Le portail de référence pour l’espace de liberté, sécurité et justice publie à nouveau une excellente synthèse sur la problématique du droit à l’oubli trois ans après l’arrêt Google Spain (C-131/12, FR) rendue par la CJUE.
Selon un sondage Eurobaromêtre sur la protection des données publié en 2015, la protection des données personnelles est l’un des sujets de préoccupation majeur des européens qui font plutôt confiance aux autorités publiques pour conserver leurs données mais se méfient de l’usage que peuvent faire d’autres entités telles que les entreprises de téléphonie, de fournisseurs d’internet et les moteurs de recherches.
Le droit à l’oubli aujourd’hui va plus loin que la simple protection de la vie privée. Il s’agit de pouvoir contrôler ses données personnelles et décider des informations qui peuvent être laissées à la vue d’autrui. D’un côté, nous avons donc le droit à l’effacement, la suppression à la source des données que nous jugeons comme portant atteinte à notre vie privée. De l’autre, nous avons le droit au déréférencement, le droit de demander aux moteurs de recherches d’exclure certains résultats d’une requête, ce qui n’implique pas la suppression du contenu à la source mais en limite la diffusion.
Le droit au déréférencement a été consacré suite à une question préjudicielle posée à la CJUE dans un litige opposant Google Spain et la Agencia Española de Protección de Datos et M. Mario Costeja González qui demandait au journal La Vanguardia de supprimer un article de son site internet considérant que les informations fournies n’avaient plus d’intérêt. Dans le cas où la suppression à la source sur le site internet du journal ne pouvait être obligatoire, M. Costeja González demandait à Google Spain de le faire disparaître les résultats de recherche. Google opposait le droit à l’information au droit à la vie privée mais la CJUE s’est prononcée en faveur d’un droit au déréférencement lorsque les informations sont « inadéquates, pas ou plus pertinentes ou excessives » afin de préserver l’équilibre entre le droit à l’information et le droit à la vie privée.
Le RGDP a complété la décision de la CJUE en consacrant le droit à l’effacement « lorsque les données à caractère personnel ne sont plus nécessaires au regards des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière[.] […] Toutefois, la conservation ultérieure des données à caractère personnel devrait être licite lorsqu’elle est nécessaire à l’exercice du droit à la liberté d’expression et d’information, au respect d’une obligation légale, à l’exécution d’une mission d’intérêt public ou relevant de l‘exercice de l’autorité publique dont est investi le responsable du traitement, pour des motifs d’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, ou à la constatation, à l’exercice ou à la défense de droits en justice ».
Les autorités de contrôle (CNIL) ont pour rôle d’ordonner l’effacement de données à caractère personnel ou la limitation de leur traitement. Le Comité européen de la protection des données a la charge de « publier des lignes directrices, des recommandations et des bonnes pratiques sur les procédures de suppression des liens vers des données à caractère personnel ».
Mais la protection européenne ne s’applique qu’aux seules entreprises ayant un établissement sur le territoire d’un pays de l’Union européenne, ce qui pose la question fondamentale de sa portée territoriale. Ainsi, lorsque Google déréférence du contenu, il ne le fait que pour les versions européennes de Google venant, donc, affaiblir la portée du droit à l’oubli. Un contenu sera déréférencé sur google.fr mais continuera d’apparaître sur google.com ou une autre extension hors UE. Pour ne pas limiter la portée territoriale du droit au déréférencement, la CNIL a donc demandé en 2015 à Google de supprimer du contenu sur toutes ses extensions, ce que contestait Google en soulevant les risques de l’extraterritorialité en matière de droit à l’information. La CNIL a infligé une amende de 100.000 euros en mars 2016 à Google, lui reprochant de limiter le déréférencement des informations concernant des particuliers français aux seules versions européennes du moteur de recherche. Google a donc fait appel devant le Conseil d’État. Suivant les conclusions de la rapporteure publique Aurélie Bretonneau, le Conseil d’Etat a décidé de transmettre une série de questions préjudicielles à la CJUE pour savoir si le déréférencement “doit être opéré sur toutes les versions du moteur de recherche, de telle sorte que les liens litigieux n’apparaissent plus quel que soit le lieu à partir duquel cette recherche est lancée, y compris hors du champ d’application territorial du droit de l’Union européenne“. En cas de réponse négative, le Conseil d’État demande si le déréférencement doit s’appliquer dans toute l’Union européenne, ou uniquement pour des recherches effectuées dans l’État où le citoyen a fait valoir son droit à l’oubli, et si le géoblocage des liens litigieux doit également s’appliquer dans toute l’Union européenne.
http://www.conseil-etat.fr/Actualites/Communiques/Portee-territoriale-du-droit-au-dereferencement