Le droit à l’oubli a été créé pour protéger la vie privée sur internet. Il donne la possibilité pour une personne de demander à l’exploitant d’un moteur de recherche le déréférencement de pages web apparaissant dans le résultat de recherche lorsque celles-ci contiennent des données sensibles la concernant et lui portant préjudice.

Par 13 arrêts du 6 décembre 2019 le Conseil d’État définit les conditions dans lesquelles un exploitant de moteur de recherche doit, sous le contrôle de la Commission nationale de l’informatique et des libertés (CNIL), respecter le droit au déréférencement.

Ces décisions ont été rendues à la lumière de l’arrêt de la Cour de Justice de l’Union Européenne en date du 24 septembre 2019 qui commence par reconnaitre le droit à l’oubli comme « le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant », avant de rappeler que ce droit n’est pas absolu en raison de l’existence d’exceptions permettant de le mettre en échec.

Le Conseil d’État vient, dans cette dizaine de décisions, mettre davantage en avant le caractère non absolu de ce droit en exposant précisément les conditions – nombreuses et cumulatives – qui doivent être vérifiées avant de pouvoir accorder le droit à l’effacement des données et, plus important encore, les conditions qui permettent de refuser le droit à l’oubli.

Sommairement, le déréférencement peut être refusé au nom du droit à l’information du public. Ce refus doit néanmoins être nécessaire et proportionné au regard du droit au respect de la vie privée de la personne concernée par les données personnelles mise en jeu. L’arbitrage entre ces deux libertés fondamentales – vie privé et liberté d’expression – doit nécessairement être fait sous le prisme de la nature des données personnelles mises en cause.

Les paramètres

La demande d’effacement intéresse ainsi particulièrement la CNIL qui a l’obligation de prendre en compte de nombreux paramètres pour décider s’il doit être fait droit à la demande de déréférencement ou si au contraire, elle doit être refusée.

Le Conseil d’État rappelle qu’il est permis à la CNIL de refuser de mettre en demeure l’exploitant d’un moteur de recherche afin qu’il procède à un déréférencement « s’il apparaît, compte tenu du droit à la liberté d’information, que l’accès à une telle information à partir d’une recherche portant sur le nom de la personne concernée est strictement nécessaire à l’information du public ».

Pour apprécier si la nécessité de l’information du public peut mettre en échec le droit au déréférencement « il incombe à la CNIL de tenir notamment compte, d’une part :

• De la nature des données en cause,
• De leur contenu,
• De leur caractère plus ou moins objectif,
• De leur exactitude,
• De leur source,
• Des conditions et de la date de leur mise en ligne
• Et des répercussions que leur référencement est susceptible d’avoir pour la personne concernée

Au-delà des caractéristiques des données, doit aussi être pris en considération, le rôle social du demandeur, c’est-à-dire « la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société ».

De plus, il revient à la CNIL d’examiner les conditions dans lesquelles les données ont été rendues publiques et leur accessibilité, notamment « la possibilité d’accéder aux mêmes informations à partir d’une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée ». Ainsi les données perdent leur protection particulière et leur traitement est autorisé dès lors que la personne a manifestement rendu publiques les données personnelles la concernant ou qu’elle a donné son consentement explicite à leur traitement.

Une mise en balance obligatoire

Il apparait clairement que le droit à l’oubli ne peut être absolu dès lors qu’il peut être évincé au nom de l’intérêt du public à accéder aux informations en cause. L’un des grands principes dégagés par le Conseil d’État dans le cadre du droit à l’oubli est donc l’exigence de procéder à une balance entre, d’une part, le droit au respect de la vie privée du demandeur et la protection des données à caractère personnel et, d’autre part, la liberté d’information, c’est-à-dire le droit à l’information du public. Cette mise en balance doit nécessairement être faite au cas par cas dès lors que le poids de ces deux libertés fondamentales ne sera pas le même selon la nature des données personnelles.

La nature des données à caractère personnel pouvant faire l’objet d’un déréférencement

• Les premières sont les données à caractère personnel relevant de catégories particulières, dites « sensibles » qui concernent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, autrement dit les données les plus intrusives dans la vie d’une personne.

• Les secondes sont les données pénales, c’est-à-dire les données à caractère personnel relatives à des procédures pénales et notamment aux infractions et condamnations pénales. Si le principe veut que le moteur de recherche soit obligé d’accéder à la demande de déréférencement concernant ces données pénales, des exceptions ont été instaurées pour lui permettre d’opposer son refus. Néanmoins ce refus de déréférencement n’est valable qu’à condition que la personne n’ait pas le droit de s’opposer au traitement de ces données pour des raisons légitimes tenant à sa situation particulière. De plus, dans « l’hypothèse particulière où le lien mène vers une page web faisant état d’une étape d’une procédure judiciaire ne correspondant plus à la situation judiciaire actuelle de la personne concernée mais qu’il apparaît que le maintien de son référencement est strictement nécessaire à l’information du public, l’exploitant d’un moteur de recherche est tenu d’aménager la liste de résultats de telle sorte que les liens litigieux soient précédés d’au moins un lien menant vers une ou des pages web comportant des informations à jour, afin que l’image qui en résulte reflète exactement la situation judiciaire actuelle de la personne concernée». Ainsi le moteur de recherche doit tenir compte de l’évolution de la procédure judiciaire.

• La troisième et dernière catégorie de données est celle des données tenant à la vie privée mais non sensibles, autrement dit, les données à caractère personnel ne relevant pas de catégories particulières.

Les données sensibles et pénales bénéficient d’une haute protection et le déréférencement ne peut être refusé que si l’accès à ces données est « strictement nécessaire » à l’information des internautes. Quant aux données non sensibles un intérêt prépondérant du public à accéder à l’information suffit à déjouer le droit à l’effacement.

Le déréférencement n’est pas synonyme de suppression

La faiblesse de ces décisions est de ne pas revenir sur le fait que le déréférencement ne signifie pas l’effacement des données. En effet, le contenu original reste inchangé et est toujours accessible, en utilisant d’autres critères de recherche ou en allant directement sur le site internet source à l’origine de la diffusion.

Sources :

Conseil d’Etat “Droit à l’oubli : le Conseil d’État donne le mode d’emploi” Décisions du 6 décembre 2019 – www.conseil-etat.fr

Alice Vitard “Le Conseil d’Etat rappelle que le droit au déréférencement n’est pas un droit absolu“, L’Usine Digitale, 9 décembre 2019

“Droit au déréférencement et informations sensibles : les éclairages du Conseil d’État“, CNIL, 31 décembre 2019