La mémoire d'internet est longue. Une photo compromettante, un article de presse daté, un casier judiciaire effacé mais toujours référencé en ligne : ces situations touchent des millions de personnes chaque année. Les principes du droit à l'oubli sur internet répondent à une question simple mais profonde — un individu peut-il reprendre le contrôle sur les informations qui le concernent ? Depuis la décision historique de la Cour de justice de l'Union européenne en 2014, la réponse est clairement oui, sous conditions. Ce droit, consacré ensuite par le RGPD en 2018, articule deux exigences contradictoires : la protection de la vie privée d'un côté, la liberté d'information et la transparence de l'autre. Comprendre ses fondements permet à chacun d'agir concrètement.
Comprendre le droit à l'oubli sur internet
Le droit à l'oubli désigne la faculté reconnue à toute personne physique de demander la suppression ou le déréférencement de données personnelles la concernant, dès lors que ces données ne sont plus pertinentes, exactes ou nécessaires au regard de la finalité pour laquelle elles ont été collectées. Ce n'est pas un droit absolu. C'est un droit conditionnel, pesé en permanence contre d'autres droits fondamentaux.
La décision fondatrice date du 13 mai 2014, lorsque la CJUE a statué dans l'affaire Google Spain contre Mario Costeja González. Un citoyen espagnol demandait la suppression de liens vers un article de journal mentionnant une ancienne saisie immobilière le concernant. La Cour a reconnu son droit à obtenir ce déréférencement, posant ainsi une jurisprudence applicable à l'ensemble de l'Union européenne. Cette décision a contraint Google à traiter des demandes individuelles de suppression de liens dans ses résultats de recherche.
Le Règlement Général sur la Protection des Données, entré en application le 25 mai 2018, a codifié ce droit à l'article 17. Le texte parle de « droit à l'effacement », notion légèrement plus large que le simple déréférencement. L'article 17 énumère six situations dans lesquelles une personne peut exiger la suppression de ses données : données plus nécessaires à leur finalité initiale, retrait du consentement, opposition au traitement, traitement illicite, obligation légale de suppression, ou données collectées auprès d'un mineur.
La nuance entre effacement et déréférencement mérite attention. L'effacement supprime la donnée à la source — sur le site web qui l'héberge. Le déréférencement retire le lien des résultats des moteurs de recherche sans supprimer la page elle-même. Ces deux mécanismes sont complémentaires et peuvent être actionnés simultanément selon la situation.
Les acteurs qui font vivre ce droit au quotidien
Plusieurs institutions et entreprises privées structurent concrètement l'application du droit à l'oubli. La Commission nationale de l'informatique et des libertés (CNIL) joue un rôle central en France. Elle reçoit les plaintes des personnes dont les demandes ont été refusées, instruit les dossiers et peut prononcer des sanctions contre les responsables de traitement récalcitrants. Son pouvoir de sanction a été renforcé par le RGPD, avec des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel.
Du côté des entreprises privées, Google reste l'acteur le plus exposé. En 2020, le moteur de recherche a reçu 1,5 million de demandes de suppression de liens, dont environ 70 % ont été acceptées. Facebook, Twitter et d'autres plateformes sociales traitent également des volumes importants de demandes, bien que leurs procédures internes soient moins documentées publiquement.
La CJUE continue d'affiner la doctrine par ses arrêts. En septembre 2019, elle a précisé que le déréférencement imposé aux moteurs de recherche ne s'applique pas automatiquement aux versions non européennes de leurs services. Une décision pragmatique qui reconnaît les limites territoriales du droit européen face à une infrastructure mondiale. Pour approfondir ces mécanismes juridiques, le portail Droit facile propose des explications accessibles sur les recours disponibles et les textes applicables en matière de données personnelles.
Les hébergeurs de contenus constituent un troisième niveau d'acteurs souvent négligé. Ils peuvent être sollicités directement pour supprimer un contenu à la source, en parallèle d'une demande de déréférencement auprès des moteurs de recherche. Leur responsabilité est encadrée par la directive européenne sur le commerce électronique, transposée en droit français.
Procédure de demande de suppression
Faire valoir son droit à l'oubli suit une logique progressive. Avant toute démarche formelle, il convient d'identifier précisément les données concernées et d'évaluer sur quelle base juridique la demande peut s'appuyer. Une demande mal fondée sera rejetée rapidement.
Les étapes concrètes d'une demande de déréférencement auprès d'un moteur de recherche sont les suivantes :
- Identifier les URL exactes des pages ou résultats à déréférencer et noter les requêtes de recherche concernées
- Remplir le formulaire officiel du moteur de recherche (Google dispose d'un formulaire dédié accessible via son centre d'aide juridique)
- Joindre une copie d'un document d'identité pour prouver que les données concernent bien le demandeur
- Expliquer de manière précise pourquoi les informations sont inexactes, obsolètes ou disproportionnées au regard de l'intérêt public
- Conserver une trace écrite de la demande et noter la date d'envoi, le délai légal de réponse étant d'un mois en vertu du RGPD
En cas de refus, deux voies s'ouvrent. La première consiste à saisir directement la CNIL via sa plateforme en ligne, qui instruira le dossier et peut contraindre l'opérateur à procéder au déréférencement. La seconde passe par une action judiciaire devant le tribunal judiciaire compétent, avec ou sans avocat selon le montant en jeu. Les délais varient considérablement selon la voie choisie : quelques semaines pour une médiation CNIL, plusieurs mois pour une procédure judiciaire.
Pour les demandes d'effacement auprès d'un site web directement, la démarche cible le responsable de traitement identifié dans les mentions légales. Celui-ci dispose du même délai d'un mois pour répondre, prolongeable de deux mois supplémentaires en cas de demande complexe.
Les limites qui encadrent ce droit
Le droit à l'oubli n'efface pas tout. Plusieurs catégories d'informations résistent légitimement aux demandes de suppression, et la jurisprudence les a progressivement précisées.
La liberté d'expression et d'information constitue la première limite. Les articles de presse relatant des faits d'intérêt public ne peuvent généralement pas être déréférencés, même si les personnes concernées les trouvent gênants. Un élu condamné pour corruption ne peut pas effacer les articles relatant sa condamnation. Un chef d'entreprise impliqué dans un scandale financier non plus. La frontière entre vie privée et vie publique est ici déterminante.
Les données à caractère historique ou scientifique bénéficient d'une protection particulière. Les archives judiciaires, les données utilisées à des fins de recherche médicale ou les contenus à valeur historique documentée échappent au droit à l'effacement. L'article 17 du RGPD prévoit explicitement cette exception.
La sécurité publique constitue une troisième limite. Les données relatives à des condamnations pénales graves, ou celles nécessaires à la prévention d'infractions, peuvent être maintenues même contre la volonté de la personne concernée. Un délinquant sexuel ne peut pas effacer les données qui permettent aux autorités de le surveiller.
Enfin, les demandes manifestement abusives ou répétitives peuvent être rejetées sans traitement. Le RGPD autorise les responsables de traitement à refuser les demandes « manifestement infondées ou excessives ». Cette soupape évite les stratégies d'obstruction systématique.
Ce que les prochaines années vont changer
Le cadre juridique du droit à l'oubli continue d'évoluer sous l'effet conjugué de la jurisprudence, des nouvelles technologies et des pressions politiques. Plusieurs chantiers sont ouverts simultanément.
L'intelligence artificielle générative pose des questions inédites. Lorsqu'un modèle de langage a été entraîné sur des données personnelles, comment effacer ces données sans réentraîner entièrement le modèle ? Les autorités de protection des données européennes ont commencé à se saisir du sujet, mais aucune réponse définitive n'existe à ce jour. La CNIL française a publié en 2023 ses premières recommandations sur l'IA et la protection des données, sans résoudre complètement cette tension.
Le Digital Services Act, entré en vigueur progressivement depuis 2023, renforce les obligations des très grandes plateformes en matière de transparence et de traitement des signalements. Sans créer de nouveau droit à l'oubli, il améliore les mécanismes de recours et impose des délais de traitement plus stricts aux plateformes désignées comme « très grandes ».
La question de l'extension géographique du déréférencement reste ouverte. La CJUE a refusé en 2019 d'imposer un déréférencement mondial, mais plusieurs affaires en cours pourraient faire évoluer cette position. Des États tiers commencent par ailleurs à adopter leurs propres législations inspirées du modèle européen — la Californie avec le CCPA, le Brésil avec la LGPD — ce qui crée progressivement un droit à l'oubli de portée quasi-globale, même si les mécanismes d'application restent fragmentés.
La véritable question de fond reste celle de l'équilibre : dans une société où les données circulent à une vitesse sans précédent, le droit à l'oubli protège des individus vulnérables tout en risquant de réécrire l'histoire. Trouver ce point d'équilibre, texte de loi après texte de loi, arrêt après arrêt, est le travail de toute une génération de juristes. Seul un professionnel du droit peut évaluer la pertinence d'une demande spécifique au regard des textes en vigueur et de la jurisprudence récente.
