Qu'est-ce que le droit au déréférencement ?

Depuis 2018, date d’entrée en vigueur du RGPD, il existe un article 17 RGPD consacré au “Droit à l'effacement («droit à l'oubli»)” qui laisse à penser que le “droit à l’effacement” et le “droit à l’oubli” sont synonymes mais que nenni !

Et depuis 2012, à la suite d’un arrêt remarqué de la Cour de justice de l’Union européenne (CJUE), la presse a parlé de la reconnaissance d’un droit à l’oubli alors qu’il s’agit en réalité d’un droit au déférérencement.

Démêlons cela 🤓

1- Le déréférencement qu’est-ce que c’est ?

Le référencement c’est le fait d’apparaître dans les résultats d’un moteur de recherche (comme par exemple Google). Le déréférencement c’est donc le fait de faire supprimer le résultat dans un moteur de recherche associé à l’identité d’une personne (nom et prénom).

⚠️ Le déréférencement conduit uniquement à la suppression du résultat de la recherche mais le contenu de l’information reste accessible sur le site web ou en utilisant d’autres critères de recherche que l’identité de la personne.

Quel est le lien entre droit à l’oubli et le droit au déréférencement ? Retour sur l’affaire Google Spain

Le droit au déréférencement a été initialement consacré par la Cour de justice de l’Union européenne (CJUE) bien avant le RGPD (entrée en vigueur en 2018) dans un arrêt de 2012 opposant Google Espagne, l’AEPD (la CNIL Espagnol) et Mario Costeja González.

Monsieur Costeja González a remarqué que lorsqu’il entrait son nom dans la barre de recherche Google, les liens qui apparaissait faisaient figurer l’annonce de vente aux enchères immobilières liée à une saisie en recouvrement de ses dettes.

L’AEPD a fait droit à la réclamation de l’intéressé et a ordonné la suppression du résultat de recherche à Google qui a fait appel de la décision devant la CJUE.

Cette dernière a donné raison à l’AEPD mais surtout à Monsieur Costeja González en consacrant le droit au déréférencement appelé depuis lors “droit à l’oubli” !

Or, le “droit a l’oubli” tel qu’il ressort du RGPD est en vérité beaucoup plus large que le droit au déréférencement. Il contient :

• Le droit à l’effacement qui permet la suppression définitive de contenu relatif à une personne.
• Et le droit au déréférencement des résultats des moteurs de recherche.

Comment faire une demande de déréférencement ?

Dorénavant, les moteurs de recherche ont l’obligation de mettre à disposition un formulaire en ligne de suppression des résultats de recherche. Pour Google, c’est par ici.

Pour plus d’information sur la marche à suivre, la CNIL a rédigé un petit guide pratique ici.

⚠️ La demande de déréférencement n’est pas toujours acceptée par le moteur de recherche en raison des différents intérêts en jeux comme par exemple l’information du public qui doit aussi être prise en compte (en application de l’article 17 §3, a) RGPD).

Par exemple, concernant la demande de déréférencement des liens renvoyant vers les interviews d’une personne concernant sa récente condamnation pour violences conjugales, le Conseil d’Etat a estimé que la CNIL, en dépit des répercussions pour cette personne, a eu raison de maintenir le référencement de ces liens qui était “strictement nécessaire à l'information du public”. Pour le lien vers la décision c’est par ici.

2- Le droit à l’effacement des données personnelles, qu’est-ce que c’est ?

Le droit à l'effacement des données personnelles est le deuxième élément du droit à l’oubli. Ce droit est consacré à l’article 17 RGPD.

Il s’agit de l’un des droits accordés aux personnes concernées par le traitement de leurs données personnelles (au même titre que le droit à l’opposition des données, à la limitation des données et à la portabilité des données). Pour plus d’information sur ces droits, c’est ici.

Pour résumer, une personne concernée par le traitement de ses données personnelles peut former une demande d’effacement définitif de ces données auprès du responsable de traitement (l’organisme qui collecte et utilise ces données) si l’une de ces conditions est remplie (article 17 §1 RGPD) :

• Les données ne sont plus nécessaires au regard de la finalité (objectif pour lequel l’organisme traite cette donnée),
• La personne concernée retire son consentement (uniquement lorsque la personne a expressément donné son consentement).
• La personne concernée exerce son droit à l’effacement des données personnelles après avoir exercé son droit à l’opposition (pour plus d’information sur le droit à l’opposition, c’est ici).
• Les données ont fait l’objet d’un traitement illicite (par exemple, sans recueillir le consentement de la personne alors que c’était nécessaire).
• La suppression de ces données est dictée par une obligation légale.
• Ces donnés appartiennent à un mineur (enfant moins de 16 ans au sens du RGPD).

Le responsable de traitement peut tout de même refuser la demande dans les cas suivants (article 17 §3 RGPD) :

• Le traitement est nécessaire à la liberté d’expression (liberté de la presse et information du public, par exemple à propos de la récente condamnation d’une personne).
• Le traitement est nécessaire à une obligation légale (le responsable de traitement doit conserver légalement ces données, par exemple en ce qui concerne les données comptables).
• Le traitement est nécessaire pour des motifs d’intérêt public dans le domaine de la santé.
• Le traitement est nécessaire à des fins d’archives historiques et de recherches scientifiques.
• Le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.

→ Concrètement, à la différence du droit au déréférencement, le droit à l’effacement des données personnelles concerne la suppression de l’information elle-même.

Pour plus d’information sur le droit à l’effacement, c’est par ici.

Et vous, avez-vous déjà eu des interrogations sur l’étendue de la protection des données personnelles ? Le logiciel RGPD Leto vous accompagne à chaque étape. Réserver une démo avec nos experts.