A l’occasion du renvoi d’une série de questions par la Cour suprême espagnole, la Cour de Justice de l’Union Européenne (CJUE) a reconnu le 13 mai 2010 le droit pour les personnes privées de demander aux moteurs de recherche de retirer les liens contenant des données personnelles les concernant, si celles-ci contiennent une information « inadéquate, non pertinente ou plus pertinente ».
L’affaire concernait une plainte déposée par un ressortissant espagnol sur les résultats obtenus lorsque son nom était tapé dans le moteur de recherche de Google. Les résultats de la recherche affichaient un lien vers un article de journal, datant de 1998 donnant des informations sur des procédures judiciaires concernant le recouvrement des dettes du plaignant.
L’affaire a potentiellement des implications très importantes autant pour les entreprises qui traitent des données personnelles que pour les personnes privées voulant exercer leurs droits.
La Cour de Justice de l’Union Européenne a jugé comme suit :
- Champ d’application territorial – Google est soumis au droit de l’Union Européenne en ce qui concerne la protection des données personnelles pour son activité de moteur de recherche. Bien que le moteur de recherche Google soit exploité par Google Inc. en dehors de l’UE, sa filiale espagnole promeut et vend de l’espace publicitaire pour le service de recherche, qui génère des bénéfices pour Google Inc. Cela suffit pour que le traitement des données personnelles opéré par Google Inc. soit considéré comme ayant lieu « dans le cadre de l’établissement » de la société espagnole, et soit donc soumis au droit de l’Union Européenne sur la protection des données personnelles.
- Traitement des données personnelles – Selon la CJUE, chacune des activités de Google concernant la collecte, l’extraction, l’enregistrement, l’organisation, la conservation et la communication ou mise à disposition des données personnelles sous la forme de résultats d’une recherche doit être qualifiée de « traitement », indépendamment du fait que l’exploitant du moteur de recherche les applique de manière indifférenciée à des informations autres que personnelles.
- Responsable de traitement – dans la mesure où Google détermine les finalités et les moyens du traitement au sein de la recherche, Google est un responsable de traitement. «Exclure l’exploitant d’un moteur de recherche de cette définition au motif qu’il n’exerce pas de contrôle sur les données personnelles publiées sur les pages Web de tiers » serait contraire à la notion de responsable de traitement et à la protection des personnes concernées
- Droit à l’oubli – Un individu peut demander à ce que les informations le concernant ne soient plus incluses dans la liste des résultats affichés à la suite d’une recherche effectuée sur la base de son nom. Un responsable du traitement doit se conformer à la demande si, compte tenu de toutes les circonstances de l’espèce, les informations sont inadéquates, pas ou plus pertinentes, ou excessives au regard des finalités du traitement effectué par l’opérateur du moteur de recherche. L’opérateur doit alors effacer les informations et liens concernés. Selon la CJUE, la décision aurait pu être différente s’il existait un intérêt prépondérant du public impliquant que celui-ci ait accès à l’information, par exemple s’il s’agissait d’une personnalité publique.
IMPLICATIONS POTENTIELLES DE LA DÉCISION
La décision a déjà polarisé l’opinion. Certains la considèrent comme une étape importante menant à la reconnaissance du droit à la vie privée sur internet. D’autres soutiennent qu’il s’agit d’une attaque à la liberté d’expression et au droit à la connaissance.
La solution de cette affaire soulève assurément des questions pratiques délicates, dans la mesure où les opérateurs des moteurs de recherche devront se faire juge de ce qui constitue une information « inadéquate, pas ou plus pertinente ». Sa mise en œuvre peut également entraîner des coûts supplémentaires pour les entreprises, liés non seulement à la gestion des demandes mais également aux problèmes soulevées par les personnes physiques concernées.
Beaucoup de questions restent en suspens, telles que :
- Google, en tant que responsable des traitements, est-il tenu de se conformer à d’autres exigences de l’UE en matière de protection des données, comme, le droit des personnes concernées d’accéder à leurs données personnelles ou l’obligation de fournir une information?
- La décision est-elle limitée aux activités des moteurs de recherche ou peut-elle être appliquée plus largement?
- Est-ce que la solution concernant le champ d’application territorial du droit européen de la protection des données personnelles devra s’appliquer au traitement de données personnelles par d’autres sociétés ayant leur siège hors de l’Union européenne?
L’affaire va maintenant être jugée par les tribunaux espagnols qui appliqueront la décision de la CJUE et rendront alors leur propre jugement.
Contact : stephanie.faber@squirespb.com
