Actions sur le document
Déréférencement et droit à l'oubli : une fin d'année riche en enseignements
K.Pratique | Chroniques juridiques du cabinet KGA Avocats - Marion Moine, Matthieu Bourgeois, 20/12/2019
Hasard de calendrier, ou non, la fin de l’année 2019 est source de riches enseignements jurisprudentiels et doctrinaux quant à l’exercice du droit à l’oubli auprès des moteurs de recherches.
C’est tout d’abord, la Cour de cassation qui, dans un arrêt en date du 27 novembre 2019, s’est prononcée sur une demande de droit à l’oubli qui se fondait sur les anciens articles 38 et 40 de la loi n°78-17 relative à l’informatique, aux fichiers et autres libertés (« LIL »), lesquels permettaient de s’opposer pour des « motifs légitimes » à un traitement, et d’obtenir l’effacement des données « inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite ». Dans cette décision, les juges suprêmes ont rappelé que le bien-fondé d’une demande d’effacement portant sur un lien vers une page internet sur laquelle des données relatives à des infractions, condamnations et mesures de sûretés étaient publiées, s’appréciait de façon concrète, c’est-à-dire si un tel référencement répond à un motif d’intérêt public important, tel que le droit à l’information du public, et si elle est strictement nécessaire pour assurer la préservation de cet intérêt. C’est ensuite le comité européen de la protection des données (« CEDP ») qui a soumis à une consultation publique son projet de lignes directrices en date du 2 décembre 2019, sur les critères d’appréciation d’une demande de droit à l’oubli portée auprès d’un moteur de recherche sur le fondement du RGPD. Enfin, le bouquet final est offert par le Conseil d’Etat qui, à la lumière de la réponse à sa question préjudicielle fournie par la CJUE le 24 septembre 2019, a rendu pas moins de treize arrêts le 6 décembre dernier. Véritable mode d’emploi, ces arrêts fournissent des critères qui doivent être appréciés avec plus ou moins de sévérité en fonction des données concernées (sensibles, condamnations et infractions, ou autres données).
Revenons sur ces enseignements, en abordant tout d’abord (1) le contexte des treize décisions du Conseil d’Etat, puis (2) leurs apports.
Revenons sur ces enseignements, en abordant tout d’abord (1) le contexte des treize décisions du Conseil d’Etat, puis (2) leurs apports.
1. CONTEXTE DES TREIZE DECISIONS
1.1. Contexte légal
1. Avant l’entrée en vigueur du règlement européen sur la protection des données n°2016/679 (le « RGPD »), existait déjà dans notre droit national un droit à l’effacement, lequel était prévu par l’ancien article 40 de la LIL précité. Suivant les circonstances, la demande de déréférencement pouvait nécessiter – comme c’est souvent le cas – d’exercer également son droit d’opposition (art. 38 ancien de la LIL). Désormais, ce sont les articles 17 (droit à l’effacement) et 21 (droit d’opposition) du RGPD qui régissent uniformément ces droits sur tout le territoire européen. L’actualité juridique de cette année 2019 se référant tantôt aux dispositions anciennes de la LIL, et tantôt aux dispositions du RGPD, il convient de rappeler ces deux régimes.
1.1.1. Le droit à l’effacement avant le RGPD
2. Des cas d’ouvertures d’antan brumeux. L’ancien article 40, I, de la LIL permettait d’obtenir l’effacement des données « inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite ». Ce texte était donc bien flou sur les cas d’ouverture du droit à l'effacement, ce qui a permis, aux plaideurs ainsi qu’à la jurisprudence (notamment communautaire) de se montrer particulièrement créatifs en le combinant avec le droit d’opposition (V. Infra). En effet, ce texte laisse entendre que l’effacement des données peut être demandé si elles étaient incomplètes par exemple, ce qui paraissait pouvoir fonder des demandes fantaisistes et illégitimes. L’article 12, b) de la directive 95/46 contenait le même vice rédactionnel. Le RGPD achève désormais la consécration du droit à l’oubli amorcée par les juges communautaires, en en clarifiant les cas d’ouverture.
3. Les droits et intérêts prépondérants. Ce même article 40 ancien de la LIL, dans le II de son texte, prévoyait déjà cinq hypothèses dans lesquelles il pouvait être fait échec au droit à l’effacement, à savoir :
1° La liberté d'expression et d'information ;
2° le respect d’une obligation légale qui requiert le traitement de ces données ou pour exercer une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
3° Le poursuite de motifs d'intérêt public dans le domaine de la santé publique ;
4° La poursuite de fins archivistiques dans l'intérêt public, de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où le droit à l’effacement est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement ;
5° La constatation, à l'exercice ou à la défense de droits en justice.
1.1.2. Le droit à l’effacement après le RGPD
4. Un droit désormais autonome. Le RGPD a en effet consacré l’autonomie de ce droit en créant un article qui lui est propre. Désormais, il faut se référer à l’article 17.1 du RGPD, auquel l’article 51 nouveau de la LIL renvoi, qui prévoit six cas dans lesquels une personne concernée peut exiger l’effacement de ses données :
– « Les données (…) ne sont plus nécessaires » à la poursuite des finalités : conformément au principe de proportionnalité, cela signifie que les objectifs du traitement ont été atteints, et donc que les données ne lui sont plus utiles ;
– La personne concernée a retiré son consentement préalablement donné pour autoriser un traitement : cette hypothèse vise aussi bien le consentement de droit commun, que le consentement spécifique en matière de données sensibles (V. infra) ;
– Le traitement est illicite : par exemple, lorsqu’un traitement n’est pas fondé sur une base légale visée article 6.1 du RGPD ;
– Le respect d’une obligation légale : l’hypothèse vise le cas d’un texte légal – de source communautaire ou nationale – qui imposerait aux responsables de traitement de procéder à l’effacement de certaines données ;
– Les données ont été collectées lorsque la personne concernée était mineure ;
– La personne concernée à préalablement exercé son droit d’opposition sur le fondement de l’article 21 RGPD. C’est la combinaison de ces deux droits qui est la plus couramment utilisée pour fonder une demande de déréférencement. Le droit d’opposition requiert, pour le demandeur, de justifier de « raisons tendant à sa situation particulière » à moins que, après une mise en balance, « les motifs légitimés impérieux » du responsable du traitement prévalent sur les « intérêts et les (…) droits et libertés de la personne concernée », ce que ce dernier devra démontrer.
5. Les exceptions légales. L’article 17.2 du RGPD reprend à quelques nuances près, les mêmes exceptions au droit à l’effacement que celles qu’avait adoptées le législateur français dans l’ancien article 40 de la LIL (V. Supra). Que ce soit sous ce régime ancien, ou celui du RGPD, c’est l’exception liée au respect de la « liberté d'expression et d'information » qui nécessite une mise en balance avec les droits à la vie privée et à la protection des données des personnes concernées, dont la mise en œuvre s’avère délicate dans le cas de demandes de référencement de contenus accessibles sur internet.
1. Avant l’entrée en vigueur du règlement européen sur la protection des données n°2016/679 (le « RGPD »), existait déjà dans notre droit national un droit à l’effacement, lequel était prévu par l’ancien article 40 de la LIL précité. Suivant les circonstances, la demande de déréférencement pouvait nécessiter – comme c’est souvent le cas – d’exercer également son droit d’opposition (art. 38 ancien de la LIL). Désormais, ce sont les articles 17 (droit à l’effacement) et 21 (droit d’opposition) du RGPD qui régissent uniformément ces droits sur tout le territoire européen. L’actualité juridique de cette année 2019 se référant tantôt aux dispositions anciennes de la LIL, et tantôt aux dispositions du RGPD, il convient de rappeler ces deux régimes.
1.1.1. Le droit à l’effacement avant le RGPD
2. Des cas d’ouvertures d’antan brumeux. L’ancien article 40, I, de la LIL permettait d’obtenir l’effacement des données « inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite ». Ce texte était donc bien flou sur les cas d’ouverture du droit à l'effacement, ce qui a permis, aux plaideurs ainsi qu’à la jurisprudence (notamment communautaire) de se montrer particulièrement créatifs en le combinant avec le droit d’opposition (V. Infra). En effet, ce texte laisse entendre que l’effacement des données peut être demandé si elles étaient incomplètes par exemple, ce qui paraissait pouvoir fonder des demandes fantaisistes et illégitimes. L’article 12, b) de la directive 95/46 contenait le même vice rédactionnel. Le RGPD achève désormais la consécration du droit à l’oubli amorcée par les juges communautaires, en en clarifiant les cas d’ouverture.
3. Les droits et intérêts prépondérants. Ce même article 40 ancien de la LIL, dans le II de son texte, prévoyait déjà cinq hypothèses dans lesquelles il pouvait être fait échec au droit à l’effacement, à savoir :
1° La liberté d'expression et d'information ;
2° le respect d’une obligation légale qui requiert le traitement de ces données ou pour exercer une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
3° Le poursuite de motifs d'intérêt public dans le domaine de la santé publique ;
4° La poursuite de fins archivistiques dans l'intérêt public, de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où le droit à l’effacement est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement ;
5° La constatation, à l'exercice ou à la défense de droits en justice.
1.1.2. Le droit à l’effacement après le RGPD
4. Un droit désormais autonome. Le RGPD a en effet consacré l’autonomie de ce droit en créant un article qui lui est propre. Désormais, il faut se référer à l’article 17.1 du RGPD, auquel l’article 51 nouveau de la LIL renvoi, qui prévoit six cas dans lesquels une personne concernée peut exiger l’effacement de ses données :
– « Les données (…) ne sont plus nécessaires » à la poursuite des finalités : conformément au principe de proportionnalité, cela signifie que les objectifs du traitement ont été atteints, et donc que les données ne lui sont plus utiles ;
– La personne concernée a retiré son consentement préalablement donné pour autoriser un traitement : cette hypothèse vise aussi bien le consentement de droit commun, que le consentement spécifique en matière de données sensibles (V. infra) ;
– Le traitement est illicite : par exemple, lorsqu’un traitement n’est pas fondé sur une base légale visée article 6.1 du RGPD ;
– Le respect d’une obligation légale : l’hypothèse vise le cas d’un texte légal – de source communautaire ou nationale – qui imposerait aux responsables de traitement de procéder à l’effacement de certaines données ;
– Les données ont été collectées lorsque la personne concernée était mineure ;
– La personne concernée à préalablement exercé son droit d’opposition sur le fondement de l’article 21 RGPD. C’est la combinaison de ces deux droits qui est la plus couramment utilisée pour fonder une demande de déréférencement. Le droit d’opposition requiert, pour le demandeur, de justifier de « raisons tendant à sa situation particulière » à moins que, après une mise en balance, « les motifs légitimés impérieux » du responsable du traitement prévalent sur les « intérêts et les (…) droits et libertés de la personne concernée », ce que ce dernier devra démontrer.
5. Les exceptions légales. L’article 17.2 du RGPD reprend à quelques nuances près, les mêmes exceptions au droit à l’effacement que celles qu’avait adoptées le législateur français dans l’ancien article 40 de la LIL (V. Supra). Que ce soit sous ce régime ancien, ou celui du RGPD, c’est l’exception liée au respect de la « liberté d'expression et d'information » qui nécessite une mise en balance avec les droits à la vie privée et à la protection des données des personnes concernées, dont la mise en œuvre s’avère délicate dans le cas de demandes de référencement de contenus accessibles sur internet.
1.2. La genèse des treize décisions
6. L’arrêt de la Cour de Justice de l’Union Européen (« CJUE ») rendu le 24 septembre 2019, en réponse aux questions préjudicielles du Conseil d’Etat.
Avant de rendre ses treize arrêts en matière de déréférencement, le Conseil d’Etat a sursis à statuer pour poser plusieurs questions préjudicielles à la CJUE que sont :
◈ Les dispositions encadrant strictement les traitements de données sensibles (1) ainsi que celles relatives à des condamnations, infractions pénales et mesures de sûreté s’appliquent-elles également à l’exploitant d’un moteur de recherche dans le cadre de ses responsabilités, de ses compétences et de ses possibilités en tant que responsable du traitement effectué pour les besoins du fonctionnement de ce moteur ?
◈ Dans quelle mesure un moteur de recherche peut-il refuser de faire droit à une demande de déréférencement portant sur des données sensibles et/ou des données relatives à des condamnations, infractions pénales et mesures de sûreté, et en particulier lorsque celles-ci sont publiées aux seules fins de journalisme ou d’expression artistique ou littéraire, lesquelles bénéficient d’un régime plus souple ? (2)
◈ Des informations relatives à une procédure judiciaire dont une personne physique a été l’objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé, constituent-elles des données relatives aux « infractions » et aux « condamnations pénales » ?
◈ L’exploitant d’un moteur de recherche est-il tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle ?
7. Une décision de la CJUE déterminante pour le Conseil d’Etat.
Bien que devant se prononcer sur le fondement de la directive 95/46 applicable à la date d’introduction de la demande, la CJUE a pris le soin de préciser qu’elle avait pris en compte le RGPD dans son analyse « afin d’assurer que ses réponses seront, en toute hypothèse, utiles pour la juridiction de renvoi ». C’est ainsi qu’elle a considéré que les dispositions encadrant les traitements de données sensibles ainsi que celles relatives à des condamnations, infractions pénales et mesures de sûreté s’appliquent aux moteurs de recherches, lesquels sont responsables de traitement. Néanmoins, et semble-t-il afin de ne pas réduire à néant l’activité des moteurs de recherche (3), la CJUE considère que ces derniers peuvent seulement se contenter de vérifier les résultats, sous le contrôle des autorités nationales compétentes, à la suite d’une demande introduite par une personne concernée (4) . Il s’agit d’une nouvelle exception jurisprudentielle aux traitements de données particulières. Fort de ce constat, la CJUE, après avoir rappelé que des « informations relatives à une procédure judiciaire dont une personne physique a été l’objet » constituent des données relatives aux infractions et condamnations pénales, considère qu’un exploitant de moteur de recherche :
a. d’une part, est « en principe obligé de faire droit à une demande de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel qui relèvent de catégories particulières » ;
b. D’autre part, peut refuser de faire droit à de telles demandes de déréférencement lorsqu’il peut se prévaloir de l’une des exceptions lui permettant de traiter des données sensibles (comme, par exemple, le caractère « manifestement rendues publiques par la personne concernée ou (…) nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice » des données sensibles en cause), et sauf droit d'opposition exercé avec succès par la personne concernée.
6. L’arrêt de la Cour de Justice de l’Union Européen (« CJUE ») rendu le 24 septembre 2019, en réponse aux questions préjudicielles du Conseil d’Etat.
Avant de rendre ses treize arrêts en matière de déréférencement, le Conseil d’Etat a sursis à statuer pour poser plusieurs questions préjudicielles à la CJUE que sont :
◈ Les dispositions encadrant strictement les traitements de données sensibles (1) ainsi que celles relatives à des condamnations, infractions pénales et mesures de sûreté s’appliquent-elles également à l’exploitant d’un moteur de recherche dans le cadre de ses responsabilités, de ses compétences et de ses possibilités en tant que responsable du traitement effectué pour les besoins du fonctionnement de ce moteur ?
◈ Dans quelle mesure un moteur de recherche peut-il refuser de faire droit à une demande de déréférencement portant sur des données sensibles et/ou des données relatives à des condamnations, infractions pénales et mesures de sûreté, et en particulier lorsque celles-ci sont publiées aux seules fins de journalisme ou d’expression artistique ou littéraire, lesquelles bénéficient d’un régime plus souple ? (2)
◈ Des informations relatives à une procédure judiciaire dont une personne physique a été l’objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé, constituent-elles des données relatives aux « infractions » et aux « condamnations pénales » ?
◈ L’exploitant d’un moteur de recherche est-il tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle ?
7. Une décision de la CJUE déterminante pour le Conseil d’Etat.
Bien que devant se prononcer sur le fondement de la directive 95/46 applicable à la date d’introduction de la demande, la CJUE a pris le soin de préciser qu’elle avait pris en compte le RGPD dans son analyse « afin d’assurer que ses réponses seront, en toute hypothèse, utiles pour la juridiction de renvoi ». C’est ainsi qu’elle a considéré que les dispositions encadrant les traitements de données sensibles ainsi que celles relatives à des condamnations, infractions pénales et mesures de sûreté s’appliquent aux moteurs de recherches, lesquels sont responsables de traitement. Néanmoins, et semble-t-il afin de ne pas réduire à néant l’activité des moteurs de recherche (3), la CJUE considère que ces derniers peuvent seulement se contenter de vérifier les résultats, sous le contrôle des autorités nationales compétentes, à la suite d’une demande introduite par une personne concernée (4) . Il s’agit d’une nouvelle exception jurisprudentielle aux traitements de données particulières. Fort de ce constat, la CJUE, après avoir rappelé que des « informations relatives à une procédure judiciaire dont une personne physique a été l’objet » constituent des données relatives aux infractions et condamnations pénales, considère qu’un exploitant de moteur de recherche :
a. d’une part, est « en principe obligé de faire droit à une demande de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel qui relèvent de catégories particulières » ;
b. D’autre part, peut refuser de faire droit à de telles demandes de déréférencement lorsqu’il peut se prévaloir de l’une des exceptions lui permettant de traiter des données sensibles (comme, par exemple, le caractère « manifestement rendues publiques par la personne concernée ou (…) nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice » des données sensibles en cause), et sauf droit d'opposition exercé avec succès par la personne concernée.
2. LES APPORTS DU CONSEIL D’ETAT
8. Des critères objectifs pour apprécier une demande de déréférencement et mettre en balance le droit au respect de la vie privée et à la protection des données à caractère personnel et le droit à la liberté d’information. Le Conseil d’Etat, dans chacun des arrêts (5) en date du 6 décembre 2019 – à l’exception de ceux pour lesquels il a été constaté que le moteur de recherches en cause (à savoir « Google ») avait procédé à la suppression des liens litigieux –, a dressé une liste de critères d’appréciation. Les critères qui devront être pris en compte à l’avenir par les moteurs de recherches mais aussi la CNIL sont les suivants :
◈ Les caractéristiques des données en cause, à savoir la nature des données en cause, leur contenu, leur caractère plus ou moins objectif, leur exactitude, leur source, les conditions et de la date de leur mise en ligne et les répercussions que leur référencement est susceptible d’avoir pour la personne concernée. Bien que le Conseil d’Etat ne le précise pas, nous imaginerons que plus les données sont privées (voire sensibles) ou plus le contexte de leur publication est nébuleux, plus ce critère devra être apprécié strictement ;
◈ Le rôle social du demandeur, à savoir la notoriété de cette personne, son rôle dans la vie publique et sa fonction dans la société : faute de précision, il faut supposer que ce critère sera apprécié moins sévèrement si la personne concernée est une personnalité publique ;
◈ Les conditions d’accès de l’information en cause, à savoir la possibilité d’accéder aux mêmes informations à partir d’une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée ainsi que le rôle qu’a, le cas échéant, joué cette dernière dans la publicité conférée aux données la concernant. Nous imaginerons, ici, qu’une demande de déréférencement sera accueillie favorablement si d’autres liens renvoient vers des informations similaires, garantissant ainsi le droit à la liberté d’information.
9. Une appréciation plus ou moins stricte en fonction des catégories de données concernées. Le Conseil d’Etat a finement nuancé l’appréciation de ces critères en fonction des catégories de données concernées par la demande de déréférencement. Ainsi, plus celles-ci sont critiques pour la vie privée, plus les critères doivent être appréciés sévèrement. Avant d’examiner plus en détails ces éléments, il est nécessaire de souligner qu’en principe, il doit être fait droit à une demande de déréférencement, ce que rappellent la CJUE dans l’arrêt précité et le Conseil d’Etat dans chacun de ses arrêts. Fort de ce principe, le refus de faire droit à une demande de déréférencement d’informations qui ne sont ni sensibles, ni des informations relatives aux infractions et condamnations pénales, nécessite de démontrer – avec l’aide des critères précités – qu’il existe un intérêt prépondérant du public à accéder à l’information en cause en effectuant une recherche à partir du nom de l’intéressé (6). Lorsque les données sont sensibles au sens des textes, le refus de faire droit à une demande de déréférencement oblige à démontrer que l’accès à une information litigieuse à partir d’une recherche portant sur le nom du demandeur est strictement nécessaire à l’information du public (7) . En ce qui concerne des données relatives à des procédures pénales, le Conseil d’Etat considère également qu’un refus de déréférencement doit être « strictement nécessaire à l’information du public » (8) . Dans ce dernier cas, le Conseil d’Etat a envisagé l’hypothèse particulière « où le lien mène vers une page web faisant état d’une étape d’une procédure judiciaire ne correspondant plus à la situation judiciaire actuelle de la personne concernée mais qu’il apparaît, au terme de la mise en balance effectuée dans les conditions énoncées au point précédent, que le maintien de son référencement est strictement nécessaire à l’information du public ». Dans ce cas particulier, l’exploitant du moteur de recherche « devra au plus tard à l’occasion de la demande de déréférencement, aménager la liste de résultats de telle sorte que les liens litigieux soient précédés sur cette liste de résultats d’au moins un lien menant vers une ou des pages web comportant des informations à jour, afin que l’image qui en résulte reflète exactement la situation judiciaire actuelle de la personne concernée » .
10. Quid de l’ordre judiciaire ? Si la CNIL a tout intérêt à sa ranger derrière ces critères d’appréciation, reste à savoir si les juridictions de l’ordre judiciaire qui seront éventuellement saisies, en lieu et place de la CNIL, de demandes de déréférencement, s’y conformeront.
◈ Les caractéristiques des données en cause, à savoir la nature des données en cause, leur contenu, leur caractère plus ou moins objectif, leur exactitude, leur source, les conditions et de la date de leur mise en ligne et les répercussions que leur référencement est susceptible d’avoir pour la personne concernée. Bien que le Conseil d’Etat ne le précise pas, nous imaginerons que plus les données sont privées (voire sensibles) ou plus le contexte de leur publication est nébuleux, plus ce critère devra être apprécié strictement ;
◈ Le rôle social du demandeur, à savoir la notoriété de cette personne, son rôle dans la vie publique et sa fonction dans la société : faute de précision, il faut supposer que ce critère sera apprécié moins sévèrement si la personne concernée est une personnalité publique ;
◈ Les conditions d’accès de l’information en cause, à savoir la possibilité d’accéder aux mêmes informations à partir d’une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée ainsi que le rôle qu’a, le cas échéant, joué cette dernière dans la publicité conférée aux données la concernant. Nous imaginerons, ici, qu’une demande de déréférencement sera accueillie favorablement si d’autres liens renvoient vers des informations similaires, garantissant ainsi le droit à la liberté d’information.
9. Une appréciation plus ou moins stricte en fonction des catégories de données concernées. Le Conseil d’Etat a finement nuancé l’appréciation de ces critères en fonction des catégories de données concernées par la demande de déréférencement. Ainsi, plus celles-ci sont critiques pour la vie privée, plus les critères doivent être appréciés sévèrement. Avant d’examiner plus en détails ces éléments, il est nécessaire de souligner qu’en principe, il doit être fait droit à une demande de déréférencement, ce que rappellent la CJUE dans l’arrêt précité et le Conseil d’Etat dans chacun de ses arrêts. Fort de ce principe, le refus de faire droit à une demande de déréférencement d’informations qui ne sont ni sensibles, ni des informations relatives aux infractions et condamnations pénales, nécessite de démontrer – avec l’aide des critères précités – qu’il existe un intérêt prépondérant du public à accéder à l’information en cause en effectuant une recherche à partir du nom de l’intéressé (6). Lorsque les données sont sensibles au sens des textes, le refus de faire droit à une demande de déréférencement oblige à démontrer que l’accès à une information litigieuse à partir d’une recherche portant sur le nom du demandeur est strictement nécessaire à l’information du public (7) . En ce qui concerne des données relatives à des procédures pénales, le Conseil d’Etat considère également qu’un refus de déréférencement doit être « strictement nécessaire à l’information du public » (8) . Dans ce dernier cas, le Conseil d’Etat a envisagé l’hypothèse particulière « où le lien mène vers une page web faisant état d’une étape d’une procédure judiciaire ne correspondant plus à la situation judiciaire actuelle de la personne concernée mais qu’il apparaît, au terme de la mise en balance effectuée dans les conditions énoncées au point précédent, que le maintien de son référencement est strictement nécessaire à l’information du public ». Dans ce cas particulier, l’exploitant du moteur de recherche « devra au plus tard à l’occasion de la demande de déréférencement, aménager la liste de résultats de telle sorte que les liens litigieux soient précédés sur cette liste de résultats d’au moins un lien menant vers une ou des pages web comportant des informations à jour, afin que l’image qui en résulte reflète exactement la situation judiciaire actuelle de la personne concernée » .
10. Quid de l’ordre judiciaire ? Si la CNIL a tout intérêt à sa ranger derrière ces critères d’appréciation, reste à savoir si les juridictions de l’ordre judiciaire qui seront éventuellement saisies, en lieu et place de la CNIL, de demandes de déréférencement, s’y conformeront.