A – Les bases juridiques du droit à l’oubli

Plusieurs textes européens et nationaux dessinent progressivement les contours d’un droit à l’oubli (1) et précisent les différentes catégories de données en fonction de leur sensibilité à l’atteinte à la vie privée (2).

B – Les premières applications du droit à l’oubli

Outre l’affaire Google Spain de 2014 (1), la Cour de justice a apporté d’importantes précisions en septembre 2019, sur renvoi préjudiciel du Conseil d’État (2).

L’affaire dite Google Spain de 2014 est apparue comme une des premières illustrations jurisprudentielles du droit à l’oubli. Dans l’affaire du 13 mai 201419, la Cour était saisie d’une demande préjudicielle par une juridiction espagnole sur l’interprétation à donner de la directive du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données20, ainsi que de l’article 821 de la charte des droits fondamentaux de l’Union européenne.

Ainsi, lorsque, à la suite d’une recherche effectuée à partir du nom d’une personne, la liste de résultats affiche un lien vers une page web qui contient des informations sur la personne en question, la personne concernée peut s’adresser directement à l’exploitant ou, lorsque celui-ci ne donne pas suite à sa demande, saisir les autorités compétentes pour obtenir, sous certaines conditions, la suppression de ce lien de la liste de résultats. Il s’agit d’une affaire remontant à 2010. Mario Costeja González, de nationalité espagnole, a introduit auprès de l’Agencia Española de Protección de Datos (Agence espagnole de protection des données, AEPD) une réclamation à l’encontre de La Vanguardia Ediciones SL (éditeur d’un quotidien largement diffusé en Espagne, notamment dans la région de Catalogne) ainsi qu’à l’encontre de Google Spain et de Google Inc. M. Costeja González faisait valoir que, lorsqu’un internaute introduisait son nom dans le moteur de recherche du groupe Google (Google Search), la liste de résultats affichait des liens vers deux pages du quotidien de La Vanguardia, datées de janvier et mars 1998. Ces pages annonçaient notamment une vente aux enchères immobilière organisée à la suite d’une saisie destinée à recouvrer les dettes de sécurité sociale dues par M. Costeja González.

Par cette réclamation, M. Costeja González demandait, d’une part, qu’il soit ordonné à La Vanguardia soit de supprimer ou de modifier les pages en cause (afin que ses données personnelles n’y apparaissent plus), soit de recourir à certains outils fournis par les moteurs de recherche pour protéger ces données. D’autre part, M. Costeja González demandait qu’il soit ordonné à Google Spain ou à Google Inc. de supprimer ou d’occulter ses données personnelles afin qu’elles disparaissent des résultats de recherche et des liens de La Vanguardia. Dans ce contexte, M. Costeja González affirmait que la saisie dont il avait fait l’objet avait été entièrement réglée depuis plusieurs années et que la mention de celle-ci était désormais dépourvue de toute pertinence22.

L’AEPD a rejeté la réclamation dirigée contre La Vanguardia, estimant que l’éditeur avait légalement publié les informations en cause. En revanche, la réclamation a été accueillie en ce qui concerne Google Spain et Google Inc. L’AEPD a demandé à ces deux sociétés de prendre les mesures nécessaires pour retirer les données de leur index et pour en rendre l’accès impossible à l’avenir. Google Spain et Google Inc. ont introduit deux recours devant l’Audiencia Nacional (Audience nationale, Espagne), concluant à l’annulation de la décision de l’AEPD. C’est dans ce contexte que la juridiction espagnole a déféré une série de questions à la Cour de justice.

La Cour constate tout d’abord qu’en recherchant de manière automatisée, constante et systématique des informations publiées sur internet, l’exploitant d’un moteur de recherche procède à une « collecte » des données au sens de la directive. La Cour estime, en outre, que l’exploitant « extrait », « enregistre » et « organise » ces données dans le cadre de ses programmes d’indexation avant de les « conserver » sur ses serveurs et, le cas échéant, de les « communiquer » à ses utilisateurs et de les « mettre à la disposition » de ces derniers sous forme de listes de résultats. Ces opérations, visées de manière explicite et inconditionnelle dans la directive, doivent être qualifiées de « traitement », indépendamment du fait que l’exploitant du moteur de recherche les applique de manière indifférenciée à des informations autres que les données à caractère personnel. La Cour rappelle en outre que les opérations visées par la directive doivent être qualifiées de traitement même lorsqu’elles concernent exclusivement des informations déjà publiées en l’état dans les médias. Une dérogation générale à l’application de la directive dans une telle hypothèse aurait pour effet de vider largement cette dernière de son sens.

La Cour juge, par ailleurs, que l’exploitant du moteur de recherche est le « responsable » de ce traitement, au sens de la directive, étant donné que c’est lui qui en détermine les finalités et les moyens. La Cour relève à cet égard que, dans la mesure où l’activité d’un moteur de recherche s’ajoute à celle des éditeurs de sites web et est susceptible d’affecter significativement les droits fondamentaux de la vie privée et de la protection des données à caractère personnel, l’exploitant du moteur de recherche doit s’assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que son activité est conforme aux exigences de la directive. Ce n’est qu’ainsi que les garanties prévues par la directive pourront développer leur plein effet et qu’une protection efficace et complète des personnes concernées (et, notamment, de leur vie privée) pourra effectivement être réalisée.

S’agissant du champ d’application territorial de la directive, la Cour observe que Google Spain constitue une filiale de Google Inc. sur le territoire espagnol et, partant, un « établissement » au sens de la directive. La Cour rejette l’argument selon lequel le traitement de données à caractère personnel par Google Search n’est pas effectué dans le cadre des activités de cet établissement en Espagne. La Cour considère à cet égard que, lorsque de telles données sont traitées pour les besoins d’un moteur de recherche exploité par une entreprise qui, bien que située dans un État tiers, dispose d’un établissement dans un État membre, le traitement est effectué « dans le cadre des activités » de cet établissement, au sens de la directive, dès lors que celui-ci est destiné à assurer, dans l’État membre en question, la promotion et la vente des espaces publicitaires proposés sur le moteur de recherche en vue de rentabiliser le service offert par ce dernier.

En ce qui concerne, ensuite, l’étendue de la responsabilité de l’exploitant du moteur de recherche, la Cour constate que celui-ci est, dans certaines conditions, obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne. La Cour précise qu’une telle obligation peut exister également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite23.

La Cour souligne dans ce contexte qu’un traitement de données à caractère personnel réalisé par un tel exploitant permet à tout internaute, lorsqu’il effectue une recherche à partir du nom d’une personne physique, d’obtenir, par la liste de résultats, un aperçu structuré des informations relatives à cette personne sur internet. La Cour relève, en outre, que ces informations touchent potentiellement à une multitude d’aspects de la vie privée et qu’en l’absence du moteur de recherche, elles n’auraient pas pu être interconnectées ou n’auraient pu l’être que très difficilement. Les internautes peuvent ainsi établir un profil plus ou moins détaillé des personnes recherchées. Par ailleurs, l’effet de l’ingérence dans les droits de la personne se trouve démultiplié en raison du rôle important que jouent internet et les moteurs de recherche dans la société moderne, ces derniers conférant un caractère ubiquitaire aux informations contenues dans les listes de résultats. Compte tenu de sa gravité potentielle, une telle ingérence ne saurait, selon la Cour, être justifiée par le seul intérêt économique de l’exploitant du moteur dans le traitement des données.

Cependant, dans la mesure où la suppression de liens de la liste de résultats pourrait, en fonction de l’information en cause, avoir des répercussions sur l’intérêt légitime des internautes potentiellement intéressés à avoir accès à l’information en question, la Cour constate qu’il y a lieu de rechercher un juste équilibre notamment entre cet intérêt et les droits fondamentaux de la personne concernée, en particulier le droit au respect de la vie privée et le droit à la protection de données à caractère personnel. La Cour relève à cet égard que, si, certes, les droits de la personne concernée prévalent également, en règle générale, sur ledit intérêt des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à recevoir cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique.

Enfin, interrogée sur la question de savoir si la directive permet à la personne concernée de demander que des liens vers des pages web soient supprimés d’une telle liste de résultats au motif qu’elle souhaiterait que les informations y figurant relatives à sa personne soient « oubliées » après un certain temps, la Cour relève que, s’il est constaté, suite à une demande de la personne concernée, que l’inclusion de ces liens dans la liste est, au stade actuel, incompatible avec la directive, les informations et liens figurant dans cette liste doivent être effacés. La Cour observe à cet égard que même un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible avec cette directive lorsque, eu égard à l’ensemble des circonstances caractérisant le cas d’espèce, ces données apparaissent inadéquates, pas ou plus pertinentes ou excessives au regard des finalités pour lesquelles elles ont été traitées et du temps qui s’est écoulé. La Cour ajoute que, dans le cadre de l’appréciation d’une telle demande introduite par la personne concernée à l’encontre du traitement réalisé par l’exploitant d’un moteur de recherche, il convient notamment d’examiner si cette personne a un droit à ce que les informations en question relatives à sa personne ne soient plus, au stade actuel, liées à son nom par une liste de résultats qui est affichée à la suite d’une recherche effectuée à partir de son nom. Si tel est le cas, les liens vers des pages web contenant ces informations doivent être supprimés de cette liste de résultats, à moins qu’il existe des raisons particulières, telles que le rôle joué par cette personne dans la vie publique, justifiant un intérêt prépondérant du public à avoir, dans le cadre d’une telle recherche, accès à ces informations.

La Cour précise que la personne concernée peut adresser de telles demandes directement à l’exploitant du moteur de recherche qui doit alors dûment examiner le bien-fondé de celles-ci. Lorsque le responsable du traitement ne donne pas suite à ces demandes, la personne concernée peut saisir l’autorité de contrôle ou l’autorité judiciaire pour que celles-ci effectuent les vérifications nécessaires et ordonnent à ce responsable des mesures précises en conséquence24.

Quelques années plus tard, l’assemblée du contentieux du Conseil d’État avait posé des questions par renvoi préjudiciel le 24 février 2017 devant la Cour de justice, qui a rendu son arrêt le 24 septembre 201925. C’est sur la base des textes précités et de la décision de la Cour que le Conseil d’État apporte des précisions sur la conditionnalité du droit à l’oubli.

Dans son arrêt du 24 septembre 201926, la Cour précise que l’exploitant d’un moteur de recherche n’est pas tenu de procéder à un déréférencement sur l’ensemble des versions de son moteur de recherche.

La Cour précise qu’il est néanmoins tenu d’y procéder sur les versions correspondant à l’ensemble des États membres et de mettre en place des mesures décourageant les internautes d’avoir, à partir de l’un des États membres, accès aux liens en cause figurant sur les versions hors UE de ce moteur.

Le contexte était le suivant : par une décision du 10 mars 2016, la Cnil a prononcé une sanction de 100 000 € à l’encontre de Google Inc. en raison de son refus, lorsqu’elle fait droit à une demande de déréférencement, d’appliquer celui-ci à l’ensemble des extensions de nom de domaine de son moteur de recherche.

Google Inc., mise en demeure par la Cnil le 21 mai 2015 d’étendre le déréférencement à toutes les extensions, avait refusé de s’exécuter et s’était contenté de supprimer les liens en cause des seuls résultats affichés en réponse à des recherches effectuées depuis les noms de domaine correspondant aux déclinaisons de son moteur de recherche dans les États membres. Google Inc. avait alors demandé au Conseil d’État d’annuler la décision du 10 mars 2016. Elle estime, en effet, que le droit au déréférencement n’implique pas nécessairement que les liens litigieux soient supprimés, sans limitation géographique, sur l’ensemble des noms de domaine de son moteur.

Le Conseil d’État avait ensuite saisi la Cour de justice de plusieurs questions préjudicielles visant à savoir si les règles du droit de l’Union relatives à la protection des données à caractère personnel doivent être interprétées en ce sens que, lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement, il est tenu d’opérer ce déréférencement sur l’ensemble des versions de son moteur ou si, au contraire, il n’est tenu de l’opérer que sur les versions de celui-ci correspondant à l’ensemble des États membres ou sur la seule version correspondant à l’État membre de résidence du bénéficiaire du déréférencement.

Dans son arrêt de réponse, la Cour commence par rappeler qu’elle a déjà jugé que l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages internet, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages internet, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite.

La Cour constate, ensuite, que l’établissement dont dispose Google Inc. sur le territoire français exerce des activités, notamment commerciales et publicitaires, qui sont indissociablement liées au traitement de données à caractère personnel effectué pour les besoins du fonctionnement du moteur de recherche concerné et que ce moteur de recherche doit, compte tenu, notamment, de l’existence de passerelles entre ses différentes versions nationales, être regardé comme effectuant un traitement de données à caractère personnel unique dans le cadre des activités de l’établissement français de Google Inc. Une telle situation relève donc du champ d’application de la législation de l’Union en matière de protection des données à caractère personnel.

La Cour souligne que, dans un monde globalisé, l’accès des internautes, notamment de ceux qui se trouvent en dehors de l’Union, au référencement d’un lien renvoyant à des informations sur une personne dont le centre d’intérêt se situe dans l’Union est susceptible de produire sur celle-ci des effets immédiats et substantiels au sein même de l’Union, de telle sorte qu’un déréférencement mondial serait de nature à rencontrer pleinement l’objectif de protection visé par le droit de l’Union. Elle précise néanmoins que de nombreux États tiers ne connaissent pas le droit au déréférencement ou adoptent une approche différente de ce droit. La Cour ajoute que le droit à la protection des données à caractère personnel n’est pas un droit absolu, mais doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. En outre, l’équilibre entre le droit au respect de la vie privée et à la protection des données personnelles, d’un côté, et la liberté d’information des internautes, de l’autre côté, est susceptible de varier de manière importante à travers le monde.

Or il ne ressort pas des textes que le législateur de l’Union a procédé à une telle mise en balance pour ce qui concerne la portée d’un déréférencement en dehors de l’Union ni qu’il a fait le choix de conférer aux droits des individus une portée qui dépasserait le territoire des États membres. Il n’en ressort pas non plus qu’il aurait entendu imposer à un opérateur, tel que Google, une obligation de déréférencement portant également sur les versions nationales de son moteur de recherche qui ne correspondent pas aux États membres. Le droit de l’Union ne prévoit pas, qui plus est, d’instruments et mécanismes de coopération pour ce qui concerne la portée d’un déréférencement en dehors de l’Union.

Ainsi, la Cour conclut que, en l’état actuel, il n’existe pas, pour l’exploitant d’un moteur de recherche qui fait droit à une demande de déréférencement formulée par la personne concernée, le cas échéant, à la suite d’une injonction d’une autorité de contrôle ou d’une autorité judiciaire d’un État membre, d’obligation découlant du droit de l’Union de procéder à un tel déréférencement sur l’ensemble des versions de son moteur.

Le droit de l’Union oblige, toutefois, l’exploitant d’un moteur de recherche à opérer un tel déréférencement sur les versions de son moteur correspondant à l’ensemble des États membres et de prendre des mesures suffisamment efficaces pour assurer une protection effective des droits fondamentaux de la personne concernée. Ainsi, un tel déréférencement doit, si nécessaire, être accompagné de mesures qui permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des États membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès, via une version de ce moteur « hors UE », aux liens qui font l’objet de la demande de déréférencement. La juridiction nationale devra vérifier que les mesures mises en place par Google Inc. satisfont à ces exigences.

Enfin, la Cour constate que, si le droit de l’Union n’impose pas, en l’état actuel, un déréférencement sur l’ensemble des versions du moteur de recherche, il ne l’interdit pas non plus. Partant, les autorités des États membres demeurent compétentes pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux, une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur27.

Les points importants à retenir se situent autour de la conciliation d’un droit à l’oubli, qui n’est pas absolu, avec d’autres exigences, comme principalement la liberté d’information, dont le contenu doit, lui-même, être proportionné aux objectifs d’information au regard à la fois des conditions des personnes concernées et de l’intérêt pour le public de l’information considérée.

C’est à partir des bases textuelles et jurisprudentielles existantes que le Conseil d’État a jugé les 13 affaires qui lui étaient soumises. Il a, ainsi, lui aussi, consacré le droit à l’oubli, tout en en précisant la conditionnalité.

A – L’équilibre précaire entre droit à l’oubli et droit à l’information

Le Conseil d’État fixe le cadre dans lequel le droit à l’oubli s’exerce. Deux éléments généraux sont à retenir. En premier lieu, le juge se place, d’un point de vue temporel, au moment où l’affaire est jugée. Ainsi, lorsque le déréférencement a eu lieu, lors du jugement de l’affaire, il y a non-lieu à statuer. Le juge l’exprime ainsi : « L’effet utile de l’annulation pour excès de pouvoir du refus de la Cnil de mettre en demeure l’exploitant d’un moteur de recherche de procéder au déréférencement de liens vers des pages web réside dans l’obligation, que le juge peut prescrire d’office en vertu des dispositions de l’article L. 911-1 du Code de justice administrative, pour la Cnil de procéder à une telle mise en demeure afin que disparaissent de la liste de résultats affichée à la suite d’une recherche les liens en cause ».

En premier lieu, il résulte de ce qui a été dit au point précédent que lorsqu’il est saisi de conclusions aux fins d’annulation du refus de la Cnil de mettre en demeure l’exploitant d’un moteur de recherche de procéder au déréférencement de liens, le juge de l’excès de pouvoir est conduit à apprécier la légalité d’un tel refus au regard des règles applicables et des circonstances prévalant à la date de sa décision. En second lieu, dans l’hypothèse où il apparaît que les liens litigieux ont été déréférencés à la date à laquelle il statue, soit à la seule initiative de l’exploitant du moteur de recherche, soit pour la mise en œuvre d’une mise en demeure, le juge de l’excès de pouvoir doit constater que le litige porté devant lui a perdu son objet28.

Le Conseil d’État formule cet équilibre de la manière suivante : en ce qui concerne les données génériques, « l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée est susceptible d’être particulièrement grave en raison de la sensibilité de ces données. Il s’ensuit qu’il appartient en principe à la Cnil, saisie par une personne d’une demande tendant à ce qu’elle mette l’exploitant d’un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers des pages web, publiées par des tiers et contenant des données personnelles relevant de catégories particulières la concernant, de faire droit à cette demande »29.

S’agissant des données spécifiques ou sensibles, le juge précise qu’« il n’en va autrement que s’il apparaît, compte tenu du droit à la liberté d’information, que l’accès à une telle information à partir d’une recherche portant sur le nom de cette personne est strictement nécessaire à l’information du public. Pour apprécier s’il peut être légalement fait échec au droit au déréférencement au motif que l’accès à des données à caractère personnel relevant de catégories particulières à partir d’une recherche portant sur le nom de la personne concernée est strictement nécessaire à l’information du public, il incombe à la Cnil de tenir notamment compte, d’une part, de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d’avoir pour la personne concernée et, d’autre part, de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société. Il lui incombe également de prendre en compte la possibilité d’accéder aux mêmes informations à partir d’une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée »30. Le juge précise encore que dans le cas où les données litigieuses ont manifestement été rendues publiques par la personne qu’elle concerne, il appartient à la Cnil d’apprécier, au regard des critères mentionnés au point 10 ci-dessus, s’il existe ou non un intérêt prépondérant du public de nature à faire obstacle au droit au déréférencement, une telle circonstance n’empêchant pas l’intéressé de faire valoir, à l’appui de sa demande de déréférencement, des « raisons tenant à sa situation particulière », ainsi que l’a relevé la CJUE dans son arrêt précité du 24 septembre 201931.

B – Les critères de la conditionnalité

Le juge précise, en premier lieu, que lorsqu’il est saisi de conclusions aux fins d’annulation du refus de la Cnil de mettre en demeure l’exploitant d’un moteur de recherche de procéder au déréférencement de liens, le juge de l’excès de pouvoir est conduit à apprécier la légalité d’un tel refus au regard des règles applicables et des circonstances prévalant à la date de sa décision32. Trois catégories de données apparaissent, les données personnelles non sensibles, les données pénales et les données sensibles, sachant que le lien entre la deuxième et la troisième catégorie devra être précisé.

1. Les données non sensibles sont celles qui pèseront le moins lourd dans l’équilibre entre droit à l’oubli et droit à l’information. Ainsi, le Conseil d’État, après avoir rappelé les bases juridiques et jurisprudentielles, précise les conditions de la conciliation. Il se fonde, d’abord, sur l’arrêt rendu par la CJUE sur le fondement de son renvoi préjudiciel33. La Cour précise que « dans le cadre du règlement n° 2016/679, le législateur de l’Union européenne a prévu, à l’article 17 de ce règlement, une disposition qui régit spécifiquement le “droit à l’effacement”, également dénommé à cet article, “droit à l’oubli” ». Dans le même arrêt, la Cour de justice a précisé que : « En application de cet article 17, paragraphe 1, la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données dans les meilleurs délais, lorsque l’un des motifs énumérés par cette disposition s’applique. Au titre de ces motifs, ladite disposition mentionne le fait que les données ne sont plus nécessaires au regard des finalités du traitement, que la personne concernée retire le consentement sur lequel est fondé le traitement et qu’il n’existe pas d’autre fondement juridique pour celui-ci, que la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1 ou 2, du règlement n° 2016/679, qui remplace l’article 14 de la directive n° 95/46, que les données ont fait l’objet d’un traitement illicite, qu’elles doivent être effacées pour respecter une obligation légale ou qu’elles ont été collectées dans le cadre de l’offre de services de la société de l’information aux enfants ». Elle a également relevé que : « L’article 17, paragraphe 3, du règlement n° 2016/679 précise que l’article 17, paragraphe 1, de ce règlement ne s’applique pas dans la mesure où le traitement en cause est nécessaire pour l’un des motifs énumérés à cette première disposition. Parmi ces motifs, figure, à l’article 17, paragraphe 3, sous a), dudit règlement, l’exercice du droit relatif, notamment, à la liberté d’information ». La Cour a précisé que : « La circonstance que l’article 17, paragraphe 3, sous a), du règlement n° 2016/679 prévoit désormais expressément que le droit à l’effacement de la personne concernée est exclu lorsque le traitement est nécessaire à l’exercice du droit relatif, notamment, à la liberté d’information, garantie par l’article 11 de la charte des droits fondamentaux de l’Union européenne, constitue une expression du fait que le droit à la protection des données à caractère personnel n’est pas un droit absolu, mais doit, ainsi que le souligne le considérant 4 de ce règlement, être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité ». Elle a également précisé que : « Le règlement n° 2016/679, et notamment son article 17, paragraphe 3, sous a), consacre ainsi explicitement l’exigence d’une mise en balance entre, d’une part, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, consacrés par les articles 7 et 8 de la charte, et, d’autre part, le droit fondamental à la liberté d’information, garanti par l’article 11 de la charte ».

Le Conseil d’État rappelle aussi la teneur de l’arrêt dit Google Spain de 201434, dans lequel la Cour a dit pour droit que : « Les articles 12, sous b), et 14, premier alinéa, sous a), de la directive n° 95/46 doivent être interprétés en ce sens que, dans le cadre de l’appréciation des conditions d’application de ces dispositions, il convient notamment d’examiner si la personne concernée a un droit à ce que l’information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom, sans pour autant que la constatation d’un tel droit présuppose que l’inclusion de l’information en question dans cette liste cause un préjudice à cette personne. Cette dernière pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la charte, demander que l’information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats, ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à accéder à ladite information lors d’une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question ».

Le Conseil d’État en déduit qu’il appartient en principe à la Cnil, saisie par une personne d’une demande tendant à ce qu’elle mette l’exploitant d’un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers des pages web publiées par des tiers et contenant des données personnelles ne relevant pas de catégories particulières la concernant, d’y faire droit. Toutefois, il revient à la Cnil d’apprécier, compte tenu du droit à la liberté d’information, s’il existe un intérêt prépondérant du public à avoir accès à une telle information à partir d’une recherche portant sur le nom de cette personne de nature à faire obstacle au droit au déréférencement. Pour procéder ainsi à une mise en balance entre le droit au respect de la vie privée et à la protection des données à caractère personnel et le droit à la liberté d’information et apprécier s’il peut être légalement fait échec au droit au déréférencement, il lui incombe de tenir notamment compte, d’une part, de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d’avoir pour la personne concernée et, d’autre part, de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société. Il lui incombe également de prendre en compte la possibilité d’accéder aux mêmes informations à partir d’une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée ainsi que le rôle qu’a, le cas échéant, joué cette dernière dans la publicité conférée aux données la concernant35.

Dans ces conditions, et sur ces bases juridiques, le juge a ainsi pu faire droit à une demande de déréférencement de données non sensibles, en l’espèce, l’adresse de l’intéressé. Il a ainsi jugé qu’il ressort des pièces du dossier que M. X a demandé à la Cnil d’ordonner à la société Google de procéder au déréférencement de deux liens menant vers des pages web faisant état d’un brevet qu’il a déposé en 2006 auprès de l’OMPI. Outre les détails techniques relatifs à l’invention couverte par ce brevet, ces pages mentionnent l’adresse du requérant.

Eu égard à la nature et au contenu des données à caractère personnel figurant sur les pages web faisant état du brevet que M. X a déposé, à l’ancienneté de ce brevet et au fait que le requérant ne bénéficie plus, depuis 2010, du monopole d’exploitation de son invention, n’a déposé aucun autre brevet depuis et ne joue ni n’a joué aucun rôle dans la communauté scientifique autre que celui que les liens en litige permettent d’identifier, la Cnil n’a pu légalement estimer, alors même qu’en vertu du Code de la propriété intellectuelle, les coordonnées des personnes ayant déposé un brevet font l’objet d’une publicité compte tenu de l’intérêt qu’elles présentent pour les chercheurs qui souhaitent prendre contact avec leurs confrères, que le maintien du lien permettant d’avoir accès aux informations litigieuses à partir d’une recherche effectuée sur le nom de M. X présentait un intérêt prépondérant pour le public, alors qu’il reste par ailleurs possible d’accéder aux informations relatives à son invention et à ses coordonnées sur la base d’une recherche sur le champ dont relèvent ses travaux.

Dans une autre affaire où étaient en jeu des liens vers commentaires négatifs de patients concernant un médecin, le juge estime que le droit à l’oubli n’a pas à s’appliquer dès lors que les données restant présentes sont essentiellement liées aux coordonnées du médecin en question, ce qui présente un intérêt pour le public. Dans cette espèce, le juge indique donc que, eu égard à la nature et au contenu des données qui restent accessibles sur le site Yelp à la date de la décision, qui mentionnent seulement l’activité professionnelle de Mme X et rendent publiques ses coordonnées postales et téléphoniques, la Cnil a pu légalement estimer que l’intérêt prépondérant du public à avoir accès à ces informations à partir d’une recherche effectuée sur le nom de la requérante faisait obstacle à ce qu’il soit fait droit à sa demande de déréférencement36.

2.S’agissant du « droit au déréférencement » de données à caractère personnel relatives à des procédures pénales, le Conseil d’État a d’abord rappelé la position de la CJUE selon laquelle « l’exploitant d’un moteur de recherche est tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle, dans la mesure où il est constaté, dans le cadre de la vérification des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de ladite directive, que, eu égard à l’ensemble des circonstances de l’espèce, les droits fondamentaux de la personne concernée, garantis par les articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne, prévalent sur ceux des internautes potentiellement intéressés, protégés par l’article 11 de cette charte ». Elle a précisé, par le même arrêt, que : « Quand bien même l’exploitant d’un moteur de recherche devrait constater que tel n’est pas le cas en raison du fait que l’inclusion du lien en cause s’avère strictement nécessaire pour concilier les droits au respect de la vie privée et à la protection des données de la personne concernée avec la liberté d’information des internautes potentiellement intéressés, cet exploitant est, en tout état de cause, tenu, au plus tard à l’occasion de la demande de déréférencement, d’aménager la liste de résultats de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle, ce qui nécessite notamment que des liens vers des pages web comportant des informations à ce sujet apparaissent en premier lieu sur cette liste ».

Le Conseil d’État juge dès lors « que lorsque des liens mènent vers des pages web contenant des données à caractère personnel relatives à des procédures pénales visées à l’article 8, paragraphe 5, de la directive n° 95/46/CE du 24 octobre 1995, abrogé et remplacé par l’article 10 du règlement général sur la protection des données du 27 avril 2016, l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée est susceptible d’être particulièrement grave en raison de la sensibilité de ces données. Il s’ensuit qu’il appartient, en principe, à la Cnil, saisie d’une demande tendant à ce qu’elle mette l’exploitant d’un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers des pages web publiées par des tiers et contenant de telles données, de faire droit à cette demande. Il n’en va autrement que s’il apparaît, compte tenu du droit à la liberté d’information, que l’accès à une telle information à partir d’une recherche portant sur le nom de la personne concernée est strictement nécessaire à l’information du public. Pour apprécier s’il peut être légalement fait échec au droit au déréférencement au motif que l’accès à des données à caractère personnel relatives à une procédure pénale à partir d’une recherche portant sur le nom de la personne concernée est strictement nécessaire à l’information du public, il incombe à la Cnil de tenir notamment compte, d’une part, de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d’avoir pour la personne concernée et, d’autre part, de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société. Il lui incombe également de prendre en compte la possibilité d’accéder aux mêmes informations à partir d’une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée37. Dans l’hypothèse particulière où le lien mène vers une page web faisant état d’une étape d’une procédure judiciaire ne correspondant plus à la situation judiciaire actuelle de la personne concernée mais qu’il apparaît, au terme de la mise en balance effectuée dans les conditions énoncées au point précédent, que le maintien de son référencement est strictement nécessaire à l’information du public, l’exploitant d’un moteur de recherche est tenu, au plus tard à l’occasion de la demande de déréférencement, d’aménager la liste de résultats de telle sorte que les liens litigieux soient précédés sur cette liste de résultats d’au moins un lien menant vers une ou des pages web comportant des informations à jour, afin que l’image qui en résulte reflète exactement la situation judiciaire actuelle de la personne concernée38.

Dans une des espèces, le juge rappelle que Mme X a demandé à la Cnil d’ordonner à la société Google de procéder au déréférencement de liens renvoyant vers des articles datant de mai 2018 faisant état de sa condamnation pour des faits de violence conjugale prononcée par le tribunal correctionnel de Versailles. Les deux liens restant en litige mènent à des pages web qui reprennent les propos tenus par l’intéressée dans une interview qu’elle a donnée au magazine C. le 30 mai 2018 au sujet de sa condamnation. Dès lors, ces pages contiennent une information qui constitue une donnée à caractère personnel relative aux procédures pénales visées à l’article 10 du RGPD.

Eu égard à la nature et au contenu de l’information litigieuse, à sa source, aux conditions dans lesquelles elle est traitée par les pages web des sites A. et B. qui se bornent, pour l’essentiel, à reprendre les propos que Mme X a elle-même choisi de tenir au sujet de sa condamnation dans une interview accordée au site C., dont elle ne demande d’ailleurs pas le déréférencement, au caractère récent de cette interview à la date de la décision et au fait que l’intéressée a acquis une certaine notoriété en jouant l’un des rôles principaux d’une série qui continue d’être programmée sur la chaîne D., la Cnil a pu légalement estimer, en dépit des répercussions qu’est susceptible d’avoir pour l’intéressée le maintien des liens permettant d’y avoir accès à partir d’une recherche effectuée sur son nom, que le référencement des liens litigieux était strictement nécessaire à l’information du public39. En conclusion, le Conseil d’État rejette la requête. Ainsi, même au regard de données sensibles, le déréférencement est analysé au regard, tant de la nature de l’information diffusée que de la notoriété de l’intéressé.

Toujours dans le domaine de données de nature pénale, le Conseil d’État a dû apporter des précisions dans une autre affaire40. Ainsi M. X avait demandé à la Cnil d’ordonner à la société Google de procéder au déréférencement de liens renvoyant vers des articles faisant état de sa condamnation pour apologie de crimes de guerre ou contre l’humanité par le tribunal correctionnel d’Angers, puis par la cour d’appel d’Angers, sans mentionner la décision par laquelle la chambre criminelle de la Cour de cassation a annulé cet arrêt. En l’espèce, il s’agissait d’un individu qui affirme qu’il ignorait qu’il était enregistré et qu’il n’entendait pas s’exprimer publiquement, a prononcé les termes « comme quoi, Hitler n’en a peut-être pas tué assez, hein ». Les propos ont été repris dans la presse et M. X a fait l’objet de la condamnation pénale mentionnée au point précédent avant que la Cour de cassation ne juge que les propos incriminés n’avaient pas été proférés publiquement au sens de l’article 23 de la loi du 29 juillet 1881 sur la liberté de la presse et n’annule, pour ce motif, l’arrêt de la cour d’appel d’Angers sans renvoyer l’affaire, ce qui a entraîné la relaxe de l’intéressé. Mettant en œuvre l’équilibre entre les questions de nature des données, la notoriété de la personne et l’intérêt de l’information pour le public, le Conseil d’État rejette la demande de l’intéressé, selon l’argumentation suivante. En se fondant sur la nature et le contenu des informations litigieuses, leur source, et le rôle qu’a joué et continue de jouer dans la vie publique M. X et le contexte dans lequel ont été tenus les propos rapportés dans les articles vers lesquels mènent les liens litigieux, la Cnil a pu légalement estimer que le maintien des liens permettant d’avoir accès à ces informations à partir d’une recherche effectuée sur le nom de M. X était strictement nécessaire à l’information du public. En outre, il ressort des pièces du dossier que les articles vers lesquels mènent les liens litigieux comportent, à la date de la décision, un addendum faisant mention de la décision de la Cour de cassation. Au surplus, il ressort des pièces du dossier qu’ainsi qu’elle le fait valoir dans ses écritures devant le Conseil d’État, la société Google a procédé au réaménagement de la liste de résultats obtenue à la suite d’une recherche portant sur le nom du requérant de telle sorte qu’à la date de la décision, le premier lien affiché renvoie vers une page web faisant état, de manière exacte et actualisée, de sa situation judiciaire, en mentionnant notamment la décision de la Cour de cassation. Dans ces conditions, le refus de la Cnil d’ordonner à la société Google de procéder aux déréférencements que demandait M. X n’est pas entaché d’illégalité41.

Une autre affaire concernait une affaire d’attouchements sexuels sur mineurs, dans laquelle l’intéressé a été mis en examen puis condamné par un jugement du tribunal correctionnel de Grasse à une peine de 7 ans d’emprisonnement, qui a été exécutée, assortie d’un suivi socio-judiciaire de 10 ans et d’une interdiction d’exercer une activité impliquant un contact avec des enfants.

Le juge estime qu’eu égard à la nature et au contenu des informations litigieuses, qui donnent au public un accès direct et permanent à la condamnation dont a fait l’objet le requérant alors même que, en application du Code de procédure pénale, l’accès à des données relatives aux condamnations pénales d’un individu n’est, en principe, possible que dans des conditions restrictives et pour des catégories limitées de personnes, à l’absence de notoriété de la personne qu’elles concernent, à l’ancienneté des faits et de la condamnation pénale ainsi qu’aux répercussions qu’est susceptible d’avoir sur la réinsertion de M. X, qui allègue avoir perdu deux emplois du fait du référencement en cause, le maintien des liens permettant d’y avoir accès à partir d’une recherche effectuée sur son nom, la Cnil n’a pu légalement estimer, alors même que ces informations proviennent d’articles de presse dont l’exactitude n’est pas contestée, que le maintien des liens litigieux était strictement nécessaire à l’information du public au motif que les chroniques judiciaires permettent d’exercer un droit de regard sur le fonctionnement de la justice pénale, sans qu’ait d’incidence la circonstance que la mesure de suivi socio-judiciaire dont fait l’objet l’intéressé soit, à la date de la décision, toujours en cours. Le Conseil d’État fait donc droit à la demande du requérant42.

Il faut retenir, comme le souligne le rapporteur public dans ses conclusions sur ces affaires, que « s’agissant de données pénales se rapportant à une étape révolue de la procédure dont fait l’objet la personne, l’exploitant du moteur de recherche n’a pas à déréférencer si la condition de stricte nécessité est remplie, mais il doit réaménager la liste des résultats pour faire précéder le lien litigieux d’un ou plusieurs liens43 comportant des informations à jour, de façon à donner une image fidèle de sa situation judiciaire à date44».

3. S’agissant de données en lien avec l’orientation sexuelle d’une personne, le Conseil d’État a pu faire droit à un requérant45, en se plaçant de nouveau dans le triptyque de la nature des données, de la situation de l’intéressé et de l’intérêt du public. En l’espèce, il s’agissait du site Babelio vers lequel renvoie un lien litigieux. Ce site comporte une fiche descriptive du livre Y, faisant état d’un certain nombre de données à caractère personnel concernant le requérant, dont certaines conduisent à révéler son orientation sexuelle. Dès lors que les informations relatives à son orientation sexuelle sont issues du roman à caractère autobiographique qu’il a publié, les données en cause doivent être regardées comme ayant été manifestement rendues publiques par M. X. Le Conseil d’État estime que, eu égard à la nature et au contenu des données à caractère personnel figurant sur le site Babelio, au fait que le requérant n’exerce plus d’activités littéraires et que le roman dont elles proviennent n’est, aujourd’hui, plus édité et compte tenu des répercussions qu’est susceptible d’avoir pour l’intéressé le maintien des liens permettant d’y avoir accès à partir d’une recherche effectuée sur son nom, la Cnil n’a pu légalement estimer, alors même que les informations litigieuses avaient été manifestement rendues publiques par l’intéressé en 2009, que le référencement du lien permettant d’y avoir accès à partir d’une recherche effectuée sur le nom de M. X présentait un intérêt prépondérant pour le public, alors que, par ailleurs, les pages des résultats d’une telle recherche comportaient des liens menant vers des informations faisant état du roman en cause46. Il fait donc droit à cette demande.

En somme, la pluralité des espèces permet au juge administratif, se fondant sur les arrêts de la CJUE, d’affiner les conditions d’exercice du droit à l’oubli. Elles peuvent se résumer, à ce stade de la jurisprudence, comme suit : en principe, le demandeur a le droit au déréférencement du lien le concernant. Il en va ainsi, tout particulièrement, lorsque le lien renvoie à une page web comportant des données sensibles ou pénales. Il y a toutefois lieu d’examiner, au vu de l’ensemble du contenu auquel le lien renvoie et de l’ensemble des circonstances de l’espèce, si, par exception, l’intérêt du public à pouvoir accéder au lien à partir de la liste des résultats s’affichant sur la base d’une recherche portant sur le nom de la personne concernée prévaut sur l’intérêt de la personne concernée, au nom de la liberté d’information47.

D’autres précisions ne manqueront pas d’être apportées. En effet, par un arrêt du 27 mars 202048, le Conseil d’État a, conformément à l’arrêt rendu par la CJUE sur son renvoi préjudiciel, estimé que l’exploitant d’un moteur de recherche n’est pas tenu de procéder à un déréférencement sur l’ensemble des versions de son moteur de recherche. En effet, par l’arrêt du 24 septembre 2019, Google (Portée territoriale du déréférencement) (CJUE, 24 sept 2014, n° C-507/17), la Cour, réunie en grande chambre, a jugé que l’exploitant d’un moteur de recherche est, en principe, tenu d’opérer le déréférencement uniquement sur les versions de son moteur correspondant à l’ensemble des États membres.

La Commission nationale de l’informatique et des libertés avait mis Google en demeure de procéder à la suppression de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom de la personne concernée, de liens menant vers des pages web comportant des données personnelles concernant cette dernière, sur toutes les extensions de nom du domaine de son moteur de recherche. À la suite du refus de Google de se conformer à cette mise en demeure, la Cnil a prononcé à l’encontre de cette société une sanction de 100 000 €. Le Conseil d’État, saisi par Google, a demandé à la Cour de préciser la portée territoriale de l’obligation, pour l’exploitant d’un moteur de recherche, de mettre en œuvre le droit au déréférencement en application de la directive n° 95/46.

Tout d’abord, la Cour a rappelé la possibilité pour les personnes physiques de faire valoir, sur le fondement du droit de l’Union, leur droit au déréférencement à l’encontre de l’exploitant d’un moteur de recherche disposant d’un ou de plusieurs établissements sur le territoire de l’Union, indépendamment du fait que le traitement de données à caractère personnel, en l’occurrence, le référencement de liens vers des pages web sur lesquelles figurent des données personnelles concernant la personne qui se prévaut de ce droit ait lieu ou non dans l’Union.

S’agissant de la portée du droit au déréférencement, la Cour estime que l’exploitant d’un moteur de recherche est tenu d’opérer le déréférencement non pas sur l’ensemble des versions de son moteur mais sur les versions de celui-ci correspondant à l’ensemble des États membres. Elle a relevé à cet égard que, si un déréférencement universel était, compte tenu des caractéristiques d’internet et des moteurs de recherche, conforme à l’objectif du législateur de l’Union consistant à garantir un niveau élevé de protection des données personnelles dans l’ensemble de l’Union, tel n’est actuellement pas le sens du droit de l’Union européenne. En particulier, alors que le droit de l’Union institue des mécanismes de coopération entre autorités de contrôle des États membres pour parvenir à une décision commune, fondée sur une mise en balance entre le droit à la protection de la vie privée et des données personnelles, d’une part, et l’intérêt du public des différents États membres à accéder à une information, d’autre part, de tels mécanismes ne sont, actuellement, pas prévus pour ce qui concerne la portée d’un déréférencement en dehors de l’Union49.

En l’état actuel du droit de l’Union, il incombe à l’exploitant d’un moteur de recherche de procéder au déréférencement demandé, non pas sur la seule version du moteur correspondant à l’État membre de résidence du bénéficiaire de ce déréférencement, mais sur les versions du moteur correspondant aux États membres, et ce, afin, notamment, d’assurer un niveau cohérent et élevé de protection dans l’ensemble de l’Union. Par ailleurs, il incombe à un tel exploitant de prendre, si nécessaire, des mesures suffisamment efficaces pour empêcher ou au moins sérieusement décourager les internautes de l’Union d’avoir accès, le cas échéant à partir d’une version du moteur correspondant à un État tiers, aux liens faisant l’objet du déréférencement, et il appartient à la juridiction nationale de vérifier si les mesures adoptées par l’exploitant satisfont à cette exigence.

Enfin, la Cour a souligné que, si le droit de l’Union n’impose pas à l’exploitant d’un moteur de recherche de procéder au déréférencement sur l’ensemble des versions de son moteur, il ne l’interdit pas non plus. Ainsi, une autorité de contrôle ou une autorité judiciaire d’un État membre reste compétente pour effectuer, selon les standards nationaux de protection des droits fondamentaux, un équilibre entre le droit de la personne concernée au respect de sa vie privée et à la protection de ses données personnelles, d’un côté, et le droit à la liberté d’information, de l’autre côté, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions du moteur50.

En somme, le droit à l’oubli se conjugue encore au niveau national et européen, sans que le droit international n’ait encore pu donner force juridique plus contraignante à ce droit dont les contours sont donc encore à préciser, tant d’un point de vue matériel que d’un point de vue territorial.