Le droit au déréférencement en questions

15 octobre 2019

Qui peut l’exercer ? Comment ? Quelles sont ses limites ? Que faire en cas de refus ? Quand s’adresser à la CNIL ?

Qu’est-ce que le déréférencement ?

Le déréférencement permet de faire supprimer un ou plusieurs résultats fournis par  un moteur de recherche à l’issue d’une requête effectuée à partir de l’identité (nom et prénom) d’une personne.

Cette suppression ne conduit pas à effacer l’information sur le site internet source : le contenu original reste inchangé et est toujours accessible, en utilisant d’autres critères de recherche ou en allant directement sur le site à l’origine de la diffusion. 

D’où vient le droit au déréférencement ?

Le droit au déréférencement a été créé par la Cour de justice de l’Union européenne (CJUE) en 2014. Elle avait jugé que le droit européen de la protection des données s’appliquait aux moteurs de recherche. Elle en avait déduit que toute personne peut demander aux sociétés exploitant un moteur de recherche de déréférencer des résultats en lien avec son identité, sous réserve de certaines conditions et notamment de l’intérêt du public à avoir accès à l’information.

Ce droit a été consacré par le Règlement général sur la protection des données, entré en application le 25 mai 2018.

La portée et les limites du droit au déréférencement ont ensuite été précisées par la CJUE dans deux nouvelles décisions du 24 septembre 2019, prises en réponse à la demande du Conseil d’Etat français. Ce dernier devra à son tour se prononcer, début 2020, pour tirer les conséquences de ces décisions de la CJUE. Les questions / réponses élaborées par la CNIL seront, le cas échéant, adaptées à la suite des arrêts à venir du Conseil d’Etat.

Comment exercer ce droit ?

Les internautes peuvent demander aux moteurs de recherche de déréférencer un résultat qui porterait atteinte à leur vie privée.

Pour cela, il faut remplir les formulaires disponibles en ligne sur les sites de moteurs ou leur écrire.

Afin que la demande soit prise en compte, il faut préciser l’adresse web (URL) du résultat faisant l’objet de leur demande (pour cela faire un clic droit sur le lien de résultat, et sélectionner "copier l'adresse du lien"). Il faut aussi indiquer les raisons motivant cette demande.

Consulter la fiche : le déréférencement d’un contenu dans un moteur de recherche

Le moteur de recherche doit-il toujours accepter le déréférencement ?

Non. Les moteurs de recherche ne sont pas toujours tenus d’accepter une demande de déréférencement. Il n’y a aucun caractère automatique.

En principe, les droits de la personne demandant un déréférencement prévalent sur l’intérêt économique du moteur de recherche.

Ce dernier doit cependant faire une appréciation au cas par cas pour déterminer s’il lui donnera une suite favorable ou si, au vu des circonstances, il  refusera le déréférencement demandé.

Cette appréciation consiste à trouver un équilibre, dans chaque cas, entre la protection de la vie privée et des données du demandeur, d’un côté, et le droit à l’information des internautes, de l’autre.

Cette mise en balance repose sur la prise en compte d’un certain nombre de critères, que la CJUE a précisés dans ses arrêts du 24 septembre.

Quels sont les critères permettant au moteur de recherche d’apprécier les demandes au cas par cas ?

L’appréciation s’effectue à partir des critères du droit au déréférencement fixés par la CJUE en 2014 et précisés en 2019.

Ces critères sont :

  • la notoriété de la personne concernée (joue-t-elle un rôle dans la vie publique ?) ;
  • l’âge de la personne concernée (est-elle mineure au moment de la publication ?) ;
  • la nature des informations référencées (sont-elles exactes ? À jour ? Pertinentes ? Excessives ?) ;
  • l’éventuel préjudice subi par la personne concernée (les informations référencées ont-elles un impact négatif sur sa vie privée ? Créent-elles un risque pour elle ?) ;
  • le contexte de la publication (les informations ont-elles été publiées par la personne elle-même ? Pouvait-elle raisonnablement s’attendre à ce qu’elles soient publiques ? Sont-elles publiées à des fins journalistiques ? Répondent-elles à une obligation légale ?).

Les nouveaux critères précisés en 2019 concernent plus particulièrement les résultats de recherche renvoyant à des contenus faisant apparaître des « données sensibles » (opinion politique, conviction religieuse, vie ou orientation sexuelle, origine raciale ou ethnique…) ou des infractions et des condamnations pénales concernant le demandeur.

Le droit au déréférencement est-il systématique si des « données sensibles » apparaissent ?

La CJUE a rappelé que, dans la balance entre protection de la vie privée du demandeur et liberté d’information des internautes, les données sensibles tiennent une place particulière. Elles touchent en effet à l’intimité de la vie privée de chacun et méritent, à ce titre, une protection spécifique.

La Cour considère donc que la présence de données sensibles dans un contenu indexé doit être prise en compte par le moteur de recherche pour évaluer les suites à donner à une demande de déréférencement.

La Cour précise toutefois que la protection particulière accordée aux données sensibles ne saurait être la même lorsque ces données ont manifestement été rendues publiques par l’intéressé.

Le droit au déréférencement est-il systématique si des infractions et condamnations pénales apparaissent ?

La CJUE a considéré que les résultats renvoyant à des données relatives à des infractions et condamnations pénales devaient, eux aussi, faire l’objet d’une attention propre.

Le traitement de ces données est en effet strictement encadré par les règles de protection des données.

La Cour a donc précisé les critères que doit prendre en compte un moteur de recherche pour traiter une demande de déréférencement portant sur ces données :

  • la nature et la gravité de l’infraction ;
  • le déroulement et l’issue de la procédure ;
  • le temps écoulé ;
  • le rôle joué par la personne dans la vie publique et son comportement dans le passé ;
  • l’intérêt du public au moment de la demande ;
  • le contenu et la forme de la publication ainsi que les répercussions de celle-ci pour la personne.

Quelle est la portée géographique du déréférencement ?

Tout d’abord, lorsqu’il y est fait droit, le déréférencement doit, par principe, être effectif sur toutes les déclinaisons européennes du moteur de recherche (c’est-à-dire, sur toutes les listes de résultats affichées à destination des personnes effectuant une recherche depuis le territoire de l’Union européenne). Concrètement, aucune recherche effectuée à partir du territoire européen sur la base de l’identité du demandeur ne doit pouvoir conduire au contenu déréférencé. Par exemple, les internautes italiens ne doivent pas pouvoir accéder au contenu déréférencé en effectuant une recherche sur la base de l’identité d’un demandeur français ayant obtenu le déréférencement.

En principe, le déréférencement n’est pas mondial, c’est-à-dire qu’il ne doit pas être mis en œuvre systématiquement sur l’ensemble du globe. Toutefois, la CJUE a reconnu aux autorités nationales comme la CNIL un pouvoir d’appréciation en la matière. Ainsi, à l’issue d’une mise en balance entre protection de la vie privée et des données du demandeur, d’un côté, et droit à la liberté d’information, de l’autre, la CNIL pourrait obliger un moteur de recherche à déréférencer un contenu accessible à partir de l’ensemble des versions du moteur de recherche et pas seulement au niveau européen (par exemple, une personne travaillant en France pour une entreprise américaine fait l’objet d’une campagne de dénigrement par un ancien collègue américain).

Que faire en cas de refus de la part du moteur de recherche ?

En cas de refus du moteur de recherche de procéder au déréférencement, les personnes concernées peuvent s'adresser à la CNIL  ou aux tribunaux (tribunal de grande instance de son domicile). Toutefois, contester un refus de déréférencement auprès de la CNIL ou d’un juge n’implique pas nécessairement d’obtenir satisfaction.

Adresser une plainte à la CNIL.

Quel rôle pour la CNIL ?

Les autorités de protection des données européennes ont souhaité encadrer très tôt la mise en œuvre de l’arrêt de 2014 en adoptant :

  • une grille de référence mise à disposition des moteurs de recherche ;
  • une liste de critères communs pour leur permettre d’examiner les plaintes qu’elles reçoivent à la suite d’un refus de déréférencement opposés par les moteurs de recherche.

Lorsqu’elle est saisie d’un refus de déréférencement, la CNIL vérifie ainsi si le résultat de recherche est toujours référencé, puis analyse les motifs avancés par le demandeur et les raisons du refus avancés par le moteur de recherche.

La CNIL effectue ensuite une mise en balance afin de déterminer si le résultat de recherche  en cause doit ou non, à ses yeux, être déréférencé.

Si la réponse est négative, la CNIL en informe la personne concernée.

Si la réponse est positive, la CNIL demande au moteur de recherche  de déréférencer le résultat concerné  en motivant sa demande. Si le moteur de recherche refuse une nouvelle fois de déréférencer, la CNIL peut alors utiliser l’ensemble de ses pouvoirs pour contraindre la société exploitant le moteur à le faire (mise en demeure, injonction sous astreinte). La CNIL peut, en fonction des situations, agir en coopération avec ses homologues européens sur ce type de dossiers.

Les mots clés associés à cet article