Existence et portée du droit au déréférencement

Ayant conclu que que l’activité de Google tombait bien dans le champ d’application de la Directive, la Cour se pencha sur la question de savoir si le droit à l’effacement contenu dans ses articles 12 (b) et 14 (a) permettait de requérir, auprès d’un moteur de recherche, l’effacement d’un résultat de recherche indépendamment du statut de la ressource désignée par ledit résultat. Google Inc. et Google Spain avaient argumenté qu’un tel droit au déréférencement porterait atteinte tant au droit pour le public d’avoir accès aux informations que le droit pour les éditeurs à la liberté d’expression. Selon elles, toute demande visant à la suppression d’informations présentes sur le World Wide Web devait être impérativement lancée à l’encontre de leur éditeur source, et

24 Pour plus de details, voir VAN HOBOKEN, p. 7-11.

25 Voir l'art. 6, par. (1), lit (c) de la Directive qui légitime le traitement des données personnelles lorsque celui-ci est "[…] est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis".

26 Ibid., consid. 16-17 ; voir aussi Audiencia Nacional, Sala de lo Contencioso, 19 Décembre 2014, Google Spain c. Agencia de Proteccion de Datos, Nº de Recurso: 725/2010.

non d’un moteur de recherche les répertoriant automatiquement; ce n’est que si le contenu originel en était ainsi supprimé que le moteur de recherche se devait de reflé-ter cet effacement.²⁷

Dans sa décision, la Cour répondit que la Directive impose au responsable de traite-ment de données personnelles – et ce, quelle que soit sa nature – de prendre toutes les mesures nécessaires pour s’assurer que ce traitement respecte les principes contenus dans ses articles 6 et 7 , soit s’assurer par tous moyens que les données soient cor-rectes, actuelles, collectées de façon licite et transparente, et qu’elles soient conser-vées pour une durée n’excédent pas celle nécessaire à la réalisation de la finalité de leur collecte.²⁸ Dans ce contexte, les articles 12 (b) et 14 (a) ouvrent au justiciable le droit de requérir à ce que le responsable corrige, efface ou bloque tout traitement ne remplissant pas ces conditions.²⁹ Concernant les moteurs de recherche plus particu-lièrement, la Cour mit l’accent sur l’impact de ces opérateurs sur la vie privée des personnes :

« […] [U]n traitement de données à caractère personnel […] réalisé par l’exploitant d’un moteur de recherche, est susceptible d’affecter significativement les droits fon-damentaux au respect de la vie privée et à la protection des données à caractère per-sonnel lorsque la recherche à l’aide de ce moteur est effectuée à partir du nom d’une personne physique, dès lors que ledit traitement permet à tout internaute d’obtenir par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet, qui touchent potentiellement à une multitude d’aspects de sa vie privée et qui, sans ledit moteur de recherche, n’auraient pas ou seulement que très difficilement pu être interconnectées, et ainsi d’établir un profil plus ou moins détaillé de celle-ci. En outre, l’effet de l’ingérence dans lesdits droits de la personne concer-née se trouve démultiplié en raison du rôle important que jouent Internet et les mo-teurs de recherche dans la société moderne, lesquels confèrent aux informations con-tenues dans une telle liste de résultats un caractère ubiquitaire. »30

La Cour argumenta également que, contrairement à un éditeur en ligne tel que le jour-nal espagnol La Vanguardia, un moteur de recherche n’est mû non pas par une volonté éditoriale, mais par l’intérêt économique d’être consulté par un maximum d’usagers, ce qui tend à délégitimiser l’argument fondé sur sa liberté d’expression.³¹ Elle arriva donc à la conclusion que les articles 12 (b) et 14 (a) de la Directive permettent aux

27 Google Spain, consid. 63.

28 Ibid., consid. 71-72.

29 Pour plus de details sur ces dispositions ainsi que leur application dans le milieu numérique, voir

VAN HOBOKEN, p. 7-11 ; WALTER p. 13-14.

30 Google Spain, consid. 80.

31 Ibid., consid. 81.

personnes de s’addresser aux moteurs de recherche en tant que tels, indépendamment de la situation de la ressource liée par le résultat en question.³²

Enfin, il restait à déterminer la portée de ce droit au déréférencement, et notamment s’il permettait de faire retirer des résultats de recherche menant à des informations autrefois licites, mais désormais périmées. Sur ce point, la Cour retint les considéra-tions suivantes :

« […] [M]ême un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible avec cette directive lorsque ces données ne sont plus néces-saires au regard des finalités pour lesquelles elles ont été collectées ou traitées. Tel est notamment le cas lorsqu’elles apparaissent inadéquates, qu’elles ne sont pas ou plus pertinentes ou sont excessives au regard de ces finalités et du temps qui s’est écoulé. »³³

Ainsi donc, la Cour parvint à la conclusion que l'obligation de déréférencement s'étend aux résultats menant à des données personnelles qui, de par l'écoulement du temps, ne sont plus pertinente. Cela étant, elle apporta deux précisions : en premier lieu, seuls devaient être affectés les résultats apparaissant suivant une recherche faite à partir du nom d’une personne.³⁴ Par exemple, même si la notice publiée dans La Vanguardia n’apparaît plus lorsqu’un usager entre le nom de M. Gonzàlez dans un moteur de cherche, elle pourrait néanmoins licitement s'afficher lorque le même usager re-cherche par exemple les ventes aux enchères publiques ayant eu lieu en Espagne en 1998.

En deuxième lieu, la Cour, restant consciente de la fonction informative des moteurs de recherche et de l’intérêt correspondant du public à être informé par leur entremise, conféra aux exploitants de ces moteurs la tâche – mais également la prérogative – de décider sur le bien-fondé de chaque demande de déréférencement qui leur est soumise;

l’exercice implique une pondération de la force respective des droits fondamentaux en jeu dans chaque cas d'espèce, par exemple en prenant en compte des critères tels que «le rôle joué par [le requérant] dans la vie publique ».³⁵ La Cour exhorta donc les moteurs de recherche à mettre en place un dispositif interne leur permettant de traiter les demandes en effacement. Suivant la logique procédurale de la Directive sur la protection des données, elle plaça cette activité de déréférencement sous la surveil-lance de chacune des autorités nationales de contrôle de la protection des données.³⁶

32 Ibid., consid. 84-88.

33 Ibid., consid. 94.

34 Ibid., consid. 96.

35 Ibid., consid. 98.

36 Ibid., consid. 77-79.

4. Résumé

Google Spain, bien loin de donner naissance à un droit à l’oubli communautaire, à pour le moins crée une obligation de déréférencement partiel adressée spécifiquement aux moteurs de recherche. Sa portée limitée est à souligner: s’agissant de prévenir à l’apparition de liens suite à l’entrée du nom d’une personne, la décision n’emporte pas d’effacement de données et ne menace pas non plus l’intégrité des serveurs de Google ou d'aucuns ses concurrents.³⁷ De plus, la Cour s'étant surtout attaquée à la fonction externe des moteurs de recherche en tant que vecteurs d’information pour le grand public, les autres types de médias ou d’intermédiaires en ligne ne sont, pour l'instant, aucunement concernés.³⁸

A l’issue de la décision, Google mit en place un formulaire en ligne permettant de requérir à l'effacement de résultats de recherche.³⁹ La société mit également sur pied un appareil décisionel interne lui permettant de traiter et de décider de chacune de ces demandes. Peu de temps après, le Groupe de travail Article 29 sur la protection des données, qui est l’organe interprétatif officiel de la Directive,⁴⁰ publia un set de direc-tives précisant la portée de l'obligation de déréférencement et contenant également certains exemples de critères à prendre en compte au moment de décider du retrait d'un résultat.⁴¹ Ce mode d'implémentation, qui voit le droit au déréférencement confié aux moteurs de recherche sous la surveillance générale des autorités nationales de contrôle de la protection des données et suivant les directives promulguées par le Groupe de travail Article 29, n'a pas été modifié depuis lors.

37 En ce sens, HÜRLIMANN, par. 42-43.

38 Cf. aussi les lignes directrices sur Google Spain, pars. 17-18, qui laissent cependant la porte ouverte à une possible extension de l’obligation à toute intermédiaire provoquant le même effet.

L’appréciation de ce critère fonctionnel reste cependant difficile à manier, voir HÜRLIMANN, par.

35-38.

39 Google, Search removal request under data protection law in Europe [en ligne]

</support.google.com/legal/contact/lr_eudpa?product=websearch>

40 Le Groupe de travail Article 29 sur la protection des données est composé de membres des autorités nationales de contrôle ainsi que de membres de la commission européenne. Par le biais d’avis et d’opinions, cet organe s’efforce de garantir une interprétation commune des dispositions de la Directive sur la protection des données. Pour plus d’informations, voir Groupe de travail

Article 29 sur la protection des données [en ligne]

<https://secure.edps.europa.eu/EDPSWEB/edps/lang/fr/Cooperation/Art29>.

41 Ibid., pars. 10-15 et 24-25.