Prestation ajoutée au panier Aucune prestation n'a été sélectionnée. Continuer mes achats Valider mon panier Ajouter au panier Mon panier (0) (1)
prestations
Mon compte Connexion / Création compte Information < Retour aux offres Annuler Fermer Valider

Articles & Actualités

Juridique

Le droit au déréférencement - une portée uniquement européenne ?

11/07/2019

Fabrice Naftalski, Irene Olivan Garcia

Le 10 janvier 2019, l'Avocat général de la Cour de Justice de l'Union européenne (ci-après CJUE) a présenté ses conclusions dans l'affaire Google c. CNIL[1]. Dans cette affaire, la CJUE est invitée à se prononcer sur la portée territoriale du droit au déréférencement. La position de l'Avocat général est claire : un déréférencement au niveau européen suffit. Ce positionnement surprend puisqu'il semble ainsi freiner l'élan que la CJUE et la Commission européenne avaient pris dans le développement d'une protection internationale des données personnelles.

La présente affaire s'inscrit dans la continuité de l'arrêt Google Spain[2] de 2014. La CJUE avait alors consacré un « droit à l'oubli » numérique. Pour rappel, le droit à l'oubli permet à un individu de demander, sous certaines conditions, directement à l'exploitant d'un moteur de recherche de déréférencer des liens le concernant. La question de savoir si ce déréférencement devrait concerner uniquement les noms de domaine européens ou, au contraire, être étendu au niveau mondial n'avait pas été abordée dans l'arrêt Google Spain.

L'impact pratique de cette question est cependant important. Un déréférencement européen suppose la suppression des liens depuis les extensions européennes du moteur de recherche (« google.fr » ; « google.eu », etc.) alors qu'un déréférencement mondial, implique la suppression du lien de l'ensemble des extensions du moteur de recherche et, notamment, de « google.com ».

Il est important de préciser le contexte de cette nouvelle affaire : depuis l'arrêt Google Spain, Google a traité plus de 160 000 demandes de déréférencement en France, dont environ 45% ont reçu un accueil favorable de sa part[3]. Parmi les demandes rejetées, quelques-unes font l'objet d'une contestation devant la CNIL.

La présente affaire suit donc le schéma maintenant classique d'une demande de déréférencement rejetée par Google et dont le refus a été contesté devant la CNIL. Mais, ici, Google a refusé, non pas de faire droit à la demande de déréférencement mais de limiter ce dernier aux extensions européennes de son moteur de recherche. La CNIL a mis en demeure Google d'effectuer un déréférencement mondial, ce que Google a refusé tout en proposant d'utiliser la technique du géo-blocage afin de limiter l'accès aux informations déréférencées dans le cas d'une recherche effectuée depuis le territoire de l'Union européenne. La technique du géo-blocage permet en effet de géolocaliser l'adresse IP d'un internaute et de bloquer l'accès à des informations dès lors que l'adresse IP est réputée localisée dans un Etat membre.

A la suite de la délibération de la CNIL du 10 mars 2016[4] ayant condamné la société Google, le Conseil d'Etat a été saisi par cette dernière d'une demande d'annulation de la délibération. Le Conseil d'Etat[5] a alors décidé de surseoir à statuer et de poser plusieurs questions préjudicielles à la CJUE concernant la portée territoriale du droit au déréférencement.

Il convient de préciser que les questions posées portent sur l'interprétation de la directive 95/46[6] applicable au litige bien que, depuis, abrogée par le Règlement (UE) 2016/679[7] relatif à la protection des données personnelles (ci-après « RGPD »). Cependant, la question de la portée territoriale du droit à l'oubli n'étant pas précisée par le nouveau règlement, la jurisprudence résultant de cette décision continuera probablement à s'appliquer.

Les conclusions de l'Avocat général reviennent tant sur l'étendue territoriale du droit au déréférencement que sur la possibilité pour les moteurs de recherche d'utiliser la technique du géo-blocage dans le cadre des demandes d'exercice du droit à l'oubli.

La position de l'Avocat général est claire : l'exploitant du moteur de recherche est uniquement tenu de supprimer les liens des résultats affichés à la suite d'une recherche effectuée à partir d'un lieu situé dans l'Union européenne. Le droit à l'oubli est ainsi circonscrit aux recherches effectuées sur les extensions européennes des moteurs de recherche et la technique du géo-blocage est promue comme permettant de limiter l'accès aux liens litigieux lorsqu'une recherche est effectuée depuis le territoire de l'Union.

Les arguments de l'Avocat général nous semblent critiquables.

Il nous est permis de craindre qu'en limitant la portée territoriale du droit à l'oubli, celui-ci soit vidé de son sens et ne soit plus efficace pour protéger, tel qu'il avait été conçu, les personnes physiques contre la mémoire impardonnable d'internet.

I.Une position juridique contestable

Afin de justifier la limitation territoriale du droit à l'oubli, l'Avocat général soulève principalement deux arguments. Le premier argument porte sur le caractère injustifié d'une application extraterritoriale du droit de l'Union européenne. Le second tient à l'absence de proportionnalité d'un déréférencement mondial, notamment face aux autres droits en cause tels que la liberté d'expression et la liberté de presse.

A. Détournement du critère de rattachement pour limiter l'effet de la loi

L'arrêt Google Spain fait partie des grands arrêts de jurisprudence en matière de protection de données personnelles non seulement parce qu'il consacre le droit à l'oubli mais aussi parce qu'il précise les critères d'application de la Directive 95/46.

Cet arrêt précise le champ d'application de cette directive en indiquant, notamment, qu'un responsable de traitement est soumis à la législation européenne dès lors qu'il dispose d'un établissement dans un Etat membre et effectue « dans le cadre des activités de cet établissement » la promotion et la vente des espaces publicitaires proposés par un moteur de recherche[8].

Le critère relatif à l'existence d'un établissement dans l'Union européenne est un critère classique de rattachement entre le territoire d'un Etat et la loi applicable.

Le RGPD va plus loin et soumet à l'emprise de la législation européenne, tout responsable de traitement qui, n'ayant pas d'établissement dans l'Union européenne, propose des biens ou des services dans l'Union européenne, ou suit le comportement des personnes situées dans l'Union européenne (article 3.2 RGPD). Ce critère, connu comme le critère du « ciblage », est souvent utilisé dans des domaines pour lesquels le rattachement à un territoire particulier est délicat.

Le critère du ciblage permet, par exemple, d'appliquer la loi européenne à une entité non européenne qui ciblerait des consommateurs dans l'Union européenne. Ce critère est néanmoins souvent présenté comme consacrant une application extraterritoriale de la loi.

Dans ses conclusions, l'Avocat général ne semble pas remettre en cause l'applicabilité de la directive 95/46 au cas d'espèce. Google LLC, entité américaine, est, en effet, qualifiée de responsable de traitement conformément aux critères dégagés par l'arrêt Google Spain.

Il s'avère donc que ce qui semble être critiqué par l'Avocat général n'est pas le critère d'application de la directive et donc sa potentielle extraterritorialité, mais plutôt l'effet mondial du déréférencement.

L'Avocat général opère par comparaison avec d'autres domaines du droit (droit de la concurrence, droit des marques) et arrive à la conclusion que« Ces deux types de situation constituent […] des situations extrêmes de nature exceptionnelle. Ce qui est crucial dans les deux situations, c'est l'effet sur le marché intérieur (même si d'autres marchés peuvent également être affectés). Le marché intérieur est un territoire clairement délimité par les traités. En revanche, l'internet est, par nature, mondial et, d'une certaine manière, est présent partout. Il est donc difficile de faire des analogies et des comparaisons. ».

Cependant, il est légitime de se demander pourquoi, si la loi européenne de protection des données personnelles s'applique au cas d'espèce et si les conditions d'application du droit à l'oubli sont réunies, l'Avocat général préconise de limiter les effets de ce droit. Dès lors qu'est reconnu l'application du droit à l'oubli et son application à une situation donnée, ne devrait-il pas s'appliquer pleinement ? Nous ne pouvons que regretter l'absence de développement sur le raisonnement juridique proposé afin d'arriver à cette conclusion.

B. Une analyse de proportionnalité à géométrie variable

Le « droit à l'oubli » ou droit au déréférencement permet d'exercer dans le cas des moteurs de recherche, le droit à la suppression et le droit d'opposition dont dispose, en vertu de la directive 95/46[9], toute personne physique à l'égard d'un responsable de traitement.

Comme le rappelait la CNIL dans sa délibération du 10 mars 2016, « la décision de déréférencer n'est prise […] que si les conditions d'application des droits d'opposition (soumis à la preuve d'un intérêt légitime) ou de suppression (conditionné notamment à la démonstration du caractère obsolète, incomplète ou erroné de l'information litigieuse) sont réunies ». Par ailleurs, un dernier garde-fou permet de faire échec à une demande de déréférencement dès lors que l'intérêt du public à avoir accès à ces informations est prépondérant.

La décision de déréférencer n'intervient donc qu'à l'issue d'un contrôle de proportionnalité destiné à préserver le strict équilibre entre, d'une part, le respect des droits à la vie privée et à la protection des données personnelles et, d'autre part, l'intérêt du public à accéder à l'information, notamment en cas d'un rôle joué dans la vie publique par le demandeur.

Dès lors que l'ensemble des critères pour appliquer le droit à l'oubli sont réunis, le traitement n'a plus lieu d'être. Il appartient donc au responsable du traitement, l'exploitant du moteur de recherche, de suspendre tout traitement de ces données et, éventuellement, de les supprimer. Le résultat de cette analyse de proportionnalité, préalable à l'application du droit à l'oubli, ne devrait donc pas, à notre avis, être impacté par la localisation de la personne effectuant la recherche. La CJUE devra ainsi se prononcer sur la consécration d'une analyse de proportionnalité à géométrie variable selon que la personne effectuant la recherche se trouve ou non sur le territoire de l'Union.

Au cas d'espèce, l'Avocat général juge que « les enjeux en cause n'exigent pas que les dispositions de la directive 95/46 soient d'application au-delà du territoire de l'Union »[10].

II. Une justification juridique d'un positionnement politique ?

Les conclusions de l'Avocat général peuvent nous amener à penser que la solution proposée aurait une origine plus politique que juridique.

En effet, la hausse des autoritarismes rend aujourd'hui plus vraisemblables qu'en 2014, les craintes d'une censure sur internet et, par ce biais, d'une limitation sur internet de la liberté de la presse et de la liberté d'expression. La validation par la CJUE d'une mesure par laquelle, sur le fondement d'un droit national, des moteurs de recherche seraient obligés à déréférencer mondialement des informations spécifiques justifierait une censure d'application mondiale. L'Avocat général le dit ainsi clairement, « si une autorité au sein de l'Union pouvait ordonner un déréférencement à l'échelle mondiale, un signal fatal serait envoyé aux pays tiers, lesquels pourraient ordonner également un déréférencement en vertu de leurs propres lois »[11].

La limitation au territoire de l'Union européenne du droit à l'oubli semble ainsi être la seule position politiquement justifiable, non seulement auprès des Etats tiers mais aussi auprès des organisations de la société civile. Il faut en effet rappeler que plusieurs associations dont le but est la défense d'un internet libre, telles que « la Fondation pour la liberté de la presse » ou « Internet Freedom Foundation » ont également été entendues dans le cadre de cette affaire.

***

Dans l'hypothèse où l'avis de l'Avocat général serait suivi par la CJUE, que restera-t-il du droit à l'oubli ? La suppression des liens litigieux des extensions européennes des moteurs de recherche avec l'obligation mise à la charge des exploitants de « prendre toute mesure à [leur] disposition afin d'assurer un déréférencement efficace et complète » ne semble pas suffisante pour protéger les personnes concernées.

Il faut peut-être rappeler que l'objectif principal du droit à l'oubli est de protéger les personnes physiques contre des informations publiées sur internet qui n'auraient plus de raison d'être, et qui sont pourtant visibles à chaque fois que les nom et prénom de la personne concernée sont recherchés.

Dans ce contexte, le géo-blocage des recherches effectuées depuis le territoire de l'Union européenne, technique proposée par l'Avocat général afin de remédier à l'absence de déréférencement mondial, ne peut pas non plus être suffisant compte tenu, notamment, de la facilité avec laquelle il est aujourd'hui possible d'échapper à cette technologie. En effet, la multiplication d'autres technologies, telles que les « réseaux privés virtuels » ou « VPN », permettent de se soustraire au géo-blocage et rendent cette technologie insuffisante pour garantir l'efficacité du droit à l'oubli. Plus précisément, un VPN permet, entre autres, à l'utilisateur de présenter un profil (adresse IP) différent de son lieu de connexion. Ainsi, des recherches effectuées, par exemple, depuis la France ne se verraient nullement affectées par le déréférencement des extensions européennes ni par la technique du géo-blocage.

En définitive, il nous semble que si la CJUE suit l'avis de l'Avocat général, l'effectivité du droit à l'oubli se verrait grandement réduite, si ce n'est pas complètement anéantie. Affaire à suivre.

[1] Conclusions de l'Avocat général, M. Maciej Szpuna, présentées le 10 janvier 2019. Affaire C 507/17 Google LLC, venant aux droits de Google Inc. Contre Commission nationale de l'informatique et des libertés (CNIL), en présence de Wikimedia Foundation Inc., Fondation pour la liberté de la presse, Microsoft Corp., Reporters Committee forFreedom of the Press e.a., Article 19 e.a., Internet Freedom Foundation e.a., Défenseur des droits

[2] Arrêt du 13 mai 2014 (C-131/12, EU :C :2014 :317) (arrêt Google Spain)

[3] https://transparencyreport.google.com/eu-privacy/overview?requests_over_time=country:FR&lu=requests_over_time

[4] Délibération de la formation restreinte n° 2016-054 du 10 mars 2016

[5] CE 19 Juillet 2017, Google INC (Décision n°399922)

[6] DIRECTIVE 95/46/CE DU PARLEMENT EUROPEEN ET DU CONSEIL du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données

[7] RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)

[8] Point 55 et 56 arrêt arrêt Google Spain (C-131/12)

[9] Directive 95/46, articles 12 et 14 de la Directive.

[10] Point 62 Conclusions de l'Avocat général affaire C 507/17

[11] Point 61 Conclusions de l'Avocat général affaire C 507/17

Les expertises qui pourraient vous intéresser

LES eSERVICES QUI POURRAIENT VOUS INTÉRESSER