Google a vu la Commission nationale de l’Informatique et des libertés (CNIL), l’ombudsman français à la vie privée, refuser ses efforts pour limiter la portée d’un jugement du plus haut tribunal de l’Union européenne visant à préserver le droit à l’oubli.
Le 13 mai 2014, la Cour de justice de l’Union européenne (CJUE) de justice avait jugé que les citoyens européens disposaient d’un droit à demander aux moteurs de recherche le déréférencement, sur toutes les extensions, de résultats en lien avec leur identité.
Le CNIL définit le déréférencement :
«Il s’agit de supprimer certains résultats figurant dans la liste affichée par un moteur de recherche après une requête effectuée à partir du nom d’une personne. Cette suppression ne signifie pas l’effacement de l’information sur le site internet source. Le contenu original est inchangé et est toujours accessible via les moteurs de recherche en utilisant d’autres mots clés de recherche ou en allant directement sur le site à l’origine de la diffusion. »
Dans sa décision de mai 2014, la CJUE estime que les droits de la personne justifient un déférencement pour tout motif raisonnable, sauf lorsque l’intérêt public l’exige, notamment sous l’angle du droit à l’information. Elle consolide ainsi le droit à l’oubli.
Comme le rapporte Le Monde :
«Plus précisément, les juges expliquent que même si des informations personnelles ont été agrégées dans un premier temps en toute légalité par un moteur de recherche, un internaute peut demander à un moteur de recherche de ne plus les utiliser si ces informations se révélaient dans un second temps « inadéquates, pas ou plus pertinentes ou excessives ».
Pour mettre en application cette décision, le législateur français a adopté la loi Informatique et libertés, qui a une portée extraterritoriale :
«La Charte des droits fondamentaux de l’Union européenne reconnait aux résidents européens des droits fondamentaux, dont le respect de la vie privée et familiale et la protection des données à caractère personnel. Si ces droits ne peuvent conduire à protéger des non-résidents européens, ils s’appliquent en revanche aux entreprises qui traitent les données des résidents européens. La protection accordée au citoyen européen doit, pour être effective, s’appliquer à l’ensemble du moteur de recherche, quitte, le cas échéant, à ce que cela ait des effets ponctuels en dehors de ce territoire.»
Google, qui avait reçu des dizaines de milliers de demandes d’internautes français, avait procédé au déréférencement sur certaines extensions européennes (.fr, .uk, .es) mais pas sur les autres terminaisons comme google.com. Ce qui n’était pas suffisant pour la CNIL, qui a mis en demeure Google en mai 2015 de faire du déréférencement sur les autres extensions de son moteur de recherche. Google a procédé en juillet 2015 à un recours d’appel, qui a été rejeté par la Présidente de la CNIL pour les motifs suivants :
«
- Les extensions géographiques ne sont qu’un chemin d’accès au traitement. Dès lors que le déréférencement est accepté par le moteur de recherche, il doit s’opérer sur toutes les extensions conformément à l’arrêt de la CJUE.
- Si le droit au déréférencement était limité à certaines extensions, il pourrait être facilement contourné : il suffirait de changer d’extension (ex : de faire une recherche en France sur google.com), c’est-à-dire de mode d’accès au traitement, pour retrouver le résultat du déréférencement. Cela reviendrait donc à priver d’effectivité ce droit, et à faire varier les droits reconnus aux personnes en fonction de l’internaute qui interroge le moteur et non en fonction de la personne concernée.
- En tout état de cause, le droit au déréférencement n’entraîne jamais la suppression de l’information d’internet mais empêche uniquement l’affichage de certains résultats sur le moteur en cas de recherche effectuée sur la seule base du nom de la personne. L’information reste donc accessible directement sur le site source ou par la recherche d’autres termes. Il n’est pas possible de déréférencer un évènement, par exemple.
- Par ailleurs, ce droit n’est pas absolu : il doit être concilié avec le droit à l’information du public, notamment lorsque la personne concernée est une personne publique, sous le double contrôle de la CNIL et du juge.
- Enfin, contrairement à ce qui a pu être indiqué par la société Google, cette décision ne traduit pas une volonté d’application extraterritoriale du droit français par la CNIL. Elle se borne à demander le plein respect du droit européen par des acteurs non européens offrant leurs services en Europe. »
L’appel étant rejeté, la société doit dès à présent se conformer aux directives de la CNIL. Ayant été condamné à une amende de 170,000 euros l’an passé pour son défaut de se conformer à la loi française, Google risque une amende de 340,000 euros si elle ne se conforme pas à la présente décision de la CNIL.
À quand un droit à l’oubli au Québec?