La directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, vise à protéger les libertés et droits fondamentaux des personnes physiques lors du traitement des données à caractère personnel tout en éliminant les obstacles à la libre circulation de ces données.
En 2010, l’espagnol Mario Costeja González, a introduit auprès de l’agence espagnole de protection des données (AEPD) une réclamation à l’encontre de l’éditeur d’un quotidien largement diffusé en Espagne ainsi qu’à l’encontre de Google Spain et de Google Inc. Il faisait valoir que, lorsqu’un internaute introduisait son nom dans le moteur de recherche de Google, la liste de résultats affichait des liens vers deux pages du quotidien en cause, datant de plus de 12 ans. Ces pages annonçaient notamment une vente aux enchères immobilière organisée à la suite d’une saisie destinée à recouvrer les dettes de sécurité sociale dues par M. Costeja Gonzalez.
Par cette réclamation, M. Costeja González demandait, d’une part, qu’il soit ordonné au quotidien soit de supprimer ou de modifier les pages en cause, soit de recourir à certains outils fournis par les moteurs de recherche pour protéger ces données. D’autre part, il demandait que Google Spain ou Google Inc. ait l’obligation de supprimer ou d’occulter ses données personnelles afin qu’elles disparaissent des résultats de recherche et des liens du site du quotidien.
Dans ce contexte, l’homme affirmait que la saisie dont il avait fait l’objet avait été entièrement réglée depuis plusieurs années et que la mention de celle-ci était désormais dépourvue de toute pertinence.
L’AEPD a rejeté la réclamation dirigée contre le quotidien, estimant que l’éditeur avait légalement publié les informations en cause.
En revanche, cette réclamation a été accueillie en ce qui concerne Google. L’AEPD a demandé aux sociétés du groupe de prendre les mesures nécessaires au retrait des données dans leur index et pour en empêcher l’accès. Par suite, les deux sociétés du groupe Google ont introduit deux recours devant l’Audience nationale espagnole, concluant à l’annulation de la décision de l’AEPD.
La juridiction espagnole a alors posé une série de questions à la Cour de justice de l’Union européenne.
La CJUE, dans l’arrêt du 13 mai 2014, constate tout d’abord que le moteur de recherche procède, au sens de la directive, à une collecte des données qui sont organisées sous forme de liste de résultats. Ces opérations doivent être qualifiées de « traitement ».
Or la Cour estime que l’exploitant du moteur de recherche est le « responsable de ce traitement car il en détermine les finalités et les moyens ».
Par conséquent il appartient à l’exploitant du moteur de s’assurer que son activité est bien conforme aux droits protégés par la directive. C’est ainsi que les garanties prévues par la directive pourront développer leur plein effet.
En ce qui concerne le champ d’application territorial, la Cour observe que Google Spain constitue une filiale de Google Inc. sur le territoire espagnol et, partant un « établissement » au sens de la directive.
La Cour considère que lorsque les données sont traitées pour les besoins d’un moteur exploité par une entreprise qui dispose d’un établissement dans un Etat membre, le traitement est effectué « dans le cadre des activités » de cet établissement.
La Cour se prononce ensuite sur l’étendue de la responsabilité de l’exploitant. Elle constate qu’il peut être contraint à supprimer de la liste des résultats des liens vers des pages web à la suite d’une recherche effectuée sur une personne et publiée par des tiers.
Dans ce contexte, le traitement de données à caractère personnel réalisé par un tel exploitant permet à tout internaute effectuant une recherche ciblée sur une personne physique, d’obtenir un « aperçu structuré des informations relatives à cette personne sur Internet », d’établir un « profil ».
Or, ces informations liées à divers aspects de la vie privée n’auraient pas pu être interconnectées ou difficilement en l’absence du moteur de recherche.
La CJUE ajoute que l’ingérence dans les droits des personnes constatée ne saurait, compte tenu de sa gravité potentielle, être justifiée par le seul intérêt économique de l’exploitant du moteur dans le traitement des données. Cependant, la Cour estime que les internautes peuvent avoir un intérêt légitime à obtenir certaines informations et qu’il y a lieu de rechercher un juste équilibre entre cet intérêt et les droits fondamentaux de la personne concernée. Si ces derniers prévalent de manière générale, cela peut être différent lorsque la personne concernée est une personne jouant un rôle dans la vie publique et selon la nature de l’information en question.
Enfin, la Cour se prononce sur la question de savoir si la personne concernée peut demander la suppression de la liste des résultats des liens vers des pages web au motif que les informations y figurant doivent être « oubliées » après un certain temps. La Cour considère que s’il est constaté que l’inclusion des liens dans la liste est incompatible avec la directive, ils doivent être effacés.
Par ailleurs, des informations peuvent devenir inadéquates ou perdre en pertinence au regard du temps écoulé.
En conclusion, la Cour précise que la personne concernée peut adresser sa demande de retrait directement à l’exploitant du moteur de recherche qui doit alors examiner le bien-fondé de celle-ci. Si aucune suite n’est donnée à la demande, la personne peut saisir l’autorité de contrôle ou l’autorité judiciaire.
14/05/2014