Par une décision du 27 mars 2020, le Conseil d’Etat (CE) a annulé la sanction d’un montant de 100 000 euros prononcée par la CNIL à l’encontre de Google Inc. en 2016 suite au refus de cette dernière d’appliquer le droit à l’oubli à toutes les versions de son moteur de recherche au niveau mondial.
Google Inc. devenue Google LLC depuis, estimait que le droit au déréférencement ne pouvait s’appliquer en dehors de l’Union Européenne et avait saisi le Conseil d’Etat afin d’annuler la décision de la CNIL. La juridication administrative française avait alors sursis à statuer jusqu’à ce que la Cour de Justice de l’Union Européenne (CJUE) se prononce sur la portée territoriale du droit au déréférencement.
Suite à l’arrêt de la CJUE, rendu le 24 septembre 2019, qui limite la portée du droit au déréférencement aux Etats membres de l’UE tout en laissant la porte ouverte à un déréférencement mondial dans des cas précis, le CE a annulé la sancion de la CNIL. En effet, ce dernier estime que dans l’état actuel du droit applicable, il n’est pas possible pour la CNIL d’exiger un déréférencement mondial à l’exploitant d’un moteur de recherche.
2016 : CNIL sanctionne Google Inc. d’une amende de 100 000 euros et exige un déréférencement au niveau mondial
Dans le cadre d’une d’une demande de déréférencement ou droit à l’oubli, la société Google Inc. avait décide de ne supprimer les liens vers des pages internet concernées, que lorsque ceux-ci apparaissaient dans les résultats de recherches effectuées depuis les versions de son moteur de recherche assignées à un Etat membre de l’UE (ex: google.fr, google.it etc.).
Malgré une demande de la CNIL, Google avait refusé de supprimer les liens litigieux sur toutes les versions de son moteur de recherche.
La société avait toutefois proposé, à titre de mesure complémentaire, de mettre en place un géo-blocage afin d’empêcher toute personne ayant une adresse IP réputée localisée dans l’Etat membre de la personne à l’origine de la demande, d’accéder aux résultats litigieux à la suite d’une recherche effectuée à partir de son nom, indépendamment de la version du site du moteur de recherche sollicitée par l’utilisateur.
Par exemple, une utilisateur ayant une adresse IP réputé localisée en France, n’aurait pas pu accéder à ces liens en effectuant une recherche depuis Google.com afin de contourner l’effacement des liens dans les résultats affiché en utilisant Google.fr.
Cette mesure complémentaire n’avait pas été jugée suffisante pour la CNIL qui exigeait un déréférencement mondial des résultats afin d’assurer la protection des données personnelles du demandeur.
Google refusant de coopérer, la CNIL avait prononcé une sanction d’une amende de 100 000 euros (la sanction maximale était encore de 150 000 euros au moment de la décision) par une décision du 10 mars 2016.
Google avait alors saisi le Conseil d’Etat afin d’annuler cette décision. Ce dernier avait sursis à statuer jusqu’à ce que la CJUE se prononce sur la territorialité du droit à l’oubli qu’elle avait reconnu dans sa décision Google Spain prononcée en 2014.
2019 : la CJUE autorise le déréférencement européen et laisse une porte ouverte au déréférencement mondial sous réserve qu’une mise en balance soit préalablement effectuée
Par son arrêt du 24 septembre 2019, Google LLC contre CNIL (C-507/17), la CJUE donne raison à Google en statuant qu’ « en application des dispositions relatives aux droits à l’oubli, l’exploitant d’un moteur de recherche est tenu d’opérer ce déréférencement sur les versions de celui-ci correspondant à l’ensemble des Etats membres et ce, si nécessaire, en combinaison avec des mesures qui (…) permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des Etats membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande. »
La Cour Européenne relève toutefois que le droit de l’Union n’interdit pas de faire porter le droit à l’oubli sur l’ensemble des versions du moteur de recherche en cause.
Pour ce faire, la cour précise qu’une mise en balance préalable entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données la concernant et, d’autre part, le droit à la liberté d’information doit être effectuer pour permettre d’enjoindre l’exploitant du moteur de recherche de procéder à un déréférencement sur l’ensemble des versions de son moteur de recherche.
2020 : Le Conseil d’Etat annule la sanction de la CNIL et limite le déréférencement au niveau européen en l’état actuel du droit
Selon la décision du Conseil d’Etat, il n’existe pas de disposition législative qui permettrait au déréférencement d’excéder le champ couvert par le droit de l’Union européenne pour s’appliquer hors du territoire des Etats membres de l’Union européenne.
Il rappelle, par ailleurs, qu’il ressort de la décision de la CNIL que la mise en balance préalable exigée par la CJUE pour ordonner un déréférencement mondial n’a pas été effectuée. Il n’était donc pas possible pour le Conseil d’Etat de faire droit à la demande de la CNIL et a donc décidé d’annuler la sanction prononcée à l’encontre de Google LLC.
Il semble, au vu de l’arrêt de la juridiction administrative française, que même si cette mise en balance avait été effectuée par la CNIL, elle aurait refusé de faire droit à la demande de la CNIL du fait qu’il s’agit d’une création jurisprudentielle de la CJUE, qui, selon le CE, n’est pas basée sur un texte législatif donnant un tel droit à la CNIL.
Il s’agit par ailleurs de la position adoptée par la CNIL, qui indique sur son site « le Conseil prend acte que le législateur français n’a pas adopté de dispositions spéciales permettant, en France, à la CNIL d’opérer un déréférencement excédant le champ prévu par le droit de l’Union. En l’absence d’intervention du législateur, la CNIL ne peut dès lors qu’ordonner un déréférencement européen. »
