La loi du 7 octobre dernier pour une République numérique porte des dispositions législatives dans un grand nombre de domaines (notre actualité du 6 décembre 2016 pour un panorama des nouveautés relevant de la protection des données).
Nous abordons ici la question souvent dite du "droit à l'oubli pour les mineurs", que nous préférerons nommer "droit à l'effacement", puisque c'est bien ainsi que le dispositif fonctionne et que c'est le verbe effacer qui est consacré dans la loi.
La règle de base
On connaît l'inconscience des adolescents, prompts à "partager" sur les réseaux sociaux toutes sortes d'informations les concernant ou concernant leurs amis ou ennemis, sans avoir forcément conscience que ces informations seront visibles sur toute la planète et indéfiniment, ce qui peut nuire gravement à leur e-réputation dans la suite de leur vie. C'est donc dans un souci de protection des mineurs, même au-delà de leur minorité, que le législateur français, s'inspirant notamment de la loi californienne en vigueur depuis le 1er janvier 2015 (notre actualité du 8 octobre 2013) et instituant une sorte de "droit de repentir" numérique, si l'on veut paraphraser le droit d'auteur, ou encore de "droit au regret" selon la belle expression de Thierry Noisette du site ZDNet. Il s'agit donc de permettre, notamment, à un jeune devenu majeur de faire jouer un droit à l'effacement d'informations qu'il juge après coup gênantes.
Ce droit à l'effacement (article 63 de la loi numérique) se retrouve donc intégré logiquement dans la loi Informatique, fichiers et libertés qui institue la protection des données personnelles. L'article 40 a reçu un nouveau sous-point II, dont l'alinéa 1er dispose à présent :
"Sur demande de la personne concernée, le responsable du traitement est tenu d'effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l'offre de services de la société de l'information lorsque la personne concernée était mineure au moment de la collecte".
Un périmètre d'application assez large
Quelques observations sur le périmètre de cette disposition.
- À noter que la loi couvre toute donnée "collectée" ; peu importe que ce soit le mineur qui l'ait lui-même publiée ou un tiers mineur ou majeur. Ce qui assure une protection très large.
- La loi n'impose pas que le mineur soit devenu majeur pour agir, mais seulement qu'il ait été mineur à l'époque de la collecte ; peu importe qu'il le soit encore. En pareil cas, c'est à l'autorité parentale d'agir pour demander l'effacement.
- Une difficulté se posera inévitablement — à laquelle Les Infostratèges ont déjà été confrontés pour un client — : celle de rapporter la preuve de la minorité de l'intéressé au moment ou les données (nom, prénom, mais surtout faits, images…) ont été publiées.
Délais et recours possible
L'alinéa 2 du même article précise qu'en cas de non-exécution de l'effacement des données, ou en cas de non-réponse à une demande de suppression, sous un délai d'un mois à compter de la demande, l'intéressé pourra saisir la Cnil qui dispose alors d'un délai de trois mois pour statuer, à compter du moment où elle est saisie.
Des limites au droit à l'effacement
L'article 40-II dispose enfin dans un alinéa 3 que ce droit à l'effacement ne joue pas dans les cas suivants :
- Exercice du droit à la liberté d'expression et d'information ;
- Respect d'une obligation légale de collecte (hypothèse classique d'un procès verbal de police constatant une infraction commise par un mineur) ;
- Motifs d'intérêt public dans le cadre de la santé ;
- Finalités archivistiques, de recherche scientifique ou historique et de statistiques ;
- Constatation, exercice ou défense de droits en justice.
Liberté d'expression et d'information publique contre protection des données privées
Dans cette série d'exceptions somme toute assez courante, le premier point, celui de la liberté d'expression et d'information va devenir sans aucun doute le nid à problème et donc à contentieux dans l'application de cette disposition.
Si la liberté d'expression et d'information est un des droits de l'homme garanti à de nombreux niveaux nationaux (notre Déclaration des droits de l'homme et du citoyen de 1789) et internationaux (Déclaration universelle de l'ONU de 1948 et Convention de sauvegarde des droits de l'homme et des libertés fondamentales du Conseil de l'Europe de 1950), l'usage qui en est fait peut mettre gravement en échec les droits individuels de chacun à refuser que des données strictement personnelles soient étalées au vu et au su de tous, au nom de la liberté d'information du public.
Il ne s'agit pas d'une hypothèse d'école : nous rencontrons régulièrement ces difficultés pour protéger l'image d'une personne qui aurait par exemple été mêlée à une affaire judiciaire (sans même parler de condamnation) : les décisions de justice doivent absolument être anonymisées (aux termes d'une recommandation de la Cnil, mais désormais aux termes de la même loi numérique), mais pas les articles de presse ayant couvert l'événement pour satisfaire à l'information du public, éternellement sur internet… Il risque d'en être de même s'agissant de données concernant des mineurs si l'on invoque à tout propos l'intérêt du public à rester informé…
L'avenir nous apportera sans doute son lot de contentieux sur ce terrain qui — espérons-le — feront évoluer la frontière entre protection des données et information du public.
En savoir plus
Lire l'article 40-II de la loi n°78-17 du 6 janvier 1978 modifiée, relative à l'informatique, aux fichiers et aux libertés sur Légifrance :
https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000000886460&Texte#LEGIARTI000033219719
