Droit à l’oubli : les CNIL européennes dressent leur premier bilan annuel

Les CNIL européennes sont les autorités de contrôle du droit à l’oubli sur les moteurs. Seulement, cette activité n’est pas si simple, en témoigne le premier bilan dressé un an et un mois après l’arrêt de la CJUE consacrant ce droit. Quelque 2000 plaintes ont en tout cas été reçues par les CNIL.

Le 13 mai 2014, la Cour de justice de l’Union européenne a reconnu Google comme « responsable de traitement » des données personnelles manipulées par ses algorithmes. Une étiquette douloureuse, car impliquant l’obligation de répondre aux demandes de déréférencement des utilisateurs. Quiconque a depuis la possibilité d’exiger l’effacement d’une donnée jugée obsolète, inopportune ou qui n’est plus pertinente. C’est le fameux « droit à l’oubli ».

En novembre 2014, les CNIL européennes, réunies autour du G29, ont défini des lignes directrices pour tenter d’avoir une règle commune dans toute l’Union. L’enjeu est fondamental puisque seule cette uniformisation permet d’éviter les phénomènes de forum shopping, un moteur pouvant trouver goût à s’installer dans tel pays reconnu moins rugueux que ses voisins.

2000 plaintes reçues par les CNIL européennes

Selon le premier bilan publié hier par ces autorités de contrôle, « près de 2000 plaintes ont été reçues » et la plupart concernent, sans surprise, Google. Peu de détail sur les suites, heureuses ou non : on sait que des instructions ont parfois été lancées rapidement dès lors que les conditions fixées par la CJUE étaient remplies. Pour le reste, on en déduit que l’examen serait toujours en cours.

Selon le témoignage du G29, les moteurs justifient leur refus de déréférencer « par le fait que l’information en question est en lien direct avec l’activité professionnelle du demandeur ou qu’elle est pertinente au regard de l’actualité ou de l’objectif du traitement ». Les CNIL se frottent là à d’épineuses questions : « certains critères nécessiteraient d’être affinés ou précisés. C’est notamment le cas du critère définissant "la personne publique" ou le fait de "jouer un rôle dans la vie publique" ». Selon la CJUE, en effet, une personne publique ne peut exiger l’effacement des données la concernant puisque joue ici le principe de la liberté d’information. Seulement, où placer la barrière entre personne publique et privée ? Doit-on accorder les mêmes contraintes à un élu national qu’à un conseiller municipal ?

Autre source de viscosité, « les autorités de protection des données ont aussi besoin de mieux évaluer le bien-fondé d’une plainte. Elles doivent également préciser les cas dans lesquels une information peut être considérée comme trop ancienne et de ce fait plus pertinente ». Bref, l’expression de droit à l’oubli, généreuse sur le papier, se mue en véritable dédale lorsqu’on se déverse dans la cruauté du quotidien.