Un an après la décision Google Spain de la CJUE du 13 mai 2014 : état des lieux

Le 13 mai dernier, la Cour de Justice de l’Union européenne a rendu un important arrêt dans une affaire “Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario Costeja González” (C-131/12). Cet arrêt dit « Google Spain » présente un caractère inédit en venant consacrer pour certains un véritable « droit à l’oubli ». Quid de cette affaire un an après ? Quels enseignements ont été tirés de cet arrêt liée à l’identité numérique ? Retour sur l’année écoulée afin de dresser un état des lieux…

L’affaire Costeja : Point de départ

Google Spain

Un citoyen de nationalité espagnole, M. Costeja, avait adressé une plainte en 2010 à l’autorité de protection des données espagnole à l’encontre d’un éditeur de presse en ligne, « La Vanguardia » et des sociétés Google Spain and Google Inc. Lorsqu’on renseignait son nom dans le moteur de recherche Google, les résultats renvoyaient sur ce quotidien en ligne qui faisait état d’une vente aux enchères immobilières liée à une saisie pratiquée en recouvrement de ses dettes de sécurité sociale.

La protection des données personnelles

Considérant que les informations disponibles sur Internet liées à son nom n’étaient plus pertinentes, la procédure le concernant ayant été clôturée depuis plusieurs années, M. Costeja estimait que cet article portait atteinte à son droit à la protection des données personnelles.

Il demanda par conséquent à Google Spain puis à Google Inc que les données personnelles le concernant n’apparaissent plus dans les résultats de recherche. Essuyant un refus, le plaignant s’est alors adressé à l’agence espagnole de protection des données (AEPD) pour obtenir gain de cause afin que le journal soit enjoint d’effacer ou modifier les pages en questions.

L’agence espagnole a accueilli favorablement la réclamation dirigée contre Google Spain et Google Inc, en considérant que les exploitants de moteurs de recherche sont soumis à la législation espagnole en matière de protection des données. Par conséquent, ils sont tenus de répondre favorablement aux demandes d’effacement et d’opposition émanant de personnes physiques quant aux données les concernant, dès lors que celles-ci sont légitimes. Les sociétés Google Inc. et Spain ont interjeté appel de cette décision devant la juridiction espagnole. Saisie du litige, la juridiction espagnole a saisi la CJUE d’une série de questions préjudicielles.

Une avancée irréversible entamée par la Cour de Justice de l’Union

Saisie de ce renvoi préjudiciel, la Cour a considérablement renforcé les droits des personnes vis-à-vis des moteurs de recherche.

1. Premier enseignement tiré de la CJUE : les activités de moteurs de recherche sont qualifiées de « traitement de données à caractère personnel » au sens de la directive 95/46/CE. Il en découle que l’exploitant de ce moteur de recherche doit ainsi être considéré comme le «responsable» du traitement.
2. Deuxième apport majeur de l’arrêt : les dispositions de la directive s’appliquant aux moteurs de recherche, la Cour en déduit logiquement qu’ils sont tenus de respecter les droits d’accès et d’opposition prévus par la directive. Ainsi, toute personne physique a la possibilité de demander que ses données ne soient plus accessibles via un moteur de recherche par le biais de la suppression d’un ou plusieurs résultats de la liste de résultats associés à leurs données personnelles.

Ce droit peut être exercé de manière autonome, c’est-à-dire même si les informations ne sont pas au préalable supprimées par le propriétaire du site, alors même que leur publication en elle-même sur lesdites pages est licite.

Conformité de Google à l’arrêt CJUE : formulaire de déréférencement

Suite à cette condamnation, Google a mis en ligne un formulaire de déréférencement fin mai pour se conformer à la décision de la Cour, ce formulaire de droit à l’oubli permet aux internautes européens de demander la suppression de certains résultats liés à des informations personnelles les concernant. Dès le lendemain, 12 000 demandes étaient déjà adressées à Google.

Toute information personnelle n’étant toutefois pas légitimement susceptible d’une désindexation, le droit à l’oubli se heurte à la liberté d’expression et le droit à l’information. Comment effectuer la balance entre ces différents droits ? Le risque étant de donner à Google le rôle de juge et partie dans le traitement des demandes de déréférencement. Afin d’éviter les dérives, le G29 est venu apporter quelques précisions.

Une mise en œuvre à l’échelle européenne : les lignes directrices du G29

En novembre 2014, le G29 a élaboré des lignes directrices concernant la mise en œuvre du droit au déréférencement, destinées à harmoniser le règlement des litiges opposant les moteurs de recherche aux personnes ayant demandé le déréférencement de données les concernant sur ces moteurs entre les 28 autorités de protection des données de l’Union européenne.

Le G29 a ainsi élaboré une interprétation commune de l’arrêt ainsi que des critères communs pour l’instruction des plaintes. Afin de concilier le droit au déréférencement et le droit à l’information ainsi que la liberté d’expression, le droit au déréférencement s’entoure de garde-fous afin de préserver un équilibre entre les droits et libertés mis en balance : le droit au déréférencement n’est pas un droit absolu mais doit être concilié.

Premièrement, la demande s’apprécie au cas par cas, in concreto et n’est pas automatique. De plus, le déréférencement ne conduit pas, ipso facto, à la suppression du contenu concerné. Le contenu ayant fait l’objet d’un déréférencement reste ainsi disponible sur le site source et peut être retrouvé à l’aide des requêtes effectuées sur la base d’autres mots clés.

En pratique, seules les personnes ayant un lien clair et certain avec l’Union européenne, citoyennes ou résidentes d’un pays membre de l’Union ont vocation à faire usage de ce droit. Nonobstant, le contenu étant accessible depuis n’importe quel pays, ce droit doit avoir une portée mondiale : le déréférencement doit être effectif sur toutes les extensions d’un nom de domaine, européennes, ou non.

Les 13 critères dégagés par la CNIL

Afin d’éviter que Google ne fixe lui-même ses propres conditions d’application du droit à l’oubli et de lui offrir une totale autonomie et souveraineté en la matière, la CNIL a dégagé 13 critères à prendre en compte dans l’acceptation ou le refus d’une demande de droit à l’oubli :

1. Les résultats de recherche sont-ils relatifs à une personne physique ?  Le résultat apparaît-il à la suite d’une recherche effectuée à partir du  nom de la personne concernée ?
2. S’agit-il d’une personne publique ? Le plaignant joue-t-il un rôle dans la vie publique ?
3.  Le plaignant est-il mineur ?
4. Les données sont-elles exactes ?
5. Les données sont-elles pertinentes et/ou excessives ?
   Les données sont-elles relatives à la vie professionnelle du plaignant ? L’information est-elle potentiellement constitutive de diffamation, d’injure, de calomnie ou  d’infractions similaires à l’encontre du plaignant ? L’information reflète-t-elle une opinion personnelle ou s’agit-il d’un fait vérifié ?
6. L’information est-elle sensible au sens de l’article 8 de la  Directive 95/46/CE ?
7. L’information est-elle à jour ? L’information a-t-elle été rendue disponible plus longtemps que nécessaire pour le traitement ?
8. Le traitement de l’information cause-t-il un préjudice au plaignant ? Les données ont-elles un impact négatif disproportionné sur la vie privée du plaignant ?
9. Les informations issues du moteur de recherche créent-elles un risque pour le plaignant ?
10. Dans quel contexte l’information a-t-elle été publiée ? Le contenu a-t-il volontairement été rendu public par le plaignant ? Le contenu devait-il être public ? Le plaignant pouvait-il raisonnablement savoir que le  contenu serait rendu public ?
11. Le contenu a-t-il été rendu public à des fins journalistiques ?
12. La publication de l’information répond-elle à une obligation légale ? L’auteur de la publication avait-il l’obligation de rendre cette donnée personnelle publique ?
13. L’information est-elle relative à une infraction pénale ?

Combinées entres elles, ces questions permettront de déterminer si l’information figurant dans le moteur de recherche doit ou non être déréférencée. A noter qu’aucun critère n’est déterminant à lui seul, il convient de combiner les critères les uns avec les autres et d’étudier la demande à la lumière de « l’intérêt du public à accéder à l’information ».

L’adoption du projet de règlement européen relatif à la protection des données personnelles

Le projet de règlement européen sur la protection des données personnelles en cours de négociation  vise à renforcer la maîtrise des citoyens à contrôler l’usage des données les concernant afin de favoriser le développement de la confiance de l’internaute en Europe.

Le projet de texte prévoit un « droit à l’oubli » qui permettrait d’obtenir la suppression des données de l’utilisateur si ce dernier ne souhaite plus qu’elles soient traitées, à condition qu’il n’y ait pas de motif légitime pour qu’une entreprise les conserve. Transposé aux moteurs de recherche, ce droit à l’oubli s’entend comme un « droit au déréférencement ». Le projet prévoit également pour les personnes un accès libre aux données personnelles les concernant.

Par ailleurs, le projet met à la charge des responsables de traitements des obligations plus nombreuses. Par exemple, les responsables devront mettre en place des études d’impact préalablement à la mise en œuvre de certains traitements, établir des procédures de nature à attester du respect des droits des personnes.

Une des priorités de la Commission européenne pour l’année 2015 est d’adopter au plus vite le projet de règlement européen sur les données personnelles. Cette étape est indispensable pour créer un espace européen des données personnelles, tant attendu.

Une jurisprudence tâtonnante

L’arrêt de la CJUE du 13 mai 2014 a ouvert le pas au renforcement en matière de protection des données.  De nombreuses initiatives en ont découlé ainsi qu’une prise de conscience massive des internautes ; les citoyens ont compris qu’il était nécessaire de protéger leurs données personnelles et leur e-réputation contre d’éventuelles attaques numériques. Preuve en est, selon le communiqué de la CNIL du 16 avril 2015, l’autorité administrative indépendante a enregistré en 2014 environ 5825 plaintes, ce qui correspond à une hausse de 3% des demandes. Malgré ce constat, les tribunaux affichent parfois certaines réticences et ne vont pas tous dans le sens d’un renforcement de la protection des données personnelles.

Le droit au déréférencement

Si parfois les tribunaux vont dans le sens de la CJUE en proclamant le droit au déréférencement, avec par exemple une ordonnance de référé du Tribunal de grande instance de Paris du 19 décembre 2014 qui a ordonné à Google Inc. le déréférencement d’un lien renvoyant à un article en date de 2006 qui faisait état de la condamnation pénale prononcée à l’encontre de la demanderesse. Se fondant notamment sur la nature des données à caractère personnel et le temps écoulé depuis cette condamnation le Tribunal a jugé que cette dernière justifiait de “raisons prépondérantes et légitimes prévalant sur le droit à l’information” : ce référencement nuisait à sa recherche d’emploi.

L’ordonnance de référé du 16 septembre 2014 M. et Mme X et M.Y c/ Google France confirme la tendance en condamnant Google France à déréférencer des liens internet renvoyant à des contenus diffamatoires sur le site Facebook. En l’espèce, des victimes de diffamation sur Facebook avaient bénéficié d’un précédent jugement de condamnation à l’encontre de l’auteur des propos litigieux. Cependant, en entrant leurs patronymes comme mots clés dans le moteur de recherche, Google renvoyait toujours vers les liens de Facebook contenant des propos jugés diffamatoires.

D’autres arrêts vont cependant à l’encontre de la décision de la CJUE. Pour exemple, dans un arrêt en date du 23 mars 2015, le Tribunal de Grande Instance de Paris a refusé l’anonymisation d’un article au motif que cette opération rendrait incompréhensible l’article et le droit de réponse y afférant.

Cette affaire est cependant entachée par l’effet Streisand : dans un article mis en ligne sur son site en avril 2011, le quotidien 20 Minutes, relatait le placement en garde à vue d’un sportif célèbre, mis en cause pour des faits de viol. Suite à un arrêt de non-lieu 3 ans plus tard, et l’article apparaissant toujours dans les moteurs de recherche sans faire état du non-lieu, le sportif s’est alors adressé à la société éditrice et demandait un « droit de réponse » mentionnant le fait qu’il avait été innocenté.

20 Minutes refusa de publier l’intégralité de ce texte mais publia un court article faisant état du non-lieu. Cependant, à la différence du texte proposé par le sportif, l’article précisait la qualification criminelle de viol. Sa demande de « droit de réponse » est donc loin d’avoir obtenu l’effet escompté, rappelant ainsi la qualification litigieuse mettant en cause le sportif. Ainsi, pour le tribunal : « Si l’article en cause ne comportait pas le nom de l’intéressé, il ne pourrait répondre à l’objectif d’information qui le justifie et l’actualisation de l’information initiale donnée en 2011 ne serait pas efficacement réalisée ».

Notons également qu’il s’agit pour toutes ces décisions d’ordonnances de référé. Un jugement en appel de la décision au fond ne conduira peut être pas à la même solution.

La jurisprudence en matière de droit au déréférencement est donc une jurisprudence hétérogène et tâtonnante du au caractère récent et innovant de l’arrêt de la CJUE en date du 13 mai 2014. Il faudra patienter encore quelques temps afin d’avoir une jurisprudence plus claire en la matière et des critères d’appréciation définis plus précisément de la part des tribunaux.

En définitive, malgré une jurisprudence en dent de scie, la tendance en matière de protection des données personnelles est encourageante et les initiatives en ce sens se multiplient. Le droit à l’oubli ou droit au déréférencement étant un droit émergent, un droit en construction, il mérite d’être manié avec précaution en attendant que ses contours deviennent plus clairs.