[Brèves] Données personnelles : absence d’obligation pour un moteur de recherche de procéder au déréférencement sur l’ensemble de ses versions

► L’exploitant d’un moteur de recherche n’est pas tenu de procéder à un déréférencement sur l’ensemble des versions de son moteur de recherche ;

► Il est néanmoins tenu d’y procéder sur les versions correspondant à l’ensemble des Etats membres et de mettre en place des mesures décourageant les internautes d’avoir, à partir de l’un des Etats membres, accès aux liens en cause figurant sur les versions hors UE de ce moteur.

Tel est l’enseignement d’un arrêt rendu par la CJUE le 24 septembre 2019 (CJUE, 24 septembre 2019, aff. C-507/17 N° Lexbase : A3917ZPR).

Par une décision du 10 mars 2016, la présidente de la CNIL a prononcé une sanction de 100 000 euros à l’encontre de Google en raison de son refus, lorsqu’elle fait droit à une demande de déréférencement, d’appliquer celui-ci à l’ensemble des extensions de nom de domaine de son moteur de recherche.  Google a demandé d’annuler cette décision au Conseil d’Etat (CE 9° et 10° ch.-r., 19 juillet 2017, n° 399922, mentionné aux tables du recueil Lebon N° Lexbase : A2056WNH ; lire N° Lexbase : N9633BWP) qui a saisi la Cour de justice de plusieurs questions préjudicielles.

La Cour commence par rappeler qu’elle a déjà jugé (CJUE, 13 mai 2014, aff. C-131/12 N° Lexbase : A9704MKM) que l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages internet, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages internet, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite.

La Cour souligne que, dans un monde globalisé, l’accès des internautes, notamment de ceux qui se trouvent en dehors de l’Union, au référencement d’un lien renvoyant à des informations sur une personne dont le centre d’intérêt se situe dans l’Union est susceptible de produire sur celle-ci des effets immédiats et substantiels au sein même de l’Union, de telle sorte qu’un déréférencement mondial serait de nature à rencontrer pleinement l’objectif de protection visé par le droit de l’Union. Elle précise néanmoins que de nombreux Etats tiers ne connaissent pas le droit au déréférencement ou adoptent une approche différente de ce droit. La Cour ajoute que le droit à la protection des données à caractère personnel n’est pas un droit absolu, mais doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. En outre, l’équilibre entre le droit au respect de la vie privée et à la protection des données personnelles, d’un côté, et la liberté d’information des internautes, de l’autre côté, est susceptible de varier de manière importante à travers le monde. Or, il ne ressort pas des textes que le législateur de l’Union a procédé à une telle mise en balance pour ce qui concerne la portée d’un déréférencement en dehors de l’Union, ni qu’il a fait le choix de conférer aux droits des individus une portée qui dépasserait le territoire des Etats membres. Il n’en ressort pas non plus qu’il aurait entendu imposer à un opérateur, tel que Google, une obligation de déréférencement portant également sur les versions nationales de son moteur de recherche qui ne correspondent pas aux Etats membres. Le droit de l’Union ne prévoit pas, qui plus est, d’instruments et mécanismes de coopération pour ce qui concerne la portée d’un déréférencement en dehors de l’Union.

Ainsi, la Cour conclut que, en l’état actuel, il n’existe pas, pour l’exploitant d’un moteur de recherche qui fait droit à une demande de déréférencement formulée par la personne concernée, le cas échéant, à la suite d’une injonction d’une autorité de contrôle ou d’une autorité judiciaire d’un Etat membre, d’obligation découlant du droit de l’Union de procéder à un tel déréférencement sur l’ensemble des versions de son moteur.

Le droit de l’Union oblige, toutefois, l’exploitant d’un moteur de recherche à opérer un tel déréférencement sur les versions de son moteur correspondant à l’ensemble des Etats membres et de prendre des mesures suffisamment efficaces pour assurer une protection effective des droits fondamentaux de la personne concernée. Enfin, la Cour constate que, si le droit de l’Union n’impose pas, en l’état actuel, un déréférencement sur l’ensemble des versions du moteur de recherche, il ne l’interdit pas non plus. Partant, les autorités des Etats membres demeurent compétentes pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux, une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur.

Dans un autre arrêt important rendu le même jour en matière de données personnelle et de déréférencement, la CJUE a notamment précisé que l’interdiction de traiter certaines catégories de données personnelles sensibles s’applique également aux exploitants de moteurs de recherche (CJUE, 24 septembre 2019, aff. C-136/17 N° Lexbase : A3916ZPQ ; lire N° Lexbase : N0484BYL).

© Reproduction interdite, sauf autorisation écrite préalable