Le monde médiatique s’est récemment focalisé sur les questions de "droit à l’oubli", à la suite du retentissant arrêt européen pris à l’encontre de Google.

1. Le droit applicable

ble

  • Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
  • Charte des droits fondamentaux de l’Union européenne (dernière version 26 octobre 2012) ;
  • Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n°2004-801 du 6 août 2004 transposant la directive ;
  • Arrêt de la Cour de justice de l’Union européenne (CJUE) du 13 mai 2014.

2. Notion de droit à l’oubli

Le droit à l’oubli apparaît dès les premières législations de protection des données à caractère personnel, dans les années 70-80 pour la plupart des pays du monde. Il s’agit de l’obligation de ne pas conserver des données personnelles au-delà du délai nécessaire à la finalité du traitement de ces données (loi de 1978, article 6, 5°). Par exemple, un lecteur de bibliothèque qui n’emprunte plus d’ouvrage pendant un an doit être supprimé de la base des emprunteurs de l’établissement.

3. Finalité des lois de protection des données personnelles

Les lois sur les données à caractère personnel sont destinées protéger les citoyens contre la puissance de recoupements de l’informatique. Ainsi est-il interdit pour un État de recouper n’importe quelles informations sur ses citoyens, notamment pour s’immiscer dans sa vie privée, et au sein de celle-ci, de collecter des données dites sensibles telles que les origines ethniques ou raciales, les opinions philosophiques, politiques, religieuses, etc. Même les recoupements entre les revenus déclarés et les aides sociales reçues, pour traquer les fraudes, sont sérieusement encadrés.

4. Internet : zone de non-droit ?

Si les autorités étatiques voient leurs pouvoirs de recoupement sérieusement encadrés et les citoyens relativement protégés, il n’en est rien sur internet et ce sans aucune raison. Pourtant quel outil est plus puissant et plus indiscret qu’un moteur de recherche qui permet à toute personne de faire tous les recoupements d’informations possibles sur le seul nom d’un individu ?

Cette ignorance des lois des pays où les moteurs de recherche sont consultables a quelque chose de choquant. Plus choquant encore est le fait que, face au « mythe de l’internet » couplé à l’ânerie consistant à croire en un « vide juridique » sur le net, nul ne prend conscience de cette évidence : les moteurs de recherche multinationaux bafouent depuis l’origine les lois des pays où les libertés des citoyens sont censées être protégées, spécialement la protection de leurs données personnelles.

5. Extension du concept : le droit à l’oubli numérique

La prise de conscience de cette situation a donc été longue. En France, le concept de droit à l’oubli numérique émerge peu à peu :

  • proposition de loi "visant à mieux garantir le droit à la vie privée à l'heure du numérique" au Sénat (3 novembre 2009) ;
  • intervention de la secrétaire d’État chargée de la prospective et du développement de l’économie numérique, Nathalie Kosciusko-Morizet, au 4e Forum de la gouvernance de l'internet, à Charm El-Cheikh, en Égypte pour une mondialisation du droit à l'oubli numérique (15-18 novembre) ;
  • Alex Türk, président de la Cnil, se déclare favorable à l'inscription du droit à l'oubli dans la Constitution française le 23 novembre ;
  • Nathalie Kosciusko-Morizet lance 15 avril 2010 la plateforme ministérielle "Prospective numérique" pour recueillir les avis des internautes et lance le projet d’une charte du droit à l’oubli, « engagement volontaire des acteurs du net », hélas peu suivie d’effets concrets.

6. Le coup de semonce de la Cour de justice européenne

Dans ce cadre, la Cour de justice de l’Union européenne rend son arrêt du 13 mai 2014.

Un ressortissant espagnol avait demandé sans succès à Google de déréférencer une page nuisant à sa réputation. Le désaccord entre l’agence espagnole de protection des données et Google Spain fut porté en justice et les juges espagnols posèrent à la CJUE une question d’interprétation de la directive européenne sur la protection des données personnelles.

Un pavé dans la marre

Ce qui semble significatif dans cette affaire, c’est que, enkystés dans leurs habitudes de pensée, les acteurs du net et les médias n’imaginaient pas qu’on puisse tout simplement rappeler que le droit s’applique partout, y compris sur internet.

Les magistrats de la CJUE vont se livrer à une démonstration juridique imparable dont on n’a pas fini de mesurer les conséquences. Après de longs argumentaires détaillés, la décision elle-même tient en quatre courts paragraphes qui constituent les phases d’un raisonnement d’une concision et d’une force juridique remarquables.

1 - Les moteurs de recherche pratiquent des traitements de données personnelles

La Cour constate d’abord que les activités d’un moteur de recherche entrent dans le champ d’application de la directive puisqu’ils pratiquent notamment des traitements de données à caractère personnel (article 2, b) et que les exploitants de ces moteurs sont les responsables juridiques de ceux-ci (article 2, d).

2 - Application de la loi européenne

Le grand « sport » de Google a toujours été de se retrancher systématiquement derrière le droit américain pour refuser de respecter le droit des pays dans lesquels le moteur est consultable, et ce au mépris évident des règles de droit international privé.

La Cour constate que la directive s’applique de par son article 4, 1, a) dès lors que la filiale d’un moteur de recherche établie sur le territoire de l’Union y fait du commerce et vise les ressortissants d’un État membre.

Ce n’est que l’application, soigneusement étayée, des règles dites de « conflits de lois dans l’espace » du droit international privé : la loi applicable à un litige est celle des personnes à protéger, et en droit pénal, la loi du pays de la victime. À cet égard, l’arrêt remet les pendules à l’heure.

3 - Obligation d’effacement

La Cour constate ensuite qu’en application des articles 12, b) et 14, a) de la directive (droits de rectification et d’opposition), l’exploitant d’un moteur est obligé de supprimer de ses résultats les liens pointant vers des pages sur lesquelles le demandeur est mentionné, même si cette mention n’a pas été supprimée de ces pages, et même si cette mention est licite.

4 - Un droit fondamental du citoyen européen

Enfin, la Cour fonde ce droit à l’effacement sur les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne (droit au respect de la vie privée ; protection de ses données personnelles et principe du consentement pour publier celles-ci). Ce droit fondamental joue sans qu’il soit nécessaire d’invoquer un préjudice. Il prévaut « en principe », sur l’intérêt économique de l’exploitant du moteur et surtout sur l’intérêt du public à accéder à l’information, à moins que l’intérêt prépondérant du public ne l’emporte comme dans le cas d’une personnalité publique.

7. Une interprétation trop restrictive des moteurs de recherche

Très vite assaillis de demandes, les deux grands moteurs ont mis en place un formulaire (Google le 29 mai, Bing le 16 juillet 2014). Mais entre le droit à l’effacement de l’intéressé qui n’a pas à prouver de préjudice et qui prime sur le droit à l’information du public et la possibilité de reconnaître un fort intérêt du public, se trouve créée une zone grise sujette à interprétation plus ou moins large dans laquelle les moteurs de recherche se sont engouffrés de manière excessive.

Un filtrage des demandes abusif

Google et Bing exigent ainsi des « explications » pour leur permettre de « juger » de l’opportunité du retrait là où l’arrêt précise qu’il s’agit d’un droit fondamental indépendant de tout préjudice. Et ces moteurs rejettent actuellement environ 50% des demandes.

Un masquage purement local en pratique peu efficace

Google n’efface les résultats que sur ses plateformes nationales des pays de l’Union. Il suffit par exemple de passer dans un autre pays pour retrouver toutes les informations indésirables… Or, les droits fondamentaux d’un citoyen européen ne sauraient différer dans leur application d’un pays à l’autre.

Un droit à l’oubli en trompe-l’œil

Même depuis un État membre, on peut se connecter sur Google.com pour retrouver les informations indésirables, là où l’arrêt a posé le principe d’un retrait général.

8. Bien maigre bilan

Les droits du citoyen européen sont en fait bafoués par un soi-disant droit à l’oubli qui reste plus que relatif malgré le rappel à l’ordre de la CJUE.

9. Le G29 fourbit ses armes

Le groupe des autorités de protection des données des 28 États de l’UE (dit G29) prépare depuis l’été 2014 des lignes directrices pour coordonner son intervention, notamment face aux plaintes qu’elles reçoivent suite au refus de déréférencement des moteurs de recherche. La Cnil a annoncé le 18 septembre 2014 que le groupe commençait à organiser un réseau de travail entre les autorités et continuait à analyser la façon dont les moteurs se conforment à l’arrêt de la CJUE. Espérons que le résultat de cette étude – annoncé pour l’automne – débouchera à nouveau sur un rappel au respect plus exact de l’arrêt de la CJUE. Juges des contentieux opposant les citoyens aux moteurs de recherche en cas de refus de déréférencement, ces autorités contribueront de toute façon à dégager une jurisprudence régulatrice des pratiques des moteurs.

Didier Frochot