Réponse publiée le 4 avril 2017

Dans son arrêt Google Spain (CJUE, 13 mai 2014, affaire C-131/12), la Cour de justice de l'Union européenne a consacré le droit pour les internautes résidant en Europe d'obtenir des moteurs de recherche, sous certaines conditions, le déréférencement d'informations les concernant. Le refus de déréférencement ou les réponses insatisfaisantes d'un moteur de recherche peuvent être contestées notamment auprès de l'autorité de protection des données nationales. A ce titre, en France, la Commission nationale de l'informatique et des libertés a été saisie par des internautes du refus de déréférencement de liens Internet. C'est dans ce cadre que la présidente de la CNIL, en mai 2015, puis la formation restreinte de cette autorité administrative indépendante, en mars 2016, ont pris des décisions respectivement de mise en demeure et de sanction pécuniaire à l'encontre de la société Google. Conscient de l'enjeu que représente le traitement des données personnelles pour la conciliation du droit à l'information avec celui du respect de la vie privée dans un cadre globalisé d'évolution rapide des technologies, le Gouvernement a proposé ou soutenu l'adoption de plusieurs dispositions de nature à mettre en œuvre le droit à l'effacement de données personnelles et celui au déréférencement. Tout d'abord, le Gouvernement a œuvré, dans le cadre de la négociation ayant abouti au règlement du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel,  qui sera applicable au 25 mai 2018, pour que des progrès soient réalisés en matière de droit à l'oubli (qui figure désormais à l'article 17 du règlement). A cet égard, l'article 63 de la loi pour une République numérique permet l'effacement de données à caractère personnel collectées dans le cadre d'une offre de service d'une société de l'information, lorsque la personne concernée était mineure au moment de la collecte. En cas de non-exécution, la personne concernée pourra saisir la CNIL, qui devra statuer dans un délai contraint. Par ailleurs, il est prévu au même article que toute personne peut définir des directives relatives à la conservation, à l'effacement et à la communication de ses données à caractère personnel après son décès. Ensuite, l'article 91 de la loi du 18 novembre 2016 de modernisation de la justice du XXIe siècle a créé à l'article 43 ter de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés une action en cessation de l'illicite en matière de protection des données à caractère personnel. Ces nouvelles dispositions de la loi de 1978 s'articulent avec les dispositions générales en matière d'action de groupe prévues au chapitre Ier du titre V de la loi de modernisation de la justice du XXIe siècle et au chapitre X du titre VII du livre VII du code de justice administrative. Cette disposition prévoit que « Lorsque plusieurs personnes physiques placées dans une situation similaire subissent un dommage ayant pour cause commune un manquement de même nature aux dispositions de la [loi informatique et libertés du 6 janvier 1978] par un responsable de traitement de données à caractère personnel ou un sous-traitant, une action de groupe peut être exercée devant la juridiction civile ou la juridiction administrative compétente. » Cette action ne peut tendre qu'à la cessation du manquement. A l'inverse, elle ne peut tendre à la réparation des préjudices qu'aurait subie la personne concernée. Les personnes pouvant exercer cette action sont limitativement énumérées par la loi. Ainsi, seules les associations ou les organisations syndicales qui répondent à des conditions particulières (ancienneté, objet social, représentativité, agrément…) peuvent mener cette action. Un tel mécanisme est d'ailleurs autorisé par le point 2 de l'article 80 du règlement du 27 avril 2016, précité, qui avait été soutenu par le Gouvernement lors de la négociation.