Arrêt Google : la Cour de justice a-t-elle condamné à mort les moteurs de recherche ?

Publié le 14/05/2014 par Etienne Wery , Thierry Léonard

Depuis le 13 mai, tous les feux sont au rouge chez les exploitants de moteurs de recherche et de réseaux sociaux américains. En cause, une décision rendue par la Cour de justice européenne. La Cour les soumet aux législations nationales européennes sur la protection des données dans les Etats membres où ils disposent d’un établissement (filiale ou succursale), et qualifie Google de responsable du traitement des données personnelles.

La Cour défend  une très large application extra-territoriale des règles européennes relatives à la protection des données, ce qui n’allait pas de soi et suscitera certaines interrogations.

Pour imposer à Google Inc. Société de droit US basée au Etats-Unis, le principe de reconnaissance d’un « droit à l’oubli » pour tous ses utilisateurs, il fallait la soumettre aux champs d’application matériel et territorial des règles nationales prises en vertu de la Directive 95/46/UE.  

Le raisonnement se tient en trois temps: Google Inc., qui exploite Google search, traite des données à caractère personnel au sens de cette directive (1) ; elle doit partant être considérée comme un responsable desdits traitements (2) ; à ce responsable s’applique territorialement les règles issues de la directive du fait de la présence sur le territoire espagnol, d’une de ses filiales, Google Spain (3).

Les faits

On se permet de renvoyer à l’exposé des faits contenus dans notre actu du 13 mai 2014.

Il faut cependant souligner que la Cour part également des constatations suivantes, opérées par la juridiction de renvoi : la filiale espagnole, Google Spain, n’intervient pas dans les traitements de données issues du travail d’indexation des sites web  par le moteur de recherche. Elle opère en Espagne pour promouvoir la vente d’espaces publicitaires  générés sur le site google.com et intervient donc dans le processus de gestion des publicités associées aux termes de recherches introduits par les internautes. Autrement dit encore, Google Spain opère seulement en tant qu’agent commercial du groupe dans l’Etat membre.

Les questions préjudicielles

L’affaire qui a aboutit à Luxembourg, comportait trois questions préjudicielles :

• la troisième question portait sur la reconnaissance d’un droit à l’oubli et sa portée. Nous avons étudié cette question séparément ;

• les deux premières avaient trait respectivement à la portée du critère de rattachement territoriale des règles issues de la directive et la seconde, partiellement, à la qualification de responsable du traitement de Google.inc. Ce sont questions que nous étudions ici.

Pourquoi ces deux questions ?

La qualité de « responsable du traitement » est essentielle pour mettre en œuvre les critères de rattachement prévus par la directive et ensuite, imposer à ce responsable de donner suite aux demandes de retrait d’informations indexées par le moteur de recherche.

Il convient de rappeler ici très succinctement les critères de rattachement prévus par la directive 95/46 UE.

En vertu de son article 4 §1er , chaque Etat membre applique ses dispositions nationales qu’il arrête en vertu de la directive lorsque :

·         le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur son territoire (1er critère) ; OU

·         si le responsable n’est pas établi sur le territoire de l’Union, lorsqu’il recourt, à des fins de traitements , à des moyens situés sur le territoire de l’Etat membre concerné (second critère).

La juridiction de renvoi interrogeait dès lors notamment la Cour sur l’applicabilité du 1^er critère dès lors que Google possédait une filiale en Espagne assurant la promotion des publicités proposés par le moteurs de recherche et/ou que cette filiale était responsable de fichiers « clients » de ses services publicitaires et /ou que cette filiale transmettait les réclamations et injonctions adressées par les personnes concernées ou l’autorité de contrôle à sa société mère.

L’avis de l’avocat général

En juin dernier, l’avocat général avait rendu un avis favorable au célèbre moteur de recherche en ce qui concerne sa qualification de responsable de traitement. Il faisait la part des choses :

• Il y a souvent un traitement de données personnelles sur les pages de sites indexés par le moteur de recherche ;
• Mais cela ne signifie pas pour autant que le moteur de recherche qui indexe ces pages est un responsable de traitement de données personnelles. Il qualifie même l’opinion inverse d’ « absurde » dès lors que ce fournisseur de service (le moteur) n’exerce pas a priori de contrôle sur des données à caractère personnel dont il n’a même pas conscience de l’existence, figurant sur les pages web d’un tiers et ne peut exécuter les obligations légales relatives à la protection des données, notamment la soumission aux conditions strictes de traitement des données sensibles qu’elles contiennent.  La seule exception -technique- qu’il percevait concernait la décision de ne pas respecter des codes d’exclusions dans le contenu de la mémoire cache ou de ne pas mettre à jour une page web en dépit d’une demande en ce sens du site web.

L’avocat général estimait cependant dans le même temps, répondant à la question de l’applicabilité territoriale, qu’il convenait d’admettre que le traitement en cause est effectué dans le cadre des activités d’un responsable de traitement lorsque l’entreprise fournissant le moteur de recherche crée dans un Etat membre une succursale ou une filiale destinée à assurer la promotion et la vente d’espaces publicitaires proposés sur le moteur de recherche. Il se basait ce faisant sur le modèle économique de Google prévoyant la présence d’établissement sur le territoire de nombreux Etats membres afin d’assurer la source de revenus nécessaire à l’offre de service gratuite à destination des internautes. Ce faisant, la filiale/agent commerciale joue, selon lui, un rôle significatif dans le traitement de données opéré par le moteur de recherche dès lors que l’établissement est lié à un service intervenant dans la vente de publicités ciblées à destination des résidents de l’Etat où ledit établissement se situe.

Il concluait cependant en l’espèce, que n’étant pas responsable du traitement, Google Inc ne pouvait en règle se voir imposer le respect des lois nationales européennes et donc, se voir imposer un droit à l’oubli.

L’arrêt rendu

Picorant dans l’avis de son avocat général pour reprendre ce qui l’intéressait, la Cour est cependant arrivée à une conclusion finale radicalement différente, estimant finalement que Google Inc devait bien être considéré comme responsable des traitements poursuivis dans son rôle de moteur de recherche auquel il convenait d’appliquer les règles nationales sur la protection des données dès lors qu’elle possédait un établissement sur le territoire d’Etats membres et que ces traitement étaient poursuivi dans le cadre de ses activités, fussent-elles purement publicitaires.

La Cour a ainsi estimé que:

• Google Inc. procède  à des traitements de données à caractère personnel au sens de la loi dans son activité de moteur de recherche. Tant la première diffusion de données personnelles en ligne sur une page web d’un tiers, que leur indexation, stockage et mise à disposition par un moteur de recherche, constitue des traitements des données contenues dans ces pages au sens de la directive;
• Google Inc. est le responsable des traitements opérés dans son activité de moteur de recherche. Il détermine les finalités et les moyens de ses traitements au sens de la définition présente dans la directive même s’il ne contrôle pas les données traitées, issues de pages de tiers. Ce faisant, il rend les informations accessibles et les structure en vue de leur diffusion. Il doit donc veiller à ce que ses traitements répondent aux exigences de la directive. Peu importe donc que tout le procédé soit automatisé et que les données ne soient pas traitées pour elles-mêmes et consciemment par le  responsable du traitement  au moyen de  de ses outils automatiques de recherche ;
• Google Inc. dispose en Espagne d’un établissement, à savoir une filiale, Google Spain. Même si elle n’intervient pas dans les traitements de données mis-en-œuvre par le moteur de recherche géré par Google.inc, la Cour, à l’instar du Groupe 29,  considère néanmoins que ces traitements sont mis en œuvre dans le cadre de ses activités d’agent publicitaires : sans le moteur de recherche et les traitements qui le sous-tendent, il n’y a pas de publicité à vendre. Les activités relatives aux publicités constituent en outre le moyen pour rendre le moteur de recherche rentable. Du reste, l’affichage des publicités achetées accompagne celui de données à caractère personnel qui constituent le résultat de la recherche, souligne la Cour. Partant, le critère de rattachement serait rempli et les lois européennes nationales seraient applicables à Google Inc., fut-elle établie en Californie.

Commentaires

La décision nous parait poser plus de questions qu’elle n’en résout. Sur le plan de l’orthodoxie juridique, le cheminement parait critiquable à plusieurs endroits, comme si la Cour était partie de la conclusion pour ensuite construire un raisonnement ad hoc.

Trois remarques en vue d’alimenter un débat qui d’ores et déjà bat son plein :

1. Concernant le critère de rattachement de l’établissement sur le territoire européen.

Certes, la publicité est présente sur le moteur de recherche. Certes, sans les revenus de cette publicité, le business plan de Google s’effondre. Certes, les résultats d’une recherche sur le nom du plaignant peut s’accompagner de l’apparition de publicités, traitées à l’initiative de Google Spain. Mais il reste que le traitement litigieux des données de Mr Costeja est totalement indépendant du traitement des publicités.

Disons-le autrement. Il ne fait aucun doute que Google Inc. bénéficie économiquement des activités de Google Spain. En ce sens, Google Spain participe au succès économique de Google Inc. Mais peut-on, à partir d’une relation économique en conclure que le traitement de Google Inc. (l’exploitation du moteur) est effectué dans le cadre des activités de Google Spain (la recherche de client pour le moteur) ?

Le critère de rattachement posé par la directive est canalisé par le traitement de données, et non par le lien économique entre le responsable et son établissement.

Par l’arrêt Google, la Cour autorise une interprétation très large du critère de rattachement : dès que le traitement est nécessaire à l’activité du responsable (aux USA) et qu’un établissement en Europe participe à cette activité – par exemple en récoltant des annonceurs pour faire de la publicité sur le site du responsable – sans rapport spécifique avec le traitement lui-même, on pourra considérer que le traitement (US) est opéré dans le cadre des activités de l’établissement européen. 

Avec un effet pervers potentiel : les prestataires de services du web investissant directement sur le territoire européen en y créant un pôle propre d’activité économique seront presqu’ automatiquement soumis aux règles de protection des données, alors que ceux qui s’abstiennent de tels investissements ne le seront normalement pas. Cette situation est –économiquement-malsaine. Elle ne sera résolue que par l’adoption d’une règle claire quant à l’application des règles européennes aux prestataires de services hors UE. Celle-ci est prévue dans le projet initial de règlement européen, qui ne laisse subsister aucun doute sur la volonté européenne : si le traitement de données est relatif à des résidents européens, il sera soumis au futur règlement même si le responsable est établi hors UE dès lors que ce traitement est lié à une offre de biens et services à ces personnes ou à l’observation de leur comportement. L a disparité de régime créée par l’arrêt de la Cour prendra alors seulement fin.

2. Concernant la soumission des moteurs de recherches au respect des lois sur la protection des données

C’est sur ce point précis que les questions les plus sérieuses se posent. Peut-on soumettre à une loi sur la protection des données un prestataire intermédiaire du web dont l’activité consiste à rendre possible l’accès aux informations mais qui n’exerce aucun contrôle sur les données en cause, n’est pas à l’origine de leur diffusion et est incapable de modifier celles-ci sur les serveurs hôtes d’origine ?

« Absurde » disait l’avocat général en faisant remarquer qu’une telle soumission par la qualification de responsable du traitement « supposerait que les moteurs de recherche sur Internet sont incompatibles avec le droit de l’Union » (§90 de ses conclusions). La Cour n’a que faire de cette constatation et s’en tient à une application stricte et littérale du texte de la directive.

Que voulait dire par là l’avocat général ?  Qu’en tant que responsable du traitement de toutes les opérations de traitement du moteur de recherche, Google Inc. devrait donc exécuter toutes les obligations légales de protection prévues par les lois sur la protection des données. Non seulement le principe de légitimité qui amène la Cour à lui imposer la reconnaissance d’un droit à l’oubli mais l’intégralité des autres principes de protection s’imposeraient au moteur de recherche. Par exemple, le principe de licéité du traitement. Comment la diffusion de données par le moteur de recherche, traitées à l’origine illicitement sur les pages web d’origine, pourrait-elle  être considérée comme licite dans son chef ? Autre exemple, le respect des régimes d’interdiction de traitement des données sensibles. Comment celui-ci pourrait-il être levé alors que le moteur de recherche n’a a priori aucun contact ni avec l’éditeur des données, ni avec les personnes concernées elles-mêmes. D’où la conclusion de l’avocat général : dans un tel cas, l’activité du moteur de recherche ne peut que violer les lois européennes de protection des données et cette activité serait donc « incompatible » avec le droit de l’Union. « Absurde » disait-il ?…

Par ailleurs, les juristes vont devoir à présent concilier deux textes dont l’esprit est radicalement différent :

• d’une part la directive sur le commerce électronique, dont l’esprit revient à exonérer de responsabilité civile et pénale les intermédiaires à la condition qu’ils se tiennent éloignés des contenus qui posent problème et n’interviennent que si l’illégalité est claire (au point d’interdire aux Etats de faire reposer sur eux un devoir général de surveillance) ;
• et d’autre part la directive sur les données personnelles interprétée dans le sens où les moteurs de recherche seront considérés comme responsables du traitement, et donc amenés à ce titre à devoir prendre connaissance des contenus traités et prendre des décisions par rapport à ces contenus pour s’assurer a priori ou a posteriori de la légalité et de la licéité du traitement.

À moins bien sûr que la Cour n’ait un agenda caché par rapport aux moteurs de recherche ? Car après tout, si la Cour souhaite réconcilier ces deux textes, une méthode pourrait être d’amorcer un virage et considérer que les moteurs de recherche ne sont pas des intermédiaires au sens de la directive sur le commerce électronique…

3. Concernant la responsabilité des intermédiaires au regard du respect des lois sur la protection des données 

N’est-il pas urgent de réfléchir au statut des moteurs de recherche –et des intermédiaires du web en général- au regard des législations sur la protection des données afin de trouver un régime de responsabilité de ceux-ci, équilibré, à l’instar de ce qui a été mis sur pied par la directive e-commerce du 8 juin 2000 ? Reporter toute la responsabilité du respect des législations sur la protection des données diffusées sur le web sur les moteurs de recherche paraît en effet pour le moins excessif.

On peut en tous cas être certain que l’arrêt du 13 mai 2014 n’a pas fini de faire parler de lui…

Plus d’infos ?

En participant à la conférence qui sera  organisée en urgence ce 21 mai à Bruxelles pour tirer les premiers enseignements de cette décision.