10
10 2019

  .  Par Arnaud QUILTON

La CJUE et les contours du droit à l’oubli : les conséquences des deux arrêts du 24 septembre 2019

L’informatisation de la société a entraîné de profondes mutations au regard de ce qu’il convient de nommer « la mémoire humaine ». Il y a encore peu, celle-ci était naturellement limitée car soumise à des impératifs purement physiologiques ; mais avec l’informatique et la multiplication des supports de sauvegarde de données, la capacité mémorielle fut irréfragablement décuplée, une information pouvant être dupliquée, enregistrée, conservée et même transmise à une échelle qui aurait été, il y a quelques années encore, inconcevable.

En effet, l’informatique permet de stocker des informations en quantité illimitée pendant des années et de les restituer instantanément, sans altération. La mémoire humaine, au contraire, est naturellement limitée et tend, avec les années, à s’éroder du fait du processus d’effacement des informations que l’on nomme communément « l’oubli ».

Cette confrontation entre la technologie et la mémoire humaine est particulièrement inquiétante dès lors qu’il est fait référence à des sujets redondants tels que celui du droit au respect de la vie privée ou encore celui de la mort numérique (1) .

Une simple requête nominative effectuée sur un moteur de recherche démontre toute l’étendue de cette problématique : à un nom d’une personne donnée correspond, dans la plupart des cas, une quantité importante d’informations, accessibles en quelques clics pour le commun des internautes. Ainsi, avec le réseau internet positionné comme cerveau de cette mémoire numérique, l’éphémère a laissé place au perpétuel, ce qui n’est pas sans poser des problèmes au regard de la préservation de la vie privée de tout un chacun.

Evidemment, dans un tel contexte, le droit à l’oubli est très rapidement apparu comme étant une solution juridique apte à répondre à cette problématique. Sa consécration en 2014 avec l’arrêt « GOOGLE c/ Spain » (2) de la Cour de Justice de l’Union Européenne (CJUE) a même laissé présager l’avènement d’un véritable droit à l’oubli capable d’être un contrepoids de taille à la toute puissance d’internet et, spécifiquement, aux moteurs de recherche (en l’espèce GOOGLE).

Pour autant, et c’est précisément ce que soulignent ces deux arrêts de cette même juridiction en date du 24 septembre 2019, les contours de ce droit doivent encore être affinés et peuvent apparaître, aujourd’hui encore, fluctuants.

Il importe donc, dans un premier temps, de rappeler les contours théoriques du droit à l’oubli (I.) avant d’analyser en détails les conséquences de ces deux arrêts de la CJUE (II.).

 

 

I - Les contours théoriques du droit à l’oubli (3)

  • Une tentative de définition du droit à l’oubli

Entre le milieu des années 1990 et 2014, de nombreuses voix se sont érigées en faveur de l’avènement d’un droit à l’oubli qui viendrait en quelque sorte contrebalancer les effets néfastes des avancées technologiques (et spécifiquement de celles résultant du numérique).

Durant cette période, les juristes français et européens se sont interrogés, non sans difficulté, sur les contours théoriques d’un tel droit.

Aujourd’hui encore, ces errements a priori abstraits s’avèrent être essentiels à la compréhension de ce sujet.

L’oubli est généralement assimilé à une forme d’effacement des souvenirs, notamment de ceux jugés les plus préoccupants. Sur un plan strictement juridique, l’oubli ne serait autre que le droit pour une personne d’obtenir la suppression définitive de certaines données la concernant.

Partant, rattaché au droit au respect de la vie privée, le droit à l’oubli concilierait à la fois un droit à l’intimité personnelle, mais aussi un « droit d’être laissé tranquille »(4) Replacé dans le contexte du numérique et de l’internet, ce droit renverrait à créer un système contraignant à l’égard des différents acteurs du réseau – et spécifiquement des responsables directs des traitements tels que les moteurs de recherche – leur imposant « de ne plus conserver, au-delà de la finalité d’origine, les données à caractère personnel »(5) .

Il s’agirait donc d’un droit autorisant une « purge » des données divulguées sur le réseau, laquelle replacerait l’internaute comme ultime « contrôleur » de ses informations personnelles en lieu et place des moteurs de recherche.

L’enjeu sociologique de l’édiction d’un tel droit est considérable : l’internaute ayant par mégarde signé telle ou telle pétition ou même mis en ligne à une période de sa vie des photos compromettantes, pourrait, s’il le souhaite, expier des limbes internétiques ces données jugées inadéquates – ce qui demeure fortement compliqué à l’heure actuelle, sauf à faire appel à des informaticiens ou à des juristes (6).

De même, les droits numériques de la personne défunte se verraient pleinement consacrés par un tel droit : en l’absence de celui-ci, les procédures visant à la suppression ou la transmission des données personnelles d’un internaute décédé s’avèrent complexes à mettre en œuvre. De ce fait, les enjeux juridiques étaient jusqu’en 2014 – et sont encore aujourd’hui ! –, à la lumière des droits fondamentaux, particulièrement criants.

 

  • La consécration parcellaire du droit à l’oubli par la CJUE le 13 mai 2014

Finalement, après plusieurs années d’interrogations et d’errements sur ce sujet, la CJUE a, contre toute attente, consacré le 13 mai 2014 l’existence d’un tel droit au bénéfice de chaque internaute. En effet, dans sa décision, la Cour a estimé que l’exploitant d’un moteur de recherche sur internet, en l’espèce GOOGLE, doit être considéré comme responsable du traitement des données personnelles qu’il effectue et qui apparaissent sur des pages web publiées par des tiers. Le considérant principal de la CJUE dans cette affaire est limpide : « l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichés à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite » (7).

Concrètement, les juges ont estimé que le référencement d’une personne sur le web à partir notamment de son nom devait rester sous unique contrôle et ne pouvait être aléatoirement confié au bon-vouloir des moteurs de recherche.

L’autodétermination personnelle et informationnelle fut donc pleinement consacrée par l’instauration d’un tel droit mêlant respect de la vie privée et respect des données à caractère personnelles.

Pour autant, en dépit d’une décision a priori claire, les faits ont démontré que les contours de ce droit fraîchement consacré étaient relativement imprécis, ce qui engendrait un certain nombre de problématiques nouvelles.

En effet, la Cour a tempéré la consécration de ce droit à l’oubli en précisant qu’il prévaut sur « l’intérêt économique de l’exploitant du moteur de recherche » ainsi que « sur l’intérêt [du] public à accéder à ladite information », sauf si, en raison du « rôle joué par ladite personne dans la vie publique […] l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public ».

De fait, le juge a estimé que le droit à l’information du public pouvait primer sur le droit à l’oubli dès lors que les informations concernées touchaient un sujet « d’intérêt général ». Cette notion étant pour le moins imprécise, la portée de l’arrêt du 13 mai 2014 s’en est trouvée considérablement atténuée…

GOOGLE s’est d’ailleurs rapidement engouffré dans cette brèche juridique : bien que se soumettant à la décision de la CJUE en créant immédiatement des procédures spécifiques permettant aux internautes de signaler certains contenus afin de les déréférencer, dans les faits, la firme se retranche bien souvent derrière la notion « d’intérêt général » pour refuser le déréférencement d’un lien.

Comme le rappel un article du Monde Informatique (8), durant les quatre années qui ont suivi l’arrêt de la CJUE, GOOGLE a reçu plus de 655 000 demandes de suppression de liens de son moteur de recherche sur Internet concernant environ 2,4 millions d’URL. Pour autant, la firme de Mountain View n’en a effectivement supprimé que 43 % au total, justifiant tout refus principalement du fait de la primauté du droit à l’information du public et donc, de l’intérêt général.

En outre, l’arrêt de 2014 n’a émis aucune précision spécifique quant à la portée géographique de ce nouveau droit : est-il valable au sein de l’Union européenne uniquement, comme l’a souvent avancé GOOGLE ou, au contraire, le droit à l’oubli doit-il être mondial, comme a pu le soutenir la CNIL ?

Enfin, un autre point n’avait pas été évoqué dans l’arrêt de 2014 : celui de l’articulation entre droit à l’information, droit au déréférencement (droit à l’oubli) et une catégorie particulière de données, les données dites « sensibles » (opinions politiques et religieuses, origines ethniques, orientation sexuelle etc.).

Compte tenu de ces difficultés résultant notamment de la mise en balance de deux droits fondamentaux – le droit à la vie privée d’un côté et le droit à l’information d’un autre -, il s’agissait donc pour la CJUE de tenter de clarifier et d’affiner le concept de droit à l’oubli.

C’est ce qu’elle a tenté de faire avec plus ou moins de succès à l’occasion de deux nouveaux arrêts rendus le 24 septembre 2019. (9)

 

II. L’atténuation de la portée du droit à l’oubli par les arrêts du 24 septembre 2019

  • Le droit à l’oubli : un droit exclusivement européen

Dans son premier arrêt de 2019 (10) , la Cour a tranché en faveur de GOOGLE et contre la CNIL.

Dans les faits, l’autorité administrative indépendante française avait prononcé en 2016 une amende à l’encontre du géant du web en soulignant que seul un déréférencement sans limitation géographique d’un lien pouvait assurer une protection effective des internautes.

De son côté, GOOGLE estimait que l’exercice du droit à l’oubli, tel que consacré en 2014 par la CJUE, ne pouvait s’appliquer qu’au sein de l’Union européenne, et ne pouvait en aucun cas concerner l’ensemble des noms de domaine présents à l’échelle mondiale. Selon elle, le déréférencement généralisé était contraire aux législations supra communautaires, telles que celles applicables aux Etats-Unis ou encore en Russie en violant plusieurs droits fondamentaux de ces pays au premier rang desquels se trouvent le droit à l’information et la liberté d’expression.

Contestant formellement la sanction de la CNIL, GOOGLE avait porté l’affaire devant le Conseil d’Etat. Néanmoins, embarrassée par la nature des enjeux en présence, la haute juridiction administrative a préféré interroger la CJUE afin d’obtenir son interprétation du droit communautaire dans le cadre de ce litige.

La réponse de la CJUE le 24 septembre 2019 fut relativement limpide : selon elle, le droit à l’oubli – et donc au déréférencement – ne s’applique qu’au sein de l’Union européenne, précisant que ce droit n’est « pas absolu » et qu’il doit être appréhendé « par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux […] comme la liberté d’information des internautes ».

Elle ajoute que « le droit de l’Union européenne ne prévoit pas d’instruments ou de mécanismes de coopération pour ce qui concerne la portée d’un déréférencement en dehors de l’Union ». Elle admet ainsi, comme le soutenait GOOGLE, que de nombreux autres Etats tiers méconnaissent le droit à l’oubli ou l’appréhendent de façon différente, en faisant par exemple primer le droit à la liberté d’expression et le droit à l’information.

Les conséquences de cet arrêt sont donc claires : un moteur de recherche, quel qu’il soit, réceptionnant une demande de déréférencement d’un citoyen de l’Union européenne ne sera contraint de supprimer les résultats concernés par ladite demande que pour les extensions de ses noms de domaine des 27 Etats membres (c’est-à-dire les extensions en « .fr », « .be », « . de » etc.). A contrario, les extensions en « .com » ou en « .us », étrangères à l’Union européenne, ne sont par exemple pas concernées.

Cet arrêt vient donc considérablement affiner la portée du droit à l’oubli, renforçant plus que jamais son ancrage à l’échelle européenne tout en l’amenuisant considérablement à l’échelle internationale.

 

  • L’obligation pour GOOGLE de contrôler a posteriori les pages contenant des données sensibles

Dans son autre arrêt (11) , la Cour avait été sollicitée une fois encore par le Conseil d’Etat sur la question du déréférencement de contenus comportant des données sensibles. En l’espèce, faisant primer le droit à l’information et l’intérêt général, la CNIL avait refusé de contraindre GOOGLE à supprimer des liens renvoyant notamment vers une mise en examen d’un homme politique ou encore vers un article évoquant la condamnation d’un individu pour actes pédophiles.

La Cour confirme que « dans le cadre d’une demande de déréférencement, une mise en balance doit être effectuée entre les droits fondamentaux de la personne » concernée et « ceux des internautes potentiellement intéressés par ces informations ». Elle précise que « les droits de la personne prévalent en règle générale sur la liberté d’information ».

Elle précise que cette règle est susceptible de varier en fonction de « la nature de l’information en question », « sa sensibilité pour la vie privée de la personne » ou encore « l’intérêt du public ».

De fait, la Cour souligne que la sensibilité d’une donnée impose un traitement particulier de la part du responsable de traitement – en l’espèce le moteur de recherche –. Cependant, elle affirme que ce type de données ne nécessite pas, comme l’avait soulevé les requérants, un contrôle a priori de GOOGLE permettant de « filtrer », avant l’indexation, tout type de contenu qui comprendrait des données sensibles.

Elle ajoute que, dans la majorité des cas, les moteurs de recherche doivent effectuer ce contrôle méticuleux a posteriori, au cas par cas, en fonction des demandes qui lui sont remontées et qui sont susceptibles de comporter des données sensibles.

Pour autant, et c’est là que la position de la Cour peut apparaître comme surprenante, elle place clairement les moteurs de recherche comme ultime arbitre de la conciliation entre droit à l’information, droit à l’oubli et données sensibles. Concrètement, GOOGLE peut refuser une demande d’internaute visant au déréférencement en dépit de la présence de données sensibles dans leurs requêtes.

On le voit, ce second arrêt ne va malheureusement pas œuvrer pour une clarification de la notion d’intérêt général dans l’hypothèse d’une confrontation entre le droit à l’oubli et le droit à l’information. La CJUE fournit néanmoins une grille de lecture supplémentaire à destination des moteurs de recherche qui se devront non seulement de prendre en compte le caractère sensible d’une donnée mais aussi la gravité des faits, le rôle public de la personne concernée ou encore l’intérêt du public à connaître cette information.

Comble de l’audace, elle va même jusqu’à tenter de s’immiscer dans l’algorithme de GOOGLE en indiquant que dans l’hypothèse d’une décision de justice devenue, du fait du temps passé, inopérante, le moteur de recherche se doit d’optimiser le référencement de la personne concernée en faisant remonter l’ensemble des liens relatant de la situation judiciaire actuelle du requérant !

Autant dire que les informaticiens de GOOGLE ont du « pain sur la planche » afin d’opérer les modifications techniques nécessaires à la mise en conformité du moteur de recherche aux exigences de la CJUE…

**************

Partant, et spécifiquement au regard du premier arrêt de la Cour, sur internet, plus que jamais, plusieurs niveaux de réglementations doivent être pris en compte : le niveau national, le niveau international et tous les autres niveaux intermédiaires (tel que le niveau européen).

De fait, l’idée d’un droit à l’oubli extraterritorial qui aurait présagé la mise en place d’une régulation mondiale et effective de l’internet a peut-être été définitivement éradiquée par la CJUE dans cette affaire.

—————————————————————————————————————————————————-

(1) La mort numérique fait référence au sort des données numériques d’un individu après son décès.

(2) CJUE, Gde Ch., 13 mai 2014, aff. C-131/12, Google Spain SL, Google Inc. c/ Agencia Española de Protección de Datos, Mario Costeja González

(3) BELLEIL (A.), E-privacy – Le marché des données personnelles : protection de la vie privée à l’âge d’Internet, Paris : Dunod, coll. Stratégies et Management, 2001, p. 3.

(4) BENSOUSSAN (A.), « Le « droit à l’oubli » sur Internet », Gazette du Palais, 6 février 2010, n° 37, p. 3.

(5) Pour plus de détails sur ce sujet, v. QUILTON (A.), L’exercice des droits et libertés fondamentaux sur l’internet, Thèse de droit soutenue en juillet 2014, pp. 590-603. Versions numérique et/ou papier disponibles sur demande auprès de la Bibliothèque universitaire de droit d’Aix-Marseille Universités.

(6) Le Département Droit du Numérique du cabinet AVOCONSEIL propose d’ailleurs une offre spécifique à ce sujet dénommée AVOREPUTATION. Pour plus d’informations, n’hésitez pas à nous contacter.

(7) CJUE, Gde Ch., 13 mai 2014, aff. C-131/12, préc., Cons. n° 88.

(8)« Droit à l’oubli : 142 705 demandes de suppressions d’URL en France », Le Monde Informatique, 28 février 2018, disponible à l’adresse suivante : https://www.lemondeinformatique.fr/actualites/lire-droit-a-l-oubli-142-705-demandes-de-suppressions-d-url-en-france-71015.html

(9) CJUE, 24 septembre 2019, aff. C‑507/17 et CJUE, 24 septembre 2019, aff. C‑136/17.

(10) CJUE, 24 septembre 2019, aff. C‑507/17.

(11) CJUE, 24 septembre 2019, aff. C‑136/17.