Depuis 2018, date d’entrée en vigueur du RGPD, il existe un article 17 RGPD consacré au “Droit à l'effacement («droit à l'oubli»)” qui laisse à penser que le “droit à l’effacement” et le “droit à l’oubli” sont synonymes mais que nenni !
Et depuis 2014, à la suite d’un arrêt remarqué de la Cour de justice de l’Union européenne (CJUE, 13 mai 2014, Google Spain, C-131/12), la presse a parlé de la reconnaissance d’un droit à l’oubli alors qu’il s’agit en réalité d’un droit au déréférencement.
Démêlons cela 🤓 : ce que recouvre le déréférencement, ce que la CJUE en a dit depuis 2014, comment le demander, et ce que doit faire un organisme quand la demande arrive chez lui.
Le déréférencement, qu’est-ce que c’est ?
Le référencement c’est le fait d’apparaître dans les résultats d’un moteur de recherche (comme par exemple Google). Le déréférencement c’est donc le fait de faire supprimer le résultat dans un moteur de recherche associé à l’identité d’une personne (nom et prénom).
⚠️ Le déréférencement conduit uniquement à la suppression du résultat de la recherche mais le contenu de l’information reste accessible sur le site web ou en utilisant d’autres critères de recherche que l’identité de la personne.
Droit à l’oubli et droit au déréférencement : retour sur l’affaire Google Spain
Le droit au déréférencement a été initialement consacré par la Cour de justice de l’Union européenne (CJUE) bien avant le RGPD (entrée en vigueur en 2018), sur le fondement de la directive 95/46/CE, dans un arrêt de grande chambre du 13 mai 2014 (affaire C-131/12) opposant Google Spain et Google Inc. à l’AEPD (la CNIL espagnole) et à Mario Costeja González.
Monsieur Costeja González a remarqué que lorsqu’il entrait son nom dans la barre de recherche Google, les liens qui apparaissaient faisaient figurer l’annonce de vente aux enchères immobilières liée à une saisie en recouvrement de ses dettes.
L’AEPD a fait droit à la réclamation de l’intéressé et a ordonné à Google de supprimer le résultat de recherche. Google a contesté cette décision devant l’Audiencia Nacional (juridiction espagnole), qui a saisi la CJUE de questions préjudicielles.
Cette dernière a donné raison à l’AEPD mais surtout à Monsieur Costeja González en consacrant le droit au déréférencement appelé depuis lors “droit à l’oubli” ! Deux points du dispositif structurent encore toutes les demandes : l’exploitant du moteur est responsable du traitement qu’il opère en indexant les pages, et il peut être tenu de supprimer un lien de la liste de résultats même lorsque la publication sur la page d’origine est licite.
Or, le “droit à l’oubli” tel qu’il ressort du RGPD est en vérité beaucoup plus large que le droit au déréférencement. Il contient :
- Le droit à l’effacement qui permet la suppression définitive de contenu relatif à une personne.
- Et le droit au déréférencement des résultats des moteurs de recherche.
Ce que la CJUE a précisé depuis 2014
Trois arrêts de grande chambre ont fixé les contours du droit au déréférencement, cette fois au regard du RGPD autant que de la directive 95/46/CE :
- La portée territoriale (CJUE, 24 septembre 2019, Google LLC c/ CNIL, C-507/17) : le moteur qui fait droit à une demande doit déréférencer sur les versions correspondant à l’ensemble des États membres, et non sur toutes les versions de son moteur dans le monde, au besoin avec des mesures (géoblocage) qui empêchent ou découragent sérieusement un internaute situé dans l’UE d’accéder aux liens. La Cour précise (point 72) que le droit de l’Union ne l’impose pas mais ne l’interdit pas non plus : une autorité de contrôle ou un juge national peut ordonner un déréférencement mondial après mise en balance.
- Les données sensibles et les infractions (CJUE, 24 septembre 2019, GC e.a. c/ CNIL, C-136/17) : l’interdiction de traiter les catégories particulières de données (santé, opinions politiques, convictions religieuses, vie sexuelle…, aujourd’hui article 9 RGPD) s’applique aussi au moteur. Il est en principe tenu de déréférencer, sauf si le lien est strictement nécessaire à l’information du public. Pour une procédure judiciaire ou une condamnation (article 10 RGPD), il doit déréférencer les informations devenues obsolètes au regard de la situation actuelle, après mise en balance, et, en tout état de cause, aménager la liste de résultats pour que la situation judiciaire actuelle apparaisse en premier (point 78).
- Les informations inexactes (CJUE, 8 décembre 2022, TU, RE c/ Google LLC, C-460/20) : le demandeur qui invoque l’inexactitude d’un contenu doit en établir le caractère manifestement inexact, mais il n’a pas à obtenir d’abord une décision de justice contre l’éditeur du site.
Demande de déréférencement : la marche à suivre
La procédure tient en trois temps : le formulaire du moteur, la réponse (ou son absence), puis, le cas échéant, la CNIL. La CNIL en a publié la marche à suivre détaillée dans sa fiche « Le déréférencement d’un contenu dans un moteur de recherche ».
Remplir le formulaire du moteur de recherche
Depuis l’arrêt Google Spain, les principaux moteurs de recherche mettent à disposition un formulaire en ligne de demande de suppression des résultats de recherche. Pour Google, c’est par ici.
La demande doit porter, pour chaque résultat, l’URL exacte du lien, les nom et prénom à partir desquels la recherche est faite, et les motifs de la demande. Le moteur ne peut demander un justificatif d’identité qu’en cas de doute raisonnable (article 12 §6 RGPD). La CNIL recommande de conserver une capture d’écran de la démarche : elle sera demandée en cas de recours.
Si le moteur refuse ou ne répond pas
Le moteur dispose d’un mois pour répondre, prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, à condition d’en informer le demandeur dans le premier mois (article 12 §3 RGPD). S’il refuse, il doit motiver son refus et indiquer la possibilité de saisir une autorité de contrôle ou un juge (article 12 §4).
⚠️ La demande de déréférencement n’est pas toujours acceptée par le moteur de recherche en raison des différents intérêts en jeu comme par exemple l’information du public qui doit aussi être prise en compte (en application de l’article 17 §3, a) RGPD).
Par exemple, concernant la demande de déréférencement des liens renvoyant vers les interviews d’une personne concernant sa récente condamnation pour violences conjugales, le Conseil d’État a estimé que la CNIL, en dépit des répercussions pour cette personne, a eu raison de maintenir le référencement de ces liens qui était “strictement nécessaire à l'information du public”. Pour le lien vers la décision c’est par ici.
Saisir la CNIL
En cas de refus ou d’absence de réponse dans le délai, la personne peut adresser une plainte à la CNIL, en ligne ou par courrier, en joignant la copie de sa demande et de la réponse du moteur (article 77 RGPD). Le formulaire dédié est ici. La voie juridictionnelle reste ouverte en parallèle.
Le droit à l’effacement des données personnelles, qu’est-ce que c’est ?
Le droit à l'effacement des données personnelles est le deuxième élément du droit à l’oubli. Ce droit est consacré à l’article 17 RGPD.
Il s’agit de l’un des droits accordés aux personnes concernées par le traitement de leurs données personnelles (au même titre que le droit à l’opposition des données, à la limitation des données et à la portabilité des données). Pour plus d’information sur ces droits, voir notre guide des droits RGPD des personnes.
Pour résumer, une personne concernée par le traitement de ses données personnelles peut former une demande d’effacement définitif de ces données auprès du responsable de traitement (l’organisme qui collecte et utilise ces données) si l’une de ces conditions est remplie (article 17 §1 RGPD) :
- Les données ne sont plus nécessaires au regard de la finalité (objectif pour lequel l’organisme traite cette donnée),
- La personne concernée retire son consentement (uniquement lorsque la personne a expressément donné son consentement).
- La personne concernée exerce son droit à l’effacement des données personnelles après avoir exercé son droit à l’opposition (pour plus d’information sur le droit à l’opposition, c’est ici).
- Les données ont fait l’objet d’un traitement illicite (par exemple, sans recueillir le consentement de la personne alors que c’était nécessaire).
- La suppression de ces données est dictée par une obligation légale.
- Les données ont été collectées auprès d’un mineur dans le cadre de l’offre directe de services en ligne (article 8 du RGPD : 16 ans par défaut, âge ramené à 15 ans en France par l’article 45 de la loi Informatique et Libertés).
Le responsable de traitement peut tout de même refuser la demande dans les cas suivants (article 17 §3 RGPD) :
- Le traitement est nécessaire à la liberté d’expression (liberté de la presse et information du public, par exemple à propos de la récente condamnation d’une personne).
- Le traitement est nécessaire à une obligation légale (le responsable de traitement doit conserver légalement ces données, par exemple en ce qui concerne les données comptables).
- Le traitement est nécessaire pour des motifs d’intérêt public dans le domaine de la santé.
- Le traitement est nécessaire à des fins d’archives historiques et de recherches scientifiques.
- Le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.
→ Concrètement, à la différence du droit au déréférencement, le droit à l’effacement des données personnelles concerne la suppression de l’information elle-même. C’est par exemple l’objet de la fiche pratique publiée par la CNIL le 5 août 2026 sur l’effacement de données dans un article de presse en ligne.
Recevoir une demande de déréférencement : ce que doit faire l’organisme
Un organisme qui n’exploite pas de moteur de recherche ne peut pas, à proprement parler, « déréférencer ». Pourtant, le DPO reçoit régulièrement des demandes formulées en ces termes, par exemple pour une page d’actualité, un communiqué ou un annuaire publié sur le site de l’organisme. Le traitement opérationnel tient en quatre gestes.
Qualifier la demande
Une demande de « déréférencement » adressée à l’éditeur d’un site est, juridiquement, une demande d’effacement (article 17) ou d’opposition (article 21) portant sur la page d’origine. C’est sous ce fondement qu’elle s’instruit, avec ses motifs et ses exceptions, en particulier la liberté d’information (article 17 §3, a). Si la personne vise seulement le résultat Google, le DPO peut l’orienter vers le formulaire du moteur, mais cela ne dispense pas l’organisme de répondre à la demande qu’il a reçue.
Répondre dans le délai de l’article 12
Le délai court à réception : un mois, prolongeable de deux mois si la prolongation et ses motifs sont notifiés dans le premier mois (article 12 §3). Un refus se motive et rappelle les voies de recours (article 12 §4). Pour organiser la réception, le circuit interne et les modèles de réponse, voir notre guide pour faciliter l’exercice des droits RGPD.
Informer les autres responsables de traitement
Quand l’organisme a rendu les données publiques et doit les effacer, l’article 17 §2 l’oblige à prendre des mesures raisonnables, y compris techniques, pour informer les autres responsables du traitement qui les traitent, moteurs de recherche compris, que la personne demande l’effacement de tout lien vers ces données ou de toute copie. En pratique : supprimer ou modifier la page, la sortir de l’indexation, puis signaler la page modifiée aux moteurs pour que leur copie soit actualisée.
Tracer la demande
Date de réception, fondement retenu, décision, date de réponse, actions techniques menées : c’est ce que la CNIL demandera en cas de plainte. Notre livre blanc sur l’exercice des droits et vos obligations légales détaille le dispositif complet.
Et vous, comment traitez-vous les demandes d’exercice de droits aujourd’hui ? Le logiciel RGPD Leto centralise leur réception, leurs délais et leur traçabilité. Réservez une démo avec nos experts.
Questions fréquemment posées
Comment demander un déréférencement à Google ?
Par le formulaire de demande de suppression de résultats proposé par Google pour l’Union européenne. Pour chaque lien, indiquez l’URL exacte du résultat, les nom et prénom utilisés pour la recherche et les motifs de la demande. Conservez une capture d’écran de la démarche : elle sera utile en cas de plainte à la CNIL.
Quel délai pour une réponse du moteur, et quel recours devant la CNIL ?
Le moteur doit répondre dans un délai d’un mois, prolongeable de deux mois s’il en informe le demandeur et en donne les motifs dans le premier mois (article 12 §3 RGPD). En cas de refus ou d’absence de réponse, la personne peut déposer une plainte auprès de la CNIL, en ligne ou par courrier, en joignant sa demande et la réponse du moteur. Le recours devant le juge reste possible.
Déréférencement et droit à l’effacement : quelle différence ?
Le déréférencement supprime un lien de la liste de résultats affichée après une recherche sur le nom d’une personne : la page d’origine reste en ligne et accessible par d’autres requêtes. L’effacement (article 17 RGPD) supprime la donnée elle-même chez le responsable de traitement qui la détient, par exemple l’éditeur du site.
Le déréférencement s’applique-t-il hors de l’Union européenne ?
Pas automatiquement. Dans l’arrêt Google LLC c/ CNIL du 24 septembre 2019 (C-507/17), la CJUE juge que le moteur doit déréférencer sur les versions correspondant à l’ensemble des États membres, avec si nécessaire des mesures de géoblocage, et non sur toutes ses versions dans le monde. Une autorité de contrôle ou un juge national peut toutefois ordonner un déréférencement mondial après mise en balance des droits en cause.
Peut-on demander le déréférencement de données sensibles ou d’infractions ?
Oui. Dans l’arrêt GC e.a. du 24 septembre 2019 (C-136/17), la CJUE juge que l’interdiction de traiter les données sensibles s’applique au moteur, qui doit en principe déréférencer sauf si le lien est strictement nécessaire à l’information du public. Pour une procédure judiciaire ou une condamnation, il doit déréférencer les informations qui ne correspondent plus à la situation actuelle, après mise en balance, et faire apparaître en tête de liste la situation judiciaire actuelle.
Faut-il une décision de justice pour faire déréférencer un contenu inexact ?
Non. Dans l’arrêt du 8 décembre 2022 (C-460/20), la CJUE juge que le demandeur doit établir le caractère manifestement inexact des informations, au moins pour une partie non mineure du contenu, mais qu’il n’a pas à obtenir au préalable une décision contre l’éditeur du site.
Une entreprise peut-elle faire déréférencer une page qui la concerne ?
Le droit au déréférencement issu du RGPD protège les personnes physiques : il porte sur des résultats affichés à partir du nom d’une personne. Le RGPD ne couvre pas les données des personnes morales (considérant 14) : une entreprise ne peut donc pas invoquer ce droit pour elle-même, seuls ses dirigeants ou salariés nommément cités le peuvent, pour ce qui les concerne.
