La CNIL a publié aujourd'hui les critères justifiant un « droit à l’oubli », ou plutôt un droit au déréférencement dans les moteurs. Dans la lignée des recommandations du Groupe 29 (autorités de contrôle européennes), elle profite de l’occasion pour donner son interprétation de l’arrêt de la Cour de justice de l’Union qui l’a consacré dans un arrêt concernant Google. 

Le 13 mai dernier, la Cour de Justice de l’Union européenne a jugé que Google, responsable des traitements automatisés sur son moteur, avait l’obligation de supprimer, en résumé, les données non pertinentes, obsolètes ou inappropriées. Fin mai, Google mettait en ligne un formulaire dédié afin que quiconque puisse faire valoir ce droit à l’effacement (véritable dénomination du « droit à l’oubli » qui n’existe pas encore, juridiquement).

Depuis, c’est le trouble dans l’application de cette mesure. D’abord Google hérite d’une patate chaude qu’il ne voulait pas, et pour cause, il se doit de juger des demandes parfois complexes, alors que son rôle est de référencer et, comme toute société commerciale, faire de l’argent. 

L’entreprise américaine s’est dans le même temps lancé dans un tour des capitales européennes pour évoquer ce sujet. À Paris, David Drummond, vice-président et Directeur juridique international de Google a ainsi égratigné « les critères de la CJUE [qui] sont flous et subjectifs », alors que dans le même temps, Internet est aussi le règne de la liberté d’information et de la communication. 

La CNIL veut étendre le droit à l'effacement au .com

Six mois après l’arrêt de la CJUE, et la mise en œuvre de ce droit à l’effacement chez Google et les autres moteurs de recherche, la CNIL a (enfin) publié une note explicative, en appui d'un dossier similaire publié par le G29. Elle y déverse son interprétation de l’arrêt de la Cour, tout en mettant en avant les critères utiles pour justifier un « droit à l’oubli ».

Cette intervention de la CNIL est utile puisque la Commission peut être appelée en renfort pour résoudre un conflit lorsqu’un moteur refuse le déréférencement sollicité par une personne physique. Selon sa grille de lecture, la CNIL juge qu’« afin d’assurer l’effectivité du droit au déréférencement tel que reconnu par la CJUE, le déréférencement devra être effectif dans toutes les extensions pertinentes, y compris .com ». C’est ici une interprétation généreuse de l’arrêt qui évoquait surtout les versants européens du moteur Google. De même, l’entreprise américaine refuse toute mise en œuvre d’un déréférencement mondial.

Les critères pouvant justifier le déréférencement

Dans ce document, la CNIL dresse en tout cas les critères qu’elle entend surveiller pour justifier, ou non, un droit au déréférencement, avec une précision de rigueur : ceux qui réclament un effacement ne sont pas obligés d’agir préalablement auprès du site référencé. Elles peuvent frapper directement à la porte des moteurs.

1. Les résultats de recherche sont-ils relatifs à une personne physique ? Le résultat apparait-il à la suite d’une recherche effectuée à partir du nom de la personne concernée ? (seules les personnes physiques peuvent exercer ce droit)
2. S’agit-il d’une personne publique? Le plaignant joue-t-il un rôle dans la vie publique ? (pour les personnes publiques, la liberté d’information prime)
3. Le plaignant est-il mineur ? (l’intérêt du mineur doit toujours primer)
4. Les données sont-elles exactes et mises à jour ? (Les infos inexactes ou tompeuses doivent être déréférencées)
5. Les données sont-elles pertinentes et/ou excessives ? (si elles touchent à la vie privée, si elles sont diffamatoires, injurieuses, calomnieuses, etc., si elles reflètent une opinion personnelle plutôt qu’un fait vérifié, alors le déréférencement peut apparaitre justifié)
6. L’information est-elle sensible ? (origine raciale, ethnique, opinions politiques, convictions religieuses ou philosophiques, l'appartenance syndicale, les données de santé ou liées à la vie sexuelle)
7. L’information est-elle à jour ? Est-elle toujours d’actualité ? (Tout dépend ici du contexte initial de la mise en ligne et de l’objectif poursuivi par la diffusion du contenu)
8. Le traitement de l’information cause-t-il un préjudice au plaignant ? Les données ont-elles un impact négatif disproportionné sur sa vie privée ? (ce n’est pas une condition à l’effacement, amis un facteur en faveur du coup de gomme)
9. Les informations issues du moteur de recherche créent-elles un risque pour le plaignant ? (la diffusion d’une pièce d’identité peut exposer une personne à des risques comme l’usurpation voire le harcèlement)
10. Dans quel contexte l’information a-t-elle été publiée ? (La personne a-t-elle été à l’origine du contenu et donc du référencement ? Dans un tel cas, contrairement à Google, la CNIL estime que la demande doit être acceptée. Le contenu devait-il être public ? Le plaignant pouvait-il raisonnablement savoir que le contenu serait rendu public ?)
11. Le contenu a-t-il été rendu public à des fins journalistiques ? (ce critère peut peser pour refuser un déréférencement)
12. La publication de l’information répond-elle à une obligation légale ? L’auteur de la publication avait-il l’obligation de rendre cette donnée personnelle publique ? (décoration remise et annoncée au Journal officiel, etc.)
13. L’information est-elle relative à une infraction pénale ? (les critères varieront selon que l’infraction est grave ou non, a été amnistiée ou non, etc.)