CJUE, 24 septembre 2019, CC, AF, BH, ED c. Commission nationale de l’informatique et des libertés, C-136/17.
La Commission nationale de l’informatique et des libertés (Cnil) ayant refusé, sur demande de différentes personnes qui avaient été impliquées dans diverses procédures judiciaires, de mettre en demeure Google, exploitant un moteur de recherche, « de procéder à des déréférencements de divers liens inclus dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir de leur nom, et menant vers des pages web publiées » par divers organes d’information, les intéressés ont saisi le Conseil d’État de ce refus. Celui-ci décida de surseoir à statuer et adressa à la Cour de justice de l’Union européenne (CJUE) diverses questions préjudicielles relatives à l’interprétation qu’il convient de faire, à cet égard, des dispositions de la directive 95/46/CE, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (telle qu’en vigueur à l’époque des faits et aujourd’hui remplacée par le règlement (UE) 2016/679, du 27 avril 2016, ayant le même objet).
Dans l’arrêt rendu, le 24 septembre 2019, la CJUE posa notamment que les moteurs de recherche sont soumis aux obligations relatives à la protection des données à caractère personnel qui s’imposent aux traitements de données et que, dans le même temps, ils doivent être considérés comme bénéficiaires de certaines des dérogations prévues, à cet égard, au profit notamment des activités d’information et de la liberté d’expression.
Moteurs de recherche soumis aux obligations
Par la première question posée, il était demandé à la Cour de justice de dire si les dispositions de la directive concernant les traitements de données à caractère personnel s’appliquent « à l’exploitant d’un moteur de recherche […] en tant que responsable du traitement effectué pour les besoins du fonctionnement de ce moteur ».
L’arrêt pose que « l’activité d’un moteur de recherche, consistant à trouver des informations publiées ou placées sur l’Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné, doit être qualifiée de « traitement de données à caractère personnel » […] lorsque ces informations contiennent des données à caractère personnel ». Il estime que « l’exploitant de ce moteur de recherche doit être considéré comme « responsable » dudit traitement ». Il ajoute que « le traitement de données à caractère personnel effectué dans le cadre de l’activité d’un moteur de recherche se distingue de et s’ajoute à celui effectué par les éditeurs de sites web » et « joue un rôle décisif dans la diffusion globale desdites données en ce qu’elle rend celles-ci accessibles à tout internaute effectuant une recherche à partir du nom de la personne concernée ».
Il en est déduit que, « dans la mesure où l’activité d’un moteur de recherche est susceptible d’affecter, significativement et de manière additionnelle par rapport à celle des éditeurs de sites web, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, l’exploitant de ce moteur, en tant que personne déterminant les finalités et les moyens de cette activité, doit s’assurer […] que celle-ci satisfait aux exigences de la directive 95/46 pour que les garanties prévues par celle-ci puissent développer leur plein effet et qu’une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée ». Soumis aux obligations qui pèsent, à cet égard, sur les traitements de données, les moteurs de recherche doivent, dans le même temps, bénéficier des dérogations qui leur sont accordées.
Moteurs de recherche bénéficiaires des dérogations
Alors que la directive réglemente notamment les conditions restrictives dans lesquelles peuvent être traitées des données personnelles relatives à des affaires judiciaires, comme celles concernant, en l’espèce, les personnes ayant formulé des demandes de déréférencement, des dérogations y sont prévues en faveur de la liberté d’expression et des activités d’information « aux seules fins de journalisme ou d’expression artistique ou littéraire ». Cela peut-il s’appliquer aux moteurs de recherche et justifier leur refus de satisfaire des demandes de déréférencement ?
L’arrêt pose que « le droit à la protection des données à caractère personnel n’est pas un droit absolu, mais doit […] être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité ». Il considère que « l’exploitant d’un moteur de recherche, lorsqu’il est saisi d’une demande de déréférencement, doit vérifier […] si l’inclusion du lien vers la page web en question dans la liste affichée à la suite d’une recherche effectuée à partir du nom de la personne concernée est nécessaire à l’exercice du droit à la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche » et que, « si les droits de la personne concernée […] prévalent, en règle générale, sur la liberté d’information des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier notamment en fonction du rôle joué par cette personne dans la vie publique ».
Il en résulte selon la Cour que « lorsque l’exploitant d’un moteur de recherche est saisi d’une demande de déréférencement portant sur un lien vers une page web sur laquelle des données à caractère personnel relevant de catégories particulières […] sont publiées, cet exploitant doit […] compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel […] vérifier, au titre des motifs d’intérêt public […] si l’inclusion de ce lien dans la liste des résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page au moyen d’une telle recherche ».
D’une manière plus spécifique aux situations en cause, l’arrêt ajoute que « les informations relatives à une procédure judiciaire dont une personne physique a été l’objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé constituent des données relatives aux « infractions » et aux « condamnations pénales » » et que « l’exploitant d’un moteur de recherche est tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle, dans la mesure où il est constaté […] que, eu égard à l’ensemble des circonstances de l’espèce, les droits fondamentaux de la personne concernée […] prévalent sur ceux des internautes potentiellement intéressés ».
Ainsi éclairée, il appartient, à la juridiction française ayant saisi la Cour de justice, d’apprécier si, dans les cas d’espèce, le déréférencement des informations en cause s’imposait ou non au moteur de recherche.
