La CNIL vient de mettre Google Inc. en demeure de muscler sa politique de droit à l’oubli (ou plutôt à l’effacement). Elle exige un nettoyage mondial du moteur dès lors qu’un français actionne ce droit. Google, en face, n’applique qu’une purge européenne.

Depuis un arrêt du 13 mai 2014, la Cour de justice de l’Union européenne considère que les exploitants de moteur de recherche sont des gestionnaires de données personnelles. Résultat des courses ? Ils doivent appliquer la directive 95/46 sur la protection des données personnelles qui prévoit un certain niveau de qualité dans le traitement de ces informations :

• Les données à caractère personnel sont traitées loyalement et licitement
• Les données sont collectées pour des « finalités déterminées, explicites et légitimes, et ne [sont pas] traitées ultérieurement de manière incompatible avec ces finalités »
• Les données sont « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement »,
• Les données sont « exactes et, si nécessaire, mises à jour »
• Les données sont « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement »

Conséquences ? Les moteurs sont tenus de déréférencer les données litigieuses. C’est ce qui a été résumé sous l’expression de « droit à l’oubli », qui permet par exemple à une personne de faire effacer de Google des mentions nominatives le concernant, mais jugées inadéquates, non pertinentes ou excessives.

Un droit à l'oubli limité aux extensions européennes selon Google

Le chantier ouvert par la Cour de Luxembourg a rapidement été pris en main par Google, qui a hérité d’un statut qu’il ne voulait pas. Et pour cause : le voilà tenu de se faire juge à la place des juges alors que les dossiers ne sont pas toujours bien simples. Autre chose, l’ADN de Google est la recherche, non l’effacement.

Histoire de ne pas se faire devancer par les autorités de contrôle, Google a ainsi instauré un comité de suivi pour plancher sur les problématiques juridiques, mais aussi philosophiques qu’impose ce « droit à l’oubli » (voir notre compte rendu d’une réunion organisée à Paris). Ces travaux se sont ensuite soldés par une série de recommandations, épaulant le formulaire dédié mis en ligne par l'entreprise américaine fin mai 2014.

Plusieurs mois plus tard après l’arrêt, la CNIL a cependant ébauché plusieurs critères pour considérer comme justifié le droit au déréférencement. Seulement, un point central oppose l’entreprise américaine et le gendarme des données personnelles : c’est celui du périmètre géographique du droit à l’oubli. Alors que Google ne l’applique qu’à l’encontre des extensions européennes de son moteur, au motif que les autres extensions ne sont que peu utilisées, la CNIL, elle, souhaite un droit à l’oubli de portée mondiale, même sur le .com.

Un droit à l'oubli mondial, selon la CNIL, qui met en demeure Google

Cette disharmonie s’est concrétisée aujourd’hui juridiquement : la CNIL vient d’adresser une mise en demeure à Google afin de le contraindre à appliquer ce coup de gomme sur toutes les extensions : .fr, .uk mais également .com et les autres extensions non européennes. Dans sa délibération, elle analyse les différents noms de domaine utilisés par Google comme « ne présentant que des chemins d’accès techniques » à un « traitement unique ». S’appuyant sur la logique des textes européens, elle en déduit donc que le déréférencement demandé par un Français ne peut qu’être planétaire.

Elle ordonne (PDF) à Google de mettre fin à cette problématique dans les 15 jours. À défaut ? Le moteur pourra être condamné à une amende pouvant aller jusqu’à 1,5 million d’euros, sans compter les 7 500 euros encourus dès lors qu’un responsable de traitement ne procède pas aux opérations demandées par une personne physique. Elle révèle d’ailleurs avoir été saisie déjà « de plusieurs centaines de demandes de particuliers s’étant vu refuser le déréférencement de liens Internet (ou adresses URL) par Google. »

Phénomène assez rare, la CNIL a aussi choisi de rendre publique cette mise en demeure. Comme elle l’explique (PDF), la décision se justifie « par la nécessité d’informer les exploitants de moteurs de recherche, les internautes ainsi que les éditeurs de contenus faisant l’objet d’un déréférencement, de l’étendue et de la portée des droits d’opposition et d’effacement des données » garantis par la loi de 1978, suite à l’arrêt de la CJUE.