Le droit à l'oubli est un concept qui a été discuté et mis en pratique dans l'Union européenne ainsi qu'en Argentine El Derecho al olvido y la persistencia de la memoria revistascientificas.filo.uba.ar tout à la fin du . Il permet à un individu de demander le retrait sur le World Wide Web de certaines informations qui pourraient lui nuire sur des actions qu'il a faites dans le passé. Le droit à l'oubli s'applique concrètement soit par le retrait de l'information sur le site d'origine, on parle alors du droit à l'effacement, soit par un déréférencement du site internet par les moteurs de recherche, on parle alors du droit au déréférencement.
Contexte historique Le droit à l'oubli est le produit de plus de dix années de travail des institutions européennes, de la Directive sur la protection des données en 1995 à un nouveau travail depuis 2012 qui a abouti à la décision de la Cour de justice de l'Union européenne du consacrant un droit à l'oubli en Europe.
1995 : la directive européenne sur la protection des données
En 1995, l'Union européenne a adopté la directive 95/46/CE sur la protection des données personnelles permettant de réglementer le traitement des données à caractère personnel ainsi que leur libre circulation. Cette directive est en réalité le fruit d'une longue histoire de protection de la vie privée des citoyens par la régulation. De la Convention européenne des droits de l'homme, qui consacre dans son Article 8 le droit de toute personne au respect « de sa vie privée et familiale, de son domicile et de sa correspondance », à la Charte des droits fondamentaux de l'Union européenne, qui consacre également dans son Article 7 le respect de la vie privée et familialeamentaux de l'Union Européenne, la protection des données personnelles apparaît désormais comme l'un des « droits fondamentaux majeurs » Fiche technique de l'Union Européenne sur la protection des données personnelles. défendus par l'Union européenne.
La directive précise ainsi en définissant des notions telles que « données à caractère personnel », « traitement » de telles données, « responsable » et « consentement de la personne concernée ». Le responsable doit s'assurer que les données sont « collectées pour des finalités déterminées », « non excessives au regard des finalités pour lesquelles elles sont collectées » et « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ». Enfin, la directive prévoit que le « traitement (…) ne peut être effectué que si (…) la personne concernée a indubitablement donné son consentement ».
C'est sur cette directive que s'appuie la Cour de justice européenne pour consacrer ce qui est désormais désigné par l'appellation « droit à l'oubli ».
2009 : la France pour le droit à l'oubli
C'est la secrétaire d'État chargée de la prospective et du développement de l'économie numérique du gouvernement français, Nathalie Kosciusko-Morizet, qui relance en 2009 la campagne pour promouvoir un droit à l'oubli numérique. Cette campagne aboutit fin 2010 avec la signature, le et le , des Chartes du droit à l'oubli numérique - dont ni Facebook ni Google ne seront signataires. Cette charte prévoit notamment que les signataires s'engagent à « proposer un moyen (…) afin de pouvoir demander la modification ou la suppression (…) de toute donnée personnelle publiée ».
2011 : l'avis 15/2011 du G29 sur le consentement
En 2011, le G29, l'autorité responsable de la protection des données personnelles au sein des institutions européennes publie l'Avis 15/2011 qui souligne en particulier que la « notion de contrôle est (…) liée au fait que la personne concernée doit être en mesure de retirer son consentement ».
2010-2012 : la Commission européenne pour le droit à l'oubli Viviane Reding, alors vice-présidente de la Commission européenne et Commissaire européenne à la justice, aux droits fondamentaux et à la citoyenneté, prononce le un discours lors de la European Data Protection & Privacy Conference, où elle introduit explicitement le droit à l'oubli et la protection des données personnelles comme l'une des « valeurs » et comme un « droit fondamental » de l'Europe.
Cette initiative aboutit le avec la publication par la Commission Européenne d'une proposition de régulation européenne pour la protection des données (en anglais : General Data Protection Regulation). Le texte est par la suite amendé par le Parlement européen et le Conseil des ministres. Il est voté le par le Parlement européen et transmis par son président aux Conseil des ministres et à la commission. Son adoption était prévue au début de l'année 2015 pour commencer à s'appliquer en 2017. Celui-ci prévoit : que les règles de l'Union s'appliquent même si le traitement des données personnelles se fait « à l'étranger par des entreprises implantées sur le marché européen et proposant leurs services aux citoyens de l'Union » ; un « corpus unique de règles » pour supprimer les « obligations administratives inutiles » qui représenteraient une « économie annuelle de (...) d'EUR » ; que le consentement du sujet « devra être donné explicitement » ; de renforcer les pouvoirs des autorités nationales indépendantes chargées de la protection des données ; des sanctions pouvant atteindre d'euros ou 5 % du chiffre d'affaires annuel global de l'entreprise ; l'obligation de portabilité des données personnelles.
Le droit à l'oubli Google Spain, SL, Google Inc / Agencia Española de Protección de Datos
2010 : plainte auprès de l'Agence espagnole de protection des données
Comme résumé par l'avocat général M. Jääskinen dans ses conclusions, en , un individu contacte Google Spain pour demander que les résultats de recherche associés à son nom dans Google ne retournent aucun des liens vers des journaux où étaient mentionnés « l'adjudication sur saisie immobilière pratiquée en recouvrement de dettes de la sécurité sociale » dont il avait fait l'objet début 1998. Après avoir contacté l'éditeur du journal en soutenant que cette publication n'avait plus « aucune pertinence » et s'être vu refuser l'effacement de ses données, l'individu se tourne donc vers Google Spain, qui transmet cette demande à Google Inc. en Californie. Enfin, il dépose une plainte auprès de lAgencia Española de Protección de Datos (AEPD) « à l'encontre de l'éditeur et de Google ». Si la « réclamation dirigée contre l'éditeur [est] rejetée », le directeur de l'AEPD demande à Google Spain et Google Inc., le , de « prendre les mesures nécessaires pour retirer les données de leur index et de rendre impossible l'accès futur à ces dernières ». Google Spain et Google Inc. déposent deux recours devant l' en Espagne et la juridiction défère une série de questions à la Cour de justice.
Le recours de Google est basé sur quatre arguments : Google Inc. n'est pas soumis à la directive 95/46/CE sur la protection des données personnelles et Google Spain n'est pas responsable des activités liées au moteur de recherche de Google Inc. ; l'activité d'un moteur de recherche ne comprend pas de traitement de données personnelles ; aucune des entités de Google ne peut être considérée comme « responsable du traitement des données » tel que défini par la directive 95/46/CE sur la protection des données personnelles ; il n'existe pas de droit de retrait ou d'effacement de données publiées légalement.
2013 : conclusions de l'avocat général M. Jääskinen L'avocat général, consulté à chaque fois qu'un nouveau point de droit est soulevé, rend ses conclusions, que la Cour peut choisir de ne pas suivre, le .
Interrogé sur trois questions par la Cour de justice, l'avocat général conclut : sur la question du « champ d'application territorial de la législation nationale en matière de protection des données », M. Jääskinen propose à la Cour de déclarer « que la législation nationale en matière de protection des données est (…) applicable à un fournisseur de services de moteur de recherche sur Internet lorsque celui-ci crée, dans un État membre, en vue d'assurer la promotion et la vente des espaces publicitaires proposés sur le moteur de recherche, une succursale ou une filiale dont l'activité vise les habitants de cet État » ; sur la « position juridique de Google en tant que fournisseur de services de moteur de recherche sur Internet », qu'un tel fournisseur « ne saurait, en droit ou en fait, remplir les obligations du responsable du traitement que prévoir la directive en ce qui concerne les données à caractère personnel figurant sur les pages web source hébergées sur des serveurs de tiers » ; que « la directive n'établit pas de "droit à l'oubli" de portée générale » et qu'un « tel droit ne saurait être invoqué à l'encontre des fournisseurs de moteur de recherche sur Internet en s'appuyant sur la directive ».
2014 : décision de la Cour de justice de l'Union européenne Cependant, dans son Arrêt du , la Cour de justice décide que :
sur la caractérisation d'un moteur de recherche en tant que responsable du traitement des données : « l'activité d'un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de "traitement de données à caractère personnel" (…) et (…) l'exploitant de ce moteur de recherche doit être considéré comme le "responsable" dudit traitement » ; sur le champ d'application territorial de la directive 95/46/CE sur la protection des données personnelles : « un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre (…) lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre » ; sur la question d'un droit à l'oubli : « l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, (…) même lorsque leur publication en elle-même (…) est licite » ; enfin, la Cour de justice ajoute que ces droits prévalent sur « l’intérêt économique de l’exploitant du moteur de recherche » ainsi que « sur l’intérêt [du] public à accéder à ladite information », sauf si, en raison du « rôle joué par ladite personne dans la vie publique », « l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public ».
La décision de la Cour de justice accorde donc aux individus le droit de s'opposer au traitement de leurs données personnelles et de demander le déréférencement des liens qui apparaissent dans une recherche associée à leur nom, tout en prenant en compte l'intérêt prépondérant du public à avoir accès à l'information.
Google se soumet à la décision de la cour de justice À la suite de cette décision, Google a publié un formulaire en ligne.
Le , premier jour où ce formulaire était disponible, Google aurait reçu plus de de la part de citoyens européens. Deux mois plus tard, fin juillet, la France était en tête des demandes avec , devant l'Allemagne () et le Royaume-Uni (). Néanmoins, le , Google est condamné pour la première fois en France pour avoir rejeté une demande de suppression d'un lien vers un article de 2006 du Parisien..
Application dans les législations des États membres France