Unité de droit économique.

Centre de droit privé de l'ULB.

Le droit à l’oubli numérique

L’arrêt Costeja Gonzalez de la Cour de justice de l’Union européenne du 13 mai 2014 (affaire C-131/12) – Synthèse de la conférence du Midi du Centre de droit privé de l’ULB du 18 décembre 2014 – J.-F. Puyraimond

I. Le contexte factuel et procédural

M. Costeja Gonzalez est un avocat espagnol. A la fin des années 1990, sa maison fut saisie et mise en vente publique par le Ministère du Travail et des Affaires sociales espagnol pour cause de redevances de sécurité sociale impayées. Conformément à la procédure nationale, l’annonce de cette vente et de sa cause fut publiée dans deux éditions du quotidien La Vanguardia, des 19 janvier et 9 mars 1998. Douze ans plus tard, M. Costeja Gonzalez est revenu à meilleure fortune et a pignon sur rue. Les deux annonces précitées ressortent cependant chaque fois que l’on effectue une recherche sur son nom dans le moteur de recherche Google (les archives de la Vanguardia sont en effet disponibles en ligne). Pour M. Costeja Gonzalez, la saisie et la vente forcée ont été entièrement réglées depuis longtemps ; continuer de les mentionner est donc dépourvu de tout motif valable et le place dans une fausse lumière.

La Vanguardia et Google ayant refusé d’accéder à ses demandes de retrait des informations litigieuses, M. Costeja saisit l’AEPD du problème – l’AEPD étant l’agence espagnole pour la protection des données personnelles, l’équivalent de la Commission de la protection de la vie privée en Belgique ou de la CNIL en France. L’agence déclara la demande non fondée à l’encontre du quotidien, au motif que la publication des annonces étaient le résultat d’une obligation légale. Elle estima par contre que Google Spain (société de droit espagnol) et Google Inc. (société de droit américain) était effectivement tenues de retirer les liens vers les annonces précitées des résultats de toute recherche effectuée à partir du nom de M. Costeja.

Google Spain et Google Inc. ont fait appel de cette décision devant l’Audiencia Nacional qui, pour trancher le litige, s’est adressée à la CJUE.

Nous examinerons ci-dessous les questions tranchées par la Cour – à l’exclusion toutefois de la problématique de l’application territoriale de la réglementation en matière de données personnelles, afin de nous consacrer à l’essence de l’arrêt et d’éviter de trop dépasser le cadre de la présente note.

II. Les questions tranchées par la Cour

a. L’activité d’un moteur de recherche constitue-t-il un traitement de données à caractère personnel soumis à la réglementation sur la protection des données à caractère personnel et l’exploitant dudit moteur de recherche est-il responsable de ce traitement ?

i. L’activité d’un moteur de recherche constitue-t-il un traitement de données à caractère personnel soumis à la réglementation sur la protection des données à caractère personnel

La Cour commence par définir l’activité d’un exploitant de moteur de recherche, à savoir (point 21 de l’arrêt) :

- trouver des informations publiées ou placées sur Internet par des tiers (les éditeurs de sites web ou les auteurs de blogs, par exemple),

- les indexer de manière automatique,

- les stocker temporairement,

- et, enfin, les mettre à la disposition des internautes selon un ordre de préférence donné (cet ordre est réglé par le logiciel du moteur de recherche).

La Cour observe que parmi les données « trouvées, indexées, stockées par les moteurs de recherche et mises à la disposition de leurs utilisateurs » figurent également des « informations concernant des personnes physiques identifiées ou identifiables », c’est-à-dire des «données à caractère personnel» au sens de l’article 2, sous a) de la directive 95/46 du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « la directive » ou « la directive 95/46 »).

La notion de « traitement de données à caractère personnel » est définie à l’article 2, sous b), de la directive 95/46, comme : «toute opération ou ensemble d’opérations (…) appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction».

Or, l’exploitant d’un moteur de recherche (point 28 de l’arrêt) :

- en explorant de manière automatisée, constante et systématique Internet à la recherche des informations qui y sont publiées, «collecte» de telles données,

- qu’il «extrait», «enregistre» et «organise» par la suite dans le cadre de ses programmes d’indexation,

- «conserve» sur ses serveurs,

- et, le cas échéant, «communique à» et «met à disposition de» ses utilisateurs sous forme de listes des résultats de leurs recherches.

Ces opérations étant visées de manière explicite à l’article 2, sous b), précité, l’activité d’un moteur de recherche doit donc être qualifiée de « traitement de données personnelles » au sens de cette disposition.

ii. L’exploitant d’un moteur de recherche peut-il être qualifié de responsable du traitement ?

1. Le principe

L’article 2, sous d), de la directive 95/46 définit le responsable du traitement comme «la personne […] qui […] détermine les finalités et les moyens du traitement de données à caractère personnel».

Or, c’est l’exploitant du moteur de recherche qui détermine les finalités et les moyens de [son] activité, dont on a vu qu’elle constituait un traitement de données à caractère personnel (point 33 de l’arrêt).

Par conséquent, l’exploitant du moteur de recherche doit être considéré comme le «responsable» de ce traitement au sens de l’article 2, sous d) précité.

2. Les critères exclus

La Cour rejette l’application de certains critères invoqués par Google pour se défendre d’être le responsable du traitement qu’elle effectue.

a. Exclusion du critère de l’absence de contrôle par le moteur de recherche des données personnelles qu’il traite

Le fait que l’exploitant du moteur de recherche n’exerce pas de contrôle sur les données qu’il traite ne saurait lui faire perdre la qualité de responsable de ce traitement.

Le moteur de recherche réalise en effet lui-même, à partir des données qu’il récupère sur les pages web de tiers, un traitement « additionnel » de données à caractère personnel qui lui est propre et qui s’ajoute à celui effectué par les éditeurs de sites web (points 35 et 36 de l’arrêt).

Ce traitement additionnel est d’ailleurs particulièrement important selon la Cour (points 36 et 37) :

- l’activité des moteurs de recherche joue en effet un « rôle décisif » dans la diffusion globale des données personnelles en ce qu’elle rend celles-ci accessibles à tout internaute effectuant une recherche à partir du nom de la personne concernée, y compris aux internautes qui, autrement, n’auraient pas trouvé la page web sur laquelle ces mêmes données sont publiées ;

- l’organisation et l’agrégation des informations publiées sur Internet effectuées par les moteurs de recherche entraîne la création d’un aperçu structuré des informations relatives à la personne concernée et permet d’en établir un profil plus ou moins détaillé.

b. Exclusion du critère selon lequel les éditeurs de site web pourraient empêcher l’indexation de leurs pages par les moteurs de recherche

L’on sait que les éditeurs ont la faculté d’intégrer dans leurs sites web des mécanismes permettant d’indiquer aux moteurs de recherche qu’ils ne doivent pas indexer certaines informations.

La Cour estime cependant que l’absence d’une telle indication ne saurait rien changer au fait que l’exploitant réalise lui-même un second traitement, distinct de celui réalisé par les éditeurs de sites web, et qu’il en reste responsable (points 39 et 40 de l’arrêt).

b. La personne concernée doit-elle d’abord demander le retrait des informations litigieuses aux éditeurs de site web qui les hébergent ou peut-elle s’adresser directement à l’exploitant d’un moteur de recherche ?

i. Position de la question

L’article 12, sous b) de la directive 95/46 prévoit que la personne concernée a le droit d’obtenir « la rectification, l'effacement ou le verrouillage des données dont le traitement n'est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données ».

L’article 14, premier alinéa, sous a) prévoit quant à lui que la personne concernée doit avoir le droit de « s'opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l'objet d'un traitement […]. ».

Ces articles protègent et mettent en œuvre les droits fondamentaux de la personne concernée au respect de sa vie privée et à la protection de ses données personnelles tels que promulgués par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne (point 69 de l’arrêt).

Dans ce cadre, la Cour s’interroge sur la question de savoir si les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 donnent le droit à la personne concernée d’exiger de l’exploitant du moteur de recherche :

- qu’il supprime de la liste de résultats d’une recherche effectuée à partir de son nom, des liens vers des pages web publiées par des tiers et contenant des informations relatives à cette même personne,

- et ce alors même que ces informations ne sont pas effacées préalablement ou simultanément de ces pages web?

ii. Analyse de la Cour

La réponse de la Cour se fonde à nouveau sur l’observation que l’exploitant d’un moteur de recherche réalise un traitement supplémentaire, additionnel à celui réalisé par les éditeurs de site web.

Etant responsable de ce second traitement, l’exploitant du moteur de recherche doit assurer, « dans le cadre de ses responsabilités, de ses compétences et de ses possibilités », que celui-ci satisfait aux exigences de la directive 95/46 et respecter les droits que celle-ci confère aux personnes physiques (point 83 de l’arrêt). En d’autres termes, la personne concernée peut s’adresser sur base des articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 directement à l’exploitant d’un moteur de recherche, en sa qualité de responsable d’un traitement autonome.

La Cour souligne à ce sujet que, « compte tenu de la facilité avec laquelle des informations publiées sur un site web peuvent être répliquées sur d’autres sites et du fait que les responsables de leur publication ne sont pas toujours soumis à la législation de l’Union, une protection efficace et complète des personnes concernées ne pourrait être réalisée si celles-ci devaient d’abord ou en parallèle obtenir l’effacement des informations les concernant auprès des éditeurs de sites web » (point 84 de l’arrêt).

c. Quelle justification et quelles limites pour une demande de retrait ?

i. La motivation de la demande de retrait

Quelle motifs la personne concernée doit-elle invoquer pour justifier une demande de retrait d’informations sur la base des articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 ? Plus particulièrement, la personne concernée doit-elle prouver l’existence d’un dommage ?

La Cour souligne que le simple fait que le traitement soit « incompatible » avec la directive 95/46 suffit à justifier une telle demande. Cette incompatibilité peut résulter non seulement du fait que les données sont inexactes, mais aussi, notamment, du fait qu’elles sont inadéquates, non pertinentes, excessives ou qu’elles ne sont pas à jour. La cour relève à cet égard que le seul effet du temps qui s’écoule peut ôter leur pertinence à des données ou bien rendre leur traitement excessif (points 92 et 93 de l’arrêt). Lorsque tel est le cas, les informations concernées doivent être effacées de la liste de résultats (point 94).

La constatation d’un tel droit, souligne la Cour, ne présuppose pas que l’inclusion de l’information en question dans la liste de résultats d’une recherche cause un préjudice à la personne concernée (point 96 de l’arrêt).

Cette précision est essentielle : on sait en effet combien le dommage en matière de vie privée et de données personnelles est difficile à apprécier et à quantifier. La Cour évite ainsi que les actions des personnes concernées ne soient systématiquement minées par l’obligation de démontrer un dommage parfois impossible ou très difficile à établir.

ii. Limites du droit au retrait

1. Le juste équilibre entre les droits de la personne concernée et le droit du public à l’information

Le droit de la personne concernée de demander qu’une information la concernant ne soit plus mise à la disposition du grand public par son inclusion dans une liste de résultats d’un moteur de recherche est fondé, on l’a vu, sur les droits fondamentaux au respect de sa vie privée et à la protection de ses données personnelles (point 69 de l’arrêt).

Ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt du public à trouver ladite information lors d’une recherche portant sur le nom de cette personne (point 97 de l’arrêt).

Il convient toutefois, en ce qui concerne ce dernier point, de rechercher un « juste équilibre » entre les droits de la personne concernée et le droit du public à connaître l’information dont la personne concernée cherche à obtenir le retrait des résultats de recherche.

La Cour note ainsi que les droits de la personne concernée ne prévaudraient pas « s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question » (point 97 de l’arrêt).

2. Pondération dans le cas particulier

Bien qu’elle le fasse sous la réserve de la vérification des éléments factuels par le juge national, la Cour tranche finalement le cas de M. Costeja Gonzalez. Cela permet à la Cour de se servir de l’affaire comme exemple de pondération entre les droits fondamentaux au respect de la vie privée et à la protection des données personnelles, d’une part, et le droit du public à l’information, d’autre part.

C’est ainsi que, selon la Cour, « s’agissant d’une situation comme celle en cause au principal », il convient de considérer que (1) eu égard à la sensibilité des informations contenues dans ces annonces pour la vie privée de M. Costeja Gonzalez et (2) au fait que leur publication initiale avait été effectuée 16 ans auparavant, ce dernier justifie d’un droit à ce que ces informations ne soient plus liées à son nom lors d’une recherche sur le moteur Google (point 98 de l’arrêt).

« Dans la mesure », ajoute la Cour (point 98), « où il ne semble pas exister, en l’occurrence, de raisons particulières justifiant un intérêt prépondérant du public à avoir, dans le cadre d’une telle recherche, accès à ces informations », M. Costeja Gonzalez peut ainsi, en vertu des articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46, exiger la suppression des liens renvoyant vers les annonces litigieuses des résultats de toute recherche effectuée à partir de son nom.

III. Quelques commentaires

La décision de la Cour est d’une richesse particulière ; nous nous bornerons ici à formuler trois remarques.

a. Le rôle essentiel des moteurs de recherche

Il convient tout d’abord de relever que le rôle essentiel des moteurs de recherche dans l’architecture d’Internet et dans l’exploitation des données personnelles des individus court à travers l’arrêt comme son fil rouge.

C’est ainsi que la Cour souligne que le traitement de données à caractère personnel réalisé par un exploitant de moteur de recherche est susceptible d’affecter « significativement » les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel des personnes physiques (point 80).

En effet lorsqu’une recherche est effectuée à partir du nom d’une personne physique, le traitement réalisé par le moteur permet à tout internaute (point 80):

- d’obtenir par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet,

- qui touchent potentiellement à une multitude d’aspects de sa vie privée

- et qui, sans ledit moteur de recherche, n’auraient pas ou seulement que très difficilement pu être interconnectées,

- et ainsi d’établir un profil plus ou moins détaillé de celle-ci

L’effet de ce traitement, note en outre la Cour (point 80), se trouve démultiplié en raison du rôle important que jouent Internet et les moteurs de recherche dans la société moderne, lesquels confèrent aux informations contenues dans une liste de résultats un caractère « ubiquitaire ».

Au sujet de l’ubiquité de l’information sur Internet, il est intéressant de comparer le présent arrêt avec l’arrêt « eDate Advertising » du 25 octobre 2011, affaires C-509/09 et C-161/10, point 45, et avec le plus récent arrêt « Svensson » du 13 février 2014, affaire C-466/12, notamment les points 26 et 27.

Dans ces arrêts, la Cour semble considérer que l’information sur Internet est, de par la nature même de ce réseau, ubiquitaire ; tandis que dans la présente décision, la Cour nuance son propos en insistant sur le rôle essentiel des moteurs de recherche, sans lesquels les données disponibles sur le réseau ne peuvent pas être trouvées ou bien très difficilement.

b. La consécration des implications de la révolution numérique

Malgré que les articles, émissions et ouvrages consacrés à la « société de l’information » soient pléthore, les mentalités – surtout des juristes, par profession poussés à un certain conservatisme ? – peinent encore à concevoir pleinement la mutation que l’avènement du numérique omniprésent représente pour les sociétés contemporaines.

Autrefois, la mésaventure de M. Costeja Gonzalez aurait été « naturellement » oubliée. Publié exclusivement sur papier, l’information concernant la vente de ses biens aurait disparu en même temps que les exemplaires du quotidien dans lesquels elle avait été imprimée. Très rapidement, ne serait restés que quelques exemplaires, disséminés dans des archives publiques ou particulières, où personne n’aurait songé à aller la rechercher.

L’avènement de l’informatique bouleverse ce genre de disparition « naturelle » de l’information, du fait de la mémoire éternelle des ordinateurs et de son accessibilité universelle par les réseaux et les moteurs de recherche.

Ce bouleversement devrait amener à un réexamen des limites des droits fondamentaux des individus, et notamment du droit à l’information, dans l’univers numérique[1]. Le droit à l’information ne saurait en effet justifier une éternelle stigmatisation des personnes pour des faits passés, comme c’était le cas de M. Costeja Gonzalez. Il ne saurait non plus servir de cache-sexe commode aux intérêts économiques de grands acteurs d’Internet, ce que la Cour a bien vu en notant que le droit à la vie privée et à la protection des données personnelles primaient sur lesdits intérêts (points 81, 97 et 99 de l’arrêt).

Comme la Cour les y invite, il appartiendra aux tribunaux de dégager le « juste équilibre » en la matière, au cas par cas. Gageons cependant que toute leur prudence sera requise dans cet exercice.

c. La multiplicité des applications

L’on notera enfin que l’arrêt du 13 mai 2014 instaure, bien plus qu’un droit « à l’oubli », un véritable droit « au retrait ».

C’est ainsi que l’arrêt commenté permet à toute personne de s’opposer au traitement de ses données personnelles par un moteur de recherche lorsque ce traitement est « incompatible » avec la directive 95/46 (v. notamment points 92 à 95 de l’arrêt).

Le droit conféré par la Cour aux individus dépasse donc largement le seul droit de faire oublier des informations périmées et permet aussi aux individus de se défendre contre des informations récentes ou actuelles.

Le droit de retrait peut ainsi servir d’arme nouvelle contre des problèmes nouveaux. On peut, notamment, songer à une photographie ou une vidéo suggestive mise en ligne par un(e) ancien(ne) soupirant(e) éconduit(e) ou par un pirate informatique ayant forcé le compte informatique de la personne concernée.

Ce droit peut toutefois aussi servir de nouveau moyen de défense pour des problèmes anciens, comme la diffamation, dont les conséquences sont démultipliées de manière parfois catastrophique par Internet.

Le Président du Tribunal de grande instance de Paris ne s’y est pas trompé dans son ordonnance du 16 septembre 2014 (disponible sur www.legalis.net), ordonnant à Google, sur la base de l’enseignement de l’arrêt du 13 mai 2014, de retirer de ses résultats de recherche des propos diffamatoires.

Il s’agissait de la première application par un juge national de cette décision... et, à la fois, de sa première mutation du droit à l’oubli vers le droit au retrait.

Le droit consacré par la Cour de justice montre par là toute la richesse qu’il recèle et démontre à nouveau, s’il le fallait encore, toute la puissance créative de la jurisprudence.

[1] Comme le notait bien le Conseil d’Etat français dans son étude annuelle de 2014 sur le numérique et les droits fondamentaux : « Les technologies de l’Internet et les espaces numériques n’invitent pas seulement le juriste à explorer une nouvelle terra incognita ; ils transforment de l’intérieur, voire dérèglent, les conditions d’exercice des droits fondamentaux et les mécanismes traditionnels de leur conciliation. » (Le numérique et les droits et libertés fondamentaux, Etude annuelle du Conseil d’Etat, Paris, La Documentation française, septembre 2014).

Arrêt C-131/12

Actualités

27.03.19

Hommage à Pierre Van Ommeslaghe

Hommage de Monsieur Jean de Codt, Premier Président de la Cour de cassation

06.02.19

ULB - Bird & Bird Law Camp 2019 Construire un droit des données - Designing Data Law 5 Mars/March 2019

L’Unité de droit économique de l’Université Libre de Bruxelles (ULB) organise le 5 mars 2019, en par...

06.02.19

Décès de Pierre Van Ommeslaghe

Monsieur Pierre Van Ommeslaghe nous a quittés le 10 décembre 2018 à l'âge de 86 ans. Professeur dans...