La Cour de Justice de l’Union européenne estime qu’un moteur de recherche sur Internet est responsable du traitement des informations personnelles contenues dans ses résultats de recherche. Une décision qui pourrait obliger Google à modifier radicalement ses pratiques. L’exploitant d’un moteur de recherche peut être tenu responsable du traitement qu’il effectue de données à caractère personnel figurant sur des pages web publiées par des tiers. A ce titre la personne concernée peut lui demander de supprimer les liens menant vers ces données, notamment lorsqu’elles ne sont plus actuelles ou pertinentes et, s’il ne donne pas suite, il peut être obligé de le faire par les autorités compétentes .
Un véritable coup de tonnerre, et pour en juger il suffit de parcourir les articles du Washington Post publiés quelques petites heures après le prononcé de l’arrêt. (cf. « Pour en savoir plus »). L’intérêt de l’arrêt est aussi de préciser ce que l’on entend par « traitement de données à caractère personnel ». Plus important que tout : la Cour reconnaît la responsabilité de Google Inc pour le traitement des données en Espagne à travers sa filiale Google Spain. Une jurisprudence susceptible d s’appliquer non seulement au traitement des données mais aussi en matière de fiscalité ? C’est aller un peu vite en besogne
La Cour de la justice de l’Union européenne vient d’ouvrir une large brèche en faveur du droit à l’oubli sur Internet. C’est une percée incontestable. Dans son arrêt rendu le 13 mai par les juges de la Cour européenne, un moteur de recherche est tenu responsable du traitement qu’il effectue des données à caractère personnel qui apparaissent sur des pages web publiées par des tiers, comme des journaux. Même si la publication de ces informations sur ces pages est légale, les organismes de surveillance nationaux pourraient toujours contraindre les moteurs de recherche à retirer les liens qui ne respectent pas la directive relative à la protection de la vie privée. La Cour de justice de l’UE (CJUE) a observé que certains liens pourraient devenir, avec le temps, incompatibles avec la directive sur la protection des données même si la procédure de départ était bel et bien légale. (cf. infra le communiqué de presse)
Le droit à l’oubli s’inscrit également dans le cadre de la proposition de la Commission de 2012 visant à réviser la directive sur la vie privée. Le Parlement européen l’a adoptée et les États membres analysent maintenant ce dossier au sein du Conseil . Cet arrêt pourrait contraindre le Conseil à accélérer l’examen des propositions . Jusqu’à maintenant le Conseil s’est fait remarquer par sa course de lenteur, rendant vain l’espoir des députés de voir l’adoption sous l’ancienne législature.
S’il y a un intérêt prépondérant du public dans les données mises en ligne, comme dans le cas des personnalités publiques, les cours nationales pourraient rejeter une demande de suppression des liens, ont prononcé les juges.« L’effet de l’ingérence dans les droits de la personne se trouve démultiplié en raison du rôle important que jouent Internet et les moteurs de recherche dans la société moderne, ces derniers conférant un caractère ubiquitaire aux informations contenues dans les listes de résultats », peut-on lire dans l’arrêt de la cour.« Compte tenu de sa gravité potentielle, une telle ingérence ne saurait, selon la Cour, être justifiée par le seul intérêt économique de l’exploitant du moteur dans le traitement des données. »
Historique
Google avait fait appel à une réclamation introduite auprès de l’Agence espagnole de protection des données. Cette réclamation avait pour but de supprimer les informations relatives à une personne qui a mis sa maison aux enchères à la suite d’une saisie afin de recouvrer les dettes de sécurité sociale. Il s’agit de l’un des 200 dossiers dans lesquels les organismes de surveillance espagnols ont demandé à Google de retirer du contenu. L’agence de protection de données espagnole n’a pas contraint le quotidien La Vanguardia à retirer de son site Internet deux articles datés de 1998 relatif à cette vente aux enchères. Elle s’est plutôt concentrée sur Google Espagne. Un tribunal espagnol a transféré l’appel auprès de la CJUE pour obtenir des clarifications sur la législation européenne. La cour n’a pas réglé le contentieux elle-même. Selon elle, il s’agit d’une compétence relative aux tribunaux nationaux. Elle utilise cet arrêt sous la forme de conseils pour établir si une affaire va à l’encontre des droits individuels en matière de protection de la vie privée. Les juges de la cour ont conclu que Google collectait et traitait les données dans le cadre de son moteur de recherche. La directive européenne de 1995 est donc d’application. Elle autorise les personnes à avoir accès aux données conservées par une entreprise et à leur demander la suppression de celles-ci. Lors d’une audience en février, Google a affirmé qu’il n’était pas responsable du traitement des données et ne devrait pas recevoir de demandes de suppression des données provenant de son moteur de recherche qui ont été publiées ailleurs en toute légalité. Argument rejeté par la Cour.
Analyse de l’arrêt
La juridiction espagnole interrogeait la Cour sur :
– l’applicabilité de la directive95/46/CE (protection des personnes physiques à l’égard du traitement des données à caractère personnel) et de la législation nationale en la matière du moment qu’en l’occurrence « l’établissement qui s’occupe du traitement de ces données : Google Inc est aux Etats-Unis est situé hors d’Espagne, alors que sa filiale, Google Spain, agit uniquement en tant que représentant commercial de Google pour des activités publicitaires et ne traite à ce titre que les données personnelles de ses clients annonceurs espagnols ;
– la position juridique de Google en tant que fournisseur de services de moteur de recherche sur internet : Google peut-il être considéré « responsable du traitement des données personnelles » au sens de la directive ?;
– l’existence en l’espèce du droit d’obtenir l’effacement des données et/ou de s’opposer à ce que les données de caractère personnel concernant l’intéressé fasse l’objet d’un traitement, l’expression même du « droit à l’oubli ».
Dan son arrêt La Cour fait une série de constats :
– En premier lieu, l’exploitant d’un moteur de recherche exploite effectivement les données personnelles au sens de la directive en ce « qu’il collecte », « extrait », « enregistre » et organise » ces données dans le cadre de ses programmes d’indexation, avant de les « conserver » sur ses serveurs et, le cas échéant de les « communiquer » ou de les « mettre à disposition » de ses utilisateurs ». Ces opérations selon la Cour doivent être qualifiées de « traitements » au sens de la directive, même lorsque qu’elles portent exclusivement sur des informations déjà publiées dans les médias et indépendamment du fait qu’elles sont appliquées indifféremment à des informations autres que les données à caractère personnel.
– En second lieu la Cour juge que l’exploitant du moteur de recherche est « responsable » de ce traitement au sens de la directive, puisqu’il en détermine les finalités et les moyens Son activité peut en affecter significativement le droit à la vie privée et à la protection de données à caractère personnel ; C’est pourquoi dans « le cadre de ses responsabilités et de ses compétences et des ses possibilités », il doit veiller à ce que cette activité respecte les exigences de la directive.
– En troisième lieu la Cour reconnait la responsabilité de Google Inc pour le traitement des données à caractère personnel en Espagne à travers sa filiale Google Spain. Elle considère à cet égard que lorsqu’un Etat tiers, dispose d’un établissement dans un Etat membre, que lorsque ces données sont traitées pour les besoins d’un moteur de recherche exploité par une entreprise, qui, bien que située dans un Etat tiers, dispose d’un établissement dans Etat membre, le traitement est effectué « dans le cadre des activités », de cet établissement au sens de la directive. En ce qui concerne l’étendue de la responsabilité de l’exploitant du moteur de recherche, la Cour considère que celui-ci peut être obligé de supprimer de la liste des résultats d’une recherche effectuée sur le nom d’une personne des liens vers les pages web publiées par des tiers contenant des informations relative à cette personne.
Cette obligation peut exister même si la publication dans ces pages est considérée comme licite. Toutefois, un juste équilibre doit être maintenu entre le droit de la personne au respecte de sa vie privée et à la protection des données personnelles et le droit à l’information des internautes, en tenant compte notamment de la nature des données et de leur sensibilité pour la vie privée del personne concernée et de l’intérêt du public à recevoir cette information qui peut varier notamment en fonction du rôle joué par la personne dans la vie publique.
Enfin la Cour conclut à la légitimité du droit à l’oubli : une personne peut légitimement prétendre que les liens vers ses données personnelles soient supprimés s’il est constaté qu’avec le temps les informations en cause sont devenues obsolètes, inadéquates, pas pertinentes ou excessives et que par conséquent, au stade actuel, leur traitement est devenu incompatible avec la directive.
Réactions:
Elles sont unanimes pour se féliciter de l’arrêt rendu, à l’exception naturellement de Google lui-même
Un porte-parole de Google a déclaré : « L’arrêt est dans l’ensemble décevant pour les moteurs de recherche et les éditeurs en ligne. Nous sommes très surpris qu’il soit si différent de l’avis et des mises en garde […] énoncés par l’avocat général. Nous devons dorénavant prendre le temps d’analyser les implications [de cet arrêt]. » En juillet 2013, l’avocat général M. Jääskinen avait rendu un avis sur le dossier. Même cet avis n’était pas contraignant, l’avocat général s’était prononcé contre l’application du droit à l’oubli. « Cela obligerait à sacrifier des droits essentiels, tels que la liberté d’expression et d’information », a-t-il écrit dans son avis. (cf. infra les conclusions de l’avocat général)Google détient plus de 80 % du marché des moteurs de recherche en Europe, selon l’entreprise de recherche comScore. Le géant de l’Internet retire déjà volontairement des résultats de recherche quand des demandes sont soumises sous le droit américain.
Pour Jan Philipp ALBRECHT, porte-parole des Verts au Parlement européen sur les questions de justice et affaires intérieurs dont le rapport a été adopté par le Parlement européen juste avant la fin de la législature, «la décision de la Cour de Justice de l’Union Européenne de tenir les moteurs de recherche tels que Google responsables du respect de la législation sur la protection des données, doit être saluée. […] Les personnes concernées peuvent donc bénéficier du droit à l’effacement de leurs données personnelles. Il faudrait maintenant assurer que le règlement sur la protection des données soit appliqué de façon uniforme et systématique afin de renforcer la protection de ces droits dans tous les domaines à l’échelle européenne. ».
Guy Verhofstadt, candidat des libéraux à la présidence de la Commission indique pour sa part : « C’est une décision historique qui soutient ma priorité en tant que candidat, de mettre en place une protection de la vie privée digne du 21e siècle […] Après la décision du mois dernier de la Cour sur la conservation des données, le jugement d’aujourd’hui donne également un caractère plus urgent à la mise en œuvre de mes propositions, appelant à un contrôle approfondi des droits fondamentaux dans toutes les futures lois européennes relatives à la collecte, au traitement, au transfert et au stockage des données personnelles. Je ne peux que saluer l’arrêt de la Cour, mais l’Europe que je veux est une Europe dirigée par un projet politique et non pas seulement par la jurisprudence de la Cour de Luxembourg. C’est pourquoi j’ai l’intention de prendre l’initiative sur la protection des données et la vie privée et j’exhorte les États membres à cesser de retarder l’adoption du paquet sur la protection des données actuellement en discussion ».
Pour Arnaud Montebourg, ministre de l’Economie, « cet arrêt contribue à rétablir l’équilibre entre les pratiques des grandes plateformes numériques et les droits des utilisateurs d’internet, citoyens et entreprises ». Et selon Axelle Lemaire, secrétaire d’Etat au numérique, « l’essor du numérique repose sur la confiance des citoyens et des entreprises dans l’efficacité des règles qui s’appliquent à l’ensemble des acteurs. Cet arrêt constitue une réelle avancée pour la protection de la vie privée des citoyens européens. »
Cependant des incertitudes importantes subsistent : l’attitude des américains, il existe dans la culture, le comportement, le fonctionnement judiciaire une véritable fracture entre le continent américain et le continent européen. A cet égard il est utile de relire les articles du Washington Post publiés immédiatement après le prononcé de l’arrêt. Cette rapidité témoigne d’un grand intérêt et d’ une grande vigilance sur cette question qui se situe bien au coeur du débat sociétal sur la vie privée. Autre incertitude, le comportement des Etats membres : leur diligence pour adopter la directive et leur façon de la transposer, en d’autres termes la façon de l’appliquer. Guy Verhofstadt a raison d’insister sur ce point et de rappeler que le législateur doit prendre ses responsabilités et qu’on ne peut s’en remettre totalement aux juges. L’opinion publique pourrait se dresser alors contre cette Europe où prévaudrait le gouvernement des juges. Une fois de plus le procès du déficit démocratique de l’Europe serait instruit avec ardeur. Cet arrêt a eu un grand retentissement international, bien au-delà des frontières de l’UE, pour preuve le communiqué de presse de l’OSCE (cf. « Pour en savoir plus ») qui fait de cet arrêt une pièce importante de la liberté de la presse.
Rendez-vous est donné aux ministres au prochain Conseil Jai du début juin prochain : ce sera l’occasion de vérifier leur volonté d’aboutir à l’adoption d’une législation uniforme sur la protection des données personnelles. Dores et déjà l’arrêt aura contribué, même involontairement, à la relance de l’autre dossier concernant Google, à savoir celui de l’abus de position dominante (cf. autre article dans Nea say)
Pour en savoir plus
– Communiqué de presse (FR) / (EN)
– Texte de l’arrêt (FR) / (EN)
– Conclusions de l’avocat général (FR) / (EN)
– Dossier Google de Nea say (FR)
– Articles du Washington Post :
2. European Court ruling on Privacy (click here)
3. Court says people are entitled to control their own online stories
4. Right to be forgotten highlights sharp divide on US, Europe attitudes toward privacy
– Nea say :Google, attention Danger ! (FR)
– Nea say: Google fait peur ! (FR)