CJUE : deux arrêts sur le droit à l'oubli imposé aux moteurs de recherche (C-136/17, C-507/17)
Le 24 septembre 2019, la Cour de justice de l’Union européenne (CJUE) a rendu deux arrêts importants concernant le droit à l’oubli imposé aux moteurs de recherche (aussi appelé droit au déréférencement) : l’un concerne la question de savoir si une requête de droit à l’oubli doit être exécutée au niveau mondial ou seulement dans l’Union européenne (UE), l’autre revient sur la balance des intérêts entre la vie privée et le droit à l’information et impose de nouvelles obligations aux moteurs de recherche concernant le statut judiciaire d’une personne.
Rappel : en 2014, dans une affaire impliquant Google (arrêt C-131/12), la CJUE avait jugé que celui-ci avait l’obligation d’offrir aux internautes la possibilité et le droit de désindexer les résultats de recherche qui les concernent, à certaines conditions. (Voir ces trois articles pour plus de détails : premier, deuxième, troisième ; voir aussi le résumé d’un arrêt de la CourEDH sur ce même thème.) Il est important de rappeler également que le droit à l’oubli a été consacré à l’art. 17 RGPD.
Déréférencement mondial ? (C-507/17)
L’affaire a été portée devant les tribunaux français par Google suite à une amende de 100'000 euros infligée à celui-ci par la CNIL. Cette dernière considérait que le droit au déréférencement devait s’appliquer au niveau mondial, et donc sur toutes les plateformes et versions d’un moteur de recherche. Google, évidemment, ne voyait pas les choses de la même manière.
Dans la procédure de recours, la juridiction de renvoi (en l’espèce, le Conseil d’Etat) a relevé que l’établissement dont dispose Google sur le territoire français exerce des activités, notamment commerciales et publicitaires, qui sont indissociablement liées au traitement de données personnelles effectué pour les besoins du fonctionnement du moteur de recherche concerné. En outre, ce moteur de recherche doit, compte tenu, notamment, de l’existence de passerelles entre ses différentes versions nationales, être regardé comme effectuant un traitement de données personnelles unique. Ces éléments n’ont pas été remis en cause par la CJUE.
Cette dernière enfonce quelques portes ouvertes en revenant sur le fait qu’internet est un réseau mondial sans frontières et que les moteurs de recherche confèrent un caractère ubiquitaire aux informations et aux liens contenus dans une liste de résultats affichée à la suite d’une recherche effectuée à partir du nom d’une personne physique.
Google a rappelé qu’il a mis en place une nouvelle présentation des versions nationales de son moteur de recherche, dans le cadre de laquelle le nom de domaine introduit par l’internaute ne déterminerait plus la version nationale du moteur de recherche à laquelle celui-ci accède. Il est désormais automatiquement dirigé vers la version nationale du moteur de recherche de Google qui correspond au lieu à partir duquel il est présumé effectuer la recherche et les résultats de celle-ci seraient affichés en fonction de ce lieu, lequel serait déterminé par Google à l’aide d’un procédé de géolocalisation.
Cependant, dans un monde globalisé, l’accès des internautes, notamment de ceux qui se trouvent en dehors de l’UE, à un lien renvoyant à des informations sur une personne dont le centre d’intérêts se situe dans l’UE est ainsi susceptible de produire sur celle-ci des effets immédiats et substantiels au sein même de l’UE. Pour cette raison, la CNIL estimait qu’une application mondiale du droit au déréférencement était justifiée. Ce d’autant que de nombreux Etats dans le monde ne connaissent pas l’institution du droit à l’oubli.
Contrairement à l’avis de la CNIL, qui soutenait l’idée d’un déréférencement mondial, la CJUE a finalement décidé que l’obligation de déréférencement imposée aux moteurs de recherche ne visait que les versions de son moteur correspondant à l’ensemble des États membres. A l’appui de sa décision, elle relève que le droit de l’UE ne prévoit actuellement pas d’instruments et de mécanismes de coopération entre autorités pour ce qui concerne la portée d’un déréférencement en dehors de l’UE. Enfin, il ne ressort pas des dispositions du droit de l’UE que le législateur aurait fait le choix de conférer à ces dispositions une portée qui dépasserait le territoire des États membres de l’UE.
La CJUE se pose encore la question de savoir si un déréférencement doit s’effectuer sur les versions du moteur de recherche correspondant aux États membres ou sur la seule version de ce moteur correspondant à l’État membre de résidence du bénéficiaire du déréférencement. Elle rappelle que les règles en matière de protection des données sont fixées par la voie du RGPD, qui est directement applicable dans tous les États membres, mais que l’intérêt du public à accéder à une information peut, même au sein de l’UE, varier d’un État membre à l’autre. Cependant, le cadre réglementaire fournit aux autorités de contrôle nationales les instruments et les mécanismes nécessaires pour concilier les droits au respect de la vie privée et à la protection des données de la personne concernée avec l’intérêt de l’ensemble du public des États membres à accéder à l’information en question et pour pouvoir adopter, le cas échéant, une décision de déréférencement qui couvre l’ensemble des recherches effectuées sur la base du nom de cette personne à partir du territoire de l’UE.
L’exploitant du moteur de recherche n’est pas en reste, puisque la CJUE lui impose de prendre, si nécessaire, des mesures suffisamment efficaces pour assurer une protection effective des droits fondamentaux de la personne concernée. Ces mesures doivent, elles-mêmes, satisfaire à toutes les exigences légales et avoir pour effet d’empêcher ou, à tout le moins, de sérieusement décourager les internautes dans les États membres d’avoir accès aux liens en cause à partir d’une recherche effectuée sur la base du nom de cette personne.
Obligation de changer l’ordre des résultats ? (C-136/17)
L’arrêt précédent a fait grand bruit mais ses conclusions ne sont pas étonnantes. En revanche, celui qui sera développé ci-après peut être autrement plus intéressant et problématique.
La question qui se pose ici est celle du traitement par le moteur de recherche de données sensibles dans le cadre d’une demande de déréférencement. En substance, la CNIL a refusé à quatre personnes de mettre en demeure Google de procéder à des déréférencements de divers liens inclus dans la liste de résultats affichée à la suite d’une recherche. Ces liens mènent à des pages Internet publiées par des tiers qui contiennent, notamment, un photomontage satirique visant une femme politique mis en ligne sous pseudonyme ainsi que des articles mentionnant la qualité de responsable des relations publiques de l’Église de scientologie de l’un des intéressés, la mise en examen d’un homme politique et la condamnation pour faits d’agression sexuelle sur mineur d’un autre intéressé.
La question à laquelle la CJUE doit répondre est celle de savoir si l’interdiction faite aux autres responsables de traitement de traiter des données sensibles (comme les opinions politiques, les convictions religieuses ou philosophiques ainsi que la vie sexuelle) est également applicable à un exploitant de moteur de recherche.
La CJUE relève que l’exploitant d’un moteur de recherche est responsable non pas du fait que des données personnelles figurent sur une page web publiée par un tiers, mais du référencement de cette page et, tout particulièrement, de l’affichage du lien vers celle-ci dans la liste des résultats présentée aux internautes à la suite d’une recherche. La CJUE rappelle que le traitement des données sensibles est interdit par principe sauf dérogation ou exception, et que cette interdiction peut s’appliquer à un moteur de recherche en raison du référencement de la page web.
Dans le cadre de données sensibles relatives à des procédures judiciaires, l’exploitant d’un moteur de recherche, lorsqu’il est saisi d’une demande de déréférencement, doit vérifier, dans le respect des conditions prévues à l’art. 9 al. 2 let. g RGPD, si l’inclusion du lien vers la page web en question est nécessaire à l’exercice du droit à la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche.
Bien que les droits de la personne concernée prévalent, en règle générale, sur la liberté d’information des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique.
Ce nonobstant, la CJUE a décidé ce qui suit : même si l’exploitant d’un moteur de recherche constate que l’inclusion du lien s’avère strictement nécessaire, cet exploitant est tenu, au plus tard à l’occasion de la demande de déréférencement, d’adapter la liste de résultats de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle de la personne au sujet de laquelle l’internaute recherche des informations, ce qui nécessite notamment que des liens vers des pages web comportant des informations à ce sujet apparaissent en premier lieu sur cette liste.
En pratique
L’arrêt sur le déréférencement limité à l’UE a des conséquences pratiques importantes puisque les moteurs de recherche proposant leurs services au sein de l’UE ne seront pas obligés de déréférencer des résultats de recherche sur les autres versions de leur moteur. Un déréférencement demandé en Allemagne, par exemple, aura donc un effet dans toute l’UE, sauf exception. Il est à noter que pour Google notamment, sur ce sujet précis, la Suisse est assimilée à un Etat membre de l’UE.
Dans le second arrêt, la CJUE exige des moteurs de recherche de faire en sorte, par exemple, que les pages qui relatent l’acquitement d’une personne soient placées en tête des résultats et que celles qui mentionnent les accusations soient reléguées. Cet arrêt va poser de sérieux problèmes aux moteurs de recherche, et va ouvrir la porte à de nombreux abus et nombreuses manipulations des résultats grâce aux techniques de SEO. En outre, l’effet Streisand pourrait être important pour les personnes concernées.