Voilà quatre ans, presque jour pour jour, la CNIL infligeait à Google une amende de 100 000 euros. Elle lui reprochait de ne pas étendre son « droit à l’oubli » à l’échelle de la planète. Le Conseil d’État a finalement annulé cette sanction administrative, après un passage devant la Cour de justice de l’Union européenne.

En 2014, la Cour de justice de l’Union européenne posait dans son arrêt Costeja qu’un moteur comme Google réalise un traitement de données personnelles.

De là, une réaction en chaîne avec d’abord la possibilité pour quiconque de demander l’effacement de ses données dès lors que les informations référencées ne remplissent plus certains seuils qualitatifs. Des données à caractère personnel traitées déloyalement et illicitement, inadéquates, non pertinentes ou excessives au regard des finalités, inexactes ou non mises à jour, etc.

L’arrêt a provoqué un petit séisme juridique en Europe dans tous les moteurs de recherche, tenus désormais d’étudier ces demandes au cas par cas puis, au besoin, d’y faire droit.

Un autre problème a surgi s’agissant aussi de la portée territoriale du « droit à l’oubli ». Une problématique classique en droit des nouvelles technologies, mais sur laquelle un véritable bras de fer a opposé Google à la CNIL.

Pour l’autorité, le droit à l’effacement se devait d’être effectif sur l’ensemble des extensions du moteur (.fr, .de, .it, mais aussi .com), et donc à l’échelle de la planète, ce qu’a contesté Google. Pour le moteur, ce droit devait être limité aux seules extensions européennes, pas davantage.

Plusieurs personnes ayant attaqué le refus d’un référencement mondialisé de la firme de Mountain View, la formation restreinte de l’autorité infligeait une sanction de 100 000 euros (le maximum à l’époque étant de 150 000 euros) à l’encontre du géant américain.

Du premier arrêt du Conseil d’État à la Cour de justice de l'Union européenne

 « Notre raisonnement consiste à dire qu’en vertu de la décision de la Cour de justice de l’Union européenne, nous expliquait  la présidente de la CNIL, Isabelle Falque Pierrotin, ce droit au déréférencement est offert aux personnes physiques européennes, dès lors que le responsable de traitement est soumis au droit européen. Or le traitement de Google est un traitement mondial. Les extensions .fr, .it, .com ne sont pas le traitement, c'est le chemin technique d'accès au traitement. Le traitement, lui, c'est le même pour tout le monde. Google a donc choisi d'avoir un traitement mondial, très bien. Mais dès lors que le déréférencement est octroyé, alors il doit naturellement être effectif sur l'ensemble des extensions liées à ce traitement ! »

Google n’en restait toutefois pas là : il attaquait cette décision devant le Conseil d’État qui, comme l’avait suggéré la rapporteure publique, transmettait la problématique à la Cour de justice de l’Union européenne.

En septembre 2019, celle-ci rendait son arrêt. Sa conclusion de principe ? Sans détour : il ne ressort pas des textes « que le législateur de l’Union aurait (…) conférer aux droits consacrés à ces dispositions une portée qui dépasserait le territoire des États membres et qu’il aurait entendu imposer à un opérateur qui, tel Google, relève du champ d’application de cette directive ou de ce règlement une obligation de déréférencement portant également sur les versions nationales de son moteur de recherche qui ne correspondent pas aux États membres ».

En clair : le droit européen n’impose pas un tel déréférencement planétaire. L’arrêt soufflait cependant le chaud et le froid. Il admettait que dans certaines situations, après mise en balance entre droits des données personnelles et sacro-saint droit à l’information, le déréférencement puisse être mondialisé :

« Il importe enfin de souligner que, si (…) le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus. Partant, une autorité de contrôle ou une autorité judiciaire d’un État membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux (…), une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur » (point 72)

Un droit à l'oubli limité (en principe) à l'Europe

Le dossier de retour en France, le Conseil d’État a tranché ce vendredi en suivant cette ligne nuancée. La CNIL est évidemment revenue à la charge pour s’engouffrer dans la brèche ouverte par la justice européenne : « l’arrêt de la Cour de justice de l’Union européenne n’interdit pas qu’une autorité de contrôle nationale ordonne la mise en œuvre d’un déréférencement mondial », a-t-elle plaidé.

C’est vrai… seulement, la décision initiale de la CNIL était dénuée de la moindre mise en balance. La commission s’est surtout contentée de sanctionner Google en n’ayant qu’une seule solution possible : le déréférencement mondial.

Dans sa décision, le Conseil d’État a donc annulé ces 100 000 euros de sanction en rappelant l’arbre décisionnel qui s’impose aux autorités nationales :

1. Le déréférencement ne peut excéder le champ couvert par le droit de l’Union européenne
2. Il peut dépasser ces frontières mais seulement après mise en balance entre droit à la vie privée et protection des données personnelles d’un côté, et droit à l’information de l’autre.

Les nuances apportées par la CJUE et reprises par la juridiction administative vont ainsi remettre une pièce dans la machine, le sujet étant un important nid à contentieux.

Dans un communiqué, la CNIL indique pour sa part qu’elle « adaptera dans les prochains jours les contenus de son site consacrés au « droit à l’oubli » pour tenir compte des précisions données par le Conseil d’État sur ce droit essentiel consacré au profit des personnes par le RGPD », sachant toutefois que l'affaire portait sur la législation antérieure au règlement du 25 mai 2018.