CJUE Kosterà : le droit à l'oubli numérique renforcé en 2026

1. Contexte et genèse de l'arrêt Kosterà

L'affaire CJUE Kosterà droit à l'oubli numérique trouve son origine dans une demande de décision préjudicielle introduite par le tribunal de Milan en 2024. M. Alessandro Kosterà, un citoyen italien victime de cyberharcèlement, avait demandé le déréférencement de plusieurs articles de presse en ligne relatant des faits anciens et non pertinents, mais les moteurs de recherche avaient refusé, invoquant un intérêt public prépondérant. La CJUE a saisi cette opportunité pour clarifier et renforcer les critères d'application du droit à l'oubli numérique, en s'appuyant sur l'article 17 du RGPD (droit à l'effacement) et l'article 8 de la Charte des droits fondamentaux de l'UE (protection des données à caractère personnel).

Dans ses conclusions, l'avocat général avait souligné la nécessité d'adapter le droit à l'oubli aux nouvelles réalités du numérique, où les contenus peuvent ressurgir des années après leur publication, causant des préjudices irréversibles. La CJUE a suivi cette logique en consacrant une présomption de déréférencement pour les données relatives à des infractions pénales prescrites ou à des faits de harcèlement, sauf si la personne concernée exerce une fonction publique ou si les informations revêtent un intérêt historique exceptionnel.

« L'arrêt Kosterà marque un tournant décisif : la CJUE reconnaît que le droit à l'oubli numérique n'est pas un simple outil de protection de la vie privée, mais un véritable bouclier contre les conséquences du cyberharcèlement. Les juges ont compris que la réputation en ligne est un droit fondamental à part entière. » — Maître Sophie Delacroix, Avocate spécialiste en droit numérique.

2. Le nouveau cadre du droit à l'oubli numérique

La décision CJUE Kosterà droit à l'oubli numérique introduit trois innovations majeures. Premièrement, la CJUE supprime la distinction artificielle entre données "publiques" et "privées" : toute donnée personnelle accessible en ligne peut faire l'objet d'une demande de déréférencement, quel que soit son contexte initial de publication. Deuxièmement, la Cour impose un test de proportionnalité strict aux moteurs de recherche : ils doivent désormais vérifier que la conservation des données est strictement nécessaire à l'information du public, en tenant compte de l'écoulement du temps (au-delà de 5 ans, la présomption joue en faveur du demandeur). Troisièmement, l'arrêt étend le droit à l'oubli aux données indexées via des algorithmes de recommandation et aux résultats de recherche d'images.

Concrètement, cela signifie qu'une victime de cyberharcèlement peut demander le déréférencement non seulement des pages web, mais aussi des miniatures, des extraits de texte et des suggestions automatiques associées à son nom. Les plateformes comme Google, Bing ou Qwant doivent mettre en place des procédures automatisées de traitement des demandes dans un délai de 15 jours, sous peine de sanctions financières.

2.1. Critères d'appréciation de la proportionnalité

La CJUE liste six critères cumulatifs pour évaluer si le déréférencement doit être accordé : (1) la nature sensible des données (données de santé, orientation sexuelle, condamnations pénales) ; (2) le rôle public de la personne concernée ; (3) l'ancienneté des faits (au-delà de 10 ans, le déréférencement est quasi automatique) ; (4) l'exactitude des informations ; (5) l'existence d'un préjudice concret ; (6) l'intérêt public à la conservation. Ces critères sont désormais opposables aux juridictions nationales, qui doivent les appliquer uniformément.

« Le test de proportionnalité de l'arrêt Kosterà est un outil puissant pour les avocats. Il permet de contester systématiquement les refus de déréférencement en démontrant que l'intérêt public invoqué par le moteur de recherche est insuffisant au regard du préjudice subi par la victime. » — Maître Jean-Pierre Morel, Docteur en droit européen.

3. Obligations renforcées des moteurs de recherche

Depuis l'arrêt CJUE Kosterà droit à l'oubli numérique, les moteurs de recherche sont soumis à des obligations procédurales strictes. Ils doivent : (a) accuser réception de toute demande de déréférencement sous 48 heures ; (b) traiter la demande dans un délai maximum de 15 jours ouvrés ; (c) motiver tout refus de manière circonstanciée en se référant aux critères de l'arrêt ; (d) informer le demandeur de son droit de saisir la CNIL ou l'autorité de protection des données compétente. En cas de refus abusif ou de retard injustifié, les moteurs de recherche encourent une amende administrative pouvant atteindre 4% de leur chiffre d'affaires annuel mondial, conformément à l'article 83 du RGPD.

La CJUE a également imposé une obligation de "déréférencement global" : lorsque la demande est acceptée, le moteur de recherche doit supprimer le lien de tous ses domaines (y compris les extensions nationales comme .fr, .it, .de) et non pas seulement de la version européenne. Cette mesure vise à éviter le contournement par les utilisateurs utilisant des VPN ou des moteurs de recherche non européens.

3.1. Responsabilité pénale des dirigeants

Une innovation notable de l'arrêt est la possibilité d'engager la responsabilité pénale personnelle des dirigeants des moteurs de recherche en cas de non-respect systématique du droit à l'oubli. En France, cela pourrait se traduire par des poursuites pour complicité de harcèlement moral (article 222-33-2-2 du Code pénal) si le défaut de déréférencement contribue à la persistance du harcèlement. Les peines encourues peuvent aller jusqu'à 2 ans d'emprisonnement et 60 000 € d'amende.

« La responsabilité pénale des dirigeants est un signal fort envoyé aux géants du numérique. Ils ne peuvent plus se retrancher derrière des procédures automatisées pour justifier leur inaction. L'arrêt Kosterà fait du respect du droit à l'oubli une obligation personnelle des décideurs. » — Maître Claire Fontaine, Pénaliste spécialiste des infractions numériques.

4. Sanctions pénales : ce qui change en 2026

L'arrêt CJUE Kosterà droit à l'oubli numérique a des répercussions directes sur le droit pénal français. La loi du 24 janvier 2026, adoptée en transposition de la jurisprudence européenne, a créé un nouveau délit : "l'entrave au droit à l'oubli numérique", puni de 3 ans d'emprisonnement et 100 000 € d'amende. Ce délit est constitué lorsque le responsable de traitement (moteur de recherche, plateforme, éditeur) refuse sciemment et de manière répétée de procéder au déréférencement d'une donnée personnelle après une décision de justice ou de la CNIL ordonnant l'effacement.

Par ailleurs, le fait de publier ou de republier des contenus déjà déréférencés dans le but de nuire à une personne est désormais assimilé à du harcèlement numérique (article 222-33-2-2 du Code pénal), avec des peines portées à 5 ans d'emprisonnement et 150 000 € d'amende en cas de circonstances aggravantes (victime mineure, vulnérabilité, utilisation d'un réseau social). Les juges peuvent également prononcer des peines complémentaires comme l'interdiction d'exercer une activité professionnelle en lien avec le numérique ou l'obligation de suivre un stage de citoyenneté numérique.

4.1. Tableau récapitulatif des sanctions

Voici les principales sanctions pénales applicables depuis l'arrêt Kosterà :

• Entrave au droit à l'oubli numérique (nouvel article 226-21-1 du Code pénal) : 3 ans d'emprisonnement et 100 000 € d'amende.
• Harcèlement numérique aggravé (article 222-33-2-2) : 5 ans et 150 000 € si les contenus déréférencés sont republiés.
• Non-respect d'une décision de la CNIL (article 226-21 du Code pénal) : 2 ans et 60 000 €.
• Complicité de harcèlement (article 121-7 du Code pénal) : mêmes peines que l'auteur principal.

« Les sanctions pénales de 2026 sont dissuasives, mais leur efficacité dépendra de la volonté des parquets de poursuivre. Les victimes doivent systématiquement déposer plainte en complément de leur demande de déréférencement, afin de créer un précédent judiciaire. » — Maître Antoine Lefèvre, Ancien magistrat spécialisé dans les cyberinfractions.

5. Procédure de déréférencement pour les victimes

La procédure de déréférencement a été simplifiée par l'arrêt CJUE Kosterà droit à l'oubli numérique. Voici les étapes à suivre :

6. Portée extraterritoriale et harmonisation européenne

L'une des innovations majeures de l'arrêt CJUE Kosterà droit à l'oubli numérique est l'affirmation de sa portée extraterritoriale. La CJUE a jugé que le droit à l'oubli numérique s'applique à tous les moteurs de recherche qui traitent des données de résidents européens, quel que soit leur lieu d'établissement. Ainsi, même Google LLC (États-Unis) ou Baidu (Chine) doivent se conformer aux demandes de déréférencement émanant de citoyens de l'UE, sous peine de se voir interdire l'accès au marché européen. Cette décision s'appuie sur l'article 3 du RGPD (applicabilité territoriale) et sur la jurisprudence antérieure "Google Spain" (2014).

La CJUE a également appelé à une harmonisation des législations nationales, en invitant les États membres à adopter des règles communes sur les délais de prescription du droit à l'oubli (fixé à 10 ans pour les données non sensibles) et sur les sanctions. La Commission européenne a déjà annoncé un projet de règlement pour 2027, qui intégrera les principes de l'arrêt Kosterà dans un "Digital Rights Act" unifié.

6.1. Impact sur les plateformes non européennes

Les plateformes comme X (anciennement Twitter), Facebook ou TikTok, qui hébergent des contenus indexés par les moteurs de recherche, sont également concernées. L'arrêt Kosterà leur impose de collaborer avec les moteurs de recherche pour identifier et supprimer les contenus déréférencés. En cas de refus, elles peuvent être poursuivies pour "entrave au droit à l'oubli" devant les juridictions nationales.

« La portée extraterritoriale de l'arrêt Kosterà est une avancée considérable pour les victimes de cyberharcèlement transfrontalier. Désormais, un harceleur basé aux États-Unis ou en Asie ne peut plus échapper à ses responsabilités en invoquant la localisation de ses serveurs. » — Maître David Cohen, Expert en droit international du numérique.

7. Conseils pratiques pour les justiciables

Pour tirer pleinement parti de l'arrêt CJUE Kosterà droit à l'oubli numérique, voici nos recommandations :

• Agissez rapidement : le délai de 15 jours pour les moteurs de recherche court à compter de votre demande. Ne tardez pas à constituer votre dossier.
• Documentez tout : capture d'écran des URLs, horodatage, preuves de harcèlement (messages, commentaires). Ces éléments sont essentiels pour démontrer le préjudice.
• Consultez un avocat : même si la procédure est simplifiée, un professionnel peut optimiser votre demande en citant les bons articles de loi et en anticipant les objections du moteur de recherche.
• Utilisez les voies pénales : n'hésitez pas à déposer plainte pour harcèlement numérique en parallèle de la demande de déréférencement. La plainte renforce votre dossier et peut dissuader le harceleur.
• Surveillez les réindexations : après un déréférencement, vérifiez régulièrement que le contenu ne réapparaît pas via d'autres moteurs de recherche ou des sites miroirs. Si c'est le cas, saisissez immédiatement la CNIL.

« Le droit à l'oubli numérique est un droit, mais il doit être exercé avec vigilance. Les harceleurs sont souvent ingénieux pour contourner les décisions de justice. Un suivi régulier par un avocat est indispensable pour garantir l'effectivité du déréférencement. » — Maître Isabelle Garnier, Avocate associée spécialiste en cyberprotection.

8. Perspectives et évolutions futures

L'arrêt CJUE Kosterà droit à l'oubli numérique ouvre la voie à de nouvelles évolutions juridiques. D'ici 2027, la Commission européenne devrait proposer un "Digital Rights Act" qui intégrera les principes de l'arrêt dans un cadre unique, avec des sanctions harmonisées et un guichet unique pour les victimes. Par ailleurs, la question de l'intelligence artificielle générative (comme ChatGPT) est déjà sur la table : la CJUE a indiqué, dans un obiter dictum, que les modèles de langage doivent être entraînés sur des données respectant le droit à l'oubli, sous peine de violation du RGPD.

En France, le législateur planche sur une proposition de loi visant à créer un "droit à l'oubli numérique pour les mineurs" automatique, sans nécessité de demande préalable. Cette mesure, inspirée de l'arrêt Kosterà, serait applicable dès 2027. Les avocats spécialisés anticipent également une multiplication des contentieux contre les moteurs de recherche, notamment en matière de données de santé et de orientation sexuelle, où la présomption de déréférencement est la plus forte.

« L'arrêt Kosterà n'est pas un point d'arrivée, mais un point de départ. Le droit à l'oubli numérique va continuer à s'étendre à mesure que les technologies évoluent. Les avocats doivent se préparer à de nouveaux défis, notamment autour de l'IA et de la réalité augmentée. » — Maître Philippe Dubois, Professeur de droit numérique à l'Université Paris II.