Droit à l’oubli numérique : guide pratique

En dix ans, Google et Microsoft ont reçu plus de 1,3 million de demandes de suppression d’information et ont déréférencé près de 6 milliards d’URL. La France est l’un des pays les plus actifs dans ce domaine. 17 772 plaintes ont ainsi été déposées auprès de la CNIL en 2024, dont la moitié concernent des contenus en ligne liés aux moteurs de recherche, aux réseaux sociaux ou à des sites web.

Effacer ses traces numériques est devenu une priorité pour des milliers de citoyens et un véritable enjeu juridique pour les particuliers comme pour les entreprises. Dans ce guide, le cabinet TLMR Avocats vous accompagne pas à pas pour faire valoir vos droits et reprendre la main sur votre image en ligne.

Qu’est-ce que le droit à l’oubli numérique ?

Définition du droit à l’oubli

Le droit à l’oubli numérique permet à toute personne de demander la suppression d’informations personnelles la concernant, lorsque ces données ne sont plus pertinentes, nuisent à sa réputation ou ne sont plus justifiées par un intérêt public.

Concrètement, cela signifie que vous pouvez demander à ce qu’un contenu, dans lequel vous êtes cité, disparaisse d’Internet, sous certaines conditions. Il peut s’agir d’un ancien article de presse, d’une photo publiée sur un blog, d’un message sur un forum ou encore d’un jugement judiciaire dont la publicité nuit à votre vie privée.

Exemple : vous avez été mis en cause dans une affaire judiciaire il y a dix ans, finalement classée sans suite. Pourtant, un article de presse continue de ressortir lorsque les internautes tapent votre nom sur Google. Grâce au droit à l’oubli, vous pouvez demander à ce que cet article ne soit plus associé à votre nom dans les résultats de recherche, voire qu’il soit supprimé à la source si sa diffusion n’a plus de fondement légitime.

Droit à l’effacement et droit au déréférencement : deux mécanismes complémentaires

Le droit à l’oubli numérique regroupe en réalité deux droits distincts :

Le droit à l’effacement au sens strict : il consiste à demander la suppression pure et simple d’un contenu à la source, c’est-à-dire sur le site internet qui héberge l’information.

Exemple : votre nom est associé à une marque dans un article de blog. Vous pouvez demander au propriétaire du site de retirer l’article.

Le droit au déréférencement : il permet de demander à un moteur de recherche (comme Google, Bing ou Qwant) de ne plus faire apparaître un lien précis dans les résultats de recherche liés à votre nom.

Exemple : un site web contient encore une information obsolète vous concernant. Vous pouvez demander à Google de ne plus l’afficher lorsque les internautes tapent votre nom dans la barre de recherche.

Ces deux mécanismes n’ont pas le même effet, mais ils sont complémentaires. Le déréférencement rend l’information plus difficilement accessible (car elle n’apparaît plus dans les résultats des moteurs de recherche), mais ne la supprime pas du web. L’effacement, lui, fait disparaître le contenu à la racine. L’information ne sera donc plus disponible sur le web.

Quelles sont les bases juridiques du droit à l’oubli ?

Le droit à l’oubli ne date pas d’hier. Il apparaît, en effet, dès 1995 dans la directive européenne relative à la protection des données personnelles, transposée en droit français en 2004. Cette directive posait déjà un principe essentiel : les données personnelles ne doivent être conservées que le temps strictement nécessaire à la finalité pour laquelle elles ont été collectées. Par ailleurs, la personne concernée est autorisée à demander l’effacement des informations la concernant.

Avec l’arrêt Google Spain c/ AEPD et Costeja González, rendu le 13 mai 2014, la Cour de justice de l’Union européenne (CJUE) fait entrer le droit à l’effacement dans l’ère du numérique et consacre un droit au déréférencement. Pour la première fois, un particulier se voit reconnaître la possibilité de demander à un moteur de recherche comme Google de ne plus faire apparaître certains résultats liés à son nom.

“L’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne”.

Enfin, avec l’entrée en vigueur du Règlement général sur la protection des données (RGPD) le 25 mai 2018, le droit à l’oubli numérique est pleinement consacré dans le droit européen. Son article 17, intitulé “Droit à l’effacement”, encadre désormais toutes les demandes d’effacement ou de déréférencement, en posant des conditions précises et des exceptions encadrées.

Comment exercer son droit à l’oubli numérique ?

Maintenant que vous savez ce qu’est le droit à l'oubli et quels sont ses fondements juridiques, voyons en détail comment le faire valoir.

Dans quels cas peut-on faire valoir le droit à l’oubli numérique ?

Vous pouvez actionner l’article 17 du RGPD lorsque :

• Les données ne servent plus la finalité initiale.
• Leur traitement ne repose que sur votre consentement et vous souhaitez maintenant le retirer.
• Les données font l’objet d’une opposition motivée de votre part qui l’emporte sur les intérêts du responsable de traitement.
• Les données ont été collectées ou publiées de manière illicite.
• Les données doivent être supprimées pour satisfaire à une obligation légale (par exemple après l’expiration d’un délai de conservation réglementaire).

Peut-on se voir refuser le droit à l’oubli ?

Le droit à l’oubli n’est pas un droit absolu. Lorsqu’une personne demande l’effacement ou le déréférencement d’une information, le responsable du traitement (moteur de recherche, site web, etc.) doit effectuer une mise en balance entre les droits du demandeur et d’autres droits ou intérêts légitimes protégés par la loi. Voici les principaux cas dans lesquels une demande peut être rejetée.

L’exercice de la liberté d’expression et d’information

C’est sans doute la limite la plus fréquente invoquée à l’égard du droit à l’oubli numérique. Lorsqu’un contenu présente un intérêt pour le débat public ou informe la population sur un sujet d’actualité, il peut être maintenu en ligne malgré la demande d’effacement.

Exemple : un article de presse évoque la condamnation d’un élu local pour abus de biens sociaux. Même si la peine a été effectuée, la publication peut rester en ligne et visible dans les résultats de recherche, car elle relève de l’intérêt général et de la liberté de la presse.

Le respect d’une obligation légale

Un responsable de traitement peut refuser d’effacer des données lorsqu’il est tenu par la loi de les conserver, par exemple pour des raisons fiscales, comptables ou réglementaires.

Exemple : une plateforme d’e-commerce ne pourra pas supprimer immédiatement les factures contenant vos données si elle est tenue de les archiver pendant 10 ans en vertu du Code de commerce.

Des fins d’archivage dans l’intérêt public

Certains contenus peuvent être conservés à des fins historiques, statistiques ou scientifiques. Cela permet de préserver la mémoire collective et l’accès aux sources pour les chercheurs ou les institutions publiques.

Exemple : un ancien article de journal évoquant un fait particulier peut être conservé dans une base d’archives numériques, même s’il nuit à la réputation d’un des protagonistes, au nom de la conservation patrimoniale.

Des motifs d’intérêt public dans le domaine de la santé publique

Dans certains cas, les données personnelles peuvent être conservées au nom de l’intérêt collectif, notamment en matière de santé publique (prévention, suivi épidémiologique, etc.).

Exemple : un professionnel de santé sanctionné pour faute grave ne pourra pas obtenir le déréférencement de cette information si elle présente un risque pour la sécurité des patients ou une utilité dans le cadre de la veille sanitaire.

La constatation, l’exercice ou la défense de droits en justice

Enfin, une demande d’effacement peut être refusée si les données sont nécessaires dans le cadre d’un litige en cours ou à venir, que ce soit en matière civile, pénale ou administrative.

Exemple : une entreprise mise en cause dans une affaire judiciaire peut refuser de supprimer certains e-mails ou documents internes si ces éléments peuvent servir de preuve dans un procès à venir.

En résumé, le droit à l’oubli doit toujours être évalué au cas par cas. Lorsqu’un intérêt supérieur, comme le droit à l’information ou la protection de l’intérêt public, est en jeu, il peut primer sur la demande de suppression. C’est pourquoi il est essentiel de construire un argumentaire solide et de s’appuyer sur un avocat pour défendre votre position.

À noter que des solutions intermédiaires peuvent être proposées comme l’anonymisation, des données, leur mise à jour ou encore leur contextualisation.

Comment demander l’effacement ou le déréférencement de vos informations ?

Comment obtenir le déréférencement d’un résultat de recherche ?

Voici les étapes à suivre :

• Identifiez les URL qui posent problème et les requêtes (généralement votre nom) sur lesquelles elles apparaissent.
• Remplissez le formulaire dédié du moteur : Google : «Demande de suppression de résultats dans l’UE» / Bing ou Yahoo (Microsoft) : «European privacy request» / Qwant : formulaire «Vie privée».
• Joignez une pièce d’identité et un exposé précis du préjudice (atteinte à la réputation, données périmées, etc.).
• Conservez une copie datée de la demande. Le moteur dispose de 30 jours pour répondre.

Comment obtenir l’effacement de vos informations ?

Dans ce cas de figure, vous devez :

• Identifier l’éditeur ou l’hébergeur du site web concerné via les mentions légales ou un service WHOIS.
• Adresser une demande écrite (email et courrier recommandé) rappelant l’article 17 du RGPD. Indiquez l’URL précise, la nature des données, la justification juridique et vos preuves.

L’éditeur (ou l’hébergeur) analyse le bien fondé de votre demande et doit vous faire parvenir sa réponse dans un délai maximum d’un mois (deux mois si la demande est complexe).

Quelle est la portée géographique du droit à l’oubli ?

L’effacement des données à la source (directement sur le site web concerné) ne pose en général aucune difficulté territoriale. Une fois les données supprimées, elles disparaissent pour tout le monde, partout dans le monde.

En revanche, le déréférencement soulève une question plus complexe. Le retrait des résultats de recherche doit-il s’appliquer uniquement sur les versions européennes du moteur (par exemple google.fr), ou sur toutes ses versions dans le monde (google.com, google.ca, etc.) ?

Exemple : une personne domiciliée en France obtient le déréférencement d’un article la concernant, visible sur google.fr. Mais si un internaute tape son nom sur google.com ou google.co.uk, le lien vers cet article apparaît toujours. Dans les faits, le contenu est donc encore facilement accessible pour quiconque contourne la version française du moteur.

Cette question a été tranchée par la Cour de justice de l’Union européenne en 2019 dans l’affaire Google LLC c/ CNIL. La Cour a estimé que Google n’était pas tenu de procéder à un déréférencement mondial, mais qu’il devait mettre en œuvre toutes les mesures raisonnables (comme le blocage par adresse IP) pour empêcher l’accès depuis l’Union européenne aux résultats concernés.

En résumé, le déréférencement s’applique au minimum à l’échelle européenne, mais pas nécessairement au niveau mondial, ce qui limite parfois l’efficacité réelle du droit à l’oubli.

Que faire en cas de refus d'effacement et de référencement de vos informations ?

Il arrive que votre demande de suppression ou de déréférencement soit refusée par un site web ou un moteur de recherche. Le responsable du traitement peut estimer que l'information est d’intérêt public, qu’il existe une obligation légale de conservation, ou que les conditions posées par le RGPD ne sont pas remplies.

Mais ce refus ne met pas fin à votre démarche. Vous disposez de deux recours principaux : saisir la CNIL ou engager une action en justice.

Saisir la CNIL

Ce recours est à la fois simple et souvent efficace. La Commission nationale de l’informatique et des libertés (CNIL) est l’autorité française chargée de faire respecter le RGPD. Si votre demande d’effacement ou de déréférencement a été ignorée ou refusée sans justification suffisante, vous pouvez déposer une plainte directement en ligne sur le site de la CNIL.

Pour cela, vous devez fournir :

• Une copie de votre demande initiale (lettre ou formulaire adressé au responsable du traitement).
• La réponse reçue (ou l’absence de réponse passée un délai de 30 jours).
• Tout document complémentaire utile pour évaluer le contexte (preuve de préjudice, atteinte à la vie privée, capture d’écran, etc.)

Une fois saisie, la CNIL peut :

• Investiguer auprès du responsable du traitement concerné.
• Lui adresser une mise en demeure.
• Ou même prononcer des sanctions financières si elle constate un manquement grave.
  

Bon à savoir : dans l’affaire C-129/21 du 27 octobre 2022, la Cour de justice de l’UE (CJUE) a rappelé les obligations de coordination entre les différents acteurs du traitement des données. Elle a jugé qu’un annuaire téléphonique ayant reçu une demande d’effacement devait informer les autres fournisseurs à qui il avait transmis les données, mais aussi prévenir l’opérateur téléphonique d’origine, afin qu’il cesse d’alimenter les listings concernés. Cette affaire illustre une règle essentielle : lorsqu’une demande d’effacement est acceptée, le responsable doit mettre en œuvre toutes les mesures techniques et organisationnelles nécessaires pour garantir l'effacement partout où les données ont été diffusées, y compris chez des tiers. La CNIL s’appuie régulièrement sur cette jurisprudence pour imposer aux entreprises de réellement faire disparaître les données, et pas seulement de les masquer.

Engager une action en justice pour faire valoir son droit à l’oubli

Si la voie administrative ne suffit pas ou si vous souhaitez obtenir une réparation du préjudice moral ou financier subi, vous pouvez porter l’affaire devant les juridictions civiles.

Deux types d’actions sont possibles :

• L’action en référé : rapide et adaptée à l’urgence, elle permet de demander, par exemple, le blocage immédiat d’un contenu ou le déréférencement sous astreinte.
• L’action au fond : elle vise à faire reconnaître officiellement une atteinte à vos droits et à obtenir, le cas échéant, des dommages et intérêts pour le préjudice causé (perte d’emploi, atteinte à la réputation, stress, etc.)

Dans tous les cas, il est vivement recommandé de vous faire accompagner par un avocat, notamment lorsque des enjeux de réputation, de carrière ou de dommages financiers sont en jeu. Le cabinet TLMR Avocats est à vos côtés pour analyser votre situation, constituer un dossier solide, et mener les démarches nécessaires pour faire valoir votre droit à l’oubli.