On les attendait depuis longtemps, les conclusions de l'avocat général devant la Cour de justice de l'Union européennes ont enfin été publiées pour les deux affaires dont nous avions déjà rappelé le long délai d'attente (notre actualité du 21 septembre dernier). Il s'agit de deux questions préjudicielles posées par le Conseil d'État à la Cour de justice dans le cadre de deux contentieux qui opposent Google et la Cnil, tantôt l'un face à l'autre, tantôt l'un aux côtés de l'autre :
- L'un porte sur le déréférencement portant sur des données sensibles, que nous allons examiner ici ;
- L'autre concerne la portée territoriale du déréférencement de données personnelles par un moteur de recherche, que nous traiterons ultérieurement.
Droit au déréférencement sur des données sensibles : Google et la Cnil avaient rejeté les demandes
Comme nous l'avions déjà exposé dans notre actualité du 10 mars 2017, 4 justiciables français avaient demandé au moteur Google le déréférencement de contenus les concernant et relevant des "données sensibles" visées à l'article 8 de la loi Informatique, fichiers et libertés, aujourd'hui prévues à l'article 9, 1 du RGPD. Google ayant refusé, ils avaient saisi la Cnil qui avait rejeté la demande, tranchant en faveur de l'intérêt du public dans la mise en balance entre le respect de la vie privée de la personne et l'intérêt du public – mise en balance conseillée par l'arrêt fondateur du droit au déréférencement de la CJUE du 13 mai 2014 (notre actualité du 16 mai 2014) –, les 4 personnes ont donc porté le litige en appel devant le Conseil d'État, lequel à saisi la CJUE de questions préjudicielles aux fins de savoir comment se comporter quant au déréférencement pour des données sensibles. Nous renvoyons à l'actualité du 10 mars 2017 précitée pour le détail des questions posées.
Les conclusions de l'avocat général Szpunar
Le 10 janvier dernier, l'avocat général près la Cour de justice a rendu ses conclusions dans ce litige, en même temps que dans l'autre, évoqué ci-dessus. Rappelons que la publication des conclusions de l'avocat général précède en général de quelques semaines l'arrêt de la Cour. Si elle suit en général ces conclusions, elle n'est pas juridiquement tenue de le faire. Des conclusions d'avocat général ont donc un sens fort qui font que les juristes s'y intéressent de près.
Comme d'habitude, le communiqué de presse de la CJUE synthétise remarquablement ces conclusions.
Répondant à la première des questions posées par le Conseil d'État :
"L’avocat général propose à la Cour de constater que l’interdiction faite aux autres responsables de traitement de traiter des données relevant de certaines catégories particulières s’applique aux activités de l’exploitant d’un moteur de recherche."
Sur la deuxième question :
"il indique que l’interdiction faite à l’exploitant d’un moteur de recherche de traiter des données sensibles l’oblige à faire systématiquement droit aux demandes de déréférencement qui portent sur des liens menant vers des pages Internet sur lesquelles figurent de telles données, sous réserve des exceptions prévues par la directive 95/46" (article 9, donnant les articles 67 de notre loi du 1978).
En synthèse
En d'autres termes, le principe proposé par l'avocat général est que dès que des données sensibles sont en jeu, l'exploitant d'un moteur de recherche doit systématiquement accepter de les déréférencer. Mais sans perdre de vue les quelques exceptions établies par les lois des États membres dans leur transposition de la directive de 1995.
N'oublions pas cependant que celle-ci est aujourd'hui remplacée par le RGPD, mais les faits soumis à la Cour ont eu lieu sous l'empire de l'ancienne législation européenne.
L'avis du spécialiste en e-réputation
Si la Cour suit les conclusions de l'avocat général, on progressera significativement dans le sens d'une plus grande protection des personnes physiques quant aux données sensibles les concernant sur les moteurs de recherche.
Ce serait un pas non négligeable de franchi, notamment aux yeux du juriste spécialisé en e-réputation et qui se sent souvent démuni face à la mauvaise volonté du moteur Google pour accéder à des demandes de déréférencement d'informations, notamment sur les opinions politiques ou religieuses passées de certains de nos clients.
Périmètre des données sensibles
Rappelons que par données dites sensibles, on entend celle qui, directement ou indirectement, font apparaître :
- Les origines éthiques ou raciales
- L'appartenance syndicale
- Les opinions politiques, philosophiques ou religieuses
- La santé et la vie sexuelle ou l'orientation sexuelle
- Et les données génétiques et biométriques (ajout du RGPD, article 9, 1)
Le droit d'opposition renforcé ?
Il est à noter que parmi les exceptions prévues en France, notamment pour les "activités journalistiques", l'article 67 de la loi de 1978 précitée n'exclut pas le droit d'opposition, ce qui en clair signifie que toute personne peut faire valoir son droit d'opposition, y compris auprès d'organes journalistiques (sites de presse, donc).
Pour approfondir
Voir le communiqué de presse de la Cour de justice, présentant ces conclusions – le tout premier de l'année 2019, le n°19/1 (pdf, 214 ko).
Voir le texte complet des conclusions de l'avocat général Szpunar sur EUR-Lex (Affaire C-136/17).
Nous nous pencherons très prochainement sur les conclusions du même avocat général dans l'autre question préjudicielle posée autour du litige opposant – cette fois-ci – Google à la Cnil.
