Vu la procédure suivante :

Par une requête et un mémoire en réplique, enregistrés les 2 juin et 15 septembre 2022 au secrétariat du contentieux du Conseil d’Etat, M. B C demande au Conseil d’Etat d’annuler pour excès de pouvoir la décision du 31 mars 2022 par laquelle la présidente de la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte aux fins de déréférencement d’un article publié sur le site internet Mediapart.fr le (ANO)30 septembre 2015( /ANO), accessible à partir d’une recherche effectuée par son prénom et son nom sur le moteur de recherche exploité par la société Google.

Vu les autres pièces du dossier ;

Vu :

— le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— la loi n° 78-17 du 6 janvier 1978 ;

— l’arrêt C-131/12 de la Cour de justice de l’Union européenne du 13 mai 2014 ;

— l’arrêt C-136/17 de la Cour de justice de l’Union européenne du 24 septembre 2019 ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. David Moreau, maître des requêtes,

— les conclusions de M. Laurent Domingo, rapporteur public ;

La parole ayant été donnée, après les conclusions, à la SCP Spinosi, avocat de la société Google inc  ;

Considérant ce qui suit :

1. L’article 51 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dispose que : « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 ». Aux termes de l’article 17 du règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD) : " 1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique : /a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ; / b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement ; / c) la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2 ; / d) les données à caractère personnel ont fait l’objet d’un traitement illicite ; / e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ; f) les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information visée à l’article 8, paragraphe 1. () 3. Les paragraphes 1 et 2 ne s’appliquent pas dans la mesure où ce traitement est nécessaire : /a) à l’exercice du droit à la liberté d’expression et d’information () « . Aux termes de l’article 9 du RGPD : » 1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits. / 2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie : / () / e) le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée ; () /g) le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un 'État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée () ".

2. Il résulte de l’arrêt du 24 septembre 2019 de la Cour de justice de l’Union européenne que, lorsque des liens accessibles depuis un moteur de recherche mènent vers des pages web contenant des données à caractère personnel relevant des catégories particulières visées à l’article 9 du RGPD, l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée est susceptible d’être particulièrement grave en raison de la sensibilité de ces données. Il s’ensuit qu’il appartient en principe à la CNIL, saisie par une personne d’une demande tendant à ce qu’elle mette l’exploitant d’un moteur de recherche en demeure de procéder au déréférencement de liens vers des pages web, publiées par des tiers et contenant des données personnelles relevant de catégories particulières la concernant, de faire droit à cette demande. Il n’en va autrement que s’il apparaît, compte tenu du droit à la liberté d’information, que l’accès à une telle information à partir d’une recherche portant sur le nom de cette personne est strictement nécessaire à l’information du public. Pour apprécier s’il peut être légalement fait échec au droit au déréférencement au motif que l’accès à des données à caractère personnel relevant de catégories particulières à partir d’une recherche portant sur le nom de la personne concernée est strictement nécessaire à l’information du public, il lui incombe de tenir notamment compte, d’une part, de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d’avoir pour la personne concernée et, d’autre part, de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société. Il lui incombe également de prendre en compte la possibilité d’accéder aux mêmes informations à partir d’une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée.

3. Dans l’hypothèse particulière où les données litigieuses ont manifestement été rendues publiques par la personne qu’elle concerne, il appartient à la CNIL d’apprécier au regard des critères mentionnés au point 2 s’il existe ou non un intérêt prépondérant du public de nature à faire obstacle au droit au déréférencement, une telle circonstance n’empêchant pas l’intéressé de faire valoir, à l’appui de sa demande de déréférencement, des « raisons tenant à sa situation particulière », ainsi que l’a relevé la Cour de justice de l’Union européenne dans son arrêt du 24 septembre 2019.

4. En l’espèce, M. C a demandé à la société Google de procéder au déréférencement, dans les résultats affichés par le moteur de recherche qu’elle exploite à la suite d’une recherche portant sur son nom, du lien hypertexte renvoyant vers un article le concernant, publié sur le site Mediapart.fr le . A la suite du refus opposé par la société Google, il a saisi la CNIL d’une plainte tendant à ce qu’il soit enjoint à cette société de procéder au déréférencement du lien en cause. Par un courrier du 31 mars 2022, la présidente de la CNIL l’a informé de la clôture de sa plainte. M. C demande l’annulation pour excès de pouvoir de cette décision.

5. En premier lieu, il ressort des pièces du dossier que la CNIL a retenu que l’article publié sur le site de Mediapart dont M. C demande le déréférencement retrace le rôle qu’il a joué dans la vie publique au travers de son appartenance, au début des années 90, au groupe de rock identitaire , de ses fonctions du Front national de la jeunesse , et de son engagement de l’association Energie Bleu Marine créée pour soutenir la candidature de M^me A aux élections présidentielles de . M. C n’apporte aucun élément de nature à remettre en cause l’exactitude matérielle de son engagement politique au cours des années . Si, pour contester son appartenance au groupe , il fait valoir que le jugement du tribunal correctionnel de (ANO(Paris du 16 mars 2017(/ANO) a relevé le caractère diffamatoire du titre de l’article en litige de Mediapart ainsi que des passages faisant référence à son appartenance passée à ce groupe de musique, ce jugement l’a néanmoins débouté de son action en diffamation en retenant la bonne foi de l’auteur de l’article, au motif que ce dernier disposait d’éléments lui permettant d’affirmer que l’intéressé avait été le chanteur de ce groupe de rock. Il s’ensuit qu’en relevant l’appartenance passée du requérant au groupe ainsi que son engagement au sein du Front national, la CNIL ne s’est pas fondée sur des faits matériellement inexacts.

6. En second lieu, si les informations relatives à l’appartenance de M. C à un groupe de musique identitaire et son engagement politique constituent des données relevant d’une des catégories particulières visées à l’article 9 du RGPD, elles doivent être regardées comme ayant été manifestement rendues publiques par M. C au sens du e) du paragraphe 2 de cet article, dès lors que le groupe auquel il participait a produit un disque et qu’il a exercé des fonctions de responsabilité au sein du Front national. Eu égard à la nature des données à caractère personnel litigieuses, à leur source journalistique et au sujet de l’article de presse, qui porte sur le choix de certaines mairies dirigées par des élus du Rassemblement national de promouvoir auprès de leurs administrés un produit de proposé par l’entreprise dont M. C est toujours co-gérant et directeur général, la CNIL a pu légalement estimer que ces informations contribuaient à alimenter un débat d’intérêt général et que le maintien du lien présentait en conséquence un intérêt prépondérant pour le public. S’il est vrai que l’appartenance de M. C à un groupe de rock identitaire présente un caractère ancien, il résulte de l’instruction qu’aucun des articles auxquels renvoient les autres liens obtenus à partir d’une recherche portant sur le nom de l’intéressé ne fait état de son engagement politique sans faire référence à ce groupe. Dans ces conditions, alors que les différentes informations figurant dans un article de presse auquel il est renvoyé ne peuvent faire l’objet que d’une appréciation globale, et en l’absence de raisons tenant à la situation particulière de M. C susceptibles de s’y opposer, la décision de la CNIL de clôturer sa plainte aux fins de déréférencement n’est pas entachée d’illégalité.

7. Il résulte de tout ce qui précède que la requête de M. C doit être rejetée.

D E C I D E :

— -------------

Article 1er : La requête de M. C est rejetée.

Article 2 : La présente décision sera notifiée à M. B C, à la Commission nationale de l’informatique et des libertés et à la société Google Inc.

Délibéré à l’issue de la séance du 29 novembre 2023 où siégeaient : M. Jacques-Henri Stahl, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, M^me Anne Egerszegi, présidents de chambre ; M^me Nathalie Escaut, M. Alexandre Lallet, M. Nicolas Polge, M. Vincent Daumas ; M^me Rozen Noguellou, conseillers d’Etat, et M. David Moreau, maître des requêtes-rapporteur.

Rendu le 20 décembre 2023.

Le président :

Signé : M. Jacques-Henri Stahl

Le rapporteur :

Signé : M. David Moreau

La secrétaire :

Signé : M^me Chloé-Claudia Sediang- 5 -