Le droit à l'oubli

Source : https://www.la-croix.com/Culture/Nouvelles-technologies/Droit-a-l-oubli-debat-ethique-et-casse-tete-technique-2014-06-04-1161193

Selon le magistrat Y. Meneceur, « on est dans un monde de persistance de l'information, copiable et rediffusable à merci. ». Cette opinion se comprend très bien étant donné que dès lors que des données sont diffusées sur internet, il est très compliqué de les en retirer. Cependant, cette complexité est progressivement facilitée que ce soit par les acteurs d’internet ou par le droit. Cette progression apparait du fait de nouveaux comportements des personnes, que ce soient la publication de photos volées ou le revenge porn (c'est à dire, la diffusion d’images à caractère sexuel dans le cadre d’une revanche personnelle). Il est donc logique, que les utilisateurs demandent plus de garanties concernant la conservation de leurs données personnelles. Le droit leur donne parfois une réponse satisfaisante comme c’est le cas pour le revenge porn qui est devenu un délit. Cependant, le droit doit aussi prendre en compte les intérêts de l’ensemble des opérateurs d’internet et doit donc opérer un tri plus précis sur les différentes situations existantes. Ce tri plus précis nécessite le recours à la justice.

Aujourd’hui, les acteurs d’internet permettent la suppression de contenus publiés sans l’accord des personnes alors que le droit, pour sa part, oblige parfois au déréférencement quand il est demandé. Cette évolution est récente et se transforme constamment puisqu’elle répond à une nouvelle problématique qui demeure au centre des préoccupations. Cette question transparait même dans les potentielles évolutions à venir puisque dans le cadre de la réforme de la justice proposé par E. Dupond-Moretti, c’est un argument opposé par le président de l’Association des avocats pénalistes concernant les procès filmés et télédiffusés : comment faire usage de ce droit à l’oubli quand c’est un film qui se joue à la télévision, qui s’enregistre, qui se partage ?

Ce droit à l’oubli, est aussi un droit qui est l’objet d’une grande incompréhension. Pour certains, le droit à l’oubli ne serait qu’une réponse à des erreurs commises par les personnes qui seraient, quelque part, les complices involontaires du partage non désiré de données. Pour preuve le tweet de la Police Nationale qui tend à confondre victime et auteur d’une infraction avec cette formule malheureuse : « envoyer un nude, c'est accepter de prendre le risque de voir cette photo partagée ». Cette formule était accompagnée d’un spot de prévention qui précise : « Il a bien reçu ton nude. Tes amis, tes parents, tes camarades de classe, tes cousins, tes professeurs, tes voisins, ton boulanger, ton ex-petit ami, ton facteur, tes grands-parents, ta nièce aussi... ».

Pour rappel, le droit au déréférencement, plus connu sous le nom de droit à l’oubli, a fait une irruption détonante sur la scène publique puisqu’il n’est pas le fruit d’une loi nationale, ni d’une directive européenne mais il est le fruit d’une construction purement prétorienne. C’est le 13 mai 2014 que la Cour de Justice de l’Union Européenne (CJUE) créée le droit au déréférencement sur une interprétation des articles 12 et 14 de la directive CE 95/46. Cette directive européenne a vocation à protéger les personnes physiques à l’égard du traitement des données à caractère personnel et de leur libre circulation. Les articles 12 et 14 quant à eux traitent du droit à la rectification et du droit d’opposition au traitement de données à caractère personnel.

Ce droit au déréférencement, issu du droit de l’Union Européenne, se traduit en droit national par le droit à l’effacement des données à caractère personnel. Ici, en revanche, le législateur avait déjà prévu des dispositions concernant la protection des données personnelles dans la loi 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés qui sera modifiée notamment par la loi du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personne concernant le traitement des données personnelles.

Le droit au déréférencement ou droit à l’effacement, qu’est-ce que c’est ?

Ce droit, aussi appelé « droit à l'oubli », permet à toute personne d'obtenir d'un responsable de traitement la suppression des données à caractère personnel qui la concerne. Pour se faire, le déréférencement doit être demandé à l’exploitant qui peut refuser. En cas de refus, un choix s’ouvre aux personnes : soit il y a une saisine du juge judiciaire en référé, soit il y a une saisine de la Commission Nationale Informatique et Liberté (CNIL) afin d’obtenir ce déréférencement. Dans le cas où la CNIL clôture la demande de déréférencement (c’est-à-dire, lorsque la demande de référencement n’aboutit pas) il est possible de faire un recours auprès du Conseil d'État afin d’annuler la décision de la CNIL. Donc, in fine, on peut considérer que les deux ordres juridictionnels sont compétents en matière de déréférencement. Ce qui n’atténue pas la confusion inhérente à ce droit à l’oubli. Toutefois, les deux ordres juridictionnels tendent à avoir une réflexion analogue sur le contexte factuel et juridique avant de prononcer leur décision, ce qui tend à faciliter la lisibilité des décisions concernant ce droit. En effet, pour les deux ordres juridiques, il est nécessaire que la demande de déréférencement soit motivée par des données inexactes, inadéquates, non pertinentes ou excessives au regard des finalités du traitement. Ces demandes sont aussi justifiées lorsque les données ne sont pas mises à jour ou sont conservées pour une durée excessive. Les seules exceptions faites à ces motifs reposent sur la finalité de la conservation des données : historiques, statistiques ou scientifiques.

Pour déréférencer, il faut d’abord qu’il y ait eu référencement, mais le référencement c’est quoi ? Le référencement, c’est l’ensemble des différentes techniques utilisées pour améliorer la visibilité d'un site internet dans les pages de résultats affichées par les moteurs de recherche en réponse à des mots-clefs.  Le moteur de recherche va effectuer une recherche sur une quantité de données massives et portant sur toutes les données correspondantes aux mots clefs. Cette quantité de données massives, c’est ce qui est appelé les « Big Data » (il peut s’agir de photos, de vidéos, de liens vers des réseaux sociaux, d’articles de presses voire même de questions plus intrusives). Ce fait est critiquable bien que compréhensible pour les célébrités, comme l’illustre les interviews réalisées par Wired en collaboration avec des célébrités, mais c’est un fait qui s’applique aussi pour toutes les personnes qui ne tiennent pas à voir leurs données partagées sur les réseaux. Nous allons ici donc intéresser à l’apport ou plutôt la création par la CJUE d’un droit à l’oubli.

Un droit nouveau (Arrêt CJUE, 2014, affaire Google Spain).

Ce droit est apparu en France très tardivement suite à l’arrêt de la CJUE de 2014. Rappelons le fait qu’il n’y avait aucun précèdent dans la jurisprudence de l’Union Européenne au droit à l’oubli, il n’y avait pas non plus de textes qui y faisaient référence. La Cour se présente depuis plusieurs années comme un acteur dans la défense des données personnelles depuis la directive du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.

La question préjudicielle sur laquelle devait statuer la CJUE dans l’arrêt Google Spain du 13 mai 2014 concernait « les obligations incombant aux exploitants de moteurs de recherche en matière de protection des données à caractère personnel ». La Cour a conclu que « l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichés à la suite d’une recherche nominative, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite ». Afin de soutenir son raisonnement, la CJUE a montré que la directive de 95 s’appliquait bien au cas d’espèce suite à plusieurs réserves de la doctrine concernant le fondement de son arrêt. Il incombe maintenant aux exploitants d’un moteur de recherche de rendre effectif ce « droit ».

L’exploitant devient responsable du traitement de données à caractère personnel, il lui incombe de supprimer sous certaines réserves la liste de résultats des liens vers des pages web, publiées par des tiers. La Cour donne quelques indications pour aider les moteurs de recherches à apprécier si une demande de déréférencement est valide ou pas. Le déréférencement est justifié lorsque les « données sont inexactes ». Il l’est aussi si elles sont « inadéquates, non pertinentes ou excessives au regard des finalités du traitement » et, enfin, si les données ne sont pas mises à jour ou qu’elles sont conservées pendant une durée excessive, « à moins que leur conservation s’impose à des fins historiques, statistiques ou scientifiques ». Ces critères laissent une marge de manœuvre importante pour les moteurs de recherches dans l’appréciation de la demande de déréférencement. Cela démontre que ce droit ne nous donne pas un réel contrôle sur nos propres données personnelles et que le refus ou non de notre requête de déréférencement est laissé au bon vouloir des exploitants de moteurs de recherche.

La Cour précise également le contour de ce « droit ». En effet un exploitant de moteur de recherche peut refuser une demande de déréférencement sous réserve d’un intérêt public. Pour toute demande, l’exploitant doit user de prudence et appliquer une balance des intérêts entre les droits de la personne et les intérêts des internautes à avoir accès à l’information. La CJUE a donc conclu en faveur de la personne concernée par le traitement de données personnelles, en faisant valoir, à première vue, « un droit à l’oubli ». Ce droit n’est cependant pas consacré par les textes et n’a pas de définition juridique précise. L’arrêt même de la CJUE n’y fait pas expressément référence. La Cour ne met pas en évidence un « droit à l’oubli ». Elle fait seulement référence à un « droit au déréférencement » et la nécessité de « réguler les activités des moteurs de recherche sous couvert du droit au respect de la vie privée et de la protection des données qui sont, eux, prévus par les textes européens ».

La portée géographique limitée de ce droit (Arrêt CJUE, 24 septembre 2019).

Le groupe des autorités européenne, G29 (Comité Européen à la protection des données) avait éclairci par un avis WP255 l’arrêt de 2014 de la CJUE sur la portée territoriale du droit à l’oubli. L’avis indique que pour permettre une protection effective des droits des personnes, le déréférencement ne devait pas être limité aux domaines de l’Union européenne. Cependant la Cour, semble faire volte-face et prend une décision différente dans ses deux décisions du 24 septembre 2014.

Dans sa deuxième décision, elle précise les contours géographiques du déréférencement. La Cour ne va pas totalement dans le sens voulu par la CNIL car elle limite le déréférencement au territoire Européen. La demande de déréférencement n’a pas de portée mondiale, cependant elle ne se cantonne pas au simple pays du demandeur mais doit être effective sur l’ensemble du territoire Européen. Elle indique par ailleurs que si ce droit n’impose pas le déréférencement mondial, elle ne l’interdit pas non plus et encourage les moteurs de recherche à prendre des mesures efficaces pour au moins décourager qu’un internaute européen puissent avoir accès aux liens déréférencés.

Chaque autorité compétente du pays du demandeur peut en plus obliger les moteurs de recherche à « déréférencer les résultats sur toutes les versions de son moteur si cela est justifié, dans certains cas, pour garantir les droits de la personne concernée. ». Suite à l’affaire Google Spain de 2014 et plus récemment suite aussi à l’arrêt de 2019, la France verra naître ce droit à l’oubli au sein de l’Europe puis au sein de son territoire. L’Union européenne lorsqu’elle parle de droit à l’oubli fait plutôt référence au droit de déréférencement. Ce droit à l’oubli est aujourd’hui codifié à l’article 17 du RGPD. Nous verrons qu’en France, la portée du droit à l’oubli numérique est calquée sur celui de l’Europe cependant on parle plus du droit à l’effacement.

La mise en œuvre d’un droit nouveau en France.

Comme le décrit Isabelle Falque-Pierrotin (ancienne présidente de la CNIL), le droit à l’oubli numérique « c’est un droit pour les internautes de faire disparaître d’Internet des données les concernant ». Pour contextualiser, la France ne possède pas une application optimale de ce droit. Ce n’est pas un droit ciblé car beaucoup de personnalités hétéroclites le revendique. Comme déjà explicité, le droit à l’oubli numérique prend appui sur les législations européennes. Ainsi la position de la France n’est pas encore effective sur ce point. Les premières revendications dateraient de 1965 bien avant la démocratisation du numérique. Les prémisses d’un droit à l’oubli se retrouvent dans la loi liberté et informatique de février 1978 modifiée notamment le 6 août 2004. Cette loi consacre 4 droits essentiels :

• droit à l’information,
• droit d’opposition,
• droit d’accès,
• droit de rectification.

Sur le plan du numérique, la structure générale est autre. C’est un système qui conserve des données à caractère personnel. L’infrastructure est construite de telle sorte que cette dernière conserve des données : le « Big Data ».  Mais au travers des utilisateurs d’Internet, on remarque que cette conservation des données possède des limites. La revendication de ce droit est en effet très récente. L’essor récent d’Internet n’a pas pu anticiper toutes les dérives possibles comme le rappelle le rapport du Conseil d’État 1998 : « Internet espace de liberté, n’est pas naturellement celui du droit ».

L’émergence de ce nouveau droit prend appui sur la position de la protection du droit des personnes garantie en France. En effet, pour que ce dernier soit inscrit en droit interne, il est nécessaire de rappeler que la personne humaine est au centre des acuités concernant la législation de protections des données personnelles. La France n’a pas exactement la même définition du respect à la vie privée que l’Europe. De plus, il est évidemment question de vie privée au sein du droit à l’oubli numérique. Sur Internet les frontières ne sont pas présentes. La protection de la vie privée est strictement consacrée à l’article 9 du code civil : « chacun a droit au respect de sa vie privée ». Pour le droit européen on retrouve cette notion à l’article 8 de la Convention européenne des droits de l’Homme : « toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. ». L’utilisation abondante des Big Data peut conduire à des dérives. Rappelons que la Big Data se définit comme un jeu de données conséquentes provenant surtout de nouvelles sources. L’ensemble des données numériques est tellement imposant qu’il est nécessaire d’avoir recours à un logiciel de traitement des données spécifique pour les conserver. Dans ce cas, conjuguer conservation des données et liberté d’expression n’est pas toujours aisé. Car la liberté d’expression bien qu’étant un droit fondamental peut conduire à une utilisation des données de manière excessive. 

Depuis l’arrêt Google de 2014, près de 54,9% des internautes français ont fait valoir ce droit. La France est le pays européen qui a fait le plus appel à ce droit. Le plus souvent, se sont des particuliers qui font appel à ce droit. Les sites concernés sont Google, Facebook, Twitter, etc. Le jugement de la chambre du tribunal de Paris du 6 novembre 2013 dans l’affaire Max Mosley c. Google France illustre la revendication de ce droit. La société est condamnée à retirer des images sur ledit demandeur pour une durée de cinq ans. Le Conseil d’État renvoi une nouvelle question préjudicielle au sujet de la mise en œuvre du droit au déréférencement. En effet il considère que la mise en œuvre de ce dernier pose différents problèmes d’interprétation en droit interne. Ce dernier rappelle aussi que Google doit nécessairement être jugé au regard de la loi informatique mais aussi qu’il assure la bonne application de la directive n°95/46/CE du 24 octobre 1995 sur le plan du droit national.

Autre particularité : le droit à l’oubli numérique des mineurs est plus strict. En effet, la nouvelle génération est plus encline à utiliser Internet en général et les réseaux sociaux en particulier. La loi du 7 octobre 2016 pour une République Numérique prévoyait une disposition les concernant. Le droit européen va prendre aussi le pas sur une disposition pour les mineurs. L’efficacité de ce droit reste encore à prouver. La France semble vouloir un droit à l’oubli présent car les enjeux du numérique sont conséquents. 

Auteurs : BOSSO Laëtitia ; GUERIN Cléa ; TOMAS BO Rémy.

BIBLIOGRAPHIE.

Normes juridiques et jurisprudences.

Droit national

• Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
• Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
• Loi n°2016-1321 du 7 octobre 2016 pour une République numérique.
• Article 9 du code civil.
• Tribunal de Paris, affaire Max Mosley c. Google France, 6 novembre 2013.

Droit européen

• Directive n°95/46/CE du 24 octobre 1995.
• Article 8 de la Convention européenne des droits de l’homme.
• CJUE, arrêt de la Cour (grande chambre) du 13 mai 2014, Google Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et Mario Costeja González.
• CJUE, arrêt de la Cour du 24 septembre 2019 dans l’affaire C-136/17.
• CJUE, arrêt de la Cour du 24 septembre 2019 dans l’affaire C-507/17.

Institutions et rapports.

• La CNIL, « Le droit à l’effacement : supprimer vos données en ligne » [En ligne] https://www.cnil.fr/fr/le-droit-leffacement-supprimer-vos-donnees-en-ligne (Consulté le 05/03/2021).
• La CNIL, « Droit au déréférencement : La CJUE a rendu ses arrêts » [En ligne] https://www.cnil.fr/fr/droit-au-dereferencement-la-cjue-rendu-ses-arrets (Consulté le 05/03/2021).

Ouvrages et lexiques.

• BALLE Francis, « Lexique d’information-communication », Lexique Dalloz, 2006, p. 371 [En ligne] https://dallozbndpro-pvgpsla5-dalloz-bibliotheque-fr.ezproxy.univ-perp.fr/fr/pvPageH5B.asp?puc=004312&nu=1&pa=1#382 (Consulté le 08/03/2021).
• FERAL-SCHUHL Christiane, Cyberdroit 2020/2021, Dalloz, Praxis Dalloz, 8e édition, 2020, p. 55 [En ligne] https://dallozbndpro-pvgpsla5-dalloz-bibliotheque-fr.ezproxy.univ-perp.fr/fr/pvPageH5B.asp?puc=005448&nu=28&pa=1#90 (consulté le 06/03/2021).

Articles de doctrine.

• DALLOZ, « Droit à l'effacement des données à caractère personnel », Fiches d’orientation, Septembre 2020 [En ligne] https://www-dalloz-fr.ezproxy.univ-perp.fr/documentation/Document?ed=enseignants&id=DZ%2FOASIS%2F001695 (Consulté le 03/03/2021).
• EDDE Rhéa, « Le droit : un outil de régulation du cyberespace ? Le cas du droit à l’oubli numérique », L'Homme & la Société, vol. 206, no. 1, 2018, pp. 69-94 [En ligne] https://www-cairn-info.ezproxy.univ-perp.fr/revue-l-homme-et-la-societe-2018-1-page-69.htm (Consulté le 03/03/2021).
• FABER Stéphanie, « Jurisprudence de la CJUE sur le droit au déréférencement par les moteurs de recherche », Droit du numérique, 17 octobre 2019 [En ligne] https://larevue.squirepattonboggs.com/jurisprudence-de-la-cjue-sur-le-droit-au-dereferencement-par-les-moteurs-de-recherche.html (Consulté le 03/03/2021).
• LEGICOM, « La consécration par la CJUE d’un droit de déréférencement par les moteurs de recherche : principe, exceptions et mise en œuvre », LEGICOM, 2015/1 (N° 54), p. 89-105 [En ligne] https://www.cairn.info/revue-legicom-2015-1-page-89.htm (Consulté le 03/03/2021).
• MUIR WATT Horatia, « La portée territoriale du droit au déréférencement : un exercice de proportionnalité dans l'espace », Revue critique de droit international privé, 2020, p. 334 [En ligne] https://www-dalloz-fr.ezproxy.univ-perp.fr/documentation/Document?ed=enseignants&id=REVDIP%2FCHRON%2F2020%2F0459 (Consulté le 03/03/2021).
• NAFTALSKI Fabrice, « Le droit à l’effacement », Juris Corpus Droit des associations et fondations, Étude 21 - Fichiers des associations et fondations, 2016 [En ligne] https://www-dalloz-fr.ezproxy.univ-perp.fr/documentation/Document?id=DZ%2FJURIS-CORPUS%2FASSOCIATIONS-FONDATIONS%2F2015%2FP04-E021%2FPLAN%2F0032 (Consulté le 03/03/2021).
• ROUSSEL Sophie, « Droit à l'oubli sur internet : le Conseil d'État donne un mode d'emploi », Gazette du Palais, n°12, 24 mars 2020, p.28 [En ligne] https://www-labase-lextenso-fr.ezproxy.univ-perp.fr/gazette-du-palais/GPL376a9 (Consulté le 03/03/2021).

Articles de presse.

• COCQUET Marion, « Christian Saint-Palais : "Éric Dupond-Moretti n’a pas renoncé à tout" », Le Point, 4 mars 2021 [En ligne] https://www.lepoint.fr/societe/christian-saint-palais-eric-dupond-moretti-n-a-pas-renonce-a-tout-04-03-2021-2416378_23.php (Consulté le 07/03/2021).
• FRANCEINFO, « "Sexting" : la police nationale retire un tweet de prévention après un tollé sur les réseaux sociaux », Franceinfo, 6 mars 2021 [En ligne] https://www.francetvinfo.fr/internet/reseaux-sociaux/sexting-la-police-nationale-retire-un-tweet-de-prevention-apres-un-tolle-sur-les-reseaux-sociaux_4322449.html (Consulté le 06/03/2021).
• GARAPON Antoine reçoit FALQUE-PIERROTIN Isabelle, « Le droit à l’oubli numérique », France Culture, 22 mars 2012 [En ligne] https://www.franceculture.fr/emissions/le-bien-commun-13-14/le-droit-loubli-numerique (Consulté le 04/03/2021).
• TUAL Morgane, « Droit à l’oubli :  la France en tête des demandes », Le Monde, 15 juillet 2015 [En ligne] https://www.lemonde.fr/pixels/article/2015/07/15/droit-a-l-oubli-la-france-en-tete-des-demandes_4684029_4408996.html (Consulté le 05/03/2021).