Google et le droit à l'oubli : une jurisprudence en construction

Le juge des référés du TGI de Paris a rendu, le 9 décembre 2014,  une décision enjoignant à Google de respecter le droit à l'oubli. Lorsque le nom de Mme M. était inscrit dans le moteur de recherche, apparaissait immédiatement un lien avec un article du Parisien mentionnant qu'elle avait été condamnée pour escroquerie en 2006. 

Elle demandait à Google de supprimer ce lien, s'appuyant sur le fait que sa condamnation remontait à huit ans et ne figurait plus à son casier judiciaire à la date de la demande. La présence de l'article sur Google lui causait un grave préjudice d'autant plus grave qu'elle était en recherche d'emploi. De son côté, le journal invoquait "l'intérêt du public", notion dépourvue de tout contenu juridique, pour refuser à Mme M. le bénéfice du droit à l'oubli.

Droit à l'oubli ou droit au déréférencement

En réalité, ce nous appelons le droit à l'oubli se traduit, dans le cas présent, par un droit au référencement. En tout état de cause, il n'est pas question que l'article disparaisse des archives du Parisien ni même de la mémoire de Google. Il s'agit seulement de le rendre invisible aux internautes qui utilisent le moteur de recherche.

Le juge donne satisfaction à Mme M. et enjoint à Google de "supprimer ou déréférencer le lien" menant à l'article du Parisien à partir du nom de la requérante. La décision n'a rien de surprenant car elle s'appuie sur la récente de la Cour de justice de l'union européenne (CJUE) du 13 mai 2014 Google Spain SL, Google Inc. c. Agencia espanola de proteccion de datos (AEPD), Mario Costeja Gonzalez. Les faits étaient très proches, et le requérant espagnol se plaignait que le journal La Vanguardia conserve les traces de la vente sur saisie de ses biens immobiliers, vente intervenue en 1998 à une époque où il était lourdement endetté. Il avait depuis assaini sa situation financière, mais les utilisateurs de Google avaient toujours accès à une information qui, aujourd'hui, portait préjudice à sa e-réputation.

Exactitude et pertinence

L'article 6 c) de la directive européenne du 24 octobre 1995. énonce que les données personnelles doivent être " adéquates, pertinentes et non excessives au regard des finalités du fichier (...)". L'article 6 d) précise ensuite qu'elles doivent aussi être "exactes et, si nécessaire, mises à jour (...)." L'article 6 al. 4 de la loi française du 6 janvier 1978 est d'ailleurs à l'origine de ce principe, et mentionne que les données inexactes doivent être effacées ou rectifiées, à la seule demande de l'intéressé. 

L'exactitude matérielle des données n'est pas contestée : la requérante a effectivement été condamnée pour escroquerie en 2006. En revanche, le litige porte sur l'interprétation de la notion de pertinence. Pour Google, une information est pertinente lorsqu'elle est exacte, interprétation quelque peu simpliste, car on ne voit pas pourquoi la directive utiliserait deux termes différents pour désigner la même chose. Pour la directive, et pour le droit français, une information est pertinente lorsque sa conservation n'est pas "excessive". Autrement dit, le juge exerce un contrôle de proportionnalité entre les nécessités du droit à l'information et celles de la vie privée, dont fait partie le droit à l'oubli. 

Retrouver la mémoire. Sylvie Peyneau.

Les critères du droit à l'oubli

Tout devient alors une question d'espèce et le juge utilise trois critères cumulatifs pour se livrer à cette appréciation du caractère "pertinent" ou non des informations référencées par le moteur de recherche. Le premier est la nature des données conservées. Dans le cas de Mme M. il s'agit de données personnelles qui figurent encore sur le moteur de recherche alors qu'elles ont été effacées du casier judiciaire de l'intéressée. Le juge mentionne que le droit français fixe les conditions dans lesquelles les tiers peuvent avoir connaissance du passé judiciaire d'une personne. C'est précisément l'objet des articles 768 et suivant du Code de procédure pénale (cpp). L'oubli de la condamnation est donc imposé par la loi, et Google ne peut pas prétendre s'en exonérer. Le second critère réside dans les motifs de la demande, et le juge note que la diffusion du passé judiciaire de Mme M. sur internet "nuit à sa recherche d'emploi". Enfin, le dernière critère tient dans le temps écoulé entre les faits et la demande de la demande de déréférencement, en l'espèce huit années durant lesquelles Mme M. s'est efforcée de reconstruire sa vie et sa réputation Ces trois critères permettent donc de considérer comme non pertinentes les informations diffusées par Google.

Les recours contre Google, mais quel Google ?

La décision rendue le 9 décembre 2014 par le TGI définit clairement les critères permettant la mise en oeuvre du droit à l'oubli. Sur ce point, elle précise le jugement antérieur de ce même TGI, jugement rendu le 16 septembre 2014 dans une affaire comparable, le lien proposé par la Google renvoyant à des documents diffamatoires à l'égard des requérants. L'entreprise américaine devra certainement, dans l'avenir, se référer à ces critères lorsqu'elle acceptera ou refusera les demandes de déréférencement. Depuis l'arrêt de la CJUE de mai 2014, Google reçoit environ mille demandes quotidiennes de déréférencement provenant de Français, chiffre important qui dépasse très largement les prévisions initiales. Environ 50 % d'entre elles sont satisfaites par Google, et les refus ne s'accompagnent pas toujours d'une motivation très claire. Le résultat est un afflux de plaintes devant la CNIL, afflux qu'il serait peut-être possible d'éviter si les critères permettant l'exercice de ce nouveau droit étaient appliqués par Google. La décision du 9 décembre 2014 contribue certainement à clarifier ce point, clarification nécessaire si l'on considère que le projet de règlement de l'Union européenne sur la protection des personnes physiques à l'égard du traitement des données à caractère personnel n'est pas encore en vigueur.

Elle rend, en revanche, plus difficiles les recours contentieux. La décision de septembre 2014 admettait en effet les requêtes dirigées contre Google France, filiale de Google Inc., nonobstant le fait que cette filiale française a pour seules fonctions d'acheter et de vendre de l'espace publicitaire, et non de gérer les activités du moteur de recherche. Le requérant était donc opposé à une entreprise française, considérée comme agissant au nom de la société américaine à l'origine de l'irrégularité ou du dommage. La décision de décembre 2014 remet en cause ce libéralisme et exige que le recours soit dirigé contre Google Inc. Pour le juge, Google Inc. est la personne responsable du traitement au sens du droit français, et peut seul être poursuivi pour d'éventuels manquements à ses obligations.

La décision de septembre voulait faciliter les recours en les dirigeant contre une entreprise française, dès lors qu'elle agit au nom de la société américaine responsable du dommage ou de l'irrégularité. Le TGI, dans sa décision du 9 décembre 2014, estime au contraire que Google Inc., l'entreprise américaine, est la personne responsable du traitement au sens du droit français, et peut seul être poursuivi pour d'éventuels manquements à ses obligations. Sans doute, mais le résultat est que l'exécution des décisions des juges français devient plus compliquée. On ne peut qu'espérer que les contentieux qui ne manqueront pas d'intervenir permettront aux juges d'appel et peut-être de cassation de donner une solution définitive à ce problème de compétence.

Heureusement, pour le moment, Google semble désireux d'améliorer ses relations avec les agences européennes de protection des données. Il s'aperçoit sans doute qu'il est plus judicieux, au moins en matière de droit à l'oubli, de respecter le droit des Etats sur le territoire desquels il exerce son activité. Espérons que cette bonne volonté perdurera, car il est peu probable que les juges californiens fassent preuve de la même bonne volonté à l'égard de la demande d'exécution d'un jugement rendu par un juge de première instance français à l'encontre de Google.

Droit à l'oubli : Google mis en demeure par la CNIL

Le 21 mai 2015, Isabelle Falque-Perrotin, Présidente de la Commission nationale de l'informatique et des libertés (CNIL) a pris une décision mettant en demeure la société Google de satisfaire, sous quinzaine, les demandes d'exercice du droit à l'oubli sur toutes les extensions de son moteur de recherches. Le texte de décision n'est connu qu'aujourd'hui, car le bureau de la CNIL n'a décidé de rendre publique cette décision que le 8 juin 2015, par une délibération qui intervient à l'issue de ce délai de quinze jours. Ces délais répondent sans doute à une volonté de placer cette procédure à l'abri de la pression médiatique. C'est d'ailleurs réussi car, pour le moment, on ignore tout des réponses apportées par Google à cette mise en demeure.

Droit à l'oubli ou droit au déréférencement

Au regard des moteurs de recherches, le droit à l'oubli s'analyse comme un droit au déréférencement. Toute personne peut ainsi demander que les données portant atteinte à sa vie privée ou à sa réputation ne soient plus accessibles aux utilisateurs du moteur de recherches. Ces données ne disparaissent donc pas au sens traditionnel du terme. Elles sont seulement inaccessibles.

Le droit français l'applique déjà en se fondant sur la combinaison de deux textes. D'une part, l'article 6 al. 4 de la loi du 6 janvier 1978 met à la charge des gestionnaires de fichiers une obligation d'effacer ou de rectifier, à la seule demande de l'intéressée, les données personnelles inexactes ou qui ne sont plus pertinentes. D'autre part, la loi du 21 juin 2004 pour la confiance dans l'économie numérique énonce, dans son article premier que "la communication au public par voie électronique est libre", mais qu'elle cède néanmoins devant "la liberté et la propriété d'autrui". Les juges font donc prévaloir le droit au respect de la vie privée sur la libre circulation de l'information. C'est ainsi que, dans sa décision Mosley du 6 novembre 2013, le TGI de Paris a ordonné à Google le retrait de photos compromettantes portant gravement atteinte à la vie privée du demandeur.

Le droit de l'Union européenne est, sur ce point, directement inspiré du droit français. Certes, la proposition de règlement relatif à la protection des données personnelles, qui prévoit l'exercice du droit à l'oubli, n'est pas encore en vigueur. La Cour de Justice de l'Union européenne (CJUE) a cependant déjà rendu, le 13 mai 2014, une décision Google Spain SL, Google Inc. c. Agencia Espanola de Proteccion de Datos (AEPD), Mario Costeja Gonzalez exigeant de Google le déréférencement d'articles de presse remontant à 1998 et mentionnant la vente sur saisie des biens appartenant au requérant, à l'époque lourdement endetté. En l'espèce, la CJUE fonde le droit à l'oubli sur l'article 6 d) de la directive européenne du 24 octobre 1995. Il énonce que les données personnelles doivent être "exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées." Aux yeux de la Cour, les données mettant en cause la situation financière du requérant ne sont plus pertinentes quinze ans plus tard et portent atteinte à sa vie privée et à sa réputation. 

Léo Ferré. Avec le temps. 

Les résistances de Google

Donnant l'apparence de se plier à la jurisprudence de la CJUE, Google a mis en place, en mai 2014, un formulaire permettant aux internautes de demander le déréférencement de certaines données. Certains experts évaluent ainsi à 250 000 le nombre de demandes adressées à Google par des internautes de l'UE. Les résultats de ces démarches ont été variables, sans qu'il soit possible de déceler une position claire de l'entreprise américaine. Certains obtenaient satisfaction, d'autres pas. Parmi ces derniers, il en est un certain nombre qui ont fait un recours devant la CNIL. Cette dernière a identifié vingt-et-une requêtes qui lui semblent parfaitement fondées et l'objet de la mise en demeure est précisément de contraindre Google à respecter le droit à l'oubli.

Le problème est que Google s'efforce de réduire autant que possible l'étendue de son obligation, en donnant une définition étroite de sa portée territoriale. C'est ainsi que Google n'applique le droit à l'oubli demandé par des ressortissants de l'UE qu'aux extensions européennes de son moteur de recherche. Autrement dit, les requérants ne peuvent obtenir le déréférencement que sur les sites en .fr, .de, .es, .it etc.. Il suffit donc de se connecter sur Google.com, c'est-à-dire sur le site américain, pour retrouver toutes les données non accessibles sur les pages européennes et ainsi contourner le droit de l'UE.

C'est ce que veut éviter la mise en demeure prononcée par la CNIL, qui enjoint à Google de procéder au déréférencement sur l'ensemble des données de son moteur de recherches, quelle que soit la porte par laquelle on y pénètre.

La menace de sanction

Google va-t-il se plier à la mise en demeure de la CNIL ? Peut-être, s'il prend en considération que la CNIL a été chargée de gérer le contentieux Google par le G29. Ce groupe informel, créé par l'article 29 de la directive du 24 octobre 1995 (d'où son nom) regroupe les 28 autorités indépendantes chargées de la protection des données dans les 28 pays de l'UE. En refusant d'obtempérer à la mise en demeure de la CNIL, Google entre donc dans une opposition ouverte avec l'ensemble de l'UE. 

Cette situation est-elle de nature à faire plier l'entreprise ? Observons d'emblée que la CNIL est substituée au G29, précisément parce que l'autorité indépendante française dispose d'un pouvoir de sanction dont ne dispose pas le G29. Dans sa décision de mise en demeure, la  Présidente de la CNIL prend soin de préciser que l'entreprise américaine risque une amende pouvant atteindre 1 500 000 €. La menace peut-elle réellement faire trembler Google ? On peut en douter, si on compare ce montant avec celui de l'amende de 9 milliards de dollars infligée par les juges américaines à BNP-Paribas, pour avoir réalisé des opérations financières avec des Etats sous embargo américain. Il est donc au moins un point sur lequel le droit de l'UE pourrait s'inspirer du droit américain, c'est celui du montant des sanctions.

 

Le droit à l'oubli, un droit européen

La Cour de justice de l'Union européenne (CJUE) a décidé, dans un arrêt du 24 septembre 2019, que le droit à l'oubli ne s'impose que dans le cadre européen et qu'il ne saurait donc être imposé à la version américaine du moteur de recherches Google.

La Cour était saisie d'une question préjudicielle posée par le Conseil d'Etat, lui-même saisi par quatre requérants qui s'étaient vu refuser le déréférencement de certaines données sensibles par Google. La CNIL, agissant au nom du G29, c'est-à-dire d'un groupe réunissant l'ensemble des autorités de protection européennes, a mis en demeure Google de procéder au déréférencement sur l'ensemble de ses moteurs de recherche. En l'absence de réponse positive, le 10 mars 2016, elle a condamné Google à une amende de 100 000 €. Cette sanction est contestée par Google, et c'est à l'occasion de ce recours que le Conseil d'Etat a posé la présente question préjudicielle, demandant si le droit à l'oubli s'applique aux seuls moteurs de recherche utilisés dans les Etats de l'Union, ou à l'ensemble des moteurs gérés par Google, y compris hors territoire européen.

Oubli, déréférencement, effacement

L’oubli n’est jamais absolu sur internet. Il se traduit seulement par un oubli légal, c’est-à-dire le déréférencement de données qui ne sont plus accessibles sans pour autant disparaître tout à fait. Initié dans le droit de la presse, il a d'abord été invoqué devant les tribunaux pour sanctionner et réparer les révélations sur le passé d’une personne, le plus souvent son passé judiciaire. Intervenant à un moment où elle a reconstruit sa vie, la publication de son ancienne condamnation est considérée comme une atteinte au droit d’être oublié, envisagé comme un élément de sa vie privée. 

Peu à peu, le droit à l'oubli est devenu un élément de la protection des données personnelles, s'appliquant à toutes les données sensibles, c'est-à-dire celles dont la divulgation emporte une atteinte à la vie privée des personnes. Sa consécration dans ce domaine fut précisément assurée par la CJUE, dans une célèbre décision rendue le 13 mai 2014, Google Spain SL, Google Inc. c. Agencia Espanola de Proteccion de Datos(AEPD). Elle y affirme d'abord qu'un moteur de recherches doit être considéré comme un traitement de données personnelles et que l'exploitant de ce moteur de recherches est le "responsable du traitement" au sens du droit de l'Union.

Elle exige ensuite de Google le déréférencement d'articles de presse remontant à 1998 et mentionnant la vente sur saisie des biens appartenant au requérant, alors lourdement endetté. A l’époque, la CJUE déduisait le droit à l'oubli a directive européenne du 24 octobre 1995  qui consacrait alors un droit de rectification des données inexactes ou incomplètes. C'est ce texte qui était en vigueur au moment du recours qui a donné lieu à la présente question préjudicielle.

Aujourd'hui, le droit à l'oubli est formellement garanti par l’article 17 du Règlement général de protection des données (RGPD), qui affirme que « la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel ». La loi du 20 juin 2018 a fait de la Commission nationale de l'informatique et des libertés (CNIL) l'autorité de contrôle du RGPD. Celle-ci a mené, au nom de l'Union européenne, une véritable bataille contentieuse, dans le but d'imposer à Google le respect de ce droit. Elle a obtenu des succès dans ce domaine, et l'entreprise a accepté de faire figurer sur son site un formulaire par lequel les internautes peuvent demander la déréférencement de certaines données personnelles. Google définit toutefois lui-même les critères permettant de qualifier les informations concernées de "données sensibles", critères qui demeurent dans une certaine opacité.

Dollar. Gilles et Julien, 1932

Territorialité du droit à l'oubli

Si Google accepte désormais de déréférencer certaines données, l'effacement ne concerne que les moteurs de recherche européens (Google. fr, Google.de, Google. it....). Elles demeurent visibles à partir du moteur américain Google.com. Certes, quelques précautions de géolocalisation sont prises, mais l'oubli demeure relatif, dès lors qu'il demeure techniquement possible d'aller chercher l'information sur le versant américain de Google.

Pour la CNIL, le droit de l'Union européenne, tant la directive de 1995 en vigueur à l'époque des faits que l'actuel RGPD, entend "éviter qu’une personne soit exclue de la protection garantie (...) et que cette protection soit contournée, en prévoyant un champ d’application territorial particulièrement large". Elle appuie cette analyse sur les considérants 18 à 20 de l'exposé des motifs de la directive qui mentionnent notamment que "l'établissement, dans un pays tiers, du responsable du traitement de données ne doit pas faire obstacle à la protection des personnes prévue par la présente directive". Ces dispositions sont toutefois dépourvues de réelle puissance juridique.

La CNIL insiste sur le fait que si les garanties ne s'appliquent pas à l'ensemble des traitements mis en oeuvre par l'entreprise, celle-ci sera évidemment tentée de se soustraire aux obligations imposées par l'Union européenne en ne les rendant accessibles qu'à partir d'un site installé dans un Etat tiers. La CNIL raisonne donc à partir de la notion de personne responsable du traitement, dès lors que ce traitement conserve et diffuse les données des internautes européens.

Cette analyse n'est pas sans écho jurisprudentiel. Dans un arrêt L'Oréal c. e-Bay du 12 juillet 2011, la CJUE avait été saisie de la licéité de l'offre de vente sur un site marchand américain de produits accessibles sur le territoire européen, sans le consentement des marques concernées. Elle avait alors considéré que le droit de l'Union s'appliquait dès lors que cette offre de vente était "destinée aux consommateurs situés sur le territoire couvert par la marque". Peu importe donc que le site marchand soit situé aux Etats-Unis, dès lors que les produits sont proposés sur le territoire de l'UE.

En l'espèce, la CJUE ne mentionne pas ce précédent. Elle revient à une conception traditionnelle de la territorialité du droit. Elle rappelle simplement le règle selon laquelle le droit de l'Union s'applique sur le territoire européen, et pas ailleurs. Elle ajoute d'ailleurs que la vie privée n'est pas protégée avec la même intensité dans l'UE et dans les Etats tiers, et qu'il n'est pas question de leur imposer notre système juridique. Certes, la Cour n'ignore pas tout à fait l'impact de sa décision, et affirme qu'il serait utile de ""rendre plus difficile les recherches sur les autres extensions." Il s'agit d'un voeu pieux qui n'a évidemment aucune chance de se réaliser et Google se trouve certainement confortée dans sa pratique qui consiste à organiser ses activités vers l'Europe à partir de sites hébergés hors du territoire européen.

Il est toujours frustrant de constater que le droit de l'Union européenne offre à Google les moyens de se soustraire aux règles qu'il édicte. Mais la Cour pouvait-elle statuer autrement ? Comment aurait-elle pu faire appliquer des actes ou des sanctions visant Google. Inc ? Pense-t-on vraiment que les juges américains accepteraient de soumettre une entreprise américaine au RGPD ? La CJUE écarte donc la tentation de consacrer une règle qui n'aurait aucune chance d'être mise en oeuvre, et dont l'ineffectivité porterait atteinte à la crédibilité même du droit de l'Union. 

Reste que la protection des données demeure un droit purement européen. On voit ainsi coexister deux systèmes radicalement opposés. D'un côté, un droit américain qui considère les données personnelles comme des biens de consommation qui s'achètent et se vendent. De l'autre côté, un droit européen qui les voit comme des éléments de la vie privée des personnes, dont elles doivent conserver la maîtrise. Si la CJUE avait raisonné comme les juridictions américaines, elle aurait considéré que, dès lors que l'entreprise avait une présence dans l'Union européenne, elle devait respecter dans touts ses activités le droit européen. Elle renonce à le faire, et la conséquence de cette dissymétrie est que l'Union se livre pieds et poings liés à l'impérialisme juridique des Etats-Unis.

Les juges du fond et le droit à l'oubli

Dans une décision du 27 novembre 2019, la première chambre civile de la Cour de cassation précise l'étendue du contrôle des juges du fond sur le droit à l'oubli.

Rappelons qu'en droit français, le droit à l'oubli est une notion bien antérieure à internet. Il apparaît précisément en droit de la presse, lorsqu'une personne réinsérée dans la société demande l'oubli de ses erreurs et fautes du passé. 

Les fondements du droit à l'oubli

 

Tel est précisément le cas du requérant, M.  X. , qui exerce la profession d'expert-comptable et qui a été condamné pour escroquerie en 2011 par le tribunal correctionnel de Metz, condamnation à dix mois de prison avec sursis confirmée en appel en 2013. Archivée sur le site du Républicain lorrain, deux articles de presse relatant ces deux audiences sont toujours accessibles. Le fait de taper le nom de M. X. sur Google, en 2017, renvoie ainsi immédiatement à ces deux articles. Invoquant le droit à l'oubli, M. X. a demandé au moteur de recherches leur désindexation, opération qui ne fait pas disparaître les articles concernés des archives du journal, mais seulement les liens qui y renvoient. Quoi qu'il en soit, Google a refusé de procéder à cette désindexation, et M. X. a donc assigné le moteur de recherche en invoquant son droit à l'oubli. 

Le fondement juridique de la demande de M. X. se trouve dans la directive européenne du 24 octobre 1995  qui consacrait un droit de rectification des données inexactes, incomplètes ou qui ne sont plus pertinentes. C'est ce texte qui était en vigueur au moment du recours, en 2017. Il était d'ailleurs directement inspiré de l'article 6 al. 4 de la loi française du 6 janvier 1978, qui mentionne que les données inexactes doivent être effacées ou rectifiées, à la seule demande de l'intéressé. 

Aujourd'hui, le droit à l'oubli est formellement garanti par l’article 17 du Règlement général de protection des données (RGPD), qui affirme que « la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel ». La loi du 20 juin 2018 a fait de la Commission nationale de l'informatique et des libertés (CNIL) l'autorité de contrôle du RGPD. Celle-ci a mené, au nom de l'Union européenne, une véritable bataille contentieuse, dans le but d'imposer à Google le respect de ce droit. Elle a obtenu des succès dans ce domaine, succès renforcée par l'arrêt Google Spain du 13 mai 2014 qui reconnaît expressément le droit à l'oubli sur internet. Depuis lors, Google a accepté de faire figurer sur son site le formulaire qui a permis à M. X. de faire sa demande de désindexation. 

L'oubli. Lynda Lemay

Le contrôle des motifs

Le problème est que la firme Google fait ce qu'elle veut, dans la plus grande opacité. En effet, elle réalise elle-même une appréciation de l'équilibre entre le droit à l'information et le droit à l'oubli et ne diffuse aucun élément sur les motifs qu'elle prend en compte pour accepter ou écarter la demande. Prend-elle en considération l'ancienneté de la condamnation ? sa gravité ? la notoriété de l'affaire ou celle des organes de presse, voire les liens commerciaux qu'elle entretient avec tel ou tel média ? Nul n'en sait rien. Elle fait ce qu'elle veut et n'entend pas communiquer aux juges internes les motifs de ses décisions. 

Précisément, par son arrêt du 27 novembre 2019, la Cour de cassation confère aux juges du fond une compétence générale pour apprécier le choix fait par la firme. Ils doivent ainsi apprécier de manière concrète la demande de déréférencement, se prononcer "sur son bien-fondé" et "vérifier (...)  si l’inclusion du lien litigieux dans la liste des résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, répond à un motif d’intérêt public important, tel que le droit à l’information du public, et si elle est strictement nécessaire pour assurer la préservation de cet intérêt". En l'espèce, les juges du fond sont sanctionnés pour avoir seulement fait référence au droit à l'information des internautes, sans se pencher sur la protection des données personnelles de M. X. 

La Cour de cassation, en l'espèce, se fonde directement sur la jurisprudence de la Cour de justice de l'Union européenne (CJUE). Dans une décision du 24 septembre 2019, celle-ci énonce en effet que le responsable du traitement est, en principe, tenu de faire droit aux demandes de désindexation de liens menant vers des pages web sur lesquelles figurent des données personnelles. Et l'exploitant d'un moteur de recherches ne peut se soustraire à cette obligation que si l'inclusion du lien dans la liste de résultats s'avère "strictement nécessaire pour protéger la liberté d'information des internautes". Il lui appartient donc d'exprimer clairement cette mise en balance entre l'ingérence dans les données personnelles et le droit à l'information. S'il ne le fait pas, cette mission incombe au juge du fond qui risque de sanctionner systématiquement Google, si l'entreprise persiste à refuser de motiver ses décisions.

Les juges français s'efforcent donc d'imposer à Google le respect du droit européen. Ils ne sont pas les seuls et le tribunal de Karlsruhe vient de renvoyer aux juges du fond allemands une affaire très semblable, leur imposant de se livrer à une appréciation identique. Certes, nul n'ignore le cadre territorial du droit à l'oubli. Dans une seconde décision du 24 septembre 2019, la CJUE a ainsi précisé que la territorialité du droit européen limitait les effets du désindexation aux résultats de recherches effectuées sur les moteurs européens du Google. Les données couvertes par le droit à l'oubli demeurent donc accessibles par les moteurs non européens, à commencer par le moteur américain. Il n'empêche que l'Europe entend toujours imposer à Google le respect de la vie privée, dans sa définition européenne : les données personnelles ne sont pas des biens dont on fait commerce, mais des éléments liés à la vie privée sur lesquels l'intéressé doit conserver une certaine maîtrise.

Sur le droit à l'oubli : Chapitre 8 Section  5 § 1 B , 3,  du manuel de Libertés publiques sur internet

La Cour de Justice de l'UE impose à Google le respect du droit à l'oubli

La Cour de justice de l'Union européenne (CJUE) joue désormais un rôle essentiel dans la promotion du droit européen de la protection des données qui doit s'imposer aux firmes américaines les plus actives sur internet. Une nouvelle avancée dans ce sens été réalisé avec la décision du 13 mai 2014 Google Spain SL, Google Inc. c. Agencia Espanola de Proteccion de Datos (AEPD), Mario Costeja Gonzalez.

L'origine de l'affaire est lointaine. Elle se situe en 1998, lorsque le journal La Vanguardia publie dans son édition papier des annonces concernent la vente sur saisie immobilière de biens appartenant à Mario Costeja Gonzalez, à l'époque lourdement endetté. Depuis cette date, l'intéressé a assaini sa situation financière, mais hélas une version électronique du journal a été mise en ligne. Toute recherche sur Google mentionnant son nom conduit donc, et c'est toujours le cas en 2012, à la mention de son endettement et de cette malheureuse vente de 1998. 

La pertinence des données

Le requérant demande la suppression de l'indexation de ces données, en se fondant sur le principe de pertinence des informations collectées et stockées, principe qui figure dans l'article 6 d) de la directive européenne du 24 octobre 1995. Il énonce que les données personnelles doivent être "exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées." L'article 6 al. 4 de la loi française du 6 janvier 1978 est d'ailleurs à l'origine de ce principe, et mentionne que les données inexactes doivent être effacées ou rectifiées, à la seule demande de l'intéressé. Observons cependant que la desindexation n'est pas l'effacement, car elle n'a pour finalité que la suppression des liens qui renvoient vers l'information et non pas celle de l'information elle-même.

Dans l'affaire Gonzalez, l'AEPD a prononcé une injonction à l'encontre de Google, lui demandant de désindexer deux articles de La Vanguardia. L'entreprise américaine n'a évidemment pas entendu se soumettre si facilement au droit européen, d'autant qu'elle préfère imposer à ses utilisateurs un ordre juridique d'origine contractuelle, écartant l'ordre public des Etats dans lesquels elle exerce son activité. Elle a donc contesté l'interprétation par le droit espagnol de la directive de 1995, et la présente décision de la CJUE est en fait la réponse à une question préjudicielle.

A dire vrai, Google n'était pas dépourvue d'arguments, car le fondement juridique du droit à l'oubli demeure relativement instable. Les données conservées sur le requérant sont "exactes", dans la mesure où la vente sur saisie immobilière a effectivement eu lieu. Le débat se développe donc à partir de la notion de "pertinence" qui manque pour le moins de précision. Pour Google, les données sont pertinentes parce qu'elles sont exactes. Pour le requérant, elles ne sont pas pertinentes précisément parce qu'elles portent atteinte au droit à l'oubli. Dans l'état actuel du droit, le droit à l'oubli se présente donc comme un sous-produit du droit au respect de la vie privée. On attend dès lors avec impatience l'adoption définitive du règlement relatif à la protection ds personnes physiques à l'égard du traitement de données à caractère personnel. Son article 17 consacre en effet le droit à l'oubli et offre ainsi aux demandeurs un fondement juridique autonome que les grandes firmes du secteur auront des difficultés à contester.

La décision de la CJUE est donc, en quelque sorte, une décision d'attente, qui permet d'appliquer le droit à l'oubli alors qu'il n'est pas encore tout à fait détaché des droits connexes.

Léo Ferré. Avec le temps. 1972.

Fin de l'irresponsabilité des exploitants de moteurs de recherche

La décision de la CJUE lève tout doute, s'il y en avait encore, sur l'applicabilité du droit à l'oubli aux moteurs de recherche. Leurs exploitants sont donc responsables du traitement informatisé qu'ils mettent en oeuvre, au sens de la directive de 1995. Est donc écarté l'argument essentiel tiré de l'irresponsabilité des gestionnaires des moteurs de recherches. Ils estimaient que leur rôle se bornaient à indexer des données dont ils ne maîtrisaient pas le contenu et à les mettre à disposition des internautes. 

Sur ce point, la CJUE se situe dans la droite ligne du droit français. Récemment, le 6 novembre 2013,  la 17è Chambre du TGI de Paris a ainsi rendu un jugement très remarqué, en donnant satisfaction à Max Mosley dans le litige qui l'opposait à Google. Certes, il n'invoquait pas, à proprement parler, le droit à l'oubli, mais se situait sur le terrain plus large du droit à la vie privée, reprochant au moteur de recherches de laisser subsister, parmi les données accessibles, des photos le montrant dans des pratiques sado-masochistes, en compagnie de prostituées. Le juge des référés lui a donné satisfaction et exigé le retrait des images litigieuses.

Pour assurer l'effectivité d'une décision adressée à une firme de droit américain, la CJUE, comme l'avaient fait les juges français avant elle, met en oeuvre une conception large de la notion d'établissement. Autrement dit, elle fait peser la contrainte juridique de désindexation sur la filiale espagnole de Google. Certes, cette dernière a essentiellement pour mission de vendre de l'espace publicitaire, mais le juge européen fait observer que son activité a pour unique objet de rentabiliser le service offert par la société-mère et qu'elle est donc "indissociablement liée" à celle-ci. A ce titre, elle est soumise aux mêmes contraintes juridiques.

Un droit non absolu

Imposant le droit à l'oubli, la décision de la CJUE en pose aussi les limites. Car le droit à l'oubli est au coeur d'un double conflit de normes. Il s'agit d'abord de trouver un équilibre entre le droit à la protection des données personnelles et l'intérêt économique du moteur de recherches. En l'espèce, la décision ne suscite guère de difficultés car les demandes de désindexation ne portent pas une réelle atteinte aux ressources de Google, d'origine essentiellement publicitaires. Il s'agit ensuite, et la difficulté est plus grande, de trouver un second équilibre entre le droit à l'oubli et l'intérêt pour le public à connaître telle ou telle information. 

D'une manière générale, la Cour considère que les droits rattachés à la vie privée des personnes doivent être interprétés à la lumière des droits fondamentaux désormais inscrits dans la Charte.(décision Connolly c. Commission du 6 mars 2001).  Il en est de même du droit à l'oubli qui doit également être interprété à la lumière des droits fondamentaux. 

Le droit interne des Etats doit donc prévoir un mécanisme de pondération effectué par l'autorité de régulation ou par le juge. Il s'agit alors d'apprécier la situation concrète de la personne qui demande la suppression des données et la Cour invite à fonder cette appréciation sur "la nature de l'information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l'intérêt du public à disposer de cette information, lequel peut varier, notamment en fonction du rôle joué par cette personne dans la vie publique". 

La formulation renvoie à une distinction bien connue du droit français de la vie privée. Pour la personne anonyme et qui entend le rester, l'effacement des données personnelles au nom du droit à l'oubli doit être parfaitement garanti. Pour la personne qui participe à la vie publique, l'information, même ancienne, peut être un élément éclairant sa conduite récente et constitue un élément d'un "débat d'intérêt général", au sens où l'entend la Cour européenne des droits de l'homme. Par exemple, on imagine qu'il ne serait pas inutile de savoir qu'une personne impliquée dans une affaire de corruption a déjà été poursuivie et condamnée sur un fondement identique quelques années auparavant. Cette première condamnation n'apparait plus comme une donnée relative à la vie privée, mais comme un élément à verser à un débat très actuel.

De manière très concrète, les internautes vont donc pouvoir demander la suppression des données les concernant et leur demande donnera lieu à une évaluation, sous le contrôle des autorités telles que la CNIL et des juges. Nul doute que les requêtes seront nombreuses et le Telegraph fait état de plus d'un millier de demandes déjà déposées par les seuls internautes britanniques.

Reste que Google montre une certaine mauvaise humeur en affirmant qu'il lui faudra plusieurs semaines pour mettre en place un système informatisé de dépôt de requêtes qui ne devrait pourtant pas être très complexe. Elle est rejointe dans sa critique par les partisans d'un internet entièrement libre, généralement proches de la doctrine libérale américaine. Ils voient dans la décision de la Cour de justice une "menace pour la liberté d'informer", voire une "atteinte à la démocratie". Les formules sont fortes, si fortes que l'on peut se demander si ces propos ne relèvent pas davantage d'une action de lobbying que de l'analyse juridique.

Le droit à l'oubli consacré par la Grande Chambre de la CEDH

Pour la première fois, le droit à l'oubli est consacré par la Grande Chambre de la Cour européenne des droits de l'homme (CEDH) dans un arrêt Hurbain c. Belgique du 4 juillet 2023.

L'affaire soumise à la Grande Chambre de la CEDH porte sur le domaine le plus traditionnel du droit à l'oubli : le passé judiciaire d'une personne. Le requérant, M. Hurbain, est l'éditeur du journal Le Soir, l'un des principaux quotidiens d'information francophone en Belgique. En 1994, ce journal avait consacré un article à un accident de la route causé par M. G., en mentionnant son nom. Conduisant sous l'emprise de l'alcool, celui-ci avait tué deux personnes et blessé trois autres. Condamné par les tribunaux belges, il avait purgé sa peine et obtenu sa réhabilitation en 2006, n'ayant pas commis de nouvelle infraction.

Mais en 2008, Le Soir a rendu ses archives accessibles gratuitement sur internet, y compris l'article concernant M. G. Celui-ci demande donc, non pas son effacement, mais son anonymisation. Il se plaint en effet que lorsque l'on tape son nom sur le site de Le Soir, l'article apparaît en première page, le moteur de recherche Google amplifiant le phénomène. Son activité professionnelle de médecin est fortement entravée par ces données qui, vingt ans après les faits, viennent rappeler une condamnation, alors même qu'il a bénéficié d'une réhabilitation. Devant les refus successifs qui lui sont opposés par l'éditeur du journal, il se tourne vers les tribunaux belges. Ces derniers estiment que "l'archivage en ligne de l'article litigieux constitue une nouvelle divulgation du passé judiciaire du défendeur, pouvant porter atteinte à son droit à l'oubli". Accusé d'avoir laissé subsister une sorte de "casier judiciaire virtuel", Le Soir se voit donc contraint d'anonymiser l'article de 1994. Son éditeur saisit donc la CEDH, car il considère que cette mesure porte atteinte à la liberté d'expression.

Les archives de presse

La décision de Grande Chambre du 4 juillet 2023 n'est guère différente de l'arrêt de chambre intervenu le 22 juin 2021, qui avait déjà imposé le respect du droit à l'oubli. Elle constitue toutefois une décision de principe qui affirme que ce dernier est protégé par l'article 8 de la Convention européenne de sauvegarde des droits de l'homme, et relève de la vie privée.

Pour parvenir à cette conclusion, la Cour se penche de manière très attentive sur le cas particulier des archives de presse. Il existe en effet trois archives de presse. La première est celle du journal papier, évidemment consultable aux archives du journal et dans les bibliothèques. Celle-là ne suscite guère de préjudice au regard du droit à l'oubli car le nombre de consultations est marginal et la recherche par mots-clés inexistante. La seconde est l'"archive-mère" conservée par le journal sur internet dans un souci de conservation, mais inaccessible aux tiers. Enfin, la troisième archive est celle que chacun peut consulter et sur laquelle il est possible de faire une recherche par mots-clés. Dans le cas présent, seule cette troisième archive est concernée par l'anonymisation des données nominatives. La mention du "droit à l'oubli" ne signifie donc pas une disparition des données, mais seulement leur déréférencement sur les sites accessibles au public. 

 

Le bal perdu. Bourvil. 1961

Le nom, élément de la vie privée

Contrairement à d'autres affaires précédemment soumises à la CEDH, la question n'est  pas celle de la diffusion de données relatives à l'intimité de la vie privée, comme dans l'arrêt du 10 novembre 2015 Couderc et Hachette Filipacchi associés c. France. A l'époque, il s'agissait de la diffusion de "révélations" sur le "fils caché" du prince de Monaco... Dans le cas de M. G., il s'agit d'informations dont nul ne conteste l'exactitude et qui relevaient de l'actualité judiciaire, vingt ans plus tôt.

Mais cela ne signifie pas que la seule diffusion du patronyme de M. G. ne se rattache pas à sa vie privée. Dans l'arrêt M. L. et W. W. c. Allemagne du 28 juin 2018, la CEDH définit ainsi la vie privée comme une sorte de bulle protectrice enveloppant l'individu, à l'intérieur de laquelle figurent non seulement les éléments liés à l'intimité, mais aussi ceux liés à l'identité, à commencer par le nom. Elle précise, dans une décision Satakunnan Markkinapörssi Oy et Satamedia Oy c. Finlande du 27 juin 2017, que des données parfaitement neutres peuvent parfois donner lieu à une diffusion attentatoire à la vie privée.

La CEDH se situe dans la ligne de la jurisprudence de la Cour de justice de l'Union européenne (CJUE) qu'elle cite expressément. Dans une décision du 13 mai 2014 Google Spain SL, Google Inc. c. Agencia Espanola de Proteccion de Datos (AEPD), la CJUE exige de Google Espagne le déréférencement d'articles de presse remontant à 1998 et mentionnant la vente sur saisie des biens appartenant au requérant, alors lourdement endetté. Aux yeux de la CJUE, ces données ne sont plus pertinentes quinze ans plus tard et portent désormais atteinte à sa vie privée et à sa réputation.

 

L'équilibre entre la vie privée et la liberté d'expression

 

Après avoir consacré le principe même du droit à l'oubli, la CEDH examine si, dans la présente affaire, les droits des parties ont été évalués selon un juste équilibre. Et précisément, l'intervention de la Grande Chambre est justifiée par l'arrêt Biancardi c. Italie intervenu le 25 novembre 2021, quelques mois à peine après la décision de chambre dans l'affaire Hurbain. La Cour estime alors que la durée du maintien en ligne de l'article en cause ainsi que le caractère sensible des données sont des critères qui doivent être pris en considération dans la pondération des droits en jeu, c'est-à-dire l'appréciation de l'équilibre entre la liberté d'expression et le respect de la vie privée.

La Cour estime que l'anonymisation des données ne menace pas l'intégrité des archives de presses, celles-ci étant conservées dans les "archives-mères". Elle fait observer que l'accident causé par M. G. ne présente aucun intérêt historique et d'ailleurs n'a pas eu d'autre audience que l'article litigieux. En revanche, les données pénales sont toujours considérées comme des données sensibles, principe rappelé dans l'arrêt Biancardi. La Cour ajoute que les faits relatés dans l'article "ne sauraient rentrer dans la catégorie des infractions dont l'importance, en raison de leur gravité, n'est pas affectée par le passage du temps". De fait, l'article, consulté aujourd'hui, ne contribue plus à un débat d'intérêt général, si ce n'est peut-être à une discussion sur les statistiques de la sécurité routière qui peut se développer avec des données anonymisées. Quant à l'atteinte à la liberté d'expression, elle est tout-à-fait bénigne puisque seul le nom de la personne est occulté, ce qui laisse parfaitement intact le reste de la publication.

On pourrait évidemment s'interroger sur la manière dont l'éditeur du journal tente de renvoyer la responsabilité de l'atteinte à la vie privée sur Google. Il fait observer qu'il a demandé au moteur de recherche de déréférencer l'article consacré à M. G., mais qu'il n'a obtenu aucune réponse. M. G., de son côté, fait valoir que, pour obtenir un déréférencement sur Google, il devrait s'adresser à Google.be, ce qui n'apporterait aucune solution à son problème. Les usagers belges du moteur de recherche sont en effet très habitués à utiliser les sites français ou américains de Google. Cette analyse s'appuie sur la décision du 24 septembre 2019 rendue par la CJUE sur question préjudicielle. La Cour de justice reconnaît alors que le respect du droit à l'oubli, exigence purement européenne, ne saurait être imposé à la version américaine du moteur de recherches. 

Dans le cas de l'affaire M. G., Google est utilisé par le journal Le Soir comme une sorte de bouclier lui permettant de se soustraire à son obligation de respect du droit à l'oubli en la renvoyant à quelqu'un d'autre. Mais les juges belges n'ont pas voulu entrer dans ce débat, et ils ont fait remarquer, avec une belle simplicité, que la question du déréférencement sur Google ne se poserait pas si Le Soir avait accepté d'anonymiser les données.

Le droit à l'oubli : Manuel de Libertés publiques version E-Book et version papier, chapitre 8 section 5 § 1 B

 R. Letteron, Le droit à l'oubli, Revue du droit public, 1996, p. 385 et s.

 

 

Commentaires injurieux sur internet : prudence et modération

La Cour européenne des droits de l'homme, dans un arrêt de Grande Chambre  Delfi AS c. Estonie du 16 juin 2015, s'est prononcée sur la personne responsable des commentaires injurieux ou diffamatoires déposés par les internautes sur un portail d'actualités. Comme elle l'avait déjà fait dans un arrêt de chambre du 10 octobre 2013, elle a jugé que les tribunaux estoniens étaient fondés à condamner l'entreprise commerciale gérant le portail d'actualités.

Delfi, portail très connu en Estonie, a laissé subsister pendant six semaines des commentaires particulièrement injurieux publiés en janvier 2006 à l'égard d'une entreprise de transports par ferries, SKL, et de son actionnaire unique M. L. Soupçonnés de vouloir détruire les "routes de glace" utilisées en hiver pour la circulation entre les îles dans le but de placer la compagnie de ferries en situation de monopole, ils étaient traités de "sales enfoirés", de "bande de cons" et autres noms d'oiseau que l'arrêt de la Cour reproduit scrupuleusement. Ces commentaires n'ont été retirés qu'après une mise en demeure des requérants, accompagnée d'une demande d'un versement de 32 000 € pour indemnisation du préjudice moral. Devant le refus d'indemnisation opposé par Delfi, ils ont saisi la justice qui a finalement condamné l'entreprise à s'acquitter de la somme d'environ 320 €, décision confirmée en 2009 par la Cour Suprême estonienne. Certes l'indemnisation était modeste. Il n'en demeure pas moins, et c'est le plus important, que Delfi était tenu responsable des propos injurieux et finalement condamné pour n'avoir pas mis en place un système de modération efficace.

Dans sa décision de 2013, la Cour européenne avait considéré que le portail d'information était fondé à invoquer sa liberté d'expression mais que l'atteinte qui lui était portée par la justice estonienne était proportionnée aux intérêts en cause. Cette jurisprudence conduit cependant à considérer que le titulaire de la liberté d'expression n'est pas seulement l'auteur du commentaire mais aussi l'entreprise qui en assure la diffusion. La Grande Chambre parvient à un résultat identique, puisqu'elle valide aussi la décision des tribunaux estoniens. De manière plus subtile, elle se fonde sur la liberté de communiquer des informations, liberté à laquelle le droit peut porter atteinte pour faire prévaloir les droits et libertés des personnes.

L'anonymat des commentaires

La Cour reconnaît que la liberté d'expression sur internet ne peut guère se développer sans l'anonymat des commentaire : "l'anonymat est le moyen d'éviter les représailles... et est de nature à favoriser grandement la libre circulation des informations et des idées, notamment sur internet". Pour autant, elle affirme que cet anonymat ne doit pas conduire à assurer la présence sur le réseau, du moins pour une longue durée, de données diffamatoires, injurieuses ou attentatoires à la vie privée des personnes. Sur ce point, la Cour mentionne expressément la jurisprudence Google Spain S.L. et Google de la Cour de justice de l'Union européenne (CJUE). Dans cette décision du 13 mai 2014, la Cour de Luxembourg, intervenant il est vrai dans le domaine du droit à l'oubli dans les moteurs de recherches, pose comme principe que les droits des internautes doivent prévaloir sur les intérêts économiques des entreprises actives sur internet. 

Reste que l'anonymat des commentaires est toujours relatif. Le site peut imposer une procédure d'identification, ou non. Dans le premier cas, il sera facile de retrouver la trace de l'internaute. Dans le second, il faudra s'adresser au fournisseur d'accès à internet. Là encore, c'est plus difficile, mais ce n'est pas impossible. Au demeurant, les services de police et de justice, saisis d'une plainte pour injure ou diffamation peuvent toujours obtenir ces données identifiantes.

Gilles de la Tourette. 1857-1904

Vers qui diriger les poursuites ?

En l'espèce, il n'était donc pas impossible d'identifier les commentateurs auteurs d'injures et c'est d'ailleurs ce qu'invoquait Delfi pour sa défense. Le portail avait d'ailleurs pris de soin de faire figurer sur le site un avertissement mentionnant que les propos tenus dans les commentaires n'engageaient pas sa responsabilité. Dans l'affaire K.U. c. Finlande du 2 décembre 2008, la Cour, à propos d'une affaire de diffamation, avait déjà affirmé que la liberté d'expression sur internet devait céder devant la nécessité des poursuites pénales.

De cette jurisprudence, on doit déduire que les requérants auraient pu porter plainte pour injure contre les auteurs des commentaires, et très probablement obtenir leur condamnation. Contrairement à ce qu'affirme l'entreprise défenderesse, ce n'est pourtant pas la seule voie de droit qui leur était ouverte. Ils ont préféré se placer sur un autre plan : en engageant la responsabilité du site commercial Delfi, ils l'obligent à remettre en cause un système de modération insuffisant. 

Cette responsabilité du site n'a rien de nouveau. Dans son arrêt  Krone Verlag GmbH & Co. KG c. Autriche du 9 novembre 2006, la Cour avait déjà admis qu'une plainte en diffamation puisse être directement dirigée contre une entreprise de médias et non pas contre les auteurs des propos diffamatoires. Une telle plainte, affirmait-elle, ne constituait pas une ingérence disproportionnée dans la liberté d'expression de l'entreprise. De manière très prosaïque, elle ajoutait que l'avantage pour le requérant résidait essentiellement dans le portefeuille responsable, l'entreprise étant dans une situation financière généralement meilleure que celle de l'auteur du commentaire injurieux. 

Ce principe domine également le droit français. Aux termes de la loi du 29 juillet 1881, le directeur de la publication est responsable des propos tenus dans son journal. Les délits de presse comme l'injure et la diffamation s'appliquent aujourd'hui pleinement aux propos tenus sur internet. Dans un arrêt du 4 février 2015, la cour de cassation déclare ainsi le journal La Marseillaise responsable de propos diffamatoires tenus sur son site internet.

La décision de la Cour n'a donc rien de surprenant. Au contraire, elle garantit l'égalité devant la loi des entreprises de presse et de communication, quel que soit le support, papier ou internet, de leurs publications.

Une décision d'espèce

Doit-on déduire de cette jurisprudence que tous les sites, de l'entreprise de communication mondialisée au blogueur qui écrit sur le coin de son bureau, sont désormais tenus de modérer les propos tenus par les internautes qui postent des commentaires ?

Rien n'est moins certain, car la Cour prend bien soin de rappeler que sa décision, même de Grande Chambre, demeure un cas d'espèce. Elle se livre en effet à une appréciation très concrète des moyens dont dispose Delfi.  Elle observe qu'il s'agit d'une entreprise commerciale qui gère l'un des plus grands portails d'actualité d'Estonie. Elle n'est pas dépourvue de moyens et dispose d'une équipe de modérateurs chargés de contrôler les commentaires, contrôleurs ayant bénéficié d'une formation juridique. Un logiciel est utilisé pour reconnaître les propos illicites à travers un repérage par mots-clés et il arrive aux modérateurs de retirer un commentaire injurieux ou diffamatoire. Autrement dit, aux yeux de la Cour, l'absence de réaction de l'entreprise durant six semaines est d'autant plus inexcusable qu'elle avait les moyens, le personnel et les connaissances juridiques permettant de développer une pratique efficace de la modération. 

La Cour apprécierait-elle de la même manière le cas du blogueur isolé, sans moyens et sans connaissances juridiques ? On peut en douter, mais aucune jurisprudence n'est encore intervenue sur ce point. On ne peut donc que conseiller la prudence... et la modération.

La CNIL et le pilori numérique

La lecture du Journal Officiel est parfois intéressante, surtout le 23 octobre 2015. Le décret du 21 octobre 2015, publié ce jour là, organise ainsi une sanction très particulière qui peut être prononcée à l'encontre des employeurs ayant recours au travail illégal. Il s'agit d'appliquer l'article 8 de la loi du 10 juillet 2014 qui autorise le juge à prononcer, en plus d'une amende prévue par la loi, une peine complémentaire consistant en la publication du nom du coupable, pendant une durée de deux ans, sur un site internet spécifique. Dans la même livraison du Journal Officiel, la CNIL publie sa délibération du 17 septembre 2015, portant avis sur ce même décret.

La comparaison entre les deux textes est édifiante, car le moins que l'on puisse dire est que l'avis de la CNIL n'est pas favorable. Elle affirme d'ailleurs qu'elle "prend acte" des dispositions introduites par l'article 8 de la loi de 2014, "sur lesquelles elle n'avait pas été consultée avant l'adoption de la loi". La CNIL n'est donc pas de bonne humeur, et on sent qu'elle aurait nettement préféré être consultée sur la loi plutôt que sur le décret qui la met en oeuvre.

Il est vrai que la procédure prévue par l'article 8 de la loi du 10 juillet 2014 est inédite. Certes, les juges peuvent toujours ordonner l'affichage d'une condamnation ou sa publication dans la presse écrite ou électronique, peine complémentaire prévue par l'article 131-10 du code pénal. Mais le caractère infamant de cette mesure s'efface rapidement, sous le simple effet de la périodicité de la publication. Bientôt, la trace de cette mesure ne subsiste plus que dans les archives où elle peut être retrouvée mais essentiellement par ceux qui la cherchent, et donc la connaissent déjà. Dans le cas présent, la situation est toute différente, car le nom des coupables doit subsister deux longues années sur un site spécifiquement consacré à cette forme moderne de pilori. 

Une peine complémentaire

Observons d'emblée que cette publication pose d'abord le problème de son moment. La CNIL constate qu'elle est décidée par le juge du fond et immédiatement applicable. En d'autres termes, sera donc publié le nom d'une personne qui a fait appel ou s'est pourvue en cassation contre sa condamnation. Il est vrai que le décret prévoit que ces procédures en cours seront mentionnées sur le site, mais il n'en demeure pas moins que la personne est présentée comme coupable. 

Si l'on considère les délais de recours dans notre pays, on peut penser que la durée de deux ans sera achevée au moment où l'intéressé sera jugé en appel, et peut être relaxé. Autrement dit, la peine complémentaire sera pleinement exécutée au moment où cette relaxe interviendra. Dans ce cas précis, une éventuelle QPC pourrait inviter le juge constitutionnel à se prononcer sur le respect du principe du double degré de juridiction. En tout état de cause, on peut penser que, dans une telle hypothèse, des actions en responsabilité seront engagées, compte tenu de la gravité du préjudice causé à la réputation de la personne. 

Mais le problème posé par cette peine n'est pas seulement lié à sa procédure. Sur le fond, différents principes sont en cause, et la CNIL estime que l'arbitrage entre eux n'est pas satisfaisant. Elle affirme ainsi qu'un "juste équilibre entre le caractère public d'une décision de justice et sa libre accessibilité sur internet doit être recherché pour éviter une atteinte excessive aux droits des personnes, au nombre desquels figurent en particulier le respect de la vie privée et la préservation des chances de réinsertion". 

La publicité des décisions de justice

La Commission fait remarquer que le casier judiciaire automatisé, qui constitue "la mémoire des condamnations prononcées publiquement", est en France l'un des fichiers les mieux protégés. Il n'est accessible qu'aux personnes concernées par les condamnations, aux juridictions et, d'une manière générale, aux organismes bénéficiant d'un droit d'accès sur le fondement d'une disposition législative. Cette confidentialité s'explique par la volonté d'assurer la réinsertion d'une personne, en interdisant par exemple à un éventuel employeur de se renseigner sur son passé judiciaire.   

Le décret du 21 octobre 2015 conduit ainsi à une situation surprenante. Un condamné qui a commis un crime particulièrement affreux il y a trente ans, et qui a purgé sa peine, bénéficie de la confidentialité de sa condamnation. En revanche, une personne condamnée pour avoir employé illégalement des salariés, infraction certes grave mais pas aussi grave que si elle les avait assassinés, voit son nom affiché sur internet et accessible à tous. 

Hergé. Le Lotus Bleu. 1946.

Droit à l'oubli numérique v. Protection des données

Derrière cette question apparaît celle du droit à l'oubli numérique, droit nouveau qui emporte deux obligations. D'une part, il autorise toute personne justifiant de son identité à exiger la suppression des données personnelles la concernant figurant sur le net, y compris, bien entendu, les données judiciaires. D'autre part, il contraint les gestionnaires de sites à effacer les données personnelles à l'issue d'un certain délai, même sans demande expresse des intéressés. En termes simples, le droit à l'oubli consacre un droit à l'incognito sur le net et un droit d'effacer ses traces. 

Sur ce point, le décret du 21 octobre 2015 est la négation même du droit à l'oubli. Or, s'il est vrai que le projet de directive européenne consacrant le droit à l'oubli tarde à être adopté, la Cour de justice de l'Union européenne est intervenue pour combler le vide juridique. La CNIL cite ainsi l'arrêt de Grande Chambre du 9 novembre 2010 Volker und Markus Schecke GbR et Hartmut Eifert qui, sans porter directement sur des informations judiciaires, présente cependant un caractère connexe. Il s'agissait en effet, de la publication, sur un site spécifique, des noms des bénéficiaires de fonds européens agricoles, mesure que la CJUE considère comme disproportionnée, la protection des données personnelles devant prévaloir sur l'objectif de transparence de l'utilisation de ces fonds.

De la même manière, dans sa célèbre décision du 13 mai 2014 Google Spain SL, la CJUE impose à Google le respect du droit à l'oubli, c'est-à-dire en l'espèce le droit au déréférencement dans le moteur de recherche. En 1998, les biens du demandeur, lourdement endetté, avaient fait l'objet d'une vente sur saisie immobilière. Quatorze années plus tard, ces informations apparaissaient encore dans le moteur de recherche, alors même que la situation financière de l'intéressé était désormais parfaitement saine. La CJUE exige alors du moteur de recherche la mise en place d'une procédure de déréférencement, aujourd'hui largement utilisée.

La Cour de Justice donne, en quelque sorte, le mode d'emploi de sa jurisprudence. Elle affirme  qu'il convient d'apprécier la situation concrète de la personne qui demande la suppression des données et la Cour invite à fonder cette appréciation sur "la nature de l'information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l'intérêt du public à disposer de cette information, lequel peut varier, notamment en fonction du rôle joué par cette personne dans la vie publique". 

Un appel à QPC

C'est précisément ce que fait la CNIL dans son avis préalable au décret. Elle fait observer que la transparence des décisions de justice s'accompagne de leur anonymat, principe désormais acquis et mis en oeuvre dans l'ensemble de l'Union européenne. En l'absence de cet anonymat, le principe de transparence ne saurait prévaloir sur la protection des données personnelles. 

Reste à s'interroger sur le maintien d'une telle disposition dans le droit positif. La loi du 10 juillet 2014 a non seulement été adoptée sans que l'avis de la CNIL ait été sollicité, et n'a pas davantage été soumise au Conseil constitutionnel. Il ne fait guère de doute qu'un chef d'entreprise cloué au pilori numérique par l'effet de ses dispositions ne manquera pas de déposer une question prioritaire de constitutionnalité. A sa manière, par la publicité apportée à son avis, la CNIL l'y encourage.

Sur le droit à l'oubli numérique : Chapitre 8, section 1, § 4 du manuel de libertés publiques.