Droit au déréférencement : le Conseil d’État fait une requête à la CJUE

Les traitements de données à caractère personnel que Google réalise au travers de son moteur de recherche peuvent, compte tenu des espaces publicitaires que sa branche française y commercialise par ailleurs, être soumis à une sanction de la CNIL.

Ce raisonnement, le Conseil d’État l’établit dans une décision du 19 juillet 2017 relative au droit au déréférencement.

Les questions de compétence de l’autorité administrative française pour examiner les pratiques de la multinationale américaine ne sont pas l’objet principal de cette communication par laquelle les Sages sollicitent officiellement la Cour de justice de l’Union européenne.

Dans la lignée de l’avis rendu par la rapporteure publique Aurélie Bretonneau, il est demandé à la plus haute juridiction pour le droit de l’UE de se prononcer sur la portée géographique dudit droit au déréférencement, qu’elle a esquissé dans un arrêt du 13 mai 2014.

Cette décision jurisprudentielle était intervenue dans le cadre d’un contentieux opposant Google à un citoyen espagnol.

La CJUE avait considéré que toute personne pouvait, sous certaines conditions à concilier avec le droit à l’information du public et sous le contrôle de la justice, obtenir la désindexation de résultats apparaissant en cas de requête à partir de leur nom.

Traitement unique ?

Saisie par des internautes aux demandes desquels Google avait refusé d’accéder, la CNIL avait fini, en juin 2015, par mettre le groupe Internet en demeure, ayant constaté que les déréférencements n’étaient effectués que sur certaines extensions du moteur.

Affirmant que le service en question constitue « un traitement unique » et que ses extensions (.fr pour la France, .es pour l’Espagne…) ont simplement été créées pour s’adapter à la langue de chaque pays, l’autorité administrative chargée de la protection des données personnelles avait donné 15 jours à la firme pour rectifier le tir.

Après avoir prolongé à plusieurs reprises le délai accordé à Google pour se mettre en conformité, elle avait fini par lui infliger, le 10 mars 2016, une amende de 100 000 euros.

La firme de Mountain View avait interpellé le Conseil d’État pour demander une annulation de cette délibération, au nom d’une atteinte à la liberté d’expression… et d’une supposée incompétence de la CNIL pour sanctionner des traitements de données hors de son territoire.

Sur ce point, les Sages mettent en avant l’article 5 de la loi « Informatique et Libertés » du 6 janvier 1978.

Établissant les conditions selon lesquelles le responsable d’un traitement de données est considéré comme « établi sur le territoire français », le texte met en œuvre les dispositions de l’article 4, paragraphe 1, sous a) de la directive européenne 95/36 du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.

Pour le Conseil d’État, la CJUE a, dans son arrêt du 13 mai 2014, interprété ces dispositions dans le sens où l’exploitant d’un moteur de recherche est établi sur le territoire d’un État membre s’il y a ouvert une succursale ou une filiale « destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre ».

Liberté d’expression

Sur la portée du déréférencement, les Sages notent, au point 11 de leur décision, que « lorsque la recherche est effectuée depuis google.com, la société Google Inc. procède, en principe, à une redirection automatique de cette recherche vers le nom de domaine correspondant au pays à partir duquel cette recherche est, grâce à l’identification de l’adresse IP de l’internaute, réputée effectuée ».

Ils en déduisent qu’au regard de telles passerelles, le moteur doit être considéré comme un traitement de données à caractère personnel unique. D’autant plus qu’indépendamment de sa localisation, « il reste loisible à l’internaute d’effectuer ses recherches sur les autres [extensions] du moteur ».

C’est au nom de ce « traitement unique » que la CNIL demande une mise en application du droit au déréférencement sur l’ensemble des noms de domaine associés à Google Search.

Du côté de Google, on estime que l’arrêt CJUE n’implique pas un tel déréférencement sans limitation géographique. On suggère par ailleurs que la CNIL a « méconnu les principes de courtoisie et de non-ingérence reconnus par le droit international public » et « porté une atteinte disproportionnée aux libertés d’expression, d’information, de communication et de la presse » inscrites dans la Déclaration des droits de l’homme et du citoyen.

Règle de trois

Le Conseil d’État juge le dossier plus complexe, avec trois niveaux d’interprétation possibles, pour autant de questions posées à la CJUE.

En premier lieu, le déréférencement doit-il se faire sur l’ensemble des extensions du moteur, indépendamment du lieu à partir duquel la recherche est lancée ?

Dans la négative, l’exploitant du moteur est-il seulement tenu de déréférencer sur les extensions correspondant à l’État membre où la demande est réputée avoir été effectuée ou doit-il, plus largement, le faire sur les extensions de l’ensemble des États membres ?

Enfin, convient-il d’utiliser la technique du « géoblocage » – c’est-à-dire la désindexation de liens depuis une IP réputée localisée dans l’État de résidence de la personne qui a obtenu le déréférencement – ou bien la démarche doit-elle être accomplie auprès de tout internaute situé dans un État membre ?

La CJUE a été saisie, en parallèle, par quatre particuliers ayant échoué à obtenir un déréférencement.

Dans ce dossier, une décision était attendue pour le 2 février dernier, mais les Sages avaient décidé de se tourner vers la CJUE pour des éclairages. Notamment lorsque les pages concernées contiennent des informations sensibles (orientations sexuelles, opinions politiques ou religieuses…) ou relatives à des infractions, des condamnations ou des mesures de sûreté. A fortiori si ces informations figurent dans des articles de presse.