Demander à Google le retrait des informations

Une importante décision de la Cour de justice de l’Union européenne en date du 13 mai 2014 confirme l’application des règles européennes relatives à la protection des données personnelles au moteur de recherche américain Google, à qui les internautes peuvent désormais demander, sous certaines conditions, la suppression des résultats de recherches pointant vers des sites web portant atteinte à leur vie privée.

Une importante décision de la Cour de justice de l’Union européenne en date du 13 mai 2014 confirme l’application des règles européennes relatives à la protection des données personnelles au moteur de recherche américain Google, à qui les internautes peuvent désormais demander la suppression des résultats de recherches pointant vers des sites web portant atteinte à leur vie privée.Le « droit à l’oubli » sur internet fait l’objet de revendications croissantes de la part des particuliers : selon le dernier rapport d’activité de la CNIL, plus d’un tiers des plaintes enregistrées en 2013 concernent des problématiques d’e-réputation, comme la « suppression de textes, photographies, vidéos, (…) et la réutilisation de données publiquement accessibles sur internet»). Pour autant, les contours juridiques de ce « droit à l’oubli » demeurent encore imprécis puisque ni la loi n°78-17 du 6 janvier 1978 dite Informatique et Libertés ni la directive européenne 95/46 du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données ne consacrent explicitement le droit d’une personne de faire définitivement supprimer une information personnelle mise en ligne sur Internet.

En outre, la dématérialisation des contenus et l’organisation d’Internet par des moteurs de recherche internationaux permettent de mémoriser à l’infini les informations mises en ligne, y compris celles permettant d’identifier une personne physique. En réalité, le « droit à l’oubli » n’existe qu’indirectement et sous une forme moins absolue au travers de dispositions spécifiques permettant à une personne de contrôler les conditions dans lesquelles ses informations personnelles sont accessibles au public. Conformément aux principes de finalité, de loyauté, d’exactitude et de mise à jour des données, celles-ci ne peuvent notamment pas être recueillies et traitées de manière générale et incontrôlée, mais uniquement pour un usage déterminé, précis et légitime limité dans le temps (article 6 de la loi du 6 janvier 1978). En outre, toute personne peut faire rectifier, compléter ou effacer les informations qui la concernent lorsque des erreurs, des inexactitudes ou des illégalités ont été constatées (article 40 de la loi du 6 janvier 1978 et article 12 de la directive 95/46). Enfin, un internaute peut également s’opposer à la mise en ligne de ses données personnelles « pour des motifs légitimes » (article 38 de la loi du 6 janvier 1978) ou « pour des raisons prépondérantes et légitimes tenant à sa situation particulière » (article 14 de la directive 95/46).

Le respect du droit d’opposition européen par le moteur de recherche américain Google était donc au cœur d’un litige opposant Google à l’autorité espagnole de protection des données personnelles à la suite d’une plainte concernant le référencement de sites internet publiant d’anciens articles de presse relatifs au niveau d’endettement du plaignant. Alors que les dettes avaient été réglées depuis longtemps, les articles apparaissaient toujours en tête des résultats proposés par le moteur de recherche Google lorsqu’était saisi le nom du plaignant. Suite au recours de Google contre la décision de l’autorité espagnole lui ordonnant de désindexer les sites Internet, la juridiction espagnole avait saisi la CJUE de plusieurs questions préjudicielles portant sur l’interprétation de la directive 95/46.

La décision rendue par la CJUE le 13 mai 2014 est importante à plus d’un titre. Elle confirme notamment l’application de la directive 95/46 aux moteurs de recherche opérant avec des moyens situés en dehors de l’Union européenne, dès lors qu’il existe dans un État membre une « succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche et dont l’activité vise les habitants de cet État membre ». Ainsi, l’existence d’une filiale espagnole dénommée Google Spain ayant en charge la promotion des activités publicitaires du groupe Google suffit, pour la Cour, à entraîner l’application du droit européen dès lors que l’activité de cette filiale est matériellement indissociable de celle du moteur de recherche collectant les données. On peut d’ailleurs rapprocher cette conception des choix de la jurisprudence française relatifs à Google France.

Par ailleurs, Google est aussi qualifié de « responsable de traitement » au sens de l’article 2 de la directive 95/46, qui désigne « la personne physique ou morale (…) qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel ». Cette qualification est lourde de sens : parce que le responsable de traitement décide de manière autonome de l’existence et des conditions de mise en œuvre d’un fichier de données à caractère personnel, la loi lui fait supporter en contrepartie des obligations limitant l’exploitation des données et lui imposant de veiller au respect des droits des personnes concernées. Or pour la Cour, l’exploitant d’un moteur de recherche contenant des données personnelles est bien responsable de traitement puisque son activité consiste à « trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à disposition des internautes selon un ordre de préférence donné ».

S’agissant de la mise en œuvre du droit d’opposition prévu à l’article 14 de la directive 95/46, la CJUE rappelle qu’en sa qualité de responsable de traitement, toute personne peut demander directement à Google la suppression des résultats de recherche pointant vers des sites web contenant des informations portant atteinte à sa vie privée.

Pour autant, la suppression des données n’est pas automatique et devra être justifiée par « des raisons prépondérantes et légitimes » : il appartiendra au moteur de recherche d’apprécier au cas par cas la pertinence des demandes en recherchant « un juste équilibre » entre la vie privée de la personne concernée et « l’intérêt légitime des internautes potentiellement intéressés à avoir accès à celle-ci ». La Cour précise également que si « les droits de la personne concernée prévalent, en règle générale, sur l’intérêt des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée, ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique ».

Prenant note de la décision de la CJUE, Google a mis en ligne le 30 mai 2014 un formulaire permettant aux internautes utilisant les versions européennes de son moteur de recherche de soumettre des demandes de suppression de résultats de recherche jugés inappropriés.

Il ne s’agit pour autant que d’une première étape : la CJUE n’ayant pas fixé de critère précis pour déterminer l’équilibre entre les droits fondamentaux des personnes et le droit du public à l’information, il reviendra donc à Google de déterminer lui-même au cas par cas les sites devant être déréférencés, au risque de voir engager sa responsabilité en cas de mauvaise appréciation de la gravité des atteintes à la vie privée des personnes. A l’inverse, l’on doit aussi s’interroger sur l’opportunité de laisser à Google, société de droit privé, la charge de déterminer ce qui doit être déréférencer et ce qui peut rester en ligne…

Voir aussi : Droit à l’oubli : où en est-on ? et Droit à l’oubli : changer de nom, une technique efficace ?