Vous êtes ici : Accueil > Actualités > Droit à l’oubli et déréférencement: le point sur la question

Droit à l’oubli et déréférencement: le point sur la question

Le 03 novembre 2021
En 2020, l’Autorité belge de protection des données infligeait sa sanction la plus élevée à ce jour, une amende de 600.000€, à Google en raison du non-respect du droit à l’oubli.

Le 14 juillet 2020, l’Autorité belge de protection des données (APD) infligeait sa sanction la plus élevée à ce jour, une amende de 600.000€, à Google en raison du non-respect du droit à l’oubli. L’occasion de revenir sur l’application et l’étendue de ce droit inscrit dans le Règlement européen sur la protection des données personnelles (RGPD) dans le cadre des moteurs de recherche.

Le droit à l'oubli dans les affaires concernant les moteurs de recherche, comme Google, prend la forme de la notion de déréférencement qui se distingue de la suppression pure et simple d'un contenu. En effet, le contenu déréférencé n’est pas supprimé, mais plutôt est-il rendu inaccessible directement depuis les différents moteurs de recherche à l'archive dans laquelle il se trouve.

Ainsi, dans l'arrêt de la Cour de Justice de l’Union européenne (CJUE) de 2014 dans l'affaire Google et Google Espagne c. Costeja, la Cour a jugé qu'une partie intéressée peut demander au fournisseur du moteur de recherche en ligne de supprimer un ou plusieurs liens vers des pages web de la liste des résultats affichés à la suite d'une recherche effectuée sur la base de son nom, droit alors formellement consacré par l’article 17 du RGP.

En septembre 2019, dans l'affaire Google c. CNIL, la même Cour a également eu l'occasion de définir la finalité territoriale du droit au déréférencement, en précisant que l'article 17 du RGPD doit être interprété « en ce sens que, lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des États membres, et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des États membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande ».

Suite à ces arrêts de la CJUE, le Comité européen de la protection des données (CEPD) a établi des Lignes directrices 5/2019 sur les critères du droit à l'oubli dans les affaires concernant les moteurs de recherche qui énumèrent les raisons pour lesquelles une partie intéressée peut demander le déréférencement ainsi que les exceptions à l'exercice de ce droit.

     1. Les contours du droit au déréférencement

L’article 17, §1er du RGPD, relatif au droit à l’oubli, dispose que :

 « La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique :

a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ;

b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement ;

c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 ;

d) les données à caractère personnel ont fait l'objet d'un traitement illicite ;

e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis ;

f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1. »

Si cette disposition s’applique au déréférencement sur les moteurs de recherche, son application à ce dernier implique quelques particularités qui sont examinées par le CEPD dans ses lignes directrices.

Ainsi, conformément à l'article 17, §1er, a), la personne concernée peut en théorie demander à un moteur de recherche de supprimer le contenu de ses résultats de recherche, si les données personnelles de la personne concernée ne sont plus nécessaires au regard des finalités du traitement par ledit moteur. Cette disposition permet à l'intéressé de demander la suppression de la liste des informations personnelles le concernant lorsque les informations personnelles sont inexactes ou périmées en raison du cours du temps.

À cet égard, cependant, le CEPD note que ce traitement étant effectué dans le but de rendre l'information accessible aux internautes, une analyse doit être menée sur l'équilibre entre la protection de la vie privée de la personne concernée et l'intérêt des utilisateurs à accéder à l'information.

Par ailleurs, le CEPD souligne dans ses lignes directrices qu'il est peu probable qu'une personne concernée soumette une demande de déréférencement sur la base d’un retrait de son consentement conformément au point b) de l’article précité. En effet, le responsable du traitement indexant les données dans ce cas est l'éditeur, c’est donc auprès de lui que l’intéressé prête son consentement et non l'opérateur du moteur de recherche.

Le point c), quant à lui, permet à l'intéressé de s'opposer au traitement des données pour des raisons tenant à sa situation particulière en référence à l'article 21 du RGPD, s'il n'existe pas de motif impérieux et légitime pour le responsable du traitement. L'article 21 a modifié la charge de la preuve, établissant une présomption en faveur de la personne concernée et obligeant au contraire le responsable du traitement à démontrer des « raisons légitimes impérieuses de poursuivre le traitement ». Par conséquent, lorsqu'un fournisseur de moteur de recherche reçoit une demande de déréférencement en raison de la situation particulière de la personne concernée, il doit désormais supprimer les données personnelles, conformément à l'article 17, §1er, c) du RGPD, sauf s'il peut prouver des "raisons impérieuses et légitimes (...) prévalant sur les intérêts, droits et libertés de la personne concernée", au sens de l'article 21, justifiant qu’il continue à répertorier le résultat de recherche spécifique.

Le CEPD rappelle encore que l'intéressé peut demander le déréférencement si les données ont fait l'objet d'un traitement illicite. La notion de traitement illicite doit être interprétée de manière large mais objective. Ainsi, si le traitement licite se réfère principalement aux bases du traitement énumérées à l'article 6 du RGPD, le traitement peut être considéré comme illégal et une désindexation requise même en cas de violation d'une disposition légale autre que le RGPD.

Conformément à l'article 17, §1er, e), la suppression peut être demandée pour remplir une obligation légale en vertu du droit de l'Union ou de l'État membre auquel le responsable du traitement est soumis. Cela peut résulter d'une injonction, d'une application expresse du droit national ou communautaire ou d'une simple violation du délai de conservation par le fournisseur du moteur de recherche.

Enfin, une personne intéressée peut demander à un moteur de recherche de supprimer un ou plusieurs résultats si les données personnelles ont été collectées dans le cadre de l'offre de service de la société de l'information (SSI) à un mineur d’âge visé à l'article 8.1 du RGPD. Le règlement ne définit pas la notion de SSI mais le CEPD note qu'il est probable que les activités des moteurs de recherche relèvent de son champ d'application, auquel cas le contexte de la collecte des données personnelles par le responsable du traitement d'origine devra être pris en compte.

Par ailleurs, comme il ressort de la jurisprudence précitée de la Cour de justice, le droit au déréférencement n'est pas absolu. Ainsi, un juste équilibre doit notamment être recherché entre, d'une part, le droit d'accès du public à l'information et, d'autre part, les droits et intérêts de la personne concernée.

Dès lors, un moteur de recherche peut s’opposer à la suppression d'un contenu s’il est en mesure de démontrer que son inclusion dans la liste des résultats est strictement nécessaire pour protéger la liberté d'information des internautes.

     2. L’application de ces principes par l’APD

Dans l’affaire traitée par l’Autorité belge de protection des données en juillet 2020, il s’agissait plus particulièrement d’un plaignant qui, jouant un rôle dans la vie publique en Belgique, avait adressé au moteur de recherche une demande de déréférencement concernant des pages qui faisaient états de plaintes pour harcèlement à son encontre, pourtant déclarées non fondées plusieurs années auparavant, ainsi que d’autres pages relatives à une appartenance politique.

Devant le refus de Google de procéder au déréférencement, le plaignant s’adressait à l’APD.

Cette dernière a d’abord rejeté le déréférencement des pages relatives à l’affiliation politique du plaignant, estimant que de telles informations étaient nécessaires à l’intérêt du public et de son droit à l’information quant au rôle que le plaignant peut jouer dans la vie publique.

En revanche, l’APD condamne Google en ce qui concerne le déréférencement des pages relatives aux accusations de harcèlement portées envers le plaignant au motif que les faits étaient anciens, avaient été déclarés non-fondés en justice, et leur accessibilité était de nature à avoir de sérieuses répercussions pour le plaignant. De plus, l’APD stigmatisait le comportement de Google Belgium qui a fait preuve de négligence eu égard notamment au caractère notoirement non pertinent et dépassé des faits.

L’Autorité faisait ainsi application des principes précités, le Président de sa Chambre Contentieuse déclarant, par ailleurs à juste titre, que « dans le droit à l’oubli, il faut trouver un juste équilibre entre d’une part, le droit du public à accéder à l’information, et, d’autre part, les droits et intérêts de la personne concernée ».

Pour toute information par rapport à ces questions, n’hésitez pas à contacter votre avocat.