Une mise en demeure, publique elle aussi, avait été prononcée par la CNIL le 21 mai 2015, à la suite de plusieurs plaintes d’internautes résidant en France (huit, selon la CNIL), reprochant à Google de ne procéder au déréférencement que sur ses extensions européennes, à l’exclusion, notamment, de son extension générique « .com ». Malgré le rejet de son recours gracieux par la Présidente de la CNIL en septembre 2015 (vendredi de l’IT n°60), Google n’avait toujours pas déféré à la mise en demeure.
On retrouve dans cette décision, la notion d’effectivité des droits qui était au cœur de l’arrêt « Google Spain » de la Cour de Justice de l’Union Européenne (« CJUE ») du 13 mai 2014 : « la mise en œuvre concrète des droits d’opposition et de suppression, via la procédure de déréférencement, [doit garantir] l’effectivité des droits fondamentaux des personnes concernées, à savoir le droit au respect de la vie privée et à la protection des données à caractère personnel, sans contournement possible ». Puisque le moteur de recherche peut être consulté sur son extension générique depuis le territoire européen, les déréférencements ne peuvent être limités aux seules extensions européennes.
Google invoquait l’absence de base légale de la mise en demeure, qui repose, selon elle, sur « une règle juridique imprécise et imprévisible ». Pour la CNIL, sa Présidente n’a fait qu’appliquer les règles relatives aux droits d’opposition pour motifs légitimes (article 38 de loi n°78-17 du 6 janvier 1978, « LIL ») et de suppression (article 40 de la LIL), transposées de la directive 95/46/CE et interprétées au regard de la jurisprudence européenne.
Le moteur de recherche critiquait également une mesure « à portée extraterritoriale ». La CNIL, elle, estime que la recherche sur Google constitue un « traitement unique doté de multiples chemins d’accès techniques » quelles que soient « les modalités de consultation du moteur de recherche […] l’origine géographique de l’internaute effectuant la recherche [ou] la langue utilisée pour afficher les résultats ». La LIL a donc vocation à s’appliquer à ce traitement puisque Google France participe, sur le territoire français, à l’activité de Google Inc. en assurant « la promotion et la vente [de ses] espaces publicitaires ». Sous l’empire du futur règlement européen relatif aux données à caractère personnel, qui doit être définitivement voté au printemps 2016, cette solution devrait se confirmer, puisque le règlement sera applicable au responsable de traitement établi en-dehors de l’Union Européenne, dès lors que ses activités de traitement sont liées « à l’offre de biens ou de services à des personnes dans l’Union ».
Enfin, Google soutenait que le déréférencement généralisé violerait de manière disproportionnée la liberté d’expression et d’information. N’adhérant pas à cette analyse, la CNIL a rappelé que le déréférencement n’entraîne aucune suppression de contenu sur les sites internet eux-mêmes, ni des liens renvoyant vers ces sites, mais simplement un retrait de ces liens de la liste des résultats de recherche associés aux prénom et nom d’une personne.
Google a proposé, le 21 janvier 2016, une mesure consistant à étendre le dispositif de déréférencement (outre les extensions européennes) en fonction de l’adresse IP de l’internaute effectuant la recherche. Si celle-ci correspond au pays d’origine du bénéficiaire de la mesure de déréférencement, l’internaute ne pourra accéder aux listes déréférencées, quelle que soit l’extension du moteur de recherche utilisée. La CNIL a cependant estimé que la mesure n’assure pas une protection suffisamment effective puisque l’accès en-dehors du pays d’origine, même en Europe, via des extensions non-européennes et l’accès via un VPN sont toujours possibles.
Notons que si Google a été condamnée à payer 100.000 euros (l’amende maximale étant de 150.000 euros pour une primo infraction), le montant des sanctions pécuniaires sera amené à augmenter sous l’empire du nouveau règlement qui prévoit la possibilité d’infliger une amende de 4% du chiffre d’affaires mondial annuel de l’entreprise. La société a d’ores et déjà annoncé son intention de contester cette décision devant le Conseil d’Etat, compétent pour connaître des recours contre les décisions de la CNIL.
Les Vendredis de l'I.T. n°84 .
On retrouve dans cette décision, la notion d’effectivité des droits qui était au cœur de l’arrêt « Google Spain » de la Cour de Justice de l’Union Européenne (« CJUE ») du 13 mai 2014 : « la mise en œuvre concrète des droits d’opposition et de suppression, via la procédure de déréférencement, [doit garantir] l’effectivité des droits fondamentaux des personnes concernées, à savoir le droit au respect de la vie privée et à la protection des données à caractère personnel, sans contournement possible ». Puisque le moteur de recherche peut être consulté sur son extension générique depuis le territoire européen, les déréférencements ne peuvent être limités aux seules extensions européennes.
Google invoquait l’absence de base légale de la mise en demeure, qui repose, selon elle, sur « une règle juridique imprécise et imprévisible ». Pour la CNIL, sa Présidente n’a fait qu’appliquer les règles relatives aux droits d’opposition pour motifs légitimes (article 38 de loi n°78-17 du 6 janvier 1978, « LIL ») et de suppression (article 40 de la LIL), transposées de la directive 95/46/CE et interprétées au regard de la jurisprudence européenne.
Le moteur de recherche critiquait également une mesure « à portée extraterritoriale ». La CNIL, elle, estime que la recherche sur Google constitue un « traitement unique doté de multiples chemins d’accès techniques » quelles que soient « les modalités de consultation du moteur de recherche […] l’origine géographique de l’internaute effectuant la recherche [ou] la langue utilisée pour afficher les résultats ». La LIL a donc vocation à s’appliquer à ce traitement puisque Google France participe, sur le territoire français, à l’activité de Google Inc. en assurant « la promotion et la vente [de ses] espaces publicitaires ». Sous l’empire du futur règlement européen relatif aux données à caractère personnel, qui doit être définitivement voté au printemps 2016, cette solution devrait se confirmer, puisque le règlement sera applicable au responsable de traitement établi en-dehors de l’Union Européenne, dès lors que ses activités de traitement sont liées « à l’offre de biens ou de services à des personnes dans l’Union ».
Enfin, Google soutenait que le déréférencement généralisé violerait de manière disproportionnée la liberté d’expression et d’information. N’adhérant pas à cette analyse, la CNIL a rappelé que le déréférencement n’entraîne aucune suppression de contenu sur les sites internet eux-mêmes, ni des liens renvoyant vers ces sites, mais simplement un retrait de ces liens de la liste des résultats de recherche associés aux prénom et nom d’une personne.
Google a proposé, le 21 janvier 2016, une mesure consistant à étendre le dispositif de déréférencement (outre les extensions européennes) en fonction de l’adresse IP de l’internaute effectuant la recherche. Si celle-ci correspond au pays d’origine du bénéficiaire de la mesure de déréférencement, l’internaute ne pourra accéder aux listes déréférencées, quelle que soit l’extension du moteur de recherche utilisée. La CNIL a cependant estimé que la mesure n’assure pas une protection suffisamment effective puisque l’accès en-dehors du pays d’origine, même en Europe, via des extensions non-européennes et l’accès via un VPN sont toujours possibles.
Notons que si Google a été condamnée à payer 100.000 euros (l’amende maximale étant de 150.000 euros pour une primo infraction), le montant des sanctions pécuniaires sera amené à augmenter sous l’empire du nouveau règlement qui prévoit la possibilité d’infliger une amende de 4% du chiffre d’affaires mondial annuel de l’entreprise. La société a d’ores et déjà annoncé son intention de contester cette décision devant le Conseil d’Etat, compétent pour connaître des recours contre les décisions de la CNIL.
Les Vendredis de l'I.T. n°84 .
Le Privacy Shield en Suisse -The Privacy Shield in Switzerland (par les experts du réseau PANGEA / by the experts from PANGEA Network)
