Modalités d’application du « droit à l’oubli »

L’avènement d’internet et des réseaux sociaux a donné naissance à l’e-réputation, une nouvelle composante dématérialisée de la réputation telle qu’elle était conçue classiquement.  Avec celle-ci, est apparue la problématique du « droit à l’oubli », qui se compose du droit à l’effacement (art. 17 du RGPD) et du droit au déréférencement (consacré dans l’arrêt Google Spaindu 13 mai 2014). Ce sont les modalités d’application de ce dernier droit que la Cour de Justice de l’Union Européenne (CJUE) est venue préciser dans une série de deux arrêts en date du 24 Septembre 2019.

Dans l’affaire (C- 507/17), la présidente de la CNIL avait mis Google en demeure le 21 mai 2015 d’appliquer lorsqu’elle fait droit à une demande de déréférencement, cette suppression sur toutes les extensions de nom de domaine de son moteur de recherche. Devant son refus d’obtempérer, et l’insuffisance présumée de la mesure technique de « géo-blocage » complémentaire proposée par le géant américain, elle lui avait infligé une amende de 100 000 euros. Google a demandé l’annulation de cette sanction devant le Conseil d’Etat qui a ensuite saisi la CJUE d’une question préjudicielle.

La CJUE a alors dû se prononcer sur la portée territoriale du droit au déréférencement et les obligations qu’il impose, ainsi que sur la pertinence de mesures techniques telles que le « géo blocage » dans la mise en œuvre de ces obligations.

1. Rappel sur le « droit à l’oubli »

Le droit à l’oubli se manifeste de deux façons différentes.

La première est le droit à l’effacement inscrit à l’article 17 du Règlement Général sur la Protection des Données (RGPD) et qui permet aux personnes concernées de demander la suppression des données à caractère personnel les concernant aux responsables de traitement dans certaines conditions limitatives.

La seconde est le droit au déréférencement, consacré par le juge Européen dans l’arrêt Google Spain. Dans cette affaire, M. Costeja estimait que la présence d’un article datant de plus de 10 ans et comportant des informations désuètes le concernant dans la liste de résultats qui apparaissait dans le moteur de recherche Google à la suite d’une requête effectuée à partir de son nom lui était préjudiciable dans un contexte professionnel. Il a donc demandé que cet article soit retiré de la liste de résultats et obtenu gain de cause.

Pour reprendre les termes de l’arrêt, le droit au déréférencement impose à l’exploitant d’un « moteur de recherche de supprimer de la liste des résultats affichée suite à une recherche effectuée à partir du nom d’une personne, des liens vers des pages web publiées par des tiers et contenant des informations relatives à cette personne ». L’appréciation des conditions d’application de ce droit se fait par le moteur de recherche (ou, en cas de contestation, par les autorités compétentes) en fonction d’un faisceau d’indices qui comprend notamment la nature de l’information, sa sensibilité pour la vie privée de la personne concernée ainsi que l’intérêt du public à disposer de l’information, lequel peut varier en fonction du rôle joué par la personne concernée dans la vie publique. Ce droit prévaut par ailleurs sur les intérêts économiques de l’exploitant et sur l’intérêt du public à accéder à ladite information lors d’une recherche portant sur le nom de la personne concernée sauf dans certains cas spéciaux.

2. Une véritable limitation à la portée de ce droit ?

Suivant l’avis de l’avocat général paru le 7 Janvier 2019, le juge européen a tranché en faveur de Google dans cette affaire, estimant qu’il « ne ressort pas des textes en vigueur que le législateur a souhaité conférer [au droit au déréférencement] une portée qui dépasserait le territoire des Etats membres et qu’il aurait entendu imposer à un opérateur tel que Google une obligation au déréférencement portant également sur les versions nationales de son moteur de recherche qui ne correspondent pas aux Etats membres. »

Il convient cependant de noter que le droit de l’Union n’interdit pas un déréférencement mondial. En effet, au point 72 de l’arrêt, la Cour juge bon de préciser qu’une autorité de contrôle demeure compétente pour effectuer une mise en balance des intérêts de la personne concernée et de son droit à la vie privée et à la protection de ses données a caractère personnel d’une part, et d’autre part, du droit à la liberté d’information (qui avait déjà été évoqué comme limite au droit au déréférencement dans l’arrêt Google Spain) afin de demander à un opérateur tel que Google de procéder à un déréférencement à portée mondiale. Cette position prend tout son sens lorsque l’on sait l’importance du caractère extraterritorial de la conformité RGPD pour tous les acteurs européens impliqués dans sa création et son application.

Ainsi, pour le moment, le juge européen valide en application du droit au déréférencement pour un moteur de recherche, la combinaison d’un déréférencement pour les versions nationales des Etats membres de l’UE et de mesures techniques telles que le « géo-blocage » permettant de décourager sérieusement les internautes d’accéder aux liens faisant l’objet de la demande de déréférencement lorsque leurs adresses IP montrent qu’ils effectuent la recherche depuis un Etat membre de l’UE.

L’avocat général de la CJUE a d’ailleurs estimé que cette position est celle qui maintient « un équilibre entre le droit des résidents de l’UE à être déréférencés et le respect des droits constitutionnels des citoyens hors de l’UE ».

Pour autant, l’affaire n’est pas encore close et c’est au Conseil d’Etat que reviendra la tâche de résoudre définitivement le litige entre le géant américain et l’autorité de contrôle française et de déterminer les mesures qui lui conviendront le mieux. Enfin le juge européen n’a pas totalement exclu la possibilité, à l’avenir, d’un déréférencement à portée mondiale.

– Oscar Lourdin