Le 10 janvier prochain, deux importantes affaires relatives au droit à l’oubli sur les moteurs de recherche seront auscultées par Maciej Szpunar, avocat général à la CJUE. Elles concernent l’une et l’autre sa portée territoriale et le sort des données sensibles.

Depuis son arrêt Costeja, rendu le 13 mai 2014, soit avant l’entrée en vigueur du RGPD, la cour considère que Google inc. est soumis à la directive de 1995 sur les traitements des données personnelles, ce par le biais de ses filiales publicitaires.

Mieux encore, l’arrêt a posé en substance que le moteur réalise un traitement lorsqu’il indexe des données personnelles. Il doit alors respecter une série d’obligations, en particulier le droit à l’effacement reconnu aux personnes physiques.

Selon la directive précitée, tout responsable du traitement doit en effet s’assurer que son traitement réponde à un certain niveau de qualité :

• Les données à caractère personnel sont traitées loyalement et licitement
• Les données sont « collectées pour des finalités déterminées, explicites et légitimes, et ne [sont pas] traitées ultérieurement de manière incompatible avec ces finalités »
• Les données sont « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement »,
• Les données sont « exactes et, si nécessaire, mises à jour »
• Les données sont « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement ».

À défaut, un coup de gomme s’impose dès lors qu’une requête associant un nom et un mot clef dirige vers un contenu ne répondant pas à ce niveau de qualité (données inexactes, non pertinentes, excessives, etc.).

Bras de fer entre la CNIL et Google sur la portée du droit à l'oubli

En France, cet état des lieux a été l'occasion d'un beau bras de fer entre la CNIL et le moteur américain, en particulier sur le périmètre des données à effacer et les différents critères à mettre en œuvre. La question est de savoir si le droit à l’effacement doit ne concerner que les versants européens de Google (Google.de, .it, .fr, etc.) ou bien frapper également toutes les autres extensions, dont le .com.

Cette thèse « universaliste » est justement défendue par la CNIL. Elle avait à ce titre infligé une sanction de 100 000 euros à l’encontre de Google qui ne la respectait pas. « Si nous devions appliquer la loi française partout dans le monde, combien de temps faudrait-t-il avant que d’autres pays - peut être moins libres et démocratiques - exigent à leur tour que leurs lois régulant l’information jouissent d’un périmètre mondial ? » avait réagi dans nos colonnes un représentant du moteur, lors de son recours devant le Conseil d’État.  

Pour éviter une solution franco-française, à mille lieues de l’idéal du marché unique, celui-ci avait préféré soulever ces difficultés directement à la CJUE. Au passage, le même Conseil d’État a demandé, dans l’hypothèse d’un droit à l’effacement limité à l’Europe, si l’oubli numérique devait être en vigueur dans le seul pays de l’internaute avait obtenu gain de cause, ou bien dans l’ensemble des États membres ? Et comment identifier la localisation de cette personne ? Par géolocalisation ou en tenant compte du nom de domaine utilisé lors de la recherche ?

La question des données sensibles et de l'indexation des infractions

Dans une seconde série d’affaires, Google et la CNIL ont été sur la même longueur d’onde. À chaque fois, des individus ont attaqué une délibération de la commission qui avait suivi le refus du moteur d’effacer leurs données personnelles.

Dans l’un des dossiers, une conseillère régionale d’Île-de-France avait vainement réclamé l’effacement d’un lien vers une vidéo se moquant de ses anciennes activités publiques, suggérant une relation intime avec le maire de la commune.

Dans un autre, un ancien conseiller de Gérard Longuet avait sollicité l’effacement de plusieurs liens hypertextes vers des articles exposant sa mise en examen dans les années 90, alors qu’il avait bénéficié d’un non-lieu en 2010. Autre cas, un ex-animateur d'école avait demandé le retrait de sept liens vers des articles du Figaro et de Nice Matin relatif à sa condamnation en 2010 pour des actes pédophiles.

Si Google et la CNIL ont refusé la désindexation, ces affaires portent sur des données particulières, celles relatives à la vie intime ou encore à des infractions. Le droit européen posait déjà une interdiction de principe de ces traitements, sauf exception par exemple pour la presse, mais sûrement pas les moteurs de recherche.

Voilà pourquoi la juridiction administrative a préféré là encore passer le relai à la cour de Luxembourg (notre compte rendu d'audience de transmission). Dans moins de deux semaines, l’avocat général de la Cour de justice de l’Union européenne rendra son avis. Ces conclusions sont destinées à éclairer la CJUE dans l’arrêt attendu à partir de février 2019.