Le droit à l'oubli : peut-on effacer ses traces en ligne et comment doit-on procéder ?

En mai 2014, la Cour de justice européenne a rendu un arrêt reconnaissant un "droit à l'oubli", ou du moins une conséquence concrète de celui-ci : selon cet arrêt, tout citoyen européen peut demander à ce que ses données à caractère personnel n'apparaissent plus dans les résultats de moteurs de recherche en ligne si celles-ci sont erronées ou ne sont plus pertinentes. Le moteur de recherche le plus célèbre est bien entendu Google, qui a même déjà mis en ligne un formulaire pour introduire de telles "demandes d'oubli". Mais cela veut-t-il dire pour autant que n'importe qui puisse effacer toutes ses traces en ligne ? La réponse est non, même après l'arrêt de la Cour de justice européenne. Vous découvrirez ci-après ce que l'on entend précisément par "droit à l'oubli".

Qu'est-ce au juste que le droit à l'oubli ?

Le droit à l'oubli existe déjà en Belgique depuis 1998, année lors de laquelle la Loi vie privée belge a été adaptée à la directive européenne relative à la vie privée, qui contient ce droit. Celui-ci est décrit plus spécifiquement à l'article 12 de la Loi vie privée, bien que l'expression "droit à l'oubli" ne figure pas littéralement dans le texte de cette loi. Elle n'est utilisée que pour expliquer de manière intelligible ce dont il est question.

Le droit à l'oubli signifie que vous pouvez demander à ce que vos données à caractère personnel ne soient plus traitées, donc par exemple qu'elles ne soient plus rendues publiques sur un site Internet déterminé, mais cela ne peut se faire que "pour des raisons sérieuses et légitimes tenant à [votre] situation particulière". Cela implique tout d'abord que vous devez avoir une bonne raison pour demander la suppression de vos données. Autrement dit, "parce que vous n'aimez pas trop cela" ne sera pas une motivation suffisante. Vous devez pouvoir prouver que la publication de vos données est réellement dommageable pour vous. Ensuite, il doit s'agir également d'un cas spécifique ("situation particulière"). Vous ne pouvez donc pas, par une seule demande adressée à Google, faire disparaître d'un coup tout ce qui a été publié en ligne à votre sujet ou tout ce que vous avez publié vous-même.

Quels sont les changements apportés par l'arrêt de la Cour de justice européenne ?

Si le droit à l'oubli existe déjà depuis 1998, vous vous demandez peut-être pourquoi un arrêt de la Cour de justice européenne était encore nécessaire. L'arrêt se réfère à un situation particulière et a principalement répondu à deux questions relatives aux moteurs de recherche:

  1. Un moteur de recherche traite-t-il des données à caractère personnel comme le fait un gestionnaire de site Internet ?
  2. La Loi vie privée belge s'applique-t-elle à des moteurs de recherche non belges ?

En réponse à la première question, la Cour affirme qu'un moteur de recherche rend des données accessibles à tous, alors qu'autrement, ces données ne seraient pas disponibles ou seulement de manière très limitée. La Cour estime dès lors qu'un moteur de recherche traite des données et est responsable de ce traitement. Google a réagi en argumentant qu'il était une entreprise américaine et que la législation européenne ne lui était dès lors pas applicable. La Cour annihile toutefois ce raisonnement en établissant que Google dispose de filiales commerciales sur le territoire européen, auxquelles est donc applicable la directive européenne relative à la vie privée. Étant donné que Google dispose d'un établissement en Belgique, la Loi vie privée en tant que transposition de la directive européenne relative à la vie privée s'applique également.

Si je ne veux pas que mes données soient publiées sur un site Internet déterminé, dois-je m'adresser à Google pour supprimer ce site Internet des résultats de recherche ?

S'il s'agit d'un seul site Internet en particulier, vous devez prendre contact en premier lieu avec le gestionnaire de ce site pour faire supprimer vos données. Si le gestionnaire du site Internet refuse de le faire, vous pouvez éventuellement vous adresser à Google. Si votre nom est mentionné sur de nombreux sites Internet différents et qu'il est pratiquement impossible d'écrire à chaque gestionnaire de site distinct, vous pouvez introduire la demande directement auprès de Google. Toutefois, lorsque vous adressez une demande à Google, vos données à caractère personnel continuent à apparaître sur ce(s) site(s) Internet. Google ne fera que fermer le chemin qui y mène.

Attention : dans tous les cas, la Loi vie privée vous impose de suivre une procédure spécifique pour demander la suppression de vos données, faute de quoi votre demande ne sera pas valable. Vous trouverez ci-dessous la description de cette procédure. Si vous n'approuvez pas le refus de votre demande, vous pouvez soit contacter la Commission vie privée soit vous adresser au tribunal (voir ci-dessous la rubrique "Que faire si l'on n'accède pas à ma demande de supprimer des données ?").

Comment introduire une demande de suppression de mes données auprès d'un site Internet ?

Vous devez introduire votre demande par écrit. Veillez à dater et signer votre demande. Joignez-y également une preuve de votre identité, par exemple une copie de votre carte d'identité. Le gestionnaire du site Internet est ainsi certain de votre identité et l'on évite qu'un tiers demande la suppression de vos données en votre nom. Indiquez clairement les raisons sérieuses que vous invoquez pour faire supprimer vos données.

Une fois votre demande introduite, le gestionnaire du site Internet a un mois pour vous répondre. Si le gestionnaire refuse, vous pouvez également attendre de lui qu'il motive ce refus. Lors de l'examen de votre demande, le gestionnaire du site Internet doit trouver un équilibre entre votre intérêt de protéger votre vie privée et l'intérêt de la société d'être informée.

Comment introduire une demande de suppression de mes données auprès de Google ?

Google a mis en ligne un formulaire spécifique pour introduire votre demande.

Une fois votre demande introduite, Google a un mois pour vous répondre. S'il refuse, vous pouvez également attendre de lui qu'il motive ce refus. En examinant votre demande, Google doit trouver un équilibre entre votre intérêt en tant que personne concernée de protéger votre vie privée et l'intérêt de la société d'être informée.

Que faire si l'on n'accède pas à ma demande de supprimer des données ?

Si vous êtes convaincu(e) d'avoir donné une bonne raison de faire supprimer vos données mais que votre demande a été refusée, vous pouvez contacter la Commission vie privée et/ou vous adresser au tribunal. Important : dans tous les cas, vous devez d'abord demander vous-même la suppression de vos données et respecter à cet effet la procédure de la Loi vie privée (voir ci-dessus la rubrique "Comment introduire une demande de suppression de mes données auprès d'un site Internet ?") avant que la Commission vie privée ou le tribunal puissent intervenir.

Jusqu'à présent, la compétence de la Commission se limite à intervenir en tant que médiateur. Elle peut donc uniquement évaluer si, à son avis, le refus est fondé. Dans la négative, elle peut faire pression sur le gestionnaire du site Internet en question pour faire quand même supprimer vos données, sans pour autant pouvoir l'imposer. Pour cela, vous devez vous adresser au tribunal. Vous pouvez également choisir de ne pas solliciter la Commission vie privée et vous adresser directement au tribunal, mais de nouveau, uniquement si vous avez déjà adressé vous-même une demande valable de suppression de vos données au gestionnaire du site Internet.