Chacun connaît sans doute le long feuilleton qui oppose les autorités européennes à Google à propos du droit au déréférencement, improprement nommé "droit à l'oubli" dans les premiers temps.
Résumé des chapitres précédents
Le 13 mai 2014, la Cour de justice de l'Union européenne, répondant à une question préjudicielle des juges espagnols, rappelait que la directive sur le protection des données à caractère personnel devait s'appliquer pour tout ressortissant de l'Union européenne sur les moteurs de recherche, spécialement sur Google dont l'interface espagnole était en cause dans un contentieux noué outre-Pyrénées (notre actualité du 16 mai 2014).
La CJUE déclarait très clairement que la loi européenne s'appliquait — belle et classique application du droit international privé — et que le moteur de recherche Google pratiquait à l'évidence un "traitement de données à caractère personnel" en moulinant les données collectées sur le web mondial et les stockant dans sa base de données mondiale.
Une pomme de discorde absurde
Là où les choses ont mal tourné, c'est que Google a rapidement considéré que l'obligation de déréférencer les données personnelles de ressortissants européens en ayant fait la demande devait être limitée au seules interfaces Google au sein de l'Union européenne — auquel on ajoutera généreusement la Suisse qui adoptera les mêmes règles.
De sorte que, interrogeant Google.com au lieu de Google.fr, il était possible de retrouver les données personnelles indésirables (notre actualité du 17 juin 2014, dénonçant cette vision tronquée de l'arrêt de la CJUE).
Le conflit se noue
Une des étapes essentielles du feuilleton est la décision de la Cnil contestant l'analyse pour le moins myope de Google refusant de donner sa pleine application au déréférencement. Pour ce faire, la Cnil usa du seul raisonnement à nos yeux imparable : le moteur Google constitue une seule et unique base de données. Le fait que celle-ci soit accessibles par des plateformes locales diverses n'a aucune incidence sur la qualification de traitement de données unique et uniforme. En conséquence de quoi la Cnil considérait que le déréférencement devait être planétaire, effectif sur toutes les plateformes, y compris sur google.com.
C'est ainsi que le 24 mars 2016, la Cnil a condamné Google à 100 000 € de sanction pécuniaire pour non-respect de l'universalité du déréférencement (notre actualité du 29 mars 2016).
Dans une période intermédiaire, sous couvert de montrer sa bonne volonté, Google a décidé de faire en sorte que, quelle que soit l'interface interrogée (google.fr, google.com, etc.), le demandeur ne pourrait plus jamais voir les contenus dont il a demandé le déréférencement depuis son pays d'origine, un dispositif de localisation des internautes permettant ce filtrage. De sorte qu'un Français a aujourd'hui la certitude que les contenus déréférencés n'apparaissent plus en France, qu'on interroge google.fr, google.be, google.com ou toute autre interface.
Mais à l'inverse, le piège de cette offre apparemment généreuse, c'est que, d'un déréférencement dans tous les pays d'Europe jusque-là pratiqué par Google, on passait à un déréférencement dans UN SEUL PAYS… Suprême pied de nez du géant de Moutain View !
Une nouvelle question préjudicielle à la CJUE
C'est à la suite de ce contentieux que nous assistons.
Google ayant fait appel de la décision de la Cnil, c'est donc devant le Conseil d'État que le litige a été porté. Le 19 juillet dernier, le Conseil a rendu une décision réservant sa réponse "jusqu’à ce que la Cour de justice de l’Union européenne se soit prononcée". Il indique du même coup avoir saisi la CJUE d'une nouvelle question préjudicielle. Nouvelle, en effet puisque, dans un autre contentieux à propos d'autres refus de déréférencement de Google, le Conseil a déjà saisi la CJUE sur des questions touchant au droit au déréférencement (notre actualité du 10 mars dernier).
Cette fois, la question préjudicielle tient en trois volets dans lesquels on retrouve le questionnement sur les faits que nous avons rapportés ci-dessus (nous résumons ces questions) :
- Le droit au déréférencement tel que consacré par la CJUE dans son arrêt du 13 mai 2014 doit-il être interprété comme portant sur l'ensemble des interfaces du moteur de recherche "y compris hors du champ d’application territorial de la directive du 24 octobre 1995 ?"
- En cas de réponse négative à la première question, faut-il interpréter l'arrêt de la CJUE comme obligeant les moteurs de recherche :
- À déréférencer le contenu demandé uniquement sur l'interface nationale "correspondant à l’Etat où la demande est réputée avoir été effectuée" ;
- Ou bien à déréférencer le contenu sur toutes les interfaces "correspondent aux extensions nationales de ce moteur pour l’ensemble des États membres de l’Union européenne ?"
Dans le cas de cette dernière hypothèse, on en reviendrait à la première pratique de Google à la suite de l'arrêt du 13 mai 2014.
- En complément d'une réponse positive à l'une des deux branches de la question 2, faut-il considérer la technique dite du géo-blocage (dispositif permettant de localiser l'internaute et de l'empêcher d'accéder à un contenu déréférencé) comme ayant effet :
- Dans le seul pays du demandeur du déréférencement ;
- Dans tous les pays de l'Union européenne ?
Un enjeu fondamental
Une réponse positive à la question 1 donnerait raison à la Cnil, au G29 et — osons le dire — au bon sens. Précisons que cela semble bien être également le raisonnement suivi par le Conseil d'État (voir le résumé de la décision proposée dans le communiqué publié sur le site du Conseil lui-même).
Il semble en effet plus qu'évident qu'un moteur de recherche offre une base de résultats unique dans le monde entier, avec uniquement des pondérations ou sélections d'affichage des résultats en fonction des régions. Mais il ne semble pas douteux, en pure informatique, qu'il s'agisse d'un unique "traitement de données", de surcroît "à caractère personnel". Le seul fait que des filtres aient dû être mis en place pour parvenir à un déréférencement sélectif local est la preuve même qu'il s'agit d'une unique base de données et d'un unique traitement des données mondial.
La question n'est pas que théorique, il s'en faut de beaucoup.
Nous avons ainsi eu une cliente française pour laquelle nous avons obtenu — difficilement ! — le déréférencement en France de décisions judiciaires familiales d'un tribunal américain (les décisions de justice ne sont pas anonymisées aux USA, sauf cas exceptionnel). Ayant vécu aux États-Unis et y ayant gardé des contacts, elle n'apprécie absolument pas que sa vie familiale soit toujours étalée sur internet aux USA. Si le déréférencement était planétaire comme le soutient très logiquement la Cnil, cet état de fait n'arriverait pas. Et nous avons également d'autres clients dont la vie personnelle ou professionnelle ne se limite pas à la France ou à l'Union européenne et qui sont donc gênés par cette myopie de Google.
Bientôt une décision claire ?
Nous serons définitivement fixés vraisemblablement à l'automne, lorsque la CJUE aura tranché. Avant cela, une étape intermédiaire sera la publication des conclusions de l'avocat général devant la Cour, qui précède en général de quelques semaines la décision. Et en général, la Cour suit son avocat général (voir nos actualités du 22 novembre 2016 et du 20 juin dernier sur un tout autre sujet, à propos du registre ReLire).
En savoir plus
Voir la décision du Conseil d'État du 19 juillet dernier sur Légifrance :
https://www.legifrance.gouv.fr/affichJuriAdmin.do?&idTexte=CETATEXT000035245535
Voir également le Communiqué du Conseil d'État du 19 juillet sur son site :
http://www.conseil-etat.fr/Actualites/Communiques/Portee-territoriale-du-droit-au-dereferencement
Consulter toutes nos actualités relatives à ce feuilleton et plus largement au Droit au déréférencement.
