Droit à l’oubli

Un article sur une vieille condamnation, une photo embarrassante, une information exacte mais dépassée : sur internet, tout semble rester accessible indéfiniment. Le droit à l’oubli permet, dans certaines conditions, de limiter cette mémoire. L’expression recouvre en réalité deux droits distincts : le déréférencement auprès des moteurs de recherche et l'effacement des données à la source.

L’origine : l’arrêt Google Spain (2014)

Un avocat espagnol se plaignait que la recherche de son nom sur Google fasse apparaître une annonce de presse de 1998 relative à la vente aux enchères de ses biens pour des dettes depuis longtemps réglées. Par un arrêt du 13 mai 2014 (affaire Google Spain et Google, C-131/12), la Cour de justice de l’Union européenne a jugé qu’un moteur de recherche est responsable du traitement de données personnelles qu’il effectue, et qu’une personne peut lui demander de supprimer des liens vers des pages contenant des informations la concernant, même si ces pages restent en ligne et même si leur publication était licite.

Depuis, le principe est inscrit à l'article 17 du RGPD (2016, applicable depuis 2018), intitulé « droit à l’effacement (“droit à l’oubli”) ».

Déréférencement et effacement

Quand le droit s’applique-t-il ?

L’effacement est dû notamment lorsque :

• les données ne sont plus nécessaires au regard de la finalité pour laquelle elles ont été collectées ;
• la personne retire son consentement et il n’existe pas d’autre fondement au traitement ;
• la personne s'oppose au traitement et il n’existe pas de motif légitime impérieux ;
• les données ont été traitées illicitement ;
• les données ont été collectées lorsque la personne était mineure, dans le cadre de services en ligne. Pour ce cas, la loi française prévoit une procédure accélérée : le responsable doit répondre dans un délai d’un mois, et la CNIL peut être saisie à défaut.

Les limites

Le droit à l’oubli n’est pas absolu. Il est écarté notamment pour l’exercice de la liberté d’expression et d’information, le respect d’une obligation légale, des motifs d’intérêt public (santé publique, archives, recherche, statistiques) ou la défense de droits en justice. Pour le déréférencement, le moteur de recherche met en balance le droit à la vie privée et l’intérêt du public à accéder à l’information, selon des critères dégagés par les autorités européennes :

• la personne joue-t-elle un rôle dans la vie publique (élu, dirigeant, personnalité) ?
• l’information est-elle exacte, récente, pertinente ?
• relève-t-elle de la vie privée ou de l’activité professionnelle ?
• s’agit-il de données sensibles (santé, orientation sexuelle, opinions, infractions), qui appellent une protection renforcée ?
• l’information cause-t-elle un préjudice disproportionné ?

En 2019, la CJUE a précisé que le déréférencement doit s’appliquer dans toutes les versions européennes du moteur de recherche, mais que le droit de l’Union n’impose pas un déréférencement mondial. En 2022, elle a jugé que la personne qui prouve qu’une information est manifestement inexacte doit obtenir le déréférencement, sans avoir besoin d’une décision de justice préalable.

Comment faire une demande

Déréférencement

1. Remplir le formulaire en ligne du moteur de recherche (Google, Microsoft Bing et les autres en proposent un), en indiquant les adresses exactes des pages et les raisons de la demande.
2. Joindre une pièce justifiant l’identité (en masquant les informations inutiles).
3. En cas de refus ou d’absence de réponse dans un délai d’un mois (prolongeable), saisir la CNIL par une plainte en ligne, ou le juge.

Effacement

1. Écrire au responsable du site ou du service, de préférence par le formulaire ou l’adresse dédiés aux données personnelles, en citant l’article 17 du RGPD. La CNIL propose des modèles de courrier.
2. Le responsable doit répondre dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes.
3. À défaut, plainte auprès de la CNIL.

Pour un contenu illicite (diffamation, injure, harcèlement, image intime diffusée sans consentement), d’autres voies existent : signalement à la plateforme, à Pharos, plainte pénale. Elles ne relèvent pas du droit à l’oubli mais peuvent être plus rapides.

Le « droit à l’oubli » en assurance et crédit

Le même nom désigne en France une règle différente : le droit à l’oubli pour les anciens malades qui empruntent. Dans le cadre de la convention AERAS, et depuis la loi du 28 février 2022, une personne n’a plus à déclarer à l’assureur de son prêt un cancer ou une hépatite C dont le protocole thérapeutique est terminé depuis cinq ans sans rechute. Cette règle relève du droit des assurances, pas de la protection des données en ligne.

Questions fréquentes

Le droit à l’oubli supprime-t-il l’article de presse ?

Non, le déréférencement retire seulement le lien des résultats de recherche sur votre nom. L’article reste en ligne. Obtenir sa suppression ou son anonymisation auprès du journal est possible, mais plus difficile, au nom de la liberté de la presse et de l’intérêt des archives.

Une personnalité publique peut-elle obtenir un déréférencement ?

C’est plus difficile, car le public a un intérêt légitime à connaître les informations liées à son rôle. Les éléments relevant strictement de sa vie privée peuvent toutefois être déréférencés.

Le droit à l’oubli existe-t-il hors d’Europe ?

Il s’applique aux recherches effectuées depuis l’Union européenne. D’autres pays ont des mécanismes proches mais différents ; au Québec, la loi 25 sur la protection des renseignements personnels prévoit un droit à la désindexation.