Les variations du droit au déréférencement
Résumé
[Cour de justice de l'Union européenne 24-09-2019 C-136/17 Cour de justice de l'Union européenne 24-09-2019 C-507/17].
1. Google et le déréférencement. C'était il y a un peu plus de cinq ans. La Cour de justice de l'Union européenne (CJUE) a jugé dans son célèbre arrêt Google Spain, sur le fondement de la directive 95/46/CE, que l'exploitant d'un moteur de recherche traite des données à caractère personnel dans le cadre de son activité d'exploration du web, d'indexation des pages et de référencement et a la qualité de responsable du traitement en dépit de son absence de contrôle sur les données traitées, le traitement qu'il met en œuvre se distinguant et s'ajoutant à celui des éditeurs de sites web. Ce faisant, elle a consacré le droit pour les personnes concernées de demander l'effacement de liens vers des pages web apparaissant dans la liste de résultats affichée à la suite d'une recherche effectuée à partir de leur nom, indépendamment de l'absence d'effacement des informations sur les pages web sur lesquelles elles ont été publiées. Elle a rattaché ce droit au droit à l'effacement des données en cas de non-conformité du traitement, invoqué seul ou en combinaison avec le droit d'opposition, en mettant en avant l'importance de l'écoulement du temps. Interprétant la directive 95/46/CE à la lumière des droits fondamentaux, elle estime, en effet, qu'une mise en balance doit intervenir entre le droit au respect de la vie privée et à la protection des données à caractère personnel et l'intérêt des internautes, les premiers prévalant en général sur le second sauf cas particuliers. Adaptant le droit des données à caractère personnel au cyberespace et renforçant la maîtrise des personnes sur leurs données, l'arrêt Google Spain a tout autant été salué que critiqué. Il laissait subsister de nombreuses interrogations que les arrêts commentés contribuent à lever.
2. Arrêt C-136/17. Dans la première affaire, plusieurs personnes ont demandé à Google le déréférencement de liens renvoyant vers des pages sur lesquelles figuraient des informations relevant de catégories particulières de données : une vidéo évoquant la relation intime du maire d'une commune avec sa directrice de cabinet, un article relatif au suicide d'une adepte de l'Église de scientologie dans lequel figurait le nom de l'ancien responsable des relations publiques de cette organisation, des articles relatifs à une information judiciaire ouverte à propos du financement d'un parti politique qui s'est achevée par une ordonnance de non-lieu à laquelle il n'est pas fait référence et, enfin, des articles rendant compte d'une audience correctionnelle au cours de laquelle le prévenu a été condamné. Google a rejeté l'ensemble des demandes de déréférencement. La Commission nationale de l'informatique et des libertés (CNIL) a été saisie de plaintes qu'elle a clôturées. Les requérants ont introduit devant le Conseil d'État des requêtes, qui ont été jointes, contre les refus de la CNIL et demandant à ce que Google soit mis en demeure de procéder au déréférencement. En raison des difficultés sérieuses d'interprétation de la directive 95/46/CE, le Conseil d'État a posé huit questions préjudicielles à la Cour de justice(14). En substance, le régime des données sensibles énoncé par la directive 95/46/CE est-il applicable à l'exploitant d'un moteur de recherche ? Si tel est le cas, le moteur de recherche doit-il faire systématiquement droit aux demandes de référencement ou peut-il refuser de le faire en se prévalant du consentement donné par la personne concernée, de ce qu'elle a rendu les données publiques ou de la finalité journalistique du traitement ? Par ailleurs, le Conseil d'État s'interroge sur l'influence sur la demande de déréférencement du caractère illicite des données figurant sur la page web référencée. Une dernière question portait sur l'incidence sur la demande de déréférencement de l'inexactitude ou de l'incomplétude des données en raison de l'écoulement du temps et de ce que les informations relatives à une procédure judiciaire ne correspondent plus à la réalité de la situation de la personne concernée.
3. Arrêt C-507/17. Dans la seconde espèce, la CNIL a mis en demeure Google, lorsque cette société fait droit à une demande de déréférencement, d'appliquer cette suppression à toutes les extensions de noms de domaine de son moteur de recherche. Google a refusé de donner suite, limitant le déréférencement aux déclinaisons de son moteur de recherche correspondant aux États membres de l'Union européenne, tout en proposant de mettre en place une mesure de géoblocage, empêchant les utilisateurs connectés avec une adresse IP réputée localisée dans un État membre d'accéder aux résultats litigieux, quelle que soit la version du moteur de recherche consultée. La CNIL a prononcé une sanction contre Google qui en a demandé l'annulation devant le Conseil d'État. Amenée à se prononcer sur la portée territoriale du droit au déréférencement, la haute juridiction administrative a posé trois questions préjudicielles à la Cour de justice concernant l'interprétation de la directive 95/46/CE. En substance, le droit au déréférencement s'étend-il à l'ensemble des noms de domaine du moteur de recherche ? À défaut, le déréférencement doit-il être opéré à partir du nom de domaine correspondant à l'État où la demande a été effectuée ou aux noms de domaine qui correspondent aux extensions nationales des États membres ? Enfin, l'exploitant du moteur de recherche est-il tenu de supprimer les liens litigieux des recherches de l'ensemble des extensions de son moteur de recherche par une mesure de géoblocage à partir des adresses IP réputées localisées dans l'État membre où réside le demandeur ou dans l'ensemble des États membres de l'Union ?
4. Confirmation et approfondissements. Dans ces arrêts, la Cour de justice réaffirme le droit pour les personnes concernées d'obtenir le déréférencement de liens affichés dans une liste de résultats à la suite d'une requête effectuée à partir de leur nom et sa pérennité sous l'empire du Règlement général sur la protection des données (RGPD). Surtout, elle se prononce sur le droit au déréférencement de catégories particulières de données et sur la portée territoriale du déréférencement. Comme il a été souligné, ces deux questions sont étroitement liées en raison de l'effet « amplificateur » que pourrait avoir un assouplissement des conditions du déréférencement de certaines catégories de données associé à une portée territoriale étendue du déréférencement. Cela dit, le droit au déréférencement obéit à un régime spécial en présence de catégories particulières de données (I), tandis qu'un cantonnement relatif de sa portée territoriale est opéré (II).
1. Google et le déréférencement. C'était il y a un peu plus de cinq ans. La Cour de justice de l'Union européenne (CJUE) a jugé dans son célèbre arrêt Google Spain, sur le fondement de la directive 95/46/CE, que l'exploitant d'un moteur de recherche traite des données à caractère personnel dans le cadre de son activité d'exploration du web, d'indexation des pages et de référencement et a la qualité de responsable du traitement en dépit de son absence de contrôle sur les données traitées, le traitement qu'il met en œuvre se distinguant et s'ajoutant à celui des éditeurs de sites web. Ce faisant, elle a consacré le droit pour les personnes concernées de demander l'effacement de liens vers des pages web apparaissant dans la liste de résultats affichée à la suite d'une recherche effectuée à partir de leur nom, indépendamment de l'absence d'effacement des informations sur les pages web sur lesquelles elles ont été publiées. Elle a rattaché ce droit au droit à l'effacement des données en cas de non-conformité du traitement, invoqué seul ou en combinaison avec le droit d'opposition, en mettant en avant l'importance de l'écoulement du temps. Interprétant la directive 95/46/CE à la lumière des droits fondamentaux, elle estime, en effet, qu'une mise en balance doit intervenir entre le droit au respect de la vie privée et à la protection des données à caractère personnel et l'intérêt des internautes, les premiers prévalant en général sur le second sauf cas particuliers. Adaptant le droit des données à caractère personnel au cyberespace et renforçant la maîtrise des personnes sur leurs données, l'arrêt Google Spain a tout autant été salué que critiqué. Il laissait subsister de nombreuses interrogations que les arrêts commentés contribuent à lever.
2. Arrêt C-136/17. Dans la première affaire, plusieurs personnes ont demandé à Google le déréférencement de liens renvoyant vers des pages sur lesquelles figuraient des informations relevant de catégories particulières de données : une vidéo évoquant la relation intime du maire d'une commune avec sa directrice de cabinet, un article relatif au suicide d'une adepte de l'Église de scientologie dans lequel figurait le nom de l'ancien responsable des relations publiques de cette organisation, des articles relatifs à une information judiciaire ouverte à propos du financement d'un parti politique qui s'est achevée par une ordonnance de non-lieu à laquelle il n'est pas fait référence et, enfin, des articles rendant compte d'une audience correctionnelle au cours de laquelle le prévenu a été condamné. Google a rejeté l'ensemble des demandes de déréférencement. La Commission nationale de l'informatique et des libertés (CNIL) a été saisie de plaintes qu'elle a clôturées. Les requérants ont introduit devant le Conseil d'État des requêtes, qui ont été jointes, contre les refus de la CNIL et demandant à ce que Google soit mis en demeure de procéder au déréférencement. En raison des difficultés sérieuses d'interprétation de la directive 95/46/CE, le Conseil d'État a posé huit questions préjudicielles à la Cour de justice(14). En substance, le régime des données sensibles énoncé par la directive 95/46/CE est-il applicable à l'exploitant d'un moteur de recherche ? Si tel est le cas, le moteur de recherche doit-il faire systématiquement droit aux demandes de référencement ou peut-il refuser de le faire en se prévalant du consentement donné par la personne concernée, de ce qu'elle a rendu les données publiques ou de la finalité journalistique du traitement ? Par ailleurs, le Conseil d'État s'interroge sur l'influence sur la demande de déréférencement du caractère illicite des données figurant sur la page web référencée. Une dernière question portait sur l'incidence sur la demande de déréférencement de l'inexactitude ou de l'incomplétude des données en raison de l'écoulement du temps et de ce que les informations relatives à une procédure judiciaire ne correspondent plus à la réalité de la situation de la personne concernée.
3. Arrêt C-507/17. Dans la seconde espèce, la CNIL a mis en demeure Google, lorsque cette société fait droit à une demande de déréférencement, d'appliquer cette suppression à toutes les extensions de noms de domaine de son moteur de recherche. Google a refusé de donner suite, limitant le déréférencement aux déclinaisons de son moteur de recherche correspondant aux États membres de l'Union européenne, tout en proposant de mettre en place une mesure de géoblocage, empêchant les utilisateurs connectés avec une adresse IP réputée localisée dans un État membre d'accéder aux résultats litigieux, quelle que soit la version du moteur de recherche consultée. La CNIL a prononcé une sanction contre Google qui en a demandé l'annulation devant le Conseil d'État. Amenée à se prononcer sur la portée territoriale du droit au déréférencement, la haute juridiction administrative a posé trois questions préjudicielles à la Cour de justice concernant l'interprétation de la directive 95/46/CE. En substance, le droit au déréférencement s'étend-il à l'ensemble des noms de domaine du moteur de recherche ? À défaut, le déréférencement doit-il être opéré à partir du nom de domaine correspondant à l'État où la demande a été effectuée ou aux noms de domaine qui correspondent aux extensions nationales des États membres ? Enfin, l'exploitant du moteur de recherche est-il tenu de supprimer les liens litigieux des recherches de l'ensemble des extensions de son moteur de recherche par une mesure de géoblocage à partir des adresses IP réputées localisées dans l'État membre où réside le demandeur ou dans l'ensemble des États membres de l'Union ?
4. Confirmation et approfondissements. Dans ces arrêts, la Cour de justice réaffirme le droit pour les personnes concernées d'obtenir le déréférencement de liens affichés dans une liste de résultats à la suite d'une requête effectuée à partir de leur nom et sa pérennité sous l'empire du Règlement général sur la protection des données (RGPD). Surtout, elle se prononce sur le droit au déréférencement de catégories particulières de données et sur la portée territoriale du déréférencement. Comme il a été souligné, ces deux questions sont étroitement liées en raison de l'effet « amplificateur » que pourrait avoir un assouplissement des conditions du déréférencement de certaines catégories de données associé à une portée territoriale étendue du déréférencement. Cela dit, le droit au déréférencement obéit à un régime spécial en présence de catégories particulières de données (I), tandis qu'un cantonnement relatif de sa portée territoriale est opéré (II).