Droit à l'oubli numérique face à la liberté d'expression : quelle articulation entre l'article 17 du RGPD et l'article 10 de la CEDH ?

Introduction : Une tension au cœur de la société numérique

La perpétuation indéfinie d'informations personnelles sur Internet pose une question juridique majeure : comment concilier le droit à l'effacement consacré par l'article 17 du RGPD avec la liberté d'expression et le droit à l'information garantis par l'article 10 de la Convention européenne des droits de l'homme ?

Cette problématique dépasse le cadre théorique pour toucher des réalités concrètes : discrimination à l'embauche, atteinte à la réinsertion des condamnés, violation de la présomption d'innocence. L'arrêt Google Spain du 13 mai 2014 de la CJUE a consacré le droit au déréférencement, mais son effectivité reste problématique face aux géants du numérique.

La doctrine contemporaine révèle une tension irréductible entre plusieurs approches : les défenseurs de la protection des personnes, les tenants de la liberté d'expression, l'approche institutionnelle privilégiant les autorités administratives indépendantes, et l'analyse économique du droit. Cette étude examine l'état du débat doctrinal et les pistes de conciliation.

ILe cadre juridique : une architecture complexe et stratifiée

A.Le socle du droit européen : l'arrêt Google Spain et l'article 17 du RGPD

L'arrêt Google Spain du 13 mai 2014 (C-131/12) constitue la pierre angulaire de la construction jurisprudentielle. La CJUE y a établi trois principes cardinaux : les moteurs de recherche sont des responsables de traitement au sens du droit européen, le traitement des données par indexation constitue une ingérence dans les droits fondamentaux des personnes, et le droit au déréférencement découle directement des articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne.

L'article 17 du RGPD a codifié ce droit à l'effacement en prévoyant que « la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant ». Toutefois, le paragraphe 3 du même article prévoit une exception majeure : le droit à l'effacement ne s'applique pas lorsque le traitement est nécessaire « à l'exercice du droit à la liberté d'expression et d'information ».

Cette architecture révèle une intention législative claire : le RGPD n'oppose pas frontalement vie privée et liberté d'expression, mais établit une hiérarchisation contextuelle. Comme le souligne une partie de la doctrine, cette exception n'est pas un accident de rédaction mais un choix délibéré du législateur européen visant à éviter une collision brutale entre deux droits fondamentaux de valeur égale.

B.Le droit français : une protection multi-niveaux de la vie privée

Le droit français offre une protection de la vie privée ancrée dans plusieurs dispositions complémentaires. L'article 9 du Code civil énonce le principe général : « Chacun a droit au respect de sa vie privée ». La jurisprudence civile a précisé que le seul constat de l'atteinte ouvre droit à réparation, sans qu'il soit nécessaire de démontrer un préjudice quantifiable [Cass. Civ. 1ère, 5 novembre 1996].

L'article 9-1 du Code civil, issu de la loi n°2000-516 du 15 juin 2000, protège spécifiquement la présomption d'innocence : toute personne présentée publiquement comme coupable avant condamnation peut obtenir du juge des mesures de rectification. La Cour européenne des droits de l'homme a d'ailleurs condamné la France dans l'arrêt Gravier c. France du 30 mai 2024 pour violation de ce principe.

Au pénal, l'article 226-1 du Code pénal sanctionne d'un an d'emprisonnement et 45 000 euros d'amende l'atteinte délibérée à l'intimité de la vie privée. En procédure pénale, l'article 11 du Code de procédure pénale impose le secret de l'instruction, créant une tension particulière avec l'indexation par les moteurs de recherche.

C.Le rôle central de la CNIL et du contrôle juridictionnel

La Commission nationale de l'informatique et des libertés, créée par la loi du 6 janvier 1978, constitue la première autorité administrative indépendante instituée en France. Le Conseil constitutionnel a reconnu dès 1986 la possibilité pour le législateur de confier à des AAI le pouvoir de fixer des normes dans un domaine déterminé.

Le contrôle juridictionnel s'exerce à double niveau : le Conseil d'État contrôle les décisions de la CNIL en tant que juge administratif, tandis que le juge judiciaire reste compétent pour les actions en responsabilité civile fondées sur l'article 1240 du Code civil. Cette dualité juridictionnelle, loin d'être une anomalie, reflète la double nature du contentieux : régulation administrative d'une part, réparation du préjudice individuel d'autre part.

IILes enjeux sociaux et économiques du droit à l'oubli

A.La discrimination à l'embauche : un fléau amplifié par l'indexation numérique

L'article L.1132-1 du Code du travail prohibe toute discrimination à l'embauche fondée sur des critères étrangers aux compétences professionnelles. Pourtant, l'indexation perpétuelle d'informations personnelles par les moteurs de recherche crée un mécanisme de discrimination massive et invisible.

La Cour de cassation a rappelé dans son arrêt du 25 septembre 2024 (n° 23-11.860) que le salarié conserve un droit au respect de sa vie privée même sur le lieu de travail. Plus récemment, l'arrêt du 18 juin 2025 (n° 23-19.022) a précisé que les courriels professionnels constituent des données à caractère personnel au sens de l'article 4 du RGPD, renforçant la protection du salarié.

Selon l'étude de France Stratégie de septembre 2016, les discriminations à l'emploi représentent un coût économique estimé à 150 milliards d'euros sur 20 ans, soit 7,5 milliards d'euros par an. Une partie de la doctrine estime que Google, en amplifiant ces mécanismes discriminatoires, contribue à hauteur de 5% de ce coût, soit 375 millions d'euros annuels.

Cette analyse économique justifie juridiquement l'engagement de la responsabilité civile des moteurs de recherche sur le fondement de l'article 1240 du Code civil : le préjudice est quantifiable, la faute est établie (indexation perpétuelle d'informations périmées compromettant l'employabilité), et le lien de causalité est démontré.

B.La réinsertion des condamnés : un impératif de politique criminelle

Le Code pénal organise la réhabilitation légale des condamnés après certains délais [articles 132-24 et suivants]. Les articles 768 et suivants du Code de procédure pénale régissent le casier judiciaire et les modalités d'effacement des condamnations. Cette architecture repose sur un principe cardinal : la peine a un terme.

Or, l'indexation perpétuelle par les moteurs de recherche crée une peine privée infinie, contournant le système légal de réhabilitation. La jurisprudence pénale est formelle : la perpétuation d'une condamnation effacée du casier judiciaire viole à la fois le droit à la vie privée et le principe de proportionnalité des peines.

La doctrine majoritaire considère que cette tension appelle une réponse législative claire : soit un déréférencement automatique à l'expiration des délais de réhabilitation, soit une présomption réfragable en faveur du déréférencement, renversée uniquement si l'intérêt public à l'information l'exige (personnalité publique, fonction élective, etc.).

C.Le secret de l'instruction et la présomption d'innocence

L'article 11 du Code de procédure pénale impose le secret de l'instruction. L'article 226-13 du Code pénal sanctionne la révélation d'une information secrète. Pourtant, Google indexe quotidiennement des informations issues de procédures en cours, créant un paradoxe juridique majeur.

Une partie de la doctrine soulève une question délicate : comment la CNIL peut-elle ordonner le déréférencement d'informations issues d'une instruction en cours sans violer elle-même le secret de l'instruction ? Le simple examen de la demande implique de prendre connaissance d'informations couvertes par le secret.

Cette aporie révèle une insuffisance du cadre juridique actuel. La solution pourrait résider dans une procédure spécifique devant le juge des libertés et de la détention, seul magistrat habilité à concilier secret de l'instruction et droits fondamentaux de la personne mise en examen.

IIILes divergences doctrinales : quatre approches inconciliables ?

A.L'approche protectrice : renforcer les sanctions contre les moteurs de recherche

Un courant doctrinal, porté notamment par les praticiens du droit social et du droit civil, plaide pour un renforcement massif des sanctions contre les moteurs de recherche récalcitrants. Cette approche repose sur un constat d'échec : les décisions de la CNIL restent largement inexécutées.

Les propositions incluent des astreintes de 10 000 euros par jour de retard en cas de non-exécution d'une décision de déréférencement, des dommages-intérêts à hauteur de 100 000 euros par victime (montant conforme à la jurisprudence récente du tribunal judiciaire de Paris), et l'obligation de publier un communiqué rectificatif sur la page d'accueil du moteur de recherche.

Cette approche s'appuie sur une lecture extensive de l'article 9 du Code civil et de l'article 9-1 relatif à la présomption d'innocence. Le juge judiciaire, gardien des libertés individuelles, dispose de tous les pouvoirs pour faire cesser une atteinte à la vie privée, y compris par des mesures coercitives à l'encontre d'opérateurs extra-européens.

B.L'approche libérale : préserver la liberté d'expression et le droit à l'information

Un second courant, appuyé sur l'analyse économique du droit et la défense des libertés publiques, met en garde contre les risques de sur-régulation. L'article 10 de la CEDH protège la liberté d'expression et le droit du public à être informé. Le droit à l'oubli ne peut devenir un droit à réécrire l'histoire.

Cette approche souligne que l'article 17§3 du RGPD établit une exception explicite en faveur de la liberté d'expression. La CJUE dans Google Spain a clairement indiqué que le droit à l'effacement s'exerce sous réserve de l'intérêt légitime du public à accéder à l'information. Il ne s'agit pas d'une balance à 50/50, mais d'une présomption en faveur de la liberté d'expression, sauf démonstration contraire.

Le risque identifié est celui d'une censure privée massive : si les moteurs de recherche, par crainte de sanctions financières disproportionnées, acceptent systématiquement toutes les demandes de déréférencement, c'est la liberté d'information du public qui est sacrifiée. La CEDH a rappelé dans de nombreux arrêts que la liberté d'expression vaut aussi pour les informations qui "heurtent, choquent ou inquiètent".

C.L'approche institutionnelle : privilégier la régulation par les AAI

Un troisième courant, porté par les publicistes, défend le modèle français de régulation par autorité administrative indépendante. La CNIL dispose de la technicité nécessaire pour opérer la balance entre vie privée et liberté d'expression. Le Conseil d'État, juge administratif, assure le contrôle de légalité de ses décisions.

Cette approche met en avant l'expertise sectorielle de la CNIL et sa capacité à élaborer des lignes directrices prévisibles pour les opérateurs. La décision n° 2024-875 DC du 12 mars 2024 a consacré le droit à l'oubli comme composante du droit au respect de la vie privée, confortant le rôle de la CNIL.

Toutefois, cette approche se heurte à une objection budgétaire majeure : la CNIL dispose d'un budget de 30,6 millions d'euros et de 301 agents pour réguler l'ensemble du traitement des données personnelles en France, tandis que Google France emploie plus de 1 000 personnes rien qu'à Paris. Le rapport de force économique rend illusoire une régulation efficace sans moyens accrus.

D.L'approche économique : évaluer le coût-bénéfice de la régulation

Un dernier courant, représenté notamment par les juristes d'affaires, plaide pour une analyse coût-bénéfice de toute régulation supplémentaire. Les études chiffrent le coût de mise en conformité au RGPD à environ 20 milliards d'euros pour l'économie française.

Cette approche souligne les risques pour la compétitivité européenne face aux GAFAM. L'arrêt de la Chambre commerciale du 15 janvier 2025 (n° 23-14.625) a validé la résiliation d'un contrat commercial pour risque réputationnel, montrant que la jurisprudence commerciale privilégie le principe de précaution économique sur la présomption d'innocence.

L'analyse économique met en évidence un coût de l'inaction : si Google amplifie 5% des 7,5 milliards d'euros annuels de discriminations à l'emploi, le préjudice social s'élève à 375 millions d'euros par an. Ce calcul justifie une internalisation des externalités négatives par une régulation appropriée.

IVLes pistes de conciliation : vers un équilibre praticable

A.La codification : clarifier les conditions du déréférencement

Une partie significative de la doctrine plaide pour une codification des critères de déréférencement dans le Code civil. Le Conseil d'État rappelle régulièrement que l'accessibilité et l'intelligibilité de la loi constituent des objectifs de valeur constitutionnelle [décision du 16 décembre 1999].

Les critères proposés incluent : l'écoulement du temps depuis les faits, la nature de l'information (condamnation pénale vs simple mise en examen), le statut de la personne (personnalité publique vs citoyen ordinaire), l'intérêt public légitime à l'information, et le caractère sensible des données (santé, orientation sexuelle, opinions politiques).

Cette codification présenterait l'avantage de la prévisibilité pour les opérateurs et de la sécurité juridique pour les citoyens. Toutefois, elle se heurte à l'objection de rigidité : toute liste de critères fige le droit alors que les technologies évoluent rapidement.

B.Le renforcement de l'effectivité : sanctionner réellement les manquements

La convergence doctrinale la plus forte porte sur l'effectivité : le cadre juridique existe (RGPD, jurisprudence Google Spain), mais souffre d'un déficit d'exécution majeur. Les propositions convergent vers un renforcement des sanctions financières proportionnelles au chiffre d'affaires (jusqu'à 4% du CA mondial comme le permet l'article 83 du RGPD), des astreintes journalières dissuasives, et un mécanisme d'exécution transfrontalière des décisions des AAI nationales.

L'approche européenne s'impose face au caractère transfrontalier du problème. Toute solution purement nationale reste illusoire tant que les serveurs de Google sont hébergés en Irlande et que l'entreprise peut arguer de l'application du droit irlandais plus favorable.

C.La procédure accélérée devant le juge judiciaire

Un mécanisme de référé spécifique permettrait aux victimes d'obtenir sous 48 heures une ordonnance de déréférencement provisoire, à charge pour le moteur de recherche de saisir le juge du fond s'il conteste. L'article 809 du Code de procédure civile permet déjà au juge des référés de prescrire des mesures conservatoires en cas d'atteinte manifestement illicite.

Cette procédure présenterait l'avantage de combiner rapidité (protection immédiate de la victime) et sécurité juridique (contrôle a posteriori sur le fond). Elle s'inspire du mécanisme des ordonnances de protection en matière de violences conjugales.

D.L'articulation avec les nouveaux textes européens

Le Digital Services Act et l'AI Act créent de nouvelles obligations pour les plateformes numériques. Une partie de la doctrine plaide pour une lecture systémique : le droit à l'oubli doit s'articuler avec les obligations de modération des contenus (DSA) et les exigences de transparence algorithmique (AI Act).

Cette approche holistique permettrait de dépasser la fausse opposition entre vie privée et liberté d'expression pour créer un écosystème numérique respectueux des droits fondamentaux. La loi n°2025-476 et les textes récents montrent une volonté législative d'adaptation, mais la cohérence d'ensemble reste à construire.

Conclusion : Un équilibre instable mais nécessaire

La confrontation entre l'article 17 du RGPD et l'article 10 de la CEDH révèle une tension structurelle de la société numérique : comment préserver simultanément la mémoire collective et le droit à l'oubli individuel ? La doctrine contemporaine ne propose pas de solution miracle, mais dessine les contours d'un équilibre praticable.

Les convergences l'emportent sur les divergences : nul ne conteste la nécessité d'une protection effective contre l'indexation perpétuelle d'informations périmées, ni l'importance cardinale de la présomption d'innocence. Le débat porte sur les moyens : renforcement législatif ou meilleure application des textes existants ? Sanctions massives ou régulation concertée ? Primauté du juge judiciaire ou des AAI ?

La tendance majoritaire privilégie une approche pragmatique : le cadre juridique européen (RGPD, jurisprudence de la CJUE) est satisfaisant, mais son effectivité doit être renforcée par des sanctions dissuasives et une procédure d'exécution transfrontalière. L'approche purement nationale est condamnée face au caractère global des plateformes numériques.

Trois questions restent ouvertes et structureront les débats à venir. Comment garantir l'effectivité du déréférencement face à des opérateurs extra-européens disposant de moyens financiers et techniques largement supérieurs à ceux des autorités de régulation ? Faut-il créer un droit autonome à l'identité numérique, distinct du droit à la vie privée, reconnaissant que notre "moi numérique" n'est pas réductible à notre vie privée mais constitue un attribut de la personnalité à part entière ? Comment articuler le droit à l'oubli avec les nouveaux textes européens (Digital Services Act, AI Act) pour créer un écosystème cohérent ?

Ces interrogations révèlent que le droit à l'oubli numérique n'est pas un droit isolé, mais le symptôme d'une transformation anthropologique majeure : l'humanité entre dans l'ère de la mémoire numérique totale. Le droit, gardien de l'équilibre entre ordre et liberté, doit inventer les outils juridiques de cette nouvelle condition humaine. Entre l'effacement absolu qui nierait l'histoire collective et la mémoire perpétuelle qui interdirait toute rédemption individuelle, la voie est étroite mais praticable. Elle exige un dialogue constant entre les juges nationaux, la CJUE, le législateur européen et les autorités de régulation. La construction européenne trouve ici l'un de ses terrains d'élection : face aux géants du numérique, seule une réponse coordonnée au niveau continental peut garantir l'effectivité des droits fondamentaux.