Google, la High Court de Londres et le droit à l'oubli - les évolutions post-RGPD

L’interprétation des juges britanniques d’une législation européenne à l’aube du Brexit. A l’aube de l’entrée en vigueur du règlement européen sur la protection des données personnelles, la High Court à Londres au Royaume-Uni a rendu le 13 avril 2018 sa toute première décision très attendue sur le droit à l’oubli. En l’espèce, les requérants, deux hommes d’affaires, ont saisi la High Court suite au refus du moteur de recherche Google LLC de retirer des liens de page web exposant leurs condamnations judiciaires.

C’est essentiellement sur le droit à la vie privée que les partiesdemanderesses ont fondé leurs prétentions. Le défendeur, quant àlui, a rétorqué un abus de procédure et a justifié le traitement desdonnées sensibles par l’intérêt public à rendre accessible lesinformations et le droit à la liberté d’expression et d’information. Lejuge unique a rejeté la demande du premier requérant et a admis le droit au déréférencement dusecond. Cette affaire a remis en lumière la mise en œuvre par les juridictions nationales de l’arrêt dela Cour de Justice de l’Union Européenne (CJUE), Google Spain SL, Google Inc. c. Agencia Espanolade Proteccion de Datos, Mario Costeja Gonzalez.

La juridiction européenne, qui avait qualifié Google de responsable de traitement au sens de la directive 95/46/CE sur la protection des données personnelles, y avait consacré pour la première fois le concept de droit à l’oubli. Dès lors, il convient d’apprécier la mise en œuvre de l’arrêt Google Spain, et d’étudier son incidence sur l’interprétation du nouveau règlement européen sur la protection des données personnelles (RGPD).

La protection des internautes européens au cœur de la mise en œuvre de l’arrêt Google Spain.

Soucieuses de l’impact des nouvelles technologies sur les droits fondamentaux, les instances européennes ont créé un corps législatif important relatif au traitement des données personnelles. La directive 95/36/CE a notamment permis d’uniformiser au niveau régional la protection des données. Celle-ci prévoyait un droit de rectification (article 12b) et un droit d’opposition (article 14), garantissant aux internautes de préserver la main mise sur leurs données.

Photo by Arthur Osipyan  on Unsplash

Photo by Arthur Osipyan  on Unsplash

Photo by Arthur Osipyan on Unsplash

La CJUE, dans son arrêt Google Spain a tenu à étendre l’interprétation des droits précités en admettant le concept de « droit à l’oubli ». Ceci à l’aide des articles 7 et 8 de la Charte européenne des droits de l’Homme, respectivement relatifs au respect de la vie privée et familiale et à la protection des données à caractère personnel. L’avocat général, dans ses conclusions, définit ce droit comme le droit de « restreindre ou faire cesser la diffusion de données à caractère personnel qu’elle juge préjudiciables ou contraires à ses intérêts ».

Les juges de l’Union ont tout de même fait preuve de pragmatisme. En effet, les importants traitements effectués par le moteur de recherche Google ne permet pas d’établir en pratique un réel droit à l’oubli.

Le droit à l’oubli laisse à supposer que les moteurs de recherches seraient enjoints à supprimer les données litigieuses. Il leur est en réalité demandé de déréférencer les données, et non pas de les supprimer en tant que telle. Ainsi, les liens de page web en violation du droit des données personnelles seraient désindexés sur le moteur de recherche.

Néanmoins, l’information litigieuse en elle-même demeure accessible, notamment par l’accès direct du lien de la page. Il est important de souligner que le déréférencement demandé par le juge de l’Union n’est pas seulement régional mais mondial, ce qui caractérise une réelle volonté pour la juridiction européenne de protéger le citoyen européen.

Cette volonté de protéger l’internaute est perceptible au niveau national. Les juridictions françaises sont marquées d’une réelle tendance à juger en faveur de l’internaute. Le juge français a notamment adopté une lecture restrictive des exceptions admises au traitement des données personnelles. Le Tribunal de Grande Instance de Paris, dans l’affaire M.X c/ Google France et Google Inc a écarté l’argument de Google selon lequel l’éditeur du contenu litigieux était un « lanceur d’alerte ».

Ainsi, l’intérêt légitime d’informer le public justifiait son refus de déréférencer le lien de la page web. En effet les critères mis en œuvre par le juge français ont permis de circonscrire les abus potentiels du concept de « lanceur d’alerte ».

Le contrôle de proportionnalité adopté par le juge se fondait sur l’intérêt public à avoir accès à l’information, à la véracité des données, leur pertinence, leur caractère plus ou moins intrusif et préjudiciable. Le juge a exigé que le moteur de recherche apporte la preuve de la pertinence du contenu publié.

Dans cette affaire, le caractère vindicatif de la page web accusant le requérant de relations sexuelles avec mineurs a conduit à la violation du droit à la vie privée du requérant selon le juge. Une fois encore, le juge français a fait triompher la protection des droits fondamentaux du demandeur.

La High Court a adopté une lecture similaire des exceptions au traitement des données personnelles. Dans l’arrêt Google U.K., Google a argué que son refus de désindexer les liens relatifs à l’incarcération des parties demanderesses était justifié par le traitement journalistique des données. L’interprétation extensive du journalisme et l’application de l’article 9 de la directive [1] et de sa transposition en droit anglais [2], n’a pas été admise par la High Court. Celle-ci a tenu à rappeler les contours du journalisme et la nature même du moteur de recherche. L’objet de Google étant de faciliter la communication d’informations, le concept du journalisme ne peut s’étendre à toute activité relative au partage d’informations et d’opinions selon le juge. Une telle interprétation éroderait le concept même du journalisme [3].

D’autant que le moteur de recherche n’est pas en mesure de déterminer l’intérêt public de certaines données, puisque les liens de page web qu’elle fait figurer sont automatiquement traités à travers l’usage d’algorithmes et de systèmes d’indexage.

Ainsi, les juridictions étatiques font preuve d’une certaine sévérité au regard de l’application des exceptions admises au traitement des données personnelles. Il convient désormais d’analyser cette mise en œuvre de l’arrêt Google Spain à l’aube de l’entrée en vigueur du règlement européen pour la protection des données personnelles.

L’impact de la mise en œuvre de l’arrêt Google Spain sur l’interprétation du RGPD.

Le règlement européen pour la protection des données personnelles consacre à l’article 17 le droit à l’effacement (droit à l’oubli). Si a priori cet article marque une avancée importante dans la reconnaissance de ce droit, sa portée doit être relativisée. Une liste importante d’exceptions au droit à l’oubli est prévue par le règlement [4].

Par ailleurs, le droit au déréférencement édicté par la juridiction européenne et reprise par les juridictions nationales n’est pas mentionné.

En revanche, la mise en œuvre de la décision Google Spain, permet de prévoir l’interprétation de l’article 17 par les juridictions nationales. Les juridictions françaises, n’ont jusqu’à lors jamais rendu de décisions au détriment de l’internaute.

 [5]. Le contrôle de proportionnalité adopté penche nettement en faveur du demandeur. Cela s’explique par une consécration ancienne de ce principe en droit français, notamment depuis la loi informatique et liberté de 1978.

Le juge anglais quant à lui, a explicitement écarté toute portée de sa décision sur l’interprétation du règlement . Il reste qu’il est peu probable que l’approche adoptée par le juge anglais change après l’entrée en vigueur du règlement. [6].

En effet, les précisions apportées par la juridiction européenne laissent en réalité peu de manœuvre au juge national. Ce dernier étant tenu par les décisions la Haute Cour de l’Union Européenne.

Seul un revirement de jurisprudence de la CJUE conduirait à un réel changement d’appréciation du droit au déréférencement par le juge national. En ce qui concerne le Royaume-Uni, il est important de noter que malgré le Brexit le pays restera soumis au règlement européen et donc à l’interprétation faite par le juge de l’Union.

L’approche adoptée par le juge anglais mérite ici toute notre attention. Le juge anglais qui avait à faire à deux requêtes, n’a donné une réponse favorable qu’à une seule d’entre elles. Les deux demandeurs bénéficient de la Rehabilitation of Offenders Act 1974.

Ce texte limite la durée de communication d’informations relatives à des infractions criminelles passées. Les requérants se plaignaient de l’accessibilité d’articles faisant références à leurs condamnations judiciaires. Le juge devait déterminer plusieurs facteurs. Celles qui présentent un intérêt pour nous sont ici la détermination de la pertinence des données et de l’intérêt légitime pour le moteur de recherche de les rendre accessible.

Il a été reproché au premier requérant de manquer de crédibilité, de ne pas apporter suffisamment la preuve d’une incidence sur sa vie privée, et de ne pas justifier sa plainte. La Cour soulève également qu’il a toujours nié sa culpabilité et donnerait une image d’homme intègre sur les réseaux sociaux. Ainsi les personnes avec qui il travaillait avaient un intérêt légitime à connaître son passé judiciaire selon le juge. D’autant plus qu’il n’avait pas changé de secteur d’activité une fois sorti de prison.

A contrario, le deuxième requérant présentait de réels remords. Bien que ce dernier a continué à faire des affaires, il s’est reconverti dans un secteur différent. Il a également prouvé que l’accessibilité de ces informations ont été préjudiciables sur ses affaires et sur sa vie familiale. Des dommages ne lui ont cependant pas été attribués. L’appréciation du juge anglais du droit à l’oubli semble dépendre de la sévérité de la condamnation et des circonstances atténuantes, spécialement les remords et le risque du renouvellement de l’infraction.

Ainsi, selon la High Court le contrôle de proportionnalité entre les droits à la vie privé et le droit à la liberté d’expression et d’information tel que requis par la CJUE, ne devrait pas avantager un droit sur un autre. Le contrôle de proportionnalité doit a contrario analyser l’importance des enjeux présents et mesurer la gravité de la violation de l’un de ces deux droits fondamentaux.

Le juge anglais met l’accent sur une appréciation casuistique du contrôle de proportionnalité. Cette approche est en rupture avec l’attache qu’a le juge français à la sécurité juridique et la pérennité des décisions rendues.

Google a alors tout intérêt à garantir une procédure de déréférencement conforme aux critères de la Information Commissioner’s Office (ICO) appliqués par le juge anglais. En effet, les demandes de déréférencement devenues importantes depuis l’arrêt de la CJUE, ne risquent pas de fléchir.

Le RGPD étant un renforcement de la directive européenne, le moteur de recherche californien a tout intérêt à rester vigilant. Les décisions nationales aussi bien que les recommandations des autorités nationales de protection des données, sont des éléments clefs à ne pas négliger. Elles permettent d’avoir une vision claire sur l’appréciation du droit au déréférencement. Ce qu’elles permettent surtout, c’est d’éviter des contentieux parfois coûteux et attentatoires à l’image de la multinationale.

Article rédigé par Charlotte Gerrish et Samya Idi. Initialement paru sur le site Village de la Justice, août 2018.