La Cour de Justice de l'UE impose à Google le respect du droit à l'oubli

La Cour de justice de l'Union européenne (CJUE) joue désormais un rôle essentiel dans la promotion du droit européen de la protection des données qui doit s'imposer aux firmes américaines les plus actives sur internet. Une nouvelle avancée dans ce sens été réalisé avec la décision du 13 mai 2014 Google Spain SL, Google Inc. c. Agencia Espanola de Proteccion de Datos (AEPD), Mario Costeja Gonzalez.

L'origine de l'affaire est lointaine. Elle se situe en 1998, lorsque le journal La Vanguardia publie dans son édition papier des annonces concernent la vente sur saisie immobilière de biens appartenant à Mario Costeja Gonzalez, à l'époque lourdement endetté. Depuis cette date, l'intéressé a assaini sa situation financière, mais hélas une version électronique du journal a été mise en ligne. Toute recherche sur Google mentionnant son nom conduit donc, et c'est toujours le cas en 2012, à la mention de son endettement et de cette malheureuse vente de 1998. 

La pertinence des données

Le requérant demande la suppression de l'indexation de ces données, en se fondant sur le principe de pertinence des informations collectées et stockées, principe qui figure dans l'article 6 d) de la directive européenne du 24 octobre 1995. Il énonce que les données personnelles doivent être "exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées." L'article 6 al. 4 de la loi française du 6 janvier 1978 est d'ailleurs à l'origine de ce principe, et mentionne que les données inexactes doivent être effacées ou rectifiées, à la seule demande de l'intéressé. Observons cependant que la desindexation n'est pas l'effacement, car elle n'a pour finalité que la suppression des liens qui renvoient vers l'information et non pas celle de l'information elle-même.

Dans l'affaire Gonzalez, l'AEPD a prononcé une injonction à l'encontre de Google, lui demandant de désindexer deux articles de La Vanguardia. L'entreprise américaine n'a évidemment pas entendu se soumettre si facilement au droit européen, d'autant qu'elle préfère imposer à ses utilisateurs un ordre juridique d'origine contractuelle, écartant l'ordre public des Etats dans lesquels elle exerce son activité. Elle a donc contesté l'interprétation par le droit espagnol de la directive de 1995, et la présente décision de la CJUE est en fait la réponse à une question préjudicielle.

A dire vrai, Google n'était pas dépourvue d'arguments, car le fondement juridique du droit à l'oubli demeure relativement instable. Les données conservées sur le requérant sont "exactes", dans la mesure où la vente sur saisie immobilière a effectivement eu lieu. Le débat se développe donc à partir de la notion de "pertinence" qui manque pour le moins de précision. Pour Google, les données sont pertinentes parce qu'elles sont exactes. Pour le requérant, elles ne sont pas pertinentes précisément parce qu'elles portent atteinte au droit à l'oubli. Dans l'état actuel du droit, le droit à l'oubli se présente donc comme un sous-produit du droit au respect de la vie privée. On attend dès lors avec impatience l'adoption définitive du règlement relatif à la protection ds personnes physiques à l'égard du traitement de données à caractère personnel. Son article 17 consacre en effet le droit à l'oubli et offre ainsi aux demandeurs un fondement juridique autonome que les grandes firmes du secteur auront des difficultés à contester.

La décision de la CJUE est donc, en quelque sorte, une décision d'attente, qui permet d'appliquer le droit à l'oubli alors qu'il n'est pas encore tout à fait détaché des droits connexes.

Léo Ferré. Avec le temps. 1972.

Fin de l'irresponsabilité des exploitants de moteurs de recherche

La décision de la CJUE lève tout doute, s'il y en avait encore, sur l'applicabilité du droit à l'oubli aux moteurs de recherche. Leurs exploitants sont donc responsables du traitement informatisé qu'ils mettent en oeuvre, au sens de la directive de 1995. Est donc écarté l'argument essentiel tiré de l'irresponsabilité des gestionnaires des moteurs de recherches. Ils estimaient que leur rôle se bornaient à indexer des données dont ils ne maîtrisaient pas le contenu et à les mettre à disposition des internautes. 

Sur ce point, la CJUE se situe dans la droite ligne du droit français. Récemment, le 6 novembre 2013,  la 17è Chambre du TGI de Paris a ainsi rendu un jugement très remarqué, en donnant satisfaction à Max Mosley dans le litige qui l'opposait à Google. Certes, il n'invoquait pas, à proprement parler, le droit à l'oubli, mais se situait sur le terrain plus large du droit à la vie privée, reprochant au moteur de recherches de laisser subsister, parmi les données accessibles, des photos le montrant dans des pratiques sado-masochistes, en compagnie de prostituées. Le juge des référés lui a donné satisfaction et exigé le retrait des images litigieuses.

Pour assurer l'effectivité d'une décision adressée à une firme de droit américain, la CJUE, comme l'avaient fait les juges français avant elle, met en oeuvre une conception large de la notion d'établissement. Autrement dit, elle fait peser la contrainte juridique de désindexation sur la filiale espagnole de Google. Certes, cette dernière a essentiellement pour mission de vendre de l'espace publicitaire, mais le juge européen fait observer que son activité a pour unique objet de rentabiliser le service offert par la société-mère et qu'elle est donc "indissociablement liée" à celle-ci. A ce titre, elle est soumise aux mêmes contraintes juridiques.

Un droit non absolu

Imposant le droit à l'oubli, la décision de la CJUE en pose aussi les limites. Car le droit à l'oubli est au coeur d'un double conflit de normes. Il s'agit d'abord de trouver un équilibre entre le droit à la protection des données personnelles et l'intérêt économique du moteur de recherches. En l'espèce, la décision ne suscite guère de difficultés car les demandes de désindexation ne portent pas une réelle atteinte aux ressources de Google, d'origine essentiellement publicitaires. Il s'agit ensuite, et la difficulté est plus grande, de trouver un second équilibre entre le droit à l'oubli et l'intérêt pour le public à connaître telle ou telle information. 

D'une manière générale, la Cour considère que les droits rattachés à la vie privée des personnes doivent être interprétés à la lumière des droits fondamentaux désormais inscrits dans la Charte.(décision Connolly c. Commission du 6 mars 2001).  Il en est de même du droit à l'oubli qui doit également être interprété à la lumière des droits fondamentaux. 

Le droit interne des Etats doit donc prévoir un mécanisme de pondération effectué par l'autorité de régulation ou par le juge. Il s'agit alors d'apprécier la situation concrète de la personne qui demande la suppression des données et la Cour invite à fonder cette appréciation sur "la nature de l'information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l'intérêt du public à disposer de cette information, lequel peut varier, notamment en fonction du rôle joué par cette personne dans la vie publique". 

La formulation renvoie à une distinction bien connue du droit français de la vie privée. Pour la personne anonyme et qui entend le rester, l'effacement des données personnelles au nom du droit à l'oubli doit être parfaitement garanti. Pour la personne qui participe à la vie publique, l'information, même ancienne, peut être un élément éclairant sa conduite récente et constitue un élément d'un "débat d'intérêt général", au sens où l'entend la Cour européenne des droits de l'homme. Par exemple, on imagine qu'il ne serait pas inutile de savoir qu'une personne impliquée dans une affaire de corruption a déjà été poursuivie et condamnée sur un fondement identique quelques années auparavant. Cette première condamnation n'apparait plus comme une donnée relative à la vie privée, mais comme un élément à verser à un débat très actuel.

De manière très concrète, les internautes vont donc pouvoir demander la suppression des données les concernant et leur demande donnera lieu à une évaluation, sous le contrôle des autorités telles que la CNIL et des juges. Nul doute que les requêtes seront nombreuses et le Telegraph fait état de plus d'un millier de demandes déjà déposées par les seuls internautes britanniques.

Reste que Google montre une certaine mauvaise humeur en affirmant qu'il lui faudra plusieurs semaines pour mettre en place un système informatisé de dépôt de requêtes qui ne devrait pourtant pas être très complexe. Elle est rejointe dans sa critique par les partisans d'un internet entièrement libre, généralement proches de la doctrine libérale américaine. Ils voient dans la décision de la Cour de justice une "menace pour la liberté d'informer", voire une "atteinte à la démocratie". Les formules sont fortes, si fortes que l'on peut se demander si ces propos ne relèvent pas davantage d'une action de lobbying que de l'analyse juridique.