Droit à l'oubli : les moteurs de recherche et la liberté d'informer en ligne de mire

(1) Civ. 1re, 27 nov. 2019 no 18-14.675, M. N. c/ Google Inc, D. 2019. 2298 ; Légipresse 2019. 661.

(2) CJUE 24 sept. 2019, aff. C-136/17, Google c/ CNIL. V. La CJUE précise la responsabilité des moteurs de recherche en cas de demande de déréférencement de données sensibles, Légipresse 2019. 515 ; N. Mallet-Poujol, Les moteurs de recherche entre droit à l'information et droit à l'oubli : du temps réel de l'accès à l'information à un temps diversement suspendu, Légipresse 2019. 687. Dans un autre arrêt du même jour (aff. C-507/17, Google c/ CNIL), tout aussi commenté, la CJUE a apporté des précisions décisives sur la portée géographique du droit au déréférencement. À contre-courant du G29 qui après l'arrêt Google Spain en 2014 s'était prononcé pour un déréférencement de portée mondiale « appliqué à tous les domaines concernés, y compris les domaines “.com” », et de la CNIL qui avait appliqué cette doctrine à l'encontre de Google et s'était heurté à la résistance de ce dernier, la CJUE dans son arrêt du 24 sept. 2019 a limité l'effet du déréférencement aux seuls résultats apparaissant à la suite de recherches effectuées depuis le territoire européen. Elle précise toutefois que le référencement doit être effectif dans toute l'Union, et pas uniquement dans le pays du demandeur. Dans cet arrêt très balancé, la CJUE n'exclut pas non plus que dans certains cas il puisse être fait obligation à un moteur de recherche de déréférencer un résultat sur toutes ses versions si cela s'avère indispensable à la protection des droits de la personne concernée. Par ailleurs les moteurs de recherche sont invités à empêcher efficacement, ou au moins décourager, les internautes européens d'accéder aux liens déréférencés. Ainsi, au nom de l'effectivité des droits protégés, toute ambition extra-européenne n'a pas disparu, loin de là.

(3) La CJUE relève que l'autre exception à l'interdiction du traitement des données sensibles, évoquée par le Conseil d'État dans sa question préjudicielle (art. 8, § 2, a), de la directive, consentement au traitement de ses données par l'intéressé) n'est pas pertinente puisque par définition une demande de déréférencement signifie que ce consentement est retiré.

(4) La CJUE, dans son champ de compétence, vise la Charte des droits fondamentaux de l'Union européenne et non la Convention européenne des droits de l'homme. On connaît la concurrence entre les deux juridictions en matière de libertés publiques.

(5) Pour les données dites sensibles, le droit à l'information est envisagé comme une déclinaison de l'exception prévue par l'art. 8, § 4, de la directive : l'existence de « motifs d'intérêt public important » susceptibles de justifier le traitement de telles données.

(6) Le fait que le référencement par les moteurs de recherche – en particulier le référencement des articles de presse en ligne – relève en lui-même du droit à l'information est une évidence, mais toujours bonne à rappeler.

(7) V. pt 66 de l'arrêt du 24 sept. 2019 : « Si les droits de la personne concernée protégés par les articles 7 et 8 de la Charte prévalent, en règle générale, sur la liberté d'information des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l'information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l'intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique (v., en ce sens, arrêt du 13 mai 2014, aff. C-131/12, Google Spain et Google, EU:C:2014:317, pt 81) ».

(8) Pts 36 et 37 de l'arrêt : « […] cette activité joue un rôle décisif dans la diffusion globale desdites données en ce qu'elle rend celles-ci accessibles à tout internaute effectuant une recherche à partir du nom de la personne concernée, y compris aux internautes qui, autrement, n'auraient pas trouvé la page web sur laquelle ces mêmes données sont publiées. De plus, l'organisation et l'agrégation des informations publiées sur Internet effectuées par les moteurs de recherche dans le but de faciliter à leurs utilisateurs l'accès à celles-ci peuvent conduire, lorsque la recherche de ces derniers est effectuée à partir du nom d'une personne physique, à ce que ceux-ci obtiennent par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet leur permettant d'établir un profil plus ou moins détaillé de la personne concernée. […] l'activité d'un moteur de recherche est susceptible d'affecter significativement et de manière additionnelle par rapport à celle des éditeurs de sites web les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel ».

(9) RGPD, art. 4 (définitions) : « données à caractère personnel », toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée ») ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ». Comp. directive de 1995, art. 2 : « données à caractère personnel » : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ». Les « données personnelles » ne sont pas définies dans la loi du 6 janv. 1978.

(10) En réalité, tous types de données confondus, sur les treize arrêts rendus, huit sont à examiner. Les cinq autres sont des décisions de non-lieu à statuer, Google ayant procédé au déréférencement des liens litigieux postérieurement à l'introduction des requêtes.

(11) Ces critères ne sont pas exhaustifs (« notamment »). La CJUE invite à procéder à une mise en balance « sur la base de tous les éléments pertinents du cas d'espèce ». Ce qui laisse en pratique une grande marge de manœuvre aux juridictions saisies.

(12) V. art. 8, § 2, e), de la directive 95/46/CE devenu 9, § 2, e), du RGPD.

(13) Ce qui comme rappelé supra est la traduction du droit d'opposition (RGPD, art. 21) qui figure dans l'art. 17 du RGPD comme un des motifs possibles de la demande d'effacement.

(14) Sic, d'autres informations que les informations litigieuses, comprend-t-on. Le détail a son importance.

(15) RGPD, art. 10 : « Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l'article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l'autorité publique, ou si le traitement est autorisé par le droit de l'Union ou par le droit d'un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l'autorité publique ».

(16) CEDH 28 juin 2018, n° 60798/10 et n° 65599/10, M.L. et W.W. c/ Allemagne ; Archives de presse en ligne versus droit à l'oubli : la Cour européenne tranche en faveur du droit du public à l'information, Légipresse 2018. 433.

(17) À l'exception d'un critère important : le rôle joué par le requérant dans la divulgation de ses données personnelles. C'est sans doute dû à l'articulation des textes. Mais il n'est pas interdit aux moteurs de recherche, à la CNIL et aux juridictions saisies de tenir compte de cette circonstance dans tous les cas, puisque les critères de la mise en balance ne sont pas limitatifs.

(18) Civ. 1re, 27 nov. 2019, no 18-14.675 ; La Cour de cassation apporte des précisions sur la demande de déréférencement d'un lien pointant vers un article faisant état d'une condamnation pénale, Légipresse 2019. 661.

(19) Contrairement au Conseil d'État, la Cour de cassation se prononce au vu des textes applicables à l'époque des faits, et non des textes applicables au jour où elle statue. Elle ne fait donc pas référence au RGPD, et notamment pas à son art. 17.