil en la matière reflète la traditionnelle tension entre le désir d’oubli et le souhait de mémoire de nos sociétés, entre le droit à l’information – voire la liberté d’expression – et le droit au respect de la vie privée. Plus qu’une opposition entre les divers droits existants, il s’agit d’une conciliation et d’une recherche d’équilibre délicats. Il existe déjà une jurisprudence plutôt abondante, notamment via la CJUE et la Cour européenne des droits de l’homme (CEDH), concernant la conciliation des droits fondamentaux : par exemple concernant la conciliation du droit à l’information et du droit à la protection de la vie privée. Il est par ailleurs certain que l’Europe cultive un fort tropisme à l’égard du respect de la vie privée alors que la tradition juridique aux Etats-Unis est plus nettement en faveur de la liberté d’expression.
Si cette question n’est donc pas nouvelle, ce qui est inédit avec Internet c’est que la détermination délicate de cet équilibre revient au premier chef aux moteurs de recherche qui décident in fine de retirer ou pas les liens signalés. Face à ce pouvoir inédit des moteurs de recherche, l’internaute qui voit sa demande de déréférencement refusée peut certes, en France, porter plainte devant la Cnil pour faire valoir ses droits, la Cnil étant l’autorité administrative compétente pour juger les affaires liées aux données personnelles. Il peut également porter la question devant une juridiction de droit commun. A titre d’exemple, Google a été condamné pour la première fois en France par le tribunal de grande instance (TGI) de Paris par une ordonnance de référé du 19 décembre 2014 (12) pour avoir refusé une demande de déréférencement.

Recours possibles devant le tribunal
Une internaute avait constaté qu’une recherche sur Google avec son nom et son prénom renvoyait comme premier résultat vers un article du Parisien évoquant sa condamnation pour escroquerie à une peine de trois ans de prison, dont trois mois ferme, qui datait de 2006. L’entreprise américaine avait refusé de procéder à cet effacement. La plaignante s’était donc tournée vers la justice et a obtenu gain de cause, le TGI de Paris ayant finalement ordonné au géant du Net de retirer sous dix jours ces liens dans ses résultats de recherche. @