Recommandations sur le droit à l’oubli par Reporters sans frontières et La Quadrature du Net

La décision Google Spain de la Cour de justice de l'Union européenne (CJUE), rendue le 13 mai 2014, a mis au grand jour la problématique du droit au déréférencement, et plus largement du droit à l'oubli, pour la protection de la liberté d'expression et du droit à l'information. La vie privée et la liberté d’expression sont des droits fondamentaux de valeur équivalente (Articles 8 et 10 de la Convention européenne des droits de l'Homme, articles 8 et 11 de la Charte des droits fondamentaux de l'Union européenne). Lorsqu'ils entrent en conflit, ils doivent être mis en balance dans chaque cas d’espèce, sous l'autorité du juge, l’un ne pouvant prévaloir sur l’autre par principe. Par sa décision, la CJUE impose aux moteurs de recherche tels que Google de prendre en charge les demandes de déréférencement formulées par les internautes, déléguant de fait à un acteur privé une tâche revenant normalement à l'autorité judiciaire, seule compétente pour garantir les libertés individuelles. Cette délégation est d'autant plus dangereuse que l'arrêt se fonde sur des principes vagues et généraux qui n'apportent aucune garantie pour la liberté d'expression. Suite à cette décision, Google a mis en place un comité consultatif qui travaille actuellement à déterminer des règles plus précises permettant aux moteurs de recherche de répondre aux demandes de déréférencement qui leur sont adressées. Si les questionnements de Google sur la manière de trouver un juste équilibre entre le droit au déréférencement d'une personne et la liberté d'expression et d'information du public sont parfaitement légitimes, le fait que ce soit une entreprise privée qui s'en saisisse accentue la privatisation rampante de l'application de la régulation d'Internet et est de ce point de vue inacceptable. Dans le même temps, les autorités nationales de protection des données (telles la Cnil en France) se sont elles aussi attelées à l'édiction de règles précises pour faire suite à l'arrêt de la CJUE. Mais, ce faisant, elles outrepassent leurs prérogatives. En l'absence d'une législation suffisamment claire en la matière, ces autorités administratives sont à la fois illégitimes et incompétentes pour adopter et appliquer des règles visant à garantir un équilibre entre la protection de la vie privée et la liberté d'expression. La réponse doit donc venir des législateurs européens et nationaux. C'est à eux qu'incombe la responsabilité de mettre en place un cadre juridique clair, prenant pleinement en compte la liberté d'expression, et dont la mise en œuvre devra relever de l'autorité judiciaire. Dans cet esprit, Reporters sans frontières et La Quadrature du Net se sont associées pour travailler sur une série de points de vigilance et de recommandations destinés à assurer une conciliation raisonnable entre le droit à la vie privée et la liberté d'expression, sous l'égide du juge judiciaire et non d'acteurs privés ou administratifs. Ce sont ces réflexions qui sont aujourd'hui soumises au débat.

1. Sur l'application abusive du droit des données personnelles aux contenus éditoriaux

En France

En définissant de manière large "les données à caractère personnel" ("toute information concernant une personne physique identifiée ou identifiable"), le régime de protection des données personnelles inscrit dans la directive du 24 octobre 1995 trouve à s'appliquer aux contenus éditoriaux, en dépit de l'exception journalistique énoncée à l'article 9 de la même directive et que l'on retrouve à l'article 67 de la loi Informatique et Libertés française. De fait, outre le droit au déréférencement ouvert par la CJUE, le droit des données personnelles est déjà largement utilisé pour faire obstacle à la liberté d'expression, sous l'autorité de la Cnil. En témoignent les propos de Mme Isabelle Falque-Pierrotin, présidente de la Cnil: "Les plaintes concernant le droit à l’oubli sont quasiment toutes honorées, et le contenu est retiré. Il s’agit de propos dans des blogs, d’une image qui ne plaît pas, d’une décision judiciaire qu’on veut supprimer." ([Le Monde, 19 mai 2014)] Le recours au droit des données personnelles pour obtenir le retrait de publication (à travers le droit d'opposition et de rectification) constitue un contournement extrêmement dangereux de la loi du 29 juillet 1881 sur la liberté de la presse (notamment de ses garanties procédurales, comme la prescription trimestrielle). Le projet de règlement relatif aux données personnelles, qui est actuellement en discussion à Bruxelles et qui contient plusieurs dispositions relatives au droit à l'oubli, risque de renforcer cet état de fait. A l'inverse, dans une ordonnance du 12 octobre 2009, le vice président du Tribunal de grande instance de Paris a jugé que "le principe constitutionnellement et conventionnellement garanti de la liberté d'expression interdit de retenir une atteinte distincte liée à une éventuelle violation des règles instituées par la loi du 6 janvier 1978, laquelle n'est pas une des normes spécialement instituées pour limiter cette liberté dans le respect du second alinéa de l'article 10 de la convention européenne susvisée (la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales)". Dans le même sens, un arrêt de la cour d’appel de Paris du 26 février 2014 précise que la désindexation d’un article peut porter atteinte à la liberté de la presse. Il est ainsi jugé "qu'imposer à un organe de presse, de supprimer de son site Internet dédié à l'archivage de ses articles, lequel ne peut s'assimiler à l'édition d'une base de données de décisions de justice, soit l'information elle-même, le retrait des noms et prénoms des personnes visées par la décision vidant l'article de tout intérêt, soit d'en restreindre l'accès en modifiant le référencement habituel, excèdent, ainsi que l'a estimé le tribunal les restrictions qui peuvent être apportées à la liberté de la presse".

En Europe

Au niveau européen, dans une décision du 16 juillet 2013, la Cour européenne des droits de l’homme (CEDH), a rejeté la demande de deux avocats polonais de supprimer un article, reconnu diffamatoire par la justice polonaise, mais qui demeurait accessible sur le site internet du journal. Cherchant un équilibre entre le droit à la réputation et le droit à l’information, la CEDH déclarait que le retrait du contenu en question « constituerait une censure et équivaudrait à réécrire l’histoire». Ces décisions apportent des précisions bienvenues sur la portée qui doit être donnée à l'exception journalistique. En effet, les dispositions relatives à la protection des données personnelles ne sauraient limiter la liberté d'expression. Elles doivent demeurer inapplicables pour l'ensemble des contenus éditoriaux et toute information d'intérêt public. Face aux velléités des États membres de l'Union européenne de faire suite à l'arrêt de la CJUE en renforçant considérablement la portée des droits à l'oubli et à l'effacement, il importe au contraire de limiter ces derniers pour protéger la liberté d'expression. Le règlement doit être amendé afin de renforcer l'exception journalistique en l'étendant à tous les contenus éditoriaux et autres informations d'intérêt public. Une fois cette clarification législative actée, la conciliation du droit à la vie privée et de la liberté d'expression pourra se faire de manière équilibrée sous l'empire du droit national et international et la jurisprudence afférente (par exemple, en France, l'article 9 du code civil ou les articles 226-1 et 226-2 du code pénal), tout en respectant les garanties existantes en matière de liberté d'expression (notamment celles contenues dans la loi sur la presse de 1881).

Recommandations

- L'arbitrage entre droit à la vie privée et liberté d'expression doit se fonder sur les dispositions de droit commun ou le cas échéant, dans le respect des garanties applicables au droit de la presse, et non sur le droit spécial des données personnelles. - Dans le cadre des négociations en cours sur le règlement européen sur les données personnelles, élargir l'exception journalistique à l'ensemble des contenus éditoriaux et informations d'intérêt public et limiter le champ d'application du droit à l'oubli prévu à l'article 17 aux données personnelles mises en ligne par la personne elle-même. - Dans l’attente de l'adoption du règlement européen, instaurer un moratoire sur les mesures fondées sur ce droit spécial qui restreignent la liberté d'expression et le droit à l'information. À défaut, adopter des mesures transitoires pleinement respectueuses de la liberté d'expression. - Au niveau de l'Union européenne, réfléchir à l'opportunité de compléter les règles en matière de protection de la vie privée en adoptant un cadre protecteur de la liberté d'expression, notamment pour concilier ces deux droits fondamentaux.

2. Sur le rôle des moteurs de recherche dans l'accès à l'information

En retenant une conception large de la notion de "responsable du traitement de données personnelles", la Cour de justice de l'Union européenne a donné compétence à une entreprise privée pour traiter les demandes de déréférencement en soumettant les moteurs de recherche aux obligations auxquelles sont soumis les responsables de traitement de données personnelles. Le raisonnement de la CJUE semble résulter d’une vision conservatrice et erronée de l’Internet et du rôle des moteurs de recherche dans la communication. En effet, à aucun moment la Cour ne précise le rôle des moteurs de recherche dans la collecte d’information et leur contribution à l’exercice de la liberté d’expression, la Cour se contentant de souligner les risques plus grands induits par Internet « en raison du rôle important que jouent Internet et les moteurs de recherche dans la société moderne, lesquels confèrent aux informations contenues dans une telle liste de résultats un caractère ubiquitaire ». Or, si Internet et les moteurs de recherche peuvent effectivement accroître les risques pour la protection de la vie privée, ils jouent symétriquement un rôle positif du point de vue de la liberté d'expression. Ainsi, le 4 avril 2012, le Comité des ministres du Conseil de l’Europe adoptait une recommandation sur la protection des droits de l’homme dans le contexte des moteurs de recherche ([Comité des ministres, 4 avril 2012, recommandation sur la protection des droits de l’homme dans le contexte des moteurs de recherche)]. Il y souligne que « les moteurs de recherche permettent au public du monde entier de rechercher, de recevoir et de communiquer des informations, des idées et d’autres contenus, en particulier, d’avoir accès au savoir, de prendre part à des débats et de participer aux processus démocratiques. » Dans un récent rapport, le Conseil d'Etat juge encore que « le déréférencement affecte la liberté d'expression de l'éditeur du site en rendant l'information publiée moins accessible et en le ramenant ainsi à la situation antérieure à Internet » ([Conseil d'Etat, Étude annuelle 2014. Le numérique et les droits fondamentaux, p. 188)]. En raison de leur rôle de facilitateur d’accès à des contenus éditoriaux ou des informations d'intérêt public présents dans l'espace public, il y a donc un risque important à considérer les moteurs de recherche comme des responsables de traitement de données personnelles. Cela encouragerait en effet l'extrajudiciarisation de mesures affectant directement la liberté d'expression et le droit à l'information permis par Internet et ne permettrait pas une prise en compte suffisante des différents intérêts et droits en présence. En outre, comme l'a constaté l'avocat général Niilo Jääskinen dans ses conclusions dans l'affaire Google Spain, considérer l'activité des moteurs de recherche en tant que telle comme relevant du traitement de données à caractère personnel serait proprement « absurde ». En effet, selon lui, « si les fournisseurs de services de moteur de recherche sur Internet étaient considérés comme des responsables du traitement de données à caractère personnel sur des pages web source de tiers et que figuraient sur ces pages des «catégories particulières de données», telles que visées à l’article 8 de la directive (c’est-à-dire des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que des données relatives à la santé et à la vie sexuelle), l’activité du fournisseur de services de moteur de recherche sur Internet deviendrait automatiquement illégale, dès lors que les conditions strictes prévues dans cet article pour le traitement de telles données ne seraient pas remplies.» Notamment pour cette raison, y compris dans les cas de liens vers des contenus non-éditoriaux ou ne relevant pas de l'intérêt public, l'activité des moteurs de recherche ne doit pas relever du statut de responsable de traitement de données à caractère personnel. Dans de tels cas, c'est à la source qu'il faut agir, en exigeant du responsable du traitement de données personnelles de retirer ou de corriger les informations qu'il diffuse sur Internet et qui ont par la suite été indexées par le moteur de recherche. Il serait toutefois opportun de donner aux autorités de protection des données un pouvoir d'injonction sur les moteurs de recherche pour qu'ils mettent à jour leurs résultats de recherche : suite à l'exercice de leur droit d'opposition ou de rectification auprès du responsable de traitement, les utilisateurs pourraient saisir leur autorité nationale pour qu'elle ordonne aux moteurs de recherche la correction ou la suppression d'informations contenus dans les extraits de copies de pages web ou dans leur cache (à l'image des décisions de justice qui ordonnent le déréférencement de liens pointant vers des contenus illicites).

Recommandations

- Amender le règlement européen sur les données personnelles pour considérer que, en tant qu'ils sont essentiels à l'exercice du droit à l'information et dès lors qu'ils fournissent des liens vers des contenus éditoriaux et des informations d'intérêt public, les moteurs de recherche et autres intermédiaires "facilitateurs d’accès à l’information" fournissant des liens vers de tels contenus doivent être couverts par l'exception journalistique élargie et ne pas relever de la qualification de responsable de traitement de données à caractère personnel. - En cas de fourniture de liens vers des traitements de données personnelles ne relevant pas de contenus éditoriaux ou d'informations d'intérêt public, donner aux autorités de protection des données la compétence d'enjoindre aux moteurs de recherche la mise à jour des informations présentées dans les résultats de recherche, sans pour autant les considérer comme des responsables de traitement.

3. Sur les droits de la défense et les procédures adéquates

Dans un État de droit, il n'appartient ni à des acteurs privés, ni même aux Cnil européennes de déterminer l'équilibre entre la protection de la vie privée et la liberté d'expression. S'agissant du retrait de contenus par des acteurs privés, le Conseil constitutionnel avait relevé en marge de sa décision de 2004 sur la Loi pour la confiance dans l'économie numérique que « la caractérisation d’un message illicite peut se révéler délicate, même pour un juriste » (Les Cahiers du Conseil constitutionnel, Commentaire de la décision n° 2004-496 DC du 10 juin 2004, Cahiers du Conseil constitutionnel, n° 17, p. 4.). Une observation qui, par analogie, vaut également pour les mesures de déréférencement mises en œuvre par les moteurs de recherche dans la mesure où ces dernières restreignent la liberté d'expression et le droit à l'information. Le droit au procès équitable pour les auteurs et éditeurs de contenus déréférencés ne peut être honoré si l'examen des demandes est confié à un acteur privé. De même, les autorités de protection des données personnelles n'ont ni la compétence, ni la légitimité pour procéder à l'examen de ces demandes et déterminer les limites de la liberté d'expression. Comme l’a précisé le Conseil Constitutionnel dans sa décision du 10 juin 2009 relative à l'Hadopi, le législateur ne peut confier à une autorité administrative, fusse-t-elle indépendante, le pouvoir de restreindre l’exercice du droit de s’exprimer librement. S’agissant de la mise en balance de droits fondamentaux, c'est donc au juge judiciaire, garant des libertés individuelles, que revient la tâche de trancher un litige, garantissant ainsi pleinement le droit au procès équitable. Le cas échéant, l'intervention du juge judiciaire pourrait survenir en aval d'une procédure de médiation permettant un règlement à l'amiable des litiges afférent au droit à l'oubli entre les différents parties en présence (c'est-à-dire, d'une part, le plaignant qui dénonce d'une atteinte à sa vie privée et, de l'autre, l'éditeur du contenu litigieux). Celle-ci devrait permettre a minima le respect d'un principe contradictoire ainsi qu'un recours à un conseil juridique pour les personnes concernées. Enfin, au cas où serait reconnu un abus de liberté d'expression attentatoire à la vie privée, plusieurs types de mesures doivent être envisagés. En effet, si dans l'arrêt de la CJUE, il est seulement question du déréférencement, l'actualisation, l'effacement de certaines informations, l'anonymisation ou la pseudonymisation des publications litigieuses peuvent être plus adaptés et proportionnés, selon les cas d'espèce.

Recommandations

- En cohérence avec le principe d'une protection judiciaire de la liberté d'expression, garantir la compétence exclusive du juge judiciaire pour concilier la liberté d'expression et le respect de la vie privée. - Réfléchir à la création d'une instance de médiation multipartite, permettant aux parties au litige de parvenir à un règlement à l'amiable (le recours au juge judiciaire devra évidemment rester possible en cas de non-accord entre les parties). - Rappeler que le déréférencement de liens dans les moteurs de recherche constitue l'une des multiples mesures possible pour concilier la liberté d'expression et le droit à la vie privée (selon les cas, l'actualisation, le retrait, l'anonymisation, la pseudonymisation à la source du contenu litigieux peuvent s'avérer plus adaptés).