Le droit à l'oubli numérique, selon le vocabulaire juridique, se définit comme le droit d'une personne d'obtenir le déréférencement de données la concernant sur internet, données qui pourraient durablement porter atteinte à sa vie privée.
Est en cause le droit de chacun à l’oubli numérique - consacré à l’article 17 du RGPD et trouvant son origine dans un arrêt Google Spain de 2014 - où la société éponyme avait été contrainte de supprimer de son moteur de recherches des résultats portant à la connaissance du public certaines informations personnelles.
La liberté d’expression est un doit fondamental qui permet à tous de s’informer : le fait de “googler” certains évènements ou faits d’actualités contribue à rendre ce droit effectif. On se trouve donc en présence d’un conflit entre la liberté d’expression et finalement le droit d’informer le public, d’une part, et la protection de la vie privée d’autre part.
La question sousmise à l’appréciation des juges européens portait ici sur l’ampleur de ce droit au déréférencement compte tenu de l’absence de frontières sur internet. En d’autres termes, un citoyen français qui souhaite obtenir son déréférencement sur internet devra t-il agir en justice contre Google France et pourra t-il être déréférencé de toutes les pages google à l’échelle mondiale ?
Selon des termes juridiques, l’extra-territorialité de l’application du RGPD est au coeur de la discussion et le 24 septembre 2019 dans l'affaire Google c/ Commission nationale de l'informatique et des libertés (CNIL) (C-507/17) les juges de l'instance suprême de l'Union Européenne ont tranchés cette question.
En substance, il a été décidé que l’exploitant du moteur de recherche Google n’est pas tenu de procéder à un déréférencement sur l’ensemble des versions de son moteur de recherche à travers le monde. Toutefois, le droit au déréférencement implique le droit de voir celui-ci être appliqué sur les versions de Google de l’ensemble des États membres de l’Union Européenne. Autrement dit, ce droit ne vaut que dans les limites géographiques de l’Union Européenne et certains y verront sans doute des frontières s’ériger dans l'univers virtuel d'internet.
Il avait été proposé une exception à cette règle (dite de non-application extra-territoriale) lorsque le référencement est effectivement accessible en dehors de l’Union européenne mais qu'il se trouve lié à un comportement ou un évènement qui a eu lieu sur le territoire d’un Etat membre. La Cour de Justice souligne à cet égard que : “dans un monde globalisé, l’accès des internautes, notamment de ceux qui se trouvent en dehors de l’Union, au référencement d’un lien renvoyant à des informations sur une personne dont le centre d’intérêt se situe dans l’Union est susceptible de produire sur celle-ci des effets immédiats et substantiels au sein même de l’Union, de telle sorte qu’un déréférencement mondial serait de nature à rencontrer pleinement l’objectif de protection visé par le droit de l’Union.”
Prudente, la Cour estime pour autant que le droit ne s’applique pas de façon générale à l’échelle universelle mais dépend de la législation applicable au sein de chaque Etat. Partant, la Cour ajoute que le droit à la protection des données à caractère personnel n’est pas un droit absolu, mais doit être considéré par rapport aux droits fondamentaux, et notamment le droit au respect de la vie privée et la liberté d’information des internautes, qui selon ses termes “est susceptible de varier de manière importante à travers le monde”.
En d’autres termes, le droit au déréférencement porterait une atteinte trop forte au droit à la liberté d’expression à travers le monde (le 1er amendement de la Constitution Américaine consacre en effet une liberté d’expression quasiement sans limites). En revanche, la Cour s’attache à ce que les internautes de l’Union européenne soient empêchés d’effectuer une recherche Google via une version de ce moteur « hors UE » et d’avoir accès aux liens qui font l’objet de la demande de déréférencement.
Dans notre affaire, l’Avis de l’Avocat Général du 10 janvier 2019 rappelait tout d’abord que le droit au déréférencement ne pourait avoir de portée extra-territoriale car sinon cela reviendrait à appliquer le droit de l’Union Européenne au dela de ses limites géographiques. Il faut noter cependant que le droit américain ne s’est pas embarassé d’une application au-delà de sa limite territoriale et l’exemple actuel de l’Iran est patent à cet égard.
L’Avis précise néanmoins que l’extra-territorialité du RGPD pourrait entrainer des mesures de rétorsion (ce qu’il convient de mettre en perspective avec la taxe sur les GAFA qui a suscité de très fortes réactions outre-atlantique). La géopolitique prend donc ici le pas sur le débat qui concerne la protection des libertés.
En dernier lieu, il n'est pas exclu que si le droit de l’Union n’impose pas, en l’état actuel, un déréférencement sur l’ensemble des versions du moteur de recherche il ne l’interdit pas . Les autorités des États membres demeurent compétentes pour édicter des règles de portée extra-territoriales, ce qui pourrait notamment être le cas si la CNIL en décidait ainsi concernant les données à caractère sensible. Le même jour, un autre arrêt de la CJUE traitait en effet d’une autre question préjudicielle touchant aux données sensibles (informations d’ordre médicales, orientation sexuelle, etc.).
