Décision de la Cour de Justice de l’Union européenne : les moteurs de recherche doivent respecter le « droit à l’oubli »

En 2012, la Cour de Justice de l’Union européenne (CJUE) a été saisie par la juridiction espagnole, dans le cadre d’un litige opposant Google à l’autorité de protection des données personnelles. Celle-ci avait ordonné à Google, à l’occasion de l’instruction  d’une plainte, de désindexer les données relatives à deux articles de presse évoquant les dettes passées et réglées par le plaignant, afin qu’elles disparaissent des résultats de la recherche faite sur le nom du plaignant. La Cour de justice a donc été saisie de plusieurs questions portant sur l’interprétation de la directive de 1995 relative à la protection des données Dans sa décision du 13 mai 2014, la Cour  juge quatre points essentiels :

1. Les exploitants de moteurs de recherche sont des responsables de traitement au sens de la directive 95/46/CE sur la protection des données personnelles. En effet, l’activité d’un moteur de recherche consiste à indexer automatiquement des informations publiées sur Internet et à les mettre à disposition des internautes selon un ordre de préférence donné. Cette activité s’ajoute ainsi à celle des éditeurs de sites web et est susceptible de porter atteinte aux droits des personnes.
2. La CJUE retient une conception large de la notion d’établissement, et, de ce fait, que la directive s’applique à Google. En l’espèce, les droits et obligations prévus par la directive européenne s’appliquent donc à Google en Espagne, puisque la filiale de Google en Espagne assure, dans cet Etat membre, la promotion et la vente des espaces publicitaires sur le moteur de recherche, afin de rentabiliser le service offert par le moteur de recherche.
3. Une personne peut s’adresser directement à un moteur de recherche pour obtenir la suppression des liens vers des pages web contenant des informations portant atteinte à sa vie privée. Elle n’a pas à s’adresser préalablement à l’éditeur du site Internet.  De même, ce droit peut être exercé alors même que la publication des informations sur les sites concernés serait, en elle-même, licite. En effet, un traitement initialement licite peut ne plus l’être lorsqu’avec le temps et l’évolution des finalités pour lesquelles les données ont été traitées, les informations ont perdu leur caractère adéquat et pertinent ou apparaissent désormais excessives.
4. Un tel droit n’est cependant pas absolu. Si le droit au respect de la vie privée et à la protection des données personnelles garanti par la Charte des droits fondamentaux de l’UE prévaut sur l’intérêt économique du moteur de recherche, la suppression de telles données doit être appréciée au cas par cas. Cette analyse se fera en fonction de la nature de l’information, de sa sensibilité pour la vie privée de la personne concernée et de l’intérêt pour le public à la recevoir, en raison notamment du rôle joué dans la vie publique par cette personne. 

Par cet arrêt, la Cour de justice donne donc une interprétation unique de la directive de 1995 sur les points soulevés, applicables dans les 28 pays de l’Union européenne. Il convient de souligner qu’elle confirme, notamment sur le droit applicable et la qualification des exploitants de moteurs de recherche comme responsables de traitement, les positions adoptées par la CNIL. Cette décision s’inscrit également dans le contexte des discussions relatives au projet de règlement européen, qui prévoit que la législation européenne en matière de protection des données s’appliquera à l’ensemble des traitements affectant des personnes résidant sur le territoire de l’Union. S’agissant des suites de cet arrêt, la justice espagnole va désormais se prononcer, à la lumière de l’interprétation de la CJUE, sur l’affaire dont elle était saisie. Plus généralement, les internautes peuvent donc saisir l’exploitant d’un moteur de recherche d’une demande de déréférencement d’une page web qui porte atteinte à leur vie privée. L’exploitant examinera alors le bien fondé de la demande, au regard des conditions fixées par la CJUE. En cas de non réponse ou de réponse insatisfaisante, le plaignant pourra saisir la CNIL ou la justice afin qu’elles vérifient et ordonnent les mesures nécessaires.