Droit à l’oubli numérique: Interview de Monsieur Édouard Geffray, secrétaire général de la CNIL

Depuis l’arrêt de la Cour de justice de l’Union Européenne du 13 mai 2014, Google a mis en ligne un formulaire permettant aux internautes européens d’obtenir le retrait de résultats qu’il juge inappropriés. Mais qu’en est-il réellement ? Quelles sont les données concernées et ces dernières disparaissent-elle véritablement d’Internet? Pour répondre à ces questions j’ai eu le privilège de m’entretenir avec Monsieur Édouard Geffray, secrétaire général de la CNIL qui m’a fait l’honneur et a eu la gentillesse de bien vouloir nous éclairer sur ce sujet d’actualité.

1/ Quelle est la position de la législation française et de la CJUE en matière de droit à l’oubli ?

Le « droit à l’oubli » tel qu’évoqué actuellement par rapport aux moteurs de recherches n’est pas, juridiquement, un droit nouveau, même si cette consécration par la Cour de justice a des effets pratiques importants. En effet la directive 95/46/CE, relative à la protection des libertés et des droits fondamentaux des personnes physiques lors du traitement des données à caractère personnel, comme la loi du 6 janvier 1978 « informatique et libertés » prévoient un droit d’opposition et un droit à l’effacement. Deux notions à ne pas confondre car elles présentent deux finalités bien distinctes. D’abord, le droit à l’effacement est prévu par l’article 40 de la loi Informatique et libertés, qui dispose que « toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite ». Quant au droit d’opposition, il s’agit du droit que toute personne a de s’opposer, pour des motifs légitimes, à figurer dans un fichier. Ainsi, quiconque peut s’opposer à ce que ses données personnelles soient enregistrées dans des fichiers commerciaux par exemple. C’est à la lumière de ce cadre juridique qu’il faut lire l’arrêt de la Cour de justice, du 13 mai 2014 rendu dans l’affaire Google Spain. La Cour ne « crée » pas un droit nouveau, mais juge plusieurs points importants. Le premier, c’est qu’un moteur de recherches est bien un traitement de données personnelles, comme l’avait d’ailleurs dit le G29 (le groupe des « CNIL » européennes). Le deuxième, c’est que dès lors que l’exploitant d’un moteur de recherches a un établissement en Europe qui participe au traitement, en l’occurrence via l’activité publicitaire, le droit de l’Union européenne s’applique. Elle en déduit que le principe de protection des données personnelles – tel que garanti par la Charte des droits fondamentaux de l’Union – et la directive de 1995 – donc la loi informatique et libertés en France – s’appliquent bien aux moteurs de recherche. Elle déduit enfin de l’application du cadre juridique que nous venons d’évoquer que les internautes peuvent exercer, à l’égard des moteurs de recherche, un “droit au déréférencement”.

2. Quelle est la portée du droit au déréférencement ?

Ce « droit au déréférencement » ne veut pas dire que les données personnelles que l’internaute veut voir disparaître sont complètement effacées. Il s’agit d’un droit à obtenir, auprès d’un moteur de recherches, la décorrélation entre l’identité d’une personne, par exemple, et un résultat de recherches (une url). Par exemple, si on trouve sur un site Internet, un Blog ou un forum, l’information selon laquelle Monsieur Pierre Y est mauvais cuisinier, et si ce Monsieur demande à Google, Bing ou Yahoo, etc. la suppression de cette information, seule l’URL en cause disparaitra de la liste de résultats apparaissant sous la recherche de « Monsieur Pierre Y » : elle sera déréférencée sous cette requête. En revanche l’URL de la page mentionnant ce fait ne disparaîtra pas du web, et pourra être trouvée à partir d’autres requêtes (par exemple, en l’espèce, « mauvais cuisinier »).

Autre aspect important : la Cour de justice précise bien que le droit au déréférencement n’est pas un droit absolu – ce qui est la conséquence immédiate du cadre juridique applicable en matière de droit d’opposition et d’effacement – mais que toute demande doit être appréciée au cas par cas. Elle indique notamment qu’il convient, le cas échéant, de tenir compte du droit à l’information du public.

Enfin, il faut savoir que toute personne peut, pour des motifs légitimes, demander à l’éditeur d’un site de supprimer des informations la concernant. Dans ce cas, l’information n’est plus présente sur le site en question.

3/ Selon vous, le formulaire mis en place par Google est-il une bonne réponse à la jurisprudence de la CJCE ?

Il s’agit d’une initiative intéressante. Ce formulaire est utilisé puisque depuis sa mise en ligne en mai dernier, la société Google indique avoir reçu plus de 135 000 demandes.

4/ Quel est le rôle de la CNIL en matière de droit à l’oubli ?

Si l’internaute qui souhaite voir les url le concernant déréférencées par un moteur de recherche n’obtient pas gain de cause, il peut déposer une plainte auprès de la CNIL, qui instruira alors sa demande au regard du cadre légal applicable. Indépendamment de ce « droit au déréférencement » récemment consacré, la CNIL est saisie depuis plusieurs années de nombreuses plaintes relatives, au sens large, au « droit à l’oubli », c’est-à-dire de demandes visant à faire disparaître des informations de fichiers divers. En 2013, 34% des quelques 6000 plaintes reçues par la CNIL se rattachaient ainsi au droit à l’effacement et au droit d’opposition. Dans ces cas, l’intervention de la CNIL permet, dans l’immense majorité des cas, de déboucher sur une solution favorable à la personne ou permettant à celle-ci de comprendre pourquoi sa demande n’était pas fondée ou juridiquement possible.

5/ Selon vous, est-ce à Google de choisir ce qui est à déférencer ou non ?

Le point de départ, fixé par la Cour de Justice dans son arrêt, est que le droit au déréférencement n’est pas un droit absolu et doit être concilié avec, notamment, le droit à l’information du public. Il existe donc deux éléments de réponse à votre question. D’une part, de manière générale, il appartient à un responsable de traitement d’examiner les demandes qui lui sont soumises sur le fondement du droit d’opposition ou du droit d’effacement, et d’y faire droit si les conditions prévues lui semblent remplies. D’autre part, un tel examen par le responsable de traitement – en l’espèce des exploitants de moteurs de recherches – n’est pas sans contrôle : en amont, les textes et la jurisprudence de la Cour définisse le cadre de cette obligation. En aval, le traitement de ces demandes est subordonné au double contrôle de la CNIL et, le cas échéant, du juge. S’agissant du droit au déréférencement, la question se pose dans des termes particuliers : c’est pour cette raison que le G29 travaille actuellement à définir des « lignes directrices » très opérationnelles sur ce sujet.

6/ Comment concilier le droit à l’oubli et le devoir de mémoire ?

Il faut trouver un équilibre entre le devoir de mémoire et le droit à l’oubli numérique. Les deux ne s’opposent pas nécessairement. Le projet de règlement européen sur la protection des données personnelles, actuellement en cours de discussion, prévoit ainsi un « droit à l’oubli », mais prévoit également qu’il y est dérogé, dans certaines conditions, à des fins historiques, statistiques ou de recherches. Il existe une gamme de droits, avec des effets différents, permettant de protéger la vie privée et les données personnelles, qui doivent être conciliés avec d’autres droits (comme le droit à l’information) ou avec des législations particulières (comme la législation sur les archives).

 Merci Monsieur le secrétaire général pour cette entretien

LW

Express Your Reaction

Share Tweet