La consultation de la CNIL sur le droit à l’oubli va marquer les mémoires. L’Association des services internet communautaires (ASIC), qui réunit dans ses rangs Google, Facebook, Microsoft, Deezer, eBay ou Wikipédia, vient de rendre publique sa réponse, tout en dévoilant ce document (PDF) que la gardienne des données personnelles souhaitait garder secret.

Cet été, la Commission nationale de l'informatique et des libertés (CNIL) a lancé une consultation auprès d’une série d’acteurs, dans laquelle elle proposait plusieurs pistes pour rendre effectif le droit à l’oubli. Ce futur droit est l’un de ceux qui devraient être reconnus par le projet de règlement européen sur les données personnelles. Ce texte en gestation à Bruxelles prévoit une législation unique à toute l’Union européenne. Comme exposé lors de notre émission « 14h42 », montée en collaboration avec Arrêt sur Images, la CNIL cherche l’équilibre parfait pour faire coexister le droit à l’oubli avec d’autres libertés comme la liberté de la presse.

Autre chose : la gardienne des données personnelles compte bien coupler le droit au déréférencement et à l’effacement des caches des moteurs. Comme nous l’a expliqué Édouard Geffray, secrétaire général de la CNIL, ces futurs droits - s’ils sont finalement reconnus, s’appliqueront même à des acteurs non européens dès lors que la donnée personnelle d’un Européen, sera en cause. Voilà pour le cadre.

Déficit de transparence

C’est peu de le dire, les Microsoft, Facebook, Google et autres eBay ou Dailymotion ont mal pris cette idée. Dans sa réponse, l’ASIC, qui représente ces acteurs du web, regrette le déficit de transparence de cette consultation. Lancée en plein mois d’août, elle n’a été transmise qu’à une poignée d’acteurs alors qu’une démarche publique aurait selon elle « permis à l’ensemble des associations, entreprises, startups ou entrepreneurs concernés par ses propositions de faire part de leurs préoccupations. »

D'autre part, Édouard Geffray avait soutenu dans le 14h42 recevoir un millier de demandes relatives au droit à l'oubli chaque année. Calculatrice en main, « ce premier élément étonne les membres de l’ASIC qui, tous réunis, ont reçu très peu (moins d’une cinquantaine, tous membres confondus) de demandes de la CNIL pourtant, semble-t-il, saisie par de nombreux particuliers ».

Droit d’opposition

Outre la manière et les chiffres, les acteurs du web 2.0 mettent également en cause l’utilité de la démarche. Comme encore exposé dans le 14h42, la loi Informatique et Libertés prévoit déjà un droit à l’oubli, sous la houlette du droit d’opposition inscrit à l’article 38 du texte. La CNIL explique même par A+B comment mettre en œuvre ce texte à l’encontre des moteurs et des prestataires de cache (voir ici). Si l’Asic applaudit ce droit d’opposition, elle estime qu'il « est important que cet exercice se fasse dans un cadre permettant à la fois d’assurer son effectivité et de respecter la liberté d’expression et notamment celle de recevoir et émettre des informations. »

L’origine de la donnée personnelle : son propriétaire ou un tiers

Dans le détail, l’association regrette qu’aucune distinction n’ait lieu entre les données publiées par des tiers et celles publiées par la personne elle-même. Dans ce dernier cas, « seul lui peut décider ce qu’il doit advenir des données dont il est à l’origine. Si l’utilisateur ne souhaite plus qu’un contenu dont il est à l’origine soit disponible, il lui reviendra de procéder à sa suppression à partir des outils qui lui sont offerts. Il pourra, de même, s’adresser à un moteur de recherche pour qu’il procède à une réindexation du contenu et non à sa désindexation. »

Pour les données mises en ligne par des tiers, tout ne peut être fait. En particulier, ce droit à l’oubli doit être « équilibré par le principe du “motif légitime” » considère l’ASIC. « Seul un motif légitime est susceptible de trouver l’équilibre nécessaire entre le respect des droits de la personne et le respect des droits des tiers ou de libertés fondamentales ». Appliqué trop largement, ce principe risque en effet de « créer un phénomène de déresponsabilisation qui serait préjudiciable à tous ». L’idée rejoint là celle exposée par le psychanalyste Serge Tisseron dans Libération.

Droit à l’oubli, liberté d’expression et liberté d’information

Mais c’est surtout sur la conciliation du droit à l’oubli avec les autres libertés que l’Asic se montre la plus attentive. Les acteurs du web estiment ainsi qu’il ne faudrait pas que ce droit à l’oubli vienne à contre-courant de la liberté d’expression déjà encadrée par l’action en diffamation ou le droit de réponse. « Si des propos non diffamatoires sont tenus sur internet, expliquent ces acteurs, le droit à l’oubli ne doit pas être utilisé pour en obtenir le retrait. »

Au regard du droit de la presse, la CNIL envisage surtout la piste de la désindexation, de l’anonymisation voire du basculement de l’article dans une zone « abonnement ». Là encore, copie à revoir pour l’Asic qui préfèrerait que soit engagée une concertation « avec les acteurs de la presse en ligne afin d’identifier les manières de concilier » ces deux droits. Dans la même idée, la CNIL serait mieux inspirée de lancer « une grande action de sensibilisation des internautes sur la manière dont ces derniers sont en mesure de gérer et de contrôler la diffusion des informations qu’ils décident de publier sur le Net. »

Droit à l’oubli et intermédiaires techniques

Dans la logique de la CNIL, la personne propriétaire de la donnée devrait pouvoir en exiger le retrait d’un site et la désindexation dans les moteurs. L’Asic juge là encore cette obligation périlleuse. « Un hébergeur est incapable d’estimer si la personne qui le contacte est bien la personne visée dans le contenu qu’il héberge. Il lui sera incapable de gérer les cas des personnes qui seraient gênées par des contenus se rapportant à un de leurs homonymes. »

Autre chose, « un hébergeur retire un contenu. Il ne retire pas un ou plusieurs éléments contenus dans une page. Ainsi, si un site internet contient un article incluant le nom d’une personne (par exemple dans un commentaire, dans une citation, etc.), c’est toute la page qui devra faire l’objet d’une suppression, l’intégralité du contenu et non la donnée nominative incriminée. »

Le spectre du filtrage

À ce jour, l’intermédiaire ne doit retirer le contenu que si celui-ci est manifestement illicite. Or, « en l’espèce, un contenu “visé” par un droit à l’oubli n’est pas “manifestement illicite” au sens de l’interprétation du Conseil constitutionnel ». Le droit à l’oubli viendrait ouvrir en somme une nouvelle brèche dans la responsabilité des intermédiaires. En outre, en pratique, « une telle obligation de suppression reposant sur l’hébergeur imposera à cet intermédiaire de conserver en “mémoire” l’ensemble des contenus qu’il est tenu “d’oublier”. Une telle base de données est, en elle-même, fortement problématique et pourrait avoir des conséquences irréparables en cas de faille informatique ». Pour l’Asic, seul le juge devrait pouvoir mettre en œuvre ce droit à l’oubli et sûrement pas une autorité administrative, même indépendante.

Autre problème : puisque le droit à l’oubli va s’appliquer dès lors qu’une donnée personnelle européenne est en jeu. Mais que se passerait-il par exemple si Archive.org, mémoire du web, refusait de supprimer la donnée nominative d’un citoyen français ? Cette résistance risque du coup de justifier des mesures de blocages contre les acteurs non coopératifs.