Le droit à l’oubli recouvre en réalité deux notions, le droit au déréférencement et le droit à l’effacement. Tous deux prévus à l’article 17 du Règlement général à la protection des données, ces procédés sont à distinguer puisque leurs effets sont différents. Le droit au déréférencement est un procédé technique visant à supprimer un ou plusieurs résultats fournis par un moteur de recherche à l’issue d’une requête effectuée à partir de l’identité (nom et prénom) d’une personne. Tandis que le droit à l'effacement permet à toute personne d'obtenir d'un responsable de traitement la suppression des données à caractère personnel qui la concerne lorsqu’il n’existe plus de raison légitime à les conserver.

L’accroissement des usages numériques induit des risques pour les utilisateurs. Les moteurs de recherche qui s’apparentent à une grande base de données ouverte sont une vraie mine d’or d’informations. Il arrive dans certains cas, que certaines d’entre elles puissent vous causer un préjudice et par la même occasion ternir votre réputation.

C’est ce qui a conduit la Cour de Justice de l’Union européenne à étendre le champ d’application du droit européen aux moteurs de recherches, en l’occurrence à Google, dans sa décision du 13 mai 2014.
Une série d’arrêts suivront afin de préciser les contours du droit au déréférencement.

Cependant, peut-on dire que les évolutions induites par cette décision consacrent une protection effective des personnes concernées ?


I. La définition des modalités de mise en ½uvre du droit au déréférencement

A. L’intervention de la CJUE dans la détermination de l’application de la Directive 95/46/CE aux moteurs de recherche

Afin de garantir une protection adéquate des personnes faisant l'objet d'un traitement de données par les moteurs de recherche, la CJUE a dû déterminer les responsabilités et devoirs de ces nouveaux acteurs au regard de la législation existante. Pour se faire, elle a d'abord procédé à la vérification de l'applicabilité de la directive européenne 95/46/CE (abrogée depuis l’entrée en vigueur du RGPD) aux moteurs de recherche.

Dans un premier temps, elle relève que les activités du moteur de recherche constituent des traitements de données puis, constate que son rôle dans la détermination des finalités et moyens du traitement, lui confère la qualité de responsable de traitement.

La Cour établit ainsi l’existence d’un lien de cause à effet entre les résultats indexés par le moteur de recherche dans le cadre de ses activités et les atteintes à la vie privée dont sont victimes les personnes concernées. ?Ce raisonnement adopté par la Cour témoigne de sa volonté de réguler les activités du moteur de recherche.

Dans un second temps la Cour doit déterminer si la localisation de Google n’empêche pas l’application de la Directive 95/46/CE. Pour se faire, elle analyse si l’entreprise remplie une des trois conditions fixées par la directive. La Cour se livre alors à une réécriture du considérant 19 de la directive et procède à la qualification d’établissement stable de Google Spain, et conclut ainsi par la positive.

Depuis cette décision, les moteurs de recherche se sont dotés de formulaire de demande de désindexation et ont pour obligation de traiter les demandes dans un temps imparti. Il vous est donc possible de demander aux moteurs de recherche de déréférencer un résultat qui porterait atteinte à votre vie privée.


B. La définition des critères d’évaluation du droit au déréférencement

En vertu de la Directive 95/46/CE, les Etats membres garantissent aux personnes concernées le droit d’obtenir du responsable de traitement, en l’occurrence le moteur de recherche, l’effacement, la rectification ou le verrouillage des données dont le traitement n’est pas conforme à la directive, notamment en raison du caractère incomplet ou inexact des données.

A travers cette décision, la CJUE définit les critères qui devront permettre aux moteurs de recherche de statuer sur une demande de déréférencement.

Le droit à l’oubli n’est en effet pas un droit absolu. Une appréciation au cas par cas devra être effectuée par les moteurs de recherche. Cette appréciation consiste à trouver un équilibre, dans chaque cas, entre la protection de la vie privée et des données du demandeur, d’un côté, et le droit à l’information des internautes et de la presse, de l’autre.

Ainsi « l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite ».

Précisé par la jurisprudence de 2019, cet examen devra se faire à la lumière d’autres critères que sont la notoriété et la fonction de la personne concernée, il s’agira de déterminer si c’est une personne publique. L’âge de la personne concernée, notamment son âge au moment de la publication, mais aussi la nature des contenus (les informations publiées sont de nature professionnelle ?) en cause leur caractère plus ou moins objectif, leur exactitude, de s’interroger sur leurs sources.

Le responsable de traitement devra également vérifier les conditions et la date de mise en ligne des contenus, et enfin les éventuelles répercussions que leur référencement est susceptible d'avoir pour la personne concernée (par exemple si la personne rencontre des difficultés à obtenir un prêt car un article concernant d’anciennes insolvabilités est en ligne).  

 

II. Les évolutions et les limites de la pratique du droit au déréférencement/du droit à l’oubli

A. Les limites de la portée territoriale

A la suite d'un différend opposant Google Inc. et la CNIL, le Conseil d'Etat saisi d'une question préjudicielle la CJUE afin de déterminer la portée territoriale du droit au déréférencement. Autrement dit, s’arrête-t-il aux frontières de l’Union européenne ?

En réponse à cette question, la portée et les limites du droit au déréférencement ont été précisées par la CJUE dans deux nouveaux arrêts du 24 septembre 2019.

A travers l'un de ses deux arrêts, la CJUE répond et considère que le droit au déréférencement doit être respecté dans les États membres de l’Union européenne. Il n’est pas contraignant pour les autres pays. Un moteur de recherche qui reçoit une demande de déréférencement par un citoyen européen n’est obligé de supprimer les résultats concernés que pour ses noms de domaines européens (google.fr, google.be, google.de, etc.).

Toutefois, la Cour de justice de l’Union européenne précise que, si le droit de l’Union n’impose pas cette portée mondiale, « il ne l’interdit pas non plus », ce qui permet à une autorité de contrôle ou à une autorité judiciaire d’ordonner un déréférencement à portée mondiale.

Par une série de décisions rendues le 6 décembre 2019, le Conseil d'Etat tire les conséquences des décisions de la CJUE.  

Cette saga jurisprudentielle s’achèvera le 27 mars 2020, date à laquelle le Conseil d’Etat prend acte du jugement rendu par la Cour de justice de l’Union européenne et annule la délibération de la CNIL ordonnant un déréférencement mondial.

Cette décision révèle des difficultés techniques propres aux nouvelles technologies, mais aussi législatives et soulève des interrogations.

L’approbation du déréférencement à échelle européenne n’empêche pas en effet l’utilisation d’outils techniques (VPN) permettant d’outrepasser la mise en ½uvre du déréférencement, ce qui remet en cause l’effectivité de ce procédé visant à protéger les utilisateurs. Ne devrait-on pas adapter cette solution à l’état de l’art ?

 

B. Les évolutions et les limites de l'exercice du droit au déréférencement induites par la jurisprudence

Ces jurisprudences ont allégé le processus judiciaire auparavant requis pour faire droit à une demande de déréférencement. Il n'est plus nécessaire de passer au préalable par la case tribunal. Les moteurs de recherche mettent à disposition des formulaires qui permettent d’effectuer une demande de déréférencement. En cas de recours contre une décision prise par un moteur de recherche, il n'est pas non plus nécessaire non plus d'emprunter le chemin des tribunaux. La CNIL sert d'intermédiaire. Cela évite des frais judiciaires aux personnes qui souhaiteraient exercer ce droit.

En revanche, le pouvoir conféré aux moteurs de recherche fait l'objet de débats. En effet, ils sont, dans la première partie du processus, les seuls a apprécié s’ils accordent le déréférencement ou non, et ce même pour des contenus licites. Il s'agit de conférer à un acteur privé le rôle de concilier deux libertés fondamentales, le droit au respect de sa vie privée et la liberté de la presse. Ce qui entre dans le domaine de compétence des juges et non pas des acteurs privés.

 

SOURCES :

Et https://curia.europa.eu/juris/document/document.jsf?text=&docid=218106&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=9963