Avertissement : le droit à l’oubli est un sujet qui a connu une très forte actualité en 2017. Le mémoire a été rendu au mois d’avril, il se peut que certaines parties soient déjà obsolètes ou non actualisées.
.
Beaucoup de personnes de ma génération ont eu un Skyblog sur lequel ils ont parfois posté des photos gênantes qui ressortent désormais à l’âge adulte et peuvent nuire à la recherche d’emploi. On aimerait donc les voir disparaître à tout jamais ! Mais que faire quand cette dernière a été postée dans les fins fonds d’internet ? C’est là que le droit à l’oubli vient nous protéger.
L’oubli est nécessaire au bonheur de l’être humain car il lui permet de continuer à vivre malgré les épreuves. Comme l’énonçait Friedrich Nietzche, « il est absolument impossible de vivre sans oublier » (1). Mais qu’est-ce qu’oublier en droit ? Il ne sera pas traité ici des questions de prescriptions mais bien d’oubli numérique, de maîtrise, contrôle et d’effacement de ses données personnelles sur Internet.
Internet a totalement bouleversé le mode de vie des Hommes. À ses débuts, internet était qualifié de web 1.0 (le web passif), c’est une simple lecture de contenus. Depuis l’émergence du web 2.0, l’internaute a pris un rôle actif en créant du contenu et laisse désormais des traces qui peuvent être volontaires (nos propres actions conscientes sur un site), involontaires (notre adresse IP identifiée, cookies), ou encore subies (quelqu’un d’autre écrit quelque chose sur nous).
Les Hommes se sont donc créés une identité numérique et une e-réputation, cette dernière étant devenue toute aussi importante que l’image analogique et mérite protection. Le droit à l’oubli, c’est alors la volonté de faire disparaître le contenu. Cependant, ces traces sont indélébiles car « internet n’oublie jamais et ne corrige jamais ». L’enjeu est donc de déréférencer ce contenu.
La CNIL (Commission Nationale de l’Informatique et des Libertés) définit le déréférencement comme étant « le processus destiné à supprimer l’association d’un résultat de recherche à la requête « nom prénom » ». En effet, cette requête via moteur de recherche offre en effet « un outil de profilage technique ».
En plus des attentes légitimes de protection de la vie privée de la part des internautes, la responsabilité du moteur de recherche pose problème car il n’était pas imaginé par la Directive 2000/31CE (2).
.
Quelle place doit-il jouer dans le droit à l’oubli ? Est-ce réellement un hébergeur ? Est-il réellement neutre ? Quelles sont ses obligations ?
.
I – L’EMERGENCE PROGRESSIVE D’UN DROIT A L’OUBLI EN FRANCE
Le droit à l’oubli n’est pas né ex-nihilo de la décision Google Spain, un embryon de droit à l’oubli commençait déjà à émerger de façon jurisprudentielle en France. L’internaute disposait, en vertu de la loi du 6 janvier 1978 (3) d’un droit d’opposition à la collecte de ses données personnelles ainsi que d’un droit à l’effacement de ses données si elles sont « inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite ».
L’individu pouvait également directement agir contre l’éditeur du site internet en vertu de la loi sur la presse de 1881, ou encore sur le fondement de la responsabilité des hébergeurs qui doivent supprimer un contenu dès lors que l’illégalité de ce dernier leur a été signalée (4).
Cependant c’est l’arrêt de la Cour de justice de l’Union européenne du 13 mai 2014 Google Spain (5) qui a mis le droit à l’oubli sur le devant de la scène. Monsieur Costeja Gonzales souhaitait faire disparaître de Google les traces de ses dettes de sécurité sociale. L’affaire a été portée devant la Cour de cassation espagnole qui a alors posé une question préjudicielle à la Cour de justice.
La directive de 1995 (6) relative aux données personnelles s’appliquait-elle à Google ? Si oui, Google pouvait-il être qualifié de responsable du traitement des données ?
La Cour de justice répond que Google effectue bien un traitement de données personnelles en ce qu’il détermine les finalités et les moyens de cette activité et est donc déclaré responsable du traitement. Ainsi, comme le souligne la Cour de justice, « les résultats sont potentiellement attentatoires à la vie privée des individus » car le moteur de recherche facilite l’interconnexion des informations.
C’est ainsi un droit d’action direct à l’encontre du moteur de recherche qui est reconnu. La Cour de justice, en effectuant une balance des intérêts entre la protection de la vie privée et le droit à l’information, a fait droit à la demande de Monsieur Costeja Gonzalès.
L’arrêt Google Spain souffre de beaucoup de critiques. La critique majeure étant que le droit à l’oubli consacré dans Google Spain ne concerne que les extensions européennes du moteur de recherche (google.fr par exemple). C’est donc un problème d’application dans l’espace de cette décision. (7) La CNIL souhaite un déréférencement mondial, qui inclurait google.com et Google a été condamné le 10 mars 2016 à une sanction de 100 000€ (8). La présidente de la CNIL, Madame Isabelle Falque-Pierrotin, rappelle le 12 janvier 2017 que le « résultat déréférencé doit l’être sur l’ensemble du moteur de recherche ».
.
II – LE DROIT A L’OUBLI FACE AUX DROITS ET LIBERTES FONDAMENTAUX
Aux Etats-Unis, la liberté d’expression est sacralisée et figure au 1er amendement de la Constitution américaine. Les grands acteurs du web 2.0, parmi lesquels figure Google, sont imprégnés de cette doctrine du Free flow of information. La directrice de la fondation Wikimédia, parle de « memory holes » pour décrire l’effet de la décision Google Spain et craint une forme de censure d’internet (9).
La crainte de la censure d’informations importantes pour le public est particulièrement grave lors qu’il s’agit de données à caractère pénal. Ces dernières reçoivent une protection particulière à l’article 9 de la loi du 6 janvier 1978. Comment appréhender des articles de presse qui relatent d’affaires pénales ? Il peut s’en suivre un acharnement dans le monde réel et numérique rendant ainsi une réinsertion numérique impossible (10). Doit alors s’effectuer la balance des intérêts cette fois-ci entre liberté de la presse et droit à la vie privée. La Cour de cassation, rappelle le 12 mai 2016 que « la décision de restreindre l’accès à ces informations excède les restrictions qui peuvent être apportées à la liberté de la presse » (11). En 2014, le Conseil d’État lors du Colloque le Numérique et les droits fondamentaux explique que le déréférencement affecte « la liberté d’expression de l’éditeur du site ». Ce droit à l’oubli ne doit donc pas être entendu comme « la possibilité de faire disparaître des contenus d’actualités et médiatiques » (12).
Faire disparaître une information est également potentiellement attentatoire à la sécurité juridique et c’est ce qu’un récent arrêt rendu le 9 mars 2017 par la Cour de Justice de l’Union Européenne nous enseigne (13). En l’espèce, M. Manni était un ancien dirigeant de société, qui avait fait faillite et avait été radié du registre des sociétés en 2005. Il demande que les données concernant sa faillite soient supprimées du RCS italien. « Toute personne peut-elle, sans limitation de temps, accéder aux données figurant dans ce registre ? ». Le but de la publicité sur les sociétés est de protéger les tiers notamment pour certains types de sociétés où il existe peu de garanties. La Cour de justice énonce que l’ingérence dans les droits fondamentaux n’est pas disproportionnée en ce qu’elle est justifiée par le besoin de sécurité juridique.
.
III – RESPONSABILITE DU MOTEUR DE RECHERCHE DANS LA PROCEDURE DE DEREFERENCEMENT
La responsabilité du moteur pose problème car il n’était pas imaginé par la Directive 2000/31CE. Google souhaiterait, pour des raisons évidentes de faveur être rattaché à la catégorie des hébergeurs, qui bénéficient d’une responsabilité pour faute, conditionnée s’ils ne respectent pas leur obligation de « prompt retrait » en cas d’avertissement de l’illicéité du contenu (14). Dès 2015, Le Conseil d’État lors du colloque « la France dans la transformation numérique » critiquait la summa divisio entre les hébergeurs et les éditeurs car les moteurs de recherche, opèrent en réalité un « traitement actif et profond sur les données personnelles, qu’elles les indexent, les référencent où les classent ». Une des propositions était de créer un régime autonome de responsabilité pour les plateformes, qui seraient tenues d’un principe de loyauté dans leurs services de référencement ou de classement.
Les obligations des moteurs de recherche dans la procédure de déréférencement sont donc à préciser. Le 27 février 2017, (15) le Conseil d’État, a posé une question préjudicielle à la Cour de justice à propos de 4 affaires, ces dernières concernaient respectivement un photomontage satirique concernant une élue, un ancien responsable de l’Église de Scientologie, une mise en examen qui concernait des hommes politiques et des faits de pédophilie. Les requérants ont déposé plainte à la CNIL enjoignant Google de supprimer les liens. La CNIL n’a pas fait suite à cette demande et les requérants ont contesté ce refus devant le Conseil d’État. Ces affaires étaient particulièrement délicates car elles concernaient des données à caractère personnel dites « sensibles » définies à l’article 8.1 de la directive de 1995 et que la collecte de ces données est très encadrée (16). Cette interdiction de traitement s’applique-t-elle également au moteur de recherche ? Que faire quand ce type d’informations sont contenues dans des articles de presse ?
Le Conseil d’État sursoit donc à statuer pour demander « le mode d’emploi » du droit à l’oubli à la Cour de justice, afin de concilier le droit du public à l’information et le respect de la vie privée.
.
Quand il s’agit d’internet, la soft law est privilégiée de manière à faciliter l’implication des parties prenantes. Par exemple afin d’établir de bonnes pratiques avec et les internautes en leur permettant de mieux gérer et supprimer leurs données. Le G29, (qui regroupe les CNIL européennes) avait rencontré le 24 juillet 2014 à Bruxelles les représentants de Google, Microsoft et Yahoo!. Des mesures ont été prises, tel que le droit de directement demander au moteur de recherche via un formulaire de déréférencer les liens. Pourtant, confier ce rôle à un acteur privé n’est pas sans crainte, comme Laure Marino, Professeur en propriété intellectuelle, l’énonce « N’est-ce pas le rôle du juge de faire la balance entre les droits fondamentaux en présence ? » (17). Le 10 février 2017 le TGI de Paris, apporte des précisions quant à la procédure de déréférencement et accroît le pouvoir conféré au moteur de recherche. Il s’agissait en l’espèce d’un médecin condamné pour des faits d’escroquerie à l’assurance maladie. Il a alors demandé en référé la suppression de 7 liens, dont seulement 3 avaient été, au préalable, signalés à Google qu’il a refusé de déréférencer. Le TGI énonce qu’il convient de s’adresser d’abord à Google avant d’agir auprès du juge des référés. Ce jugement semble donc conférer un rôle de filtre à Google (18).
Le droit à l’oubli est donc un droit consacré par la jurisprudence mais qui souffre de nombreuses critiques : portée sectorielle, critères flous, difficulté pour l’internaute de s’y retrouver, il manque donc ce « mode d’emploi ».
Le droit à l’oubli est désormais consacré pour les mineurs en procédure accélérée dans la Loi pour une République Numérique, ainsi que dans le futur Règlement Général sur la Protection des Données européen et tend à prendre place comme un véritable « droit fondamental » de l’internaute (19). Toutefois, ce droit à l’oubli n’est pas hissé comme un droit absolu car il est sources de craintes et de dangers en raison des risques de censure.
Mélanie Cras
1ère année Master IP/IT
Sources :
(1) Seconde considération inactuelle (1874)
(2) Directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur («Directive sur le commerce électronique»)
(3) Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, article 38, article 40.
(4). Voir les articles 38, 40 de la Loi Informatiques et libertés ainsi que les décisions Diana Z TGI de Paris, 2012 et TGI de Paris en 2013, Max Mosley pour quelques exemples.
(5) C-131/12
(6) Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données
(7) Quelle portée pour ce fameux « droit à l’oubli » des moteurs de recherche, par Cyril Charbet, RDLI 4966, numéro 135, mars 2017.
(8) Délibération de la formation restreinte n° 2016054 du 10 mars 2016 prononçant une sanction pécuniaire à l’encontre de la société Google Inc. (Légifrance)
(9)https://blog.wikimedia.org/2014/08/06/european-court-decision-punches-holes-in-free-knowledge/
(10). Le droit à l’oubli et droit de la presse lorsqu’il s’agit de condamnations pénales. Pour aller plus loin, pour pouvez lire les décisions suivantes : deux décisions du TGI PARIS du 20 avril 1983.
(11) Cour de cassation 12 mai 2016 Les Echos.
(12) « Droit d’opposition et liberté de la presse » Nathalie Metallinos, CEE, n° 7-8, Juillet 2016, comm. 64,
(13) C-398/15
(14) Article 6 de la LCEN.
(15) Conseil d’État, décision du 24 février 2017, n°391000, n°393769, n°399999, n°401258
(16). Les États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle.
(17) Recueil Dalloz 2014 p.1680, Comment mettre en oeuvre le « droit à l’oubli » numérique ? Laure Marino,
(18). http://master-ip-it-leblog.fr/demande-a-google-dabord/ TGI de Paris 10 février 2017
(19) Loi pour une République Numérique crée à l’article 40 un II « II. — Sur demande de la personne concernée, le responsable du traitement est tenu d’effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne concernée était mineure au moment de la collecte ». Article 17 RGPD le terme « droit à l’oubli » est consacré.