Le célèbre arrêt rendu par la Cour européenne de justice le 13 mai 2014, a permis de préciser le champ d’application de la directive européenne du 24 octobre 1995 relative à la protection des données, aux moteurs de recherche.
Visant à protéger les personnes notamment contre des atteintes à la réputation, le droit au déréférencement s’est vu confier aux moteurs de recherche créant de facto, de nouvelles obligations pour les acteurs du numérique. Dès lors, ces derniers ont dû s’adapter et mettre en place des formulaires de demande de désindexation.
Aussi souvent appelé « droit à l’oubli », il était d’abord prévu par la Directive 95/46/CE (abrogée depuis l’entrée en vigueur du RGPD), puis a été repris à l’article 17 du Règlement Général à la protection des données à caractère personnel.
Si la décision rendue par la CJUE a permis de responsabiliser les moteurs de recherche en leur imputant de nouvelles responsabilités (I), le droit au déréférencement connaît des limites. Précisé par une série d’arrêts entre la CJUE et le Conseil d’État, la portée territoriale du déréférencement ne semble pas satisfaisante pour garantir une protection appropriée des personnes concernées. Bien que cette décision ait induit des améliorations, les modalités d’appréciation du déréférencement semblent poser quelques problèmes, notamment en ce qui concerne le retrait des contenus licites (II).
I. La définition des modalités de mise en œuvre du droit au déréférencement
A l’occasion d’une décision rendue en 2014, la CJUE a saisi l’opportunité de remédier aux atteintes qui découlent du développement des usages numériques en responsabilisant notamment les moteurs de recherche.
A. L’intervention de la CJUE dans la détermination de l’application de la Directive 95/46/CE aux moteurs de recherche
C’est à l’occasion de sa célèbre décision en date du 13 mai 2014 que la CJUE a procédé à la vérification de l’applicabilité de la Directive 95/46/CE au moteur de recherche, en l’occurrence Google.
Dans un premier temps, la Cour a qualifié les activités du moteur de recherche qu’elle considère par extension de son interprétation classique, être des traitements de données.
Dans un second temps, elle effectue un contrôle sur la qualité du moteur de recherche, et au regard de ses activités et de son rôle dans la détermination des finalités et des moyens du traitement, lui confère la qualité de responsable de traitement.
La Cour établit l’existence d’un lien de cause à effet entre les résultats indexés par le moteur de recherche dans le cadre de ses activités et les atteintes à la vie privée dont sont victimes les personnes concernées.
La CJUE confirme l’application de la Directive 95/46/CE et ordonne à Google de la respecter afin de garantir une protection efficace et complète des personnes concernées.
La Cour procède ensuite à un examen afin de déterminer si la localisation de Google n’empêche pas l’application de la Directive 95/46/CE. Pour se faire, elle analyse si l’entreprise remplie une des trois conditions fixées par la directive. La Cour se livre alors à une réécriture du considérant 19 de la directive et procède à la qualification d’établissement stable de Google Spain.
Cette mise en balance des différents intérêts a permis de renforcer la protection des personnes concernées et de responsabiliser Google envers ses utilisateurs. En adoptant un tel raisonnement, la Cour témoigne de sa volonté de réguler les activités des moteurs de recherche.
Depuis cette décision, les moteurs de recherche se sont dotés de formulaire de demande de désindexation et ont pour obligation de traiter les demandes dans un temps imparti. Pour répondre à une demande, le moteur de recherche dispose d’un délai d’un mois. Ce délai peut faire l’objet d’une prolongation de deux mois compte tenu de la complexité de la demande ou du nombre de demandes reçues. Cependant, le moteur de recherche devra vous informer des raisons qui ont retardé sa réponse.
B. La définition des critères d’évaluation du droit au déréférencement
En vertu de l’article 12 de la directive 95/46/CE, les États membres garantissent aux personnes concernées le droit d’obtenir du responsable de traitement, en l’occurrence le moteur de recherche, l’effacement, la rectification ou le verrouillage des données dont le traitement n’est pas conforme à la directive, notamment en raison du caractère incomplet ou inexact des données.
Afin de statuer sur une demande de déréférencement, les moteurs de recherche devront se munir du faisceau d’indices que la CJUE s’est attelé à définir.
Le droit à l’oubli n’est en effet pas un droit absolu. Une appréciation au cas par cas devra être effectuée par les moteurs de recherche. Cette appréciation consiste à trouver un équilibre, dans chaque cas, entre la protection de la vie privée et des données du demandeur, d’un côté, et le droit à l’information des internautes et de la presse, de l’autre.
Précisé par la jurisprudence de 2019, cet examen doit se faire à la lumière de différents critères que sont la notoriété, l’âge de minorité, la nature des informations référencées, l’éventuel préjudice subi, le contexte de la publication. Ce qui n'est pas sans rappeler les éléments pris en compte par les juridictions françaises pour déterminer une atteinte à la vie privée.
Ainsi « l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite ».
Finalement, la nouveauté de cet arrêt réside dans le fait que le moteur de recherche peut être obligé de désindexer lesdits liens, même si les données à caractère personnel continuent à demeurer sur les sites web.
II. Les évolutions et les limites de la pratique du droit au déréférencement/du droit à l’oubli
La jurisprudence européenne offre de nouvelles perspectives en instaurant de nouvelles obligations aux moteurs de recherches. Elle amène à la fois des évolutions, mais également des limites dans l'octroi du droit au déréférencement.
A. Les limites de la portée territoriale
A la suite d'un différend opposant Google Inc. et la CNIL, le Conseil d'État saisi d'une question préjudicielle la CJUE afin de déterminer la portée territoriale du droit au déréférencement. Autrement dit, s’arrête-t-il aux frontières de l’Union européenne ?
En réponse à cette question, la portée et les limites du droit au déréférencement ont été fixées par la CJUE dans deux nouveaux arrêts du 24 septembre 2019.
A travers l'un de ses deux arrêts, elle considère que le droit au déréférencement doit être respecté dans les États membres de l’Union européenne. Il n’est pas contraignant pour les autres pays. Un moteur de recherche qui reçoit une demande de déréférencement par un citoyen européen n’est obligé de supprimer les résultats concernés que pour ses noms de domaines européens (google.fr, google.be, google.de, etc.).
Toutefois, la Cour de justice de l’Union européenne précise que, si le droit de l’Union n’impose pas cette portée mondiale, « il ne l’interdit pas non plus », ce qui permet à une autorité de contrôle ou à une autorité judiciaire d’ordonner un déréférencement à portée mondiale.
Par une série de décisions rendues le 6 décembre 2019, le Conseil d'État tire les conséquences des décisions de la CJUE.
Cette saga jurisprudentielle s’achèvera le 27 mars 2020, date à laquelle le Conseil d’État prend acte du jugement rendu par la Cour de justice de l’Union européenne et annule la délibération de la CNIL ordonnant un déréférencement mondial. Cette décision révèle des difficultés techniques propres aux nouvelles technologies, mais aussi législatives et soulève des interrogations.
L’approbation du déréférencement à échelle européenne n’empêche pas l’utilisation d’outils techniques (VPN) permettant d’outrepasser la mise en œuvre du déréférencement, ce qui remet en cause l’effectivité de ce procédé visant à protéger les utilisateurs. Ne devrait-on pas adapter cette solution à l’état de l’art ?
B. Les évolutions et les limites de l'exercice du droit au déréférencement induites par la jurisprudence
Ces jurisprudences ont allégé le processus judiciaire auparavant requis pour faire droit à une demande de déréférencement. Il n'est plus nécessaire de passer au préalable par la case tribunal. Les moteurs de recherche mettent à disposition des formulaires qui permettent d’effectuer une demande de déréférencement. En cas de recours contre une décision prise par un moteur de recherche, il n'est pas non plus nécessaire non plus d'emprunter le chemin des tribunaux. La CNIL sert d'intermédiaire. Cela évite des frais judiciaires aux personnes qui souhaiteraient exercer ce droit.
En revanche, le pouvoir conféré aux moteurs de recherche fait l'objet de débats. En effet, ils sont, dans la première partie du processus, les seuls a apprécié s’ils accordent le déréférencement ou non, et ce même pour des contenus licites. Il s'agit de conférer à un acteur privé le rôle de concilier deux libertés fondamentales, le droit au respect de sa vie privée et la liberté de la presse. Ce qui entre dans le domaine de compétence des juges et non pas des acteurs privés.
SOURCES :
· Pour visualiser l’article 17 du RGPD : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article17
· Différence déréférencement et effacement : https://www.cnil.fr/fr/le-dereferencement-dun-contenu-dans-un-moteur-de-recherche
· « Il serait contraire non seulement au libellé clair, mais également à l’objectif de cette disposition, consistant à assurer, par une définition large de la notion de responsable, une protection efficace et complète des personnes concernées, d’exclure de celle-ci l’exploitant d’un moteur de recherche au motif qu’il n’exerce pas de contrôle sur les données à caractère personnel publiées sur les pages web de tiers ». (CJUE, 13 mai 2014, affaire C-131/12, Google Spain SL, Google Inc. c/ Agencia Española de Protección de Datos)
· Pour consulter l’arrêt de la CJUE du 23 mars 2010, affaires jointes C-236/08 à C-238/08. : https://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX%3A62008CJ0236
· « Les droits à la vie privée et à la protection des données à caractère personnel doivent se concilier avec les droits à la liberté d’expression et d’information, ce dans la recherche d’un juste équilibre entre les droits de la personne concernée et l’intérêt légitime des internautes potentiellement intéressés à avoir accès à une information ». (TGI Paris, ordonnance de référé du 12 mai 2017, Madame X. / Google France et Google Inc.)
· Pour consulter des résumés des arrêts de la CJUE en date du 24 septembre 2019 : https://www.cnil.fr/fr/droit-au-dereferencement-la-cjue-rendu-ses-arrets
· Pour consulter les arrêts de la CJUE en date du 24 septembre 2019 : https://curia.europa.eu/juris/document/document.jsf?text=&docid=218105&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=9762
· Pour consulter les décisions du Conseil d'État, 06/12/2019, 429154 : https://www.legifrance.gouv.fr/ceta/id/CETATEXT000039457006
· Accès aux formulaires de demande de déréférencement (CNIL) : https://www.cnil.fr/fr/le-dereferencement-dun-contenu-dans-un-moteur-de-recherche
· Marion Polidori, « L’arrêt Google Spain de la CJUE du 13 mai 2014 et le droit à l’oubli » Dans Civitas Europa 2015/1 (N° 34), pages 243 à 266 : https://www.cairn.info/revue-civitas-europa-2015-1-page-243.htm
· Pour consulter l’article relatif au nombre de demandes dé déréférencement reçues par Google en 2014 : https://www.nextinpact.com/article/14441/89364-google-recoit-desormais-million-demandes-dereferencement-par-jour
