Tweeter

Conseil d’Etat, section du contentieux, 10ème et 9ème ch. réunies, décision du 27 mars 2020

Google Inc.

autorité de contrôle - déréférencement - données personnelles - droit d'opposition - moteur de recherche - territorialité

Par une décision du 19 juillet 2017, le Conseil d’Etat, statuant au contentieux sur la requête de la société Google Inc. tendant à l’annulation de la délibération n° 2016-054 du 10 mars 2016 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une sanction, rendue publique, de 100 000 euros, a sursis à statuer jusqu’à  ce que la Cour de justice de l’Union européenne se soit prononcée sur les questions de savoir :

1°) si le « droit au déréférencement  » tel qu’il  a été consacré par la Cour de justice de l’Union  européenne dans son arrêt du 13 mai 2014 sur le fondement  des dispositions  des articles  12, sous  b}, et 14,  sous  a}, de la directive du 24 octobre 1995, doit être interprété en ce sens que l’exploitant d’un moteur de recherche est tenu, lorsqu’il fait droit à une demande de déréférencement,   d’opérer   ce  déréférencement   sur  l’ensemble des  noms  de domaine de son moteur de telle sorte que les liens litigieux n’apparaissent plus quel que soit le lieu à partir duquel la recherche lancée sur le nom du demandeur est effectuée, y compris hors du champ d’application territorial de la directive du 24 octobre 1995 ;

2°) en cas de réponse positive à cette première question, si le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant d’un  moteur de recherche est seulement tenu, lorsqu’il  fait droit à une demande de déréférencement,  de supprimer les liens litigieux des résultats affichés à la suite d’une  recherche effectuée à partir du nom du demandeur sur le nom de domaine correspondant à l’Etat où la demande est réputée avoir été effectuée ou, plus généralement, sur les noms de domaine du moteur de recherche qui correspondent aux extensions nationales de ce moteur pour l’ensemble des Etats membres de l’Union européenne ;

3°) en outre, si, en complément de l’obligation évoquée au 2°, le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant d’un moteur de recherche faisant droit à une demande de déréférencement est tenu de supprimer, par la technique dite du«  géo-blocage », depuis une adresse IP réputée localisée dans l’Etat de résidence du bénéficiaire du « droit au déréférencement », les résultats litigieux des recherches effectuées à partir de son nom, ou même, plus généralement, depuis une adresse IP réputée localisée dans l’un des Etats membres soumis à la directive du 24 octobre 1995, ce indépendamment du nom de domaine utilisé par l’internaute  qui effectue la recherche.

Par un arrêt C-507117 du 24 septembre 2019, la Cour de justice de l’Union européenne s’est prononcée sur ces questions.

Par un nouveau mémoire et un mémoire en réplique, enregistrés les 26 novembre 2019 et 21 janvier 2020, la société Google LLC persiste dans ses conclusions. Elle soutient que la formation restreinte de la CNIL a entaché sa délibération d’une erreur de droit en retenant le principe d’un déréférencement mondial et que la solution technique mise en œuvre pour assurer le déréférencement satisfait aux exigences posées par le droit de l’Union européenne tel qu’interprété par la Cour de justice de l’Union européenne.

Par deux nouveaux mémoires en défense, enregistrés les 29 novembre 2019 et 6 février 2020, la CNIL conclut au rejet de la requête. Elle soutient que l’arrêt de la Cour de justice de l’Union européenne n’interdit pas qu’une autorité de contrôle nationale ordonne la mise en œuvre d’un déréférencement mondial et que la solution technique mise en œuvre par Google pour assurer le déréférencement ne satisfait pas aux exigences de protection effective des données personnelles.

Par une intervention, enregistrée le 13 janvier  2020, Wikimedia Foundation Inc. demande que le Conseil d’Etat fasse droit aux conclusions de la requête de la société Google Inc. Elle soutient que la formation restreinte de la CNIL ne pouvait ordonner un déréférencement mondial qu’à l’issue d’une  mise en balance entre le droit au respect de la vie privée et à la protection des données personnelles et le droit à l’information propre à un cas d’espèce et non par un raisonnement de principe.

Par une intervention, enregistrée le 28 janvier 2020, la société Microsoft Corporation demande que le Conseil d’Etat fasse droit aux conclusions de la requête de la société Google Inc. Elle soutient que la formation restreinte  de la CNIL ne pouvait  ordonner  un déréférencement  mondial  qu’à l’issue  d’une  mise en balance entre le droit au respect de la vie privée et à la protection des données personnelles et le droit à l’information propre à un cas d’espèce et non par un raisonnement de principe et que la CNIL a commis une erreur de droit en écartant la solution technique de déréférencement proposée par la société Google qui satisfait aux exigences du droit afférent.

Vu les autres pièces du dossier, y compris celles qui ont été visées par la décision du Conseil d’Etat  du 19 juillet 2017 ;

Vu :

–  la  convention   européenne   de  sauvegarde  des  droits  de l’homme et des libertés fondamentales ;
– la Charte des droits fondamentaux de l’Union européenne ;
le règlement  (UE)  2016/679  du Parlement  européen et du Conseil du 27 avril 2016 ;
– la loi n° 78-17 du 6 janvier 1978 ;
– l’arrêt de la Cour de justice de l’Union européenne du 13 mai 2014, Google Spain SL, Google Inc. contre Agencia Espafiola de Protecci6n de Datos, Mario Costeja Gonzàlez (C-131/12) ;
– l’arrêt de la Cour de justice de l’Union  européenne  du 24 septembre 2019, Google LLC contre CNIL (C-507/17) ;
– le code de justice administrative ;

Après avoir entendu en séance publique :

– le rapport de Mme Christelle Thomas, maître des requêtes en service extraordinaire,

– les conclusions de M. Alexandre Lallet, rapporteur public ;

La parole ayant été donnée, avant et après les conclusions, à la SCP Spinosi,  Sureau, avocat  de la société  Google  LLC., à la SCP  Piwnica, Molinié, avocat de Wikimedia Foundation Inc, à la SCP Baraduc, Duhamel, Rameix, avocat de Microsoft Corporation, à Me Haas, avocat de Reporters Committee for Freedom of the Press et autres, à la SCP Tapie, Rousseau-Tapie, avocat de l’association Article 19 et autres ;

Considérant ce qui suit :

1. Wikimedia Foundation Inc, et la société Microsoft justifient d’un intérêt suffisant à l’annulation de la délibération attaquée. Ainsi, leurs interventions sont recevables.
2. Il résulte de l’instruction que, par une décision du 21 mai 2015, la présidente de la Commission nationale de l’informatique et des libertés (CNIL)  a mis en demeure  la société Google Inc., lorsqu’elle fait droit à une demande  d’une   personne  physique  tendant  à la  suppression  de  la  liste  des résultats, affichée à la suite d’une  recherche effectuée à partir de son nom, de liens menant vers des pages web, d’effectuer cette suppression  sur toutes les extensions de nom de domaine de son moteur de recherche. Par une délibération du 10 mars 2016, après avoir constaté que la société ne s’était  pas, dans le délai imparti, conformée à cette mise en demeure, la formation restreinte de la CNIL a prononcé à son encontre une sanction, rendue publique, de 100 000 euros. La société Google Inc. demande l’annulation de cette délibération.
3. D’une part, l’article 45 de la loi du 6 janvier 1978, dans sa rédaction applicable à la date de la délibération attaquée, dispose que : « I -La formation restreinte de la Commission nationale de l’informatique et des libertés peut prononcer, après une procédure contradictoire, un avertissement à l’égard du responsable d’un traitement qui ne respecte pas les obligations découlant de la présente loi. Cet avertissement a le caractère d’une sanction. / Le président de la commission  peut également  mettre en demeure  ce responsable  de faire cesser le manquement  constaté dans un délai qu’il fixe. En cas d’urgence, ce délai peut être ramené à cinq jours./ Si le responsable du traitement se conforme à  la  mise  en  demeure  qui  lui  est  adressée,  le  président  de  la  commission prononce  la  clôture  de  la  procédure. / Dans le  cas  contraire,  la  formation restreinte peut prononcer à son encontre, après une procédure contradictoire, les  sanctions  suivantes  : / 1°  Une  sanction  pécuniaire,  dans  les  conditions prévues par l’article 47, à l’exception des cas où le traitement est mis en œuvre par l’Etat ; (…) ». Ces dispositions assuraient la mise en œuvre en droit national des dispositions alors en vigueur de l’article 24 de la directive 95/46/CE du 24 octobre 1995, qui laissait aux Etats membres le soin de déterminer les sanctions à appliquer « en cas de violation des dispositions prises en application de cette directive ».
4. D’autre part, l’article 38 de la loi du 6 janvier 1978, dans sa rédaction applicable à la date de la délibération attaquée, dispose que : « Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement. / Elle a le droit de s’opposer, sans frais, à ce que les données  la concernant soient  utilisées  à  des  fins  de  prospection,  notamment  commerciale,  par  le responsable   actuel  du  traitement   ou  celui  d’un  traitement  ultérieur. / Les dispositions du premier alinéa ne s’appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte autorisant le traitement». Ces dispositions assuraient la mise en œuvre en droit national des dispositions de l’article 12, sous b) et de l’article 14, sous  a), de la directive  du 24 octobre 1995,  desquelles découle un « droit au déréférencement »des données à caractère personnel. Elles doivent dès lors être interprétées à la lumière de ces dispositions, auxquelles s’est substitué  l’article 17  du  règlement  2016/679  du  27  avril  2016  relatif  à  la protection  des  personnes  physiques  à l’égard  du  traitement  des  données  à caractère  personnel  et  à la libre  circulation  de  ces  données  et  abrogeant  la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données, qui consacre un tel« droit à l’effacement», également dénommé « droit à l’oubli ».
5. Par son arrêt du 24 septembre 2019, Google LLC contre CNIL (C-507/17), la Cour de justice de l’Union européenne a dit pour droit que : « l’article 12, sous b), et l’article 14, premier  alinéa,  sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 […],ainsi que  l’article   17,  paragraphe  1,  du  règlement  (UE)  2016/679  du  Parlement européen et du Conseil, du 27 avril 2016, […] doivent être interprétés en ce sens que, lorsque l’exploitant d’un  moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d’opérer  ce déréférencement  non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant  à l’ensemble des Etats membres et ce, si nécessaire,  en  combinaison  avec  des  mesures  qui,  tout  en  satisfaisant  aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des Etats membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande ».
6. Ainsi qu’il a été rappelé au point 1, la formation restreinte de la  CNIL  a  sanctionné  la  société  Google  Inc.  au  motif    qu’elle  refuse, lorsqu’elle fait droit à une demande de déréférencement,  d’effectuer ce déréférencement   sur  l’ensemble  des  noms  de  domaine  de  son  moteur  de recherche et se borne à supprimer les liens en cause des seuls résultats affichés en réponse à des recherches menées depuis les noms de domaine correspondant aux déclinaisons de son moteur de recherche dans les Etats membres de l’Union européenne. La formation restreinte de la CNIL a par ailleurs estimé insuffisante la  proposition  complémentaire   dite  de  « géo-blocage »  faite  par  la  société Google Inc., après expiration du délai de mise en demeure, de   supprimer la possibilité d’accéder, depuis une adresse IP réputée localisée dans l’Etat  de résidence du bénéficiaire du « droit au déréférencement », aux résultats litigieux à la suite d’une recherche effectuée à partir de son nom, indépendamment de la déclinaison du moteur de recherche qu’a sollicitée l’internaute.
7. Il résulte des motifs énoncés au point 4 qu’en sanctionnant la société requérante au motif que seule une mesure s’appliquant à l’intégralité du traitement liée au moteur de recherche, sans considération des extensions interrogées et de l’origine géographique de l’internaute effectuant une recherche, est à même de répondre à l’exigence de protection telle qu’elle a été consacrée par la Cour de justice de l’Union européenne, la formation restreinte de la CNIL a entaché la délibération attaquée d’erreur de droit.
8. Il est vrai qu’ainsi que le fait valoir la CNIL en défense, la Cour de justice a relevé, au point 72 de l’arrêt du 24 septembre 2019, que « si (…) le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel  il  serait  fait  droit  porte  sur l’ensemble  des  versions  du  moteur  de recherche en cause, il ne l’interdit pas non plus. Partant, une autorité de contrôle ou une autorité judiciaire d’un Etat membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux (…), une mise en balance entre, d’une  part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre  part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur ».
9. Lorsque, saisi d’une requête dirigée contre une sanction prononcée par la CNIL, il constate que la décision contestée devant lui aurait pu être prise, en vertu du même pouvoir d’appréciation, sur un autre fondement que celui qu’a retenu l’autorité de sanction, le juge administratif  peut substituer ce fondement à celui qui a servi de base légale à la décision attaquée, sous réserve que  la  personne   sanctionnée   ait  disposé   des  garanties   dont   est  assortie l’application   du  texte  sur  le  fondement   duquel  la  décision  aurait  dû  être prononcée. Une telle substitution relevant de l’office du juge, celui-ci peut y procéder  soit à la demande des parties soit de sa propre initiative, au vu des pièces du dossier, mais sous réserve, dans ce dernier cas, d’avoir au préalable mis les parties à même de présenter des observations sur ce point.
10. Si la CNIL soutient en défense que la sanction contestée trouve son fondement dans la faculté que la Cour de justice a reconnue aux autorités de contrôle d’ordonner de procéder à un déréférencement  portant sur l’ensemble des versions d’un moteur de recherche, il ne résulte, en l’état du droit applicable, d’aucune disposition législative qu’un tel déréférencement  pourrait excéder le champ couvert par le droit de l’Union européenne pour s’appliquer hors  du territoire  des  Etats  membres  de l’Union européenne.  Au  surplus,  il résulte en tout état de cause des motifs énoncés au point 7 qu’une telle faculté ne peut être ouverte qu’au  terme d’une  mise en balance entre, d’une  part, le droit de la personne  concernée  au respect  de  sa vie privée  et à la protection  des données à caractère personnel la concernant et, d’autre  part, le droit à la liberté d’information. Or, il ressort des termes mêmes de la délibération attaquée que, pour constater l’existence de manquements  persistants et reprocher à la société Google Inc. d’avoir  méconnu l’obligation de principe de procéder au déréférencement  portant sur l’ensemble des versions d’un  moteur de recherche, la formation restreinte de la CNIL n’a  pas effectué une telle mise en balance. Il s’ensuit   qu’il  n’y  a  pas  lieu  de  faire  droit  à la  substitution  de  base  légale demandée en défense par la CNIL.
11. Il résulte de tout ce qui précède que la société Google Inc. est fondée à demander l’annulation de la délibération qu’elle attaque.

DECISION

Article 1er : Les interventions  de Wikimedia  Foundation  Inc et de la société Microsoft Corporation sont admises.

Article  2 : La délibération  du 10 mars 2016  de la formation  restreinte  de la Commission nationale de l’informatique et des libertés est annulée.

Article  3 : La présente  décision  sera notifiée  à la société  Google LLC., à la Commission nationale de l’informatique et des libertés, à Wikimedia Foundation Inc., à la société Microsoft Corporation, à Reporters Committee for Freedom of the Press, premier dénommé et à l’association Article 19, premier dénommé.

Le Conseil : Alain Ménéménis (président  adjoint  de  la  section  du  contentieux),  Mattias Guyomar, Guillaume Goulard (présidents de chambre), Nathalie Escaut, Anne Egerszegi, Thomas Andrieu (conseillers d’Etat), Christelle Thomas (maître des requêtes en service extraordinaire­ rapporteur), Claudine Ramalahanoharana (Le secrétaire)

Avocats : SCP Spinosi Sureau, SCP  Piwnica Molinié, SCP Baraduc Duhamel Rameix, Me Gérard Haas, SCP Tapie Rousseau-Tapie

Source : cnil.fr