SCP Bauer-Violas · Feschotte-Desbois · Sebagh
Avocats au Conseil d'État et à la Cour de cassation
20 juin 2014 - Google et le droit à l'oubli, suite... - Sophie Mahé et Denis Garreau
Nous évoquions il y a quelques semaines un jugement du 28 janvier 2014, par lequel le tribunal de commerce de Paris a fait application des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, pour fonder une condamnation de la société Google Inc. à supprimer une suggestion négative apparaissant dans le menu déroulant de son moteur de son outil de prédiction de requêtes Google Suggest en lien avec le nom et le prénom d’une personne physique (Voir l'actualité du 14 mars 2014).
Dans le même sens, la Cour de justice de l’Union européenne a, dans une décision rendue le 13 mai dernier, fait application de la directive du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données au moteur de recherche exploité par Google en tant que fournisseur de services (CJUE, 13 mai 2014, Google Spain SL, Google Inc. c/ Agencia Española de protección de datos, Mario Costeja Gaonzález, aff. C-131/12).
Dans cette affaire, une personne physique de nationalité espagnole avait constaté que lorsqu’un internaute introduisait ses nom et prénom dans le moteur de recherche Google, il obtenait des liens vers deux pages d’un journal paru en 1998, sur lesquelles figurait une annonce, mentionnant ses nom et prénom, pour une vente aux enchères immobilière liée à une saisie pratiquée en recouvrement de dettes de sécurité sociale. il avait ainsi introduit une réclamation auprès de l’Agence espagnole de protection des données (« l’’AEDP »), laquelle avait demandé aux sociétés Google Spain et Google Inc. de prendre les mesures nécessaires pour retirer les données litigieuses de leur index et de rendre impossible l’accès futur à ces dernières.
Saisie de recours des sociétés Google Spain et Google Inc., l’Audencia Nacional espagnole a décidé de poser à la Cour de justice de l’Union européenne une série de questions préjudicielles relatives à l’interprétation de la directive n° 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
Ces questions ont ainsi donné l’occasion à la Cour de justice de l’Union européenne de juger que ladite directive est applicable à l’exploitant d’un moteur de recherche.
Elle a en effet considéré :
Puis, la Cour de justice de l’Union européenne a estimé qu’en application des dispositions de la directive, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l'hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite (point 80).
Enfin, la Cour de justice de l’Union européenne a précisé que toute personne a le droit de demander aux moteurs de recherche de supprimer les résultats de recherche qui incluent son nom, à condition de démontrer l’existence d’un « droit à ce que l’information relative à sa personne ne soit plus liée à son nom par une liste de résultats affichée à la suite d'une recherche effectuée à partir de son nom » (point 99). Tel est le cas, lorsque les données sont « inexactes […], inadéquates, non pertinentes ou excessives au regard des finalités du traitement », ou lorsqu’elles « ne sont pas mises à jour ou qu’elles sont conservées pendant une durée excédant celle nécessaire, à moins que leur conservation s’impose à des fins historiques, statistiques ou scientifiques » (point 92).
L’existence d’un préjudice est en revanche indifférente (point 96).
La Cour de justice de l’Union européenne a pris soin de préciser que les droits de la personne au respect de sa vie privée et à la protection de ses données à caractère personnel, garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, « prévalent, en principe, non seulement sur l'intérêt économique de l'exploitant du moteur de recherche, mais également sur l'intérêt de ce public à accéder à ladite information lors d'une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s'il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question. » (points 97 et 99).
En application de cette décision, Google a d’ores et déjà mis en place un formulaire de demande de suppression de résultats de recherche, se réservant néanmoins la faculté d’examiner au cas par cas si les résultats contestés sont inadéquats, pas ou plus pertinents, ou excessifs au regard des finalités du traitement.
Google assure vouloir, d’une part, tenter de trouver un juste équilibre entre la protection de la vie privée des individus et le droit au public à accéder à l’information et, d’autre part, traiter dans les meilleurs délais les demandes qui lui sont soumises.
Microsoft a récemment annoncé son intention de créer une procédure similaire concernant son moteur de recherche Bing.
Sophie Mahé et Denis Garreau
Dans le même sens, la Cour de justice de l’Union européenne a, dans une décision rendue le 13 mai dernier, fait application de la directive du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données au moteur de recherche exploité par Google en tant que fournisseur de services (CJUE, 13 mai 2014, Google Spain SL, Google Inc. c/ Agencia Española de protección de datos, Mario Costeja Gaonzález, aff. C-131/12).
Dans cette affaire, une personne physique de nationalité espagnole avait constaté que lorsqu’un internaute introduisait ses nom et prénom dans le moteur de recherche Google, il obtenait des liens vers deux pages d’un journal paru en 1998, sur lesquelles figurait une annonce, mentionnant ses nom et prénom, pour une vente aux enchères immobilière liée à une saisie pratiquée en recouvrement de dettes de sécurité sociale. il avait ainsi introduit une réclamation auprès de l’Agence espagnole de protection des données (« l’’AEDP »), laquelle avait demandé aux sociétés Google Spain et Google Inc. de prendre les mesures nécessaires pour retirer les données litigieuses de leur index et de rendre impossible l’accès futur à ces dernières.
Saisie de recours des sociétés Google Spain et Google Inc., l’Audencia Nacional espagnole a décidé de poser à la Cour de justice de l’Union européenne une série de questions préjudicielles relatives à l’interprétation de la directive n° 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
Ces questions ont ainsi donné l’occasion à la Cour de justice de l’Union européenne de juger que ladite directive est applicable à l’exploitant d’un moteur de recherche.
Elle a en effet considéré :
- que l'activité d'un moteur de recherche consistant à trouver des informations publiées ou placées sur internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de traitement de données à caractère personnel, lorsque ces informations contiennent des données à caractère personnel (point 41),
- que l'exploitant de ce moteur de recherche doit être considéré comme le responsable dudit traitement (point 41),
- et qu’un traitement de données à caractère personnel est effectué dans le cadre des activités d'un établissement du responsable de ce traitement sur le territoire d'un Etat membre, lorsque l'exploitant d'un moteur de recherche crée dans un Etat membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l'activité vise les habitants de cet Etat membre (point 60).
Puis, la Cour de justice de l’Union européenne a estimé qu’en application des dispositions de la directive, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l'hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite (point 80).
Enfin, la Cour de justice de l’Union européenne a précisé que toute personne a le droit de demander aux moteurs de recherche de supprimer les résultats de recherche qui incluent son nom, à condition de démontrer l’existence d’un « droit à ce que l’information relative à sa personne ne soit plus liée à son nom par une liste de résultats affichée à la suite d'une recherche effectuée à partir de son nom » (point 99). Tel est le cas, lorsque les données sont « inexactes […], inadéquates, non pertinentes ou excessives au regard des finalités du traitement », ou lorsqu’elles « ne sont pas mises à jour ou qu’elles sont conservées pendant une durée excédant celle nécessaire, à moins que leur conservation s’impose à des fins historiques, statistiques ou scientifiques » (point 92).
L’existence d’un préjudice est en revanche indifférente (point 96).
La Cour de justice de l’Union européenne a pris soin de préciser que les droits de la personne au respect de sa vie privée et à la protection de ses données à caractère personnel, garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, « prévalent, en principe, non seulement sur l'intérêt économique de l'exploitant du moteur de recherche, mais également sur l'intérêt de ce public à accéder à ladite information lors d'une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s'il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question. » (points 97 et 99).
En application de cette décision, Google a d’ores et déjà mis en place un formulaire de demande de suppression de résultats de recherche, se réservant néanmoins la faculté d’examiner au cas par cas si les résultats contestés sont inadéquats, pas ou plus pertinents, ou excessifs au regard des finalités du traitement.
Google assure vouloir, d’une part, tenter de trouver un juste équilibre entre la protection de la vie privée des individus et le droit au public à accéder à l’information et, d’autre part, traiter dans les meilleurs délais les demandes qui lui sont soumises.
Microsoft a récemment annoncé son intention de créer une procédure similaire concernant son moteur de recherche Bing.
Sophie Mahé et Denis Garreau