Le droit à l’oubli

Est-il possible d’effacer ses traces en lignes ?

Dans une certaine mesure, oui. Il s’agit du « droit à l’oubli » ou « droit d’effacement » qui n’est cependant pas absolu. Le droit à l’oubli concerne les données à caractère personnel. La législation sur la protection des personnes physiques à l’égard des traitements de données à caractère personnel du 30 juillet 2018 prévoit un droit à l’information concernant le traitement de nos données (art. 37-38) ainsi qu’un droit de rectification ou complétion si nos données à caractère personnel sont inexactes (art. 39). Le Règlement Général de la Protection des Données (RGPD) adopté par le Parlement européen le 27 avril 2016 et entré en vigueur le 25 mai 2018 prévoit, quant à lui, un droit à l’effacement (« droit à l’oubli » – art. 17), d’opposition (art. 20), ainsi qu’un droit de rectification (art. 16) ou de limitation (art. 18) du traitement de nos données personnelles.

Le droit à l’oubli signifie qu’il est possible de demander la suppression, auprès du responsable du traitement (par exemple un site internet), de nos données à caractère personnel. Mais le gestionnaire du site est en droit d’attendre une autre justification que ‘parce que vous n’appréciez pas trop cela’. Il faut par exemple prouver que la publication de vos données vous est réellement dommageable.

L’article 17 du RGPD prévoit les motifs pour lesquels vous pouvez recourir au droit à l’oubli :
a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
b) la personne concernée retire le consentement sur lequel est fondé le traitement […] (le consentement a dû être donné pour une ou plusieurs finalités spécifiques), et il n’existe pas d’autre fondement juridique au traitement ;
c) la personne concernée s’oppose au traitement […] du fait que le traitement des données à caractère personnel n’est pas licite, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement des données si celles-ci sont utilisées à des fins de prospection (action de trouver de nouveaux clients par téléphone par exemple) ;
d) les données à caractère personnel ont fait l’objet d’un traitement illicite ;
e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ;
f) les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information […] à destination d’enfants sans le consentement de ceux-ci s’ils sont âgés de 16 ans ou plus ou sans le consentement des leurs parents s’ils ont moins de 16ans.
En Belgique, cette « majorité numérique » a été fixée à 13 ans. A titre de comparaison, elle est fixée à 15 ans chez nos voisins français.
Source : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32016R0679#d1e2635-1-1

La demande doit par ailleurs être spécifique. Il s’agit donc plus exactement d’un droit d’opposition qui s’apprécie au cas par cas. En effet, le gestionnaire du site appréciera par exemple s’il n’y a pas des raisons légitimes que les données continuent à être traitées ou si la demande de suppression fait face à une des limitations du droit à l’oubli prévues par la RGPD. Par exemple, le droit à l’information ou encore la liberté d’expression de la presse. Il ne s’agit pas d’un véritable droit à l’oubli qui nous permettrait d’effacer toutes nos traces en ligne.

Un Arrêt de la Cour de justice de l’Union européenne du 13 mai 2014 a donné une nouvelle interprétation à ce « droit à l’oubli » et a remis cette terminologie teintée d’un certain glamour révolutionnaire à l’ordre du jour. La Cour a estimé qu’un moteur de recherche – en l’occurrence Google – traitait des données au même titre qu’un gestionnaire de site internet. La Cour a également établi que dès qu’une entreprise disposait de filiales commerciales sur le territoire européen, le droit européen de la protection de la vie privée s’appliquait. La cour a alors établi ce « droit à l’oubli » comme un droit au déréférencement par les moteurs de recherche afin que certaines données personnelles n’apparaissent plus dans les résultats de recherche. Les données en question seront supprimées des résultats de recherche si les faits concernés ne présentent plus/pas d’intérêt public et en effectuant toujours un exercice de pondération entre le droit à la protection de la vie privée et la liberté d’information et d’expression et d’autres droits fondamentaux, comme la liberté des médias.

La suppression des résultats de recherche n’implique cependant pas la suppression du contenu du site internet qui expose certaines de vos données personnelles. Ce n’est pas parce que Google ne référencera plus ces résultats qu’ils auront disparu et seront introuvables sur le Web. Google ne fermera qu’un chemin qui y mène. Une demande auprès du gestionnaire du site sera donc aussi nécessaire, basée sur la protection des données personnelles (le fameux droit d’opposition) ou sur le droit à l’image.

Ce « droit au déréférencement » est néanmoins très utile lorsque le nom d’une personne est mentionné sur plusieurs sites internet différents et qu’il est difficile d’écrire à chaque gestionnaire de sites distincts. S’il s’agit par contre d’un site en particulier, il est plus pertinent de d’abord demander au gestionnaire du site d’effacer vos données. Si celui-ci refuse, il est toujours possible de s’adresser à Google.

Dans tous les cas, pour qu’une demande de suppression de données à caractère personnel soit valable, il faut suivre une procédure spécifique que vous trouverez ci-dessous :

Comment introduire une demande de suppression de mes données ?

MAJ 2024