La protection des données personnelles est un sujet sensible face à la multiplication des supports de communication et la rapidité de circulation des informations.
La loi initiale dite "Informatique et Libertés" n° 78-17 du 6 janvier 1978 et qui a fait l'objet d'une modification récente (loi n° 2018-493 du 20 juin 2018) suite à l'adoption et à la transcription en droit interne française du R.G.P.D (Réglement sur la protection des données personnelles - Réglement n° 216-679) datant du 27 avril 2016 définit les données personnelles à l'article 4 comme " toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée») ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ".
Il s'agit notamment d'encadrer le traitement des données personnelles c'est-à-dire l'utilisation qui en est faite et de déterminer quelles sont les données qui présentent un caractère sensible (données concernant la sécurité ou la santé) de celles qui présentent un intérêt nécessitant leur libre circulation.
La liceité du traitement passe notammment par le consentement de la personne à l'utilisation de ses données la concernant ce qui implique que cette personne peut retirer à tout moment son consentement et demander l'effacement de ses données. C'est ce que l'on appelle le droit à l'oubli.
Le Conseil d'État a été saisi de cette question et a rendu plusieurs arrêts en date du 6 décembre 2019 où il rappelle que toute personne peut demander à un moteur de recherche d'être déréférencé ou, à défaut, saisir le juge judiciaire ou la Commission nationale Informatique et Libertés afin de contraindre l'exploitant d'un moteur de recherche à procéder au déréférencement.
En dernier lieu, le Conseil d'État peut lui même être saisi suite à un refus de la C.N.I.L afin de statuer si les données litigieuses doivent être effacées ou au contraire être laissées à la disposition du public et donc visibles sur l'Internet.
Pour cela, la Haute juridiction administrative fait une distinction entre, d'un coté, les données dites sensibles qui doivent justifier l'application du principe du droit à l'oubli et, d'un autre coté, les données qui ne présentent pas un caractère sensible et, pour lesquelles l'autorité de régulation comme la juridiction administrative peuvent faire prévaloir, selon les cas, le droit à l'information du public sur le droit à l'oubli corollaire du droit au respect de la vie privée.
Les données dites sensibles sont définies par l'article 6 de la loi de 1978 et l'article 9 du R.G.P.D :
" Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits ".
L'interdiction de leur exploitation et de leur utilisation souffre d'exceptions :
- Si la personne concernée a donné son consentement exprès (écrit, clair et explicite) ;
- Si ces données sont nécessaires dans un but médical ou pour la recherche dans le domaine de la santé ;
- Si leur utilisation est justifiée par l'intérêt public et autorisé par la CNIL ;
-Si elles concernent les membres adhérents d'une association ou d'une organisation politique, religieuse, philosophique, politique ou syndicale.
Concernant ces données dites sensibles, le Conseil d'État a rappelé que le droit au déréférencement doit prévaloir sur l'information du public y compris si ces données ont été mises à disposition du public par la personne qui en demande le retrait.
CE n° 395335 :
" 15. Il découle de ce qui a été dit ci-dessus que lorsque des liens mènent vers des pages web contenant des données à caractère personnel relevant des catégories particulières visées à l’article 8 paragraphe 1 de la directive 95/46/CE du 24 octobre 1995, abrogé et remplacé par l’article 9 du règlement général sur la protection des données du 27 avril 2016, l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée est susceptible d’être particulièrement grave en raison de la sensibilité de ces données. Il s’ensuit qu’il appartient en principe à la CNIL, saisie par une personne d’une demande tendant à ce qu’elle mette l’exploitant d’un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers des pages web, publiées par des tiers et contenant des données personnelles relevant de catégories particulières la concernant, de faire droit à cette demande. Il n’en va autrement que s’il apparaît, compte tenu du droit à la liberté d’information, que l’accès à une telle information à partir d’une recherche portant sur le nom de cette personne est strictement nécessaire à l’information du public. Pour apprécier s’il peut être légalement fait échec au droit au déréférencement au motif que l’accès à des données à caractère personnel relevant de catégories particulières à partir d’une recherche portant sur le nom de la personne concernée est strictement nécessaire à l’information du public, il incombe à la CNIL de tenir notamment compte, d’une part, de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d’avoir pour la personne concernée et, d’autre part, de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société. Il lui incombe également de prendre en compte la possibilité d’accéder aux mêmes informations à partir d’une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée.
16. Dans l’hypothèse particulière où les données litigieuses ont manifestement été rendues publiques par la personne qu’elles concernent, il appartient à la CNIL de procéder ainsi qu’il a été dit au point 11 ci-dessus afin d’apprécier s’il existe ou non un intérêt prépondérant du public de nature à faire obstacle au droit au déréférencement, une telle circonstance n’empêchant pas l’intéressé de faire valoir, à l’appui de sa demande de déréférencement, des « raisons tenant à sa situation particulière », ainsi que l’a relevé la Cour de justice de l’Union européenne dans son arrêt précité du 24 septembre 2019 ".
Au cas d'espèce, il a été rappelé, s'agissant d'une personnalité publique, que des informations relatives à sa vie extra-conjugale ne permettent pas d'entrer dans la catégorie du droit à l'information du public et ainsi doivent être effacées des pages web.
Il en va de même concernant un autre arrêt où un particulier, auteur d'ouvrages, demandait le déférencement de liens vers un site faisant état de son orientation sexuelle alors que ce dernier n'apparaissait plus comme exerçant une activité littéraire au travers de laquelle il était susceptible de pouvoir révéler des éléments de sa vie privée.
Par ailleurs, le Conseil d'État rattache à la notion de données sensibles, les données se rattachant à une procédure pénale ayant un caractère évolutif.
CE n° 401258 :
" Dans l’hypothèse particulière où le lien mène vers une page web faisant état d’une étape d’une procédure judiciaire ne correspondant plus à la situation judiciaire actuelle de la personne concernée mais qu’il apparaît, au terme de la mise en balance effectuée dans les conditions énoncées au point précédent, que le maintien de son référencement est strictement nécessaire à l’information du public, l’exploitant d’un moteur de recherche est tenu, au plus tard à l’occasion de la demande de déréférencement, d’aménager la liste de résultats de telle sorte que les liens litigieux soient précédés sur cette liste de résultats d’au moins un lien menant vers une ou des pages web comportant des informations à jour, afin que l’image qui en résulte reflète exactement la situation judiciaire actuelle de la personne concernée " .
En revanche, concernant le données qui ne relèvent pas de la catégorie des données dites "sensibles", le Conseil d'État considére que le droit à l'information peut prévaloir sur le droit à l'oubli en tenant compte néanmoins de certains critères que les juges apprécient à l'aune des trois conditions énoncées ci-après :
- la nature des données litigieuses, leur contenu, leur source ou leur exactitude ;
- la notoriété et le rôle public joué par la personne concernée par le traitement de ses données ;
- la facilité d'accès par le public aux données litigieuses c'est-à-dire par une recherche simple sans pour autant que ne figure dans les mots-clés le nom de l'intéressé.
Par ailleurs, à la différence des données sensibles, la personne intéressée par le traitement litigieux sera moins fondée à invoquer le droit à l'oubli et le droit au déférencement si elle a contribué, en amont, à rendre publique de son fait les données personnelles.
CE n° 405910 :
" Il découle de ce qui a été dit aux points précédents qu’il appartient en principe à la CNIL, saisie par une personne d’une demande tendant à ce qu’elle mette l’exploitant d’un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers des pages web publiées par des tiers et contenant des données personnelles ne relevant pas de catégories particulières la concernant, d’y faire droit. Toutefois, il revient à la CNIL d’apprécier, compte tenu du droit à la liberté d’information, s’il existe un intérêt prépondérant du public à avoir accès à une telle information à partir d’une recherche portant sur le nom de cette personne de nature à faire obstacle au droit au déréférencement. Pour procéder ainsi à une mise en balance entre le droit au respect de la vie privée et à la protection des données à caractère personnel et le droit à la liberté d’information et apprécier s’il peut être légalement fait échec au droit au déréférencement, il lui incombe de tenir notamment compte, d’une part, de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d’avoir pour la personne concernée et, d’autre part, de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société ".
