La Cour de Justice de l’Union Européenne, le 13 mai dernier, a débouté Google en considérant qu’un moteur de recherche est responsable du traitement des données personnelles qui apparaissent sur les pages web (CJUE, Google Spain SL, Google Inc. / Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez, 13 mai 2014, C-131/12).
Un internaute espagnol a réclamé auprès de l’Autorité espagnole de protection des données la suppression de deux articles de presse relatifs à son endettement. Il a demandé également à ce que les articles ne soient plus indexés par Google au motif qu’ils n’étaient plus d’actualité.
A cet égard, la Cour européenne fait primer un droit fondamental : le droit à l’oubli. Désormais, les moteurs de recherche sont tenus de supprimer, à la demande de toute personne, les résultats de recherche considérés comme non pertinents et désuets.
Par ailleurs, la Cour considère que Google et les autres moteurs de recherche sont tenus de contrôler les informations à caractère privé puisqu’ils extraient, enregistrent et organisent ces données de manière systématique. Ils sont donc responsables de leur traitement.
Quant aux personnes concernées, elles ont un droit de contrôle sur leurs données personnelles, même si elles ne sont pas des personnalités publiques. Dès lors, si une personne souhaite qu’une information non pertinente ou mensongère la concernant soit supprimée des résultats du moteur de recherche, elle doit en faire la demande quand bien même l’information a été publiée licitement. Elle peut s’adresser directement à l’exploitant du moteur de recherche qui doit en examiner le bien-fondé.
Enfin, la décision de supprimer ou non les données personnelles d’une personne dépend de la « nature de l’information, de sa sensibilité pour sa vie privée et de l’intérêt du public à disposer de cette information, lequel peut varier en fonction du rôle joué par cette personne dans la vie publique ».
En définitive, la Cour européenne est venue consolider le droit à l’oubli. Néanmoins, il ne s’agit pas d’un droit absolu puisqu’un équilibre entre la liberté d’expression et d’information et le droit à la vie privée doit être trouvé. Enfin, des problématiques liées à la mise en œuvre du droit à l’oubli se posent déjà à la suite de cette décision.
En effet, trois jours après la publication de cette décision, Google a reçu des centaines de demandes pour faire retirer des informations personnelles. Google fait part de la complexité de traiter ces demandes en raison des nombreuses langues et de la nécessité d’un examen attentif pour chacune d’elles.
Néanmoins, la décision de la Cour européenne prévoit que l’absence de réponse du moteur de recherche peut conduire à la saisine d’une autorité de contrôle ou d’une autorité judiciaire et à la condamnation à une amende importante.
Afin d’encadrer le droit à l’oubli, le rapport d’activité de la Cnil, présenté le 19 mai dernier, propose des moyens efficaces de maitriser la diffusion des données personnelles. Tout d’abord, la Cnil suggère l’élaboration d’un référentiel standard de durées de conservation des données. L’idée serait de mettre à disposition des responsables de traitement un guide de référence leur permettant de savoir combien de temps ils peuvent conserver des données personnelles. En outre, la Cnil propose des outils offrant aux internautes une meilleure maîtrise de la publication de leurs données. Par exemple, ils pourraient définir une date limite de diffusion de leurs publications ou les modifier ou les supprimer. Enfin, la Cnil préconise que le droit à l’oubli soit complété par une obligation de déréférencement sans délai à la charge des moteurs de recherche dès lors que l’internaute a obtenu l’effacement de l’information initiale.