La décision très médiatisée rendue par la CJUE le 13 mai dernier ouvre de belles perspectives de dialogue entre droit et technologie, déjà concrétisées par la mise en ligne d'un formulaire de demande de désindexation du moteur de recherche de Google^[1]. A l'origine de cet arrêt rendu sur question préjudicielle d'une juridiction ibérique, un citoyen espagnol entendait faire disparaître du moteur de recherche Google Search certains liens s'affichant lors d'une requête effectuée à partir de son nom, qui exhumaient de son passé un passif depuis longtemps soldé et peut-être même oublié. Plus précisément, les liens en cause renvoyaient à des pages du quotidien espagnol La Vanguardia datant de 1998 et annonçant la vente aux enchères d'immeubles de cet individu suite à leur saisie pour le recouvrement de dettes.

Dans sa réclamation introduite auprès de l'AEPD en 2010 ("CNIL" espagnole), l'intéressé formulait une demande à la fois à l'encontre de l'organe de presse et contre les sociétés Google Spain et Google Inc. Il sollicitait que le premier soit tenu d'anonymiser l'annonce, de la supprimer, ou de la rendre invisible sur les moteurs de recherche. Il demandait également que soit ordonnées aux sociétés Google Spain ou Google Inc. la suppression ou l’occultation de ses données personnelles. L'autorité de contrôle avait rejeté la réclamation visant le journal mais l'avait accueillie à l'encontre des sociétés Google. L'AEPD avait en effet considéré que celles-ci réalisaient un traitement de données personnelles dont elles étaient responsables au sens de la législation en vigueur, fondement sur lequel elle avait ordonné aux sociétés de retirer les données et leur avait interdit de les indexer à l'avenir.

C'est contre cette décision que les sociétés Google ont exercé un recours, dans le cadre duquel la juridiction espagnole saisie a sollicité les lumières de la Cour de Justice. Celle-ci analyse de manière très convaincante les conditions d'application de la directive à un moteur de recherche avant d'interpréter le texte qu'elle adapte, dans le contexte contemporain, aux spécificités d'un tel outil.

I. L'applicabilité de la directive 95/46 aux activités d'un moteur de recherche

L'analyse du champ d'application matériel de la directive puis de son champ territorial pour déterminer l'applicabilité du texte aux sociétés Google apporte des précisions inédites sur les qualifications mobilisées.

A. La qualification de responsable de traitement au cœur du d'application champ matériel

La Cour identifie d'abord l'existence d'un traitement de données à caractère personnel réalisé par Google, puis retient sa qualité de responsable de ce traitement.

Au vu de la définition très large qu'en donne la directive (article 2, b), la qualification de "traitement de données à caractère personnel", qui s'entend de "toute opération ou ensemble d'opérations (…) appliquées à" de telles données, ne laissait guère de place à la discussion pour les activités d'un moteur de recherche. C'est donc sans surprise que la Cour la retient ici, s'appuyant sur la définition légale et sur son arrêt Lindqvist^[2], qui admettait déjà que "l'opération consistant à faire figurer, sur une page Internet, des données à caractère personnel, est à considérer comme un tel traitement".

Même en l'absence de tri pour sélectionner les seules données personnelles, le traitement est caractérisé dès lors que celles-ci sont "trouvées, indexées, stockées (…) et mises à la disposition de leurs utilisateurs". La Cour relève en effet que par ces opérations, Google «collecte», «extrait», «enregistre» et «organise» de telles données, les «conserve» sur ses serveurs et, le cas échéant, les «communique à» et «met à disposition de» ses utilisateurs (point 28). Que la collecte soit réalisée sur Internet est indifférent à la qualification, comme le rappelle la Cour^[3]. Une publication antérieure des données sur ce réseau n'exclut en effet pas l'existence d'un nouveau traitement, à d'autres fins le cas échéant que celles de la publication initiale.

Or, la qualification de "responsable de traitement" s'attache justement à celui qui "seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel" (article 2, d). Aussi la Cour retient-elle cette qualité à l'égard de Google, constatant que l'exploitant d'un moteur de recherche, même s'il n'exerce pas de contrôle sur les données puisqu'elles sont traitées de manière automatisée à partir de pages web de tiers, "détermine les finalités et les moyens de cette activité et ainsi du traitement de données à caractère personnel qu'il effectue", (points 32 à 34). La juridiction strasbourgeoise s'oppose sur ce point aux conclusions de l'avocat général, s'appuyant non pas sur une analyse technique du rôle des moteurs de recherche, conçus comme des intermédiaires neutres dans le relai de l'information, mais sur les conséquences de leur activité et les responsabilités qui doivent y être corrélées.

Ainsi par leur "rôle décisif dans la diffusion de l'information" (point 36), par leur "organisation et agrégation des informations publiées sur Internet", "permettant d'établir un profil plus ou moins détaillé" d'une personne (point 37), l'activité des moteurs de recherche a une portée qui va bien au-delà de celle des éditeurs de sites web. "Elle est donc susceptible d'affecter significativement et de manière additionnelle par rapport (à ces derniers) les droits fondamentaux de la vie privée et de la protection des données à caractère personnel", relève la Cour (point 38). A ces constats soulignant les risques auxquels les individus peuvent être exposés via un moteur de recherche, la Cour associe une responsabilité incombant à son exploitant. Il "doit assurer, dans le cadre de ses responsabilités" que son activité "satisfait aux exigences de la directive" (point 38). Mais par-delà le strict respect de la règle, c'est le "plein effet" des garanties prévues par le texte et la "protection efficace et complète des personnes concernées" auxquels doit contribuer l'exploitant. L'influence du projet de Règlement destiné à remplacer la directive 95/46 la Cour interprète la notion de responsable de traitement. Celui-ci est amené, à l'instar des prestataires intermédiaires dans la lutte contre la contrefaçon notamment, à prendre part au respect du Droit, à assumer ses responsabilités en somme.

B. La connexité entre les activités du responsable de traitement et de son établissement européen comme fondement de l'applicabilité territoriale

Selon l'article 4 §1 a), la directive est territorialement applicable lorsque "le traitement est effectué dans le cadre des activités d'un établissement du responsable du traitement sur le territoire de l'État membre". La société Google Spain, filiale espagnole de Google Inc., ayant une activité réelle et stable en Espagne, sa qualité d'établissement n'est pas sérieusement contestable. Aussi la Cour s'attache-t-elle à déterminer si le traitement des données personnelles est effectivement réalisé dans le cadre des activités de la société espagnole, limitées à la promotion des ventes des espaces publicitaires proposés sur le moteur de recherche. Convoquant l'effet utile de la directive, la Cour justifie une interprétation large de son champ territorial en soulignant l'objectif de "protection efficace et complète des libertés et des droits fondamentaux des personnes physiques qu’elle vise à assurer" (points 53 et 58), lequel ne doit pas permettre "que cette protection soit contournée". Or, bien que le traitement des données ne soit pas effectué par Google Spain mais par la société de Mountain View, les activités de deux entreprises sont "indissociablement liées" (point 56). Pour parvenir à cette conclusion, la Cour s'appuie sur deux observations : d'une part, les activités publicitaires de Google Spain rendent "économiquement rentable" le moteur de recherche en Espagne et permettent par-là même ses activités ; d'autre part, les publicités sont liées aux termes des recherches et affichées sur la même page que les résultats trouvés. Elle en infère que le si le responsable du traitement est Google Inc., les données personnelles sont néanmoins traitées sur le territoire espagnol "dans le cadre de l'activité publicitaire et commerciale" de sa filiale, l'établissement Google Spain.

II. L'adaptation de la directive au rôle incontournable des moteurs de recherche à l'ère du web 2.0

Dans une interprétation résolument contemporaine de la directive, la Cour consacre un droit à la désindexation permettant aux personnes physiques d'obtenir de l'exploitant d'un moteur de recherche le déréférencement de certaines de ses données. Elle trace également les contours que pourrait revêtir un "droit à l'oubli" lié au rôle majeur des moteurs de recherche dans l'exploration des archives numériques.

A. La consécration d'un droit à la désindexation

Pour consacrer ce droit à la désindexation la Cour s'appuie sur deux fondements principaux. L'un, tenant aux droits prévus par la directive au profit des personnes physiques, est interprété à la lumière de l'autre, qui repose sur les droits fondamentaux de celles-ci et permet à la Cour de justifier une interprétation actualisée du texte en considération "du rôle important que jouent Internet et les moteurs de recherche dans la société moderne" (point 80).

Pour admettre que l'exploitant d'un moteur de recherche puisse être obligé de désindexer certains résultats en relation avec le nom d'une personne, la Cour s'appuie d'une part sur les droits à la rectification, à l'effacement ou au verrouillage (article 12-b de la directive), d'autre part sur le droit de s'opposer au traitement de ses données "pour des raisons prépondérantes et légitimes tenant à (la) situation particulière" de la personne concernée (article 14, al. 1^er, a). Les premiers peuvent être exercés "notamment lorsque les données traitées sont incomplètes ou inexactes" selon le texte, mais encore, selon la Cour, dans tous les cas où le traitement ne respecterait pas les exigences de qualité posées par l'article 6 (point 72). Il en résulte que si les données n'étaient pas "collectées pour des finalités déterminées, explicites et légitimes" ou faisaient l'objet d'un traitement ultérieur "incompatible avec ces finalités" par exemple, le responsable du traitement devrait alors "prendre toutes mesures raisonnables" pour les effacer ou les rectifier. Quant au droit d'opposition, les circonstances personnelles qui permettent de l'invoquer sont directement examinées dans l'arrêt au prisme des droits fondamentaux, second fondement à la consécration d'un droit à la désindexation.

Celui-ci repose ainsi sur l'affirmation en l'occurrence d'une prévalence des droits fondamentaux des personnes physiques. La Cour relève ici que les droits au respect de la vie privée et à la protection des données personnelles, protégés par la directive et désormais inscrits dans la Charte de l'Union (respectivement articles 7 et 8), peuvent être significativement affectés par les activités d'un moteur de recherche. Celui-ci permet un aperçu structuré d'informations relatives à une personne, "touchant potentiellement à une multitude d'aspects de sa vie privée", et dont l'accessibilité et la visibilité se trouvent démultipliées par cet outil (point 80). Une telle agrégation d'informations personnelles n'a pas la même portée que leur publication isolée sur un site web et ne s'inscrit pas dans la même perspective.

C'est essentiellement sur cette différence de finalité et sur "la gravité potentielle" de l'ingérence dans les droits fondamentaux des personnes physiques (point 81) que la Cour fonde le droit à la désindexation. Elle affirme à cet égard la prépondérance des droits fondamentaux au respect de la vie privée et à la protection des données personnelles, tant par rapport aux intérêts de l'exploitant d'un moteur de recherche qu'à ceux des internautes "potentiellement intéressés à avoir accès" à de telles informations intrusives. S'agissant du premier, la Cour ne s'attarde pas sur ses intérêts économiques, mais reste également peu précise sur sa légitimité à traiter des données personnelles. Elle se contente d'affirmer que, parmi les six fondements au traitement listés à l'article 7, celui en cause "est susceptible de relever" du f), cas où le traitement est "nécessaire à la réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l'intérêt ou les droits et libertés fondamentaux de la personne concernée" (point 73 et 74). Sans approfondir ce motif, elle en tire néanmoins une nouvelle justification de sa pondération en faveur de la protection des personnes physiques, et partant, de leur droit à la désindexation. Quant aux intérêts des internautes, elle admet qu'ils puissent prévaloir "dans des cas particuliers", en vertu de deux facteurs : la nature de l'information et sa "sensibilité pour la vie privée de la personne concernée" d'une part, l'intérêt du public à disposer de l'information d'autre part (point 81).

Pour autant, le droit à la désindexation n'est pas un droit opposable erga omnes. Il constitue une créance contre le seul exploitant du moteur de recherche, née des spécificités de l'outil, sans que les droits des éditeurs de sites web n'en soient pour autant affectés. Ce droit ne nait en outre, dans la situation envisagée par la Cour, que lorsque la liste des résultats est obtenue à partir du nom d'une personne. En d'autres termes, ce droit n'est ici consacré que pour lagooglelisation d'un individu.

B. Le germe d'une reconnaissance d'un "droit à l'oubli"

Par-delà l'ingérence potentielle dans les droits fondamentaux au respect de la vie privée et à la protection des données personnelles, la Cour esquisse les contours que pourrait revêtir un "droit à l'oubli", tant débattu et pourtant abandonné par le projet de règlement européen dans sa dernière mouture^[4]. Ce droit à ce qu'une information "relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d'une recherche effectuée à partir de son nom" (point 99) repose sur une temporalité que le droit à la désindexation n'intègre pas nécessairement.

Dans son analyse sur "la portée des droits de la personne concernée garantis par la directive" (3^ème question), la Cour s'attache à l'ancienneté de la publication en cause, datant de 16 ans et exhumée par Google Search de pages d'archives d'un quotidien. Ainsi, face à la puissance d'un tel outil, le temps passé peut justifier à lui seul, selon la Cour, un droit de mettre à l'abri du grand public certaines informations personnelles. A lui seul, car "la constatation d’un tel droit" n'est subordonnée à l'existence d'un préjudice (point 96). Et c'est précisément parce que cet outil puissant est mis entre toutes les mains que les droits fondamentaux de la personne doivent prévaloir, afin de la protéger l'intéressé d'une potentielle curiosité généralisée, contre laquelle il serait sans défense. Elle réserve bien sûr l'hypothèse où le public aurait un intérêt prépondérant à l'information. Mais cette situation, qui selon l'arrêt pourrait par exemple tenir au rôle joué par la personne concernée dans la vie publique, demeure une exception au principe de protection.

En définitive, la Cour restaure une place à la volonté de l'individu face à la technologie, suivant l'esprit du projet de règlement européen. Dans cette logique, il est cohérent qu'elle circonscrive dans l'arrêt l'exercice du "droit à l'oubli" à l'encontre seulement de l'exploitant du moteur de recherche, sans qu'une suppression n'ait à être demandée à l'éditeur du site web auquel renvoie le lien. La solution est bienvenue, d'autant qu'en l'occurrence l'information avait été publiée dans le cadre d'une annonce légale.

Notes de bas de page

• https://support.google.com/legal/contact/lr_eudpa?product=websearch&hl=fr.
• Aff. C-101/01, 6 nov. 2003, EU:C:2003:596, point 25.
• Citant son arrêt arrêt Satakunnan Markkinapörssi et Satamedia, du 16 déc. 2008, aff. C-73/07, EU:C:2008:727, points 48 et 49.
• 2012/0011 (COD) tel qu'amendé par résolution législative du Parlement européen du 12 mars 2014, http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+20140312+ITEMS+DOC+XML+V0//FR&language=FR#sdocta5.