Après un tour de plusieurs capitales européennes (dont Paris), le comité consultatif de Google a publié son rapport sur le « droit à l’oubli », ou plus exactement sur le droit à l’effacement dans les moteurs, tel que consacré par la Cour de Justice de l’Union européenne.

Le 13 mai 2014, la CJUE a estimé que les moteurs de recherche étaient responsables des traitements des données personnelles effectués par leurs algorithmes (voir notre présentation et l’émission du 14h42 sur le sujet). Effet mécanique : les Bing, Google et autres services équivalents doivent supprimer les données nominatives dès qu’un certain nombre de critères sont constatés. La directive 95/46 sur la protection des données personnelles (article 6) pose en effet pour principe que le responsable d’un tel traitement doit s’assurer que…

• Les données à caractère personnel sont traitées loyalement et licitement
• Les données sont collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités
• Les données sont « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement »,
• Les données sont « exactes et, si nécessaire, mises à jour »
• Les données sont « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. »

Problème, ces critères sont parfois flous : qu’est-ce qu’un traitement de données adéquat, pertinent, non excessif ? Quelle est la portée de ces obligations ? S’appliquent-elles aux seules pages des moteurs européens ou s’étendent-elles à tous les sites, même en .com, du moment qu’ils sont accessibles par les citoyens européens ?

Très tôt après l’arrêt de la CJUE, Google a décidé d’installer un comité consultatif et composé « d’experts » indépendants. L’enjeu ? Faire émerger des critères d’application, œuvrer en faveur de la transparence, mais également témoigner d’un certain dynamisme sur ces questions sensibles. Ces travaux permettent aussi et surtout d'éclairer l'étendue des difficultés rencontrées par les moteurs dans la manipulation de ce droit.

Les quatre critères pour le droit à l’oubli dans les moteurs

Concrètement, le comité a identifié quatre critères pour mettre en jeu, ou non, le « droit à l’oubli » dans le moteur. « Aucun de ces quatre critères est déterminant, et il n’y a pas de hiérarchie » tempère-t-il, d’entrée.

Il s’agira d’abord du rôle joué par le citoyen dans la vie publique : entre les politiciens, présidents de société, célébrités, figure de la religion, star du sport et les simples particuliers, le droit à l’information devra prédominer ou non sur le droit à l’effacement…

Cela concerne ensuite la nature de l’information : vie sexuelle, situation financière, contrats privés ou données d’identifications financières, informations sur l’origine ethnique, les opinions, la religion, les mineurs, etc. informations fausses ou inappropriées… . Cela concerne également les condamnations décidées par des tribunaux. Là encore, sur ce point, tout dépendra de la nature de l’infraction, de la notoriété de la personne, etc. Tous ces critères peuvent également être rabotés sur l’autel de l’intérêt général quand les questions soulevées apportent une contribution au débat social (par exemple sur des cas de possibles fraudes comme on peut le voir aujourd’hui avec le scandale SwissLeaks). Le comité considère aussi que les informations factuelles et vraies, du moins celles qui ne mettent personne en danger, ou les informations historiques, devraient peser contre l’effacement.

La source de l’information (journalistiques, gouvernementales, blogueurs réputés, etc.) est le troisième critère identifié par le comité. Enfin, doit jouer le critère temporel : le temps peut rendre moins pertinente une information, désormais estompée, ou au contraire l’accentuer si le rôle d’une personne privée est devenu plus important dans la société.

Le comité donne parfois l’impression d’enfoncer des portes ouvertes, mais cela tient surtout à l’impossibilité de donner des solutions précises dépendant de chaque cas pratique, et où la marge de manoeuvre de Google sera plus ou moins grande.

 Transparence des critères et accessibilité du formulaire

Dans son rapport, il y a cependant quelques points clairement posés. Le comité recommande par exemple à Google de rendre « facilement accessible » le formulaire d’effacement offert aux internautes. De même, le moteur devrait informer les sites impactés par l’effacement, mais seulement dans les limites permises par la loi puisque cette alerte est susceptible d’alerter l’éditeur des motivations premières de l’internaute.

« Dans les cas complexes, il peut aussi être approprié de notifier le webmaster avant la prise de décision de retrait » afin de fournir « un contexte supplémentaire » pour l’appréciation des critères. Le comité suggère aussi une grande transparence sur le processus et les lignes directrices suivies pour évaluer les demandes.

Application du droit à l’oubli dans l’espace

La question de l’application de l’effacement dans l’espace fait l’objet d’un encadrement tout aussi strict. Selon le comité, il faut limiter le droit à l’oubli aux seules versions européennes du moteur. Certes, une extension planétaire permettrait de muscler le coup de gomme et donc la protection de la donnée personnelle, mais ce serait ignorer que des intérêts concurrents puissent être constatés hors de ces frontières !

De même, cela ouvrirait un précédent si chaque pays pouvait ainsi exiger un nettoyage mondial des données personnelles. On remarquera cependant que la CNIL, qui a également élaboré des pistes sur la question de l'effacement, milite pour une extension mondiale. De même, Google ne se pose parfois pas tant de questions : dans l’affaire Allostreaming, il avait déréférencé mondialement plusieurs sites de streaming suite à une demande des ayants droit français du cinéma focalisée sur la France (voir notre actualité).

Loi sur le numérique et règlement européen sur les données personnelles

Ces solutions ne règlent pas tout, mais elle montre la difficulté éprouvée par les acteurs du numérique dans la manipulation de ces données. Une certitude : on est désormais loin de l’époque tranquille, avant le 13 mai 2014, où les moteurs pouvaient rechercher et afficher beaucoup plus librement des informations personnelles.

Ce sujet va d’ailleurs revenir en force à l’occasion de deux rendez-vous. Il s’agira d’une part du projet de règlement européen  qui prévoit en l’état un véritable droit à l’oubli, justifié par des motivations plus subjectives.

Plus près de nous, la CNIL a déjà plaidé pour une réforme de la loi de 1978 « Informatique et Libertés » en préparation du projet de loi numérique d’Axelle Lemaire prévu pour le trimestre prochain. Elle plaide pour un droit à l’effacement plus musclé au profit des mineurs, qui s’appliquerait à « toute donnée collectée, traitée ou mise en ligne avant les 18 ans de la personne concernée ». Ce droit serait inconditionnel, sans autre motif légitime outre celui de l’âge de l’internaute.