Pourquoi il est peu probable que les Européens soient systématiquement « oubliés » outre-Atlantique

L’Union européenne (UE) est à l’avant des droits digitaux. Sans attendre l’entrée en vigueur du Règlement Général sur la Protection des Données (RPGD ou GDPR en anglais) en mai dernier, l’UE s’est fait la championne du droit à l’oubli. Ce droit, consacré par la décision de 2014 de la Cour de Justice de l’UE (CJUE) Google Spain v. AEPD and Mario Costeja Gonzalez, autorise les individus à demander l’arrêt du référencement et le retrait des liens renvoyant vers des pages contenant des informations dites « non pertinentes ».

Ce nouveau droit pourrait-il maintenant s’appliquer en dehors du territoire européen ? C’est en effet ce que le Conseil d’État français a demandé à la CJUE en juillet 2017. Près d’un an plus tard, la question reste pour l’instant sans réponse. Compte tenu du caractère extraterritorial du RPGD nouvellement entré en vigueur, cela dit, il apparaît fort probable que la Cour rendra une décision dans ce sens.

Alors, pourquoi l’application systématique de ce droit est-elle vouée à échouer ?

La « vie privée » est un concept aussi bien américain qu’européen, mais il prend des inspirations et des réalités très différentes.

En Europe, il s’est bâti principalement sur les traumatismes de la Seconde Guerre mondiale et de la Guerre froide. Tandis que la délation et la suspicion étaient le quotidien des pays occupés par l’Allemagne nazie, la chose n’était pas vraiment différente de l’autre côté du rideau de fer. En URSS, les polices spécialisées – comme la Stasi, en Allemagne de l’Est – reposaient sur la répression politique et la délation. Tout cela a construit un besoin de protection vis-à-vis du pouvoir, certes, mais surtout vis-à-vis des autres. La conception de la vie privée est ici horizontale. [1]

Aux Etats-Unis, la nation s’est conçue sur les principes de libertés individuelles, et de protection vis-à-vis du « tyran ». Déjà décrit par Tocqueville en son temps, le tyran représente le pouvoir tout puissant, archétype du Prince dictatorial. Les citoyens veulent donc avant tout être protégés de l’intrusion gouvernementale. [2] La conception de la vie privée est ici verticale.

Bien entendu, ces conceptions ont des répercussions très concrètes sur comment le droit à l’oubli est considéré et régulé.

La simple question de la légalité du droit à la vie privée est déjà divisive. Aux Etats-Unis, bien que le droit à la vie privée soit indirectement consacré par le Troisième et Quatrième Amendement (respectivement, protection vis-à-vis de l’intrusion gouvernementale et de la dépravation non raisonnable des biens), la vie privée en tant que telle n’apparaît jamais en tant que telle. De fait, on ne retrouve pas, au niveau fédéral, de droit à l’oubli.

A l’inverse, comme affiché en introduction, le droit à l’oubli est devenu un droit fondamental dans l’Union européenne. Prévu par l’article 7 de la Charte des droits fondamentaux de l’Union européenne de 2000, ce droit est consacré en 2014 par la CJUE avec l’arrêt « Google Spain », et est encore renforcé par l’entrée en vigueur du RGPD le 25 mai 2018, avec le droit à l’effacement consacré par l’article 14. Si vous permettez de filer la métaphore de Joanathan Zittrain, professeur de droit à Harvard, cela veut dire qu’on ne met plus seulement le feu au catalogue (référencement), mais également aux livres (effacement des informations non pertinentes). [3]

Comme vous pouvez l’imaginer, cette différence juridique fondamentale amène à de véritables clashs. Ainsi le Canada en a-t-il déjà fait les frais, alors que la Cour Suprême canadienne avait décidé en 2014 que le droit à l’oubli s’appliquait au monde entier, visant tout particulièrement les Etats-Unis. Après la procédure introduite par Google, c’est finalement la Cour Fédérale de Californie qui a émis une décision contraire à l’arrêt, donnant priorité au Premier Amendement, qui consacre la liberté d’expression. Le risque est donc grand qu’une décision similaire de la CJUE subisse les mêmes affres.

Le RGPD, via l’article 17 consacré au droit à l’effacement, peut-il changer la donne ? Il est certain que les acteurs clés, comme Google ou Microsoft, n’ont pas attendu pour appliquer le droit à l’oubli dans les pays qui le prévoyaient légalement. Ce droit est donc maintenant harmonisé au niveau européen. En décidant que toute organisation collectant des données sur tout individu physiquement présent dans l’UE doit être soumise au RGPD, l’UE est ambitieuse, et espère ainsi contrecarrer les limites territoriales. Cela peut marcher pour les organisations ayant un siège ou des activités dans l’UE, mais quid de celles en-dehors du territoire européen ?

Mettons que vous ayez eu des dettes par le passé, et qu’un titre de la presse américaine le révèle. Cela vous cause un préjudice, car votre réputation est entachée, et vous ne pouvez donc pas créer une entreprise comme vous le souhaitiez. Vous demandez donc exercice du droit à l’effacement en vertu de l’article 17 du RGPD, auquel est logiquement soumis ce fameux titre de la presse américaine.

Mais le problème, c’est qu’une telle organisation n’a aucun siège en Europe, et n’est présente que sous juridiction américaine, laquelle, on l’a vu, ne reconnaît pas de droit à l’oubli. Nous revenons alors au problème de l’extraterritorialité d’une loi face à la souveraineté des Etats-nations. Le plus probable dans cette situation, c’est donc qu’une série de conflits juridiques s’ensuivra, rendant pour certaines situations l’application du RGPD difficile.

Certes, on admettra une chose : Google devra cesser de référencer, donc l’accès à ladite information sera limité. Limité… mais possible. Et rappelons d’ailleurs que l’article 17 prévoit toujours que l’examen de la demande de droit à l’oubli soit effectué par l’organisation concernée. Même si les critères de refus sont précisés dans l’article 17, ils restent suffisamment larges pour laisser une liberté d’interprétation aux organisations. Gageons que la pression des sanctions financières conduira ces organisations à se montrer prudentes.

Dès lors, en dehors de la voie légale, quelles sont les autres pistes possibles ?

Le cas de la France est notable en ce qui concerne le droit à l’oubli, étant donné qu’elle entretient une très forte culture de la vie privée. On pourrait rapidement en conclure que son cas s’oppose fortement à celui des Etats-Unis, ce qui est vrai en substance, mais pas quand on se concentre sur des sujets techniques. La question d’un droit sur les données personnelles, par exemple, rassemble France et Etats-Unis, certes à degrés divers : la « loi de modernisation de notre système de santé » précisé que les patients ayant été victimes d’un cancer il y a plus de 10 ans n’ont pas à en informer les compagnies d’assurance. [4] De l’autre côté de l’Atlantique, l’administration Obama a régulé spécifiquement l’accès par les patients à leurs propres données médicales. D’un côté comme de l’autre, un droit d’accès aux données personnelles est reconnu.

Mais le cas le plus révélateur est certainement l’expérimentation menée en Californie, qui introduit officiellement une forme de droit à l’oubli. Celle-ci reste spécifique, mais elle témoigne que la question n’y est pas ignorée comme on pourrait le croire. Cela remonte d’abord à 2003, tandis que la Californie passe le « Privacy Protection Act », obligeant tous les fournisseurs de services en ligne à révéler leur politique de confidentialité. [5] En plus du programme « Do Not Track », sorte de charte de bonnes pratiques, introduit en 2013, la Californie introduit un droit à l’oubli, limité aux mineurs, pour les informations qu’ils ont eux-mêmes consenti à donner. On s’en rend compte : on est bien loin du rêve européen (Segalis, B. et Ross, S., 2015). Mais il ne faut pas oublier que les Etats-Unis, on l’a vu, viennent avec une autre culture.

La coopération, bien que lente, semble la voie la plus prometteuse. La coopération transatlantique dans le domaine de la cybersécurité est déjà importante. Par ailleurs, les réalisations communes quant à la collecte et au traitement de données témoignent de cette volonté, ainsi du Privacy Shield. Bien sûr, le droit à l’oubli apparaît un sujet plus épineux, car des valeurs constitutionnelles sont en jeu d’un côté comme de l’autre. Mais gageons que l’UE choisira de se concentrer sur les données de ses citoyens, et de faire en sorte qu’elles puissent être protégées en dehors du territoire européen.