« L’exploitant d’un moteur de recherche sur Internet est responsable du traitement qu’il effectue des données à caractère personnel qui apparaissent sur des pages web publiées par des tiers » Tel est le titre du communiqué de presse de la Cour de justice de l’Union européenne.

Dans une affaire opposant Mr Mario Costeja Gonzalèz à GoogleSpain, filiale de GoogleInc., l’agence espagnole de protection des données a demandé à la Cour de Justice de l’Union européenne de statuer, entre autre, sur la question de savoir, si le groupe Google pouvait être considéré comme un « responsable de traitement des données » pour l’indexation faite via son moteur de recherche Google search. De cette qualification, découlerait une application de la directive européenne 95/46/CE sur la protection des données personnelles.

Dans cette affaire, Mr Costeja Gonzalèz demandait le retrait de pages faisant état d’une vente aux enchères au sujet d’une saisie effectuée pour le recouvrement de ses dettes. La Cour a exclut le retrait des pages auprès du quotidien en ligne qui les avait éditées au motif que le quotidien n’a fait que relaté des faits passés et répondait à sa mission d’information au regard de la liberté de la presse.

Le statut de Google a posé la question de savoir si l’indexation des informations licites correspondait à un traitement des données au sens de la directive. De ce traitement découlerait alors des obligations spécifiques et une responsabilité de la firme.

Sur le Traitement

La Cour renvoi à l’article 2 de la directive 95/46/CE qui définit le traitement de données à caractère personnel comme « toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction »

Par la suite, elle énonce dans son arrêt que « l’activité d’un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de «traitement de données à caractère personnel», au sens de cet article 2, sous b), lorsque ces informations contiennent des données à caractère personnel ».

La qualification du caractère personnel des données se déduit de l’agrégation des informations récoltées en entrant le nom de la personne concernée dans la barre de recherche qui correspond à une identification directe ou indirecte de la personne par un ou plusieurs élément propre à son identité.

Google effectue donc par son activité d’indexation un traitement des données personnelles, car il en détermine les finalités et les moyens. Selon la Cour « l’exploitant « extrait », « enregistre » et « organise » ces données dans le cadre de ses programmes d’indexation avant de les « conserver » sur ses serveurs et, le cas échéant, de les « communiquer » à ses utilisateurs et de les « mettre à la disposition » de ces derniers sous forme de listes de résultats ».

La cour énonce également, que l’exploitant du moteur de recherche doit s’assurer, dans le cadre de ses responsabilités, de ces compétences et de ses possibilités, que son activité est conforme aux exigences de la directive. Google est donc soumis aux obligations des responsables de traitement quant à la collecte, la conservation, et la destruction des données personnelles.

La Cour dégage une responsabilité de l’exploitant du moteur de recherche, et ce, même lorsque la publication en elle-même est licite. Il ne s’agit pas ici de l’information en elle-meme, mais de son agrégation avec d’autres informations qui créé un danger pour la protection de la vie privée de l’individu. Agrégation qui n’aurait pas été possible sans l’intervention du moteur de recherche.

Sur la responsabilité

 La Cour énonce qu’il y a lieu de rechercher un juste équilibre dépendant de la nature des informations en question, de la sensibilité pour la vie privée des informations, et de l’intérêt du public à recevoir cette information.

C’est sur ce dernier enjeu que se joue la justification d’une demande de suppression ou d’anonymisation des renseignements. C’est aussi ici que se joue toute la question du droit à l’oubli numérique qui se retrouve au cœur du débat autour de cette décision.

Basée sur le droit d’accès et sur le droit d’opposition de la personne concerné, la Cour énonce que « dans le cadre de l’appréciation des conditions d’application de ces dispositions, il convient notamment d’examiner si la personne concernée a un droit à ce que l’information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom, sans pour autant que la constatation d’un tel droit présuppose que l’inclusion de l’information en question dans cette liste cause un préjudice à cette personne. Cette dernière pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la Charte, demander que l’information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats, ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à accéder à ladite information lors d’une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question. »

Ainsi, on s’en remet à l’appréciation des juges pour assurer l’appréciation du préjudice résultat de l’indexation.

Sur l’effet de cette décision

Au delà de l’effet streisand pour Mr Costeja Gonzalèz, cette décision représente une ouverture concrète des juges européens sur la volonté de mettre en place un droit à l’oubli numérique, par la reconnaissance d’un droit de retrait ou d’anonymisation auprès des moteurs de recherche.

Basée sur le modèle du contrôle a posteriori developpé auprès des hebergeurs de contenu, la décision créé une insécurité pour les moteurs de recherche quant au fait qu’un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible, tout en les laissant « examiner le bien fondé de la demande » selon le cas d’espèce.