Google LLC, successor in law to Google Inc. v Commission nationale de l'informatique et des libertés (CNIL).

• Jurisdiction: European Union
• Court: Court of Justice (European Union)
• Date: 24 September 2019

ARRÊT DE LA COUR (grande chambre)

24 septembre 2019 ( *1 )

« Renvoi préjudiciel – Données à caractère personnel – Protection des personnes physiques à l’égard du traitement de ces données – Directive 95/46/CE – Règlement (UE) 2016/679 – Moteurs de recherche sur Internet – Traitement des données figurant sur des pages web – Portée territoriale du droit au déréférencement »

Dans l’affaire C‑507/17,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Conseil d’État (France), par décision du 19 juillet 2017, parvenue à la Cour le 21 août 2017, dans la procédure

Google LLC, venant aux droits de Google Inc.,

contre

Commission nationale de l’informatique et des libertés (CNIL),

en présence de :

Wikimedia Foundation Inc.,

Fondation pour la liberté de la presse,

Microsoft Corp.,

Reporters Committee for Freedom of the Press e.a.,

Article 19 e.a.,

Internet Freedom Foundation e.a.,

Défenseur des droits,

LA COUR (grande chambre),

composée de M. K. Lenaerts, président, MM. A. Arabadjiev, E. Regan, T. von Danwitz, Mme C. Toader et M. F. Biltgen, présidents de chambre, MM. M. Ilešič (rapporteur), L. Bay Larsen, M. Safjan, D. Šváby, C. G. Fernlund, C. Vajda et S. Rodin, juges,

avocat général : M. M. Szpunar,

greffier : Mme V. Giacobbo-Peyronnel, administratrice,

vu la procédure écrite et à la suite de l’audience du 11 septembre 2018,

considérant les observations présentées :

– pour Google LLC, par Mes P. Spinosi, Y. Pelosi et W. Maxwell, avocats,

– pour la Commission nationale de l’informatique et des libertés (CNIL), par Mme I. Falque-Pierrotin ainsi que par MM. J. Lessi et G. Le Grand, en qualité d’agents,

– pour Wikimedia Foundation Inc., par Me C. Rameix-Seguin, avocate,

– pour la Fondation pour la liberté de la presse, par Me T. Haas, avocat,

– pour Microsoft Corp., par Me E. Piwnica, avocat,

– pour le Reporters Committee for Freedom of the Press e.a., par Me F. Louis, avocat, ainsi que par Mes H.-G. Kamann, C. Schwedler et M. Braun, Rechtsanwälte,

– pour Article 19 e.a., par Me G. Tapie, avocat, M. G. Facenna, QC, et M. E. Metcalfe, barrister,

– pour Internet Freedom Foundation e.a., par Me T. Haas, avocat,

– pour le Défenseur des droits, par M. J. Toubon, en qualité d’agent,

– pour le gouvernement français, par MM. D. Colas et R. Coesme ainsi que par Mmes E. de Moustier et S. Ghiandoni, en qualité d’agents,

– pour l’Irlande, par Mmes M. Browne, G. Hodge et J. Quaney ainsi que par M. A. Joyce, en qualité d’agents, assistés de Mme M. Gray, BL,

– pour le gouvernement hellénique, par Mmes E.-M. Mamouna, G. Papadaki, E. Zisi et S. Papaioannou, en qualité d’agents,

– pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de Mme R. Guizzi, avvocato dello Stato,

– pour le gouvernement autrichien, par MM. G. Eberhard et G. Kunnert, en qualité d’agents,

– pour le gouvernement polonais, par M. B. Majczyna ainsi que par Mmes M. Pawlicka et J. Sawicka, en qualité d’agents,

– pour la Commission européenne, par MM. A. Buchet, H. Kranenborg et D. Nardi, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 10 janvier 2019,

rend le présent

Arrêt

1 La demande de décision préjudicielle porte sur l’interprétation de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).

2 Cette demande a été présentée dans le cadre d’un litige opposant Google LLC, venant aux droits de Google Inc., à la Commission nationale de l’informatique et des libertés (CNIL) (France) au sujet d’une sanction de 100000 euros prononcée par cette dernière à l’encontre de Google en raison du refus de cette société, lorsqu’elle fait droit à une demande de déréférencement, d’appliquer celui-ci à l’ensemble des extensions de nom de domaine de son moteur de recherche.

Le cadre juridique

Le droit de l’Union

La directive 95/46

3 La directive 95/46 a, selon son article 1er, paragraphe 1, pour objet la protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel, ainsi que l’élimination des obstacles à la libre circulation de ces données.

4 Les considérants 2, 7, 10, 18, 20 et 37 de la directive 95/46 énoncent : « (2) considérant que les systèmes de traitement de données sont au service de l’homme ; qu’ils doivent, quelle que soit la nationalité ou la résidence des personnes physiques, respecter les libertés et droits fondamentaux de ces personnes, notamment la vie privée, et contribuer au [...] bien-être des individus ; [...] (7) considérant que les différences entre États membres quant au niveau de protection des droits et libertés des personnes, notamment du droit à la vie privée, à l’égard des traitements de données à caractère personnel peuvent empêcher la transmission de ces données du territoire d’un État membre à celui d’un autre État membre ; que ces différences peuvent dès lors constituer un obstacle à l’exercice d’une série d’activités économiques à l’échelle communautaire, [...] [...] (10) considérant que l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales[, signée à Rome le 4 novembre 1950,] et dans les principes généraux du droit communautaire ; que, pour cette raison, le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu’elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté ; [...] (18) considérant qu’il est nécessaire, afin d’éviter qu’une personne soit exclue de la protection qui lui est garantie en vertu de la présente directive, que tout traitement de données à caractère personnel effectué dans la Communauté respecte la législation de l’un des États membres ; [...] [...] (20) considérant que l’établissement, dans un pays tiers, du responsable du traitement de données ne doit pas faire obstacle à la protection des personnes prévue par la présente directive ; que, dans ce cas, il convient de soumettre les traitements de données effectués à la loi de l’État membre dans lequel des moyens utilisés pour le traitement de données en cause sont localisés et de prendre des garanties pour que les droits et obligations prévus par la présente directive soient effectivement respectés ; [...] (37) considérant que le traitement de données à caractère personnel à des fins de journalisme ou d’expression artistique ou littéraire, notamment dans le domaine audiovisuel, doit bénéficier de dérogations ou de limitations de certaines dispositions de la présente directive dans la mesure où elles sont nécessaires à la conciliation des droits fondamentaux de la personne avec la liberté d’expression, et notamment la liberté de recevoir ou de communiquer des informations, telle que garantie notamment à l’article 10 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; qu’il incombe donc aux États membres, aux fins de la pondération entre les droits fondamentaux, de prévoir les dérogations et limitations nécessaires en ce qui concerne les mesures générales relatives à la légalité du traitement des données, [...] »

5 L’article 2 de cette directive dispose : « Aux fins de la présente directive, on entend par : a) “données à caractère personnel” : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; [...] b) “traitement de données à caractère personnel” (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ; [...] d) “responsable du traitement” : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; [...] [...] »

6 L’article 4 de ladite directive, intitulé « Droit national applicable », prévoit : « 1. Chaque État membre applique les dispositions nationales qu’il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque : a) le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de l’État membre ; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses...