Qu’est-ce que le droit à l’oubli en France ?
Le droit à l’oubli est traité à l’article 6,5° de la loi 78-17 du 6 janvier 1978. C’est le droit pour tout individu à demander la suppression de données auprès d’acteurs du traitement des données personnelles au sens de la Directive 95/46/CE.
La décision Costeja a participé à la définition de cette obligation et à sa justification.
Les acteurs de l’opération de traitement des données
Les acteurs sont responsables du traitement des données.
- Les éditeurs. (Arrêt « Lindqvist »)
- La société, véhicule juridique de la publicité sur un territoire.
- L’exploitant d’un moteur de recherche et l’établissement qui fait la publicité sont l’un et l’autre responsables du traitement des données personnelles, même si le moteur de recherche ne fait que collecter et référencer l’information éditée sur des sites.
L’opération économique de traitement des données
L’opération de traitement de données peut se déduire de la nature de l’activité économique.
- L’activité économique consistant à procéder à l’indexation, la mise en ligne de contenus de particuliers ou de sociétés à partir de sites web édités via un moteur de recherche est une activité de « traitement de données à caractère personnel”.
- L’activité économique d’un établissement en charge de la publicité par mots-clés est une activité de « traitement de données à caractère personnel”.
Cette activité économique même scindée, en partie (moyens techniques du moteur de recherche et activité de publicité ) et même délocalisée sur un territoire différent, constitue un ensemble indissociable et justifie la qualification d’établissement stable donnée à l’activité de publicité
C’est la combinaison entre les puissants moyens techniques du moteur de recherche et un modèle économique optimal via la publicité qui permet au moteur de recherche de remplir sa fonction.
La forme des données collectées, indexées (fichiers ou absence de fichiers ou autre) n’est pas un critère objectif pour exclure la qualification de données personnelles.
La détermination de la loi applicable
la loi applicable au responsable de traitement de données à caractère personnel est celle du lieu de l’établissement sur un territoire d’un Etat membre.
Cf article 4 de la Directive sur la protection des données à caractère personnel.
Arrêt CJUE du 1er octobre 2015 – Weltimmo s.r.o./Nemzeti Adatvédelmi és Információszabadság Hatóság.
Des annonceurs publicitaires demandent l’arrêt de leur contrat et la suppression des données personnelles en Hongrie, alors que la société exploitante est immatriculée en Slovaquie. Elle exploite un site internet d’annonces immobilières de biens situés en Hongrie.
Le juge précise le critère pour déterminer la loi applicable: Une société de recouvrement hongroise était mandatée par la société slovaque pour recouvrer les impayés et représenter la société slovaque devant les autorités judiciaires et administratives. L’activité de publicité portait sur des biens immobiliers en Hongrie.
La réglementation de la Hongrie sur la protection des données peut être appliquée à la société slovaque qui exerce donc une activité réelle et effective, au moyen d’une installation stable.
Si l’établissement stable au sens de la Directive n’était pas constaté, la loi hongroise n’aurait pas pu s’appliquer (en l’espèce, l’application de l’amende).
Le demandeur du droit à l’oubli
Arrêt Costeja. La décision de la CJUE ouvre la porte aux demandeurs du droit à l’oubli et obligent les moteurs de recherche à respecter de nouvelles obligations, l’obligation de dé-référencement sur demande. Google Spain SL et Google Inc. c. Agencia Española de Protección de Datos et Mario Costeja González
Certains critères sont pris en compte par le juge pour qu’un individu puisse organiser un droit à l’oubli (de ses informations, à savoir le passage des informations dans les oubliettes … des serveurs. Tomber dans les oubliettes ne signifie pas ne plus exister mais ne plus apparaître aux yeux du public.
La disparition technique totale des informations est encore une autre question. Le droit à la réinsertion des informations le serait également.
Le droit à l’oubli d’une personne privée s’accompagne-t’il d’un droit à l’oubli immédiat, à première demande? non en principe, et oui, pour les mineurs, dans les meilleurs délais “techniques” (une notion à imaginer).
Le déréférencement permet la suppression de liens vers des informations portant sur la vie privée, mais ne conduit ni à la désindexation des contenus par le moteur de recherche, ni à la suppression des informations par les éditeurs. L’information demeure sur les sites sources et reste accessible autrement.
La CNIL va plus facilement accepter un déréférencement de masse que ne l’acceptera Google au nom de la liberté d’expression. Sont visés les liens vers les données “inexactes” ou devenues “inadéquates, non pertinente ou excessives” qui seront analysées au vu des finalités du traitement des données et du temps écoulé.
La CJUE propose trois critères d’appréciation de l’équilibre entre les droits fondamentaux en cause :
- la nature de l’information concernée,
- son impact sur la vie privée de la personne et
- « l’intérêt du public à disposer de cette information », qui dépend du « rôle joué par cette personne dans la vie publique »
L’application territoriale du droit au dé-référencement (arrêt Costeja)
Deux appréciations en opposition : un déréférencement mondial versus un déréférencement sur le territoire de l’oubli.
La CJUE estime que le déréférencement a une application mondiale et non limitée au territoire reconnaissant le droit à l’oubli.
Google estime que le dé-référencement s’applique sur le territoire reconnaissant le droit à l’oubli. Google vient de revoir sa position.
La publicité du déréférencement : du déréférencement anonymisé au marché du déréférencement.
Le nom de la personne à l’origine du dé-référencement ne doit pas apparaître dans les résultats de la recherche qui font apparaître une décision de dé-référencement.
Dans Costeja, Google a revendiqué le droit de notifier la décision de déréférencement aux éditeurs de site. Cela paraît logique mais peut créer cette notification peut créer une source de publicité.
Une solution
Elle serait nécessairement de nature technique plutôt que juridique en créant un opt-in et un opt-out. Lorsque le demandeur ne peut plus exercer cette option, il pourra déléguer son droit auprès d’un mandataire (opt-out). Cela permettrait aux utilisateurs de demander le dé-référencement de manière automatisée et de ne pas engorger plus les tribunaux. Bien évidemment, une rédaction contractuelle appropriée devra être indiquée dans les Conditions Générales d’Utilisation.
Comments are closed here.