Google condamné par la CJUE à respecter le droit à l’oubli numerique

Aux termes de sa décision du 13 mai 2014^[1], la Cour de Justice de l’Union Européenne (CJUE) permet aux particuliers d’obtenir directement de l’exploitant d’un moteur de recherche tel que Google, sous certaines conditions, la suppression des liens vers des pages Internet comportant des données personnelles les concernant.

En 2010, Monsieur Mario Costeja González, de nationalité espagnole, a introduit auprès de l’Agencia Española de Protección de Datos (Agence espagnole de protection des données, AEPD) une action à l’encontre de La Vanguardia Ediciones SL (éditeur d’un quotidien largement diffusé en Espagne, notamment dans la région de Catalogne) ainsi qu’à l’encontre de Google Spain et de Google Inc.

Monsieur Costeja González faisait valoir que, lorsqu’un internaute saisissait son nom dans le moteur de recherche Google, la liste de résultats affichait des liens vers deux pages du quotidien de La Vanguardia, datées de janvier et mars 1998. Ces pages annonçaient notamment une vente aux enchères immobilière organisée à la suite d’une saisie destinée à recouvrer les dettes de sécurité sociale dues, à l’époque, par Monsieur Costeja González.

Monsieur Costeja González demandait que La Vanguardia soit condamnée à supprimer ou modifier les pages en cause afin que ses données personnelles n’y apparaissent plus.

En outre, Monsieur Costeja González demandait qu’il soit ordonné à Google Spain ou à Google Inc. de supprimer de la liste de résultats apparaissant sur saisine de son nom dans le moteur de recherche Google, les liens qui renvoyaient vers les pages web de La Vanguardia contenant ses données personnelles.

Monsieur Costeja González affirmait que la saisie immobilière dont il avait fait l’objet avait été entièrement réglée depuis plusieurs années et que la mention de celle-ci était désormais dépourvue de toute pertinence.

Afin de trancher le litige opposant Monsieur Costeja González à Google Spain et à Google Inc., la juridiction espagnole saisie, a adressé à la CJUE une série de questions préjudicielles^[2].

La juridiction espagnole demandait à la CJUE de l’éclairer sur la manière dont elle devait interpréter la directive 95/46 du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, dans le contexte de technologies internet qui sont apparues après la publication de cette Directive.

Dans son arrêt du 13 mai 2014, la CJUE a répondu à ces questions en apportant notamment les précisions suivantes.

L’article 12 b) de la Directive 95/46 impose aux Etats membres de garantir à toute personne concernée « le droit d’obtenir du responsable du traitement [de ses données à caractère personnel] (…) selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données ».

La CJUE a tout d’abord précisé que l’activité d’un moteur de recherche comme Google consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de «traitement de données à caractère personnel», au sens de la Directive 95/46, lorsque ces informations contiennent des données à caractère personnel et, d’autre part, l’exploitant de ce moteur de recherche doit être considéré comme le «responsable» dudit traitement, au sens de la Directive 95/46.

La CJUE a ensuite précisé qu’afin de respecter les droits prévus par la Directive 95/46 et notamment par l’article 12 b) précité, l’exploitant d’un moteur de recherche est, dans certaines conditions, obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne.

La Cour a précisé que cette obligation subsistait même dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément des pages web vers lesquelles l’internaute est dirigé, et ce, même lorsque leur publication sur lesdites pages est licite.

Enfin, interrogée sur la question de savoir si la directive permet à la personne concernée de demander que des liens vers des pages web soient supprimés d’une telle liste de résultats au motif qu’elle souhaiterait que les informations y figurant relatives à sa personne soient « oubliées » après un certain temps, la Cour relève que, s’il est constaté, suite à une demande de la personne concernée, que l’inclusion de ces liens dans la liste est, au moment de la demande de suppression, incompatible avec la directive, les informations et liens figurant dans cette liste doivent être effacés.

La Cour observe à cet égard que même un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible avec la directive lorsque, eu égard à l’ensemble des circonstances caractérisant le cas d’espèce, ces données apparaissent inadéquates, pas ou plus pertinentes ou excessives au regard des finalités pour lesquelles elles ont été traitées et du temps qui s’est écoulé.

Si tel est le cas, les liens vers des pages web contenant ces informations doivent être supprimés de cette liste de résultats, à moins qu’il existe des raisons particulières, telles que le rôle joué par cette personne dans la vie publique, justifiant un intérêt prépondérant du public à avoir, dans le cadre d’une telle recherche, accès à ces informations.

La Cour précise que la personne concernée peut adresser de telles demandes, sans avoir à prouver au préalable que la diffusion de ces informations lui cause un préjudice.

La CJUE a conclu au sujet de la situation particulière de Monsieur Costeja González que s’agissant d’une situation qui concerne l’affichage, dans la liste de résultats que l’internaute obtient en effectuant une recherche à partir du nom de la personne concernée à l’aide de Google Search, de liens vers des pages des archives en ligne d’un quotidien contenant des annonces mentionnant le nom de cette personne et se rapportant à une vente aux enchères immobilière liée à une saisie pratiquée aux fins du recouvrement de dettes en matière de sécurité sociale, il convient de considérer que, eu égard à la sensibilité des informations contenues dans ces annonces pour la vie privée de ladite personne et au fait que leur publication initiale avait été effectuée 16 ans auparavant, la personne concernée justifie d’un droit à ce que ces informations ne soient plus liées à son nom au moyen d’une telle liste.

Dès lors, la Cour a estimé que dans la mesure où il ne semble pas exister, en l’occurrence, de raisons particulières justifiant un intérêt prépondérant du public à avoir, dans le cadre d’une telle recherche, accès à ces informations, la personne concernée peut, en vertu de la directive 95/46, exiger, du moteur de recherche concerné, la suppression desdits liens de cette liste de résultats.

[1] Arrêt rendu dans l’affaire C-131/12 Google Spain SL, Google Inc. / Agencia Española de Protección de Datos, Mario Costeja González

[2] Le renvoi préjudiciel permet aux juridictions des États membres, dans le cadre d’un litige dont elles sont saisies, d’interroger la CJUE sur l’interprétation du droit de l’Union. La CJUE ne tranche pas le litige national. Il appartient ensuite à la juridiction nationale de résoudre l’affaire conformément aux réponses données par la CJUE.