Le doxing et l'extension de la politique de déréférencement de Google
Toutes les demandes sont possibles sur le moteur de recherche Google, même les plus insolites.
L'information à portée de clic et accessible par tous, n'est toutefois pas sans danger, au point de faire naître certaines dérives comme le harcèlement, le revenge porn ou encore le doxxing ou doxing.
Le Doxing est une pratique récente qui consiste en la mise en ligne et la divulgation d'informations personnelles ou confidentielles comme un nom, une adresse, des identifiants de réseaux sociaux ou encore des numéros de cartes bancaires d'individus dans le but de leur nuire. En rendant publique ce type d'informations, les Doxeurs rendent ainsi vulnérables les personnes concernées qui se voient exposées au harcèlement, à l'usurpation d'identité, la fraude financière, voire à des violences physiques.
C'est contre cette dérive du doxing qu’entend agir Google. Le moteur de recherche propose d’« apporter une réponse aux utilisations détournées des informations dites personnelles de ses utilisateurs » . C’est en effet en ces termes que s’est exprimée Michelle Chang, responsable de la politique mondiale de Google Search dans un post publié le 27 avril dernier.
Par ce communiqué, Google entend élargir le champ de sa politique de déréférencement ; politique qui s'inscrit dans la continuité d’une mise en conformité au Règlement pour la protection des données (RGPD).
En effet et pour rappel, le Règlement général pour la protection des données (RGPD), consacre en son article 17 le droit à l’effacement (droit à l’oubli) d’une part, et en son article 21 le droit d’opposition, d’autre part. Y sont soumis les responsables de traitements parmi lesquels figurent notamment les moteurs de recherche. C’est sur le fondement de ces articles qu’un internaute peut demander le déréférencement de résultats concernant ceux comprenant des données personnelles.
C’est donc pour se conformer au Règlement Européen que les moteurs de recherche ont dû développer des politiques permettant aux internautes de pouvoir demander le déréférencement de certains résultats de recherche associés à des informations privées et personnelles.
C’est également le cas de la société Google qui a développé une politique de déréférencement notamment en cas d’usurpation d’identité ou de fraude financière. Fin 2021, Google avait étendu son action en ouvrant la possibilité aux mineurs ou à leur représentant légal de demander la suppression de leurs images des résultats de recherche.
C’est dans ce cadre que jusqu'au 27 avril dernier, Google permettait déjà de déréférencer un résultat qui renvoyait à :
- des images personnelles et explicites pour lesquelles il n’y avait pas de consentement
- des images ou vidéos à caractère pornographique fictive involontaires
- des images de mineurs
- des informations personnelles ou du contenu faisant l’objet de doxxing notamment des numéros d’identification, des coordonnées bancaires, des images de pièce d’identité ou de signatures manuscrites ou encore des documents essentiels et sensibles comme des dossiers médicaux.
Il ressort de cet énoncé que la prise en compte par Google de la pratique du doxxing n’est pas nouvelle. Ce qui est en revanche novateur, c’est la volonté de Google d’élargir la liste des éléments pouvant faire l’objet d’une demande de suppression dans le cas d’un doxing.
Depuis le 27 avril dernier, s’ajoutent ainsi à la liste des informations personnelles pouvant faire l’objet d’une demande de suppression :
- le numéro de téléphone
- l’adresse électronique
- l’adresse postale
- les identifiants de réseaux sociaux.
Google met à la disposition des internautes le formulaire dédié au déréférencement : https://support.google.com/websearch/troubleshooter/9685456#ts=2889054%2C2889099%2C9166584%2C9171202
Bien entendu, l’élargissement des cas dans lesquels l’internaute peut demander le déréférencement de leurs résultats répond à une obligation de se conformer au RGPD et surtout à la multiplication des cas de Doxing sur internet.
Il ne faudrait pourtant pas en conclure que la protection de la vie privée serait érigée en droit inviolable ou penser que le rôle de Google serait d’effacer toutes les données qui lui seraient soumises après demandes.
Le rôle des responsables de traitements, n’est pas celui de censeurs, le droit au respect de la vie privée doit composer avec le droit à l’information, ce que rappelait déjà la CJUE en 2014, avant même l’adoption du RGPD dans une affaire (C-131/12) opposant Google Spain, Google Inc à l’Agence espagnole de protection des données. L’équilibre devant s’organiser “dans des cas particuliers, au regard de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier, notamment en fonction du rôle joué par cette personne dans la vie publique ».
Attention, toute demande de déréférencement faite auprès de Google n’est pas de droit. Google apprécie au cas par cas les demandes qui lui sont soumises et dispose d’un délai d’un mois pour répondre à l’internaute.
En cas d’absence de réponse ou si Google n’accueille pas la demande de l’internaute, ce dernier aura toutefois la faculté d’adresser une plainte à la CNIL (Commission nationale de l’informatique et des libertés) qui a pour mission de contrôler et de sanctionner les utilisations illégales de données personnelles. Cette plainte peut être formée directement en lignée à l’adresse suivante :
Il est également possible pour l’internaute de saisir le tribunal compétent, afin d’obtenir le déférencement du ou des résultats.
Dès lors, Google devra en principe trouver un équilibre entre le droit au respect de la vie privée et l’intérêt général d’un droit à l’information mais c’est bien Google qui décide (discrétionnairement) si l’URL doit être supprimée au regard de l’intérêt général.
Par ailleurs, et comme le souligne elle-même cette société, Google n’est qu’un intermédiaire et ne se substitue pas aux responsables de sites web qui hébergent les contenus litigieux. Google rappelle ainsi que le déréférencement concerne uniquement les résultats de recherche, les URL et non l’information en tant que telle. Cette dernière peut rester accessible sur le site qui l’héberge, sur les réseaux sociaux ou sur tout autre moteur de recherche. Si l’internaute souhaite voir le contenu supprimé définitivement, il doit directement s’adresser à l’éditeur du site et le cas échéant à l’hébergeur ou s’adresser à la justice.
Pour ce faire, il peut engager une procédure au civil sur le fondement de l’article 9 du Code civil qui impose le droit au respect de sa vie privée et du RGPD, ou au pénal en invoquant l’article 223-1-1 du Code pénal qui sanctionne de trois ans d’emprisonnement et de 45 000 euros d’amende le fait de" révéler, diffuser ou transmettre, par quelque moyen que ce soit, des informations relatives à la vie privée, familiale ou professionnelle d’une personne permettant de l’identifier ou de la localiser, dans le but de l’exposer, elle ou les membres de sa famille, à un risque direct d’atteinte à la vie, à l’intégrité physique ou psychique, ou aux biens".
En conclusion, si l’élargissement de la politique de Google ne constitue pas une avancée majeure en la matière, elle participe en tout état de cause au renforcement de la protection des informations personnelles et identifiables (personnaly identifiable information PII).
Pauline VIGNERON
02 juin 2022