Le 24 septembre 2019, la Cour de justice de l’Union européenne (CJUE) a rendu deux arrêts majeurs sur le droit au déréférencement de liens donnant accès à des données personnelles, précisant ainsi la portée de ce droit sur lequel la Cour s’était prononcé dans son arrêt Google Spain du 13 mai 2014. Dans le premier arrêt, elle affirme que la portée territoriale de ce droit se limite aux extensions européennes de Google et dans le second, que l’interdiction de traitement des données sensibles s’applique aussi aux moteurs de recherche.
Sur la question de la portée territoriale, la Cnil qui considérait que la demande de déréférencement devait s’appliquer à l’ensemble des extensions du moteur de recherche a subi un sérieux démenti de la part de la Cour européenne. Celle-ci estime en effet que l’exploitant d’un moteur de recherche, en l’occurrence Google, « est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des États membres, et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des États membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande ». La question s’était posée dans le litige qui opposait la Cnil à Google, ce dernier refusant d’appliquer le droit au déréférencement à l’ensemble de ses noms de domaine mais sur ses seules extensions européennes. Le moteur de recherche avait proposé le déréférencement par géoblocage en fonction de l’origine de l’adresse IP de l’internaute. Mais cette position avait été rejetée par la Cnil qui, dans sa délibération du 24 mars 2016, avait prononcé une sanction de 100 000 € à l’encontre du géant du net qui n’avait pas respecté sa mise en demeure. Suite au recours de Google devant le Conseil d’Etat, ce dernier avait posé une question préjudicielle à la CJUE pour trancher le débat.
Pour appuyer sa position, la Cour commence par souligner que de nombreux Etats tiers ne connaissent pas ce droit ou n’en ont pas la même approche. Par ailleurs, le droit à la protection des données n’est pas un droit absolu, rappelle-t-elle, mais il doit être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. A cet effet, un équilibre doit être trouvé entre le droit au respect de la vie et la protection des données personnelles, d’un côté, et la liberté d’information des internautes, de l’autre, qui n’est pas le même dans les différents Etats du monde. La Cour relève par ailleurs que le législateur de l’UE n’a pas fait le choix de conférer un droit au déréférencement en dehors de l’Union, même s’il ne l’interdit pas non plus. Partant de ce principe, la Cour considère qu’« une autorité de contrôle ou une autorité judiciaire d’un État membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur ».
Dans le second arrêt rendu le même jour par la CJUE, celle-ci a clairement affirmé que l’interdiction de traiter les données sensibles s’applique aux moteurs de recherche. Ces derniers doivent cependant effectuer une mise en balance entre les droits fondamentaux de la personne qui demande le déréférencement et ceux des internautes potentiellement intéressés par ces informations. Cet arrêt, également issu d’un renvoi préjudiciel du Conseil d’Etat, concernait quatre personnes. Dans les quatre cas, les résultats litigieux avaient été obtenus suite à une recherche effectuée à partir de leur nom. Le premier recours portait sur un lien vers un photomontage satirique dans le cadre d’une campagne électorale relative à une personne qui avait changé de fonction, le second sur un article de presse relatif au suicide d’une adepte d’une secte dans laquelle le requérant cité avait été responsable des relations publiques, le troisième concernait une personne mise en examen et qui avait par la suite obtenu un non-lieu et le quatrième était relatif à une personne condamnée pour agressions sexuelles sur mineur.
Un moteur de recherche, en l’occurrence Google, est responsable du référencement sur ses pages. C’est en raison de ce référencement et, donc, par l’intermédiaire d’une vérification à effectuer, sous le contrôle des autorités nationales compétentes, sur la base d’une demande formée par la personne concernée que l’interdiction ou les restrictions s’appliquent à l’exploitant d’un moteur de recherche, estime la Cour. Le moteur de recherche « doit, sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte, vérifier, au titre des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de ladite directive et dans le respect des conditions prévues à cette dernière disposition, si l’inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche, consacrée à l’article 11 de la Charte. »
Plus particulièrement sur les informations portant sur une procédure judiciaire, la Cour estime qu’il s’agit bien de données relatives à des infractions et des condamnations pénales. Plus particulièrement, « l’exploitant d’un moteur de recherche est tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle, dans la mesure où il est constaté, dans le cadre de la vérification des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de ladite directive, que, eu égard à l’ensemble des circonstances de l’espèce, les droits fondamentaux de la personne concernée, garantis par les articles 7 et 8 de la Charte, prévalent sur ceux des internautes potentiellement intéressés, protégés par l’article 11 de la Charte. »