Le 13 mai 2014, la CJUE a rendu un arrêt important dans une affaire qui opposait l’Espagne à la multinationale Google. Ce litige soulève la question des obligations qui incombent aux exploitants de moteurs de recherche concernant la protection des données à caractère personnel des personnes souhaitant invoquer un droit à l’oubli.
En l’espèce, une personne de nationalité espagnole s’était rendu compte, en renseignant son nom dans le moteur de recherche de Google, que ses données personnelles étaient disponibles sur le site d’un quotidien qui faisait état d’une vente aux enchères immobilières liée à une saisie pratiquée en recouvrement de ses dettes de sécurité sociale. Après une demande de suppression infructueuse adressée à Google Spain puis à Google Inc au motif que, la procédure étant ancienne, l’information n’avait plus lieu d’apparaître sur internet, le plaignant s’est adressé à l’agence espagnole de protection des données (AEPD).
L’AEPD a ordonné à Google Spain et Google Inc le retrait des données et les deux sociétés ont entamé individuellement une procédure de recours auprès de la Haute juridiction espagnole. Cette dernière a saisi la CJUE d’une série de questions préjudicielles telles que :
– Faut-il considérer que l’activité d’un moteur de recherche est comprise dans la notion de « traitement de données à caractère personnel » telle que définie à l’article 2, sous b), de la [directive 95/46]?
– Dans l’affirmative, l’entreprise qui exploite le moteur de recherche est-elle considérée comme « responsable du traitement des données » ?
– Dans l’affirmative, l’AEPD peut-elle ordonner directement à un exploitant de moteur de recherche le retrait de pages de résultats publiées par des tiers sans s’adresser préalablement au propriétaire du site web et ce même si les informations ont été publiées légalement ?
– Le droit à l’effacement et le droit d’opposition reconnu par la directive 95/45 donnent-ils le droit à une personne de demander à un moteur de recherche la suppression d’informations contenant des données personnelles, publiées légalement, en invoquant un droit à l’oubli ?
D’une part, la Cour considère que l’activité d’un moteur de recherche mettant à disposition des données personnelles publiées par des tiers doit être assimilée à une activité de traitement de données personnelles au sens de la directive, au sens de l’article 2, sous b). Par ailleurs l’exploitant dudit moteur de recherche est considéré comme responsable de traitement, au sens de l’article 2, sous d).
D’autre part, les juges estiment que, au sens des articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46, les exploitants de moteurs de recherche ont l’obligation de déréférencer des liens vers des pages web, publiées par des tiers et contenant des informations relatives à une personne même si les informations ne sont pas au préalable supprimées par le propriétaire du site web. Ceci est valable si et seulement si pour autant que les conditions prévues par celles-ci sont effectivement satisfaites les conditions prévues par les articles sont effectivement satisfaites.
Par ailleurs, la CJUE reconnaît un « droit à l’oubli » à condition que la personne démontre que rechercher son nom sur un moteur de recherche conduit à des informations pouvant lui porter préjudice, cette personne pouvant s’appuyer sur les articles 7 et 8 de la Charte des droits fondamentaux. Toutefois l’invocation de ce droit est exclue dans le cas où il s’agirait d’une personne publique et que l’ingérence dans ses droits fondamentaux est justifié par un intérêt public.
Enfin, les magistrats considèrent « l’article 4, paragraphe 1, sous a), de la directive 95/46 doit être interprété en ce sens qu’un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre, au sens de cette disposition, lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre. »
Cette décision, très attendue, a été très bien accueillie au sein des instances de l’Union européenne. Elle est tout de même une surprise puisque qu’elle va à l’encontre de l’avis de l’avocat général qui estimait en juin 2013 que Google n’était pas responsable des données personnelles apparaissant sur ses pages.
Christelle HUYGHUES-BEAUFOND