Par Laurent Goutorbe
La CJUE, qui a consacré le droit à l’oubli dans son arrêt Google Spain du 13 mai 2014 (Aff. C-13/12), vient préciser la portée de ce droit dans deux nouveaux arrêts du 24 septembre 2019 (Aff. C-136/17 et C-507/17).
Ces arrêts interviennent après que la CJUE ait été saisie par le Conseil d’Etat de deux questions préjudicielles.
1. Le déréférencement des données, même sensibles, n’est pas automatique
Dans l’affaire C-136/17, la CJUE dit pour droit que, sous réserve des exceptions prévues par la réglementation sur la protection des données à caractère personnel, l’interdiction et les restrictions relatives aux traitements de données sensibles, aux données d’infraction, aux condamnations judiciaires et aux mesures de sûreté s’appliquent aux exploitants des moteurs de recherche en ligne, en tant que responsables des traitements effectués par ces moteurs de recherche.
Les exploitants de moteur de recherche doivent donc tenir compte du caractère sensible des données traitées lorsqu’ils vérifient les demandes de déréférencement qu’ils reçoivent, notamment concernant des informations portant sur des procédures judiciaires et/ou condamnations de personnes physiques.
Ainsi, ils sont en principe obligés de faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel sensibles, sauf exceptions prévues par la réglementation.
En particulier, l’exploitant d’un moteur de recherche peut refuser de faire droit à une demande de déréférencement s’il constate que les liens hypertextes dont le déréférencement est demandé mènent vers des contenus comportant des données sensibles qui ont manifestement été rendues publiques par la personne qui sollicite le déréférencement.
Dans ce cas, l’exploitant du moteur de recherche doit toutefois s’assurer d’une part, que son traitement respecte les autres conditions de licéité fixées par le RGPD et la réglementation en matière de protection des données et d’autre part, que la personne concernée ne peut pas faire jouer son droit d’opposition pour des raisons prépondérantes et légitimes tenant à sa situation particulière.
L’exploitant d’un moteur de recherche doit donc faire la balance des intérêts (gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de sa vie privée et à la protection de ses données à caractère personnel / liberté d’information des internautes) pour déterminer si le référencement du contenu litigieux dans la liste de résultats de moteur de recherche qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche.
2. Un déréférencement européen de droit, voire mondial dans certains cas.
Dans un second arrêt (aff. C-507/17), la CJUE a dit pour droit que lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement en application de l’article 17 du RGPD, il est tenu d’opérer ce déréférencement sur toutes les versions européennes de son moteur de recherche.
Ce déréférencement doit se traduire par des mesures qui permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des États membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande.
Par ailleurs, si aucun texte n’impose une obligation de déréférencement mondial, la CJUE n’exclut pas qu’une autorité de contrôle ou une autorité judiciaire d’un État membre puisse contraindre l’exploitant du moteur de recherche à procéder à un tel déréférencement si la balance des intérêts l’impose.
Ces deux arrêts de la CJUE, dont la CNIL a pris acte, confirment que le droit à l’oubli n’est pas absolu et qu’il doit être mis en balance avec le droit à l’information.
Toutefois, ils apportent de nouvelles précisions lorsque ce droit concerne des données sensibles ou particulières telles que des données portant sur des infractions ou condamnations judiciaires et précisent que le déréférencement, lorsque les conditions sont réunies, a une portée européenne, voire mondiale dans certains cas où la balance des intérêts l’exigerait.
Le cabinet HAAS Avocats est spécialisé depuis plus de vingt ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne notamment les personnes physiques et morales dans la gestion et la protection de leur e-réputation. Si vous souhaitez être accompagné pour faire jouer votre droit à l’oubli, contactez-nous ici.
