Le 14 mai 2014, la Cour de justice européenne a rendu un arrêt qui fournit une interprétation fort utile de la directive sur la protection des données personnelles (transposée en droit français) et de son application au moteur de recherche Google en reconnaissant à un plaignant, sous certaines conditions, le droit d’exercer son droit d’opposition. Google a immédiatement publié un formulaire de retrait en ligne.
Rappel : pour accéder à l'intégralité de l'avis d'expert de Maitre Flipo, vous devez adhérer à IT Social via LinkedIn (bouton 'Connexion via LinkedIn' dans la barre de menu Réseau ci-dessus).
Accéder à l'arrêt de la cour (grande chambre) du 13 mai 2014.
Cet arrêt répond à une question préjudicielle émanant d’une juridiction espagnole. En 2012, la Cour de Justice de l’Union européenne (CJUE) est saisie dans le cadre d’un litige opposant Google à l’Agence Espagnole de Protection des Données à caractère personnel (AEPD), équivalent de la CNIL, qui avait fait droit à la demande d’un plaignant en ordonnant à Google de désindexer les données « identifiantes » à caractère personnel relatives à deux articles de presse évoquant les dettes passées et réglées par le plaignant. Concrètement, les pages devaient donc disparaitre des résultats de la recherche faite à partir du nom du plaignant.
La Cour devait donc interpréter la directive européenne 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.
La Cour a ainsi interprété la directive :
1. Google effectue ce que l’on peut qualifier un traitement de données au sens de la directive dans la mesure où le moteur de recherche détermine les finalités et les modalités du traitement en qualité de responsable de traitement :
- l’activité d’un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de traitement de données à caractère personnel, au sens de la directive, lorsque ces informations contiennent des données à caractère personnel et,
- l’exploitant de ce moteur de recherche doit être considéré comme le responsable du traitement.
2. La directive européenne s’applique aux activités de Google Spain :
- Google Spain en tant que filiale de Google Inc. sur le territoire espagnol est un établissement au sens de la directive.
- Le moteur de recherche traitant des données est exploité par une entreprise qui, bien que située dans un État tiers (Google inc.), dispose d’un établissement dans un État membre (Google Spain). La Cour considère alors que le traitement est effectué dans le cadre des activités de cet établissement, au sens de la directive, dès lors que celui-ci est destiné à assurer, dans l’État membre en question, la promotion et la vente des espaces publicitaires proposés sur le moteur de recherches en vue de rentabiliser le service offert par ce dernier.
3. Google doit garantir les droits accordés par la directive aux personnes :
- Une personne dont des données à caractère personnel apparaissent dans les résultats des recherches peut s’adresser directement à un moteur de recherche pour obtenir la suppression des liens vers des pages web contenant des informations portant atteinte à sa vie privée. Elle n’a pas à s’adresser préalablement à l’éditeur du site Internet publiant l’information.
- Le droit d’opposition peut être exercé alors même que la publication des informations sur les sites concernés serait, en elle-même, licite. En effet, un traitement initialement licite peut ne plus l’être lorsqu’avec le temps et l’évolution des finalités pour lesquelles les données ont été traitées, les informations ont perdu leur caractère adéquat et pertinent ou apparaissent désormais excessives. C’est une expression du droit à l’oubli.
4. Google doit se livrer à une appréciation des conditions de mise en œuvre de la protection définies par la Cour :
- Le droit au respect de la vie privée qui innerve la protection des données à caractère personnel connaît des limites et doit être apprécié au cas par cas. C’est le cas aujourd’hui. Toute personne a le doit de s’opposer « pour de motifs légitimes » à ce que les données personnelles la concernant fassent l’objet d’un traitement.
- La protection et l’exercice du droit d’opposition ou de retrait dépend de la nature de l’information, de sa sensibilité pour la vie privée de la personne concernée et de l’intérêt pour le public à la recevoir, en raison notamment du rôle joué dans la vie publique par cette personne. Il faut concilier cette protection avec la liberté d’expression et d’information.
Conséquences de cet arrêt :
La justice espagnole va pouvoir se prononcer, à la lumière de l’interprétation de la CJUE, sur l’affaire dont elle était saisie.
Plus largement, cet arrêt est essentiel dans la mesure où il donne des directives d’interprétations applicables dans les 28 pays de l’Union européenne ayant transposé la directive européenne. Il devient possible de saisir l’exploitant d’un moteur de recherche d’une demande de déréférencement d’une page web qui porte atteinte à leur vie privée sur le fondement de la législation sur la protection des données à caractère personnel. Le plaignant pourra toujours s’adresser directement au responsable du site qui publie l’information et, en cas de non réponse ou de réponse insatisfaisante, il dispose de la possibilité de saisir la CNIL ou la justice afin qu’elles vérifient et ordonnent les mesures nécessaires.
Concrètement, le 29 mai 2014, Google a changé sa politique en permettant aux internautes de demander la suppression d’informations relatives à leur personne qu’ils jugent inappropriées. Pour ce faire, un formulaire est disponible en ligne (cliquer ici).
Il est évident qu’un tel système soumis à l’appréciation d’une entreprise privée reste faillible et que le traitement des nombreuses demandes qui sont déjà parvenues à Google prendra du temps.
Le Tribunal de grande instance de Montpellier avait déjà jugé le 28 octobre 2010 que le moteur de recherches était tenu de désindexer certaines pages à la demande de la personne concernée. La portée de l’arrêt de la CJUE est certes plus grande, mais dans la droite ligne d'une ordonnance de référé (cliquer ici).
Cette décision contribue de façon tout à fait opportune à enrichir les débats sur le droit à l’oubli dont il dessine des contours concrets au moment où le projet de règlement européen n’en finit pas d’être discuté. Ce dernier prévoit que la législation européenne en matière de protection des données s’appliquera à l’ensemble des traitements affectant des personnes résidant sur le territoire de l’Union.
Alors que d’aucun estime que « celui qui n’a rien à se reprocher n’a pas à craindre Internet » ou qu'« il n’y a pas de fumée sans feu », nous reviendrons sur ce sujet qui pose la délicate question de la transparence comme vertu pour reprendre le titre de l’ouvrage d’un éminent confrère « La transparence ou la vertu » de Daniel Soulez Larivière (qui vient de paraître chez Albin Michel).
