Google doit offrir un droit à l'oubli pour les individus, sous condition
“L’exploitant d’un moteur de recherche sur Internet est reponsable du traitement qu’il effectue des données à caractère personnel qui apparaissent sur des pages web publiées par des tiers”. Voilà ce qu’a décidé la Cour de justice de l’Union européenne (CJUE) aujourd’hui dans un arrêt C-131/12 (publié) sur renvoi préjudiciel des juridictions espagnoles.
Mario Costeja González, citoyen espagnol, a introduit une réclamation auprès de l’autorité espagnole pour la protection des données (AEPD) à l’encontre de Google. Le californien avait indexé un article de presse datant de 1998 dans lequel une vielle dette de sécurité sociale était mentionnée. Quand un internaute tapait le nom du plaignant dans le moteur de recherche de Google, celui-ci affichait des liens vers deux pages d’un quotidien mentionnant une vente aux enchères d’immeubles pour recouvrir les dettes du plaignant. Ce dernier demandait à Google de supprimer ces données afin qu’elles disparaissent des résultats de recherche et du site du quotidien. L’AEPD a refusé la réclamation contre le quotidien mais l’a admise concernant Google. Ce dernier a recouru contre cette décision, demandant son annulation.
Droit à l’oubli ? Oui, mais
La CJUE a jugé que Google avait l’obligation d’offrir aux internautes la possibilité et le droit de désindexer les résultats de recherche qui les concernent.
Elle a d’abord rappelé que l’exploitant d’un moteur de recherche procède à une collecte de données lorsqu’il les recherche constamment, systématiquement et automatiquement sur Internet. Il extrait, enregistre et organise les données pour les communiquer et les mettre à disposition des utilisateurs. Ces différentes actions correspondent à la définition d’un “traitement” de données au sens de la Directive européenne 95/46/CE relative à la protection des données personnelles. Le responsable de ce traitement est bien l’exploitant du moteur de recherche.
La territorialité ne change rien. Le fait que Google soit une entreprise américaine sise aux États-Unis et que ce soit elle qui traite les données ne change rien au fait que, comme Google dispose d’un établissement en Espagne (Google Spain, filiale du groupe), le traitement de donnée est effectué dans le cadre des activités de cet établissement.
Enfin, la CJUE considère que Google est obligé, dans certaines conditions, de supprimer de ses résultats, lorsqu’on saisit le nom d’une personne, des liens vers des pages web publiées par des tiers et qui contiennent des informations relatives à cette personne. Les informations affichées par Google sont susceptibles de toucher à de nombreux aspects de la vie privée d’une personne et, sans le moteur de recherche, elles n’auraient pas pu (ou difficilement) être rassemblées, structurées et connectées entre elles. Grâce au moteur de recherche, les internautes peuvent établir un profil d’une personne.
Le seul intérêt économique de Google ne suffit pas à justifier une telle ingérance, agravée par l’importance d’Internet et des moteurs de recherche dans notre société.
A l’inverse le droit à l’information des internautes, qui ont un intérêt légitime à avoir un accès à l’information dont il est question ici, vient contre-balancer la situation. En effet, la CJUE constate qu’il faut trouver un juste équilibre entre le droit à la vie privée (et les droits de la personnalité et à la protection des données) et le droit à l’information. En principe, les droits de la personne concernées prévalent sur le droit des internautes, mais cela dépendra des informations en cause, de leur sensibilité au regard de la vie privée, du cas particulier et de l’intérêt du public à accéder à cette information.
La CJUE conclut en déclarant que si l’on constate que l’inclusion des liens dans la liste des résultats de la recherche vers les données en question n’est pas compatible avec la directive susmentionnée, les liens et données de la liste doivent être effacés. Ce n’est pas parce qu’un traitement de données était licite à l’origine qu’il le reste pour toujours : le temps peut effectivement rendre les données non pertinentes voire excessives en regard de la finalité pour laquelle elles ont été collectées.
Google doit ainsi analyser au cas par cas si la demande la personne de ne plus lier certaines données à son nom dans le moteur de recherche est justifiée. Si c’est le cas, les informations doivent être supprimées, à moins que d’autres raisons (rôle public joué par la personne, par ex.) ne justifient leur maintien.
Toute personne peut adresser une demande de suppression directement à l’exploitant du moteur de recherche.
Commentaire
On ne peut que se féliciter de cet arrêt fondamental. Alors que le Parlement européen avance sur la réforme de la protection des données, la CJUE prend déjà des mesures. Google sera donc capitaine à bord, décidant quelles données doivent ou non quitter le navire. Cela ne signifie pas, évidemment, qu’aucune voie de droit n’est à la disposition d’un internaute à qui Google a refusé la désindexation.