Le 27 mars dernier, le Conseil d’État a annulé la sanction pécuniaire publique de 100 000€ prononcée par la formation restreinte de la Cnil à l’encontre de la société Google Inc. sur la question de la portée du droit au déréférencement (CE, 10ème et 9ème chambres réunies, Google Inc., n°399922).
Cette décision a été rendue à la lumière de l’arrêt de la Cour de justice de l’Union européenne après que la Haute juridiction administrative a posé plusieurs questions préjudicielles à la Cour de Luxembourg sur la portée du droit au déréférencement.
Qu’est-ce que le droit au déréférencement ?
Le droit au déréférencement a été reconnu par la CJUE dans un arrêt « Google Spain » rendu le 13 mai 2014 (CJUE, 13 mai 2014, aff. C-131/12, Google Spain). Il permet à toute personne de demander à un moteur de recherche de supprimer certains résultats qui apparaissent à partir d’une requête renseignant ses nom et prénom.
Le déréférencement n’implique pas l’effacement de l’information sur le site source. Ainsi, même s’il est fait droit à une demande individuelle, le contenu restera consultable en allant directement sur le site à l’origine de la diffusion ou à partir de recherches opérées via d’autres mots clés que les nom et prénoms de la personne concernée.
Ce droit n’est pas absolu et peut être soumis à certaines limitations. De surcroît, le moteur de recherche peut refuser de donner suite à l’exercice de ce droit s’il démontre que cette information doit être portée à la connaissance du public.
Quels étaient les faits ?
En l’espèce, une personne physique avait exercé son droit au déréférencement auprès de la société Google Inc. et exigeait, notamment, que le déréférencement soit appliqué à l’ensemble des extensions géographiques du moteur de recherche Google Search.
N’ayant pas obtenu satisfaction, la personne concernée avait adressé une plainte à la Cnil. La présidente de la Cnil avait prononcé une mise en demeure à l’encontre de la société.
Considérant que la société ne s’était pas mise en conformité, une procédure de sanction avait été ouverte devant la formation restreinte de la Cnil en 2016.
Au terme de cette procédure, la formation restreinte avait estimé que les propositions communiquées quelques jours avant l’audience par la société Google Inc. n’étaient pas suffisantes. La société s’engageait à améliorer son dispositif de déréférencement en l’étendant à l’ensemble des extensions européennes du moteur de recherche et en mettant en place un filtrage selon le pays dont la requête émane, de telle sorte que ce « géo-blocage » empêche les internautes situés dans le même pays que le demandeur de visualiser les résultats de recherche litigieux.
Toutefois, selon la formation restreinte, cette mesure n’était pas satisfaisante dès lors que l’information référencée demeurait consultable par « tout internaute situé hors du territoire concerné par la mesure de filtrage, et, d’autre part, un contournement de cette mesure par les utilisateurs concernée demeur[ait] possible ». Une sanction pécuniaire rendue publique de 100 000€ avait donc été prononcée par la formation restreinte de la Cnil à l’encontre de la société Google Inc. (Délibération n°2016-054 du 10 mars 2016).
La société sanctionné avait alors introduit un recours devant le Conseil d’Etat tendant à l’annulation de la sanction prononcée à son encontre. Comme nous l’avons détaillé dans de précédents article, le Conseil d’État avait alors rendu une première décision interrogeant la CJUE sur la portée du droit au déréférencement.
Quelle est la portée du droit au déréférencement selon la CJUE ?
La Cour de justice de l’Union européenne avait dit pour droit que :
« lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement (…), il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des Etats membres, et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des Etats membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande » (CJUE, 24 septembre 2019, aff. C-507/17).
En outre, la Cour avait relevé que le droit de l’Union ne prévoit pas d’obligation imposant à un exploitant de procéder à un déréférencement sur l’ensemble des versions de son moteur, ni d’instruments ou de mécanismes de coopération pour ce qui concerne la portée d’un déréférencement en dehors de l’Union.
Elle avait néanmoins souligné que le droit de l’Union n’interdisait pas aux autorités de contrôle de procéder à une mise en balance du droit de la personne concernée au respect de sa vie privée et à la protection ses données personnelles, d’une part, et au droit de la liberté d’information, d’autre part, à l’aune des standards nationaux de protection des droits fondamentaux pour fonder une demande de déréférencement portant sur l’ensemble des versions d’un moteur de recherche.
Pourquoi la sanction de la Cnil a-t-elle été annulée ?
Le Conseil d’Etat souligne qu’il n’existe pas de disposition législative imposant que le déréférencement soit réalisé hors du territoire des Etats membres de l’Union européenne (point 10 de la décision).
Toutefois, une telle disposition aurait-elle conduit le Conseil d’Etat à prononcer une autre décision ? Rien n’est moins sûr.
En effet, il convient de rappeler que la faculté reconnue aux autorités de contrôle par la CJUE d’enjoindre une application du droit au déréférencement sur l’ensemble des versions du moteur de recherche n’est pas absolue. La CJUE a conditionné cette faculté d’injonction à la réalisation préalable par l’autorité de contrôle d’une balance entre le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel et la liberté d’information (Point 72 de l’arrêt de la CJUE).
A la lumière de cette exigence, le Conseil d’Etat estime que la formation restreinte de la Cnil a commis une erreur de droit en prononçant la sanction contestée au motif que :
« (…) il ressort des termes mêmes de la délibération attaquée que, pour constater l’existence de manquements persistants et reprocher à la société Google Inc. d’avoir méconnu l’obligation de principe de procéder au déréférencement portant sur l’ensemble des versions d’un moteur de recherche, la formation restreinte de la CNIL n’a pas effectué une telle mise en balance. » (Point 10 de la décision du Conseil d’Etat).
Ainsi, comment la formation restreinte de la Cnil a-t-elle pu retenir que la société aurait dû procéder à un déréférencement sur l’ensemble des versions du moteur de recherche sans avoir, au préalable, réaliser une balance entre d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information ?
En conséquence, en l’absence de disposition législative spécifique et en l’absence de balance des droits et libertés en présence, le Conseil d’Etat ne pouvait qu’annuler la délibération de la formation restreinte de la Cnil.
Il convient en revanche de souligner que le Conseil d’Etat ne s’est pas prononcé sur les mesures de blocage mises en place par la société exploitant le moteur de recherche.
Quelles sont les conséquences de cette décision ?
Cette décision clarifie les diligences attendues des moteurs de recherche lorsqu’ils font droit à une demande de déréférencement. En effet, ce droit ne devra pas seulement être appliqué sur la version du moteur de recherche du pays de l’Union où la demande a été effectuée. Il est dorénavant acté que ce droit devra être appliqué au niveau européen, à moins que l’autorité de contrôle ne justifie, au cas par cas, de la nécessité de voir ce droit renforcé et appliqué à l’échelle mondiale.
La décision du Conseil d’État clarifie également le niveau de rigueur attendu de l’autorité de contrôle dans la motivation de toute demande d’application du droit de déréférencement sur l’ensemble des versions d’un moteur de recherche.
La Cnil a annoncé tier les conséquences de la décision rendue par le Conseil d’Etat et modifier son site Internet sur le droit à l’oubli.
Enfin, sous réserve qu’elle soit nécessaire, si une disposition législative devait intervenir afin de permettre à la Cnil d’enjoindre un déréférencement sur l’ensemble des versions d’un moteur de recherche, cette faculté devrait être soumise à l’exigence de motivation définie par la CJUE.
Mathias Avocats ne manquera pas de vous tenir informés des éventuelles évolutions relatives au droit au déréférencement.