Intervention de Isabelle Falque-Pierrotin

À ce jour, la loi n'oblige pas le collecteur de données à les détruire à l'expiration de la durée de conservation, sachant que celle-ci correspond à la finalité de la collecte. Dans le cadre de ses missions de contrôle et de sanction, la CNIL constate bien souvent un dépassement des durées de conservation. Une partie du métier de la CNIL consiste à faire respecter ces durées de conservation.

La décision de la CJUE sur le déréférencement a eu diverses conséquences. Nous avons constaté une attente sociale considérable en la matière : Google a reçu 150 000 demandes de personnes qui veulent contrôler leur vie numérique. Le droit à l'oubli n'est pas seulement une invention de technocrates mais il répond à une volonté affirmée des gens. L'affaire n'est pas anodine pour Google : il s'agit de ses clients. La construction du numérique repose sur la confiance et la maîtrise des clients.

Cette décision a aussi fait apparaître l'existence d'un rapport singulier entre la personne qui demande un déréférencement et le moteur de recherche, Google ou un autre. Mais, dans certains cas, il y a un troisième acteur : le site initial. Jusqu'à présent, dans le droit de la protection des données, on ne connaît que la relation entre le demandeur et le responsable du traitement. À présent, on voit que la décision de déréférencer affecte un tiers : journaux, sites divers.

Quelle a été la nature des échanges entre le G29 et Google sur ce point ? Tout d'abord, nous avons rappelé que, contrairement à ses dires, le groupe n'avait pas l'obligation légale de notifier systématiquement sa décision de déréférencement à l'éditeur initial. Nous avons ensuite expliqué que, pour que l'écosystème fonctionne bien et qu'il n'y ait pas de déréférencement excessif, le groupe aurait intérêt à nous donner des éléments nous permettant de comprendre sa politique en la matière. Nous lui avons demandé des statistiques plus précises qui nous permettraient de savoir quels types de sites sont concernés par les décisions de déréférencement. C'est d'autant plus intéressant que plusieurs acteurs peuvent être concernés.

Cette affaire a aussi illustré le rôle joué par les acteurs économiques, d'une manière générale. D'aucuns trouvent anormal qu'une société privée devienne l'arbitre des élégances sur le sujet. En fait, ce n'est pas le cas. Il se trouve que, du fait de la très forte présence de Google dans notre vie numérique, la décision de cette société a un impact considérable. Pour autant, sa situation n'est pas différente de celle d'un autre responsable de traitement auprès duquel nous formulons une demande d'effacement depuis déjà sept ou huit ans. Jusqu'à présent, on ne s'est jamais préoccupé des sites de journaux et des blogs auxquels nous adressions des demandes comparables. La décision cette société n'est pas prise en l'absence de contre-pouvoirs et d'instances de contrôle : la CJUE a explicitement indiqué qu'elle était sous le contrôle des autorités de protection et du juge.

L'imbrication croissante entre les régulateurs et les acteurs économiques se fait avec le souci croissant que chacun soit dans son rôle. Dans certains cas, toute la difficulté est de délimiter le rôle des régulateurs afin qu'ils sachent à quel moment intervenir, que ce soit pour réprimer ou en encadrer les acteurs économiques.