3 sep 2014

Droit à l'oubli : tribune et vidéo d'Etienne Drouard, Avocat et associé, K&L Gates

Etienne Drouard, Avocat et associé, K&L Gates et Président de la Commission Enjeux réglementaires du GESTE, s'est exprimé cet été sur Xerfi Canal et dans une Tribune de la revue LEGIPRESSE à propos de la décision de la Cour de justice de l’Union européenne qui consacre l’application au moteur de recherche de Google, comme à tout traitement automatisé de données à caractère personnel, du régime de protection des données à caractère personnel.

Google et le droit à l'oubli sur Internet

 

Décision CJUE vs Google sur le « droit à l’oubli »... ou l’oubli du Droit ?

Tribune Légipresse n°317 Juin 2014

Le 13 mai 2014, la Cour de Justice de l’Union Européenne (CJUE) a renversé les fondements de la régulation des demandes de suppression d’informations personnelles sur Internet. Ce faisant, elle en a bouleversé les lois applicables, les juridictions et régulateurs compétents, comme les conditions d’examen de ces demandes.

Toutefois, les raisonnements suivis par la Cour paraissent fragiles. Les conséquences juridiques et pratiques de sa décision ne semblent pas avoir été complètement mesurées, notamment pour les éditeurs de services en ligne susceptibles de diffuser des données personnelles, dans les secteurs des médias et de la presse en général, des réseaux sociaux, des petites annonces et des contenus produits par les internautes eux-mêmes (dits « UGC » ou « User Generated Content »).

La part politique de cette décision est difficile à quantifier. Il suffit d’observer les louanges et critiques qui l’entourent pour se trouver écartelé entre des positions tranchées -donc tentantes- dans lesquelles l’objectif serait préférable au raisonnement, la simplification à la rigueur. Aussi l’analyse qui suit n’a- t-elle pas pour objet de défendre une loi contre une autre, une liberté contre une autre, un régulateur contre un autre ou une catégorie d’acteurs contre une autre. Mais il est indispensable de comprendre, par l’analyse juridique, les effets de cette décision et les changements qu’elle pourrait entraîner. La décision prise par Google le 29 mai 2014 d’offrir aux internautes européens un formulaire de demande de désindexation, rebat les cartes de la régulation internationale de la liberté d’expression et de la vie privée. Quelques jours et dizaines de milliers de demandes de suppression (non encore traitées) plus tard, Google publie déjà des statistiques tendant à instiller l’idée que ceux qui ont quelque chose à cacher ont souvent quelque chose à se reprocher, discréditant ainsi un « droit à l’oubli » que les tenants de la vie privée avaient eu tendance à idéaliser. Ce feuilleton connaîtra de nombreux autres épisodes dans les mois et années à venir. Mais force est déjà de constater que lorsque les approximations juridiques sont prises dans les filets de la communication d’influence, l’adage « Tel est pris qui croyait prendre » prend tout son sens.
 

1. Le contexte de cette décision

La décision de la CJUE est intervenue en réponse à une question préjudicielle introduite par l’Audiencia Nacional espagnole, suite à une plainte déposée en 2010 par un citoyen espagnol auprès de l’homologue espagnol de la CNIL, l’Agencia Española de Protección de Datos (AEPD) contre l’éditeur d’un quotidien espagnol, ainsi que contre Google Spain et Google Inc. Cette plainte était fondée sur le fait que la liste de résultats d’une recherche diffusée en réponse au nom du plaignant sur le moteur de recherches de Google, affichait des liens hypertexte vers deux pages du quotidien espagnol qui concernaient une vente aux enchères immobilière liée à une saisie pratiquée en recouvrement de dettes de sécurité sociale. Le plaignant affirmait que ces faits avaient été pleinement résolus depuis plusieurs années et qu’ainsi, de telles références, disponibles grâce au moteur de recherche, n’étaient plus pertinentes et devaient être supprimées.
L’on comprend aisément le préjudice invoqué par ce particulier espagnol. Ironie du sort, ce plaignant aura gain de cause « pour les autres ». Son nom et le fait qu’il ait eu, par le passé, une dette sociale, seront à tout jamais connus et indexés dans tous les moteurs de recherches, car la CJUE n’a pas eu la présence d’esprit d’anonymiser, dans sa décision, l’identité du plaignant qui invoquait le bénéfice d’un « droit à l’oubli ». Il ne fait pas toujours bon avoir raison lorsque le juge raisonne de si haut qu’il en oublie le justiciable. 

 

2. Les questions posées à la CJUE et leurs réponses

L’Audiencia Nacional a décidé de surseoir à statuer et de poser à la CJUE une série de questions préjudicielles concernant l’interprétation de la Directive 95/46 « Données Personnelles »*.

  • L’activité d’un moteur de recherches doit-elle être qualifiée de « traitement de données personnelles » au sens de cette Directive et ledit moteur de recherche doit-il être considéré comme « responsable de traitement de données personnelles », en tant que fournisseur de contenus et de liens ? La CJUE pouvait répondre « oui » ou « non ». Elle a répondu « oui » (point 2.1 ci-dessous).
  • La Directive 95/46 est-elle applicable lorsqu’une société-mère effectuant un traitement de données personnelles en dehors de l’Union Européenne, a une filière établie dans un État Membre de l’Union Européenne dont l’activité est la vente et la promotion d’espaces publicitaires ? La CJUE pouvait -ou aurait dû- répondre « non ». Elle a répondu « oui », anticipant ainsi une réforme européenne qui n’est pas adoptée ni en vigueur et qui ne le serait pas avant au moins deux ans (point 2.2 ci-dessous).
  • Une personne peut-elle demander, sur le fondement du « droit à l’oubli », que les résultats la concernant ne soient plus accessibles via un moteur de recherches ? La CJUE pouvait -ou aurait dû- répondre « Tout dépend de la réponse fournie par les lois sur la presse dans le pays du plaignant et dans le pays de l’éditeur du contenu litigieux ». Elle a répondu « Oui, sur le fondement des principes européens de protection des données personnelles qui exigent que des données traitées soient adéquates, pertinentes et non excessives » (point 2.3 ci-dessous).

Bien que la Cour ait pris soin de mettre en balance ces objectifs avec la préservation du droit à l’information et de la liberté d’expression, cette balance paraît renversée et risque d’échapper aux régulateurs désignés par la CJUE elle-même. Nous verrons pourquoi au point 3 ci-dessous.

2.1. Indexer, ce serait être un « responsable de traitement de données personnelles »

La CJUE a relevé qu’un moteur de recherches « extrait », « enregistre » et « organise » les données indexées, avant de les « conserver » sur ses serveurs et, le cas échéant, de les « mettre à disposition » de ses utilisateurs sous forme de listes de résultats. La CJUE a qualifié ces opérations de « traitement de données à caractère personnel », au sens de l’article 2 de la Directive 95/46, indépendamment du fait que le moteur de recherche indexe de manière indifférenciée les données personnelles et non personnelles. En outre, la CJUE a estimé que l’exploitant d’un moteur de recherche détermine les finalités et les moyens de cette activité d’indexation et doit, en conséquence, être qualifié de « responsable » d’un tel traitement et satisfaire à toutes les obligations qu’entraîne ce statut juridique.

La Cour n’a étudié que l’exigence de satisfaire les demandes de suppression légitimes. Elle n’a pas tiré ni mesuré les premières conséquences de son raisonnement, à savoir l’obligation (article 10 de la Directive 95/46) d’informer les personnes préalablement à l’indexation de leurs données par un moteur de recherche et le droit pour les personnes de s’y opposer, a priori et a posteriori. Affirmer ainsi un statut juridique dont on ne peut assurer le respect des obligations essentielles qui en découlent, est inquiétant et illustre que le raisonnement suivi par la CJUE n’est pas rigoureux au regard du droit de la protection des données à caractère personnel.

De surcroît, les moteurs de recherches ne sont pas les seuls acteurs à indexer automatiquement des contenus accessibles sur Internet. Tout dispositif de veille, d’archivage, tous les « widgets » et logiciels de synchronisation de contenus ou de coordonnées, tous les portails d’annonces de particuliers, procèdent à de telles indexations automatiques.

2.2. La Directive « Données Personnelles » serait applicable aux activités de Google Inc.

Google Inc. a expliqué que ses activités d’indexation et son moteur de recherches étaient exclusivement situés aux États-Unis. Mais la CJUE a jugé que les activités de régie publicitaire de Google Spain en Espagne contribuent au financement du moteur de recherches opéré par Google, Inc. aux Etats-unis et, en conséquence, que ces activités de régie espagnole seraient réalisées « dans le cadre des activités » de Google Inc. La Cour en a déduit que le moteur de recherches de Google, Inc. était soumis aux lois de protection des données personnelles des Etats européens dans lesquels Google dispose de filiales exerçant l’activité de régies publicitaires, même si ces dernières ne traitent pas de données personnelles en lien avec l’activité d’indexation du moteur de recherches.

Le raisonnement de la CJUE sur ce point est juridiquement fragile. Seul Google Inc. détermine les moyens et les finalités de ses activités d’indexation. Google Spain vend des espaces publicitaires à des annonceurs et ne traite pas de données personnelles aux fins des activités d’indexation réalisées par Google Inc, ni dans le cadre des activités de régie publicitaire de Google Spain.

Or, la Directive 95/46 n’a vocation à s’appliquer à une entreprise extra-communautaire (article 4.1.c) que si celle-ci « recourt, à des fins de traitement de données à caractère personnel, à des moyens [...] situés sur le territoire [d’un] État membre ». On pourrait abonder dans le sens de la Cour si, dans le but d’indexer des données personnelles en Espagne, Google Inc avait recourt à des moyens situés en Espagne. Tel n’est pas le cas : l’activité mondiale d’indexation de Googe Inc. préexiste à l’activité de régie publicitaire de Google Spain. Elle n’en résulte pas, tant qu’aucun moyen d’indexation ou de stockage de données personnelles n’est situé en Espagne.

Cette confusion opérée par la CJUE est audacieuse et dépasse l’imagination du législateur européen de 1995. Un tel raisonnement deviendrait impraticable si on le généralisait. Prenons l’exemple du Brésil, pays organisateur de la Coupe du Monde de la FIFATM. La loi française « Informatique & Libertés » devrait-elle s’appliquer aux fichiers permettant aux autorités brésiliennes de contrôler l’identité de tous les spectateurs venus du monde entier pour accéder aux stades brésiliens, au motif qu’une chaîne de télévision française a pu, en s’acquittant de droits de retransmission, contribué au financement de la Coupe du Monde 2014 organisée au Brésil ? Pour ce simple exemple, on pourrait multiplier ce raisonnement iconoclaste au travers des 28 Etats membres de l’UE.

Néanmoins, à suivre l’analyse de la CJUE, tout annonceur, éditeur de services en ligne, moteur de recherches, réseau social, etc., situé hors de l’Union Européenne et souhaitant échapper à l’application de la Directive Données Personnelles, devrait désormais déplacer ses régies publicitaires en dehors du territoire de l’Union Européenne. Il n’y aurait alors plus aucune assiette fiscale européenne à espérer de Google -si tant est que l’on s’en soit vraiment donné la peine au niveau communautaire.

2.3. Le « droit à l’oubli » en questions

La CJUE a jugé que les informations et liens hypertexte relatifs à des pages web contenant des données personnelles devraient, sur demande d’un utilisateur, être supprimées si elles apparaissent inadéquates, pas ou plus pertinentes ou excessives au regard des finalités de l’indexation. L’exploitant du moteur de recherche, saisi directement d’une telle demande, devrait alors examiner son bien-fondé au regard des critères énoncés par la CJUE, en analysant :

  • la nature des informations traitées, les finalités et la durée « proportionnée » de leur traitement (critères issus de la Directive 95/46) ;
  • la sensibilité de ces informations par rapport à la vie privée du demandeur et l’intérêt prépondérant du public, selon le rôle joué par la personne concernée dans la vie publique (critères dégagés par la CJUE).

 Si l’exploitant du moteur de recherches ne donnait pas une suite favorable à une demande de désindexation, tout ressortissant européen pourrait former un recours devant l’autorité nationale de protection des données personnelles ou devant l’autorité judiciaire de son pays de résidence.
 

3. Conséquences prévisibles à court et moyen terme, de fond et procédurales

3.1. La portée paneuropéenne de cette décision

Le Traité sur l’Union Européenne (article 4) impose aux États Membres de prendre « toute mesure générale ou particulière propre à assurer l’’exécution des obligations [...] résultant des actes des institutions » de l’Union Européenne, y compris la CJUE. En conséquence, la décision rendue par la CJUE le 13 mai 2014 s’impose d’abord à la juridiction espagnole qui a introduit la question préjudicielle, ainsi qu’à toute juridiction d’appel et de renvoi qui sera tenue de trancher le même litige. Au-delà de ce litige individuel, il est communément admis que le raisonnement suivi par la CJUE s’imposera également à toutes les juridictions nationales des États Membres saisies d’une affaire impliquant une des dispositions communautaires interprétées par la CJUE.

Toutefois, une juridiction nationale peut toujours renvoyer à la CJUE une question sur laquelle celle- ci a déjà statué. Le cas échéant, la CJUE n’est pas liée par ses décisions antérieures et peut décider de se prononcer différemment sur le même point de droit, si elle en est saisie par une juridiction nationale.

3.2. La priorité d’un droit individuel à l’oubli sur le droit à l’information du public

Selon la Cour, le droit de désindexation s’exercerait directement auprès des moteurs de recherches, sans en informer ni interroger l’éditeur des services contenant des données personnelles et sans qu’une autorité judiciaire n’ait jugé que la publication de ces données serait illicite au regard du droit à l’information du public.

La Cour a ainsi estimé que les articles 7 (vie privée) et 8 (protection des données personnelles) de la Charte des droits fondamentaux de l’Union Européenne prévalent « en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à accéder à ladite information lors d’une recherche portant sur le nom de cette personne ».

3.3. Conséquences sur la séparation des pouvoirs exécutifs et judiciaires

Le droit à la vie privée et le droit à l’information constituent traditionnellement des droits fondamentaux de valeur équivalente, nécessitant un équilibre ad hoc réalisé par une autorité judiciaire, susceptible d’un recours devant une juridiction judiciaire et d’une interprétation définitive par une cour suprême nationale.

A travers la décision de la CJUE, le droit à l’information deviendrait une exception au droit à la vie privée, dont l’arbitrage devrait être confié à une société commerciale située hors de l’Union européenne et éditant un moteur de recherches, puis à une autorité administrative nationale en charge de la protection de la vie privée, sans compétence ni culture propres au droit à l’information et la liberté d’expression.

La décision de la CJUE établit non seulement un déséquilibre entre le droit à l’information et le droit à la vie privée, mais elle détériore également la séparation des pouvoirs entre les juridictions judiciaires et les autorités administratives, à l’occasion d’une plainte concernant pourtant l’équilibre entre des droits fondamentaux dont seule l’autorité judicaire est la garante. Certes, les paragraphes 71 à 88 de la décision, la CJUE se réfèrent tant à l’autorité administrative de protection des données personnelles qu’à l’autorité judiciaire, sans énoncer aucune priorité entre celles-ci.

Mais qui pourrait croire un instant, en cas de refus d’un moteur de recherches de satisfaire une demande de désindexation, qu’un justiciable s’engagera demain dans une procédure judicaire longue et coûteuse devant le juge du droit à l’information et de la presse, alors qu’il suffirait à ce justiciable d’adresser gratuitement sa demande auprès de l’autorité administrative chargée de protéger sa vie privée et ses données personnelles ?

En conséquence, un recours formé par un justiciable devant une autorité administrative chargée de protéger la vie privée n’entraînera pas la saisine ni même l’information de l’éditeur des services contenant les données personnelles litigieuses. Quand bien même cet éditeur serait appelé à s’exprimer, il serait contraint de débattre devant une autorité administrative, sans avoir le choix d’un arbitrage par le juge de la liberté d’expression et de la presse.

3.4. Le droit de la communication et des éditeurs de services en ligne

En France, les délits de presse relèvent de la loi du 29 juillet 1881 et, en premier ressort, de la compétence exclusive du Tribunal de Grande Instance (TGI). La courte durée de prescription des délits de presse (trois mois à compter de chaque publication d’une assertion litigieuse) y est un point cardinal d’équilibre entre le droit à la liberté d’expression et le droit à la dignité, à l’honneur et à la considération.

La jurisprudence française a évolué sans cesse pour dessiner les contours prétoriens d’un « droit à l’oubli » lorsque des données personnelles publiées n’ont plus de rapport avec le droit à l’information du public et causent un préjudice manifeste aux personnes concernées. Un tel droit à l’oubli peut conduire à l’anonymisation d’un contenu dont l’obsolescence est manifestement préjudiciable.

En France, la CNIL avait consulté les éditeurs de services en ligne réunis au sein du GESTE courant 2013 et début 2014 sur le « droit à l’oubli », découvrant ainsi que ces derniers avaient dégagé, face aux demandes plus nombreuses des internautes, des lignes directrices leur permettant, au regard du droit de la communication et à la vie privée, d’adopter des critères communs et équilibrés d’appréciation des demandes. Lors de cette consultation, la CNIL s’était montrée réticente à consulter les juridictions judiciaires, qui forgent pourtant le droit dans ce domaine, depuis toujours.

En abordant les questions dont elle était saisie sur le terrain de la liberté d’expression, la CJUE aurait pu dégager des critères d’analyse similaires à ceux qu’elle a recherchés, aboutissant à un résultat équivalent pour le justiciable espagnol à l’origine de sa saisine, mais impliquant l’intervention de l’éditeur de presse espagnol (selon une procédure dite de « notice and take down ») et d’une autorité judiciaire en cas de litige persistant. La CJUE aurait ainsi pu se fonder sur une analyse juridique plus solide, s’évitant des aventures fragiles sur la loi applicable en matière de données personnelles. Elle aurait pu ne pas reléguer le droit de la presse et les éditeurs de services en ligne au rang d’accessoires ou d’observateurs.

3.5. Vers une privatisation américaine du « droit à l’oubli » européen ?

Le maniement par Google Inc. des critères d’analyse fixés par la décision de la CJUE requiert des moyens importants pour traiter l’afflux des milliers de demandes européennes de désindexation. Outre la mise en ligne d’un formulaire pour recueillir ces demandes, Google Inc. a annoncé le 30 mai 2014 la création d’un comité consultatif mondial** chargé de traiter de ces questions européennes et de rédiger un rapport sur la gestion des demandes.

« Tel est pris qui croyait prendre »... ou comment transformer une contrainte réglementaire posée par la CJUE en un renforcement du leadership de Google sur la régulation des services en ligne européens, par la privatisation internationale des procédures européennes de protection de la vie privée, écartant du débat l’intervention des internautes européens, des éditeurs de services en ligne et des juridictions judiciaires. Google ne l’a pas fait exprès, mais intelligemment. La CJUE non plus.

3.6. Profiter de la réforme européenne en cours pour le droit à l’oubli de demain

En l’état, le projet de règlement européen sur la protection des données personnelles en discussion depuis janvier 2012, ne contient que quelques éléments parcellaires sur le « droit à l’oubli ». Ces éléments devront être refondus afin de répondre aux problématiques techniques, territoriales, procédurales et institutionnelles soulevées par la décision de la CJUE.

Des dérogations aux principes de protection des données personnelles sont justifiées depuis 1995 par le droit à la liberté d’expression et à l’information du public et pour les activités journalistiques, historiques, statistiques et scientifiques. Ces dérogations peuvent-elles être clarifiées par les Etats membres et interprétés par des autorités publiques garantes des divers droits fondamentaux en cause ? Les personnes peuvent-elle librement exercer un « droit au remords », lorsqu’elles sont à l’origine de la diffusion -par elle-même ou par un tiers- d’informations les concernant qu’elles n’assument plus ? Si oui, comment déterminer cette origine ?

Le droit à l’oubli est probablement l’un des plus anciens et des plus essentiels des droits de l’Homme dans la Société de l’Information du 21ème siècle. Le plus controversé aussi, entre des impératifs de sécurité, sociaux, commerciaux, de devoir de mémoire et de droit à l’évolution individuelle. « Chacun peut défendre sa vision du droit à l’oubli. Mais depuis Jacques Fauvet*** en 1998, on n’a pas su mieux résumer ce que l’informatique change fondamentalement : "Avant l’informatique, l’oubli était inhérent à la mémoire humaine. Depuis l’informatique, l’oubli doit faire l’objet d’un choix social" »****.

Etienne Drouard, Président de la Commission juridique du GESTE (Groupement des Editeurs de Services en Ligne),
Avocat associé, cabinet K&L Gates

---------------------------
*Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JOCE L 281, p. 31).

**Ce comité consultatif réunirait notamment Eric Schmidt, ancien PDG de Google, Jimmy Wales, fondateur du site Wikipedia, mais aussi un professeur d'éthique à l'Oxford Internet Institute, Luciano Floridi, une chercheuse en droit à l'Université catholique de Louvain, Peggy Valcke, l'ancien directeur de l'Agence espagnole pour la protection des données, Jose Luis Piñar et le rapporteur spécial de l'ONU sur la liberté d'expression, Frank La Rue.

***Ancien Directeur du Monde de 1969 à 1982 et président de la CNIL durant 14 ans, jusqu’en 1998.

****LEGIPRESSE n° 272 - Mai 2010, Tribune, p.77.