Le droit à l’oubli est souvent mal compris, certainement en raison des débats passionnés dont il a fait l’objet lors de l’élaboration du Règlement sur la protection des données personnelles (RGPD) [1] ; mais aussi et surtout, à cause de sa dénomination qui peut donner une impression trompeuse sur sa portée et ses effets.
En réalité, il serait plus approprié de parler de droit à l’oubli numérique. Celui-ci permet à une personne d’obtenir, selon les cas, la suppression, la non-diffusion, la désindexation ou l’anonymisation de contenus qui la concerne et se trouvent sur internet. Il peut s’agir de photographies, de vidéos, d’articles de journaux ou d’autres écrits...
Pour obtenir l’oubli numérique, il convient de fonder sa demande sur l’article 17 § 1 du RGPD. [2]
Il est également intéressant d’invoquer l’article 8 de la Convention européenne des droits de l'Homme (ci-après, la « Conv. EDH »), de même que l’arrêt Costeja rendu par la Cour de justice de l’Union européenne le 13 mai 2014. [3]
La Cour de justice a dit pour droit que « l’exploitant d’un moteur de recherche est obligé (moyennant le respect de certaines conditions) de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite ». [4]
Contrairement à une idée reçue, le droit à l’oubli numérique existait déjà avant l’entrée en vigueur du RGPD.
Les cours et tribunaux des différents États membres de l’Union européenne ont joué un rôle décisif dans le développement de cette liberté, en se fondant presque toujours sur le droit à la vie privée, tel qu’il est protégé par article 8 de la Conv. EDH. [5]
C’est ainsi que, confortée par l’arrêt Costeja, la Cour de cassation de Belgique a défini le droit à l’oubli judiciaire, dans un arrêt du 8 novembre 2018, « comme une prérogative permettant à une personne qui a été sous les feux de l’actualité judiciaire d’en sortir en raison du temps écoulé depuis les faits concernés ». [6]
L’approche de la jurisprudence belge, et plus particulièrement de la Cour de cassation, a été validée par la Cour européenne des droits de l’homme. [7]
À l’occasion d’un arrêt Hurbain c./ Belgique du 22 juin 2021, cette dernière a en effet considéré que « le droit de maintenir des archives en ligne à la disposition du public n’est pas un droit absolu. Il doit être mis en balance avec les autres droits en présence. Dans ce cadre, de l’avis de la Cour, les critères qui doivent être pris en compte quand est concernée la mise en ligne ou le maintien à disposition d’une publication archivée sont en principe les mêmes que ceux utilisés par la Cour dans le cadre d’une publication initiale. Certains d’entre eux peuvent toutefois revêtir plus ou moins de pertinence eu égard aux circonstances de l’espèce et au passage du temps ». [8]
Le juge strasbourgeois s’était déjà penché sur un dossier de droit à l’oubli dans une affaire M.L. et W.W. c. Allemagne. [9]
La décision rendue le 28 septembre 2018 offre une belle synthèse du droit applicable en la matière. La Cour se réfère non seulement à l’article 8 de la Conv. EDH, mais aussi au droit de l’Union européenne. Le RGPD et l’arrêt Costeja précités retiennent particulièrement son attention. La Cour envisage le droit à l’oubli numérique dans sa relation avec le droit à la vie privée, le droit à la protection des données personnelles et le droit à l’autodétermination informationnelle. [10]
Pour terminer, signalons l’arrêt Biancardi c. Italie du 25 février 2022. La Cour EDH y a examiné une décision des juridictions civiles italiennes qui avaient condamné le rédacteur en chef d’un journal pour avoir refusé de désindexer un article portant sur des poursuites pénales dirigées contre des particuliers.
La Cour a considéré que la restriction de la liberté d’expression de ce journal était justifiée et a validé « la conclusion des juridictions internes selon laquelle, en laissant sur Internet l’article litigieux sans le désindexer, le rédacteur en chef d’un journal avait porté atteinte au droit de V.X. au respect de sa réputation (...) a fortiori compte tenu du fait qu’il n’a pas été imposé au requérant de retirer définitivement l’article d’Internet ». [11]
Les demandes de droit à l’oubli peuvent être adressées aussi bien aux éditeurs de contenus qu’aux moteurs de recherche.
Le droit à oubli a vu le jour dans un contexte où une concurrence et des débats intenses opposaient déjà les éditeurs de presse traditionnels et les nouveaux acteurs du web, que sont principalement les moteurs de recherche et les réseaux sociaux. [12]
Cette concurrence se livre bien entendu sur le terrain publicitaire [13], mais concerne aussi ce qui constitue le cœur du métier des éditeurs de presse : le domaine de l’information sur des sujets d’actualité et d’intérêt général. Car Google n’a jamais caché son ambition « d'organiser l’information à l'échelle mondiale et de la rendre universelle » [14]
Comme l’explique D. Cardon, « le numérique a bouleversé à la fois la manière de s’informer et le financement de l’information. D’une part, les internautes ont déplacé sur internet une partie de leurs pratiques informationnelles. D’autre part, le marché publicitaire a cessé de donner ses budgets aux médias pour les confier aux agrégateurs, Google ou Facebook, via lesquels les internautes accèdent aux informations.» [15]
Pour les éditeurs de presse, la publication en continu d’un maximum d’actualités et la mise à disposition de leurs archives journalistiques (en tout ou en partie gratuitement) permettent de générer du trafic sur leurs sites web et de produire des gains publicitaires.
Dans un tel contexte, les éditeurs de presse et les moteurs de recherche ont vu d’un assez mauvais œil la consécration du droit à l’oubli numérique, se rejetant comme une patate chaude la responsabilité de sa mise en œuvre et tentant d’en limiter les effets.
La condamnation de Google dans l’affaire Costeja a souvent été accueillie favorablement par les éditeurs de presse. Mais bonne nouvelle ne veut pas dire victoire. Rien dans cette décision de la Cour de justice de l’Union européenne ne permet d’affirmer que seuls les moteurs de recherche seraient fondés à recevoir les demandes de droit à l’oubli numérique.
La Cour de cassation (belge) a d’ailleurs décidé que « les principes dégagés par cet arrêt [Costeja] peuvent être transposés aux éditeurs de presse dans la mesure où [ils] permettent également une mise en une des articles litigieux via le moteur de recherche de leur site consultable gratuitement, mise en une qui est par ailleurs multipliée considérablement par le développement des logiciels d’exploration des moteurs de recherche du type Google ». [16]
L’arrêt Biancardi c. Italie précité de la Cour EDH permet d’écarter tout doute sur cette question. Le requérant, rédacteur en chef d’un journal en ligne, soutenait devant la Cour que « seul le fournisseur de moteur de recherche sur Internet avait la possibilité de désindexer l’article et que lui-même n’aurait donc pas dû se voir imputer la responsabilité de cette désindexation ».
À ceci, la Cour répond que « l’obligation de désindexer un contenu pouvait être imposée non seulement aux fournisseurs de moteurs de recherche sur Internet, mais aussi aux administrateurs de journaux ou d’archives de presse accessibles par Internet>. » [17]
Un équilibre doit être recherché entre : d’un côté la vie privée, plus particulièrement le droit à l’oubli de la personne concernée ; et de l’autre, la liberté d’expression (spécifiquement le droit à l’information) de l’éditeur du contenu ou du moteur de recherche.
Dans cette mise en balance, il convient de tenir compte du fait que les finalités d’un éditeur de presse (et en particulier celles de ses archives journalistiques) ne sont pas les mêmes que celles d’un moteur de recherche.
C’est pourquoi « la mise en balance des intérêts en jeu peut aboutir à des résultats différents selon que se trouve en cause une demande d’effacement dirigée contre l’éditeur initial de l’information dont l’activité se trouve en règle générale au cœur de ce que la liberté d’expression entend protéger, ou contre un moteur de recherche dont l’intérêt principal n’est pas de publier l’information initiale sur la personne concernée, mais notamment de permettre, d’une part, de repérer toute information disponible sur cette personne et, d’autre part, d’établir ainsi un profil de celle-ci. » [18]
Pour comprendre, il faut garder à l’esprit le fait que les mesures pouvant être demandées aux éditeurs de contenus et aux moteurs de recherche diffèrent quant à leurs effets.
Commençons par rappeler en quoi consistent l’indexation et le référencement d’un site ou d’une page web.
Lorsqu’une page web est fraîchement mise en ligne, elle peut être consultée par n’importe quel internaute qui en connaît l’URL. Par contre, les moteurs de recherche n’en connaissent pas encore l’existence.
Il peut falloir une à quelques semaine(s) avant que les robots de Google, Bing, Yahoo, DuckDuckGo, Ecogine et les autres visitent et répertorient celle-ci.
Cette prise en compte et cet enregistrement par les moteurs de recherche s’appelle l’indexation.
Selon que le contenu mis en ligne est considéré comme intéressant ou pas par les moteurs de recherche, la page obtient une place plus ou moins favorable dans la liste des résultats obtenus, lors d’une recherche par certains mots-clefs. C’est ce classement qu’on appelle le référencement.
Au contraire, des pages avec des contenus redondants ou sans importance –notamment pour des raisons techniques (ex : elles contiennent des formulaires d’inscription, de contact…) – peuvent être dévalorisées, voire mêmes sanctionnées par les moteurs de recherche.
Afin d’aider les robots à identifier les pages sans intérêt, les moteurs de recherche (et tout particulièrement Google) ont créé la balise meta robots qui peut être ajoutée dans le code source de la page concernée (entre les balises head de l’entête HTML) .
Les moteurs de recherche encouragent l’utilisation de cette méthode très simple à mettre en œuvre, même pour des développeurs en herbe.
La balise recevra la valeur « index » ou « noindex », selon que le propriétaire du site souhaite ou pas que sa page soit indexée.
Lorsque les robots visitent une page et rencontrent l’instruction « noindex », ils désindexent celle-ci. La page concernée pourra toujours être consultée par un internaute qui en connaît l’URL, mais elle ne sera reprise dans aucune liste de résultats des moteurs de recherche, peu importent les mots-clés renseignés.
Parcourons maintenant les mesures qui peuvent être prises par les éditeurs de contenu et les moteurs de recherche.
Si la désindexation via la balise meta robots n’a pas été développée pour mettre en œuvre le droit à l’oubli, elle se montre toute particulièrement utile en la matière.
Cette technique est avantageuse pour les éditeurs de contenus, puisqu’ils conservent la maîtrise des informations qu’ils publient : ils déterminent eux-mêmes les pages qu’ils souhaitent rendre accessibles via les moteurs de recherche.
La notion de « droit au déréférencement » provient de l’arrêt Costeja que j’ai évoqué ci-dessus.
L’exercice de ce droit auprès de l’exploitant d’un moteur de recherche permet d’obtenir qu’une page concernée ne soit plus mentionnée dans la liste des résultats d’une recherche effectuée sur base du nom et du prénom d’une personne concernée (ou d’autres mots-clefs permettant directement son identification : « l’habitant de telle petite ville, condamné au pénal pour tels faits, telle année », par exemple).
Comme le rappelle la CNIL, « le déréférencement ne signifie pas l’effacement de l’information sur le site internet source. Le contenu original reste ainsi inchangé et est toujours accessible via les moteurs de recherche en utilisant d’autres mots-clés de recherche ou en allant directement sur le site à l’origine de la diffusion. » [19]
L’effet du droit au déréférencement est donc moins important qu’une désindexation via la balise robot (ou qu’une mesure d’anonymisation telle que je l’envisage ci-dessous).
Sa mise en œuvre peut, en outre, être assez fastidieuse. Il faut introduire une demande auprès des différents moteurs de recherche, sachant que si Google est actuellement le plus utilisé, il en existe d’autres : Wikipedia en recense 24. [20]
Il est donc recommandé de se limiter aux moteurs de recherche les plus courants.
Les mesures d’anonymisation suivantes peuvent être prises par les éditeurs de contenus :
- Remplacer le nom et le prénom de la personne concernée par ses initiales, dans le corps du texte et les titres ;
- Supprimer le nom et le prénom lorsqu’ils sont repris dans l’URL de la page ;
- Certaines balises meta – dont les balises keywords, title, description – présentes dans l’entête HTML de la page contiennent des informations que les moteurs de recherche utilisent pour le référencement. Il est important de vérifier que le nom et le prénom de la personne concernée n’y soient pas mentionnés.
- Les photos représentant la personne concernée doivent au minimum être floutées, bien que cette mesure s’avère insuffisante. Avec le développement de la reconnaissance faciale, il est de plus en plus aisé de trouver des contenus associés à une personne à l’aide d’une simple photo. Dans certains cas, cette recherche s’avère possible alors que les photos ont été floutées. [21]
Une fois anonymisée, la page concernée ne pourra plus, sur base d’une requête contenant le nom et le prénom, être trouvée dans les moteurs de recherche. Par contre, elle pourra l’être si l’internaute utilise d’autres critères de recherche.
Qu’en est-il des outils qui permettent la recherche des archives journalistiques à partir du site même du quotidien concerné ? Connaissant l’existence du droit à l’oubli, bien des employeurs consultent directement de telles bases de données, lorsqu’ils recrutent un candidat.
L’anonymisation présente un remède efficace à ce problème.
Si cette façon de procéder conduit à très légèrement modifier le contenu tel qu’il est publié en ligne, rien n’empêche les éditeurs de conserver une version numérique initiale parfaitement intacte dans leurs bases de données, à titre historique ou d’archive. [22]
Cette solution a été retenue par la Cour de cassation qui a condamné l’éditeur du journal Le Soir « à remplacer les nom et prénom du défendeur par les lettres X ou L.F. dans les versions numériques des articles litigieux figurant sur leurs sites respectifs ou sur toute autre banque de données placée sous leur responsabilité. » [23]
Il paraît important de formuler une demande d’anonymisation en ce sens qu’elle ne vise que le contenu mis en ligne, et non une modification des archives journalistiques elles-mêmes.
L’éditeur peut également décider de ne plus diffuser le contenu sur internet, tout en conservant celui-ci intact dans ses archives numériques (ou dans sa base de données). Cette mesure n’implique ni la suppression, ni la modification du contenu.
Autre avantage de taille, cette désactivation permet d’éviter que les contenus soient, en quelques clics, partagés sur les réseaux sociaux (simplement en communiquant un hyperlien avec l’URL).
Il est rare qu’une demande de droit à l’oubli conduise à une suppression ou à un effacement des contenus. Pour cela, il faut que le requérant établisse d’autres violations de son droit à la vie privée et à la protection des données personnelles.
Le 26 novembre 2014, les autorités de protection des données de tous les États membres de l’Union européenne (réunies au sein du groupe de travail « article 29 ») ont adopté un ensemble de lignes directrices visant à assurer une application harmonisée de l’arrêt Costeja. [24]
Ces experts ont dégagé treize critères permettant de décider s’il convient ou pas d’accepter les demandes de droit à l’oubli numérique. Ils sont les suivants :
1. Le résultat de la recherche concerne-t-il une personne physique? Le résultat apparaît-il en réponse à une recherche effectuée sur la base du nom de la personne concernée?
2. La personne concernée joue-t-elle un rôle dans la vie publique? La personne concernée est-elle une personne publique ?
3. La personne concernée est-elle mineure d’âge ?
4. Les données sont-elles exactes ?
5. Les données sont-elles pertinentes et non excessives ? (a) Les données se rapportent- elles à la vie professionnelle de la personne concernée ? (b) Le résultat de la recherche conduit-il à des informations consistant prétendument en un discours de haine, de la diffamation, de la calomnie ou des délits similaires à l’encontre de la personne qui a introduit une plainte ? (c) Est-il clair que les données reflètent des opinions personnelles ou semble-t-il qu’il s’agit de faits vérifiés ?
6. L’information est-elle sensible au sens du RGPD ?
7. Les données sont-elles à jour ? Les données sont-elles disponibles plus longtemps qu’il n’est nécessaire pour la finalité du traitement ?
8. Le traitement des données cause-t-il un préjudice à la personne concernée ? Les données ont-elles une incidence négative disproportionnée sur le respect de la vie privée de la personne concernée ?
9. Le résultat de la recherche renvoie- t-il à des informations qui mettent la personne concernée en danger ?
10. Dans quel contexte l’information a- t-elle été publiée ? a) Le contenu a-t-il été volontairement rendu public par la personne concernée ? b) Le contenu était-il destiné à être publié ? La personne concernée aurait-elle raisonnablement pu savoir que le contenu serait rendu public ?
11. Le contenu d’origine a-t-il été publié à des fins journalistiques ?
12. L’éditeur des données a-t-il la compétence (ou l’obligation) légale de publier les données à caractère personnel ?
13. Les données concernent-elles une infraction pénale ?
[1] Règlement UE 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD)
[2] Notons que cette disposition a un champ d'application et des effets bien plus larges que l’oubli numérique qui nous occupe ici. L’article 17 du RGPD permet par exemple d’obtenir l’effacement d’informations qui sont traitées de façon illégale par une entreprise ou une administration.
En revanche, ainsi que nous le verrons ci-dessous, l’exercice du droit à l’oubli entraîne rarement une suppression des données. Le plus souvent, il a pour effet de limiter la diffusion et l’accès à des contenus qui se trouvent sur internet ;
[3] CJUE, arrêt du 13 mai 2014, affaire Google Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et Mario Costeja (C-131/12)
[4] La Cour de justice s’est fondée sur les articles 12 et 14 de la Directive 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation ;
[5] Jurisprudence belge : Cass. (1ière ch.), RGC 16.0457.F, 8 novembre 2018, confirmant : Liège (20ième chambre civile), 4 février 2016, A.&M., 2016/5-6, p. 462 et J.T., p. 710 ; et Civ. Liège division Liège (4ième ch.), 3 nov. 2014, J.L.M.B., 2014, liv. 41, pp. 1961 et sv.) ; Cass. (1ère ch.), RGC 15.0052.F, 29 avril 2016, confirmant : Liège (20ième ch. civ.), 25 septembre 2014, R.G.D.C., 2016/5, pp. 294 et suiv. ; et Civ. Neufchâteau (2ième ch.), 25 janvier 2013, J.L.M.B., 22/2013, p. 1182 Voir aussi : Civ. Namur, 17 nov. 1997, J.L.M.B., 1998, p. 781 ; Civ. Bruxelles, 20 sept. 2001, A.&M., I/2002, p. 77 ; Bruxelles (réf.), 21 déc. 1995, J.T., 1996, p. 47 ; Civ. Bruxelles, 30 juin 1997, J.T., 1997, p. 710 ;
[6] Cass. (1ière ch.), RGC 16.0457.F, 8 novembre 2018 ;
[7] CEDH, arrêt du 22 juin 2021, affaire Hurbain c. Belgique, n°57292/16 ;
[8] Voir cet arrêt, §104 ;
[9] CEDH, arrêt du 28 septembre 2018 (définitif), affaire ML. Et W.W. c. Allemagne, n°60798/10 et 65599/10 ;
[10] Voir §§86 et sv. de cet arrêt ;
[11] CEDH, arrêt du 25 février 2022 (définitif), affaire Biancardi c. Italie, n°77419/16, §70 ;
[12] Ce bras de fer entre Google et la presse traditionnelle semble ravivé, avec le lancement tout récent par Google de Genesis : un outil d’intelligence artificielle permettant de produire des articles de presse. (Voir : B. Mullin et N. Grant, Google Tests A.I. Tool That Is Able to Write News Articles, New York Times, 19 juillet 2023, https://www.nytimes.com/2023/07/19/business/google-artificial-intelligence-news-articles.html) ;
[13] B. Cools & O. Standaert, Les revenus publicitaires permettent-ils encore aux éditeurs de réduire les prix qu’ils facturent ? European Journalism Observatory, 18 juillet 2022 ( https://fr.ejo.ch/economie-medias/evolution-revenus-publicitaires) ;
[14] Déclarations de Larry Page, cofondateur de Google, lors d’une visite à Paris en 2013 (Dan Israel, Google et la presse : la raison du plus fort. Comment les journaux français ont fondu face au géant américain, Revue du Crieur, éd. La Découverte, 2015/1, pages 66 à 81 (https://www.cairn.info/revue-du-crieur-2015-1-page-66.htm?contenu=resume)
Voir aussi site web de Google : https://www.google.com/intl/fr/search/howsearchworks/our-approach/ (consulté le 22 novembre 2023) ;
[15] D. Cardon, Les médias face à l’évolution numérique, Culture numérique, Presses de Sciences Po., 2019, p. 247-260 ;
[16] Cass. (1ière ch.), RGC 16.0457.F, 8 novembre 2018 ;
[17] Voir §50 et 51 de cet arrêt Biancardi ;
[18] CEDH, arrêt M.L. et W.W. c. Allemagne, §97 ;
[19] Commission Nationale de l’Informatique et des Libertés, Droit au déréférencement, https://www.cnil.fr/fr/definition/droit-au-dereferencement (consulté 23 novembre 2023) ;
[20] Wikipedia, Liste des moteurs de recherche, https://fr.wikipedia.org/wiki/Liste_de_moteurs_de_recherche (consulté le 22 novembre 2023) ;
[21] Tout dépend de la qualité du floutage opéré et de la performance, toujours accrue, des techniques utilisées pour la recherche ;
[22] D’autres solutions existent, à savoir la non-diffusion de l’article et le paramétrage de l’outil de recherche afin qu’il ne permette plus une consultation sur la base du nom et du prénom de la personne concernée ;
[23] Cass. (1ière ch.), RGC 16.0457.F, 8 novembre 2018 ;
[24] Groupe « article 29 », Lignes directrices relatives à l’exécution de l’arrêt de la CJUE dans l’affaire Google Spain Inc / Agencia Española de protección de datos et Mario Costeja Gonzáles, C-131/12, 26 novembre 2014, https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp225_fr.pdf.
