Par arrêt du 24 septembre 2019, la Cour de Justice de l’Union Européenne (CJUE) aurait jugé que la portée territoriale du droit au déréférencement de liens donnant accès à des données personnelles se limite aux extensions européennes de Google. A la lecture de cet arrêt, si le droit à l’oubli de l’UE n’a pas en théorie une portée mondiale, il peut l’avoir à condition de motiver en pratique le besoin d’universalité afin de garantir un niveau élevé de protection des données à caractère personnel.
La question préjudicielle s’était posée dans le cadre du litige opposant la CNIL à Google qui refusait d’appliquer le droit au déréférencement à l’ensemble de ses noms de domaine et le limitait aux seules extensions européennes. Ainsi, Google proposait de supprimer des données personnelles de ses résultats de recherche uniquement à partir de ses sous-domaines régionaux (par exemple Google.fr), ce qui excluait Google.com et autres extensions hors UE, fournissant une solution de contournement à tous ceux qui recherchent les informations personnelles obsolètes, incorrectes ou gênantes objet de la demande suppression d’un citoyen européen. Les agences nationales de protection des données personnelles de l’UE ont fait valoir qu’en laissant les informations accessibles sur les moteurs de recherche en dehors de l’UE, Google ne protège pas suffisamment la vie privée des citoyens européens. Google proposait un déréférencement par géoblocage en fonction de l’origine de l’adresse IP réputée localisée dans l’un des Etats-membres, position rejetée par la CNIL dans sa délibération du 24 mars 2016 qui avait par ailleurs prononcé une sanction de 100 000 € à l’encontre Google qui n’avait pas respecté sa mise en demeure. Suite au recours de Google devant le Conseil d’Etat, ce dernier avait posé les questions préjudicielles suivantes:
“La question de savoir si le droit au déréférencement tel qu’il a été consacré par la Cour de justice de l’Union européenne dans son arrêt du 13 mai 2014 sur le fondement des dispositions des articles 12, sous b), et 14, sous a), de la directive du 24 octobre 1995, doit être interprété en ce sens que l’exploitant d’un moteur de recherche est tenu, lorsqu’il fait droit à une demande de déréférencement, d’opérer ce déréférencement sur l’ensemble des noms de domaine de son moteur de telle sorte que les liens litigieux n’apparaissent plus quel que soit le lieu à partir duquel la recherche lancée sur le nom du demandeur est effectuée, y compris hors du champ d’application territorial de la directive du 24 octobre 1995, soulève une première difficulté sérieuse d’interprétation du droit de l’Union européenne.”
En cas de réponse négative à cette première question, la question de savoir si le droit au déréférencement tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant d’un moteur de recherche est seulement tenu, lorsqu’il fait droit à une demande de déréférencement, de supprimer les liens litigieux des résultats affichés à la suite d’une recherche effectuée à partir du nom du demandeur sur le nom de domaine correspondant à l’Etat où la demande est réputée avoir été effectuée ou, plus largement, sur les noms de domaine du moteur de recherche qui correspondent aux extensions nationales de ce moteur pour l’ensemble des Etats membres de l’Union européenne soulève une deuxième difficulté sérieuse d’interprétation du droit de l’Union européenne.
En outre, la question de savoir si, en complément de l’obligation évoquée au point précédent, le droit au déréférencement tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant d’un moteur de recherche faisant droit à une demande de déréférencement est tenu de supprimer, par la technique dite du « géo-blocage », depuis une adresse IP réputée localisée dans l’Etat de résidence du bénéficiaire du droit au déréférencement, les liens litigieux des résultats affichés à la suite d’une recherche effectuée à partir de son nom, ou même, plus généralement depuis une adresse IP réputée localisée dans l’un des Etats-membres soumis à la directive du 24 octobre 1995, ce indépendamment du nom de domaine utilisé par l’internaute qui effectue la recherche, soulève une troisième difficulté sérieuse d’interprétation du droit de l’Union européenne.”
Si, à la date de l’introduction de la demande de décision préjudicielle, était applicable la directive 95/46, celle-ci a été abrogée avec effet au 25 mai 2018, date à partir de laquelle est applicable le règlement 2016/679 (RGPD). La CJUE a cependant examiné les questions posées au regard tant de la directive que du règlement, afin d’assurer que ses réponses soient utiles pour la juridiction de renvoi.
La CJUE juge que de nombreux Etats ne connaissent pas le droit au déréférencement ou n’en ont pas la même approche et que le droit au respect de la vie et à la protection des données personnelles ne sont pas des droits absolus et doivent être mis en balance avec d’autres droits fondamentaux tel que le droit à la liberté d’information. Arguant que le législateur européen a mis en place un mécanisme pour effectuer une mise en balance entre ces différents droits et libertés qu’au sein de l’Union et qu’il n’existe pas en l’état actuel de mécanisme de mise en balance en dehors de l’Union, la CJUE en conclue que:
“en l’état actuel, il n’existe, pour l’exploitant d’un moteur de recherche qui fait droit à une demande de déréférencement formulée par la personne concernée, le cas échéant, à la suite d’une injonction d’une autorité de contrôle ou d’une autorité judiciaire d’un État membre, pas d’obligation découlant du droit de l’Union de procéder à un tel déréférencement sur l’ensemble des versions de son moteur.”
Ainsi, la CJUE interprète l’intention du législateur européen de limiter la portée territoriale du droit à l’oubli aux pays membres de l’UE sur la base de l’absence de mécanisme de balance des droits en dehors de l’Union. Ainsi, un citoyen européen ayant fait jouer son droit à l’oubli dans l’un des états membres de l’UE pourrait voir ses données personnelles qu’il pensait avoir été effacées encore disponibles et exploitées dans tous les autres pays en dehors de l’UE, notamment aux Etats-Unis et dans les pays au niveau de protection non adéquate. Pire encore, avec le développement des VPN permettant de simuler des adresses lP situées sur un territoire hors de l’UE et de contourner très facilement les règles de géo-blocage, tel que l’extension Hola Free VPN Proxy Unblocker disponible sur Google Chrome, un citoyen européen pourrait voir exposées ses données personnelles qu’il croyait avoir été supprimées dans l’un des états membres de l’UE. Est-ce vraiment cela l’esprit de la loi ?
La CJUE rappelle cependant qu’il:
“incombe à l’exploitant du moteur de recherche de prendre, si nécessaire, des mesures suffisamment efficaces pour assurer une protection effective des droits fondamentaux de la personne concernée. Ces mesures doivent, elles-mêmes, satisfaire à toutes les exigences légales et avoir pour effet d’empêcher ou, à tout le moins, de sérieusement décourager les internautes dans les États membres d’avoir accès aux liens en cause à partir d’une recherche effectuée sur la base du nom de cette personne (…)
La CJUE souligne que:
“lors de la procédure devant la CJUE, Google a exposé que, après l’introduction de la demande de décision préjudicielle, elle a mis en place une nouvelle présentation des versions nationales de son moteur de recherche, dans le cadre de laquelle le nom de domaine introduit par l’internaute ne déterminerait plus la version nationale du moteur de recherche à laquelle celui-ci accède. Ainsi, l’internaute serait désormais automatiquement dirigé vers la version nationale du moteur de recherche de Google qui correspond au lieu à partir duquel il est présumé effectuer la recherche et les résultats de celle-ci seraient affichés en fonction de ce lieu, lequel serait déterminé par Google à l’aide d’un procédé de géolocalisation (…) II appartient à la juridiction de renvoi de vérifier si, au regard également des modifications récentes de son moteur de recherche, les mesures adoptées ou proposées par Google satisfont à ces exigences (…) Si le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus.”
En d’autres termes:
“Ni pour, ni contre, bien au contraire”