Après l’arrêt sur la rétention des données télécom prononcé le 8 avril, la Cour de Justice de l’UE a encore été très loin dans son interprétation des textes européens en matière de protection de la vie privée et, parallèlement, du droit à l’oubli numérique. «La Cour a donné un nouveau signal fort de l’importance qu’elle accorde à la protection des données personnelles», s’est félicité dans un entretien à paperJam.lu Gérard Lommel, le président de la Commission nationale de protection des données (CNPD).

Les juges européens n’ont pas déçu en effet les défenseurs des droits à la protection des données à caractère personnel, allant jusqu’à contredire les positions qu’avaient pris en 2013 l’avocat général dans ses conclusions, ainsi que la Commission européenne, et qui embrassaient eux-mêmes les vues de Google, dans l’interprétation de la directive européenne de 1995, notamment du droit à l’oubli. Un droit qui devrait d’ailleurs être consacré par la réforme en cours de la réglementation européenne. 

L’affaire tranchée par la Cour opposait un ressortissant espagnol, Mario Costeja Gonzalez, contre Google Spain et sa maison mère américaine Google Inc, le premier s’étant vu refuser par les seconds qu’un lien vers un journal espagnol soit effacé lorsque les internautes tapaient son nom sur le célèbre moteur de recherche. L’article faisait référence à une saisie immobilière dont il avait fait l’objet quelques années plus tôt: la dette avait été réglée et M. Gonzalez considérait que la mention était dépourvue de toute pertinence.

Après avoir été saisie d’une réclamation au nom du droit à l’effacement des données à caractère personnel, l’agence espagnole de protection des données, l’AEPD, enjoignit Google Spain de retirer les données et en rendre l’accès impossible. Refusant d’obtempérer, car elle estimait que lui demander de supprimer certaines informations s’apparentait à de la censure, la firme US avait saisi la justice espagnole pour faire annuler la décision de l’AEPD. L’affaire s’est ensuite retrouvée devant la juridiction européenne pour un arbitrage inédit dans l’histoire d’internet.

Situation compliquée au Luxembourg

Les juges européens ont considéré que la personne concernée a droit, dans certains cas, à ce que les informations l’impliquant ne soient plus liées à son nom dans une liste de résultats. «Les liens vers des pages web contenant ces informations doivent être supprimés de cette liste de résultats, à moins qu’il existe des raisons particulières, telles que le rôle joué par cette personne dans la vie publique, justifiant intérêt public prépondérant du public à avoir accès à ces informations», ont-ils dit pour droit en consacrant, à quelques exception près, la primauté du droit à la vie privée sur l’intérêt des internautes.

La Cour a également débroussaillé le terrain juridique en considérant que le moteur de recherche a recherche procédait bien à une «collecte» des données visées par la directive de 1995 sur la protection des données personnelles et que le seul fait d’indexer les informations et de les mettre à disposition entraient dans le champ du «traitement», sans dérogation possible, ni de «cache-nez» de la part de Google qui argumentait que les informations étaient déjà publiées en l’état dans les médias et qu’elle ne portait pas la responsabilité.

D’où le postulat posé par la Cour: l’exploitant du moteur de recherche ne peut pas se défausser derrière des médias. Google est donc «responsable du traitement des données» et il lui appartient de s’assurer de la conformité de ses activités vis-à-vis des exigences de la directive en matière de traitement des données.

Autre prémisse fournit par l’arrêt de mardi: Google, société américaine, donc situé hors UE, ne peut pas échapper à ses responsabilités sous prétexte que Google Search n’est pas effectué dans le cadre de son établissement en Espagne. Il y a bien un établissement dans la péninsule ibérique où l’entreprise réalise des ventes d’espaces publicitaires pour rentabiliser son moteur de recherche et lui donne aussi une couleur locale. Une personne peut adresser directement sa demande de retrait à Google. Si la firme qui doit examiner le bienfondé de la requête n’y donne pas droit, la personne concernée peut saisir l’autorité de contrôle (la CNPD en l’occurrence au Grand-Duché) pour que celle-ci effectue les vérifications et/ou ordonne l’effacement.

Au Luxembourg, Google ne dispose pas à proprement parler d’un établissement stable, la commercialisation et l’habillage de google.lu étant réalisé aux Pays-Bas, fait remarquer Gérard Lommel qui devait adresser ce mardi encore une lettre à la firme mettre au point la loi applicable. Le patron de la CNPD estime que le traitement des demandes d’effacement numérique, devenu désormais un droit direct opposable à l’exploitant du moteur de recherche, sera plus compliqué à gérer, car la procédure devra passer par les Pays-Bas, où la sensibilité au droit à la vie privée dans un pays qui ne connaît pas les rideaux, est sans doute moins affirmée qu’au Grand-Duché.

Cette moindre sensibilité s’est d’ailleurs manifestée dans la manière dont l’agence néerlandaise de protection des données a traité les dérives observées lors de l’affaire «Google street view» dans le balayage en images de l’Europe. Ces différences d’appréciation et de situation rendent plus que jamais nécessaire, selon Gérard Lommel, la mise en place d’une nouvelle réglementation au sein de l’UE. Ce qui est prévu pour 2015.

Gravité potentielle de l’ingérence

Troisième principe dégagé par l’arrêt de mardi: celui que «le seul intérêt économique de l’exploitant du moteur dans le traitement des données» ne peut balayer d’un revers de main le droit à la protection de la vie privée, d’autant plus que l’ingérence de Google est susceptible de se révéler d’«une gravité potentielle». La Cour pose toutefois des conditions au droit l’oubli qu’elle consacre: il convient, soutient-elle, de rechercher «un juste équilibre» entre «l’intérêt légitime des internautes potentiellement intéressés à avoir accès à l’information» et les droits fondamentaux de la personne concernée.

Un équilibre dépendant de la nature de l’information, de «sa sensibilité pour la vie privée de la personne concernée» et bien sûr, de l’intérêt du public à recevoir l’information, lequel se détermine en fonction du rôle joué dans la vie publique par la personne visée. «S’il est constaté», soulignent les juges, «suite à une demande de la personne concernée que l’inclusion de ces liens dans la liste est (…) incompatible avec (la) directive, les informations et liens figurant dans cette liste doivent être effacés».

Selon Gérard Lommel, la Cour a poussé son raisonnement très loin en matière de droit à l’autodétermination: «L’obligation du moteur de recherche à supprimer un référencement si la personne le souhaite s’étend également aux contenus licites», précise le président de la CNPD.