L’article 17 du Règlement Général sur la Protection des Données Personnelles (RGPD) a consacré le droit à l’oubli.

Celui-ci précise que la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant.

Le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais lorsque l’un des motifs suivants s’applique :

Les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ;
La personne concernée retire le consentement sur lequel est fondé le traitement ;
La personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 ;
Les données à caractère personnel ont fait l'objet d'un traitement illicite ;
Les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis ;
Les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1.

Lorsque le responsable du traitement a rendu publiques les données à caractère personnel et qu'il est tenu de les effacer, il doit prendre des mesures raisonnables compte tenu des technologies disponibles et des coûts de mise en œuvre.

Le droit à l’oubli ne s’applique néanmoins pas lorsque le traitement est nécessaire :

A l'exercice du droit à la liberté d'expression et d'information ;
Pour respecter une obligation légale qui requiert le traitement prévu par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
Pour des motifs d'intérêt public dans le domaine de la santé publique ;
A des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques
A la constatation, à l'exercice ou à la défense de droits en justice.

Par application de l’article 17 du RGPD, la CNIL a prononcé en 2016 une sanction pécuniaire publique à l’encontre de Google qui ne s’était pas conformée à une mise en demeure de rendre effectif le déréférencement sur l’ensemble des versions nationales de son moteur de recherche.

La CNIL considérait en effet que seul un déréférencement mondial était de nature à permettre une protection effective des droits des personnes.

Google a contesté la décision de la CNIL devant le Conseil d’État.

Le Conseil d’État a saisi la Cour de justice de plusieurs questions préjudicielles visant à savoir si les règles du droit de l’Union relatives à la protection des données à caractère personnel doivent être interprétées en ce sens que, lorsqu’un moteur de recherche fait droit à une demande de déréférencement, il est tenu de l’opérer avec une portée, mondiale, européenne ou nationale.

Par un arrêt du 24 septembre 2019, la Cour de Justice de l’Union Européenne (CJUE) a précisé qu’en l’état actuel, « il n’existait pas, pour l’exploitant d’un moteur de recherche qui fait droit à une demande de déréférencement formulée par la personne concernée, le cas échéant, suite à une injonction d’une autorité de contrôle ou d’une autorité judiciaire d’un État membre, d’obligation découlant du droit de l’Union de procéder à un tel déréférencement sur l’ensemble des versions de son moteur ».

La CJUE a néanmoins jugé que le droit de l’Union obligeait le moteur de recherche à opérer un déréférencement dans l’ensemble des États membres, et non dans le seul État membre de résidence du bénéficiaire droit à l’oubli.

La CJUE a également précisé que si le droit de l’Union n’imposait pas un déréférencement mondial, il ne l’interdisait toutefois pas.

Dès lors, la CJUE conclut qu’une « autorité de contrôle ou une autorité judiciaire d’un État membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur ».

Par un arrêt du 27 mars 2020, le Conseil d’Etat a tiré les conséquences de la décision rendue par la CJUE en :

Annulant la sanction de la CNIL ;
Jugeant que le droit à l’oubli en vertu de l’article 17 du RGPD avait une portée européenne ;
Jugeant que législateur français n’a pas adopté de dispositions spéciales permettant à la CNIL d’opérer un déréférencement excédant le champ prévu par le droit de l’Union, limitant ainsi son pouvoir à un déréférencement européen, et non mondial.

Nicolas Herzog - H₂O Avocats

Avocat Informatique – Numérique – Logiciel – Internet

dereferencement