Liberté d’expression mondiale | Google Spain SL c. Agencia Española de Protección de Datos – Liberté d’expression mondiale

Résumé de l’affaire et résultat

En mars 2010, le ressortissant espagnol Costeja González a porté plainte devant l’Agence de protection des données du pays contre le journal La Vanguardia, Google Espagne et Google Inc. M. González souhaitait que le journal supprime ou modifie l’enregistrement de sa procédure de saisie et de saisie-arrêt de 1998 afin que l’information ne soit plus disponible sur les moteurs de recherche Internet. Il a également demandé à Google Inc. ou à sa filiale, Google Spain, de supprimer ou de dissimuler les données. González a fait valoir que les procédures avaient été entièrement résolues depuis plusieurs années et qu’elles ne devaient donc plus apparaître en ligne. L’Agence a rejeté la plainte contre le journal au motif que la publication était légalement justifiée en vertu d’un ordre gouvernemental. Elle a toutefois retenu la plainte contre Google, estimant que les moteurs de recherche sur Internet sont également soumis aux lois sur la protection des données et doivent prendre les mesures nécessaires pour protéger les informations personnelles.

En appel, l’Audience nationale d’Espagne a suspendu la procédure et a présenté un certain nombre de questions à la Cour de justice des Communautés européennes concernant l’applicabilité de la directive européenne 95/46 (protection des données à caractère personnel) aux moteurs de recherche sur Internet. La Cour a jugé qu’un moteur de recherche est considéré comme un « responsable du traitement » des données à caractère personnel en raison de son activité de localisation, d’indexation, de stockage et de diffusion de ces informations. En outre, elle a estimé qu’afin de garantir le droit à la vie privée et la protection des données à caractère personnel, les exploitants de moteurs de recherche peuvent être tenus de supprimer les informations personnelles publiées par des sites web tiers. Mais le droit de la personne concernée de faire cette demande doit être mis en balance avec l’intérêt du grand public à accéder à ses informations personnelles.

Faits

En 1998, le journal espagnol La Vanguardia a publié deux articles concernant une action de saisie et de saisie-arrêt contre Costeja González. En 2009, ce dernier a contacté le journal, affirmant que lorsque son nom était saisi dans Google.com, il y avait toujours une référence aux pages du journal concernant l’action en justice. González a fait valoir que l’information devait être supprimée parce que la procédure avait été conclue des années auparavant et qu’il n’y avait pas de demande en suspens contre lui. Le journal a toutefois rejeté sa demande, affirmant que l’action en justice avait été publiée conformément à un ordre du ministère espagnol du travail et des affaires sociales. Puis, en 2010, il a contacté Google Espagne, arguant que les résultats de recherche en ligne de son nom ne devraient pas faire référence à la publication par le journal de son action en justice.

Face au refus de Google d’obtempérer, González a déposé une plainte devant l’Agence espagnole de protection des données contre le journal, Google Espagne et Google Inc. L’Agence a rejeté la plainte contre le journal, au motif que la publication avait été faite conformément à un ordre du gouvernement. En revanche, elle a fait droit à la plainte déposée contre Google et sa filiale, Google Spain. Elle a estimé que, du fait que les exploitants de moteurs de recherche sur Internet traitent des données à caractère personnel, ils sont soumis à la législation pertinente en matière de protection de la vie privée et peuvent être dans l’obligation de supprimer les informations qui compromettent le droit fondamental à la vie privée.

Par la suite, Google Inc. et Google Spain ont formé des recours distincts contre cette décision. L’Audience nationale d’Espagne a décidé de suspendre la procédure en tant qu’évaluation de l’obligation de Google de protéger les données personnelles qui sont par ailleurs publiées sur les sites web de tiers.

Vue d’ensemble de la décision

L’Audience nationale d’Espagne a posé à la Cour de justice de l’Union européenne les questions préjudicielles suivantes :

(1) La directive européenne 95/46 telle que transposée par la législation nationale d’un État membre peut-elle être appliquée à une société étrangère de moteurs de recherche sur Internet qui possède une succursale ou une filiale dans l’intention de promouvoir et de vendre des espaces publicitaires orientés vers les habitants de cet État membre ?

(2) Si l’acte des moteurs de recherche sur Internet consistant à localiser des informations publiées par des tiers, puis à indexer et à mettre ces informations à la disposition des internautes peut être considéré comme un « traitement de données à caractère personnel » au sens de la directive.

(3) Si l’exploitant d’un moteur de recherche doit être considéré comme un « responsable du traitement » en ce qui concerne le traitement des données à caractère personnel en vertu de l’article 2, sous d), de la directive.

(4) Si, sur la base de motifs légitimes visant à protéger le droit à la vie privée et d’autres droits fondamentaux envisagés par la directive, les exploitants de moteurs de recherche sur Internet sont tenus de retirer ou d’effacer les informations personnelles publiées par des sites web tiers, même lorsque la diffusion initiale de ces informations était légale.

L’article 1 de la directive 95/46 oblige les États de l’UE à protéger « les libertés et droits fondamentaux des personnes physiques, et notamment leur droit à la vie privée à l’égard du traitement des données à caractère personnel. » Dans le même temps, elle interdit les restrictions à la libre circulation des données personnelles entre les membres de l’UE.

La directive définit les données personnelles comme « toute information concernant une personne physique identifiée ou identifiable (« personne concernée ») ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale. » Le traitement d’une telle information comprend « toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, le verrouillage, l’effacement ou la destruction. » En vertu de l’article 2, point d), le « responsable du traitement » de données à caractère personnel est toute « personne physique ou morale, autorité publique, service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel. »

La Cour de justice de l’Union européenne a d’abord examiné si l’activité d’un moteur de recherche sur Internet peut être qualifiée de « traitement » de données à caractère personnel au sens de l’article 2, point c), de la directive. Et en cas de réponse affirmative, si l’exploitant d’un moteur de recherche peut être considéré comme un responsable du traitement qui effectue le traitement de données à caractère personnel. La Cour estime qu’il est incontestable que certaines ou de nombreuses informations indexées et stockées par les moteurs de recherche se rapportent à « des personnes physiques identifiables et donc à des « données à caractère personnel » au sens de l’article 2, sous a), de la directive. » Et que, par sa recherche constante et systématique d’informations en ligne, l’exploitant d’un moteur de recherche collecte souvent ces données à caractère personnel, qui sont ensuite indexées, stockées et mises à la disposition des internautes. En conséquence, la Cour a conclu que l’acte de Google consistant à collecter, indexer, stocker et divulguer des données à caractère personnel est considéré comme un « traitement » de ces informations aux fins de la directive.

Sur la question de savoir si le moteur de recherche Google doit être considéré comme un « responsable » du traitement des données à caractère personnel, la Cour a estimé que la notion de « responsable » au sein de la directive doit être interprétée de manière large afin d’assurer « une protection effective et complète des personnes concernées. » Et qu’il serait contraire aux objectifs envisagés dans la directive d’exclure les exploitants de moteurs de recherche sur Internet car « ils jouent un rôle déterminant dans la diffusion globale des données. »

En ce qui concerne la question de savoir si la directive telle que transposée par les lois nationales espagnoles peut être appliquée à Google en tant que « responsable » du traitement des données à caractère personnel, les dossiers de la Cour indiquent que Google Spain a été créée en 2003 par Google Inc. pour agir principalement en tant que son agent commercial en Espagne « pour promouvoir, faciliter et effectuer la vente de produits et de services de publicité en ligne à des tiers et la commercialisation de cette publicité. » En vertu de l’article 4, paragraphe 1, sous a), les dispositions de la directive sont applicables lorsque:

« le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de l’État membre ; lorsqu’un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour que chacun de ces établissements respecte les obligations prévues par le droit national applicable. »

En prenant en compte les objectifs de la directive et le libellé de l’article 4, paragraphe 1, sous a), la Cour a jugé que Google est soumise à ces dispositions car sa filiale Google Spain est un établissement en Espagne « destiné à promouvoir et à vendre, en l’occurrence , des espaces publicitaires offerts par le moteur de recherche, ce qui sert à rentabiliser le service offert par ce moteur. »

En dernier lieu, la Cour s’est penchée sur l’étendue de la responsabilité de Google en tant que moteur de recherche sur Internet en ce qui concerne les informations personnelles publiées par des sites Web tiers et dont la personne concernée cherche ensuite à obtenir la suppression ou la modification. Les dispositions applicables en l’espèce sont les articles 12, point b), et 14, point a), de la directive. En vertu de l’article 12, point b), toute personne concernée a le droit d’obtenir du responsable du traitement « le cas échéant, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme aux dispositions de la présente directive, notamment en raison du caractère incomplet ou inexact des données ». L’article 14.a) accorde également à la personne concernée le droit de « s’opposer à tout moment, pour des raisons légitimes impérieuses tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf si la législation nationale en dispose autrement. En cas d’opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut plus porter sur ces données. »

Google Espagne et Google Inc. ont fait valoir que sur la base du principe de proportionnalité, la suppression des informations personnelles doit être adressée au site web qui a publié les données et les a rendues publiques. Et que l’éditeur est le mieux placé pour évaluer la licéité de ces informations.

En abordant cette question, la Cour a d’abord souligné les droits fondamentaux à la vie privée et à la protection des données personnelles. L’article 8 de la Charte des droits fondamentaux de l’UE dispose que  » toute personne a droit à la protection des données à caractère personnel la concernant. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification ». Telle que mise en œuvre, entre autres, en vertu des articles 6, 7, 12, 14 et 28 de la directive 95/46, la Cour a également souligné l’importance de mettre en balance le droit à la vie privée et le droit d’accès à l’information.

A la lumière des principes ci-dessus, la Cour a estimé que les moteurs de recherche sur Internet sont susceptibles de « porter atteinte aux droits fondamentaux à la vie privée et à la protection des données à caractère personnel lorsque la recherche au moyen de ce moteur est effectuée sur la base du nom d’un individu. » Toutefois, le droit des internautes d’accéder à des informations personnelles par le biais des moteurs de recherche doit également être respecté, en fonction « de la nature des informations en question et de leur sensibilité pour la vie privée de la personne concernée et de l’intérêt du public à disposer de ces informations, intérêt qui peut varier, notamment, en fonction du rôle joué par la personne concernée dans la vie publique. »

En somme, la Cour a jugé que « l’exploitant d’un moteur de recherche est tenu de supprimer de la liste des résultats affichés à la suite d’une recherche effectuée sur la base du nom d’une personne les liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans un cas où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et même, le cas échéant, lorsque leur publication en soi sur ces pages est licite. » La Cour a également jugé que les personnes dont les données à caractère personnel sont accessibles au public par le biais des moteurs de recherche sur Internet peuvent « demander que les informations en question ne soient plus mises à la disposition du grand public en raison de leur inclusion dans une telle liste de résultats », car leurs droits à la vie privée et à la protection des données à caractère personnel l’emportent « non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais aussi sur l’intérêt du grand public à avoir accès à ces informations lors d’une recherche portant sur le nom de la personne concernée. » La Cour a toutefois souligné que le droit d’initier une telle demande peut cesser d’exister lorsque l’accès aux informations personnelles « est justifié par l’intérêt prépondérant du grand public à avoir, du fait de son inclusion dans la liste des résultats, accès aux informations en question. »