Le 6 décembre 2019, le Conseil d’Etat a rendu 13 arrêts, dans lesquels il fixe les conditions d’exercice du droit au déréférencement, ou plus communément appelé, droit à l’oubli. Ce droit est prévu par le Règlement général sur la protection des données (RGPD), adopté le 14 avril 2016, entré en vigueur le 24 mai 2016 et applicable depuis le 25 mai 2018. Ce règlement européen a pour objectif de renforcer les droits des personnes, responsabiliser les acteurs traitant des données et crédibiliser la régulation grâce à une coopération renforcée entre les autorités de protection des données.
Une protection essentielle des données
À l’heure où les réseaux sociaux se multiplient, et où les technologies sont omniprésentes dans notre quotidien, il a paru nécessaire de renforcer la protection des données personnelles. La Commission nationale de l’informatique et des libertés (CNIL) a d’abord été créée par la loi du 6 janvier 1978. Cette autorité administrative indépendante française veille à ce que l’informatique soit au service du citoyen, sans ne jamais porter atteinte à ses droits, que ce soit les droits de l’homme ou encore le droit à la vie privée, droits protégés constitutionnellement. Et c’est dans la continuité de cette loi que vient le RGPD, afin d’encadrer la collecte et l’utilisation des données. Le RGPD, d’après le site de la CNIL, s’applique à toute organisation, publique ou privée, qui traite des données personnelles, pour son compte ou non dès lors qu’elle est établie sur le territoire de l’Union européenne ou que son activité cible directement des résidents européens.
Bien que la protection des données soit indispensable, encore faut-il appréhender précisément ce que recouvre la notion de « donnée personnelle ». La CNIL a essayé d’éviter toute confusion en définissant la donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable ». On peut identifier une personne directement (avec le nom ou prénom de la personne) ou indirectement (avec un numéro de téléphone ou une donnée biométrique par exemple).
Le droit à l’oubli
Toujours dans le but de mieux protéger les données des individus, un nouveau droit, le droit à l’oubli, est consacré en Europe par la décision de la Cour de justice de l’Union européenne (CJUE) en date du 13 mai 2014. Ce droit n’est pas né ex nihilo : il est le fruit de nombreuses discussions et de jurisprudences antérieures. Il convient notamment de citer la directive européenne sur la protection des données du 24 octobre 1995 sur laquelle s’appuie la CJUE pour consacrer le droit à l’oubli, ou l’Avis 15/2011 du G29 sur le consentement.
C’est dans son arrêt du 13 mai 2014, relatif à l’affaire Google Spain, que la CJUE accorde aux individus le droit de s’opposer au traitement de leurs données personnelles et de demander le déréférencement des liens qui apparaissent dans une recherche associée à leur nom. La Cour met en balance l’intérêt prépondérant du public à avoir l’accès à l’information et le droit à l’oubli de la personne, droit qui n’a pas de réel fondement textuel ni de définition juridique précise.
Le « mode d’emploi » du droit à l’oubli fixé par le Conseil d’Etat
Par 13 arrêts en date du 6 décembre 2019, le Conseil d’Etat fixe les modalités d’exercice du droit au déréférencement sur internet prévu par le RGPD.
En l’espèce, plusieurs individus ont saisi Google de demandes de déréférencement afin de retirer certaines de leurs données personnelles d’Internet. Google refuse, et la CNIL, saisie ensuite, rejette leurs plaintes. Les demandeurs saisissent donc le Conseil d’Etat pour obtenir l’annulation de ces décisions de refus.
La plus haute des juridictions de l’ordre administratif s’appuie sur la décision récente de la CJUE rendue le 24 septembre 2019 en réponse à une question du Conseil d’Etat.
Le Conseil d’Etat encadre d’abord ce droit en fixant les grands principes inhérents au droit à l’oubli :
· « Le juge se prononce en tenant compte des circonstances et du droit applicable à la date à laquelle il statue.
· Le déréférencement d’un lien associant au nom d’un particulier une page web contenant des données personnelles le concernant est un droit.
· Le droit à l’oubli n’est pas absolu. Une balance doit être effectuée entre le droit à la vie privée du demandeur et le droit à l’information du public.
· L’arbitrage entre ces deux libertés fondamentales dépend de la nature des données personnelles. »
Le Conseil d’Etat délimite ensuite ce droit à trois catégories de données personnelles :
· « des données dites sensibles (données les plus intrusives dans la vie d’une personne comme celles concernant sa santé, sa vie sexuelle, ses opinions politiques, ses convictions religieuses…),
· des données pénales (relatives à une procédure judiciaire ou à une condamnation pénale),
· et des données touchant à la vie privée sans être sensibles. »
Par ailleurs, le Conseil d’Etat souligne que pour apprécier si l’individu a le droit à un déréférencement particulier, d’autres facteurs sont pris en compte, comme le rôle social du demandeur (notoriété par exemple) ou la façon dont ces données sont devenues publiques.
Si ces arrêts rendus par le Conseil d’Etat précisent le cadre dans lequel une personne peut demander un déréférencement, et donc exercer son droit à l’oubli, ils ne répondent pas à toutes les difficultés liées au développement de ce nouveau droit. En effet, un pouvoir d’appréciation important est laissé au juge, puisque ce dernier doit faire la balance entre le droit à la vie privée du demandeur et le droit à l’information du public. Aussi, il estime si les données en question entrent dans les catégories de données personnelles précitées. En d’autres termes, le juge fait en sorte de protéger au mieux la vie privée des individus, tout en tenant compte de la nature des données et des enjeux en présence. Ces arrêts s’inscrivent dans la continuité des législations contemporaines centrées autour du consentement de la personne et vouées à la protection permanente des droits inaliénables et des libertés fondamentales des individus.