Une ancienne condamnation qui ressort en première page de Google quand un employeur tape votre nom. Une photo gênante publiée par un tiers il y a dix ans. Un article de presse relatant un litige commercial soldé depuis longtemps. Ces traces numériques peuvent freiner une embauche, fragiliser une relation d'affaires ou simplement perturber une vie privée. Le droit français et européen offre pourtant des leviers concrets pour reprendre la main. Cette FAQ explique ce qu'est réellement le droit à l'oubli, comment obtenir la suppression de données personnelles, comment fonctionne le déréférencement Google, et quels recours mobiliser quand un responsable de traitement refuse.
Qu'est-ce que le droit à l'oubli exactement ?
Le terme « droit à l'oubli » est un raccourci commode mais imprécis. Il recouvre en réalité deux mécanismes juridiques distincts qu'il faut bien différencier pour agir efficacement.
Le premier est le droit à l'effacement, consacré par l'article 17 du Règlement général sur la protection des données (RGPD, règlement UE 2016/679 applicable depuis le 25 mai 2018). Il permet à une personne d'obtenir d'un responsable de traitement l'effacement de données personnelles la concernant. Le texte est explicite :
« La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant. »
Le second est le droit au déréférencement, qui ne supprime pas le contenu à sa source mais demande à un moteur de recherche de retirer un résultat associé à une recherche faite sur le nom d'une personne. L'article reste en ligne sur le site d'origine, mais il n'apparaît plus quand on tape le nom de l'intéressé.
Cette distinction est capitale. Faire supprimer un article diffamatoire chez l'éditeur du site et demander à Google de ne plus le faire remonter sont deux démarches différentes, qui peuvent d'ailleurs se cumuler. En droit français, ces droits s'articulent avec la loi n°78-17 du 6 janvier 1978 dite « Informatique et Libertés », modifiée pour s'adapter au RGPD, dont l'application est contrôlée par la CNIL (Commission nationale de l'informatique et des libertés).
Dans quels cas peut-on demander la suppression de ses données personnelles ?
L'article 17 du RGPD énumère des situations précises ouvrant droit à l'effacement. La demande n'est pas un droit absolu : elle doit reposer sur l'un des motifs prévus par le texte.
- les données ne sont plus nécessaires au regard de la finalité pour laquelle elles ont été collectées (par exemple, un compte client inactif depuis des années chez un commerçant en ligne) ;
- la personne retire le consentement sur lequel reposait le traitement, et il n'existe pas d'autre fondement juridique ;
- la personne s'oppose au traitement et il n'existe pas de motif légitime impérieux justifiant de le poursuivre ;
- les données ont fait l'objet d'un traitement illicite ;
- l'effacement est imposé par une obligation légale ;
- les données ont été collectées auprès d'un enfant dans le cadre de services en ligne.
Concrètement, un particulier peut demander à un site de vente la suppression de son compte et de l'historique d'achats devenus inutiles. Un internaute peut exiger le retrait d'une photo publiée sans son accord sur un réseau social. Une entreprise peut, elle aussi, agir : un dirigeant dont le nom figure dans un fichier de prospection commerciale auquel il n'a jamais consenti peut en réclamer l'effacement.
La donnée personnelle se définit largement : toute information se rapportant à une personne physique identifiée ou identifiable. Un nom, une adresse, une plaque d'immatriculation, une adresse IP, une photo de visage, une note d'évaluation interne sont autant de données concernées.
Le droit à l'effacement a-t-il des limites ?
Oui, et elles sont nombreuses. L'article 17 du RGPD prévoit lui-même des exceptions qui permettent au responsable de traitement de refuser légitimement l'effacement.
La première tient à la liberté d'expression et d'information. Un média peut conserver en ligne un article d'actualité relevant de l'information du public, même s'il mentionne une personne nommément. La presse bénéficie d'une protection forte, et le droit à l'oubli ne peut servir à réécrire l'histoire judiciaire ou économique d'une personne publique.
La deuxième tient au respect d'une obligation légale. Un employeur doit conserver les bulletins de paie pendant une durée déterminée par la loi. Une banque doit garder certaines données au titre de ses obligations de lutte contre le blanchiment, sous le contrôle de l'ACPR (Autorité de contrôle prudentiel et de résolution). Un commerçant doit conserver les factures pour des raisons comptables et fiscales. Dans ces cas, la demande d'effacement se heurte à une obligation supérieure.
La troisième concerne la constatation, l'exercice ou la défense de droits en justice. Une partie à un litige peut conserver des éléments de preuve pendant la durée de la procédure et des voies de recours.
Pour les entreprises confrontées à une demande d'effacement, l'enjeu est d'identifier précisément le fondement du refus éventuel. Refuser sans motif valable expose à une plainte CNIL et, le cas échéant, à une sanction. Accorder l'effacement alors qu'une obligation légale impose la conservation crée un autre risque. L'analyse au cas par cas est indispensable.
Comment fonctionne le déréférencement Google ?
Le déréférencement vise spécifiquement les moteurs de recherche. Son principe a été posé par la Cour de justice de l'Union européenne dans un arrêt fondateur, l'arrêt Google Spain du 13 mai 2014 (CJUE, C-131/12). La Cour y a jugé qu'un moteur de recherche est un responsable de traitement et qu'une personne peut, sous conditions, exiger le retrait de résultats associés à son nom.
L'idée est la suivante : lorsqu'une recherche est effectuée sur le nom et le prénom d'une personne, certains résultats peuvent être supprimés de la liste affichée, parce qu'ils sont inadéquats, non pertinents, excessifs au regard des finalités du traitement, ou parce que le temps écoulé en a fait perdre l'intérêt informationnel.
Il faut bien comprendre la portée limitée de l'opération. Le déréférencement n'efface pas la page web : l'article reste accessible sur le site d'origine et reste trouvable par d'autres voies, notamment par une recherche ne portant pas sur le nom de la personne. Il rend simplement l'information beaucoup plus difficile à trouver pour qui cherche un nom.
La pondération entre vie privée et intérêt du public
Le déréférencement repose sur une mise en balance. D'un côté, le droit au respect de la vie privée et à la protection des données. De l'autre, l'intérêt légitime du public à accéder à l'information. Plusieurs critères orientent cet arbitrage : le caractère sensible de la donnée, le rôle de la personne dans la vie publique, l'ancienneté des faits, leur exactitude et l'existence éventuelle d'une procédure judiciaire.
Une personne anonyme dont un fait divers ancien et sans gravité ressort en tête des résultats a de fortes chances d'obtenir le déréférencement. À l'inverse, un dirigeant connu, un élu ou une personnalité publique, dont les fonctions justifient un contrôle citoyen, verra ses demandes examinées plus strictement. Le Conseil d'État, dans plusieurs décisions de principe, a précisé la grille d'analyse applicable, en distinguant notamment les données sensibles, les données relatives à des infractions et les autres informations.
La portée territoriale du déréférencement
Une question longtemps débattue était de savoir si le déréférencement devait s'appliquer à l'échelle mondiale ou seulement européenne. La Cour de justice de l'Union européenne y a répondu dans son arrêt du 24 septembre 2019 (CJUE, Google c/ CNIL, C-507/17). Le déréférencement s'impose sur les versions du moteur correspondant aux États membres de l'Union, mais le droit de l'Union n'oblige pas, en principe, à un déréférencement sur l'ensemble des versions mondiales du moteur. Le moteur doit néanmoins mettre en place des mesures suffisamment efficaces pour empêcher ou décourager l'accès aux résultats depuis l'Union.
Comment formuler concrètement une demande de suppression ?
La démarche commence toujours par une demande directe auprès du responsable de traitement, c'est-à-dire l'organisme qui détient et exploite les données. Saisir d'emblée la CNIL ou un tribunal sans avoir d'abord sollicité le responsable est généralement prématuré.
Identifier le bon interlocuteur
Pour faire retirer un contenu à la source, il faut s'adresser à l'éditeur du site ou à l'hébergeur. Pour un déréférencement, il faut s'adresser au moteur de recherche, qui propose des formulaires en ligne dédiés. Beaucoup d'organismes ont par ailleurs désigné un délégué à la protection des données (DPO), dont les coordonnées figurent souvent dans la politique de confidentialité. Le DPO est l'interlocuteur naturel de ce type de demande.
Rédiger une demande motivée
Une demande efficace identifie clairement l'auteur, précise les données ou l'URL visées, et expose le fondement juridique invoqué. Citer l'article 17 du RGPD, rappeler le motif (données non nécessaires, retrait du consentement, traitement illicite, etc.) et joindre une pièce d'identité renforcent la recevabilité. Pour un déréférencement, il faut indiquer l'adresse exacte des pages concernées et la requête (le nom) sur laquelle elles apparaissent.
Le responsable de traitement dispose en principe d'un délai d'un mois pour répondre, délai pouvant être prolongé de deux mois en cas de demande complexe, à condition d'en informer la personne. L'absence de réponse vaut, en pratique, refus, et ouvre la voie à un recours.
Conserver les preuves
Garder une trace écrite de chaque étape est déterminant. Capture d'écran datée du contenu litigieux, copie de la demande envoyée, accusé de réception, réponse ou silence de l'organisme : ces éléments seront indispensables en cas de saisine de la CNIL ou du juge. Un constat d'huissier (commissaire de justice) peut être utile pour figer un contenu en ligne avant qu'il ne soit modifié ou supprimé.
Que faire en cas de refus du responsable de traitement ?
Le refus, qu'il soit explicite ou résulte d'un silence, n'est pas la fin du parcours. Plusieurs voies de recours coexistent et peuvent, selon les cas, se combiner.
La première est la plainte auprès de la CNIL. L'autorité instruit la réclamation, peut mettre en demeure le responsable de traitement et, en cas de manquement caractérisé, prononcer des sanctions. Le RGPD prévoit des amendes administratives pouvant atteindre, pour les manquements les plus graves, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu. Ce plafond, rarement atteint pour un simple refus d'effacement, marque néanmoins le sérieux du dispositif.
La deuxième voie est l'action devant le juge. Une procédure de référé, c'est-à-dire une procédure d'urgence, peut être engagée devant le tribunal judiciaire pour obtenir le retrait rapide d'un contenu manifestement illicite ou attentatoire à la vie privée. Le juge peut ordonner la suppression sous astreinte, c'est-à-dire avec une pénalité financière par jour de retard.
Pour le déréférencement, un refus du moteur de recherche peut être contesté devant la CNIL puis, le cas échéant, devant le juge administratif lorsque la décision émane de la CNIL elle-même. Le contentieux du déréférencement a donné lieu à une jurisprudence nourrie du Conseil d'État, qui a fixé les critères d'appréciation au regard de la nature des données et du rôle de la personne concernée.
L'arbitrage entre ces voies dépend de l'objectif. Pour faire cesser rapidement une atteinte grave, le référé est souvent le plus efficace. Pour sanctionner un manquement durable d'un organisme à ses obligations, la plainte CNIL est adaptée.
Droit à l'oubli et e-réputation : quelles articulations ?
Le droit à l'oubli est un outil parmi d'autres dans la gestion de la réputation numérique. Il se combine fréquemment avec d'autres fondements juridiques selon la nature du contenu visé.
Lorsqu'un contenu est diffamatoire ou injurieux, c'est la loi du 29 juillet 1881 sur la liberté de la presse qui s'applique, avec ses délais de prescription courts qu'il faut impérativement respecter. Lorsqu'une photo ou une vidéo est publiée sans autorisation, c'est le droit à l'image, rattaché à l'article 9 du Code civil sur le respect de la vie privée, qui est mobilisé. Lorsqu'un avis en ligne dénigre une entreprise de manière abusive, le contentieux peut relever du dénigrement fautif sur le terrain de la responsabilité civile.
Pour une entreprise confrontée à des avis clients excessifs ou à des publications nuisibles, le réflexe consiste souvent à invoquer le droit à l'oubli alors que le fondement pertinent est ailleurs. Une analyse préalable du contenu permet de choisir le bon levier, ou d'en cumuler plusieurs : demande d'effacement au titre du RGPD, action en diffamation, demande de déréférencement et signalement à la plateforme peuvent se compléter.
Il faut enfin rappeler une limite de bon sens : le droit à l'oubli ne permet pas de faire disparaître une information vraie, d'actualité et d'intérêt public. Un dirigeant condamné dans une affaire récente largement commentée ne peut effacer cette réalité au seul motif qu'elle lui nuit commercialement. La frontière entre protection légitime de la vie privée et tentative de réécriture de l'information reste l'enjeu central de toute démarche.
Conclusion : agir vite et sur le bon fondement
Le droit à l'oubli n'est ni une baguette magique ni une coquille vide. C'est un ensemble d'outils précis, encadrés par l'article 17 du RGPD, la loi Informatique et Libertés et une jurisprudence européenne et française désormais consolidée. Son efficacité dépend de trois facteurs : la rapidité d'action, le choix du bon fondement et la qualité du dossier de preuve.
Le parti pris à retenir est clair. La suppression à la source et le déréférencement Google ne s'opposent pas, ils se complètent, et la plupart des situations sérieuses justifient de mener les deux démarches de front. Pour un particulier comme pour une entreprise, mieux vaut documenter le contenu litigieux dès sa découverte, formuler une demande écrite motivée auprès du responsable de traitement, puis, en cas de blocage, envisager sans tarder la saisine de la CNIL ou du juge des référés.
Avant d'engager une démarche, faites qualifier juridiquement le contenu visé : un avis dénigrant, un article de presse et une donnée obsolète n'appellent pas le même fondement ni la même stratégie. Un examen préalable évite les demandes mal dirigées qui se soldent par un refus et un temps perdu, alors même que les délais de prescription, notamment en matière de presse, courent vite.
Questions fréquentes
Combien de temps Google met-il pour traiter une demande de déréférencement ?
Le moteur de recherche dispose en principe d'un délai d'un mois pour répondre à une demande relevant du RGPD, conformément à l'article 12 du règlement. Ce délai peut être prolongé de deux mois pour les demandes complexes, à condition que le demandeur en soit informé. En pratique, les demandes claires et bien documentées, concernant une personne sans rôle public et des données anciennes, sont souvent traitées dans le délai d'un mois. En cas de refus ou de silence, une plainte peut être adressée à la CNIL.
Le droit à l'oubli s'applique-t-il aussi aux entreprises ?
Le droit à l'effacement de l'article 17 du RGPD protège les personnes physiques, pas les personnes morales en tant que telles. Une société ne peut donc pas invoquer le droit à l'oubli pour elle-même. En revanche, ses dirigeants et salariés, en tant que personnes physiques, le peuvent pour les données les concernant. Une entreprise visée par des contenus nuisibles s'appuiera plutôt sur le dénigrement fautif, la diffamation ou la concurrence déloyale selon les cas.
Peut-on faire supprimer une condamnation pénale sur Internet ?
Cela dépend du contexte. Une décision de justice publique relève de l'information du public, et la presse peut légitimement la relater, surtout si elle est récente ou concerne une personne publique. Toutefois, le déréférencement d'un article ancien relatant une condamnation purgée, concernant une personne anonyme, est souvent accordé au terme de la mise en balance entre vie privée et intérêt du public. Le Conseil d'État examine ces demandes en tenant compte de la nature de l'infraction, de l'ancienneté des faits et du rôle de la personne.
Quelle différence entre suppression de données et déréférencement ?
La suppression de données, ou effacement, consiste à faire retirer le contenu chez le responsable de traitement qui le détient, par exemple l'éditeur d'un site ou une plateforme. Le déréférencement, lui, ne supprime pas le contenu : il demande au moteur de recherche de ne plus l'afficher dans les résultats associés au nom de la personne. Le contenu reste donc en ligne et accessible par d'autres voies. Les deux démarches peuvent être menées en parallèle pour un résultat plus efficace.
La CNIL peut-elle obliger un site à supprimer mes données ?
La CNIL peut être saisie d'une plainte lorsqu'un responsable de traitement refuse à tort une demande d'effacement. Elle peut instruire le dossier, adresser une mise en demeure et, en cas de manquement avéré, prononcer des sanctions pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves. Elle n'agit toutefois pas comme un tribunal qui ordonnerait directement la suppression sous astreinte : pour une mesure d'urgence contraignante, le juge des référés reste la voie la plus rapide.
Que faire si le contenu réapparaît après sa suppression ?
La réapparition d'un contenu déjà supprimé ou déréférencé est fréquente, notamment par republication sur d'autres sites ou réindexation. Il faut alors documenter à nouveau la réapparition par capture d'écran datée, voire par constat de commissaire de justice, puis réitérer la demande en visant les nouvelles adresses concernées. Si l'organisme ou le moteur fait preuve de mauvaise volonté répétée, ces éléments renforcent un dossier de plainte CNIL ou une action judiciaire. La persistance du contenu malgré une décision favorable peut justifier une demande d'astreinte devant le juge.
Un mineur bénéficie-t-il d'une protection renforcée ?
Oui. Le RGPD accorde une attention particulière aux données collectées auprès d'enfants dans le cadre de services en ligne, et l'article 17 mentionne expressément cette situation parmi les motifs d'effacement. Les demandes de suppression de données ou de contenus concernant des faits survenus pendant la minorité sont examinées avec une bienveillance accrue, car la protection de l'enfant prime largement sur l'intérêt informationnel. Un parent ou le jeune majeur lui-même peut engager la démarche pour effacer des publications anciennes datant de l'adolescence.
