Un droit à l’effacement des données personnelles des mineurs

La loi pour une République numérique consacre un droit à l’effacement des contenus diffusés en ligne par un mineur.

Introduction

Ce droit nouveau vise essentiellement à protéger la Génération Z (voire la Génération Y) contre elle-même. Cette génération est née connectée, elle s’exprime et échange sur les réseaux sociaux, sans véritable limite, parfois sans tabou et sans contrôle.

Or, cette liberté peut avoir un prix à l’âge adulte, à l’instar d’un tatouage que l’on ne peut effacer. On peut avoir envie de faire disparaitre les poèmes que l’on écrivait ado ou d’effacer les traces d’un premier amour. Mais de manière plus pragmatique, il apparait parfois nécessaire, notamment en phase de recrutement pour une école, une université ou un premier emploi, de gommer ces posts gênants ou d’effacer des vidéos publiées sur le Net.

La consécration du droit à l’effacement pour les mineurs à l’article 63 de la loi pour une République numérique

L’article 63 de la LRN (1) vient modifier l’article 40 de la loi Informatique et libertés (2) prévoyant déjà le droit pour toute personne concernée de rectifier, compléter, mettre à jour, verrouiller ou effacer les données à caractère personnel la concernant. Ce droit est cependant conditionné en ce qu’il ne peut être exercé si les données en cause sont inexactes, incomplètes, équivoques, périmées, ou si leur collecte, utilisation, communication ou conservation est interdite.

Justifié par la nécessité de protéger les mineurs face à une surexposition sur les réseaux numériques, l’article 63 ajoute un second paragraphe à l’article 40. Il y consacre un droit à l’effacement non conditionné pour les personnes mineures au moment de la collecte des données à caractère personnel. Dorénavant sur demande de la personne concernée, le responsable du traitement est tenu d’effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l’offre de service de la société de l’information lorsque la personne concernée était mineure au moment de la collecte. Ce droit n’est donc soumis à aucune condition autre que la minorité.

A l’image du droit d’opposition existant, c’est bien le titulaire de la responsabilité parentale à l’égard de l’enfant qui exerce ce droit. La LRN consacre donc un droit à l’effacement pour la personne adulte ou non, de demander sans motif l’effacement des données lorsque celle-ci ont été collectées alors qu’elle était mineure. Elle répond ainsi à la problématique de surexposition des enfants sur les réseaux sociaux et à la difficulté de recueillir le consentement réel de leurs parents.

De plus, le droit à l’effacement des contenus des mineurs ne souffre que de rares exceptions. Il ne s’applique pas lorsque le traitement de données à caractère personnel est nécessaire pour exercer le droit à la liberté d’expression et d’information ; pour des motifs d’intérêt public dans le domaine de la santé publique, de recherche scientifique ou historique, à des fins statistiques ou archivistiques ou encore à la constatation, à l’exercice ou à la défense de droits en justice.

Le droit à l’effacement doit par ailleurs être distingué du droit au déréférencement. Le déréférencement vise essentiellement les outils de recherche qui désindexent les contenus présents sur la toile. Mais ces contenus sont toujours présents au plan technique. L’effacement va plus loin en ce qu’il consiste à supprimer le contenu lui-même, ces copies ou reproductions. Il ne vise pas les moteurs de recherche mais tous les éditeurs de service en ligne et singulièrement les réseaux sociaux.

Les incertitudes autour de ce nouveau droit

Cette nouvelle disposition n’est pas sans poser un certain nombre de questions quant à son application.

D’une part, le droit à l’oubli ne concerne, selon la lettre du texte, que les données collectées dans le cadre de l’offre de « services de la société de l’information ». Or, la loi ne définit pas ces « services ». Cette notion pourrait renvoyer à la définition proposée par la directive n°2015/1535/EC (3) « tout service presté normalement contre rémunération à distance par voie électronique ». Cependant une telle référence limiterait le droit à l’effacement aux seules données communiquées dans le cadre de services payants. Cette définition exclurait donc stricto sensu les plateformes n’exigeant aucune contrepartie monétaire. Or, il est clair que cela vise la plupart des outils, applis ou réseaux sociaux utilisés par les enfants. De plus, si aucune contrepartie financière n’est exigée à strictement parler, la collecte des données à caractère personnel s’apparente à une certaine forme de rémunération ce qui exclut toute gratuité véritable. Dans un contexte dans lequel la protection des mineurs est la priorité, il apparait difficile de croire que le législateur ait volontairement réduit l’application de ce nouveau. Ainsi, une lecture extensive conforme à l’esprit du texte est à privilégier.

Etude d’impact

Du côté des services de la société de l’information et principalement des réseaux sociaux, ce nouveau droit est impactant à plusieurs égards.

Impact 1 – mise en œuvre technique et fonctionnelle

Concernant sa mise en œuvre technique et fonctionnelle, il s’agit non seulement de définir les moyens techniques de nature à permettre la suppression des contenus, des copies et des liens mais également de créer des interfaces et autres moyens mis à la disposition de la personne pour exercer son droit à l’effacement.

Impact 2 – information de la personne concernée sur son droit à l’effacement

Comme tous les droits des personnes, les conditions de mise en œuvre du droit à l’effacement doivent être portées à la connaissance des personnes concernées. En pratique, cela consiste à modifier les conditions générales de service et la politique « données à caractère personnel » ou «de confidentialité».

Impact 3 – dispositif imposé à l’égard des tiers

Le texte prévoit que lorsque le responsable du traitement a transmis les données en cause à un tiers lui-même responsable du traitement, il prend des mesures raisonnables, y compris d’ordre technique, compte tenu des technologies disponibles et des coûts de mise en œuvre, pour informer le tiers qui traite ces données que la personne concernée a demandé l’effacement de tout lien vers celles-ci, ou toute copie ou reproduction de celles-ci.

Impact 4 – une sanction lourde

La loi prévoit qu’en « cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce dans un délai de trois semaines ».

La sanction prévue par la LRN démontre de l’importance de ce nouveau droit dont l’application même sera contrôlée par la Cnil dans des conditions particulières.

Conclusion

Le droit à l’effacement, s’il représente indubitablement une avancée considérable pour les droits des personnes, ne demeure pas moins un droit difficile à mettre en œuvre au regard de la rapidité de propagation des données sur l’internet et des délais prévus par la LRN.

L’accent doit donc être mis avant tout sur l’information et la sensibilisation des mineurs face aux risques des réseaux sociaux.

Lexing Alain Bensoussan Avocats
Lexing Droit numérique

(1) Loi 2016-1321 du 7-10-2016 pour une République numérique
(2) Loi 78-17 du 6-1-1978 modifiée relative à l’informatique, aux fichiers et aux libertés, art. 40
(3) Directive 2015/1535/CE du 9-9-2015 prévoyant une procédure d’information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l’information