Navigation – Plan du site
2014
Juin

La CJUE, magicienne européenne du « droit à l’oubli » numérique

Protection des données personnelles (Union européenne)
Jean-Philippe Foegle

Résumé

Dans une très riche décision en date du 13 mai 2014, la Cour de Justice de l’Union Européenne a consacré l’existence d’une obligation pour les moteurs de recherche de supprimer, sur demande des internautes, les données liées à leur nom dans une liste de résultats affichée à la suite d’une recherche. Cette consécration du « droit à l’oubli » ou à l’ « effacement » numérique s’est faite au prix d’une interprétation particulièrement extensive de la directive 95/46/CE, offrant un effet quasi-extraterritorial au régime européen de protection des données personnelles. Ce « droit » embryonnaire, éminemment polémique, est le lieu d’une conciliation entre de multiples droits fondamentaux divergents. La CJUE a donc soumis son exercice effectif à de nombreuses conditions, posées comme autant de « gardes-fous » à d’éventuels abus dans l’usage de cette prérogative nouvelle des « cybercitoyens ».

Haut de page

Texte intégral

1La « révolution numérique », en ce qu’elle permet l’émergence d’une éthique de la circulation de la parole1, offre un puissant instrument de promotion de la transparence démocratique. Mais celle-ci crée également, faute pour les pouvoirs publics de s'être dotés d'instruments conceptuels adéquats pour l'appréhender, de nouveaux défis pour les droits de l'homme, préparant, par la rétention tous azimuts des données personnelles, l’avènement potentiel d’une société de la surveillance. D'où l'émergence croissante d'une réflexion sur la nécessité de penser un nouveau droit, intrinsèquement lié à ce contexte technologique renouvelé : le droit à l'oubli numérique2 pour concilier vie privée et cyberspace.

  • 3 Sur les aspects conceptuels de cette notion, voir : Libertés économiques et Droits de l'Homme, D. L (...)
  • 4 Jean Tillinac. « Le Web 2.0 ou l'avènement du client ouvrier », Quaderni, 60.1, 2006, pp. 19-24.
  • 5 Plus précisément, Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relat (...)

2Cette conciliation se dédouble en une conciliation entre droits fondamentaux et libertés économiques3 : la collecte d'informations personnelles par les intermédiaires de la société de l'information est intrinsèquement lié à un modèle économique générant, chaque années, des profits s'élevant à des milliards d'euros4. Or, les outils juridique actuels apparaissent particulièrement désuets et inadaptés pour faire face à ces enjeux pressants. Malgré une large consolidation de la législation en la matière, le texte européen le plus complet et le plus large d’application - la directive 95/46/CE5 -, date d’une époque où le réseau internet n’en était qu’à ses balbutiements.

  • 6 Il s'agit d'un organe consultatif indépendant sur la protection des données et la vie privée, insti (...)
  • 7 Sophie Nerbonne, « Le Groupe de l'article 29 », LEGICOM 1, 2009, pp. 37-46.

3Certes, la question de la protection des données personnelles a été de longue date inscrite à l’ordre du jour des institutions européennes : après le règlement (CE) no 45/2001 sur le traitement des données, a été publiée une directive 2002/58/CE (modifiée en 2009) sur la vie privée et les communications électroniques puis une directive 2006/24/CE sur la conservation des données. L'ensemble de ces efforts législatifs s'est en outre doublé de la mise en place d'une politique publique cohérente en la matière. A ce titre, le groupe de travail « Article 29 »6 a, par ses avis et recommandations, largement contribué à construire un cadre juridique et conceptuel à même de faire face aux enjeux liés aux nouvelles technologies7.

4Les facteurs les plus puissants d'évolution s'inscrivent toutefois dans le cadre du processus de création d'une charte des droits fondamentaux, doublé de la démarche quasi-constitutionnelle – particulièrement remarquée dans la saga des arrêts « Kadi »8 – du juge de l’Union en matière de protection des droits fondamentaux. La Charte des droits fondamentaux de l'Union Européenne comporte en effet, désormais un article 8 spécifiquement dédié à la « protection des données personnelles », se référant – dans les explications sur la charte9 - directement à la directive 2005/46/CE ainsi qu'à la convention no 108 du Conseil de l'Europe du 28 janvier 1981 et à la jurisprudence issue de l'article 8 de la convention européenne de sauvegarde des droits de l'homme10.

5Cette nouvelle donne juridique a pu sembler offrir, aux yeux de certains chercheurs, un appui « constitutionnel » au droit à la protection des données personnelles11. Intervenant peu après l’affaire Digital Rights Ireland Ltd § Michael Seitlinger e.a du 8 avril 201412 et s’inscrivant dans le cadre d’une refonte programmée de la directive 95/46/CE dans le sens d’une consécration du « droit à l’oubli »13, l'arrêt Google Spain relève manifestement de cette démarche juridictionnelle.

6Dans l’affaire commentée, un citoyen Espagnol , M. Costeja González, de nationalité espagnole, avait introduit auprès de l’Agencia Espagnola de Proteccion de los Datos (AEPD) une réclamation à l’encontre d’un quotidien de grande diffusion ainsi qu’à l’encontre de Google Spain et de Google Inc.. M. Costeja Gonzalez demandait notamment que soit ordonné à Google Spain ou à Google Inc. de supprimer ou d’occulter ses données personnelles afin qu’elles cessent d’apparaître dans les résultats de recherche. L’AEPD ayant fait droit aux prétentions du requérant, Google Spain et Google Inc. ont par la suite introduit deux recours séparés contre ladite décision devant l’Audiencia Nacional. La juridiction a sursis à statuer et saisi la Cour de Justice de l’Union Européenne à titre préjudiciel des d’une série de questions relatives à l’interprétation conjointe de la directive 95/46/CE et des articles 7 et 8 de la Charte des droits fondamentaux.

7Les deux premières questions posées concernaient l’application rationae materiae et rationae personae de la directive 95/46/CE. L’activité d’un moteur de recherche en tant que fournisseur de contenu constitue-t-elle un « traitement de données » au sens de la directive et, dans cette hypothèse, l’exploitant du moteur de recherche peut-il être considéré comme le « responsable » dudit traitement ? Ce traitement de données est-il alors réalisé « dans le cadre » des activités de l’exploitant du moteur de recherche lorsque celui-ci crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur en direction des habitants de cet Etat-membre ? L’autre série de questions concernait, cette fois-ci, l'existence et la portée d'un éventuel « droit à l'oubli » numérique. L’exploitant d’un moteur de recherche est-il obligé de supprimer de la liste de résultats des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, y compris lorsque leur publication en elle-même sur lesdites pages est licite ?

8Répondant par l’affirmative à ces trois séries de questions, les juges du plateau de Kirchberg rendent, ce faisant, une décision retentissante, amenée à redéfinir les contours du régime européen de protection des données.

9D'une part, la Cour fait l’effort d’interpréter la directive 95/46 de manière large et extensive, afin de contourner la contrainte juridique que constituait la possible inapplicabilité des garanties issues de la Charte des droits fondamentaux. Implicitement mais nécessairement, cette interprétation de la directive conduit à une « récriture » de cette directive, dont le champ d’application est, encore une fois, élargi (1°). Affirmation de souveraineté juridictionnelle d’autre part, car la Cour, s’appuyant de manière prétorienne sur la légitimité « constitutionnelle » de la Charte des droits fondamentaux et devançant – voire en court-circuitant ? – le législateur européen, pose les premières bases d’un droit émergent, opposable aux acteurs de l'économique numérique : le « droit à l'oubli ». (2°)

10Avant de pouvoir se prononcer sur l'existence ou l'inexistence d'un « droit à l'oubli » numérique, encore fallait-il, pour la Cour, passer outre un obstacle juridique de taille : celui de l'inapplicabilité de la Charte des droits fondamentaux de l'Union en dehors de la compétence matérielle et territoriale des politiques de l'Union, conséquence logique de l’article 52§4 du Traité sur le Fonctionnement de l’Union européenne. Il fallait donc pouvoir, préalablement, juger la directive 95/46/CE applicable au litige. Or, le libellé de la directive, adopté avant la fourniture à grande échelle de services en ligne sur l’Internet n'est « ni cohérent ni complet ». C'est donc à un effort créatif d'interprétation du texte que la Cour s'est attelée, en procédant à une véritable réécriture de la directive pour permettre son applicabilité territoriale et matérielle. La garantie des droits fondamentaux des citoyens valait bien, sans doute, une (grand-)messe contentieuse.

1°/- Une extension radicale de la portée matérielle et territoriale de la « Lex europeana » en matière de protection des données personnelles.

11En vertu de l’article 4, paragraphe 1, de la directive 95/46/CE, l’applicabilité territoriale de la législation nationale en matière de protection des données est conditionnée à deux critères alternatifs. Le traitement des données à caractère personnel doit être effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de l’État membre ou, lorsqu’un responsable du traitement n’est pas établi sur le territoire de l’Union européenne, recourir à des « moyens » de traitement de données à caractère personnel situés sur le territoire de l’État membre. Comme le souligne le G29, « ni la nationalité ou le lieu de résidence habituelle des personnes concernées, ni la localisation physique des données à caractère personnel, ne sont déterminants à cet égard », étant entendu que « la notion d’« equipment » figurant dans la version anglaise de la directive est exprimée dans les autres versions linguistiques, notamment le texte en langue française, par le terme « moyens » (« means » en anglais), » d’où la nécessité de « donner une interprétation large à cette notion. » (Avis 8/2010 sur le droit applicable, WP 179, 16 décembre 2010) pour éviter l'« effet d'aubaine » que constituerait une trop grand formalisme dans l'application matérielle des lois Peut-on considérer qu'un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur ?

12Soulignant par une forme d'« obiter dictum » que « l’objectif de la directive 95/46 d’assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques » ne peut se concilier avec une interprétation restrictive de celle-ci. Une telle interprétation irait en effet à l'encontre des considérants 18 à 20 et de l’article 4 de la directive 95/46 en « permettant qu’une personne soit exclue de la protection garantie par celle-ci et que cette protection soit contournée » (Arrêt commenté, §53 et 54). La Cour répond donc par l'affirmative à la question posée, rejoignant ainsi les conclusions de l'avocat général sur ce point. Comme le soulignait celui-ci, la Cour devrait aborder la question de l’applicabilité territoriale « du point de vue du modèle économique des prestataires de services de moteur de recherche sur Internet ». Or, ce modèle « repose normalement sur la publicité par mots clés, qui constitue la source de revenus et qui, en tant que telle, est la raison d’être économique de la fourniture d’un outil gratuit de localisation d’informations sous la forme d’un moteur de recherche » (Conclusions de l'avocat général M. Niilo Jääskinen, présentées le 25 juin 2013, § 64).

13L’entité en charge de la publicité par mots clés - ici Google Spain - constituerait nécessairement un établissement au sens de l’article 4, paragraphe 1, sous a), de la directive en raison du lien structurel la liant à l'activité du moteur de recherche, dont la rentabilité économique ne peut reposer que sur le modèle de la publicité par mots-clés14. La Cour a repris, tel quelle, cette position. Considérant que « dans de telles circonstances, les activités de l’exploitant du moteur de recherche et celles de son établissement situé dans l’État membre concerné sont indissociablement liées ». Indissociablement liées, dès lors que « les activités relatives aux espaces publicitaires constituent le moyen pour rendre le moteur de recherche en cause économiquement rentable » tandis que « ce moteur est, en même temps, le moyen permettant l’accomplissement de ces activités. » (Arrêt étudié, §56). De ce point de vue, tous les acteurs de l’économie numérique faisant appel à ce type de modèle économique pourraient, à l’avenir, se voir soumis à la « lex europeana » en matière de protection de données15.

  • 16 CJUE, 6 novembre 2003, Lindqvist, aff. C‑101/01, Rec. p. I‑12971, § 25 à 27.

14La seconde question posée à la Cour par la juridiction de renvoi touchait à l'activité même des moteurs de recherche sur Internet. Plus précisément l'activité consistant à chercher, indexer puis mettre en ligne des contenus publiés de manière légale par des tiers sur des éditeurs de site web constitue-t-elle un « traitement de données à caractère personnel » au sens de l'article 2, sous b) et d), de la directive 95/46/CE ? Dans cette hypothèse, l'exploitant du moteur de recherche peut-il être à bon droit désigné comme le « responsable du traitement » de ces données ? Comme le soulignait l'avocat général Niilo Jääskinen dans ses conclusions, « il n'[était] pas nécessaire de se lancer dans une longue discussion pour apporter une réponse positive à cette question » (Concl. précitées, §71) s’agissant des éditeurs de site web : la Cour, mais également le G29, avaient d'ores et déjà répondu de manière affirmative à cette question. Dans son arrêt « Lindqvist », la Cour avait ainsi jugé, s’agissant des éditeurs de contenus web que « l’opération consistant à faire figurer, sur une page Internet, des données à caractère personnel est à considérer comme un [traitement de données à caractère personnel] »16. Mais qu’en est-il des moteurs de recherche, qui, par définition, n’éditent pas de contenus, mais se contentent d’indexer et de ceux-ci sans faire distinguer entre les données à caractère personnel et celles qui ne présentent pas ce caractère ?

15A l’inverse de son avocat général, la Cour n'a pas eu difficulté à étendre la solution de l'arrêt « Lindqvist » aux moteurs de recherche. Celle-ci a constaté que les opérations effectuée par Google « doivent être qualifiées de « traitement » au sens de cette disposition, sans qu’il importe que l’exploitant du moteur de recherche applique les mêmes opérations également à d’autres types d’information et ne distingue pas entre celles-ci et les données à caractère personnel. » (Arrêt commenté, § 28). Le fait que ces données aient déjà fait l’objet d’une publication sur Internet et ne soient pas modifiées par ce moteur de recherches importait peu à cet égard : la Cour avait d'ores et déjà jugé dans son arrêt Satakunnan Markkinapörssi et Satamedia17 que ces dernières devaient être considérées comme des données à caractère personnel « également dans l’hypothèse où elles concernent exclusivement des informations déjà publiées telles quelles dans les médias »18. La solution adoptée par la Cour correspond en outre presque mot pour mot à celle du G29, qui rappelait qu’ « il n’est pas nécessaire, pour que ces informations soient considérées comme données à caractère personnel, qu’elles soient contenues dans une base de données ou un fichier structurés » (G29, Avis 4/2007 sur le concept de données à caractère personnel, WP 136 p. 8).

16Utiliser ce type d'interprétation large de la directive afin de considérer Google comme le « responsable du traitement » a, en revanche, posé de plus délicats problèmes. L'avocat général dans cette affaire considérait notamment que « les contenus de la mémoire cache des moteurs de recherche sur Internet ne peuvent être considérés comme relevant du contrôle du fournisseur de services », puisque « le cache résulte de processus entièrement techniques et automatisés, produisant une image miroir des données textuelles des pages web explorées, à l’exception des données exclues de l’indexation et de l’archivage » (Concl. précitées, §92). Plus précisément, reprenant à son compte l'interprétation faite par le G2919, M. Jääskinen estimait que le responsable du traitement doit savoir « ce qu’il fait au sujet des données à caractère personnel concernées », et à ce titre, être « conscient de la nature des données à caractère personnel qu’il traite et des raisons pour lesquelles il les traite » (Concl. précitées, § 83).

17Faute pour les moteurs de recherches d'avoir un réel contrôle sur les données à caractère personnel figurant sur les pages web de tiers et d'être « conscients » de l’existence de données à caractère personnel au sein des données collectées, ceux-ci ne pourraient être considérés comme responsables de ces traitements. Au surplus, comme le soulignait l'avocat général en citant un avis du G29, « [l]e principe de proportionnalité veut que, lorsqu’un fournisseur de moteur de recherche agit exclusivement en tant qu’intermédiaire, il ne soit pas considéré comme le principal responsable du traitement des données à caractère personnel effectué. Dans ce cas, les responsables principaux sont les fournisseurs d’informations »20. Une interprétation trop large de la directive supposerait en outre que « les moteurs de recherche sur Internet sont incompatibles avec le droit de l’Union » (Concl. précitées, § 90).

18Constatant qu'une définition large de la notion de « responsable » permet d'assurer « une protection efficace et complète des personnes concernées » (Arrêt commenté, §34), la Cour estime qu'il n'y a pas lieu d'exclure de celle-ci l’exploitant d’un moteur de recherche au seul motif qu’il n’exerce pas de contrôle sur les données à caractère personnel publiées. En effet, le fait que cette activité des moteurs de recherche « joue un rôle décisif dans la diffusion globale desdites données en ce qu’elle rend celles-ci accessibles à tout internaute effectuant une recherche à partir du nom de la personne concernée » tandis que l’organisation et l’agrégation des informations publiées sur Internet effectuées par les moteurs de recherche peut permettre « d’établir un profil plus ou moins détaillé de la personne concernée ».

19En ce qu’ils démultiplient les possibilités d’accès et d’interconnexion des données produites par les éditeurs des sites web, les moteurs de recherche affectent bien de manière « additionnelle » le droit fondamental à la protection des données personnelles. Or, comme le soulignait l’avocat général, une interprétation aussi large des notions de « responsable du traitement » n’avait rien d’évident, et constituerait presque une interprétation contra legem de la directive (Concl. Précitées, §84-90). En vue de permettre l’applicabilité de la Charte des droits fondamentaux de l’Union européenne, la Cour en vient donc, bon an mal an, à procéder à une véritable réécriture de la directive 95/46/CE, jusqu’à vider de leur substance les dispositions « techniques » de celle-ci. En témoigne le rappel constant de « l’objectif de la directive 95/46 d’assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques » et la référence récurrente au préambule de cette directive qui en indique les grands objectifs, tous deux lus à la lumières des articles 7 et 8 de la Charte des droits fondamentaux.

20En ce sens, l’arrêt contribue à une redistribution de la normativité au sein même de la directive 95/46/CE : ce ne sont plus, en tant que telles, les dispositions précises de celle-ci qui en constituent le cœur, mais le préambule – théoriquement non normatif – et l’article 1er (« objet de la directive », interprétés par les juges à la lumière de la charte des droits fondamentaux de l’Union Européenne. Corollaire immédiat de cette redistribution : la « constitutionnalisation » croissante du régime européen de protection des données personnelles d’une part ; le pouvoir quasi-souverain de la CJUE s’agissant de la définition concrète de ce régime, d’autre part.

*

21L'obstacle du libellé de la directive de 1995 ayant été levé, la voie semblait libre, et le moment propice pour consacrer, d’un coup de baguette magique, le très attendu « droit à l'oubli numérique ». Mais quel oubli, pour quelles personnes, sous quelles conditions ? Est-ce un véritable droit ou un simple « outil de conciliation » de droits fondamentaux divergents ?

*

2°/- Une prudente consécration du « droit à l'oubli numérique » en forme d’exercice de funambulisme juridictionnel

22Comme le faisait valoir l’avocat général dans ses (riches) conclusions, la question d’une éventuelle reconnaissance du droit à l’oubli numérique posait en réalité deux questions distinctes. La première concernait le fait de savoir si l’article 12, sous b) prévoyant droit d’obtenir l’effacement et le verrouillage des données, et le droit d’opposition, prévu à l’article 14, sous a), de la directive, permettent aux personnes de s’adresser directement aux exploitants des moteurs de recherche pour demander l’effacement de données les concernant. Dans le cas contraire, il s’agissait dans un second temps d’examiner la compatibilité d’une telle interprétation de la directive au regard des articles 7 et 8 de la Charte des droits fondamentaux, mais également de l’article 11 (liberté d’expression) et de l’article 16 de cette même Charte.

  • 21 CJUE, 29 janvier 2008, Promusicae, Aff. C‑275/06, Rec. p. I‑271, § 68.
  • 22 CJUE, 18 juin 1991, ERT, C-260/89, Rec. p. I-2925, § 41.
  • 23 CJUE, 24 novembre 2011, ASNEF et FECEMD, Aff. C‑468/10 et C‑469/10, § 38 et 40.
  • 24 CJCE, 20 mai 2003, Österreichischer Rundfunk e.a. , Aff. C-465/00, § 91.

23Le raisonnement tenu par la Cour et son avocat se placent d’emblée sur le terrain de la conciliation de différents droits fondamentaux. Soulignant la nécessité de se fonder sur une interprétation de la directive 95/46/CE permettant d’assurer un juste équilibre entre les différents droits et libertés fondamentaux protégés par l’ordre juridique de l’Union21 dans lequel le droit à la vie privée garantit par la Convention européenne des droits de l’homme revêt une signification particulière22, la Cour comme l’avocat général reprennent à leur compte l’interprétation déjà dégagée dans un arrêt du 24 novembre 201123. Selon cette interprétation, tout traitement de données doit « être conforme aux principes relatifs à la qualité des données énoncés à l’article 6 de cette directive et, d’autre part, répondre à l’un des principes relatifs à la légitimation des traitements de données énumérés à l’article 7 de ladite directive ». Surtout, un traitement de données de ce type doit se concilier avec les « intérêts légitimes » dont bénéficient les personnes visées par le traitement, principalement le droit à la vie privée. Ce type de traitement doit en outre être « proportionné » : à cet égard, au regard de la jurisprudence de la Cour, en cas d’incompatibilité avec l'article 8 de la Convention européenne des droits de l’homme, « l'exigence de proportionnalité énoncée aux articles 6, paragraphe 1, sous c), et 7, sous c) ou e), de la directive 95/46. » et serait, en tout état de cause, illégale24.

24Or, tant la jurisprudence de la Cour européenne25 que celle de la CJUE26 considèrent que les limitations susceptibles d’être légitimement apportées au droit à la protection des données à caractère personnel, correspondent à celles tolérées dans le cadre de l’article 8 de la CEDH. Ces intérêts se heurtent toutefois tant aux intérêts légitimes d’autres acteurs de la société numérique. Le droit de l’internaute à recevoir et à communiquer des informations mises à disposition sur l’Internet est protégé par l’article 11 de la Charte27. De manière plus curieuse et plus contestable28, l’exploitant du moteur de recherche bénéficie également du droit à la liberté d’expression en sus du droit à la liberté d’entreprendre29.

25Plus largement, c’est le droit fondamental du public à recevoir des informations, reconnu de manière croissante par la Cour européenne des droits de l’homme30 qui est en cause. L‘avocat général souligne à cet égard que « le droit de rechercher des informations publiées sur Internet en recourant à des moteurs de recherche constitue l’un des moyens les plus importants d’exercer ce droit fondamental ». A ce titre la Cour européenne des droits de l’homme a estimé que « la mise à disposition d’archives sur Internet contribue grandement à la préservation et à l’accessibilité de l’actualité et des informations » (Cour EDH, 10 mars 2009, Times Newspapers Ltd c. Royaume-Uni, Req. nos 3002/03 et 23676/03, § 45). Au vu de « la constellation particulièrement complexe et difficile de droits fondamentaux » que présentait l’affaire, l’avocat général avait estimé que cet enchevêtrement ne pouvait que faire obstacle à la consécration d’un « droit à l’oubli », qui « obligerait à sacrifier des droits essentiels, tels que la liberté d’expression et d’information » (Concl. Précitées, § 133).

26La Cour, dans son arrêt, trouve une toute autre solution à cette situation de conflits de droits prenant à nouveau l’idée – qui transparaissait dans l’arrêt Edate advertising – selon laquelle l’activité des moteurs de recherche conduit à conférer aux données un caractère « ubiquitaire », celles-ci pouvant alors être consultées « instantanément par un nombre indéfini d’internautes partout dans le monde, indépendamment de toute intention de leur émetteur visant à leur consultation au-delà de son État membre d’établissement et en dehors de son contrôle »31. De ce point de vue, sans que la responsabilité des éditeurs de contenu ne soit ignorée, la Cour constate que l’activité « affecte de manière additionnelle les droits fondamentaux de la personne concernée ». Partant, celle-ci est « susceptible de constituer une ingérence plus importante dans le droit fondamental au respect de la vie privée de la personne concernée que la publication par l’éditeur de cette page web ». Par conséquent, la gravité potentielle de cette ingérence exclut que l’absence de consécration d’un « droit à l’oubli » puisse être justifiée « par le seul intérêt économique de l’exploitant d’un tel moteur dans ce traitement ». La Cour en conclut donc que « l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne » (Arrêt commenté, § 100). Cette obligation positive – ce point est remarquable – doit primer « non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à trouver ladite information lors d’une recherche portant sur le nom de cette personne » (§ 97).

27Au surplus, le raisonnement tenu par la Cour laisse fort à penser que le « droit à l’oubli » ne constitue pas une simple extension des protections accordées par le droit fondamental à la liberté d’expression, mais bien un « droit » reconnaissant en tant que telle une préférence subjective des internautes. En effet, là où l’avocat général soulignait qu’« une préférence subjective ne constitue pas un motif légitime prépondérant au sens de l’article 14, sous a), de la directiv » (Concl.précitées, § 108), la Cour indique au contraire que la personne concernée dispose d’« un droit à ce que l’information en question relative à sa personne ne soit plus […] liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom », sans pour autant que cela présuppose que « l’inclusion de l’information en question dans cette liste cause un préjudice à cette personne » (Arrêt commenté, §99). La simple référence à l’expression « droit à » et l’absence d’exigence d’un préjudice causé à la personne concernée indique que nous sommes ici en présence d’une forme embryonnaire de « droit » et que la solution apportée par la Cour à cette question ne constitue pas la simple conséquence casuistique d’un constat de violation des principes de finalité et de proportionnalité prévus par la directive 95/46/CE.

28Trois éléments plaident en la faveur de la « juridicité » de ce « droit » (ou à tout le moins de cette « sous-branche » du droit à la protection des données personnelles). Premièrement, l’existence d’un débiteur précisément identifié, les exploitants des moteurs de recherche. Deuxièmement, la quasi-automaticité de la primauté de ce « droit » à l’effacement des données sur les intérêts économiques des moteurs de recherche : ce « droit » n’est donc pas la simple conséquence isolée de la résolution d’un conflit d’intérêts divergents, mais pourrait à nouveau être consacré dans d’autres hypothèses dès lors que les conditions d’existence du « droit à l’effacement » numérique apparaissent. Troisièmement et dernièrement, enfin, le fait que ne soit requis ni l’exigence d’un préjudice, ni celle de l’illicéité du traitement de données, ce qui indique bien qu’il s’agit de la reconnaissance d’une préférence subjective des internautes. Cette consécration juridictionnelle en demi-teinte d’une telle préférence des utilisateurs des moteurs de recherche semble faire passer le « droit à l’oubli » d’une simple prétention ontologique à un véritable « droit » embryonnaire.

29La position de la Cour semble, implicitement mais (presque) nécessairement, rejoindre ce que le professeur Hildebrant décrit comme un mouvement d’affirmation de la protection des données personnelles comme protection de l’« identité » des personnes, qui s’entendrait de manière croissante comme une forme de droit à l’auto-détermination de la personnalité numérique des sujets de droit32. Les juges de Strasbourg ont en effet partiellement consacré , au nom du respect de la vie privée et familiale, un droit conditionnel à faire supprimer des données personnelles de fichiers publics33, et de manière plus topique, le droit de transsexuels à faire modifier leurs « données sexuelles personnelles »34. C’est bien ici, semble-t-il, la possibilité d’assigner malgré-lui à l’individu une « identité » numérique sans son consentement qui a déterminé la Cour, celle-ci soulignant que les internautes seraient susceptibles d’avoir accès à « une multitude d’aspects de [la] vie privée et qui, sans ledit moteur de recherche, n’auraient pas ou seulement que très difficilement pu être interconnectées », avec pour conséquence de permettre « l’établissement d’ un profil plus ou moins détaillé » des internautes (Arrêt commenté, § 80).

  • 35 CJUE,18 mars 2010, Alassini e.a., Aff. C‑317/08 à C‑320/08, Rec. p. I‑2213, § 63.

30Reconnaissant le « droit à l’oubli » en tant que forme d’autodétermination numérique, la Cour n’en a pas pour autant une conception absolutiste. Etant entendu que les droits fondamentaux n’ont jamais constitué, pour la Cour, des prérogatives absolues35, celle-ci entoure l’exercice du droit à l’oubli numérique d’un certain nombre de « garde-fous » conciliant implicitement ce « droit » nouveau avec d’autres droits fondamentaux. Premièrement, en considérant que le droit à l’effacement de données nait de leur inexactitude ou du fait « qu’elles ne sont pas mises à jour ou qu’elles sont conservées pendant une durée excédant celle nécessaire » (Arrêt commenté §92), la Cour introduit deux « gardes fous » : celui d’un temps de conservation déraisonnable des données et/ou, à défaut, leur inexactitude. De surcroît, la cour semble indiquer que ces données doivent présenter un caractère suffisant de « sensibilité » (Arrêt commenté, § 98).

31En second lieu, considérant que la première démarche du juge consiste à examiner « si la personne concernée a un droit à ce que l’information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom », la Cour précise que « tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question » (Arrêt commenté, § 97). Certes, la Cour n’indique pas précisément quelles sont les « raisons particulières » qui pourraient permettre de priver une personne du bénéfice du « droit à l’oubli ». Toutefois, les limitations susceptibles d’être légitimement apportées au droit à la protection des données à caractère personnel correspondant à celles tolérées dans le cadre de l’article 8 de la Convention européenne des droits de l’homme, la jurisprudence relative à cet article peut apporter, en partie, des réponses partielles à ces questions. Rappelons à ce titre que la Cour européenne considère que si une personne privée peut prétendre à une protection particulière de son droit à la vie privée, il n’en va pas de même des personnes publiques de manière générale36, et en particulier des hommes politiques37. Et, si le droit du public d’être informé peut porter sur des aspects de la vie privée de personnalités politiques, ces publications ne doivent pas rapportent exclusivement à des détails de leur vie privée38.

*

* *

32Consacrant le « droit à l’oubli » des utilisateurs des moteurs de recherche, la Cour de Justice réalise par l’arrêt du 13 mai 2014 un véritable tour de force, et en premier lieu celui de faire croire à l’existence réelle des droits fondamentaux au sein du cyberespace. En lisant l’arrêt, en effet, l’on en viendrait presque à croire que le principal obstacle à la protection des données n’est pas la relative absence des droits fondamentaux des cybercitoyens, mais au contraire, leur surabondance. Or, l’effectivité de ceux-ci apparaît pour le moins problématique.

  • 39 L. Lessig, Code and Other Laws of Cyberspace, New York, Basic Books, 1999, p. 213.

33Au-delà, la démarche de la Cour de Justice de l’Union Européenne apparaît doublement teintée de pragmatisme juridictionnel et d’affirmation de souveraineté juridictionnelle. Pragmatisme juridictionnel tout d’abord, car le juge de l'Union, contourne par un effort adaptatif les contraintes juridiques découlant du libellé quelque peut désuet de la directive 95/46/CE, en interprétant le droit à la lumière d'une situation factuelle nouvelle, celle d'un contexte technique intervenu postérieurement aux textes applicables. Cette démarche souple conduit la Cour à « réécrire » la directive. Affirmation de souveraineté juridictionnelle, ensuite. Poursuivant ce que certains auteurs ont pu désigner sous le terme de « constitutionnalisme transformatif »39, la Cour affirme clairement sa souveraineté sur plusieurs plans. Sur le plan territorial tout d’abord, en retenant une conception extrêmement large de sa compétence : au-delà du symbole que constitue « Google », c’est, sans doute, le marché Nord-Américain – et donc, la législation nord-américaine en matière de protection des données – qui semble se trouver sous le feu des critiques de la Cour.

  • 40 Voir, sur ces jeux de pouvoirs : Antoine Vauchez, Démocratiser l’Europe, La République des idées, P (...)

34D’une certaine manière, la Cour confère à sa propre jurisprudence un effet « extraterritorial » au sens strict et même, plus largement, dans un sens plus théorique, le cyberspace étant par excellence le lieu de la « déterritorialisation » du droit. Surtout, de manière plus substantielle, la Cour, devançant les réflexions actuellement menées par le législateur européen, semble imposer de manière prétorienne « sa » vision du « droit à l’oubli », et plus largement « sa » vision l’arrêt commenté contribue ainsi, une fois de plus, à une redistribution des cartes du jeu politique européen en faveur des juges de Luxembourg40. Toutes proportions gardées, cette redistribution normative confirme la « constitutionnalisation » croissante du régime européen de protection des données personnelles d’une part ; le pouvoir quasi-souverain de la CJUE s’agissant de la définition concrète de ce régime, d’autre part.

35Si cette décision contribue indéniablement à faire du cyberspace une zone de droits, gageons qu’elle se trouvera très rapidement au cœur de tensions transatlantiques. En effet, en raison notamment de la conception très large du « droit à l’information du public » qui prévaut aux Etats-Unis41, une éventuelle consécration européenne du « droit à l’oubli » a fait, dès 2010, l’objet de critiques acerbes de la part de la doctrine Nord-Américaine42. Sans doute est-ce un signe une fois de plus que le mouvement d’harmonisation et d’ordonnancement des ordres juridiques par la « magie » des droits fondamentaux n’a rien d’évident, ni de naturel, et révèle des enjeux profondément, irrémédiablement politiques.

*

36CJUE, Grande Chambre, 13 mai 2014, Google Spain SL et Google Inc. c. Agencia Española de Protección de Datos et Mario Costeja González, Aff. C-131/12 – Communiqué de presse

*

Les Lettres « Actualités Droits-Libertés » (ADL) du CREDOF (pour s’y abonner) sont accessibles sur le site de la Revue des Droits de l’Homme (RevDH)Contact

Haut de page

Notes

1 Marie-Anne Paveau, « Les diseurs de vérité 4. Le parrésiaste ou le courage de la vérité », 2010.

2 Jean-François Blanchette, Deborah Johnson, « Data retention and the panoptic society: The social benefits of forgetfulness », The Information Society, 18.1, 2002, pp. 33-45 ; Voir également la réflexion récente de la CNIL dans son Rapport annuel 2013.

3 Sur les aspects conceptuels de cette notion, voir : Libertés économiques et Droits de l'Homme, D. Lochak et V. Champeil-Desplats (dir.), Presses Universitaires de Paris Ouest Nanterre la Défense, 2011,

4 Jean Tillinac. « Le Web 2.0 ou l'avènement du client ouvrier », Quaderni, 60.1, 2006, pp. 19-24.

5 Plus précisément, Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données

6 Il s'agit d'un organe consultatif indépendant sur la protection des données et la vie privée, institué au titre de l'article 29 de la directive sur la protection des données. Il se compose de représentants des autorités nationales de l'Union compétentes en matière de protection des données, du CEPD et de la Commission. Il émet des recommandations, des avis et des documents de travail

7 Sophie Nerbonne, « Le Groupe de l'article 29 », LEGICOM 1, 2009, pp. 37-46.

8 De La Rosa, Stéphane, « La mise en œuvre des résolutions du Conseil de sécurité confrontée aux exigences de la Communauté de droit. Réflexions sur l'arrêt Kadi », Revue des Affaires Européennes, 2, 2007.

9 Explications sur la Charte des Droits Fondamentaux de l’Union Européenne. Document CONVENT 49 du 11 octobre 2000

10 Voir sur ce sujet la fiche thématique « protection des données personnelles » du service de presse de la CEDH.

11 De Hert, Paul, and Serge Gutwirth, « Data protection in the case law of Strasbourg and Luxemburg: Constitutionalisation in action », 2009, pp. 3-44.

12 CJUE, Grande Chambre, 8 avril 2014, Digital Rights Ireland Ltd & Michael Seitlinger e.a., affaires jointes C-293/12 & C-594/12. Pour un commentaire éclairant de cette affaire la lettre ADL du 14 mai 2014 de Marie-Laure Basilien-Gainche.

13 « Proposition de règlement du Parlement Européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données », COM, 2012, 11 ; Pour un historique de cette proposition, voir Bennett, Steven C., « The" Right to Be Forgotten": Reconciling EU and US Perspectives », Berkeley Journal of International Law, 30.1, 2012, pp. 161.

14 Voir également : G29, Avis 1/2008 sur les
aspects de la protection des données liés aux moteurs de recherche
, WP 148.

15 Pour d’autres exemples jurisprudentiels liés à la « publicité par mots clés » : CJUE, 23 mars 2010, Google France et Google, aff. C‑236/08 à C‑238/08, Rec. p. I‑2417 ; CJUE, 12 juillet 2011, Portakabin, aff.C‑558/08, Rec. p. I-6963.

16 CJUE, 6 novembre 2003, Lindqvist, aff. C‑101/01, Rec. p. I‑12971, § 25 à 27.

17 CJUE, 12 septembre 2007, « Satakunnan Markkinapörssi et Satamedia », Aff.C‑73/07, § 48 et 49.

18 Voir également, reprenant cette position : CJCE, 20 mai 2003, Österreichischer Rundfunk e.a. , Aff. C-465/00 § 64; CJUE, 7 mai 2009, Huber, Aff. C‑524/06, Rec. p. I‑9705, §43; CJUE, 19 avril 2012, Rijkeboer, Aff. C‑553/07, Rec. p. I‑3889, § 62.

19 G29, Avis 1/2010 sur les notions de « responsable du traitement » et de « sous-traitant », WP 169, 16 février 2010 p. 10.

20 G29, Avis 1/2008 sur les
aspects de la protection des données liés aux moteurs de recherche
, WP 148, p. 15.

21 CJUE, 29 janvier 2008, Promusicae, Aff. C‑275/06, Rec. p. I‑271, § 68.

22 CJUE, 18 juin 1991, ERT, C-260/89, Rec. p. I-2925, § 41.

23 CJUE, 24 novembre 2011, ASNEF et FECEMD, Aff. C‑468/10 et C‑469/10, § 38 et 40.

24 CJCE, 20 mai 2003, Österreichischer Rundfunk e.a. , Aff. C-465/00, § 91.

25 Cour EDH, 16 décembre 1992, Niemietz c. Allemagne, A n° 251‑B, § 29 ; Amann c. Suisse [Grande Chambre], Req. n° 27798/95 ; Cour EDH, Rotaru c. Roumanie, Req n° 28341/95, CEDH 2000‑V, § 43.

26 CJUE, 9 novembre 2010, Volker und Markus Schecke et Eifert, Aff. C-93-09.

27 CJUE, 12 septembre 2007, Satakunnan Markkinapörssi et Satamedia, Aff.C‑73/07, § 60.

28 Pour une vision critique du phénomène d’attribution de droits fondamentaux aux personnes morales, lire : Xavier Dupré de Boulois, « Les droits fondamentaux des personnes morales », in RDLF, 2011, Chr. n° 15-17 et 2012, Chr. n° 1)

29 CJUE, 16 février 2012, SABAM, Aff. C‑360/10, § 48 ; CJUE, 24 novembre 2011, Scarlet Extended, aff. C‑70/10, § 46.

30 Cour EDH., 26 novembre 1991, Observer et Guardian c. Royaume-Uni, série A n° 216, § 60 ; Cour EDH, 27 novembre 2007, Timpul Info-Magazin et Anghel c. Moldova, Req. n° 42864/05, § 34.

31 CJUE, 25 octobre 2011, eDate Advertising GmbH
, Aff. C-509/09.

32 M. Hildebrandt, M., 'Privacy and Identity', in Claes, E., Duff, E., Gutwirth, S. (eds.), Privacy and the Criminal Law, Antwerp- Oxford: Intersentia 2006, pp. 43-58.

33 Cour EDH, 7 juillet 1989 Gaskin c.Royaume-Uni, req.no. 10454/83 ; Cour EDH, Leander contre Suède, req. no. 9248/81.

34 Cour EDH, 25 octobre 1989, Rees c.Royaume-Uni, Series A, req. n° 106; Cour EDH, 11 juillet 2002, Christine Goodwin c.Royaume-Uni, req. no. 28957/95.

35 CJUE,18 mars 2010, Alassini e.a., Aff. C‑317/08 à C‑320/08, Rec. p. I‑2213, § 63.

36 Cour EDH, 14 juin 2005, Minelli c. Suisse, Req. n° 14991/02 ;

37 Cour EDH, 9 juin 1998, Inkal c. Turquie, § 54 ; v. Cour EDH, 5e Sect. 14 mars 2013, Eon c. France, Req. n° 26118/10 – ADL du 20 mars 2013.

38 Cour EDH, 10 janvier 2012, Standard Verlags GmbH c. Autriche (n° 3), Req. n° 34702/07, § 53 ; v. aussi Cour EDH, G.C. 7 février 2012, Axel Springer AG c. Allemagne, Req. n° 39954/08 et Von Hannover c. Allemagne (n° 2), Req. n° 40660/08 – ADL du 10 février 2012.

39 L. Lessig, Code and Other Laws of Cyberspace, New York, Basic Books, 1999, p. 213.

40 Voir, sur ces jeux de pouvoirs : Antoine Vauchez, Démocratiser l’Europe, La République des idées, Paris, Seuil, 2014.

41 Alexander Meiklejohn, « The First Amendment is an Absolute », Sup. Ct. Rev., 1961, pp. 245 et s. ; David M. O'Brien, « The First Amendment and the Public's Right to Know », Hastings Const. LQ 7, 1979, pp. 579 et s.

42 McNealy, Jasmine, « The Emerging Conflict Between Newsworthiness and the Right to Be Forgotten », Northern Kentucky Law Review, 2012 ; Franz Werro, « The right to inform v. the right to be forgotten: A transatlantic clash ».

Haut de page

Pour citer cet article

Référence électronique

Jean-Philippe Foegle, « La CJUE, magicienne européenne du « droit à l’oubli » numérique », La Revue des droits de l’homme [En ligne], Actualités Droits-Libertés, mis en ligne le 16 juin 2014, consulté le 14 octobre 2019. URL : http://journals.openedition.org/revdh/840 ; DOI : 10.4000/revdh.840

Haut de page

Auteur

Jean-Philippe Foegle

Étudiant du Master 2 « Droits de l’Homme » (Université Paris Ouest Nanterre La Défense)

Du même auteur

Haut de page

Droits d’auteur

Tous droits réservés

Haut de page
  • Logo Université Paris Nanterre
  • Logo Centre de recherches et d’études sur les droits fondamentaux
  • OpenEdition Journals