CJUE, 24 septembre 2019, aff. C-136/17
Dans deux arrêts aff. C-507/17 et aff. C-136/17 en date du 24 septembre 2019, la Cour de justice de l’Union européenne (ci-après CJUE) a précisé le régime du déréférencement consacré par le précédent arrêt de principe de la CJUE en date du 13 mai 2014 « Google Spain » à l’occasion de deux questions préjudicielles posées par le Conseil d’Etat. Dans les deux affaires, la CJUE a examiné la question préjudicielle posée par le Conseil d’Etat au regard de la directive 95/46 et du RGPD afin d’assurer des réponses utiles aux juridictions européennes.
- Sur l’arrêt C-507/17
Par une délibération 2016-054 en date du 10 mars 2016, la formation restreinte de la CNIL a condamné Google Inc. à une amende de 100 000€ en raison du refus de la société, dans le cadre d’une demande de déréférencement et à la suite d’une mise en demeure de la présidente de la CNIL, d’appliquer ce droit à l’ensemble des extensions de nom de domaine de son moteur de recherche. La CNIL demandait que Google face droit à la demande de déréférencement au niveau mondial, ce que contestait la société américaine.
En effet, Google Inc. a exercé devant le Conseil d’Etat un recours contre la sanction de la CNIL. Dans le cadre de ce recours contentieux, le Conseil d’Etat a décidé de poser une question préjudicielle à la CJUE sur la portée du droit au déréférencement résultant de l’arrêt « Google Spain ».
La CJUE indique qu’ « il ne ressort aucunement des termes de l’article 12, sous b) et de l’article 14 premier alinéa sous a) de la directive 95/46 ou de l’article 17 du règlement 2016/679 que le législateur de l’Union aurait […] fait le choix de conférer aux droits consacrés à ces dispositions une portée qui dépasserait le territoire des Etats membres et qu’il aurait entendu imposer à un opérateur qui, tel que Google, relève du champs d’application de cette directive ou de ce règlement, une obligation de déréférencement portant également sur les versions nationales de son moteur de recherche qui ne correspondent pas aux Etats membres » (point 62).
En conséquence, la CJUE considère « qu’en l’état actuel, il n’existe, pour l’exploitant d’un moteur de recherche qui fait droit à une demande de déférencement […] pas d’obligation découlant du droit de l’Union de procéder à un tel déréférencement sur l’ensemble des versions de son moteur » (point 64).
Par suite, la CJUE répond à la question de savoir si le déréférencement doit être effectué sur toutes les versions des Etats membres de l’Union ou seulement sur la version de l’Etat membre dans lequel réside le bénéficiaire du déréférencement. A cette question, la CJUE répond au point 66 que « le déréférencement en cause est, en principe, censé être opéré pour l’ensemble des Etats membres ».
Cependant, ce principe d’un droit au déréférencement sur le territoire de l’ensemble des Etats membres de l’Union n’est pas un principe général. En effet, la CJUE apporte des précisions dans ses développements sur la portée de ce principe.
D’une part, au point 67, la CJUE indique que « l’intérêt du public à accéder à une information peut, même au sein de l’Union, varier d’un Etat membre à l’autre, de sorte que le résultat de la mise en balance à effectuer entre celui-ci, d’une part, et les droits au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée, d’autre part, n’est pas forcément le même pour tous les Etats membres ».
D’autre part, la Cour de justice considère que « si […] le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus. Partant, une autorité de contrôle ou une autorité judiciaire d’un Etat membre demeure compétente pour effectuer, a l’aune des standards nationaux de protection des droit fondamentaux […] une mise en balance entre d’une part, le droit de la personne concernée au respect de sa vie privée et la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur » (point 72).
En conséquence, la CJUE considère que par principe la portée territoriale du droit au déréférencement est celle du territoire de l’Union européenne, contrairement à la position de la CNIL qui estimait que Google Inc. devait faire droit à la demande de déréférencement, dont il était saisi, au niveau mondial.
Toutefois, il revient à présent au Conseil d’Etat d’effectuer la mise en balance entre le respect de la vie privée et du droit à la protection des données personnelles avec la liberté d’information pour déterminer la portée territoriale adéquate de la demande de déréférencement, en fonction des circonstances de l’espèce.
- Sur l’arrêt C-136/17
Dans cette affaire, quatre requérants ont demandé à Google de déréférencer du moteur de recherche plusieurs liens. A la suite du refus de Google, les requérants ont saisi la CNIL qui n’a pas donné suite à leurs demandes. Ces derniers ont contesté devant le Conseil d’Etat les refus de la CNIL. Le Conseil d’Etat a décidé de poser une question préjudicielle à la CJUE concernant l’application aux exploitants de moteur de recherche des dispositions de la directive 95/46 relatives aux traitements de certaines catégories de données personnelles particulières.
Plus précisément, les catégories de données concernées sont, d’une part, celles visées à l’article 8 paragraphe 1 de la directive 95/46 qui révèlent l’origine raciale, ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle. D’autre part, celles visées à l’article 8 paragraphe 5 de la directive 95/46 qui encadre le traitement des données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté.
Dans sa décision, la CJUE considère que « les dispositions de l’article 8, paragraphes 1 et 5 de la directive 95/46 doivent être interprétées en ce sens que l’interdiction ou les restrictions relatives au traitement des catégories particulières de données à caractère personnel, visées par ces dispositions, s’appliquent, sous réserve des exceptions prévues par cette directive, également à l’exploitant d’un moteur de recherche dans le cadre de ses responsabilités, de ses compétences, à la suite d’une demande introduite par la personne concernée » (point 48).
La CJUE rappelle tout d’abord que par principe, l’exploitant d’un moteur de recherche doit « faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel » (point 69).
Ensuite, selon la CJUE, l’exploitant du moteur de recherche « peut refuser de faire droit à une demande de déréférencement lorsqu’il constate que les liens en cause mènent vers des contenus comportant des données à caractère personnel qui relèvent des catégories particulières visées à cet article 8, paragraphe 1, mais dont le traitement est couvert par l’exception prévue audit article 8, paragraphe 2, sous e), à condition que ce traitement réponde à l’ensemble des autres conditions de licéité posées par cette directive et à moins que la personne concernée n’ait, en vertu de l’article 14, premier alinéa, sous a), de ladite directive, le droit de s’opposer audit traitement pour des raisons prépondérantes et légitimes tenant à sa situation particulière » (point 69).
Enfin, la Cour estime que lorsqu’une personne exerce une demande de déréférencement auprès d’un moteur de recherche portant sur un lien qui renvoie vers une page web sur laquelle des données à caractères personnel relevant des catégories particulières visée à l’article 8 de la directive 95/46, sont publiées, « cet exploitant doit […] vérifier, au titre des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de ladite directive et dans le respect des conditions prévues à cette dernière disposition, si l’inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche, consacrée à l’article 11 de la Charte » (point 69).
En outre, la Cour de justice rappelle que l’article 17 paragraphe 3, sous a) du RGPD relatif au droit à l’oubli « consacre ainsi explicitement l’exigence d’une mise en balance entre, d’une part, les droits fondamentaux au respect de la vie privée et de la protection des données […] et, d’autre part, le droit fondamental à la liberté d’information » (point 59).
Pour conclure, concernant les informations relatives à une procédure judiciaire, la CJUE estime que d’une part les « informations relatives à une procédure judiciaire dont une personne physique a été l’objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé constituent bien des données relatives aux « infractions » et aux « condamnations pénales », au sens de l’article 8, paragraphe 5 de cette directive » (point 79).
Ainsi, la CJUE estime que « l’exploitant d’un moteur de recherche est tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle, dans la mesure où il est constaté, dans le cadre de la vérification des motif d’intérêt public important […] que, eu égard à l’ensemble des circonstances de l’espèce, les droits fondamentaux de la personne concernée […] prévalent sur ceux des internautes potentiellement intéressés » (point 79).