Vu la procédure suivante :

Par une requête, enregistrée le 25 avril 2022 au secrétariat du contentieux du Conseil d’Etat, M. B A demande au Conseil d’Etat d’annuler pour excès de pouvoir la décision du 4 mars 2022 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte aux fins de déréférencement d’un article du quotidien « La Montagne » du 20 janvier 2017 le concernant, accessible à partir d’une recherche effectuée par son prénom et son nom sur le moteur de recherche exploité par la société Google.

Vu les autres pièces du dossier ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— la loi n° 78-17 du 6 janvier 1978 ;

— l’arrêt C-131/12 de la Cour de justice de l’Union européenne du 13 mai 2014 ;

— l’arrêt C-136/17 de la Cour de justice de l’Union européenne du 24 septembre 2019 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Arno Klarsfeld, conseiller d’Etat,

— les conclusions de M. Laurent Domingo, rapporteur public ;

Considérant ce qui suit :

1. L’article 51 de la loi du 6 janvier 1978 dispose que : « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 ». Aux termes de l’article 17 du règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD) : " 1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique : /a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ; / b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement ; / c) la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2 ; / d) les données à caractère personnel ont fait l’objet d’un traitement illicite ; / e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ; f) les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information visée à l’article 8, paragraphe 1. [] 3. Les paragraphes 1 et 2 ne s’appliquent pas dans la mesure où ce traitement est nécessaire : /a) à l’exercice du droit à la liberté d’expression et d’information [] « . Aux termes de l’article 10 du même règlement : » Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l’article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique ".

2. Il résulte de l’arrêt du 24 septembre 2019 de la Cour de justice de l’Union européenne (C-136/17) que, lorsque des liens accessibles depuis un moteur de recherche mènent vers des pages web contenant des données à caractère personnel relatives à des procédures pénales visées à l’article 10 du RGPD, l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée est susceptible d’être particulièrement grave en raison de la sensibilité de ces données. Il s’ensuit qu’il appartient en principe à la Commission nationale de l’informatique et des libertés (CNIL), saisie d’une demande tendant à ce qu’elle mette l’exploitant d’un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers de telles pages web, publiées par des tiers et contenant de telles données, de faire droit à cette demande. Il n’en va autrement que s’il apparaît, compte tenu du droit à la liberté d’information, que l’accès à une telle information à partir d’une recherche portant sur le nom de la personne concernée est strictement nécessaire à l’information du public. Pour apprécier s’il peut être légalement fait échec au droit au déréférencement au motif que l’accès à des données à caractère personnel relatives à une procédure pénale à partir d’une recherche portant sur le nom de la personne concernée est strictement nécessaire à l’information du public, il incombe à la CNIL de tenir notamment compte, d’une part, de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d’avoir pour la personne concernée et, d’autre part, de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société. Il lui incombe également de prendre en compte la possibilité d’accéder aux mêmes informations à partir d’une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée.

3. Il ressort des pièces du dossier que M. A a été condamné, par un jugement du tribunal correctionnel de Clermont-Ferrand en date du 16 janvier 2017, à trois ans de prison, dont 18 mois avec sursis et 2 ans de mise à l’épreuve, une interdiction de diriger, gérer, administrer ou contrôler, directement ou indirectement, soit toute entreprise commerciale ou artisanale, toute exploitation agricole et toute personne morale, soit une ou plusieurs de celle-ci pendant quinze ans, pour des faits d’escroquerie, de banqueroute, de faux et usage de faux, d’abus de confiance et exécution de travail dissimulé, et la publication du jugement dans le quotidien régional « La Montagne ». Cette procédure pénale a donné lieu à un article du journal « La Montagne » du 20 janvier 2017, mis en ligne sur internet et référencé par le moteur de recherche de la société Google. M. A a sollicité en vain de la société Google le déréférencement du lien vers cet article. Il demande l’annulation pour excès de pouvoir du refus de la CNIL d’enjoindre à cette société de procéder à ce déréférencement.

4. Il ressort des pièces versées au dossier que, d’une part, l’article de presse litigieux, qui se rapporte à des faits antérieurs à 2014, se borne à relater de façon factuelle le procès et la condamnation dont M. A et la gérante de droit de la société au sein de laquelle il intervenait ont fait l’objet, sans comporter d’analyses ou de commentaires de nature à nourrir un débat d’intérêt public sur les enjeux liés à cette procédure. D’autre part, le requérant, âgé de 68 ans, dont la société, en cause dans l’affaire pénale relatée par l’article, a été liquidée en 2013 et qui ne peut légalement plus avoir la qualité de dirigeant d’entreprise jusqu’à ce que la peine d’interdiction de gérer à laquelle il a été condamné soit entièrement purgée, ne jouit pas d’une notoriété particulière, le dossier ne faisant à cet égard ressortir ni que l’affaire dans laquelle il a été condamné aurait fait l’objet d’autres commentaires publics, ni que la décision d’appel aurait elle-même donné lieu à un article de presse référencé par le même moteur de recherche à partir de son nom. Il ne ressort pas davantage des pièces du dossier, et n’est d’ailleurs pas allégué par la CNIL, que l’article de presse litigieux ne serait pas accessible en ligne à partir d’autres informations que le nom de M. A. Enfin, l’article de presse dont le déréférencement est demandé ne peut être regardé comme reflétant la situation judiciaire actuelle de l’intéressé dès lors que, par un arrêt du 14 mars 2018, la cour d’appel de Riom a réduit la peine infligée au requérant par le tribunal correctionnel à deux ans d’emprisonnement assorti d’un sursis avec mise à l’épreuve de deux ans et à une interdiction de gérer de dix ans et a confirmé la peine complémentaire de première instance de publication de la décision en la limitant toutefois au dispositif de son arrêt et à une seule publication. Dans ces conditions, et eu égard aux répercussions que le référencement de cet article est susceptible d’avoir sur la situation personnelle du requérant, l’accès à ce contenu en ligne à partir du nom de ce dernier ne peut plus être regardé, à la date de la présente décision, comme strictement nécessaire à l’information du public, justifiant de maintenir le lien litigieux par exception au principe selon lequel la personne concernée a le droit au déréférencement des contenus la concernant.

5. Il résulte de ce qui précède que, sans qu’il soit besoin de se prononcer sur l’autre moyen de la requête, M. A est fondé à demander l’annulation du refus de la CNIL de mettre en demeure la société Google de procéder au déréférencement demandé. Dans les circonstances de l’espèce, il y a lieu d’enjoindre à la CNIL d’adresser une telle mise en demeure à cette société.

D E C I D E :

— -------------

Article 1er : La décision de la Commission nationale de l’informatique et des libertés du 4 mars 2022 refusant de mettre en demeure la société Google de déréférencer de son moteur de recherche, à partir du prénom et du nom de M. B A, un article du quotidien « La Montagne » du 20 janvier 2017 le concernant est annulée.

Article 2 : Il est enjoint à la Commission nationale de l’informatique et des libertés de mettre en demeure la société Google de procéder au déréférencement demandé.

Article 3 : La présente décision sera notifiée à M. B A, à la Commission nationale de l’informatique et des libertés et à la société Google.

Délibéré à l’issue de la séance du 27 mars 2023 où siégeaient : M. Jacques-Henri Stahl, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, M^me Anne Egerszegi, présidents de chambre ; M^me Nathalie Escaut, M. Alexandre Lallet, M. Nicolas Polge, M. Vincent Daumas, M^me Rozen Noguellou, conseillers d’Etat et M. Arno Klarsfeld, conseiller d’Etat-rapporteur.

Rendu le 20 avril 2023.

Le président :

Signé : M. Jacques-Henri Stahl

Le rapporteur :

Signé : M. Arno Klarsfeld

La secrétaire :

Signé : M^me Claudine Ramalahanoharana