La Cour de Justice de l’Union européenne (CJUE) a tranché cette semaine sur des questions épineuses liées au droit à l’oubli, institué en 2014 dans l’Union européenne sous l’appellation « droit au déréférencement ». Celui-ci permet à des particuliers de demander la suppression de liens vers des sites web, des articles de presse ou des bases de données comportant des informations personnelles considérées comme étant anciennes, plus pertinentes ou ne relevant pas de l’intérêt du public. La CJUE a déterminé que fondamentalement ce droit ne peut pas être imposé hors UE, tout en prévoyant des exceptions où les moteurs de recherche peuvent être invités à donner suite à des demandes de suppression. Google a salué la décision.
Dans la première affaire, la CJUE intervenait suite à la demande de la Commission nationale (française) informatique et libertés (CNIL). Après l’institution du droit à l’oubli, Google avait mis en place un dispositif de suppression des liens centré sur les moteurs de recherche spécifiques par pays, comme google.fr ou google.de. Des internautes avaient remarqué que des informations exclues sur google.fr restaient visibles sur d’autres interfaces du moteur de recherche, par exemple sur google.com. La CNIL leur ayant donné raison, l’affaire était remontée à la CJUE. Pour les juges européens, il est impensable de vouloir appliquer au monde entier un droit conçu comme un droit européen. « L’équilibre entre la protection de la vie privée et la liberté d’expression des internautes est susceptible de varier à travers le monde », note la Cour, qui demande en même temps des « mesures suffisamment efficaces » de la part du moteur de recherche pour s’assurer que le déréférencement soit effectif dans toute l’Union européenne.
Les retraits doivent ainsi être accompagnés de mesures « empêchant ou décourageant » l’accès des internautes de l’Union européenne aux liens retirés. Une des questions qui se posent est de savoir s’il est suffisant que le moteur de recherche identifie le pays depuis lequel se connecte un internaute, par exemple par le biais de son adresse IP, pour masquer en temps réel les informations déréférencées. Dans certains cas, les autorités nationales de protection des données peuvent cependant demander un déréférencement effectif à l’échelle mondiale, a statué la CJUE.
Dans la deuxième affaire, la Cour a précisé ce qui relève des données sensibles, une catégorie qui comprend l’appartenance sexuelle, l’orientation politique, l’origine ethnique ou les antécédents judiciaires. Sur ce dernier point, comment traiter par exemple une situation ou une recherche sur un nom et un prénom renvoie un lien renseignant une décision de mise en examen, mais aucun lien vers le fait que la personne en question avait été acquittée par la suite ? Plutôt que de demander aux moteurs de recherche de se livrer à un filtrage a priori des liens vers des informations de ce type, ce qui aurait institué une censure préalable et un dispositif très dispendieux, la Cour a décidé qu’il leur suffirait de procéder à un contrôle a posteriori, c’est-à-dire après que des personnes eurent fait valoir auprès d’eux le droit à l’oubli.
Si Google a pu présenter cette décision comme une victoire – à noter que l’avocat général avait fait siens ses arguments –, il conforte aussi sa place comme arbitre de facto du droit à l’oubli. Compte tenu de sa part de marché qui reste écrasante, c’est Google qui définit en pratique ce qui doit être déréférencé. L’entreprise a indiqué avoir reçu des requêtes portant sur le retrait de plus de 3,3 millions de liens et avoir donné droit à environ 45 pour cent d’entre elles.
Dès sa création, le droit à l’oubli reflétait un arbitrage complexe entre le droit à l’information et la liberté d’expression d’une part, la protection des données privées et le droit à une sphère privée de l’autre. Il ne pouvait donc être question qu’il soit absolu. Les précisions apportées par la CJUE poursuivent cette recherche, ardue, d’un équilibre entre ces deux exigences.