Le droit à l’oubli n’a pas de portée mondiale, sauf si …

Publié le 30/03/2020 par Etienne Wery

Victoire à la Pyrrhus pour Google. Le conseil d’État confirme que le droit à l’oubli n’a pas, par principe, de portée mondiale (il a cependant une portée systématiquement européenne), mais il reconnaît indirectement à la CNIL la possibilité de prendre au cas par cas des mesures plus larges moyennant une mise en balance entre protection de la vie privée du demandeur, d’une part, et droit à la liberté d’information, d’autre part.

Le conseil d’État a rendu ce 27 mars 2020 la décision qui clôture le recours intenté par Google contre la décision de la CNIL qui lui enjoignait de procéder à un déréférencement mondial lorsqu’elle était saisie d’une demande de droti à l’oubli.

Historique du dossier

L’affaire remonte à 2016 : la CNIL avait prononcé une sanction pécuniaire publique à l’encontre de la société Google qui ne s’était pas conformée à une mise en demeure de la Présidente de la CNIL, de rendre effectif le déréférencement sur l’ensemble des versions nationales de son moteur de recherche Google Search. Pour la CNIL, lorsqu’il était fait droit à la demande d’une personne, seul un déréférencement mondial était de nature à permettre une protection effective des droits des personnes.

La société Google avait alors saisi le Conseil d’État au motif que les mesures adoptées depuis mars 2016 étaient suffisantes, à savoir un mécanisme de redirection automatique vers la version nationale du site utilisé par l’internaute et un blocage de l’accès à un contenu déréférencé, à tout internaute identifié comme localisé sur ce territoire.

Le conseil d’État avait rendu une première décision renvoyant l’affaire devant la Cour de justice de l’Union européenne, à charge pour celle-ci de préciser si le droit à l’oubli, lorsqu’il est exercé, a une portée nationale, européenne ou mondiale.

Arrêt de la CJUE

La Cour avait rendu un arrêt le 24 septembre 2019. En grande chambre, elle avait dit pour droit que « lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des États membres, et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des États membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande ».

D’aucuns ont regretté que la Cour ne reprenne pas dans son dispositif l’importante précision apportée au point 72 de son arrêt : « si, ainsi qu’il a été relevé au point 64 du présent arrêt, le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus. Partant, une autorité de contrôle ou une autorité judiciaire d’un État membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux (voir, en ce sens, arrêts du 26 février 2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, point 29, et du 26 février 2013, Melloni, C‑399/11, EU:C:2013:107, point 60), une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur. »

On peut résumer cet arrêt comme suit :

• Le droit à l’oubli n’a pas systématiquement une portée mondiale ;
• Il a cependant une dimension systématiquement européenne (et pas seulement nationale) ;
• Il peut recevoir une application mondiale dans certains cas.

Arrêt du Conseil d’Etat

C’est dans ces conditions que l’affaire revenait devant le conseil d’État.

Sans surprise, celui-ci s’attache à lire la décision de la CNIL de 2016, dont il ressort que la condamnation repose non pas sur une analyse individuelle du cas d’espèce, mais bien sur une position de principe selon laquelle le droit à l’oubli engendre de façon systématique des conséquences au niveau mondial.

C’est bien cette position de principe qui engendre l’annulation de la décision de la CNIL : « Il résulte des motifs énoncés au point 4 qu’en sanctionnant la société requérante au motif que seule une mesure s’appliquant à l’intégralité du traitement liée au moteur de recherche, sans considération des extensions interrogées et de l’origine géographique de l’internaute effectuant une recherche, est à même de répondre à l’exigence de protection telle qu’elle est consacrée par la Cour de justice de l’Union européenne, la formation restreinte de la CNIL a entaché la délibération attaquée d’erreur de droit ».

Tirant ensuite les leçons de l’importante précision apportée au point 72 de l’arrêt de la cour de justice, le conseil d’État précise que la CNIL pourrait aller plus loin en effectuant une mise en balance des intérêts dans un cas précis « prenant en compte d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information. Or, il ressort des termes mêmes de la délibération attaquée que, pour constater l’existence de manquements persistants et reprocher à la société Google Inc. d’avoir méconnu l’obligation de principe de procéder au déréférencement portant sur l’ensemble des versions d’un moteur de recherche, la formation restreinte de la CNIL n’a pas effectué une telle mise en balance. Il s’ensuit qu’il n’y a pas lieu de faire droit à la substitution de base légale demandée en défense par la CNIL. »

La CNIL a parfaitement reçu le message : le commentaire qu’elle publie annonce qu’elle modifie son site web pour apporter les précisions nécessaires aux internautes, mais elle insiste aussi fortement sur le fait que « la CJUE reconnait la compétence d’une autorité de contrôle ou judiciaire, à l’aune de ses standards nationaux de protection des droits fondamentaux, pour obliger, au cas par cas (et non de manière systématique comme la CNIL l’avait envisagé) un moteur de recherche à déréférencer les résultats sur toutes les versions de son moteur si cela se justifiait par une mise en balance entre protection de la vie privée du demandeur, d’une part, et droit à la liberté d’information, d’autre part. »

Un autre commentaire de la CNIL semble annoncer un intense lobbying législatif. La CNIL indique en effet que “le Conseil prend acte que le législateur français n’a pas adopté de dispositions spéciales permettant, en France, à la CNIL d’opérer un déréférencement excédant le champ prévu par le droit de l’Union. En l’absence d’intervention du législateur, la CNIL ne peut dès lors qu’ordonner un déréférencement européen.”

Doit-on en conclure que la CNIL souhaite une loi française qui élargirait le droit à l’oubli ? Certes, la CJUE a laissé une porte ouverte  à “une autorité de contrôle ou une autorité judiciaire” appliquant une balance des intérêts dans un cas individuel. Par contre, il n’est pas certain qu’une initiative législative à portée générale, dans le but d’élargir le champ prévu par le RGPD, puisse bénéficier de cette faveur. Suite au prochain numéro…

Plus d’infos ?

En lisant l’arrêt du Conseil d‘Etat, disponible en annexe.