Le "Droit à l'oubli" reconnu par la Cour de Justice de l'Union Européenne à l'encontre des moteurs de recherches

Tout internaute aurait donc un « droit à l’oubli », selon la Cour de Justice de l’Union Européenne.

Sous certaines conditions néanmoins, et heureusement dirons-nous…

C’est ce qui résulte d’un arrêt rendu le 13 mai dernier dans une affaire qui opposait Google à un citoyen espagnol et à l’autorité de protection des données personnelles espagnole, l’ « Agencia Española de Protección de Datos ».‍

‍

Ce droit à l’oubli permet à une personne d’obtenir que tout ou partie des résultats de recherche les concernant sur Internet ne soient plus accessibles au moyen d’un moteur de recherche.

L’avocat général de la CJUE avait pourtant en juin 2013 conclu que Google n’était pas obligé d’effacer de ses résultats des données nuisibles pour une personne, dès lors qu’elles sont légales, privilégiant ainsi la liberté d’expression.

Revenons sur les faits :

• Un journal espagnol avait publié en 1988 des annonces concernant une vente aux enchères immobilière liée à une saisie pratiquée en recouvrement de dettes de sécurité sociale visant ce citoyen espagnol, dont le nom était mentionné.
• Or, une vingtaine d’années plus tard, lorsqu’un Internaute tapait son nom dans la barre de requête de Google, il accédait à des liens vers deux pages du journal sur lesquelles figurait l’annonce, alors que la procédure de saisie relative à ses dettes avait été réglée depuis plusieurs années.
• Il avait donc demandé à l’éditeur du journal de supprimer ou de modifier les pages afin que son nom n’apparaisse plus et à Google de supprimer ou d’occulter des résultats de recherche ses données personnes et de ne plus les laisser figurer dans les liens du journal faisant mention de cette saisie, ce qui lui avait été refusé.
• Il avait alors saisi l’Autorité de protection des données personnelles espagnole, qui a rejeté sa réclamation contre le journal qui avait publié les informations en toute légalité, étant donné que la publication avait eu lieu sur ordre du ministère du Travail et des Affaires sociales et avait eu pour but de conférer une publicité maximale à la vente publique afin de réunir le plus grand nombre d’enchérisseurs. Mais cette autorité avait accueilli ses demandes à l’encontre de Google, enjoignant à Google Spain et Google Inc. de retirer les données à caractère personnel le concernant de son index ainsi que d’empêcher l’accès à celles-ci à l’avenir.
• Google avait toutefois refusé d’obtempérer et formé un recours en annulation contre cette décision de l’autorité espagnole.

C’est dans le cadre de ce recours en annulation que la Cour de Justice a été saisie de plusieurs questions préjudicielles concernant l’interprétation de plusieurs dispositions de la directive européenne du 24 octobre 1995 sur la protection des données à caractère personnel.

‍

1. La qualification du moteur de recherche

D’abord, pour la CJCE, l’activité de moteur de recherche doit être qualifiée de « traitement de données à caractère personnel » au sens de la directive.

L’activité de moteur de recherche, qui consiste à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné relève bien du traitement de données à caractère personnel selon la Cour de justice, et ce même lorsqu’elles concernent exclusivement des informations déjà publiées dans les médias.

‍

2. Le champ d’application territorial de la directive

Concernant le champ d’application territorial de la directive, la Cour de justice s’est prononcée pour l’application de l’article 4 de la directive européenne du 24 octobre 1995 sur la protection des données à caractère personnel à Google Inc. société de droit américain éditrice du moteur de recherche.

L’article 4 de cette directive prévoit que la loi nationale de l’UE s’applique notamment lorsque le traitement de données personnelles est effectué dans le cadre des activités d’un établissement sur ce territoire.

Google Inc. soutenait que le moteur de recherche était géré par elle seule, sans aucune intervention de Google Spain, dont le rôle se limite à une activité publicitaire.

La Cour rejette cet argument, estimant que l’article 4 de la directive n’a pas prévu que le traitement soit effectué « par » l’établissement concerné mais « dans le cadre des activités » de celui-ci.

Elle en conclut que « dans de telles circonstances, les activités de l’exploitant du moteur de recherche et celles de son établissement situé dans l’État membre concerné sont indissociablement liées dès lors que les activités relatives aux espaces publicitaires constituent le moyen pour rendre le moteur de recherche en cause économiquement rentable et que ce moteur est, en même temps, le moyen permettant l’accomplissement de ces activités. »

En conséquence, « un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre, au sens de cette disposition, lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre. »

‍

3. La mise en œuvre les droits de rectification, d’effacement des données et le droit d’opposition

Puis, la Cour prenant en compte la gravité potentielle de l’ingérence dans la vie privée du fait de la réplication de l’information rendue possible par le moteur de recherche, a estimé que ce dernier devait mettre en œuvre les droits de rectification, d’effacement des données et le droit d’opposition à un traitement lorsque les données traitées ne sont plus adéquates ou pertinentes et excessives par rapport aux finalités.

Elle relève qu’un tel traitement de données « est susceptible d’affecter significativement les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel lorsque la recherche à l’aide de ce moteur est effectuée à partir du nom d’une personne physique dès lors que ledit traitement permet à tout internaute d’obtenir par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet, qui touchent potentiellement à une multitude d’aspects de sa vie privée et qui, sans ledit moteur de recherche, n’auraient pas ou seulement que très difficilement pu être interconnectées, et ainsi d’établir un profil plus ou moins détaillé de celle-ci ».

Dès lors, si les conditions prévues par la directive sont effectivement satisfaites,  l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne.

Ceci vaut également selon la Cour de Justice dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication sur lesdites pages est en elle-même licite.

Pour la Cour, il convient d’examiner « si la personne concernée a un droit à ce que l’information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom, sans pour autant que la constatation d’un tel droit présuppose que l’inclusion de l’information en question dans cette liste cause un préjudice à cette personne. »

Une personne peut donc, eu égard à ses droits fondamentaux consacrés aux articles 7 et 8 de la Charte (droit au respect de sa vie privée et à la protection de ses données personnelles), demander que l’information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats.

Selon la Cour, « ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à accéder à ladite information lors d’une recherche portant sur le nom de cette personne.«

‍

4. La Cour de justice émet cependant une réserve

Ces droits ne pourraient prévaloir « s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question. »

Elle relève au cas d’espèce que :

« eu égard à la sensibilité des informations contenues dans ces annonces pour la vie privée de ladite personne et au fait que leur publication initiale avait été effectuée 16 ans auparavant, la personne concernée justifie d’un droit à ce que ces informations ne soient plus liées à son nom au moyen d’une telle liste.

Dès lors, dans la mesure où il ne semble pas exister, en l’occurrence, de raisons particulières justifiant un intérêt prépondérant du public à avoir, dans le cadre d’une telle recherche, accès à ces informations, ce qu’il appartient toutefois à la juridiction de renvoi de vérifier, la personne concernée peut (…) exiger la suppression desdits liens de cette liste de résultats ».

‍

En conclusion, si un « droit à l’oubli » est reconnu par la Cour de Justice, il est la conséquence d’une violation des principes de finalité et de proportionnalité du traitement de données. Ce n’est donc pas la reconnaissance d’un droit absolu à l’oubli.

• Ce droit est reconnu lorsqu’une donnée exacte au moment où elle est publiée sur Internet devient par l’effet du temps incompatible avec la directive : les données apparaissent inadéquates, non pertinentes ou excessives au regard des finalités pour lesquelles elles ont été traitées et du temps qui s’est écoulé.
• Sur la base de cette non-conformité, la personne peut alors exercer ses droits de rectification ou d’opposition en vue de demander l’effacement des données la concernant, même en l’absence de préjudice, à condition toutefois que le traitement de ses données ne soit pas justifié par un intérêt public prépondérant. C’est notamment le cas, nous dit la Cour, lorsque la personne joue un rôle dans la vie publique. Mais ce n’est pas limitatif selon la Cour (« telles »). Elle n’exclut donc pas que l’intérêt public prépondérant puisse être caractérisé dans d’autres hypothèses…