“Le numérique n’a pas d’oubli naturel: il retient tout” (Judith Rochfeld, Droit à “l’oubli numérique” et construction de soi). La question du développement du droit à l’oubli numérique est devenu centrale depuis sa consécration par la Cour de Justice de l’Union Européenne (“CJUE”). Le droit à l’oubli numérique permet aux utilisateurs de demander la suppression ou le déréférencement de leurs données personnelles sur internet, soit sur le site d’origine ou par les moteurs de recherches. Ce droit fut reconnu au niveau européen dans l’arrêt de la CJUE du 13 mai 2014 “Google Spain c/ AEPD et Mario Costeja Gonzales”.

En l’espèce, M. Costa Gonzales avait introduit des réclamations auprès de l’Agencia Española de Protección de Datos (“l’Agence Espagnole de Protection des Données”) à l’encontre d’un journal espagnole et à l’encontre de Google Spain et Google, Inc. Les réclamations portaient sur les liens de recherche et la publication d’une annonce d’un quotidien, de la vente aux enchères immobilière liée à une saisie de recouvrement des dettes dont avait fait l’objet M. Costeja seize années auparavant. L’AEPD avait rejeté la demande envers le site d’origine de l’information mais avait accueilli la réclamation à l’encontre de Google Spain et Google Inc. Ces derniers ont introduit un recours auprès de la juridiction supérieure espagnole “Audiencia National”, qui à son tour interrogea la Cour de Justice de l’Union Européenne, en lui soumettant une série de questions préjudicielles, notamment sur la question de déréférencement.

Cette décision marque la première reconnaissance au niveau européen d’un droit à l’oubli numérique. Elle a eu pour conséquence, d’imposer à Google d’assurer le déréférencement à la demande d’utilisateurs sur l’ensemble de leurs domaines européens. Cette décision a suscité de nombreux débats aux Etat-Unis, divisant la doctrine sur la question de la reconnaissance d’un droit à l’oubli numérique en droit américain.

Le développement d’internet a été marqué par une prolifération et une permanence de l’information. Ceci a entrainé une perte de contrôle par les internautes sur l’utilisation et la durabilité de leurs données personnelles, qui circulent indéfiniment sur la Toile. Un écart s’est creusé entre les Etats-Unis et l’Europe qui imposent une réglementation du traitement des données personnelles à des degrés différent.

La reconnaissance d'un droit à l’oubli numérique au niveau européen invite à s’interroger sur les divergences fondamentales qui existent entre ces deux régimes juridiques dans l’équilibre entre l’intérêt de protéger le droit à la vie privée et la liberté d’expression. En effet, l’Europe a historiquement toujours valorisé le respect du droit à la vie privé, à l’insu de la liberté d’expression. Cependant le caractère quasi absolue du Premier Amendment aux Etats-Unis rend difficile l’application d’un tel droit aux Etats-Unis.

Dans quelle mesure un droit à l’oubli numérique a été reconnu en Europe et aux Etats-Unis?

Le droit à l’oubli numérique fait l’objet de divergence de reconnaissance, notamment en raison d’un rapport différent entre les juridictions européennes et américaines de l’équilibre du droit au respect de la vie privée et la liberté d’expression (I). Cependant ce droit semble se développer et faire l’objet d’une reconnaissance en droit américain (II)

I. Une divergence de reconnaissance du droit à l’oubli: l’équilibre du respect de la vie privée et la liberté d’expression

    La décision de la CJUE dans l’arrêt Google Spain c/ l’AEPD a consacré pour la première fois à l’échelle européenne la reconnaissance d’un droit à l’oubli. Il s’agissait essentiellement d’un droit au déréférencement par les moteurs de recherches. Cependant cette décision a provoqué beaucoup de controverses en Europe et aux Etats-Unis. La CJUE a largement justifié ce droit en se fondant sur le respect du droit à la vie privé. Elle est notamment représentative des divergences qui existent avec le droit américain qui fait systématiquement prévaloir la liberté d’expression et limite la reconnaissance d’un droit au déréférencement.

A. L’arrêt Google Spain: la reconnaissance d’un droit au déréférencement en Europe

    Le droit à l’oubli numérique consacré par la CJUE dans son arrêt Google Spain n’est en réalité qu’un droit au déréférencement, mais marque tout de même l’introduction de la reconnaissance d’un droit à l’oubli numérique. La Cour de Justice s’est fondée sur la Directive 95/46/CE sur la protection des données personnelles, pour reconnaitre ce droit. En effet l’article 12 de la directive, concernant le droit d’accès, impose aux Etats Membres de garantir à toutes personnes concernées d’obtenir du responsable du traitement “la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexactes des données”.

En déterminant la responsabilité du moteur de recherche en tant qu’outil de référencement de l’information, la cour a pondéré les droits et intérêts opposés. Il s’agit de trouver un juste équilibre entre le droit au respect de la vie privée, prévu aux articles 7 et 8 de la Charte des Droits Fondamentaux de l’Union Européenne et l’interêt des internautes d’avoir accès à l’information. Il convient de rappeler que l’AEPD n’avait pas donné suite à la réclamation envers le journal qui avait publié l’information. En effet ce dernier bénéficiait des dérogations prévu à l’article 9, qui autorise “les traitements de données à caractère personnel effectués aux seules fins de journalisme”. Cependant cette responsabilité de déréférencement pèse sur le moteur de recherche, responsable du traitement des données personnelles. La cour retient dans son analyse de l’équilibre des intérêts, qu’en facilitant l’accès à l’information, il représente un plus grand risque d’ingérence, qui ne serait justifié par un intérêt économique. L’aspect temporel de l’information est aussi pris en considération, notamment de part la continuité de l’information sur internet, certaines informations courent le risque d’être devenues impertinentes. Cette décision de la CJUE marque la valeur du droit au respect de la vie privée, qui a été centrale dans la reconnaissance du droit à l’oubli. Cependant dans un soucis de conformité avec le droit européen, les moteurs de recherches seraient enclins à déréférencer plus d’informations que nécessaire. La CNIL a publié une liste de critères à prendre en compte dans l’examen des plaintes. Entre autre, sont pris en compte, l’âge du plaignant, la pertinence des données, le contexte de l’information, la porté de l’information, s’il s’agit d’une personne publique ou privé etc. Bien que certains de ce critères soient objectifs, d’autres imposent au moteurs de recherches d’interpréter l’information au regard de ces critères. Cette marge de manoeuvre livrée aux moteurs de recherches, pourrait aisément résulter en un déréférencement excessif et porter atteinte au droit à l’information

B. Le caractère quasi absolu du premier amendment, un barrage à la reconnaissance du droit à l’oubli numérique aux Etats-Unis

    Cette décision de la CJUE a suscité énormément de débats aux Etats-Unis. En effet, à l’opposé du spectre, les Etats-Unis accordent une valeur quasi absolue au Premier Amendement, qui garantie la liberté d’expression. Alors que le droit à l’oubli numérique n’a pas été reconnu par les tribunaux, il y a néanmoins des décisions qui analysent la question de l’équilibre entre le droit au respect de la vie privée et la liberté d’expression. Le droit à l’oubli numérique marque “la volonté de chacun de contrôler les informations personnelles le concernant, captées et livrées sur les réseaux numériques, mais également une revendication de réversibilité de son identité, de reconnaissance du caractère évolutif de cette dernière” (Judith Rochfeld, Droit à “l’oubli numérique” et construction de soi). Ce droit de contrôle sur ses informations personnelles, et l’acceptation du caractère évolutif de la personnalité avait été reconnu dans l’arrêt Melvin v. Reid (1931) de la Cour d’Appel de Californie. En l’espèce, les défendeurs s’étaient inspirés de la vie d’une prostitué qui avait été accusée puis acquittée d’un meurtre en 1918 pour leur film “Red Kimono”, et ce en utilisant le nom de la demanderesse. La cour avait reconnu que la demanderesse avait un droit au respect de la vie privée et notamment de sa vie réformée. Dans une décision un peu plus récente, Briscoe v. Reader’s Digest (1971), le journal avait publié un article mentionnant l’implication de Briscoe dans un vol de voiture. Cependant le journal avait omis de préciser que les faits dataient d’onze années auparavant. La cour avait reconnu un droit au respect de la vie privée dans ces circonstances car il n’était pas pertinent dans les faits de publier aussi le nom de Briscoe. La cour a néanmoins rappelé que dans certaines circonstances le droit de la presse prévaut, notamment lorsque l’information est “newsworthy” (qui vaut la peine d’être publié). Ce critère large est souvent utilisé pour justifier la primauté de la liberté d’expression sur le droit au respect de la vie privé. Par exemple, sur la base du critère de “newsworthiness” la publication d’informations privées sera protégée en vertu d’un droit à l’information et la liberté d’expression au détriment du droit à la vie privée. La liberté d’expression et la liberté de la presse aux Etats-Unis l’emportent souvent à l’instar du droit au respect de la vie privée. Ce n’est qu’en vertu des droits d’auteurs que certaines sociétés et individus ont réussi à invoquer dans une certaine mesure un droit à l’oubli. Le copyright américain est accordé aux oeuvres originales, ce qui inclus les oeuvres littéraires, musicales, photographiques, audiovisuelle, architecturales. Le droit d’auteur a permis à plusieurs individus d’exiger le retrait de photos qui avaient été publiées à leur insu. Le droit d’auteur connait néanmoins des limites, notamment en invoquant le “fair use”, soit un “usage raisonnable”. Cette défense prend en compte l’intérêt du bénéficiaire des droits d’auteurs, et l’intérêt du public d’avoir accès à l’oeuvre. Cependant le droit d’auteur ne permet que le retrait d’oeuvres publiées sans l’autorisation de l’auteur, mais ne comprend pas un droit à l’oubli de la publication d’informations personnelles, ainsi accordant un droit à l’oubli très limité.

II. Vers une extension du droit à l’oubli sur les responsables de traitement des données aux Etats-Unis

    Le Règlement Général 2016/679 sur la protection des données à caractère personnel, qui viendra remplacer la directive 95/46/CE consacre le droit à l’oubli numérique, et notamment le droit à l’effacement. Ce droit à l’oubli numérique sera sans doute applicable aux sociétés américaines qui voudront transférer les données personnelles de citoyens européens vers les Etats-Unis. Ceci pourrait encourager les Etats américains à adopter le droit à l’oubli.

A. Le règlement général sur le protection des données à caractère personnel: la reconnaissance d’un veritable droit à l’effacement

    Le droit à l’oubli numérique est défini à l’article 17 du Règlement Général sur la protection des données à caractère personnel. L’article 17 dispose que “la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais”. Le règlement énonce plusieurs motifs pour bénéficier de l’effacement de ses données personnelles, notamment le fait que les données ne soient plus nécessaire au regard des finalités pour lesquelles elles ont été collectées; le consentement initial a été retiré; l’exercice du droit d’opposition, le traitement des données est non conforme au règlement. Le règlement prévoit néanmoins des exceptions à ce droit  d’effacement des données, notamment lorsque la conservation des données est nécessaire à l’exercice du droit à la liberté d’expression; pour des motifs d’intérêts général; à des fins de recherche historique, statistique ou scientifique et lorsqu’il est nécessaire au respect d’une obligation légale. Le règlement vient en effet étendre le droit à l’oubli d’un simple droit au déréférencement tel que reconnu par la CJUE à un réel droit à l’effacement des données. Dès lors, la doctrine a émis de nombreuses critiques, notamment sur le risque de censure que pourrait représenter le droit à l’oubli numérique. Malgré l’exception portant sur l’exercice du droit à la liberté d’expression, il sera du ressort des juridictions nationales d’en délimiter l’application. D’autres critiques portent sur la définition considérée large de données personnelles, qui inclue “toute information se rapportant à une personne physique identifiée ou identifiable (…), directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale”. La doctrine émet des reserves quant à l’application concrète de ce droit sur les responsables de traitement des données personnelles, qui pourraient avoir tendance, dans un soucis de respect du droit, à appliquer ce droit à l’oubli numérique à des données qui n’en font pas l’objet. Le règlement, applicable à partir du 25 mai 2018 fera sans doute l’objet de nombreux contentieux, afin de pouvoir délimiter l’application du droit à l’oubli numérique.

B. Vers une reconnaissance - le cadre juridique permet-il de reconnaitre un tel droit?

    Les Etats-Unis ont une protection sectorielle des données personnelles. La réglementation se fait à la fois au niveau de l’Etat fédéral et au niveau des Etats fédérés. Au niveau fédéral, l’administration Obama avait tenté de faire un pas vers plus de réglementation de l’usage des données personnelles par les fournisseurs d’accès à internet. En effet, en partenariat avec la “Federal Communications Commission” (“Commission Fédérale des Communications”), l’administration Obama avait adopté une loi sur la protection des données personnelles, qui aurait imposé aux fournisseurs plus de transparence quant au traitement de données à caractère personnel et aurait soumis le traitement des données à une autorisation préalable des utilisateurs. Cette loi marquait un pas en avant vers une protection des données personnelles telle que garantie au niveau européen. Cependant elle fut abrogée le 3 avril dernier, avant même son entrée en vigueur, au motif qu’elle imposerait plus de restrictions sur les fournisseurs d’accès à internet sans réglementer les sites internets.

Malgré une tendance à la déréglementation de la protection des données personnelles au niveau fédéral, il apparait une tendance à la reconnaissance d’un droit à l’oubli au niveau de certains états. Une loi californienne de janvier 2015, surnommée “Eraser Button” (“bouton d’effacement), prévoit à l’article 22581 (a) (1) que l’opérateur d’un site internet, d’un service sur internet, d’une application sur internet ou mobile s’adressant à des mineurs ou qui est au courant qu’un moteur utilise sa plate-forme doit permettre au mineur, en tant qu’utilisateur enregistré du service concerné, d’enlever ou demander et obtenir l’effacement du contenu ou de l’information postée par cet utilisateur. Dès lors, la Californie a reconnu un droit à l’oubli numérique mais qui ne s’applique qu’aux mineurs. En mars 2017 le sénateur new yorkais Tony Avella et le parlementaire David Weprin ont introduit un projet de loi afin permettre aux internautes de bénéficier du droit de déréférencement sur les moteurs de recherche, d’informations qui seraient “fausses”, “sans importance”, “inadéquates” ou “excessives”, “qui ne représentent plus d’interêt public” et qui portent atteinte à l’internaute. Cependant le projet de loi risque fortement d’être rejeté, notamment au regard de la liberté d’expression et de la presse. Contrairement au droit européen qui favorise une réglementation par le haut, le droit américain favorise un réglementation par le bas. En l’occurence, le Premier Amendment interdit au gouvernement de réglementer la liberté d’expression. Il conviendrait dès lors que la jurisprudence évolue vers plus de réglementation des données à caractère personnel.

Cependant il conviendra tout de même de s’interroger sur l’effet que le règlement général sur la protection des données à caractère personnel pourrait avoir sur le droit américain. Le transfert de données à caractère personnel d’Europe vers des sociétés américaines fait d’ores et deja l’objet d’une décision d’adéquation, le Privacy Shield, afin de garantir une protection équivalente de ces données par les sociétés américaines. Le Règlement 2016/679 prévoit à l’article 45, que le transfert vers les pays tiers doit assurer un niveau de protection adéquat. Dès lors les sociétés américaines qui souhaiteront bénéficier du transfert de données à caractère personnel seront sous l’obligation de reconnaitre se droit à l’oubli aux utilisateurs européen. Ceci pourrait influencer les Etats-Unis à reconnaitre ce droit au niveau national ou du moins un droit au déréférencement.

Bibliographie:

Ouvrages:

Jean-Michel Bruguière, L’entreprise à l'épreuve du droit de l’Internet ed. Dalloz
Blandine Mallet-Bricout / Thierry Favario,  L'identité, un singulier au pluriel ed. Dalloz

Textes Juridiques:

Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données
RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEILrelatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données,

Décisions CJUE:

- Arrêt de la Cour (grande chambre) du 13 mai 2014, Google Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et Mario Costeja González.

Décisions américaines:

Melvin v. Reid, Court of Appeal of California, Fourth District.·112 Cal.App. 285 (Cal. Ct. App. 1931)
Sidis v. FR Pub. Corporation, 113 F.2d 806 (2d Cir. 1940)

Articles:

Giovanna Giampa , “Americans Have a Right to Be Forgotten”
Le droit à l'oubli numérique – Ioana Gheorghe-Bădescu – Rev. UE 2017. 153
Bunny Sandefur, The best practice or forgetting, 30 Emory Int'l L. Rev. 85
Edward Lee, The Right to be Forgotten v. Free Speech, 12 I/S: J. L. & Pol'y for Info. Soc'y 85
Aidan Forde, Implications of the right to be forgotten, 18 Tul. J. Tech. & Intell. Prop. 83

Sites internet:

cnil.fr
eur-lex.europa.eu
westlaw.com
dalloz.fr