Google LLC contra Commission nationale de l'informatique et des libertés (CNIL).

• Jurisdiction: European Union
• Court: Court of Justice (European Union)
• ECLI: ECLI:EU:C:2019:15
• Date: 10 January 2019
• Procedure Type: Reference for a preliminary ruling
• Celex Number: 62017CC0507
• Docket Number: C-507/17

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. MACIEJ SZPUNAR

présentées le 10 janvier 2019 ( 1 )

Affaire C‑507/17

Google LLC, venant aux droits de Google Inc.

contre

Commission nationale de l’informatique et des libertés (CNIL),

en présence de

Wikimedia Foundation Inc.,

Fondation pour la liberté de la presse,

Microsoft Corp.,

Reporters Committee forFreedom of the Press e.a.,

Article 19 e.a.,

Internet Freedom Foundation e.a.,

Défenseur des droits

[demande de décision préjudicielle formée par le Conseil d’État (France)]

« Renvoi préjudiciel – Données à caractère personnel – Portée du droit au déréférencement – Arrêt du 13 mai 2014, Google Spain et Google, C‑131/12 – Déréférencement sur l’extension du nom du domaine correspondant à l’État membre de la demande ou sur les extensions du nom de domaine du moteur de recherche correspondant aux extensions nationales de ce moteur pour l’ensemble des États membres »

I. Introduction

1. La présente demande de décision préjudicielle émanant du Conseil d’État (France) fait suite à l’arrêt Google Spain et Google ( 2 ) et offrira notamment à la Cour l’occasion de préciser le champ d’application territorial de la directive 95/46/CE ( 3 ). Il est bien connu que, dans cette affaire, la Cour a consacré un « droit à l’oubli » en ce que, sous certaines conditions, un individu peut voir des liens internet déréférencés par l’exploitant d’un moteur de recherche. Dans la présente affaire, la Cour est invitée à préciser la portée territoriale d’un déréférencement et à déterminer si les dispositions de la directive 95/46 exigent un déréférencement à l’échelle nationale, européenne ou mondiale.

2. Dans la présente affaire, je proposerai à la Cour un déréférencement européen : l’exploitant d’un moteur de recherche devrait être tenu de supprimer les liens de résultats affichés à la suite d’une recherche effectuée à partir d’un lieu situé dans l’Union européenne.

II. Le cadre juridique

A. Le droit de l’Union

1. La directive 95/46

3. Selon son article 1er, la directive 95/46 a pour objet la protection des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l’égard du traitement des données à caractère personnel, ainsi que l’élimination des obstacles à la libre circulation de ces données.

4. L’article 2 de la directive 95/46 dispose que, « [a]ux fins de [celle-ci], on entend par : a) “données à caractère personnel” : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ; b) “traitement de données à caractère personnel” (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ; [...] d) “responsable du traitement” : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou communautaires, le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou communautaire ; [...] h) “consentement de la personne concernée” : toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement. »

5. L’article 3 de cette directive, intitulé « Champ d’application », énonce à son paragraphe 1 : « La présente directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. »

6. L’article 4 de ladite directive, intitulé « Droit national applicable », prévoit : « 1. Chaque État membre applique les dispositions nationales qu’il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque : a) le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de l’État membre; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable ; [...] »

7. Sous le chapitre II, section I, intitulée « Principes relatifs à la qualité des données », de la directive 95/46, l’article 6 dispose : « 1. Les États membres prévoient que les données à caractère personnel doivent être : a) traitées loyalement et licitement ; b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible pour autant que les États membres prévoient des garanties appropriées ; c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ; d) exactes et, si nécessaire, mises à jour; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ; e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques. 2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1. »

8. Sous le chapitre II, section II, intitulée « Principes relatifs à la légitimation des traitements de données », de la directive 95/46, l’article 7 dispose : « Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si : [...] f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er paragraphe 1. »

9. L’article 12 de cette directive, intitulé « Droit d’accès », prévoit : « Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement : [...] b) selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données ; [...] »

10. L’article 14 de ladite directive, intitulé « Droit d’opposition de la personne concernée », dispose : « Les États membres reconnaissent à la personne concernée le droit : a) au moins dans les cas visés à l’article 7 points e) et f), de s’opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de disposition contraire du droit national. En cas d’opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut plus porter sur ces données ; [...] »

11. L’article 28 de la même directive, intitulé « Autorité de contrôle », est libellé comme suit : « 1. Chaque État membre prévoit qu’une ou plusieurs autorités publiques sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de la présente directive. [...] 3. Chaque autorité de contrôle dispose notamment : – de pouvoirs d’investigation, tels que le pouvoir d’accéder aux données faisant l’objet d’un traitement et de recueillir toutes les informations nécessaires à l’accomplissement de sa mission de contrôle, – de pouvoirs effectifs d’intervention, tels que, par exemple, celui [...] d’ordonner le verrouillage, l’effacement ou la destruction de données, ou d’interdire temporairement ou définitivement un traitement [...], [...] Les décisions de l’autorité de contrôle faisant grief peuvent faire l’objet d’un recours juridictionnel. 4. Chaque autorité de contrôle peut être saisie par toute personne, ou par une association la...