Tout internaute aurait donc un « droit à l’oubli », selon la Cour de Justice de l’Union Européenne.
Sous certaines conditions néanmoins, et heureusement dirons-nous…
C’est ce qui résulte d’un arrêt rendu le 13 mai dernier dans une affaire qui opposait Google à un citoyen espagnol et à l’autorité de protection des données personnelles espagnole, l’ « Agencia Española de Protección de Datos ».
Ce droit à l’oubli permet à une personne d’obtenir que tout ou partie des résultats de recherche les concernant sur Internet ne soient plus accessibles au moyen d’un moteur de recherche.
L’avocat général de la CJUE avait pourtant en juin 2013 conclu que Google n’était pas obligé d’effacer de ses résultats des données nuisibles pour une personne, dès lors qu’elles sont légales, privilégiant ainsi la liberté d’expression.
Revenons sur les faits :
C’est dans le cadre de ce recours en annulation que la Cour de Justice a été saisie de plusieurs questions préjudicielles concernant l’interprétation de plusieurs dispositions de la directive européenne du 24 octobre 1995 sur la protection des données à caractère personnel.
D’abord, pour la CJCE, l’activité de moteur de recherche doit être qualifiée de « traitement de données à caractère personnel » au sens de la directive.
L’activité de moteur de recherche, qui consiste à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné relève bien du traitement de données à caractère personnel selon la Cour de justice, et ce même lorsqu’elles concernent exclusivement des informations déjà publiées dans les médias.
Concernant le champ d’application territorial de la directive, la Cour de justice s’est prononcée pour l’application de l’article 4 de la directive européenne du 24 octobre 1995 sur la protection des données à caractère personnel à Google Inc. société de droit américain éditrice du moteur de recherche.
L’article 4 de cette directive prévoit que la loi nationale de l’UE s’applique notamment lorsque le traitement de données personnelles est effectué dans le cadre des activités d’un établissement sur ce territoire.
Google Inc. soutenait que le moteur de recherche était géré par elle seule, sans aucune intervention de Google Spain, dont le rôle se limite à une activité publicitaire.
La Cour rejette cet argument, estimant que l’article 4 de la directive n’a pas prévu que le traitement soit effectué « par » l’établissement concerné mais « dans le cadre des activités » de celui-ci.
Elle en conclut que « dans de telles circonstances, les activités de l’exploitant du moteur de recherche et celles de son établissement situé dans l’État membre concerné sont indissociablement liées dès lors que les activités relatives aux espaces publicitaires constituent le moyen pour rendre le moteur de recherche en cause économiquement rentable et que ce moteur est, en même temps, le moyen permettant l’accomplissement de ces activités. »
En conséquence, « un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre, au sens de cette disposition, lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre. »
Puis, la Cour prenant en compte la gravité potentielle de l’ingérence dans la vie privée du fait de la réplication de l’information rendue possible par le moteur de recherche, a estimé que ce dernier devait mettre en œuvre les droits de rectification, d’effacement des données et le droit d’opposition à un traitement lorsque les données traitées ne sont plus adéquates ou pertinentes et excessives par rapport aux finalités.
Elle relève qu’un tel traitement de données « est susceptible d’affecter significativement les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel lorsque la recherche à l’aide de ce moteur est effectuée à partir du nom d’une personne physique dès lors que ledit traitement permet à tout internaute d’obtenir par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet, qui touchent potentiellement à une multitude d’aspects de sa vie privée et qui, sans ledit moteur de recherche, n’auraient pas ou seulement que très difficilement pu être interconnectées, et ainsi d’établir un profil plus ou moins détaillé de celle-ci ».
Dès lors, si les conditions prévues par la directive sont effectivement satisfaites, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne.
Ceci vaut également selon la Cour de Justice dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication sur lesdites pages est en elle-même licite.
Pour la Cour, il convient d’examiner « si la personne concernée a un droit à ce que l’information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom, sans pour autant que la constatation d’un tel droit présuppose que l’inclusion de l’information en question dans cette liste cause un préjudice à cette personne. »
Une personne peut donc, eu égard à ses droits fondamentaux consacrés aux articles 7 et 8 de la Charte (droit au respect de sa vie privée et à la protection de ses données personnelles), demander que l’information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats.
Selon la Cour, « ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à accéder à ladite information lors d’une recherche portant sur le nom de cette personne.«
Ces droits ne pourraient prévaloir « s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question. »
Elle relève au cas d’espèce que :
« eu égard à la sensibilité des informations contenues dans ces annonces pour la vie privée de ladite personne et au fait que leur publication initiale avait été effectuée 16 ans auparavant, la personne concernée justifie d’un droit à ce que ces informations ne soient plus liées à son nom au moyen d’une telle liste.
Dès lors, dans la mesure où il ne semble pas exister, en l’occurrence, de raisons particulières justifiant un intérêt prépondérant du public à avoir, dans le cadre d’une telle recherche, accès à ces informations, ce qu’il appartient toutefois à la juridiction de renvoi de vérifier, la personne concernée peut (…) exiger la suppression desdits liens de cette liste de résultats ».
En conclusion, si un « droit à l’oubli » est reconnu par la Cour de Justice, il est la conséquence d’une violation des principes de finalité et de proportionnalité du traitement de données. Ce n’est donc pas la reconnaissance d’un droit absolu à l’oubli.
