Droit à l’oubli : au Conseil d’État, l’usine à gaz de la désindexation des données sensibles

Droit à l’oubli : au Conseil d’État, l’usine à gaz de la désindexation des données sensibles

Le Conseil détale

Avatar de l'auteur
Marc Rees

Publié dans

Droit

02/02/2017 8 minutes
20

Droit à l’oubli : au Conseil d’État, l’usine à gaz de la désindexation des données sensibles

Aujourd’hui, le Conseil d’Etat a ausculté quatre dossiers sensibles sur l’autel du droit à la désindexation. Face à un dédale d’interrogations, la rapporteure publique a recommandé à la haute juridiction de transmettre une nouvelle série de questions préjudicielles à la CJUE.

Ces quatre affaires, a priori sans lien, ont un trait commun : à chaque fois, un individu a vainement réclamé l’effacement de ses traces personnelles dans Google puis devant la CNIL. Devant le géant de la recherche et l’autorité de contrôle, il s’est cependant vu opposer un refus de désindexation pur et simple. C’est ce refus qui a été attaqué devant la justice administrative.

Quatre cas, quatre traitements sensibles chez Google

Rappelons que pour l’un des cas, une candidate, conseillère régionale d’Île de France avait demandé à Google l’effacement d’un lien vers une vidéo se moquant de ses activités publiques. « À l’époque de sa campagne, a été publiée sur YouTube un photomontage satirique la représentant assise dans la voiture du maire et lui murmurant des mots doux laissant clairement entendre qu’elle devrait à des faveurs sexuelles son statut de candidate »,résume la rapporteure. « Pour être bien sûre que l’allusion soit comprise, l’auteur la représente équipée d’un parachute, le slogan « Si tu couches, tu touches » tenant lieu d’immatriculation du véhicule ».

Dans une autre affaire, un ex-représentant de l'Église de scientologie réclamait la suppression d’un lien vers un article de Libération de septembre 2008 repris par le site du Centre contre les manipulations mentales. D'après ces articles, docilement référencés par Google, « il aurait, à la suite du suicide d’une adepte de la scientologie, proposé de l’argent aux enfants de la défunte en échange de leur renoncement à intenter une action judiciaire ».

Troisième cas, un ancien conseiller de Gérard Longuet souhaitait faire effacer plusieurs URL vers des articles de presse relatant toujours sa mise en examen dans les années 90, alors qu’il a bénéficié en 2010 d’un non-lieu.

Enfin, un ex-animateur d'école sollicitait un coup de gomme sur sept liens pointant vers des articles de presse et de blog relatif à sa condamnation en 2010 pour des actes pédophiles.

Du rôle des moteurs à l’arrêt Google Spain

La rapporteure a introduit ses conclusions en soulignant au feutre la révolution survenue dans la diffusion de l’information sur Internet. Une révolution qui a « repoussé les limites inhérentes aux modalités antérieures de conservation des données ».

D’un, les capacités de stockages ont explosé « de sorte que la sélection ou l’effacement ne sont plus des nécessités techniques ». Ensuite, avec « les facilités de publication en ligne, (...) n’importe quelle information, même fausse ou dépourvue d’intérêt, peut accéder sur internet à la notoriété ». Enfin, « la puissance des moteurs de recherche (...) a interdit que dans cet océan de données en ligne, les informations se dispersent ou se fassent oublier ».

En quelques clics, on peut dès lors tailler un portrait parfois très intime d’une personne, dont les traits ne seront pas nécessairement d’une justesse pointilleuse. C’est dans ce contexte qu’est intervenu l’arrêt fondamental Google Spain signé de la CJUE.

Le 13 mai 2014, la Cour européenne a en effet consacré un droit à la désindexation dans les moteurs. Pour arriver à destination, les juges ont fait preuve d’un certain volontarisme. Ils ont estimé que l’existence en Europe d’une graine de Google Inc, ici une filiale commerciale en Espagne, suffisait à justifier l’application du droit européen sur les données personnelles. Mieux : les traitements effectués par ce service en ligne le rendent désormais responsable.

Consécutivement, la justice a fait naître toute une série de droits dans les mains des personnes physiques souhaitant mettre un coup de gomme dans le sillage de leur passé numérique. Ainsi, quiconque peut depuis obtenir « la suppression de contenus lorsqu’ils sont inexacts, incomplets, inadéquats, non pertinents ou excessifs » ou bien, plus largement, quand ces mêmes engendrent une intrusion disproportionnée face à l’intérêt du public d’en connaître le contenu.

Des questions non élucidées

Cependant, pour ces quatre affaires, la rapporteure a suggéré au Conseil d’Etat, qui est libre de la suivre, de transmettre une série de questions à la Cour de justice de l’Union européenne. En effet, selon elle, « la solution des affaires, qui toutes portent sur une face du droit au déréférencement demeurée cachée dans l’arrêt Google Spain, dépend d’interprétations de la directive auxquelles seule la CJUE est en situation de procéder ».

Mais encore ? Selon sa grille de lecture, l’arrêt Google Spain a eu à traiter de l’effacement d’une publication légale relatant d’anciennes difficultés financières d’un individu. Ce traitement initial n’était pas illégal en soi. Ici, tout change avec les quatre fameux cas. Nous voilà en effet face à des données « inexactes », « incomplètes » ou « sensibles », relatives notamment aux opinions philosophiques, à la sexualité, à des condamnations pénales passées, etc.

La difficulté ? Chacun de ces chapitres fait l’objet d’un encadrement strict de la part de la législation sur les données personnelles. La loi informatique et libertés explique par exemple que les traitements visant les opinions politiques, les convictions religieuses ou philosophiques, la vie sexuelle, sont conditionnés par principe au consentement de la personne concernée, sauf si elle les a elle-même diffusées publiquement. « Quant aux données relatives aux infractions et condamnations, l’article 9 de la loi (...) réserve leur traitement à de rares catégories de personnes » notamment les journalistes.

Quelles réponses apporter ?

On devine donc sans mal le gros morceau de sucre tombé dans le réservoir des moteurs. « En théorie, interdire le traitement de telles données aux moteurs de recherche ne serait pas incohérent, au regard de la possibilité qu’ils offrent de les rechercher par association à des mots clefs » soutient la rapporteure. 

Elle prend l’exemple des condamnations pénales qui, indexées, référencées, permettent d’enfanter un véritable casier virtuel à la cheville des concernées, parfois truffés d’erreurs. En comparaison, « le contenu, la mise à jour et l’accès [des casiers judiciaires] sont strictement encadrées par les règles législatives du code de procédure pénale » ...

Mais une telle interdiction est difficile à envisager en pratique : « Les données sensibles constituent une proportion très importante de ce qu’on trouve sur internet. Obliger les moteurs de recherche à renoncer à les traiter aurait pour corollaire un dépeuplement drastique des listes de résultats et ferait peser sur les responsables du traitement une charge quantitative impressionnante ».

La patate chaude de retour à la CJUE ? 

Alors que faire ? Les scénarios sont multiples. On pourrait par exemple exclure les moteurs de ce spectre d’autorisation. Alternativement, l’idée serait pourquoi pas d’encadrer cette interdiction, en excluant les données de notoriété manifestement publique, au surplus mises en ligne à l’initiative de la personne. En tirant l’élastique du droit, s’agissant des condamnations pénales, les moteurs pourraient aussi bénéficier de l’exception accordée aux journalistes, etc.  

Bref. La rapporteure recommande au Conseil d’Etat de surtout sursoir à statuer et poser à la CJUE une série de questions préjudicielles aptes à guider les autorités : est-ce que le droit européen interdit « le traitement par les moteurs de recherche des données sensibles » ? Dans l’affirmative, impliquant « un déréférencement systématique », est ce que le moteur peut parfois bénéficier des dérogations ouvertes à la presse ?

Inversement, si cette protection des données sensibles ne s’applique pas aux moteurs, quelles seront conséquences à tirer de l’illicéité éventuelle d’un traitement par le site source ? Dans tous les cas, une telle situation implique-t-elle un déréférencement dès lors que les données sont inexactes ou incomplètes ?

Une usine à gaz

On le voit, le thème recèle d’ombres que le Conseil d’Etat ne souhaite pas combattre seul. Le dossier intéresse évidemment Google.

Défendu par Me Patrice Spinosi, le moteur qui avait déjà critiqué l’arrêt Google Spain, craint désormais qu’une transmission n’aboutisse à une « usine à gaz remettant l’ensemble du référencement en Europe ». Voilà sans doute pourquoi le Conseil d’Etat a décidé de rendre un arrêt en formation d’Assemblée, signe d’une importance cruciale.  La décision sera rendu le 24 février prochain.

Écrit par Marc Rees

Tiens, en parlant de ça :

Sommaire de l'article

Introduction

Quatre cas, quatre traitements sensibles chez Google

Du rôle des moteurs à l’arrêt Google Spain

Des questions non élucidées

Quelles réponses apporter ?

La patate chaude de retour à la CJUE ? 

Une usine à gaz

Commentaires (20)


François Fillon approuve le droit à l’oubli. <img data-src=" />



Ne l’oublions pas.<img data-src=" />


Certains de ses soutiens semblent déjà l’avoir oublié. <img data-src=" />








Ricard a écrit :



François Fillon approuve le droit à l’oubli. <img data-src=" />



Ne l’oublions pas.<img data-src=" />





Même son propre parti trouve qu’il exagère <img data-src=" />









127.0.0.1 a écrit :



Certains de ses soutiens semblent déjà l’avoir oublié. <img data-src=" />





De qui tu parles ? <img data-src=" />









picatrix a écrit :



Même son propre parti trouve qu’il exagère <img data-src=" />





<img data-src=" />&nbsp;Normal, va y avoir des frais d’avocat conséquents. Je lui conseille les services de Nicolas Sarkozy qui est avocat.









Ricard a écrit :



<img data-src=" />&nbsp;Normal, va y avoir des frais d’avocat conséquents. Je lui conseille les services de Nicolas Sarkozy qui est avocat.





Il peut continuer à employer ses enfants maintenant qu’ils sont avocats<img data-src=" /><img data-src=" />



malheureux, et le conflit d’intérêt ? <img data-src=" />


On a compris, merci de reprendre sur le sujet initial et de faire ailleurs les concours de vannes ;)


Ils mettent combien de temps pour prendre une décision au conseil d’état? (en général…)


On parle toujours de google dans les affaire de déférencement mais qu’en est-il des autres moteurs de recherches ? Je n’ai jamais vu de message d’avertissement comme on peut en voir sur google pour des liens déréférencés sur Qwant ou DuckDuckGo par exemple


Actuellement la situation est la suivante:

Google inc ou google search je ne sais plus quelle entité de google a été considéré par la CJUE comme responsable de déréférencer un lien spécifique qui posait problème.

C’est une décision judiciaire, donc elle s’applique en théorie uniquement aux parties en questions et pour le cas en question, donc google et Monsieur Costeja Gonzales

Dans une situation similaire, la justice va se baser sur la loi et sur les décisions judiciaires préexistantes (donc la décision de la CJUE) pour rendre une décision, l’idée étant que la justice ne peut pas juger deux situations identiques de manière différente.

Donc tout moteur de recherche sait actuellement, après l’arrêt costeja gonzales vs google que s’il refuse de prévoir le déréférencement, un client a de très bonnes chances de gagner en justice et de l’obliger aussi.



Maintenant la GDPR prévoit un article spécifique relatif au droit à l’oubli et entrera en vigueur en 2018. A partir de ce moment là, l’obligation s’appliquera formellement à tous.


un an en moyenne d’après leur site.

Après je suppose qu’ils ont moyen d’étudier un truc dans des délais plus raisonnables (de l’ordre de deux semaines voire moins s’il y a vraiment urgence)


Oui enfin c’est vrai uniquement pour les moteurs de recherche ayant une branche en Europe:

“Ils ont estimé que l’existence en Europe d’une graine de Google Inc, ici

une filiale commerciale en Espagne, suffisait à justifier l’application

du droit européen sur les données personnelles”.



Et un peu comme le nuage de Tchernobyl, internet, ça s’arrête pas aux frontières.


Google était le seul en cause ici.

Les autres ne sont cependant pas intervenus.








bloossom a écrit :



Actuellement la situation est la suivante:




  1. Google inc ou google search je ne sais plus quelle entité de google a été considéré par la CJUE comme responsable de déréférencer un lien spécifique qui posait problème.

    (…)

  2. Maintenant la GDPR prévoit un article spécifique relatif au droit à l’oubli et entrera en vigueur en 2018. A partir de ce moment là, l’obligation s’appliquera formellement à tous.







    1. plutôt Google France, Espagne, etc. qui sont des filiales dédiées à la pub.


  3. oui, en espérant que l’arrêt CJUE - si transmission il y a - soit rendu avant pour être d’effet utile…&nbsp;



3 ou 4 semaines.



&nbsp;Mais si transmission à la CJUE, il faudra compter des mois et des mois avant d’obtenir la position de Luxembourg.&nbsp;Puis encore des mois après pour que le C.E. rende son arrêt…



Bref, on sera déjà tous morts.&nbsp;

&nbsp;


Merci à toi et à MarcRees pour les explications ! <img data-src=" />


oui effectivement aux moteurs de recherche qui traitent des données personnelles et qui rentrent dans le champ d’application de la directive 95/46/EC (qui sera remplacée par la GDPR en 2018).



Si je me rappelle bien la CJUE a déduit que Google Spain, l’entité qui gère le placement des publicités sur google en Espagne pouvait être considéré comme un établissement stable de google inc. Elle a aussi rejeté l’argument de google comme quoi google Inc ne traitait pas de données personnelles (les soustrayant à la directive du coup.) considérant que la fourniture de pub était déjà un traitement.

Dans tous les cas la GDPR élargit encore le champ d’application de la protection des données européennes, certain traitement ne nécessitant même pas d’établissement situé en EU.



Mais tu as raison, le cyberespace n’a pas de frontières, ce qui le rend particulièrement difficile à appréhender pour les législateurs qui par définitions n’édictent des lois que dans leur sphère d’influence.


je crois que selon la CJUE, le responsable du traitement est bien google Inc, qui agit par le biais de son établissement qu’est google Spain. L’indexation des données personnelles est effectuée par Inc, et la fourniture de pub est faite par la filiale Spain. le traitement est fait par un établissement (spain) sur le territoire d’un état membre, ce qui rend applicable la directive à Inc. (c’est la première question préjudicielle, para 45 à 60)



Concernant le point deux je présume que l’on parle des questions préjudicielles du conseil d’Etat?



Dans tous les cas, même avec la GDPR, tout ce qui peu un peu préciser ce droit est le bienvenu.








bloossom a écrit :



je crois que selon la CJUE, le responsable du traitement est bien google Inc, qui agit par le biais de son établissement qu’est google Spain. L’indexation des données personnelles est effectuée par Inc, et la fourniture de pub est faite par la filiale Spain. le traitement est fait par un établissement (spain) sur le territoire d’un état membre, ce qui rend applicable la directive à Inc. (c’est la première question préjudicielle, para 45 à 60)





Oui, j’ai utilisé un trop rapide raccourci, merci pour ce rappel de rigueur ;)