Portée territoriale de l’obligation de déférencement de l’exploitant d’un moteur de recherche

Dans une décision de 21 mai 2015, la CNIL avait ordonné à la société Google LLC d’appliquer la suppression des liens demandée par un particulier à toutes les versions nationales  du moteur qu’elle exploite, autrement dit dans tous les pays desservis par ce moteur. En effet, les pages supprimées par un déréférencement ne disparaissent que lorsque la recherche s’effectue sur les extensions des états de l’UE (ex : google.fr, google.es…). Mais si la recherche se fait sur une autre extension comme google.com les pages retirées sont accessibles.

Google n’avait pas tenu compte de la décision de la CNIL et s’était limité à supprimer les liens des seuls résultats affichés en réponse à des recherches effectuées sur les versions nationales du moteur dans l’Union européenne. La CNIL avait alors prononcé une sanction sous forme d’une amende de 100 000 euros à l’encontre de Google. Cette dernière avait alors saisi le Conseil d‘Etat pour obtenir l’annulation de la sanction.

Estimant que la solution du litige exigeait de clarifier l’interprétation de la directive 95/46, le Conseil d’Etat avait sursis à statuer pour poser à la Cour de Justice de l’Union européenne plusieurs questions préjudicielles que l’on peut en résumer, en substance, ainsi : quelle est la portée géographique du “droit au déréférencement” ? Peut-il avoir un effet extraterritorial comme l’ont certaines règles de droit communautaire (par exemple en droit de la concurrence ou en matière de marques) ?

Dans ses conclusions, l’avocat général avait souligné que la réponse à la question implique de mettre en balance le droit à la protection des données et à la vie privée et d’autre part, l’intérêt légitime du public à accéder à l’information recherchée (conclusions de l’avocat général, M. Maciej Szpunar, présentées le 10 janvier 2019, point 67 et suivants). Ce qui l’avait conduit à se prononcer contre l’obligation de déréférencement à l’échelle mondiale.

Sans reprendre son argumentation dans le détail, la Cour suit son avocat général (CJUE, 24 septembre 2019, aff.C-507/17, Google LLC, venant aux droits de Google Inc./ Commission nationale de l'informatique et des libertés (CNIL). Certes, remarque-t-elle, le droit communautaire a pour objectif de garantir un niveau élevé de protection des données personnelles, et un déréférencement sur l’ensemble des versions d’un moteur de recherche permettrait d’atteindre pleinement cet objectif (point 55). Mais, ajoute la Cour, « de nombreux États tiers ne connaissent pas le droit au déréférencement ou adoptent une approche différente de ce droit » (point 59). Et « l’équilibre entre le droit au respect de la vie privée et à la protection des données à caractère personnel, d’un côté, et la liberté d’information des internautes, de l’autre côté, est susceptible de varier de manière importante à travers le monde » (point 60). Or, ni la directive 95/46 ni le règlement 2016/679 ne permettent de conférer à la protection des données personnelles une portée dépassant le cadre de l’Union européenne (point 62). C’est pourquoi conclut le juge communautaire, il ne peut y avoir de déférencement mondial. Opter pour une solution contraire aurait créé des difficultés d’application : comment les autorités européennes pourraient-elles imposer un déférencement mondial alors qu’il n’existe pas de consensus entre les états sur les droits en cause comme le relève la Cour?

La Cour apporte ensuite des précisions sur la façon dont s’exerce l’obligation de déférencement à l’intérieur de l’Union européenne.

En premier lieu, le droit de l’Union oblige l’exploitant d’un moteur de recherche à mettre en œuvre le déréférencement sur les versions de son moteur correspondant à l’ensemble des états membres de l’UE. Il doit également prendre si c’est nécessaire « des mesures suffisamment efficaces pour assurer une protection effective des droits fondamentaux de la personne concernée » (point 70), de manière à « empêcher ou, à tout le moins, de sérieusement décourager les internautes dans les états membres d’avoir accès aux liens en cause à partir d’une recherche effectuée sur la base du nom de cette personne » (point 70). Ce seront aux juges nationaux de vérifier que ces mesures sont suffisantes.

En second lieu, le droit de l’UE n’impose ni n’interdit un déréférencement sur l’ensemble des versions du moteur de recherche en vigueur dans les états de l’UE. Il appartient aux autorités nationales de décider, après avoir mis en balance le droit au respect de la vie privée et le droit à l’information.

Voir aussi:

Interdiction de traitement des données personnelles sensibles par un exploitant de moteur de recherche