Droit à l'oubli : deux mois après, où en est-on ?

29/07/2014 9 Min. lecture Opinions François Charlet

Le 13 mai 2014, la Cour de justice d’Union européenne (CJUE) a rendu un arrêt en matière de droit à l’oubli sur Internet. Cet arrêt impose aux moteurs de recherche actifs en Europe d’effacer des données faisant nommément référence à une personne si elles sont obsolètes, non pertinentes ou inappropriées. Un mois après les premiers effacements et deux mois après la décision de justice, où en est-on ?

Évidemment, ceux pour qui la pilule a vraiment du mal à passer, ce sont les principaux concernés, à savoir les moteurs de recherche – Google en particulier vu son quasi-monopole dans le domaine. Alors que Microsoft a mis en place un formulaire pour demander les déréférencements en Europe, à l’instar de Google, ce dernier n’a pas mis les pieds contre le mur, comme on pouvait le penser. Bien au contraire, c’est tout l’inverse qui s’est produit.

Selon les derniers chiffres, 91'000 demandes ont été adressées à Google. Elles concernent environ 328'000 liens. Google a rejeté 30% des demandes, 15% sont encore en cours d’analyse. En résumé, Google a donné suite à plus de la moitié des demandes.

Alors que, sur le fond, la décision de la CJUE est une belle avancée pour la protection des données et de la sphère privée, elle a introduit une responsabilité énorme, et quasi malsaine : il revient aux moteurs de recherche d’être juges à la place des juges. Aux moteurs de recherche de décider, au cas par cas, si l’information répond aux conditions posées par la CJUE pour être supprimée des résultats de recherches européens. La Cour confirme donc qu’on peut avoir des autorités extrajudiciaires privées sur Internet.

Google avait annoncé vouloir prendre le temps nécessaire pour analyser l’arrêt. Comme la CJUE ne faisait que donner son interprétation du droit européen à la justice espagnole qui l’avait demandée, Google pouvait attendre le verdict de la justice espagnole pour combattre l’interprétation du droit européen. Mais la firme de Mountain View a décidé de faire du zèle : elle a mis en place son formulaire, et a commencé à communiquer sur le nombre de requêtes soumises, traitées, admises, etc.

Cependant, Google veut montrer que la décision est absurde. Tout d’abord, ses dirigeants ont rappelé qu’il suffit d’utiliser une version non européenne du moteur de recherche pour retrouver tous les résultats qui ont été retirés en Europe. Puis, l’entreprise s’est lancée dans un exercice de censure, s’abritant derrière la décision de la CJUE pour justifier les retraits. Ceux-ci sont communiqués aux sites concernés, mais ne mentionnent pas le nom de la personne demanderesse, ni le motif du retrait : Google annonce le déréférencement de la page, et c’est tout. A l’inverse, Bing annonce que “les informations indiquées dans ce formulaire peuvent être partagées avec des tierces personnes concernées par votre demande, y compris les éditeurs des sites où figure le contenu que nous avons décidé de supprimer suite à votre demande et les autorités et autres organismes publics chargés de la protection des données”.

La CJUE nous laisse la responsabilité de décider si oui ou non, ce résultat doit être retiré, en fonction de critères extrêmement vagues et imprécis pouvant être interprétés très largement. On nous laisse le choix de décider si une information est obsolète, inappropriée ou non pertinente. C’est une erreur et nous allons le montrer. Nous allons improviser, et voir ce que ça donne.

Voilà, en substance, le message que veut faire passer Google. Sauf que si l’on peut critiquer la décision de la Cour, Google s’amuse avec la censure, la liberté d’information et la protection des données. Cette attitude est à mon sens plutôt alarmante et démontre, s’il en est besoin, que Google ne se préoccupe pas vraiment de la vie privée.

Seulement, tout cela n’est qu’un message. Google roule les mécaniques, donne l’impression qu’il censure à tout va, mais c’est n’est qu’un exercice de communication, savamment orchestré.

En effet, après analyse de la CNIL (Commission nationale de l’informatique et des libertés, en France) notamment, c’est seulement l’association du nom de la personne ayant demandé le déréférencement avec la page web en question qui est supprimée des résultats du moteur de recherche. Donc, il suffit de taper la requête différemment dans le moteur de recherche – version européenne – pour faire réapparaitre la page désindexée.

Et quand on lit la presse au sujet des demandes qui ont été adressées à Google, ce dernier ne communique que sur des cas où des individus qui ont fait des choses peu avouables dans le passé souhaitent utiliser le droit à l’oubli pour blanchir leur CV.

Un pur exercice de communication, donc. Mais il fonctionne. Et il a le mérite de mettre en exergue ce problème de la responsabilité qui pèse sur les moteurs de recherche. D’ailleurs, plusieurs pages web retirées (au sujet desquelles Google avait fait du bruit) ont été réintroduites, Google invoquant des erreurs de sa part.

Mais un début de réponse “politique” se précise. Google devant agir dans le brouillard, et traiter des données, informations et pages web sans connaitre tout le contexte et sans avoir toutes les données en main pour soupeser les demandes, il faut essayer de trouver un équilibre. Si l’on souhaite vraiment responsabiliser les moteurs de recherche, ou en attendant qu’on corrige ce biais, il faut leur donner des guides, et poser des barrières.

Le 24 juillet, les différentes autorités européennes de protection des données (G29, pour Groupe 29) se sont réunies avec les moteurs de recherche. L’objectif est d’élaborer des lignes directrices afin de traiter les plaintes de personnes qui peuvent saisir ces autorités en cas de refus des moteurs de recherche à leur demande de déréférencement. Car Google agace beaucoup avec son attitude. Et le fait que le droit à l’oubli ne s’applique que sur les version européennes des moteurs de recherche rend quasiment inefficace la décision de la Cour.

Ces lignes directrices sont attendues à l’automne 2014. Sur le principe, le droit à l’oubli est une bonne chose si Internet n’a pas réellement cette “faculté d’oublier”. Mais les modalités d’application actuelles doivent être précisées pour que cet outil visant à protéger la vie privée ne devienne pas un outil de censure, un outil qui écorne la liberté d’information, voire qui permet de réécrire l’histoire.

Il n’a pas été créé dans ce but, il faudrait donc éviter qu’il y parvienne. Mais sans le dénier de son sens. Et sans ouvrir d’autres boîtes de Pandore. Un beau challenge.

Bonus

Les questions posées par le G29 et auxquelles Google doit répondre. (Source)

What information do you request from a data subject prior to considering a delisting request e.g. URLs, justification? Do you ask further motivation from the data subjects to substantiate their request?
Do you filter out some requests based on the location, nationality, or place of residence of the data subject? If so, what is the legal basis for excluding such requests?
Do you delist results displayed following a search:
Only on EU / EEA domains?
On all domains pages accessible from the EU / EEA or by EU/EEA residents?
On all domains on a global basis?
What criteria do you use to balance your economic interest and/or the interest of the general public in having access to that information versus the right of the data subject to have search results delisted?
What explanations / grounds do you provide to data subjects to justify a refusal to delist certain URLs?
Do you notify website publishers of delisting? In that case, which legal basis do you have to notify website publishers?
Do you provide proper information about the delisting process on an easily accessible webpage? Have you developed a help center explaining how to submit a delisting claim?
Can data subjects request delisting only using the electronic form that you provide, or can other means be used?
Can data subjects request delisting in their own language?
If you filter out some requests based on the location, nationality, or place of residence, what kind of information must be provided by the data subject in order to prove his nationality and / or place of residence?
Do you ask for a proof of identify or some other form of authentication and if yes, what kind? For what reason? What safeguards do you put in place to protect any personal data that you process for the purpose of processing delisting requests?
Do you accept general claims for delisting (e.g. delist all search results linking to a news report)?
When you decide to accept a delisting request, what information do you actually delist? Do you ever permanently delist hyperlinks in response to a removal request, as opposed to delisting?
Do you delist search results based only on the name of the data subject or also in combination of the name with another search term (i.e. Costeja and La Vanguardia)
How do you treat removal requests with regard to hyperlinks to pages that do not (no longer) contain the name of the data subject? [Examples: hyperlink to anonymised ruling, hyperlink to page where name of data subject was removed]. Do you immediately recrawl the sites after a removal request?
Does your company refuse requests when the data subject was the author of the information he/she posted himself/herself on the web? If so, what is the basis for refusing such requests?
Do you have any automated process defining if a request is accepted or refused?
What technical solution do you use to ensure that links to material to which a removal agreement applies are not shown in the search results?
Which of your services do you consider delisting requests to be relevant to?
Do you notify users through the search results’ page information that some results have been removed according to EU law? In that case, which is the legal basis for this? What is the exact policy? In particular, it appears that this notice is sometimes displayed even in the absence of removal requests by data subjects. Can you confirm or exclude that this is actually the case and, if so, could you elaborate on the applicable criteria?
Have you considered sharing delisted search results with other search engines providers?
What is the average time to process the requests?
What statistics can you share at this stage (percentage of requests accepted / partially accepted / refused)? How many have you answered in total? How many per day?
Will you create a database of all removal requests or removal agreements?
What particular problems have you faced when implementing the Court’s ruling? Are there particular categories of requests that pose specific problems?
Could you please provide us with contact details in case we need to exchange on a specific case?