CGV – CGU

Conditions Générales de Vente

Conditions Générales d’Utilisation

Mentions légales

19 Mai 2021 – Rapport du 117e congrès – Commission 1 – Chapitre I – Les droits à l’effacement (ou « le droit à l’oubli »)

Posté à 11:42h dans par
0 Likes
PARTIE III – La mort dans le monde numérique
Titre 1 – La disparition numérique de son vivant
Sous-titre 2 – La suppression des données numériques

Chapitre I – Les droits à l’effacement (ou « le droit à l’oubli »)

1429 Le droit à l’effacement lui-même a trouvé deux incarnations, selon qu’il s’applique à toute nature de données en général (Section I) ou à celles spécifiquement traitées par un moteur de recherche, sous la dénomination particulière de droit au déréférencement (Section II).

Section I – Le droit à l’oubli

1430 – Un périmètre particulier. – L’article 17 du RGPD, limite les cas dans lesquels il est possible de formuler une demande d’effacement. Cette limitation peut paraître paradoxale s’agissant de l’exercice de droits de toute personne concernée ; droits présentés comme de principe dans de nombreux considérants du RGPD690.
Cette demande n’est ainsi possible que pour :

les données dont les raisons ayant conduit à les collecter ont disparu691 ;

les données dont le traitement était fondé sur le consentement exprimé par la personne concernée (et que sa demande d’effacement retire ainsi implicitement) ;

les données pour lesquelles la personne concernée a droit d’opposition (que le droit d’effacement recouvre donc) ;

les données traitées illicitement, ou dont l’effacement fait l’objet d’une obligation légale ;

les données collectées au sujet de mineurs692.

Comme tout droit accordé aux personnes concernées sur leurs données, le droit à l’effacement est organisé dans sa mise en œuvre (Sous-section I) et limité dans ses effets (Sous-section II).
Sous-section I – L’exercice du droit à l’oubli
1431 – Une demande d’effacement… – La mise en œuvre par une personne concernée de son droit à l’effacement suppose tout d’abord une demande, présentée à un responsable de traitement. L’objet d’une telle demande ne suppose pas de commentaires : il s’agit du retrait pur et simple des données du traitement dans lequel elles avaient été enregistrées.
Contrairement à la limitation ou l’opposition à traitement, il n’y a ici aucun repentir, aucune reprise possible de traitement ; les données ont disparu, ne sont plus récupérables, et ne peuvent donc plus être traitées ou portées, sans une nouvelle collecte préalable.
Après l’effacement qu’il réalise lui-même, le responsable de traitement qui avait rendu publiques693 ou qui avait communiqué694 les données qu’il efface – sur demande de la personne concernée, sur injonction de la Cnil ou décision judiciaire – doit informer les autres responsables de traitement qui exploitent les mêmes données, de la demande de leur effacement ou de celui de tout lien qui y conduit.
1432 – … devant être transmise, si possible. – Toutefois, cette obligation de transmission n’est que de moyen, et pourrait même être qualifiée de modérée ou allégée – par opposition aux obligations de moyen spécialement renforcées – tant, après en avoir énoncé l’obligation, le texte en limite le caractère contraignant, en ne prévoyant que des mesures raisonnables, « compte tenu des technologies disponibles et des coûts de mise en œuvre » ou « à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés ».
Ces limites sont regrettables, car toutes les appréciations subjectives sont ici a priori possibles. Un responsable de traitement pourra toujours, de prime abord, justifier de son impossibilité de diffuser la demande d’effacement aux responsables de traitements avec qui il a partagé des données.
Pourtant, comment admettre que des contraintes techniques ou financières pourraient empêcher de revenir sur une transmission de données que ces mêmes limites n’avaient pas entravée ?
Il faut espérer que les autorités de contrôle et juridictions n’admettront ces limites qu’avec cette appréciation en tête, et attendre que la pratique de la Cnil et les jurisprudences du Conseil d’État et de la Cour de justice de l’Union européenne élaborent une grille d’appréciation, elle-même forcément proportionnée à la sensibilité des données personnelles en cause.
Il aurait été plus équitable de ne permettre la transmission de données entre responsables de traitement ou sous-traitants qu’à condition d’en assurer la réversibilité.
1433 – Une procédure semblable. – Comme pour l’exercice de chacun des droits des personnes concernées ici évoqués695, la demande d’effacement est possible par tous les moyens : formulaires sur les sites internet, courrier postal, demande téléphonique ou sur place ; avec les mêmes réserves.
Tout autant pour l’effacement que pour l’opposition, la personne concernée doit présenter une demande précise, désignant avec exactitude les données dont elle demande l’effacement (telle photo, telle vidéo, telle page, telle information, etc.).
À la différence du droit d’opposition, la demande d’effacement n’a pas à être motivée. Dans son périmètre, sa satisfaction est de droit.
Comme dans l’hypothèse des autres demandes, le responsable de traitement doit faire droit à la demande d’effacement (ou notifier et motiver un refus) dans les meilleurs délais, et dans la limite de principe d’un mois, ou doit dans ce délai notifier et motiver le besoin d’un délai supplémentaire, dans la limite de trois mois.
L’urgence du traitement de la demande d’effacement est même soulignée par l’inscription à deux reprises de l’expression « dans les meilleurs délais » dans l’unique phrase du premier alinéa de l’article 17 du RGPD qui l’institue696.
Sous-section II – Les nombreuses limites du droit à l’oubli
1434 – Des refus possibles ou nécessaires. – Le responsable de traitement peut refuser ou ne répondre que partiellement à une demande d’effacement, dans la seule mesure où il a la possibilité ou l’obligation d’opposer un motif légitime à cette demande d’effacement.
Par exemple, si une demande porte sur l’effacement d’un compte client, cette demande ne pourra s’étendre aux factures émises, puisque tout fournisseur a par ailleurs l’obligation de les conserver dix ans697.

§ I – Les limites prévues par le RGPD

1435 Au-delà de telles limites générales au droit à l’effacement, le RGPD prévoit des exceptions spécifiques698, lorsque le traitement est nécessaire :

à l’exercice du droit à la liberté d’expression et d’information ;

au respect d’une obligation légale ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique ;

à l’intérêt public dans les domaines de la santé publique (ou, à condition d’anonymisation, dans ceux de la recherche scientifique, historique, ou statistique)699 ;

à des fins archivistiques, scientifiques, historiques, statistiques, universitaires, artistiques ou littéraires700 ;

à la constatation, l’exercice ou la défense de droits en justice.

En plus des exceptions particulières au droit à l’effacement, il faut rappeler que l’article 85 du RGPD prévoit que les États membres concilient par la loi le droit à la protection des données avec celui lié à la liberté d’expression et d’information en prévoyant des exceptions ou dérogations, notamment aux droits des personnes concernées.

§ II – Les limites prévues par la loi informatique et libertés

1436 Au-delà des limites prévues par le RGPD, la loi informatique et libertés701 a ajouté (pour le droit d’accès, de rectification et d’effacement ; pas pour le droit à la limitation et à l’opposition) d’autres exceptions :

les traitements mis en œuvre par les administrations publiques et les personnes privées chargées d’une mission de service public qui ont pour mission de contrôler et recouvrer des impositions ;

les traitements intéressant la sécurité publique ;

les traitements mis en œuvre par les juridictions financières, dans le cadre de leurs missions non juridictionnelles.

Une demande d’effacement par exercice du droit à l’oubli est donc susceptible d’échouer, en raison des conditions et périmètre de celui-ci. Ainsi est-il apparu nécessaire aux personnes concernées de limiter l’accès à ces pages internet qui demeuraient. C’est ce qui a conduit à la création prétorienne du droit au déréférencement.

Section II – Le droit au déréférencement d’un contenu dans un moteur de recherche

1437 – De quoi s’agit-il ? – Un moteur de recherche rattache des contenus numériques à des index. Ces contenus sont ainsi présentés en résultat de requêtes numériques utilisant ces index.
Certains de ces index sont des données nominatives. C’est ainsi qu’une recherche sur le nom d’une personne révèle toutes ou de très nombreuses pages web relatives à la personne sur le nom de laquelle une recherche a été lancée.
Certains optimisent ces fonctions, voire utilisent des artifices pour voir leurs propres contenus affichés en bonne place lors des résultats d’une requête sur ces moteurs ; procédés promotionnels prohibés à toutes les professions auxquelles la publicité personnelle est interdite.
À l’inverse, certaines personnes souhaiteraient que des pages web, anciennes ou négatives, ne soient plus associées à leur nom, ou au moins qu’elles n’apparaissent plus en premiers résultats sur une requête nominative. Il ne s’agit pas de la suppression des pages web en question, qui résulterait du droit à l’effacement702 – lui-même possible, ou non, selon le périmètre et les exceptions de ce droit –, mais simplement du retrait des références à ces pages (au moins en premiers rangs) en réponse à une interrogation nominative sur un moteur de recherche.
Sous-section I – Une création jurisprudentielle : l’arrêt Google Spain
1438 – D’où vient-il ? – Ce droit au déréférencement est une création de l’Agence espagnole de protection des données (Agencia Española de Protección de Datos [AEPD]) recevant la requête et l’argumentation juridique d’un particulier, M. Costeja Gonzàles.
Le mérite en est souvent attribué à la Cour de justice de l’Union européenne, dans son arrêt Google Spain du 13 mai 2014, mais c’est oublier que cet arrêt ne fut que confirmatif de la décision prise par l’autorité de contrôle espagnole le 30 juillet 2010, elle-même ne faisant que recevoir l’analyse juridique d’un simple requérant.
M. Costeja Gonzàles avait introduit auprès de l’Agence espagnole de protection des données une réclamation à l’encontre du journal espagnol La Vanguardia, et de Google Spain et Google Inc. au sujet de deux pages de ce journal mentionnant une annonce de vente aux enchères sur saisie pour recouvrement d’une dette de sécurité sociale, dont il avait fait l’objet seize ans plus tôt, qu’il voulait voir disparaître.
Devant le refus du journal et du moteur de recherche, il avait saisi l’AEPD pour obtenir :

du journal, la disparition de cette information, ou le retrait de son nom de celle-ci ;

du moteur de recherche, la protection ou la suppression de son nom, afin qu’une recherche sur celui-ci ne donne plus de résultat ou plus de lien avec cette information.

Dans sa décision, l’AEPD avait :

rejeté la réclamation de M. Costeja Gonzàles en ce qu’elle visait La Vanguardia, estimant que la publication des informations en cause était légalement justifiée ;

accueilli cette réclamation en ce qu’elle était dirigée contre Google Spain et Google Inc., considérant que les exploitants de moteurs de recherche sont soumis à la législation en matière de protection des données, puisqu’ils réalisent un traitement de données pour lequel ils sont responsables et que cette obligation de déréférencement peut incomber directement aux exploitants de moteurs de recherche, sans qu’il soit nécessaire d’effacer les données ou les informations du site web où elles figurent.

Google Spain saisit l’Audiencia Nacional, la juridiction suprême espagnole, d’un recours contre l’injonction de l’AEPD.
Celle-ci adressa alors en février 2012 une demande de décision préjudicielle à la Cour de justice de l’Union européenne.
1439 – L’arrêt Costeja Gonzàles du 13 mai 2014. – C’est ainsi qu’est intervenu l’arrêt en Grande chambre de la Cour de justice de l’Union européenne du 13 mai 2014, dit « arrêt Google Spain »703, alors qu’un hommage plus exact aurait été rendu au réel créateur du droit au déréférencement en étant appelé « arrêt Costeja Gonzàles » puisque c’est largement l’argumentation de ce plaignant qui a été accueillie par la Cour. Ceci d’autant plus que, parallèlement, la quasi-totalité des décisions rendues sur le droit au déréférencement peuvent être dénommées « arrêt Google », tant la position hégémonique de ce moteur de recherche en fait l’objet de toutes les instances sur ce sujet.
Territorialement (ce qui n’est pas l’objet de ces lignes), cette application de textes européens à l’activité d’une société américaine a été fondée sur l’exercice de son activité sur le territoire européen au moyen d’une succursale ou filiale704.
Matériellement, cette application a été fondée sur :

la qualification de l’activité des moteurs de recherche de traitement autonome, distinct des traitements « source » dont ils exploitent et indexent les données, pour les rendre plus accessibles705 ;

la qualification du moteur de recherche de responsable de ce traitement, quand bien même il n’est pas la source de l’information qu’il ne fait qu’indexer, sans même la contrôler706 ;

l’ouverture aux personnes concernées de l’exercice indépendant de leurs droits vis-à-vis des moteurs de recherche et des traitements sources ;

en conséquence la mise en œuvre des droits des personnes concernées contre les moteurs de recherches, même en refusant celle-ci contre les sites sources.

1440 – Une motivation complexe707. – La Cour de justice de l’Union européenne a :

constaté les droits du moteur de recherche, dont l’intérêt légitime à réaliser un traitement de données est rattaché à l’article 7, f) de la directive 95/46708, lequel réserve parallèlement l’intérêt ou les droits et libertés fondamentaux de la personne concernée,

mais rappelé les obligations d’un responsable de traitement d’assurer que les données à caractère personnel sont « traitées loyalement et licitement », qu’elles sont « collectées pour des finalités déterminées, explicites et légitimes, et ne [sont pas] traitées ultérieurement de manière incompatible avec ces finalités », qu’elles sont « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement », qu’elles sont « exactes et, si nécessaire, mises à jour » et, enfin, qu’elles sont « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement »709 ;

et ainsi reconnu, à la fois, d’une part, au titre du droit d’accès prévu à l’article 12, b) de la directive, les droits à la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la directive, notamment en raison du caractère incomplet ou inexact des données, et, d’autre part, au titre du droit d’opposition prévu à l’article 14, a) au moins dans les cas visés à l’article 7, points e) et f), le droit de toute personne de s’opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de disposition contraire du droit national, et sauf si, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, l’ingérence dans ses droits fondamentaux était justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question,

1441 – Une décision complexe. – Ainsi, la Cour de justice de l’Union européenne,

réalisant une « pondération des droits et des intérêts opposés en cause dans le cadre de laquelle il doit être tenu compte de l’importance des droits de la personne concernée résultant des articles 7 et 8 de la Charte »710 ;

appréciant un juste équilibre entre, d’une part, l’intérêt économique du moteur de recherche et l’intérêt légitime des internautes potentiellement intéressés à avoir accès à des informations, et, d’autre part, les droits fondamentaux de la personne concernée ;

mesurant cet équilibre au regard de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que l’intérêt du public à disposer de cette information, variant lui-même en fonction du rôle joué par cette personne dans la vie publique, qui pourrait renforcer l’intérêt du public à obtenir cette information lors de l’appréciation de cet équilibre ;

considérant que le traitement d’un moteur de recherche se distingue et s’ajoute à celui effectué par les éditeurs de sites web et affecte de manière additionnelle les droits fondamentaux de la personne concernée ; le premier pouvant être légitime et donc licite au regard de ses objectifs propres, sans légitimer le traitement complémentaire du second, notamment en raison de la publicité importante desdites informations réalisée par le traitement d’un moteur de recherche ;

et considérant que devenues inadéquates, pas ou plus pertinentes ou excessives au regard des finalités du traitement réalisé par l’exploitant du moteur de recherche, des informations et résultats de requête de moteur de recherche doivent être effacés, sans même que la personne concernée n’ait à justifier d’un préjudice ;

a décidé, non la suppression de l’information en cause du site web où elle figurait, mais la suppression, dans le seul moteur de recherche, des références nominatives de la personne concernée permettant d’y accéder711.
1442 – Un nouveau droit singulier, à effet particulier. – Ainsi, après exercice du droit au déréférencement par la personne concernée, l’information est donc toujours accessible – il ne s’agit pas d’une demande d’opposition exercée auprès du site hébergeur des informations –, mais elle n’est plus proposée à la suite d’une recherche nominative sur le moteur ayant répondu favorablement à une demande de déréférencement.
Hors du périmètre du droit d’opposition ou du droit à l’effacement du traitement de données d’origine (site hébergeur), ou en cas de refus de leur mise en œuvre par celui-ci, la personne concernée peut distinctement obtenir d’un moteur de recherche le déréférencement de ces informations, pour limiter l’accessibilité à ces données néanmoins persistantes.
1443 – Des conséquences tangibles. – Cette création jurisprudentielle a été l’occasion d’une petite révolution pour le monde d’internet en général et pour Google en particulier, qui, en plus d’être l’objet de la décision, était l’un des premiers concernés par son application en raison de sa position dominante de moteur de recherche. De nombreux articles de presse grand public ont relayé l’information712. Google lui-même a mis en place un formulaire de demande de déréférencement, conduisant à plus de cent mille demandes en quelques mois !
Pour élaborer une doctrine, Google s’est entouré d’un panel d’experts qu’il a réunis à l’occasion d’un tour d’Europe du « droit à l’oubli » fin 2014.
Cette mise en œuvre de la décision de la Cour de justice de l’Union européenne se réalise quoi qu’il en soit sous la surveillance des autorités de contrôle et des juridictions.
Sous-section II – Un régime qui demeure prétorien
1444 – Une création jurisprudentielle, qui le reste. – Le droit au déréférencement ainsi créé n’a fait l’objet d’aucune codification, ni dans le RGPD, pourtant postérieur à la décision du 13 mai 2014, ni dans la loi informatique et libertés, pourtant plusieurs fois réécrite depuis713.
Tout au plus trouve-t-on une évocation du droit au déréférencement dans le Code de la consommation, dans sa rédaction issue de la loi pour une République numérique714, au titre des obligations d’information des opérateurs de plateforme en ligne715.
Création jurisprudentielle, le droit au déréférencement le demeure donc. Des décisions juridictionnelles régulières continuent de le définir. Cette intention créatrice apparaît singulièrement par des décisions multiples, rendues à dates uniques.
Ainsi la Cour de justice de l’Union européenne, par deux arrêts rendus le 24 septembre 2019, puis le Conseil d’État par treize décisions rendues le 6 décembre 2019 ont précisé les conditions d’exercice de ce droit.
1445 – Pas de déréférencement mondial, au grand dam de la Cnil. – La Cour de justice de l’Union européenne, réunie à nouveau en Grande chambre et examinant ces questions « sous l’angle de la directive 95/46, en tenant, toutefois, également compte du règlement no 2016/679 dans son analyse de celles-ci, afin d’assurer que ses réponses seront, en toute hypothèse, utiles pour la juridiction de renvoi »716, a indiqué :

les limites géographiques du déréférencement, en prévoyant qu’un déréférencement obtenu en Europe devait concerner toutes les recherches effectuées depuis le territoire européen, mais elles seules, et donc sans application mondiale ;

les critères d’application du droit au déréférencement.

S’agissant du périmètre de l’effet d’une décision de déréférencement, la Cnil en France, pour assurer l’effectivité du déréférencement, avait soutenu l’idée d’un déréférencement mondial, sur toutes les extensions nationales du moteur de recherche. La Cour suprême du Canada avait pris une telle décision d’application mondiale717. Mais ce n’est donc pas ce qu’a retenu la Cour de justice de l’Union européenne.
1446 – De nombreux critères d’appréciation. – S’agissant des critères d’application du droit au déréférencement, la Cour de justice de l’Union européenne indique appliquer l’article 8, § 1 et 5 de la directive 95/46, en précisant, pour l’application future de sa jurisprudence que ces dispositions sont reprises avec quelques modifications, à l’article 9, § 1, et à l’article 10 du RGPD.
La Cour statue ainsi principalement sur le traitement des catégories particulières de données, c’est-à-dire sur les données qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, la santé ou la vie sexuelle, et sur les données relatives aux condamnations pénales et aux infractions. Elle rappelle le principe de l’interdiction ou des restrictions à leur traitement. En raison de la sensibilité particulière de ces données, leur traitement est susceptible de constituer une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne.
1447 – Une responsabilité limitée mais particulière des moteurs de recherche. – La Cour de justice de l’Union européenne précise que la responsabilité du moteur de recherche se limite toutefois au référencement qu’il effectue de ces données, et non à leur présence sur la toile, qu’il ne fait qu’exploiter en leur donnant toutefois une visibilité considérable au regard de celle qui était la leur sans son propre traitement. Cette responsabilité lui impose, en cas de demande de la personne concernée, la vérification des données dont il réalise la publicité par son traitement, sous le contrôle des autorités et juridictions compétentes.
1448 – Le droit à l’effacement comme fondement complémentaire au droit d’opposition. – La Cour de justice de l’Union européenne reprend enfin les dispositions de son arrêt du 13 mai 2014718, avec quelques ajouts issus du RGPD, entré en vigueur depuis, et notamment une référence au droit à l’effacement, faisant désormais l’objet d’un régime particulier, institué par l’article 17 du règlement719.
Au titre de ce dernier, qu’elle adopte ainsi comme fondement complémentaire au droit jurisprudentiel au déréférencement, elle relève que le droit de la personne concernée à l’effacement est écarté par le règlement lorsque le traitement est nécessaire à l’exercice du droit relatif, notamment, à la liberté d’information, garantie par l’article 11 de la Charte des droits fondamentaux de l’Union européenne, et qu’ainsi le droit à la protection des données à caractère personnel par leur effacement n’est pas un droit absolu.
Le règlement, et notamment son article 17, § 3, sous a), consacre ainsi explicitement l’exigence d’une mise en balance entre, d’une part, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, consacrés par les articles 7 et 8 de la Charte, et, d’autre part, le droit fondamental à la liberté d’information, garanti par l’article 11 de la Charte720, lequel peut être estimé prééminent sur la protection des données d’une personne, même lorsqu’il s’agit de données particulières visées à l’article 8, § 1 et 5 de la directive 95/46.
1449 – La mise en balance élevée au rang d’art judiciaire. – À ce titre, la Cour de justice de l’Union européenne explique que le déréférencement est de droit lorsque le traitement des données est fondé sur le consentement de la personne concernée ; sa demande de déréférencement valant retrait de ce consentement (que les moteurs de recherche ne sollicitent jamais au préalable, s’agissant de données déjà traitées par d’autres et donc déjà accessibles), sauf lorsque le maintien du traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.
À l’inverse, une personne serait mal fondée à demander le déréférencement de données qu’elle a elle-même publiées721, sauf à s’y opposer désormais, mais alors « pour des raisons tenant à sa situation particulière »722.
Mais, par une appréciation des intérêts et libertés en cause, le juge reconnaît le droit au moteur de recherche, en qualité de responsable de traitement – et aux autorités nationales de contrôle, en cas de recours contre un refus – d’accepter ou de refuser l’exercice du droit au déréférencement dans de telles circonstances723.
La Cour donne alors un vade-mecum aux moteurs de recherche : « Lorsque l’exploitant d’un moteur de recherche est saisi d’une demande de déréférencement portant sur un lien vers une page web sur laquelle de telles données sensibles sont publiées, cet exploitant doit, sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte, vérifier, au titre des motifs d’intérêt public important visés à l’article 8, § 4, de la directive 95/46 ou à l’article 9, § 2, sous g), du règlement 2016/679 et dans le respect des conditions prévues à ces dispositions, si l’inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche, consacrée à l’article 11 de la Charte »724.
1450 – L’application par le Conseil d’État. – Par application de cette décision de la Cour de justice de l’Union européenne, le Conseil d’État a ensuite rendu treize décisions le 6 décembre 2019725, dont bon nombre se sont toutefois bornées à prendre acte du déréférencement réalisé spontanément par le moteur de recherche pendant le cours de l’instance, probablement par application de la jurisprudence précédente de la Cour.
Il s’agissait à chaque fois de statuer sur le refus de la Cnil de faire droit à une demande de déréférencement.
Le Code de justice administrative726 conduit la juridiction administrative, lorsqu’elle fait droit à une requête en annulation pour excès de pouvoir d’un refus de la Cnil, et qu’elle est saisie de cette demande précise, à enjoindre à la Cnil de procéder à une mise en demeure de déréférencement du responsable de traitement. Cette mise en demeure ne pouvant être appliquée qu’à la date de mise en œuvre de sa décision, le Conseil d’État applique désormais à ses décisions les dispositions du RGPD, quand bien même les instances avaient été engagées sous l’empire de la directive 95/46/CE, et quand bien même ses décisions étaient néanmoins fondées sur cette dernière.
Dans ces décisions rendues le 6 décembre 2019, le Conseil d’État, appliquant l’article 8 de la directive (et aujourd’hui l’article 9, § 1, et l’article 10 du RGPD), rappelle successivement :
En ce qui concerne les données personnelles classiques, que l’effacement est possible selon, par exemple :

la nature, le contenu et l’objectivité desdites données ;

la source, l’actualité et les conditions de mise en ligne ;

les répercussions possibles pour la personne concernée ;

sa notoriété, sa fonction et son rôle dans la société ou la vie publique ;

la part qu’elle a elle-même prise dans la divulgation des données en cause.

En ce qui concerne les données particulières (sensibles) ou celles relatives aux infractions ou condamnations pénales, que l’effacement de ces données particulières est de droit, sous l’empire de la directive, comme sous celui du RGPD,

sous réserve des exceptions prévues par la directive elle-même ;

qu’une telle exception peut résulter de la circonstance que « le traitement porte sur des données manifestement rendues publiques par la personne concernée ou est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice »727 ;

à la condition que ce traitement réponde à l’ensemble des autres conditions de licéité posées par cette directive – loyauté, adéquation de nature et de durée au regard des finalités poursuivies, exactitude, etc. ;

à moins que la personne concernée n’ait, en vertu de l’article 14, premier alinéa, a), de ladite directive, le droit de s’opposer audit traitement pour des raisons prépondérantes et légitimes tenant à sa situation particulière, dans les cas visés à l’article 7, e) (traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique) et f) (traitement nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées) de la directive, auquel cet article 14 renvoie ;

dans la mesure où la Charte des droits fondamentaux de l’Union européenne protège dans ses articles 7 et 8 le respect de la vie privée et la protection des données à caractère personnel, sous la seule limite des traitements strictement nécessaires pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une recherche nominative elle-même consacrée par l’article 11 de la Charte728.

En ce qui concerne plus spécifiquement les données relatives aux infractions et condamnations pénales, ceci conduit, dans l’appréciation à réaliser lors de l’examen d’une demande de déréférencement, à prendre en compte la nature et la gravité de l’infraction, l’actualité des données de la procédure, le rôle et le comportement de la personne concernée, l’intérêt du public au moment de la demande de déréférencement, la nature des informations en cause et leurs répercussions pour la personne concernée.
La complexité singulière de ce régime a exceptionnellement conduit le Conseil d’État lui-même à faire la pédagogie de ses décisions729.
1451 – Pas de procédure spécifique. – Comme le droit au déréférencement lui-même, son exercice, à défaut de texte européen ou français, n’est pas spécifiquement organisé.
Pour se conformer à la jurisprudence, les principaux moteurs de recherche ont créé des formulaires en ligne.
La Cour de justice de l’Union européenne ayant créé ce droit par déduction du droit à la protection des données personnelles, dans l’état de la directive 95/46, et des droits fondamentaux de la personne au titre des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, en regard du droit à l’information du public, la personne concernée, par application de modalité de mise en œuvre du droit d’opposition qui l’inspire, doit motiver sa demande de déréférencement en justifiant en quoi ses intérêts légitimes personnels doivent prévaloir sur le droit du public à accéder à l’information résultant du traitement réalisé par le moteur de recherche.
Ainsi le moteur de recherche peut refuser le déréférencement s’il considère que le droit à l’information est prééminent sur la motivation de la personne concernée, au regard de l’intérêt du public à en avoir facilement connaissance.
Le droit au déréférencement est soumis à la même procédure que les droits d’opposition à traitement de données ou d’effacement, auxquels il renvoie, malgré la singularité d’un moteur de recherche.
À cet égard, il faut se reporter aux informations et outils très pratiques mis à la disposition du public par la Cnil730.
1452 – En cas de refus de déréférencement par le moteur de recherche sollicité, un recours est possible :

auprès de la Cnil, autorité nationale de contrôle, dont c’est l’une des missions essentielles, à qui la personne concernée peut demander de délivrer une injonction de déréférencement au moteur de recherche ;

devant le tribunal judiciaire de son domicile.

En cas de recours auprès de la Cnil, celle-ci examine à son tour la demande de la personne concernée par application des critères d’appréciation issus des décisions jurisprudentielles ci-dessus évoquées.
Elle détermine ainsi s’il doit être fait droit à la demande de déréférencement présentée.
« Si la réponse est négative, notamment en raison de l’intérêt prépondérant du public à accéder à l’information, la Cnil en informe la personne concernée.
Si la réponse est positive, la Cnil demande au moteur de recherche de déréférencer le résultat concerné en motivant sa demande. Si le moteur de recherche refuse une nouvelle fois de déréférencer, la Cnil peut alors utiliser l’ensemble de ses pouvoirs pour contraindre la société exploitant le moteur à le faire (mise en demeure, injonction sous astreinte, amende) »731.
1453 – Des effets spécifiques. – Le droit au déréférencement a pour conséquence qu’une requête nominative formulée sur le moteur de recherche ne doit plus révéler les informations dont le déréférencement a été demandé.
Pour être efficace, la demande de déréférencement doit être adressée auprès de chacun des sites hébergeant des moteurs de recherche.
L’information déréférencée demeure toutefois révélée par le moteur de recherche sur d’autres index (les faits, une circonstance, un lieu, une date, etc.) que les nom ou prénom de la personne concernée.
L’information demeure donc sur le web, sur son site d’origine, toujours accessible par une recherche nominative à partir de celui-ci.
Cette permanence, et l’intérêt de la personne concernée à la disparition des informations personnelles en cause, peuvent justifier une demande d’effacement complet de ces données732, bien au-delà de leur seul déréférencement.
Les droits à l’effacement et au déréférencement ne sont donc pas absolus en droit commun. Ils peuvent cependant le devenir pour des personnes concernées particulières : les mineurs.
690) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, consid. 59, 66, 68, etc.
691) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 17, 1, a), avec une imprécision de rédaction : « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou [sont ?] traitées d’une autre manière ».
692) V. infra, no 1454.
693) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 17, 2.
694) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 19.
695) V. infra, no 1411.
696) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 17, 1 : « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais… ».
697) C. com., art. L. 123-22, al. 2 (dix ans) ; LPF, art. L. 102 B (six ans).
698) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 17, 3.
699) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 89 ; L. no 78-17, 6 janv. 1978, art. 78 à 79 ; D. no 2019-536, 29 mai 2019, art. 116.
700) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, consid. 156, art. 85 et L. no 78-17, 6 janv. 1978, art. 80.
701) L. no 78-17, 6 janv. 1978, art. 52.
702) V. supra, no 1430.
704) « Un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre (…) lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre. »
705) Pt 28 : « En explorant de manière automatisée, constante et systématique Internet à la recherche des informations qui y sont publiées, l’exploitant d’un moteur de recherche « collecte » de telles données qu’il « extrait », « enregistre » et « organise » par la suite dans le cadre de ses programmes d’indexation, « conserve » sur ses serveurs et, le cas échéant, « communique à » et « met à disposition de » ses utilisateurs sous forme de listes des résultats de leurs recherches. Ces opérations étant visées de manière explicite et inconditionnelle à l’art. 2, sous b), de la directive 95/46, elles doivent être qualifiées de « traitement » au sens de cette disposition, sans qu’il importe que l’exploitant du moteur de recherche applique les mêmes opérations également à d’autres types d’information et ne distingue pas entre celles-ci et les données à caractère personnel ».

Pt 29 : « La constatation qui précède n’est pas non plus infirmée par le fait que ces données ont déjà fait l’objet d’une publication sur Internet et ne sont pas modifiées par ce moteur de recherche ».
706) Pt 33 : « C’est l’exploitant du moteur de recherche qui détermine les finalités et les moyens de cette activité et ainsi du traitement de données à caractère personnel qu’il effectue, lui-même, dans le cadre de celle-ci et qui doit, par conséquent, être considéré comme le « responsable » de ce traitement en vertu dudit art. 2, sous d) ».

Pt 38 : « L’activité d’un moteur de recherche est donc susceptible d’affecter significativement et de manière additionnelle par rapport à celle des éditeurs de sites web les droits fondamentaux de la vie privée et de la protection des données à caractère personnel, l’exploitant de ce moteur en tant que personne déterminant les finalités et les moyens de cette activité doit assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que celle-ci satisfait aux exigences de la directive 95/46 pour que les garanties prévues par celle-ci puissent développer leur plein effet et qu’une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée ».
Pt 39 : « La circonstance que les éditeurs de sites web ont la faculté d’indiquer aux exploitants de moteurs de recherche, à l’aide notamment de protocoles d’exclusion comme « robot.txt » ou de codes comme « noindex » ou « noarchive », qu’ils souhaitent qu’une information déterminée, publiée sur leur site, soit exclue en totalité ou partiellement des index automatiques de ces moteurs ne signifie pas que l’absence d’une telle indication de la part de ces éditeurs libérerait l’exploitant d’un moteur de recherche de sa responsabilité pour le traitement des données à caractère personnel qu’il effectue dans le cadre de l’activité de ce moteur ».
707) La compréhension des décisions sur le droit au déréférencement suppose, encore plus que celle du RGPD, pourtant déjà renommé, une forme d’aptitude à l’apnée cérébrale….
708) PE et Cons. UE, dir. 95/46/CE, 24 oct. 1995, art. 7 : « Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si : (…) f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre l’art. 1er paragraphe 1 ». – PE et Cons. UE, dir. 95/46/CE, 24 oct. 1995, art. 1, § 1 : « Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel ».
709) Pt 72.
710) Pt 74.
711) Rapport du 113e Congrès des notaires de France, Lille, sept. 2017, ≠Familles ≠Solidarités ≠Numérique, 3e commission, no 3104.
713) Malgré le site internet de la Cnil (www.cnil.fr/fr/le-droit-au-dereferencement-en-questions), onglet « D’où vient le droit au déréférencement ? » qui indique « Ce droit a été consacré par le règlement général sur la protection des données, entré en application le 25 mai 2018 », aucune mention du déréférencement ne figure en réalité dans le RGPD ; lequel d’ailleurs s’inspire plus du droit d’opposition que du droit à l’effacement.
714) L. no 2016-1321, 7 oct. 2016, pour une République numérique, art. 49.
715) C. consom., art. L. 111-7, « (…) II. – Tout opérateur de plateforme en ligne est tenu de délivrer au consommateur une information loyale, claire et transparente sur :

1o Les conditions générales d’utilisation du service d’intermédiation qu’il propose et sur les modalités de référencement, de classement et de déréférencement des contenus, des biens ou des services auxquels ce service permet d’accéder ; (…) ».
716) Extrait de la décision elle-même.
717) Cour suprême du Canada, 28 juin 2017, no 36602, Google Inc. vs Equustek Solutions Inc. : « Lorsqu’il faut assurer l’efficacité de l’injonction, un tribunal peut accorder une injonction dictant une conduite à adopter n’importe où dans le monde. Le problème en l’espèce se pose en ligne et à l’échelle mondiale. L’Internet n’a pas de frontières – son habitat naturel est mondial. La seule façon de s’assurer que l’injonction interlocutoire atteint son objectif est de la faire appliquer là où Google exerce ses activités, c’est-à-dire mondialement. (…) L’argument de Google selon lequel une injonction mondiale contrevient au principe de la courtoisie internationale parce qu’il est possible que l’ordonnance ne puisse pas être accordée dans un autre pays ou que Google viole les lois de ce pays en se conformant à celle‑ci est théorique. Si Google dispose d’éléments de preuve démontrant que, pour se conformer à une telle injonction, elle doit contrevenir aux lois d’un autre pays, et notamment porter atteinte à la liberté d’expression, elle peut toujours demander aux tribunaux de la Colombie-Britannique de modifier l’ordonnance interlocutoire en conséquence ».
718) CJUE, 13 mai 2014, aff. C-131/12, Google Spain c/ AEPD et Mario Costeja Gonzales.
719) Et plus simplement incident au titre du droit d’accès, prévu à l’article 12, b) de la directive.
720) Pt 59.
721) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 9, 2, e).
722) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, art. 21, 1.
723) CJUE, 24 sept. 2019, aff. C-136/17, pt 66 in fine : « Si les droits de la personne concernée protégés par les articles 7 et 8 de la Charte prévalent, en règle générale, sur la liberté d’information des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique ».
724) Pt 68.
726) CJA, art. L. 911-1 : « Lorsque sa décision implique nécessairement qu’une personne morale de droit public ou un organisme de droit privé chargé de la gestion d’un service public prenne une mesure d’exécution dans un sens déterminé, la juridiction, saisie de conclusions en ce sens, prescrit, par la même décision, cette mesure assortie, le cas échéant, d’un délai d’exécution ».
727) PE et Cons. UE, dir. 95/46/CE, 24 oct. 1995, art. 8, 2, e).
731) www.cnil.fr/fr/le-droit-au-dereferencement-en-questions, « Quel rôle pour la Cnil ? ».
732) V. supra, no 1430.


Aller au contenu principal