
Les réseaux sociaux, heurs et malheurs
Définition du droit à l’oubli
Le droit à l’oubli est l’objet d’un important travail législatif européen. Il est mentionné dans la directive sur la protection des données de 1995 n° 95/46/CE jusqu’à une décision n°C-131/12 de la Cour de Justice de l’Union Européenne du 13 mai 2014 qui a consacré le droit à l’oubli en Europe.
Consécration relative par le RGPD
- Le 14 avril 2016 a été adopté le règlement régulation européenne pour la protection des données (General Data Protection Regulation). Celui-ci entrera en vigueur le 24 mai 2018. Il prévoit notamment que le consentement du sujet devra être donné explicitement, que les pouvoirs des autorités nationales indépendantes chargées de la protection des données seront renforcés ou que des sanctions pour manquement au respect de ce règlement seront adressées aux entreprises.
Le responsable du site où est présent l’information dispose d’un délai légal de deux mois pour répondre à la demande du plaignant (conformément à l’article 94 du Décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés). En cas de non réponse ou de refus, le plaignant peut porter plainte auprès de la CNIL.
Le droit à l’oubli s’applique concrètement de 2 manières :
- par le retrait de l’information sur le site d’origine, on parle alors du droit à l’effacement (I)
- par un déréférencement du site par les moteurs de recherches, on parle alors du droit au déréférencement (II).
Le droit à l’effacement
- Le droit au déréférencement
Le droit au déréférencement, découlant du droit à l’oubli, permet de demander à un moteur de recherche de supprimer certains résultats de recherche associés aux noms et prénoms.
Pour procéder à un déréférencement, il suffit d’écrire au moteur de recherche en demandant la suppression de ce référencement.
Toutefois, s’il y a un refus ou une absence de réponse de la part du moteur de recherche, toute personne résidant en France pourra alors saisir la CNIL (ou les juridictions judiciaires – la CNIL a une action « verticale » de service public pour des actions de grande envergure – le juge judiciaire est plus adéquat dans les rapports privés horizontaux, entre adversaires.
Un tel droit n’est cependant pas absolu. La suppression de telles données doit être appréciée au cas par cas. Cette analyse se fera en fonction de la nature de l’information, de son atteinte à la vie privée de la personne concernée et de l’intérêt pour le public à la recevoir (s’il y a un caractère de notoriété attaché à la personne par exemple). la date de la publication, ainsi que sa portée politique seront également pris en compte.
Cependant, le Conseil d’Etat, dans une décision rendue le 24 février 2017 s’est permis de renvoyer plusieurs questions préjudicielles à la Cour de Justice de l’Union Européenne concernant la mise en oeuvre du droit au déréférencement. En effet il soulève plusieurs difficultés relatives à la portée de la directive européenne du 24 octobre 1995 sur la protection des personnes physiques à l’égard des traitements de données à caractère personnel, après la première interprétation donnée par la Cour de justice de l’Union européenne dans son arrêt “Google Spain”. Ces questions concernent les obligations de déréférencement pesant sur l’exploitant d’un moteur de recherche dans l’hypothèse ou les pages web qu’il traite contiennent des informations sensibles dont la collecte et le traitement est illicite ou très encadré (parce qu’elles révèlent une orientation sexuelle, des opinions politiques, religieuses ou philosophiques, ou qu’elles contiennent des informations relatives à des infractions, condamnations pénales ou mesures de sûreté). Ainsi, le Conseil d’Etat a considéré que l’arrêt de la CJUE n’était pas assez précis pour lui permettre de prendre sa décision. Il demande à la Cour si les règles applicables aux données sensibles sont applicables aux moteurs de recherche ? S’ils doivent déréférencer les liens vers des pages web qui traitent ces données ou peuvent-ils refuser de le faire ?
Enfin, il faut préciser que cette procédure ne s’applique que pour l’Europe, les versions européennes de Google notamment. La désindexation ne se fera pas sur les versions des Etats tiers à l’Union Européenne du moteur de recherche.
- les internautes peuvent saisir l’exploitant d’un moteur de recherche d’une demande de déréférencement d’une page web qui porterait atteinte à leur vie privée.
- L’exploitant examinera alors le bien fondé de la demande, au regard des conditions fixées par la CJUE.
- En cas d’absence de réponse ou de réponse insatisfaisante, le plaignant pourra saisir la CNIL ou la justice afin qu’elles vérifient et ordonnent les mesures nécessaires.