- 3 commentaires

Droit à l’oubli : la décision de la CJUE qui fait trembler internet

Un article intéressant pour toi, tu as vu ça ? Mardi 13 mai 2014, 15h. C’est le sixième collègue attentionné qui m’envoie un article de presse sur la décision de la Cour de Justice de l’Union Européenne (CJUE) tombée ce jour. Tous les supports en parlent, et l’information clignote désormais en rouge vif dans tous les fils de veille des équipes de Reputation Squad.

Deux jours plus tard, on continue de voir fleurir les articles sur le sujet. Certains sont raisonnablement pertinents. Pas tous. On trouve aussi des titres fantaisistes, des affirmations quelque peu excessives et des propos franchement flous. On mélange tout, le néophyte sent bien que quelque chose d’important se trame quelque part, mais reconnaît volontiers qu’il ne comprend pas tout.

Au sein du pôle juridique de Reputation Squad, nous avons lu la décision. L’expression « droit à l’oubli » n’apparaît pas, mais il y est bien question de déréférencement des contenus. Lire et comprendre une décision de la CJUE (26 pages ici) n’étant pas toujours simple, essayons ensemble de reprendre calmement le raisonnement juridique de la Cour.

 

De quoi parle-ton ?

Un beau jour qu’il se prend de taper son nom sur Google (ce que tout individu devrait faire régulièrement) , monsieur C.G., ressortissant espagnol, constate qu’apparaissent des liens vers deux pages du quotidien La Vanguardia sur lesquelles figurent une annonce pour une vente aux enchères immobilière liée à une saisie pratiquée en recouvrement de dettes de sécurité sociale. L’annonce date de 1998. En tapant son nom, n’importe qui peut donc immédiatement constater que notre ami a par le passé contracté des dettes qu’il ne pouvait rembourser. Peu pratique pour obtenir un prêt, gagner la faveur d’investisseurs ou même simplement pour trouver du travail.

Il se trouve, point important, que la publication de l’annonce était une obligation faite à la Vanguardia puisqu’ordonnée, dans le cadre du droit espagnol, par le ministère du Travail et des Affaires sociales.

Fort mécontent, C.G. saisi l’AEPD (l’équivalent de la CNIL en Espagne) d’une « plainte » qui vise non seulement le journal La Vanguardia mais également deux entités de Google : Google Inc. (le siège) et Google Spain.

Coup de théâtre, le 30 juillet 2010 l’AEPD rend sa décision. Elle reconnaît le droit à la Vanguardia de maintenir sa publication mais accueille favorablement la plainte contre Google. L’entreprise, qui se voit donc sommé de désindexer les deux pages, ne l’entend pas de cette oreille et introduit un recours devant la haute juridiction espagnole, l’Audienca Nacional.

C’est cette juridiction qui, perplexe, va poser une série de questions à CJUE sur la façon dont il faut appliquer le droit européen, et particulièrement la directive 95/46/CE du 24 octobre 1995 relative à la protection des données à caractère personnel et la libre circulation des données en général (lien vers la directive).

Le décor est posé, les personnages sont en place, la pièce peut se jouer.

 

Venons-en au fait : que répond la Cour ?

1 – Le moteur de recherche est un traitement de données à caractère personnel

Le droit européen encadre strictement les « traitements de données à caractère personnel », c’est-à-dire toutes les manipulations (automatisées ou non) qui touchent de près ou de loin de telles données. L’une des principales questions posées à la Cour est donc la suivante : un moteur de recherche est-il un « traitement de données à caractère personnel » ?

Si oui, les règles de la directive 95/46/CE s’appliquent, ce qui implique un certain nombre de conséquences quant aux recours que peuvent effectuer les individus directement contre Google.

Jusque-là, le géant californien se réfugiait derrière un certain flou juridique, en considérant que les responsables de traitement de données à caractère personnel étaient les éditeurs des sites internet indexés, lui-même se bornant à une indexation automatique qui ne pouvait être considérée comme un tel traitement.

Par sa décision du 13 mai dernier, la CJUE tourne cette page pour affirmer que l’activité d’un moteur de recherche est un traitement de données à caractère personnel qui « se distingue de et s’ajoute » à celui effectué par les éditeurs de sites internet, puisqu’elle rend accessible à tout internaute des informations privées et des données à caractère personnel à partir du nom de la personne concernée, « y compris aux internautes qui, autrement, n’auraient pas trouvé la page web sur laquelle ces mêmes données sont publiées ».

La Cour, concluant que l’activité d’un moteur de recherche est susceptible d’affecter significativement les droits fondamentaux de la vie privée et de la protection des données à caractère personnel, estime dès lors que l’exploitant du moteur de recherche (ici Google) « doit assurer » le respect des obligations prévues par la directive.

Ces dernières précisions sont fondamentales. En quelques mots, la Cour vient exprimer clairement que Google, par sa toute-puissance sur le marché des moteurs de recherche, a une responsabilité et un impact considérables sur la vie des individus. C’est le constat de ce poids sur la vie des gens qui accompagne la Cour dans l’ensemble de son raisonnement.

2 – Conséquence ?

Puisque Google est le responsable d’un traitement de données à caractère personnel, il devient possible pour le titulaire de telles données de s’adresser directement à la société pour demander le respect de ses droits. Encore faut-il savoir à quelles conditions on peut exiger le retrait de liens pointant vers des données à caractère personnel.

Sur le fond de l’affaire, la Cour ne se prononcera pas. C’est aux juges nationaux de trancher les litiges au cas par cas, et l’Audienca Nacional devra s’appuyer sur la réponse de la CJUE pour déterminer si, en l’espèce, C.G. est légitime à demander la désindexation de ces deux pages.

Pour l’aider dans cette tâche, la CJUE débroussaille le terrain en détaillant le raisonnement à suivre, relativement complexe à suivre pour qui ne maîtrise pas la directive 95/46/CE sur le bout des doigts. Ce qu’il faut retenir, c’est que la Cour conclut qu’il est des hypothèses où une personne peut s’opposer à ce que des liens vers des informations personnelles le concernant apparaissent sur un moteur de recherche, sans avoir à démontrer de préjudice, et ce notamment quand ces données sont obsolètes ou quand il apparaît que leur indexation « n’est pas justifiée par l’intérêt prépondérant du public à avoir accès » à ces données.

Ce faisant le juge instaure, sinon un droit à l’oubli, au moins un droit au référencement.

 

Et maintenant, que va-t-il se passer ?

Maintenant, le juge espagnol va pouvoir s’appuyer sur cette décision pour déterminer si, dans le cas concret qui lui est soumis, monsieur C.G. peut légitimement demander le retrait de ses informations. La réponse, sans doute, sera positive. Ensuite ?

Soyons francs, on ne sait pas vraiment. Google a réagi a minima en dénonçant un arrêt « décevant » et en indiquant que ses équipes allaient désormais « prendre le temps d’analyser les implications de cet arrêt ». Certains se félicitent de cette décision allant dans le sens de la construction d’un droit à l’oubli, d’autres s’inquiètent d’un possible mouvement vers toujours plus de censure…

Il ne faut pas s’emballer excessivement. Cette décision ne signifie pas qu’il est déjà possible de faire supprimer tout et n’importe quoi du moteur de recherche. S’ouvre maintenant une phase intéressante, sans doute longue, où chacun va essayer de placer ses billes à la lumière de cet arrêt pour en dessiner davantage les contours. Des avocats vont se jeter dans la brèche et inciter leurs clients à assigner Google ; ceux de Google vont bâtir de nouvelles défenses pour essayer de limiter au maximum la responsabilité du géant californien, qui trouvera sans doute ici une occasion en or pour s’ériger en chantre de la liberté d’expression.

De leur côté, sites internet et médias risquent quant à eux de voir là un blanc-seing pour abandonner toute prudence et ne pas se soucier de protection des données à caractère personnel dans leurs colonnes, puisque le juge européen considère que l’indexation est plus préjudiciable que la seule publication sur un site internet.

La réponse de Google à ceux qui les contacteront directement est déjà facilement imaginable. L’entreprise répondra qu’en vertu de sa neutralité elle n’est pas en mesure de juger de la pertinence d’un contenu au regard de la légitime information du public, et se rangera systématiquement derrière les décisions des tribunaux. Le jour ou l’ou pourra s’adresser directement à Google pour avoir gain de cause n’est pas encore arrivé.

Il se murmure néanmoins que Google planche déjà sur un outil technique pour demander directement la désindexation de ses données à caractère personnel. C’est en tout cas ce qu’affirmerait l’une des grandes agences allemande de protection des données. Affaire à suivre.

 

Mise à jour : vous pouvez également lire l’interview de Richard Malka, réalisée en octobre 2014 à l’occasion de la parution d’un numéro spécial du Networker sur le droit à l’oubli.