Le droit à l’oubli
Le droit à l'oubli est un concept émanant de l'Union européenne permettant à un individu de demander le retrait sur le World Wide Web de certaines informations qui pourraient lui nuire sur des actions qu'il a faites dans le passé. Le droit à l'oubli s'applique concrètement soit par le retrait de l'information sur le site d'origine, on parle alors du droit à l'effacement, soit par un déréférencement du site internet par les moteurs de recherches, on parle alors du droit au déréférencement.
L’oubli par Paul Cabet (1815-1876)
Contexte historique
Le droit à l'oubli émane en premier lieu des institutions européennes, avec la Directive sur la protection des données en 1995 , puis un cheminement qui a abouti à la décision de la Cour de justice de l'Union européenne du 13 mai 2014 consacrant un droit à l'oubli en Europe.
1995: La directive européenne sur la protection des données
En 1995, l'Union européenne a adopté la directive 95/46/CE sur la protection des données personnelles permettant de réglementer le traitement des données à caractère personnel ainsi que leur libre circulation. Cette directive est en réalité le fruit d'une longue histoire de protection de la vie privée des citoyens par la régulation. De la Convention européenne des droits de l'homme, qui consacre dans son Article 8 le droit de toute personne au respect « de sa vie privée et familiale, de son domicile et de sa correspondance », à la Charte des droits fondamentaux de l'Union européenne, qui consacre également dans son Article 7 le respect de la vie privée et familiale, la protection des données personnelles apparaît désormais comme l'un des « droits fondamentaux majeurs » défendus par l'Union européenne.
La directive précise ainsi en les définissant, des notions telles que « données à caractère personnel », « traitement » de telles données, « responsable » et « consentement de la personne concernée ». Le responsable doit s'assurer que les données sont « collectées pour des finalités déterminées », « non excessives au regard des finalités pour lesquelles elles sont collectées » et « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ». Enfin, la directive prévoit que le « traitement (...) ne peut être effectué que si (...) la personne concernée a indubitablement donné son consentement ».
C'est sur cette directive que s'appuie la Cour de justice européenne pour consacrer ce qui est désormais désigné par l'appellation « droit à l'oubli ».
2009 : La France pour le droit à l'oubli
C'est la secrétaire d'État chargée de la prospective et du développement de l'économie numérique du gouvernement français, Nathalie Kosciusko-Morizet, qui relance en 2009 la campagne pour promouvoir un droit à l'oubli numérique . Cette campagne aboutit fin 2010 avec la signature, le 30 septembre 2010 et le 13 octobre 2010, des Chartes du droit à l'oubli numérique - dont ni Facebook ni Google ne seront signataires. Cette charte prévoit notamment que les signataires s'engagent à « proposer un moyen (...) afin de pouvoir demander la modification ou la suppression (...) de toute donnée personnelle publiée ».
2011 : L'Avis 15/2011 du G29 sur le consentement
En 2011, le G29, l'autorité responsable de la protection des données personnelles au sein des institutions européennes publie l'Avis 15/20116 qui souligne en particulier que la « notion de contrôle est (...) liée au fait que la personne concernée doit être en mesure de retirer son consentement ».
2010-2012 : La Commission européenne pour le droit à l'oubli
Viviane Reding, alors vice-présidente de la Commission européenne et Commissaire européenne à la justice, aux droits fondamentaux et à la citoyenneté, prononce le 30 novembre 2010 un discours lors de la European Data Protection & Privacy Conference , où elle introduit explicitement le droit à l'oubli et la protection des données personnelles comme l'une des « valeurs » et comme un « droit fondamental » de l'Europe.
Cette initiative aboutit le 25 janvier 2012 avec la publication par la Commission Européenne d'une proposition de régulation européenne pour la protection des données (en anglais : General Data Protection Regulation). Le texte est par la suite amendé par le Parlement européen et le Conseil des ministres. Il est voté le 12 mars 2014 par le Parlement européen et transmis par son président aux Conseil des ministres et à la commission. Son adoption était prévue au début de l'année 2015 pour commencer à s'appliquer en 2017. Celui-ci prévoit : que les règles de l'Union s'appliquent même si le traitement des données personnelles se fait « à l'étranger par des entreprises implantées sur le marché européen et proposant leurs services aux citoyens de l'Union », un « corpus unique de règles » pour supprimer les « obligations administratives inutiles » qui représenteraient une « économie annuelle de (...) 2,3 milliards d'EUR », que le consentement du sujet « devra être donné explicitement », de renforcer les pouvoirs des autorités nationales indépendantes chargées de la protection des données des sanctions pouvant atteindre 100 millions d'EUR ou 5 % du chiffre d'affaires annuel global de l'entreprise, l'obligation de portabilité des données personnelles.
Droit à l'oubli » ou liberté d'expression : les décisions de la Cour de justice de l'Union européenne
L'obligation de déréférencement à la demande de l'internaute imposée par le droit de l'Union à l'exploitant d'un moteur de recherche est limitée à l'Europe. Par ailleurs, le droit à la protection des données à caractère personnel n'est pas un droit absolu. C'est ce que vient de juger la Cour de justice de l'Union européenne (CJUE) dans deux arrêts du 24 septembre 2019.
En 2014, la Cour de justice de l'Union européenne (CJUE) a créé un « droit au déréférencement », appelé également « droit à l'oubli » ou « droit à l'effacement ». Depuis, un citoyen de l'Union européenne a le droit de demander aux moteurs de recherche de supprimer dans leurs résultats, à la suite d'une requête portant sur son nom, le lien vers des pages le concernant. La Cour délimite d'abord l'étendue géographique de ce droit à l'Europe.
Le litige opposait la Commission nationale de l'informatique et des libertés (CNIL) à un exploitant de moteur de recherche. Celui-ci avait exécuté la demande de déréférencement de 4 personnes mais avait refusé de donner suite à une mise en demeure de la CNIL d'appliquer la désindexation demandée sur toutes les extensions de nom de domaine de son moteur de recherche.
L'exploitant de moteur de recherche affirmait en effet que le respect du droit à l'oubli au-delà des frontières européennes aurait engendré des risques pour la liberté d'expression, en particulier dans certains pays autoritaires. Il avait donc supprimé uniquement les liens des résultats affichés depuis les versions européennes du moteur de recherche, ce qui lui avait valu une amende de 100 000 € de la part de la CNIL.
La Cour a tranché. Il n'existe pas d'obligation de déréférencer sur l'ensemble des versions de son moteur de recherche. L'exploitant est seulement tenu de déréférencer sur les versions de son moteur de recherche correspondant à l'ensemble des États membres. Il doit également veiller à l'efficacité de la protection en prenant des mesures propres à empêcher ou à sérieusement décourager les internautes d'avoir accès aux liens litigieux.
Néanmoins, les juges européens précisent que, si la législation européenne n'impose pas un déréférencement « mondial », elle ne l'interdit pas non plus. En effet, un État membre demeure compétent pour statuer entre, d'une part, le droit au respect de sa vie privée et à la protection des données à caractère personnel et, d'autre part, le droit à la liberté d'information.
Dans la deuxième affaire, l'exploitant de moteur de recherche avait refusé de déréférencer plusieurs liens renvoyant notamment vers des condamnations pour actes pédophiles, la mise en examen d'un homme politique et un photomontage satirique d'une femme politique. La Cour a précisé que le droit à la protection des données à caractère personnel n'est pas un droit à caractère absolu. Il doit être mis en balance avec d'autres droits fondamentaux, tel que le droit fondamental à la liberté d'information des internautes, et dans le respect du principe de proportionnalité.
Ainsi, l'exploitant d'un moteur de recherche est tenu de vérifier si l'inclusion du lien vers la page web litigieuse est nécessaire à l'exercice du droit à la liberté d'expression.
Sur le sujet du droit à l'oubli, un juste équilibre doit donc être trouvé entre le droit au respect de la vie privée et celui de la liberté d'information du public.
Y.D.F. (mai 2020)
Références :
Affaire C-XX/XX – 13 mai 2014 - Arrêt de la Cour de justice de l'Union européenne
Affaire C-507/17 - 24 septembre 2019 - Arrêt de la Cour de justice de l'Union européenne
Affaire C-136/17 - 24 septembre 2019 - Arrêt de la Cour de justice de l'Union européenne
Sources : www.service-public.fr et Wikipédia