E-réputation

Une photo gênante de vous circule sur Internet, vous avez mis fin à un service en ligne à qui vous aviez communiqué vos coordonnées personnelles, un article relaie des informations erronées vous concernant, etc. Plusieurs options s’offrent à vous.

Le droit de rectification doit permettre à la personne concernée d’obtenir la modification de ses données personnelles accessibles en ligne qui se révèlent inexactes ou incomplètes (RGPD, Art. 16).

Le droit à l’effacement, ou droit à l’oubli, a pour objectif de remédier aux éventuelles défaillances de sécurité, de confidentialité ou de protection de la vie privée. Il est guidé par l’intérêt de la personne concernée qui prévaut sur l’intérêt économique de l’entreprise comme celui des internautes. Le droit à l’oubli va permettre de supprimer les contenus, leurs copies ou reproductions. Ce droit n’est cependant pas absolu : il connaît plusieurs exceptions, notamment lorsqu’il entre en conflit avec la liberté d’expression, l’intérêt public ou les besoins de la recherche scientifique (RGPD, Art. 17).

Dans les deux cas, la personne concernée doit pouvoir obtenir du responsable la rectification ou l’effacement de ses données à caractère personnel dans les meilleurs délais.

Il est également possible, dans le cadre du droit au déréférencement, de demander à un moteur de recherche de supprimer les résultats associés à son nom et prénom. Dans ce cas, contrairement au droit à l’oubli, les données ne sont pas effacées, mais les personnes effectuant des recherches trouveront beaucoup plus difficilement ces informations.

Les moteurs de recherche sont tenus d’accéder à ce type de requête en ce qu’ils sont considérés comme responsables du traitement des données, puisque ce sont eux qui les mettent à disposition, les indexent et les présentent dans un certain ordre lors de recherches de tiers.

La première démarche consiste à trouver le responsable du traitement des données. Il s’agit du DPO (délégué à la protection des données) de la plateforme en ligne, ou de toute autre personne désignée. Le plus souvent, ses coordonnées figurent dans la rubrique « Politique de confidentialité » en bas de page du site.

Ensuite, il faut envoyer la demande (par courrier ou e-mail) en précisant les données à modifier, supprimer ou déréférencer. Le site précise parfois les modalités à suivre (formulaire à remplir) mais si ce n’est pas le cas, il existe des modèles sur le site de la CNIL selon le type de demande (www.cnil.fr/fr/modeles/courrier).

L’organisme doit répondre dans le délai d’1 mois, exceptionnellement 3 si la demande est jugée complexe (RGPG, Art. 12).

En cas de refus ou de non-réponse, l’internaute peut saisir l’autorité de contrôle, la CNIL (www.cnil.fr/fr/plaintes), et/ou former un recours juridictionnel. Dans les deux cas, il lui faut fournir la preuve de tous les éléments devant permettre la rectification ou l’effacement (données, réclamation, etc.).

Pour que la modification ou l’effacement soient réellement efficaces, le DPO est tenu de notifier la rectification ou la suppression des données en question à toutes personnes ayant pu en être destinataires.

Si la personne concernée en fait la demande, le DPO doit fournir des informations sur les destinataires des notifications de rectification ou d’effacement.

Par principe, les droits du mineur sont sous la coupelle de celui qui détient l’autorité parentale. Néanmoins, cela peut devenir problématique lors du partage en ligne de contenus (images, vidéos, etc.) à caractère personnel par les parents sans le consentement de leurs enfants. C’est l’enjeu des « enfants influenceurs ».

Puisque leur vie « privée/publique numérique » est gérée par leurs parents, soit le mineur n’a pas donné son aval ou son consentement et les parents abusent de l’autorité parentale, soit le mineur a donné son aval ou son consentement mais cet accord est vicié par la minorité qui fait que l’enfant n’était pas pleinement conscient des risques inhérents.

Cette possibilité vise notamment les données à caractère personnel sur les réseaux sociaux, les plateformes de jeux et de partage de vidéos.

Le mineur peut, sans le consentement du ou des titulaires de l’autorité parentale, obliger le responsable du traitement des données à effacer dans les meilleurs délais les données à caractère personnel le concernant (Loi n° 2020-1266 du 19/10/2020, Art. 6). La personne majeure peut effectuer la même demande s’agissant des données collectées lorsqu’elle était mineure. En cas de refus ou de silence au bout d’un délai d’1 mois, la personne peut faire un recours auprès de la CNIL qui doit se prononcer dans un délai de 3 semaines à compter de la date de réception de la réclamation (Loi n° 78-17 du 6/1/1978, Art. 51).

Au-delà de la mort physique, le législateur a progressivement organisé la « mort numérique ».

En principe, les droits « s’éteignent au décès de la personne concernée » (Loi n° 78-17 du 6/1/1978, Art. 84). Toutefois, ils peuvent être provisoirement maintenus afin de donner aux héritiers la possibilité de respecter la volonté du défunt quant au traitement de ses données.

En l’absence de directives ou de mentions contraires, les héritiers peuvent faire jouer le droit de rectification ou le « droit à l’oubli ». La démarche à suivre pour les héritiers est la même que pour une personne vivante.

Le Code de la consommation définit l’avis en ligne comme « l’expression de l’opinion d’un consommateur sur son expérience de consommation grâce à tout élément d’appréciation, qu’il soit qualitatif ou quantitatif » (C. consommation, Art. D. 111-16).

Les plateformes numériques ne peuvent pas imposer l’achat pour publier un avis. En sont exclus les parrainages, les recommandations ainsi que les avis d’experts.

Ces avis doivent être réels, informatifs et loyaux, ce qui oblige les organismes qui les collectent (comme Google, par exemple) de préciser la date de publication, la date de l’expérience relatée ainsi que l’existence ou non d’une procédure de contrôle (C. consommation, Art. L. 111-7-2).

Celui qui publie un avis en ligne sans respecter l’obligation de véracité et de loyauté, et s’il s’avère que ses propos sont inexacts, excessifs ou tendancieux, peut voir sa responsabilité civile délictuelle engagée. Cela s’applique dans le cas d’un professionnel qui achèterait des avis élogieux. Ce dernier risque, en prime, de se voir reprocher une « pratique commerciale trompeuse […] pénalement sanctionnée » (C. consommation, Art. L. 121-2).

Quant au professionnel qui reçoit des avis et commentaires négatifs injustifiés, il peut le signaler à la plateforme et demander leur suppression. S’il soupçonne qu’un concurrent en est à l’origine, il peut le signaler à la DGCCRF, qui effectuera un contrôle et pourra sanctionner. Enfin, si les propos relèvent de la diffamation ou de l’injure, le professionnel peut poursuivre en justice l’auteur de l’avis. Dans tous les cas, il est important de se constituer un dossier de preuves pour appuyer ses démarches (captures d’écran datées, profil de l’auteur, historique des avis, tout élément indiquant que l’auteur n’a jamais été client, etc.).