Dans son arrêt Google Spain du 13 mai 2014, la Cour de justice de l’Union européenne découvrait le droit à l’oubli, qui permet à chaque personne dont les données personnelles sont indexées par les moteurs de recherche, et rendues publiques sur le Web, d’en solliciter le déréférencement.

Ce droit fut consacré en 2016 par le législateur européen, à l’article 17 du RGPD.

Le droit à l’oubli n’a rien d’absolu et il ne saurait prévaloir sur les autres droits des internautes et des opérateurs du commerce électronique. Les premiers peuvent prétendre à la liberté d’expression, dans sa composante négative qui implique la faculté de recevoir une information libre et dépourvue de censure. Les seconds ont un intérêt économique à diffuser des contenus sur le Web, que l’on pourrait rattacher à la liberté d’entreprendre et au droit de propriété. Ces droits, parfois complémentaires, souvent antagonistes, sont d’égale valeur, et leur respect doit être pareillement garanti.

La Cour de Luxembourg concilie les droits qui s’opposent les uns aux autres en suivant un raisonnement en trois étapes : légalité, nécessité, proportionnalité. Ne sont ainsi justifiées que les atteintes aux droits qui :

1. ont un fondement légal ;
2. sont nécessaires à la préservation d’un autre droit protégé ;
3. sont proportionnées à la finalité recherchée, c’est-à-dire à l’exercice de l’autre droit protégé.

On ne s’étonnera pas que la Cour ait suivi ce raisonnement, désormais classique, pour répondre à la question que lui posait le Conseil d’Etat.

En 2015, la CNIL a mis en demeure Google d’honorer les demandes de droit à l’oubli émanant des internautes français sur tous ses sites, en France, en Europe et dans le monde. Google s’y est refusée, ce qui a donné lieu in fine à l’arrêt de la CJUE du 24 septembre 2019.

Les deux positions ont, à vrai dire, des mérites. Si Google se contentait de supprimer le référencement sur son site français (google.fr), il suffirait aux internautes français d’effectuer une recherche depuis n’importe quel autre site européen (google.be, pour la Belgique, par exemple) ou international (google.com), pour y retrouver immédiatement le contenu déréférencé en France. Le droit à l’oubli en serait grandement fragilisé, pour ne pas dire vidé de sa substance, ce que la CNIL cherche précisément à éviter. Inversement, si le déférérencement était mondial, il suffirait que les internautes d’un pays dont la législation n’est pas favorable à la liberté d’expression demandent le retrait d’un contenu, pour que les internautes du monde entier en soient privés. Cela n’est évidemment pas souhaitable.

Alors, peut-on appliquer le droit à l’oubli en dehors des frontières de l’Union européenne ?

La Cour observe d’abord que l’objectif du RGPD “est de garantir un niveau élevé de protection des données à caractère personnel dans l’ensemble de l’Union” et “[qu’]un déréférencement opéré sur l’ensemble des versions d’un moteur de recherche est de nature à rencontrer pleinement cet objectif”. Elle juge ensuite que “dans un monde globalisé, l’accès des internautes, notamment de ceux qui se trouvent en dehors de l’Union, au référencement d’un lien renvoyant à des informations sur une personne dont le centre d’intérêts se situe dans l’Union est ainsi susceptible de produire sur celle-ci des effets immédiats et substantiels au sein même de l’Union”, ce qui justifie “l’existence d’une compétence du législateur de l’Union pour prévoir l’obligation, pour l’exploitant d’un moteur de recherche, de procéder, lorsqu’il fait droit à une demande de déréférencement formulée par une telle personne, à un déréférencement sur l’ensemble des versions de son moteur”.

Il s’ensuit que l’ordre de déréférencement global, pour le monde entier, possède un fondement dans les textes européens. Il est licite et, partant, possible.

Pour autant, est-il toujours nécessaire et proportionné de déréférencer le contenu litigieux dans le monde entier ?

La Cour répond par la négative : “le droit à la protection des données à caractère personnel n’est pas un droit absolu, mais doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux (…) À cela s’ajoute le fait que l’équilibre entre le droit au respect de la vie privée et à la protection des données à caractère personnel, d’un côté, et la liberté d’information des internautes, de l’autre côté, est susceptible de varier de manière importante à travers le monde”.

Or, et c’est toute la subtilité du raisonnement de la Cour, “si le législateur de l’Union a, à l’article 17 [du RGPD] effectué une mise en balance entre [le] droit [à l’oubli] et [la] liberté [d’expression] pour ce qui concerne l’Union (…), force est de constater que, en revanche, il n’a, en l’état actuel, pas procédé à une telle mise en balance pour ce qui concerne la portée d’un déréférencement en dehors de l’Union”.

Il appartient donc aux juridictions nationales de mettre les différents intérêts en balance, au cas d’espèce, et de décider du juste arbitrage entre droit à l’oubli et liberté d’expression.

C’est ainsi que la Cour énonce, au point n°64 de son arrêt :

Il s’ensuit que, en l’état actuel, il n’existe, pour l’exploitant d’un moteur de recherche qui fait droit à une demande de déréférencement formulée par la personne concernée, (…) pas d’obligation découlant du droit de l’Union de procéder à un tel déréférencement sur l’ensemble des versions de son moteur.

Et ce motif de l’arrêt, repris dans la presse généraliste, devient une “victoire de Google”.

C’est faux. Il suffit de poursuivre la lecture de l’arrêt pour s’en convaincre :

Il importe enfin de souligner que, si, ainsi qu’il a été relevé au point 64 du présent arrêt, le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus. Partant, une autorité de contrôle ou une autorité judiciaire d’un État membre demeure compétente pour effectuer (…) une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur.

Entre la CNIL et Google, il n’y a ni vainqueur ni vaincu. La seule victoire est celle du principe de proportionnalité.

On retiendra donc de l’arrêt du 24 septembre 2019 que la CNIL et ses homologues européennes peuvent ordonner un déréférencement global, sur l’ensemble des sites d’un moteur de recherche dans le monde, si et seulement si ce déréférencement est jugé nécessaire et proportionné à la préservation du droit à la vie privée de la personne concernée.