Le 6 décembre 2019, le Conseil d’État français a rendu 13 décisions exposant les exigences découlant de l’arrêt de la Cour de Justice de l’Union européenne rendu le 24 septembre 2019 qui répondait à une question du Conseil d’État. Ces décisions définissent le cadre dans lequel un exploitant de moteur de recherche doit, sous le contrôle de l’autorité chargée de la protection des données personnelles, respecter le droit au déréférencement.
Le cadre exposé par le Conseil d’État postule que le juge se prononce en tenant compte des circonstances et du droit applicable à la date à laquelle il statue. De même, le déréférencement d’un lien associant au nom d’un particulier une page web contenant des données personnelles le concernant est un droit. Par contre, le droit à l’oubli n’est pas absolu. Une balance doit être effectuée entre le droit à la vie privée du demandeur et le droit à l’information du public. L’arbitrage entre ces deux libertés fondamentales dépend de la nature des données personnelles. Le Conseil répartit en trois catégories les données personnelles qui sont concernées :
- les données dites sensibles (données les plus intrusives dans la vie d’une personne comme celles concernant sa santé, sa vie sexuelle, ses opinions politiques, ses convictions religieuse…
- les données pénales (relatives à une procédure judiciaire ou à une condamnation pénale),
- et les données touchant à la vie privée sans être sensibles.
La protection dont bénéficient les deux premières catégories est la plus élevée : il ne peut être légalement refusé de faire droit à une demande de déréférencement que si l’accès aux données sensibles ou pénales à partir d’une recherche portant sur le nom du demandeur est strictement nécessaire à l’information du public. Pour la troisième catégorie, le refus peut être justifié dès lors qu’il existe un intérêt prépondérant du public à accéder à l’information en cause. Les différents paramètres à prendre en compte, au-delà des caractéristiques des données personnelles en cause, sont le rôle social du demandeur (sa notoriété, son rôle dans la vie publique et sa fonction dans la société) et les conditions dans lesquelles les données ont été rendues publiques (par exemple, si l’intéressé a de lui-même rendu ces informations publiques) et restent par ailleurs accessibles.
Par ces décisions rendues le 6 décembre, le Conseil d’État fixe les conditions dans lesquelles doit être respecté le droit au déréférencement sur Internet prévu par le RGPD. Il est ainsi la première juridiction française à livrer, à Google et à la Commission nationale de l’informatique et des libertés (CNIL), un mode d’emploi du droit de l’oubli.
