Droit à l'oubli

En 1995, l'Union européenne a adopté la directive 95/46/CE sur la protection des données personnelles permettant de réglementer le traitement des données à caractère personnel ainsi que leur libre circulation. Cette directive est en réalité le fruit d'une longue histoire de protection de la vie privée des citoyens par la régulation[2]. De la Convention européenne des droits de l'homme, qui consacre dans son Article 8 le droit de toute personne au respect « de sa vie privée et familiale, de son domicile et de sa correspondance », à la Charte des droits fondamentaux de l'Union européenne, qui consacre également dans son Article 7 le respect de la vie privée et familiale[3], la protection des données personnelles apparaît désormais comme l'un des « droits fondamentaux majeurs »[4] défendus par l'Union européenne.

La directive précise ainsi en les définissant des notions telles que « données à caractère personnel », « traitement » de telles données, « responsable » et « consentement de la personne concernée ». Le responsable doit s'assurer que les données sont « collectées pour des finalités déterminées », « non excessives au regard des finalités pour lesquelles elles sont collectées » et « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ». Enfin, la directive prévoit que le « traitement (…) ne peut être effectué que si (…) la personne concernée a indubitablement donné son consentement ».

C'est sur cette directive que s'appuie la Cour de justice européenne pour consacrer ce qui est désormais désigné par l'appellation « droit à l'oubli ».

C'est la secrétaire d'État chargée de la prospective et du développement de l'économie numérique du gouvernement français, Nathalie Kosciusko-Morizet, qui relance en 2009 la campagne pour promouvoir un droit à l'oubli numérique[5]. Cette campagne aboutit fin 2010 avec la signature, le 30 septembre 2010 et le 13 octobre 2010, des Chartes du droit à l'oubli numérique - dont ni Facebook ni Google ne seront signataires. Cette charte prévoit notamment que les signataires s'engagent à « proposer un moyen (…) afin de pouvoir demander la modification ou la suppression (…) de toute donnée personnelle publiée ».

En 2011, le G29, l'autorité responsable de la protection des données personnelles au sein des institutions européennes publie l'Avis 15/2011[6] qui souligne en particulier que la « notion de contrôle est (…) liée au fait que la personne concernée doit être en mesure de retirer son consentement ».

Viviane Reding, alors vice-présidente de la Commission européenne et Commissaire européenne à la justice, aux droits fondamentaux et à la citoyenneté, prononce le 30 novembre 2010 un discours[7] lors de la European Data Protection & Privacy Conference (en), où elle introduit explicitement le droit à l'oubli et la protection des données personnelles comme l'une des « valeurs » et comme un « droit fondamental » de l'Europe.

Cette initiative aboutit le 25 janvier 2012 avec la publication par la Commission Européenne d'une proposition de régulation européenne pour la protection des données (en anglais : General Data Protection Regulation). Le texte est par la suite amendé par le Parlement européen et le Conseil des ministres. Il est voté le 12 mars 2014 par le Parlement européen et transmis par son président aux Conseil des ministres et à la commission[8]. Son adoption était prévue au début de l'année 2015 pour commencer à s'appliquer en 2017. Celui-ci prévoit[9] :

• que les règles de l'Union s'appliquent même si le traitement des données personnelles se fait « à l'étranger par des entreprises implantées sur le marché européen et proposant leurs services aux citoyens de l'Union »,
• un « corpus unique de règles » pour supprimer les « obligations administratives inutiles » qui représenteraient une « économie annuelle de (...) 2,3 milliards d'EUR »,
• que le consentement du sujet « devra être donné explicitement »,
• de renforcer les pouvoirs des autorités nationales indépendantes chargées de la protection des données
• des sanctions pouvant atteindre 100 millions d'euros ou 5 % du chiffre d'affaires annuel global de l'entreprise,
• l'obligation de portabilité des données personnelles.

Comme résumé par l'avocat général M. Jääskinen dans ses conclusions[10], en février 2010, un individu contacte Google Spain (en) pour demander que les résultats de recherche associés à son nom dans Google ne retournent aucun des liens vers des journaux où étaient mentionnés « l'adjudication sur saisie immobilière pratiquée en recouvrement de dettes de la sécurité sociale » dont il avait fait l'objet début 1998. Après avoir contacté l'éditeur du journal en soutenant que cette publication n'avait plus « aucune pertinence » et s'être vu refuser l'effacement de ses données, l'individu se tourne donc vers Google Spain, qui transmet cette demande à Google Inc. en Californie. Enfin, il dépose une plainte auprès de l'Agencia Española de Protección de Datos (AEPD) « à l'encontre de l'éditeur et de Google ». Si la « réclamation dirigée contre l'éditeur [est] rejetée », le directeur de l'AEPD demande à Google Spain et Google Inc., le 30 juillet 2010, de « prendre les mesures nécessaires pour retirer les données de leur index et de rendre impossible l'accès futur à ces dernières ». Google Spain et Google Inc. déposent deux recours devant l'Audiencia Nacional en Espagne et la juridiction défère une série de questions à la Cour de justice.

Le recours de Google est basé sur quatre arguments :

• Google Inc. n'est pas soumis à la directive 95/46/CE sur la protection des données personnelles et Google Spain n'est pas responsable des activités liées au moteur de recherche de Google Inc.,
• L'activité d'un moteur de recherche ne comprend pas de traitement de données personnelles,
• Aucune des entités de Google ne peut être considérée comme « responsable du traitement des données » tel que défini par la directive 95/46/CE sur la protection des données personnelles,
• Il n'existe pas de droit de retrait ou d'effacement de données publiées légalement.

L'avocat général, consulté à chaque fois qu'un nouveau point de droit est soulevé[11], rend ses conclusions, que la Cour peut choisir de ne pas suivre, le 25 juin 2013.

Interrogé sur trois questions par la Cour de justice, l'avocat général conclut[10] :

• Sur la question du « champ d'application territorial de la législation nationale en matière de protection des données », M. Jääskinen propose à la Cour de déclarer « que la législation nationale en matière de protection des données est (…) applicable à un fournisseur de services de moteur de recherche sur Internet lorsque celui-ci crée, dans un État membre, en vue d'assurer la promotion et la vente des espaces publicitaires proposés sur le moteur de recherche, une succursale ou une filiale dont l'activité vise les habitants de cet État ».
• Sur la « position juridique de Google en tant que fournisseur de services de moteur de recherche sur Internet », qu'un tel fournisseur « ne saurait, en droit ou en fait, remplir les obligations du responsable du traitement que prévoir la directive en ce qui concerne les données à caractère personnel figurant sur les pages web source hébergées sur des serveurs de tiers ».
• Que « la directive n'établit pas de "droit à l'oubli" de portée générale » et qu'un « tel droit ne saurait être invoqué à l'encontre des fournisseurs de moteur de recherche sur Internet en s'appuyant sur la directive ».

Cependant, dans son Arrêt du 13 mai 2014[12], la Cour de justice décide que :

• Sur la caractérisation d'un moteur de recherche en tant que responsable du traitement des données : « l'activité d'un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de "traitement de données à caractère personnel" (…) et (…) l'exploitant de ce moteur de recherche doit être considéré comme le "responsable" dudit traitement »,
• Sur le champ d'application territorial de la directive 95/46/CE sur la protection des données personnelles : « un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre (…) lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre »,
• Sur la question d'un droit à l'oubli : « l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, (…) même lorsque leur publication en elle-même (…) est licite »,
• Enfin, la Cour de justice ajoute que ces droits prévalent sur « l’intérêt économique de l’exploitant du moteur de recherche » ainsi que « sur l’intérêt [du] public à accéder à ladite information », sauf si, en raison du « rôle joué par ladite personne dans la vie publique », « l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public ».

La décision de la Cour de justice accorde donc aux individus le droit de s'opposer au traitement de leurs données personnelles et de demander le déréférencement des liens qui apparaissent dans une recherche associée à leur nom, tout en prenant en compte l'intérêt prépondérant du public à avoir accès à l'information[13].

À la suite de cette décision, Google a publié un formulaire en ligne[14].

Le 31 mai 2014, premier jour où ce formulaire était disponible, Google aurait reçu plus de 12 000 demandes de la part de citoyens européens. Deux mois plus tard, fin juillet, la France était en tête des demandes avec 17 500 demandes, devant l'Allemagne (16 500 demandes) et le Royaume-Uni (12 000 demandes)[15]. À la fin juillet, sur un total de 91 000 demandes concernant plus de 328 000 liens, Google a retiré plus de 150 000 liens, demandé des compléments d'informations pour 15 % des demandes et rejeté les 30 % restants. Néanmoins, le 19 décembre 2014, Google est condamné pour la première fois en France pour avoir rejeté une demande de suppression d'un lien vers un article de 2006 du Parisien[16].

En France, le responsable du site où est présent l'information dispose d'un délai légal de deux mois pour répondre à la demande du plaignant. En cas de non réponse ou de refus, le plaignant peut porter plainte auprès de la CNIL[17].

Dans le domaine bancaire, l'oubli bancaire des anciens malades a été réduit à cinq ans en 2022[18].

Il existe un Children's Online Privacy Protection Act aux États-Unis, ainsi qu'un Do Not Track Kids Act (en) qui était en négociations au sous-comité aux communications et à la technologie du Congrès des États-Unis en 2013.

Cependant, en général aux États-Unis, il n'y a pas des protections généralise pour le droit à oubli parce qu'il n'y a pas un corps centralisé pour le protection des données, comme il y a en Europe[19].

La Direction de la science, de la technologie et de l'innovation de l'OCDE offre une liste de recommandations sur le respect vie privée[20].

En réponse à la demande d'Isabelle Falque-Pierrotin, la présidente de la CNIL et du G29, Google a publié une série de réponses[21] détaillant la façon dont ils appliquaient le droit à l'oubli à la suite de la décision de la Cour de justice.

Les informations demandées par Google afin de considérer la demande d'un particulier :

• Le pays dont la loi doit s'appliquer à la demande,
• Des informations personnelles sur le demandeur (nom pour la recherche, identité et relation légale avec la personne dont le nom constitue la recherche le cas échéant, adresse email),
• Identification de chacun des résultats de recherche qui font l'objet de la demande,
• Termes additionnels de la recherche pour des images,
• Une explication, pour chaque URL, du lien entre la page et le demandeur,
• Une photocopie lisible d'un document d'identité (qui peut être partiellement occulté et ne nécessite pas d'avoir été émis par un état - dans le cas où les pages incluent une photographie du demandeur, le demandeur ne peut occulter sa photographie).

À la question de savoir si Google filtrait les demandes sur la base de la localisation, de la nationalité, ou du lieu de résidence du demandeur, Google répond qu'il réclame en effet qu'un lien, qui peut mais n'est pas toujours un lien de nationalité, doit être établi entre le demandeur et le pays choisi dont la loi doit s'appliquer. Ils ajoutent qu'ils n'interprètent pas la décision de la Cour de justice comme mondiale et qu'il s'agit donc de l'application de la loi européenne aux services offerts aux européens. L'entreprise ajoute que ces décisions ne sont pas prises par des algorithmes et qu'il leur appartient de recruter suffisamment de ressources afin de traiter toutes les requêtes.

Google enlève les liens des résultats de recherche incriminés uniquement dans les versions européennes de son moteur de recherche (google.fr, google.it, etc.), vers lesquels ils redirigent activement les citoyens européens au lieu de google.com. Le retrait s'effectue donc dans tous les pays de l'Union européenne mais pas au niveau mondial, et seulement lorsque les termes de la recherche contiennent le nom de l'individu.

Sur les critères utilisés par Google pour trouver l'équilibre entre leur intérêt économique ainsi que l'intérêt général du public d'avoir accès à l'information et le droit au retrait des résultats de recherche, Google répond que leur intérêt économique n'a pas d'impact pratique ou direct lorsqu'ils considèrent une demande de retrait. Ils mentionnent comme critères le fait que les informations sont trop vieilles ou trop peu pertinentes, ainsi que si le demandeur est un personnage public ou non, la qualité, officielle ou non, du site vers lequel pointe le lien ainsi que le contenu de l'information disponible dans chacun des liens (s'il s'agit d'un contenu politique, s'il a été publié par le demandeur, si l'information est de nature professionnelle ou criminelle). L'entreprise souligne trois difficultés, en particulier le fait que certaines cours de justice des États membres de l'UE publient des décisions incluant les noms des parties alors que d'autres ne publient des décisions qu'une fois celles-ci anonymisées, qu'il est plus difficile sur Internet que dans la presse papier ou à la télévision d'évaluer la fiabilité d'une source journalistique et enfin qu'il est difficile de faire la différence entre ce qui relève de la vie politique d'un pays et ce qui relève d'une simple activité politique de la part des citoyens.

En ce qui concerne la notification des tiers qui ont publié les contenus déréférencés, Google entend continuer à leur communiquer lorsqu'ils déréférencent ces contenus, pour des raisons évoquées de transparence ainsi que pour laisser la possibilité d'un recours sur leur décision était erronée. C'est ainsi que Google entend améliorer l'équilibre trouvé entre les différents critères du paragraphe précédent. Enfin, Google cite le cas particulier d'entreprises ou de sites web qui demanderaient le retrait des pages les plus populaires de leurs concurrents afin d'en réduire le trafic.

La Commission européenne soutient la direction prise par la Cour de justice en soulignant depuis 2012 les bénéfices apportés par une réforme des règles de protection des données personnelles, parmi laquelle le droit à l'oubli devrait figurer.

Si la nouvelle Commission de Jean-Claude Juncker ne s'est pas prononcée officiellement sur le sujet, le nouveau vice-président de la commission et Commissaire à l'économie et à la société numériques, Günther Oettinger, affirme, dans sa déclaration devant les parlementaires[22], qu'il entendait défendre un tel droit aussi longtemps que nécessaire.

Dans une tribune publiée dans Le Figaro le 11 juillet 2014[23], David Drummond exprimait son désaccord avec cette décision, estimant qu'un « débat solide est indispensable car sur cette question aucun moteur de recherche n'a trouvé à ce jour de réponse immédiate ou parfaite » et évoquant les mesures prises par Google afin de se conformer au droit ainsi que les difficultés rencontrées.

Il annonçait également la mise en place un comité consultatif[24], afin de « trouver le juste équilibre » et « être conseillés sur les principes à appliquer pour [se] prononcer sur chaque cas ». Ce comité s'est réuni à Madrid, Rome, Paris, Varsovie, Berlin, Londres et Bruxelles, lors de sessions enregistrées et disponibles sur leur site[25]. Ce comité s'interroge notamment sur les questions suivantes[21] :

• Y a-t-il des questions procédurales soulevées par la décision de la Cour de justice ?
• Quel est la nature et la délimitation de la notion de droit à la vie privée pour une personne publique ?
• Le public a-t-il le droit de savoir la nature, le volume et le résultat des demandes de retrait de liens fait aux moteurs de recherche ?
• Jusqu'où va le droit du public à l'information lorsqu'il s'agit de critiques de services ou de professionnels - ou du passé criminel d'individus ?
• Peut-on demander la suppression d'un lien mis en ligne par un gouvernement ?
• Est-ce que les sites qui publient un contenu ont le droit d'être informés en cas de suppression d'un lien des résultats de recherche ?

La chambre des lords a émis un avis particulièrement critique de la décision de la Cour de justice[26].

Le droit à l'oubli peut entrer en conflit avec d'autres droits, dont ceux de l'information et de l'expression. L'équilibre entre ces différents droits font l'objet de critiques.

La Wikimedia Foundation, l'hébergeur de Wikipédia dont des articles sont concernés par le droit à l'oubli imposé à Google, accuse la Cour de justice de l'Union européenne de « perforer l'accès au savoir ». Jimmy Wales, le cofondateur de Wikipédia, parle d'une « loi complètement folle et qui doit être réparée » dans un article publié sur The Observer[27].

• Chartes du droit à l'oubli numérique
• Amnistie en France
• Règlement général sur la protection des données
• Vie privée

• Notices d'autorité :

  • BnF (données)
  • LCCN
  • GND
  • Israël
  • Tchéquie