La Cour de justice de l’Union européenne (CJUE) vient de rendre une décision tout à fait intéressante sous l’angle de l’e-réputation (cyber-réputation ou web-réputation ou encore réputation numérique).
Dans un arrêt de sa Grande chambre du 13 mai, la CJUE considère que la directive européenne sur la protection des données à caractère personnel s’applique pour un ressortissant de l’Union dont le nom apparaît sur Google, justifiant qu’il puisse en demander le retrait.
Les faits en bref
Cette décision a été rendue sur une question préjudicielle posée par un juge espagnol. Dans ce pays, une annonce, publiée dans un journal il y a seize ans mentionnait le nom d’une personne à raison d’une saisie pratiquée en recouvrement d’une dette de sécurité sociale. Ce nom apparaissait dans les résultats de Google en tapant celui-ci et renvoyait aux pages du journal en question.
La personne concernée avait donc demandé au journal de supprimer son nom et au moteur de recherche de ne plus faire apparaître ces résultats (une relation plus complète des faits et de la procédure peut être trouvée dans la décision elle-même et dans le communiqué de presse de la Cour, référencés ci-après).
La position de Google
Comme à son habitude, Google s’est alors retranché derrière la législation américaine pour refuser d’obtempérer, puisque le moteur de recherche, juridiquement considéré comme le responsable de ce « traitement de données à caractère personnel », est la société Google Inc., soumise au droit américain. C’est la défense classique opposée depuis des années dans les démarches auprès de la société, justifiant leur non-respect de la loi du pays dans laquelle ils sont implantés.
La solution consacrée par la CJUE
La Cour de Luxembourg a tranché autrement.
En résumé, elle considère qu’à partir du moment où le moteur de recherche Google est utilisable sur le territoire d’un État de l’Union européenne, le droit de cet État et de l’Union s’appliquent. Cette décision nous semble assez logique et en tout cas très salutaire à bien des égards.
Les linéaments du raisonnement et les détails de la décision sont cependant fort intéressants.
Un vrai traitement de données à caractère personnel
Tout d’abord la Cour confirme que le travail produit par le moteur de recherche constitue bien un traitement de données à caractère personnel au sens de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.
L’application du droit international privé
Ensuite, la directive doit s’appliquer, selon la Cour « lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre ».
L’intérêt, mais aussi l’ambiguïté de l’analyse, est la mise en avant du fait que Google fait commerce d’espaces publicitaires sur le territoire de l’État membre, en conséquence de quoi il est soumis au droit de ce territoire. Le deuxième motif est que « l’activité vise les habitants de cet État ».
C’est ici l’application pure et simple des règles du droit international privé, bien connu des bons juristes. Ce droit chargé de résoudre les conflits de lois dans l’espace, c’est-à-dire de déterminer quelle est la loi applicable à une situation de droit transnationale, ce qui est presque tout le temps le cas sur Internet.
La solution nous semble ambigüe en ce sens qu’est mis en vedette le fait de faire du commerce sur un territoire, ce qui justifierait l’application du droit de celui-ci.
Il nous semble que le seul fait de traiter des données privées d’un ressortissant du même territoire pour les rendre publiques via un moteur de recherche sur ce même territoire, fait que le centre de gravité de la situation juridique soit celui du lieu du ressortissant et du lieu de réception et justifie que les lois de ce territoire soient applicables, sans qu’il soit besoin d’invoquer le chiffre d’affaires drainé par cette activité. Fort heureusement cet aspect est aussi mentionné par la Cour qui note que « l’activité vise les habitants de cet État membre« .
Deux observations en regard du raisonnement de la Cour :
- Le résultat de la décision est de toute façon le même, et il n’est peut-être pas neutre de rappeler que Google est un commerçant mondial aux multiples succursales comme un autre… ;
- La Cour invoque plus loin (voir ci-dessous) la primauté de la Charte des droits fondamentaux, qui prévaut pour tout ressortissant de l’Union, y compris sur un moteur de recherche de nationalité et de droit américain.
Une obligation générale de déréférencement
Le troisième niveau de raisonnement est important pour l’avenir du nettoyage sur Internet.
La Cour considère l’obligation de Google à un double niveau.
1) « L’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne ».
Cette solution paraît tout à fait logique et c’est ce que, jusqu’à une époque récente, Google acceptait de faire sans difficulté pour autant que les informations nominatives aient étés supprimées des sites sur lesquels celles-ci apparaissaient. Il est bon que la CJUE affirme cette règle en tant que cour suprême de l’Union.
2) La suite est pour le moins innovante, du moins en regard de la pratique de Google.
En effet, cette obligation de déréférencement joue « également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite ».
En d’autres termes, Google a l’obligation de déréférencer le nom d’une personne, quand bien même l’éditeur du site n’aurait pas accepté de le faire, ou mieux encore, quand bien même la présence de ce nom sur un site serait parfaitement licite.
Le droit de déréférencement issu des droits fondamentaux du citoyen
Enfin, la Cour rappelle que les articles 7 et 8 de la Charte des droits fondamentaux de l’Union priment sur beaucoup d’autres intérêts : « ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à accéder à ladite information lors d’une recherche portant sur le nom de cette personne ».
On peut ainsi voir dans cette affirmation une reconnaissance générale de la primauté des droits fondamentaux, notamment le droit au respect de la vie privée (article 7) et le droit au respect des données personnelles dont l’exploitation suppose, sauf obligation légitime, le consentement des personnes concernées (article 8).
La seule limite à ce respect des droits fondamentaux qui soit posée par la Cour est la classique solution des personnages publics, bien connue en droit de l’image : « tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question ».
Vers une reconnaissance d’un droit à l’oubli numérique ?
Certains médias veulent voir dans cette décision une reconnaissance d’un droit à l’oubli numérique. C’est en partie vrai…, en partie seulement, du moins en l’état actuel du droit des pays de l’Union.
La loi française, par exemple, reconnaît, en conformité avec la directive, un certain droit à l’oubli. Cependant, elle n’impose pas ce droit aux « activités journalistiques ». Mais — autre exemple —, la loi allemande, elle, ne reconnaît pas ce droit.
Les lois des États membres limiteront donc ou ignoreront ce droit à l’oubli tant qu’elles n’auront pas été modifiées, mais la décision de la CJUE permet tout de même de déréférencer directement sur les moteurs de recherche un nom qui resterait de manière licite sur des sites de presse.
On n’en est pas encore à un droit à l’oubli numérique complet, qui pourrait prendre corps avec le futur règlement européen sur la protection des données à caractère personnel, destiné à remplacer la directive 95/46/CE (voir notre dernière actualité sur ce projet en date du 5 novembre 2013).
Par Didier Frochot
Crédit photo : DR
