Actions sur le document
Google : vers une application mondiale du droit au déréférencement ?
K.Pratique | Chroniques juridiques du cabinet KGA Avocats - Laetitia Basset, François Klein, 22/09/2017
Par une décision 19 juillet 2017, le Conseil d’Etat invite la Cour de Justice de l’Union Européenne (« CJUE ») à se prononcer sur la portée territoriale du droit au déréférencement consacré par l’arrêt « Google Spain » du 13 mai 2014 au détour de trois questions préjudicielles.
Cet arrêt fait suite à une délibération de la formation restreinte de la CNIL du 10 mars 2016 qui a condamné Google à une amende de 100.000 euros pour ne pas s’être conformée à sa mise en demeure de procéder au déréférencement dans toutes les extensions de noms de domaine de son moteur de recherche. En effet, Google Inc. proposait uniquement de mettre en place une mesure de filtrage empêchant l’accès aux contenus litigieux en fonction de l’origine géographique de l’adresse IP de l’internaute, mais se refusait à procéder au déréférencement dans toutes les extensions quelle que soit l’origine géographique du requérant.
Suite à sa condamnation, le moteur de recherche a formé un recours en annulation devant le Conseil d’Etat qui a sursis à statuer jusqu’à ce que la CJUE réponde à trois questions préjudicielles:
« 1° Le « droit au déréférencement » tel qu’il a été consacré par la Cour de justice de l’Union européenne dans son arrêt du 13 mai 2014 sur le fondement des dispositions des articles 12, sous b), et 14, sous a), de la directive du 24 octobre 1995, doit-il être interprété en ce sens que l’exploitant d’un moteur de recherche est tenu, lorsqu’il fait droit à une demande de déréférencement, d’opérer ce déréférencement sur l’ensemble des noms de domaine de son moteur de telle sorte que les liens litigieux n’apparaissent plus quel que soit le lieu à partir duquel, la recherche lancée sur le nom du demandeur, est effectuée, y compris hors du champ d’application territorial de la directive du 24 octobre 1995 ?
2° En cas de réponse négative à cette première question, le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit-il être interprété en ce sens que l’exploitant d’un moteur de recherche est seulement tenu, lorsqu’il fait droit à une demande de déréférencement, de supprimer les liens litigieux des résultats affichés à la suite d’une recherche effectuée à partir du nom du demandeur sur le nom de domaine correspondant à l’Etat où la demande est réputée avoir été effectuée ou, plus généralement, sur les noms de domaine du moteur de recherche qui correspondent aux extensions nationales de ce moteur pour l’ensemble des Etats membres de l’Union européenne ?
3° En outre, en complément de l’obligation évoquée au 2°, le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant d’un moteur de recherche faisant droit à une demande de déréférencement est tenu de supprimer, par la technique dite du « géo-blocage », depuis une adresse IP réputée localisée dans l’Etat de résidence du bénéficiaire du « droit au déréférencement », les résultats litigieux des recherches effectuées à partir de son nom, ou même, plus généralement, depuis une adresse IP réputée localisée dans l’un des Etats-membres soumis à la directive du 24 octobre 1995, ce, indépendamment du nom de domaine utilisé par l’internaute qui effectue la recherche ? ».
Cet arrêt du Conseil d’Etat est ainsi l’occasion de rappeler (i) le cadre légal actuel en matière de déréférencement et (ii) de faire un tour d’horizon des dernières évolutions jurisprudentielles.
Suite à sa condamnation, le moteur de recherche a formé un recours en annulation devant le Conseil d’Etat qui a sursis à statuer jusqu’à ce que la CJUE réponde à trois questions préjudicielles:
« 1° Le « droit au déréférencement » tel qu’il a été consacré par la Cour de justice de l’Union européenne dans son arrêt du 13 mai 2014 sur le fondement des dispositions des articles 12, sous b), et 14, sous a), de la directive du 24 octobre 1995, doit-il être interprété en ce sens que l’exploitant d’un moteur de recherche est tenu, lorsqu’il fait droit à une demande de déréférencement, d’opérer ce déréférencement sur l’ensemble des noms de domaine de son moteur de telle sorte que les liens litigieux n’apparaissent plus quel que soit le lieu à partir duquel, la recherche lancée sur le nom du demandeur, est effectuée, y compris hors du champ d’application territorial de la directive du 24 octobre 1995 ?
2° En cas de réponse négative à cette première question, le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit-il être interprété en ce sens que l’exploitant d’un moteur de recherche est seulement tenu, lorsqu’il fait droit à une demande de déréférencement, de supprimer les liens litigieux des résultats affichés à la suite d’une recherche effectuée à partir du nom du demandeur sur le nom de domaine correspondant à l’Etat où la demande est réputée avoir été effectuée ou, plus généralement, sur les noms de domaine du moteur de recherche qui correspondent aux extensions nationales de ce moteur pour l’ensemble des Etats membres de l’Union européenne ?
3° En outre, en complément de l’obligation évoquée au 2°, le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant d’un moteur de recherche faisant droit à une demande de déréférencement est tenu de supprimer, par la technique dite du « géo-blocage », depuis une adresse IP réputée localisée dans l’Etat de résidence du bénéficiaire du « droit au déréférencement », les résultats litigieux des recherches effectuées à partir de son nom, ou même, plus généralement, depuis une adresse IP réputée localisée dans l’un des Etats-membres soumis à la directive du 24 octobre 1995, ce, indépendamment du nom de domaine utilisé par l’internaute qui effectue la recherche ? ».
Cet arrêt du Conseil d’Etat est ainsi l’occasion de rappeler (i) le cadre légal actuel en matière de déréférencement et (ii) de faire un tour d’horizon des dernières évolutions jurisprudentielles.
I- Rappel du cadre légal actuel
Aujourd’hui, alors même que le nombre de demandes de déréférencement est exponentiel, un particulier peut solliciter la suppression de liens litigieux vers des pages web, contenant des informations personnelles inexactes, équivoques, incomplètes ou périmées, sur le fondement des articles 38 et 40, qui apparaissent à la suite d’une requête effectuée à partir de son nom sur le moteur de recherche, dans toutes les extensions européennes.
En revanche, le moteur de recherche refuse tout déréférencement dans les autres extensions considérant qu’une telle suppression violerait les règles de la territorialité et se borne, tout au plus, à mettre en œuvre une mesure de géo-blocage empêchant un internaute d’effectuer une recherche dans les autres extensions territoriales du moteur de recherche.
Google considère en effet que l’affichage des résultats à la suite de recherches effectuées sur le moteur de recherche dans des extensions étrangères ne peut être assimilé à un traitement de données personnelles effectué en France. Un traitement résultant de l’accessibilité d’un site internet depuis un territoire étranger ne saurait être considéré comme étant principalement tourné vers la France.
Pour mémoire la CNIL, et le Groupe de l’article 29 (« G29 ») considèrent à l’inverse qu’un déréférencement doit être mondial pour les motifs suivants :
• les extensions ne constituent que des chemins d’accès vers un traitement de données personnelles uniques ;
• l’effectivité du droit au déréférencement impose la suppression des liens sur toutes les extensions, pour éviter le contournement du droit par l’utilisation d’une autre extension ; et
• le droit au déréférencement ne doit pas varier en fonction de l’internaute qui effectue la recherche.
En revanche, le moteur de recherche refuse tout déréférencement dans les autres extensions considérant qu’une telle suppression violerait les règles de la territorialité et se borne, tout au plus, à mettre en œuvre une mesure de géo-blocage empêchant un internaute d’effectuer une recherche dans les autres extensions territoriales du moteur de recherche.
Google considère en effet que l’affichage des résultats à la suite de recherches effectuées sur le moteur de recherche dans des extensions étrangères ne peut être assimilé à un traitement de données personnelles effectué en France. Un traitement résultant de l’accessibilité d’un site internet depuis un territoire étranger ne saurait être considéré comme étant principalement tourné vers la France.
Pour mémoire la CNIL, et le Groupe de l’article 29 (« G29 ») considèrent à l’inverse qu’un déréférencement doit être mondial pour les motifs suivants :
• les extensions ne constituent que des chemins d’accès vers un traitement de données personnelles uniques ;
• l’effectivité du droit au déréférencement impose la suppression des liens sur toutes les extensions, pour éviter le contournement du droit par l’utilisation d’une autre extension ; et
• le droit au déréférencement ne doit pas varier en fonction de l’internaute qui effectue la recherche.
II- Un écho aux évolutions récentes
L’arrêt du Conseil d’Etat du 19 juillet 2017 fait écho à plusieurs décisions récentes et notamment à la décision, sans précédent, rendue par la Cour Suprême du Canada le 28 juin 2017 .
Par cette décision, la Cour a contraint Google d’opérer le déréférencement à l’échelle mondiale des liens dans les pages de résultats, même lorsque celles-ci ne sont pas effectuées au Canada, au motif qu’ « Internet n’a pas de frontières, son habitat naturel est mondial » et, pour être efficace une injonction judiciaire doit être appliquée « là où Google exerce ses activités, c’est-à-dire mondialement ».
La société a déposé une injonction, il y a quelques semaines, au Tribunal de district des États-Unis pour la Californie du Nord, demandant au Tribunal d'empêcher l'exécution de la mesure judiciaire canadienne aux États-Unis.
Cette décision a eu un écho considérable à travers le monde.
Déjà, au niveau national des évolutions ont été amorcées au début de l’année 2017. En effet, par un arrêt du 24 février 2017, le Conseil d’Etat a invité la CJUE à préciser le régime spécifique qui doit être appliqué à l’exploitant de moteur de recherche au travers de quatre questions préjudicielles.
Ces questions concernent précisément les obligations de déréférencement pesant sur l’exploitant d’un moteur de recherche dans l’hypothèse où les pages web qu’il traite contiennent des informations sensibles dont la collecte et le traitement sont illicites ou très encadrés, par exemple parce qu’elles révèlent une orientation sexuelle, des opinions politiques, religieuses ou philosophiques, ou qu’elles contiennent des informations relatives à des infractions, condamnations pénales ou mesures de sûreté. Sur ce point, les affaires dont était saisi le Conseil d’État conduisaient notamment à s’interroger sur les obligations de déréférencement pesant sur les exploitations de moteurs de recherche lorsque ces informations sont contenues dans des articles de presse.
Par ailleurs, se posait également la question du sort à réserver aux demandes de déréférencement de liens vers des pages web dont le contenu est inexact ou incomplet . (1)
Pour rappel, la CJUE avait pris soin de dire que le régime de l’exploitant de moteur de recherche est spécifique sans, toutefois, en préciser les contours.
Ces difficultés d’interprétation et de mise en œuvre se ressentent également au niveau des juridictions nationales de 1er et 2nd degré qui n’hésitent plus, même d’office, à surseoir à statuer jusqu’au rendu des arrêts de la CJUE tant attendus.
C’est notamment ce qu’a fait la Cour d’Appel de Paris dans un arrêt du 29 juin 2017 (2) ou elle a indiqué que « les réponses devant être apportées aux questions sont pertinentes pour la solution du présent litige de sorte qu’il convient de surseoir à statuer jusqu’au prononcé de l’arrêt de cette Cour ».
L’ensemble de ces décisions témoignent d’une volonté forte d’encadrer le droit au déréférencement à l’aune de l’entrée en application, le 25 mai 2018, du Règlement Européen pour la protection des données personnelles (« RGDP ») qui consacre expressément le droit au déréférencement, la portée territoriale du déréférencement constituant une zone d’ombre majeure à laquelle la CJUE va apporter des réponses pour faciliter l’application du RGDP.
(1) La CJUE devra se prononcer sur les questions suivantes :
1°) l’interdiction du traitement de données à caractère personnel sensibles sauf exceptions prévue par la réglementation européenne s’applique-t-elle au traitement de données à caractère personnel mis en oeuvre par l’exploitant d’un moteur de recherche dans le cadre de son activité ? Pour le Conseil d’Etat, certaines données vers lesquelles les liens dont le déréférencement étaient demandés sont des données à caractère personnel sensibles. 2°) L’exploitant du moteur de recherche doit-il systématiquement faire droit aux demandes de déréférencement dans l’hypothèse où l’interdiction précitée s’applique ? En outre, comment les exceptions prévues par la réglementation européenne devraient-elles être interprétées dans le cadre du traitement mis en oeuvre par l’exploitant du moteur de recherche ? 3°) Dans l’hypothèse où l’interdiction du traitement de données à caractère personnel sensible n’est pas applicable, quelles sont les exigences auxquelles l’exploitant du moteur de recherche doit se conformer ? 4°) En tout état de cause, l’exploitant d’un moteur de recherche doit-il faire droit à une demande de déréférencement lorsque le demandeur établi que les données sont incomplètes ou inexactes compte tenu notamment du déroulement et de l’issue d’une procédure judiciaire ? Les données relatives à la mise en examen d’une personne ou relatant son procès constituent-elles des données à caractère personnel relatives aux infractions et condamnations ?
(2) Cour d’appel de Paris Pôle 1- Chambre 2, RG No. 15/55733
Par cette décision, la Cour a contraint Google d’opérer le déréférencement à l’échelle mondiale des liens dans les pages de résultats, même lorsque celles-ci ne sont pas effectuées au Canada, au motif qu’ « Internet n’a pas de frontières, son habitat naturel est mondial » et, pour être efficace une injonction judiciaire doit être appliquée « là où Google exerce ses activités, c’est-à-dire mondialement ».
La société a déposé une injonction, il y a quelques semaines, au Tribunal de district des États-Unis pour la Californie du Nord, demandant au Tribunal d'empêcher l'exécution de la mesure judiciaire canadienne aux États-Unis.
Cette décision a eu un écho considérable à travers le monde.
Déjà, au niveau national des évolutions ont été amorcées au début de l’année 2017. En effet, par un arrêt du 24 février 2017, le Conseil d’Etat a invité la CJUE à préciser le régime spécifique qui doit être appliqué à l’exploitant de moteur de recherche au travers de quatre questions préjudicielles.
Ces questions concernent précisément les obligations de déréférencement pesant sur l’exploitant d’un moteur de recherche dans l’hypothèse où les pages web qu’il traite contiennent des informations sensibles dont la collecte et le traitement sont illicites ou très encadrés, par exemple parce qu’elles révèlent une orientation sexuelle, des opinions politiques, religieuses ou philosophiques, ou qu’elles contiennent des informations relatives à des infractions, condamnations pénales ou mesures de sûreté. Sur ce point, les affaires dont était saisi le Conseil d’État conduisaient notamment à s’interroger sur les obligations de déréférencement pesant sur les exploitations de moteurs de recherche lorsque ces informations sont contenues dans des articles de presse.
Par ailleurs, se posait également la question du sort à réserver aux demandes de déréférencement de liens vers des pages web dont le contenu est inexact ou incomplet . (1)
Pour rappel, la CJUE avait pris soin de dire que le régime de l’exploitant de moteur de recherche est spécifique sans, toutefois, en préciser les contours.
Ces difficultés d’interprétation et de mise en œuvre se ressentent également au niveau des juridictions nationales de 1er et 2nd degré qui n’hésitent plus, même d’office, à surseoir à statuer jusqu’au rendu des arrêts de la CJUE tant attendus.
C’est notamment ce qu’a fait la Cour d’Appel de Paris dans un arrêt du 29 juin 2017 (2) ou elle a indiqué que « les réponses devant être apportées aux questions sont pertinentes pour la solution du présent litige de sorte qu’il convient de surseoir à statuer jusqu’au prononcé de l’arrêt de cette Cour ».
L’ensemble de ces décisions témoignent d’une volonté forte d’encadrer le droit au déréférencement à l’aune de l’entrée en application, le 25 mai 2018, du Règlement Européen pour la protection des données personnelles (« RGDP ») qui consacre expressément le droit au déréférencement, la portée territoriale du déréférencement constituant une zone d’ombre majeure à laquelle la CJUE va apporter des réponses pour faciliter l’application du RGDP.
(1) La CJUE devra se prononcer sur les questions suivantes :
1°) l’interdiction du traitement de données à caractère personnel sensibles sauf exceptions prévue par la réglementation européenne s’applique-t-elle au traitement de données à caractère personnel mis en oeuvre par l’exploitant d’un moteur de recherche dans le cadre de son activité ? Pour le Conseil d’Etat, certaines données vers lesquelles les liens dont le déréférencement étaient demandés sont des données à caractère personnel sensibles. 2°) L’exploitant du moteur de recherche doit-il systématiquement faire droit aux demandes de déréférencement dans l’hypothèse où l’interdiction précitée s’applique ? En outre, comment les exceptions prévues par la réglementation européenne devraient-elles être interprétées dans le cadre du traitement mis en oeuvre par l’exploitant du moteur de recherche ? 3°) Dans l’hypothèse où l’interdiction du traitement de données à caractère personnel sensible n’est pas applicable, quelles sont les exigences auxquelles l’exploitant du moteur de recherche doit se conformer ? 4°) En tout état de cause, l’exploitant d’un moteur de recherche doit-il faire droit à une demande de déréférencement lorsque le demandeur établi que les données sont incomplètes ou inexactes compte tenu notamment du déroulement et de l’issue d’une procédure judiciaire ? Les données relatives à la mise en examen d’une personne ou relatant son procès constituent-elles des données à caractère personnel relatives aux infractions et condamnations ?
(2) Cour d’appel de Paris Pôle 1- Chambre 2, RG No. 15/55733