Le profilage par les moteurs de recherche, ce fléau des temps moderne – Big Brother is Watching You – Vous êtes fichés et apparaissez dans les résultats de recherche : que faire ?
A l’heure des réseaux sociaux et des plateaux télé vociférant où l’on vient avec ses sentiments en bandoulière, le droit de réponse est souvent présenté comme le rempart absolu contre l’usage excessif de la liberté d’expression, permettant à quiconque visé dans un article publié d’exiger la publication d’un correctif. Les choses sont cependant à relativiser. Typiquement le profilage des personnes et des entreprises par des moteurs de recherche très épris de la liberté d’expression à l’américaine – la sauvage « freedom of speech » de la constitution des USA – ne permet aucun droit de réponse et stigmatise réellement ce qui en sont victime.
L’absence d’un droit de réponse contre les moteurs de recherche
Sur internet, le droit de réponse est régi par :
L’article 6-IV de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique
Les moteurs de recherche voient en général d’un bon œil ce qui peut s’apparenter à du dialogue et à de la critique constructive, ou ce qui renforce et finalement légitime un avis négatif, telle une réponse.
Selon les principes de e-réputation, l’insertion d’une réponse a néanmoins un effet contre-productif en ce sens où elle aurait tendance à augmenter le référencement de la publication que l’on veut précisément combattre.
Toutefois, ce droit de réponse reste souvent le seul moyen de combattre rapidement les dénigrements et les diffamations, les atteintes à la vie privée, en attendant mieux, quand il existe un moyen pour la personne visée de répliquer directement, en ligne, à l’avis. (Malheur : pas de droit de réponse contre les moteurs de recherche qui indexent les contenus défavorables et dont pourtant le pouvoir de nuisance est bien plus important).
Ce d’autant plus que les recours restent si laborieux pour le commun des mortels.
Consultez un avocat spécialisé en droit de la communication à Paris
Le palliatif du « droit à l’oubli »
L’arrêt Costeja (Cour de justice de l’Union Européenne, 13 mai 2014, Costeja / Google Spain, C-131/12) pourra éventuellement être opposé aux moteurs de recherche pour obtenir un déréférencement (« droit à l’oubli »), et par référence aux articles 17 et 85 du règlement UE 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)(RGPD), et à l’article 80 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
L’arrêt Costeja permet de poursuivre les référencements faits par les moteurs de recherche, étant donné qu’ils permettent d’établir le profil d’une personne par une recherche sur son nom, en indexant les pages qui mentionnent ce nom. Ce traitement informatique effectué par le moteur est visé par l’article 17 du RGPD (« droit à l’oubli » ou « droit à l’effacement ») et développé à l’article 51 de la loi informatique et liberté, qui réserve l’exercice de la liberté d’expression.
Ce déréférencement n’est pas automatique. Il permet à une personne stigmatisée de réclamer à un moteur de recherche que certains contenus la concernant ne soit plus fléchés par le moteur. Elle doit s’appuyer sur des raisons valables (arrêt de la CJUE du 24 septembre 2019, arrêts du conseil d’État du 6 décembre 2019 et du 27 mars 2020, Cour de cassation, Chambre civile 1, 27 novembre 2019, 18-14.675, Publié au bulletin, pôle 1), ou sur la protection de la vie privée.
En ce qui concerne le thème de la protection des données personnelles face à la liberté d’expression, on notera :
L’article 85 du RGPD renvoie à la loi de chaque Etat membre en ce qui concerne la conciliation du droit à la protection des données personnelles avec la liberté d’expression.
A ce sujet, l’article 80, 2°, de la loi informatique et libertés, dans sa version du 1er juin 2019 résultant de l’ordonnance n°2018-1125 du 12 décembre 2018, article 1, maintient la restriction du droit de protection des données personnelles face à la liberté d’expression seulement en ce que celle-ci est exercée par un journaliste professionnel…et Google, dans son activité de moteur de recherche (« Google Search ») ne fait pas œuvre de journalisme, mais d’indexeur. Il est d’ailleurs redevable envers les contenus journalistiques qu’il indexe (cf.directive DIRECTIVE (UE) 2019/790 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 17 avril 2019 sur le droit d’auteur et les droits voisins dans le marché unique numérique et modifiant les directives 96/9/CE et 2001/29/CE, article 17).
L’article 21 paragraphe 1 du RGPD permet à chacun d’invoquer une situation particulière, liée à son parcours personnel, pour s’opposer à un traitement de ses données personnelles (« droit d’opposition », visé aussi par l’article 56 de la loi informatique et libertés).
MAJ 9 nov.2023 : La Cour européenne des droits de l’homme retient que la condamnation d’un journal à anonymiser, dans ses archives en ligne, un article mentionnant l’identité d’une personne condamnée, ne viole pas l’article 10 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales : https://hudoc.echr.coe.int/fre#{%22itemid%22:[%22002-13311%22]}
Mise à jour du 24 avril 2024
Les juridictions de première instance ont pu juger, en matière de mention de condamnations pénales, que le droit à l’information prévalait, tout en reconnaissant l’atteinte au respect de la vie privée.
D’autres décisions paraissent plus favorables au respect de la vie privée, dans un contexte particulier.
Il sera rappelé qu’aux termes de l’article 4 du règlement européen dit
RGPD, les “données à caractère personnel” sont toute information se
rapportant à une personne physique identifiée ou identifiable, une
“personne physique identifiable” étant une personne physique qui peut
être identifiée, directement ou indirectement, notamment par référence
à un identifiant, tel qu’un nom, un numéro d’identification, des données
de localisation, un identifiant en ligne, ou à un ou plusieurs éléments
spécifiques propres à son identité physique, physiologique, génétique,
psychique, économique, culturelle ou sociale.
Au sens du RGPD , un “traitement de données personnelles” est toute
opération ou tout ensemble d’opérations effectuées ou non à l’aide de
procédés automatisés et appliquées à des données ou des ensembles de
données à caractère personnel, telles que la collecte, l’enregistrement,
l’organisation, la structuration, la conservation, l’adaptation ou la
modification, l’extraction, la consultation, l’utilisation, la
communication par transmission, la diffusion ou toute autre forme de
mise à disposition, le rapprochement ou l’interconnexion, la limitation,
l’effacement ou la destruction. Il sera ici rappelé, comme indiqué plus
haut, que l’activité d’un moteur de recherche doit être qualifiée de
traitement de données à caractère personnel au sens de ce texte (cf. arrêt
de la CJUE du 13 mai 2014 Costeja, affaire C6131/12).
Il ressort de l’article 51 de la loi du 6 janvier 1978, dans sa version
issue de l’ordonnance n°2018-1125 du 12 décembre 2018 transposant
en droit français le RGPD, que toute “personne physique identifiable”
au sens sus-cité a le droit d’obtenir du responsable du traitement
l’effacement, dans les meilleurs délais, de données à caractère personnel
la concernant et ce pour les motifs et selon les conditions prévues à
l’article 17 du RGPD, lequel doit être notamment interprété au regardde la jurisprudence de la Cour de justice de l’Union européenne.
L’article 17 sus-cité dispose notamment que la personne concernée a
le droit d’obtenir du responsable du traitement l’effacement, dans les
meilleurs délais, de données à caractère personnel la concernant et que
le responsable du traitement a l’obligation d’effacer ces données à
caractère personnel dans les meilleurs délais, lorsque s’applique l’un des
motifs mentionnés parmi lesquels le fait que les dites données ne sont
plus nécessaires au regard des finalités pour lesquelles elles ont été
collectées ou traitées ou qu’elles ont fait l’objet d’un traitement illicite.
Il résulte de l’ensemble de ces éléments :
– qu’une personne physique peut demander à un moteur de recherche
accessible sur le territoire national de supprimer de la liste des résultats,
affichée à la suite d’une recherche effectuée à partir de ses prénom et
nom, des liens vers des pages web identifiées par leurs URL, publiées
par des tiers et contenant des informations relatives à cette personne,
– que le déréférencement est justifié lorsque les données à caractère
personnel sont inexactes, incomplètes, équivoques, périmées ou lorsque
des motifs légitimes s’opposent au traitement de ces données,
– que les droits à la vie privée et à la protection des données à caractère
personnel doivent se concilier avec les droits à la liberté d’expression
et d’information, dans la recherche d’un juste équilibre prenant en
compte l’intérêt légitime des internautes potentiellement intéressés à
avoir accès à une information,
– qu’il convient à ce titre d’opérer une distinction entre :
– les données dites “sensibles” (art. 9 du RGPD) : données
révélant l’origine raciale ou ethnique, les opinions politiques, les
convictions religieuses ou philosophiques ou l’appartenance syndicale,
données génétiques, données biométriques, données de santé, et
données concernant la vie sexuelle ou l’orientation sexuelle,
– les données relatives à des infractions ou des condamnations
pénales (art. 10 du RGPD), comprenant également les informations
relatives à l’implication d’une personne dans une procédure pénale,
– les autres données à caractère personnel ne relevant d’aucune
de ces deux catégories,
– que s’agissant des données dites “sensibles”, l’ingérence dans les
droits fondamentaux au respect de la vie privée et à la protection des
données à caractère personnel de la personne concernée est susceptible
d’être particulièrement grave en raison de la sensibilité de ces données
et leur accès à partir d’une recherche sur le nom de la personne doit être
strictement nécessaire à l’information du public, sauf à ce qu’elles aient
été manifestement rendues publiques par la personne qu’elles
concernent,
– que s’agissant des données en matière pénale, il doit être tenu
compte, afin de déterminer si l’indexation est strictement nécessaire à
l’information du public, de la nature et la gravité de l’infraction, dudéroulement de la procédure, de son issue et de l’étape de cette
procédure à laquelle renvoie l’information, du temps écoulé, du rôle
joué par la personne dans la vie publique et de son comportement dans
le passé (décision CJUE du 24 septembre 2019, affaire C-136/17),
– que s’agissant des données en matière pénale, si la mise en balance
sus-décrite conduit à privilégier le droit à l’information, alors
l’exploitant du moteur de recherche devra aménager le référencement
pour mettre en valeur les contenus les plus à jour, reflétant la situation judiciaire actuelle du demandeur.
[…]
Le traitement de ces données par la société GOOGLE LLC dans le
cadre de l’indexation de l’article constitue une ingérence importante,
compte tenu du caractère particulièrement sensible des informations
pénales qu’elles contiennent, dans le droit fondamental de X à voir protéger ces donnéesainsi que sa vie privée. En effet,
contrairement à ce que soutient la défenderesse, la mention dans une
publication, et par conséquent le traitement de cette mention dans le
cadre de l’indexation, des condamnations pénales dont une personne a
fait l’objet, y compris à l’occasion de son activité professionnelle, porte
atteinte à son droit au respect dû à sa vie privée (CEDH, arrêt du 28
juin 2018, M.L. et W.W. c. Allemagne, n° 60798/10 et 65599/10).
…
Il convient par conséquent de déterminer si l’indexation est strictement
nécessaire à l’information du public en tenant compte à cette fin de la
nature et la gravité de l’infraction, du déroulement de la procédure, de
son issue et de l’étape de cette procédure à laquelle renvoie
l’information, du temps écoulé, du rôle joué par la personne dans la vie
publique et de son comportement dans le passé.…
Les procédures et décisions pénales évoquées, qui correspondent aux
données les plus sensibles, sont récentes, […], et présentent une certaine gravité au au vu des
préjudices financiers évoqués et des peines d’emprisonnement
prononcées.Leur mention est d’un particulier intérêt pour le public dès
lors qu’elles concernent des faits commis à l’occasion […] dont l’activité,[…], est en
lien avec le public et que […]L’indexation de cet article, à partir des données personnelles de X apparaît dès lors strictement nécessaire à l’information du
public.[…]
Dans un arrêt du 29 mars 2024, la Cour d’appel de Paris, il est question d’une affaire où l’organe de presse avait pris soin d’anonymiser l’article mentionnant des condamnations pénales sur des faits vieux de plus de dix ans. L’article avait été repris, dans sa version non anonymisée, par un autre site. Google avait refusé la demande de déréférencement de cet article. L’éditeur n’était pas identifiable. Le condamné assigne alors l’hébergeur du site pour demander la supression de la page contenant l’article litigieux. Ledit hébergeur ne se présente pas à l’instance d’appel. Et l’arrêt est donc rendu sur la base des seuls arguments du condamné et du jugement de 1ère instance.
L’arrêt est intéressant en ce que la cour retient comme hébergeur- , contrairement au juge de première instance et sur éléments nouveaux, – la société qui héberge WordPress (un CMS (logiciel standard de management de site)) mais pas celle qui héberge les données propres au site et déposées par l’éditeur du site.
La cour fait prévaloir le droit au respect de la vie privée, en citant ces textes :
« l’article 51 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dispose que « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 ». Aux termes de l’article 17 du règlement 2016/679 du 27 avril 2016, dit règlement RGPD :
« 1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :
a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement ;
c) la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2 ;
d) les données à caractère personnel ont fait l’objet d’un traitement illicite ;
e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ;
f) les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information visée à l’article 8, paragraphe 1.
[…]
3. Les paragraphes 1 et 2 ne s’appliquent pas dans la mesure où ce traitement est nécessaire :
a) à l’exercice du droit à la liberté d’expression et d’information […] ».
S’agissant des données à caractère personnel relatives à des procédures pénales, l’article 46 de la loi du 6 janvier 1978 dispose que :
« Les traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes ne peuvent être effectués que par :
1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ainsi que les personnes morales de droit privé collaborant au service public de la justice et appartenant à des catégories dont la liste est fixée par décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, dans la mesure strictement nécessaire à leur mission ;
2° Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
3° Les personnes physiques ou morales, aux fins de leur permettre de préparer et, le cas échéant, d’exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci et de faire exécuter la décision rendue, pour une durée strictement proportionnée à ces finalités. La communication à un tiers n’est alors possible que sous les mêmes conditions et dans la mesure strictement nécessaire à la poursuite de ces mêmes finalités ;
4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ;
5° Les réutilisateurs des informations publiques figurant dans les décisions mentionnées à l’article L. 10 du code de justice administrative et à l’article L. 111-13 du code de l’organisation judiciaire, sous réserve que les traitements mis en oeuvre n’aient ni pour objet ni pour effet de permettre la réidentification des personnes concernées ».
Ces dispositions assurent la mise en oeuvre en droit national de celles de l’article 10 du règlement général sur la protection des données, qui disposent que :
« Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l’article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique ».
Il doit encore être rappelé qu’en application des articles 774 et suivants du code de procédure pénale, les bulletins n°1 et 2 du casier judiciaire ne peuvent être délivrés qu’aux autorités judiciaires pour le premier ainsi qu’à certaines autorités publiques et militaires pour le second.
En application de l’article 777 du même code, le bulletin n°3, qui recense les condamnations pour crime ou délit à des peines privatives de liberté d’une durée supérieure à deux ans notamment, peut être réclamé par la personne qu’il concerne mais « ne doit, en aucun cas, être délivré à un tiers, sauf s’il s’agit de l’autorité centrale d’un Etat membre de l’Union européenne, saisie par la personne concernée ».
Il résulte de ces dispositions que, lorsque des liens mènent vers des pages web contenant des données à caractère personnel relatives à des procédures pénales, l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée est susceptible d’être particulièrement grave en raison de la sensibilité de ces données. La demande d’effacement de ces données sensibles doit en conséquence être accueillie par le responsable du traitement et il n’en va autrement que s’il apparaît, compte tenu du droit à la liberté d’information, que l’accès à une telle information à partir d’une recherche portant sur le nom de la personne concernée est strictement nécessaire à l’information du public (CE, 6 décembre 2019, n° 401258).
Au cas présent, il résulte des pièces produites par M. [I] que l’article litigieux donne au public un accès direct et permanent à la condamnation dont il a fait l’objet, alors même qu’en application des dispositions précitées du code de procédure pénale, l’accès aux données relatives aux condamnations pénales d’un individu n’est possible que dans des conditions restrictives et pour des catégories limitées de personnes.
[…]
Au regard des répercussions qu’ont les informations litigieuses sur la réputation de la société de M. [I] ainsi que sur la vie privée et professionnelle de celui-ci, de l’ancienneté des faits et de la condamnation pénale, et enfin de l’absence de notoriété de M. [I], le maintien des informations en ligne, à la disposition permanente du public, n’est pas strictement nécessaire à l’information du public, de sorte que leur suppression s’impose.
M. [I], qui subit un dommage occasionné par le contenu d’un service de communication au public en ligne, est donc fondé à solliciter le retrait de la page du site internet contenant l’article litigieux en application de l’article 6, I-8, de la LCEN précité.
Il est donc pris acte de la réinsertion du condamné, de l’absence de débat d’intérêt général, et de la nécessité de faire cesser la diffusion de l’information, impliquant la stigmatisation et le banissement commercial, obstacles à la réinsertion.
MAJ du 10/05/2024 30 avril 2024 – Le libre accès n’exclut pas la déloyauté de la collecte, Cour de cassation, Pourvoi n° 23-80.962, Chambre criminelle – Formation de section PUBLIÉ AU BULLETIN – Pourvoi_n°23-80.962_30_04_2024 collecte illicite de données sur internet
L’enquêteur privé qui effectue des enquêtes sur des personnes à partir d’informations en libre accès sur internet (réseaux sociaux, sites web, sites de presse régionale, annuaires, etc.) peut être condamné pour le délit de collecte déloyale de données à caractère personnel, les personnes concernées n’ayant pas été informées, ni pu exercer leur droit d’opposition.
On s’interroge sur l’impact de cet arrêt en ce qui concerne l’ensemble des annuaires, sites et plateformes diverses en ligne qui collectent des données sans l’autorisation des personnes concernées. Nous saluons cet arrêt publié au bulletin du 30 avril 2024 de la Cour de cassation qui souligne qu’un traitement des données personnelles n’a plus de fondement quand il est utilisé pour des fins qui auraient dues être consenties au préalable par les personnes concernées. Les collectes de données effectuées par des personnes privées, et pas seulement celles effectuées pour des fins de surveillance et de contrôle, sont soumises à l’accord prélable des personnes. Cela devrait remettre en cause les méthodes des enquêteurs privés, et des annuaires, sites et plateformes, qui collectent des données personnelles sans autorisation préalable.
Dans l’affaire C-446/21, l‘avocat général souligne que l’expression publique de son orientation sexuelle par l’utilisateur d’un réseau social rend cette donnée « manifestement publique », sans pour autant autoriser son traitement à des fins de publicité personnalisée.
Mise à jour du 6 avril 2025
Tribunal judiciaire de Strasbourg, 30 janvier 2025, n° 24/00755
Retrait de propos diffamatoires en ligne, Responsabilité de l’hébergeur
Dans cette affaire, l’action en diffamation du plaignant est prescrite.
Afin de faire retirer les propos diffamatoires, il attaque l’hébergeur sur le fondement de L’article 6-3 de la loi n° 2004-575 du 21 juin 2004, créé par la loi du 21 mai 2024, pour la confiance dans l’économie numérique.
Classiquement, l’hébergeur fait preuve de mauvaise volonté dilatoire, en répondant que l’action en diffamation étant prescrite, le caractère manifestement illicite des propos litigieux ne peut être, par voie de conséquence, ni jugé ni établi.
Sauf que l’hébergeur n’est pas le diffamant et que l’article 6-3 n’exige pas la démonstration d’un caractère manifestement illicite, mais la démonstration d’un préjudice causé par les propos litigieux, nécessitant que ces derniers soient retirés par l’hébergeur.
La demande de retrait formée par le plaignant est en ce sens fondée, dès lors qu’il établit son préjudice.
Mon observation : La liberté d’expression et la loi sur la presse ne sauraient peser d’un trop lourd et éternel fardeau sur la vie privée ou professionnelle des gens, confinant à une sorte de surveillance publique malsaine et déplacée.
En revanche le plaignant n’a pas gain de cause dans sa demande d’indemnisation contre l’hébergeur pour absence de réactivité.
Cette fois-ci, l’article 6, I, 2° de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique exige la démonstration du caractère manifestement illicite du contenu litigieux, qui, en l’espèce n’est effectivement pas établi.
Conclusion : Il reste nécessaire de saisir la justice pour vaincre la résistance de l’hébergeur et faire retirer les propos litigieux !