Désindexation

Pour comprendre la notion de désindexation, il est nécessaire de comprendre ce qu’est une indexation. Une fois indexée, une page Internet peut être retrouvée facilement via les moteurs de recherche. Afin de désindexer complètement une page Internet, il faut un effort combiné entre l’éditeur de la page Web et le(s) moteur(s) de recherche.

L’indexation d’un site Internet permet de l’ordonner et/ou de le référencer parmi d’autres sites, de manière pertinente sur la base de son contenu, afin de le retrouver plus facilement, notamment en lançant une recherche par mots-clés issus de son contenu, dans un moteur de recherche Internet (page ranking).

Parmi ces mots-clés, les noms et prénoms de personnes physiques peuvent être retenus afin d’améliorer les recherches effectuées. Cela facilite l’accès aux informations relatives à ces personnes mais peuvent, dans certaines situations, poser problème notamment en raison du caractère illégitime de la publication au départ, ou parce que les informations publiées sont fausses ou incomplètes. Cela peut porter préjudice aux personnes concernées.

Même s’ils ne sont pas les auteurs des publications posant problème, en permettant leur référencement (indexation) sur la base des critères de recherche « nom et prénom » des personnes concernées, les moteurs de recherche sont directement impliqués dans les difficultés rencontrées par ces personnes.

La Cour de Justice de l’Union européenne (CJUE) a prononcé un arrêt appelé « Google spain » en date du 13 mai 2014 par lequel elle précise que les personnes concernées peuvent demander aux moteurs de recherches de déréférencer un lien de leur moteur de recherches lorsque « compte tenu de la gravité potentielle que l’impact de ce traitement pourrait engendrer sur les droits fondamentaux liés à la protection de la vie privée et des données à caractère personnel, les droits de la personne concernée l’emporteraient, de manière générale, sur l’intérêt économique du moteur de recherche et sur l’intérêt des utilisateurs Internet à avoir accès à des informations à caractère personnel via le moteur de recherche ».

Le déréférencement est donc possible depuis, mais pas automatique car une pondération doit être faite entre les droits de la personnes concernée et d’autres intérêts en jeu, tel que l’accès à l’information auquel les moteurs de recherches contribue, même si ceux-ci poursuivent avant tout un objectif commercial.

Afin d’accompagner tant les moteurs de recherches que les personnes concernées mais également les autorités de contrôle à mettre en pratique la jurisprudence issue de l’arrêt « Google spain », le Groupe de travail Article 29 a adopté en date du 26 mars 2024 des Lignes directrices établissant des critères encore utiles à ce jour. Parmi ces critères on retrouve notamment :

• La qualité privée ou publique de la personne concernée par le lien ;
• L’âge de la personne (eu égard aux personnes mineurs le cas échéant concernées) ;
• L’exactitude des données ;
• La pertinence des données traitées, ou encore
• Le caractère sensible des données.

Les moteurs de recherches ont mis en place des formulaires dédiés aux demandes de déréférencement. Lorsqu’elles aboutissent favorablement, le déréférencement a pour conséquence de ne plus permettre au moteur de recherche concerné de faire apparaître, dans les résultats de recherche proposés, le lien litigieux sur la base des mots-clés « nom et prénoms ».

Le déréférencement est par contre sans conséquence sur l’existence du lien litigieux en lui-même qui continue d’exister non seulement auprès de la source émettrice (le site Internet sur lequel il est disponible par exemple) mais également, peut réapparaître dans les moteurs de recherches via d’autres mots-clés.

A la suite de l’arrêt « Google Spain » et des procédures mises en place par les moteurs de recherches, les Autorités de contrôle ont néanmoins vu augmenter le nombre de plaintes liées aux demandes de déréférencement introduites par les personnes concernées auprès des moteurs de recherches, souvent dues à des refus de la part de ceux-ci d’accéder à la demande, ou dues à un manque d’effectivité à long terme des déréférencement opérés.

En effet, dès lors que le déréférencement est sans conséquence directe avec la source émettrice du lien, il suffit pour celle-ci de modifier le lien URL pour que le contenu soit réindexé sur la base, notamment, des noms et prénoms des personnes concernées qui doivent alors répéter les mêmes démarches.

Mieux vaut dès lors toujours vous adresser à l’éditeur du contenu du site et/ou au responsable de la page et lien URL qui vous pose problème, en parallèle ou indépendamment de votre requête auprès des moteurs de recherches.

Le RGPD prévoit différents droits dont peuvent se prévaloir les personnes dont on traite les données à caractère personnel.

Au regard des questions soulevées en matière de protection de sa vie privée en ligne et des demandes de désindexation/déréférencement de certains URL’s, deux droits prévus par le RGPD sont particulièrement utiles à soulever.

Il s’agit d’une part du droit d’opposition au traitement de données à caractère personnel, et d’autre part du droit à l’effacement des données à caractère personnel. Ce dernier est également appelé « droit à l’oubli », faisant ainsi écho à la pratique des désindexation de liens litigieux.

Si ces deux droits sont applicables à l’ensemble des responsables du traitement, nous les examinons ici en ce qui concerne uniquement les responsables du traitements agissant en ligne, et en particulier, les moteurs de recherche.

Tant le droit d’opposition que le droit à l’effacement peuvent servir de base juridique aux requêtes que vous pouvez introduire afin de voir déréférencés/désindexés des liens URL’s litigieux.

Comme vous le savez, les requêtes de désindexation n’ont pas pour résultat, lorsqu’elles aboutissent favorablement, à ce que le lien litigieux soit effacé complètement. Les données à caractère personnel ne sont en effet pas effacées de la source émettrice, ni de l’index ou du cache du moteur de recherche, permettant de retrouver le lien sur la base d’autres mots-clés que vos nom et prénoms.

Cela étant, les moteurs de recherches ne sont pas exemptés, dans certaines hypothèses, de procéder à l’effacement complet de certaines données à caractère personnel. Tel est par exemple dans le cas où le moteur de recherche cesserait de respecter les requêtes robots.txt mises en œuvre par l'éditeur original émetteur du contenu à dessein de les supprimer (par exemple suite à la demande introduite en ce sens par la personne concernée qui aurait obtenu gain de cause auprès de l’éditeur de contenu). Les moteurs de recherche ont alors l’obligation d'effacer complètement l'URL vers le contenu litigieux.

Afin de mieux comprendre et appréhender la manière dont il convient de faire application du droit à l’effacement aux moteurs de recherches, l’EDPB a adopté le 2 décembre 2019 des lignes directrices interprétant chacune des options émises par l’article 17.1 du RGPD. Ce document permet également de comprendre comment aborder les exceptions prévues à l’article 17.3 du RGPD, que peuvent opposer les responsables du traitement aux personnes concernées faisant usage de ce droit.

Ces lignes directrices rappellent tout d’abord que le droit de demander la désindexation sur pied de l’article 17 du RGPD, et donc sur la base du droit à l’effacement, ne change pas les développements issus de l’arrêt « Google spain » de la CJUE qui se fondaient, quant à eux, sur la Directive 95/46/CE qui précédait le RGPD.

L’article 17.1 du RGPD prévoit 6 cas dans lesquels il vous est possible de demander à ce que des données à caractère personnel vous concernant soient effacées :

• Ces données ne sont plus nécessaires à la réalisation des finalités pour lesquelles elles ont été collectées initialement (a);
• Vous avez retiré votre consentement au traitement de ces données (b) ;
• Vous avez exercé votre droit d’opposition au traitement de ces données (c) ;
• Les données ont été traitées de manière illicite (d);
• Une obligation légale implique l’effacement de ces données (e); ou
• Les données avaient été collectées dans le cadre de l’offre de services de la société de l’information à un mineur (f).

Il est important de souligner que vous êtes en droit d’introduire une requête en désindexation fondée sur plusieurs des conditions prévues par l’article 17 du RGPD. Vous n’êtes donc pas tenu de n’en retenir qu’une seule.

Article 17.1, a)

Vous êtes en droit d’introduire une demande de désindexation d’un lien vous concernant si un moteur de recherche le rend accessible pour une durée plus longue que nécessaire pour le traitement de ce moteur de recherche. Bien entendu, les moteurs de recherche soulèvent en général la nécessité de maintenir la publication accessible pour l’accès au public à cette information.

Cela étant, ce droit d’accès à l’information doit faire l’objet d’une mise en balance avec vos droits, en particulier votre droit à la protection de vos données à caractère personnel et à votre vie privée. La balance peut pencher en votre faveur notamment lorsque les informations en questions sont désuètes ou non mises-à-jour.

Article 17.1, b)

Dans le cas d’une demande de désindexation, cela signifie que le moteur de recherche aurait au départ fondé son traitement de données sur la base de votre consentement, ce qui n’est pas ou pratiquement jamais le cas.

Pour cette raison, cette condition du droit à l’effacement semble difficile à pratiquer lorsqu’il s’agit de demander l’effacement de données à cette condition, à un traitement opéré par un moteur de recherche.

Cependant, dans le cas où vous auriez retiré votre consentement au traitement de vos données réalisé par l’émetteur du site Internet indexé via moteur de recherche, cet émetteur est dans l’obligation d’en informer les moteurs de recherche concernés. Vous disposez alors du droit à l’effacement auprès desdits moteurs de recherche, non pas sur la base de l’article 17.1, b), mais sur celle de l’article 17.1, c) détaillé ci-dessous.

Article 17.1, c)

Lorsque vous vous opposez valablement au traitement de vos données à caractère personnel, conformément aux article 21.1 ou 21.2 du RGPD, et que le moteur de recherche ne dispose pas d’autres bases juridiques pour continuer de traiter vos données de la sorte, vous êtes en mesure de requérir de ce dernier qu’il procède également à l’effacement de vos données à caractère personnel.

Sauf le cas de l’opposition intentée sur la base de l’article 21.2, qui vous permet de vous opposer au traitement de vos données pour des fins des marketing direct (voir à ce propos notre bloc thématique qui y est consacré), lorsque vous vous opposez au traitement de vos données sur la base de l’article 21.1 du RGPD, vous pouvez le faire pour des raisons tenant à votre situation particulière.

Cette présomption faite en votre faveur implique, dans le chef des moteurs de recherche auquel vous adressez votre opposition de traitement, de cesser le traitement de vos données à moins d’être en mesure de démontrer qu’il existe des motifs impérieux et légitimes qui prévalent sur vos intérêts et vos droits et libertés.

Les moteurs de recherche, à l’instar de tout autre responsable du traitement, ont dès lors le droit de refuser d’accéder favorablement à votre demande d’opposition, à charge pour eux de faire la preuve de pareils motifs, notamment ceux énoncés à l’article 17.3 du RGPD.

A défaut pour eux de le faire ou de le faire de manière satisfaisante, ils doivent faire droit à votre demande.

A cet instant, vous êtes également en droit de faire suivre votre opposition d’une demande d’effacement de vos données à caractère personnel.

De manière générale, les demandes de désindexations adressées aux moteurs de recherche impliquent désormais intrinsèquement de faire la balance entre les éléments tenant à votre situation particulière et les motifs impérieux que peuvent opposer les moteurs de recherches à votre demande. Cela renvoie largement à la philosophie de la jurisprudence issue de l’arrêt Google spain de la CJUE.

En pratique donc, les critères de désindexation élaborés par le groupe de travail "Article 29" en 2014 peuvent toujours être utilisés par les fournisseurs de moteurs de recherche et les autorités de contrôle pour évaluer une demande de désindexation fondée sur le droit d'opposition (article 17, paragraphe 1, point c), de la directive relative aux droits fondamentaux des personnes physiques et morales).

À cet égard, la "situation particulière" de la personne concernée sera à la base de la demande de désindexation (par exemple, un résultat de recherche crée un préjudice pour une personne concernée lorsqu'elle postule à un emploi, ou porte atteinte à sa réputation dans sa vie personnelle) et sera prise en compte lors de l'établissement de l'équilibre entre les droits de la personne et le droit à l'information, en plus des critères classiques de traitement des demandes de désindexation, tels que :

• il ou elle ne joue pas de rôle dans la vie publique ;
• l'information en question n'est pas liée à sa vie professionnelle et affecte sa vie privée ;
• l'information constitue un discours de haine, une calomnie, une diffamation ou des infractions similaires dans le domaine de l'expression à son encontre en vertu d'une décision de justice ;
• les informations reflètent clairement l'opinion personnelle d'une personne et ne semblent pas être des faits vérifiés ;
• les données se rapportent à une infraction pénale relativement mineure qui s'est produite il y a longtemps et qui cause un préjudice à la personne concernée.

Néanmoins, il est important de souligner qu’il ne sera pas nécessaire d'examiner ces critères si le moteur de recherche auquel vous faites la demande est en défaut de démonter ou faire la preuve de l’existence de motifs légitimes impérieux pour refuser la demande.

Article 17.1, d)

L’EDPB rappelle sur ce point que la notion de traitement illicite doit d'abord être interprétée au regard de l'article 6 du RGPD consacré à la licéité du traitement.

D'autres principes établis dans le RGPD (tels que les principes de l'article 5 ou d'autres dispositions du chapitre II) peuvent servir à cette interprétation. Une telle interprétation doit être menée objectivement par les autorités de contrôle, conformément aux lois nationales ou à une décision de justice.  Par exemple, une demande de désindexation de la liste doit être accordée dans le cas où le référencement de données à caractère personnel a été expressément interdite par une décision de justice.

Cela étant, sur la base de l’article 6 du RGPD qui prévoit les conditions dans lesquelles un responsable de traitement, et donc, le cas échéant un moteur de recherche, est en droit de traiter les données, vous pourrez obtenir un effacement de vos données si ce moteur de recherche est dans l’impossibilité de démontrer qu’il traite vos données à l’une de ces conditions. Par exemple, si un moteur de recherche soutient traiter vos données sur la base de votre consentement alors que vous n’avez en réalité jamais consenti à pareil traitement de vos données, il ne pourra pas faire obstacle à votre demande d’effacement de données.

Article 17.1, e)

Si une loi national ou d’un autre Etat-membre prévoit l’obligation d’effacer certaines données, et que les données à caractère personnel reprises dans le lien URL qui vous concerne entrent dans ce cadre, vous pouvez demander au moteur de recherche d’effacer vos données sur la base de cette loi.

A ce propos, l’EDPB précise que le respect d'une obligation légale peut résulter d'une injonction, d'une demande expresse du droit national ou communautaire d'être soumis à une "obligation légale d'effacement" ou du simple non-respect par le responsable du traitement de la période de conservation des données. À titre d'exemple, il ajoute dans ses lignes directrices que si la durée de conservation des données fixée par un texte légal n’est pas respectée, cela peut fonder une demande d’effacement de données à caractère personnel.

Article 17.1, f)

Bien que les moteurs de recherche ne s’interrogent pas sur l’âge des personnes dont ils traitent les données lorsqu’ils indexent du contenu issu d’une page Internet, l’EDPB souligne que ceux-ci ils devraient retirer de leur référencement un contenu relatif à un enfant, en tenant compte du fait que l'application de l'article 17.1, f) dépend également du contexte de la collecte de données à caractère personnel par le responsable du traitement initial. En particulier, la date du début du traitement par le site web d'origine (permettant de connaître l’âge de la personne concernée) doit être prise en compte lorsqu'une personne concernée demande la désindexation d'un contenu pour ce motif.

Exceptions prévues à l’article 17.3 du RGPD

Cet article prévoit que le responsable du traitement peut faire obstacle à une demande d’effacement lorsque le traitement qu’il opère est nécessaire :

1. à l’exercice du droit à l’information et à la liberté d’expression ;
2. pour être conforme à une norme législative nationale ou d’un Etat-membre qui requiert ce traitement ;
3. pour des motifs d’intérêt public dans le cadre de la santé publique ;
4. pour des besoins d’archivage dans l’intérêt public, ou de recherches scientifique et historiques ou encore pour des besoins de statistiques ;
5. pour la constatation, l’exercice ou la défense de droits en justice.

Dans ses lignes directrices, l’EDPB explique que l’article 17.3 s’applique mal ou peu aux demandes de désindexation opposées aux moteurs de recherche.

Le premier critère pourrait toutefois trouver à s’appliquer dans certaines circonstances.

La CJUE a reconnu dans l'arrêt Costeja et répété récemment dans l'arrêt Google 2 que le traitement effectué par un fournisseur de moteur de recherche peut affecter de manière significative les droits fondamentaux à la vie privée et à la protection des données lorsque la recherche est effectuée en utilisant le nom d'une personne concernée.

En mettant en balance les droits et libertés des personnes concernées et l'intérêt des internautes à accéder aux informations par l'intermédiaire du moteur de recherche, la Cour a estimé que s'il est vrai que les droits de la personne concernée l'emportent, en règle générale, sur l'intérêt des internautes, cet équilibre peut toutefois dépendre, dans des cas spécifiques, de la nature des informations en question et de leur sensibilité pour la vie privée de la personne concernée et de l'intérêt du public à disposer de ces informations, intérêt qui peut varier, notamment, en fonction du rôle joué par la personne concernée dans la vie publique.

L'analyse de la désindexation par la Cour implique dès lors que, dans l'évaluation des demandes de désindexation, la décision sur le maintien ou le blocage des résultats de recherche par un moteur de recherche doit nécessairement tenir compte de l'impact d'une désindexation sur l'accès à l'information par les internautes, cet impact n'entraînant pas nécessairement le rejet d'une demande de radiation.

En cas de refus de désindexation, une telle atteinte aux droits fondamentaux de la personne concernée doit être justifiée par l'intérêt prépondérant du grand public à avoir accès à l'information en question.

La Cour a également établi une distinction entre la légitimité qu'un éditeur web peut avoir à diffuser des informations et la légitimité du moteur de recherche. La Cour a reconnu que l'activité d'un éditeur web peut être exercée exclusivement à des fins de journalisme, auquel cas l'éditeur web bénéficierait des exemptions que les États-membres pourraient établir en leur faveur (voir en ce sens en Belgique l’article 24 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel).

À cet égard, dans l'arrêt "M.L. et W.W. contre Allemagne" du 28 juin 2018, la Cour européenne des droits de l'homme (CEDH) indique que la mise en balance des intérêts en cause peut conduire à des résultats différents selon la demande en cause (en distinguant (i) une demande d'effacement introduite contre l'éditeur d'origine dont l'activité est au cœur de ce que la liberté d'expression vise à protéger de (ii) une demande introduite contre le moteur de recherche dont l'intérêt premier n'est pas de publier les informations originales sur la personne concernée mais notamment de permettre d'identifier toute information disponible sur cette personne et d'établir ainsi son profil).

Ces considérations doivent être évaluées au regard des plaintes déposées au titre de l'article 17 du RGPD, car dans ces décisions, les droits des personnes concernées qui ont demandé la désindexation doivent être mis en balance avec les intérêts des internautes à accéder à l'information.

Comme l'explique la CJUE dans son arrêt Google 2, l'article 17.3, a) du RGPD est "l'expression du fait que le droit à la protection des données à caractère personnel n'est pas un droit absolu mais (...) doit être considéré par rapport à sa fonction dans la société et être mis en balance avec les autres droits fondamentaux, conformément au principe de proportionnalité".

La Cour conclut que " lorsque l’exploitant d’un moteur de recherche est saisi d’une demande de déréférencement portant sur un lien vers une page web sur laquelle des données à caractère personnel relevant des catégories particulières (…) sont publiées, cet exploitant doit, sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte, vérifier, au titre des motifs d’intérêt public important (…) et dans le respect des conditions prévues (…), si l’inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche, consacrée à l’article 11 de la Charte. »

Pour les autres exceptions prévues à l’article 17.3 du RGPD, il est renvoyé aux lignes directrices adoptées par l’EDPB

Plusieurs possibilités s’offrent à vous lorsque vous souhaiter voir une information vous concernant disparaître d’Internet.

Si vous souhaitez voir des données à caractère personnel disparaître d’un site Internet, le mieux est de d’abord vous adresser à l’éditeur web et/ou à la source émettrice du contenu qui pourra plus facilement faire droit à votre demande.

Si vous souhaitez, en parallèle de cette action ou de façon isolée vous adresser à un responsable de moteur de recherche, ceux-ci disposent de formulaire en ligne destiné à vous permettre de leur adresser vos demandes de désindexation :

• Bing
• Google
• Yahoo
• Ecosia
• Qwant
• Starpage
• Lilo

Enfin, si ces actions demeurent insatisfaisantes, parce que vous ne recevez pas de réponse endéans un délais raisonnable ou annoncé par l’éditeur de contenu et/ou par le moteur de recherche, ou que ceux-ci refusent de faire droit à votre demande, vous pouvez vous adresser à l’APD pour demander une médiation ou porter plainte.

Quelque soit l’acteur vers lequel vous vous tournez pour exercer vos droits, n’oubliez jamais d’être complet et précis et fournir les documetns nécessaires à l’appui de votre demande sans pour autant communiquer des informations non nécessaires à votre requête. S’il n’est pas nécessaire de communiquer certaines donnée à caractère personnel pour exercer vos droits, ne le faites pas.