Le Conseil d’État a tranché le 27 mars 2020, mettant un terme à la bataille judiciaire entre Google et la CNIL concernant le droit à l’oubli. L’affaire, débutée en 2016, a vu la CNIL sanctionner Google pour ne pas avoir déréférencé des contenus sur toutes les versions de son moteur de recherche. Selon la CNIL, un déréférencement mondial était nécessaire pour assurer une protection efficace des droits des individus. Google a contesté cette décision, arguant que ses mesures de redirection vers les versions nationales étaient suffisantes. Le Conseil d’État a alors soumis l’affaire à la Cour de justice de l’Union européenne (CJUE), qui a statué en septembre 2019 que le déréférencement doit s’appliquer au minimum à l’échelle européenne, tout en laissant la porte ouverte à une portée mondiale dans certains cas. Dans sa décision, le Conseil d’État a annulé la sanction de la CNIL, soulignant qu’elle avait agi sur une base trop générale sans examiner les spécificités de chaque cas. Il a également mentionné que la CNIL pourrait, dans certaines situations, équilibrer la protection de la vie privée et le droit à l’information, ouvrant la voie à des décisions plus nuancées. La CNIL a reçu ce message et prévoit de modifier son approche, tout en soulignant la nécessité d’une éventuelle législation française pour élargir le cadre du droit à l’oubli. Le débat sur l’équilibre entre vie privée et accès à l’information se poursuit, promettant de nouvelles discussions législatives.
Le conseil d’État a rendu ce 27 mars 2020 la décision qui clôture le recours intenté par Google contre la décision de la CNIL qui lui enjoignait de procéder à un déréférencement mondial lorsqu’elle était saisie d’une demande de droti à l’oubli.
Historique du dossier
L’affaire remonte à 2016 : la CNIL avait prononcé une sanction pécuniaire publique à l’encontre de la société Google qui ne s’était pas conformée à une mise en demeure de la Présidente de la CNIL, de rendre effectif le déréférencement sur l’ensemble des versions nationales de son moteur de recherche Google Search. Pour la CNIL, lorsqu’il était fait droit à la demande d’une personne, seul un déréférencement mondial était de nature à permettre une protection effective des droits des personnes.
La société Google avait alors saisi le Conseil d’État au motif que les mesures adoptées depuis mars 2016 étaient suffisantes, à savoir un mécanisme de redirection automatique vers la version nationale du site utilisé par l’internaute et un blocage de l’accès à un contenu déréférencé, à tout internaute identifié comme localisé sur ce territoire.
Le conseil d’État avait rendu une première décision renvoyant l’affaire devant la Cour de justice de l’Union européenne, à charge pour celle-ci de préciser si le droit à l’oubli, lorsqu’il est exercé, a une portée nationale, européenne ou mondiale.
Arrêt de la CJUE
La Cour avait rendu un arrêt le 24 septembre 2019. En grande chambre, elle avait dit pour droit que « lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des États membres, et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des États membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande ».
D’aucuns ont regretté que la Cour ne reprenne pas dans son dispositif l’importante précision apportée au point 72 de son arrêt : « si, ainsi qu’il a été relevé au point 64 du présent arrêt, le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus. Partant, une autorité de contrôle ou une autorité judiciaire d’un État membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux (voir, en ce sens, arrêts du 26 février 2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, point 29, et du 26 février 2013, Melloni, C‑399/11, EU:C:2013:107, point 60), une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur. »
On peut résumer cet arrêt comme suit :
• Le droit à l’oubli n’a pas systématiquement une portée mondiale ;
• Il a cependant une dimension systématiquement européenne (et pas seulement nationale) ;
• Il peut recevoir une application mondiale dans certains cas.
Arrêt du Conseil d’Etat
C’est dans ces conditions que l’affaire revenait devant le conseil d’État.
Sans surprise, celui-ci s’attache à lire la décision de la CNIL de 2016, dont il ressort que la condamnation repose non pas sur une analyse individuelle du cas d’espèce, mais bien sur une position de principe selon laquelle le droit à l’oubli engendre de façon systématique des conséquences au niveau mondial.
C’est bien cette position de principe qui engendre l’annulation de la décision de la CNIL : « Il résulte des motifs énoncés au point 4 qu’en sanctionnant la société requérante au motif que seule une mesure s’appliquant à l’intégralité du traitement liée au moteur de recherche, sans considération des extensions interrogées et de l’origine géographique de l’internaute effectuant une recherche, est à même de répondre à l’exigence de protection telle qu’elle est consacrée par la Cour de justice de l’Union européenne, la formation restreinte de la CNIL a entaché la délibération attaquée d’erreur de droit ».
Tirant ensuite les leçons de l’importante précision apportée au point 72 de l’arrêt de la cour de justice, le conseil d’État précise que la CNIL pourrait aller plus loin en effectuant une mise en balance des intérêts dans un cas précis « prenant en compte d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information. Or, il ressort des termes mêmes de la délibération attaquée que, pour constater l’existence de manquements persistants et reprocher à la société Google Inc. d’avoir méconnu l’obligation de principe de procéder au déréférencement portant sur l’ensemble des versions d’un moteur de recherche, la formation restreinte de la CNIL n’a pas effectué une telle mise en balance. Il s’ensuit qu’il n’y a pas lieu de faire droit à la substitution de base légale demandée en défense par la CNIL. »
La CNIL a parfaitement reçu le message : le commentaire qu’elle publie annonce qu’elle modifie son site web pour apporter les précisions nécessaires aux internautes, mais elle insiste aussi fortement sur le fait que « la CJUE reconnait la compétence d’une autorité de contrôle ou judiciaire, à l’aune de ses standards nationaux de protection des droits fondamentaux, pour obliger, au cas par cas (et non de manière systématique comme la CNIL l’avait envisagé) un moteur de recherche à déréférencer les résultats sur toutes les versions de son moteur si cela se justifiait par une mise en balance entre protection de la vie privée du demandeur, d’une part, et droit à la liberté d’information, d’autre part. »
Un autre commentaire de la CNIL semble annoncer un intense lobbying législatif. La CNIL indique en effet que “le Conseil prend acte que le législateur français n’a pas adopté de dispositions spéciales permettant, en France, à la CNIL d’opérer un déréférencement excédant le champ prévu par le droit de l’Union. En l’absence d’intervention du législateur, la CNIL ne peut dès lors qu’ordonner un déréférencement européen.”
Doit-on en conclure que la CNIL souhaite une loi française qui élargirait le droit à l’oubli ? Certes, la CJUE a laissé une porte ouverte à “une autorité de contrôle ou une autorité judiciaire” appliquant une balance des intérêts dans un cas individuel. Par contre, il n’est pas certain qu’une initiative législative à portée générale, dans le but d’élargir le champ prévu par le RGPD, puisse bénéficier de cette faveur. Suite au prochain numéro…
Plus d’infos ?
En lisant l’arrêt du Conseil d‘Etat, disponible en annexe.
Annexes
decision du Conseil d’Etat
file_download Télécharger l'annexe
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
