Le droit à l’oubli : dé­fi­ni­tion et exemples

Le Règlement général européen sur la pro­tec­tion des données (RGPD) s’articule autour du « droit à l’oubli numérique ». Le principe fon­da­men­tal sous-jacent est la pro­tec­tion des personnes dont les données sont traitées en ligne ou autrement. Le droit à l’oubli permet la sup­pres­sion de données nu­mé­riques à caractère personnel sous certaines con­di­tions.

Le droit à l’oubli, c’est quoi ?

Le « droit à l’oubli numérique » est l’un des ins­tru­ments es­sen­tiels mis à la dis­po­si­tion des con­som­ma­teurs pour protéger leurs données per­son­nelles et leur vie privée. Il permet aux personnes con­cer­nées de demander l’ef­fa­ce­ment des données nu­mé­riques à caractère personnel de manière per­ma­nente auprès des en­tre­prises ou de la personne res­pon­sable. Peu importe si les en­tre­prises col­lec­tent, stockent ou rendent sim­ple­ment les données ac­ces­sibles au public.

Comment le droit à l’oubli selon le RGPD a-t-il vu le jour ?

La directive RGPD trouve son origine dans l’« affaire Google » ou l’« affaire Google Spain », qui a donné lieu au jugement adopté par la Cour de justice eu­ro­péenne le 13 mai 2014. Le jugement s’appuie sur le fait que les personnes con­cer­nées peuvent, sous certaines con­di­tions, exiger l’ef­fa­ce­ment de liens qui font référence à des ren­seig­ne­ments périmés ou non per­ti­nents sur les personnes con­cer­nées. Dans l’arrêt de la CJUE, l’obli­ga­tion d’ef­fa­ce­ment des données per­son­nelles sur demande fait référence aux moteurs de recherche qui rendent les données à caractère personnel ac­ces­sibles au public. De plus, l’arrêt vise es­sen­tiel­le­ment les personnes privées, mais souligne que les droits des personnes con­cer­nées doivent être soupesés par rapport au droit à l’in­for­ma­tion quand il s’agit d’effacer des in­for­ma­tions con­cer­nant des personnes publiques ou contenues dans des archives de presse.

Quel est le cadre de dé­fi­ni­tion du droit à l’oubli ?

L’« arrêt Google » a marqué l’ap­pli­ca­tion par la CJUE de di­rec­tives eu­ro­péennes exis­tantes en matière de pro­tec­tion des données, qui ont adopté une forme concrète en 2016 dans le cadre du Règlement général sur la pro­tec­tion des données européen, mieux connu sous le nom de RGPD. On y trouve le droit à l’oubli dans l’article 17 sous l’intitulé « droit à l’ef­fa­ce­ment » ; le « droit à l’oubli » y figure comme un ajout entre pa­ren­thèses. En France, le « droit au dé­ré­fé­ren­ce­ment » trouvait d’ores et déjà une ex­pres­sion dans la loi du 6 janvier 1978 dite « In­for­ma­tique et Libertés » avec le « droit d’op­po­si­tion » qu’elle ins­tau­rait. Depuis le 1er juin 2019, cette loi nou­vel­le­ment rédigée comporte les dis­po­si­tions relatives aux « marges de manœuvre na­tio­nales » au­to­ri­sées par le RGPD et les mesures de trans­po­si­tion en droit français de la directive « police-justice ». Le Conseil d’État a fixé les con­di­tions dans les­quelles doit être respecté le droit au dé­ré­fé­ren­ce­ment sur Internet prévu par le RGPD en France en décembre 2019.

Droit à l’oubli vs droit à l’ef­fa­ce­ment selon le RGPD

Le droit à l’oubli numérique peut être compris comme une extension du droit d’ef­fa­ce­ment dans le RGPD. L’article 17 du RGPD ré­gle­mente ainsi prin­ci­pa­le­ment les obli­ga­tions d’ef­fa­ce­ment des res­pon­sables en charge du trai­te­ment direct ou de la pu­bli­ca­tion des données à caractère personnel. Il s’agit, par exemple, des éditeurs de presse ou des en­tre­prises qui traitent di­rec­te­ment et mé­mo­ri­sent les données des individus. Si les con­di­tions préa­lables à l’ef­fa­ce­ment sont remplies, les personnes res­pon­sables doivent, de manière dé­mon­trable et sans délai, supprimer les liens ou les en­re­gis­tre­ments de données cor­res­pon­dants sur demande.

Le droit à l’oubli est spé­ci­fi­que­ment mentionné au pa­ra­graphe 2 de l’article 17 du RGPD, et se rapporte également aux tiers qui ne col­lec­tent pas eux-mêmes de données per­son­nelles, mais qui, comme Google ou d’autres moteurs de recherche, les rendent ac­ces­sibles au public. Les personnes con­cer­nées peuvent non seulement demander di­rec­te­ment l’ef­fa­ce­ment des données auprès du res­pon­sable, mais aussi exiger l’ef­fa­ce­ment ou la sup­pres­sion de données per­son­nelles auprès de tiers.

Quelles sont les con­di­tions préa­lables au droit à l’oubli numérique ?

Il convient de respecter des exigences spé­ci­fiques quand il s’agit de faire effacer des données par des res­pon­sables et des tiers concernés. En voici quelques-unes :

• Il n’est plus né­ces­saire de stocker ni de rendre ac­ces­sibles les données per­son­nelles en ce qui concerne les objectifs initiaux de la collecte et du trai­te­ment des données.
• Les personnes con­cer­nées ont révoqué leur con­sen­te­ment au trai­te­ment et au stockage de leurs propres données.
• Il n’existe pas d’autre base juridique ni de base juridique prin­ci­pale pour le stockage des données.
• La collecte et le trai­te­ment des données per­son­nelles ont eu lieu sans fondement juridique et/ou con­sen­te­ment.
• Les res­pon­sables sont soumis à l’obli­ga­tion légale en vertu du RGPD de respecter le droit à l’ef­fa­ce­ment et le droit à l’oubli numérique.
• Les données per­son­nelles con­cer­nent des mineurs et ont été re­cueil­lies pour des services en ligne et des offres Internet.

Si les personnes con­cer­nées peuvent prouver le bien-fondé de leur ré­cla­ma­tion, les sociétés res­pon­sables et les tiers doivent mettre en œuvre l’ef­fa­ce­ment « sans délai in­jus­ti­fié » et de manière immédiate. En règle générale, les res­pon­sables doivent informer les personnes con­cer­nées dans un délai d’un mois après sou­mis­sion de la demande de l’ap­pli­ca­tion des mesures prises ou des motifs possibles de rejet.

Exemple de cas pour l’ap­pli­ca­tion du droit à l’oubli numérique

Le droit à l’oubli est un ins­tru­ment majeur pour protéger la ré­pu­ta­tion, l’image et la vie privée des personnes et des en­tre­prises. En pratique, ceci peut trouver une ap­pli­ca­tion quand des moteurs de recherche comme Google sont toujours en mesure de trouver des in­for­ma­tions sur l’in­sol­va­bi­lité, une con­dam­na­tion ou des actions « em­bar­ras­santes » après 10 ou 20 ans. La réin­ser­tion des personnes con­dam­nées joue également un rôle important ici, surtout dans le cas d’actes ré­pré­hen­sibles mineurs. En ap­pli­quant la loi sur l’ef­fa­ce­ment des données, les personnes et les en­tre­prises protègent non seulement leurs propres droits per­son­nels, mais également leurs op­por­tu­ni­tés de carrière, ainsi que leur image pro­fes­sion­nelle et celle de l’en­tre­prise.

Comment les données per­son­nelles sont-elles effacées ou sup­pri­mées ?

Une méthode claire pour effectuer l’ef­fa­ce­ment n’est pas pré­co­ni­sée par le RGPD. Il est toutefois essentiel ici de pratiquer l’ef­fa­ce­ment de manière dé­mon­trable et immédiate. Les méthodes possibles sont les suivantes :

• la des­truc­tion et l’éli­mi­na­tion conformes des supports physiques par des experts
• l’écra­se­ment correct des em­pla­ce­ments de mémoire concernés, qui peut entraîner de manière dé­mon­trable la sup­pres­sion et l’inu­ti­li­sa­tion des en­re­gis­tre­ments de données
• l’ef­fa­ce­ment des liens, des rac­cour­cis, des entrées et termes de recherche, et des codages cor­res­pon­dants
• le dé­ré­fé­ren­ce­ment et la sup­pres­sion des al­go­rithmes de moteur de recherche

Quelles sont les dé­ro­ga­tions au droit à l’oubli ?

L’ef­fa­ce­ment des données per­son­nelles sur demande doit être con­tre­ba­lancé, selon le cas, avec l’obli­ga­tion de con­ser­va­tion et la liberté d’in­for­ma­tion. Bien que le RGPD accorde aux par­ti­cu­liers le droit à plus de con­fi­den­tia­lité, des con­di­tions et des ex­cep­tions spé­ci­fiques ga­ran­tis­sent que les données critiques ne peuvent pas être sim­ple­ment sup­pri­mées si elles sont encore as­su­jet­ties à l’obli­ga­tion de con­ser­va­tion ou pré­sen­tent un intérêt public, médical, fiscal ou un enjeu de sécurité. Lorsque des obli­ga­tions de con­ser­va­tion prolongée s’ap­pli­quent, il convient toutefois de noter que les données per­son­nelles qui ne sont plus traitées, mais qui doivent encore être con­ser­vées, sont soumises à une meilleure pro­tec­tion contre les accès.

Vue d’ensemble des dé­ro­ga­tions concrètes au droit à l’oubli

• Les données per­son­nelles sont toujours né­ces­saires à des fins dé­mon­trables de trai­te­ment des données.
• Les personnes con­cer­nées ont consenti au trai­te­ment des données encore né­ces­saire.
• Le droit à la liberté d’ex­pres­sion et à la liberté d’in­for­ma­tion l’emporte sur le droit à l’ef­fa­ce­ment et à l’oubli.
• Les données sont encore né­ces­saires au respect des obli­ga­tions publiques et ju­ri­diques des sociétés ou des personnes.
• Le trai­te­ment des données est exercé dans le cadre de l’intérêt public.
• Le trai­te­ment des données est exercé dans le cadre de l’archivage, de la recherche ou de la collecte sta­tis­tique de données d’intérêt public.
• Les données jouent un rôle dé­mon­trable pour les ré­cla­ma­tions ju­ri­diques.

Comment exercer le droit à l’oubli ?

Pour demander l’ef­fa­ce­ment et la sup­pres­sion de vos données, vous devez d’abord confirmer que ces données existent. Le droit d’in­for­ma­tion stipulé à l’article 15 du RGPD in­ter­vient ici. Cela vous permet de demander des in­for­ma­tions sur vos données per­son­nelles stockées et traitées auprès des en­tre­prises qui traitent vos données per­son­nelles. Sur la base du droit d’in­for­ma­tion, les demandes d’ef­fa­ce­ment et d’oubli peuvent être pré­sen­tées par écrit ou par courrier élec­tro­nique aux res­pon­sables.

Il n’est pas né­ces­saire de respecter un modèle prescrit pour formuler la demande cor­res­pon­dante. La procédure doit toutefois toujours être effectuée par écrit afin de pouvoir s’y référer. Vous trouverez ainsi des modèles gratuits auprès de la CNIL. Pour éviter les demandes la­bo­rieuses ou les rejets, tenez compte des points suivants : l’identité du demandeur, la référence aux données con­cer­nées et la base juridique du droit doivent être clai­re­ment précisées dans la demande.

Invoquer le droit à l’oubli auprès de Google

Des en­tre­prises comme Google ou Facebook proposent leurs propres for­mu­laires Web gratuits que vous pouvez utiliser pour soumettre votre demande. La page d’as­sis­tance Google fournit des in­for­ma­tions sur le processus de sou­mis­sion de la demande et les in­di­ca­tions requises. Pour supprimer les entrées Google, vous devez, entre autres choses fournir les in­di­ca­tions suivantes :

• URL con­cer­nées avec le contenu de recherche à supprimer
• preuve de la per­ti­nence des données con­cer­nant votre personne et les raisons de leur sup­pres­sion
• re­cherches à supprimer qui con­dui­sent au contenu en question (par exemple votre propre nom)
• adresses email qui mènent à des résultats de recherche per­ti­nents
• preuves et contexte dé­mon­trant la lé­gi­ti­mité de la mise en œuvre de l’ef­fa­ce­ment et du retrait des contenus

Aucun droit fon­da­men­tal à la pro­tec­tion de la vie privée et à l’ef­fa­ce­ment des données

À première vue, le droit à l’oubli numérique peut donner l’im­pres­sion que les données per­son­nelles ne doivent pas être rendues ac­ces­sibles contre sa propre volonté. Cependant, si les gens con­sen­tent au trai­te­ment des données dans leur uti­li­sa­tion quo­ti­dienne du numérique, aucun droit général à l’ef­fa­ce­ment des données n’existe dans un premier temps. Ceci n’est pas seulement justifié par les con­di­tions qui s’ap­pli­quent à toute ré­cla­ma­tion légale, mais aussi par le fait que tout ef­fa­ce­ment in­jus­ti­fié peut même être considéré comme une violation de données. C’est par­ti­cu­liè­re­ment le cas lorsque des exigences de con­ser­va­tion existent et qu’il s’agit de données sensibles. Dans ce cas, l’ef­fa­ce­ment in­jus­ti­fié de données motivé par la dis­si­mu­la­tion d’activités cri­mi­nelles de personnes ou d’en­tre­prises publiques.

L’ano­ny­mi­sa­tion des données est-elle suf­fi­sante ?

L’ano­ny­mi­sa­tion complète des données peut cons­ti­tuer une al­ter­na­tive à l’ef­fa­ce­ment. Les données traitées et stockées sont tellement ano­ny­mi­sées par ce biais qu’elles ne peuvent plus être décrites comme des données per­son­nelles à pro­pre­ment parler. Les di­rec­tives sur la pro­tec­tion des données con­for­mé­ment au RGPD ne peuvent donc plus s’appliquer di­rec­te­ment si les données sont suf­fi­sam­ment rendues anonymes à des fins d’analyse sta­tis­tique ou de recherche.

Cela s’applique notamment lorsqu’aucune partie n’est en mesure d’établir un lien avec des individus et entre des en­re­gis­tre­ments de données associés ou in­dé­pen­dants. Les méthodes d’ano­ny­mi­sa­tion incluent la ran­do­mi­sa­tion, la gé­né­ra­li­sa­tion et la pré­ven­tion des liens. Les bases ju­ri­diques de l’ano­ny­mi­sa­tion comme al­ter­na­tive à l’ef­fa­ce­ment sont décrites à l’article 4 du RGPD.

Quel rôle joue le droit à l’ef­fa­ce­ment pour les en­tre­prises ?

Les ré­gle­men­ta­tions eu­ro­péennes en matière de pro­tec­tion des données, telles que le RGPD ou le règlement ePrivacy, jouent un rôle important pour les en­tre­prises en ce qui concerne la pro­tec­tion des données et le droit à l’oubli. Ainsi, le RGPD stipule que les en­tre­prises ne peuvent pas re­cueil­lir des données sans dis­cri­mi­na­tion et que le trai­te­ment des données ne peut avoir lieu qu’après con­sen­te­ment écrit. Le règlement ePrivacy stipule également que les individus doivent ex­pres­sé­ment autoriser l’uti­li­sa­tion de cookies et de traceurs sur les sites Web.

Étant donné que le trai­te­ment des données per­son­nelles est in­con­tour­nable dans le marketing en ligne et l’E-commerce, il est conseillé de prendre dès le départ les pré­cau­tions ap­pro­priées pour la pro­tec­tion des données et s’assurer la sou­ve­rai­neté des données . En voici quelques-unes :

• dé­cla­ra­tion de pro­tec­tion des données ac­ces­sible et visible con­for­mé­ment au RGPD sur les sites Web
• outils et stra­té­gies pour l’examen et la mise en œuvre des demandes de sup­pres­sion de données per­son­nelles
• ap­pli­ca­tion conforme au droit de l’obli­ga­tion de no­ti­fi­ca­tion con­cer­nant les cookies et le suivi
• pro­tec­tion juridique en ce qui concerne le trai­te­ment et le transfert des données par les res­pon­sables de la pro­tec­tion des données et le service juridique in­for­ma­tique (en par­ti­cu­lier, si ces données sont dé­lo­ca­li­sées aux États-Unis après ex­pi­ra­tion de l’accord Privacy Shield entre les États-Unis et l’Union eu­ro­péenne.

Veuillez prendre con­nais­sance des mentions légales en vigueur sur cet article.