Aux frontières du droit à l’oubli

Le 12?juin dernier, la Cnil met en demeure Google de procéder au déréférencement des demandes favorablement accueillies en France sur toutes les extensions mondiales du moteur de recherche. Une injonction à laquelle le géant du Web refuse de se plier.

«?Il ne s’agit pas pour la Cnil d’imposer le droit européen aux non-Européens, commente Isabelle Falque-Pierrotin, présidente de la Cnil, mais uniquement d’assurer l’effectivité, notamment dans un univers dématérialisé, de la protection du droit des Européens à la protection de leurs données personnelles.?» L’application d’un déréférencement à toutes les extensions n’est que la conséquence de l’arrêt rendu par la CJUE en mai 2014¹ ayant consacré le droit à l’oubli numérique. «?L’internaute exerce ses droits à l’égard du traitement de données que constitue le moteur de recherche. Les extensions (.fr, .co.uk ou .com) ne sont que des chemins d’accès ou des modes d’interrogation d’un même traitement. Il n’y a donc aucune raison de moduler le déréférencement au gré des extensions?», précise Isabelle Falque-Pierrotin. D’autant plus qu’une simple recherche sur l’extension .com par exemple suffirait à retrouver un résultat pourtant déréférencé par Google sur une extension européenne. Une hypothèse qui permettrait, selon la présidente de la Cnil, de «?contourner ce droit en utilisant un mode d’accès différent au traitement?».

Plus de 300?000 demandes

Depuis la consécration du droit à l’oubli, les personnes désireuses d’effacer de la mémoire de Google des éléments de leur vie privée n’ont cessé de se multiplier. Une vingtaine de jours seulement après l’arrêt de la Cour de Luxembourg, Google met en ligne un formulaire de demande de déréférencement à destination des Européens. Dès le 2?juin, Google annonce avoir reçu 41?000 demandes, puis 70?000 en un mois. En septembre?2015, le géant du Web communique, via son transparency report quotidiennement actualisé, un total de plus de 300?000 demandes portant sur plus d’un million d’URL (dont 65?000 demandes pour la France concernant plus de 200?000 pages Web). Si le Royaume-Uni et l’Allemagne représentent plus de la moitié des demandes, le besoin du droit à l’oubli dépasse les frontières européennes. Bertrand Girin, cofondateur de la plate-forme Forget.me dédiée à l’exercice de ce droit, avance le chiffre de «?25?% des visiteurs de Forget.me non domiciliés en Europe?».

Un pouvoir dont la Cnil ne dispose pas

Malgré l’ampleur des demandes et la toile mondiale d’informations tissée par Google, le géant pose des frontières au droit à l’oubli qu’il cantonne à l’Europe. Et il ne souhaite pas qu’il en soit autrement. Le 30?juillet 2015, l’entreprise annonce, par un billet publié sur son site, son refus de se plier à l’injonction de la gardienne française des données personnelles. Pour Maria Gomri, directrice juridique France, Moyen-Orient et Afrique du Nord de Google, la Cnil s’arroge un pouvoir dont elle ne dispose pas?: «?Une autorité administrative indépendante comme la Cnil a entière compétence sur le territoire français mais pas au-delà. En exigeant un déréférencement à l’échelle mondiale, elle enfreint un principe de droit international.?» Lorsque la Cnil veut faire régner le droit à la protection des données personnelles, droit fondamental reconnu aux résidents européens par la Charte des droits fondamentaux de l’Union européenne, Google lui oppose le droit à l’information. Car de fait, les non-Européens verraient leur droit à l’information touché par le déréférencement des données sollicité en Europe mais appliqué sur les extensions autres qu’européennes. Pour certains, la motivation de la firme de la Silicon Valley serait ailleurs. Selon Bertrand Girin, «?si le droit à l’oubli devient sans frontière, les coûts seront très importants pour Google?». Ce que confirme Maria Gomri?: «?Le traitement de ces demandes est lourd au plan logistique et a nécessité la mise en place de moyens matériels et humains substantiels.?» Un groupe de legals situé en Irlande s’attellerait ainsi à la tâche.

Peu de chance que la revendication touche tous les pays cependant. Maria Gomri cite en exemple la Colombie où un droit à l’oubli tel que celui énoncé par la CJUE constituerait «?un sacrifice au principe de la neutralité du Net, et en conséquence de la liberté d’expression et de la liberté d’information, qui n’est pas nécessaire.?» Maria Gomri s’en réjouit?: «?Cela souligne les divergences d’approche fondamentales entre les différentes régions et systèmes juridiques dans le monde sur la légitimité même d’un tel droit par rapport à la liberté d’information.?»

Usurpation d’identité

Si Google ne s’exécute pas, il pourrait se voir condamner à une amende de 150?000?euros. Un montant dérisoire pour une multinationale qui pèse autour de 450?milliards de dollars. Cependant, Isabelle Falque-Pierrotin relève que «?l’année dernière, la sanction prononcée contre la politique de confidentialité de Google a eu un fort retentissement médiatique, ce qui a permis d’attirer l’attention des internautes sur les traitements mis en place par la société et de les informer de leurs droits.?» Elle en conclut que «?ce n’est pas tant le montant de la sanction que son caractère public qui représente un outil efficace pour la Cnil?». Il est vrai que la médiatisation, lorsqu’elle risque de faire mauvaise presse à Google, peut changer la donne. Malek Mokrani, victime d’une usurpation d’identité par un ancien collègue, a obtenu la condamnation de ce dernier au terme de plusieurs années de procédure. Lorsqu’il contacte Forget.me pour procéder au déréférencement des fausses informations le concernant, il se heurte à un refus de Google au motif qu’il est l’auteur de ces informations. Si Google n’accepte en principe qu’une seule demande de déréférencement, l’entreprise a finalement choisi, à la suite des pressions médiatiques, de réétudier le cas.

En cas de refus de procéder au déréférencement, ce qui représente un taux stabilisé aux alentours de 70?% selon Forget.me, les personnes concernées peuvent s’adresser à la Cnil ou saisir les juridictions nationales. Mais les cas de procès engagés contre Google sont rares. Max Mosley, l’ancien patron de la Fédération internationale de l’automobile (FIA), entame en 2008, en France et en Allemagne, une bataille judiciaire contre Google qui refuse de retirer des photos le concernant rendues publiques par un tabloïd britannique. En 2015, les parties parviennent à un accord amiable et confidentiel?: Max Mosley obtient le déréférencement international des photographies. Un cas à la marge compte tenu du temps et du coût qu’un tel bras de fer représente.

Entre 2?% et 5?% du chiffre d’affaires mondial

Au niveau européen, les sanctions ont vocation à se renforcer. «?Le projet de règlement européen, qui devrait être prochainement adopté, va augmenter le montant des sanctions pouvant être prononcées par les autorités de protection des données à caractère personnel, indique Isabelle Falque-Pierrotin. Les sanctions pourraient aller de 2?% à 5?% du chiffre d’affaires mondial des sociétés concernées.?» Mais avant d’avoir à appliquer des sanctions à l’égard des moteurs de recherche, d’autres voies peuvent être explorées, comme une charte des bonnes pratiques. Ce que confirme Bertrand Girin?: «?Le processus de traitement des demandes de droit à l’oubli par Google est opaque et n’est soumis à aucun contrôle alors que Google traite des données sensibles par le biais des formulaires reçus.?»

¹ CJUE, 13 mai 2014, aff. C-131/12, Google Spain SL et Google Inc. c/ Agencia Española de Protección de Datos (AEPD) et a.

Alice Mourot