Suivant les conclusions de la rapporteure publique, et sans grande surprise, le Conseil d’État a décidé de transmettre une série de questions préjudicielles à la Cour de justice de l’Union européenne. L’enjeu ? La portée territoriale du droit au déréférencement.

Peut-on exiger de Google le déréférencement des liens contenant des données personnelles sur toutes les versions de son moteur de recherche ? Voilà en substance la problématique née d’un conflit entre la CNIL et le géant américain.

Inutile de revenir longuement sur l’arrêt de la Cour de justice de l’Union européenne du 13 mai 2014. Depuis, Google et tous les autres moteurs sont soumis à la directive de 1995 sur le traitement des données personnelles. Quiconque peut donc exiger son « droit à l’oubli » dans les résultats, après avoir démontré que les données personnelles automatiquement indexées ne sont pas adéquates ou pertinentes ou sont excessives ou inexactes. Google, sous le contrôle de la CNIL, doit alors examiner individuellement chaque demande tout en réalisant une mise en balance entre vie privée et droit à l’information. Pas simple.

Une question non tranchée par la justice européenne

Une question restait en souffrance depuis ce fameux arrêt Costeja : le « droit à l’oubli » s’applique-t-il sur les seules extensions couvertes par la directive, celles attachées à chaque État membre (.fr, .be, .de, etc.). Ou bien s’étend-il au-delà des frontières, même sur Google.com ? La CNIL considère que oui, infligeant 100 000 euros de sanction au moteur qui s’y oppose fermement. Au point d’attaquer cette délibération devant la haute juridiction administrative. 

Dans son arrêt rendu hier, le Conseil d’État a considéré que, quelles que soient les extensions utilisées, « les liens affichés en réponse à une recherche proviennent de bases de données et d’un travail d’indexation communs ». Autrement dit, s’il ventile les résultats selon l’extension concernée, Google n’opère en amont qu’un seul et même traitement, peu importe le pays.

Sur la scène, les ressorts de cette tragédie sont alors simples : quand la CNIL souhaite rendre effectif dans toute sa complétude ce « droit à l’oubli », Google dénonce une lecture trop gourmande si ce n'est erronée de loi de 1978 Informatique et libertés. « En retenant une telle interprétation, la formation restreinte de la CNIL a méconnu les principes de courtoisie et de non-ingérence reconnus par le droit international public et porté une atteinte disproportionnée aux libertés d’expression, d’information, de communication et de la presse garanties » estime le moteur, dont les propos ont été résumés par le Conseil d’État.

Une série de difficultés sérieuses pour le Conseil d'Etat 

Face à cette problématique, les magistrats se sont cependant retrouvés face à un océan de perplexité : une « difficulté sérieuse d’interprétation du droit de l’Union européenne » que n’a jamais tranchée la Cour de Luxembourg. Le droit à la désindexation doit-il être limité aux extensions européennes ou s’étendre plus en amont dans le cœur de la base de données Google ?

La difficulté est même démultipliée car si la suppression ne peut avoir de portée extraterritoriale, le Conseil d’État ne sait pas davantage si le déréférencement doit porter sur toutes les extensions européennes ou être limitée à la seule extension relative au pays du bénéficiaire ?

Il ignore tout autant comment doit être mise en œuvre ce coup de gomme. Faut-il par exemple rendre obligatoire la technique complémentaire dite du « géo-blocage » ? Avec elle, l’exploitant d’un moteur de recherche faisant droit à une demande de déréférencement serait alors tenu de supprimer les résultats litigieux « depuis une adresse IP réputée localisée dans l’un des États membres soumis à la directive du 24 octobre 1995, ce indépendamment du nom de domaine utilisé par l’internaute qui effectue la recherche ».

Ces trois questions, dont les réponses sont cruciales pour permettre au Conseil d’État de trancher le bras de fer entre la CNIL et Google, ont été adressées à la Cour de justice de l’Union européenne. L’enjeu est tel que d’autres entités sont intervenues dans ce dossier dont la Wikimedia Foundation Inc., la Fondation pour la liberté de la presse, Microsoft, Reporters Committee for Freedom of the Press ou encore l’Internet Freedom Foundation.

Ces prochains mois, la CJUE va donc devoir à nouveau plancher le sujet sachant qu’en février dernier, le Conseil d’État lui a déjà adressé une autre salve de questions. Elles sont relatives cette fois aux données sensibles telles l’indexation des condamnations pénales rapportées par la presse.