Gouvernance
Données personnelles : du droit à l’oubli au devoir d’oubli
Par Stéphane Demazure, publié le 25 juin 2014
LES FAITS
Un internaute espagnol se plaignait que Google affichait, lorsque son nom était tapé dans le moteur de recherche, des liens vers des pages d’un quotidien datant de 1998 faisant état de ses dettes passées envers la sécurité sociale. Il saisit la CNIL espagnole pour que soit ordonné le retrait des liens litigieux.
La CNIL fait droit à la demande formulée à l’encontre de Google et lui impose de retirer les données en cause de son index afin d’en rendre l’accès impossible. Google exerce alors un recours. Dans ce contexte, trois questions préjudicielles sont posées à la CJUE (Cour de justice de l’Union européenne concernant la portée de la directive 95/46 du 24 octobre 1995 sur la protection des données à caractère personnel. La CJUE confirme, sur le fondement de ladite directive, que le moteur de recherche est responsable du traitement des données personnelles accessibles sur les pages web émises par des tiers. Elle rend ainsi, pour la première fois, une décision reconnaissant un droit à l’oubli numérique en jugeant qu’une personne peut obtenir la suppression des liens vers des pages web contenant des informations portant atteinte à sa vie privée. De la très riche motivation de cette décision, on retiendra sur ce point que « même un traitement initialement licite de données exactes peut devenir avec le temps incompatible avec la directive lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées ».
Cet arrêt devance le projet de réforme de la directive de 95/46 qui entend également consacrer explicitement un droit à l’oubli numérique et à l’eff acement. Dans cette attente, cet arrêt prend toute sa place étant précisé qu’aucun droit à l’oubli imposant l’eff acement ou la désindexation a posteriori de données n’est expressément prévu par le droit français. Seul un principe de limitation dans le temps existe, la loi Informatique et Libertés du 6 janvier 1978 prévoyant que les données à caractère personnel « sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées ». Actuellement, ce n’est que par l’exercice du droit d’opposition prévu par l’article 38 de cette loi, ou encore sur le fondement de l’article 9 du Code civil relatif au respect de la vie privée, qu’une personne peut, sous certaines conditions, exercer son contrôle sur la diff usion d’informations personnelles relatives à son passé.
UN DEVOIR D’OUBLI IMPOSÉ AUX ACTEURS DE L’INTERNET ?
L’obligation de suppression imposée par l’arrêt de la CJUE doit être appréciée au cas par cas en vue de trouver un juste équilibre entre le droit à l’information et les droits fondamentaux de la personne, dont le respect de la vie privée. Afin de ne pas se retrouver coincé dans un rôle de censeur ou d’arbitre qu’il a toujours refusé, le moteur de recherche devrait en pratique reporter sur les sites qu’il référence un devoir d’autocensure. Ce qu’il faut retenir.
CE QU’IL FAUT RETENIR
En cas d’atteinte à la vie privée sur Internet, il est désormais possible d’adresser une demande de suppression directement à l’exploitant du moteur de recherche qui devra en examiner le bien-fondé. À défaut de suite favorable, il conviendra de saisir la CNIL puis l’autorité judiciaire en cas de contentieux.
