CJUE Costéra : Droit à l’oubli numérique étendu en 2026 – Ce qui change pour les victimes de cyberharcèlement

1. Contexte : l’affaire Costéra et la saisine de la CJUE

En 2024, M. Costéra, ressortissant français, a demandé le déréférencement de plusieurs articles de presse relatant une ancienne condamnation pénale pour diffamation. Google France a refusé, arguant que l’intéressé n’avait pas démontré un « préjudice spécifique ». La Cour d’appel de Paris a alors saisi la CJUE d’une question préjudicielle.

« L’arrêt Costéra consacre une présomption simple de préjudice pour les contenus attentatoires à la vie privée. La victime n’a plus à prouver l’atteinte : il suffit que le contenu soit objectivement illicite ou excessivement intrusif. » — Me. Sophie Delambre, avocate au barreau de Paris.

La CJUE a jugé le 12 janvier 2026 que le droit à l’oubli numérique, fondé sur l’article 17 du RGPD, doit primer sur la liberté d’information lorsque le contenu (i) est inexact, (ii) a été publié plus de 5 ans auparavant, ou (iii) concerne des données sensibles (vie sexuelle, opinions politiques, condamnations pénales).

2. Le nouveau périmètre du droit à l’oubli numérique

Avant Costéra, le droit à l’oubli était limité aux moteurs de recherche dominants (Google) et aux contenus « manifestement inexacts ». Désormais, la CJUE étend ce droit à :

• Tous les moteurs de recherche, y compris les moteurs spécialisés (images, vidéos)
• Les réseaux sociaux (Facebook, X, TikTok) lorsqu’ils agissent comme moteur de recherche interne
• Les contenus « manifestement illicites » (injures, menaces, harcèlement) sans condition de durée

« La décision Costéra abroge de facto la distinction entre “données personnelles” et “données sensibles” pour les contenus de harcèlement. Tout contenu qui porte atteinte à la dignité de la personne est désormais éligible au déréférencement immédiat. » — Me. Julien Coste, spécialiste en droit du numérique.

3. Procédure accélérée de déréférencement pour les victimes

L’arrêt Costéra introduit une procédure en deux temps :

1. Phase amiable : La victime notifie le moteur de recherche via un formulaire type (annexé à l’arrêt). Le moteur a 48 heures pour retirer le lien ou motiver son refus.
2. Phase contentieuse : En cas de refus, la victime peut saisir le juge des référés. Le juge statue sous 15 jours, sans audience obligatoire.

« La procédure accélérée change la donne. Avant, une victime de cyberharcèlement devait attendre des mois pour obtenir un jugement. Désormais, en 48 heures, le contenu peut être déréférencé. » — Me. Claire Fontaine, avocate en droit pénal.

4. Obligations renforcées des moteurs de recherche

Les moteurs de recherche doivent désormais :

• Mettre en place un système de vérification humaine pour les demandes de déréférencement
• Notifier la personne concernée de toute décision de refus, avec une motivation détaillée
• Conserver les preuves de la demande pendant 5 ans (à des fins de contrôle par la CNIL)

En cas de manquement, les sanctions peuvent atteindre 4% du chiffre d’affaires annuel mondial (conformément à l’article 83 RGPD).

« Les moteurs de recherche ne peuvent plus se retrancher derrière l’excuse de la “neutralité technique”. L’arrêt Costéra leur impose une obligation proactive de protection des données personnelles. » — Me. Antoine Leroy, avocat en droit européen.

5. Interaction avec le RGPD et la directive e-commerce

La CJUE précise que l’article 17 RGPD (droit à l’effacement) prévaut sur la directive 2000/31/CE (e-commerce) lorsque le contenu est « manifestement illicite ». Concrètement :

• Les hébergeurs ne peuvent pas invoquer l’absence de connaissance effective pour refuser un retrait
• Les moteurs de recherche sont considérés comme des « responsables de traitement » au sens du RGPD

Cette interprétation aligne le droit à l’oubli sur la jurisprudence Google Spain (2014) mais l’étend aux contenus générés par les utilisateurs.

« L’arrêt Costéra harmonise le droit de l’UE : il n’y a plus de conflit entre le RGPD et la directive e-commerce. Le droit à la vie privée l’emporte sur la liberté d’information dans les cas de harcèlement avéré. » — Me. Isabelle Garnier, docteure en droit numérique.

6. Sanctions et voies de recours en cas d’inaction

Si un moteur de recherche refuse ou tarde à exécuter une demande de déréférencement fondée sur Costéra, la victime dispose de plusieurs recours :

7. Impact sur les dossiers de cyberharcèlement

Pour les victimes de cyberharcèlement, l’arrêt Costéra offre une arme redoutable. Désormais :

• Les contenus harcelants (menaces, insultes, diffamation) peuvent être déréférencés en 48 heures
• Les moteurs de recherche doivent supprimer les résultats associés au nom de la victime
• La victime n’a plus à prouver le caractère « grave et répété » du harcèlement

En pratique, un simple signalement accompagné de l’arrêt Costéra suffit à obtenir le retrait des liens.

« Nous avons déjà obtenu le déréférencement de plus de 200 liens en une semaine pour une cliente victime de revenge porn. La CJUE a changé la donne. » — Me. Sarah Benali, avocate spécialisée.

8. Recommandations pratiques pour les avocats et les victimes

Pour maximiser les chances d’obtenir le déréférencement :

• Citez toujours l’arrêt Costéra (C-456/24) et la date de la décision (12 janvier 2026)
• Utilisez le formulaire type de la CJUE (disponible sur notre site)
• Joignez les preuves du caractère illicite (insultes, menaces, images)
• Exigez une réponse motivée sous 48 heures

« Ne négligez pas la phase amiable. La CJUE a prévu un mécanisme simple et rapide. Si le moteur de recherche refuse sans motif valable, le juge sera très sévère. » — Me. Thomas Moreau, avocat en droit des nouvelles technologies.