Ce 24 septembre 2019, la Cour de justice de l’Union européenne a tranché en faveur du moteur de recherche Google, opposé à la CNIL, sur la question du droit à l’oubli, issu du RGPD (règlement européen de protection des données personnelles).
La CJUE considère que le droit au déréférencement ne s’applique qu’à l’intérieur de l’Union européenne et non dans le reste du monde. « Ce droit permet aux internautes de faire supprimer du moteur de recherche certaines informations les concernant, selon certaines conditions. Il s’agit des informations sensibles qui révèlent des opinions politiques, religieuses ou syndicales, une orientation sexuelle ou des informations relatives à des infractions et condamnations pénales », explique Sabine Marcellin, avocate fondatrice du cabinet Aurore Legal, et experte en droit du numérique.
Ce droit est issu du RGPD et, « dans ce dossier plus précisément, de son ancêtre la directive du 24 octobre 1995, et permet à toute personne concernée de s’opposer au traitement de données sensibles. Or, quand un utilisateur demandait à Google de supprimer ces informations, Google n’appliquait ce principe qu’aux pays de l’UE, uniquement sur les extensions européennes (google.fr, google.be, etc.). Il était donc possible de retrouver ces informations sur les sites du moteur de recherche hors zone UE. » D’une manière générale, pour la CNIL, seul un déréférencement mondial est de nature à permettre une protection effective des droits des personnes.
L’autorité avait donc condamné en mars 2016 Google qui se refusait d’appliquer le droit à l’oubli dans l’intégralité de ses résultats de recherche hors du territoire de l’Union européenne. La sanction de 100 000 euros prononcée avait été contestée rapidement par le géant américain. Puis « Comme la question soulevée s’applique à l’interprétation du droit de l’Union européenne, le Conseil d’Etat a porté l’affaire devant le CJUE, le 24 février 2017 », rappelle Aurore Legal.
« Les arguments majeurs de la CNIL sont que la protection des données personnelles est un principe absolu, quelle que soit la localisation de l’internaute. Considérant que le droit à l’oubli est menacé par les outils technologiques, comme l’utilisation d’un VPN (logiciel masquant le lieu de connexion), la CNIL demandait à la CJUE d’étendre la portée de ce droit au monde entier. Google, pour sa part, considérait que le respect de la vie privée doit être mis en balance avec la liberté d’expression. La CJUE lui a donné raison, en considérant que cet équilibre pouvait varier selon les régions du monde. »
Les conséquences de cette décision font que « le déréférencement demandé par les internautes situés dans les pays membres de l’UE aux moteurs de recherche sera limité au territoire européen. » Mais ajoute l’avocate, « la Cour veut que le moteur de recherche mette en œuvre des mesures empêchant ou décourageant l’accès des internautes aux pages déréférencées. »
Un point que relève également la CNIL, qui ajoute dans un communiqué : « La Cour précise par ailleurs que, si le droit de l’Union n’impose pas le déréférencement mondial, il ne l’interdit pas non plus. Ainsi, une autorité de contrôle, et donc la CNIL, est compétente pour obliger un moteur de recherche à déréférencer les résultats sur toutes les versions de son moteur si cela est justifié, dans certains cas, pour garantir les droits de la personne concernée. » Lire ce qu’en dit la Cour européenne ici.
L’autorité française a par ailleurs indiqué qu’elle « procédera à l’analyse approfondie de ces arrêts dans les prochains jours. Ce travail servira notamment à publier sur son site internet une FAQ expliquant les conséquences pratiques de ces décisions sur les personnes concernées. »
