Un régime qui demeure prétorien

– Une création jurisprudentielle, qui le reste. – Le droit au déréférencement ainsi créé n'a fait l'objet d'aucune codification, ni dans le RGPD, pourtant postérieur à la décision du 13 mai 2014, ni dans la loi informatique et libertés, pourtant plusieurs fois réécrite depuis Malgré le site internet de la Cnil (www.cnil.fr/fr/le-droit-au-dereferencement-en-questions">Lien), onglet « D'où vient le droit au déréférencement ? » qui indique « Ce droit a été consacré par le règlement général sur la protection des données, entré en application le 25 mai 2018 », aucune mention du déréférencement ne figure en réalité dans le RGPD ; lequel d'ailleurs s'inspire plus du droit d'opposition que du droit à l'effacement. .

Tout au plus trouve-t-on une évocation du droit au déréférencement dans le Code de la consommation, dans sa rédaction issue de la loi pour une République numérique L. n^o 2016-1321, 7 oct. 2016, pour une République numérique, art. 49. , au titre des obligations d'information des opérateurs de plateforme en ligne C. consom., art. L. 111-7, « (…) II. – Tout opérateur de plateforme en ligne est tenu de délivrer au consommateur une information loyale, claire et transparente sur : 1^o Les conditions générales d'utilisation du service d'intermédiation qu'il propose et sur les modalités de référencement, de classement et de déréférencement des contenus, des biens ou des services auxquels ce service permet d'accéder ; (…) ». .

Création jurisprudentielle, le droit au déréférencement le demeure donc. Des décisions juridictionnelles régulières continuent de le définir. Cette intention créatrice apparaît singulièrement par des décisions multiples, rendues à dates uniques.

Ainsi la Cour de justice de l'Union européenne, par deux arrêts rendus le 24 septembre 2019, puis le Conseil d'État par treize décisions rendues le 6 décembre 2019 ont précisé les conditions d'exercice de ce droit.

– Pas de déréférencement mondial, au grand dam de la Cnil. – La Cour de justice de l'Union européenne, réunie à nouveau en Grande chambre et examinant ces questions « sous l'angle de la directive 95/46, en tenant, toutefois, également compte du règlement n^o 2016/679 dans son analyse de celles-ci, afin d'assurer que ses réponses seront, en toute hypothèse, utiles pour la juridiction de renvoi » Extrait de la décision elle-même. , a indiqué :

S'agissant du périmètre de l'effet d'une décision de déréférencement, la Cnil en France, pour assurer l'effectivité du déréférencement, avait soutenu l'idée d'un déréférencement mondial, sur toutes les extensions nationales du moteur de recherche. La Cour suprême du Canada avait pris une telle décision d'application mondiale Cour suprême du Canada, 28 juin 2017, n^o 36602, Google Inc. vs Equustek Solutions Inc. : « Lorsqu'il faut assurer l'efficacité de l'injonction, un tribunal peut accorder une injonction dictant une conduite à adopter n'importe où dans le monde. Le problème en l'espèce se pose en ligne et à l'échelle mondiale. L'Internet n'a pas de frontières – son habitat naturel est mondial. La seule façon de s'assurer que l'injonction interlocutoire atteint son objectif est de la faire appliquer là où Google exerce ses activités, c'est-à-dire mondialement. (…) L'argument de Google selon lequel une injonction mondiale contrevient au principe de la courtoisie internationale parce qu'il est possible que l'ordonnance ne puisse pas être accordée dans un autre pays ou que Google viole les lois de ce pays en se conformant à celle‑ci est théorique. Si Google dispose d'éléments de preuve démontrant que, pour se conformer à une telle injonction, elle doit contrevenir aux lois d'un autre pays, et notamment porter atteinte à la liberté d'expression, elle peut toujours demander aux tribunaux de la Colombie-Britannique de modifier l'ordonnance interlocutoire en conséquence ». . Mais ce n'est donc pas ce qu'a retenu la Cour de justice de l'Union européenne.

– De nombreux critères d'appréciation. – S'agissant des critères d'application du droit au déréférencement, la Cour de justice de l'Union européenne indique appliquer l'article 8, § 1 et 5 de la directive 95/46, en précisant, pour l'application future de sa jurisprudence que ces dispositions sont reprises avec quelques modifications, à l'article 9, § 1, et à l'article 10 du RGPD.

La Cour statue ainsi principalement sur le traitement des catégories particulières de données, c'est-à-dire sur les données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, la santé ou la vie sexuelle, et sur les données relatives aux condamnations pénales et aux infractions. Elle rappelle le principe de l'interdiction ou des restrictions à leur traitement. En raison de la sensibilité particulière de ces données, leur traitement est susceptible de constituer une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne.

– Une responsabilité limitée mais particulière des moteurs de recherche. – La Cour de justice de l'Union européenne précise que la responsabilité du moteur de recherche se limite toutefois au référencement qu'il effectue de ces données, et non à leur présence sur la toile, qu'il ne fait qu'exploiter en leur donnant toutefois une visibilité considérable au regard de celle qui était la leur sans son propre traitement. Cette responsabilité lui impose, en cas de demande de la personne concernée, la vérification des données dont il réalise la publicité par son traitement, sous le contrôle des autorités et juridictions compétentes.

– Le droit à l'effacement comme fondement complémentaire au droit d'opposition. – La Cour de justice de l'Union européenne reprend enfin les dispositions de son arrêt du 13 mai 2014 CJUE, 13 mai 2014, aff. C-131/12, Google Spain c/ AEPD et Mario Costeja Gonzales. , avec quelques ajouts issus du RGPD, entré en vigueur depuis, et notamment une référence au droit à l'effacement, faisant désormais l'objet d'un régime particulier, institué par l'article 17 du règlement Et plus simplement incident au titre du droit d'accès, prévu à l'article 12, b) de la directive. .

Au titre de ce dernier, qu'elle adopte ainsi comme fondement complémentaire au droit jurisprudentiel au déréférencement, elle relève que le droit de la personne concernée à l'effacement est écarté par le règlement lorsque le traitement est nécessaire à l'exercice du droit relatif, notamment, à la liberté d'information, garantie par l'article 11 de la Charte des droits fondamentaux de l'Union européenne, et qu'ainsi le droit à la protection des données à caractère personnel par leur effacement n'est pas un droit absolu.

Le règlement, et notamment son article 17, § 3, sous a), consacre ainsi explicitement l'exigence d'une mise en balance entre, d'une part, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, consacrés par les articles 7 et 8 de la Charte, et, d'autre part, le droit fondamental à la liberté d'information, garanti par l'article 11 de la Charte Pt 59. , lequel peut être estimé prééminent sur la protection des données d'une personne, même lorsqu'il s'agit de données particulières visées à l'article 8, § 1 et 5 de la directive 95/46.

– La mise en balance élevée au rang d'art judiciaire. – À ce titre, la Cour de justice de l'Union européenne explique que le déréférencement est de droit lorsque le traitement des données est fondé sur le consentement de la personne concernée ; sa demande de déréférencement valant retrait de ce consentement (que les moteurs de recherche ne sollicitent jamais au préalable, s'agissant de données déjà traitées par d'autres et donc déjà accessibles), sauf lorsque le maintien du traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.

À l'inverse, une personne serait mal fondée à demander le déréférencement de données qu'elle a elle-même publiées PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 9, 2, e). , sauf à s'y opposer désormais, mais alors « pour des raisons tenant à sa situation particulière » PE et Cons. UE, règl. (UE) n^o 2016/679, 27 avr. 2016, art. 21, 1. .

Mais, par une appréciation des intérêts et libertés en cause, le juge reconnaît le droit au moteur de recherche, en qualité de responsable de traitement – et aux autorités nationales de contrôle, en cas de recours contre un refus – d'accepter ou de refuser l'exercice du droit au déréférencement dans de telles circonstances CJUE, 24 sept. 2019, aff. C-136/17, pt 66 in fine : « Si les droits de la personne concernée protégés par les articles 7 et 8 de la Charte prévalent, en règle générale, sur la liberté d'information des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l'information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l'intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique ». .

La Cour donne alors un vade-mecum aux moteurs de recherche : « Lorsque l'exploitant d'un moteur de recherche est saisi d'une demande de déréférencement portant sur un lien vers une page web sur laquelle de telles données sensibles sont publiées, cet exploitant doit, sur la base de tous les éléments pertinents du cas d'espèce et compte tenu de la gravité de l'ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte, vérifier, au titre des motifs d'intérêt public important visés à l'article 8, § 4, de la directive 95/46 ou à l'article 9, § 2, sous g), du règlement 2016/679 et dans le respect des conditions prévues à ces dispositions, si l'inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d'une recherche effectuée à partir du nom de cette personne, s'avère strictement nécessaire pour protéger la liberté d'information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d'une telle recherche, consacrée à l'article 11 de la Charte » Pt 68. .

Il s'agissait à chaque fois de statuer sur le refus de la Cnil de faire droit à une demande de déréférencement.

Dans ces décisions rendues le 6 décembre 2019, le Conseil d'État, appliquant l'article 8 de la directive (et aujourd'hui l'article 9, § 1, et l'article 10 du RGPD), rappelle successivement :

En ce qui concerne les données personnelles classiques, que l'effacement est possible selon, par exemple :

En ce qui concerne les données particulières (sensibles) ou celles relatives aux infractions ou condamnations pénales, que l'effacement de ces données particulières est de droit, sous l'empire de la directive, comme sous celui du RGPD,

En ce qui concerne plus spécifiquement les données relatives aux infractions et condamnations pénales, ceci conduit, dans l'appréciation à réaliser lors de l'examen d'une demande de déréférencement, à prendre en compte la nature et la gravité de l'infraction, l'actualité des données de la procédure, le rôle et le comportement de la personne concernée, l'intérêt du public au moment de la demande de déréférencement, la nature des informations en cause et leurs répercussions pour la personne concernée.

– L'application par le Conseil d'État. – Par application de cette décision de la Cour de justice de l'Union européenne, le Conseil d'État a ensuite rendu treize décisions le 6 décembre 2019 www.conseil-etat.fr/ressources/decisions-contentieuses/dernieres-decisions-importantes/conseil-d-etat-6-decembre-2019-13-decisions-relatives-au-droit-a-l-oubli">Lien , dont bon nombre se sont toutefois bornées à prendre acte du déréférencement réalisé spontanément par le moteur de recherche pendant le cours de l'instance, probablement par application de la jurisprudence précédente de la Cour.

Le Code de justice administrative CJA, art. L. 911-1 : « Lorsque sa décision implique nécessairement qu'une personne morale de droit public ou un organisme de droit privé chargé de la gestion d'un service public prenne une mesure d'exécution dans un sens déterminé, la juridiction, saisie de conclusions en ce sens, prescrit, par la même décision, cette mesure assortie, le cas échéant, d'un délai d'exécution ». conduit la juridiction administrative, lorsqu'elle fait droit à une requête en annulation pour excès de pouvoir d'un refus de la Cnil, et qu'elle est saisie de cette demande précise, à enjoindre à la Cnil de procéder à une mise en demeure de déréférencement du responsable de traitement. Cette mise en demeure ne pouvant être appliquée qu'à la date de mise en œuvre de sa décision, le Conseil d'État applique désormais à ses décisions les dispositions du RGPD, quand bien même les instances avaient été engagées sous l'empire de la directive 95/46/CE, et quand bien même ses décisions étaient néanmoins fondées sur cette dernière.

La complexité singulière de ce régime a exceptionnellement conduit le Conseil d'État lui-même à faire la pédagogie de ses décisions www.conseil-etat.fr/actualites/actualites/droit-a-l-oubli-le-conseil-d-etat-donne-le-mode-d-emploi">Lien .

– Pas de procédure spécifique. – Comme le droit au déréférencement lui-même, son exercice, à défaut de texte européen ou français, n'est pas spécifiquement organisé.

Pour se conformer à la jurisprudence, les principaux moteurs de recherche ont créé des formulaires en ligne.

La Cour de justice de l'Union européenne ayant créé ce droit par déduction du droit à la protection des données personnelles, dans l'état de la directive 95/46, et des droits fondamentaux de la personne au titre des articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne, en regard du droit à l'information du public, la personne concernée, par application de modalité de mise en œuvre du droit d'opposition qui l'inspire, doit motiver sa demande de déréférencement en justifiant en quoi ses intérêts légitimes personnels doivent prévaloir sur le droit du public à accéder à l'information résultant du traitement réalisé par le moteur de recherche.

Ainsi le moteur de recherche peut refuser le déréférencement s'il considère que le droit à l'information est prééminent sur la motivation de la personne concernée, au regard de l'intérêt du public à en avoir facilement connaissance.

Le droit au déréférencement est soumis à la même procédure que les droits d'opposition à traitement de données ou d'effacement, auxquels il renvoie, malgré la singularité d'un moteur de recherche.

À cet égard, il faut se reporter aux informations et outils très pratiques mis à la disposition du public par la Cnil www.cnil.fr/fr/le-dereferencement-dun-contenu-dans-un-moteur-de-recherche">Lien .

– En cas de refus de déréférencement par le moteur de recherche sollicité, un recours est possible :

En cas de recours auprès de la Cnil, celle-ci examine à son tour la demande de la personne concernée par application des critères d'appréciation issus des décisions jurisprudentielles ci-dessus évoquées.

Elle détermine ainsi s'il doit être fait droit à la demande de déréférencement présentée.

« Si la réponse est négative, notamment en raison de l'intérêt prépondérant du public à accéder à l'information, la Cnil en informe la personne concernée.

Si la réponse est positive, la Cnil demande au moteur de recherche de déréférencer le résultat concerné en motivant sa demande. Si le moteur de recherche refuse une nouvelle fois de déréférencer, la Cnil peut alors utiliser l'ensemble de ses pouvoirs pour contraindre la société exploitant le moteur à le faire (mise en demeure, injonction sous astreinte, amende) » www.cnil.fr/fr/le-droit-au-dereferencement-en-questions">Lien, « Quel rôle pour la Cnil ? ». .

– Des effets spécifiques. – Le droit au déréférencement a pour conséquence qu'une requête nominative formulée sur le moteur de recherche ne doit plus révéler les informations dont le déréférencement a été demandé.

Pour être efficace, la demande de déréférencement doit être adressée auprès de chacun des sites hébergeant des moteurs de recherche.

L'information déréférencée demeure toutefois révélée par le moteur de recherche sur d'autres index (les faits, une circonstance, un lieu, une date, etc.) que les nom ou prénom de la personne concernée.

L'information demeure donc sur le web, sur son site d'origine, toujours accessible par une recherche nominative à partir de celui-ci.

Cette permanence, et l'intérêt de la personne concernée à la disparition des informations personnelles en cause, peuvent justifier une demande d'effacement complet de ces données V. supra, n^o . , bien au-delà de leur seul déréférencement.

Les droits à l'effacement et au déréférencement ne sont donc pas absolus en droit commun. Ils peuvent cependant le devenir pour des personnes concernées particulières : les mineurs.