La Cour de justice de l’Union européenne a rendu une décision fondamentale le 13 mai 2014 relative à la protection des données à caractère personnel. Un citoyen avait constaté que la saisie de son identité dans un moteur de recherche affichait des liens vers des annonces judiciaires très anciennes. L’intéressé a sollicité auprès de l’autorité compétente la suppression de ces résultats car les dettes mentionnées dans les publications originales étaient désormais totalement apurées. L’organe de contrôle a ordonné le retrait des liens litigieux, provoquant ainsi un recours de la société exploitante devant la juridiction nationale de second degré. L’entreprise contestait sa qualité de responsable de traitement et invoquait la liberté d’information pour maintenir l’accès aux données publiées par des journaux tiers. La juridiction de renvoi a alors interrogé les juges européens sur la portée de la directive de 1995 face aux activités des outils de recherche. La question posée est de savoir si l’exploitant d’un moteur de recherche traite des données personnelles et doit accorder un droit à l’effacement numérique. La Cour affirme que l’indexation automatique constitue un traitement dont l’exploitant est responsable, imposant ainsi le déréférencement des informations devenues inadéquates ou non pertinentes. L’étude de la qualification juridique de l’activité du moteur précédera l’examen du régime juridique du déréférencement consacré par cette jurisprudence européenne majeure.
I. La reconnaissance d’un traitement de données sous la responsabilité du moteur de recherche
A. L’identification d’une activité de traitement des données numériques
La Cour définit «l’activité d’un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers» comme un traitement de données. Cette analyse inclut les phases d’indexation automatique, de stockage temporaire et de mise à disposition des internautes selon un ordre de préférence bien défini. Les juges considèrent que ces opérations techniques affectent nécessairement les informations contenant des données à caractère personnel présentes sur les pages internet sources des tiers. L’interprétation retenue par la juridiction européenne assure une protection élevée des individus face aux outils technologiques capables de dresser un profil complet des utilisateurs. Le traitement existe dès lors que l’algorithme organise et facilite l’accès à des renseignements privés initialement dispersés sur une multitude de sites web distincts.
B. La détermination de la responsabilité juridique de l’exploitant
La décision établit que «l’exploitant de ce moteur de recherche doit être considéré comme le «responsable» dudit traitement» au sens de la législation européenne. Cette désignation est cruciale car elle impose à l’entreprise de se conformer aux exigences de la directive relative à la protection des personnes physiques. La Cour précise que le traitement est effectué dans le cadre des activités d’un établissement situé sur le territoire d’un État membre de l’Union. La présence d’une succursale destinée à la vente d’espaces publicitaires suffit pour justifier l’application du droit de l’Union au responsable de ce traitement. Cette approche territoriale extensive empêche les sociétés étrangères de contourner les règles de protection en invoquant la localisation hors d’Europe de leurs serveurs informatiques.
II. L’affirmation d’un droit au déréférencement au profit des personnes concernées
A. La prééminence des droits fondamentaux sur les intérêts économiques
L’exploitant d’un moteur de recherche est obligé de supprimer les liens vers des pages web contenant des informations relatives à une personne sur simple demande. Ce droit s’exerce même si les données ne sont pas effacées des sites d’origine et que leur publication initiale était parfaitement conforme à la loi. La Cour souligne que les droits de la personne concernée «prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche» mais aussi sur le public. Le fondement de cette priorité réside dans les articles 7 et 8 de la Charte des droits fondamentaux garantissant le respect de la vie privée. L’inclusion d’une information dans une liste de résultats peut porter une atteinte grave au droit à l’oubli sans qu’un préjudice spécifique doive être démontré.
B. Les limites de la protection face à l’intérêt du public
Le droit au déréférencement n’est pas absolu et doit être concilié avec le droit à l’information des internautes lors de leurs recherches en ligne. L’ingérence dans les droits fondamentaux de l’individu peut être justifiée par «l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information». Les juges européens mentionnent explicitement le rôle joué par la personne dans la vie publique comme un critère déterminant pour maintenir les liens incriminés. Une évaluation au cas par cas est nécessaire pour vérifier si l’information reste nécessaire au regard des finalités pour lesquelles elle a été initialement collectée. Cette balance des intérêts assure que la protection de la vie privée ne se transforme pas en un outil de censure de l’histoire publique contemporaine.
