Cour de justice de l'Union européenne (Gde ch.)24 septembre 2019

Dans son arrêt du 24 septembre 2019, la Cour de justice s'est prononcée en Grande chambre sur la portée de l'obligation de déréférencement, imposée à l'exploitant d'un moteur de recherche, tel que Google. De quelle manière et dans quelle mesure, l'exploitant d'un moteur de recherche doit-il mettre en oeuvre ce droit au déréférencement, lorsqu'il constate qu'une personne a droit à ce qu'un ou plusieurs liens vers des pages web sur lesquelles figurent des données à caractère personnel la concernant soient effacés de la liste de résultats, qui est affichée à la suite d'une recherche effectuée à partir de son nom?

Par décision du 10 mars 2016, la CNIL (Commission nationale de l'informatique et des libertés, France) a prononcé une sanction de 100.000 EUR à l'encontre de Google, qui avait refusé de procéder au déréférencement « mondial », à savoir sur l'ensemble des extensions de nom de domaine de son moteur de recherche.

Le droit pour une personne d'obtenir le déréférencement était déjà prévu par l'ancienne directive n° 95/46 sur la protection des données personnelles (applicable au cas d'espèce); il l'est également par le RGPD.

La C.J.U.E. reconnaît dans son arrêt les conséquences potentiellement mondiales de l'accès des internautes (établis dans l'Union et en dehors de celle-ci) au référencement d'un lien renvoyant vers des informations d'une personne, dont le centre d'intérêt se situe dans l'Union, de telle sorte qu'un déréférencement mondial serait de nature à rencontrer pleinement l'objectif de protection visé par le droit de l'Union.

Cependant, le droit au référencement n'est pas absolu, mais doit être mis en balance avec d'autres droits fondamentaux. Cette mise en balance est susceptible de varier de manière importante à travers le monde. Selon la C.J.U.E., le législateur de l'Union n'a pas procédé à une telle mise en balance pour ce qui concerne la portée d'un déréférencement en dehors de l'Union européenne et n'a pas fait le choix de conférer aux droits des individus une portée qui dépasserait le territoire des Etats membres. En outre, il n'existe aucun instrument ou mécanisme de coopération sur la portée d'un déréférencement en dehors de l'Union.

Selon la Cour, il n'existe pas, dans l'état actuel, pour l'exploitant d'un moteur de recherche qui fait droit à une demande de déréférencement formulée par la personne concernée, d'obligation découlant du droit de l'Union de procéder à un tel déréférencement sur l'ensemble des versions de son moteur. L'exploitant d'un moteur de recherche doit opérer un tel déréférencement sur les versions de son moteur correspondant à l'ensemble des Etats membres. Il doit, par ailleurs, prendre des mesures qui permettent effectivement d'empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l'un des Etats membres d'avoir accès, via une extension de nom de domaine « hors UE » de ce moteur, aux liens qui font l'objet de la demande de déréférencement. L'obligation de déréférencement doit donc, si nécessaire, être accompagnée de mesures dites de « geo-blocking ».