Gestion du déréférencement Google

L’arrêt de la Cour de Justice de l’Union européenne (CJUE) du 13 mai 2014 dit « Google Spain » (Aff. C-131/12) avait fait grand bruit, en érigeant notamment un droit pour les personnes physiques au déréférencement des informations les concernant sur les moteurs de recherche, appelé droit à l’oubli. Néanmoins, la mise en musique de cette partition ne se fait pas sans heurts…

L’arrêt CJUE, Google Spain, avait érigé un droit à l'oubli, au déréférencement des informations les concernant sur les moteurs de recherche. Où en est-on ?Une importante décision de la CJUE

La CJUE a estimé que : « Les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 doivent être interprétés en ce sens que, afin de respecter les droits prévus à ces dispositions et pour autant que les conditions prévues par celles-ci sont effectivement satisfaites, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite ».

Depuis cet arrêt, en application de ce droit à l’oubli, une personne peut donc demander directement à un moteur de recherche de déréférencer les liens qui la concernent et qui apparaissent à la requête de son nom s’ils contreviennent aux conditions du droit européen sur les données personnelles, sans devoir s’adresser au préalable à l’éditeur du site litigieux. Le droit à l’oubli ne permet en effet pas de supprimer l’information à la source mais de supprimer le lien automatique entre la requête du nom d’une personne et l’information qui contient son nom dans la liste des résultats du moteur.

Toutefois, la solution n’est pas absolue, notamment en raison de l’intérêt légitime qui peut exister à la diffusion d’informations sur une personne (par exemple pour une personne qui jouerait un rôle dans la vie publique). La CJUE préserve donc une marge d’appréciation quant à l’opportunité d’appliquer le droit à l’oubli qui sera nécessairement source de contentieux.

Ainsi, Google indique dans le formulaire mis à la disposition des internautes européens à la suite de cette décision, qu’elle opère une appréciation lui permettant de « trouver un juste équilibre entre la protection de la vie privée des individus et le droit du public à accéder à ces informations et à les diffuser ».

Les premières réponses de la CNIL et du G29

La CNIL a déjà reçu plusieurs dizaines de plaintes du fait de réponses négatives des moteurs de recherche à une demande de déréférencement, en vertu du droit à l’oubli.

Elle a donc élaboré avec les autres autorités européennes en charge de ces questions (le Groupe de travail de l’article 29) une interprétation de l’arrêt de la CJUE et un ensemble de 13 critères communs qui doivent permettre l’instruction de ces plaintes.

Certains critères sont liés à l’applicabilité de ce droit à l’oubli (le fait qu’il s’agisse d’une personne physique, l’exactitude des données, leur caractère pertinent ou excessif…) d’autres à une appréciation du contexte (le fait qu’il s’agisse d’une personne ayant un rôle public, d’un mineur, l’objectif journalistique…) d’autres enfin aux conséquences sur la personne (préjudice, risques pour le plaignant).

Cette grille de lecture ne donne pas de réponse toute faite ou immédiate mais permet de comprendre la logique qui sera suivie par les autorités nationales dans la poursuite d’une juste application du droit d’à l’oubli. Reste à savoir si les moteurs de recherche en tiendront compte préventivement dans leur propre appréciation de la nécessité ou non de déréférencer.

Parallèlement, une ordonnance de référé du 16 septembre 2014 rendue par le Président du Tribunal de grande instance de Paris a déjà enjoint Google de procéder à un déréférencement de propos diffamatoires qu’elle refusait, et ce sur la base de son statut de responsable de traitement de données personnelles.

Comment, à l’avenir, assurer la réalité de ce nouveau droit à l’oubli et préserver les intérêts des personnes, ceux des moteurs de recherche et du public ? Plus généralement, comment rendre effectif le droit des données personnelles dans le contexte international et connecté que nous connaissons, notamment avec les géants du web que sont Google, Facebook ou Twitter?

Des pistes de réflexion pour l’avenir

Dans son étude annuelle publiée le 9 septembre 2014 et portant sur le numérique et les droits fondamentaux, le Conseil d’Etat propose de mettre en place un système de médiation pour les petits litiges liés à l’utilisation des technologies numériques et en particulier dans le contexte du droit au déréférencement. Il relève en effet le risque que le coût d’une procédure judiciaire soit prohibitif (proposition n°31).

Il imagine ainsi la création d’une structure ad hoc, groupement d’intérêt public ou association composée d’experts et de représentants du secteur, qui permette le traitement peu onéreux et rapide des conflits.

Cette voie a déjà été prise par la Corée du Sud sous la forme d’une autorité administrative créée par la loi sur la protection des données personnelles en 2001, le « Personnal Information Dispute Mediation Committee » (PIDMC ou PICO).

Une telle structure devrait veiller à respecter les principes de la médiation inscrits par ailleurs dans la loi française et le droit européen afin d’en assurer la cohérence et l’efficacité (un processus structuré mené par un médiateur neutre, impartial, compétent, diligent et qui respecte notamment la confidentialité).

Par ailleurs, cette nouvelle prérogative pour les personnes physiques intervient alors même que la France vient d’intégrer la notion d’« action de groupe » dans son corpus juridique avec la loi du 17 mars 2014, dite loi « Hamon », relative à la consommation.

En effet, il est désormais possible pour « une association de défense des consommateurs (…) d’agir devant une juridiction civile afin d’obtenir la réparation des préjudices individuels subis par des consommateurs placés dans une situation similaire ou identique et ayant pour cause commune un manquement d’un ou des mêmes professionnels à leurs obligations légales ou contractuelles » (article L.423-1 du Code de la consommation).

Pour le moment, une telle action est limitée aux litiges de la consommation. Toutefois, le Conseil d’Etat propose également dans son étude annuelle de créer une action collective pour sanctionner les violations de la réglementation sur la protection des données personnelles (proposition n°8).

On pense également au modèle qui a été mis en place pour les conflits relatifs aux noms de domaine, avec les procédures dites « UDRP ». Ces procédures extrajudiciaires sont rapides, peu coûteuses, moins formelles que les actions en justice et menées par des experts du secteur. Elles n’excluent toutefois pas les juridictions nationales et n’ont d’ailleurs pas les mêmes pouvoirs mais représentent une alternative souvent satisfaisante.

Dans un contexte mondial où la localisation devient artificielle, les débats juridiques de compétence et de loi applicable sont un frein considérable à la mise en œuvre des droits des personnes qui n’ont pas les moyens d’affronter les géants du web devant les Tribunaux.

D’un autre côté, on peut comprendre également les difficultés pour un moteur de recherche de faire face à un nombre potentiellement astronomique de demandes de déréférencements et de s’ériger en juge des intérêts en présence. Il est probable que les solutions résulteront de l’association entre des droits nationaux et continentaux fermes pouvant aboutir à des sanctions et l’organisation concertée avec les acteurs d’un système souple favorisant les règlements amiables.

Voir aussi : Atteintes à la vie privée sur internet : Google doit-il effacer le passé ? et Droit à l’oubli : changer de nom, une technique efficace ?