Droit à l’oubli numérique et droit à l’information : un équilibre difficile

Mis en œuvre par Google, dès le 29 mai, sous la forme d’un formulaire en ligne, ce droit au déréférencement, improprement qualifié de « droit à l’oubli numérique », a immédiatement été dénoncé comme une menace pour le droit à l’information des internautes, la liberté d’expression des éditeurs et la neutralité de l’internet.

 

Fondé, dans son principe, sur la conciliation des droits fondamentaux des internautes à la protection de leurs données personnelles et de leur vie privée avec le droit, tout aussi fondamental, du public à l’information, le droit consacré par la juridiction européenne semble traduire, dans sa mise en œuvre, une confrontation de droits concurrents. Le conflit entre Google et la CNIL sur la portée territoriale des déréférencements illustre le difficile équilibre entre les droits en cause.

Dans son rapport de 2014, Le numérique et les droits fondamentaux, le Conseil d’État souligne que « le déréférencement affecte la liberté d’expression de l’éditeur du site en rendant l’information publiée moins accessible et en le ramenant ainsi à la situation antérieure à Internet ».
 

 Le droit au déréférencement ne saurait être considéré comme la faculté donnée à chacun de « réécrire » l’histoire 

Le droit au déréférencement ne saurait être considéré ni comme la faculté donnée à chacun de « réécrire » l’histoire pour préserver sa réputation numérique ni comme une menace pour la mémoire collective et l’accès à l’information. Fondé sur la nécessaire protection des données personnelles et de la vie privée, ce droit, tel que consacré par la CJUE, sauvegarde le droit à l’information et la liberté d’expression.

 

Présenté comme la consécration d’une forme de « droit à l’oubli numérique », le droit au déréférencement reconnu par l’arrêt Google Spain n’est pas véritablement nouveau. Il repose sur la protection des données personnelles et de la vie privée, garantie par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne et par la directive du 24 octobre 1995 sur la protection des données personnelles. Relatif au « droit d’accès », l’article 12 de cette directive, confère à toute personne concernée par un traitement de données personnelles le droit d’obtenir « la rectification, l'effacement ou le verrouillage des données » dont le traitement ne serait pas conforme à la directive, « notamment en raison du caractère incomplet ou inexact des données ». L’article 14 lui reconnaît le droit de s’opposer à un traitement de ses données « pour des raisons prépondérantes et légitimes tenant à sa situation particulière ».
 

Par une application conjointe de ces deux dispositions, la CJUE admet que les internautes puissent demander le déréférencement de liens pointant vers des données « inexactes » ou devenues « inadéquates, non pertinentes ou excessives » au regard des finalités du traitement et du temps écoulé. C’est ce qu’a fait Malek Mokrani, un chef d’entreprise victime d’une usurpation d’identité, qui a vu sa réputation salie sur les réseaux sociaux, entraînant de nombreux préjudices. Mais sa demande a été rejetée par Google.

Largement ouvert, ce droit est pourtant reconnu à toute personne, à l’égard de toute information personnelle, indépendamment de sa légitimité ou de l’existence d’un éventuel préjudice et sans nécessité d’une suppression préalable ou simultanée de l’information sur le site de l’éditeur.

 

La menace pesant sur le droit à l’information paraît d’autant plus forte que, pour assurer l’efficacité du droit au déréférencement, la Cour estime que les droits fondamentaux de la personne concernée« prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à trouver ladite information lors d’une recherche portant sur le nom de cette personne. »

La primauté ainsi accordée aux droits des personnes paraît contraire à la conception de la Cour européenne des droits de l’homme (CEDH). Dans l’arrêt Sunday Times du 26 avril 1979 elle considère qu’« elle ne se trouve pas devant un choix entre deux principes antinomiques, mais devant un principe – la liberté d’expression – assorti d’exceptions qui appellent une interprétation étroite ». La CJUE donne, à l’inverse, priorité à la protection de la vie privée sur le droit à l’information. Mais elle tempère ce principe par la nécessité de tenir compte, dans certains cas particuliers, de « l’intérêt prépondérant » du public à accéder à l'information en cause.

Garantis par l’article 10 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales et par l’article 11 de la Charte des droits fondamentaux de l’Union européenne, la liberté d’expression et le droit à l’information ont la même valeur normative que les droits au respect de la vie privée et à la protection des données personnelles qui fondent le droit au déréférencement. Ce droit ne saurait donc être absolu.

 

Défini par la CJUE comme le droit, pour la personne concernée, « à ce que l’information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom », le droit au déréférencement ne constitue pas un véritable « droit à l’oubli numérique » emportant effacement des données. Il permet d’obtenir la suppression de liens vers des informations portant atteinte à la vie privée, mais ne conduit ni à la désindexation des contenus par le moteur de recherche, ni à la suppression des informations par les éditeurs. Dissociée du nom de la personne concernée, l’information demeure sur les sites sources et reste accessible par d’autres moyens. La liberté d’expression et le droit à l’information ne sont pas menacés par le droit au déréférencement, d’autant que la directive européenne prévoit des exceptions à la protection des données personnelles, pour les traitements effectués « aux fins de journalisme » ou réalisés « à des fins historiques, statistiques ou scientifiques ».

 L’appréciation des demandes de déréférencement exclut la négation systématique du droit à l’information 

La mise en œuvre du droit au déréférencement est subordonnée à la recherche d’un « juste équilibre » entre les intérêts en présence pour déterminer ce qui, entre la protection des données personnelles de la personne concernée et le droit du public à l’information, doit prévaloir pour chaque cas particulier. L’appréciation au cas par cas des demandes de déréférencement exclut la négation systématique du droit à l’information. La CJUE propose trois critères d’appréciation de l’équilibre entre les droits fondamentaux en cause : la nature de l’information concernée, son impact sur la vie privée de la personne et « l’intérêt du public à disposer de cette information », qui dépend du «  rôle joué par cette personne dans la vie publique ». La justice a ainsi validé le rejet par Google de la demande, formulée par un promoteur immobilier, de déréférencement de liens vers deux articles faisant état de sa mise en examen pour la tenue d’un cercle de poker clandestin. L’exercice d’une profession reposant sur la confiance des clients justifiait le maintien des liens vers des articles relatant une affaire judiciaire en cours d’instruction et qui ne comportaient aucune information sur la vie privée du requérant. Ces critères non exhaustifs manquent de précision, au regard, notamment, de celui de « contribution à un débat d’intérêt général », employé par la CEDH dans la conciliation entre liberté d’expression et droits concurrents. L’équilibre recherché entre droit au déréférencement et droit à l’information risque de faire l’objet d’appréciations divergentes.

Confiée par la CJUE aux moteurs de recherche, sous le contrôle des autorités nationales de protection des données et des juges, la mise en œuvre du droit au déréférencement semble traduire une confrontation des droits concurrents dont l’équilibre est recherché. Cet antagonisme est mis en évidence par la portée des décisions acceptant les demandes de déréférencements.

  

L’appréciation des demandes de déréférencement soulève la question de la légitimité de donner à des acteurs privés, particulièrement à Google compte tenu de son poids sur le marché, la mission, normalement dévolue au juge, d’arbitrer entre des droits fondamentaux. Jugée contraire à la réalité des activités exercées par les moteurs de recherche ou à la neutralité des intermédiaires de l’internet, la responsabilité attribuée à ces moteurs en matière de déréférencement a pu faire craindre une « censure privée », préjudiciable au droit à l’information. Les statistiques publiées par Google au 29 octobre 2015 indiquent que 41,9 % des URL visées par les demandes définitivement tranchées ont été supprimées. Les refus de déréférencement par les moteurs de recherche peuvent faire l’objet d’un recours devant les autorités nationales de protection des données ou les juridictions. Le bilan publié par le G29(1) en juin 2015 fait état de près de 2000 plaintes reçues par les autorités de protection des données, la plupart concernant Google. Quelques tribunaux français ont été saisis.

 

Afin d’assurer une application harmonisée du droit au déréférencement, les autorités nationales de protection des données réunies au sein du G29 ont adopté, le 28 novembre 2014, des lignes directrices comportant une interprétation commune de l’arrêt de la CJUE et une série de 13 critères pour l’instruction des plaintes reçues à la suite d’un refus de déréférencement de la part des moteurs de recherche. Dans un rapport du 6 février 2015, le comité consultatif d’experts mis en place par Google a identifié quatre critères majeurs d’appréciation des demandes de déréférencement.

En dehors des données sensibles, il n’y a pas, sur le fond, de divergence majeure entre les critères proposés par le G29 et ceux du comité Google. La méthode retenue est celle du « faisceau d’indices », chaque critère devant être apprécié au regard de l’intérêt du public à accéder à l’information. Les critères recensés portent sur l’identité de la personne concernée et son éventuel rôle dans la vie publique, la nature de l’information en cause, le contexte de sa mise en ligne et le temps écoulé depuis sa publication. Saisi d’un recours contre le refus de Google de procéder au déréférencement d’un lien vers un article relatif à une condamnation pénale, le juge des référés du tribunal de grande instance de Paris a également tenu compte, dans son ordonnance, de l’absence d’inscription de l’information sur le casier judiciaire de la demanderesse, pour faire prévaloir le « droit à l’oubli » sur le droit à l’information.

Les désaccords entre le G29 et Google sont plus importants en ce qui concerne la portée des décisions de déréférencement, Google se posant en défenseur du droit à l’information et de la liberté d’expression, face aux autorités nationales de protection des données, plus soucieuses d’assurer l’efficacité de cette protection. Leurs divergences concernent l’information sur les déréférencements effectués et, surtout, la portée territoriale de ces déréférencements.

 

Mettant en avant le droit du public à l’information et la liberté d’expression des éditeurs, Google a fait le choix de mettre en ligne des statistiques anonymes sur les décisions rendues, d’informer les internautes de la suppression de certains résultats de recherche, et d’avertir les éditeurs concernés par de tels référencements. Plus préoccupé de la protection des données personnelles des demandeurs, le G29 estime que le droit européen n’impose pas de telles obligations d’information et que le souci de transparence allégué ne doit pas permettre d’identifier les auteurs de requêtes, ce qui neutraliserait l’effet des déréférencements.

 

La confrontation entre « droit à l’oubli numérique » et droit à l’information est encore plus évidente à propos de la portée territoriale des déréférencements. Initialement limités à la version du moteur de recherche du pays du requérant, les déréférencements sont désormais effectués par Google sur l’ensemble de ses déclinaisons européennes. L’accès aux liens supprimés demeure en revanche possible sur les versions non européennes du moteur de recherche. La société américaine se refuse en effet à procéder aux déréférencements sur ses déclinaisons non européennes d’autant plus que 95 % des requêtes européennes portent sur les versions locales du moteur de recherche.

 Des déréférencements opérés sur l’ensemble des déclinaisons de Google conduiraient à une application extraterritoriale du droit européen dangereuse pour le droit à l’information 

Selon Google, des déréférencements opérés sur l’ensemble de ses déclinaisons conduiraient à une application extraterritoriale du droit européen dangereuse pour le droit à l’information des internautes non européens, voire des utilisateurs européens eux-mêmes si des pays extra-européens moins respectueux des libertés imposaient le respect de leur droit national pour contrôler l’information accessible en ligne.

Soucieux d’assurer l’effectivité de la protection des droits fondamentaux reconnus aux citoyens européens, et d’éviter le contournement du droit au déréférencement, le G29 considère au contraire que les décisions de déréférencement doivent être mises en œuvre sur l’ensemble des extensions des moteurs de recherche, européennes ou non, y compris sur l’extension .com. Sur le fondement des droits d’opposition et de suppression des données prévus par les articles 38 et 40 de la loi « Informatique et libertés » du 6 janvier 1978, la CNIL a donc, le 21 mai dernier, mis en demeure Google de procéder aux déréférencements sur toutes ses extensions. Cette mise en demeure a été rendue publique le 8 juin. Le recours gracieux de Google contre cette mise en demeure ayant été rejeté par la présidente de la CNIL le 21 septembre, Google peut encore former un recours devant le Conseil d’État avant de faire l’objet d’une procédure de sanction.

 

Ce conflit entre Google et la CNIL est révélateur des difficultés de concilier protection des données personnelles et droit à l’information, voire de l’impossible équilibre entre ces droits fondamentaux concurrents.
 

Cet antagonisme explique la vivacité des débats autour du projet de règlement européen sur la protection des données. Inscrite dans l’intitulé de l’article 17 de la proposition initiale de la Commission, l’expression de « droit à l’oubli numérique » a été supprimée dans la résolution adoptée en mars 2014 par le Parlement, qui ne consacre plus qu’un simple « droit à l’effacement ».
 

Les autorités françaises, qui avaient annoncé leur intention de légiférer sur le droit à l’oubli numérique, ont réduit leurs ambitions. Le projet de loi « pour une République numérique », rendu public le 26 septembre, prévoit seulement, dans le chapitre sur la « protection de la vie privée en ligne », un « droit à l’oubli pour les mineurs »,fondé sur le droit de rectification posé par l’article 40 de la loi « Informatique et libertés ». Objet d’une consultation publique inédite, ce projet est certes amendable. Mais au vu des difficultés de mise en œuvre du droit au déréférencement, l’on peut légitimement se demander si le « droit à l’oubli numérique », massivement revendiqué, ne serait pas, une pure chimère.

 

Jean-Michel BRUGUIERE, « Droit à l’oubli numérique des internautes ou… responsabilité civile des moteurs de recherche du fait du référencement ? (retour sur l’arrêt de la CJUE du 13 mai 2014) », Communication Commerce électronique, mai 2015, pp. 15-23.

 

Jean-Michel BRUGUIERE, « Le "droit à" l’oubli numérique, un droit à oublier », Dalloz 2014, pp. 299-301.

 

Céline CASTETS-RENARD, « Google et l’obligation de déréférencer les liens vers les données personnelles ou comment se faire oublier du monde numérique », RLDI, n° 106, juillet 2014, pp. 68-75.

 

Anne DEBET, « Droit au déréférencement : .fr ou .com ? » Communication Commerce électronique, juillet 2015, pp. 42-43.

 

Etienne DROUARD, « Arrêt Google de la CJUE sur le “droit à l’oubli”... ou l’oubli du droit ? », Legipresse, n° 317, juin 2014, pp. 323-324.

 

Édouard GEFFRAY, « Droit au déréférencement : les CNIL européennes publient leurs lignes directrices », Legipresse, n° 324, février 2015, pp. 124-129

 

Nathalie MALLET-POUJOL, « Droit à l’oubli numérique et désindexation : la solution en trompe-l’œil de la CJUE », Legipresse, n° 319, septembre 2014, pp. 467-472.

 

Laure MARINO, « Un "droit à l’oubli" numérique consacré par la CJUE »,

JCP-G 2014, pp. 1300-1303.