Droit à l'oubli RGPD — le guide pas à pas pour les résidents de l'UE et du Royaume-Uni.

Le « droit à l'oubli » sonne bien, et le discours marketing qui l'entoure ne rend pas service au concept. En pratique juridique, ce n'est pas un droit à faire disparaître un contenu d'internet — c'est un droit plus étroit et plus précis : celui d'exiger des moteurs de recherche et des autres responsables de traitement de l'Espace économique européen et du Royaume-Uni qu'ils déréférencent des données personnelles spécifiques de leurs résultats, au titre de l'article 17 du Règlement général sur la protection des données. Cette distinction compte, parce que les personnes qui déposent une demande en se méprenant sur la portée réelle du droit se font refuser plus souvent que nécessaire. Ce guide explique comment le processus fonctionne réellement, qui est éligible, ce que l'on peut raisonnablement attendre, et comment éviter les motifs de refus que nous observons le plus souvent dans notre pratique de dépôt.

Ce que dit réellement l'article 17

L'article 17 du Règlement général sur la protection des données (règlement (UE) 2016/679), intitulé « Droit à l'effacement (“droit à l'oubli”) », établit le droit pour une personne concernée d'obtenir du responsable du traitement l'effacement des données à caractère personnel la concernant dans les meilleurs délais, lorsque l'un des six motifs prévus s'applique. Ces motifs incluent : les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ; la personne concernée retire le consentement sur lequel le traitement était fondé ; la personne concernée s'oppose au traitement et il n'existe pas de motif légitime impérieux ; les données ont fait l'objet d'un traitement illicite ; l'effacement est nécessaire au respect d'une obligation légale ; ou les données ont été collectées dans le cadre de l'offre de services de la société de l'information à un enfant.

Au Royaume-Uni post-Brexit, des droits équivalents existent au titre du UK GDPR (techniquement le Data Protection Act 2018 combiné au RGPD européen conservé en droit interne), avec l'Information Commissioner's Office (ICO) comme autorité de contrôle. En pratique, les modalités de dépôt sont identiques. La Suisse dispose de dispositions similaires au titre de la loi fédérale révisée sur la protection des données, en vigueur depuis septembre 2023. En dehors de ces cadres, le « droit à l'oubli » n'existe pas comme obligation juridiquement contraignante pour les moteurs de recherche — un point crucial pour les non-résidents de l'UE, qui tentent fréquemment d'utiliser ces formulaires et se font refuser.

Qui peut déposer une demande

Vous êtes éligible si vous êtes une personne physique (et non une société) dont les données personnelles apparaissent dans les résultats de recherche, et si vous résidez dans l'Espace économique européen, au Royaume-Uni ou en Suisse, ou si le traitement relève par ailleurs de la compétence du RGPD. La résidence dans l'EEE est le critère le plus simple : si vous vivez dans l'un des 27 États membres de l'UE, en Norvège, en Islande ou au Liechtenstein, vous êtes éligible. Les résidents britanniques déposent au titre du UK GDPR via la même interface Google, qui les oriente automatiquement selon la résidence déclarée.

Les sociétés et personnes morales n'ont pas de droits au titre de l'article 17 — le RGPD ne protège que les personnes physiques. Si votre entreprise apparaît dans des résultats de recherche négatifs, il vous faut d'autres recours (escalades de politique de plateforme, DMCA pour le contenu contrefaisant, droit de la diffamation, ou écrasement SERP). Ce qui fonctionne parfois pour les entreprises, c'est de déposer des demandes au titre de l'article 17 pour les dirigeants nommés dans les articles — parce que ces dirigeants sont des personnes physiques, et que leurs données personnelles (nom, photographie, éléments biographiques) font l'objet d'un traitement. C'est une tactique étroite, soumise à des conditions précises, et ce n'est pas un contournement général pour les problèmes de réputation d'entreprise.

Ce qui peut réellement être déréférencé

Les demandes au titre de l'article 17 acceptées par Google concernent typiquement des contenus présentant une ou plusieurs de ces caractéristiques. Une information obsolète — par exemple un article de presse relatant une mise en cause ultérieurement abandonnée, une condamnation effacée au titre des lois de réhabilitation applicables, ou la couverture d'une fonction professionnelle que la personne n'occupe plus. Une information qui n'est plus pertinente — par exemple un contenu vieux de dix ans concernant une personne qui a depuis changé de carrière ou de situation, lorsque la justification initiale d'intérêt public s'est affaiblie avec le temps. Des données personnelles excessives — publication d'adresses de domicile, de noms de membres de la famille ou de coordonnées privées au-delà de ce que l'article d'origine exigeait. Des informations concernant des mineurs — contenus relatifs à des personnes qui étaient mineures à l'époque et qui, devenues adultes, cherchent à dépasser leur jeunesse.

Ce qui est peu susceptible d'être déréférencé comprend les contenus concernant des personnalités publiques dans l'exercice de leurs fonctions (responsables politiques, dirigeants de premier plan, célébrités dans leur activité professionnelle), la couverture récente de sujets d'intérêt public avéré, les informations exactes sur des condamnations pénales graves dans les juridictions où ces dossiers restent publics, et les contenus concernant un agent public dont l'activité est légitimement soumise au contrôle du public. Google applique un test de mise en balance entre l'intérêt de la personne à la vie privée et l'intérêt du public à accéder à l'information, et publie des rapports de transparence indiquant les taux de déréférencement par catégorie.

La procédure de dépôt pas à pas auprès de Google

Google met à disposition un formulaire web dédié aux demandes au titre de l'article 17, accessible à l'adresse « google.com/webmasters/tools/legal-removal-request » avec la catégorie « droit à l'oubli » sélectionnée. Le formulaire est disponible dans toutes les langues de l'UE et traite les demandes RGPD européennes comme britanniques selon le pays de résidence déclaré.

Étape un — préparez vos preuves avant d'ouvrir le formulaire

Ne commencez pas à remplir le formulaire avant d'avoir tout rassemblé. Le processus de Google ne permet pas d'enregistrer une progression, et les soumissions partielles sont un motif de refus fréquent. Il vous faut : les URL exactes des résultats de recherche que vous souhaitez faire déréférencer (pas les articles eux-mêmes — les URL des résultats Google où votre nom associé à certains termes fait remonter le contenu) ; une preuve d'identité correspondant au nom concerné (typiquement le scan d'une pièce d'identité officielle, avec les numéros sensibles masqués) ; les requêtes exactes sur lesquelles les résultats apparaissent (par exemple, « Maria Rossi banquière Milan ») ; et une justification écrite expliquant en quoi chaque URL relève de l'un des motifs de l'article 17.

Étape deux — déposez une URL par demande, pas en lot

Google autorise plusieurs URL dans une même demande mais, dans notre pratique de dépôt, les demandes séparées par URL ont un taux de succès sensiblement plus élevé. La raison est que l'examinateur de Google attribue un jugement unique à l'ensemble de la demande : si trois URL reposent sur des motifs solides et deux sur des motifs plus faibles, les plus faibles peuvent entraîner tout le dossier vers le bas. Les séparer permet de juger chaque URL sur ses propres mérites et, en cas d'acceptations partielles, laisse une voie plus claire pour contester individuellement les refus.

Étape trois — rédigez la justification avec soin

Le champ de justification est l'endroit où la plupart des dossiers échouent. Les justifications génériques (« cet article me donne une mauvaise image », « c'est une vieille information ») sont refusées. Les justifications solides suivent une structure précise : identifier le motif exact de l'article 17 invoqué ; exposer les faits pertinents (date de publication du contenu, date des faits décrits, raison pour laquelle l'écoulement du temps ou le changement de situation a affaibli l'intérêt public) ; citer toute base juridique ou factuelle à l'appui (par exemple une décision de justice annulant la mise en cause initiale, un certificat de réhabilitation, la documentation d'un changement de fonction ou de situation) ; et expliquer explicitement pourquoi l'intérêt public à accéder à cette information est désormais dépassé par les intérêts de la vie privée.

Par exemple, plutôt que d'écrire « cet article de 2010 sur mon contrôle d'alcoolémie est ancien et injuste », un dépôt efficace dirait : « Cette URL renvoie à un article de presse locale de 2010 relatant mon interpellation pour conduite en état d'ivresse. La procédure a été classée en 2011 (décision jointe). Je n'ai connu aucun autre incident de ce type au cours des quinze années écoulées. Je ne suis pas une personnalité publique. L'article continue d'apparaître en bonne place dans les recherches sur mon nom et cause un préjudice professionnel concret. J'invoque l'article 17(1)(a) au motif que les données ne sont plus nécessaires à la finalité d'information du public, compte tenu du classement, de mon absence de statut de personnalité publique et de l'écoulement du temps. » La spécificité concrète, l'ancrage juridique et les preuves à l'appui rendent ce type de dossier nettement plus susceptible d'aboutir.

Étape quatre — soumettez et patientez

Après la soumission, Google envoie un courriel de confirmation. L'examen prend typiquement entre deux et six semaines, les dossiers contestés pouvant durer plus longtemps. Vous pouvez recevoir une demande d'informations complémentaires, à laquelle il faut répondre dans le délai fixé par Google (généralement 14 jours). En cas d'acceptation, Google déréférence l'URL des versions européennes de la recherche (google.fr, google.de, google.co.uk, etc.) dans les jours qui suivent la décision. Point important : Google ne retire pas l'URL de google.com pour les internautes situés hors de l'EEE et du Royaume-Uni, et ne demande pas à l'éditeur source de supprimer le contenu sous-jacent.

Que faire si Google refuse

Le refus est fréquent et ne met pas fin au processus. Google indique un motif — typiquement « l'intérêt public prévaut sur l'intérêt à la vie privée », « preuves insuffisantes des faits allégués », ou « la personne apparaît comme une personnalité publique dans ce contexte ». Votre étape suivante dépend du motif invoqué.

Si le refus repose sur des éléments factuels que vous pouvez mieux documenter, vous pouvez déposer une nouvelle demande avec des preuves supplémentaires. Nous voyons fréquemment des seconds dépôts aboutir là où les premiers avaient échoué, simplement en joignant une documentation plus solide — la décision de classement, le changement d'emploi, le certificat de réhabilitation, l'absence démontrable de contenus similaires ultérieurs. Google autorise le nouveau dépôt, et la nouvelle demande est examinée sans préjugé lié au refus antérieur.

Si le refus repose sur l'interprétation du droit par Google plutôt que sur les faits, vous pouvez saisir l'autorité de contrôle. Dans l'UE, il s'agit de l'autorité de protection des données de votre pays de résidence — la CNIL en France, le BfDI en Allemagne, le Garante en Italie, l'AEPD en Espagne, etc. Au Royaume-Uni, c'est l'ICO. Ces autorités ont le pouvoir juridique de réexaminer la décision de Google et, dans certains cas, de lui ordonner d'agir. La saisine est gratuite mais lente — les examens prennent souvent six à douze mois — et il faut déposer une plainte formelle référençant précisément la décision de Google, l'URL en cause et les fondements juridiques que vous estimez mal appliqués.

Si le refus concerne un contenu publié par une source identifiable, vous pouvez déposer une demande distincte directement auprès de l'éditeur au titre de l'article 17. Les journaux, blogs et autres hébergeurs de contenus opérant dans l'EEE ou le Royaume-Uni, ou s'y adressant, sont eux-mêmes des responsables de traitement soumis à l'article 17. La suppression à la source est plus puissante que le déréférencement Google, car elle élimine le contenu au lieu de simplement le masquer dans la recherche européenne. Les éditeurs ont leurs propres processus internes, plus ou moins accueillants : les grands journaux ont tendance à résister aux demandes de suppression sauf contrainte juridique, tandis que les blogs plus petits et les plateformes d'hébergement acceptent souvent lorsqu'on les approche correctement.

Délais et coûts réalistes

Pour un dossier propre reposant sur des motifs solides, comptez deux à quatre semaines pour la réponse de Google, le déréférencement intervenant dans les jours suivant une décision favorable. Les cas limites s'étendent à six ou huit semaines. Les dossiers contestés portés devant une autorité de protection des données peuvent courir sur six à dix-huit mois avant résolution définitive, sachant que le contenu d'origine reste indexé pendant cette période, sauf suspension volontaire de la part de Google (ce qui n'arrive généralement pas).

Les coûts sont en principe nuls — le formulaire Google est gratuit, et la saisine des autorités l'est aussi. Les vrais coûts sont le temps et l'expertise. Un premier dépôt réalisé soi-même pour un cas simple demande deux à quatre heures de préparation soignée si l'on fait les choses correctement. Les recours, escalades et démarches auprès des éditeurs sources multiplient ce temps. Les cabinets professionnels facturent typiquement entre 1 500 et 5 000 € par URL selon la complexité, les montants les plus élevés concernant les dossiers impliquant un conseil juridique ou une saisine d'autorité. La valeur d'une prise en charge professionnelle réside principalement dans le taux d'acceptation — un spécialiste formé et expérimenté obtient un taux de succès au premier dépôt sensiblement plus élevé qu'un particulier, ce qui se traduit par une résolution plus rapide, sans recours.

Idées fausses fréquentes que nous corrigeons en consultation

Le malentendu le plus fréquent est de croire que l'article 17 supprime un contenu d'internet. Ce n'est pas le cas. Un dossier accepté retire une URL des résultats européens de Google pour les requêtes portant sur votre nom. Le contenu d'origine continue d'exister à son URL source et reste accessible par lien direct, par des recherches Google ne comportant pas votre nom, par les versions non européennes de Google, ou par d'autres moteurs de recherche qui n'ont pas fait l'objet d'une demande distincte.

Le deuxième malentendu est de croire que l'article 17 s'applique à toutes les données personnelles. Ce n'est pas le cas. Les données doivent être « personnelles » au sens du RGPD — identifiant une personne physique précise — et le traitement doit relever de la compétence du RGPD. Une critique anonyme qui ne vous nomme pas n'est généralement pas couverte. Un contenu sur votre entreprise qui n'identifie personne à titre individuel n'est pas couvert. Un contenu sur des personnalités publiques dans leur rôle public n'est généralement pas couvert.

Le troisième malentendu est de croire que le dépôt vaut la peine dans toutes les situations. Ce n'est pas le cas. Un dépôt crée une trace formelle, et le rapport de transparence de Google publie l'activité de déréférencement agrégée. Un dossier faible qui devient public (certains recours devant les autorités deviennent des documents publics) peut attirer l'attention sur le contenu même que vous vouliez faire disparaître — l'effet Streisand s'applique aux demandes fondées sur le droit de la protection des données comme aux procès en diffamation. La première étape honnête, avant tout dépôt, est d'évaluer si votre dossier repose sur des fondements juridiques réels : c'est une conversation qui mérite d'avoir lieu avant de soumettre quoi que ce soit.

Un cadre de décision

Si vous vous demandez s'il faut déposer une demande de droit à l'oubli, voici la séquence que nous parcourons avec les clients avant de recommander une action.

1. Vérifiez l'éligibilité. Vous êtes une personne physique résidant dans l'EEE, au Royaume-Uni ou en Suisse. Sinon, ce recours précis n'est pas disponible et il faut d'autres options.
2. Inventoriez les URL précises. Pas les articles eux-mêmes, mais les URL des résultats de recherche Google. Listez-les avec les requêtes qui les font apparaître.
3. Identifiez le motif de l'article 17 pour chaque URL. Écrivez lequel des six motifs s'applique et quelles preuves l'étayent. Si vous ne parvenez pas à l'articuler clairement, le dépôt est prématuré.
4. Rassemblez les pièces justificatives. Décisions de justice, certificats de réhabilitation, justificatifs d'emploi, écoulement du temps démontrable — tout ce qui prouve les faits que vous avancez.
5. Déposez proprement, une URL à la fois, avec des justifications spécifiques. Pas de soumission en lot. Rédigez chaque justification pour répondre précisément au test de mise en balance de Google.
6. Attendez la fin du délai d'examen avant de conclure à un refus. Le délai de Google est de deux à six semaines ; les relances impatientes ne l'accélèrent pas.
7. En cas de refus, analysez le motif. Une faiblesse factuelle appelle un nouveau dépôt mieux documenté. Un problème d'interprétation juridique appelle une saisine de l'autorité de contrôle. Un contenu récent d'intérêt public peut tout simplement ne pas être déréférençable par ce canal.
8. Envisagez des voies parallèles. Demandes auprès de l'éditeur source, escalades de politique de plateforme (sites d'avis, réseaux sociaux) et écrasement SERP sont souvent nécessaires en complément ou à la place d'un dépôt au titre de l'article 17 : c'est ce que couvre notre offre de services.

Cette séquence, c'est à quoi ressemble réellement le travail professionnel de réputation sous RGPD. Le cadrage théâtral du « droit à l'oubli » masque le fait que le processus est technique, probatoire et étroit dans sa portée. Bien utilisé, c'est un outil puissant pour des situations précises. Mal utilisé, c'est une source de frustration et de lettres de refus. La différence tient à la préparation et à la fixation des attentes avant le dépôt.