La question du droit à l’oubli a fait couler beaucoup d’encre ces dernières années. Ceux qui contestent le bien-fondé de ce droit l’opposent souvent au droit de tout un chacun à l’information. Au contraire, ses défenseurs soulignent qu’il est un élément supplémentaire de protection de la vie privée des personnes. La Cour de justice de l’Union européenne semble donner raison à ces derniers en se positionnant en faveur des droits de la personne dans un arrêt rendu ce 13 mai 2014.

Affaire Google, quels étaient les faits ?

Une personne avait fait l’objet d’une saisie immobilière en vue du recouvrement de dettes de sécurité sociale dans les années 90. Deux annonces concernant cette adjudication avaient été publiées dans la version papier d’un journal espagnol puis dans la version numérique à la disposition des internautes.

Le 5 mars 2010, cette personne introduisait une réclamation devant l’autorité espagnole de protection des données personnelles, l’AEPD. Elle demandait à l’autorité de protection d’ordonner à l’éditeur du journal espagnol de supprimer ou de modifier les pages disponibles en ligne afin que ses données personnelles n’y figurent plus ou qu’elles soient protégées grâce aux outils fournis par les moteurs de recherche. Par ailleurs, la personne demandait que les sociétés Google Spain et Google Inc. soient contraintes de supprimer ou d’occulter ses données personnelles de sorte que les résultats de recherche ne fassent plus mention d’aucun lien vers le journal lorsque son prénom et ses noms étaient introduits dans le moteur de recherche « Google Search ». La personne invoquait le fait que la procédure de saisie pratiquée à son égard avait été clôturée depuis de nombreuses années et que cette information avait perdu sa pertinence.

Le 30 juillet 2010, l’autorité de protection a accueilli la réclamation dirigée contre les sociétés Google Spain et Google Inc. considérant que ces sociétés doivent être regardées comme des responsables de traitement au sens de la directive 95/46/CE et qu’elles effectuent un traitement de données personnelles en exploitant le moteur de recherche.

Un recours devant la juridiction espagnole de renvoi a été introduit concluant à l’annulation de la décision de l’AEPD.

La juridiction a sursis à statuer, considérant que la solution du litige dépendait de l’interprétation de la directive 95/46/CE, pour poser trois questions préjudicielles à la Cour de justice de l’Union européenne. La première question préjudicielle concerne l’application territoriale de la directive européenne. La deuxième question concerne l’application matérielle de la directive. Plus précisément, elle consiste à déterminer si l’activité du moteur de recherche peut être qualifiée de traitement de données personnelles au sens de la directive européenne. La troisième question consiste à déterminer l’étendue du droit d’obtenir « la rectification, l’effacement ou le verrouillage des données » et partant la suppression des liens proposés eu égard à l’activité du moteur de recherche.

Quelles sont les réponses de la Cour de justice ?

Sur l’application matérielle de la directive. La Cour relève que Google est un responsable de traitement et procède à un traitement automatisé des données personnelles au sens de l’article 2 de la directive 95/46/CE.

En effet,  dans le cadre de son activité de moteur de recherche, Google procède à des opérations « automatisée

[s], constante[s] et systématique[s] » de recherche d’informations publiées sur l’Internet. Ensuite, la société américaine « extrait» , « enregistre », « organise » et «  conserve » les informations collectées sur ses serveurs. Enfin, les informations sont  « communiqu[ées] » et « [mises] à disposition » des internautes. L’ensemble de ces opérations correspondent à la notion de traitement de données personnelles et sont de nature à conférer à la société la qualité de responsable de traitement.

Sur le champ d’application territorial de la directive. Il s’agit ici pour la Cour de justice de clarifier la notion d’ « d’établissement » au sens de la directive de nature à entraîner l’application de la loi nationale de protection des données du pays dans lequel le responsable de traitement a un établissement conformément à l’article 4 de la directive.

Or, sur ce point la Cour relève que Google Spain est une filiale de la société Google Inc. et qu’à ce titre elle constitue un établissement au sens de la directive. Cependant, le traitement peut-il être considéré comme étant effectué « dans le cadre des activités » de Google Spain ? La Cour répond par l’affirmative dès lors que le traitement participe à l’activité publicitaire et commerciale de l’établissement espagnol.

Sur le droit d’obtenir la suppression des liens. La Cour de justice recherche un « juste équilibre » entre les droits des personnes issus de la Charte des droits fondamentaux de l’union européenne (droit au respect de la vie privée et droit  à la protection des données personnelles issus des articles 7 et 8) et l’ « intérêt légitime » des internautes à avoir accès à l’information disponible sur l’Internet. La Haute juridiction européenne en conclut que la personne concernée peut solliciter  directement de l’exploitant du moteur de recherche, et à défaut de satisfaction, solliciter l’autorité de protection, en vue d’obtenir la suppression des liens associant ses nom et prénom à l’information en cause.

Quels sont les apports de cet arrêt ?

Si la Cour reconnaît le droit des personnes à obtenir d’un moteur de recherche la dissociation des données personnelles les concernant avec une information donnée, elle ne reconnaît pas explicitement un droit général à l’oubli. En effet, elle procède à une balance entre l’intérêt des internautes, l’intérêt économique du moteur de recherche et les droits de la personne pour conférer une primauté de principe à ces derniers. Cependant, il serait erroné de dire que la suppression sera systématique car le « rôle joué par la personne dans la vie publique » peut renverser le principe. L’exploitant du moteur de recherche devra donc faire une analyse au cas par cas à l’issue de laquelle l’intérêt du public pourrait prévaloir dans certaines hypothèses sur les droits de la personne au respect de sa vie privée et à la protection des ses données personnelles. C’est là un autre apport de l’arrêt puisque la personne concernée pourra effectuer une demande directement au moteur de recherche sans avoir à s’adresser, préalablement, à l’éditeur du site sur lequel l’information été publiée pour obtenir la suppression des liens.

Par ailleurs, il est important de noter que l’avis de l’avocat général Jääskinen était favorable à Google considérant que permettre à une personne d’obtenir la suppression de ses données personnelles aurait pour effet de censurer les éditeurs et de porter atteinte à leur liberté d’expression. Cette différence de position étonne d’ailleurs Al Verney, porte-parole de la société américaine, qui considère que « cet arrêt est décevant pour les moteurs de recherche et pour tous ceux qui publient du contenu en ligne. Nous sommes très surpris qu’il s’éloigne si profondément des conclusions de l’Avocat Général ainsi que des avertissements et des conséquences qu’il y formulait. Nous devons désormais prendre le temps d’analyser les implications de cet arrêt ».

Force est de constater que le « droit à l’oubli » n’a pas fini de faire parler de lui même si le texte relatif au nouveau cadre européen de protection des données personnelles, voté le 12 mars dernier par le Parlement, évoque plutôt un « droit à l’effacement ».