La Cour de Justice a rendu ce matin un arrêt important en matière de traitement de données personnelles. Il vient préciser le droit à l’effacement des données personnelles que peuvent revendiquer les particuliers face à Google. La Cour ne reconnaît cependant pas de véritable droit à l’oubli.

La CJUE a tranché une affaire soumise par les juridictions espagnoles. Les faits étaient presque classiques en ces temps connectés : un internaute avait attaqué devant la CNIL espagnole, un journal local et Google (Inc. et Espagne). Pourquoi ? En saisissant son nom dans le moteur, celui-ci faisait ressurgir deux vieux articles de janvier et mars 98. La Vanguardia avait à l’époque diffusé une publication légale mettant en évidence des difficultés financières de l’intéressé.

Seize ans après les faits, le principal concerné demandait un sérieux coup de balai afin que ces articles et les résultats Google soient nettoyés. Selon lui, en effet, les informations le concernant sont périmées et donc plus pertinentes. La CNIL locale avait rejeté cette réclamation à l’égard du journal, mais accueilli la mesure contre Google qui avait contre-attaqué en justice.

La position de Google était simple : les moteurs ne font pas le tri entre les données à caractère personnel et les autres informations collectées par ses robots sur les sites tiers. Il n’est pas responsable de ce traitement puisqu’il n’en a pas connaissance et n’exerce aucun contrôle sur elles. La position était rejointe par l’avocat général de la CJUE.

L’analyse de la CJUE a été tout autre : Google mène bien un traitement sur des données personnelles et en est pleinement responsable.

Google Espagne est responsable du traitement sur les données personnelles

La Cour note que le moteur « collecte » des données qu’il « extrait », « enregistre » et « organise » dans son index. Il les « conserve » sur ses serveurs et les « communique » ou « met à disposition » des utilisateurs. Chacune de ces étapes est visée par les textes européens pour définir le traitement.

Par ailleurs, Google est bien responsable de ce traitement puisque c’est lui qui « détermine les finalités et les moyens du traitement de données à caractère personnel » comme le disent encore les textes européens.

Ceci posé, Google doit logiquement subir tous les textes qui encadrent ces traitements afin d’assurer une protection des personnes concernées (vie privée, données personnelles, etc.). Peu importe qu’un éditeur de site web, comme ici, a lui aussi effectué un traitement de données personnelles.

Enfin, le fait que Google Inc. détienne les clefs de ce moteur, plutôt que Google Espagne, est sans conséquence dans la mesure où ces opérations ont lieu « dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre. »

Droit à l’effacement ?

Pour autant, Google peut-il être astreint à un droit à l’effacement ? Google répond que son moteur n’est que le miroir des sites web, et que si un contenu déplait, il faut que la prétendue victime s’arrange avec l’éditeur du site, premier responsable de la mise en ligne.

Or, la directive 95/46 sur la protection des données personnelles prévoit dans son article 6 que, sous réserve de traitements à des fins historiques, statistiques ou scientifiques, le responsable du traitement doit s’assurer que le traitement répond à un certain niveau de qualité :

• Les données à caractère personnel sont traitées loyalement et licitement
• Les données sont collectées pour des finalités déterminées, explicites et légitimes, et ne [sont pas] traitées ultérieurement de manière incompatible avec ces finalités»
• Les données sont « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement »,
• Les données sont « exactes et, si nécessaire, mises à jour »
• Les données sont « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement ».

Pour justifier d’un droit à l’effacement pour motif légitime, il faut donc que les données traitées soient inexactes, inadéquates, non pertinentes ou excessives au regard des finalités du traitement, ou encore qu’elles ne soient pas mises à jour ou conservée pendant une durée excessive (sauf fins historiques, statistiques ou scientifiques). La Cour prévient que même un traitement de données initialement licites peut devenir ainsi incompatible avec le droit européen. « Tel est notamment le cas lorsqu’elles apparaissent inadéquates, qu’elles ne sont pas ou plus pertinentes ou sont excessives au regard de ces finalités et du temps qui s’est écoulé. »

Une ingérence dans la vie privée à géométrie variable

Quid des moteurs ? La CJUE considère que leur activité offre « un aperçu structuré des informations » relatives à une personne, touchant « potentiellement à une multitude d’aspects de sa vie privée et qui, [sans moteur de recherche], n’auraient pas ou seulement que très difficilement pu être interconnectées ».

L’ingérence dans la vie privée s’accentue du fait « du rôle important que jouent Internet et les moteurs de recherche dans la société moderne ». Classiquement, cette ingérence dépend de chaque personne. Si pour le commun des mortels l’intérêt du particulier prime sur l’intérêt économique de Google ou celui du public à trouver une information, tel n’est plus le cas pour les personnalités publiques. Là, « l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question. »

Aux juridictions espagnoles de trancher

Dans cette affaire, l’article initial signalait une vente aux enchères immobilière après saisie pour dette de sécurité sociale. Des informations qui viennent fouiller la vie privée d’une personne, anciennes de 16 ans. La CJUE demandera aussi aux juridictions espagnoles de vérifier la qualité de ce traitement, et surtout si dans les faits, existe « des raisons particulières justifiant un intérêt prépondérant du public à avoir, dans le cadre d’une telle recherche, accès à ces informations ». Dans le cas contraire, la personne concernée aura bien un droit à l’effacement. Sinon, s’il existe un intérêt du public à avoir cette information, son droit sera refusé.

Un droit à l’effacement sur les moteurs, non un droit à l’oubli

La CJUE ne consacre pas ici un véritable droit à l’oubli comme l’organise le futur règlement européen sur les données personnelles (voir notre émission 14h42 et notre dossier sur le sujet). Avec l’oubli, l’information reste, mais elle est enterrée (archivage protégé par un code, par exemple). La Cour, au contraire, aiguise ici le droit à l’effacement pour motif légitime. Mais le fait notable de cet arrêt n’est pas tant de connaître les droits de chacun face aux moteurs, que d’affirmer clairement que Google doit se plier aux contraintes du droit européen.