Chaque jour, des millions de personnes découvrent que des informations les concernant circulent librement sur Internet, parfois depuis des années. Une vieille condamnation effacée, une photo embarrassante, un article oublié : ces données persistent et nuisent. Le droit à l'oubli sur Internet offre un levier juridique concret pour reprendre le contrôle de son image numérique. Consacré par le Règlement Général sur la Protection des Données (RGPD) entré en vigueur en 2018, ce droit permet à toute personne physique d'exiger la suppression de données personnelles qui ne répondent plus à une finalité légitime. Savoir comment l'appliquer efficacement, étape par étape, change tout. Ce guide détaille les fondements juridiques, les conditions d'éligibilité, la procédure concrète et les acteurs à solliciter pour faire valoir ce droit.
Ce que recouvre réellement le droit à l'oubli
Le droit à l'oubli, formellement désigné comme « droit à l'effacement » à l'article 17 du RGPD, autorise toute personne à demander la suppression de ses données personnelles auprès d'un responsable de traitement. Cette définition mérite d'être précisée : il ne s'agit pas d'effacer l'histoire, ni de censurer des informations d'intérêt public. Le périmètre est strictement délimité.
La Cour de Justice de l'Union Européenne a posé les bases de ce droit dès 2014, dans l'arrêt Google Spain c/ AEPD et Mario Costeja González. Cette décision fondatrice a contraint Google à déréférencer des liens pointant vers des informations obsolètes sur un particulier espagnol. Depuis, le RGPD a codifié et élargi ce mécanisme à l'ensemble des États membres.
Le droit à l'effacement s'applique dans plusieurs situations précises : lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, lorsque la personne retire son consentement, ou lorsque les données ont été traitées de façon illicite. Une donnée inexacte, une information collectée sans base légale, ou un contenu devenu disproportionné par rapport à son intérêt initial entrent dans ce cadre.
Ce droit ne s'applique pas de manière absolue. Des exceptions existent pour la liberté d'expression, les obligations légales, l'intérêt public ou la recherche scientifique. Un avocat spécialisé en droit des données personnelles reste le mieux placé pour évaluer si une situation particulière relève de ces exceptions.
Qui peut formuler une demande d'effacement ?
Toute personne physique dont les données personnelles sont traitées par un organisme peut invoquer ce droit. Les personnes morales — sociétés, associations — en sont en revanche exclues. La nationalité importe peu : dès lors que le responsable de traitement est établi dans l'Union Européenne, ou que le traitement cible des personnes résidant en Europe, le RGPD s'applique.
Plusieurs profils recourent fréquemment à ce mécanisme. Les personnes condamnées pénalement souhaitent parfois effacer des articles de presse relatant leur affaire, une fois leur peine purgée. Des particuliers demandent le déréférencement de photos publiées sans leur consentement. Des salariés souhaitent faire supprimer des données collectées par un ancien employeur au-delà de la durée de conservation légale.
La demande peut porter sur deux niveaux distincts : la suppression directe du contenu auprès du site hébergeur, ou le déréférencement auprès des moteurs de recherche. Ces deux démarches sont indépendantes et souvent complémentaires. Supprimer un contenu à la source sans demander le déréférencement laisse subsister le lien dans les résultats de recherche pendant plusieurs semaines, voire des mois.
Le délai de prescription pour engager une action en justice liée au droit à l'oubli est de 5 ans en France, à compter du moment où la personne a eu connaissance du traitement litigieux. Passé ce délai, les voies judiciaires se ferment, même si des recours administratifs restent envisageables.
Droit à l'oubli sur Internet : les étapes concrètes pour l'appliquer
La procédure suit une logique progressive. Avant toute démarche formelle, il convient d'identifier précisément les données à effacer : URL concernées, nature des informations, responsable du traitement identifiable. Cette cartographie initiale conditionne l'efficacité de la demande.
- Étape 1 — Contacter directement le responsable de traitement : adresser une demande écrite au site hébergeur ou à l'entreprise concernée, en mentionnant les URL précises, la base juridique invoquée (article 17 du RGPD) et en joignant une copie d'une pièce d'identité.
- Étape 2 — Attendre la réponse réglementaire : le responsable de traitement dispose d'un délai d'un mois pour répondre, prorogeable de deux mois supplémentaires en cas de complexité.
- Étape 3 — Demander le déréférencement aux moteurs de recherche : Google, Bing et Yahoo disposent de formulaires dédiés. Google traite ces demandes via son outil en ligne « Suppression de contenu ».
- Étape 4 — Saisir la CNIL en cas de refus : si le responsable de traitement refuse ou ne répond pas, la Commission Nationale de l'Informatique et des Libertés peut être saisie via sa plateforme en ligne. La CNIL instruit le dossier et peut mettre en demeure l'organisme concerné.
- Étape 5 — Recours judiciaire : en dernier recours, une action devant le tribunal judiciaire compétent permet d'obtenir une décision contraignante, assortie le cas échéant de dommages et intérêts.
La CNIL recommande de conserver une copie de chaque échange, avec les dates d'envoi et de réception. Cette traçabilité devient déterminante si la procédure s'étire ou si un recours judiciaire s'avère nécessaire.
Rôle des acteurs dans la mise en œuvre
La mise en œuvre du droit à l'oubli mobilise plusieurs acteurs aux responsabilités distinctes. La CNIL occupe la première ligne en France : elle reçoit les plaintes, instruit les dossiers et dispose d'un pouvoir de sanction pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour les manquements au RGPD. Selon les données disponibles, la CNIL a traité près de 1,5 million de demandes liées au droit à l'oubli, avec un taux d'acceptation avoisinant les 70 %.
Les moteurs de recherche constituent un maillon central. Google traite chaque année des centaines de milliers de demandes de déréférencement en Europe. L'entreprise évalue chaque cas selon une grille d'analyse : pertinence de l'information, intérêt public, nature de la personne concernée (personnalité publique ou particulier). Un refus de Google peut être contesté devant la CNIL ou les juridictions compétentes.
Les plateformes sociales comme Facebook, Instagram ou X (anciennement Twitter) sont également soumises au RGPD dès lors qu'elles opèrent en Europe. Chacune dispose d'une procédure interne de traitement des demandes d'effacement, accessible depuis les paramètres de confidentialité ou via un formulaire de contact dédié. Les professionnels du Droit numérique soulignent que ces plateformes appliquent des délais et des critères variables, rendant parfois nécessaire l'intervention de la CNIL pour débloquer une situation.
Les hébergeurs de sites web et les éditeurs de presse en ligne sont aussi concernés. Un article de journal relatant une condamnation ancienne peut faire l'objet d'une demande de suppression ou de désindexation. Les tribunaux français ont rendu plusieurs décisions reconnaissant ce droit, tout en ménageant la liberté de la presse lorsque l'information conserve un intérêt historique ou journalistique avéré.
Un droit en mouvement : ce qui change et ce qui reste à construire
Le cadre juridique du droit à l'oubli n'est pas figé. La Commission Européenne travaille à l'articulation entre le RGPD et le Digital Services Act (DSA), entré en application en 2024, qui impose de nouvelles obligations aux très grandes plateformes en matière de modération de contenu et de transparence algorithmique. Cette convergence réglementaire renforce les droits des individus face aux géants du numérique.
Les débats portent sur plusieurs fronts ouverts. Le traitement des données biométriques et des contenus générés par des intelligences artificielles génératives pose des questions inédites : comment effacer une donnée intégrée dans un modèle d'apprentissage automatique ? Les autorités de protection des données européennes planchent sur des lignes directrices spécifiques, sans qu'un consensus soit encore arrêté.
La question du droit à l'oubli pour les mineurs fait l'objet d'une attention particulière. Des données publiées pendant l'enfance ou l'adolescence peuvent suivre une personne des décennies plus tard. Plusieurs États membres ont adopté des dispositions renforcées pour ce public, et la France réfléchit à un régime spécifique applicable dès la majorité.
Sur le plan pratique, les outils numériques d'accompagnement se multiplient. La CNIL propose depuis plusieurs années un service en ligne simplifié pour les demandes de déréférencement, accessible sans connaissances juridiques particulières. Des associations de défense des droits numériques offrent des guides et parfois une assistance directe aux personnes confrontées à des refus injustifiés. Rester informé des évolutions législatives et des décisions de jurisprudence reste la meilleure façon d'anticiper les nouvelles possibilités offertes par ce droit en pleine construction.
