Le droit à l'oubli ou droit au déréférencement des données personnelles

Préoccupées par les risques attachés à la détention exponentielle d’informations précises sur nos habitudes de consommation par les grandes firmes de l’économie numérique, les instances européennes ont décidé d’intervenir et d’harmoniser les législations européennes.

La France a été le premier pays européen à se doter d’une législation spécifique aux traitements des données personnelles (Loi Informatique et Libertés).

En 1995, les instances européennes – Commission et Parlement - se sont également saisies de cette problématique avec l’adoption de la directive relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.

D’autres textes ont complété les règles protectrices issues de la directive de 1995.

Ce sujet est encore d’actualité depuis l'entrée en vigueur le 25 mai 2018 du Règlement Général de la Protection des Données (RGPD) adopté le 14 avril 2016 par le Parlement Européen.

Ces textes comportent des dispositifs de protection directement applicables au profit des individus.

> Lire notre dossier complet sur le RGPD

La directive 95/46/CE relative à la protection des données des personnes physiques est à l’origine du fondement textuel du droit au déréférencement, également dénommé droit à l’oubli.

Le déréférencement consiste à supprimer un lien hypertexte affiché à la suite d’une requête réalisée auprès d’un moteur de recherche.

Le déréférencement n’aboutit pas à la suppression du contenu mais seulement à la suppression du résultat de la recherche associée à une personne sur un moteur de recherche.

Ce droit a été consacré par la Cour de Justice de l'Union Européenne (CJUE) par un arrêt du 13 mai 2014 (CJUE, 13 mai 2014,Google Spain SL, Google Inc. / Agencia Española de Protección de Datos, Mario Costeja González, C-131/12).

Cette décision permet à toute personne de s'opposer au traitement, même licite, de ses données personnelles et de demander le déréférencement des liens Internet qui apparaissent dans une recherche associée à son nom.

"L’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web publiées par des tiers et contenant des informations relatives à cette personne, (...) même lorsque leur publication en elle-même (...) est licite"

Surtout, par cette décision, la Cour a affirmé la primauté du droit au respect de sa vie privéeet à la protection des données personnelles par rapport à l’intérêt économique des éditeurs de moteurs de recherche et au droit à l’information du public.

 "Ce droit prévaut sur l’intérêt économique de l’exploitant du moteur de recherche" ainsi que "sur l’intérêt du public à accéder à ladite information".

La Cour a réservé une exception à propos des personnalités publiques.

"Sauf si, en raison du rôle joué par ladite personne dans la vie publique, l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public".

La juridiction européenne a rappelé que le traitement de données exactes ne doit pas devenir, avec le temps, incompatible avec le droit au respect de la vie privée.

Les juges européens relient expressément la protection des données personnelles au respect de la vie privée.

"Tel est le cas lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées, spécialement lorsqu’elles apparaissent inadéquates, qu’elles ne sont pas ou plus pertinentes ou sont excessives au regard de ces finalités et du temps qui s’est écoulé".

La Cour s’appuie sur le principe de finalité des informations collectées et publiées bien connu en matière de protection de données personnelles.

Autrement dit, le droit à l'oubli peut être invoqué lorsque la publication des données litigieuses :

• n’est plus nécessaire ou apparaît excessive au regard de l'objectif initial,
• apparaît inadéquate,
• n’est plus pertinente.

Quel est l’accueil du droit au déréférencement par le juge français ?

Les tribunaux français ont repris les critères dégagés par la CJUE.

Le juge français a accueilli favorablement une demande de déréférencement d'une personne condamnée il y a plus de huit ans au pénal pour escroquerie.

Dans cette affaire, le juge a considéré qu’il convenait d'ordonner le déréférencement du lien en raison :

• de la nature des données à caractère personnel en cause, en l’espèce l’information publiée d’une condamnation pénale, ne figurant pas sur l'extrait de casier judiciaire au jour des débats ;
• les motifs de la demande s'appuyant sur les difficultés liée à la recherche d’un emploi ;
• au temps écoulé depuis la date de publication de l'information litigieuse.

La plupart des éditeurs de moteur de recherche propose une procédure de demande de déréférencement conforme à la décision de la CJUE par le biais d’un formulaire en ligne.

Cependant, l’éditeur du moteur de recherche conserve un libre pouvoir d’appréciation des conditions d’application du droit au déréférencement.

Pour illustrer cette difficulté pratique, on peut relever qu’un peu plus de la moitié des demandes de déréférencement présentées à Google en 2016 ont été rejetées.

En cas de refus ou même en l’absence de réponse, toute personne résidant en France peut saisir la Commission Nationale de l’Informatique et des Libertés (CNIL).

En parallèle, toute personne à laquelle un refus de déréférencement a été opposé peut saisir l’autorité judiciaire dans le cadre d’une action en référé tendant à enjoindre l’éditeur du moteur de recherche à procéder au déréférencement du lien hypertexte litigieux.