Droit à l’oubli : les 13 critères dégagés par la CNIL

Le 13 mai 2014, la Cour de Justice de l'Union Européenne (CJUE) a rendu son déjà célèbre arrêt Google Spain qui oblige Google à donner satisfaction aux internautes qui demandent la censure de résultats qui les concernent, consacrant ainsi l'existence d'un "droit à l'oubli" sur Internet. Toutefois la CJUE avait aussitôt nuancé cette obligation en prévenant Google qu'il fallait étudier les demandes au cas par cas, pour refuser les requêtes d'un individu lorsqu'il "il existe des raisons particulières, telles que le rôle joué par cette personne dans la vie publique, justifiant un intérêt prépondérant du public à avoir, dans le cadre d’une telle recherche, accès à ces informations".

La CJUE demandait que l'appréciation soit réalisée par Google lui-même, au regard de "la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à recevoir cette information". La cour confiait ainsi à une entreprise privée le soin d'interpréter et appliquer le droit, à la place d'un juge dont c'est le métier et la fonction.

Or en signant cet arrêt inattendu qui contredisait l'avis de son avocat général, la cour de Luxembourg a fait naître un conflit inédit d'influence entre le secteur privé et des autorités publiques. D'un côté, Google a sauté sur l'occasion pour prendre un bout de souveraineté aux Etats et affirmer sa capacité autonome à déterminer ses propres critères jurisprudentiels, en mettant sur pieds un comité consultatif privé. De l'autre côté, les CNIL européennes qui se croyaient investies du pouvoir de faire respecter le droit à l'oubli avaient immédiatement annoncé leur intention de fixer elles-mêmes des critères, qu'elles appliqueraient en dernier recours si un internaute se plaint de ne pas avoir eu satisfaction. Elles ont ainsi boudé les réunions publiques de Google, n'acceptant pas d'être doublées.

C'est donc dans cet esprit que le G29, qui réunit la CNIL et tous ses homologues européens, a publié ce jeudi une première liste de critères généraux à prendre en compte dans l'acceptation ou le refus d'une demande de droit à l'oubli. Le document (.pdf) détaille chacun des critères à l'aune de l'arrêt de la CJUE. Les voici résumés (nos commentaires en italique) :

1. Les résultats de recherche sont-ils relatifs à une personne physique ?  Le résultat apparaît-il à la suite d’une recherche effectuée à partir du  nom de la personne concernée ? 

   Seules les recherches du nom ou du pseudonyme d'un particulier entrent dans le champ de l'arrêt Google Spain.  

   
    
2. S’agit-il d’une personne publique ? Le plaignant joue-t-il un rôle dans la vie publique ? 

   Outre la détermination de ce qu'est un "rôle dans la vie publique", La CNIL ajoute un critère supplémentaire qui est de distinguer selon que l'information elle-même est une information pertinente au regard de cette vie publique, ou s'il s'agit d'une information d'ordre purement privé.
    

3. Le plaignant est-il mineur ?

   Par principe si la réponse est oui le droit à l'oubli doit être respecté, au nom de 'l'intérêt supérieur de l'enfant" consacré par la Charte des droits fondamentaux de l'Union européenne.
    

4. Les données sont-elles exactes ?

   En cas d'inexactitude, le droit à l'oubli joue le rôle d'un droit brutal de rectification. C'est toutefois à l'internaute d'apporter la preuve de l'inexactitude.
    

5. Les données sont-elles pertinentes et/ou excessives ?

   Plusieurs sous critères sont ici ajoutés :
   – Les données sont-elles relatives à la vie professionnelle du plaignant ? 
   une réponse positive joue en défaveur du droit à l'oubli, qui doit être utilisé pour la protection de la vie privée)
   – L’information est-elle potentiellement constitutive de diffamation, d’injure, de calomnie ou  d’infractions similaires à l’encontre du plaignant ?
   la réponse positive doit reposer en priorité sur une décision judiciaire qualifiant les accusations, mais un critère de "contenu excessif" peut aussi s'appliquer par la CNIL
   – L’information reflète-t-elle une opinion personnelle ou s’agit-il d’un fait vérifié ?
   La CNIL vise ici le déréférencement de "campagnes de dénigrement" qui pourrait être accordé, ce qui semble flirter très dangereusement avec la ligne rouge de la censure pure et simple d'une opposition politique.
    

6. L’information est-elle sensible au sens de l’article 8 de la  Directive 95/46/CE ?

   Le fait que la page web dont la censure est demandée contient des informations sur l'origine raciale, la religion, les opinions politiques, l'orientation sexuelle, etc., doit jouer en faveur du droit à l'oubli.
    

7. L’information est-elle à jour ? L’information a-t-elle été rendue disponible plus longtemps que nécessaire pour le traitement ?

   La CNIL est ici favorable à ce qu'une information devenue obsolète puisse être supprimée, y compris (c'est un cas explicité) s'il s'agit par exemple d'une condamnation en première instance annulée en appel.
    

8. Le traitement de l’information cause-t-il un préjudice au plaignant ? Les données ont-elles un impact négatif disproportionné sur la vie  privée du plaignant ?

   Il s'agit d'un critère de proportionnalité. La CNIL est par exemple favorable au déréférencement de pages qui relateraient une "infraction mineure" et qui posent problème pour la recherche d'un emploi, ou celui de photos intimes.
    

9. Les informations issues du moteur de recherche créent-elles un  risque pour le plaignant ?

   Sont visées ici les informations telles que des coordonnées bancaires, n° de passeport, adresse personnelle, etc., qui pourraient être utilisées par des tiers à mauvais escient.
    

10. Dans quel contexte l’information a-t-elle été publiée ?

    A nouveau plusieurs sous-critères :
    – Le contenu a-t-il volontairement été rendu public par le plaignant ?
    Contrairement à ce que l'on pourrait croire, la CNIL estime que la réponse positive joue en faveur du droit à l'oubli, car il faut respecter le fait que la personne ne souhaite plus voir référencé un contenu qu'elle avait mis en ligne. Mais l'on doute que la réponse négative puisse jouer en sa défaveur. Dès lors, est-ce vraiment un critère ?
    – Le contenu devait-il être public ? Le plaignant pouvait-il raisonnablement savoir que le  contenu serait rendu public ?
    La mise en ligne à l'insu de la personne joue en faveur du déréférencement (ce qui rejoint notre point précédent)
     

11. Le contenu a-t-il été rendu public à des fins journalistiques ?

    La CNIL refuse d'en faire véritablement un critère. Tout en reconnaissant qu'il faut "prendre en considération" le caractère journalistique de l'information dont la censure est demandée, la CNIL minimise au maximum sa portée par rapport aux autres critères.
     

12. La publication de l’information répond-elle à une obligation légale ? L’auteur de la publication avait-il l’obligation de rendre cette donnée personnelle publique ?

    Si oui, le droit à l'oubli sera en principe refusé, sauf si d'autres critères priment (tels que le préjudice subi)
     

13. L’information est-elle relative à une infraction pénale ?

    Si la condamnation a été effacée par l'amnistie prévue par la loi, le droit doit être systématiquement accordé. Sinon, c'est la gravité et la date de l'infraction qui entrent en considération.

Votre VPN préféré n'est pas celui que vous croyez Quel est le meilleur VPN en 2024 ? Notre comparatif Retrouvez notre comparateur pour choisir le meilleur VPN