Le droit à l’oubli numérique

Avec près de 39 requêtes par seconde, le moteur de recherche Google s’est largement imposé comme le géant du traitement des données. Une situation de fait qui soulève divers problèmes juridiques et anime la doctrine depuis maintenant quelques années. Un sujet occupe toujours la place centrale des débats :

Qu’en est-il de la propriété des données personnelles ? Un internaute peut-il s’opposer au traitement de ses données personnelles ?

Le législateur, tant national qu’européen, a déjà tenté d’apporter une ébauche de solution. La législation de l’oubli (I) consacre donc un droit à l’effacement des données, se traduisant par une procédure pratique de l’oubli numérique (II).

I] La législation de l’oubli

1/ La loi informatique et liberté

Le législateur français a, dès 1978, à travers la loi « informatique et liberté », pris conscience des problèmes pouvant surgir lors d’un traitement informatisé de données personnelles. Est alors prévu dans l’article 36 de cette loi, le droit à l’effacement des données pour le titulaire du droit d’accès. Le législateur national reconnait alors une forme de droit à l’opposition dans la collecte des données, qui constitue la première pierre de l’édifice législatif français en matière de traitement des données.

Cette loi a ensuite été modifié par décret en 1991, pour autoriser la collecte, la conservation et le traitement dans les fichiers des services des renseignements généraux des informations nominatives relatives aux activités politiques, philosophiques, religieuses ou syndicales. Le décret précise que ces informations peuvent être recueillies lorsqu’elles sont relatives à des individus exerçant ou ayant exercé un mandat politique, économique, social ou religieux. Ces informations doivent permettre au Gouvernement ou à ses représentants d’apprécier la situation politique, économique ou sociale et de prévoir son évolution.

Puis en 2004, la loi n°2004-801 du 6 Août a transposé en droit français les dispositions de la directive 95/46/CE en matière de protection des données personnelles et a considérablement renforcé les pouvoirs de la CNIL.

Aujourd’hui, l’article 38 de cette loi prévoit que :

« Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Elle a le droit de s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur.

Les dispositions du premier alinéa ne s’appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte autorisant le traitement. »

Il faut donc justifier d’un intérêt légitime pour obtenir l’effacement judiciaire des données. Ce droit d’opposition cède cependant le pas devant un traitement autorisé par la loi, ou lorsque la personne a autorisé le traitement de ses données, de manière expresse.

L’article 40 de la loi prévoit en outre :

« Toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite. »

Cependant cet article dispose de diverses exceptions, concernant la liberté d’information ou l’intérêt public permettant de refuser l’effacement ou la modification des données.

2/ La décision Google Spain du 13 mai 2014 C-131/12

En 2010, l’expert judiciaire espagnol M. Mario Costeja González, a introduit auprès de l’Agencia Española de Protección de Datos, l’agence espagnole de protection des données, une réclamation à l’encontre de La Vanguardia Ediciones SL, l’éditeur d’un quotidien largement diffusé en Espagne, ainsi qu’à l’encontre de Google Spain et de Google Inc.

  1. Costeja González faisait valoir qu’une requête sur son nom dans le moteur de recherche de Google affichait des liens vers deux pages du quotidien de La Vanguardia, datées de janvier et mars 1998. Ces pages relataient une vente aux enchères immobilière organisée à la suite d’une saisie destinée à recouvrer les dettes de sécurité sociale dues par M. Costeja González.
  2. Costeja González demandait, d’une part, qu’il soit ordonné à La Vanguardia soit de supprimer ou de modifier les pages en cause afin que ses données personnelles n’y apparaissent plus, soit de recourir à certains outils fournis par les moteurs de recherche pour protéger ces données.

D’autre part, M. Costeja González demandait qu’il soit ordonné à Google Spain ou à Google Inc. de supprimer, ou d’occulter, ses données personnelles afin qu’elles disparaissent des résultats de recherche et des liens de La Vanguardia.

  1. Costeja González affirmait que la saisie dont il avait fait l’objet avait été entièrement réglée depuis plusieurs années et que la mention de celle-ci était désormais dépourvue de toute pertinence.[1]

Amenée à connaitre de ce litige, la Cour de Justice de l’Union Européenne s’est alors prononcée en faveur du particulier espagnol. Dans son arrêt remarqué du 13 mai 2014, C-131/12, la Cour décide quatre enseignements [2] : «

1/ Les exploitants de moteurs de recherche sont des responsables de traitement au sens de la directive 95/46/CE sur la protection des données personnelles. En effet, l’activité d’un moteur de recherche consiste à indexer automatiquement des informations publiées sur Internet et à les mettre à disposition des internautes selon un ordre de préférence donné. Cette activité s’ajoute ainsi à celle des éditeurs de sites web et est susceptible de porter atteinte aux droits des personnes.

2/ La CJUE retient une conception large de la notion d’établissement, et, de ce fait, que la directive s’applique à Google. En l’espèce, les droits et obligations prévus par la directive européenne s’appliquent donc à Google en Espagne, puisque la filiale de Google en Espagne assure, dans cet Etat membre, la promotion et la vente des espaces publicitaires sur le moteur de recherche, afin de rentabiliser le service offert par le moteur de recherche.

3/ Une personne peut s’adresser directement à un moteur de recherche pour obtenir la suppression des liens vers des pages web contenant des informations portant atteinte à sa vie privée. Elle n’a pas à s’adresser préalablement à l’éditeur du site Internet.  De même, ce droit peut être exercé alors même que la publication des informations sur les sites concernés serait, en elle-même, licite. En effet, un traitement initialement licite peut ne plus l’être lorsqu’avec le temps et l’évolution des finalités pour lesquelles les données ont été traitées, les informations ont perdu leur caractère adéquat et pertinent ou apparaissent désormais excessives.

4/ Un tel droit n’est cependant pas absolu. Si le droit au respect de la vie privée et à la protection des données personnelles garanti par la Charte des droits fondamentaux de l’UE prévaut sur l’intérêt économique du moteur de recherche, la suppression de telles données doit être appréciée au cas par cas. Cette analyse se fera en fonction de la nature de l’information, de sa sensibilité pour la vie privée de la personne concernée et de l’intérêt pour le public à la recevoir, en raison notamment du rôle joué dans la vie publique par cette personne. »

3/ Règlement (UE) 2016/679 du parlement européen et du conseil du 27 avril 2016

L’Union européenne, consciente des nombreux litiges sur le traitement des données personnelles a consacré à l’article 17 de son règlement 2016/679 du 27 avril 2016, un « droit à l’effacement ».

Cette disposition reprend en substance les termes de la loi informatique et liberté. Elle énonce le droit par la personne concernée d’obtenir du responsable du traitement des données l’effacement de ses données à caractère personnel. Le texte met alors une obligation d’effacement à la charge du responsable de traitement. Le texte dispose des motifs selon lesquels les données doivent être effacées : les données ne doivent plus être nécessaires au regard des finalités pour lesquelles elles ont été collectées, ou bien la personne concernée doit avoir retirer son consentement sur lequel est fondé le traitement, ou les données ont fait l’objet d’un traitement illicite.

C’est ici le caractère communautaire du texte, et donc sa force supérieure à la loi nationale dans la hiérarchie des normes qui représente le plus grand point fort de ce texte. L’applicabilité du droit à l’oubli s’étend donc à tous les Etats membres de l’UE.

4/ Loi pour une république numérique

La législation française est amenée à évoluer. La « loi pour une république numérique » n°2016-1321 du 7 octobre 2016, prévoit une possibilité de récupération de ses données par le consommateur.

Il est prévu un droit de disposer, « en toutes circonstances », des données concernant la personne[3]. Ce droit à disposer de ses données s’inscrira dans le Code de la consommation, lorsque le décret d’application de la loi entrera en vigueur, en mars 2017 [4].

II] Comment se faire oublier

1/ Pour les personnes physiques

Suite à l’affaire Google Spain c/ Costeja González, Google a mis en place un formulaire de retrait des données, disponible à l’adresse suivante :

https://support.google.com/websearch/troubleshooter/3111061?hl=fr

Cette procédure simple permet au particulier de signaler à Google les informations qu’il souhaite voir retirées des résultats des recherches.

(Si la demande porte sur un autre moteur de recherche que Google, la CNIL met en ligne, sur son site, les différents liens et contacts pour suivre une procédure similaire = https://www.cnil.fr/fr/le-droit-au-dereferencement )

Mais la suppression du lien par Google ne signifie pas la disparition des données d’Internet. Le lien sera supprimé de la liste des résultats du moteur de recherche, mais les données resteront présentes sur le site internet.

Il faudra, pour supprimer définitivement les données, contacter le webmaster du site contenant les informations litigieuses et lui demander le retrait de celles-ci. Il est aussi possible de contacter l’hébergeur du site internet, afin de lui signaler que le site qu’il héberge contient des données litigieuses.

La CNIL est, en France, l’autorité administrative compétente pour connaître des litiges de suppression des liens. Cette dernière met à disposition des particuliers des modèles de courriers afin de prendre contact avec le webmaster ou l’hébergeur :

https://www.cnil.fr/modeles/courrier

Et permet aussi l’exercice d’une plainte si les tentatives de résolution amiable se soldent par des échecs :

https://www.cnil.fr/fr/plaintes/internet

La CNIL insiste sur le fait que la demande de déréférencement doit concerner les requêtes sur les NOMS et PRENOMS uniquement. La plainte ne sera pas efficace si les liens que vous souhaitez supprimer sont accessibles par une requête contenant un autre mot clé, accolé à votre NOM et votre PRENOM.

2/ Pour les personnes morales

La question est ici épineuse, l’arrêt Google Spain et les dispositions, tant nationales qu’européennes, ne concernent que les personnes physiques. Les personnes morales peuvent néanmoins elles aussi souffrir d’une atteinte à leur e-réputation et vouloir faire déréférencer certaines données. Il est toujours possible de demander au webmaster de retirer le contenu litigieux, et de s’adresser à l’hébergeur en cas de refus du webmaster.

Mais en cas de refus de l’une et l’autre de ces personnes, la personne morale devra agir selon les voies de recours classiques : l’action en diffamation, en dénigrement ou pour injures (articles 29 et suivants de la loi du 29 juillet 1881 sur la liberté de la presse).

Il est aussi possible d’agir sur les fondements issus du droit de la propriété intellectuelle comme le droit d’auteur (article L 111-1 et suivants du Code de la propriété intellectuelle) ou le droit des marques (articles L 711 et suivants du Code de la propriété intellectuelle). En outre, certaines entreprises se sont spécialisées dans la gestion de l’e-réputation et proposent des services d’optimisation des résultats Google afin de maitriser les résultats négatifs qui pourraient impacter la personne morale. Ces services sont payants, contrairement au formulaire mis en place pour les personnes physiques.

Besoin d’un conseil ? Contactez-nous.

[1]http://curia.europa.eu/juris/document/document.jsf?text=&docid=152065&pageIndex=0&doclang=FR&mode=req&dir=&occ=first&part=1&cid=259149

[2] https://www.cnil.fr/fr/decision-de-la-cour-de-justice-de-lunion-europeenne-les-moteurs-de-recherche-doivent-respecter-le

[3]https://www.legifrance.gouv.fr/affichTexte.do;jsessionid=44750E53D44BF70ECDF724F3321AED56.tpdila18v_3?cidTexte=JORFTEXT000033202746&categorieLien=id

[4]https://www.legifrance.gouv.fr/affichLoiPubliee.do;jsessionid=44750E53D44BF70ECDF724F3321AED56.tpdila18v_3?idDocument=JORFDOLE000031589829&type=echeancier&typeLoi=&legislature=14

En savoir + : 0608774582 (Nawal, Hugo ou Aurélie) / 0787857496 (Ariane) ou a7contact @ a7avocats.fr

Téléchargez : Droit-a-l-oubli-sur-internet-30012017
Abonnez-vous à notre newsletter.
Aimez. Partagez. Commentez cet article…