Blog Données personnelles
Droit à l’oubli : le Conseil d’Etat publie sa grille d’analyse des plaintes et l’EDPB ses nouvelles lignes directrices
2019 aura été riche en actualité pour le droit à l’oubli. Après l’arbitrage de la Cour de justice de l’Union européenne en septembre dernier en faveur de Google limitant les effets du droit au déréférencement au territoire européen (voir notre précédent article sur le sujet), c’est au tour du Conseil d’Etat de nous gâter avec son « mode d’emploi du droit à l’oubli », tandis que l’EDPB révèle ses nouvelles lignes directrices.
C’est à l’occasion de 13 décisions du 6 décembre 2019 adoptées à la lumière d’un des arrêts de la Cour de justice de l’Union européenne le 24 septembre 2019, que le Conseil d’Etat a défini (sous la forme de fiches juridiques, fait assez rare pour être souligné) les grands principes devant présider à l’application du droit à l’oubli par les moteurs de recherche, qui n’est pas, rappelons-le, un droit absolu.
Le raisonnement repose sur une classification des données en 3 catégories de sensibilité (dans l’ordre : données non sensibles, données sensibles – au sens de l’article 9 du RGPD – et données relatives aux procédures pénales) censée aider à la mise en balance du droit au respect à la vie privée de la personne concernée d’une part, avec celui du public à la liberté d’information d’autre part, le tout sur la base de trois paramètres principaux portant sur :
(i) les caractéristiques des données en cause (nature, contenu, caractère plus ou moins objectif, exactitude, source, conditions de mise en ligne, répercussions du référencement pour l’intéressé) permettant d’apprécier la gravité de l’atteinte à la vie privée,
(ii) le rôle social du demandeur (notoriété, rôle dans la vie publique, fonction dans la société) permettant d’appréhender l’intérêt du public à accéder à l’information,
(iii) les conditions d’accès de l’information en cause, qui joue un rôle pondérateur (plus l’information est disponible par d’autres moyens, et moins le droit à la liberté d’information sera affectée ; si la personne concernée a elle-même rendu les informations publiques, l’atteinte à sa vie privée sera moins caractérisée).
Si l’appréciation de ces paramètres est assez souple en présence de données non sensibles, les consignes du Conseil d’Etat sont plus strictes s’agissant des deux autres classes de données pour tenir compte de l’ingérence particulièrement grave dans la vie privée de la personne concernée, conformément à la philosophie dégagée par la CJUE.
Ainsi, une demande de déréférencement de liens menant vers des données sensibles ne pourra être refusée que si l’accès à l’information litigieuse à partir d’une recherche portant sur le nom du demandeur est strictement nécessaire à l’information du public, sauf à ce que la personne ait manifestement rendu elle-même public les informations en question, auquel cas l’appréciation devra se faire comme s’il s’agissait de données non sensibles.
Enfin, si les données pénales doivent être traitées comme des données sensibles, le Conseil d’Etat est tout de même venu apporter une précision pour tenir compte du fait que si ces données peuvent être exactes à un instant t, elles peuvent également ne pas refléter les étapes ultérieures de la procédure pénale, ce qui peut forcément porter préjudice à la personne concernée. Aussi le Conseil d’Etat demande-t-il en tout état de cause aux moteurs de recherche d’aménager la liste des résultats afin de faire apparaître en premier au moins un lien menant vers une information à jour, dans l’intérêt tant du public que de la personne concernée.
C’est la première fois depuis le fameux arrêt « Costeja » (dont on n’oubliera décidemment pas de si tôt le nom) de 2014 de la CJUE, qu’une juridiction française fait un tel effort de pédagogie en produisant une grille d’analyse à l’attention des moteurs de recherche et de la CNIL.
Celle-ci vient compléter les critères dégagés à l’époque par le G29 et la CNIL, et qui seront bientôt enrichis par les nouvelles lignes directrices 5/2019 de l’EDPB sur le sujet, adoptées le 2 décembre dernier et actuellement soumises à la consultation du public jusqu’au 5 février 2020. Ces lignes directrices, qui n’apportent pas de grille de lecture claire et pratique (en se contentant même parfois de renvoyer vers les guidelines du G29 de 2014), présentent néanmoins l’intérêt de replacer le droit au déréférencement dans le contexte du RGPD, en apportant un éclairage sur les différents cas d’application de l’article 17 (droit à l’effacement) et ses exceptions, spécifiquement aux moteurs de recherche. A noter que l’EDPB n’aborde pas la question l’article 17(2) du RGPD (obligation du responsable de traitement qui a divulguer les données, d’informer les autres responsables de la demande d’effacement), qui fera l’objet de lignes directrices distinctes.