Le droit à l’oubli sur internet est une question sociétale sensible et complexe à la croisée des chemins entre respect de la vie privée et des droits fondamentaux de la personne, libre circulation des données, droit à l’information, liberté d’expression et de communication, devoir de mémoire, contrôle de ses données personnelles et responsabilité des individus qui mettent en ligne des informations.
Alors qu’une révision des législations communautaires liées à la protection des données est actuellement en cours et a fait l’objet d’un premier vote au Parlement en mars 2014, la Cour de justice de l’Union européenne a interprété la Directive 95/46, actuellement en vigueur, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ainsi que sur la charte des droits fondamentaux de l’Union européenne dans un litige opposant un individu espagnol à Google (1).
Le litige concernait l’affichage, dans la liste de résultats obtenue sur Google Search à une recherche à partir du nom de la personne concernée, de liens vers des pages d’archives en ligne d’un quotidien contenant des annonces mentionnant le nom de cette personne et se rapportant à une vente aux enchères immobilière liée à une saisie pratiquée aux fins du recouvrement de dettes en matière de sécurité sociale effectuée 16 ans auparavant.
Les questions posées à la Cour concernaient les obligations incombant aux exploitants de moteurs de recherche pour la protection des données à caractère personnel des personnes intéressées ne souhaitant pas que certaines informations, publiées sur les sites web de tiers et contenant leurs données personnelles qui permettent de relier ces informations à ces personnes, soient localisées, indexées et mises à la disposition des internautes de manière indéfinie.
La décision de la Cour est très dense. Retenons qu’elle met particulièrement en avant la protection des libertés et des droits fondamentaux des personnes physiques et leur respect lors du traitement des données à caractère personnel.
Application matérielle de la directive
La Cour soumet les exploitants de moteurs de recherche à la législation communautaire sur le droit à la protection des données : l’affichage de données à caractère personnel sur une page de résultats d’une recherche constitue un traitement de telles données par le moteur de recherche, même si par essence, l’exploitant du moteur de recherche n’a pas connaissance desdites données et n’exerce pas de contrôle sur celles-ci.
« Le traitement de données à caractère personnel effectué dans le cadre de l’activité d’un moteur de recherche se distingue de et s’ajoute à celui effectué par les éditeurs de sites web, consistant à faire figurer ces données sur une page Internet » (point 35).
Application territoriale de la directive
Google Spain et Google Inc. contestaient l’application de la législation communautaire dès lors que le traitement de données à caractère personnel en cause au principal est effectué exclusivement par Google Inc., qui exploite Google Search sans aucune intervention de la part de Google Spain, dont l’activité se limite à la fourniture d’un soutien à l’activité publicitaire du groupe Google qui est distincte de son service de moteur de recherche.
Selon la Cour, il n’est pas nécessaire que le traitement de données à caractère personnel en question soit effectué « par » l’établissement concerné lui-même [Google Espagne], mais uniquement qu’il le soit « dans le cadre des activités » de celui-ci (point 52). Tel est le cas si « celui-ci est destiné à assurer, dans cet État membre, la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche, qui servent à rentabiliser le service offert par ce moteur (point 55) ; force est de constater que le traitement de données à caractère personnel en question est effectué dans le cadre de l’activité publicitaire et commerciale de l’établissement du responsable du traitement sur le territoire d’un État membre, en l’occurrence le territoire espagnol » (point 57).
« Un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre, lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre. »
Google ayant des filiales dans l’ensemble des pays de l’Union, la législation communautaire s’applique donc aux recherches effectuées sur Google Search par l’ensemble des internautes européens.
Obligations des moteurs de recherche
- La dérogation pour publication « aux seules fins de journalisme » « justifiant la publication d’une donnée à caractère personnel sur un site web ne coïncide pas forcément avec celui qui s’applique à l’activité des moteurs de recherche » (point 86)
- « Afin de respecter les droits prévus à ces dispositions et pour autant que les conditions prévues par celles-ci sont effectivement satisfaites, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite. »
Droits de la personne concernée garantis par la directive
- Les droits de la personne prévalent, en règle générale, sur l’intérêt des internautes à l’information.
- Mais cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique.
La Cour est claire. Par principe, les droits de la personne sont les plus importants, et ce n’est qu’exceptionnellement que le droit du public à être informé pourra prévaloir. La Cour met donc en balance les droits de la personne et l’intérêt public à disposer de l’information, en omettant volontairement la liberté d’information, qui serait réservée aux seuls éditeurs de sites, et dont les moteurs de recherche ne pourraient se prévaloir.
Cette décision fait peser une forte responsabilité sur les moteurs de recherche, qui pourraient rapidement être submergés de demandes de déréférencement.
Google n’a pas tardé à réagir pour se conformer à l’arrêt de la Cour en mettant en ligne dès le 29 mai 2014 un formulaire (2) permettant aux internautes de soumettre une demande de suppression de résultats de recherche qui incluent leur nom, pour autant que lesdits résultats soient « inadéquats, pas ou plus pertinents ou excessifs au regard des finalités du traitement ».
Le moteur de recherche précise : « Lors de l’évaluation de votre demande, nous vérifierons si les résultats comprennent des informations obsolètes vous concernant. Nous chercherons également à déterminer si ces informations présentent un intérêt public, par exemple, si elles concernent des escroqueries financières, une négligence professionnelle, des condamnations pénales ou une conduite publique adoptée par un fonctionnaire. »
Inutile de préciser que ce formulaire est uniquement destiné aux citoyens européens…
© [INSCRIPTA]
(1) CJUE, 13 mai 2014, aff. C‑131/12, Google Spain SL et Google Inc. c/ Agencia Española de Protección de Datos (AEPD) et Mario Costeja González.
(2) https://support.google.com/legal/contact/lr_eudpa?product=websearch
