Déjà le 14 mai 2013, à la demande d’une société filiale d’un groupe luxembourgeois la plus haute juridiction civile allemande, le Bundesgerichtshof, ordonnait à Google de supprimer certaines occurrences fausses et diffamatoires de la liste de résultats affichée à la suite d’une recherche effectuée à partir du nom de son président.
Un arrêt n°C-131/12 du 13 mai 2014 « Google Spain SL, Google Inc. / Agencia Española de Protección de Datos (AEPD), Mario Costeja González », la Cour de Justice de l’Union Européenne (« CJUE ») vient de conforter et de préciser cette solution.
Dans cette décision, la CJUE a confirmé que l’exploitant d’un moteur de recherche était responsable du traitement des données personnelles apparaissant sur ses pages, et que le droit à l’oubli numérique devait donc s’appliquer aux internautes qui en feraient la demande.
Dans cette décision, la CJUE a confirmé qu’en « collectant », « organisant » et « enregistrant » les données personnelles sur des serveurs, les exploitants des moteurs de recherche « traitent » des données personnelles au sens de la Directive 95/46/CE relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (« la Directive ») et que puisque l’exploitant du moteur de recherche détermine les finalités et les moyens du traitement, il en devient le « responsable ».
Concernant l’application territoriale de la Directive, la CJUE soumet à la Directive les entreprises établies dans un Etat tiers à condition qu’elles disposent d’un « établissement » dans un État membre. La CJUE ne vise pas uniquement le lieu de l’établissement du traitement des données mais également toute forme d’établissement, comme dans le cas d’espèce, l’établissement qui permet, dans l’Etat Membre de promouvoir et de vendre des espaces publicitaires proposés sur le moteur de recherche.
Ces conditions de fond étant réunies, la Cour impose à l’exploitant du moteur de recherche, dans certaines conditions, de supprimer de la liste de résultats affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne.
La Cour précise que le droit à l’oubli n’est pas absolu et qu’il convient de « rechercher un juste équilibre » entre les droits de la personne de gérer ses informations personnelles – droit au respect de la vie privée – d’une part, et les intérêts du public à recevoir ces informations d’autre part (personnalités publiques, mauvaise réputation d’un établissement …). Le critère retenu par la Cour pour bénéficier de ce droit à l’oubli est la qualification « inadéquate, pas ou plus pertinente ou excessive » des informations publiées, et cela en fonction « de la nature de l’information en question et de [l]a sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique ».
Le 28 mai 2014, Google a mis en ligne un formulaire permettant d’exercer une demande de retrait de résultats de recherche auprès du moteur de recherche concerné. La suppression des données traitées n’interviendra que sur demande expresse et motivée de la personne concernée. Google a ainsi précisé que le traitement de ces requêtes se ferait grâce à une expertise humaine et se réserverait le droit d’examiner le bien-fondé de la demande.
En cas de litige, il appartient à l’autorité luxembourgeoise de régulation, la Commission Nationale pour la Protection des Données, puis au juge national en cas de contentieux, de trancher du bienfondé de la demande.
La décision rendue dans cette affaire facilitera la protection de l’image virtuelle des personnes physiques, dont les données personnelles sont protégées au Luxembourg. Pour autant, cette décision ne toise pas clairement la question de l’image virtuelle des personnes morales, alors que certaines législations européennes qualifient de données personnelles tant celles des personnes physiques que celles des personnes morales.
Nos clients devront donc rester attentifs à leur image virtuelle et le cas échéant, saisir Google ou tout autre moteur de recherche de tout information fausse/trompeuse qu’ils souhaiteraient voir effacer.