Le 25 septembre, la Cour de justice des Communautés européennes (CJCE) a rendu deux arrêts sur la mise en oeuvre du droit à l’oubli. L’affaire opposait le géant technologique américain Google à la Commission Nationale de l’Informatique et des Libertés (CNIL), l’autorité française chargée de la protection des données, dans le cadre d’un litige de longue date concernant des injonctions globales émises sur le fondement du droit à l’oubli.
La CJCE s’est prononcée en faveur de Google, estimant que, si la CNIL peut obliger le moteur de recherche à supprimer les liens vers des contenus offensants pour les utilisateurs situés en Europe, elle peut ne pas le faire au niveau mondial. La deuxième décision, moins largement diffusée, concernait le traitement des données sensibles, qui nécessitera la création d’un régime de notification et de radiation pour les catégories d’informations particulièrement sensibles, telles que les données de santé et les casiers judiciaires.
La CJCE n’a pas rejeté l’ensemble des injonctions globales, mais a simplement rendu une décision fondée sur la législation communautaire existante au moment où l’affaire a été présentée, qui, a-t-elle conclu, ne donnait pas à la France le pouvoir de demander des injonctions globales, tout en ajoutant que le droit communautaire n’interdit pas cette pratique. Il convient de noter que, l’affaire ayant été portée à l’attention de la Cour en 2017, l’arrêt est fondé sur la directive 95/46 et non sur le règlement général sur la protection des données (RGPD), entré en vigueur le 25 mai 2018 seulement.
Google VS CNIL
Le droit d’être oublié résulte d’un arrêt de la Cour de justice de l’Union européenne (CJUE) contre Google en mai 2014, qui a déclaré qu’une personne avait le droit de demander que des données anciennes, inexactes ou non pertinentes soient supprimées des résultats de recherche et fait référence en général au retrait des liens de la liste par les moteurs de recherche.
Compte tenu de cette décision, Google a commencé à accorder aux personnes concernées de l’UE le droit d’être oubliées. Cependant, elle a d’abord limité les retraits aux domaines des États membres de l’UE tels que Google.de, Google.fr, etc. Plutôt qu’à son moteur de recherche mondial, Google.com! Sous l’impulsion du législateur, et notamment de la CNIL en 2015, elle a également mis en place des technologies de géoblocage pour éviter que les liens dont la radiation avait été demandée n’apparaissent sur son moteur de recherche mondial aux particuliers situés dans l’UE. Toutefois, les liens étaient encore accessibles aux utilisateurs d’Internet en dehors de l’UE.
La CNIL a insisté pour que l’injonction soit globale et a infligé à Google une amende de 100.000 euros que la société a contestée en soulevant la question de la censure.
Droit à la vie privée VS Droit à l’accès à l’information
Le principal problème du droit à l’oubli, évoqué à la fois par des groupes de la société civile et par plusieurs gouvernements, est la possibilité qu’il puisse être utilisé comme un outil de censure. La crainte est qu’en faisant respecter le droit à l’oubli, les autorités chargées de la protection des données n’empiètent sur le droit à la liberté d’information.
La CJCE elle-même, bien qu’elle ait statué en faveur de Google dans cette affaire, n’a pas fermé la porte aux injonctions globales. En fait, il l’a laissé grande ouverte. La CJCE a déclaré qu’à la lumière des normes nationales de protection des droits fondamentaux, les autorités des États membres peuvent mettre en balance le droit à la vie privée et la protection des données à caractère personnel des personnes concernées et le droit à la liberté d’information et, le cas échéant, demander que l’opérateur du moteur de recherche procède à un renvoi concernant toutes les versions dudit moteur.
Cela signifie essentiellement, que les autorités chargées de la protection des données pourront imposer des injonctions globales. Si elles peuvent prouver que les données à caractère personnel dont la radiation est demandée ne portent pas atteinte au droit à la liberté d’information.
Quel est l’impact de la décision sur les efforts de conformité des entreprises en dehors de l’UE ?
Les entreprises en dehors de l’UE ont vu dans la décision de la CJCE une victoire contre ce que les législateurs européens considèrent comme une tentative d’aller trop loin en introduisant des clauses d’extraterritorialité dans une législation telle que le GDPR. Toutefois, il est peu probable que l’arrêt de la CJCE ait une incidence sur les entreprises qui ne traitent pas d’informations accessibles au public.
La question du droit à la liberté de l’information et de ses différences d’un pays à l’autre, a été au coeur du débat sur l’affaire Google VS CNIL. Si une organisation recueille des informations à des fins commerciales, il y a de fortes chances qu’elles ne soient pas accessibles au public et, par conséquent, que leur suppression soit demandée ou non n’a aucune conséquence sur le droit des internautes à la liberté de l’information.
Les entreprises doivent également garder à l’esprit que le droit d’être oublié tel qu’il est appliqué par l’arrêt CJUE 2014 n’est pas le même que le droit à l’effacement du GDPR.
« Oublié, » dans ce cas se réfère à la désindexation des moteurs de recherche publics, pas la suppression du contenu des moteurs de recherche liés. « L’effacement », quant à lui, fait référence à la suppression d’informations personnelles à la demande d’une personne concernée.
En conclusion
Si Google a gagné la bataille, sa lutte contre la CNIL est loin d’être terminée. Le géant de la technologie sera bientôt confronté à l’autorité française de protection des données dans une autre affaire qui verra Google contester une amende de 50 millions d’euros infligée par la CNIL en janvier 2019 pour absence de consentement sur les annonces. Cette fois-ci, l’affaire sera jugée dans le cadre du GDPR et sa décision pourrait bien changer la face du respect de la protection des données.
