Traitement de données à caractère personnel par un moteur de recherche et consécration du droit à l’oubli

La Cour de justice de l’Union européenne (CJUE) a eu à statuer sur la responsabilité des sociétés Google Spain et Google Inc au regard de leurs activités de moteur de recherche.

Un citoyen espagnol a introduit auprès de l’agence espagnole de protection des données à caractère personnel une requête à l’encontre d’un quotidien espagnol, La Vanguardia Ediciones, ainsi que des sociétés Google Spain et Google Inc. Il faisait valoir que lorsque son nom était saisi en tant que requête dans le moteur de recherche «Google Search», apparaissaient en liste des résultats deux pages du quotidien La Vanguardia Ediciones parues en 1998, relatives à une vente aux enchères de ses immeubles ayant fait suite à une saisie.

L’intéressé réclamait d’une part la suppression ou la modification de ces pages dans le journal local et, d’autre part, que les sociétés Google fassent disparaître du moteur de recherche ses données personnelles.

L’agence espagnole de protection des données personnelles a considéré que le quotidien avait légalement publié cette annonce et a rejeté la demande formulée à son encontre. En revanche, elle a considéré que les sociétés Google devaient prendre des mesures aux fins de rendre inaccessibles les données personnelles litigieuses dans le moteur de recherche. Les sociétés Google ont formé un recours auprès de la juridiction espagnole (l’Audiencia Nacional) pour contester la décision de l’agence. La juridiction espagnole a alors saisi la CJUE de plusieurs questions soulevant principalement les problématiques suivantes :

• le champ d’application matériel et territorial de la directive 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données,
• l’obligation du responsable du traitement d’un moteur de recherche en matière de suppression de résultats,
• et le droit des personnes à exiger l’effacement dans la liste de résultats des occurrences traitant de leurs données personnelles.

En premier lieu, la CJUE a dû se prononcer sur le fait de savoir si les société Google mettaient en œuvre un traitement de données personnelles au sens de l’article 2 de directive dans la mesure où le moteur de recherche ne contrôle pas le contenu des sites web révélés par la recherche. L’article 2 définit un traitement de données à caractère personnel comme «toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction».

La Cour a considéré que l’activité de moteur de recherche «consistant à trouver des information publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence» devait recevoir la qualification de traitement de données à caractère personnel (CJUE, 13 mai 2014, C-131/12).

La Cour précise, à cet égard, que le fait que, d’une part, ces données aient au préalable fait l’objet d’une publication sur Internet et, d’autre part qu’elles n’aient pas subi de modification par rapport à ladite publication ne constitue pas un obstacle à la reconnaissance d’un traitement de données personnelles dans le cadre du moteur de recherche.

En deuxième lieu, a été soulevée la question de l’application de la directive 95/46 à ce traitement. L’article 4 paragraphe 1 sous a) dispose que «Chaque État membre applique les dispositions nationales qu’il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque :

a) le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de l’État membre; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable».

En l’espèce, les sociétés Google prétendaient que l’activité de moteur de recherche était exploitée par la société Google Inc dont le siège social est aux USA. La Cour relève toutefois que la filiale de la société Google Inc, la société Google Spain, exerce une activité de promotion d’espaces publicitaires constituant une partie essentielle de l’activité commerciale du groupe Google sur le territoire de l’Etat espagnol. La CJUE a ainsi considéré que la succursale ou filiale d’un exploitant de moteur de recherche située dans un Etat et destinée à assurer des espaces promotionnels offerts par ce moteur de recherche, devait être reconnue comme un établissement du responsable de traitement dans cet Etat, au sens de la directive.

En troisième lieu, la CJUE a dû se prononcer sur les obligations incombant au responsable de traitement eu égard à la demande de suppression, de la liste des résultats du moteur de recherche, des données personnelles d’une personne, quand bien même la publication de la page internet révélée par la recherche était licite. La Cour a estimé que compte tenu de l’atteinte portée à la vie privée, le responsable de traitement devait effacer de la liste des résultats les liens vers les pages web contenant le nom de cette personne même si la publication était licite.

Enfin, en quatrième lieu, la CJUE consacre le droit pour la personne dont les données personnelles sont traitées de demander la suppression de celles-ci, en vertu du droit à l’oubli. La Cour précise à cet égard qu’un traitement à l’origine licite peut devenir incompatible avec la directive 95/46 dès lors que les données traitées «ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées». Elle énonce également que ce droit à être oublié n’est pas absolu et doit s’apprécier au vu non seulement de l’intérêt économique de l’exploitant du moteur de recherche mais également de l’intérêt du public à trouver cette information au moyen du moteur de recherche. En l’espèce, la CJUE juge que «dans la mesure où il ne semble pas exister, en l’occurrence, de raisons particulières justifiant un intérêt prépondérant du public à avoir dans le cadre [d’une recherche sur le moteur de recherche], accès à ces informations […] la personne concernée peut […] exiger la suppression desdits liens de cette liste de résultats». Si le droit à l’oubli est expressément reconnu en principe, sa mise en œuvre devra s’apprécier au cas par cas en fonction notamment de l’intérêt qu’à le public à trouver cette information sur le moteur de recherche.

Auteurs

Anne-Laure Villedieu, avocat associée en de la propriété industrielle, droit de l’informatique, des communications électroniques et protection des données personnelles.

Prudence Cadio, avocat en droit des contrats.

Brève extraite de la Lettre Propriétés intellectuelles | Juillet 2014