[Brèves] Droit au déréférencement : le Conseil d’Etat tire les conséquences des arrêts de la CJUE et en précise la portée géographique

► Est annulée la sanction infligée par la CNIL à Google à raison de son refus de faire droit aux demandes de déréférencement sur l’ensemble des versions de son moteur de recherche, l’obligation de déréférencement résultant du droit de l’UE étant limitée aux versions correspondant aux Etats membres et la CNIL ne pouvant d’elle-même imposer un déréférencement mondial.

Tel est le sens d’un arrêt rendu par le Conseil d’Etat le 27 mars 2020 (CE 9° et 10° ch.-r., 27 mars 2020, n° 399922, publié au recueil Lebon N° Lexbase : A53703K4).

L’affaire. Le 21 mai 2015, la présidente de la Commission nationale de l'informatique et des libertés (CNIL) a mis en demeure Google, lorsqu'elle fait droit à une demande d'une personne physique tendant à la suppression de la liste des résultats, affichée à la suite d'une recherche effectuée à partir de son nom, de liens menant vers des pages web, d'effectuer cette suppression sur toutes les extensions de nom de domaine de son moteur de recherche. Par une délibération du 10 mars 2016, après avoir constaté que la société ne s'était pas, dans le délai imparti, conformée à cette mise en demeure, la formation restreinte de la CNIL a prononcé à son encontre une sanction, rendue publique, de 100 000 euros. Google a alors demandé l'annulation de cette délibération.

La décision.

Rappel de l’arrêt de la CJUE du 24 septembre 2019 (CJUE, 24 septembre 2019, aff. C-507/17 N° Lexbase : A3917ZPR ; lire les obs. de C. Le Goffic N° Lexbase : N0703BYP).

Le Conseil d’Etat rappelle en premier lieu que par son arrêt du 24 septembre, la CJUE a dit pour droit que : « l'article 12, sous b), et l'article 14, premier alinéa, sous a), de la Directive 95/46/CE du 24 octobre 1995 (N° Lexbase : L8240AUQ) […], ainsi que l'article 17, paragraphe 1, du Règlement n° 2016/679 du 27 avril 2016 (N° Lexbase : L0189K8I ; « RGPD »), […] doivent être interprétés en ce sens que, lorsque l'exploitant d'un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d'opérer ce déréférencement non pas sur l'ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l'ensemble des Etats membres et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d'empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l'un des Etats membres d'avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l'objet de cette demande ».

Application à l’affaire.

Le Conseil d’Etat estime, dès lors, qu'en sanctionnant Google au motif que seule une mesure s'appliquant à l'intégralité du traitement liée au moteur de recherche, sans considération des extensions interrogées et de l'origine géographique de l'internaute effectuant une recherche, est à même de répondre à l'exigence de protection telle qu'elle a été consacrée par la Cour de justice de l'Union européenne, la formation restreinte de la CNIL a entaché la délibération attaquée d'erreur de droit.

En outre, pour le Conseil d'Etat, si la CNIL soutient en défense que la sanction contestée trouve son fondement dans la faculté que la Cour de justice a reconnue aux autorités de contrôle d'ordonner de procéder à un déréférencement portant sur l'ensemble des versions d'un moteur de recherche, il ne résulte, en l'état du droit applicable, d'aucune disposition législative qu'un tel déréférencement pourrait excéder le champ couvert par le droit de l'Union européenne pour s'appliquer hors du territoire des Etats membres de l'Union européenne. Au surplus, ajoute-t-il, une telle faculté ne peut être ouverte qu'au terme d'une mise en balance entre, d'une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d'autre part, le droit à la liberté d'information. Or, il ressort des termes mêmes de la délibération attaquée que, pour constater l'existence de manquements persistants et reprocher à la société Google d'avoir méconnu l'obligation de principe de procéder au déréférencement portant sur l'ensemble des versions d'un moteur de recherche, la formation restreinte de la CNIL n'a pas effectué une telle mise en balance.

La décision de la CNIL est donc annulée.

© Reproduction interdite, sauf autorisation écrite préalable