Droit à l'oubli et Google : implications et exemples

Il y a trois semaines, la Cour de justice de l’Union européenne (CJUE) décidait que les moteurs de recherche doivent supprimer de leurs résultats les données personnelles d’utilisateurs devenues non pertinentes (notamment en raison de l’écoulement du temps) si les utilisateurs en font directement la demande, et même si ces données ont été légalement publiées. Retour sur les implications de la décision, exemples concrets et commentaire.

Implications

Rappel (en préambule)

La CJUE n’a pas ordonné à Google de supprimer les données concernant la personne qui a porté l’affaire devant les tribunaux. Cette décision reviendra à la justice espagnole.

Elle n’a pas non plus ordonné au quotidien espagnol à la source des informations qui ont été indexées par Google de supprimer ces données ou de les rendre inaccessibles.

La CJUE n’a consacré qu’un principe: celui du droit à l’oubli pour les particuliers.

La CJUE désavoue son avocat général

En juin 2013, j’avais rapporté sur ce blog les conclusions de l’avocat général dans cette affaire. J’écrivais alors que

Comme la directive européenne sur la protection des données à caractère personnel n’établit pas de droit à l’oubli, on ne peut invoquer un tel droit contre un moteur de recherche (notamment). Les droits d’effacement ou de rectification prévus par la directive ne concernent que les cas où le traitement ne satisfait pas aux dispositions de la directive, par exemple si les données sont incomplètes ou inexactes. […] Il serait inadmissible qu’un particulier puisse demander à supprimer des contenus juridiquement justifiés et entrés dans la sphère publique sous prétexte qu’ils portent atteinte à ses intérêts quand on recherche des informations sur lui.

Je pensais que la CJUE suivrait cet avis et que le Parlement européen viendrait la contredire au moyen de la réforme du droit de la protection des données qui est en cours. Mais contre toute attente, la CJUE a désavoué l’avocat général.

Les condamnations pleuvent

Suite à la décision, les réactions ont évidemment été contrastées, allant de la satisfaction pour les autorités et organismes de protection des données, à la moue déconfite pour ceux dont l’information est le business. Alors que les premiers se réjouissent de la possibilité d’effacer des moteurs de recherche des données concernant par exemple une procédure pénale pour un délit ou un crime pour lequel on a été acquitté, les autres crient à la censure et blâment le fait que désormais les internautes ont la possibilité de se construire une biographie sans mauvais côtés.

Google, le principal concerné, a évidemment déclaré que cette décision portait atteinte au droit fondamental à l’information et à l’expression. Notez comme Google se réfugie derrière les droits fondamentaux des internautes pour justifier son modèle économique basé sur l’exploitation de nos données personnelles. A-t-il oublié que la vie privée et la protection des données sont aussi des droits fondamentaux ?

Du côté de Wikipédia, on estime que la CJUE vient de légaliser une forme sans précédent de censure du Web.

Quant à RSF (Reporters Sans Frontières), il n’est pas en reste et blâme également cette décision qui serait dangereuse pour la liberté de l’information.

Et il y en a une multitude d’autres dont l’énumération serait laborieuse et inutile.

Risque d’abus? Oui

Le risque d’abus par les internautes est conséquent, mais il ne devrait se limiter qu’à des tentatives. C’est ce qu’il se passerait actuellement: Google aurait reçu 12'000 demandes en deux jours dès le lancement du formulaire de retrait. Dans le lot, il y a certainement des demandes abusives, des tentatives de concurrence déloyale, de vengeance personnelle, voire de censure.

Et il est à prévoir que de nombreux internautes vont se précipiter sur cet outil pour demander d’effacer tout et n’importe quoi les concernant dans les résultats du moteur de recherche, y compris des photos ou déclarations non assumées et publiées quelques jours auparavant. Il leur suffirait de les signaler comme non pertinentes.

Google aura l’obligation d’analyser toutes ces demandes. Le travail sera énorme et difficile pour l’entreprise californienne, d’autant qu’il y a la menace d’être trainé devant les tribunaux si Google ne traite pas une demande, la rejette alors qu’elle est fondée, etc.

mais soyons réalistes

Malgré ces risques d’abus, on peut sérieusement douter que toutes ces demandes répondent aux conditions posées par la CJUE. En effet, les données doivent être inadéquates, pas ou plus pertinentes ou excessives. La Cour a rejeté toute systématique dans cette possibilité offerte aux internautes, rappelant qu’il faut mettre en balance la liberté d’information et d’expression ainsi que le droit à la vie privée.

De plus, il est très improbable que les internautes dont les demandes sont refusées décident de porter l’affaire devant un tribunal ou une autorité nationale de protection des données pour qu’ils reconnaissent (ou non) le bienfondé de la demande.

Enfin, il suffit de jeter un œil au formulaire de demande de suppression pour se rendre compte que la quantité d’informations demandée par Google devrait décourager ceux qui n’auraient pas un réel intérêt personnel. Une copie d’une carte d’identité est notamment requise (ce qui poserait problème aux Allemands puisque cela ne leur est pas permis) et il faut fournir les adresses à retirer. Pour une critique du formulaire, voir cet excellent article, en anglais.

Neutralité des moteurs de recherche mise à mal?

Un point “problématique” de la décision concerne la neutralité des moteurs de recherche (comme Google, Bing ou Yahoo), car elle transforme les moteurs de recherche en censeurs privés du Web mondial.

À cause du risque (théorique) d’être reconnu responsable et à cause de l’incertitude juridique créée par la CJUE, on peut craindre que les moteurs de recherche préfèrent retirer des contenus de leurs résultats alors même qu’ils sont légitimes et pertinents. On pourrait faire face à un “chilling effect” semblable à ce qui se passe pour les demandes de retrait de résultats de recherche pointant vers des sites de contrefaçons et lésant le droit d’auteur.

Cependant, on ne peut vraiment pas considérer que les moteurs de recherche aient été et soient neutres puisqu’ils appartiennent à des sociétés dont le but est de satisfaire des actionnaires, pas d’exploiter un service public. De plus, le fait qu’ils retirent des liens violant la propriété intellectuelle ne permet pas non plus de les considérer comme tels.

La liberté d’information n’est pas en danger

RSF (Reporters Sans Frontières) a condamné le jugement.

Cette décision ouvre pour chacun la possibilité de retirer des pages accessibles par les moteurs de recherche toute information à son propos qui lui déplaît. Désormais, chaque individu, même lorsqu’il a fait l’objet d’une citation de presse légitime et légale, serait en mesure d’exiger que n’apparaissent que les informations qui lui conviennent et donc de se façonner une image numérique non conforme aux informations publiées. Ce droit ne sera-t-il pas élargi aux personnes morales, nous faisant basculer dans un monde d’information totalement maîtrisée?

Il faut bien comprendre que la CJUE n’a pas ordonné à la personne à la source de l’information (en l’occurrence, un quotidien espagnol) de la supprimer. Elle n’a pas non plus ouvert la porte à tous les internautes de demander le retrait de données à leur sujet. Elle a seulement exigé que Google retire des données de son moteur de recherche dans certains cas bien précis. Les données sources sont toujours là, quelque part. La décision de la CJUE ne fera que rendre leur découverte un peu plus difficile puisqu’elle demandera plus de temps et d’énergie.

Le jugement de la Cour crée un nouveau, mais délicat équilibre. Alors que Google avait rendu l’accès aux données extrêmement facile, efficace et peu coûteux en temps, la protection des données et le droit à la vie privée reprennent un peu de terrain.

Les chercheurs passeront à la caisse?

Il y aurait potentiellement un risque de “censure” privée, réalisée tant par les moteurs de recherche que par les éditeurs. On peut imaginer que ces derniers (journaux et médias notamment) vont profiter de la situation pour se remplir les poches.

En effet, si un internaute ou un chercheur ne peut plus se fier aux résultats des moteurs de recherche lorsqu’il est en quête d’informations sur un individu, précisément parce que ces résultats sont potentiellement édulcorés, on pourrait assister à une monétisation des archives privées des médias ou de particuliers. Cela pourrait se révéler vrai pour les chercheurs académiques qui seraient prêts à payer pour obtenir des informations fiables.

Néanmoins, la CJUE a déclaré que Google pourra continuer à référencer des liens et données pour les cas où l’histoire, les statistiques ou la science y verraient un intérêt.

Tourisme du droit à l’oubli?

Selon la décision, la CJUE n’a pas limité aux seuls citoyens européens la possibilité de demander le retrait des données personnelles des moteurs de recherche. Dès le moment où un traitement de données a lieu dans un État membre, la directive sur la protection des données s’applique, sans égard à la nationalité de l’individu, ce qui n’est pas le cas à l’art. 3 (2) du projet de Règlement de la protection des données.

On pourrait donc imaginer qu’un Suisse, Chinois et Russe, tous résidant dans leur pays et qui utilisent un moteur de recherche américain qui a une filiale dans l’UE, puissent “agir en droit à l’oubli” contre cette filiale en fonction des résultats générés par le moteur de recherche.

Cette situation n’avait pas été prévue par le législateur européen et pourrait conduire à une forme de “tourisme du droit à l’oubli” par des individus du monde entier. À se demander si la CJUE a vraiment bien étudié les conséquences juridiques de son jugement au regard de la territorialité du droit et de la nature internationale d’Internet. La CJUE a retenu une conception large de la notion d’établissement. Comme la filiale de Google (US) en Espagne assure la promotion et la vente d’espaces publicitaires sur le moteur de recherche, la directive européenne sur la protection des données s’applique à Google Espagne.

Incertitude juridique

La CJUE a anticipé le processus législatif en cours au Parlement européen, qui prévoit un droit à l’oubli, mais qui ne devrait pas être appliqué avant plusieurs années.

Jusqu’à présent, il revenait aux tribunaux de trancher au cas par cas les demandes des internautes. Désormais, on donne plus de responsabilités aux acteurs privés. Le problème actuel est que le principe est posé, mais on manque de casuistique. De plus, il n’y a pas de mesures d’accompagnement prévues pour aider les moteurs de recherche dans leur analyse des demandes.

L’analyse par les tribunaux et par les moteurs de recherche devra se baser sur la nature de l’information, sur sa sensibilité pour la vie privée de la personne concernée et sur l’intérêt pour le public à recevoir cette information, notamment en fonction du rôle joué par cette personne dans la vie publique.

Il faudra attendre que les tribunaux des États membres rendent des décisions sur ces questions pour espérer voir apparaitre des tendances. Le cadre juridique reste à établir et il prendra du temps.

En Suisse par exemple, le Tribunal fédéral avait jugé en 1983 (ATF 109 II 353) que la place dans l’histoire contemporaine d’un individu ayant commis des crimes graves justifie une incursion jusque dans les tréfonds de sa personnalité et de l’histoire de sa vie. Cependant, on ne peut pas en déduire que sa personnalité reste accessible au public dans même mesure pour tous les temps. Purger sa peine est une resocialisation qui exige que l’oubli (faisant partie du cours normal des choses) intervienne. C’est d’autant plus vrai quand la peine a été radiée du casier judiciaire.

Exemples

Abusifs

On a lu tout et n’importe quoi sur Internet depuis la publication de la décision. En particulier, les détracteurs s’en sont donné à cœur joie.

On a ainsi pu lire que la décision s’appliquerait:

1. à un individu condamné pour crime (viol, meurtre, pédophilie, etc.);
2. à un politicien ayant des comportements contraires aux mœurs ou simplement peu recommandables;
3. à des indépendants (médecins, avocats, etc.) dont les services ont été mal notés ou ont reçu des avis négatifs;
4. à un professeur suspendu qui voudrait voir les articles concernant les raisons de la suspension être désindexés;
5. Etc.

Dans le cas du criminel, cela pourrait s’envisager une fois que son casier judiciaire a été purgé (donc après de nombreuses années). Pour le politicien, comme il constitue une figure publique, il y a peu de chance que sa demande soit acceptée, le droit à l’information du public ayant en principe plus de poids. Les indépendants ne devraient normalement pas pouvoir justifier que leur droit à la vie privée est plus important que l’intérêt public à savoir ce que leurs clients ou patients ont pensé de leurs services. Quant au professeur, son cas est analogue au criminel.

Dans tous les cas cités, on parle soit de figures publiques, soit de personnes qui s’exposent à des évaluations en raison de leur profession et de la concurrence, soit de délinquants qui font la une, soit de personnes qui ont défrayé l’actualité en raison de leurs agissements. Il est à mon avis peu probable que Google doive retirer les informations les concernant, en tout cas pas avant de nombreuses années, le temps pour beaucoup d’eau de couler sous plusieurs ponts.

Susceptibles d’être admis

Qu’en est-il des personnes “normales”, des individus sans histoire? Sous prétexte qu’il y a un potentiel risque d’abus par certains, on devrait refuser un droit à d’autres (dans ce cas, il faudrait par exemple revoir tout le système fiscal et d’assurance sociale, car beaucoup de gens en abusent alors que la plupart sont honnêtes) ? Évidemment que non. Regardons trois cas.

1. Un homme cherche un appartement avec sa copine, tous les deux sont dans la trentaine. L’homme a été en colocation lorsqu’il était jeune et selon plusieurs déclarations publiées par des tiers, il n’aurait pas été respectueux du matériel dans le logement. À cause de cela, il recevra une décision négative du bailleur auprès duquel il avait postulé.
2. Une jeune militante d’extrême droite a publié des propos xénophobes en réaction à un article paru sur le site d’un quotidien. Aujourd’hui, elle a changé d’opinion après ses études, mais les propos qu’elle a tenus auparavant reviennent continuellement plomber les entretiens d’embauche qu’elle passe. En 2010 déjà, je mettais en garde concernant la pratique du “background check” qui est opéré par la majorité des recruteurs lorsqu’ils reçoivent un dossier de candidature.
3. Un employé de banque est accusé d’avoir téléchargé des vidéos pornographiques sur son ordinateur de travail. Licencié, il se retrouve au cœur d’une tourmente médiatique, la presse s’étant vivement intéressée à son cas. Elle se sert des réseaux sociaux pour trouver des informations personnelles ainsi que des photos publiées par des tiers. Lavé de tout soupçon, il retrouvera son travail. Des années plus tard, il quitte son travail, mais se retrouve dans la même situation que l’ex-militante lors des entretiens d’embauche.

Certains diront que s’il y a une chose dont on voudrait que personne n’ait connaissance, il faudrait plutôt ne pas la faire. Sauf que dans le troisième cas que j’ai présenté, l’employé n’a rien fait, mais s’est néanmoins retrouvé dans une situation plus que désagréable.

Il est important que ces trois personnes, auxquelles on s’identifie facilement, puissent rendre plus difficiles d’accès aux données concernant leur passé. Et dans leur cas, il est également évident que le droit de savoir du public doit s’effacer et laisser la place au droit à la vie privée et au droit à l’oubli. Il n’existe aucun intérêt public qui soit plus fort que le droit de la personne concernée à pouvoir retirer ces informations des résultats des moteurs de recherche.

C’est précisément pour des situations dans ce genre que l’arrêt de la CJUE est important, n’en déplaise à Google et son insatiable appétit de données, n’en déplaise aux défenseurs de la transparence et de la liberté d’information.

Commentaire

J’avoue ne pas bien comprendre. De plus en plus de gens se révoltent contre la diminution de l’étendue de notre sphère privée. Contre le fait qu’on utilise trop de données personnelles. Contre le fait qu’on nous surveille de plus en plus.

Pourtant, un tribunal prend une décision courageuse, allant à contresens de l’économie et prenant de court le législateur. Ce même tribunal décide, envers et contre tout, de prendre ses responsabilités et de protéger et défendre les citoyens ainsi que leurs droits fondamentaux. Mais ces mêmes gens s’offusquent et déclarent que cela va trop loin, que c’est une mauvaise solution.

Aucune solution n’est parfaite, il y a toujours des dommages collatéraux. La CJUE a pris un gros risque: offrir aux citoyens un moyen d’imposer (plus ou moins) à Internet, cette gigantesque machinerie qui n’oublie rien, une caractéristique propre au cerveau humain et à la vie en société: l’oubli grâce au temps. Cette caractéristique qui permet au quidam d’avancer, sans être poursuivi par son passé et ses erreurs de jeunesse toute sa vie.

Certes, confier au secteur privé la tâche de décider ce qui relève ou non du débat public n’était pas forcément ce qu’on pouvait espérer. Certes, quand on voit les dérives de la procédure notice and takedown pour la propriété intellectuelle, on peut craindre que des informations légitimes et pertinentes seront retirées des résultats des moteurs de recherche alors qu’elles ne le devraient pas. Certes la CJUE a autorisé une forme de censure et certains l’utiliseront à mauvais escient.

Mais la liberté d’information et d’expression, aussi fondamentale soit-elle, n’est pas inconditionnelle et ne prédomine pas toujours les autres droits fondamentaux. La presse de boulevard et gossip est sûrement la première à regretter la décision de la CJUE. Après une dizaine d’années où la vie privée a été piétinée et comprimée entre la liberté d’information d’une part et la liberté économique d’autre part, elle obtient enfin une bouffée d’oxygène.

Tout le monde doit avoir le droit de recommencer une fois qu’on a fait amende honorable, une fois qu’on a purgé une peine, une fois qu’on a payé sa dette à la société. En particulier si la personne a changé, elle ne doit pas rester punie à vie, sous prétexte que le public a le droit de savoir. La transparence a des bons côtés, mais la vie privée doit pouvoir voiler certains aspects. Ce principe doit pouvoir être appliqué à Internet.

L’avenir nous dira si la CJUE a eu raison ou non. Il revient maintenant aux tribunaux de faire leur travail, et aux moteurs de recherche de faire le leur, diligemment et sans zèle.

Après tout, l’information de qualité a toujours été un peu cachée, même avec Google. Rien ne dit qu’elle le sera encore plus désormais…