13 Fév Quelle portée du droit au déréférencement sur Google ?
Le 10 janvier 2019, l’avocat général de la Cour de justice de l’Union européenne (CJUE) Maciej Szpunar a rendu ses conclusions dans deux affaires impliquant la société Google et le droit au déréférencement des utilisateurs de son moteur de recherche. Favorables à la société Google, les conclusions concernent d’une part la portée territoriale de ce droit lorsqu’il est exercé avec succès, et d’autre part son application en présence de données sensibles.
L’application territoriale du droit au déréférencement
L’arrêt dit « Google Spain » rendu le 13 mai 2014 par la CJUE, a consacré le droit au déréférencement – qui permet à tout particulier de demander à un moteur de recherche de supprimer certains résultats de recherche associés à ses noms et prénoms – sans toutefois préciser comment ce droit, par définition propre à l’Europe, doit être mis en application sur le réseau mondial qu’est internet. La Cour de justice a cependant indiqué que le refus du responsable de traitement de procéder au déréférencement sollicité pouvait être contesté auprès de l’autorité de contrôle de protection des données compétente au sein de chaque Etat membre.
Dans ce contexte, la CNIL a été saisie par de nombreux particuliers s’étant vu refuser le déréférencement de liens Internet par la société Google. La Commission a ainsi identifié 21 plaintes pour lesquelles les demandes de déréférencement lui paraissaient fondées. Elle a donc demandé à la société Google de procéder au déréférencement des liens évoqués par chaque plaignant. La société Google a indiqué avoir procédé à certains déréférencements demandés, mais ce uniquement sur les versions européennes de son moteur de recherche.
Le 21 mai 2015, la CNIL a alors mis en demeure la société Google d’opérer tout déréférencement auquel une suite favorable est donnée (soit à l’initiative de la société Google, soit à la demande de la CNIL) sur toutes les versions de son moteur de recherche, et notamment sur <google.com>, sans le limiter aux seules extensions européennes. La société Google refusant de se conformer à l’injonction, la CNIL l’avait dès lors sanctionnée à payer une amende de 100.000 euros, décision que Google avait contestée auprès du Conseil d’Etat. Le 19 juillet 2017, ce dernier avait alors décidé de transmettre la question à la CJUE.
Dans ses conclusions, l’avocat général Maciej Szpunar défend la position de l’exploitant du moteur de recherche. Pour lui, le droit au respect de la vie privée de chaque utilisateur doit être mis en balance avec, notamment, le droit fondamental à l’information de tous, consacré à l’article 11 de la charte des droits fondamentaux de l’Union européenne, ce que ne permettrait pas un déréférencement mondial.
L’avocat général plaide ainsi pour un droit au déréférencement qui, lorsqu’il est exercé avec succès par un utilisateur européen, devrait être appliqué aux Etats européens uniquement. En effet, exiger un déréférencement mondial systématique influencerait les recherches effectuées hors de l’UE, alors que l’intérêt du public à accéder à une certaine information varie selon sa localisation géographique. Selon l’avocat général, adopter une telle position pourrait à terme produire un « nivellement vers le bas » : certains pays tiers pourraient vouloir limiter l’accès à l’information des personnes situées dans un Etat membre de l’UE.
L’avocat général tempère ensuite sa position pour expliquer que dans certaines situations, les exploitants de moteur de recherche pourraient se voir imposer des actions au niveau mondial, comme c’est déjà le cas par exemple en droit de la concurrence et en droit des marques.
Dans ces matières, la CJUE juge en effet que les règles européennes peuvent avoir des effets extraterritoriaux afin d’assurer leur pleine effectivité sur le marché européen. Par exemple, la CJUE considère que le fait pour une entreprise participant à un accord anticoncurrentiel d’être située dans un pays tiers ne fait pas obstacle à l’application des règles de concurrence de l’Union dès lors qu’un tel accord produit ses effets sur le territoire de l’Union (CJUE, 12 juillet 2011, C‑324/09, L’Oréal SA et autres contre eBay International AG et autres).
Le droit au déréférencement confronté aux données sensibles
La seconde affaire impliquant Google porte sur des demandes de déréférencement, formulées par quatre personnes physiques de nationalité française, relatives à des liens pointant vers des pages web les nommant expressément et faisant état d’un certain nombre d’informations dont des données « sensibles » au sens de l’article 8 de la directive 95/46/CE du 24 octobre 1995, notamment des données révélant leurs opinions politiques et des données relatives à des condamnations pénales. La société Google avait refusé de faire droit à leurs demandes au nom de l’intérêt du public à recevoir l’information. Après avoir déposé une plainte restée infructueuse auprès de la CNIL, les quatre particuliers ont intenté un recours pour excès de pouvoir de la CNIL auprès du Conseil d’Etat.
Le Conseil d’Etat a alors demandé à la CJUE si l’interdiction par défaut de traiter des données sensibles faite aux responsables de traitement s’appliquait également à un exploitant de moteur de recherche.
En effet, dans la mesure où, comme l’a reconnu l’arrêt Google Spain ci-dessus mentionné, le référencement de contenus sur Internet constitue en lui-même un traitement autonome de ces données, doit-on considérer que l’exploitant d’un moteur de recherche n’a pas le droit de référencer des pages web contenant des données sensibles ? Ou doit-il réaliser un contrôle ex ante et systématique avant de référencer chaque page pour vérifier qu’il ne traite pas de telles données ?
Pour l’avocat général, l’article 8 de la directive 95/46 relatif aux données sensibles est bien applicable aux activités d’un exploitant de moteur de recherche, eu égard à ses responsabilités, compétences et possibilités. Cependant, empêcher un tel exploitant de référencer des pages contenant des données sensibles, ou lui imposer un contrôle avant tout référencement reviendrait à interpréter trop strictement l’arrêt Google Spain, sans tenir compte de la réalité opérationnelle et économique de son activité, qui n’intervient qu’après la mise en ligne des données par un premier responsable de traitement.
Ainsi, pour l’avocat général, appliquer l’article 8 de la directive aux exploitants de moteur de recherche revient à leur imposer une vérification ex post, c’est-à-dire un contrôle réalisé sur la base d’une demande déréférencement formée par la personne concernée après que les pages aient été référencées.
Selon l’avocat général, puisque le contrôle ne peut être que postérieur au référencement et que le traitement des données sensibles est interdit par défaut, l’exploitant d’un moteur de recherche qui reçoit une demande de déréférencement de pages contenant des données sensibles doit, par principe, systématiquement faire droit à cette demande, sauf s’il peut justifier de l’applicabilité d’une des exceptions prévues par l’article 8 de la directive 95/46, comme par exemple en cas de consentement de la personne concernée ou lorsque les données en question ont manifestement été rendues publiques par la personne concernée ou sont nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice.
Si les exceptions prévues à l’article 8 de la directive nécessitent une simple vérification de la part d’un exploitant de moteur de recherche, ce dernier doit cependant retrouver un réel pouvoir d’appréciation au cas par cas en vertu de l’article 9 de cette directive qui, selon l’avocat général, trouve pleinement à s’appliquer à un tel exploitant.
À l’aune de cet article, l’exploitant ayant reçu une demande de déréférencement doit procéder à une mise en balance entre, d’une part, les droits au respect de la vie privée et à la protection des données, et, d’autre part, le droit du public à avoir accès à l’information et la liberté d’expression de celui dont émane l’information.
Il pourrait ensuite refuser de faire droit à une demande de déréférencement, et ce alors même qu’aucune des exceptions prévues par l’article 8 ne serait vérifiée. Ainsi, même si le référencement de pages contenant des données sensibles ne repose sur aucune base légale (et constitue donc un traitement illicite en vertu de l’article 8 de la directive), il pourrait continuer à être mis en œuvre par l’exploitant d’un moteur de recherche si ces pages contiennent une information émanant d’un journaliste ou constituant une expression littéraire ou artistique.
Les conclusions de l’avocat général ne lient pas la Cour européenne. Ainsi par exemple dans l’arrêt Google Spain, la Cour avait rendu une décision contraire à la position de l’avocat général. Le délibéré de ces deux affaires sera normalement rendu dans les prochains mois. To be continued…