LegalBotik — droit loubli dereferencement cnil
On structure le calendrier, le bordereau et les formulations. Vous gardez la main sur le dépôt et le suivi.
Le droit à l'oubli numérique — juridiquement, le « droit au déréférencement » — reste l'un des droits RGPD les plus demandés mais aussi les plus mal compris: il ne supprime pas un contenu, il en limite la visibilité dans les moteurs de recherche, sous des conditions précises fixées par une jurisprudence européenne dense depuis 2014.
Guides liés: retrait de points et contestation, clause abusive de crédit, aide juridictionnelle.
Le fondement juridique: article 17 du RGPD et arrêt Google Spain
Le droit à l'oubli trouve son origine dans l'arrêt fondateur de la CJUE du 13 mai 2014 (Google Spain SL, aff. C-131/12): l'exploitant d'un moteur de recherche est qualifié de responsable de traitement pour l'indexation de pages contenant des données personnelles, et toute personne peut exiger le déréférencement de liens vers des informations inadéquates, non pertinentes ou excessives au regard des finalités du traitement. Ce droit a ensuite été codifié à l'article 17 du RGPD, entré en application le 25 mai 2018, sous l'appellation « droit à l'effacement ».
Ce que le droit à l'oubli permet réellement — et ce qu'il ne permet pas
| Ce qu'il permet | Ce qu'il ne permet pas |
|---|---|
| Faire disparaître un lien des résultats de recherche associés à votre nom | Supprimer le contenu lui-même sur le site source |
| Agir contre un moteur de recherche (Google, Bing...) | Agir automatiquement contre l'éditeur du contenu (démarche distincte) |
| Obtenir un déréférencement sur les versions européennes du moteur | Obtenir, par principe, un déréférencement mondial systématique |
Une portée limitée à l'Europe, avec géoblocage — pas un effacement mondial
La CJUE a précisé les limites territoriales du droit au déréférencement dans un second arrêt majeur, opposant Google LLC à la CNIL (24 septembre 2019, GC e.a. c/ CNIL, aff. C-136/17). Google avait refusé d'appliquer la désindexation demandée par la CNIL sur l'ensemble des extensions de son moteur de recherche, se limitant aux versions européennes. La Cour tranche: le droit de l'Union n'impose pas un déréférencement mondial; il exige seulement la suppression sur les versions européennes du moteur, assortie de mesures de géoblocage suffisamment efficaces pour empêcher tout internaute situé dans l'Union d'accéder aux liens litigieux via une version extra-européenne. La Cour précise toutefois que si le droit de l'Union n'impose pas de portée mondiale, il ne l'interdit pas non plus — une juridiction nationale peut, dans certains cas particuliers, aller plus loin.
Le Conseil d'État, saisi en retour par la CJUE, a rendu le 6 décembre treize arrêts définissant précisément le cadre applicable, dont deux consacrés à la méthode d'appréciation que doit suivre la CNIL et sept illustrant l'application concrète du droit à l'oubli — notamment pour les données sensibles et les informations relatives à une procédure pénale.
La procédure à suivre, étape par étape
- Demande initiale au moteur de recherche — via le formulaire dédié (par exemple le formulaire de demande de suppression de Google); réponse attendue dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes;
- En cas de refus ou d'absence de réponse satisfaisante — dépôt d'une plainte auprès de la CNIL, qui instruit le dossier après vérification que la démarche préalable auprès du moteur a bien été effectuée et s'est révélée infructueuse;
- Décision de la CNIL — elle peut ordonner le déréférencement, ou, en cas de manquement caractérisé, prononcer une sanction administrative;
- Recours contentieux — les décisions de la CNIL peuvent être contestées devant le Conseil d'État, seul compétent en premier et dernier ressort pour ce type de litige.
Un droit à mettre en balance, pas un droit absolu
La jurisprudence européenne comme nationale rappelle systématiquement que le droit à l'oubli doit être mis en balance avec la liberté d'expression et d'information (article 11 de la Charte des droits fondamentaux de l'UE) et avec l'intérêt légitime du public à accéder à certaines informations. Cette mise en balance varie selon:
- la nature de la personne concernée (personnalité publique ou personne privée);
- la nature des données (données sensibles au sens du RGPD, informations relatives à une procédure pénale);
- l'ancienneté et la pertinence actuelle de l'information au regard de sa finalité initiale.
Sanctions CNIL: un contexte de vigilance renforcée en 2026
Si les sanctions les plus lourdes prononcées récemment par la CNIL concernent principalement des failles de sécurité ou des manquements aux obligations de traitement des données (plusieurs millions d'euros d'amende pour des organismes ayant manqué à leurs obligations), le refus caractérisé de donner suite à une demande légitime de déréférencement ou d'effacement reste également sanctionnable au titre du RGPD. Le montant des sanctions dépend de la gravité du manquement, du nombre de personnes concernées et du comportement de l'organisme mis en cause pendant l'instruction.
Pièges fréquents
- croire que le déréférencement obtenu efface le contenu à la source — une démarche distincte auprès de l'éditeur reste nécessaire pour cela;
- saisir directement la CNIL sans avoir d'abord formulé la demande auprès du moteur de recherche — la plainte peut être jugée prématurée;
- s'attendre à un déréférencement mondial automatique alors que la portée est en principe limitée aux versions européennes du moteur;
- négliger que le droit à l'oubli n'est pas absolu: une information d'intérêt général récente ou concernant une personnalité publique peut légitimement être maintenue;
- pour une entreprise: ignorer une demande de déréférencement légitime en pensant qu'elle ne concerne que les moteurs de recherche, alors qu'un manquement caractérisé reste sanctionnable par la CNIL.
Questions fréquentes — droit à l'oubli et déréférencement
Ressources LegalBotik
Générateur de recours OQTF en ligne · OQTF 48 h commissariat · Abrogation IRTF · Comment générer un recours · Relire avant d’envoyer · Comment fonctionne LegalBotik · Guides et actualités · Téléprocédure contentieuse · Relecture de dossier · Tarifs · Parcours consommation numerique quotidien
Le droit à l'oubli permet-il de faire disparaître totalement une information sur internet?
Non. Le droit au déréférencement, fondé sur l'article 17 du RGPD, ne permet d'obtenir que la suppression des liens renvoyant vers une page dans les résultats d'un moteur de recherche — pas la suppression du contenu lui-même sur le site source. Pour supprimer le contenu à la source, une demande distincte doit être adressée à l'éditeur du site ou de la page concernée.
Le déréférencement obtenu s'applique-t-il dans le monde entier?
Non, en principe. La CJUE a jugé (24 septembre 2019, GC e.a. c/ CNIL, aff. C-136/17) que le RGPD n'impose pas un déréférencement mondial: le moteur de recherche doit seulement le mettre en œuvre sur ses versions européennes, assorti de mesures de géoblocage suffisamment efficaces pour empêcher un accès depuis l'Union par une version extra-européenne. La Cour précise cependant que le droit de l'Union n'interdit pas non plus, dans certains cas particuliers, une portée plus large ordonnée par une juridiction nationale.
Quelle est la procédure pour exercer son droit au déréférencement?
La demande doit d'abord être adressée directement au moteur de recherche via son formulaire dédié. Celui-ci doit répondre dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes. En cas de refus ou d'absence de réponse satisfaisante, une plainte peut ensuite être déposée auprès de la CNIL, qui instruit le dossier et peut ordonner le déréférencement, voire prononcer des sanctions en cas de manquement caractérisé.
Le droit à l'oubli est-il un droit absolu?
Non. Il doit être mis en balance avec la liberté d'expression et d'information (article 11 de la Charte des droits fondamentaux de l'UE), ainsi qu'avec l'intérêt légitime du public à accéder à l'information — notamment pour des personnalités publiques ou des informations d'intérêt général. La CJUE comme le Conseil d'État imposent une appréciation au cas par cas, en distinguant selon la nature des données (données sensibles, informations relatives à une procédure pénale, etc.).
Que risque une entreprise qui ne respecte pas une demande de déréférencement ou d'effacement?
La CNIL peut prononcer des sanctions administratives, incluant des amendes pouvant atteindre plusieurs millions d'euros pour les manquements les plus graves au RGPD (traitement illicite, défaut de sécurité, non-respect des droits des personnes). Les sanctions les plus lourdes prononcées récemment concernent principalement des failles de sécurité ou des manquements aux obligations de traitement, mais le refus caractérisé de donner suite à une demande de déréférencement légitime constitue également un motif de sanction.
LegalBotik — éditeur de logiciel juridique: nous préparons vos actes, réunissons vos pièces et tenons vos délais. La représentation en justice reste le métier de l’avocat.