Par deux arrêts du même jour, la Cour de justice de L’UE s’est prononcée sur la portée géographique du droit à l’oubli, ou plus spécifiquement du droit au déréférencement sur les moteurs de recherches, dont bénéficient les personnes, à l’époque des faits en question en vertu de la Directive 95/46, et aujourd’hui du RGPD, et sur le traitement des données bénéficiant d’une protection renforcée (données sensibles ou sur les infraction et condamnations pénales).
Le droit au déréférencement, permet à toute personne de demander à un moteur de recherche de supprimer certains résultats associés à ses noms et prénoms qui apparaissent à partir d’une requête faite sur son identité, lorsque les conditions de ce droit sont réunies. Cette suppression ne signifie en revanche pas l’effacement de l’information sur le site internet source.
Portée géographique du droit au déréférencement
CJUE 24 Septembre 2019, affaire Google v CNIL, n° C 507/17
Suite au premier arrêt de la CJUE sur le déréférencement du 13 mai 2014 dans l’affaire Google Spain n° C131/12, le groupe des autorités européenne, G29 (qui depuis a été remplacé par le Comité Européen à la Protection des Données), avait estimé dans un avis WP 255 que pour permettre une protection effective des droits des personnes, le déréférencement ne devrait pas être limité aux domaines de l’Union européenne mais « également être appliqué à tous les domaines concernés, y compris les domaines « .com » ».
Lorsqu’elle a été saisie de plusieurs demande de déréférencement, la CNIL a donc enjoint en 2016 à Google de procéder à un déréférencement mondial, ce que Google a refusé.
La CJUE dans son arrêt du 24 Septembre 2019 prend une position différente.
Elle limite, en principe, l’effet du déréférencement aux seuls résultats apparaissant à la suite de recherches effectuées depuis le territoire européen. Les résultats de recherche resteront donc accessibles en cas de recherche effectuée en dehors de l’Union européenne.
Pour autant, le déréférencement doit être effectif à l’échelle européenne, et non sur la seule version du pays de résidence du demandeur.
Cependant, la Cour précise par ailleurs, que si le droit de l’Union n’impose pas le déréférencement mondial, il ne l’interdit pas non plus. Ainsi, une autorité de contrôle est compétente pour obliger un moteur de recherche à déréférencer les résultats sur toutes les versions de son moteur, si le cas le justifie pour garantir les droits de la personne concernée.
Donc, un arrêt mi-figue mi-raisin.
Enfin, la Cour exige que les moteurs de recherche prennent des mesures efficaces pour empêcher, ou au moins sérieusement décourager, qu’un internaute européen puisse avoir accès aux liens déréférencés.
Déréférencement de données sensibles ou données d’infractions
CJUE 24 Septembre 2019, affaire GC, AF, BH et ED v CNIL, n° C-136/17
La CJUE a apporté un certain nombre de précisions sur le référencement et le déréférencement de liens vers des données sensibles ou données d’infraction ou de condamnation pénale.
Contexte
GC, AF, BH et ED ont chacun demandé à Google de déréférencer, dans la liste de résultats affichée par le moteur de recherche en réponse à une recherche effectuée à partir de leur nom respectif, divers liens menant vers des pages web publiées par des tiers.
Il s’agissait en l’espèce de référencements différents d’articles portant respectivement sur :
- une relation intime entre le maire d’une commune et sa directrice de cabinet (information sur la vie sexuelle) ;
- une affiliation passée à l’Église de scientologie (information sur les convictions religieuse) ;
- le début d’une procédure pénale (qui a ensuite été clôturé avec la libération de l’individu) et
- les procédures condamnant un individu pour agression sexuelle sur des mineurs.
Il s’agit pour partie d’informations tombant dans les « catégories particulières de données » communément désignées par « données sensibles » et pour partie de données sur les procédure et condamnation pénales dont l’utilisation est encadrée.
Le moteur de recherche est un responsable de traitement
Même si la façon dont le moteur de recherche utilise les données est différente de celle des sites web qu’il référence dans ses recherches, il est cependant responsable de son activité.
Même si l’information contenant les données sensibles ou de condamnation pénale ne figure que sur les sites référencés, l’affichage du lien vers ces sites, suite à une recherche sur le nom d’une personne, est susceptible d’affecter significativement les droits fondamentaux de cette personne à la protection de ses données et de sa vie privée.
Sur cette base, la cour en conclu notamment que l’exploitant d’un moteur de recherche n’est pas exonéré du respect des articles de la règlementation interdisant, sauf dérogation, le traitement des données dites sensibles ou des données relatives aux infractions ou aux condamnations pénales.
Toutefois, la spécificité de son activité est susceptible d’influer sur l’étendue de la responsabilité de l’exploitant et de ses obligations concrètes au regard de ces dispositions.
Données dites sensibles
Le moteur de recherche est en principe obligé, sous réserve des exceptions prévues par la réglementation, de faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données personnelles sensibles.
Le déréférencement n’est pas systématique, si le traitement des données sensibles a une base juridique prévue par la règlementation. Les bases juridiques envisagées par la cour sont (i) que le traitement porte notamment sur des données manifestement rendues publiques par la personne ou (ii) qu’il est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi (par exemple parce qu’il est nécessaire à l’exercice du droit à la liberté d’information).
Même si le traitement a une base juridique valide, la personne concernée peut avoir le droit de s’opposer audit traitement pour des raisons prépondérantes et légitimes tenant à sa situation particulière.
Dans ce cas, on en revient à la même jurisprudence que dans l’arrêt Google Spain, à savoir que lorsqu’il est saisi d’une demande de déréférencement, le moteur de recherche doit vérifier, au cas par cas, quelle liberté fondamentale prédomine : la protection des données personnelles/de la vie privée ou la liberté d’information.
Cette évaluation doit être faire « sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée » en vérifiant « si l’inclusion de ces liens dans la liste de résultats affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes. »
Données relatives aux infractions ou aux condamnations pénales
Les informations relatives à une procédure judiciaire dont une personne physique a été l’objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé, constituent des données relatives aux « infractions » et aux « condamnations pénales ». Ceci vaut, même si l’infraction pour laquelle la personne était poursuivie n’est pas établie.
Un tel traitement peut, en vertu de ces dispositions et sous réserve du respect des autres conditions de licéité posées par la réglementation, être licite notamment si des garanties appropriées et spécifiques sont prévues par le droit national, ce qui peut être le cas lorsque les informations en question ont été divulguées au public par les autorités publiques, dans le respect du droit national applicable.
Le moteur de recherche, lorsqu’il est saisi d’une demande de déréférencement doit vérifier au cas par cas, quelle liberté fondamentale prédomine : la protection des données personnelles/de la vie privée ou la liberté d’information.
La cour, faisant référence à la jurisprudence de la Cour européenne des droits de l’Homme, indique que « dans la recherche de ce juste équilibre, il doit être tenu compte du rôle essentiel que la presse joue dans une société démocratique et qui inclut la rédaction de comptes rendus et de commentaires sur les procédures judiciaires. En outre, à la fonction des médias consistant à communiquer de telles informations et idées s’ajoute le droit, pour le public, d’en recevoir. »
La question peut se poser tout particulièrement lorsque les pages web référencées par le moteur de recherche contiennent des informations se rapportant « à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle ».
L’évaluation doit se faire « eu égard à l’ensemble des circonstances de l’espèce, telles que notamment la nature et la gravité de l’infraction en question, le déroulement et l’issue de ladite procédure, le temps écoulé, le rôle joué par cette personne dans la vie publique et son comportement dans le passé, l’intérêt du public au moment de la demande, le contenu et la forme de la publication ainsi que les répercussions de celle-ci pour ladite personne. »
Quand bien même le moteur de recherche considère que le déréférencement n’est pas applicable, il est néanmoins tenu, au plus tard à l’occasion de la demande de déréférencement, d’aménager la liste de résultats de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle, ce qui nécessite notamment que des liens vers des pages web comportant des informations à ce sujet apparaissent en premier lieu sur cette liste.
Cet article fait partie d’un panorama des décisions récentes de la Cour de Justice de l’Union Européenne, en matière de marketing et de cookies ainsi qu’en matière de droit au déréférencement, fondé sur la protection des données personnelles ou sur la réglementation sur le commerce électronique.