Droit à l’oubli de l’article 17 du RGPD : le déréférencement a-t-il une portée mondiale, européenne ou nationale ?

L'article 17 du Règlement Général sur la Protection des Données Personnelles (RGPD) a consacré le droit à l'oubli .

Celui-ci précise que la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant.

Le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais lorsque l'un des motifs suivants s'applique :

Lorsque le responsable du traitement a rendu publiques les données à caractère personnel et qu'il est tenu de les effacer, il doit prendre des mesures raisonnables compte tenu des technologies disponibles et des coûts de mise en œuvre.

Le droit à l'oubli ne s'applique néanmoins pas lorsque le traitement est nécessaire :

Par application de l'article 17 du RGPD, la CNIL a prononcé en 2016 une sanction pécuniaire publique à l'encontre de Google qui ne s'était pas conformée à une mise en demeure de rendre effectif le déréférencement sur l'ensemble des versions nationales de son moteur de recherche.

La CNIL considérait en effet que seul un déréférencement mondial était de nature à permettre une protection effective des droits des personnes.

Google a contesté la décision de la CNIL devant le Conseil d'État.

Le Conseil d'État a saisi la Cour de justice de plusieurs questions préjudicielles visant à savoir si les règles du droit de l'Union relatives à la protection des données à caractère personnel doivent être interprétées en ce sens que, lorsqu'un moteur de recherche fait droit à une demande de déréférencement, il est tenu de l'opérer avec une portée, mondiale, européenne ou nationale.

Par un arrêt du 24 septembre 2019, la Cour de Justice de l'Union Européenne (CJUE) a précisé qu'en l'état actuel, " il n'existait pas, pour l'exploitant d'un moteur de recherche qui fait droit à une demande de déréférencement formulée par la personne concernée, le cas échéant, suite à une injonction d'une autorité de contrôle ou d'une autorité judiciaire d'un État membre, d'obligation découlant du droit de l'Union de procéder à un tel déréférencement sur l'ensemble des versions de son moteur ".

La CJUE a néanmoins jugé que le droit de l'Union obligeait le moteur de recherche à opérer un déréférencement dans l'ensemble des États membres, et non dans le seul État membre de résidence du bénéficiaire droit à l'oubli.

La CJUE a également précisé que si le droit de l'Union n'imposait pas un déréférencement mondial, il ne l'interdisait toutefois pas.

Dès lors, la CJUE conclut qu'une " autorité de contrôle ou une autorité judiciaire d'un État membre demeure compétente pour effectuer, à l'aune des standards nationaux de protection des droits fondamentaux une mise en balance entre, d'une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d'autre part, le droit à la liberté d'information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l'exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l'ensemble des versions dudit moteur ".

Par un arrêt du 27 mars 2020, le Conseil d'Etat a tiré les conséquences de la décision rendue par la CJUE en :

• Jugeant que le droit à l'oubli en vertu de l'article 17 du RGPD avait une portée européenne ;
• Jugeant que législateur français n'a pas adopté de dispositions spéciales permettant à la CNIL d'opérer un déréférencement excédant le champ prévu par le droit de l'Union, limitant ainsi son pouvoir à un déréférencement européen, et non mondial.