CJUE : un droit à l’oubli limité à l’Union, un droit à l’effacement des données sensibles

Suite à des procédures nées en France, la Cour de justice de l'Union européenne (CJUE) a rendu aujourd'hui deux arrêts importants relatifs au droit à l'oubli. Ils concernent le sort des données dites sensibles (opinion religieuses, politiques, les affaires judiciaires, etc) et la portée du droit à l'effacement. Deux arrêts, tout en nuances. 

Dans l’arrêt Costeja du 13 mai 2014, la Cour avait consacré le statut de responsables de traitement pour les moteurs de recherche. Depuis, ils sont tenus d’effacer les données obsolètes, sauf évidemment lorsque les intérêts notamment journalistiques prédominent.

Dans deux arrêts importants rendus ce jour, la Cour est revenue sur le sujet, sous deux angles non encore explorés : l’effacement des données personnelles doit-il être réservé aux seules versions européennes des moteurs (.fr, .de, .es, etc.) ou bien étendue à l’échelle planétaire (affaire 507/17) ? De même, quid des données dites sensibles, celles que seuls certains acteurs, mais non les moteurs, peuvent traiter (affaire 136/17) ?

Ces dossiers jugés ce jour par la Cour de justice de l’Union européenne concernent le droit antérieur, dicté par une directive de 1995. Toutefois la cour a tenu compte du RGPD dans son analyse « afin d’assurer que ses réponses seront, en toute hypothèse, utiles pour la juridiction de renvoi » (point 32 de l’arrêt 136/17).

Les données sensibles dans l'estomac des moteurs de recherche

Dans l’arrêt 136/17, plusieurs situations ont conduit des requérants à saisir la CJUE d’une épineuse problématique. Elle concerne le sort des données dites sensibles face à l’appétit des moteurs de recherche, et du premier d’entre-deux, Google.

Pour rappel, quatre personnes ont demandé à l’entreprise américaine de déréférencer leurs données personnelles dans les résultats. Google a refusé et le moteur a été suivi par la CNIL.

• Lire notre compte rendu d’audience au Conseil d’État (2 février 2017)

Dans le premier cas, un photomontage mettant en scène une candidate à des élections municipales, directrice de cabinet du maire d’une commune. Il laissait entendre que celle-ci avait eu des relations intimes avec cet élu. Dans le deuxième cas, une personne avait demandé le déréférencement d’articles de presse, relatif au suicide d’une adepte de l’Église de Scientologie. Il aurait proposé de l’argent à ses enfants, alors responsable des relations publiques de la secte.

Dans le troisième, un membre du Parti républicain a souhaité l’effacement d’un article relatant sa mise en examen en 1995. Or, aucun des articles n’a été mis à jour pour expliquer qu’il avait été lavé de tout soupçon le 26 février 2010. Enfin, une personne avait été condamnée à 7 ans de prison en correctionnel pour des faits d’agressions sexuelles sur des enfants. Plusieurs années plus tard, il a souhaité ne plus voir son nom associé aux articles de presse dans les résultats du moteur.

Une législation applicable aux moteurs

L’article 8, paragraphes 1 et 5 de la directive de 1995 demande aux États membres d’interdire « le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle ».

Des exceptions sont prévues, avec en premier lieu le consentement du principal concerné, ou lorsque « le traitement porte sur des données manifestement rendues publiques par [lui] ou est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ».

Le texte prévient encore que « sous réserve de garanties appropriées, les États membres peuvent prévoir, pour un motif d’intérêt public important, des dérogations » dans leur législation ou sur décision de l’autorité de contrôle, la CNIL en France.

Ces dispositions ont été reprises, peu ou prou, par le règlement général sur la protection des données personnelles.

Premier enseignement de l’arrêt, ces législations sont applicables aux moteurs de recherche. Il s’agit d’une confirmation de l’arrêt Costeja : « L’exploitant d’un tel moteur doit, à l’instar de tout autre responsable du traitement, assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que le traitement des données à caractère personnel qu’il effectue satisfait [à ces] exigences », relève la CJUE (point  43).

Le moteur n’est certes pas responsable de la véracité des informations indexées, mais bien de leur référencement.

Impossible d'exiger un consentement préalable

Les juges estiment ensuite qu’il est en pratique impossible pour un moteur de recueillir préalablement le consentement des personnes avant d’indexer les données. Néanmoins, s’agissant des données sensibles, l’effacement doit être un véritable droit :

« l’exploitant d’un moteur de recherche est en principe obligé, sous réserve des exceptions prévues par cette directive, de faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel qui relèvent des catégories particulières visées par ces dispositions ».

Des exceptions, des exceptions aux exceptions

Le moteur a donc l’obligation d’effacer ces contenus dans sa base… sauf dans une série d’exceptions, en particulier lorsque les données en cause ont été « manifestement rendues publiques par la personne concernée ».  Par exemple, la personne a fait état de ses opinions, a répondu à une interview, etc.  

Mais même dans ce cadre, toutefois, la personne physique retrouvera son plein droit à l’oubli lorsqu’elle démontrera « des raisons prépondérantes et légitimes tenant à sa situation particulière ».

Une autre exception permettra cette fois aux moteurs de valider la conservation des données dans l’index. Si, pour des motifs « d’intérêt public importants », il s’avère cette fois nécessaire de « protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche ».

En somme, un jeu d'une mise en balance, des exceptions aux limitations, des limitations aux exceptions, où Google et les autres seront avant tout les premiers arbitres des intérêts en présence.

Ils devront toujours avoir à l’esprit qu’une conservation entrainera une ingérence particulièrement grave dans les droits fondamentaux de la personne physique. Un bel exercice de style qui témoigne de l’alchimie du droit à l’oubli.

Affaires judiciaires et droit à l’oubli

S’agissant des affaires judiciaires, indexées par les moteurs via les articles de presse, même problématique et même approche nuancée.

L’effacement sera de droit… sauf que le moteur devra jauger les circonstances de chaque dossier, au regard notamment de la nature et la gravité de l’infraction, du déroulement et l’issue de la procédure, du temps écoulé, du rôle joué par cette personne dans la vie publique et de son comportement dans le passé.

Autres variables à prendre en compte, l'inévitable « intérêt du public au moment de la demande [d’effacement, ndlr], le contenu et la forme de la publication ainsi que les répercussions de celle-ci pour ladite personne ».

Pas simple ! Le personnage politique, mis un temps en examen, devrait au regard de ces critères obtenir l’effacement de ses données. Il s’agit là finalement d’un bon rappel à l’ordre adressé à la presse, lorsque celle-ci oublie de suivre l’issue des procédures en cours.

La question perdure pour la personne condamnée pour acte de pédophilie. D’un autre côté, les autorités françaises prendront-elles le risque d’ordonner l’effacement alors qu’une récidive peut être crainte ? Mais inversement, l’intéressé doit-il être condamné à trainer ce passé lointain à vie, lui interdisant finalement toute rédemption sociale ?

Un index qui devra être à jour

Dans tous les cas, préviennent les magistrats européens, un exploitant sera « tenu, au plus tard à l’occasion de la demande de déréférencement, d’aménager la liste de résultats de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle, ce qui nécessite notamment que des liens vers des pages web comportant des informations à ce sujet apparaissent en premier lieu sur cette liste ».

En somme, Google, comme les autres, devra avoir un index à jour reflétant l’actualité judiciaire du demandeur. S’il est bloqué par exemple à 2017, sans donc référencer un classement sans suite intervenu depuis lors, l’index pourra justifier une action devant les juridictions ou la CNIL.

Pas de portée mondiale au droit à l’effacement

Cette fois, au Conseil d'Etat, Google et la CNIL se sont opposés frontalement sur la question de déterminer la portée géographique de l’effacement. Les données doivent-elles être effacées à l’échelle planétaire ou bien seulement sur les versions européennes du moteur ? 

• Lire notre compte rendu d’audience au Conseil d’État (28 juin 2017)

Cette fois, la réponse est plus franche : il ne ressort pas des textes en vigueur « que le législateur de l’Union aurait (…) conférer aux droits consacrés à ces dispositions une portée qui dépasserait le territoire des États membres et qu’il aurait entendu imposer à un opérateur qui, tel Google, relève du champ d’application de cette directive ou de ce règlement une obligation de déréférencement portant également sur les versions nationales de son moteur de recherche qui ne correspondent pas aux États membres ».

En témoigne la mise à jour réalisée par le RGPD : celui-ci ne prévoit par exemple aucun instrument de coopération s’agissant de la portée de déréférencement en dehors de l’Union. En principe, ce déréférencement doit donc concerner l’ensemble des États membres, mais pas au-delà.

C'est un désaveu pour la CNIL qui soutenait donc l'inverse. Cependant, relativise le point 72 de l’arrêt, le droit de l’Union n’interdit pas une telle désindexation mondiale.

Selon les situations, en effet, une autorité de contrôle pourrait enjoindre un moteur à procéder à un tel nettoyage. Inversement, la CJUE indique qu’il peut arriver que le public ait intérêt, même au sein de l’Union, à accéder à ces informations. On en déduit, auquel cas, que le droit à l’oubli pourrait être limité à un seul pays. Un point qui exigera là encore une nouvelle mise en balance sur le dos des autorités de contrôle !

Dans tous les cas, il appartiendra aux moteurs de prendre les mesures efficaces pour garantir ces contraintes géographiques (géoblocage, etc.) :

« Il incombe, en outre, à l’exploitant du moteur de recherche de prendre, si nécessaire, des mesures suffisamment efficaces pour assurer une protection effective des droits fondamentaux de la personne concernée. Ces mesures doivent, elles-mêmes, satisfaire à toutes les exigences légales et avoir pour effet d’empêcher ou, à tout le moins, de sérieusement décourager les internautes dans les États membres d’avoir accès aux liens en cause à partir d’une recherche effectuée sur la base du nom de cette personne »

Dans un communiqué, la CNIL s’estime désormais « compétente pour obliger un moteur de recherche à déréférencer les résultats sur toutes les versions de son moteur si cela est justifié, dans certains cas, pour garantir les droits de la personne concernée ».

Ces affaires ne sont donc pas closes. Elles vont maintenant revenir devant le Conseil d’État, qui aura le difficile rôle de trancher à l’aide des multiples éclairages apportés ce jour par la CJUE.

• Télécharger l’arrêt sur la portée territoriale 
• Télécharger l’arrêt sur les données sensibles