L’arrêt rendu par la Cour de Justice de l’Union Européenne (CJUE) le 13 mai 2014 était plus attendu encore par les défenseurs du droit à l’oubli que la liste des bleus sélectionnés pour disputer la prochaine Coupe du Monde de football dévoilée le même jour.

Cette affaire remonte à 2010 lorsqu’un particulier espagnol a porté réclamation auprès de l’AEPD (la CNIL espagnole) pour obtenir la suppression des annonces légales datant de 1998 (ou leur anonymisation) publiées sur le site Internet d’un quotidien et leur désindexation du moteur recherche Google.

En effet, lorsqu’un internaute introduisait le nom de ce particulier sur le moteur de recherche Google, il obtenait des liens vers des pages dudit quotidien, sur lesquelles figuraient les annonces litigieuses évoquant une saisie immobilière en recouvrant des dettes dues par ce particulier. Ce dernier faisait valoir que ladite saisie était entièrement réglée depuis plusieurs années et que la mention de celle-ci était désormais dépourvue de toute pertinence.

L’AEPD rejeta la demande formulée à l’encontre du quotidien espagnol mais ordonna à Google le retrait des liens vers les pages litigieuses associées aux requêtes du nom du particulier donné au motif que ce référencement porterait atteinte au droit fondamental de protection des données et à la dignité des personnes au sens large, ce qui englobe également la simple volonté de la personne intéressée que ces données ne soient pas connues par des tiers.

La juridiction espagnole saisie du recours de Google a saisi la CJUE d’une série de questions préjudicielles pour savoir s’il pouvait être effectivement fait injonction à Google de supprimer les liens hypertextes litigieux, sur le fondement de la Directive 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l’égard des données à caractère personnel.

Décryptage :

L’activité de moteurs de recherche est considérée comme un traitement de données à caractère personnel.

Au regard de la définition très large de la notion de « traitement de données à caractère personnel » donnée par l’article 2 b) de la Directive 95/46 précitée, la Cour considère que l’activité de moteurs de recherche, qui consiste à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné, constitue un traitement de données à caractère personnel au sens de ladite Directive, lorsque des données à caractère personnel sont concernées par cette activité ; et ce peu importe que ces données aient déjà fait l’objet d’une publication sur Internet et ne soient pas modifiées par ce moteur de recherche.

En effet, l’exploitant d’un moteur de recherche «collecte» des données (quelquefois à caractère personnel), les «extrait », les «enregistre» et les «organise» par la suite dans le cadre de ses programmes d’indexation, les «conserve» sur ses serveurs et, le cas échéant, les «communique à» et les «met à disposition de» ses utilisateurs sous forme de listes des résultats de leurs recherches ; autant d’opérations visées explicitement par l’article 2, sous b), de la directive 95/46.

La personne qui exploite ce moteur de recherche est donc le responsable dudit traitement au sens de la Directive en ce qu’il détermine les finalités et les moyens de cette activité.

*******

Google est soumis aux dispositions de la Directive 95/46 et des lois nationales sur la protection des données à caractère personnel

En outre, concernant Google, la Cour confirme que le traitement de données à caractère personnel mis en œuvre dans le cadre de son activité de moteur est soumis à la Directive européenne et les lois en vigueur.

En effet, la Cour dit pour droit qu’un « traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre ».

L’argument de Google tendant à affirmer que seul Google Inc, établi hors de l’Union Européenne, serait responsable de traitement et que ses filiales européennes ne joueraient aucun rôle eu égard à ce traitement est donc rejeté avec fermeté par la Cour.

Google doit supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne lorsque ces liens portent atteinte aux droits fondamentaux de cette personne, en ce compris notamment son droit au respect de la vie privée et ses droits sur ses données à caractère personnel.

Bien que soumis aux dispositions protectrices des données à caractère personnel, Google estimait qu’il était disproportionné de lui imposer de supprimer des informations dont seule la personne qui les avait publiées avait la responsabilité et que cela portait atteinte à ses droits fondamentaux, ainsi qu’à ceux des internautes et des éditeurs de sites concernés.

La Cour écarte ses arguments et rappelle qu’il incombe à Google en tant que responsable de traitement d’assurer que les données à caractère personnel qu’elle collecte dans son activité de moteur de recherche sont « traitées loyalement et licitement, qu’elles sont collectées pour des finalités déterminées, explicites et légitimes, et ne [sont pas] traitées ultérieurement de manière incompatible avec ces finalités, qu’elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement », qu’elles sont « exactes et, si nécessaire, mises à jour » et, enfin, qu’elles sont « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement».

Google doit en conséquence prendre toutes les mesures raisonnables pour que les données qui ne répondent pas aux exigences de cette disposition soient effacées ou rectifiées.

En outre, les personnes concernées par ce traitement de données peuvent faire jouer leur droit d’opposition auprès de Google à condition de justifier de raisons prépondérantes et légitimes tenant à leur situation particulière.

S’agissant du moteur de recherche mis en œuvre par Google, la Cour considère que « celui-ci est susceptible d’affecter significativement les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel lorsque la recherche à l’aide de ce moteur est effectuée à partir du nom d’une personne physique, dès lors que ledit traitement permet à tout internaute d’obtenir par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet, qui touchent potentiellement à une multitude d’aspects de sa vie privée et qui, sans ledit moteur de recherche, n’auraient pas ou seulement que très difficilement pu être interconnectées, et ainsi d’établir un profil plus ou moins détaillé de celle-ci ».

La Cour estime donc essentiel que dans les situations telles que celles du particulier espagnol, il convient de rechercher un équilibre entre les droits des internautes à l’information et les droits fondamentaux (respect de sa vie privée et de ses données à caractère personnel, notamment) des personnes dont les données sont traitées par le moteur de recherche.

Cet équilibre variera notamment en fonction de la nature de l’information en question, du rôle joué par la personne concernée dans la vie publique, de l’intérêt général et de l’impact de l’information indexée sur la vie privée de la personne concernée.

Ainsi, dans l’hypothèse où l’inclusion dans la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web publiées légalement par des tiers et contenant des informations véridiques relatives à sa personne, fait apparaître des informations qui ne sont plus adéquates, pertinentes, ou excessives au regard des finalités du traitement en cause réalisé par l’exploitant du moteur de recherche, les informations et les liens concernés de ladite liste de résultats doivent être effacés.

Pareillement, la cour juge que la personne concernée a un droit à ce que l’information relative à sa personne ne soit plus, à un moment donné, liée à son nom par une liste de résultats, affichée à la suite d’une recherche effectuée à partir de son nom ; et ce peu importe que l’inclusion de l’information en question dans la liste de résultats lui cause un préjudice.
Au cas du particulier espagnol, la Cour considère qu’eu égard à la sensibilité des informations contenues dans les annonces litigieuses pour la vie privée de ladite personne et au fait que leur publication initiale avait été effectuée 16 ans auparavant, la personne concernée justifie d’un droit à ce que ces informations ne soient plus liées à son nom au moyen d’une liste de résultats générée par le moteur de recherche Google.

En conséquence, sous réserve du respect de cet équilibre, la Cour dit pour droit que « l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite », lorsque ces liens portent atteinte aux droits fondamentaux de cette personne, en ce compris notamment son droit au respect de la vie privée et ses droits sur ses données à caractère personnel.

******

Conclusion

Cet arrêt aura assurément des conséquences importantes pour de nombreuses personnes dont les droits fondamentaux sont gravement atteints du fait de la remontée de toutes sortes d’informations fausses, périmées ou qui ne présentent plus le moindre intérêt eu égard au droit à l’information des internautes.

En effet, cette consécration du « droit à l’oubli » par la CJUE était encore il y a peu inespérée.

Les personnes devraient ainsi enfin mieux maîtriser leur droit à la vie privée et leurs droits sur leurs données à caractère personnel en contraignant Google à supprimer des liens hypertextes portant atteinte à leurs droits fondamentaux ou en disposant de nouveaux moyens d’action judiciaire contre Google et d’autres moteurs de recherche pour faire respecter leurs droits et obtenir réparation de leur préjudice.

Cet arrêt tombe également à pic pour que les personnes physiques gardent une certaine maîtrise de leurs droits à l’heure du big data.