Navigation – Plan du site
2020
Avril

CJUE, Conseil d’État… La prise en main juridictionnelle nécessaire du droit au déréférencement

Marie Bastian

Résumé

Le 24 septembre 2019, la CJUE rend deux arrêts, très attendus, venant préciser l’avenir du droit au déréférencement. Saisie de deux questions préjudicielles formulées par le Conseil d’État, la CJUE les a ainsi examinées au regard de la Directive 95/46 et du RGPD afin d’assurer des réponses utiles aux juridictions nationales. Dans la première affaire (C-136/17), la CJUE se prononce sur l’obligation de l’exploitant d’un moteur de recherche de déréférencer des pages Web publiant certaines catégories de données sensibles, particulièrement protégées, tandis que dans la seconde affaire (C-507/17), le juge européen s’intéresse à la portée territoriale du droit au déréférencement. Enfin, le 6 décembre 2019, le Conseil d’État accuse réception des nouvelles interprétations de la CJUE et rend treize décisions. C’est l’occasion pour le Conseil de proposer une sorte de « mode d’emploi » du droit au déréférencement.

Haut de page

Texte intégral

  • 1 CJUE, aff. C-131/12, Google Spain, ECLI : EU : C : 2014 : 317, 13 mai 2014.
  • 2 BENABOU (V.-L.), ROCHFELD (J.), MARTIAL-BRAZ (N.), « Les moteurs de recherche, maîtres ou esclaves (...)
  • 3 Dir. 95/46/CE du 24 oct. 1995, relative à la protection des personnes physiques à l'égard du traite (...)
  • 4 CJUE, aff. C-136/17, CLI : EU : C : 2019 : 773, 24 sept. 2019 ; CJUE, aff. C-507/17, ECLI : EU : C  (...)
  • 5 MARTIAL-BRAZ (N.), « Le droit au déréférencement : vraie reconnaissance et faux-semblants ! », Dall (...)

1Le droit à l’oubli numérique est désormais pleinement consacré par le règlement général sur la protection des données n° 2016/679/UE du 27 avril 2016 (RGPD). Si l’article 17 du RGPD consacre formellement un tel droit, sa reconnaissance s’est toutefois faite prudemment. Après la reconnaissance par la CJUE du droit au déréférencement en 20141 dans l’affaire Google Spain2, rendu sur le fondement de la directive 95/463, il est heureux qu’un tel droit soit ainsi confirmé et conforté par les arrêts du 24 septembre 2019 de la CJUE4.5

  • 6 SAURON (J.-L.), « Consentement aux cookies : à propos de l’arrêt du 1er octobre 2019 de la CJUE », (...)

2Une des grandes difficultés de l’organisation européenne de la protection des données est l’extrême diversité des sources de production de normes et de leur contrôle. Au-delà des vingt-huit législations européennes différentes « d’accompagnement » du RGPD (rendues possibles par les cinquante-six dérogations nationales permises par ledit règlement), il existe vingt-huit autorités de contrôle qui publient des lignes directrices (en plus de celles écrites par le Comité européen de protection des données) et vingt-huit systèmes juridictionnels nationaux, régulés à leur tour par les deux cours européennes (CJUE et CEDH). Dans un tel contexte, il est possible de se demander s’il est bien raisonnable de laisser à chacune des autorités de contrôle nationales le pouvoir de prendre des lignes directrices, et ce dans un marché unique et, spécialement, dans un domaine où la circulation transnationale est la règle6.

  • 7 Le droit au déréférencement permet de demander à un moteur de recherche de supprimer certains résul (...)
  • 8 Op. cit. SAURON (J.-L.).

3Les arrêts rendus par la CJUE le 24 septembre 2019 étaient très attendus afin de préciser l’avenir du droit au déréférencement. Dans le cadre de ces décisions, il apparaît nécessaire de traiter les deux affaires conjointement, car au-delà de l’identité des parties en cause – à savoir la Commission Nationale Informatique et Libertés (CNIL) française contre Google – c’est bien de la même difficulté dont il est question (l’appréciation de l’exercice du droit au déréférencement7 par des citoyens français) et les réponses apportées apparaissent dès lors foncièrement complémentaires. Dans les deux affaires, la question posée est celle de l’étendue du droit au déréférencement. Dans la première espèce, les doutes sont relatifs à l’étendue substantielle du droit, et dans la seconde, l’interrogation est portée sur son étendue territoriale8.

  • 9 Ibid.

4Dans la première affaire, la CJUE est saisie d’une question préjudicielle formulée par le Conseil d’État. En l’espèce, la CNIL française avait refusé, à la demande des personnes concernées, de mettre en demeure Google de procéder au déréférencement de divers liens qui renvoyaient vers des articles ou des montages satiriques les concernant. Ces liens étaient inclus dans la liste de résultats affichée lorsque des recherches étaient effectuées à partir de leur nom dans Google. Dans les deux affaires, les requérants faisaient valoir que les données à caractère personnel traitées dans les articles auxquels les liens renvoyaient étaient des données dites « sensibles » car elles concernaient des informations intimes (poursuites judiciaires, condamnations judiciaires, engagements auprès d’organisation ou de personnalités politiques). Face au refus de la CNIL de demander le déréférencement, le Conseil d’État saisi d’un recours à l’encontre de ces décisions de refus, décide de poser à la CJUE des questions préjudicielles relatives à l’étendue du droit au déréférencement s’agissant de données sensibles. Plus précisément, le Conseil d’État souhaitait savoir si l’interdiction de principe de traitement de ces données avait vocation à s’appliquer également au moteur de recherche alors même qu’il ne traitait ces informations que de manière indirecte – l’objectif du traitement étant de présenter sous forme de liste les résultats associés au nom de la personne concernée. Dans la première affaire, le Conseil d’État demandait ainsi à la CJUE si « la sensibilité de ces données a […] également une incidence sur le traitement réalisé par le moteur de recherche et, par voie de conséquence, quelle est l’incidence de cette sensibilité des données sur la mise en œuvre du droit au déréférencement ? Autrement dit, le moteur de recherche peut-il s’affranchir de ces dispositions restrictives lorsqu’il traite des données sensibles qui ont fait l’objet d’un traitement licite conformément aux dispositions particulières ou doit-il au contraire se voir appliquer des conditions restrictives ? Dans quelle mesure la sensibilité des données affecte-t-elle la mise en œuvre du droit au déréférencement que la personne concernée peut exercer auprès de l’exploitant du moteur de recherche ? »9

  • 10 L’Agence française pour le nommage Internet en coopération (AFNIC) définit les noms de domaine comm (...)
  • 11 Op. cit. SAURON (J.-L.).

5Dans la seconde affaire, l’Autorité de régulation française, la CNIL, avait mis en demeure Google d’appliquer à toutes les extensions du nom de domaine10 de son moteur de recherche la suppression de la liste de résultats consécutive à l’exercice du droit au déréférencement par une personne concernée. Face au refus de Google de se soumettre à cette suppression générale, en limitant la suppression aux seules déclinaisons nationales des États membres, la CNIL a condamné Google à une sanction pécuniaire. À l’occasion de la demande en annulation de la sanction prononcée, le Conseil d’État s’est questionné sur l’étendue territoriale du droit au déréférencement et a renvoyé la question à la CJUE. La question posée était donc de savoir s’il fallait limiter le déréférencement aux seules extensions nationales des États membres ou bien si l’on pouvait étendre l’obligation de suppression de la liste de résultats à l’ensemble des déclinaisons du nom de domaine du moteur de recherche, y compris celles de pays tiers de l’Union européenne (« .ca » pour le Canada, « .cn » pour la Chine, « .us » pour les Etats-Unis, etc.)11.

  • 12 Ibid.
  • 13 CNIL, « Droit au déréférencement : la CJUE a rendu ses arrêts », 24 sept. 2019.
  • 14 « Le « droit à l’oubli » sur Google se limite à l’UE, estime la justice européenne », HUFFPOST, 24 (...)

6« La position de la CJUE était particulièrement attendue sur ces deux séries de questions dès lors que, d’origine prétorienne, le droit au déréférencement ne dispose pas d’un régime extrêmement balisé. L’absence de certitude en la matière était d’autant plus importante que le droit à l’oubli, dont le droit au déréférencement procède, n’avait été admis dans le RGPD que du bout de plume à l’issue d’âpres discussions. Or, si les décisions rendues seront sans aucun doute soumises à de nombreuses exégèses, force est de constater qu’elles apportent un certain nombre de précisions bienvenues »12. La nuance sur ces décisions est toutefois de rigueur, ce qui justifie qu’au lendemain de ces décisions, l’ensemble des acteurs, la CNIL13 comme Google14, pourtant opposés dans ces affaires, s’octroient la victoire judiciaire. À l’occasion de ces décisions, la CJUE est venue conforter l’existence même du droit au déréférencement et, préciser, son étendue substantielle (I). Par ailleurs, elle a encadré son application géographique, affinant ainsi l’étendue territoriale du droit au déréférencement (II). Le 6 décembre 2019, le Conseil d’État a rendu treize décisions reprenant cette nouvelle jurisprudence européenne, et fixant ainsi les conditions dans lesquelles doit être respecté le droit au déréférencement sur internet. Le Conseil d’État devient alors la première juridiction française à livrer, tant pour Google que pour la CNIL, un « mode d’emploi » du droit à l’oubli (III).

I/- Les précisions des arrêts du 24 décembre 2019 quant au déréférencement des données sensibles

  • 15 Aff. C-136/17
  • 16 QUILTON (A.), « La CJUE et les contours du droit à l’oubli : les conséquences des deux arrêts du 24 (...)

7Dans son premier arrêt15, la CJUE a été sollicitée par le Conseil d’État sur la question du déréférencement de contenus comportant des données sensibles. En l’espèce, faisant primer le droit à l’information et l’intérêt général, la CNIL avait refusé de contraindre Google à supprimer des liens renvoyant notamment vers des articles relatifs à la mise en examen d’un homme politique ou encore à la condamnation d’un individu pour actes pédophiles. La CJUE confirme à ce propos que, dans le cadre d’une demande de déréférencement, « une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information » doit être effectuée (pt. 72). C’est par le biais de cette mise en balance que la CJUE impose ainsi une obligation de déréférencement des données sensibles (A). Ainsi, la CJUE impose désormais aux moteurs de recherche d’effectuer un contrôle minutieux a posteriori, et in concreto (au cas par cas), des demandes de suppression de liens susceptibles de comporter des données sensibles (B)16.

A/- L’obligation de déréférencement des données sensibles

  • 17 Aff. C-136/17
  • 18 MAXIMIN (N.), « CJUE : importantes précisions sur la portée du « droit à l’oubli » numérique », Dal (...)

8Dans un premier temps17, la CJUE s’est prononcée sur l’obligation de l’exploitant d’un moteur de recherche de déréférencer les pages Web publiant certaines catégories de données dites « sensibles ». Elle a fait découler cette obligation des articles 8, §1 et §5 de la directive 95/46, reprise, avec quelques modifications, aux articles 9, §1, et 10 du RGPD18, consacrant, par principe, une obligation de déréférencer les données sensibles.

9La Cour statue ainsi en faveur de l’application des dispositions susvisées à l’exploitant d’un moteur de recherche. Toutefois, elle limite la responsabilité de celui-ci au cadre du déréférencement, et précise que la « vérification à effectué [doit l’être] sous le contrôle des autorités nationales compétentes, sur la base d’une demande formée par la personne concernée ».

B/- L’obligation de suppression des liens

10Les informations relatives à une procédure judiciaire dont une personne physique a été l’objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé constituent des données relatives aux « infractions » et aux « condamnations pénales » qui peuvent être considérées, à ce titre, comme des données sensibles. Ceci vaut, même si l’infraction pour laquelle la personne était poursuivie n’est pas établie et que celle-ci n’est pas condamnée.

  • 19 FABER (S.), « Jurisprudence de la CJUE sur le droit au déréférencement par les moteurs de recherche (...)

11La Cour indique que « dans la recherche de ce juste équilibre, il doit être tenu compte du rôle essentiel que la presse joue dans une société démocratique et qui inclut la rédaction de comptes rendus et de commentaires sur les procédures judiciaires. En outre, à la fonction des médias consistant à communiquer de telles informations et idées s’ajoute le droit, pour le public, d’en recevoir »19.

  • 20 Dir. 95/46, art. 8, §2, sous e.
  • 21 Op. cit. MAXIMIN ( N.).

12Nonobstant ce droit à l’information, le moteur de recherche doit, en principe, faire prévaloir le droit au déférencement et faire droit aux demandes de suppression des liens. Il peut refuser, lorsque les données ont été ostensiblement rendues publiques par la personne concernée ou lorsqu’elles sont nécessaires à la constatation, l’exercice ou la défense d’un droit en justice20, à condition toutefois que le traitement soit licite et que la personne n’ait pas exercé son droit d’opposition. Il peut également rejeter la demande s’il s’avère, après avoir effectué un contrôle de proportionnalité entre les droits fondamentaux de la personne concernée et les motifs d’intérêts publics, que l’inclusion du lien dans la liste des résultats est « nécessaire à l’exercice du droit à la liberté d’information des internautes (…) à avoir accès à cette page web au moyen d’une telle recherche » (pt. 66). Enfin, sous réserve de cette mise en balance, les liens vers les pages web contenant des informations se rapportant à une étape antérieure de la procédure judiciaire ou ne correspondant plus à la situation actuelle doivent systématiquement être effacés21.

13L’appréciation doit se faire « eu égard à l’ensemble des circonstances de l’espèce, telles que notamment la nature et la gravité de l’infraction en question, le déroulement et l’issue de ladite procédure, le temps écoulé, le rôle joué par cette personne dans la vie publique et son comportement dans le passé, l’intérêt du public au moment de la demande, le contenu et la forme de la publication ainsi que les répercussions de celle-ci pour ladite personne » (pt. 77).

  • 22 Op. cit. FABER (S.).

14Quand bien même le moteur de recherche considère que le déréférencement n’est pas recevable, il est néanmoins tenu, au plus tard à l’occasion de la demande de déréférencement, d’agencer la liste de résultats de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle, ce qui nécessite que des liens vers des pages web comportant des informations actualisées apparaissent en premier lieu sur cette liste22.

15Les données sensibles doivent désormais faire l’objet d’une obligation de déréférencement par le moteur de recherche sollicité en ce sens par une personne concernée. À cela s’ajoute que les liens web litigieux sont également soumis, par conséquent, à une obligation de suppression, ceci dans un cadre strictement défini par la CJUE. Le raisonnement de la Cour se poursuit par de nouvelles précisions apportées quant à la portée territoriale du « droit à l’oubli ».

II/- Les précisions quant à la portée territoriale du « droit à l’oubli »

  • 23 Aff. C-131/12
  • 24 Remplacé aujourd’hui par le Comité européen à la protection des données.
  • 25 FABER (S.), « Jurisprudence de la CJUE sur le droit au déréférencement par les moteurs de recherche (...)

16Suite à l’affaire Google Spain23, le Groupe des autorités européennes G 2924 avait estimé, dans un avis WP 255, que pour permettre une protection effective des droits des personnes, le déréférencement ne devrait pas être limité aux noms de domaines de l’Union européenne mais « également être appliqué à tous les domaines concernés, y compris à tous les domaines « .com » »25.

  • 26 Aff. C-507/17
  • 27 Venant au droit de Google Inc.
  • 28 CNIL, 10 mars 2016, délib. n° 2016-054, Légipresse, 2016, p. 285, obs. N. Botchorichvili.
  • 29 CE, 19 juill. 2017, n° 399922 ; CE, 19 juill. 2017, n° 399922, Google Inc., Lebon ; AJDA, 2017, p.1 (...)

17Dans un second arrêt26, la CJUE est de nouveau invitée à délimiter l’étendue géographique du « droit à l’oubli ». Cette fois, le litige opposait Google LLC27 à la CNIL. En l’espèce, Google avait refusé de donner suite à une mise en demeure de la CNIL d’appliquer la désindexation sur l’ensemble des extensions de noms de domaine de son moteur de recherche. Google s’était ainsi borné à supprimer les liens en cause des résultats affichés depuis les versions européennes de ce moteur28. Le Conseil d’État a alors sursis à statuer et a interrogé la CJUE sur l’interprétation des dispositions de la directive 95/4629.

18La CJUE se positionne différemment que dans l’arrêt Google Spain. Elle limite, en principe, l’effet du déréférencement aux seuls résultats apparaissant à la suite de recherches effectuées depuis le territoire européen. Les résultats de recherche resteront donc accessibles en cas de recherche effectuée en dehors de l’Union européenne (A). Cependant, la Cour y voit l’opportunité de préciser que, si le droit de l’Union n’impose pas le déréférencement mondial, il ne l’interdit pas non plus (B).

A/- Un déréférencement limité à l’Union européenne

  • 30 UNTERSINGER (M.), « Le “droit à l’oubli » ne s’applique pas au monde entier, tranche la justice eur (...)

19Jusqu’à présent, les pages concernées par le déréférencement ne disparaissaient que lorsque l’internaute effectuait sa recherche sur les extensions de Google des pays de l’Union européenne (Google.fr ; Google.de ; etc.). Constatant qu’il suffisait pour un internaute de se rendre sur une autre extension (Google.com, par exemple) pour afficher le contenu supprimé, la CNIL avait ordonné au moteur de recherche de procéder au déréférencement dans le monde entier et dans tous ses résultats de recherche. C’est face à son refus que la CNIL avait sanctionné Google, portant ainsi l’affaire devant le Conseil d’État30.

  • 31 Op. cit. MAXIMIN ( N.).

20À titre liminaire, les juges, rappelant leur jurisprudence Google Spain, affirment le droit européen applicable au litige. En effet, les activités de Google sur le territoire français, notamment commerciales et publicitaires, sont consubstantiellement liées au traitement des données à caractère personnel effectué pour les besoins du fonctionnement du moteur de recherche. En outre, compte tenu de l’existence de passerelles entre ses différentes versions nationales, ce moteur doit être regardé comme réalisant un traitement unique et effectué dans le cadre de l’établissement de Google situé sur le territoire français. Une telle situation relève du champ d’application territorial, en vertu des articles 4, § 1, a) de la directive 95/46 et 3, §1 du règlement 2016/67931.

21La Cour considère ensuite qu’il n’existe pas pour l’exploitant d’obligation découlant du droit de l’Union de déréférencer sur l’ensemble des versions de son moteur de recherche (pt. 64). Elle relève en particulier que la rédaction adoptée par le législateur européen, pour la directive comme pour le RGPD, ne permet pas de considérer qu’il a fait le choix d’octroyer à leurs dispositions une portée qui dépasserait le territoire des États membres. De plus, si le règlement donne aux autorités de contrôle les moyens de coopérer pour aboutir à une décision commune, il « ne prévoit actuellement pas de tels instruments et mécanismes de coopération pour ce qui concerne la portée d’un déréférencement en dehors de l’Union » (pt. 59 à 63).

  • 32 Op. cit. UNTERSINGER (M.).

22Ainsi, la solution sollicitée par la CNIL n’est, selon la CJUE, pas satisfaisante, car elle mènerait à l’application mondiale du droit européen : « L’équilibre entre la protection de la vie privée et la liberté d’expression des internautes est susceptible de varier à travers le monde » (pt. 60), souligne ainsi la Cour. Chez Google, quelques jours avant la décision, on laissait ouvertement entendre qu’un important conflit légal allait se profiler avec les États-Unis, où la liberté d’expression est extrêmement protégée, si la CJUE s’alignait sur le jugement de la CNIL32. Elle ne le fit pas.

B/- Les difficultés soulevées par l’inéluctable globalisation

23Les juges nuancent toutefois leur position en ajoutant que si le législateur européen n’impose pas un déréférencement « mondial », il ne l’interdit pas non plus. Ainsi, selon leurs termes, « une autorité de contrôle ou une autorité judiciaire d’un État membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux (…) une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information » (pt. 72). Elle pourrait ainsi au terme de cet examen « enjoindre, le cas échéant, à l’exploitant du moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur » (pt. 72).

  • 33 Op. cit. MAXIMIN ( N.).
  • 34 Op. cit. UNTERSINGER (M.).

24La CJUE estime toutefois que le déréférencement doit a minima être effectué à l’échelle européenne sur l’ensemble des extensions de noms de domaine du moteur de recherche correspondant aux États membres. Cependant, l’exploitant doit garantir l’efficacité de la protection en prenant les mesures nécessaires. Celles-ci devront « satisfaire à toutes les exigences légales et avoir pour effet d’empêcher ou, à tout le moins, de sérieusement décourager les internautes dans les États membres d’avoir accès aux liens en cause à partir d’une recherche effectuée sur la base du nom de cette personne »33. Avant cette décision, Google avait commencé à utiliser l’adresse IP – l’identifiant d’une connexion à Internet, qui peut notamment divulguer le pays où se situe l’internaute – pour délimiter les frontières de ce déréférencement34.

  • 35 Ibid.

25Il est possible de considérer que la CJUE a ainsi laissé la porte ouverte à un déréférencement mondial, dans certains cas particuliers. « Elle a pour cela renvoyé la balle dans le camp des autorités nationales de protection des données qui devront déterminer, le cas échéant et au cas par cas, si Google doit supprimer de ses résultats de recherche mondiaux certaines pages Web »35.

  • 36 SAURON (J.-L.), « Données personnelles : portée du droit au déréférencement », Recueil Dalloz, 2019 (...)

26Ainsi, selon certains auteurs, « l’affaire C-507/17 montre que la CJUE est consciente de deux sphères juridiques (ou « marchés ») dans lesquelles elle est amenée à intervenir. Dans celui du « marché » du droit de la globalisation, elle doit affirmer l’efficacité opérationnelle des modes de raisonnement du droit de l’Union, affirmation qui doit contrer les essais d’autres systèmes juridiques de dominer à leur profit le droit international de la régulation. […] Dans le cadre du marché « interne », elle doit trouver la voie étroite, confortant la convergence croissante des droits des États membres sous sa direction et le plein respect des traditions constitutionnelles nationales en matière de droits fondamentaux »36.

27La CJUE ayant apporté les réponses aux questions posées initialement par le Conseil d’État. Celui-ci accuse réception de ces nouvelles interprétations et rend treize décisions, le 6 décembre 2019. C’est l’occasion pour le Conseil d’État de proposer une sorte de « mode d’emploi » du droit au déréférencement.

III/- La réception par le Conseil d’État des décisions de la CJUE

  • 37 Au Lebon.
  • 38 Mentionnés aux tables.
  • 39 PASTOR (J.-M.), « Le Conseil d’État définit les règles du droit à l’oubli », AJDA, 2019, p. 2516.

28Le 6 décembre, le Conseil d’État a rendu treize arrêts dans lesquels il définit le droit au déréférencement. Parmi ces arrêts, deux publiés37 décrivent la méthode d’appréciation que doit mettre en œuvre la CNIL, et sept38, illustrent l’application de ce droit. Le Conseil d’État propose, d’une part, notamment un « mode d’emploi » du droit à l’oubli en proposant de définir le cadre des données sensibles (A) ainsi que, d’autre part, le cadre applicable dans le cas de données relatives à une procédure pénale (B)39.

A/- La définition du cadre pour les données sensibles

  • 40 CE, n° 395335, 6 déc. 2019.

29Dans l’une de ces décisions40, la Haute juridiction administrative définit tout d’abord le cadre applicable aux données non sensibles. Ainsi, « il appartient en principe à la CNIL, saisie par une personne d’une demande tendant à ce qu’elle mette l’exploitant d’un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers des pages web publiées par des tiers et contenant des données personnelles ne relevant pas de catégories particulières la concernant, d’y faire droit. Toutefois, il revient à la CNIL d’apprécier, compte tenu du droit à la liberté d’information, s’il existe un intérêt prépondérant du public à avoir accès à une telle information à partir d’une recherche portant sur le nom de cette personne de nature à faire obstacle au droit au déréférencement » (Cons. 11).

  • 41 CE, n° 403868, 6 déc. 2019.

30Pour l’apprécier, la CNIL doit mettre en balance trois éléments : il lui incombe de tenir compte « de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d’avoir pour la personne concernée » ; ensuite, « de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société » ; enfin, elle doit prendre en compte « la possibilité d’accéder aux mêmes informations à partir d’une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée ainsi que le rôle qu’a, le cas échéant, joué cette dernière dans la publicité conférée aux données la concernant » (Cons. 11). Il est par exemple de l’intérêt du public d’accéder à des informations relatives à l’activité et aux coordonnées professionnelles d’un médecin généraliste41.

31S’agissant ensuite des données sensibles, la CNIL doit par principe tenir compte des trois mêmes éléments que ceux précédemment exposés concernant les données non sensibles. Mais elle peut également refuser de mettre en demeure l’exploitant de faire droit à une demande de déréférencement, « s’il apparait, compte tenu du droit à la liberté d’information, que l’accès à une telle information à partir d’une recherche portant sur le nom de cette personne est strictement nécessaire à l’information du public » (Cons. 15).

  • 42 CE, n° 409212, 6 déc. 2019, mentionné dans les tables du recueil Lebon.
  • 43 CE, n° 393769, 6 déc. 2019, mentionné dans les tables du recueil Lebon.
  • 44 CE, n° 405910, 6 déc. 2019, mentionné dans les tables du recueil Lebon.

32Ainsi, l’auteur d’un roman autobiographique peut demander le déréférencement des liens menant vers des sites qui, dans la description de cette œuvre, révèlent l’orientation sexuelle de son auteur, même si cette information a été manifestement rendue publique par l’intéressé42. Le droit au déréférencement est également fondé pour le requérant dont un article de presse évoque son ancienne appartenance à l’Église de scientologie43 ou celui ayant déposé un brevet dont les pages font apparaître son adresse personnelle44.

B/- La définition du cadre des données relatives à une procédure pénale

  • 45 CE, n° 401258, 6 déc. 2019, publié au recueil Lebon.

33Pour les données relatives à une procédure pénale45, tout comme la CJUE, le Conseil d’État reprend le cadre applicable aux données sensibles mais précise que, « dans l’hypothèse particulière où le lien mène vers une page web faisant état d’une étape d’une procédure judiciaire ne correspondant plus à la situation judiciaire actuelle de la personne concernée mais qu’il apparait, au terme de la mise en balance […], que le maintien de son référencement est strictement nécessaire à l’information du public, l’exploitant d’un moteur de recherche est tenu, au plus tard à l’occasion de la demande de déréférencement, d’aménager la liste de résultats de telle sorte que les liens litigieux soient précédés sur cette liste de résultats d’au moins un lien menant vers une ou des pages web comportant des informations à jour, afin que l’image qui en résulte reflète exactement la situation judiciaire actuelle de la personne concernée » (Cons. 13).

  • 46 Ibid.
  • 47 CE, n° 405464, 6 déc. 2019, mentionné dans les tables du recueil Lebon.
  • 48 CE, n° 429154, 6 déc. 2019, mentionné dans les tables du recueil Lebon.

34Par conséquent, un particulier peut solliciter le déréférencement des liens menant vers des chroniques judiciaires mentionnant sa condamnation, alors même qu’il est toujours sous suivi socio-judiciaire46. En revanche, un maire ne peut pas demander le déréférencement d’articles de presse relatifs à sa condamnation pour apologie de crimes de guerre ou contre l’humanité47. Une actrice n’est pas non plus fondée à demander le déréférencement de liens menant vers des articles faisant état de sa condamnation pour des faits de violence conjugale48.

  • 49 Op. cit. CE, n° 395335.
  • 50 Op. cit. PASTOR (J.-M.).

35Dans une dernière décision49, le Conseil d’État précise que l’effet utile de l’annulation pour excès de pouvoir du refus de la CNIL de mettre en demeure l’exploitant de procéder au déréférencement réside dans le fait, « que le juge peut prescrire d’office en vertu des dispositions de l’article L. 911-1 du Code de justice administrative, pour la CNIL de procéder à une telle mise en demeure afin que disparaissent de la liste de résultats affichée à la suite d’une recherche les liens en cause » (Cons. 4). Ainsi, lorsqu’il est saisi de conclusions aux fins d’annulation du refus de la CNIL, « le juge de l’excès de pouvoir est conduit à apprécier la légalité d’un tel refus au regard des règles applicables et des circonstances prévalant à la date de sa décision »50.

  • 51 CJUE, 24 sept. 2019, aff. C-136/17, « GC c/ Commission nationale de l'informatique et des libertés  (...)
  • 52 19 juill. 2017, n°399922, Google Inc., Lebon ; AJDA, 2017, p. 1479.
  • 53 CJUE, 13 mai 2014, aff. C-131/12, « Google Spain c/ Agencia Española de Protección de Datos », AJDA(...)
  • 54 Op. cit. PASTOR (J.-M.).
  • 55 Aff. C-136/17.
  • 56 Cass. Civ., 1ère, 27 nov. 2019, n° 18-14.675, RLDI, 2019, p. 165, obs. Costes L.

36En répondant51 aux questions préjudicielles soulevées par le Conseil d’État52, la Cour de justice, qui a consacré de manière prétorienne le droit au déréférencement53, a permis au Conseil d’État de préciser la portée du droit au déréférencement54. On rappellera sur ce même terrain que la Cour de cassation, dans une décision du 27 novembre 2019, a appliqué les principes de solutions dégagés par la CJUE dans son arrêt du 24 septembre 201955. Elle a considéré que les juges d’appel avaient rejeté à tort la demande de déréférencement formée par le requérant auprès de la société Google Inc.56.

  • 57 Aff. C-673/17.
  • 58 « Cette tactique, qui vise à instrumentaliser la justice, est de plus en plus utilisée comme moyen (...)
  • 59 Google, Apple, Facebook, Amazon, Microsoft.
  • 60 Affaires Barbulescu c/ Roumanie, Gde ch., 5 sept. 2017, n° 61496/08, D., 2017, p.1709, 2018, p.138, (...)
  • 61 SAURON (J.-L.), « Consentement aux cookies : à propos de l’arrêt du 1er octobre 2019 de la CJUE », (...)

37Cette jurisprudence continue de s’enrichir. En effet, le 1er octobre 201957 la CJUE a été saisie d’une demande préjudicielle de la Cour fédérale de justice d’Allemagne portant sur les exigences entourant le consentement donné aux « cookies » pour qu’il puisse être considéré comme informé et libre. Pour la CJUE, le consentement doit être « indubitablement » donné par la personne concernée, c’est-à-dire être manifesté par un comportement actif de la part de cette personne. Ainsi, les arrêts de grande chambre du 24 septembre 2019 sur la portée du droit à l’oubli ainsi que celui du 1er octobre 2019 attestent du travail mené pour définir les règles d’une « protection des données à l’européenne ». Une véritable Lawfare58 se joue dans les prétoires européens avec les GAFAM59. Le fait que l’autre Cour suprême européenne (la Cour EDH)60 joue également un rôle important dans cette définition juridictionnelle conforte la véritable assise du droit européen en la matière61.

*

CJUE, 24 septembre 2019, C-136/17 et C-507/17.

*

Les Lettres « Actualités Droits-Libertés » (ADL) du CREDOF (pour s’y abonner) sont accessibles sur le site de la Revue des Droits de l’Homme (RevDH)Contact

Haut de page

Notes

1 CJUE, aff. C-131/12, Google Spain, ECLI : EU : C : 2014 : 317, 13 mai 2014.

2 BENABOU (V.-L.), ROCHFELD (J.), MARTIAL-BRAZ (N.), « Les moteurs de recherche, maîtres ou esclaves du droit à l'oubli numérique ? Acte I Le moteur, facilitateur d'accès, agrégateur d'informations et responsable de traitement autonome et Acte II : Le droit à l'oubli numérique, l'éléphant et la vie privée », D., 2014, p.1476 s.

3 Dir. 95/46/CE du 24 oct. 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

4 CJUE, aff. C-136/17, CLI : EU : C : 2019 : 773, 24 sept. 2019 ; CJUE, aff. C-507/17, ECLI : EU : C : 2019 : 772, 24 sept. 2019.

5 MARTIAL-BRAZ (N.), « Le droit au déréférencement : vraie reconnaissance et faux-semblants ! », Dalloz IP/IT, 2019, p. 631.

6 SAURON (J.-L.), « Consentement aux cookies : à propos de l’arrêt du 1er octobre 2019 de la CJUE », Recueil Dalloz, 2019, p. 2128.

7 Le droit au déréférencement permet de demander à un moteur de recherche de supprimer certains résultats de recherche associés aux noms et prénoms. Il consiste à supprimer l’association d’un résultat de recherche à la requête « nom prénom ». Cette suppression ne signifie pas l’effacement de l’information sur le site internet source (Source : CNIL).

8 Op. cit. SAURON (J.-L.).

9 Ibid.

10 L’Agence française pour le nommage Internet en coopération (AFNIC) définit les noms de domaine comme étant l’équivalent d’une adresse postale sur Internet. C’est la manière dont les contacts et clients trouvent un site Internet sur le Web. Une adresse Internet se compose d’un préfixe, « www » (World Wide Web) et d’un nom de domaine, « Google », par exemple. Le nom de domaine est enfin suivi d’une extension. L’extension relative à la France est « .fr », par exemple.

11 Op. cit. SAURON (J.-L.).

12 Ibid.

13 CNIL, « Droit au déréférencement : la CJUE a rendu ses arrêts », 24 sept. 2019.

14 « Le « droit à l’oubli » sur Google se limite à l’UE, estime la justice européenne », HUFFPOST, 24 sept. 2019.

15 Aff. C-136/17

16 QUILTON (A.), « La CJUE et les contours du droit à l’oubli : les conséquences des deux arrêts du 24 septembre 2019 », Avoconseil, 10 oct. 2019.

17 Aff. C-136/17

18 MAXIMIN (N.), « CJUE : importantes précisions sur la portée du « droit à l’oubli » numérique », Dalloz actualité, 27 sept. 2019.

19 FABER (S.), « Jurisprudence de la CJUE sur le droit au déréférencement par les moteurs de recherche », in Droit du Numérique – Propriété intellectuelle, La Revue, 17 oct. 2019.

20 Dir. 95/46, art. 8, §2, sous e.

21 Op. cit. MAXIMIN ( N.).

22 Op. cit. FABER (S.).

23 Aff. C-131/12

24 Remplacé aujourd’hui par le Comité européen à la protection des données.

25 FABER (S.), « Jurisprudence de la CJUE sur le droit au déréférencement par les moteurs de recherche », La Revue, 17 oct. 2019.

26 Aff. C-507/17

27 Venant au droit de Google Inc.

28 CNIL, 10 mars 2016, délib. n° 2016-054, Légipresse, 2016, p. 285, obs. N. Botchorichvili.

29 CE, 19 juill. 2017, n° 399922 ; CE, 19 juill. 2017, n° 399922, Google Inc., Lebon ; AJDA, 2017, p.1479 ; D., 2018, p.1033, obs. B. Fauvarque-Cosson et W. Maxwell ; RFDA, 2017, p.972, concl. A. Bretonneau ; RTD eur., 2018, p.396, obs. A. Bouveresse.

30 UNTERSINGER (M.), « Le “droit à l’oubli » ne s’applique pas au monde entier, tranche la justice européenne », Le Monde, 24 sept. 2019.

31 Op. cit. MAXIMIN ( N.).

32 Op. cit. UNTERSINGER (M.).

33 Op. cit. MAXIMIN ( N.).

34 Op. cit. UNTERSINGER (M.).

35 Ibid.

36 SAURON (J.-L.), « Données personnelles : portée du droit au déréférencement », Recueil Dalloz, 2019, p. 2022.

37 Au Lebon.

38 Mentionnés aux tables.

39 PASTOR (J.-M.), « Le Conseil d’État définit les règles du droit à l’oubli », AJDA, 2019, p. 2516.

40 CE, n° 395335, 6 déc. 2019.

41 CE, n° 403868, 6 déc. 2019.

42 CE, n° 409212, 6 déc. 2019, mentionné dans les tables du recueil Lebon.

43 CE, n° 393769, 6 déc. 2019, mentionné dans les tables du recueil Lebon.

44 CE, n° 405910, 6 déc. 2019, mentionné dans les tables du recueil Lebon.

45 CE, n° 401258, 6 déc. 2019, publié au recueil Lebon.

46 Ibid.

47 CE, n° 405464, 6 déc. 2019, mentionné dans les tables du recueil Lebon.

48 CE, n° 429154, 6 déc. 2019, mentionné dans les tables du recueil Lebon.

49 Op. cit. CE, n° 395335.

50 Op. cit. PASTOR (J.-M.).

51 CJUE, 24 sept. 2019, aff. C-136/17, « GC c/ Commission nationale de l'informatique et des libertés », AJDA, 2019, p.1839 ; AJDA, 2019, p.2291, chron. P. Bonneville, C. Gänser et S. Markarian.

52 19 juill. 2017, n°399922, Google Inc., Lebon ; AJDA, 2017, p. 1479.

53 CJUE, 13 mai 2014, aff. C-131/12, « Google Spain c/ Agencia Española de Protección de Datos », AJDA, 2014, p.1147, chron. M. Aubert, E. Broussy et H. Cassagnabère.

54 Op. cit. PASTOR (J.-M.).

55 Aff. C-136/17.

56 Cass. Civ., 1ère, 27 nov. 2019, n° 18-14.675, RLDI, 2019, p. 165, obs. Costes L.

57 Aff. C-673/17.

58 « Cette tactique, qui vise à instrumentaliser la justice, est de plus en plus utilisée comme moyen de pression par les gouvernements et les organisations non gouvernementales », in La stratégie du Lawfare, Le Monde, 2 oct. 2019.

59 Google, Apple, Facebook, Amazon, Microsoft.

60 Affaires Barbulescu c/ Roumanie, Gde ch., 5 sept. 2017, n° 61496/08, D., 2017, p.1709, 2018, p.138, obs. J.-F. Renucci, p.1033, obs. B. Fauvarque-Cosson et W. Maxwell, et 2019, p.157, obs. J.-D. Bretzner et A. Aynès ; AJDA, 2017, p.1639, et 2018, p.150, chron. L. Burgorgue-Larsen ; JA, 2017, n° 568, p. 40, étude J. Marfisi ; Dr. soc., 2018, p.455, étude B. Dabosville ; Dalloz IP/IT, 2017, p.548, obs. E. Derieux ; ou Lopez Ribalda e.a. c/ Espagne, Gde ch., 17 oct. 2019, n° 1874/13 et n° 8567/13.

61 SAURON (J.-L.), « Consentement aux cookies : à propos de l’arrêt du 1er octobre 2019 de la CJUE », Recueil Dalloz, 2019, p. 2128.

Haut de page

Pour citer cet article

Référence électronique

Marie Bastian, « CJUE, Conseil d’État… La prise en main juridictionnelle nécessaire du droit au déréférencement »La Revue des droits de l’homme [En ligne], Actualités Droits-Libertés, mis en ligne le 23 avril 2020, consulté le 09 août 2020. URL : http://journals.openedition.org/revdh/9061 ; DOI : https://doi.org/10.4000/revdh.9061

Haut de page

Auteur

Marie Bastian

Doctorante et ATER en droit public à l’Université Paris-Nanterre (CRDP – EA 381)

Du même auteur

Haut de page

Droits d’auteur

Tous droits réservés

Haut de page
  • Logo Université Paris Nanterre
  • Logo Centre de recherches et d’études sur les droits fondamentaux
  • OpenEdition Journals