Journal de l'économie

Envoyer à un ami
Version imprimable

E-réputation : Petit guide d'effacement et de déréférencement sur Internet





Le 9 Septembre 2020, par Olivier de Maison Rouge

Une bonne veille commence par soi-même. En matière de cyberisques, il est en effet conseillé – même si cela doit froisser certains egos – de scruter régulièrement Internet pour voir dans les résultats apparaissant ce qu’il est dit de soi ou de sa structure. Cela permet d’en avoir une opinion extérieure, d’une part, mais aussi d’identifier les atteintes réputationnelles dirigées contre une organisation d’autre part.


E-réputation : Petit guide d'effacement et de déréférencement sur Internet
Cela participe à la bonne gestion de l’e-réputation, qui traduit tout à la fois un effort de veille et d’influence.
 
Certains résultats peuvent chagriner les cibles nommément désignées dans certaines pages Web, mais aussi relever purement et simplement des atteintes à la liberté d’expression en vertu de la loi de 1881, telles que l’injure ou la diffamation.
Mais au demeurant, les ripostes juridiques peuvent être difficiles à mettre en œuvre, et surtout chronophages.
 
C’est pourquoi, dans le cadre d’une bonne administration d’une e-reputation, il faut également savoir privilégier des actions auprès des intermédiaires, ce d’autant que le RGPD a ouvert de nouvelles voies.
 
Nous proposons à ce titre ce petit guide pratique.
 
La responsabilité autonome du moteur de recherche
 
La CJUE déconnecte l'obligation du moteur de recherche de celle de l'éditeur de la page web litigieuse[1] :
 
« À cet égard, il y a lieu de souligner que le traitement de données à caractère personnel effectué dans le cadre de l’activité d’un moteur de recherche se distingue de et s’ajoute à celui effectué par les éditeurs de sites web, consistant à faire figurer ces données sur une page Internet. ».
 
L'étendue de la responsabilité du moteur de recherche peut se justifier à plusieurs égards. En premier lieu, l'existence de plusieurs couches autonomes de traitement de données a pour conséquence que celui-ci prenne toute sa part au retrait des données litigieuses.
De surcroît, en ce qu'il permet l'agrégation des données personnelles et facilite leur accessibilité, le moteur de recherche démultiplie l'atteinte à la vie privée.
 
Par conséquent, au travers de cet arrêt, la CJUE a reconnu qu’un exploitant de moteur de recherche sur Internet est responsable du traitement qu’il effectue des données à caractère personnel qui apparaissent sur des pages web publiées par des tiers:
 
« d'une part, l'activité d'un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de « traitement de données à caractère personnel » lorsque ces informations contiennent des données à caractère personnel et, d'autre part, l'exploitant de ce moteur de recherche doit être considéré comme le « responsable » dudit traitement. ».
 
Puisque l’exploitant de moteur de recherche sur Internet est responsable du traitement litigieux des données personnelles, il est nécessaire d’établir quelle est l’obligation la plus adéquate qu’il convient d’imputer à son encontre :
 
Analyse comparée du droit à l’oubli et du droit au déréférencement :
 
  1. Distinction de leurs finalités  
L’article 17 du RGPD instaure un droit à l’oubli « véritable ». Celui-ci est souvent confondu avec le droit au déréférencement. Cependant leurs finalités divergent.
 
             a) Le droit à l’oubli: effacement des contenus  
             Le droit à l’oubli tend à fournir à « la personne concernée », c’est à dire une personne physique identifiée ou identifiable, un droit particulier:
« le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant ».2

             b) Le droit au déréférencement: désindexation des contenus 
             Le droit au déréférencement n’a en revanche pas pour conséquence l’effacement de ces informations des pages web sur lesquelles elles ont été publiées. Celui-ci permet, sur demande de l’intéressé, de supprimer de la liste des résultats obtenus à la suite d’une recherche effectuée par le nom d’une personne des liens vers des pages web publiées par des tiers et contenant des informations relatives à cette personne. En d’autres termes, le déréférencement contribue à désindexer des contenus dans les résultats de requêtes d’un moteur de recherche à partir d’un mot-clé.
 
             Par conséquent, en raison de la différence de degré de suppression des informations, ces deux droits font naître concomitamment, des obligations distinctes à l’encontre du responsable du traitement.
 
  1. Distinction des obligations du responsable du traitement :

    a) L’obligation fortement conditionnée d’oublier   
             Dans le cadre de l’usage du droit à l’effacement, « le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais ».
Cependant, le succès de cette requête est conditionné à l’existence de l’un de ces motifs:
  • les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière;
  • la personne concernée retire le consentement sur lequel est fondé le traitement et il n’existe pas d’autre fondement juridique au traitement;
  • la personne concernées s’oppose au traitement, et il n’existe pas de motif légitime impérieux pour le traitement;
  • les données à caractère personnel ont fait l’objet d’un traitement illicite;
  • les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’Etat membre auquel le responsable du traitement est soumis;
  • les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information aux enfants;
     
  En outre, le succès de cette requête est conditionné à l’absence de l’une de ces circonstances:
 
  • le traitement est nécessaire à l’exercice du droit à la liberté d’expression et d’information;
  • le traitement est nécessaire pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’Etat membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement;
  • le traitement est nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique;
  • le traitement est nécessaire à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où le droit à l’oubli est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement,
  • le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.  

    b) L’obligation faiblement conditionnée de déréférencer  
             La CJUE retient l’article 12 de la directive 95/46 concernant le droit d’accès et plus précisément, le droit de rectification, d’effacement et de verrouillage des données ainsi que l’article 14 concernant le droit d’opposition afin d’obliger l’exploitant d’un moteur de recherche sur Internet à déréférencer une information:
« l'exploitant d'un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l'hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite. ».[3]
 
En outre, la CJUE se satisfait de la seule constatation de l’atteinte à la vie privée afin d’obliger à déréférencer et ce, sans qu’il ne soit nécessaire d’établir un préjudice à l’égard de la personne concernée:
« il convient notamment d'examiner si la personne concernée a un droit à ce que l'information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d'une recherche effectuée à partir de son nom, sans pour autant que la constatation d'un tel droit présuppose que l'inclusion de l'information en question dans cette liste cause un préjudice à cette personne. »
 
Si l’article 7 de la charte des droits fondamentaux de l’Union Européenne portant sur le respect de la vie privée et familiale et l’article 8 de cette même charte portant sur la protection des données à caractère personnel prévalent sur l’intérêt économique de l’exploitant du moteur de recherche, ainsi que sur l’intérêt du public à accéder à l’information lors d’une recherche portant sur le nom de cette personne, tel n’est pas le cas « s'il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question. ».
 
             S’il apparaît plus avantageux d’utiliser le droit à l’oubli dans la mesure où l’intensité dans la suppression des informations litigieuses est plus élevée par rapport au recours du droit au déréférencement, il convient de constater que l’obligation d’oublier est plus conditionnée que celle de déréférencer, de telle sorte qu’il soit plus aisé de recourir à la pratique de la désindexation des contenus dans les résultats de requêtes d’un moteur de recherche à partir d’un mot-clé, que d’effacer les informations concernées.

3. Distinction des procédures d’effacement et de déréférencement

       a) La procédure d’effacement
           L’article 12 du RGPD prévoit que le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application du droit à l’oubli, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement

Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel.

Concrètement, afin de procéder à l’effacement des informations litigieuses, en premier lieu, il convient d’identifier l’organisme, puis de se rendre sur la page d’information réservée à l’exercice des droits de la personne concernée sur son site internet dans le dessein d’obtenir les coordonnées du délégué à la protection des données ou du responsable des traitements.

L’exercice de la demande de droit d’effacement peut se faire par voie électronique ou par courrier. Dans ces deux cas, il
importe d’indiquer précisément les données à effacer et fournir les documents permettant de prouver l’identité de la 
 personne procédant à cette requête.
 
 Il est conseillé de procéder à la demande d’effacement par le biais d’un courrier respectant cette forme:

En outre, il convient de conserver une copie de chaque démarche par le biais d’une capture d’écran ou d’un accusé de réception.
 
En effet, en cas de réponse insatisfaisante ou d’absence de réponse sous un mois, ces éléments constitueront des preuves dans le cadre de la saisie de la CNIL.

          b) La procédure de déréférencement  
             Concrètement, afin de procéder au déréférencement des informations litigieuses, il convient de rechercher le formulaire ou les coordonnées du moteur de recherche.
 
Les principaux moteurs de recherche (Qwant, Google, Bing, Yahoo! …) mettent à disposition un formulaire de demande de suppression de résultats de recherche aisément accessible.
 
De la même manière que pour la procédure d’effacement, il importe de conserver une copie des démarches effectuées afin de pouvoir fournir les pièces à l’appui d’une plainte auprès de la CNIL lorsque ces délais préalablement cités ne furent pas respectés.
 
Par conséquent, le droit d’effacement nécessite de retrouver les coordonnées d’un responsable de site, ce qui peut parfois poser problème dans l’identification du contact auprès duquel il convient d’exercer ses droits, alors que le droit de déréférencement oblige simplement à rechercher le formulaire ou les coordonnées du moteur de recherche, ce qui constitue une démarche plus aisée.


Par Olivier de MAISON ROUGE
Avocat – Docteur en droit
Dernier livre publié « Survivre à la guerre économique. Manuel de résilience », VA Editions, 2020


[1] Arrêt CJUE, gr. ch., 13 mai 2014, aff. C_131/12, Google Sapin SL et a.
[2] Article 17 du RGPD, Paragraphe 1
[3] CJUE, gr. ch., 13 mai 2014, aff. C_131/12, Google Sapin SL et a.


France | International | Entreprises | Management | Lifestyle | Blogs de la rédaction | Divers | Native Advertising | Juris | Art & Marché | Prospective | Industrie immobilière | Intelligence et sécurité économique - "Les carnets de Vauban"



Les entretiens du JDE

Institut Sapiens : « Les concessions autoroutières préservent l’intérêt général »

​Jean-Luc Favène, Directeur Général de Lissac : "Notre modèle de franchise à tout pour séduire indépendants et primo-franchisés"

Quand Wall Street revêt les ailes d’Icare

La France doit consacrer l’importance stratégique d’une filière de l’hygiène

Sacha Lazimi (Yubo) : « En termes de communauté, nous sommes la première application sociale 100 % made in France »

Relance économique : de la nécessité d’intégrer la sécurisation des échanges inter-entreprises

Le chômage américain baisse… si vous excluez les CDD

TwentyTwo Real Estate: "agilité et rigueur face au risque" (Daniel Rigny)













Rss
Twitter
Facebook