Nous avons déjà examiné les deux premiers éléments de la décision de la Cour de justice de l’Union européenne en date du 13 mai dernier dans l’affaire Google Spain (respectivement nos actualités du 29 octobre sur l’application à Internet de la protection européenne des données à caractère personnel et du 15 octobre sur l’application du droit international privé sur Internet.
Nous abordons ici le troisième point du raisonnement de la CJUE dans cette affaire fondamentale.
Des droits de protection élémentaires, attachés à toute personne
La Cour observe que la directive 95/46/CE prévoit les droits suivants à la disposition des citoyens de l’UE :
- Le droit d’obtenir « la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données » (article 12, b de la directive 95/46) ;
- Le droit pour la personne concernée « de s’opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de disposition contraire du droit national. En cas d’opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut plus porter sur ces données » (article 14 al.1er, a).
En d’autres termes, toute personne pour laquelle des données sont traitées, notamment en la nommant sur Internet, disposent :
- Du droit d’exiger la rectification ou l’effacement des informations la concernant qui sont incomplètes ou inexactes, ce qui peut être le cas lorsque des informations sur une personne sont publiées sur le net ;
- Du droit de s’opposer « pour des raisons prépondérantes et légitimes » au maintien de données la concernant, ce qui rend alors le traitement illégitime.
On voit que sur ce terrain, la directive européenne, transposée à peu de détails près dans les droits des 28 États membres de l’Union européenne, offre une protection solide à l’individu contre toute diffusion d’informations dès lors que, simplement, elle ne souhaiterait pas les voir divulguées.
Le caractère légitime de la démarche d’opposition grandit à proportion du taux de nuisance de l’information diffusée. Même si cette appréciation de la légitimité de la demande d’opposition peut être sujette à débat et devoir être précisée par la jurisprudence, il y a là une porte d’entrée juridique très solide pour faire jouer son propre droit à l’oubli.
Une nouveauté : pas de suppression nécessaire à la source
Pour conclure sur ce point de droit, la Cour prend une position pragmatique qui est une vraie nouveauté dans l’économie générale de l’Internet.
Elle précise en effet que « un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite« .
Il était communément admis, depuis que le Web et ses moteurs de recherches existent, soit depuis 1993, que les moteurs de recherche tendaient à couvrir de la manière plus exhaustive possible le Web et se bornaient à renvoyer l’image globale de celui-ci. Sous réserve de la notion de Web invisible, la finalité et la qualité d’un moteur de recherche sur le Web sont malgré tout de permettre de « trouver tout, tout de suite« . Les bases des moteurs de recherche ne devaient donc être considérées que comme le reflet fidèle et neutre du Web à un instant t.
C’était compter sans la dimension de recoupement surpuissant qui permet de créer un autre type d’information : des grappes (clusters en anglais) d’informations sur un même sujet, ou – et nous sommes sur notre terrain – une même personne physique.
L’innovation proposée par les magistrats de la CJUE est de considérer implicitement cette information résultante, nouveau produit fini offert par la puissance du moteur de recherche, comme un produit autonome, en quelque sorte indépendant des sites sources disséminés dans le monde.
La Cour déconnecte ainsi la notion d’information en ligne de celle que nous nommerons « état d’informations« , produit par le moteur. Et c’est sur cet « état d’informations » qu’elle rend sa décision.
La Cour considère donc l’obligation de suppression d’informations nominatives personnelles des résultats des moteurs de recherche comme tout à fait indépendante du fait que ces informations demeurent en ligne, éparpillées sur divers sites et noyées dans l’océan du Web, sites et informations par définition moins nuisibles de par leur isolement que ce regroupement automatisé produit par le moteur. Ainsi se recoupe, dans le raisonnement de la Cour, le premier jalon de son raisonnement sur la qualification de traitement de données à caractère personnel de la part des moteurs et la responsabilité de leurs dirigeants. Et son raisonnement va même jusqu’au bout de sa logique : « même lorsque leur publication en elle-même sur lesdites pages est licite« .
Autrement dit, peu importe que les informations diffusées sur un site ou un autre soit licite ou non, le seul fait de permettre leur regroupement autour du nom d’une personne constitue un traitement de données à caractère personnel réalisé par le moteur et pour lequel les intéressés disposent de leurs droits de rectification, de suppression et d’opposition.
Tout ceci est donc d’une logique imparable. On n’avait jamais aussi bien compris, dans les milieux juridiques, à quel point les moteurs de recherche, outils de recoupements de l’information, était les vrais responsables des traitements que constituent ces recoupement ou regroupements.
Une nouvelle responsabilité à part entière pour de nouveaux produits d’information
Les praticiens du nettoyage que nous sommes savent bien que jusque là, la manière de travailler était d’obtenir la suppression de l’information litigieuse à la source, et ensuite seulement, d’en demander le déréférencement accéléré aux moteurs de recherche, en leur apportant la preuve que l’information n’était plus en ligne. La Cour a pour ainsi dire mis au jour la responsabilité des moteurs de recherche à raison des produits d’information qu’ils sont capables de générer, indépendamment des informations noyées dans la masse du Web sur différents sites.
Le dernier point du raisonnement de la Cour, le rattachement à la Charte des droits fondamentaux de l’Union européenne, sera l’objet de notre prochain épisode.
