Résumé du Cas et Résultat

La Cour européenne de justice a consacré le « droit à l’oubli » qui permet aux utilisateurs de demander que des informations privées soient « supprimées des listes » ou « déréférencées » des résultats de recherche portant sur leur nom. L’Espagne a présenté un certain nombre de questions à la Cour concernant l’applicabilité de la directive européenne 95/46 (protection des données à caractère personnel) aux moteurs de recherche sur Internet, dans une affaire concernant une demande de retrait d’informations obsolètes concernant l’historique financier du demandeur des archives d’un journal en ligne et de Google. La Cour a estimé que les moteurs de recherche sont considérés comme étant les « responsables » en ce qui concerne le « traitement » des données à caractère personnel par le fait qu’ils localisent, répertorient, stockent et diffusent ces informations. Par conséquent, les moteurs de recherche peuvent être obligés de supprimer de leur liste certains types d’informations publiées par des tiers. La Cour a concilié les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel avec l’intérêt du public à avoir accès à ces informations pour statuer que les particuliers peuvent « demander que les informations en question ne soient plus mises à la disposition du grand public » car leurs droits au respect de la vie privée et à la protection des données à caractère personnel l’emportent « non seulement sur l’intérêt économique de l’exploitant du moteur de recherche mais aussi sur l’intérêt du grand public à avoir accès à ces informations », dans des circonstances où le contenu semble « inadéquat, non pertinent ou ne plus être pertinent ».

---

Les Faits

En 1998, le journal espagnol La Vanguardia publié deux articles sur une procédure de saisie-arrêt introduite contre Costeja González. En 2009, ce dernier a contacté le journal pour dire qu’en tapant son nom sur Google.com, il est encore fait référence aux pages du journal ayant parlé de son affaire en justice. González a soutenu que cette information devait être retirée parce que l’affaire a pris fin plusieurs années auparavant et qu’il n’y avait aucun jugement contre lui. Le journal n’a pas accédé à la requête au motif que la publication était justifiée en application d’une ordonnance gouvernementale du Ministère espagnol de l’emploi et des affaires sociales. En 2010, Costeja González a contacté Google Espagne en soutenant que les résultats des recherches en ligne portant sur son nom ne devaient pas faire référence à la publication du journal sur son affaire en justice.

Lorsque Google n’a pas accédé à sa requête, González a introduit une requête auprès de l’Agence espagnole de protection des données contre le journal, Google Espagne et Google Inc. L’agence a aussi rejeté la requête contre le journal au motif que la publication est faite suite à une ordonnance du gouvernement mais a maintenu celle portée contre Google et sa filiale en Espagne. Elle a estimé que les opérateurs des moteurs de recherche traitent des données à caractère personnel et doivent donc être soumis à la législation portant sur la vie privée et peuvent être amenés à retirer des informations qui compromettent le droit fondamental à la vie privée.

Google Espagne et Google Inc. ont par la suite introduit deux recours séparés contre ladite décision. Le Tribunal suprême d’Espagne a sursis à statuer sur l’obligation de Google de protéger les données à caractère personnel qui sont autrement publiées par des sites web tiers.

 

---

Aperçu des Décisions

Le Tribunal suprême d’Espagne a soumis les questions suivantes à la Cour de justice de l’UE pour une décision préjudicielle :

(1) Lorsque la Directive 95/46 est appliquée à travers la législation nationale d’un Etat membre, est-elle applicable à un opérateur étranger d’un moteur de recherche sur Internet ayant une succursale ou une filiale en vue de promouvoir ou de vendre des espaces publicitaires orientés vers les habitants de cet Etat membre.

(2) Si l’acte de la part des moteurs de recherche de localiser des informations publiées par des parties tierces, d’indexer plus tard une telle information et de la rendre disponible pour les utilisateurs d’Internet peut être considéré comme étant « un traitement de données à caractère personnel » au sens de la Directive.

(3) Si l’opérateur d’un moteur de recherche doit être considéré “responsable” du traitement des données à caractère personnel en vertu de l’article 2(d) de la Directive.

(4) Si sur la base des motifs légitimes de protection du droit à la vie privée et autres droits fondamentaux prévus par la Directive, les opérateurs des moteurs de recherche sur Internet sont obligés de retirer ou d’effacer les informations personnelles publiées par des sites web tiers même lorsque la diffusion initiale de telles informations est à l’origine légitime.

L’article 1 de la Directive 95/46 oblige les Etats membres de l’UE à protéger “les libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.” Il interdit en même temps de restreindre la libre circulation des données à caractère personnel entre les Etats membres.

La Directive définit les données à caractère personnel comme étant “toute information concernant une personne physique identifiée ou identifiable (personne concernée); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale». L’acte de traiter de telles informations inclut « toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction; Selon l’article 2(d), le « responsable du traitement» est toute «personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel.”

La Cour de justice de l’UE a d’abord débattu de la nature de l’activité du moteur de recherche et si elle pouvait être considérée comme un « traitement » de données à caractère personnel au sens de l’article 2(c) de la Directive. Si la réponse est affirmative, l’opérateur du moteur de recherche peut-il être considéré comme étant le responsable de l’acte de traitement des informations personnelles. La Cour a conclu qu’il était évident qu’une partie des informations indexées et stockées par les moteurs de recherche avaient un rapport avec “des personnes physiques identifiables et constituaient ainsi des ‘données à caractère personnel’ au sens de l’ article 2(a) de la Directive”, et qu’à travers sa recherche constante et systématique d’informations en ligne, un opérateur d’un moteur de recherche collecte souvent les données à caractère personnel qui sont ensuite indexées, stockées et rendues disponibles aux utilisateurs d’Internet. Par conséquent, la Cour a conclu que l’acte de collecte, d’indexation, de stockage et de divulgation de données à caractère personnel de la part de Google était considéré comme un “traitement “ de ces informations aux sens de la Directive.

Quant à la question de savoir si le moteur de recherche de Google doit être considéré “responsable” de traitement de données à caractère personnel, la Cour était d’avis que le concept de “responsable” dans la Directive doit être interprété dans son sens large afin d’assurer “la protection effective et complète des personnes concernées » [para. 34] et qu’il serait contraire aux objectifs envisagés par la Directive d’exclure les opérateurs des moteurs de recherche sur Internet puisque ces derniers « jouent un rôle décisif dans la diffusion générale des données [à caractère personnel].” [para. 36]

A propos du cas d’application de la Directive par les lois nationales espagnoles et si elle pouvait être applicable à Google en tant que “responsable” du traitement des données à caractère personnel, le dossier de l’affaire montre que Google Espagne a été fondé en 2003 par Google Inc. pour agir essentiellement comme son agent commercial en Espagne “pour promouvoir, faciliter et effectuer la vente de produits et services publicitaires en ligne à des parties tierces et pour assurer le marketing de ces produits et services publicitaires.” Selon l’article 4(1) (a), les dispositions de la Directive sont applicables lorsque :

“Le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de l’État membre ; si un même responsable du traitement est établi sur le territoire de plusieurs états membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable”

En prenant en considération les objectifs de la Directive et la formulation de l’article 4(1)(a), la Cour a déclaré que Google est soumis aux dites dispositions parce que sa filiale Google Espagne est un établissement qui se trouve en Espagne “ destiné à promouvoir et à vendre, dans ce pays, des espaces publicitaires offerts par le moteur de recherche et rendre le service assuré par le moteur entable.” [para. 55]

Enfin, la Cour a examiné l’étendue de la responsabilité de Google en tant que moteur de recherche sur Internet par rapport aux informations à caractère personnel publiées par des sites web tiers et que la partie concernée cherche à faire retirer ou occulter. Les dispositions applicables ici sont les articles 12(b) et 14(a) de la Directive. Selon l’article 12(b), chaque personne concernée par des données à caractère personnel est en droit d’obtenir du responsable “ selon le cas, la rectification, l’effacement ou le verrouillage du traitement des données qui ne sont pas en conformité avec la Directive et particulièrement à cause de la nature incomplète ou inexacte des données.” L’article 14(a) accorde aussi au concerné le droit “de s’opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de disposition contraire du droit national. En cas d’opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut plus porter sur ces données.”

Google Espagne et Google Inc. ont soutenu que sur la base du principe de la proportionnalité, le retrait d’informations à caractère personnel doit être adressé au site web qui a publié les données et les a rendues publiques et que l’éditeur est le mieux placé pour évaluer la légalité de l’information.

En traitant de cette question, la Cour a d’abord souligné les droits fondamentaux à la vie privée et à la protection des données à caractère personnel. L’Article 8 de la Charte des droits fondamentaux de l’Union européenne stipule que “ Toute personne a droit à la protection des données à caractère personnel la concernant, [et que] ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification.” En application notamment, des articles 6, 7, 12, 14, et 28 de la Directive 95/46, la Cour a mis en exergue l’importance de pondérer le droit à la vie privée par rapport au droit d’accès à l’information.

A la lumière des principes ci-dessus, la Cour a estimé que les moteurs de recherche peuvent “affecter les droits fondamentaux à la vie privée et à la protection des données à caractère personnel lorsque la recherche au moyen de tels moteurs se fait sur la base du nom d’un individu.” [para. 80] Toutefois, le droit des utilisateurs d’Internet d’accéder à des informations à caractère personnel à travers des moteurs de recherche doit aussi être respecté, selon “ la nature des informations en question et sa sensibilité pour la vie privée de personne concernée et selon l’intérêt du public à disposer de telles informations, un intérêt qui peut varier surtout par rapport au rôle joué par la personne concernée dans la vie publique.” [para. 81]

En résumé, la Cour a jugé que “l’opérateur d’un moteur de recherche est obligé de retirer de la liste des résultats qui s’affichent suite à une recherche faite sur la base du nom d’une personne avec des liens à des pages web publiées par des parties tierces et contenant des informations sur cette même personne et aussi dans le cas où ce nom ou cette information ne sont pas effacés au préalable ou simultanément des pages web en question et même, selon le cas, dans les situations où la publication en elle-même sur ces pages est légitime.” [para. 88] La Cour a également estimé que les individus dont les données personnelles sont publiquement disponibles à travers des moteurs de recherche peuvent “demander à ce que l’information en question ne soit plus rendue publique par son inclusion dans une telle liste de résultats” parce que leur droits à la vie privée et à la protection des données à caractère personnel passe avant « non seulement l’intérêt économique de l’opérateur du moteur de recherche mais aussi l’intérêt du grand public à accéder à cette information en faisant une recherche sur le nom de la personne concernée.” [para. 81] Néanmoins, la Cour a souligné que le droit d’initier une telle requête peut s’éteindre lorsque l’accès aux informations à caractère personnel “est justifié par l’intérêt prépondérant du grand public à avoir accès aux informations en question par leur inclusion dans la liste des résultats.” [para. 99]

---