La Cour de Justice de l'Union Européenne a apporté dans son arrêt du 24 septembre 2019 C-507-17 des précisions quant à l'assise géographique du droit au déréférencement.
Pour mémoire, la Cour de Justice de l'Union Européenne a dégagé dans son arrêt du 13 mai 2014 le droit de solliciter d'un moteur de recherche qu'il déréférence des résultats identifiants c'est à dire des résultats correlés aux noms et prénoms d'une personne.
Des difficultés sont nées sur l'interprétation de la portée géographique du déréférencement.
Ainsi, la société Google assurait la mise en oeuvre de ce droit par identification de la zone géographique de l'internaute.
Autrement dit, le déréférencement était ainsi relatif tant par rapport à la personne l'ayant sollicité que par rapport à l'internaute.
La CNIL dans une décision de 2016 avait ainsi condamné la société Google dans une délibération du 10 mars 2016 à une amende de 100.000,00 euros pour n'avoir pas assuré la pleine effectivité du droit au déréférencement à l'échelle mondiale :
Ainsi tout internaute, où qu’il se situe, est à même d’avoir accès à des pages web déréférencées en effectuant sa recherche à partir d’une extension non européenne du moteur de recherche.Une telle mesure ne permet pas de répondre aux impératifs d’efficacité, de complétude, d’effectivité et de non contournement qui s’imposent au regard de la décision précitée de la CJUE en ce que l’atteinte à la vie privée et à la protection des données à caractère personnel des personnes concernées persiste.Dès lors, seul un déréférencement sur l’ensemble du moteur de recherche est de nature à permettre une protection effective des droits des personnes.[...]En tout état de cause, n’importe quel internaute situé en dehors du territoire français ne sera pas concerné par la mesure de filtrage et pourra continuer à avoir accès aux informations déréférencées en interrogeant les extensions non européennes du moteur de recherche s’il réside dans l’Union Européenne ou n’importe quelle version de […] s’il se situe en dehors de l’Union européenne. Or, la protection d’un droit fondamental ne peut varier en fonction du destinataire de la donnée. Le droit européen, comme le droit national, prévoit que la personne concernée peut exercer son droit à l’égard d’un traitement de données, sans que les éventuelles différences de destinataires n’aient d’incidence. Ainsi, la solution proposée par la société demeure incomplète.
Cette mesure complémentaire ne permet pas d’atteindre l’objectif imposé par la directive, et rappelé par la Cour de justice, de permettre aux résidents européens de bénéficier d’une protection efficace et complète de leurs droits fondamentaux, dont la Commission est chargée d’assurer le respect s’agissant des demandes de déréférencement présentées par des résidents français.Seule une mesure s’appliquant à l’intégralité du traitement lié au moteur de recherche, sans distinction entre les extensions interrogées et l’origine géographique de l’internaute effectuant une recherche est juridiquement à même de répondre à l’exigence de protection telle que consacrée par la CJUE.
Délibération CNIL n°2016-054 du 10 mars 2016
Google formait un recours contre la délibération n°2016-054 devant le Conseil d'Etat, laquelle juridiction adressait une triple question préjudicielle à la Cour de Justice de l'Union Européenne.
La Cour de Justice de l'Union Européenne dans sa décision du 24 septembre 2019 vient de juger que :
Lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des États membres, et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des États membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande.
CJUE 24 septembre 2019 C-507-17
La CJUE fait ainsi le constat dans sa décision de l'absence d'universalité du droit au déréférencement ainsi que de l'absence de mise en balance opérée au sein de l'Union européenne entre protection des données personnelles et portée du déréférencement en dehors de l'Union :
59 Cela étant, il convient de souligner que de nombreux États tiers ne connaissent pas le droit au déréférencement ou adoptent une approche différente de ce droit.
60 Par ailleurs, le droit à la protection des données à caractère personnel n’est pas un droit absolu, mais doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité [voir, en ce sens, arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert, C‑92/09 et C‑93/09, EU:C:2010:662, point 48, ainsi que avis 1/15 (Accord PNR UE-Canada), du 26 juillet 2017, EU:C:2017:592, point 136]. À cela s’ajoute le fait que l’équilibre entre le droit au respect de la vie privée et à la protection des données à caractère personnel, d’un côté, et la liberté d’information des internautes, de l’autre côté, est susceptible de varier de manière importante à travers le monde.
61 Or, si le législateur de l’Union a, à l’article 17, paragraphe 3, sous a), du règlement 2016/679, effectué une mise en balance entre ce droit et cette liberté pour ce qui concerne l’Union [voir, en ce sens, arrêt de ce jour, GC e.a. (Déréférencement de données sensibles), C‑136/17, point 59], force est de constater que, en revanche, il n’a, en l’état actuel, pas procédé à une telle mise en balance pour ce qui concerne la portée d’un déréférencement en dehors de l’Union.
Faut-il convenir que ce jugeant, la CJUE laisse à l'opérateur une marge de manoeuvre importante pour atteindre un objectif relativisé puisque à suivre le raisonnement de la Cour de simples mesures propres à décourager sérieusement les internautes suffiraient ?
Ce serait faire une lecture par trop hâtive de l'arrêt qui précise dans son antépénultième attendu que :
le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus. Partant, une autorité de contrôle ou une autorité judiciaire d’un État membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux (voir, en ce sens, arrêts du 26 février 2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, point 29, et du 26 février 2013, Melloni, C‑399/11, EU:C:2013:107, point 60), une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur.
Conclusion : pour la CJUE, si le droit de l'Union n'impose pas à l'organe régulateur d'ordonner que le déréférencement se fasse sur l'ensemble des extensions du moteur de recherche, il ne l'interdit pas pour autant.
Il revient donc à l'autorité de contrôle dans sa mise en balance entre protection des données personnelles et liberté d'information de définir l'étendue du déréférencement, lequel :
- doit être effectif pour un internaute accédant depuis l'ensemble du territoire de l'Union européenne,
- peut être effectif sur l'ensemble des extensions couvertes par le moteur de recherche.
Par conséquent, toutes les interrogations soulevées à juste titre par la CNIL quant à la faculté pour un internaute de contourner le zonage (par utilisation d'un VPN ou tout simplement par le paramétrage du moteur de recherche qui, s'il renvoie l'utilisateur sur la version locale permet également de s'affranchir et de sélectionner une version étrangère de ses services), demeurent donc parfaitement d'actualité.
La CJUE étant saisie par le biais de plusieurs questions préjudicielles, ce sera désormais au Conseil d'Etat d'apporter le dernier mot au litige en recours contre la décision rendue par la CNIL.
Thomas BOUDIER