Dorénavant, tout internaute peut demander à un moteur de recherche accessible en Europe2 de déréférencer une ou plusieurs pages internet contenant ses données à caractère personnel, c’est-à-dire permettant son identification, lorsqu’elles sont « inadéquates, non-pertinentes ou excessives au regard de la finalité de traitement3 » ou lorsqu’il existe des raisons « prépondérantes et légitimes tenant à la situation particulière » de l’intéressé à s’opposer au traitement4. La Cour estime que ce droit découle de l’obligation de chaque responsable de traitement de données personnelles de ne plus rendre accessible ces informations à la demande de l’individu concerné, dans le cadre d’une procédure d’opposition (opt-out) prévue par la Directive 95/46 du 25 octobre 19955.
Suite à cette condamnation, Google a mis en ligne un formulaire de déréférencement permettant le traitement de près de 150 000 demandes reçues de toute l’Europe, concernant environ 500 000 pages internet. Face à cette demande gigantesque, Google décrit les difficultés auxquelles il est confronté sur son site :
« Si vous nous soumettez une demande de ce type, nous tenterons de trouver un juste équilibre entre la protection de la vie privée des individus et le droit du public à accéder à ces informations et à les diffuser ».
En effet, l’arrêt de la CJUE impose aux moteurs de recherche de faire la balance des intérêts entre d’une part, le respect de la vie privée (article 7 de la Charte sur les Droits fondamentaux de l’Union Européenne) et la protection des données personnelles (article 8 de la Charte sur les Droits fondamentaux de l’Union Européenne), et d’autre part, la liberté d’expression et d’information du public (article 11 de la Charte sur les Droits fondamentaux de l’Union Européenne), et ce pour chaque demande.
Afin de mener à bien sa mission, Google a notamment mis un questionnaire à disposition des internautes afin de déterminer la complexité de leur requête. Les demandes concernant la suppression d’informations sensibles ou hautement personnelles (numéro de carte bancaire, de sécurité social, etc.) sont identifiées comme « simples », et sont par conséquent traitées rapidement. Au contraire, les requêtes « complexes » mettant en jeu le droit à l’information des internautes (déréférencement d’articles de journaux en ligne, personne publique, etc.) sont considérées avec plus de prudence6.
Finalement, l’obligation faite par la CJUE aux moteurs de recherche de faire la « balance des intérêts » entre plusieurs libertés fondamentales pour la mise en œuvre du droit à l’oubli n’a-t-elle pas pour conséquence de leur attribuer un véritable rôle « quasi-juridictionnel »7 ?
En effet, la CJUE leur impose de rendre des décisions particulièrement complexes (1), qui pourront être contestées devant le juge judiciaire ou la CNIL (2). Pourtant, la sanction des moteurs de recherche sur le terrain du droit des données personnelles en cas de refus de déréférencer est largement discutable compte tenu de la difficulté de la mise en œuvre du droit à l’oubli, dépassant largement les obligations d’un simple responsable de traitement (3).
Dans son arrêt, la CJUE précise que « l’intérêt du public peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique »8. Ainsi, Google indique à titre d’exemple qu’il est « susceptible de refuser la suppression d’informations concernant des escroqueries financières, une négligence professionnelle, des condamnations pénales ou une conduite publique adoptée par un fonctionnaire ». Autrement dit, la CJUE fait peser sur Google la responsabilité d’empêcher que « droit à l’oubli » ne devienne un « droit au déni »9 soumis à la volonté de personnes mal intentionnées, en violation du principe de libre accès à l’information.
En effet, la notion d’« intérêt du public« , corollaire de la liberté d’expression des éditeurs sur internet, est bien « variable » tant sur le plan interne qu’européen. De même, les critères d’ »adéquation, de pertinence et d’absence d’excessivité de l’information » retenus par la CJUE10 en application de la directive 95/48 ont été qualifiés par le moteur de recherche de « vagues et subjectifs »11. À ce titre, comme le relevait la Cour de Cassation dans son rapport annuel12, « le législateur a parfois lui-même posé les critères permettant de trancher les conflits entre liberté d’expression et intérêts contraires [ex. exception de vérité en matière de diffamation]. Mais le plus souvent, il appartient au juge de procéder à la balance des intérêts contraires ».
Les Hauts-Magistrats rappellent aussi que « la jurisprudence de la CEDH en application de l’article 10 de la Convention soumet les restrictions apportées à la liberté d’information aux exigences de nécessité, de prévisibilité et de proportionnalité » avant de conclure que le rôle de la jurisprudence est « capital, puisque c’est en grande partie d’elle que proviennent les lignes directrices d’une matière dont l’importance pratique et fondamentale ne cesse d’être exacerbée par les exigences croissantes de la société de l’information ».
Or, la CJUE fait peser cette responsabilité « quasi-juridictionnelle » sur les moteurs de recherche, qui n’ont légitimement pas les mêmes compétences qu’un tribunal. Pourtant, seule une fine analyse de chaque cas « complexes » de déréférencement, à la lumières des dernières subtilités jurisprudentielles et des circonstances de l’espèce, serait en mesure de permettre l’accomplissement de la mission imposée par la CJUE.
En tout état de cause, les critères issus du droit des données à caractère personnel sont insuffisants pour permettre aux moteurs de recherche de faire la balance des intérêts, et de mettre en œuvre efficacement le droit à l’oubli. Par conséquent, Google s’est rendu dans différentes capitales européennes pour y rencontrer des experts et entendre leurs recommandations sur la procédure à suivre. La CNIL a cependant décliné l’invitation considérant que Google « dénigre le droit à l’oubli » en tentant d’établir ses propres critères.
Selon la CJUE :
« lorsque le responsable du traitement ne donne pas suite à ces demandes [de déréférencement], la personne concernée peut saisir l’autorité de contrôle [la CNIL] ou l’autorité judiciaire pour que celles-ci effectuent les vérifications nécessaires et ordonnent à ce responsable des mesures précises en conséquence »13.
Aujourd’hui, l’utilisateur peut donc saisir la CNIL, comme cela a déjà été le cas 80 fois depuis l’arrêt de la CJUE. En revanche, le Conseil Constitutionnel a déjà jugé que la balance de deux libertés fondamentales, dont la liberté d’expression, ne saurait être attribuée à une autorité administrative et revient nécessairement au juge judiciaire14. La CNIL est effectivement compétente concernant les traitements de données à caractère personnel, ce qui est loin d’être acquis en matière de libertés fondamentales.
A minima, le législateur pourrait prévoir une médiation de la CNIL qui rendrait un avis sur la décision de déréférencer, ou pas, rendue par Google. En cas d’avis conforme, la responsabilité des moteurs de recherche ne pourrait plus être engagée devant les tribunaux. En cas d’avis contraire, Google serait obligé de déréférencer.
Reste donc le juge judiciaire. Il est fort à parier que le juge des référés aura la préférence des utilisateurs grâce à sa procédure rapide15. Mais, face à une décision de ne pas déréférencer motivée par une balance des intérêts favorable au droit à l’information des tiers, le « juge de l’évidence » aura bien des difficultés à caractériser le « trouble manifestement illicite » ou « le dommage imminent » sans analyser au fond le litige. Dans ce cas, qualifié de « complexe », le juge pourrait se déclarer incompétent, laissant l’utilisateur dans l’obligation d’entamer une procédure longue et incertaine.
Jusqu’à aujourd’hui, la seule injonction du juge des référés16 envers Google concernait une demande « simple ». En effet, les liens à déréférencer renvoyaient vers des propos jugés diffamatoires dans une autre instance. En l’état, seules les demandes simples paraissent « traitables » par le juge de l’évidence, contrairement aux requêtes « complexes ».
Si la CJUE avait simplement fait peser sur les moteurs de recherche l’obligation incombant aux responsables de traitement de supprimer les données personnelles des intéressés lorsqu’ils en font la demande17, il aurait été normal que le juge sanctionne son inexécution. Mais du fait que pèse sur Google l’appréciation de la « balance des intérêts », ce qui dépasse largement les obligations imposées par le droit des données personnelles, se trouve posée la question de sa sanction en cas de refus de déréférencer.
En effet, l’article de la CJUE permet un recours judiciaire lorsque le moteur de recherche « ne donne pas suite à ses demandes ». Mais les juges européens entendaient-ils permettre un recours contre les moteurs de recherche lorsque la demande n’est pas du tout traitée, ou lorsque Google refuse finalement de déréférencer en application des critères précédemment évoqués ?
Dans le premier cas, la sanction du moteur pour la violation des droits des personnes sujettes au traitement à s’y opposer est inévitable, à l’instar de chaque responsable de traitement. Reste à savoir ce que le juge peut ordonner : le déréférencement ou l’obligation pour le moteur de traiter la demande, sans garantie que la balance des intérêts soit favorable à l’internaute ?
Dans le second cas, le refus de déréférencer ne résulte pas d’un refus d’exécuter une obligation, mais plutôt d’une erreur de « jugement » ne pouvant être considérée comme fautive, sauf dans les cas où il aurait refusé de déréférencer des cas objectivement « simples« . Ainsi, en cas de refus de déréférencer, le risque disproportionné de sanction des moteurs de recherche au même titre qu’un simple responsable de traitement fautif et négligent n’est pas satisfaisant dès lors qu’il a appliqué les critères de la CJUE et « tenté » de faire la balance des intérêts.
En imposant aux moteurs de recherche un rôle « quasi-juridictionnel » dépassant largement les obligations légales d’un responsable de traitement de données, la CJUE place les moteurs de recherche dans une situation totalement ambigüe entre législateur, juge et partie. La règlementation de la mise en œuvre du droit à l’oubli doit donc intervenir rapidement, sans quoi le risque d’une responsabilité sans faute en cas de refus de déréférencement inviterait les moteurs de recherche à faire un excès de zèle, au détriment de notre liberté d’information.
1 CJUE, C-131/12, 13 mai 2014
2 Bing a aussi mis en ligne un formulaire de déréférencement. Cependant, pour les besoins de l’article, nous utiliserons uniquement Google comme exemple.
3 CJUE, C-131/12, 13 mai 2014, n°92 et 93
4 Ibid., n°76, faisant référence à l’article 14, 1er alinéa, sous a) de la directive 95/46
5 Directive 95/46, Article 12 b) et 14, 1er alinéa, a)
6 50% des demandes ont été traitées, 20% ont été rejetée et 30% nécessitent plus d’information.
7 Comme le soulignait Bertrand de la CHAPELLE, Directeur "Internet & Jurisdiction Project", lors de la réunion du comité consultatif sur le droit à l’oubli du 25 septembre 2014 à Paris.
8 CJUE, C-131/12, 13 mai 2014, n°81 in fine
9 Intervention de Serge Tisseron, Directeur de Recherche, U.Paris 7, à la réunion du comité consultatif pour le droit à l’oubli le 25 septembre 2014 à Paris.
10 Cf. note 3, supra
11 Intervention de David Drummond, CLO de Google Inc., à la réunion du comité consultatif pour le droit à l’oubli le 25 septembre 2014 à Paris.
12 Cour de Cassation, Rapport Annuel 2010, 3ème Partie, 2.2 Le droit de savoir du public
13 Arrêt CJUE C-131/12, 13 mai 2014, n°77[
14 Décision n° 2009-580 DC du 10 juin 2009
15 Articles 808 et 809 du CPC.
16 TGI Paris, Ordonnance de référé, M. et Mme X et M.Y / Google France, 16/09/2014 (les faits sont antérieurs à l’arrêt de la CJUE).
17 Directive 95/46, Article 12, b) : "selon le cas, la rectification, l'effacement ou le verrouillage des données dont le traitement n'est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données".
