Le 24 mars 2016, la Commission Nationale de l’Informatique et des Libertés (CNIL) a publiquement annoncé que sa formation restreinte avait prononcé, le 10 mars 2016, une sanction pécuniaire de 100.000 euros à l’encontre de Google Inc. pour ne pas avoir mis en œuvre, dans le délai imparti, un “mécanisme de déréférencement couvrant l’ensemble des extensions du moteur de recherche, quelles que soient l’extension utilisée et l’origine géographique de la personne effectuant la recherche” et permettant, selon la CNIL, d’assurer “une protection effective” du droit à l’oubli.
Cette décision est l’occasion de revenir sur le “droit à l’oubli” et de faire le constat des divergences que suscite cette nouvelle notion de chaque côté de l’Atlantique.
François-Xavier Boulin, counsel chez BCTG Avocats
Par un arrêt “Costeja” du 13 mai 2014, la Cour de Justice de l’Union Européenne a reconnu le droit pour les internautes résidant en Europe d’obtenir des moteurs de recherche internet, sous certaines conditions, le déréférencement des informations les concernant et qui leur sont préjudiciables en ce qu’elles portent atteinte à leur vie privée ou constituent des informations erronées ou trop datées.
Ce “droit à l’oubli” trouve son fondement juridique à la fois dans la législation européenne sur la protection des données à caractère personnel (et en particulier la Directive n°95/46 du 24 octobre 1995), mais également sur le droit au respect de la vie privée garanti par la Charte des droits fondamentaux de l’Union européenne.
Les principaux opérateurs du web ont aujourd’hui mis en place les outils permettant aux internautes européens d’exercer ce droit à l’oubli, à l’instar de Google qui a déjà reçu plus de 400.000 demandes (dont 88.000 demandes pour la France seulement) concernant près d’1,5 millions d’URL et déclare avoir répondu “positivement” à 51,7 % d’entre elles.
Le refus de déréférencement ou les réponses insatisfaisantes d’un moteur de recherche peuvent être contestés notamment auprès de l’autorité nationale de protection des données à caractère personnel.
C’est ainsi que, saisie par des internautes français qui s’étaient vu refuser le déréférencement de liens les concernant sur « Google Search », la CNIL a demandé à Google Inc. de procéder au déréférencement de plusieurs résultats sur l’ensemble de son moteur de recherche et quelle que soit l’extension géographique de celui-ci (« .fr », « .com »…).
Google Inc. n’ayant procédé au déréférencement que sur les extensions géographiques européennes, la CNIL l’a officiellement et publiquement mise en demeure le 21 mai 2015 d’avoir à procéder au déréférencement sur toutes les extensions dans un délai de 15 jours.
Faute d’avoir intégralement déféré à cette mise en demeure, la CNIL a convoqué Google Inc. à devoir s’expliquer devant sa formation restreinte le 28 janvier 2016.
Quelques jours avant cette audience, Google Inc. a proposé à la CNIL de mettre en place, en sus du déréférencement sur toutes les extensions européennes qu’elle organisait déjà, un filtrage selon l’origine géographique de l’internaute consultant le moteur de recherche, permettant d’empêcher l’affichage du contenu litigieux pour les internautes du même pays d’origine que le plaignant.
Cette proposition n’a pas convaincu la CNIL qui, dans son commentaire de la décision du 10 mars 2016, réitère que « le droit au déréférencement est dérivé du droit au respect de la vie privée, qui est un droit fondamental universellement reconnu, issu d’instruments internationaux de protection des droits de l’Homme » et que « seul un déréférencement sur l’ensemble des extensions du moteur de recherche, quelles que soient l’extension utilisée et l’origine géographique de la personne effectuant la recherche, permet d’assurer une protection effective de ce droit ».
La CNIL a considéré que la solution proposée par Google Inc. ne permettait pas d’assurer la protection des droits de la personne concernée dans la mesure où ses relations personnelles ou professionnelles établies en dehors de l’Union Européenne pourraient toujours avoir accès au contenu litigieux, tout comme des résidents européens utilisant une IP non française et consultant une extension non européenne du moteur de recherche ou ceux utilisant une solution technique permettant de contourner la mesure de filtrage.
La CNIL réclame donc un déréférencement pour l’ensemble des extensions du moteur de recherche, et donc pour tout accès au moteur de recherche, quelle que soit la situation ou l’origine géographique de l’accès au moteur de recherche.
De son côté, le géant du web considère que le principe du « droit à l’oubli », issu de la jurisprudence européenne et fondé sur des principes de droit européen, ne peut le contraindre à modifier les conditions d’accès à son moteur de recherche pour les internautes partout ailleurs dans le monde.
Il est vrai que la notion de « droit à l’oubli » n’existe pas, à ce jour, en dehors du territoire communautaire et aux Etats-Unis en particulier où le principe constitutionnel de liberté d’expression et son corollaire du droit à l’information ont tendance à l’emporter sur les notions de protection des droits individuels, et sur celle du droit à la vie privée en particulier. Les décisions de rejet de déréférencement de Google sont d’ailleurs généralement fondées sur le droit à l’information et la liberté d’expression des internautes.
Il est également vrai que les sanctions encourues sont, aujourd’hui encore, plutôt faibles.
Google Inc. risquait une amende de 150.000 euros ; elle a été condamnée à 100.000 euros.
Quelle sera sa position lorsque les amendes pourront atteindre 20 millions d’euros ou correspondre à 4 % du chiffre d’affaires mondial comme cela est prévu dans le projet de la loi sur la République Numérique et dans le Règlement européen sur les données personnelles actuellement en discussion ?
Google Inc. dispose d’un délai de deux mois à compter de la notification de la décision pour former appel devant le Conseil d’Etat.