Dans un arrêt historique du 13 mai 2014, la Cour de justice de l’Union européenne confirme que les moteurs de recherche doivent respecter la directive 95/46/CE et la Charte des droits fondamentaux de l’Union européenne, et notamment le droit au déréférencement, à défaut d’un droit complet à l’oubli.

 

Mario Costeja González contre La Vanguardia Ediciones & Google

Le 5 mars 2010, Mario Costeja González a introduit auprès de l’Agencia Española de Protección de Datos (AEPD), l’équivalent espagnol de la CNIL, une réclamation à l’encontre de La Vanguardia Ediciones SL, qui publie un quotidien de grande diffusion, notamment en Catalogne, ainsi qu’à l’encontre de Google Spain et de Google Inc.

Cette réclamation se fondait sur le fait que, lorsqu’un internaute introduisait le nom de M. Costeja González dans le moteur de recherche du groupe Google, il obtenait des liens vers deux pages du quotidien de La Vanguardia respectivement du 19 janvier et du 9 mars 1998, sur lesquelles figurait une annonce, mentionnant le nom de M. Costeja González, pour une vente aux enchères immobilière liée à une saisie pratiquée en recouvrement de dettes de sécurité sociale.

Par cette réclamation, M. Costeja González demandait, d’une part, qu’il soit ordonné à La Vanguardia de supprimer ou de modifier lesdites pages afin que ses données personnelles n’y apparaissent plus. D’autre part, il demandait qu’il soit ordonné à Google Spain ou à Google Inc. de supprimer ou d’occulter ses données personnelles afin qu’elles cessent d’apparaître dans les résultats de recherche et ne figurent plus dans des liens de La Vanguardia.

M. Costeja González affirmait dans ce contexte que la saisie, dont il avait fait l’objet, avait été entièrement réglée depuis plusieurs années et que la mention de celle-ci était désormais dépourvue de toute pertinence.

Par décision du 30 juillet 2010, l’AEPD a rejeté ladite réclamation pour autant qu’elle visait La Vanguardia, estimant que la publication par cette dernière des informations en cause était légalement justifiée étant donné qu’elle avait eu lieu sur ordre du ministère du Travail et des Affaires sociales et avait eu pour but de conférer une publicité maximale à la vente publique afin de réunir le plus grand nombre d’enchérisseurs.

En revanche, cette même réclamation a été accueillie pour autant qu’elle était dirigée contre Google Spain et Google Inc. L’AEPD a considéré à cet égard que les exploitants de moteurs de recherche sont soumis à la législation en matière de protection des données, étant donné qu’ils réalisent un traitement de données pour lequel ils sont responsables et qu’ils agissent en tant qu’intermédiaires de la société de l’information.

 

Google conteste devant l’Audiencia Nacional

Dans l’affaire C-131/12, Google Spain SL et Google Inc contestaient devant l’Audiencia Nacional, la cour espagnole qui s’occupe des affaires nationales et internationales, la demande de l’espagnol Mario Costeja González et de l’AEPD. L’Audiencia Nacional a décidé de surseoir à statuer et de poser à la Cour de justice de l’Union européenne des questions préjudicielles.

Pour se défendre, Google affirmait que :

• Google et Google Spain n’avaient pas de lien, que la dernière s’occupait de publicité quand la première s’occupait du moteur de recherche.
• Un moteur de recherche n’effectue pas de traitement de données à caractère personnel au sens de la directive 95/46, et n’est pas responsable des informations qu’il indexe
• Un moteur de recherche est libéré de ses obligations lorsque les informations contenues dans les données personnelles ont été publiées légalement par des tiers et demeurent sur le site web d’origine.
• Le droit d’obtenir l’effacement et le verrouillage des données à caractère personnel et celui de s’opposer à ce qu’elles fassent l’objet d’un traitement ne doit pas faire obstacle à l’indexation par un moteur de recherche pour la simple raison d’un préjudice personnel.

 

L’arrêt de la Cour

Ce à quoi la Cour de justice européenne statue que :

L’article 2 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens que, d’une part, l’activité d’un moteur de recherche est un «traitement de données à caractère personnel», lorsque ces informations contiennent des données à caractère personnel et, d’autre part, l’exploitant de ce moteur de recherche doit être considéré comme le «responsable» dudit traitement.

L’article 4 de la directive 95/46 doit être interprété en ce sens qu’une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche est responsable du traitement de données à caractère personnel même si l’indexation est effectuée ailleurs.

Il n’est pas nécessaire que le traitement soit effectué par établissement : il suffit qu’il soit effectué dans le cadre de ses activités.

Les articles 12 et 14 de la directive 95/46 doivent être interprétés en ce sens que, afin de respecter les droits prévus à ces dispositions et pour autant que les conditions prévues par celles-ci sont effectivement satisfaites, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite.

En d’autres termes, ce n’est pas parce qu’un moteur de recherche indexe des pages licites que ses résultats le sont par transition. L’ubiquité du moteur de recherche rend instantanément accessibles des informations à caractère personnel qui peuvent être préjudiciables, alors qu’il aurait été difficile de trouver la page indépendamment. Qui plus est, elle rend possibles instantanément des croisements de données à caractère personnel qui peuvent porter préjudice aux droits de la personne.

Ce n’est pas parce qu’une donnée à caractère personnel peut être exploitée par un moteur de recherche qu’elle l’est pour toujours. Le moteur de recherche doit tenir compte des circonstances changeantes pour l’individu.

Enfin, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités, à l’exception de traitements ultérieurs à des fins historiques, statistiques ou scientifiques pour autant que les États membres prévoient des garanties appropriées.

Les articles 12 et 14 de la directive 95/46 doivent être interprétés en ce sens que, dans le cadre de l’appréciation des conditions d’application de ces dispositions, il convient notamment d’examiner si la personne concernée a un droit à ce que l’information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom, sans pour autant que la constatation d’un tel droit présuppose que l’inclusion de l’information en question dans cette liste cause un préjudice à cette personne. Cette dernière pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la Charte, demander que l’information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats, ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à accéder à ladite information lors d’une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, tels que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question.

En d’autres termes, les personnalités publiques seront moins protégées que les personnes privées du fait de l’intérêt du public.

 

Notre avis

C’est un arrêté historique de la Cour de justice de l’Union européenne, qui met fin :

–          À l’esquive des lois par les entreprises Internet étrangères, notamment américaines sous le faux, prétexte la géographie des serveurs;

–          À l’idée que leur intérêt économique prévaut sur le droit des citoyens. Un intérêt de toute façon systématiquement largement exagéré. Dans le cas de l’Espagne, il n’y a que 200 demandes similaires au cas de M. Costeja González.

–          À l’idée que toutes les informations personnelles sont nécessaires au public, et pour toujours.

–          À l’idée qu’un résultat de moteur de recherche soit seulement la copie partielle d’un site. Un moteur a une portée incomparable à celle d’un site ou d’une page de journal.