Blog Données personnelles
Droit à l’oubli : GOOGLE remporte une bataille contre la CNIL
Saisie par le Conseil d’Etat dans le cadre d’un litige opposant la CNIL et Google sur l’étendue du champ d’application des modalités d’exercice du droit à l’oubli, la Cour de justice de l’Union européenne a tranché : le moteur de recherche n’a pas l’obligation d’appliquer le droit au déréférencement hors des frontières de l’Union européenne.
Consacré par un arrêt Google Spain du 13 mai 2014 [1], le droit au déréférencement permet à toute personne de demander au moteur de recherche de supprimer certains résultats associés à ses noms et prénoms qui apparaissent à partir d’une requête faite sur son identité. Dans le cadre du Règlement général sur la protection des données personnelles du 27 avril 2016 , ce droit au déréférencement de la personne concernée trouve désormais son fondement à l’article 17, qui régit spécifiquement le « droit à l’effacement », également dénommé, dans l’intitulé de cet article, « droit à l’oubli ».
Par une délibération en date du 10 mars 2016, la CNIL avait condamné Google à une amende administrative de 100 000 euros, reprochant à l’entreprise américaine de ne pas appliquer le droit au déréférencement sur les versions de son moteur de recherche accessibles en dehors de l’Union européenne. Google avait alors contesté cette décision devant le juge administratif français. Saisi de cette affaire, le Conseil d’Etat a à son tour saisi la Cour de justice de l’Union européenne (CJUE) par la voie d’une question préjudicielle, à propos de la portée géographique du droit au déréférencement.
Dans son arrêt rendu le 24 septembre 2019 [2], la CJUE limite l’effet du déréférencement aux seuls résultats apparaissant à la suite de recherches effectuées depuis le territoire européen. Les résultats de recherche resteront donc accessibles en cas de recherches effectuées en dehors de l’Union européenne.
D’autre part, la Cour précise que, si le droit de l’Union n’impose pas le déréférencement mondial, il ne l’interdit pas non plus. Ainsi, une autorité de contrôle, et donc la CNIL, peut être compétente pour obliger un moteur de recherche à déréférencer les résultats sur toutes les versions de son moteur y compris si la recherche est effectuée hors du territoire européen, si cela est justifié, dans certains cas, pour garantir les droits de la personne concernée.
Cette marge de manœuvre laissée aux autorités de protection de données européennes devrait donc limiter la portée de l’arrêt de la Cour.
Enfin, la Cour exige que les moteurs de recherche prennent des mesures efficaces pour empêcher, ou au moins sérieusement décourager, qu’un internaute européen puisse avoir accès aux liens déréférencés. Il appartient désormais au Conseil d’État d’apprécier si les modifications apportées par Google à son moteur de recherche depuis 2016 sont sur ce point suffisantes.
[1] CJUE 13 mai 2014 Spain SL et Google Inc. contre Agencia Espanola de Proteccion de Datos et Mario Costeja Gonzales