Le règlement général sur la protection des données (RGPD) responsabilise les organismes publics et privés qui traitent leurs données.
Le Conseil d’Etat sollicité par 13 recours concernant le droit à l’oubli (ou droit au déférencement sur internet) qui peut s’imposer à un exploitant de moteur de recherche, a posé une question préjudicielle en 2017 à la Cour de Justice de l’Union européenne. La CJUE a donné sa réponse le 12 septembre 2019 et le Conseil d’Etat a pris 13 arrêts le 6 décembre 2019.
Dans une fiche juridique le Conseil d’Etat rappelle la procédure pour les particuliers pour obtenir le déférencement :
« Lorsqu’un particulier veut obtenir le déréférencement, parmi les résultats affichés en réponse à une demande portant sur son nom, de liens vers des pages web publiées par des tiers et qui contiennent des données à caractère personnel le concernant, il doit saisir l’exploitant du moteur de recherche. En cas de refus, il peut saisir soit le juge judiciaire, soit la Commission nationale de l’informatique et des libertés (CNIL) pour qu’elle ordonne à cet exploitant de procéder au déréférencement des liens en cause. Si la CNIL rejette également cette demande, l’intéressé peut alors contester cette décision directement devant le Conseil d’État, qui se prononce en tenant compte des circonstances et du droit applicable à la date à laquelle il statue. »
Voici un extrait du communiqué du Conseil d’Etat à ce sujet :
« Les 13 décisions du 6 décembre 2019 ont été adoptées à la lumière de l’arrêt de la Cour de Justice de l’Union européenne rendu le 24 septembre 2019 en réponse à une question du Conseil d’État. Elles définissent, sur le fondement du RGPD, le cadre dans lequel un exploitant de moteur de recherche doit, sous le contrôle de la CNIL, respecter le droit au déréférencement.
Les grands principes de ce cadre sont :
- Le juge se prononce en tenant compte des circonstances et du droit applicable à la date à laquelle il statue.
- Le déréférencement d’un lien associant au nom d’un particulier une page web contenant des données personnelles le concernant est un droit.
- Le droit à l’oubli n’est pas absolu. Une balance doit être effectuée entre le droit à la vie privée du demandeur et le droit à l’information du public.
- L’arbitrage entre ces deux libertés fondamentales dépend de la nature des données personnelles.
Trois catégories de données personnelles sont concernées :
- des données dites sensibles (données les plus intrusives dans la vie d’une personne comme celles concernant sa santé, sa vie sexuelle, ses opinions politiques, ses convictions religieuses …),
- des données pénales (relatives à une procédure judiciaire ou à une condamnation pénale),
- et des données touchant à la vie privée sans être sensibles.
La protection dont bénéficient les deux premières catégories est la plus élevée : il ne peut être légalement refusé de faire droit à une demande de déréférencement que si l’accès aux données sensibles ou pénales à partir d’une recherche portant sur le nom du demandeur est strictement nécessaire à l’information du public. Pour la troisième catégorie, il suffit qu’il existe un intérêt prépondérant du public à accéder à l’information en cause.
Les différents paramètres à prendre en compte, au-delà des caractéristiques des données personnelles en cause, sont le rôle social du demandeur (sa notoriété, son rôle dans la vie publique et sa fonction dans la société) et les conditions dans lesquelles les données ont été rendues publiques (par exemple, si l’intéressé a de lui-même rendu ces informations publiques) et restent par ailleurs accessibles. »
Pour lire la décision du Conseil d’Etat, cliquer ici.
