Le droit à l’oubli (i.e. déréférencement) permet à toute personne de demander à un moteur de recherche de supprimer certains résultats associés à ses noms et prénoms qui apparaissent à partir d’une requête faite sur son identité. Cette suppression ne signifie pas l’effacement de l’information sur le site internet source.
Or, ce droit au déréférencement, forme du droit à l’oubli, soulève des difficultés considérables, notamment en raison de l’équilibre qu’il impose de bâtir entre droit à informer/droit à l’information, d’une part, et droit à l’oubli, d’autre part.
De plus, ce droit soulève des questions sur l’étendue géographique de telles demandes. Le droit étasunien, par exemple, n’hésite plus à prétendre s’appliquer à la planète entière en certains domaines, là où les européens n’ont pas de telles audaces.
Le cadre en a été un peu tracé par des décisions françaises antérieures et, surtout, fixé par des décisions européennes de 2014, 2018 et 2019 (I.).
Le droit français vient, par toute une série de décisions du Conseil d’Etat (CE), les unes, en rafale, du 6 décembre 2019 (II) et une autre en date du 27 mars 2020 (III), de s’y adapter.
I. JURISPRUDENCE ANTÉRIEURE
I.A. position antérieure du CE
Déjà, dans la fameuse affaire du Théâtre national de Bretagne (TNB), la Haute Assemblée avait imposé une forme de droit à l’oubli, ou à tout le moins à l’existence d’une borne temporelle, à une sanction diffusée sur les sites Internet. Le Conseil d’Etat avait ainsi jugé :
« qu’en omettant de fixer la durée pendant laquelle la publication de l’avertissement resterait accessible de manière non anonyme sur ces deux sites, la formation restreinte de la CNIL doit être regardée comme ayant infligé une sanction sans borne temporelle ; »
Source : CE, 28 septembre 2016, n° 389448.
Voir :
Surtout, c’est le juge européen qui a pour l’instant fixé un cadre à ce régime : CEDH puis CJUE.
I.B. position de la CEDH en 2018
La CEDH a, notamment, imposé en 2018 un relatif équilibre entre droit à l’information et droit à l’oubli à propos de la relation, sur Internet, de la condamnation de deux demi-frères, en Allemagne, pour l’assassinat, en 1990 (et non 1991 comme écrit à tort dans l’arrêt !), d’un acteur très populaire (voir ici). Une émission de radio rappelait l’affaire avec les noms des intéressés en 2000, et cette émission restait accessible sur Internet.
Les personnes condamnées ont engagé un long parcours contentieux pour demander (et obtenir en première instance et à hauteur d’appel) de la radio que celle-ci retirât cet enregistrement de son site Internet.
Par deux arrêts de principe du 15 décembre 2009, la Cour fédérale de justice allemande accueillit les pourvois en cassation formés par la station de radio (nos VI ZR 227/08 et 228/08), et elle cassa les décisions de la cour d’appel et du tribunal régional. Elle observa certes :
- que la mise à disposition des informations litigieuses constituait une ingérence dans l’exercice du droit à la protection de la personnalité (Allgemeines Persönlichkeitsrecht) et du droit au respect de la vie privée des requérants découlant des articles 1 § 1 et 2 § 1 de la Loi fondamentale ainsi que de l’article 8 de la CEDH,
- mais que ces droits devaient être mis en balance avec le droit à la liberté d’expression et avec la liberté de la presse tels que garantis par l’article 5 § 1 de la Loi fondamentale et par l’article 10 de la CEDH. Cette cour précisa que, en raison de sa nature particulière, la portée du droit à la protection de la personnalité n’était pas délimitée à l’avance mais qu’elle devait être appréciée en mettant ce droit en balance avec les intérêts divergents en jeu, et que, pour ce faire, le juge devait notamment prendre en compte les circonstances particulières de l’affaire et les droits et libertés protégés par la Convention.
Saisie in fine, la CEDH avait validé cette mise en balance telle que faite par les autorités juridictionnelles allemandes, en posant que :
« Compte tenu de la marge d’appréciation des autorités nationales en la matière lorsqu’elles mettent en balance des intérêts divergents, de l’importance de garder disponibles des reportages dont la licéité lors de leur parution n’est pas contestée et du comportement des requérants vis-à-vis de la presse, la Cour estime qu’il n’y a pas de raisons sérieuses qui justifieraient qu’elle substitue son avis à celui de la Cour fédérale de justice. On ne saurait dès lors dire que, en refusant de donner suite à la demande des requérants, la Cour fédérale de justice a manqué aux obligations positives de l’État allemand de protéger le droit des requérants au respect de leur vie privée, au sens de l’article 8 de la Convention. Partant il n’y a pas eu violation de cette disposition.»
Voici cet arrêt CEDH, 28 juin 2018, n° 60798/10 et 65599/10.
Voir :
I.C. Et, surtout, les décisions de la CJUE en septembre 2019
En septembre 2019, la CJUE a nettement complété son corps de jurisprudence (auparavant voir CJUE, 13 mai 2014, Google Spain et Google, C-131/12) par deux arrêts importants à ce sujet.
A RETENIR :
- ce droit à l’oubli n’est sanctionné par la CJUE que sur le territoire européen. Il ne peut y avoir de demande de déréférencement à l’échelle mondiale en dépit de la demande de la CNIL en sens contraire. C’est une victoire pour Google et une possibilité de contournement majeur pour l’information qui pourra continuer de prospérer à l’autre bout du monde. Classiquement, le juge européen ne veut pas étendre son empire chez les voisins là (c’est un classique des droits en Europe sauf pour certaines infractions majeures) là où le juge américain (mais lequel en ce domaine est plus protecteur du droit à l’information et moins du droit à la vie privée que le juge européen…), pour ne citer que lui, ne s’embarrasse que peu de pareilles limites.
- mais les moteurs de recherche ont l’obligation de prendre des mesures efficaces pour que le droit à l’oubli s’applique sur toute l’UE (au point semble-t-il que selon le pays où est effectué la recherche, le déréférencement devra permettre que l’internaute ne puisse accéder aux informations qui pourtant prospéreront librement en Afrique, en Asie, en Amérique ou en Océanie… )
- cependant, la CJUE a ouvert la porte à un droit à l’oubli mondial dans des cas particuliers qui pourront être posés par les autorités nationales (CNIL ou homologues) sous le contrôle du juge… la CJUE sur ce point a un peu botté en touche.
- le juge européen a aussi précisé le régime à appliquer pour les données sensibles (appartenance sexuelle ethnique ou politique, par exemple). En pratique, un moteur de recherches ne peut, sauf à faire des enquêtes sur tout en ce bas monde, trier de telles informations et s’assurer de leur neutralité ou véracité. Mais il peut identifier le caractère potentiellement sensible de telles données. La CJUE a tranché en faveur du droit des personnes à demander le déréférencement de telles données mais en faveur de la possibilité pour le moteur de recherche de signaler qu’il peut s’y opposer pour cause de droit à l’information (sous le contrôle du juge si celui ci est saisi, comme dans l’affaire CEDH précitée). Mais le moteur de recherche doit en ce cas dans son algorithme mettre en avant la situation judiciaire actuelle, la plus récente, pour par exemple qu’un acquittement puisse prévaloir sur les résultats annonçant la mise en examen qui lui aura été antérieure.
VOICI CES DÉCISIONS :
CJUE, 24 septembre 2019, C-507/17 :
CJUE, 24 septembre 2019, C-136/17 :
Voir :
II. LES DÉCISIONS DU CONSEIL D’ETAT EN DATE DU 6 DÉCEMBRE 2019
Par 13 arrêts du 6 décembre 2019, le Conseil d’État a pris en compte ces décisions de la CJUE précitées, elles-mêmes rendues à la suite de questions par lui posées.
Par ces décisions, la Haute Assemblée fixe en conséquence les conditions dans lesquelles doit être respecté le droit au déréférencement sur internet prévu par le RGPD. Il est ainsi la première juridiction française à livrer, à Google et à la Commission nationale de l’informatique et des libertés (CNIL), un mode d’emploi du droit de l’oubli.
Les grands principes de ce cadre sont :
- Le juge se prononce en tenant compte des circonstances et du droit applicable à la date à laquelle il statue.
- Le déréférencement d’un lien associant au nom d’un particulier une page web contenant des données personnelles le concernant est un droit.
- Le droit à l’oubli n’est pas absolu. Une balance doit être effectuée entre le droit à la vie privée du demandeur et le droit à l’information du public.
- L’arbitrage entre ces deux libertés fondamentales dépend de la nature des données personnelles.
Trois catégories de données personnelles sont concernées :
- des données dites sensibles (données les plus intrusives dans la vie d’une personne comme celles concernant sa santé, sa vie sexuelle, ses opinions politiques, ses convictions religieuses …),
- des données pénales (relatives à une procédure judiciaire ou à une condamnation pénale),
- et des données touchant à la vie privée sans être sensibles.
La protection dont bénéficient les deux premières catégories est la plus élevée : il ne peut être légalement refusé de faire droit à une demande de déréférencement que si l’accès aux données sensibles ou pénales à partir d’une recherche portant sur le nom du demandeur est strictement nécessaire à l’information du public. Pour la troisième catégorie, il suffit qu’il existe un intérêt prépondérant du public à accéder à l’information en cause.
Les différents paramètres à prendre en compte, au-delà des caractéristiques des données personnelles en cause, sont le rôle social du demandeur (sa notoriété, son rôle dans la vie publique et sa fonction dans la société) et les conditions dans lesquelles les données ont été rendues publiques (par exemple, si l’intéressé a de lui-même rendu ces informations publiques) et restent par ailleurs accessibles.
Le Conseil d’Etat dès lors pose :
- qu’il résulte des dispositions de l’article 11 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés que, sans préjudice des voies de recours ouvertes devant le juge judiciaire s’agissant des litiges opposant des particuliers aux exploitants d’un moteur de recherche, la CNIL est compétente pour connaître des plaintes formées à la suite d’une décision de refus de déréférencement opposée par l’exploitant d’un moteur de recherche et, le cas échéant, pour mettre en demeure celui-ci de faire droit à la demande de déréférencement
- 2) Ce pouvoir s’exerce, eu égard à la nature des droits individuels en cause, sous l’entier contrôle du juge administratif de l’excès de pouvoir (contentieux relevant du REP donc).
En l’espèce, 13 particuliers avaient saisi Google de demandes de déréférencement de liens vers des pages web contenant des données à caractère personnel les concernant. A la suite du refus de Google, ils ont saisi la CNIL d’une plainte afin qu’elle mette Google en demeure de procéder à ces déréférencements. La CNIL ayant rejeté leurs plaintes, ces personnes ont directement saisi le Conseil d’État afin qu’il annule ces décisions de refus.
Sur ces 13 recours, le Conseil d’État a été amené à statuer sur 18 cas de figure différents : il a constaté 8 non-lieu à statuer, rejeté 5 demandes et prononcé 5 annulations.
Dans un certain nombre d’affaires, Google avait pris les devants, en procédant aux déréférencements demandés. Dans d’autres cas, le contenu des pages web avait été modifié depuis l’introduction des requêtes. Le Conseil d’État a alors constaté le non-lieu à statuer, les requérants ayant déjà obtenu satisfaction.
NB pour un cas concernant par exemple l’Eglise de scientologie, voir :
N.B. 2 : sur Google et le secret des affaires, dans un autre cadre juridique mais qui n’est pas sans analogie avec celui présentement commenté, voir CE, 20 mars 2020, n° 429279 : Secret des affaires : quel est le juge compétent quand l’Autorité de la concurrence décide, ou non, de caviarder certaines de ses décisions ?
Voici cet arrêt du
- Conseil d’État, Assemblée, 6 décembre 2019, 391000, Publié au recueil Lebon :
(NB attention il semblerait qu’il y ait une erreur de numérotation de cet arrêt…)
Voir les autres décisions
- > n° 395335
> n° 397755
> n° 399999
> n° 401258 - > n° 403868
> n° 405464
> n° 405910
> n° 407776
> n° 409212
> n° 423326
> n° 429154
III. Puis en mars 2020, le Conseil d’Etat achève sa mue, son travail de conformité du droit français avec la position de la CJUE
Dans sa décision du 27 mars 2020, le Conseil d’État a précisé la portée géographique du droit au déréférencement. La CNIL prend acte de cette décision qui tire les conséquences automatiques de l’arrêt de la Cour de justice de l’Union européenne (CJUE) du 24 septembre 2019.
VOICI CETTE DÉCISION
N° 399922
CONSEIL D’ETAT
statuant
au contentieux
N° 399922 _________
GOOGLE INC. _________
Mme Christelle Thomas Rapporteur __________
M. Alexandre Lallet Rapporteur public __________
Séance du 13 mars 2020 Lecture du 27 mars 2020 __________
REPUBLIQUE FRANÇAISE AU NOM DU PEUPLE FRANÇAIS
Le Conseil d’Etat statuant au contentieux
(Section du contentieux, 10ème et 9ème chambres réunies) Sur le rapport de la 10e chambre
Vu la procédure suivante :
Par une décision du 19 juillet 2017, le Conseil d’Etat, statuant au contentieux sur la requête de la société Google Inc. tendant à l’annulation de la délibération n° 2016-054 du 10 mars 2016 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une sanction, rendue publique, de 100 000 euros, a sursis à statuer jusqu’à ce que la Cour de justice de l’Union européenne se soit prononcée sur les questions de savoir :
1°) si le « droit au déréférencement » tel qu’il a été consacré par la Cour de justice de l’Union européenne dans son arrêt du 13 mai 2014 sur le fondement des dispositions des articles 12, sous b), et 14, sous a), de la directive du 24 octobre 1995, doit être interprété en ce sens que l’exploitant d’un moteur de recherche est tenu, lorsqu’il fait droit à une demande de déréférencement, d’opérer ce déréférencement sur l’ensemble des noms de domaine de son moteur de telle sorte que les liens litigieux n’apparaissent plus quel que soit le lieu à partir duquel la recherche lancée sur le nom du demandeur est effectuée, y compris hors du champ d’application territorial de la directive du 24 octobre 1995 ;
2°) en cas de réponse positive à cette première question, si le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant d’un moteur de recherche est seulement tenu, lorsqu’il fait droit à une demande de déréférencement, de supprimer les liens litigieux des résultats affichés à la
-1-
N° 399922
suite d’une recherche effectuée à partir du nom du demandeur sur le nom de domaine correspondant à l’Etat où la demande est réputée avoir été effectuée ou, plus généralement, sur les noms de domaine du moteur de recherche qui correspondent aux extensions nationales de ce moteur pour l’ensemble des Etats membres de l’Union européenne ;
3°) en outre, si, en complément de l’obligation évoquée au 2°, le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant d’un moteur de recherche faisant droit à une demande de déréférencement est tenu de supprimer, par la technique dite du « géo-blocage », depuis une adresse IP réputée localisée dans l’Etat de résidence du bénéficiaire du « droit au déréférencement », les résultats litigieux des recherches effectuées à partir de son nom, ou même, plus généralement, depuis une adresse IP réputée localisée dans l’un des Etats membres soumis à la directive du 24 octobre 1995, ce indépendamment du nom de domaine utilisé par l’internaute qui effectue la recherche.
Par un arrêt C-507/17 du 24 septembre 2019, la Cour de justice de l’Union européenne s’est prononcée sur ces questions.
Par un nouveau mémoire et un mémoire en réplique, enregistrés les 26 novembre 2019 et 21 janvier 2020, la société Google LLC persiste dans ses conclusions. Elle soutient que la formation restreinte de la CNIL a entaché sa délibération d’une erreur de droit en retenant le principe d’un déréférencement mondial et que la solution technique mise en œuvre pour assurer le déréférencement satisfait aux exigences posées par le droit de l’Union européenne tel qu’interprété par la Cour de justice de l’Union européenne.
Par deux nouveaux mémoires en défense, enregistrés les 29 novembre 2019 et 6 février 2020, la CNIL conclut au rejet de la requête. Elle soutient que l’arrêt de la Cour de justice de l’Union européenne n’interdit pas qu’une autorité de contrôle nationale ordonne la mise en œuvre d’un déréférencement mondial et que la solution technique mise en œuvre par Google pour assurer le déréférencement ne satisfait pas aux exigences de protection effective des données personnelles.
Par une intervention, enregistrée le 13janvier 2020, Wikimedia Foundation Inc. demande que le Conseil d’Etat fasse droit aux conclusions de la requête de la société Google Inc. Elle soutient que la formation restreinte de la CNIL ne pouvait ordonner un déréférencement mondial qu’à l’issue d’une mise en balance entre le droit au respect de la vie privée et à la protection des données personnelles et le droit à l’information propre à un cas d’espèce et non par un raisonnement de principe.
Par une intervention, enregistrée le 28 janvier 2020, la société Microsoft Corporation demande que le Conseil d’Etat fasse droit aux conclusions de la requête de la société Google Inc. Elle soutient que la formation
-2-
N° 399922
restreinte de la CNIL ne pouvait ordonner un déréférencement mondial qu’à l’issue d’une mise en balance entre le droit au respect de la vie privée et à la protection des données personnelles et le droit à l’information propre à un cas d’espèce et non par un raisonnement de principe et que la CNIL a commis une erreur de droit en écartant la solution technique de déréférencement proposée par la société Google qui satisfait aux exigences du droit afférent.
Vu les autres pièces du dossier, y compris celles qui ont été visées par la décision du Conseil d’Etat du 19 juillet 2017 ;
Vu :
– la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;
– la Charte des droits fondamentaux de l’Union européenne ;
le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
– la loi n° 78-17 du 6 janvier 1978 ;
– l’arrêt de la Cour de justice de l’Union européenne du 13 mai 2014, Google Spain SL, Google Inc. contre Agencia Española de Protección de Datos, Mario Costeja González (C-131/12) ;
– l’arrêt de la Cour de justice de l’Union européenne du 24 septembre 2019, Google LLC contre CNIL (C-507/17) ;
– le code de justice administrative ;
Après avoir entendu en séance publique :
– le rapport de Mme Christelle Thomas, maître des requêtes en service extraordinaire,
– les conclusions de M. Alexandre Lallet, rapporteur public ;
La parole ayant été donnée, avant et après les conclusions, à la SCP Spinosi, Sureau, avocat de la société Google LLC., à la SCP Piwnica, Molinié, avocat de Wikimedia Foundation Inc, à la SCP Baraduc, Duhamel, Rameix, avocat de Microsoft Corporation, à Me Haas, avocat de Reporters Committee for Freedom of the Press et autres, à la SCP Tapie, Rousseau-Tapie, avocat de l’association Article 19 et autres ;
Considérant ce qui suit :
-3-
N° 399922
1. Wikimedia Foundation Inc, et la société Microsoft justifient d’un intérêt suffisant à l’annulation de la délibération attaquée. Ainsi, leurs interventions sont recevables.
2. Il résulte de l’instruction que, par une décision du 21 mai 2015, la présidente de la Commission nationale de l’informatique et des libertés (CNIL) a mis en demeure la société Google Inc., lorsqu’elle fait droit à une demande d’une personne physique tendant à la suppression de la liste des résultats, affichée à la suite d’une recherche effectuée à partir de son nom, de liens menant vers des pages web, d’effectuer cette suppression sur toutes les extensions de nom de domaine de son moteur de recherche. Par une délibération du 10 mars 2016, après avoir constaté que la société ne s’était pas, dans le délai imparti, conformée à cette mise en demeure, la formation restreinte de la CNIL a prononcé à son encontre une sanction, rendue publique, de 100 000 euros. La société Google Inc. demande l’annulation de cette délibération.
3. D’une part, l’article 45 de la loi du 6 janvier 1978, dans sa rédaction applicable à la date de la délibération attaquée, dispose que : « I. – La formation restreinte de la Commission nationale de l’informatique et des libertés peut prononcer, après une procédure contradictoire, un avertissement à l’égard du responsable d’un traitement qui ne respecte pas les obligations découlant de la présente loi. Cet avertissement a le caractère d’une sanction. / Le président de la commission peut également mettre en demeure ce responsable de faire cesser le manquement constaté dans un délai qu’il fixe. En cas d’urgence, ce délai peut être ramené à cinq jours. / Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure. / Dans le cas contraire, la formation restreinte peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes : / 1° Une sanction pécuniaire, dans les conditions prévues par l’article 47, à l’exception des cas où le traitement est mis en œuvre par l’Etat ; (…) ». Ces dispositions assuraient la mise en œuvre en droit national des dispositions alors en vigueur de l’article 24 de la directive 95/46/CE du 24 octobre 1995, qui laissait aux Etats membres le soin de déterminer les sanctions à appliquer « en cas de violation des dispositions prises en application de cette directive ».
4. D’autre part, l’article 38 de la loi du 6 janvier 1978, dans sa rédaction applicable à la date de la délibération attaquée, dispose que : « Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement. / Elle a le droit de s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur./Les dispositions du premier alinéa ne s’appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte autorisant le traitement ». Ces dispositions assuraient la mise en œuvre en droit national des dispositions de l’article 12, sous b) et de l’article 14, sous a), de la directive du 24 octobre 1995, desquelles découle un « droit au déréférencement » des données à caractère personnel. Elles
-4-
N° 399922
doivent dès lors être interprétées à la lumière de ces dispositions, auxquelles s’est substitué l’article 17 du règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données, qui consacre un tel « droit à l’effacement », également dénommé « droit à l’oubli ».
5. Par son arrêt du 24 septembre 2019, Google LLC contre CNIL (C-507/17), la Cour de justice de l’Union européenne a dit pour droit que : « l’article 12, sous b), et l’article 14, premier alinéa, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 […], ainsi que l’article 17, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, […] doivent être interprétés en ce sens que, lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des Etats membres et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des Etats membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande ».
6. Ainsi qu’il a été rappelé au point 1, la formation restreinte de la CNIL a sanctionné la société Google Inc. au motif qu’elle refuse, lorsqu’elle fait droit à une demande de déréférencement, d’effectuer ce déréférencement sur l’ensemble des noms de domaine de son moteur de recherche et se borne à supprimer les liens en cause des seuls résultats affichés en réponse à des recherches menées depuis les noms de domaine correspondant aux déclinaisons de son moteur de recherche dans les Etats membres de l’Union européenne. La formation restreinte de la CNIL a par ailleurs estimé insuffisante la proposition complémentaire dite de « géo-blocage » faite par la société Google Inc., après expiration du délai de mise en demeure, de supprimer la possibilité d’accéder, depuis une adresse IP réputée localisée dans l’Etat de résidence du bénéficiaire du « droit au déréférencement », aux résultats litigieux à la suite d’une recherche effectuée à partir de son nom, indépendamment de la déclinaison du moteur de recherche qu’a sollicitée l’internaute.
7. Il résulte des motifs énoncés au point 4 qu’en sanctionnant la société requérante au motif que seule une mesure s’appliquant à l’intégralité du traitement liée au moteur de recherche, sans considération des extensions interrogées et de l’origine géographique de l’internaute effectuant une recherche, est à même de répondre à l’exigence de protection telle qu’elle a été consacrée par la Cour de justice de l’Union européenne, la formation restreinte de la CNIL a entaché la délibération attaquée d’erreur de droit.
-5-
N° 399922
8. Il est vrai qu’ainsi que le fait valoir la CNIL en défense, la Cour de justice a relevé, au point 72 de l’arrêt du 24 septembre 2019, que « si (…) le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus. Partant, une autorité de contrôle ou une autorité judiciaire d’un Etat membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux (…), une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur ».
9. Lorsque, saisi d’une requête dirigée contre une sanction prononcée par la CNIL, il constate que la décision contestée devant lui aurait pu être prise, en vertu du même pouvoir d’appréciation, sur un autre fondement que celui qu’a retenu l’autorité de sanction, le juge administratif peut substituer ce fondement à celui qui a servi de base légale à la décision attaquée, sous réserve que la personne sanctionnée ait disposé des garanties dont est assortie l’application du texte sur le fondement duquel la décision aurait dû être prononcée. Une telle substitution relevant de l’office du juge, celui-ci peut y procéder soit à la demande des parties soit de sa propre initiative, au vu des pièces du dossier, mais sous réserve, dans ce dernier cas, d’avoir au préalable mis les parties à même de présenter des observations sur ce point.
10. Si la CNIL soutient en défense que la sanction contestée trouve son fondement dans la faculté que la Cour de justice a reconnue aux autorités de contrôle d’ordonner de procéder à un déréférencement portant sur l’ensemble des versions d’un moteur de recherche, il ne résulte, en l’état du droit applicable, d’aucune disposition législative qu’un tel déréférencement pourrait excéder le champ couvert par le droit de l’Union européenne pour s’appliquer hors du territoire des Etats membres de l’Union européenne. Au surplus, il résulte en tout état de cause des motifs énoncés au point 7 qu’une telle faculté ne peut être ouverte qu’au terme d’une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information. Or, il ressort des termes mêmes de la délibération attaquée que, pour constater l’existence de manquements persistants et reprocher à la société Google Inc. d’avoir méconnu l’obligation de principe de procéder au déréférencement portant sur l’ensemble des versions d’un moteur de recherche, la formation restreinte de la CNIL n’a pas effectué une telle mise en balance. Il s’ensuit qu’il n’y a pas lieu de faire droit à la substitution de base légale demandée en défense par la CNIL.
11. Il résulte de tout ce qui précède que la société Google Inc. est fondée à demander l’annulation de la délibération qu’elle attaque.
-6-
N° 399922
DECIDE: ————–
Article 1er : Les interventions de Wikimedia Foundation Inc et de la société Microsoft Corporation sont admises.
Article 2 : La délibération du 10 mars 2016 de la formation restreinte de la Commission nationale de l’informatique et des libertés est annulée.
Article 3 : La présente décision sera notifiée à la société Google LLC., à la Commission nationale de l’informatique et des libertés, à Wikimedia Foundation Inc., à la société Microsoft Corporation, à Reporters Committee for Freedom of the Press, premier dénommé et à l’association Article 19, premier dénommé. Les autres intervenants seront informés de la présente décision par Maître Haas et par la SCP Rousseau-Tapie, avocats au Conseil d’Etat et à la Cour de cassation, qui les représentent devant le Conseil d’Etat.
Délibéré à l’issue de la séance du 13 mars 2020 où siégeaient : M. Alain Ménéménis, président adjoint de la section du contentieux, présidant ; M. Mattias Guyomar, M. Guillaume Goulard, présidents de chambre ; Mme Nathalie Escaut, Mme Anne Egerszegi, M. Thomas Andrieu, conseillers d’Etat, Mme Christelle Thomas, maître des requêtes en service extraordinaire- rapporteur.
Lu en séance publique le 27 mars 2020
Le rapporteur :
Signé : Mme Christelle Thomas
Le président :
Signé : M. Alain Ménéménis
Le secrétaire :
Signé : Mme Claudine Ramalahanoharana
La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous huissiers de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour le secrétaire du contentieux, par délégation :
Vous devez être connecté pour poster un commentaire.