Libre propos sur le droit à l’oubli numérique

Mineurs et majeurs sont aujourd’hui connectés sur internet, notamment via les réseaux sociaux. Ils se créent une identité numérique, marquée par la perte de pouvoir sur leurs données personnelles. Le droit à l’oubli numérique vient s’ériger en rempart à l’intimité diffusée par les internautes. Consacré par la Loi pour une République numérique au profit des mineurs, le droit à l’oubli sera étendu au profit des majeurs en 2018 par l’entrée en vigueur du Règlement (UE) 2016/679 du 27 avril 2016.

Par Maxime Péron, Doctorant en droit, Lab-LEX (EA 3150 – 3881 – 4251) Université de Bretagne Occidentale, Universidade de São Paulo.

Alors que pour Alphonse Allais, « l’oubli c’est la vie », le monde numérique qui nous entoure incite les internautes à s’afficher et à diffuser constamment une partie de plus en plus grandissante de leur intimité sur la toile, à défaut de quoi ils n’existeraient plus ¹. En ce sens, les réseaux sociaux servent de canaux pour irriguer les tentations fortes des internautes de dévoiler des images ou vidéos d’eux sur internet, mais aussi de se laisser aller à émettre des propos qu’ils n’oseraient jamais, ou plus difficilement, porter dans la vie réelle. Cette exposition constante de soi sur internet n’est pas sans conséquence, puisque cela peut nuire à l’e-réputation de l’internaute ainsi qu’aux tiers. Cette tendance à l’exposition de soi atteint les différentes générations, mineurs et majeurs tombant dans le piège de cette quête d’une vie numérique et d’une identité virtuelle. Or, les regrets de l’intimité diffusée sur internet peuvent vite apparaître, au point de vouloir oublier un pan de sa vie numérique ². Certes, selon la doctrine freudienne, il serait parfois plus sage d’oublier ³, mais vouloir oublier sa vie numérique, c’est vouloir oublier un passé non assumé. Alors que la sagesse aurait plutôt été de réfléchir à l’impact de la diffusion de son intimité avant de céder à la tentation, droits européen et interne concordent vers l’idée d’une consécration d’un droit à l’oubli numérique.
Cette idée a d’abord été insufflée par la jurisprudence de la Cour de justice de l’Union européenne en 2014 ⁴, en consacrant un droit au déréférencement. En l’espèce, il s’agissait d’un internaute espagnol qui était mécontent de voir son nom, lorsque celui-ci était cherché sur un moteur de recherches, lié à des articles relatifs à un endettement qu’il avait réellement eu plusieurs années avant. Le juge du Luxembourg a alors reconnu que le responsable du traitement (c’est-à-dire le moteur de recherche, voir infra) est tenu de déréférencer et de désindexer les liens lorsque la balance des droits penche en faveur de la protection de la vie privée de l’internaute ⁵.
Plus récemment, l’idée d’un droit à l’oubli s’est concrétisée légalement en droit français, puisque le législateur a consacré la possibilité d’effacer des éléments du passé du mineur à l’article 63 de la loi du 7 octobre 2016 pour une République numérique ⁶.
En 2018, ce mouvement de consécration du droit à l’oubli sera étendu, puisqu’entrera en vigueur le règlement européen du 27 avril 2016 ⁷, prévoyant à son article 17 un véritable droit à l’effacement ⁸.
En conséquence, c’est un droit à l’oubli numérique qui apparaît progressivement en droits interne et européen, permettant à l’internaute d’effacer l’intimité qu’il a dévoilé. Alors que deux conceptions du droit à l’oubli peuvent être retenues ⁹, la première consistant dans l’interdiction de faire remonter à la surface des données du passé ¹⁰, sans pour autant les effacer, c’est-à-dire un droit au déréférencement, la deuxième, consistant dans la disparition d’éléments du passé, c’est-à-dire un droit à l’effacement ; l’apparition progressive du droit à l’oubli numérique permet de redonner à l’internaute, tant mineur (I) que majeur (II), la mainmise sur l’intimité qu’il avait dévoilée sur internet.

I. L’oubli de l’identité numérique du mineur

Utilisateurs massifs d’internet et des réseaux sociaux ¹¹, en tout lieu, avec ordinateurs, tablettes, smartphones, montres connectées, les mineurs sont aujourd’hui pris dans la toile ¹². En quête de popularité ¹³, ils diffusent constamment leur intimité, en partageant des photographies d’eux, seuls ou avec leurs amis ¹⁴, au risque de porter préjudice à leur e-réputation naissante ¹⁵ ou d’altérer leurs relations avec autrui. Ce risque est accentué par le caractère mondial et permanent des réseaux ¹⁶, et l’absence de garantie de confidentialité ¹⁷. Pour faire face à ce risque, la solution d’un droit à l’oubli numérique est apparue ¹⁸.
Plus précisément, l’article 63 de la loi du 7 octobre 2016 pour une République numérique ¹⁹, a retenu la possibilité d’effacer des éléments du passé du mineur.
Anticipant partiellement le règlement européen du 27 avril 2016 ²⁰ prévoyant à son article 17 un droit à l’effacement (droit à l’oubli) ²¹, ce droit à l’oubli numérique s’inscrit dans une finalité protectrice du mineur lorsque son intimité est exposée sur la toile ²². En effet, un tel droit devrait permettre de redonner au mineur la maîtrise de l’exposition de son intimité sur internet.
Ainsi, ce droit pourrait être la réponse aux risques de porter atteinte au respect de la vie privée d’un internaute résultant du développement de la sphère numérique ²³. Pourtant, bien que consacré (A), l’oubli n’en reste pas moins mesuré (B).

 A. Un oubli consacré

L’article 63 de la loi du 7 octobre 2016 pour une République numérique modifie l’article 40 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qui dispose désormais que « sur demande de la personne concernée, le responsable du traitement est tenu d’effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne concernée était mineure au moment de la collecte ». A travers cette modification est consacrée légalement un véritable droit à l’effacement au bénéfice du mineur ²⁴.
Afin de bien saisir l’ampleur de la modification, il convient d’abord de déterminer les données concernées ²⁵, ensuite d’identifier le responsable du traitement et enfin de préciser qui peut en faire la demande.
Derrière les données à caractère personnel se cachent les données identifiantes ²⁶, c’est-à-dire les informations permettant d’identifier des personnes physiques ²⁷. Ainsi, le nom et l’image sont des données à caractère personnel ²⁸. Ces éléments, exigés pour accéder à un réseau social ²⁹, peuvent également être communiqués à autrui par le mineur et réutilisés sans son accord. Plus simplement, le profil constitué sur un réseau social participe de l’identité d’un individu ³⁰. Permettre au mineur d’effacer ces éléments, c’est lui redonner un pouvoir de contrôle sur ses informations ³¹. En conséquence, les risques d’une utilisation négative de ses données, par exemple à des fins commerciales intrusives (comme les spams) ou dans le but de nuire à sa personne, seront réduits, impliquant, de manière plus globale, la protection de l’identité numérique du mineur internaute.
Pour que l’oubli soit possible, il faut en faire la demande auprès du responsable de traitement, c’est-à-dire, d’après la directive n° 95/46/CE ³², repris par le Règlement européen ³³, « l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel ». Sont ici visés les moteurs de recherche ³⁴, du moins pour les liens affichés ³⁵, et les réseaux sociaux ³⁶, qui s’avèrent être ceux pouvant empêcher le mineur de garder un contrôle sur ses données. Sont également visés les plateformes d’échanges en ligne, les services d’annuaires et de référencement, les fonctionnalités d’hyperliens ou la presse en ligne ³⁷. Le dispositif visant les données collectées dans le cadre de « l’offre de services de la société de l’information », celui-ci doit-il être réduit aux seuls plateformes payantes ³⁸ ? Alors qu’une telle interprétation pourrait aller dans le sens de la directive 2000/31/CE prévoyant que les services de la société de l’information couvre « tout service fourni, normalement contre rémunération, à distance au moyen d’équipement électronique de traitement (y compris la compression numérique) et de stockage des données, à la demande individuelle d’un destinataire de services ³⁹, la lecture des travaux préparatoires et l’esprit du texte incitent à ne pas retenir une telle interprétation ⁴⁰, et à entendre le responsable de traitement largement, impliquant une protection accrue du mineur. Ainsi, les réseaux sociaux tels que Facebook ou Twitter sont donc visés par le dispositif, qu’ils restent gratuits ou deviennent payants.
Pour renforcer la protection, le législateur prévoit que le responsable de traitement qui a transmis les données à un tiers, lui-même responsable de traitement, doit signaler à ce tiers la demande d’effacement.
Enfin, le dispositif prévoit que c’est la personne concernée qui pourra demander l’effacement, sans exigence de preuve autre que sa minorité au moment de la collecte ⁴¹ et sans limitation de de durée ⁴². En l’absence de précision, il semble possible à l’internaute majeur d’effacer son contenu en tant que mineur ⁴³, mais également à l’internaute mineur de le faire ⁴⁴, ce qui n’échappe pas à la critique et soulève l’étonnement, notamment au regard de l’incapacité qui les atteint. Permettre à des adolescents proches de la majorité d’effectuer la demande peut sembler pertinent car ils bénéficient d’un discernement et d’une capacité grandissants. Au contraire, permettre à de jeunes adolescents d’effectuer cette demande peut sembler impertinent. Pourquoi ne pas avoir confier cette possibilité aux représentants légaux du mineur ? Peut-être parce que les parents eux-mêmes ne maîtrisent pas cet usage d’internet ou n’hésitent pas à diffuser des photographies de leurs enfants, diffusion qui peut s’avérer, à l’avenir, préjudiciable pour l’enfant ⁴⁵. En effet, les jeunes parents diffusent de plus en plus de photos de leurs progénitures sur les réseaux… parfois dans des situations qui peuvent leur nuire par la suite, laissant la porte ouverte à une action en justice d’un enfant contre ses propres parents.
Afin d’éviter une consécration excessive, le législateur a limité le droit à l’effacement, donnant ainsi une mesure à l’oubli.

B. Un oubli mesuré

La loi pour une République numérique n’a pas consacré un droit à l’oubli numérique absolu mais mesuré, de nombreuses limites pouvant être observées.
La principale limite est celle du bénéficiaire de l’oubli, puisque seules les données à caractère personnel d’un mineur sont concernées ⁴⁶.
Par ailleurs, le législateur a rendu impossible l’application de l’oubli lorsque le traitement des données à caractère personnel est nécessaire pour « exercer le droit à la liberté d’expression et d’information », « pour respecter une obligation légale qui requiert le traitement de ces données ou pour exercer une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement », « pour des motifs d’intérêt public dans le domaine de la santé publique », « à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où le droit mentionné […] est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement » ou « à la constatation, à l’exercice ou à la défense de droits en justice. ». Une nouvelle fois, ces limitations respectent le règlement européen ⁴⁷.
Parallèlement à ces limitations, la mise en œuvre du droit à l’oubli pourrait renforcer les limites du dispositif. La crainte d’une non mise en œuvre de l’effacement a été prise en compte par le législateur, puisque si dans un délai d’un mois à compter de la demande, le responsable de traitement n’a pas procédé à l’effacement ou n’a pas répondu au demandeur, ce dernier peut saisir la Commission nationale de l’informatique et des libertés, qui se prononcera sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation ⁴⁸. Une telle solution permettra-t-elle de garantir la mise en œuvre du droit à l’oubli ? Rien n’est moins sûr puisque les responsables de traitement semblent frileux de suivre les décisions de la CNIL ⁴⁹. Plus généralement, c’est le caractère international d’internet qui pourrait limiter la mise en œuvre de l’oubli ⁵⁰, même si l’extension prochaine du droit à l’oubli sur le plan européen devrait évacuer en partie cette difficulté.
Enfin, une inquiétude réside quant à la concurrence entre ce droit à l’oubli et d’autres droits et libertés ⁵¹. Le droit à l’oubli pouvant être considéré comme une liberté individuelle, il ne faut pas qu’il porte atteinte aux libertés collectives, d’autant plus qu’il s’agit d’un droit automatique, sans nécessité de rapporter de preuves ⁵². Sur ce point, une incompatibilité entre le droit à l’oubli et le maintien de l’ordre public, plus précisément celui de la lutte contre le terrorisme, peut-être soulevée. En effet, les entreprises terroristes n’hésitant pas à se servir des réseaux ⁵³, notamment pour atteindre les mineur(e)s ⁵⁴, effacer ce qui a été dit pourrait limiter la surveillance de ces mouvements.
Malgré ces craintes et ces limites, en consacrant le droit à l’oubli numérique pour les mineurs, le législateur pose un nouveau droit de la personnalité ⁵⁵ en protégeant de manière générale la vie privée des mineurs. Plus précisément, c’est l’identité numérique du mineur qui est préservée, et en lui redonnant la maîtrise sur son identité virtuelle, c’est sa vie d’adulte qui se trouvera également protégée.

II. L’oubli de l’identité numérique du majeur

A l’instar des mineurs, les majeurs n’hésitent pas à dévoiler une part de leur intimité sur internet. Pour répondre au regret d’une telle diffusion, le droit à l’oubli peut une nouvelle fois s’ériger comme le dernier rempart à la préservation de leur vie numérique. Alors que la Loi pour une République numérique permet aux jeunes majeurs d’effacer les données personnelles les concernant lorsqu’ils étaient mineurs, le Règlement européen du 27 avril 2016 prévoit d’étendre cette solution aux majeurs. Cet oubli en voie de consécration (A) n’échappe pas à la critique, il semble même démesuré (B).

A. Un oubli en voie de consécration

Alors que la Loi pour une République numérique n’étend pas le dispositif au profit des majeurs, puisqu’elle s’intéresse exclusivement aux mineurs, le Règlement européen du 27 avril 2016 consacre à son article 17 un droit à l’effacement, sans viser exclusivement le mineur, permettant ainsi à tout internaute d’en bénéficier.
En principe, ce Règlement ne s’applique pas aux traitements de données à caractère personnel « effectués par une personne physique au cours d’activités strictement personnelles ou domestiques » mais seulement dans le cadre d’une activité professionnelle ou commerciale, excluant une application lors de l’utilisation de réseaux sociaux ⁵⁶. Pourtant, le Règlement s’applique aux responsables de traitement et aux sous-traitants qui fournissent « les moyens de traiter des données à caractère personnel » pour des « activités personnelles ou domestiques » ⁵⁷. En conséquence, ce Règlement s’appliquera bien aux responsables de traitement, tels les réseaux sociaux. Par suite, ce droit à l’oubli pourra également bénéficier aux majeurs. Le Règlement européen précise le champ d’application du droit à l’oubli, rappelant ce qui a été consacré au profit des mineurs par la Loi pour une République numérique.
Le dispositif prévoit plusieurs hypothèses où la demande sera possible. Ainsi, l’oubli pourra être demandé lorsque « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière », lorsque « la personne concernée retire le consentement sur lequel est fondé le traitement et il n’existe pas d’autre fondement juridique au traitement », lorsque « les données à caractère personnel ont fait l’objet d’un traitement illicite », lorsque « les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis », lorsque « les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information » ⁵⁸.
Prolongeant ces hypothèses, déjà nombreuses, le dispositif envisage un droit à l’oubli relativement étendu puisque le responsable du traitement qui a rendu public les données doit prendre des mesures pour informer les autres responsables du traitement traitant ces données de la demande d’effacement ⁵⁹.
De ces éléments, il en ressort la création prochaine d’un droit à l’oubli numérique étendu, puisque permettant à tout internaute de demander l’effacement de ses données personnelles notamment lorsqu’il ne consent plus au traitement de ses données.
Néanmoins, dans certaines hypothèses, rappelant celles prévues par la Loi pour une République numérique, l’oubli sera impossible. Ainsi, la demande sera inenvisageable lorsque le traitement des données est nécessaire « à l’exercice du droit à la liberté d’expression et d’information », « pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’Etat membre auquel le responsable de traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable de traitement », « pour des motifs d’intérêt public dans le domaine de la santé publique », « à des fins archivistiques dans l’intérêt du public, à des fins de recherche scientifique ou historique ou à des fins statistiques » ou « à la constatation, à l’exercice ou à la défense de droits en justice » ⁶⁰.
Malgré ces limitations, le Règlement européen pose les bases d’un droit à l’oubli conséquent au profit des majeurs. Ce dispositif, qui entrera en vigueur le 25 mai 2018, avec un effet direct en droit interne français, pose donc les bases d’un droit à l’oubli renforcé ⁶¹ au profit des majeurs, et plus généralement de tout internaute. Même s’il s’agit d’assurer une protection adaptée aux nouvelles technologies ⁶², il est néanmoins permis de douter de la pertinence d’une telle extension, celle-ci semble en effet démesurée.

B. Un oubli démesuré

Consacrer un droit à l’oubli au profit de tout internaute, en particulier des majeurs, semble s’inscrire dans une certaine démesure. En effet, autant il semble judicieux de protéger le mineur car il a pu diffuser son intimité sans connaissance des risques et avec insouciance, autant il ne semble pas judicieux de protéger le majeur, ce dernier devant avoir la conscience des enjeux lorsqu’il diffuse son intimité sur internet et plus généralement lorsqu’il communique ses données personnelles sur internet. Ainsi, une telle extension risquerait de déresponsabiliser l’internaute majeur, voire pire, lui permettre d’effacer des données qui seraient pénalement répréhensibles. En conséquence, il semble peu judicieux de consacrer un droit à l’oubli étendu au profit des majeurs, dans le sens d’un droit à l’effacement. En effet, ce serait alors mettre le mineur et le majeur sur un pied d’égalité, mettant à la distinction majeur/mineur du droit civil et plus généralement les dispositions relatives à la capacité des personnes physiques. Plus précisément ce serait à la fois remettre en cause la capacité dont bénéficient les majeurs, mais aussi mettre à mal l’incapacité frappant les mineurs. En consacrant un droit à l’oubli étendu pour tout internaute, incluant les majeurs, le Règlement européen perd toute la mesure de l’oubli consacré par l’arrêt Google Spain.
Plutôt que de consacrer un véritable droit à l’effacement au profit des majeurs, il aurait été plus pertinent d’envisager un droit à l’oubli mesuré pour le majeur. Cette mesure pouvait se retrouver en consacrant légalement un droit au déréférencement, droit déjà consacré par la jurisprudence de la Cour de justice de l’Union européenne par l’arrêt Google Spain ⁶³. Un tel droit paraît suffisant car le déréférencement a pour conséquence de ne plus faire apparaître le nom de l’individu dans une recherche effectuée sur le moteur de recherche, et la désindexation supprimera l’adresse URL renvoyant au lien litigieux ⁶⁴, sans qu’un effacement total ne soit possible. Alors, dans une telle hypothèse, le droit à l’oubli au profit des majeurs serait non pas démesuré mais mesuré. En outre, la mesure du déréférencement pourrait alors aller de pair avec une autre disposition nouvelle de la Loi pour une République numérique : la mort numérique ⁶⁵, qui permettrait l’effacement définitif seulement en cas de décès de l’internaute.
Malgré ces critiques, que cela concerne le majeur ou/et le mineur, l’oubli numérique permettrait de limiter les risques d’atteinte à l’intimité des internautes sur les réseaux sociaux. Plus précisément, c’est l’identité numérique des individus qui en ressortirait protégée. Le droit à l’oubli numérique s’érigerait ainsi comme le dernier rempart de l’internaute pour préserver sa e-réputation. Reste bien sûr à voir la mise en œuvre de tels droits ⁶⁶, car les frontières et les limites de l’internet sont infinies ⁶⁷, et les réseaux sociaux, bien qu’en mettant en place des mécanismes pour permettre l’oubli, semblent peu enclins à accéder à la requête de l’oubli (voir art. précité), même si le renforcement prochain du pouvoir de sanction de la CNIL pourra permettre une effectivité accrue de l’oubli ⁶⁸. Il est vrai que, pour reprendre les mots de Balzac, l’intimité diffusée est un « trésor englouti dans les eaux dormantes de l’oubli » ⁶⁹. L’intimité diffusée est un véritable atout pour les réseaux sociaux, notamment d’un point de vue financier ⁷⁰. Un atout d’autant plus fort que les consommateurs de l’internet forment l’avenir ⁷¹ et ne sont pas prêt de disparaître de la toile. En tout cas, à travers le droit à l’oubli numérique, peut apparaître le sentiment ⁷² profond que l’identité des individus, et surtout des mineurs, sera préservée. Plus encore, le droit à l’oubli s’inscrit dans la construction d’un véritable droit de l’internet.