Le difficile équilibre entre le droit à l'information et le droit à l'oubli

« L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. » Ce principe posé par la loi n°78-17 du 6 janvier 1978 relative à l'informatique aux fichiers et aux libertés [1] dans son article 1er ne doit pas être occulté ni par méconnaissance des droits ni par les atermoiements des acteurs majeurs de l'internet.

La loi de 1978 instituant la Commission Nationale Informatique et Libertés a été réformée et complétée par la loi du 6 août 2004 [2] qui transposait, de façon libre, la directive européenne 95/46/ CE du 24 octobre 1995 sur la protection des données à caractère personnel et par la loi du 7 octobre 2016 pour une République numérique [3] adaptant un règlement européen sur la protection des données personnelles paru au journal officiel de l'Union européenne le 4 mai 2016.

Les correspondants Informatique et Libertés veillent au respect de la loi Informatique et Libertés au sein de leur organisme (entreprise, administration ou collectivité locale). L'article 1er de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est complété par un alinéa ainsi rédigé :

« Toute personne dispose du droit de décider et de contrôler les usages qui sont faits des données à caractère personnel la concernant »

L'outil informatique et Internet en particulier favorisent grandement la collecte de données au su ou à l'insu de ces utilisateurs. La densité des activités humaines dans le monde numérique constitue donc un terrain fertile pour de potentielles atteintes à leurs vies privées.

Le droit à l'effacement des données existe, il est consacré par la loi Informatique et libertés. Ce droit ne concerne que les données personnelles, mais il existe un débat aujourd'hui sur la création d'un droit plus vaste, le « droit à l'oubli ».

La collecte de données au su des utilisateurs

Ce droit à l'effacement des données s'impose à tous : aux acteurs du Web mais également à l'Éducation nationale et aux établissements scolaires. En quoi consiste ce droit à l'effacement ?

Le droit à l'effacement des données à caractère personnel comprend deux facettes :

L'interdiction pour les responsables de traitement de conserver les données plus que nécessaire.

Cette obligation est énoncée à l'alinéa 5 de l'article 6 de la loi Informatique et libertés qui prévoit : « les données sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. »

Le manquement à ce devoir par le correspondant informatique et libertés de l'organisme est sanctionné par le code pénal dans son article 226-20 :

« Le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d'autorisation ou d'avis, ou par la déclaration préalable adressée à la Commission nationale de l'informatique et des libertés, est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende, sauf si cette conservation est effectuée à des fins historiques, statistiques ou scientifiques dans les conditions prévues par la loi.

Est puni des mêmes peines le fait, hors les cas prévus par la loi, de traiter à des fins autres qu'historiques, statistiques ou scientifiques des données à caractère personnel conservées au-delà de la durée mentionnée au premier alinéa. »

Ainsi si les établissements scolaires ne peuvent conserver les données personnelles des élèves au- delà de la durée strictement nécessaire il est possible après une anonymisation de construire des données statistiques pour une autre utilisation : par exemple pour établir un taux de résultat au bac de l'établissement ou suivre les tendances d'orientation des élèves. Lorsque les données sont anonymes, il n'y a plus de durée légale maximum de conservation.

Le droit de demander l'effacement de ses données.

L'article 40 de la loi du 6 août 2004 indique : « toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite.

Lorsque l'intéressé en fait la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu'il a procédé aux opérations exigées en vertu de l'alinéa précédent.

En cas de contestation, la charge de la preuve incombe au responsable auprès duquel est exercé le droit d'accès. » Les coordonnées du responsable de traitement ont dû être transmises lors de la collecte des données. C'est à lui qu'il faut faire la demande de suppression.

La loi de 2016 est encore plus directive vis-à-vis des données qui concernent des mineurs.

Avec l'adoption de la loi du 7 octobre 2016 pour une République numérique, L'article 40 de la loi est ainsi complété : « Sur demande de la personne concernée, le responsable du traitement est tenu d'effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l'offre de services de la société de l'information lorsque la personne concernée était mineure au moment de la collecte. Lorsqu'il a transmis les données en cause à un tiers lui-même responsable de traitement, il prend des mesures raisonnables, y compris d'ordre technique, compte tenu des technologies disponibles et des coûts de mise en œuvre, pour informer le tiers qui traite ces données que la personne concernée a demandé l'effacement de tout lien vers celles-ci, ou de toute copie ou de toute reproduction de celles-ci. »

« En cas de non-exécution de l'effacement des données à caractère personnel ou en cas d'absence de réponse du responsable du traitement dans un délai d'un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l'informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation. »

Cette notion de droit à l'effacement concerne les données personnelles collectées au su des personnes. Sur internet beaucoup de données sont aussi recueillies à l'insu des personnes.

La collecte de données à l'insu des utilisateurs

Si, en tapant votre nom dans Google, Yahoo Search ou Bing, vous tombez sur des liens menant à des articles qui nuisent au respect de votre vie privée, vous pouvez désormais demander à ce que ces liens soient supprimés.

En effet au printemps 2014, la justice européenne a rendu un arrêt historique qui allait imposer aux moteurs de recherche une contrainte nouvelle : celle de proposer aux internautes européens un moyen de formuler une demande de déréférencement des contenus les concernant.

Ce droit propre aux pays de l'Union européenne a été consacré par une décision de la Cour de justice de l'Union européenne en date du 13 mai 2014 [4]. Il s'agissait en l'espèce d'un ressortissant européen M. Costeja Gonzâlez, de nationalité espagnole et domicilié en Espagne.

Le 5 mars 2010 il a introduit une réclamation auprès de l'Agencia Espanola de Protection de Datos (AEPD), l'équivalent de la CNIL en France, à l'encontre de La Vanguardia Ediciones SL, qui publie un quotidien de grande diffusion, notamment en Catalogne ainsi qu'à l'encontre de Google Spain et de Google Inc.

Cette réclamation se fondait sur le fait que, lorsqu'un internaute introduisait son nom dans le moteur de recherche du groupe Google, il obtenait des liens vers deux pages du quotidien de La Vanguardia respectivement du 19 janvier et du 9 mars 1998, sur lesquelles figurait une annonce, mentionnant le nom de M. Costeja Gonzâlez, pour une vente aux enchères immobilière liée à une saisie pratiquée en recouvrement de dettes de sécurité sociale payées depuis longtemps.

Par cette réclamation, M. Costeja Gonzâlez demandait, d'une part, qu'il soit ordonné au quotidien La Vanguardia soit de supprimer ou de modifier lesdites pages afin que ses données personnelles n'y apparaissent plus, soit de recourir à certains outils fournis par les moteurs de recherche pour protéger ces données.

D'autre part, il demandait qu'il soit ordonné à Google Spain ou à Google Inc. de supprimer ou d'occulter ses données personnelles afin qu'elles cessent d'apparaître dans les résultats de recherche et ne figurent plus dans des liens de La Vanguardia. Il faisait valoir que la saisie, dont il avait fait l'objet, avait été entièrement réglée depuis plusieurs années et que la mention de celle-ci était désormais dépourvue de toute pertinence.

Que dit la Cour dans son arrêt ? : « l'activité d'un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de « traitement de données à caractère personnel…l'exploitant de ce moteur de recherche doit être considéré comme le « responsable » dudit traitement. »

Ainsi selon la Cour la responsabilité des moteurs de recherche qui a été pendant longtemps sujet à des contestations juridiques ne fait plus débat. Les moteurs de recherche sont considérés comme responsables. Elle poursuit :

« l'exploitant d'un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l'hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite. »

La seule limite qui est posée par la cour concerne le droit à l'information, elle poursuit qu'il n'en irait autrement seulement : « s'il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question. »

Google, Yahoo Search, Bing et les autres moteurs de recherche appliquant la décision de la Cour de justice de l'Union européenne ont mis en ligne un formulaire à destination des internautes européens qui souhaitent voir déréférencés certains contenus les concernant. Ils sont réunis ci-dessous [5].

Les moteurs de recherche doivent examiner eux-mêmes chaque demande, et juger de sa légitimité en arbitrant entre protection de la vie privée des demandeurs et droit à l'information des internautes. Une organisation qui, au quotidien, exige du temps et des salariés. Google, Yahoo, Bing et les autres n'ont aucun intérêt à stimuler les demandes.

De plus Google n'accepte d'appliquer le « droit à l'oubli » que pour des recherches faites à partir de ses extensions européennes, comme Google.fr par exemple, pas à partir de son site Google.com.

« La solution consistant à apprécier le respect des droits des personnes en fonction de l'origine géographique de ceux qui consultent le site concerné ne permet pas aux personnes de bénéficier de leur droit au déréférencement », a expliqué la CNIL, en reprochant à cette société une application trop restrictive du droit à l'oubli.

De son côté, Google a contesté cette interprétation en avançant que la quasi-totalité de ses utilisateurs européens utilisent ses déclinaisons européennes, et que le droit européen ne pouvait pas contraindre les résultats de recherche des utilisateurs partout ailleurs dans le monde.

La jurisprudence de la Cour de justice de l'Union européenne et la loi pour une République numérique devraient permettre de ré-équilibrer au moins un peu les rapports de force face aux géants de l'internet. Les textes nécessaires à l'application de cette dernière loi devraient être pris dans les prochains six mois.

La jurisprudence Costeja de la Cour de Justice de l'Union Européenne

Ce droit propre aux pays de l'Union européenne a été consacré par une décision de la Cour de Justice de l'Union Européenne en date du 13 mai 2014 [4]. Il s'agissait en l'espèce d'un ressortissant européen Mario Costeja González, de nationalité espagnole et domicilié en Espagne.

En 1998 le quotidien la Vanguardia publie dans son édition papier des annonces sur une saisie immobilière dont Monsieur Costeja Gonzalez a fait l'objet dans le cadre d'un recouvrement de dette de sécurité sociale. Ces informations sont ensuite reproduites dans une version électronique du journal. Estimant que la mention de son nom n'est plus pertinente ses dettes ayant été réglées, l'intéressé dépose en 2009 une réclamation visant Google auprès de l'agence espagnole de protection des données, l'équivalent de la CNIL pour l'Espagne.

Par cette réclamation, M. Costeja González demandait, d'une part, qu'il soit ordonné au quotidien La Vanguardia soit de supprimer ou de modifier lesdites pages afin que ses données personnelles n'y apparaissent plus, soit de recourir à certains outils fournis par les moteurs de recherche pour protéger ses données estimant que la mention de son nom n'est plus pertinente.

La justice espagnole qui rencontrait des difficultés dans l'interprétation du droit européen, a porté l'affaire devant la Cour de Justice de l'Union Européenne.

Que dit la Cour dans son arrêt ? : « l'activité d'un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de traitement de données à caractère personnel »… « l'exploitant de ce moteur de recherche doit être considéré comme le responsable dudit traitement et les moteurs de recherche en tant que tels doivent dans certains cas les supprimer. »

Ainsi selon la Cour la responsabilité des moteurs de recherche qui a été pendant longtemps sujet à des contestations juridiques ne fait plus débat. Les moteurs de recherche sont bien considérés comme responsables.

En pratique un particulier peut donc désormais demander à Google ou à ses concurrents la suppression d'un lien renvoyant à une page web qui contient des données à caractère personnel. Cette formulation désigne toute information permettant de reconnaître un individu : le nom, prénom, date de naissance, numéro de téléphone, photo. S'il ne donne pas suite, le particulier pourra saisir l'autorité de contrôle locale (en France la CNIL).

La Cour de Justice de l'Union Européenne a fondé son arrêt sur le droit à la protection de la vie privée, garanti par une directive de 1995. Elle indique : « l'effet de l'ingérence dans les droits de la personne se trouve démultiplié en raison du rôle important que jouent Internet et les moteurs de recherche (…) compte tenu de sa gravité potentielle, une telle ingérence ne saurait (…) être justifiée par le seul intérêt économique de l'exploitant du moteur dans le traitement des données. »

Qui peut se prévaloir de ce « droit à l'oubli » ?

l'arrêt peut être utilisé dans toutes les situations où le droit fondamental à la vie privée ne semble pas respecté, selon la Cour de Justice, mais elle poursuit et c'est notable que le moteur de recherche ne peut prendre prétexte de l'absence de préjudice pour refuser le retrait d'un lien sur Internet.

Est ce à dire que toute personne voulant supprimer une page où son nom est mentionné peut obtenir gain de cause ? La fin de l'arrêt donne une limite à ce qui pourrait ressembler à une censure : « s'il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question. » …le moteur de recherche pourrait refuser d'y faire droit.

La limite est donc la suivante : dans le cas où l'intéressé jouerait un rôle dans la vie publique, la balance serait renversée et l'intérêt du public à avoir accès à l'information en question devrait l'emporter sur le droit à la vie privée. La cour de Luxembourg précisait toutefois que l'article continuerait d'exister sur Internet, et pourrait être retrouvé à l'aide d'autres mots-clés que le nom du requérant.

Google, Yahoo Search, Bing et les autres moteurs de recherche appliquant la décision de la Cour de justice de l'Union européenne ont mis en ligne un formulaire à destination des internautes européens qui souhaitent voir déréférencés certains contenus les concernant. Ils sont réunis ci-dessous⁵.

Les moteurs de recherche doivent examiner eux-mêmes chaque demande, et juger de sa légitimité en arbitrant entre protection de la vie privée des demandeurs et droit à l'information des internautes. Une organisation qui, au quotidien, exige du temps et des salariés. Google, Yahoo, Bing et les autres n'ont aucun intérêt à stimuler les demandes.

En cas de mauvaise volonté des moteurs de recherche, les citoyens de l'Union Européenne pourront saisir la justice de leur pays. Cela n'est pas nouveau pour le citoyen français. La loi informatique et libertés prévoit déjà la possibilité de faire retirer du net des données à caractère personnel, dès lors que le plaignant peut invoquer des motifs légitimes. Mais les juges français font une lecture restrictive de cette notion de « motifs légitimes ». Il faut en effet que l'information diffusée en ligne soit tendancieuse, inexacte, partisane ou déloyale et qu'un laps de temps particulièrement long se soit écoulé pour obtenir un retrait.

Les demandes de déréférencement sont de plus en plus nombreuses où s'opposent le droit au déréférencement et liberté de l'information.

Les divergences d'application du droit à l'oubli au sein de l'Union

En France, deux frères, Stéphane et Pascal D., ont demandé que des articles les concernant, soient supprimés des archives électroniques du site Les Echos.fr.

Ce court article du journal Les Echos était titré : « Le Conseil d'État réduit la sanction des frères D. à un blâme »… « dans un arrêt du 13 juillet 2006, le Conseil d'État a substitué un blâme à la décision de retrait pour dix ans des cartes professionnelles de Pascal et Stéphane D. prononcée en avril 2003 par le Conseil des marchés financiers (CMF, ex-AMF) dans le dossier Mercury Capital Markets. La sanction de 60.000 euros a été maintenue. La juridiction d'appel a estimé que seule une partie des manquements qui avaient justifié les poursuites devant le CMF devait être retenue. L'AMF est condamnée à verser 2.000 euros à Pascal et à Stéphane D. au titre des dépens. »

Les deux frères ont assigné le journal Les Echos, en affirmant qu'ils avaient été « blanchis » et que l'article les empêchait de retrouver un emploi dans le milieu de la finance. La cour d'appel de Paris les a déboutés, en notant que « ni le titre ni l'article ne contenaient la moindre inexactitude », que les frères D. « n'ont d'ailleurs pas été blanchis comme ils le prétendent », la sanction qui les frappait ayant seulement été réduite, et que « leurs difficultés ne pouvaient être imputées à l'article même, mais à la lecture qu'en font les professionnels ».

Elle a jugé qu'imposer à un organe de presse de « supprimer, de l'information elle-même, le nom et prénom des personnes visées par la décision viderait l'article de tout intérêt mais aussi que d'en restreindre l'accès en modifiant le référencement habituel » excéderait les restrictions qui peuvent être apportées à la liberté de la presse.

Les deux frères se sont pourvus en cassation, en faisant valoir que l'exactitude d'un article ne pouvait être opposée au droit à l'oubli numérique. La Cour de cassation a validé l'arrêt d'appel au nom de la liberté de la presse en date du 12 mai 2016.

Mais si on prend une autre affaire on s'aperçoit qu'une interprétation différente de l'arrêt de la Cour de Justice de l'Union peut être faite.

En Belgique, le journal Le Soir a reçu une demande d'anonymisation d'un article paru en 1994, et réédité sous forme d'archive électronique en 2008. L'article relatait la manière dont un médecin, sous l'influence de l'alcool, avait provoqué un grave accident de la circulation ayant entraîné la mort de deux personnes en 1994. Il apparaissait lorsqu'on tapait le nom et le prénom du médecin sur un moteur de recherche. Le journal a refusé de l'anonymiser.

Le médecin a saisi la justice, en invoquant le « droit à l'oubli ». La cour d'appel de Liège a jugé que « ce droit à l'oubli est une partie intégrante du droit au respect de la vie privée, tel qu'il est consacré par l'article 8 de la convention européenne des droits de l'homme », et que sa protection peut justifier une ingérence dans le droit à la liberté d'expression, qui n'est pas absolu.

« Pour reconnaître un droit à l'oubli, il faut (…) qu'il n'existe pas d'intérêt contemporain à la divulgation, qu'il y ait absence d'intérêt historique des faits, qu'il y ait un certain laps de temps entre la première diffusion de l'article, peu importe son support, et la demande d'anonymisation, que la personne concernée n'ait pas de vie publique, qu'elle ait un intérêt à la resocialisation et qu'elle ait apuré sa dette », a-t-elle jugé.

En l'occurrence, elle observe que « le défendeur n'exerce aucune fonction publique, sa seule qualité de médecin ne justifie nullement le maintien, quelque vingt ans après les faits, de son identité dans l'article mis en ligne », ce maintien « lui créant un casier judiciaire virtuel ». Le 25 septembre 2014, elle a condamné le journal à anonymiser l'article.

Le journal Le Soir s'est pourvu en cassation. Il a contesté la thèse selon laquelle la numérisation des archives journalistiques équivaudrait à une nouvelle publication, donc à une redivulgation des faits judiciaires, contraire au droit à l'oubli. Il a affirmé que la modification du support de l'archivage, du papier aux microfilms, aux bandes magnétiques et à l'archivage numérique, n'entraîne pas de nouvelle divulgation. Il a invoqué le droit à la liberté d'expression, qui autorise un éditeur de presse à constituer des archives en ligne reproduisant fidèlement les articles publiés dans le passé, et à un lecteur de les lire.

La Cour de cassation ne l'a pas suivi. Elle a jugé que le litige relève du droit à l'oubli numérique, « qui vise la possibilité pour une personne de demander l'effacement des données mises en lignes qui la concernent » et qui a récemment été consacré par la Cour de justice de l'Union européenne, dans l'affaire Costeja contre Google.

Pour mémoire, la Cour de Justice a dit que toute personne peut exiger d'un moteur de recherche qu'il supprime certaines informations le concernant mises par des tiers. A la suite de quoi, Google a mis en ligne un formulaire de déréférencement, permettant aux internautes européens de demander la suppression de certains résultats les concernant.

La Cour de cassation belge a jugé qu' « en refusant, dans le contexte propre à la cause et sans motif raisonnable, d'accéder à la demande d'anonymisation de l'article litigieux », le journal Le Soir « a commis une faute ».

Le « droit à l'oubli » doit être précisé par la justice européenne

Certaines personnes, citées dans des articles, demandent en effet aux journaux qu'ils retirent leurs noms de la version en ligne. Aussi comme on l'a dit, il est plus juste de parler de droit au déréférencement que de droit à l'oubli, l'article pouvant continuer à être accessible par d'autres mots clés et la demande étant simplement de supprimer le lien qui rattache l'article à leur nom. Si Google refuse, en jugeant que les informations qui les concernent relèvent de l'intérêt général, elles saisissent la commission nationale informatique et libertés afin qu'elle ordonne ce déréférencement à Google.

La CNIL étant une autorité administrative ceux qui contestent ses décisions doivent saisir les juridictions administratives, et notamment la plus haute d'entre elles qu'est le Conseil d'État qui est l'équivalent, dans l'ordre administratif, de la Cour de cassation pour l'ordre judiciaire. C'est ainsi que quatre personnes ont demandé au Conseil d'État d'annuler, pour excès de pouvoir, les décisions, prises par la CNIL, de valider les refus que leur avait opposés Google à l'occasion de recherches faites à partir de leurs noms.

Le recours ces personnes devant le Conseil d'Etat pour faire annuler la décision de la CNIL a été l'occasion de saisir la CJUE pour qu'elle éclaircisse les contours réels du droit au déréférencement.

Une femme demandait la suppression d'un lien renvoyant à un photomontage satirique mis en ligne sur YouTube le 18 février 2011, la mettant en scène au côté du maire de la commune dont elle était directrice de cabinet, et évoquant de manière explicite la relation intime qui les lierait, ainsi que l'incidence de cette relation sur son parcours politique.

Un homme demandait le déréférencement d'un article de Libération du 9 septembre 2008 sur les manipulations mentales, et relatif au suicide d'une adepte de l'Église de scientologie en décembre 2006. La personne est mentionnée dans l'article en qualité de responsable des relations publiques de l'Église de scientologie.

Un troisième demandait le déréférencement d'articles relatifs à l'information judiciaire ouverte en juin 1995 sur le financement du Parti républicain, dans le cadre de laquelle il avait été mis en examen. La procédure le concernant a fait l'objet d'une ordonnance de non-lieu le 26 février 2010.

Un quatrième demandait le déréférencement de deux articles de Nice Matin et du Figaro rendant compte de l'audience correctionnelle au cours de laquelle il a été condamné à sept ans de prison pour des faits d'agressions sexuelles sur mineurs de quinze ans, et dix ans de suivi socio-judiciaire.

Les quatre personnes invoquaient l'arrêt Costeja du 13 mai 2014.

Le Conseil d'État, réuni en assemblée du contentieux qui est la plus haute formation de jugement de cette juridiction a examiné leurs requêtes, le 2 février 2017. Son rapporteur a considéré que l'arrêt Costeja n'était pas assez précis pour lui permettre de prendre des décisions et a proposé de demander à la Cour de justice de l'Union européenne le « mode d'emploi » du droit au déréférencement qui a vocation à être appliqué par l'ensemble des États-membres de l'Union.

Le Conseil d'Etat a suivi son avis, le 24 février 2017 et décidé de poser un certain nombre de questions à la Cour de Luxembourg.

Quelles sont les questions posées à la CJUE ?

Dans l'arrêt qu'il a rendu le Conseil d'État constate que les données faisant l'objet d'une demande de suppression relèvent de certaines catégories dont la directive européenne 95/46/CE régissant la protection des données personnelles, du 24 octobre 1995, interdit le traitement [6].

Son article 8-1 interdit en effet le traitement des données « qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale », ou qui sont relatives « à la santé et à la vie sexuelle ».

Son article 8-5 prévoit la même chose pour les « données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ».

?Mais son article 8-2 prévoit des exceptions, lorsque, notamment, la personne concernée a « donné son consentement explicite » ou qu'elle les a « manifestement rendues publiques ».?

Son article 9 prévoit des dérogations, afin de concilier le droit à la vie privée avec les règles régissant la liberté d'expression, lorsque les traitements sont effectués « aux seules fins du journalisme ou d'expression artistique ou littéraire. »

Le Conseil d'Etat a listé un certain nombre de questions essentielles pour délimiter les contours du droit à l'oubli.

Il demande si l'interdiction de principe (8-1 et 8-5) s'applique à l'exploitant d'un moteur de recherches ?

Si c'est le cas, celui-ci doit-il systématiquement accepter de déréférencer les liens vers les pages web qui traitent de ces données ?

Peut-il refuser une demande de déréférencement lorsqu'il constate que les liens mènent vers des pages concernées par les exceptions ci-dessus (article 8-2) ?

Peut-il refuser une demande de déréférencement, lorsque les liens mènent vers des traitements effectués « aux seules fins du journalisme ou d'expression artistique ou littéraire » (article 9) ?

Si l'interdiction de principe (8-1 et 8-5) ne s'applique pas à l'exploitant d'un moteur de recherches, à quelles exigences spécifiques celui-ci doit-il satisfaire ?

Quand il constate que des pages vers lesquelles le déréférencement est demandé contiennent des données illicites, doit-il les supprimer de la liste de résultats affichés à la suite d'une recherche faite à partir du nom du demandeur ?

Doit-il seulement prendre en compte cette circonstance pour examiner le bien-fondé de la demande ? Ou ne pas la prendre en compte ?

Comment apprécier le caractère licite ou illicite de données provenant de sites étrangers à l'Union européenne ?

L'exploitant du moteur de recherche doit-il accepter la demande de déréférencement si le demandeur établit que les données le concernant sont incomplètes ou inexactes ou qu'elles ne sont pas à jour ?

Plus spécifiquement, (comme dans la 3ème requête), que faire lorsque le demandeur montre que, compte tenu du déroulement de la procédure judiciaire, les informations ne correspondent pas à la réalité de sa situation (elles évoquent en effet sa mise en examen, mais pas le non-lieu) ?

La Cour de justice devra se prononcer sur toutes ces questions dans les prochains mois. Sa décision sera examinée attentivement tant par la CNIL et ses homologues européennes que par les services juridiques des moteurs de recherche et les internautes et sera interprétée comme un arbitrage entre droit à l'information et le droit à la vie privée entre droit à la protection des données personnelles et liberté d'expression.