Source: http://www.conseil-constitutionnel.fr/conseil-constitutionnel/francais/nouveaux-cahiers-du-conseil/cahier-n-48/vie-privee-et-donnees-personnelles-%EF%BF%BD-droit-a-la-protection-et-droit-a-l-oubli-face-a-la-liberte-d-expression.143873.html
Timestamp: 2017-12-13 13:06:19+00:00
Document Index: 178359579

Matched Legal Cases: ['arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ']

1 - Dispositions civiles
En son alinéa 1er, l’article 9 du code civil (C. civ.) pose que « chacun a droit au respect de sa vie privée ». Face aux atteintes susceptibles d’y être portées par les médias, une protection explicite, se surajoutant au régime général de responsabilité, a été ressentie comme nécessaire lors de l’adoption de ces dispositions par la loi du 17 juillet 1970. En son alinéa 2, est prévue une protection renforcée en cas d’« atteinte à l’intimité de la vie privée ».
Aucune précision n’y est cependant fournie quant au contenu de la « vie privée », pas plus qu’aux violations auxquelles celle-ci risque d’être soumise. Cela est cause d’inquiétudes relatives à l’application qui pourrait en être faite et aux restrictions susceptibles d’être apportées à la liberté d’information. La généralité de la formulation des dispositions civiles permet leur adaptation à l’évolution des pratiques, des mentalités et des mœurs et une application différente selon l’identité des personnes et leur implication dans la vie publique. Peuvent être considérés comme relevant de la « vie privée » ou de son « intimité » : la vie sentimentale, les relations amicales, la nudité, les pratiques sexuelles, l’état de santé, les moyens d’existence, les convictions religieuses… Il est dit aussi que le respect de la « vie privée » c’est le droit de mener sa vie à l’abri des regards indiscrets, derrière le mur de la vie privée…
Adoptées par la même loi de juillet 1970, les dispositions du code pénal (CP) relatives aux diverses formes de violation de la vie privée sont plus précises. L’atteinte est considérée comme portée du fait de l’utilisation de certaines techniques d’enquête ou d’espionnage.
L’article 226-8 considère « le fait de publier (…) le montage réalisé avec les paroles ou l’image d’une personne sans son consentement, s’il n’apparaît pas à l’évidence qu’il s’agit d’un montage ou s’il n’en est pas expressément fait mention ».
L’article 2 dispose que « constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée (…) par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres ».
Par le même article, il est considéré que « constitue un traitement de données à caractère personnel toute opération (…) portant sur de telles données (…) et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ».
Aux termes de l’article 6 de la loi, il en est ainsi de données qui ne seraient pas « collectées et traitées de manière loyale et licite (…) pour des finalités déterminées, explicites et légitimes » et qui seraient « traitées ultérieurement de manière incompatible avec ces finalités ». Un régime dérogatoire est cependant accordé aux traitements « à des fins statistiques ou (…) de recherche scientifique ou historique ». Il y aurait encore violation des droits du fait de données qui ne seraient pas « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs » et si elles ne sont pas « exactes, complètes et, si nécessaire, mises à jour » ou si les mesures n’étaient pas prises « pour que les données inexactes ou incomplètes (…) soient effacées ou rectifiées ». Il en serait également ainsi dans le cas où, contrairement à un « droit à l’oubli », implicitement consacré, ces données étaient conservées « pendant une durée qui (…) excède (…) la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées ».
Selon l’article 7 de cette loi, « un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l’une des conditions suivantes » : correspondre à « une obligation légale incombant au responsable du traitement » (1°) ; à l’exécution d’un contrat (4°) ; ou à « la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire » (5°).
L’article 8 détermine des faits de violation des données personnelles qui sont proches des atteintes à la vie privée. Il est « interdit de collecter ou de traiter des données (…) qui font apparaître (…) les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle ».
Cela est le cas si, en violation de l’article 32, la personne concernée n’est pas informée : « 1° de l’identité du responsable du traitement (…) 2° de la finalité poursuivie (…) 3° du caractère obligatoire ou facultatif des réponses ; 4° des conséquences (…) d’un défaut de réponse ; 5° des destinataires (…) des données ». Il est posé que « tout abonné ou utilisateur d’un service de communications électroniques doit être informé (…) : de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal » (ordinateur, tablette, téléphone dit « multifonctions »…) « ou à inscrire des informations dans cet équipement » et « des moyens de s’y opposer ».
Il y a aussi violation des droits si, contrairement à ce que pose l’article 39, n’est pas respecté le droit, de toute personne, « d’interroger le responsable d’un traitement (…) en vue d’obtenir : 1° la confirmation que des données à caractère personnel la concernant font ou ne font pas l’objet de ce traitement (…) 4° la communication (…) des données ».
La violation des droits découle encore du non-respect de l’article 40 selon lequel « toute personne physique peut exiger du responsable d’un traitement que soient (…) rectifiées, complétées, mises à jour, verrouillées ou effacées les données (…) inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite ».
Par l’article 67 de la loi de 1978 cependant, est déterminé un régime dérogatoire en faveur des traitements de données « aux fins de journalisme et d’expression littéraire et artistique ». À eux, ne s’appliquent pas : « le 5° de l’article 6 » (limitant la durée de conservation des données) ; l’article 8 (interdisant « de collecter ou de traiter des données à caractère personnel qui font apparaître (…) les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes ou qui sont relatives à la santé ou à la vie sexuelle ») ; l’article 9 (qui interdit « les traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ») ; l’article 22 (relatif à la déclaration préalable auprès de la CNIL) ; l’article 25 (concernant certains traitements statistiques et l’anonymisation des données) ; l’article 32 (qui détermine les informations à fournir aux personnes auprès desquelles sont recueillies des données) ; l’article 39 (accordant « le droit d’interroger le responsable d’un traitement de données » pour connaître celles qui sont ainsi détenues) ; l’article 40 (consacrant le droit d’exiger « que soient (…) rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel ») ; les articles 68 à 70 (qui conditionnent le transfert de données vers un État n’appartenant pas à l’Union européenne). On ne sera pas rassuré par la seule mention de l’« exercice, à titre professionnel, de l’activité de journaliste, dans le respect des règles déontologiques de cette profession »… sur l’existence desquelles il y a lieu de s’interroger !
Les violations des droits peuvent donner lieu à « réparation du dommage subi », selon la formulation de l’article 9 C. civ. ou, comme avant son adoption, sur le fondement des articles 1382 et suivants du même code.
Il a été fait droit à une demande de suppression de suggestions de recherche associant, au nom d’une personne, des termes se référant à son orientation sexuelle. Les sociétés Google firent valoir que le service Google Suggest « fonctionne de manière purement automatique à partir d’une base de données qui recense les requêtes effectivement saisies » et que « les résultats affichés dépendent d’un algorithme basé sur les recherches des autres utilisateurs ». Cependant, le Tribunal retint que « l’item litigieux, qui n’est nullement saisi par l’internaute mais apparaît spontanément à la saisie des premières lettres de sa recherche comme une proposition de recherche possible, est incontestablement de nature à orienter la curiosité ou à appeler l’attention sur le thème proposé, et, ce faisant, de nature à provoquer un effet “boule de neige” d’autant plus préjudiciable (…) que le libellé le plus accrocheur se retrouvera ainsi (…) en tête de liste des recherches proposées ». Le jugement considère que « les défendeurs ne sauraient sérieusement invoquer l’atteinte à la liberté d’expression que constituerait en elle-même l’intervention judiciaire ». Concluant à l’atteinte à la vie privée, il est « fait droit à la demande de suppression des suggestions litigieuses » (TGI Paris, 17e ch., 22 juin 2011, G. c. Google, n° 11/06194).
Saisi d’une demande de retrait, de la fonctionnalité Google Images, de photographies considérées comme constitutives d’atteinte à l’intimité de la vie privée, le Tribunal retient que, « à supposer que l’activité de moteur de recherche permette à la société défenderesse (…) d’être rangée dans la catégorie des prestataires intermédiaires techniques (…) cette qualité ne fait pas obstacle à ce que lui soient imposées des obligations de retrait ou d’interdiction d’accès dès lors que (…) l’article 6.I.8° de la loi du 21 juin 2004 (…) prévoit que l’autorité judiciaire peut prescrire, à ces prestataires intermédiaires, “toutes mesures propres à prévenir (…) ou à faire cesser un dommage occasionné par le contenu d’un service de communication au public en ligne” ». Il considère que « la mesure sollicitée de retrait et d’interdiction, pour l’avenir, des neuf clichés photographiques (…) entre largement dans ce cadre légal ». Le jugement pose encore que le refus, par la société en cause, « de supprimer les images litigieuses (…) a engagé sa responsabilité ». Ordre est donné « de retirer et de cesser (…) l’affichage sur le moteur de recherche » (TGI Paris, 17e ch., 6 novembre 2013, Max Mosley c. Google, n° 11/07970).
Se prévalant d’atteintes à sa vie privée et à son droit à l’image, un individu se plaignait d’un documentaire de fiction traitant d’une affaire criminelle pour laquelle il avait été condamné vingt ans plus tôt. Aucune image de l’intéressé n’ayant été utilisée, la Cour d’appel confirme le jugement (TGI Paris, 14 janvier 2013, n° 11/03875) qui a considéré qu’« aucune atteinte au droit à l’image du demandeur, qui doit se concilier avec l’article 10 Conv. EDH, n’avait été commise ». L’arrêt statue dans le même sens sur la demande relative à l’atteinte alléguée à la vie privée, le requérant se fondant notamment sur le fait que « le respect de son droit à l’oubli, qui est une “composante de sa vie privée”, avait été méconnu ». Pour la Cour, « la relation de faits publics déjà divulgués ne peut constituer en elle-même une atteinte au respect dû à la vie privée » et « le droit à l’oubli (…) n’a aucune reconnaissance légale et ne saurait prévaloir sur le droit du public à l’information » (Paris, Pôle 2, ch. 7, 26 février 2014, Th. El Borgi c. Sté CAPA Presse et Sté EDI TV, n° 13/01242).
Par un autre arrêt du même jour, la Cour statue sur la demande d’individus souhaitant qu’il soit ordonné, à la société éditrice d’un journal, de supprimer leur nom « du titre et du texte de tous les traitements automatisés du site » faisant rappel de condamnations dont ils firent l’objet. Les demandeurs soulignaient qu’ils ne désiraient « pas la suppression d’un article de presse, ce qui porterait atteinte à la liberté de la presse, mais que leurs noms et prénoms ne servent pas de critères de traitement ou d’indexation du site » du journal et qu’il s’agit donc « non pas d’un droit à l’oubli mais du droit à s’opposer » à l’indexation. Ils soutenaient que « les dispositions dérogatoires prévues par l’article 67 de la loi du 6 janvier 1978, autorisant les traitements de données à caractère personnel mis en œuvre “aux seules fins d’exercice, à titre professionnel, de l’activité de journaliste” (…) ne sont pas applicables en l’espèce » puisque, selon eux, « un système d’indexation et de recherche à partir de données nominatives, dans la base de données d’archives, est, en lui-même, sans rapport avec la liberté d’expression ». Comme les premiers juges (TGI Paris, 9 mai 2012, n° 11/05965), la Cour considère que « les dispositions dérogatoires prévues par le 2° de l’article 67 de la loi du 6 janvier 1978 (…) sont applicables (…) s’agissant de l’archivage d’articles de presse ». L’arrêt conclut qu’« imposer à un organe de presse de supprimer de son site Internet (…) soit l’information elle-même, le retrait des noms et prénoms des personnes visées (…) soit d’en restreindre l’accès en modifiant le référencement habituel, excèdent (…) les restrictions qui peuvent être apportées à la liberté de la presse » (Paris, Pôle 2, ch. 7, 26 février 2014, Stéphane D. et Pascal D. c. Sté Les Échos, n° 12/14813).
Saisie d’une question préjudicielle dans le cadre d’une procédure initiée par une personne qui souhaitait que soit ordonné, à un moteur de recherche, de supprimer tout lien vers le site d’un journal comportant des informations anciennes, la Cour de justice de l’Union européenne considère que « le traitement de données à caractère personnel effectué dans le cadre de l’activité d’un moteur de recherche se distingue et s’ajoute à celui effectué par les éditeurs de sites web » et que « l’exploitant de ce moteur, en tant que responsable de ce traitement, doit assurer (…) que celui-ci satisfait aux exigences de la directive » d’octobre 1995. Elle relève que, « dans la mesure où l’inclusion dans la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, d’une page web et des informations qui y sont contenues relatives à cette personne facilite sensiblement l’accessibilité à ces informations (…) elle est susceptible de constituer une ingérence plus importante dans le droit fondamental au respect de la vie privée de la personne concernée que la publication par l’éditeur de cette page web ». La Cour note encore qu’« un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible avec cette directive ». Elle estime qu’il convient d’examiner si l’individu en cause « a un droit à ce que l’information relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats ». L’arrêt conclut que, « dans la mesure où il ne semble pas exister (…) de raisons particulières justifiant un intérêt prépondérant du public à avoir (…) accès à ces informations (…) la personne concernée peut exiger (…) la suppression desdits liens de la liste de résultats » (CJUE, 13 mai 2014, C-131/12, Sté Google Inc. c. Agencia Espanola de Proteccion de Datos et Mario Costeja Gonzalez).
Des sanctions pénales sont également prévues à l’encontre des faits de violations de la vie privée et des données personnelles.
Sont passibles de sanction les faits : « de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables » d’autorisation ou de déclaration auprès de la CNIL, ou en violation d’une « injonction de cesser le traitement » ou d’un retrait d’autorisation (article 226-16) ; de ne pas respecter les normes posées par la CNIL (226-16-1-A) ; d’utiliser le « numéro d’inscription des personnes au répertoire national d’identification des personnes physiques » (226-16-1) ; de ne pas prendre les mesures « pour préserver la sécurité des données » (226-17) ; « de ne pas procéder à la notification », à la CNIL ou à l’intéressé, « d’une violation de données » (226-17-1) ; de « collecter des données à caractère personnel par un moyen frauduleux » (226-18) ; de « procéder à un traitement de données à caractère personnel concernant une personne physique malgré l’opposition de cette personne » (article 226-18-1) ; « de mettre ou de conserver en mémoire informatisée, sans le consentement exprès de l’intéressé, des données à caractère personnel qui (…) font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou les appartenances syndicales des personnes ou qui sont relatives à la santé ou à l’orientation ou identité sexuelle » ou « concernant des infractions, des condamnations ou des mesures de sûreté » (article 226-19) ; « de conserver des données à caractère personnel au-delà de la durée prévue » ou de « traiter à des fins autres qu’historiques, statistiques ou scientifiques des données à caractère personnel conservées au-delà de la durée » autorisée (article 226-20) ; de détourner les données « de leur finalité » (article 226-21) ; de porter « à la connaissance d’un tiers » des données « dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée » (article 226-22) ; de « procéder ou de faire procéder à un transfert de données (…) vers un État n’appartenant pas » à l’Union européenne (article 226-22-1).
1 - Sanctions de la CNIL
Le chapitre 7 de la loi de 1978 est consacré aux « sanctions prononcées par la formation restreinte » de la CNIL.
L’article 45 pose qu’elle peut prononcer « un avertissement à l’égard du responsable d’un traitement qui ne respecte pas les obligations ». Il ajoute que « le président de la Commission peut également mettre en demeure ce responsable de faire cesser le manquement ». Il est précisé que, si le responsable du traitement ne se conforme pas à la mise en demeure, « la formation restreinte peut prononcer » l’une des sanctions suivantes : une sanction pécuniaire ; « une injonction de cesser le traitement » ; « engager une procédure d’urgence (…) pour : 1° décider l’interruption de la mise en œuvre du traitement (…) 2° prononcer un avertissement (…) 3° décider le verrouillage de certaines des données ». Il est encore prévu que, « en cas d’atteinte grave et immédiate aux droits et libertés (…) le président de la Commission peut demander, par la voie du référé, à la juridiction compétente d’ordonner (…) toute mesure de sécurité nécessaire ».
2 - Interventions des opérateurs
Les prestataires techniques peuvent être amenés à participer à l’action de la justice ou à intervenir en dehors de toute procédure judiciaire.
Aux termes de l’article 6.II de ladite loi, ces prestataires techniques « détiennent et conservent les données de nature à permettre l’identification de quiconque a contribué à la création (…) de l’un des contenus des services dont (ils) sont prestataires » et l’autorité judiciaire peut leur en demander la communication.
Dans l’arrêt du 13 mai 2014, la CJUE a posé que l’exploitant d’un moteur de recherche « est obligé de supprimer de la liste des résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne (…) et ce (…) même lorsque leur publication en elle-même sur lesdites pages est licite ». Elle ajoute qu’il convient « d’examiner si la personne concernée a un droit à ce que l’information en question (…) ne soit plus (…) liée à son nom », notamment si l’information paraît inadéquate, pas ou plus pertinente ou excessive au regard des finalités du traitement, et que cette personne doit pouvoir « demander que l’information en question ne soit plus mise à la disposition du grand public ». L’arrêt précise cependant que « tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir (…) accès à l’information » (CJUE, 13 mai 2014, affaire C-131/12).
Références bibliographiques : Benabou, V.-L. et Rochfeld, J., « Les moteurs de recherche, Maîtres ou esclaves du droit à l’oubli numérique ? », Dalloz 2014.1476 ; Boyer, J., « Droit à l’oubli, droit de suppression, droit de suite : la loi informatique et libertés doit-elle arbitrer la liberté d’expression ? », Legicom, n° 46, 2011/1, pp. 77-81 ; Bregou, A., « Les libertés d’information et de création artistique sacrifiées au profit d’un ‘droit à l’oubli’ » (note sous TGI Paris, référé, 26 juillet 2013), Legipresse, décembre 2013, n° 311, pp. 684-690 ; Bruguière, J.-M., « Le droit à l’oubli numérique, un droit à oublier », Dalloz 2014, n° 5, pp. 299 s ; Castets Renard, C. et Voss, G. « Le droit à l’oubli numérique en Europe et en Californie », RLDI/100, n° 3323, pp. 51-55 ; Contestin, B., « Projet de règlement européen sur le droit à l’oubli : les conséquences pour la presse », Legipresse, n° 312, janvier 2014, pp. 3-4 ; Debet, A., « Google Spain : droit à l’oubli ou oubli du droit ? », Comm. comm. électr., juillet 2014, étude 13 ; Deloire, Ch. et Tréguer, F., « Recommandations sur le droit à l’oubli », Legipresse, décembre 2014, n° 322, pp. 643-645 ; Derieux, E., « Réseaux sociaux et responsabilité des atteintes aux droits de la personnalité », RLDI/100, janvier 2014, n° 3334, pp. 77-89 ; Derieux, E. et Granchet, A., « Vie privée et droit à l’image », Droit des médias. Droit français, européen et international, LGDJ-Lextenso éditions, 6e éd., 2010, pp. 597-628 ; Réseaux sociaux en ligne. Aspects juridiques et déontologiques, Lamy, coll. Axe droit, 2013, 235 p. ; Drouard, E. « Internet et le droit à l’oubli numérique. Quels enjeux ? Quelles régulations ? », Legipresse, mai 2010, n° 272, pp. 3-4 ; Frayssinet, J., « Le pseudo-droit à l’oubli appliqué à la presse », Legipresse, octobre 2010, n° 276, pp. 273-279 ; Hardoin, R., « La recherche d’un équilibre entre les libertés publiques sur Internet : l’effet sur les moteurs de recherche en matière de déréférencement », RLDI/96, août 2013, n° 3209, pp. 98-104 ; Hassler, Th., « Réflexions sur le droit à l’oubli appliqué aux images de personnes sur Internet », RLDI/107, août 2014, n° 3567, pp. 77-83 ; Le Clainche, J., « CJUE : le droit à l’oubli n’est pas inconditionnel », RLDI/107, août 2014, n° 3569, pp. 92-103 ; Mallet-Poujol, N., « Du droit à l’oubli numérique », Legipresse, novembre 2009, pp. 215-220 ; « Du droit (ou du non-droit) à l’oubli numérique : variations autour de l’article 38 de la loi informatique et libertés » (note sous TGI Paris, 17e ch., 9 mai 2012, Legipresse, septembre 2012, n° 297, pp. 504-510 ; Marais, A., « Le droit à l’oubli », in Teyssié, B., dir., La communication numérique, un droit, des droits, Éditions Panthéon-Assas, 2012, pp. 63-89 ; Marino, L., « Google et la machine à effacer le passé. À propos de l’affaire Max Mosley », JCP G 2013.978 ; « Un “droit à l’oubli” numérique consacré par la CJUE », JCP G, 30 juin 2014.768 ; Pignatari, O., « Droit à l’oubli : la CJUE n’oublie pas les internautes », RLDI/107, août 2014, n° 3550, pp. 32-35 ; Proust, S., « Le projet de règlement européen sur le droit à l’oubli… », Legipresse, avril 2013, n° 304, pp. 211-214 ; Thiérache, C., « Le droit à l’oubli numérique : un essai qui reste à transformer », RLDI/67, janvier 2011, n° 2188, pp. 6-10.