Droit à l'oubli : Google mis en demeure par la CNIL

Le 21 mai 2015, Isabelle Falque-Perrotin, Présidente de la Commission nationale de l'informatique et des libertés (CNIL) a pris une décision mettant en demeure la société Google de satisfaire, sous quinzaine, les demandes d'exercice du droit à l'oubli sur toutes les extensions de son moteur de recherches. Le texte de décision n'est connu qu'aujourd'hui, car le bureau de la CNIL n'a décidé de rendre publique cette décision que le 8 juin 2015, par une délibération qui intervient à l'issue de ce délai de quinze jours. Ces délais répondent sans doute à une volonté de placer cette procédure à l'abri de la pression médiatique. C'est d'ailleurs réussi car, pour le moment, on ignore tout des réponses apportées par Google à cette mise en demeure.

Droit à l'oubli ou droit au déréférencement

Au regard des moteurs de recherches, le droit à l'oubli s'analyse comme un droit au déréférencement. Toute personne peut ainsi demander que les données portant atteinte à sa vie privée ou à sa réputation ne soient plus accessibles aux utilisateurs du moteur de recherches. Ces données ne disparaissent donc pas au sens traditionnel du terme. Elles sont seulement inaccessibles.

Le droit français l'applique déjà en se fondant sur la combinaison de deux textes. D'une part, l'article 6 al. 4 de la loi du 6 janvier 1978 met à la charge des gestionnaires de fichiers une obligation d'effacer ou de rectifier, à la seule demande de l'intéressée, les données personnelles inexactes ou qui ne sont plus pertinentes. D'autre part, la loi du 21 juin 2004 pour la confiance dans l'économie numérique énonce, dans son article premier que "la communication au public par voie électronique est libre", mais qu'elle cède néanmoins devant "la liberté et la propriété d'autrui". Les juges font donc prévaloir le droit au respect de la vie privée sur la libre circulation de l'information. C'est ainsi que, dans sa décision Mosley du 6 novembre 2013, le TGI de Paris a ordonné à Google le retrait de photos compromettantes portant gravement atteinte à la vie privée du demandeur.

Le droit de l'Union européenne est, sur ce point, directement inspiré du droit français. Certes, la proposition de règlement relatif à la protection des données personnelles, qui prévoit l'exercice du droit à l'oubli, n'est pas encore en vigueur. La Cour de Justice de l'Union européenne (CJUE) a cependant déjà rendu, le 13 mai 2014, une décision Google Spain SL, Google Inc. c. Agencia Espanola de Proteccion de Datos (AEPD), Mario Costeja Gonzalez exigeant de Google le déréférencement d'articles de presse remontant à 1998 et mentionnant la vente sur saisie des biens appartenant au requérant, à l'époque lourdement endetté. En l'espèce, la CJUE fonde le droit à l'oubli sur l'article 6 d) de la directive européenne du 24 octobre 1995. Il énonce que les données personnelles doivent être "exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées." Aux yeux de la Cour, les données mettant en cause la situation financière du requérant ne sont plus pertinentes quinze ans plus tard et portent atteinte à sa vie privée et à sa réputation. 

Léo Ferré. Avec le temps. 

Les résistances de Google

Donnant l'apparence de se plier à la jurisprudence de la CJUE, Google a mis en place, en mai 2014, un formulaire permettant aux internautes de demander le déréférencement de certaines données. Certains experts évaluent ainsi à 250 000 le nombre de demandes adressées à Google par des internautes de l'UE. Les résultats de ces démarches ont été variables, sans qu'il soit possible de déceler une position claire de l'entreprise américaine. Certains obtenaient satisfaction, d'autres pas. Parmi ces derniers, il en est un certain nombre qui ont fait un recours devant la CNIL. Cette dernière a identifié vingt-et-une requêtes qui lui semblent parfaitement fondées et l'objet de la mise en demeure est précisément de contraindre Google à respecter le droit à l'oubli.

Le problème est que Google s'efforce de réduire autant que possible l'étendue de son obligation, en donnant une définition étroite de sa portée territoriale. C'est ainsi que Google n'applique le droit à l'oubli demandé par des ressortissants de l'UE qu'aux extensions européennes de son moteur de recherche. Autrement dit, les requérants ne peuvent obtenir le déréférencement que sur les sites en .fr, .de, .es, .it etc.. Il suffit donc de se connecter sur Google.com, c'est-à-dire sur le site américain, pour retrouver toutes les données non accessibles sur les pages européennes et ainsi contourner le droit de l'UE.

C'est ce que veut éviter la mise en demeure prononcée par la CNIL, qui enjoint à Google de procéder au déréférencement sur l'ensemble des données de son moteur de recherches, quelle que soit la porte par laquelle on y pénètre.

La menace de sanction

Google va-t-il se plier à la mise en demeure de la CNIL ? Peut-être, s'il prend en considération que la CNIL a été chargée de gérer le contentieux Google par le G29. Ce groupe informel, créé par l'article 29 de la directive du 24 octobre 1995 (d'où son nom) regroupe les 28 autorités indépendantes chargées de la protection des données dans les 28 pays de l'UE. En refusant d'obtempérer à la mise en demeure de la CNIL, Google entre donc dans une opposition ouverte avec l'ensemble de l'UE. 

Cette situation est-elle de nature à faire plier l'entreprise ? Observons d'emblée que la CNIL est substituée au G29, précisément parce que l'autorité indépendante française dispose d'un pouvoir de sanction dont ne dispose pas le G29. Dans sa décision de mise en demeure, la  Présidente de la CNIL prend soin de préciser que l'entreprise américaine risque une amende pouvant atteindre 1 500 000 €. La menace peut-elle réellement faire trembler Google ? On peut en douter, si on compare ce montant avec celui de l'amende de 9 milliards de dollars infligée par les juges américaines à BNP-Paribas, pour avoir réalisé des opérations financières avec des Etats sous embargo américain. Il est donc au moins un point sur lequel le droit de l'UE pourrait s'inspirer du droit américain, c'est celui du montant des sanctions.