Isabelle Falque-Pierrotin (Cnil) : « La protection des données personnelles est un droit fondamental »

Décideurs. La Cnil a-t-elle le pouvoir d’imposer un droit au déréférencement international ?

Isabelle Falque-Pierrotin. Ce n’est pas la Cnil mais la Cour de justice de l’Union européenne qui a consacré le droit au déréférencement. En effet, depuis l’arrêt rendu le 13 mai 2014, toute personne peut demander le déréférencement auprès des moteurs de recherche des résultats en lien avec leur identité, sous réserve notamment de l’intérêt du public à avoir accès à l’information et sous le double contrôle du juge et des autorités de protection des données à caractère personnel. Il ne s’agit là que de l’application du droit commun de la protection des données personnelles, mais décliné pour les moteurs de recherche.

En mettant en demeure Google de procéder au déréférencement sur toutes les extensions de son moteur de recherche, la Cnil n’a fait que tirer les conséquences de cet arrêt. Par définition, l’internaute exerce ses droits à l’égard du traitement de données que constitue le moteur de recherche. Les extensions (.fr ; .co.uk ; ou .com) ne sont que des chemins d’accès ou des modes d’interrogation d’un même traitement. Il n’y a donc aucune raison de moduler le déréférencement au gré des extensions. J’ajoute que, pour être efficace, le droit au déréférencement doit nécessairement être appliqué sur toutes les extensions du moteur de recherche. À défaut, il suffirait à une personne de choisir une autre extension (par exemple le .com) pour retrouver le résultat du déréférencement, ce qui permettrait donc de contourner ce droit en utilisant un mode d’accès différent au traitement. À cet égard, l’arrêt de la CJUE, qui fait expressément mention de la nécessité de garantir l’effectivité du droit au déréférencement, concerne l’extension « .com », et non l’extension « .es ».

Décideurs. Pourquoi la question de la portée territoriale de l’arrêt rendu par la CJUE en 2014 se pose-t-elle ?

I. F.-P. Google reproche à la Cnil d’avoir conféré une portée « extra-territoriale » à la mise en demeure qui lui a été adressée en imposant le déréférencement sur l’ensemble des extensions de son moteur de recherche. Or, il ne s'agit pas pour la Cnil d’imposer le droit européen aux non-Européens, mais uniquement d’assurer l’effectivité, notamment dans un univers dématérialisé, de la protection du droit des Européens à la protection de leurs données personnelles.

En effet, le droit à la protection des données personnelles est un droit fondamental reconnu aux résidents européens par la Charte des droits fondamentaux de l’Union européenne. Si ce droit ne peut conduire à imposer des obligations à des tiers en dehors du territoire de l’Union européenne, c’est uniquement lorsque ces entreprises traitent les données des Européens.

Décideurs. Une autre instance est-elle en mesure d’imposer une interprétation de la décision ?

I. F.-P. En cas de refus du moteur de recherche de procéder au déréférencement, les personnes concernées peuvent s'adresser à la Cnil, mais également aux juridictions nationales qui pourraient, à cette occasion, procéder à une interprétation de la décision de la CJUE.

Il est à noter que c’est au sein du Groupe de l’article 29 (groupe de travail rassemblant les autorités de protection des données nationales, actuellement présidé par la France) que la Cnil et ses homologues ont adopté, en novembre 2014, des lignes directrices contenant une interprétation commune de l'arrêt de la CJUE et des critères communs pour harmoniser au niveau européen l'instruction des plaintes adressées aux autorités à la suite d’un refus de déréférencement par les moteurs de recherche.

Décideurs. La Cnil a adressé une mise en demeure qui pourrait donner lieu à une sanction si Google ne s’exécute pas. La sanction consisterait alors en une amende de 150 000 euros maximum. Comment la Cnil peut-elle peser face à un géant comme Google qui vaut plus de 400 milliards de dollars ?

I. F.-P. En tant que telle, une sanction potentielle de 150 000 euros peut effectivement ne pas apparaître dissuasive pour une multinationale comme Google. Mais ce n’est pas tant le montant de la sanction que son caractère public qui représente un outil efficace pour la Cnil. Pour rappel, l’année dernière, la sanction prononcée contre la politique de confidentialité de Google a d’ailleurs eu un fort retentissement médiatique, ce qui a permis d’attirer l’attention des internautes sur les traitements mis en place par la société et de les informer de leurs droits.

Par ailleurs, le projet de règlement européen, qui devrait être prochainement adopté, va augmenter le montant des sanctions pouvant être prononcées par les autorités de protection des données à caractère personnel. En effet, les sanctions pourraient aller de 2 % à 5 % du chiffre d’affaires mondial des sociétés concernées.

Décideurs. Quels sont les chiffres de refus de déréférencement enregistrés par la Cnil depuis la mise en place du formulaire ?

I. F.-P. À ce jour, la Cnil a reçu environ 450 demandes faisant suite à un refus de Google de procéder au déréférencement, dont 225 depuis la mise en ligne du formulaire sur le site de la Cnil. Pour environ 70 % des plaintes reçues, Google considère que le refus de procéder au déréférencement est justifié par le fait que l’information publiée est pertinente ou qu’elle concerne la vie professionnelle de la personne concernée.

Décideurs. Existe-il une différence entre le droit au déréférencement, le droit d’effacement et le droit à l’oubli ?

I. F.-P. Oui, la différence est substantielle. D’une manière générale, le « droit à l’oubli » est souvent invoqué mais ses contours restent encore à préciser. En revanche, les droits d’opposition et d’effacement, dont le droit au déréférencement est la traduction pour un moteur de recherche, sont prévus par les textes et communément appliqués par la Cnil.

Le « droit au déréférencement » permet à toute personne d’obtenir que certains contenus n’apparaissent pas dans les résultats du moteur de recherche à la suite d’une requête sur la base de son nom. Le déréférencement n’a pas pour effet de supprimer ces contenus d’Internet puisqu’ils restent accessibles sur le site source ou à partir d’une autre recherche.

Le droit à d’effacement quant à lui permet uniquement de demander la suppression de données erronées. Ce droit s’exerce directement auprès des éditeurs de site.