Réponse publiée le 11 avril 2017

En 2014, la Cour de justice de l'Union européenne (CJUE) a prononcé un important arrêt (arrêt « Google Spain »), érigeant le droit pour un internaute d'exercer son droit à l'effacement (ou son « droit à l'oubli ») s'agissant de ses données personnelles qui seraient diffusées sur un site en ligne. Dans cet arrêt, la Cour fait aussi valoir que le respect de la vie privée et la protection des données personnelles doivent nécessairement s'articuler avec une autre liberté publique fondamentale, celle de la liberté d'expression et du libre accès à l'information. C'est la raison pour laquelle le juge européen a précisé que la portée de ce droit à l'oubli devait être notamment mesurée en rapport avec l'intérêt du public à disposer de ces informations ; cet intérêt général d'information pouvant en particulier prévaloir dès lors que la personne concernée est reconnue pour son rôle dans la vie publique. Cette jurisprudence est désormais consolidée dans le règlement général no 2016/679 du 27 avril 2016 sur la protection des données personnelles : l'article 17 du règlement établit les conditions d'exercice du droit à l'oubli et prévoit également que ce droit à l'oubli peut connaître des limitations dès lors que la liberté d'expression et d'information le nécessiterait. Ce nécessaire équilibre entre protection des données personnelles, d'une part, et protection de la libre information, d'autre part, peut en effet soulever dans certains cas des difficultés d'appréciation. Toutefois, le règlement européen ne laisse pas les responsables de traitements automatisés apprécier à leur guise et sans contrôle de tels arbitrages : les demandes de droit à l'oubli et les réponses qui leur sont faites sont placées sous le contrôle étroit de l'autorité de régulation compétente (en l'occurrence, la Commission informatique et liberté - CNIL - en France). Pour ce qui est de la question du périmètre du déréférencement, et notamment de la prise en compte du lieu de connexion du demandeur afin de limiter l'effacement au domaine et à l'extension correspondants (typiquement pour un résident français, limiter la zone d'effacement au nom de domaine en « .fr »), il est vrai que certains opérateurs tentent par cette voie de restreindre la portée du droit à l'oubli tel que consacré par la CJUE. Toutefois, il semble excessif d'évoquer un droit à l'oubli « à deux vitesses » : en novembre 2014, le groupe « G 29 » (rassemblant l'ensemble des autorités européennes de régulation en matière de protection des données personnelles) a publié un avis qui explicite clairement que les moteurs de recherche doivent appliquer ce droit à l'oubli sur l'ensemble de leurs extensions et pas seulement sur les extensions européennes. C'est cette doctrine qui est appliquée par la CNIL. Des procédures contentieuses sont en cours sur le sujet et il revient in fine au juge de trancher. Enfin, il convient de souligner que la loi no 2016-1321 du 7 octobre 2016 pour une République numérique a renforcé la protection des mineurs en ce qui concerne le droit à l'oubli : l'article 63 introduit en effet à leur bénéfice une procédure accélérée de traitement, permettant une saisine rapide de la CNIL. S'agissant de la protection des mineurs sur Internet, le gouvernement considère en effet que cette population est particulièrement vulnérable et qu'il convenait, en l'occurrence, d'instituer un régime à double vitesse en leur faveur.