Le droit à l’oubli

Récentes précisions sur la mise en œuvre du principe par les juridictions allemandes, françaises et européennes

Depuis 2014, les Européens ont la possibilité de demander aux moteurs de recherche tels que Google de supprimer, sous certaines conditions, des liens obtenus lorsqu’on entre leur nom en ligne. En quatre ans, Google a ainsi reçu plus de 650 000 demandes et en a accepté environ 43%. Ce droit à l’oubli numérique ou droit au déréférencement a été consacré par la Cour de Justice de l’Union Européenne en 2014 dans l’affaire Google Spain[1]. Le droit à l’oubli consiste à demander à un moteur de recherche de supprimer des liens comportant son nom pour accéder à une page dans laquelle des données personnelles sont révélées[2]. Les juridictions sont alors parfois saisies de la question et sont amenées à concilier des libertés antagonistes : tandis que le droit à l’information et la liberté d’expression encouragent au maintien des données, leur suppression est parfois justifiée pour des raisons de vie privée. Le principe du droit à l’oubli a d’abord été consacré par la jurisprudence (I) puis sa mise en œuvre se façonne peu à peu au fil de la plume du législateur européen et des décisions de justice (II).

I.  La consécration du principe du droit à l’oubli

       Dans l’affaire Google Spain, un particulier souhaitait obtenir la suppression d’une information, légalement publiée il y a 16 ans, relative à la mise en vente d’une de ses propriétés pour le non-paiement de ses cotisations sociales. Selon la Cour de Justice de l’Union Européenne, l’existence d’un lien sur Google donne une information d’une portée universelle, qui constitue une ingérence considérable dans la vie privée, « dès lors que ledit traitement permet à tout internaute d’obtenir par la liste de résultats un aperçu structuré des informations relatives à cette personne disponibles sur Internet »[3]. Ainsi, la Cour doit concilier divers droits fondamentaux : d’une part, l’intérêt économique de l’activité de Google ne peut prévaloir sur la protection de la vie privée, mais d’autre part, le respect à la vie privée doit se conjuguer avec le droit à l’information. Cet équilibre entre les libertés est à la charge du responsable du traitement. Google a immédiatement donné suite à l’arrêt de la Cour en mettant en ligne un formulaire permettant d’obtenir la suppression de l’indexation d’une information.

 

       Une fois consacré dans son principe (I), le droit à l’oubli continue de poser de nombreuses questions dans sa mise en œuvre (II). Le Conseil d’Etat français a d’ailleurs renvoyé plusieurs questions préjudicielles à la CJUE en 2017 à ce sujet, notamment lorsque les données personnelles révèlent une orientation sexuelle, des opinions politiques, religieuses ou philosophiques, ou qu’elles contiennent des informations relatives à des condamnations pénales[4].

 

II.  La mise en œuvre du principe

       La mise en œuvre du droit à l’oubli a été précisée par la suite non seulement quant à son champ d’application territorial (A), matériel (B) mais aussi personnel (C).

 

  A. Un champ d’application territorial étendu

Bien que le droit à l’oubli soit originaire du vieux continent, peut-il être cantonné aux frontières étatiques ou européennes ? Lorsqu’un moteur de recherche est tenu de déréférencer, doit-il le faire uniquement dans la zone géographique couverte par le Règlement européen de protection des données (RGPD)[5], ou doit-il, compte tenu de l’indifférence d’internet aux frontières, déréférencer de manière mondiale ? Face à ces interrogations, Google a fait le choix de ne déréférencer que localement et non sur l’ensemble des extensions de noms de domaines, en excluant notamment l’extension .com. Pour contrer cette interprétation réductrice du droit à l’oubli par Google, la Commission Nationale de l’Informatique et des Libertés (CNIL) – autorité administrative indépendante française – lui a infligé une amende de 100 000 € le 10 Mars 2016. Le Conseil d’Etat français a été saisi de cette sanction par Google mais il a préféré laisser le soin à la CJUE de se prononcer sur la question de la portée territoriale du droit à l’oubli en lui posant une question préjudicielle[6]. La portée territoriale du droit à l’oubli reste donc à préciser.

Il reste que le Règlement Européen de Protection des Données (RGPD)[7], entré en vigueur le 25 Mai 2018, consacre une interprétation extensive de son champ d’application. En effet, l’article 17 du RGPD consacre le droit à l’oubli tandis que l’article 3 du RGPD prévoit que le Règlement s’applique dans l’Union mais aussi hors Union grâce à deux critères de rattachement alternatifs. D’une part, le critère de l’établissement fait jouer le Règlement dès lors que le responsable de traitement ou le sous-traitant est établi dans l’Union Européenne, que le traitement ait lieu ou non dans l’Union. D’autre part, le critère du ciblage exige l’application du RGPD lorsque les activités de traitement concernent l’offre de biens ou services à des personnes qui se trouvent sur le territoire de l’Union, alors même que le responsable de traitement (ou son sous-traitant) ne se trouve pas sur le territoire de l’Union. En conséquence, le Règlement marque une véritable extension du champ d’application du droit à l’oubli en englobant des comportements hors union, extension allant à l’encontre du raisonnement de Google. Bien que le Règlement ne s’applique pas au conflit entre Google et la CNIL, en raison des règles d’application de la loi dans le temps, le Règlement démontre malgré tout une tendance à l’extension de la portée territoriale du droit à l’oubli. Ainsi, en appliquant le raisonnement à d’autres catégories de responsables de traitements visées par le RGPD, la solution retenue pourrait ainsi, par exemple, obliger une entreprise transnationale à faire disparaître les données d’un client européen pour l’ensemble de ses filiales, y compris dans des pays où le traitement de ces données serait pourtant resté parfaitement licite.

 

Alors que la portée territoriale du droit à l’oubli semble être interprétée de manière extensive (A), les juridictions allemandes ont rappelé dans deux affaires récentes qu’il ne constitue pas pour autant un droit absolu (B).

 

B. Une portée matérielle non absolue

Quelles sont les informations susceptibles de tomber dans l’oubli au nom de la vie personnelle et quelles sont celles qui doivent être maintenues en vertu du devoir d’information et de la liberté d’expression ? La portée matérielle du principe du droit à l’oubli est peu à peu façonnée par la jurisprudence. La Cour Européenne des Droits de l’Homme a eu à se prononcer à deux reprises sur des décisions prises par des juridictions allemandes. Tout d’abord, l’affaire Fuchsmann[8] concerne la demande formée par un entrepreneur international dans le milieu cinématographique aux fins de l’obtention d’une injonction ordonnant le retrait de la publication de certaines déclarations faites à son sujet dans un article publié dans la version en ligne du New York Times. Les déclarations concernaient une enquête criminelle menée aux États-Unis sur des soupçons de corruption entre un ancien candidat à la mairie de New York et des entreprises de média, dont celle du requérant. Les tribunaux allemands ont refusé d’accorder cette suppression au motif que, bien que les déclarations portent atteinte aux droit de la personnalité de M. Fuchsmann, le public avait un intérêt à être informé que cet homme d’affaires allemand était soupçonné d’implication dans le crime organisé. L’affaire fût ensuite portée devant la Cour Européenne des Droits de l’Homme au motif que les publications violent le droit au respect de la vie privée et familiale, protégé par l’article 8 de la Convention Européenne des Droits de l’Homme et du Citoyen. Bien que la Cour reconnaisse que l’article 8 est invocable en la matière, elle s’aligne sur le raisonnement des tribunaux allemands : les informations publiées présentent un intérêt public en ce qu’elles portent sur l’implication d’un homme d’affaires allemand dans une affaire de corruption, de détournement de fonds et de liens avec le crime organisé. La Cour fait donc prévaloir la liberté de la presse et la liberté d’expression face à la protection de la vie privée.

Dans une autre espèce concernant l’Allemagne[9], la Cour Européenne des Droits de l’Homme vient réaffirmer que le droit à l’oubli n’est pas absolu en faisant prévaloir le droit du public d’accéder aux informations archivées sur Internet. Les requérants sont deux ressortissants allemands reconnus coupables de l’assassinat d’un célèbre acteur, qui souhaitent obtenir l’anonymisation des données personnelles parues sur le site internet de la radio Deutschlandradio, sur le site de l’hebdomadaire allemand Der Spiegel, et du quotidien Mannheimer Morgen. Alors que les juges du fond ont fait droit à la suppression des publications en avançant le droit au respect de la vie privée, la Cour fédérale de justice allemande cassa ces décisions au motif que les juridictions inférieures n’ont pas suffisamment pris en compte l’intérêt du public à être informé ainsi que le droit à la liberté d’expression. Les requérants ont alors saisi la Cour Européenne des Droits de l’Homme. Elle juge qu’en raison de la marge d’appréciation des autorités nationales, de l’importance de conserver l’accessibilité à des reportages participant au débat général, de la véracité des publications, et de l’absence de volonté de nuire à la réputation des requérants, il n’y a pas lieu de se substituer à la Cour Fédérale de Justice allemande. L’Allemagne n’a donc pas manqué à l’obligation positive de protéger le droit à la vie privée des requérants, l’article 8 de la Convention n’a donc pas été violé.

Si la jurisprudence définit peu à peu les contours du champ matériel du droit à l’oubli (B), le nouveau Règlement en a clairement défini le champ d’application personnel (C).

 

C. Une portée personnelle strictement délimitée

       La question du champ d’application personnel est double : il faut se demander quelles sont les personnes bénéficiaires du droit à l’oubli mais aussi quelles sont les personnes responsables de la mise en œuvre de ce droit.

       D’une part, il faut se demander si une entreprise pourrait faire valoir un droit à l’oubli pour supprimer des données la concernant sur Internet. L’article 17 du RGPD désigne le destinataire du droit à l’oubli ainsi : « la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant ». Or, les données à caractère personnel se définissent comme toute information relative à une personne physique susceptible d’être identifiée, directement ou indirectement. Cet article ne s’adresse donc qu’aux personnes physiques et non aux personnes morales. Dès lors, une entreprise ne pourrait pas faire valoir son droit à l’oubli devant un responsable de traitement. Cependant, les personnes composant l’entreprise qu’il s’agisse d’un dirigeant, d’un mandataire ou d’un salarié pourraient demander à en bénéficier, si les données diffusées les concernent personnellement. Néanmoins, d’autres moyens d’actions restent ouverts à l’entreprise, comme recourir à la diffamation au dénigrement ou à la violation des droits de propriété intellectuelle, en cas de diffusion de données qu’elle juge préjudiciables.

            D’autre part, il convient d’étudier quelles sont les personnes responsables de la mise en œuvre du droit à l’oubli. L’article 24 du RGPD consacre un principe de responsabilité de mise en œuvre à la charge du responsable de traitement de données et de son sous-traitant. Le responsable de traitement est défini à l’article 4 du RGPD comme « la personne physique ou morale, l’autorité́ publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement », tandis que le sous-traitant est défini comme « la personne physique ou morale, l’autorité́ publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ». Responsable de traitement et sous-traitement peuvent donc tous deux être des personnes physiques ou morales. Dès lors, les entreprises ne sont pas complètement ignorées de la mise en œuvre du droit à l’oubli : si elles ne peuvent pas en bénéficier, elles doivent en revanche assurer sa mise en œuvre. Ainsi, les entreprises doivent mettre en place des mécanismes permettant de vérifier que la durée de conservation des données est limitée au strict minimum, assurant la mise en œuvre du droit à l’oubli, ou encore assurant la protection des données. Le RGPD exige que le responsable de traitement réponde adéquatement aux demandes dans le délai imparti, et relaie cette demande aux responsables de traitement auxquelles ces données ont été transmises (Art. 17, RGPD). De telles démarches exigent un travail en amont de recensement des données, de détermination des applications de traitement et de localisation de l’hébergement des données, ainsi que d’identification de la nationalité des personnes concernées[10]. A défaut, le responsable de traitement ne sera pas considéré comme en conformité avec le RGPD et s’expose à de lourdes sanctions : jusqu’à 20 000 000 d’euros, ou dans le cas d’une entreprise jusqu’à 4% du chiffre d’affaires annuel mondial total de l’exercice précédent.

 

[1] CJUE, Gde ch., 13 mai 2014, aff. C-131/12, Google Spain c/ Agencia Española de Protección de Datos Mario Costeja Gonzalez

[2] O. TAMBOU, « Protection des données personnelles : les difficultés de la mise en oeuvre du droit européen au déréférencement », RTD eur. 2016. 249

[3] CJUE, gde ch., 13 mai 2014, aff. C-131/12, Google Spain c/ Agencia Española de Protección de Datos Mario Costeja Gonzalez

[4] CE, 24 février 2017, Mme C, M. F, M. H, M. D, N°391000, 393769, 399999, 401258

[5] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données

[6] CE, 19 juill. 2017, n° 399922

[7] J. GHEORGE – BADESCU, « Le droit à l’oubli numérique », Rev. UE 2017. 153

[8] CEDH, Fuchsmann c/ Allemagne, 19 Octobre 2017, n° 71233/13

[9] CEDH, M.L. et W.W. c/ Allemagne, 28 Juin 2018, n° 60798/10 et 65599/10

[10] O. TAMBOU, « L’impact du Règlement général de la protection des données sur la mise en oeuvre future du droit à l’oubli numérique », e-conférence sur le droit à l’oubli en Europe et au-delà, Mai 2017, Blogdroiteuropeen

Les conditions d’une rétractation du consommateur dans le cadre de contrats conclus à distance avant et après le 13 Juin 2014

Cet article a été rédigé conjointement par Dr. Daniel SMYREK et Lukas SCHRÖDER.

Sous l’impulsion du droit européen, une réforme de la protection des consommateurs est entrée en vigueur en Allemagne le 13 Juin 2014. Elle concerne notamment le droit de rétractation des contrats de vente à distance entre un consommateur et un professionnel. Mais ces nouvelles dispositions s’appliquent seulement aux contrats de ce type conclus à partir du 13 Juin 2014.

Pour les contrats conclus avant le 13 Juin 2014, il s’applique l’ancienne législation du droit des contrats conclus à distance.

C’était bien le cas dans cette affaire jugée le 12 Janvier 2017 dans laquelle un contrat avait été conclu le 17 Septembre 2012.

Par son arrêt du 12 Janvier 2017 (n° I ZR 198/15), la Cour fédérale de justice allemande clarifie le droit applicable aux contrats conclus à distance avant la réforme et plus particulièrement en matière de rétractation.

Sur le fondement de l’article § 355 alinéa 1 du « Bürgerliches Gesetzbuch » (BGB) (Code civil allemand) dans son ancienne version, la Cour fédérale rappelle que pour faire reconnaître une rétractation le consommateur n’a pas besoin d’utiliser le terme « se rétracter » (« widerrufen »). Il est important surtout que le déclarant ait exprimé une intention claire de ne pas vouloir être lié par le contrat en question.

La Cour se prononce aussi pour la première fois sur les formes admises d’une déclaration en rétractation. Le défendeur n’avait pas formellement exprimé une demande « en rétractation ». Mais sa contestation lors du procès des stipulations contractuelles pour manœuvres frauduleuses vaut déclaration en rétractation.

Rappel des faits de l’affaire

Dans cette affaire, une agente immobilière dirige un client vers un immeuble qu’elle proposait sur un site internet. Dans cette annonce internet figure une information sur sa commission d’agent à hauteur de 5,95 % du prix d’achat. Le client l’a remercié le même jour pour ses informations et a demandé un rendez vous pour une visite de l’immeuble.

Après plusieurs visites et des hésitations le client achète le bien immobilier le 12 Octobre 2012 mais refuse de payer la commission d’agent immobilier. L’agente immobilière assigne alors celui-ci en paiement le 26 Août 2013.

Au cours du litige le client a présenté ses arguments en défense : il n’aurait jamais signé pour la prétendue commission de l’agent immobilier. Dès le départ il n’aurait pas consenti à cette stipulation.

La requérante parle, elle, d’un accord de réservation dans lequel il se serait engagé à payer la commission.

Le Tribunal de grande instance (Landesgericht) a d’abord fait droit à la demande de la requérante. La Cour d’appel (Oberlandesgericht) va dans le même sens et rejette l’appel du client. Ce dernier forme donc un pourvoi en cassation.

Que décide la Cour ?

Dans un premier temps, la Cour fédérale (Bundesgerichtshof) estime qu’il y a bien eu conclusion d’un contrat de courtage en conformité avec le droit positif entre l’agente immobilière et son client.

La demandeuse est bien identifiée comme l’intermédiaire de l’opération et il est bien précisé dans l’annonce qu’une commission d’un montant précis sera due.

Mais dans un second temps, la Haute Cour juge que le défendeur s’est régulièrement rétracté du contrat de courtage.

Le défendeur disposait bien d’un droit de rétractation selon le droit des ventes conclues à distance (§ 312d alinéa 1er et § 355 du BGB , ancienne version) et en a fait régulièrement usage pour deux raisons :

– D’abord, le défendeur a bien usé de son droit de rétractation dans les délais requis :

En principe, si l’information par écrit sur le droit de rétractation a été donnée par le vendeur au jour de la conclusion du contrat, le délai de rétractation est de 14 jours (§ 355 alinéa 2 et suivants du BGB, ancienne version et article 229 § 32 alinéa 1 EGBGB, ancienne version). Si elle est délivrée après, le délai de rétractation est d’1 mois à compter du jour où cette information a été donnée.

Le droit de rétractation expire, dans tous les cas, au plus tard 6 mois après la conclusion du contrat…

…Sauf, si le consommateur n’a pas été correctement informé de son droit de rétractation par écrit ! Si de fausses informations sont communiquées ou si elles sont insuffisantes, le consommateur peut exercer son droit de rétractation pendant une durée indéterminée.

C’était bien le cas dans cette espèce : les informations de l’agente immobilière étaient insuffisantes. Le client pouvait donc se rétracter sans délai particulier.

La Haute Cour confirme ainsi sa jurisprudence sur le droit de rétractation dans le cadre des contrats conclus à distance sous l’ancien régime juridique.

A noter que la réforme de 2014 a amélioré cela significativement du point de vue des professionnels. Désormais, en cas d’erreur commise dans l’information sur le droit de rétractation, le consommateur ne dispose plus d’un droit de rétractation à durée indéterminée, il peut seulement exercer son droit de rétractation dans un délai de 12 mois et 14 jours à compter du jour où le délai commence à courir (point de départ du délai variable selon les situations : par exemple délai de réception de la dernière marchandise, date de conclusion du contrat…voir à l’article § 356 al. 2 BGB, nouvelle version). Passé ce délai, le droit de rétractation s’éteint dans tous les cas.

– Ensuite, car le défendeur avait bien l’intention de se rétracter au vu de ses déclarations :

La forme de la rétractation est appréciée de manière souple.

C’est l’apport principal de l’arrêt. Les Hauts magistrats se sont prononcés pour la première fois sur les modalités formelles d’une déclaration en rétractation.

Suivant par-là l’exemple de décisions d’autres chambres civiles de la Cour de justice, l’arrêt énonce que l’utilisation du terme «se rétracter » (« widerrufen ») n’est pas indispensable. Il suffit pour le client de l’opération de courtage de démontrer qu’il n’a jamais voulu que le contrat s’applique.

C’est donc l’intention, la volonté de se rétracter plus que la forme de la rétractation qui est déterminante.

Il faudra prendre en compte le contexte de chaque affaire.

Ainsi une déclaration en « retrait » (Rücktrittserklärung) ou une contestation pour manœuvre dolosive (Anfechtung wegen arglistiger Täuschung) peut suffire.

La Cour pose toutefois des limites : cela ne vaut pas pour une simple déclaration au tribunal (Prozesserklärung) comme une déclaration de volonté de se défendre (Verteidigungsanzeige).

En l’espèce, un écrit avant le début de la procédure se comprenait déjà comme une volonté de rétractation.

La Cour de justice considère aussi que la volonté de rétractation du défenseur ressort de sa déclaration en réponse à la plainte contredisant le contrat pour manipulation dolosive. La volonté est claire, cela s’analyse comme une déclaration en rétractation.

Cette souplesse dont font preuve les juges dans la forme de la rétractation concerne aussi les contrats conclus sous le nouveau régime post 2014.

Quelle portée dans la pratique ?

La décision a un vrai impact dans la pratique. Les objections de consommateurs à l’encontre des professionnels dans des contrats conclus à distance sont nombreuses et particulièrement sur les commissions des intermédiaires.

Ces aspects sont souvent contestés et ont un enjeu final important : le risque d’une rétractation du consommateur de ce contrat.

Il faut désormais pour le professionnel être très vigilant lorsqu’il traite d’une opération de courtage à distance avec un client en Allemagne. Il faudra clarifier toutes les informations, notamment celles relatives aux conditions de rétractation, et penser à bien soumettre à acceptation une éventuelle commission.

Quel est le droit en vigueur aujourd’hui ?

Pour des raisons évidentes de protection du consommateur, le droit allemand est plus exigeant en matière d’information précontractuelle pour les contrats conclus à distance ou hors établissement.

Il y a eu une réforme récente en la matière.

La réforme du droit allemand en matière de protection des consommateurs entrée en vigueur le 13 Juin 2014 (Verbraucherschutzreform) résulte de la transposition d’une directive européenne (directive 28 2011/83/UE sur les droits des consommateurs). L’objectif est d’harmoniser les régimes de protection des consommateurs dans l’Union européenne, en particulier dans le domaine du e-commerce.

Le commerce à distance a subi en effet quelques changements. L’obligation d’information précontractuelle a été étendue et les règles en matière de rétractation ont été revues. Il est conseillé aux professionnels s’adressant à une clientèle allemande d’adapter au plus vite leurs sites internet et leurs conditions générales de vente.

Le nouveau droit en la matière, inséré dans le Code civil allemand, ne s’applique cependant qu’aux contrats conclus à partir du 13 Juin 2014.

D’après la loi, les contrats conclus à distance se définissent comme étant des contrats sur des livraisons de biens ou des prestations de service (à l’exclusion de services financiers) conclus entre un consommateur et un professionnel par des moyens de télécommunication (catalogue, téléphone, courrier électronique, SMS ou télé média).

Dans le cas de contrat de ventes réalisées à distance, le consommateur doit notamment être informé de son droit de rétractation (Widerrufsrecht, § 312g al.1 BGB, nouvelle version). A cet égard, l’article 246a §1 (2) et (3) BGB dispose que le professionnel doit fournir au consommateur des informations précises sur :

• les conditions, délais et procédures d’exercice du droit de rétractation
• le formulaire-type à utiliser pour toute réclamation
• les frais de réexpédition de la marchandise.
• si le consommateur ne bénéficie d’aucun droit de rétractation parce que le type même du contrat conclu exclut un tel droit, il doit en être informé par le professionnel.

Comme déjà évoqué précédemment il convient de souligner que le consommateur bénéficie, aussi bien dans le cadre d’un contrat hors établissement que d’un contrat conclu à distance, d’un droit de rétractation de 14 jours (§ 312g al.1, 46 ensemble § 355 al.1 BGB, nouvelle version). Désormais est prévu un nouveau délai de forclusion de 12 mois et 14 jours à compter du jour où le délai commence à courir selon les cas prévus par la loi (§ 356 al. 2 et 3 BGB, 11 nouvelle version).

Un blog pour les investisseurs francophones en Allemagne

Avocat inscrit au Barreau de Paris et de Stuttgart, associé du cabinet Diem & Partner et en activité en Allemagne depuis 1992, j’ai souhaité faire profiter les investisseurs français de mon expérience en Allemagne de plus de 15 ans et de mon savoir-faire.

Avec ce blog je tiens aussi à échanger et même à discuter avec les interessés certains aspects juridiques, écononmiques et même interculturels d’un investissement en Allemagne et de sa gestion.

L’Allemagne est un pays très intéressant pour les français. Ce pays conjugue à la fois un conservatisme – que certains jugent à tors ennuyant – comme le maintien volontaire d’une industrialisation, l’entreprise familiale, le consensus social, le modèle rhénan, et un esprit quasiment aventurier comme la conquête des marchés étrangers les plus éloignés la fleur au fusil, l’innovation technologique et le plaisir de la belle technique, la recherche de solutions environnementales originales et tout récemment la folie de l’internet.

C’est dans cette perspective que ce blog s’offre à vous!