Peut-on exiger d’un moteur le retrait d’une donnée personnelle ? Un dossier actuellement examiné devant la Cour de Justice de l’Union européenne relance la problématique du droit à l’oubli vis-à-vis de ces services en ligne.

Les faits étaient simples : en 1998, des annonces dans un journal papier font état d’une saisie immobilière pour dette sociale visant un propriétaire. En 2009, celui-ci contacte l’éditeur du journal pour l’informer que ses dettes avaient été réglées. Il lui demande donc de gommer tout cela, d’autant qu’on retrouve des traces de cette saisie avec son nom sur Google. L’éditeur refuse, la publication ayant été faite sur ordre du ministère des Affaires sociales. En 2010, l’intéressé cible directement le moteur. Il lance une procédure devant la CNIL locale, l’Agence espagnole de protection des données, qui ordonne à Google de purger son index. Google contre-attaque en justice dans une procédure où la CJUE a été saisie d’une série de questions préjudicielles.

Le moteur n'est pas responsable d'un traitement de données personnelles

La CJUE n’a pas encore rendu sa décision, mais l’avocat général a considéré aujourd’hui dans ses conclusions que Google ne pouvait être considéré comme le « responsable du traitement » de données personnelles indexées par son service en ligne. Pourquoi ? Car l’activité de moteur « n’emporte aucun contrôle sur le contenu figurant sur des pages web de tiers » résume-t-il. Ainsi, puisque par nature un moteur est incapable de faire le tri entre les données à caractère personnel et les autres, Google « ne saurait, en droit ou en fait, remplir les obligations du responsable du traitement que prévoit la directive en ce qui concerne les données à caractère personnel figurant sur les pages web source hébergées sur des serveurs de tiers. »

Pas de droit au retrait, sauf exceptions

La conclusion est alors simple pour l’avocat général : aucune des CNIL européennes « ne saurait exiger d’un [moteur] qu’il retire des informations de son index ». Seules exceptions : d’une part, quand le moteur a ignoré un Robots.txt, protocole d’exclusion des moteurs, placé à la racine des sites web. D’autre part, quand le moteur a ignoré une demande de mise à jour de la mémoire cache. Mais ici, tel n’était pas le cas. Du coup, « une éventuelle « procédure de notification et de retrait » concernant les liens vers les pages web source comportant des contenus illicites ou inappropriés relèvent de la responsabilité civile de droit national, fondée sur des motifs autres que la protection des données à caractère personnel. »

Pas de droit à la désindexation de confort

Plus intéressant encore, l’avocat général constate qu’il n’existe pas de droit à l’oubli face à l’appétit d’indexation des moteurs. Si quiconque peut s’opposer à un traitement de données personnelles « pour des raisons prépondérantes et légitimes tenant à sa situation particulière », une simple « préférence subjective » n’est pas suffisante pour exiger cette grande purge. En clair ? « La directive ne permet pas à une personne de restreindre ou de faire cesser la diffusion de données à caractère personnel qu’elle juge préjudiciables ou contraire à ses intérêts ». Du coup, une demande visant à faire supprimer des informations légales et légitimes, entrées dans la sphère publique, serait mécaniquement contraire à la liberté d’expression de l’éditeur du site initial, car assimilé à une censure.

Le débat dans le projet de réglement européen

D’ores et déjà, l’eurodéputée Françoise Castex a réagi à ces conclusions : « cette affaire révèle l'obsolescence de la législation européenne qui date de 1995. La Cour vient nous rappeler ici combien il est devenu urgent pour l'Union européenne de se doter d'une législation uniforme avec un champ d'application transnational qui sécurise juridiquement les entreprises et protège efficacement ses citoyens à l'ère d'internet ». La Vice-présidente de la Commission des Affaires juridiques du Parlement européen presse du coup l’adoption du nouveau règlement sur les données personnelles qui prévoit justement l’inclusion d’un droit à l’oubli dans toute l’Europe.

Le droit à la désindexation poussé par la CNIL

On sait que sur ce terrain, la CNIL en France pousse spécialement à l’adoption d’un véritable droit au déréférencement, corrélé au droit à l’effacement d’une donnée personnelle. Édouard Geffray, secrétaire général de la CNIL, nous détaillait récemment l’idée : « à partir du moment où j’ai obtenu un droit à l’effacement d’une information, la logique voudrait que j’en obtienne le déréférencement. C’est finalement la prolongation naturelle auprès des moteurs de recherches : si au niveau d’un site vous obtenez la correction d’une information sur vous pour laquelle vous avez un motif légitime d’effacement, l’idée est d’obtenir la correction corrélative de la photographie auprès des moteurs ». Si le projet de la CNIL est entendu à l’échelon européen, l’effacement du cache dans les moteurs deviendra un droit pour quiconque a déjà obtenu un effacement sur un site référencé. La CNIL a lancé sur ce terrain une consultation  toujours en cours.