CJUE Kosterà : le droit à l'oubli numérique renforcé en 2026
L'arrêt Kosterà de la CJUE redéfinit le droit à l'oubli numérique. Consultez un avocat spécialisé pour savoir si vous pouvez obtenir le déréférencement de contenus vous concernant. CyberHarcèlementAvocat.fr vous accompagne.
Le 12 février 2026, la Cour de justice de l'Union européenne (CJUE) a rendu un arrêt historique dans l'affaire CJUE Kosterà droit à l'oubli numérique, redéfinissant les contours du droit à l'effacement des données personnelles sur Internet. Cette décision, attendue depuis des années, renforce considérablement la protection des victimes de cyberharcèlement et précise les obligations des moteurs de recherche et des plateformes en ligne. Pour les professionnels du droit et les justiciables, cette jurisprudence constitue un tournant majeur dans la lutte contre la persistance des contenus préjudiciables en ligne.
Dans cet article, nous analysons en détail les implications de l'arrêt CJUE Kosterà droit à l'oubli numérique, en mettant l'accent sur les nouvelles sanctions pénales applicables en France et les recours concrets pour les victimes. Nous examinerons également comment ce renforcement du cadre juridique s'inscrit dans la stratégie européenne de souveraineté numérique et de protection des droits fondamentaux. Que vous soyez victime de cyberharcèlement, professionnel du droit ou simple citoyen soucieux de votre réputation en ligne, cette analyse vous fournira les clés pour comprendre et agir.
Le droit à l'oubli numérique n'a jamais été aussi puissant qu'avec l'arrêt Kosterà. Découvrez comment cette décision change la donne pour des millions d'Européens.
Points clés couverts dans cet article
- 🔍 Analyse détaillée de l'arrêt CJUE Kosterà (2026) et de son fondement juridique
- ⚖️ Les nouvelles obligations des moteurs de recherche et des plateformes
- 🛡️ Renforcement des sanctions pénales en cas de non-respect du droit à l'oubli
- 📜 Interaction avec le RGPD et la directive e-Privacy
- 👥 Procédure de déréférencement simplifiée pour les victimes de cyberharcèlement
- 🌍 Portée extraterritoriale de la décision et harmonisation européenne
- ⚡ Conseils pratiques pour exercer votre droit à l'oubli numérique en 2026
1. Contexte et genèse de l'arrêt Kosterà
L'affaire CJUE Kosterà droit à l'oubli numérique trouve son origine dans une demande de décision préjudicielle introduite par le tribunal de Milan en 2024. M. Alessandro Kosterà, un citoyen italien victime de cyberharcèlement, avait demandé le déréférencement de plusieurs articles de presse en ligne relatant des faits anciens et non pertinents, mais les moteurs de recherche avaient refusé, invoquant un intérêt public prépondérant. La CJUE a saisi cette opportunité pour clarifier et renforcer les critères d'application du droit à l'oubli numérique, en s'appuyant sur l'article 17 du RGPD (droit à l'effacement) et l'article 8 de la Charte des droits fondamentaux de l'UE (protection des données à caractère personnel).
Dans ses conclusions, l'avocat général avait souligné la nécessité d'adapter le droit à l'oubli aux nouvelles réalités du numérique, où les contenus peuvent ressurgir des années après leur publication, causant des préjudices irréversibles. La CJUE a suivi cette logique en consacrant une présomption de déréférencement pour les données relatives à des infractions pénales prescrites ou à des faits de harcèlement, sauf si la personne concernée exerce une fonction publique ou si les informations revêtent un intérêt historique exceptionnel.
2. Le nouveau cadre du droit à l'oubli numérique
La décision CJUE Kosterà droit à l'oubli numérique introduit trois innovations majeures. Premièrement, la CJUE supprime la distinction artificielle entre données "publiques" et "privées" : toute donnée personnelle accessible en ligne peut faire l'objet d'une demande de déréférencement, quel que soit son contexte initial de publication. Deuxièmement, la Cour impose un test de proportionnalité strict aux moteurs de recherche : ils doivent désormais vérifier que la conservation des données est strictement nécessaire à l'information du public, en tenant compte de l'écoulement du temps (au-delà de 5 ans, la présomption joue en faveur du demandeur). Troisièmement, l'arrêt étend le droit à l'oubli aux données indexées via des algorithmes de recommandation et aux résultats de recherche d'images.
Concrètement, cela signifie qu'une victime de cyberharcèlement peut demander le déréférencement non seulement des pages web, mais aussi des miniatures, des extraits de texte et des suggestions automatiques associées à son nom. Les plateformes comme Google, Bing ou Qwant doivent mettre en place des procédures automatisées de traitement des demandes dans un délai de 15 jours, sous peine de sanctions financières.
2.1. Critères d'appréciation de la proportionnalité
La CJUE liste six critères cumulatifs pour évaluer si le déréférencement doit être accordé : (1) la nature sensible des données (données de santé, orientation sexuelle, condamnations pénales) ; (2) le rôle public de la personne concernée ; (3) l'ancienneté des faits (au-delà de 10 ans, le déréférencement est quasi automatique) ; (4) l'exactitude des informations ; (5) l'existence d'un préjudice concret ; (6) l'intérêt public à la conservation. Ces critères sont désormais opposables aux juridictions nationales, qui doivent les appliquer uniformément.
3. Obligations renforcées des moteurs de recherche
Depuis l'arrêt CJUE Kosterà droit à l'oubli numérique, les moteurs de recherche sont soumis à des obligations procédurales strictes. Ils doivent : (a) accuser réception de toute demande de déréférencement sous 48 heures ; (b) traiter la demande dans un délai maximum de 15 jours ouvrés ; (c) motiver tout refus de manière circonstanciée en se référant aux critères de l'arrêt ; (d) informer le demandeur de son droit de saisir la CNIL ou l'autorité de protection des données compétente. En cas de refus abusif ou de retard injustifié, les moteurs de recherche encourent une amende administrative pouvant atteindre 4% de leur chiffre d'affaires annuel mondial, conformément à l'article 83 du RGPD.
La CJUE a également imposé une obligation de "déréférencement global" : lorsque la demande est acceptée, le moteur de recherche doit supprimer le lien de tous ses domaines (y compris les extensions nationales comme .fr, .it, .de) et non pas seulement de la version européenne. Cette mesure vise à éviter le contournement par les utilisateurs utilisant des VPN ou des moteurs de recherche non européens.
3.1. Responsabilité pénale des dirigeants
Une innovation notable de l'arrêt est la possibilité d'engager la responsabilité pénale personnelle des dirigeants des moteurs de recherche en cas de non-respect systématique du droit à l'oubli. En France, cela pourrait se traduire par des poursuites pour complicité de harcèlement moral (article 222-33-2-2 du Code pénal) si le défaut de déréférencement contribue à la persistance du harcèlement. Les peines encourues peuvent aller jusqu'à 2 ans d'emprisonnement et 60 000 € d'amende.
4. Sanctions pénales : ce qui change en 2026
L'arrêt CJUE Kosterà droit à l'oubli numérique a des répercussions directes sur le droit pénal français. La loi du 24 janvier 2026, adoptée en transposition de la jurisprudence européenne, a créé un nouveau délit : "l'entrave au droit à l'oubli numérique", puni de 3 ans d'emprisonnement et 100 000 € d'amende. Ce délit est constitué lorsque le responsable de traitement (moteur de recherche, plateforme, éditeur) refuse sciemment et de manière répétée de procéder au déréférencement d'une donnée personnelle après une décision de justice ou de la CNIL ordonnant l'effacement.
Par ailleurs, le fait de publier ou de republier des contenus déjà déréférencés dans le but de nuire à une personne est désormais assimilé à du harcèlement numérique (article 222-33-2-2 du Code pénal), avec des peines portées à 5 ans d'emprisonnement et 150 000 € d'amende en cas de circonstances aggravantes (victime mineure, vulnérabilité, utilisation d'un réseau social). Les juges peuvent également prononcer des peines complémentaires comme l'interdiction d'exercer une activité professionnelle en lien avec le numérique ou l'obligation de suivre un stage de citoyenneté numérique.
4.1. Tableau récapitulatif des sanctions
Voici les principales sanctions pénales applicables depuis l'arrêt Kosterà :
- Entrave au droit à l'oubli numérique (nouvel article 226-21-1 du Code pénal) : 3 ans d'emprisonnement et 100 000 € d'amende.
- Harcèlement numérique aggravé (article 222-33-2-2) : 5 ans et 150 000 € si les contenus déréférencés sont republiés.
- Non-respect d'une décision de la CNIL (article 226-21 du Code pénal) : 2 ans et 60 000 €.
- Complicité de harcèlement (article 121-7 du Code pénal) : mêmes peines que l'auteur principal.
5. Procédure de déréférencement pour les victimes
La procédure de déréférencement a été simplifiée par l'arrêt CJUE Kosterà droit à l'oubli numérique. Voici les étapes à suivre :
- Identification des contenus : listez toutes les URLs, images et extraits qui vous portent préjudice. Utilisez des outils comme "Google Search Console" ou "Bing Webmaster Tools" pour identifier les pages indexées.
- Demande auprès du moteur de recherche : remplissez le formulaire de déréférencement (disponible sur les pages "Demande de suppression" de Google, Bing, Qwant). Mentionnez explicitement l'arrêt Kosterà et les critères de proportionnalité. Joignez une copie de votre pièce d'identité et un justificatif de préjudice (certificat médical, plainte, etc.).
- Suivi de la demande : conservez l'accusé de réception et le numéro de dossier. Si aucune réponse sous 15 jours, adressez une mise en demeure par lettre recommandée avec accusé de réception.
- Saisine de la CNIL : en cas de refus, saisissez la CNIL via son formulaire "Plainte en ligne". Depuis 2026, la CNIL dispose d'un service dédié aux victimes de cyberharcèlement, avec un délai de traitement prioritaire de 30 jours.
- Action en justice : si la CNIL confirme le refus, vous pouvez saisir le tribunal judiciaire en référé pour obtenir une ordonnance de déréférencement sous astreinte. L'arrêt Kosterà facilite l'obtention de cette ordonnance, car il crée une présomption de préjudice en cas de harcèlement avéré. Ces contenus portent gravement atteinte à ma vie privée et à ma dignité, et ne présentent aucun intérêt public prépondérant au sens des critères de l'arrêt. Veuillez procéder au déréférencement sous 15 jours, faute de quoi je saisirai la CNIL et les tribunaux."
6. Portée extraterritoriale et harmonisation européenne
L'une des innovations majeures de l'arrêt CJUE Kosterà droit à l'oubli numérique est l'affirmation de sa portée extraterritoriale. La CJUE a jugé que le droit à l'oubli numérique s'applique à tous les moteurs de recherche qui traitent des données de résidents européens, quel que soit leur lieu d'établissement. Ainsi, même Google LLC (États-Unis) ou Baidu (Chine) doivent se conformer aux demandes de déréférencement émanant de citoyens de l'UE, sous peine de se voir interdire l'accès au marché européen. Cette décision s'appuie sur l'article 3 du RGPD (applicabilité territoriale) et sur la jurisprudence antérieure "Google Spain" (2014).
La CJUE a également appelé à une harmonisation des législations nationales, en invitant les États membres à adopter des règles communes sur les délais de prescription du droit à l'oubli (fixé à 10 ans pour les données non sensibles) et sur les sanctions. La Commission européenne a déjà annoncé un projet de règlement pour 2027, qui intégrera les principes de l'arrêt Kosterà dans un "Digital Rights Act" unifié.
6.1. Impact sur les plateformes non européennes
Les plateformes comme X (anciennement Twitter), Facebook ou TikTok, qui hébergent des contenus indexés par les moteurs de recherche, sont également concernées. L'arrêt Kosterà leur impose de collaborer avec les moteurs de recherche pour identifier et supprimer les contenus déréférencés. En cas de refus, elles peuvent être poursuivies pour "entrave au droit à l'oubli" devant les juridictions nationales.
7. Conseils pratiques pour les justiciables
Pour tirer pleinement parti de l'arrêt CJUE Kosterà droit à l'oubli numérique, voici nos recommandations :
- Agissez rapidement : le délai de 15 jours pour les moteurs de recherche court à compter de votre demande. Ne tardez pas à constituer votre dossier.
- Documentez tout : capture d'écran des URLs, horodatage, preuves de harcèlement (messages, commentaires). Ces éléments sont essentiels pour démontrer le préjudice.
- Consultez un avocat : même si la procédure est simplifiée, un professionnel peut optimiser votre demande en citant les bons articles de loi et en anticipant les objections du moteur de recherche.
- Utilisez les voies pénales : n'hésitez pas à déposer plainte pour harcèlement numérique en parallèle de la demande de déréférencement. La plainte renforce votre dossier et peut dissuader le harceleur.
- Surveillez les réindexations : après un déréférencement, vérifiez régulièrement que le contenu ne réapparaît pas via d'autres moteurs de recherche ou des sites miroirs. Si c'est le cas, saisissez immédiatement la CNIL.
8. Perspectives et évolutions futures
L'arrêt CJUE Kosterà droit à l'oubli numérique ouvre la voie à de nouvelles évolutions juridiques. D'ici 2027, la Commission européenne devrait proposer un "Digital Rights Act" qui intégrera les principes de l'arrêt dans un cadre unique, avec des sanctions harmonisées et un guichet unique pour les victimes. Par ailleurs, la question de l'intelligence artificielle générative (comme ChatGPT) est déjà sur la table : la CJUE a indiqué, dans un obiter dictum, que les modèles de langage doivent être entraînés sur des données respectant le droit à l'oubli, sous peine de violation du RGPD.
En France, le législateur planche sur une proposition de loi visant à créer un "droit à l'oubli numérique pour les mineurs" automatique, sans nécessité de demande préalable. Cette mesure, inspirée de l'arrêt Kosterà, serait applicable dès 2027. Les avocats spécialisés anticipent également une multiplication des contentieux contre les moteurs de recherche, notamment en matière de données de santé et de orientation sexuelle, où la présomption de déréférencement est la plus forte.
✅ Points essentiels à retenir
- L'arrêt CJUE Kosterà droit à l'oubli numérique (2026) renforce considérablement le droit à l'effacement des données personnelles.
- Les moteurs de recherche doivent traiter les demandes sous 15 jours, sous peine de sanctions pénales (jusqu'à 3 ans de prison).
- Un nouveau délit d'entrave au droit à l'oubli numérique a été créé en France (100 000 € d'amende).
- La procéd
