En 2015, la Commission nationale de l’informatique et des libertés (Cnil) a mis en demeure la société Google, lorsqu’elle fait droit à une demande d’une personne physique tendant à la suppression de la liste des résultats, affichée à la suite d’une recherche effectuée à partir de son nom, de liens menant vers des pages web, d’effectuer cette suppression sur toutes les extensions de nom de domaine de son moteur de recherche.
Après avoir constaté que la société ne s’était pas, dans le délai imparti, conformée à cette mise en demeure, la formation restreinte de la Cnil a prononcé à son encontre une sanction, rendue publique, de 100.000 €.
La société a demandé annulation de cette délibération.

Dans un arrêt du 27 mars 2020, le Conseil d’Etat rappelle que, selon un arrêt de la la Cour de justice de l’Union européenne du 24 septembre 2019, « lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement, il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des Etats membres et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des Etats membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande ». Autrement dit, la CJUE limite en principe le déréférencement au territoire européen, tout en exigeant de ce dernier qu’il soit effectif sur ce territoire.

En outre, dans ce même arrêt, la CJUE précise qu’une « autorité de contrôle (…) d’un Etat membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux (…), une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur ». Ainsi, la Cnil est compétente pour obliger, au cas par cas (et non de manière systématique comme la Cnil l’avait envisagé), un moteur de recherche à déréférencer les résultats sur toutes les versions de son moteur si cela se justifiait par une mise en balance entre protection de la vie privée du demandeur, d’une part, et droit à la liberté d’information, d’autre part.

Si la CNIL soutient en défense que la sanction contestée trouve son fondement dans la faculté que la CJUE a reconnue aux autorités de contrôle d’ordonner de procéder à un déréférencement portant sur l’ensemble des versions d’un moteur de recherche, il ne résulte, en l’état du droit applicable, d’aucune disposition législative qu’un tel déréférencement pourrait excéder le champ couvert par le droit de l’Union européenne pour s’appliquer hors du territoire des Etats membres de l’Union européenne.
Au surplus, une telle faculté ne peut être ouverte qu’au terme d’une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information. Or, il ressort des termes mêmes de la délibération attaquée que, pour constater l’existence de manquements persistants et reprocher à la société Google d’avoir méconnu l’obligation de principe de procéder au déréférencement portant sur l’ensemble des versions d’un moteur de recherche, la formation restreinte de la Cnil n’a pas effectué une telle mise en balance. Il s’ensuit qu’il n’y a pas lieu de faire droit à la substitution de base légale demandée en défense par la Cnil.

Ainsi, la société Google est fondée à demander l’annulation de la délibération qu’elle attaque.