Le droit à l’oubli numérique doit permettre à quiconque de demander le retrait d’informations personnelles le concernant sur Internet, sous certaines conditions. Avec le RGPD, le futur règlement européen concernant le traitement des données personnelles, le droit à l’effacement (c’est son autre nom) devient un enjeu majeur.
Un concept pas si nouveau
Même si l’expression « droit à l’oubli » date officiellement de 2010 en France, c’est en 1995 que l’Union européenne se penche sur la question des données personnelles et adopte la directive 95/46/CE, qui permet de réglementer le traitement de ces données. Cette directive a ensuite servi de base pour définir la notion de droit à l’oubli.
Avec le virage numérique et le Web 2.0, la problématique de la protection de la vie privée devient prépondérante. En 2010, La première concerne les publicités ciblées et l’autre les sites collaboratifs et les moteurs de recherche.
Moins de deux mois plus tard, la Commission Européenne introduit à son tour la notion de droit à l’oubli lors d’un discours de la . C’est en janvier 2012, que le sujet revient sur le devant de la scène quand est proposée une régulation européenne relative à la protection des données à caractère personnel, la General Data Protection Regulation, votée en mars 2014 et adoptée en 2015.
Le droit à l’oubli dans le RGPD
Le Règlement Général sur la Protection des Données à caractère personnel entre en application le 25 mars prochain. À côté d’autres concepts phares comme l’accountability (responsabilité) et le privacy by design (protection de la vie privée dès la conception du produit/service), le droit à l’oubli fait partie des principes fondamentaux qui le régissent.
L’article 17 du RGPD porte entièrement sur ce droit à l’effacement. Il garantit à quiconque concerné par un traitement de données personnelles de pouvoir bénéficier du droit à l’oubli numérique pour des motifs légitimes, c’est-à-dire s’il n’existe pas de raison justifiant ce traitement. Afin d’éviter tout abus, ce droit est accordé sous certaines conditions :
– les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
– la personne concernée retire le consentement sur lequel est fondé le traitement (conformément à l’article 6), et il n’existe pas d’autre fondement juridique au traitement ;
– la personne concernée s’oppose au traitement en vertu de l’article 21 et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21 ;
– les données à caractère personnel ont fait l’objet d’un traitement illicite ;
– les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ;
– les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information visée à l’article 8.
Il existe des cas où le droit à l’oubli peut être légitimement refusé. Ainsi, il ne s’applique pas dans la mesure où le traitement de données personnelles est nécessaire :
- à l’exercice du droit à la liberté d’expression et d’information ;
- pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
- pour des motifs d’intérêt public dans le domaine de la santé publique, conformément à l’article 9 ;
- à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89 ;
- à la constatation, à l’exercice ou à la défense de droits en justice.
Limites du droit à l’oubli
Puisqu’il s’agit d’un règlement qui ne s’applique pas encore, il y a fort à penser que l’actuel flou juridique qui existe autour de certaines définitions s’affinera avec la pratique et les cas concrets. Pour l’instant de nombreux vides restent à combler, notamment concernant la portée géographique ou matérielle du droit à l’effacement.
La cour de justice de l’Union européenne est par exemple en train de statuer afin de déterminer si le déférencement (le retrait des résultats) doit s’appliquer à toutes les extensions du moteur de recherche à travers le monde.
Le droit à l’oubli s’oppose par définition à un autre droit fondamental : le droit à la liberté d’expression et d’information. Bien que présentes dans le règlement, ces deux notions semblent difficilement conciliables et on imagine d’avance le casse-tête des juges qui vont devoir trancher les cas où ces droits s’opposent.
