Conseil d'État, 10ème - 9ème chambres réunies, 27 mars 2020, 399922, Publié au recueil Lebon

  • 2) faculté de la cnil d'imposer un déréférencement mondial·
  • Obligation de déréférencement à l'échelle de l'UE·
  • Obligation de déréférencement mondial·
  • Droits civils et individuels·
  • Droit au déréférencement·
  • Portée territoriale·
  • Existence·
  • Cnil·
  • Moteur de recherche·
  • Union européenne

Chronologie de l’affaire

Résumé de la juridiction

Exploitant d’un moteur de recherche demandant l’annulation de la délibération de la formation restreinte de la CNIL le sanctionnant pour ne s’être pas conformé à la mise en demeure qui lui avait été adressée de faire droit aux demandes de déréférencement de personnes physiques en supprimant de la liste des résultats affichés l’ensemble des liens menant vers les pages web litigieuses sur toutes les extensions de nom de domaine de son moteur de recherche…. ,,1) Par un arrêt du 24 septembre 2019, Google LLC contre CNIL (C-507/17), la CJUE a dit pour droit que l’article 12, sous b), et l’article 14, premier alinéa, sous a), de la directive 95/46/CE du 24 octobre 1995 ainsi que l’article 17, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016 doivent être interprétés en ce sens que, lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des Etats membres et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des Etats membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande.,,, Il en résulte que la formation restreinte de la CNIL a entaché sa délibération d’erreur de droit en sanctionnant l’exploitant au motif que seule une mesure de déréférencement s’appliquant à l’intégralité du traitement liée au moteur de recherche, sans considération des extensions interrogées et de l’origine géographique de l’internaute effectuant une recherche, est à même de répondre à l’exigence de protection telle qu’elle a été consacrée par la CJUE.,,,2) a) Si la CNIL soutient en défense que la sanction contestée trouve son fondement dans la faculté que la Cour de justice a reconnue aux autorités de contrôle d’ordonner de procéder à un déréférencement portant sur l’ensemble des versions d’un moteur de recherche, il ne résulte, en l’état du droit applicable, d’aucune disposition législative qu’un tel déréférencement pourrait excéder le champ couvert par le droit de l’Union européenne pour s’appliquer hors du territoire des Etats membres de l’Union européenne.,,b) Au surplus, il résulte en tout état de cause des énonciations du point 72 de l’arrêt de la CJUE du 24 septembre 2019 qu’une telle faculté ne peut être ouverte qu’au terme d’une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information. Or, il ressort des termes mêmes de la délibération attaquée que, pour constater l’existence de manquements persistants et reprocher à la société requérante d’avoir méconnu l’obligation de principe de procéder au déréférencement portant sur l’ensemble des versions d’un moteur de recherche, la formation restreinte de la CNIL n’a pas effectué une telle mise en balance…. … Rejet, par suite, de la demande de substitution de base légale présentée par la CNIL.

Chercher les extraits similaires

Sur la décision

Sur les parties

Texte intégral

N° 399922

CONSEIL D’ETAT statuant au contentieux N° 399922 REPUBLIQUE FRANÇAISE _________

GOOGLE INC. AU NOM DU PEUPLE FRANÇAIS _________

Mme Christelle Thomas Le Conseil d’Etat statuant au contentieux Rapporteur (Section du contentieux, 10e et 9e chambres réunies) __________ Sur le rapport de la 10e chambre

M. Alexandre Lallet Rapporteur public __________

Séance du 13 mars 2020 Lecture du 27 mars 2020 __________

Vu la procédure suivante :

Par une décision du 19 juillet 2017, le Conseil d’Etat, statuant au contentieux sur la requête de la société Google Inc. tendant à l’annulation de la délibération n° 2016-054 du 10 mars 2016 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une sanction, rendue publique, de 100 000 euros, a sursis à statuer jusqu’à ce que la Cour de justice de l’Union européenne se soit prononcée sur les questions de savoir :

1°) si le « droit au déréférencement » tel qu’il a été consacré par la Cour de justice de l’Union européenne dans son arrêt du 13 mai 2014 sur le fondement des dispositions des articles 12, sous b), et 14, sous a), de la directive du 24 octobre 1995, doit être interprété en ce sens que l’exploitant d’un moteur de recherche est tenu, lorsqu’il fait droit à une demande de déréférencement, d’opérer ce déréférencement sur l’ensemble des noms de domaine de son moteur de telle sorte que les liens litigieux n’apparaissent plus quel que soit le lieu à partir duquel la recherche lancée sur le nom du demandeur est effectuée, y compris hors du champ d’application territorial de la directive du 24 octobre 1995 ;

2°) en cas de réponse positive à cette première question, si le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant d’un moteur de recherche est seulement tenu, lorsqu’il fait droit à une demande de déréférencement, de supprimer les liens litigieux des résultats affichés à la suite d’une recherche effectuée à partir du nom du demandeur sur le nom de domaine correspondant à l’Etat où la demande est réputée avoir été effectuée ou, plus généralement, sur les noms de domaine du moteur de recherche qui correspondent aux extensions nationales de ce moteur pour l’ensemble des Etats membres de l’Union européenne ;

3°) en outre, si, en complément de l’obligation évoquée au 2°, le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant d’un moteur de recherche faisant droit à une demande de déréférencement est tenu de supprimer, par la technique dite du « géo-blocage », depuis une adresse IP réputée localisée dans l’Etat de résidence du bénéficiaire du « droit au déréférencement », les résultats litigieux des recherches effectuées à partir de son nom, ou même, plus généralement, depuis une adresse IP réputée localisée dans l’un des Etats membres soumis à la directive du 24 octobre 1995, ce indépendamment du nom de domaine utilisé par l’internaute qui effectue la recherche.

Par un arrêt C-507/17 du 24 septembre 2019, la Cour de justice de l’Union européenne s’est prononcée sur ces questions.

Par un nouveau mémoire et un mémoire en réplique, enregistrés les 26 novembre 2019 et 21 janvier 2020, la société Google LLC persiste dans ses conclusions. Elle soutient que la formation restreinte de la CNIL a entaché sa délibération d’une erreur de droit en retenant le principe d’un déréférencement mondial et que la solution technique mise en œuvre pour assurer le déréférencement satisfait aux exigences posées par le droit de l’Union européenne tel qu’interprété par la Cour de justice de l’Union européenne.

Par deux nouveaux mémoires en défense, enregistrés les 29 novembre 2019 et 6 février 2020, la CNIL conclut au rejet de la requête. Elle soutient que l’arrêt de la Cour de justice de l’Union européenne n’interdit pas qu’une autorité de contrôle nationale ordonne la mise en œuvre d’un déréférencement mondial et que la solution technique mise en œuvre par Google pour assurer le déréférencement ne satisfait pas aux exigences de protection effective des données personnelles.

Par une intervention, enregistrée le 13 janvier 2020, Wikimedia Foundation Inc. demande que le Conseil d’Etat fasse droit aux conclusions de la requête de la société Google Inc. Elle soutient que la formation restreinte de la CNIL ne pouvait ordonner un déréférencement mondial qu’à l’issue d’une mise en balance entre le droit au respect de la vie privée et à la protection des données personnelles et le droit à l’information propre à un cas d’espèce et non par un raisonnement de principe.

Par une intervention, enregistrée le 28 janvier 2020, la société Microsoft Corporation demande que le Conseil d’Etat fasse droit aux conclusions de la requête de la société Google Inc. Elle soutient que la formation restreinte de la CNIL ne pouvait ordonner un déréférencement mondial qu’à l’issue d’une mise en balance entre le droit au respect de la vie privée et à la protection des données personnelles et le droit à l’information propre à un cas d’espèce et non par un raisonnement de principe et que la CNIL a commis une erreur de droit en écartant la solution technique de déréférencement proposée par la société Google qui satisfait aux exigences du droit afférent.

Vu les autres pièces du dossier, y compris celles qui ont été visées par la décision du Conseil d’Etat du 19 juillet 2017 ;

Vu : – la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; – la Charte des droits fondamentaux de l’Union européenne ; le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; – la loi n° 78-17 du 6 janvier 1978 ; – l’arrêt de la Cour de justice de l’Union européenne du 13 mai 2014, Google Spain SL, Google Inc. contre Agencia Española de Protección de Datos, Mario Costeja González (C-131/12) ; – l’arrêt de la Cour de justice de l’Union européenne du 24 septembre 2019, Google LLC contre CNIL (C-507/17) ; – le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de Mme Christelle Thomas, maître des requêtes en service extraordinaire,

— les conclusions de M. Alexandre Lallet, rapporteur public ;

La parole ayant été donnée, avant et après les conclusions, à la SCP Spinosi, Sureau, avocat de la société Google LLC., à la SCP Piwnica, Molinié, avocat de Wikimedia Foundation Inc, à la SCP Baraduc, Duhamel, Rameix, avocat de Microsoft Corporation, à Me Haas, avocat de Reporters Committee for Freedom of the Press et autres, à la SCP Tapie, Rousseau-Tapie, avocat de l’association Article 19 et autres ;

Considérant ce qui suit :

1. Wikimedia Foundation Inc, et la société Microsoft justifient d’un intérêt suffisant à l’annulation de la délibération attaquée. Ainsi, leurs interventions sont recevables.

2. Il résulte de l’instruction que, par une décision du 21 mai 2015, la présidente de la Commission nationale de l’informatique et des libertés (CNIL) a mis en demeure la société Google Inc., lorsqu’elle fait droit à une demande d’une personne physique tendant à la suppression de la liste des résultats, affichée à la suite d’une recherche effectuée à partir de son nom, de liens menant vers des pages web, d’effectuer cette suppression sur toutes les extensions de nom de domaine de son moteur de recherche. Par une délibération du 10 mars 2016, après avoir constaté que la société ne s’était pas, dans le délai imparti, conformée à cette mise en demeure, la formation restreinte de la CNIL a prononcé à son encontre une sanction, rendue publique, de 100 000 euros. La société Google Inc. demande l’annulation de cette délibération.

3. D’une part, l’article 45 de la loi du 6 janvier 1978, dans sa rédaction applicable à la date de la délibération attaquée, dispose que : « I. – La formation restreinte de la Commission nationale de l’informatique et des libertés peut prononcer, après une procédure contradictoire, un avertissement à l’égard du responsable d’un traitement qui ne respecte pas les obligations découlant de la présente loi. Cet avertissement a le caractère d’une sanction. / Le président de la commission peut également mettre en demeure ce responsable de faire cesser le manquement constaté dans un délai qu’il fixe. En cas d’urgence, ce délai peut être ramené à cinq jours. / Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure. / Dans le cas contraire, la formation restreinte peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes : / 1° Une sanction pécuniaire, dans les conditions prévues par l’article 47, à l’exception des cas où le traitement est mis en œuvre par l’Etat ; (…) ». Ces dispositions assuraient la mise en œuvre en droit national des dispositions alors en vigueur de l’article 24 de la directive 95/46/CE du 24 octobre 1995, qui laissait aux Etats membres le soin de déterminer les sanctions à appliquer « en cas de violation des dispositions prises en application de cette directive ».

4. D’autre part, l’article 38 de la loi du 6 janvier 1978, dans sa rédaction applicable à la date de la délibération attaquée, dispose que : « Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement. / Elle a le droit de s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur. / Les dispositions du premier alinéa ne s’appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte autorisant le traitement ». Ces dispositions assuraient la mise en œuvre en droit national des dispositions de l’article 12, sous b) et de l’article 14, sous a), de la directive du 24 octobre 1995, desquelles découle un « droit au déréférencement » des données à caractère personnel. Elles doivent dès lors être interprétées à la lumière de ces dispositions, auxquelles s’est substitué l’article 17 du règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données, qui consacre un tel « droit à l’effacement », également dénommé « droit à l’oubli ».

5. Par son arrêt du 24 septembre 2019, Google LLC contre CNIL (C-507/17), la Cour de justice de l’Union européenne a dit pour droit que : « l’article 12, sous b), et l’article 14, premier alinéa, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 […], ainsi que l’article 17, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, […] doivent être interprétés en ce sens que, lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des Etats membres et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des Etats membres d’avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l’objet de cette demande ».

6. Ainsi qu’il a été rappelé au point 1, la formation restreinte de la CNIL a sanctionné la société Google Inc. au motif qu’elle refuse, lorsqu’elle fait droit à une demande de déréférencement, d’effectuer ce déréférencement sur l’ensemble des noms de domaine de son moteur de recherche et se borne à supprimer les liens en cause des seuls résultats affichés en réponse à des recherches menées depuis les noms de domaine correspondant aux déclinaisons de son moteur de recherche dans les Etats membres de l’Union européenne. La formation restreinte de la CNIL a par ailleurs estimé insuffisante la proposition complémentaire dite de « géo-blocage » faite par la société Google Inc., après expiration du délai de mise en demeure, de supprimer la possibilité d’accéder, depuis une adresse IP réputée localisée dans l’Etat de résidence du bénéficiaire du « droit au déréférencement », aux résultats litigieux à la suite d’une recherche effectuée à partir de son nom, indépendamment de la déclinaison du moteur de recherche qu’a sollicitée l’internaute.

7. Il résulte des motifs énoncés au point 4 qu’en sanctionnant la société requérante au motif que seule une mesure s’appliquant à l’intégralité du traitement liée au moteur de recherche, sans considération des extensions interrogées et de l’origine géographique de l’internaute effectuant une recherche, est à même de répondre à l’exigence de protection telle qu’elle a été consacrée par la Cour de justice de l’Union européenne, la formation restreinte de la CNIL a entaché la délibération attaquée d’erreur de droit.

8. Il est vrai qu’ainsi que le fait valoir la CNIL en défense, la Cour de justice a relevé, au point 72 de l’arrêt du 24 septembre 2019, que « si (…) le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus. Partant, une autorité de contrôle ou une autorité judiciaire d’un Etat membre demeure compétente pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux (…), une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur ».

9. Lorsque, saisi d’une requête dirigée contre une sanction prononcée par la CNIL, il constate que la décision contestée devant lui aurait pu être prise, en vertu du même pouvoir d’appréciation, sur un autre fondement que celui qu’a retenu l’autorité de sanction, le juge administratif peut substituer ce fondement à celui qui a servi de base légale à la décision attaquée, sous réserve que la personne sanctionnée ait disposé des garanties dont est assortie l’application du texte sur le fondement duquel la décision aurait dû être prononcée. Une telle substitution relevant de l’office du juge, celui-ci peut y procéder soit à la demande des parties soit de sa propre initiative, au vu des pièces du dossier, mais sous réserve, dans ce dernier cas, d’avoir au préalable mis les parties à même de présenter des observations sur ce point.

10. Si la CNIL soutient en défense que la sanction contestée trouve son fondement dans la faculté que la Cour de justice a reconnue aux autorités de contrôle d’ordonner de procéder à un déréférencement portant sur l’ensemble des versions d’un moteur de recherche, il ne résulte, en l’état du droit applicable, d’aucune disposition législative qu’un tel déréférencement pourrait excéder le champ couvert par le droit de l’Union européenne pour s’appliquer hors du territoire des Etats membres de l’Union européenne. Au surplus, il résulte en tout état de cause des motifs énoncés au point 7 qu’une telle faculté ne peut être ouverte qu’au terme d’une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information. Or, il ressort des termes mêmes de la délibération attaquée que, pour constater l’existence de manquements persistants et reprocher à la société Google Inc. d’avoir méconnu l’obligation de principe de procéder au déréférencement portant sur l’ensemble des versions d’un moteur de recherche, la formation restreinte de la CNIL n’a pas effectué une telle mise en balance. Il s’ensuit qu’il n’y a pas lieu de faire droit à la substitution de base légale demandée en défense par la CNIL.

11. Il résulte de tout ce qui précède que la société Google Inc. est fondée à demander l’annulation de la délibération qu’elle attaque.

DECIDE: --------------

Article 1er : Les interventions de Wikimedia Foundation Inc et de la société Microsoft Corporation sont admises.

Article 2 : La délibération du 10 mars 2016 de la formation restreinte de la Commission nationale de l’informatique et des libertés est annulée.

Article 3 : La présente décision sera notifiée à la société Google LLC., à la Commission nationale de l’informatique et des libertés, à Wikimedia Foundation Inc., à la société Microsoft Corporation, à Reporters Committee for Freedom of the Press, premier dénommé et à l’association Article 19, premier dénommé. Les autres intervenants seront informés de la présente décision par Maître Haas et par la SCP Rousseau-Tapie, avocats au Conseil d’Etat et à la Cour de cassation, qui les représentent devant le Conseil d’Etat.

Délibéré à l’issue de la séance du 13 mars 2020 où siégeaient : M. Alain Ménéménis, président adjoint de la section du contentieux, présidant ; M. Mattias Guyomar, M. Guillaume Goulard, présidents de chambre ; Mme Nathalie Escaut, Mme Anne Egerszegi, M. Thomas Andrieu, conseillers d’Etat, Mme Christelle Thomas, maître des requêtes en service extraordinaire- rapporteur.

Lu en séance publique le 27 mars 2020

Le président : Signé : M. Alain Ménéménis

Le rapporteur : Signé : Mme Christelle Thomas

Le secrétaire : Signé : Mme Claudine Ramalahanoharana

La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous huissiers de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.

Pour expédition conforme,

Pour le secrétaire du contentieux, par délégation :

Chercher les extraits similaires
highlight
Chercher les extraits similaires
Extraits les plus copiés
Chercher les extraits similaires
Collez ici un lien vers une page Doctrine
Inscrivez-vous gratuitement pour imprimer votre décision
Conseil d'État, 10ème - 9ème chambres réunies, 27 mars 2020, 399922, Publié au recueil Lebon