Le droit à l’oubli a été défini par la CNIL comme :

« la possibilité offerte à chacun de maîtriser ses traces numériques et sa vie privée ou publique mise en ligne ». Toutefois la CNIL ajoutait un bémol : « nécessité humaine et sociétale, ce droit ne doit, cependant, pas être interprété comme un impératif absolu d’effacement des données. Il est, en effet, nécessaire de trouver un équilibre entre le droit à l’oubli, d’une part et la nécessité de se ménager des preuves, le devoir de mémoire et la liberté d’expression, d’autre part ».

Une décennie de débat a été nécessaire pour espérer mettre en œuvre ce droit à l’oubli d’une manière équilibrée !

« Les droits à la vie privée et à la protection des données à caractère personnel doivent se concilier avec les droits à la liberté d’expression et d’information, ce dans la recherche d’un juste équilibre entre les droits de la personne concernée et l’intérêt légitime des internautes potentiellement intéressés à avoir accès à une information ». (TGI Paris, ordonnance de référé du 12 mai 2017, Madame X. / Google France et Google Inc.).

Le droit à l’effacement de données à caractère personnel n’est pas un droit absolu, mais doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité.

L’article 17 du RGPD liste les six motifs qui permettent à toute personne physique d’exiger du responsable du traitement que soient effacées les données à caractère personnel la concernant.

• Les données ne sont plus nécessaires à la poursuite des finalités : la durée de conservation des données a expiré.
• La personne concernée exerce son droit au retrait du consentement : le responsable de traitement peut toutefois substituer un autre fondement juridique.
• La personne exerce son droit d’opposition : toute personne physique a le droit de s’opposer, pour des motifs tenant à sa situation particulière, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.
• Le traitement est illicite : il est dépourvu d’une base légale valable.
• Les données doivent être effacées pour respecter une obligation légale : par exemple, les données de trafic conservées pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales doivent être effacées un an après le jour de l’enregistrement.
• Les données collectées en ligne auprès de mineurs « dans le cadre de l’offre de services de la société de l’information » sont effaçables si le traitement est fondé sur le consentement.

Le droit à l’effacement entendu comme un droit général à l’oubli est difficilement envisageable dès lors que les informations visées concernent des faits vérifiés et ne reflètent pas une opinion personnelle qui nuit à la réputation professionnelle ou à la vie privée.

En revanche, le cabinet est de plus en plus sollicité pour une autre variante du droit à l’oubli, le droit au déréférencement, consacré en 2014 par la Cour de justice de l’Union européenne (CJUE) dans l’arrêt « Google Spain ».

Le Conseil d’Etat vient d’apporter une clarification attendue dans la mise en œuvre de ce droit.

Le déréférencement, un droit non absolu, invocable selon les circonstances

Nous l’avons dit, au-delà de la demande de suppression des informations sur le site d’origine, il existe une autre procédure pour demander que des informations ne soient plus référencées par les moteurs de recherche.

Ce droit à l’effacement entendu comme un droit au déréférencement ou à la désindexation, est plus facilement applicable, mais il n’entraîne pas la suppression du contenu. Il s’agit du déréférencement d’un lien associant au nom d’un particulier une page web contenant des données à caractère personnel le concernant.

https://www.cnil.fr/fr/effacer-des-informations-me-concernant-sur-un-moteur-de-recherche

• Contenu du droit au déréférencement

Les données à caractère personnel demeurent sur le site source qui continuera d’être entièrement accessible par saisie de son adresse URL. Seul l’accès à ce contenu par mot-clef sera supprimé.

Sera ainsi effacée la corrélation entre les prénom et nom de la personne, d’une part, et les informations personnelles, d’autre part, puisque l’atteinte à la vie privée naît de cette corrélation.

Il conviendrait donc de viser tous les moteurs de recherche concernés pour que le déréférencement soit efficace.

En effet, c’est de cette corrélation, permise par un moteur de recherche, que naît le surcroît d’atteinte à la vie privée imputable à ce dernier.

Le chemin ne sera effacé que dans les moteurs de recherche que l’intéressé a sollicités, la même requête pouvant continuer, malgré le déréférencement sur l’un des moteurs, à renvoyer via d’autres, vers les contenus personnels.

Notons que ce déréférencement s’applique à l’intérieur des frontières de l’Union européenne et concerne surtout les moteurs de recherche américains, le seul moteur de recherche européen et français Qwant étant plus soucieux de respecter la vie privée (référencement actualisé, absence de dépôt de cookies, pas de conservation d’historique des recherches, etc.).

• Choix de la procédure

Il appartient à la CNIL de se prononcer lorsqu’elle est saisie d’une demande tendant à ce qu’elle mette en demeure l’exploitant d’un moteur de recherche de procéder au déréférencement de liens renvoyant vers des pages web publiées par des tiers.

Le Conseil d’Etat est la juridiction administrative compétente pour annuler une décision de la CNIL lorsqu’elle statue au titre de cette mission de contrôle ou de régulation.

La personne concernée pourrait également saisir le juge judiciaire si elle s’estime lésée par un responsable de traitement, personne privée. Le juge judiciaire est en effet compétent pour faire cesser un manquement, en particulier lorsque les liens litigieux mènent vers des pages contenant des allégations fausses ou dénuées de fondement. Mais il pourrait être plus réticent que le juge administratif pour faire valoir le droit à l’oubli, ce droit ne devant pas être un moyen facile d’éviter les contraintes du droit de la diffamation et du dénigrement.

Lorsque les liens litigieux mènent à des contenus faisant état de faits, certes gênants pour la personne concernée mais véridiques, le recours à la CNIL, puis au Conseil d’Etat, est sans doute plus adapté à la lecture des arrêts du Conseil d’Etat du 6 décembre dernier.

La CNIL et le juge administratif mettent en balance l’atteinte portée par le référencement à la vie privée du demandeur avec l’intérêt qu’il présentait pour l’information du public. Et le Conseil d’Etat de préciser : « L’arbitrage entre ceux deux libertés fondamentales dépend de la nature des données personnelles ».

https://www.cnil.fr/fr/le-dereferencement-dun-contenu-dans-un-moteur-de-recherche

• Cadre juridique du déréférencement

La Cour de justice de l’Union européenne (CJUE) a fixé en 2014 des critères du droit au déréférencement : la notoriété, l’âge de minorité, la nature des informations référencées, l’éventuel préjudice subi, le contexte de la publication.

Mentionnons par ailleurs que le RGPD a renversé la charge de la preuve : le responsable de traitement supporte la charge de cette preuve.

Le Conseil d’Etat vient d’adopter, le 6 décembre dernier, treize décisions pour définir plus précisément, sur le fondement du RGPD, le cadre dans lequel un exploitant de moteur de recherche, doit, sous le contrôle de la CNIL, respecter le droit au déréférencement.

Le droit au déréférencement, un droit à géométrie variable

• Le droit au déréférencement de données non sensibles

Il sera opportun d’invoquer le droit au déréférencement lorsqu’il n’existe pas un intérêt prépondérant du public à accéder à l’information en cause en effectuant une recherche à partir du nom de l’intéressé.

Le Conseil d’État demande à la CNIL de mettre en balance trois facteurs principaux :

• les caractéristiques des données personnelles en cause : leur nature, leur contenu, leur caractère plus ou moins objectif, leur exactitude, leur source, les conditions et la date de leur mise en ligne ainsi que les répercussions de leur référencement pour l’intéressé ;
• le rôle social du demandeur : sa notoriété, son rôle dans la vie publique et sa fonction dans la société ;
• les conditions d’accès de l’information en cause : le nom est-il indispensable pour effectuer la recherche ? l’intéressé a-t-il rendu lui-même l’information publique ?[1]

• Le droit au déréférencement de données sensibles

Il sera opportun d’invoquer le droit au déréférencement lorsque l’accès à l’information litigieuse à partir d’une recherche portant sur le nom de la personne n’est pas strictement nécessaire à l’information du public.

Le Conseil d’Etat nous précise qu’il faut tenir compte des trois mêmes paramètres mais l’intérêt du public à accéder à l’information doit être plus consistant.

En revanche, si les données sensibles litigieuses ont été manifestement rendues publiques par la personne concernée, alors la « grille d’analyse » sera celle des données non sensibles.[2]

• Le droit au déréférencement de données liées à une procédure pénale et le droit à une vérité judiciaire

Rappelons d’abord que les informations relatives à une procédure pénale dont une personne physique a été l’objet, constituent bien des données relatives aux ‘infractions’ et aux ‘condamnations pénales’, au sens de l’article 10 du RGPD, donc des données sensibles. L’article 10 évidemment concerne également les classements sans suite ou les ordonnances de non-lieu.

Jusqu’à présent, les décisions relatives au droit à l’oubli variaient considérablement au gré des espèces.

Par exemple, le 19 décembre 2014, le droit au déréférencement avait été reconnu par le juge des référés de Paris pour une condamnation pour escroquerie huit ans plus tôt.

En revanche, en 2015, le droit au déréférencement n’avait pas été accordé par la même juridiction pour une mise en cause dans une affaire de viol, le journal ayant publié un nouvel article relatant le non-lieu, autrement dit la situation avait été actualisée.

Aujourd’hui, pour les données liées à une procédure judiciaire, le Conseil d’Etat applique la grille d’analyse susvisée des données sensibles.

Par ailleurs il continue d’appliquer le raisonnement de l’actualisation : l’exploitant d’un moteur de recherche est tenu d’aménager la liste des résultats de telle sorte que celle-ci fasse d’abord apparaître au moins un lien menant vers une page web comportant des informations à jour.

Dans l’arrêt d’assemblée n° 391000 du 24 février 2017, le CE précisait que « lorsque le demandeur démontre que, compte tenu du déroulement de la procédure judiciaire, les informations relatives à une étape antérieure de la procédure ne correspondent plus à la réalité actuelle de sa situation, l’exploitant d’un moteur de recherche est tenu de déréférencer les liens menant vers des pages web comportant de telles informations ».

Dans une décision du 24 septembre 2019, la CJCE avait rappelé que le moteur de recherche doit, si le droit au respect de la vie privée de la personne concernée l’emporte sur l’intérêt du public à être informé, déréférencer les liens menant à des pages web sur lesquelles figurent des informations anciennes qui ne correspondraient plus à l’état actuel de la procédure, « ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle ».

Ainsi les juges européen et national ont renforcé significativement les obligations de l’exploitant du moteur de recherche, en le contraignant à établir une vérité judiciaire du moment, puisqu’il considère que même lorsqu’il n’y a pas lieu à déréférencement, le moteur de recherche doit en tout état de cause faire figurer en tête de la liste de résultats le lien conduisant à la page sur laquelle figure la situation judiciaire actuelle.[3]

Nous le savions, le droit au déréférencement n’est pas systématique si des données sensibles apparaissent. Mais le droit à une vérité judiciaire a lui acquis un statut de droit absolu.

Ainsi le droit au déréférencement a été renforcé pour nos clients, qui font parfois l’objet d’une dénonciation calomnieuse et pour lesquels les moteurs de recherche et ceux qui les alimentent, privilégient le buzz de la calomnie à la vérité judiciaire.

Le Conseil d’État a, le 6 décembre dernier, rejeté cinq demandes et prononcé cinq annulations. Le non-lieu à statuer a été prononcé à huit reprises car la société Google a préféré anticiper les déréférencements laissant la CNIL seule face au Palais-Royal.

La CNIL avait une trop forte propension à privilégier le droit à l’information du public.

Le Conseil d’Etat lui demande donc de repositionner son curseur dans la balance entre la vie privée et le droit à l’information pour nous protéger davantage face à la dictature numérique.

N’oublions pas cette phrase prononcée par le chef de l’État en 1993 : « Toutes les explications du monde ne justifieront pas qu’on ait pu livrer aux chiens l’honneur d’un homme et finalement sa vie au prix d’un double manquement de ces accusateurs aux lois fondamentales de notre République. Celles qui protègent la dignité et la liberté de chacun d’entre nous. »…

[1]Ainsi, la décision n° 405910 du Conseil d’Etat du 6 décembre 2019 illustre une situation dans laquelle le droit au respect de la vie privée prime.

« Eu égard à la nature et au contenu des données à caractère personnel figurant sur les pages web faisant état du brevet que M. A… a déposé, à l’ancienneté de ce brevet et au fait que le requérant ne bénéficie plus, depuis 2010, du monopole d’exploitation de son invention, n’a déposé aucun autre brevet depuis et ne joue ni n’a joué aucun rôle dans la communauté scientifique autre que celui que les liens en litige permettent d’identifier, la CNIL n’a pu légalement estimer, alors même qu’en vertu du code de la propriété intellectuelle, les coordonnées des personnes ayant déposé un brevet font l’objet d’une publicité compte tenu de l’intérêt qu’elles présentent pour les chercheurs qui souhaitent prendre contact avec leurs confrères, que le maintien du lien permettant d’avoir accès aux informations litigieuses à partir d’une recherche effectuée sur le nom de M. A… présentait un intérêt prépondérant pour le public, alors qu’il reste par ailleurs possible d’accéder aux informations relatives à son invention et à ses coordonnées sur la base d’une recherche sur le champ dont relèvent ses travaux. ».

A contrario, dans la décision n° 403868 du même jour, le Conseil d’Etat a fait primer le droit à la liberté d’information :

« eu égard à la nature et au contenu des données qui restent accessibles sur le site Yelp à la date de la présente décision, qui mentionnent seulement l’activité professionnelle de Mme A… et rendent publiques ses coordonnées postales et téléphoniques, la CNIL a pu légalement estimer que l’intérêt prépondérant du public à avoir accès à ces informations à partir d’une recherche effectuée sur le nom de la requérante faisait obstacle à ce qu’il soit fait droit à sa demande de déréférencement. ».

[2]Le Conseil d’Etat illustre son application à travers trois cas d’espèce.

• Décision n° 395335

« Eu égard à la nature et au contenu des informations litigieuses, qui touchent à l’intimité de la requérante et qui proviennent de rumeurs et au fait que, à la date de la présente décision, il est possible d’accéder par d’autres liens à des informations faisant état des relations amicales entre l’intéressée et l’ancien président de la République de B, la CNIL n’a pu, en dépit du rôle que joue Mme X… dans la vie économique et sociale de B, légalement estimer que le maintien des liens permettant d’avoir accès à ces informations à partir d’une recherche effectuée sur le nom de Mme X… était strictement nécessaire à l’information du public. ».

• Décision n° 409212

« Eu égard à la nature et au contenu des données à caractère personnel figurant sur le site ” Babelio “, au fait que le requérant n’exerce plus d’activités littéraires et que le roman dont elles proviennent n’est aujourd’hui plus édité et compte tenu des répercussions qu’est susceptible d’avoir pour l’intéressé le maintien des liens permettant d’y avoir accès à partir d’une recherche effectuée sur son nom, la CNIL n’a pu légalement estimer, alors même que les informations litigieuses avaient été manifestement rendues publiques par l’intéressé en 2009, que le référencement du lien permettant d’y avoir accès à partir d’une recherche effectuée sur le nom de M. A… présentait un intérêt prépondérant pour le public, alors que, par ailleurs, les pages des résultats d’une telle recherche comportaient des liens menant vers des informations faisant état du roman en cause. ».

• Décision n° 393769

« Eu égard à la nature et au contenu des données à caractère personnel litigieuses, au fait non contesté que l’intéressé a quitté ses fonctions au sein de ” l’Eglise de scientologie ” depuis plus de dix ans à la date de la présente décision et qu’il n’exerce désormais plus d’activité en liaison avec cette organisation, à l’ancienneté des faits, à la circonstance que l’affaire rapportée dans l’article de presse s’est conclue par une ordonnance de non-lieu et aux répercussions qu’est susceptible d’avoir pour l’intéressé le maintien des liens permettant d’y avoir accès à partir d’une recherche effectuée sur son nom, la CNIL n’a pu légalement estimer, alors même que l’information litigieuse provient d’une source journalistique et que son exactitude n’est pas contestée, que le maintien de ces liens présentait un intérêt prépondérant pour le public, alors que, par ailleurs, les internautes intéressés peuvent, dans le cadre d’une recherche effectuée à partir de mots-clés ne mentionnant pas le nom de M. A…, continuer à y accéder. ».

[3]Le Conseil d’Etat confirme le 6 décembre 2019 cette position dans trois décisions.

• Une première décision (n° 401258) selon laquelle l’accès à l’information litigieuse à partir d’une recherche portant sur le nom de la personne n’était pas strictement nécessaire à l’information du public.

« Eu égard à la nature et au contenu des informations litigieuses, qui donnent au public un accès direct et permanent à la condamnation dont a fait l’objet le requérant alors même que, en application du code de procédure pénale, l’accès à des données relatives aux condamnations pénales d’un individu n’est en principe possible que dans des conditions restrictives et pour des catégories limitées de personnes, à l’absence de notoriété de la personne qu’elles concernent, à l’ancienneté des faits et de la condamnation pénale ainsi qu’aux répercussions qu’est susceptible d’avoir sur la réinsertion de M. A…, qui allègue avoir perdu deux emplois du fait du référencement en cause, le maintien des liens permettant d’y avoir accès à partir d’une recherche effectuée sur son nom, la CNIL n’a pu légalement estimer, alors même que ces informations proviennent d’articles de presse dont l’exactitude n’est pas contestée, que le maintien des liens litigieux était strictement nécessaire à l’information du public au motif que les chroniques judiciaires permettent d’exercer un droit de regard sur le fonctionnement de la justice pénale, sans qu’ait d’incidence la circonstance que la mesure de suivi socio-judiciaire dont fait l’objet l’intéressé soit, à la date de la présente décision, toujours en cours. ».

• Deux autres décisions (n° 405464 et 429154) selon lesquelles l’accès à l’information était strictement nécessaire à l’information du public.

« Eu égard à la nature et au contenu des informations litigieuses, à leur source, au rôle qu’a joué et continue de jouer dans la vie publique M. A… et au contexte dans lequel ont été tenus les propos rapportés dans les articles vers lesquels mènent les liens litigieux, la CNIL a pu légalement estimer que le maintien des liens permettant d’avoir accès à ces informations à partir d’une recherche effectuée sur le nom de M. A… était strictement nécessaire à l’information du public. En outre, il ressort des pièces du dossier que les articles vers lesquels mènent les liens litigieux comportent, à la date de la présente décision, un addendum faisant mention de la décision de la Cour de cassation du W. Au surplus, il ressort des pièces du dossier qu’ainsi qu’elle le fait valoir dans ses écritures devant le Conseil d’Etat, la société Google a procédé au réaménagement de la liste de résultats obtenue à la suite d’une recherche portant sur le nom du requérant de telle sorte qu’à la date de la présente décision, le premier lien affiché renvoie vers une page web faisant état, de manière exacte et actualisée, de sa situation judiciaire, en mentionnant notamment la décision de la Cour de cassation du W. Dans ces conditions, le refus de la CNIL d’ordonner à la société Google de procéder aux déréférencements que demandait M. A… n’est pas entaché d’illégalité. ».

« Eu égard à la nature et au contenu de l’information litigieuse, à sa source, aux conditions dans lesquelles elle est traitée par les pages web des sites ” A ” et ” B ” qui se bornent, pour l’essentiel, à reprendre les propos que Mme X… a elle-même choisi de tenir au sujet de sa condamnation dans une interview accordée au site ” C “, dont elle ne demande d’ailleurs pas le déréférencement, au caractère récent de cette interview à la date de la présente décision et au fait que l’intéressée a acquis une certaine notoriété en jouant l’un des rôles principaux d’une série qui continue d’être programmée sur la chaîne D, la CNIL a pu légalement estimer, en dépit des répercussions qu’est susceptible d’avoir pour l’intéressée le maintien des liens permettant d’y avoir accès à partir d’une recherche effectuée sur son nom, que le référencement des liens litigieux était strictement nécessaire à l’information du public. ».