Décision inédite de la Cour de Justice : consécration du droit à l’effacement

CJUE, 13 mai 2014, Google Inc. c/ Agencia Española de Protección de Datos, Mario Costeja González

La Cour de Justice de l’Union Européenne a, le 13 mai 2014, rendu un arrêt inédit en matière de données à caractère personnel, précisant les obligations incombant aux moteurs de recherche en cas de revendication, par des particuliers, de leur droit à l’effacement.

En l’espèce, un internaute espagnol avait introduit en 2010, auprès de l’AEPD – l’homologue espagnol de la CNIL, une réclamation à l’encontre d’un quotidien de grande diffusion ainsi qu’à l’encontre des sociétés GOOGLE Spain et GOOGLE Inc. Cette dernière se fondait sur le fait que, lorsque son nom était introduit dans le moteur de recherche, deux publications – légales – du quotidien, datant de 1998, mettant en évidence les difficultés financières auxquelles il avait eu à faire à l’époque, étaient référencées.

Par cette réclamation, l’internaute demandait que des mesures soient prises afin que ses données personnelles soient supprimées du quotidien et qu’elles cessent d’apparaître dans les résultats de recherche de Google.

A l’appui de son action, il affirmait que la mention de ses difficultés financières passées, réglées depuis, était désormais dépourvue de toute pertinence.

Si l’AEPD a rejeté ladite réclamation dirigée contre le quotidien, elle l’a en revanche accueillie en ce qu’elle vise les sociétés GOOGLE Spain et GOOGLE Inc.

Non satisfaits de cette décision, GOOGLE Spain et GOOGLE Inc. ont introduit deux recours séparés, joints par la suite, devant l’Audencia National, qui a décidé de surseoir à statuer et de poser plusieurs questions préjudicielles à la Cour de justice, estimant que lesdits recours mettaient en jeu l’interprétation de la directive 95/46, relative à la protection des données à caractère personnel.

Le service GOOGLE Search étant exploité par la société GOOGLE Inc., société mère établie outre Atlantique, il convenait, dans un premier temps, de déterminer si la directive avait vocation à s’appliquer au cas d’espèce et si les juridictions espagnoles étaient par conséquent compétentes pour connaître d’un tel litige.

La Cour de justice a répondu positivement à cette question, estimant que le fait que les clés du moteur de recherche soient détenues par la société GOOGLE Inc. – et non par la société GOOGLE Spain – est sans conséquence dans la mesure où ces opérations se déroulent « dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre ».

Il s’agissait, dans un deuxième temps, de déterminer si GOOGLE pouvait être qualifié de responsable de traitement de données à caractère personnel.

A cet égard, la Cour de justice relève que le moteur de recherche « collecte » des données qu’il « extrait », « enregistre », « organise » dans son index, « conserve » sur des serveurs et « communique » ou « met à disposition » des internautes, ce qui, au regard de la directive, constitue un traitement de données à caractère personnel.

La Cour reconnaît par ailleurs à la société GOOGLE Inc. la qualité de responsable du traitement dans la mesure où elle « détermine les finalités et les moyens du traitement de données à caractère personnel ». Par conséquent, il incombe à celle-ci de respecter toutes les obligations imposées par la directive 95/46.

Dès lors, se posait la question de l’applicabilité du droit à l’effacement. En effet, il incombait aux juges d’apprécier si l’exploitant d’un moteur de recherche est tenu de supprimer de la liste de résultats, affichée à la suite d’une requête comprenant le patronyme d’un individu, des liens renvoyant vers des pages web publiées par des tiers et contenant des informations relatives à cet individu, dès lors que ces informations sont susceptibles de lui porter préjudice.

Les juges ont répondu positivement à cette question en se fondant sur l’article 6 de la directive, qui dispose que, sous réserve de traitement à des fins historiques, statistiques ou scientifiques, le responsable du traitement est tenu de s’assurer que celui-ci répond à un certain niveau de qualité. En d’autres termes, le droit à l’effacement pour motif légitime n’est justifié que si les données traitées revêtent un caractère obsolète, inexact, inadéquat, non pertinent ou excessif au regard des finalités du traitement, lorsqu’elles ne sont pas mises à jour ou conservées pendant une durée excessive.

Quant à la portée du droit à l’effacement, les juges ont précisé, dans un dernier temps, que si les droits fondamentaux des individus prévalent en principe sur l’intérêt économique de l’exploitant du moteur de recherche ainsi que sur l’intérêt du public à accéder à l’information, l’ingérence dans ces droits est appréciée de manière casuistique et peut être justifiée par l’intérêt prépondérant dudit public à avoir accès à l’information en question.

Enfin, la Cour a décidé de renvoyer l’affaire devant les juridictions espagnoles, considérant qu’il leur incombera de trancher, soit, en l’espèce, de constater si, dans les faits, il existe des raisons particulières justifiant la prédominance de l’accès à l’information sur les droits fondamentaux de l’internaute. Dans le cas contraire, ce dernier pourra se prévaloir de son droit à l’effacement.

L’on relèvera que, suite à cette décision, GOOGLE a mis en place un formulaire de suppression des données personnelles à destination des internautes de l’Union Européenne.

Ces derniers peuvent désormais saisir le moteur de recherche aux fins d’obtenir le déréférencement des pages web portant atteinte à leur vie privée.

Pour ce faire, il convient de fournir une pièce d’identité, l’URL des liens que l’on souhaite voir supprimés, ainsi que les raisons pour lesquelles ceux-ci revêtiraient un caractère non pertinent, obsolète ou inapproprié. Il incombera alors au moteur de recherche d’examiner le bien fondé de la requête.

En cas d’absence de réponse ou de réponse insatisfaisante, les internautes français pourront saisir la CNIL ou la justice.

Au cours du mois de juin 2014, Google a indiqué avoir déjà reçu plus de 40.000 demandes de suppression, nécessitant la mise en place d’équipes spécialisées devant apprécier au cas par cas la légitimité des demandes. Il faut néanmoins rappeler que ces demandes représentent un volume minime, comparé aux millions de demandes de suppression émanant des titulaires de droit de propriété intellectuelle. Or, Google parvient à traiter ces demandes.

La vraie difficulté à laquelle vont se heurter les moteurs de recherche réside dans l’appréciation des critères permettant d’établir la légitimité de la demande de suppression fondé sur le droit à l’effacement (caractère non pertinent des données, obsolète, inadéquat..). Une même demande pourrait ainsi donner lieu à des appréciations différentes par Google et Bing. De ce point de vue, les demandes de suppression d’URL fondées sur les droits de propriété intellectuelle présentent beaucoup moins d’aléas pour les moteurs car les droits exercés par les titulaires sont rarement contestables et s’appuient sur des dispositions légales claires, qui n’existent pas encore en matière de droit à l’effacement.

Les autorités de protection européennes ne sous-estiment pas la difficulté de l’exercice imposé par la CJUE aux moteurs de recherche. Elles ont annoncé travailler à la mise en place d’un guide de bonnes pratiques qui pourrait être publié en septembre 2014 et dont l’objet serait de recommander des procédures de traitement permettant d’harmoniser les pratiques des différents moteurs de recherche.

Marie DELOUCHE

Téléchargez cet article au format .pdf