Droit à l'oubli : « Qui, de Google ou de l'entreprise, sera le plus réactif ? »

Fin février, Google  dressait son bilan de « trois ans de droit à l'oubli  ». Ce droit, aussi appelé droit au déréférencement, résulte d'un arrêt de la Cour de justice de l'Union européenne (CJUE) de mai 2014. Depuis cette date, les citoyens européens peuvent s'adresser directement aux exploitants de moteurs de recherche  et leur demander de supprimer les résultats des requêtes portant sur leur nom, dès lors que les données concernées sont « inexactes, non pertinentes, excessives ou inadéquates » au regard des finalités de l'indexation.
Et le succès est au rendez-vous ! Entre le 28 mai 2014 et le 8 mars 2018, le moteur de recherche a reçu 655 142 demandes de suppression des résultats de recherche, portant sur 2 422 676 URL, dont 43,8 % ont été supprimées, dévoile son « Transparency Report  ». Restent toutes celles qui ne le sont pas… Le motif ? L'« intérêt général » ou le droit à l'information. Les « contenus en rapport avec l'activité professionnelle du requérant, avec un délit passé, une fonction politique ou un poste public » sont rarement supprimés, précise Google dans son rapport. Il en est de même des « contenus créés par l'auteur de la demande ou reprenant des documents officiels, et des contenus journalistiques ». En revanche, les demandes de suppression d'informations personnelles et sensibles (adresses, numéros de téléphone, informations médicales…), soit environ 9 % des demandes, sont satisfaites à hauteur d'environ 90 %.
 
Quels enseignements peut-on tirer d'un tel bilan à la veille de l'entrée en vigueur du RGPD (règlement général sur la protection des données), qui renforce le droit à l'effacement et au déréférencement ? L'éclairage d'Olivier Cousi, avocat associé au cabinet Gide, spécialiste en droit des nouvelles technologies et en propriété intellectuelle.
Le Point : De nombreuses demandes de suppression sont liées à des mises en cause dans des affaires pénales. Par exemple, cet homme jugé pour avoir agressé sexuellement une femme dans un pub il y a plusieurs années. « Sur demande de leur retrait par l'Autorité de protection des données, compte tenu de l'ancienneté du contenu et de l'acquittement de la personne, nous avons supprimé 44 URL », précise Google. En revanche, le moteur de recherche a refusé à « un(e) fonctionnaire de haut rang de retirer des articles récents relatifs à une condamnation pénale datant d'il y a dix ans ». Où Google place-t-il le curseur ? Le moteur de recherche pourrait se voir obligé, si la CJUE en décide ainsi, de supprimer les liens vers des contenus relatifs à des infractions pénales…
 
Olivier Cousi : Google opère un arbitrage entre la notoriété du requérant, le caractère public ou non des contenus concernés et l'intérêt général. Et sa démarche est assez proche de celle qu'adopterait un tribunal français. Il est rassurant de savoir que le moteur de recherche retire les informations très privées.
Quant aux données liées aux infractions et condamnations pénales, ce qui est en cause, c'est leur traitement, autrement dit, le fait de les recenser dans des fichiers. Je ne pense pas qu'on aille vers une interdiction de citer une infraction en tant que telle. C'est le fait de constituer des fichiers d'informations sensibles (par exemple la liste des personnes condamnées pour des infractions routières) qui poserait problème. Et ce n'est pas parce que l'opérateur est situé hors de France  qu'il pourra s'autoriser à constituer de tels fichiers.
 
Le rapport précise que les « informations professionnelles », et notamment les contenus évoquant des fautes professionnelles, représentent 31 % des demandes de suppression. Et pourtant, le droit à l'oubli n'existe pas pour les entreprises…
En effet, nous sommes souvent saisis par des entreprises qui estiment qu'il faut retirer les contenus dénigrants dont elles font l'objet. Et on a du mal à leur expliquer que le droit à l'oubli ne concerne pas les personnes morales. Sur ce point, le RGPD ne va rien changer puisqu'il ne traite que des données personnelles relatives aux personnes physiques. S'agissant des demandes faites à titre personnel par un dirigeant de société, par exemple, il est très difficile d'en obtenir la suppression, car on nous oppose des arguments d'intérêt général. En revanche, si le contenu véhicule l'utilisation illicite d'une marque protégée, le moteur de recherche le retire pour ne pas s'exposer à une condamnation pour contrefaçon. Mais on agit cette fois au titre du droit d'auteur ou du copyright. Et pour avoir gain de cause, il faut que l'usage de la marque soit contraire au droit californien.
  
Les entreprises pourraient-elles faire valoir un « droit à l'oubli » sur le fondement de la directive européenne sur le secret des affaires, qui est en passe d'être transposée en droit français ?
Sur le principe, lorsque la loi sera entrée en vigueur, une entreprise pourra invoquer l'atteinte au secret des affaires pour obtenir le déréférencement de contenus portant atteinte à ses droits, par exemple celui de conserver secret le lancement d'un nouveau produit ou un projet d'acquisition.
Google indique supprimer les URL dans tous les résultats de recherches effectuées en Europe. Qu'en est-il des extensions en .com des liens concernés ? Google refuse-t-il encore d'accorder un droit à l'oubli mondial ?
Google supprime systématiquement l'extension du pays du requérant, dès lors qu'il fait droit à sa demande. En Europe, Google considère que le droit à l'oubli doit se limiter aux extensions de l'Union européenne. Il refuse en revanche d'appliquer le droit à l'oubli à l'échelle mondiale. Les .com ne sont donc pas supprimés. Mais nous attendons sur ce point l'avis de la Cour de justice de l'Union européenne, à laquelle le Conseil d'État  a posé une question préjudicielle.
 
Le RGPD  va-t-il simplifier l'exercice du droit à l'oubli et renforcer la responsabilité du moteur de recherche ?
Le RGPD consacre le droit à l'oubli. En vertu de cette réglementation, les personnes peuvent avoir intérêt à rechercher directement la suppression des données auprès de la source : le site d'une banque, d'une compagnie d'assurances ou d'un organisme de sécurité sociale... D'autant que les entreprises vont devoir justifier de la façon dont elles comptent traiter les demandes de suppression et mettre en place des outils adéquats. Toute la question sera de savoir qui, de Google ou de l'organisme en question, sera le plus réactif. On peut imaginer qu'une entreprise d'assurances sera plus respectueuse (« compliant ») du droit français que ne le sera Google…
Dans quels cas le juge est-il un recours plus efficace, avant ou après un refus de Google ?
L'avantage d'agir auprès de Google plutôt qu'en justice est que la procédure est rapide et simple. Mais on se heurte au fait que cet acteur privé décide pour lui-même. Si on veut contester son refus, on peut en effet saisir le juge judiciaire sur le fondement de l'article 9 du Code civil qui protège les atteintes à la vie privée. On peut aussi saisir la Cnil qui parfois remet en cause la décision de Google. En définitive, à quelques réserves près, on peut se réjouir que Google adopte la logique du juge, mais il ne peut, en tant que partie prenante, avoir le même recul et la même indépendance que le juge.