L’arrêt rendu par la Cour de Justice de l’Union Européenne le 13 mai 2014 se prononce de façon claire pour l’application à la société Google Inc. de la directive D 95/46/CE relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.
La Cour apporte ainsi une réponse définitive à une question discutée en France mais également dans d’autres pays de l’Union et notamment l’Espagne, sous l’impulsion de qui l’arrêt est intervenu.
L’affaire est née d’un conflit entre les sociétés Google Inc., Google Spain et un particulier espagnol, lequel avait déposé plainte auprès de l’AEPD (Agence Espagnole de Protection des Données). La recherche de son nom sur le moteur de recherche « Google Search » donnait comme résultats des liens vers des pages d’un journal sur lesquelles figurait une annonce légale, mentionnant son nom, relative à une vente aux enchères immobilières suite à une procédure de recouvrement de ses dettes.
L’AEPD a fait droit à la plainte du particulier, ordonnant à Google Inc. et Google Spain d’adopter les mesures nécessaires pour retirer les données à caractère personnel du plaignant de son index et d’empêcher l’accès à celles-ci à l’avenir.
Google Inc. et Google Spain ont introduit un recours devant l’Audiencia Nacional (haut tribunal espagnol), laquelle a décidé de surseoir à statuer, et de poser trois questions préjudicielles à la Cour de Justice de l’Union Européenne.
- Sur l’application de la directive aux moteurs de recherche
La Cour considère que l’activité d’un moteur de recherche qui consiste « à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à disposition des internautes selon un ordre de préférence donné doit être qualifiée de « traitement de données à caractère personnel » » au sens de la directive « lorsque ces informations contiennent des données à caractère personnel ».
Le service « Google Search » constitue donc bien un traitement de données à caractère personnel au sens de la directive lorsqu’il collecte des informations contenant des données à caractère personnel telles que le nom d’une personne notamment.
La Cour termine en affirmant que « l’exploitant de ce moteur de recherche doit être considéré comme le « responsable » dudit traitement » au sens de la directive.
Google Inc., qui édite le service « Google Search » est donc responsable du traitement effectué.
- Sur l’application territoriale de la directive
Les juges se sont prononcés quant à l’application de la directive européenne relative à la protection des données personnelles à la société Google Inc, société de droit américain.
Plus précisément la juridiction de renvoi s’interroge sur le « recours à des moyens situés sur le territoire d’un Etat membre » par Google Inc. au sens de la directive.
La décision relève que Google Inc. a implanté des filiales telles que Google Spain en Espagne ou Google France en France. Ces sociétés sont destinées à assurer la promotion et la vente d’espaces publicitaires du service Google Search et leur activité vise les habitants du pays où elles sont installées.
Il existe donc un lien entre l’exploitation du service « Google Search » et l’activité des sociétés filiales de Google telles que Google Spain ou France puisque celles-ci procèdent à la promotion et la vente d’espaces publicitaires du service « Google Search ». La société Google Inc. ne peut se prévaloir de la nature commerciale de ses filiales établies en Europe pour échapper aux dispositions de la directive européenne relatives à la protection des données à caractère personnel.
Ainsi, l’activité à laquelle se livre Google Inc. au sein de l’Union lui confère le statut de responsable de traitement et correspond bien à un traitement de données à caractère personnel dans le cadre des activités d’un établissement sur le territoire d’un Etat membre. La directive relative à la protection des données personnelles lui est applicable.
- Sur la possibilité de demander le retrait d’informations, même licites, de l’index du moteur de recherche sans demander, préalablement ou simultanément, ce même retrait au propriétaire du site contenant ces informations
Les juges de la Cour de justice de l’Union Européenne considèrent que « l’exploitant d’un moteur de recherche est obligé de supprimer de la liste des résultats, affichés à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite ».
Ainsi la Cour énonce que les droits d’accès, de rectification, de suppression et d’opposition prévus par la directive pourront être mis en œuvre à l’encontre du moteur de recherche quand bien même les contenus litigieux n’auraient pas été supprimés par leur auteur.
Toute personne souhaitant s’opposer au traitement de ses données personnelles pourra donc obliger le moteur de recherche à supprimer de son index certains sites web qui constituerait un tel traitement.
Le moteur de recherche devra s’exécuter à chaque fois que le traitement ne sera pas conforme aux principes relatifs à la qualité et à la légitimation des données.
La Cour affirme que l’existence d’une demande de retrait des données au propriétaire du site les faisant apparaitre n’est pas nécessaire, son absence n’exempte pas le moteur de recherche de son obligation de supprimer les éléments litigieux de la liste des résultats.
Enfin, le caractère licite de la publication n’entre pas non plus en considération. Même lorsque la publication du nom ou d’informations constituant des données à caractère personnel est licite, la personne à laquelle se rapportent ces informations peut s’opposer à leur maintien dans les résultats générés par le moteur de recherche.
- Sur la portée des droits de la personne dont les données personnelles font l’objet d’un traitement : la consécration du droit à l’oubli
La Cour consacre le droit à l’oubli en indiquant que parmi les conditions d’application des droits octroyés par la directive, « il convient d’examiner si la personne concernée a un droit à ce que l’information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom ».
La simple volonté de ne plus voir associée une information à son nom permettra à une personne de s’opposer au traitement de ses données personnelles, les citoyens de l’Union Européenne acquièrent donc un nouveau droit : le droit à l’oubli.
La Cour précise que la mise en œuvre de ce droit n’est pas soumise à l’existence d’un préjudice. Il ressort de la décision qu’une personne pourra s’opposer à l’inclusion d’une information dans une liste de résultats associés à son nom sans qu’une telle inclusion lui cause un préjudice.
La logique de cette décision se fonde notamment sur les droits fondamentaux au respect de la vie privée et familiale et à la protection des données à caractère personnel, prévus par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union Européenne. La Cour considère ici qu’une personne est en droit de demander la suppression d’informations en relation avec sa vie privée et familiale et/ou ses données personnelles.
A ce titre les juges affirment que « ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt du public à accéder à ladite information lors d’une recherche portant sur le nom de cette personne ».
Le droit à l’oubli intervient donc pour faire prévaloir ces droits fondamentaux sur l’intérêt du public d’accéder à une information.
La mise en œuvre de ce droit semble conditionnée à une notion de temps, une information ne pourra être retirée que si la personne a un droit, « au stade actuel », à ce que l’information en question soit supprimée.
Le raisonnement au soutien du droit à l’oubli mobilise les notions de qualité et de légitimation des données traitées. Une information contenant des données à caractère personnel pourra avoir fait l’objet d’un traitement respectant la directive puis ce traitement pourra devenir, avec le temps, inadéquat, pas ou plus pertinent ou excessif au regard de ses finalités…
La mise en œuvre de ce droit sera soumise à la comparaison des intérêts de la personne et de ceux du public, le temps étant ici l’arbitre entre la protection des données personnelles, de la vie privée et l’intérêt du public à accéder à une information.
Dans cette affaire la personne intéressée réclamait la suppression d’informations datant de plus de seize ans. La demande apparait ainsi légitime, à l’inverse du traitement effectué par Google. Les juges de la Cour de justice de l’Union Européenne érigent ainsi le droit à l’oubli en principe, lequel naît de l’interprétation de la directive relative à la protection des données personnelle.
Cette consécration jurisprudentielle intervient alors même que l’adoption légale de ce principe faisait l’objet de débats depuis plus de deux ans. En effet, un projet de règlement européen portant réforme de la directive de 1995 et présenté en janvier 2012 comptait déjà parmi ses principaux objectifs l’adoption d’un droit à l’oubli numérique.
Ce règlement européen n’a pourtant toujours pas vu le jour, les pouvoirs règlementaires et législatifs de l’Union Européenne sont donc rattrapés par la réalité du traitement des données personnelles des citoyens sur internet à laquelle les juges ont dû apporter une réponse.
L’arrêt du 13 mai 2014 a eu des conséquences concrètes puisque Google, contraint de se conformer à la décision, a mis en ligne depuis ce jeudi 29 mai un formulaire (disponible à cette adresse : https://support.google.com/legal/contact/lr_eudpa?product=websearch&hl=fr) permettant aux citoyens européens de demander la suppression de résultats de recherche comportant leurs données personnelles et qu’ils ne souhaitent pas voir apparaître.
Ce formulaire sollicite l’intérêt de nombreux internautes puisque Google a déjà reçu plus de 12 000 demandes de retrait de liens qualifiés par le formulaire de « non pertinent, obsolète ou inapproprié ».
Reste à savoir si, le site éditant les contenus comportant des données à caractère personnel qu’un titulaire souhaiterait voir disparaître pourrait lui aussi se voir opposer ce droit à l’oubli dans des conditions identiques.
Enfin, l’arrêt contient une nuance concernant « les personnes jouant un rôle dans la vie publique ». La Cour considère que dans des circonstances particulières, l’ingérence dans les droits fondamentaux d’une personne jouant un rôle dans la vie publique peut se justifier par l’intérêt prépondérant du public à avoir accès à une information.
Le droit du public d’accéder à l’information devrait prendre le pas sur le droit à l’oubli d’une personne lorsque celle-ci joue ou a joué un rôle dans la vie publique, ce qui serait le cas par exemple pour un homme politique.
Le principe du droit à l’oubli est aujourd’hui consacré et sa mise en œuvre semble enclenchée mais les incertitudes restent nombreuses, notamment concernant les suites que Google donnera aux demandes des internautes et les délais dans lesquels ces demandes seront traitées.
par Arnaud DIMEGLIO et Chloé POUDEVIGNE