Droit à l’oubli

Le terme « droit à l’oubli » est un raccourci médiatique qui recouvre en réalité deux droits distincts souvent confondus : le droit au déréférencement et le droit à l’effacement. Ces droits permettent à une personne de demander, sous certaines conditions, que ses données personnelles ne soient plus accessibles ou visibles, mais ils ne garantissent pas une disparition absolue de l’information.

Les deux droits distincts

Droit au déréférencement : il s’agit du retrait d’un lien dans les résultats de recherche. La base légale est l’arrêt de la CJUE Google Spain (2014), complété par le RGPD. Sa portée est limitée aux moteurs de recherche européens (et non à l’échelle mondiale). Il permet de faire disparaître un lien d’un résultat de recherche, mais l’information source reste accessible sur le site d’origine.

Droit à l’effacement (ou right to erasure) : il s’agit de la suppression effective des données personnelles. Il est prévu par l’article 17 du RGPD et s’applique à tout responsable de traitement. Il permet d’obtenir l’effacement des données lorsque l’une des conditions prévues par le RGPD est remplie (données non nécessaires, consentement retiré, opposition, traitement illicite, obligation légale).

Ce que le droit à l’oubli n’est pas

• Il n’est pas absolu : il ne permet pas de faire disparaître une information licite du web. Le droit européen protège la visibilité (via le déréférencement), mais pas l’existence de l’information.
• Il n’est pas automatique : il ne s’applique pas aux informations qui relèvent de l’intérêt public (condamnations pénales, faits historiques, activités de personnalités publiques). Une analyse au cas par cas est nécessaire, tenant compte de la pertinence, de l’actualité et du rôle public de la personne.
• Il n’est pas mondial : sa portée est géographiquement limitée à l’UE/EEE (CJUE, Google v. CNIL, 2019). Une personne ne peut pas exiger le déréférencement sur les versions internationales des moteurs de recherche.
• Il n’est pas rétroactif : il ne s’applique qu’aux données collectées après l’entrée en vigueur du RGPD (sauf exceptions).

Conditions pour bénéficier du droit à l’effacement (RGPD art. 17)

L’effacement peut être demandé dans les cas suivants :

• Données non nécessaires : les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées.
• Retrait du consentement : l’utilisateur retire son consentement et il n’existe pas d’autre base légale pour le traitement.
• Opposition : l’utilisateur s’oppose au traitement et il n’existe pas de motif légitime impérieux pour le poursuivre.
• Traitement illicite : les données ont été traitées de manière illicite (ex : collecte sans consentement).
• Obligation légale : l’effacement est nécessaire pour respecter une obligation légale (ex : droit de la consommation).
• Données collectées auprès d’un mineur : les données ont été collectées dans le cadre de l’offre de services à un mineur (consentement parental insuffisant ou retiré).

Obligations du responsable de traitement

• Mettre en place une procédure simple et accessible : toute personne doit pouvoir demander l’effacement de ses données par un moyen facile (ex : formulaire en ligne, email).
• Décrire cette procédure : dans la politique de confidentialité, le responsable de traitement doit expliquer comment exercer ce droit.
• Répondre rapidement : il doit répondre dans un délai d’un mois (prolongeable à trois mois en cas de demande complexe).
• Supprimer effectivement les données : lorsqu’une demande est justifiée, il doit procéder à l’effacement.
• Informer les tiers : si les données ont été communiquées à des tiers, il doit les informer de la demande d’effacement.
• Documenter les décisions : il doit conserver une trace des demandes et des décisions prises (motifs d’acceptation ou de refus) pendant une durée suffisante pour permettre à la CNIL de contrôler le respect du RGPD.

Confusions courantes et clarifications

• « Droit à l’oubli = suppression de l’information source » : C’est faux. Le droit au déréférencement retire seulement le lien des résultats de recherche, mais l’article original reste accessible sur le site qui l’héberge.
• « Toute information ancienne peut être effacée » : C’est faux. L’intérêt public prime (condamnations pénales, faits historiques, activités de personnalités publiques). Une information peut être ancienne mais toujours pertinente (ex : un élu condamné pour corruption, une entreprise ayant fait l’objet d’une sanction publique).
• « Le droit s’applique mondialement » : C’est faux. La CJUE (Google v. CNIL, 2019) a limité le déréférencement aux versions européennes des moteurs de recherche (google.fr , google.de , etc.) et non aux versions internationales (google.com ).
• « Automatique dès que l’info est ancienne » : C’est faux. L’analyse est au cas par cas. Il faut prendre en compte la nature des données, l’actualité de l’information, le rôle public de la personne, l’impact sur sa vie privée, etc.

Exemples concrets

• Déréférencement accepté : une personne physique a été condamnée pour un délit mineur il y a 15 ans. Aujourd’hui, elle est chef d’entreprise. L’information n’a plus de pertinence publique et lui cause un préjudice. Elle peut demander le déréférencement des liens vers l’article de presse.
• Déréférencement refusé : un homme politique a été condamné pour corruption. L’information est pertinente pour l’électeur et relève de l’intérêt public. Le moteur de recherche peut refuser la demande.
• Effacement refusé : un patient demande l’effacement de ses données médicales pour des raisons de confidentialité, mais le médecin a l’obligation légale de les conserver pendant 20 ans. Le refus est justifié.
• Effacement accepté : un ancien client demande l’effacement de ses données personnelles (nom, adresse, email) d’une base de données d’une entreprise après la fin de la relation contractuelle. Si les données ne sont plus nécessaires, l’effacement peut être accepté.

Procédure pour exercer son droit

1. Identifier le responsable de traitement : c’est l’organisation qui collecte et traite vos données (ex : site web, application, entreprise).
2. Consulter la politique de confidentialité : elle indique comment exercer vos droits (formulaire en ligne, email à une adresse dédiée, courrier).
3. Envoyer une demande écrite : indiquez clairement votre identité, les données concernées, et les motifs de votre demande.
4. Conserver une preuve : gardez une trace de votre demande (email, accusé de réception).
5. Suivre la réponse : le responsable de traitement doit répondre dans un délai d’un mois. Si la réponse est insatisfaisante, vous pouvez saisir la CNIL ou le tribunal.

Sanctions en cas de non-respect

• Amendes administratives : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
• Injonction : la CNIL peut ordonner la mise en conformité sous délai.
• Recours des personnes : les personnes concernées peuvent saisir les tribunaux pour obtenir la suppression et des dommages et intérêts.

Synonymes et abréviations

• Droit à l’effacement : terme juridique officiel du RGPD (art. 17).
• Droit à l’oubli numérique : expression médiatique qui englobe les deux droits.
• Déréférencement : retrait d’un lien dans les résultats de recherche.
• RTBF : Right to Be Forgotten (expression anglo-saxonne).

Analogie

Le droit à l’oubli, c’est comme demander à la bibliothèque de retirer la fiche de votre livre du catalogue (déréférencement) : le livre reste dans la bibliothèque (l’information source), mais les lecteurs ne le trouveront plus par la recherche. Le vrai effacement, c’est comme demander que le livre soit retiré de la bibliothèque (suppression effective des données) : il n’est plus accessible nulle part. Mais attention, la bibliothèque peut refuser si le livre fait partie du fonds patrimonial (intérêt public) ou si elle est tenue de le conserver par une obligation légale. Et la demande ne s’applique qu’à la bibliothèque locale (UE), pas aux autres bibliothèques dans le monde.

À retenir

Le droit à l’oubli, dans le numérique, n’est pas une gomme magique qui efface toute trace du passé. C’est un outil de protection qui permet aux personnes de contrôler la visibilité de leurs données personnelles en ligne, mais qui doit être équilibré avec d’autres droits, comme la liberté d’information, la liberté de la presse et l’intérêt général. Il repose sur une analyse au cas par cas, où l’éditeur ou le moteur de recherche doit peser les droits et intérêts en présence. C’est un droit essentiel mais limité, qui doit être exercé avec discernement.