Le droit à l’oubli

20 mai 2019 David Ybert de Fontenelle

Qu’est-ce que le droit à l’oubli ?

Le droit à l’oubli renvoie à l’obligation faite aux moteurs de recherche de supprimer des données personnelles sur demande des intéressés. Il s’agit donc d’un droit à l’oubli numérique, puisqu’il concerne des données personnelles informatisées, en général nuisibles, et susceptibles de circuler, et de se transmettre plus aisément. Ab initio, ce droit avait été consacré par une jurisprudence du 13 mai 2014 de la Cour de justice de l’Union européenne et s’inscrivait ainsi dans le cadre général de la protection des données personnelles au sein de l’espace communautaire. La Cour s’était en réalité appuyée sur la directive du 24 octobre 1995, dont elle avait retenu une interprétation extensive pour octroyer un tel droit aux “cybercitoyens“ européens. En France, ce droit a été par la suite repris aux articles 38 et suivants de la loi Informatique et Libertés du 6 janvier 1978.

Concrètement, cette création prétorienne consiste à reconnaître à toute personne physique un droit à l’effacement de données à caractère personnel la concernant, dès lors que le traitement qui en est fait n’est pas conforme et, en particulier, lorsque les données sont incomplètes, inexactes ou, plus généralement, non pertinentes. En ce sens, il est fait référence au « droit à l’effacement ». Dans une autre approche, le droit à l’oubli renvoie au déréférencement du site contenant de telles données par les moteurs de recherche.

Un droit à l’oubli absolu ?

La réponse est clairement négative, et pour cause, en retenant une interprétation extensive de la protection des données personnelles, la Cour de Justice donnait notamment un effet quasi-extraterritorial au régime de protection communautaire. Il a rapidement fallu soumettre son application à de nombreuses conditions, conçues comme des « garde-fous », mais son application géographique fait toujours débat…

L’internet ne connaît pas de frontières et les données circulent sans se soucier des nationalités, des Droits applicables, des protections des données personnelles offertes ou non, et la question de l’application dans l’espace du droit à l’oubli – communautaire –  était dès lors cruciale. Elle n’est aujourd’hui pas encore tranchée : d’une part la CNIL (Commission nationale de l’Informatique et des Libertés) qui considère que le droit à l’oubli offert aux européens devrait trouver à s’appliquer dans le monde entier ; et d’autre part Google qui entend respecter la conception propre à chaque pays de la mise en balance qui doit être faite entre liberté d’expression et vie privée. En définitive, la CNIL ne tolère pas que Google se contente de ne supprimer l’accès aux données personnelles, dont la suppression aurait été demandée par la personne européenne concernée, uniquement aux internautes européens et non à tous les internautes de manière internationale. La Cour de Justice pourrait ainsi être amenée à se prononcer prochainement sur cette problématique.

Par ailleurs, le droit à l’oubli vient, notamment et surtout, se heurter au droit à l’information des tiers. Cela signifie que la protection des données personnelles qu’offre la possibilité de pouvoir faire effacer des informations qui pourraient être nuisibles à l’intéressé ne doit pas préjuger du droit des tiers d’être informés, sachant que ce droit à l’information est logiquement renforcé pour les personnalités publiques, ce qui implique que “leur droit à l’oubli“ est d’autant plus réduit.

Dans l’actualité contentieuse, la Cour européenne des droits de l’Homme s’est confrontée à la nécessaire mise en balance du droit à l’oubli avec d’autres droits et libertés, tels qu’ici la liberté d’expression. Elle a ainsi décidé que, lorsque l’information représente un intérêt général, la liberté d’expression – en l’occurrence des médias – ne peut pas se voir opposer le droit à l’oubli de la personne concernée par une telle information (CEDH, 19 octobre 2017, Fuschmann c. Allemagne). En outre, la Cour de Justice de l’Union est récemment intervenue en refusant de reconnaître l’application du droit à l’oubli concernant une demande d’effacement, par l’administrateur d’une société, de données personnelles le concernant contenues dans le registre des sociétés (CJUE, 9 mars 2017).

Le droit à l’oubli renouvelé par le RGDP ?

 

Le droit à l’oubli faisant partie intégrante de la protection des données personnelles offerte par le Droit communautaire, il est nécessairement affecté par la réforme actuelle. Effectivement, le droit à l’oubli aura désormais une base textuelle dans le Droit de l’Union : il est expressément visé par l’article 17 du Règlement général sur la Protection des Données à caractère personnel (RGDP). Dans une logique de renforcement du droit à l’oubli, ledit article détaille plusieurs motifs pouvant appuyer l’exercice de celui-ci. Notamment, un « cybercitoyen » européen sera fondé à demander la suppression de données le concernant dès lors que ces dernières ne seront plus nécessaires aux vues des finalités pour lesquelles elles avaient été initialement collectées, ou si elles étaient traitées d’une manière différente a posteriori. Mais aussi, une personne concernée par des données pourra purement et simplement retirer son consentement à leur traitement, et s’il n’existait dès lors « pas d’autre fondement juridique » à ce traitement, la personne concernée pourrait alors prétendre à leur effacement. Dans cette même logique de défaut de consentement, une simple opposition au traitement des données personnelles pourra suffire. Le règlement prévoit également la possibilité, pour une personne, de demander l’effacement de données concernant l’enfant de moins de 16 ans pour lequel elle est titulaire de l’autorité parentale. En outre et a fortiori, il sera possible d’invoquer ce droit lorsque les données auront fait l’objet d’un traitement illicite. Enfin, le législateur européen s’octroie la possibilité, ainsi qu’au législateur national, d’imposer l’effacement de données.

Le fait que des motifs soient préétablis peut toutefois être interprété comme limitant à ces cas précis l’exercice du droit à l’oubli. Mais en tout état de cause, des limitations proprement dites demeurent afin, encore une fois, de permettre une mise en balance du droit à l’oubli avec d’autres droits mais aussi avec d’autres intérêts que ceux de la personne concernée par les données. Ainsi, il est expressément disposé à l’article 17 que le droit à l’oubli se trouve limité, notamment, par l’exercice du droit à la liberté d’expression et d’information. En outre, l’exercice du droit à l’oubli ne devra pas compromettre l’exercice ou la défense d’autres droits en justice. Mais aussi, l’intérêt public doit être pris en compte : ledit article se réfère à l’exécution « d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique », « des motifs d’intérêt public relatifs à la santé publique », « des fins archivistiques dans l’intérêt public », et à « des fins de recherche scientifique ou historique ou à des fins statistiques ». Enfin, le législateur européen s’octroie et laisse, une nouvelle fois, une marge de manœuvre au législateur national, en inscrivant que le droit à l’oubli pourra être limité par eux.

Nota : toutes les nouvelles dispositions du RGDP n’entreront en vigueur que le 25 mai 2018.

, , ,