Le Conseil d’Etat (CE) a posé à la Cour de justice de l’Union européenne (CJUE) une série de questions préjudicielles portant sur le traitement de catégories particulières de données par l’exploitant d’un moteur de recherche. La CJUE, dans un arrêt du 24 septembre 2019 (affaire C-136/17), a apporté ses réponses.
Un certain nombre de particuliers avait demandé en vain à Google de déréférencer, parmi les résultats affichés par le moteur de recherche éponyme, divers liens menant vers des pages web publiées par des tiers.
Compte tenu du refus de Google de faire droit à leur demande, les requérants avaient saisi la CNIL, laquelle n’avait pas donné suite à ces plaintes.
Saisi par les requérants, le CE a décidé de surseoir à statuer et a posé à la CJUE les questions préjudicielles suivantes :
Question n°1
Dans sa première question, le CE a demandé à la CJUE « si les dispositions de l’article 8, paragraphes 1 et 5, de la directive 95/46 doivent être interprétées en ce sens que l’interdiction ou les restrictions relatives au traitement des catégories particulières de données à caractère personnel, visées par ces dispositions, s’appliquent, sous réserve des exceptions prévues par cette directive, également à l’exploitant d’un moteur de recherche dans le cadre de ses responsabilités, de ses compétences et de ses possibilités en tant que responsable du traitement effectué pour les besoins du fonctionnement de ce moteur ».
La CJUE, qui a relevé que l’article 8 de la directive 95/46 ne prévoyait aucune dérogation, a répondu que l’interdiction de traiter des catégories particulières de données à caractère personnel s’appliquait bien, « sous réserve des exceptions prévues par la directive, à l’exploitant d’un moteur de recherche dans le cadre de ses responsabilités, de ces compétences et de ses possibilités en tant que responsable du traitement effectué lors de l’activité de ce moteur, à l’occasion d’une vérification opérée par cet exploitant, sous le contrôle des autorités nationales compétentes, à la suite d’une demande introduite par la personne concernée ».
Question n°2
La seconde question posée par le CE consistait en une série de questions, dont la première était :
« Les dispositions de l’article 8, paragraphes 1 et 5, de la directive 95/46 doivent-elles être interprétées en ce sens que l’interdiction ainsi faite, sous réserve des exceptions prévues par cette directive, à l’exploitant d’un moteur de recherche de traiter des données relevant de ces dispositions l’obligerait à faire systématiquement droit aux demandes de déréférencement portant sur des liens menant vers des pages web qui traitent de telles données ? »
Selon la CJUE, « les dispositions de l’article 8, paragraphe 1 et 5, de la directive 95/46 doivent être interprétées en ce sens que, en vertu de celles-ci, l’exploitant d’un moteur de recherche est en principe obligé, sous réserve des exceptions prévues par cette directive, de faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel qui relèvent des catégories particulières visées par ces dispositions ».
Le CE a également posé la question suivante, portant sur les exceptions à l’interdiction posée par l’article 8 :
« Dans une telle perspective, comment s’interprètent les exceptions prévues à l’article 8 […] lorsqu’elles s’appliquent à l’exploitant d’un moteur de recherche, eu égard à ses responsabilités, ses compétences et ses possibilités spécifiques ? En particulier, un tel exploitant peut-il refuser de faire droit à une demande de déréférencement lorsqu’il constate que les liens en cause mènent vers des contenus qui, s’ils comportent des données relevant des catégories énumérées au paragraphe 1 de l’article 8, entrent également dans le champs des exceptions prévues par le paragraphe 2 de ce même article, notamment [les points a) et e) de ce paragraphe ?»
La CJUE a indiqué, au sujet du consentement, qui doit être spécifique à l’activité de référencement du moteur de recherche : « il est, en pratique, difficilement envisageable, et il ne ressort, du reste, pas du dossier soumis à la Cour, que l’exploitant d’un moteur de recherche sollicite le consentement explicite des personnes concernées avant de procéder, pour les besoins de son activité de référencement, au traitement des données à caractère personnel les concernant. En tout état de cause […], le fait même qu’une personne formule une demande de référencement signifie, en principe, que, à tout le moins à la date de cette demande, elle ne consent plus au traitement effectué par l’exploitant du moteur de recherche ».
A l’inverse, le fait que la personne concernée ait elle-même rendu les données publiques « a vocation à s’appliquer tout autant à l’exploitant du moteur de recherche qu’à l’éditeur de la page web en question ».
La CJUE a ainsi répondu : « un tel exploitant peut refuser de faire droit à une demande de déréférencement lorsqu’il constate que les liens en cause mènent vers des contenus comportant des données à caractère personnel qui relèvent des catégories particulières visées par cet article 8, paragraphe 1, mais dont le traitement est couvert par l’exception prévue audit article 8, paragraphe 2, sous e), à conditions que ce traitement répondent à l’ensemble des autres conditions de licéité posées par cette directive et à moins que la personne concernée n’ait, en vertu de l’article 14, premier alinéa, sous a), de ladite directive, le droit de s’opposer audit traitement pour des raisons prépondérantes et légitimes tenant à sa situation particulière ».
Le CE a également posé la question suivante :
« Les dispositions de la directive 95/46 doivent-elles être interprétées en ce sens que, lorsque les liens dont le déréférencement est demandé mènent vers des traitements de données à caractère personnel effectués aux seules fins de journalisme ou d’expression artistique ou littéraire qui, à ce titre, en vertu de l’article 9 de la directive 95/46, peuvent collecter et traiter des données relevant des catégories mentionnées à l’article 8, paragraphes 1 et 5, de cette directive, l’exploitant d’un moteur de recherche peut, pour ce motif, refuser de faire droit à une demande de déréférencement ? »
La CJUE a répondu que l’exploitant d’un moteur de recherche saisi d’une demande de déréférencement portant sur un lien vers une page web sur laquelle des données à caractère personnel relevant des catégories particulières visées à l’articles 8, paragraphe 1 ou 5, de cette directive sont publiées, devait « sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personne, consacrés aux articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne, vérifier, au titre des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de ladite directive et dans le respect des conditions prévues à cette dernière disposition, si l’inclusion de ce lien dans la liste des résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche, consacrée à l’article 11 de cette charte ».
Lien vers la décision : http://curia.europa.eu/juris/document/document.jsf?text=&docid=218106&pageIndex=0&doclang=fr&mode=req&dir=&occ=first&part=1&cid=903374
