CE, sect. du contentieux, 6 décembre 2019, n° 403868

LE CONSEIL : - Vu la procédure suivante : 1°) Sous le n° 403868, par une requête sommaire, un mémoire complémentaire, un mémoire en réplique et un nouveau mémoire, enregistrés les 28 septembre 2016, 28 décembre 2016, 16 août 2018 et 12 novembre 2019 au secrétariat du contentieux du Conseil d'Etat, Mme A. demande au Conseil d'Etat : 1°) d'annuler pour excès de pouvoir la décision par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a clôturé sa plainte aux fins de déréférencement de deux liens obtenus sur la base d'une recherche effectuée à partir de son nom sur le moteur de recherche exploité par la société Google, qui lui a été notifiée par un courrier du 28 juillet 2015 ; 2°) de mettre à la charge de la CNIL et de la société Google LLC la somme de 5 000 euros au titre de l'article L. 761-1 du Code de justice administrative.

2°) Sous le n° 403869, par une requête sommaire, un mémoire complémentaire, un mémoire en réplique et un nouveau mémoire, enregistrés les 28 septembre 2016, 28 décembre 2016, 16 août 2018 et 12 novembre 2019 au secrétariat du contentieux du Conseil d'Etat, Mme A. demande au Conseil d'Etat : 1°) d'annuler pour excès de pouvoir la décision par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a clôturé sa plainte aux fins de déréférencement de deux liens obtenus sur la base d'une recherche effectuée à partir de son nom sur le moteur de recherche Google, qui lui a été notifiée par un courrier du 28 juillet 2016 ; 2°) de mettre à la charge de la CNIL et de la société Google LLC la somme de 5 000 euros au titre de l'article L. 761-1 du Code de justice administrative. Vu les autres pièces du dossier ; Vu : - la Charte des droits fondamentaux de l'Union européenne ; - le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - l'arrêt de la Cour de justice de l'Union européenne du 13 mai 2014, Google Spain SL, Google Inc. contre Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez (C-131/12) ; - l'arrêt de la Cour de justice de l'Union européenne du 24 septembre 2019, GC, AF, BH et ED contre CNIL (C-136/17) ; - le Code de justice administrative ; Après avoir entendu en séance publique : - le rapport de Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire, - les conclusions de M. Alexandre Lallet, rapporteur public ; La parole ayant été donnée, avant et après les conclusions, à la SCP Lyon-Caen, Thiriez, avocat de Mme A. et à la SCP Spinosi, Sureau, avocat de la société Google LLC ;

Considérant ce qui suit :

1. Les deux requêtes de Mme A. sont dirigées contre la même décision. Il y a donc lieu de les joindre pour statuer par une seule décision.

2. Il ressort des pièces du dossier que Mme A. a demandé à la société Google de procéder au déréférencement, dans les résultats affichés par le moteur de recherche qu'elle exploite à la suite d'une recherche portant sur son nom, de deux liens hypertextes renvoyant vers des sites la répertoriant au titre de ses activités de médecin généraliste. A la suite du refus opposé par la société Google, elle a saisi la Commission nationale de l'informatique et des libertés (CNIL) d'une plainte tendant à ce qu'il soit enjoint à cette société de procéder au déréférencement des liens en cause. Par un courrier du 28 juillet 2016, la présidente de la CNIL l'a informée de la clôture de sa plainte. Mme A. demande l'annulation pour excès de pouvoir du refus de la CNIL de mettre en demeure la société Google de procéder aux déréférencements demandés.

Sur l'office du juge de l'excès de pouvoir :

3. L'effet utile de l'annulation pour excès de pouvoir du refus de la CNIL de mettre en demeure l'exploitant d'un moteur de recherche de procéder au déréférencement de liens vers des pages web réside dans l'obligation, que le juge peut prescrire d'office en vertu des dispositions de l'article L. 911-1 du Code de justice administrative, pour la CNIL de procéder à une telle mise en demeure afin que disparaissent de la liste de résultats affichée à la suite d'une recherche les liens en cause.

4. En premier lieu, il résulte de ce qui a été dit au point précédent que lorsqu'il est saisi de conclusions aux fins d'annulation du refus de la CNIL de mettre en demeure l'exploitant d'un moteur de recherche de procéder au déréférencement de liens, le juge de l'excès de pouvoir est conduit à apprécier la légalité d'un tel refus au regard des règles applicables et des circonstances prévalant à la date de sa décision.

5. En second lieu, dans l'hypothèse où il apparaît que les liens litigieux ont été déréférencés à la date à laquelle il statue, soit à la seule initiative de l'exploitant du moteur de recherche, soit pour la mise en œuvre d'une mise en demeure, le juge de l'excès de pouvoir doit constater que le litige porté devant lui a perdu son objet.

Sur le cadre juridique du litige :

6. L'article 51 de la loi du 6 janvier 1978 dispose, dans sa rédaction applicable à la date de la présente décision, que : " Le droit à l'effacement s'exerce dans les conditions prévues à l'article 17 du règlement (UE) 2016/679 du 27 avril 2016 ".

7. Aux termes de l'article 17 du règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données : " 1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique : / a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ; / b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement ; / c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 ; / d) les données à caractère personnel ont fait l'objet d'un traitement illicite ; / e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis ; f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1. [.] 3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est nécessaire : / a) à l'exercice du droit à la liberté d'expression et d'information [.] ".

8. Par son arrêt du 24 septembre 2019 GC, AF, BH et ED contre CNIL (C-136/17), la Cour de justice de l'Union européenne a, en réponse aux questions que lui avait posées le Conseil d'Etat dans sa décision avant-dire-droit du 24 février 2017, précisé qu'elle examinerait ces questions " sous l'angle de la directive 95/46, en tenant, toutefois, également compte du règlement 2016/679 dans son analyse de celles-ci, afin d'assurer que ses réponses seront, en toute hypothèse, utiles pour la juridiction de renvoi ".

En ce qui concerne le " droit au déréférencement " de données à caractère personnel ne relevant pas de catégories particulières :

9. Ainsi que la Cour l'a relevé dans l'arrêt cité ci-dessus : " Dans le cadre du règlement 2016/679, le législateur de l'Union européenne a prévu, à l'article 17 de ce règlement, une disposition qui régit spécifiquement le " droit à l'effacement ", également dénommé à cet article, " droit à l'oubli ". Dans le même arrêt, la Cour de justice a précisé que : " En application de cet article 17, paragraphe 1, la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données dans les meilleurs délais, lorsque l'un des motifs énumérés par cette disposition s'applique. Au titre de ces motifs, ladite disposition mentionne le fait que les données ne sont plus nécessaires au regard des finalités du traitement, que la personne concernée retire le consentement sur lequel est fondé le traitement et qu'il n'existe pas d'autre fondement juridique pour celui-ci, que la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1 ou 2, du règlement 2016/679, qui remplace l'article 14 de la directive 95/46, que les données ont fait l'objet d'un traitement illicite, qu'elles doivent être effacées pour respecter une obligation légale ou qu'elles ont été collectées dans le cadre de l'offre de services de la société de l'information aux enfants ". Elle a également relevé que : " L'article 17, paragraphe 3, du règlement 2016/679 précise que l'article 17, paragraphe 1, de ce règlement ne s'applique pas dans la mesure où le traitement en cause est nécessaire pour l'un des motifs énumérés à cette première disposition. Parmi ces motifs, figure, à l'article 17, paragraphe 3, sous a), dudit règlement, l'exercice du droit relatif, notamment, à la liberté d'information ". La Cour a précisé que : " La circonstance que l'article 17, paragraphe 3, sous a), du règlement 2016/679 prévoit désormais expressément que le droit à l'effacement de la personne concernée est exclu lorsque le traitement est nécessaire à l'exercice du droit relatif, notamment, à la liberté d'information, garantie par l'article 11 de la Charte des droits fondamentaux de l'Union européenne, constitue une expression du fait que le droit à la protection des données à caractère personnel n'est pas un droit absolu, mais doit, ainsi que le souligne le considérant 4 de ce règlement, être considéré par rapport à sa fonction dans la société et être mis en balance avec d'autres droits fondamentaux, conformément au principe de proportionnalité ". Elle a également précisé que : " Le règlement 2016/679, et notamment son article 17, paragraphe 3, sous a), consacre ainsi explicitement l'exigence d'une mise en balance entre, d'une part, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, consacrés par les articles 7 et 8 de la Charte, et, d'autre part, le droit fondamental à la liberté d'information, garanti par l'article 11 de la Charte ".

10. Par ailleurs, par son arrêt du 13 mai 2014 Google Spain SL, Google Inc. contre Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez (C-131/12), la Cour a dit pour droit que : " Les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 doivent être interprétés en ce sens que, dans le cadre de l'appréciation des conditions d'application de ces dispositions, il convient notamment d'examiner si la personne concernée a un droit à ce que l'information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d'une recherche effectuée à partir de son nom, sans pour autant que la constatation d'un tel droit présuppose que l'inclusion de l'information en question dans cette liste cause un préjudice à cette personne. Cette dernière pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la Charte, demander que l'information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats, ces droits prévalent, en principe, non seulement sur l'intérêt économique de l'exploitant du moteur de recherche, mais également sur l'intérêt de ce public à accéder à ladite information lors d'une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s'il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question ".

11. Il découle de ce qui a été dit aux points précédents qu'il appartient en principe à la CNIL, saisie par une personne d'une demande tendant à ce qu'elle mette l'exploitant d'un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers des pages web publiées par des tiers et contenant des données personnelles ne relevant pas de catégories particulières la concernant, d'y faire droit. Toutefois, il revient à la CNIL d'apprécier, compte tenu du droit à la liberté d'information, s'il existe un intérêt prépondérant du public à avoir accès à une telle information à partir d'une recherche portant sur le nom de cette personne de nature à faire obstacle au droit au déréférencement. Pour procéder ainsi à une mise en balance entre le droit au respect de la vie privée et à la protection des données à caractère personnel et le droit à la liberté d'information et apprécier s'il peut être légalement fait échec au droit au déréférencement, il lui incombe de tenir notamment compte, d'une part, de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d'avoir pour la personne concernée et, d'autre part, de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société. Il lui incombe également de prendre en compte la possibilité d'accéder aux mêmes informations à partir d'une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée ainsi que le rôle qu'a, le cas échéant, joué cette dernière dans la publicité conférée aux données la concernant.

Sur l'objet du litige et la légalité de la décision attaquée :

12. En premier lieu, il ressort des pièces du dossier qu'ainsi qu'elle le fait valoir dans ses écritures devant le Conseil d'Etat, la société Google a, postérieurement à la présentation des requêtes, procédé au déréférencement du lien renvoyant vers le site Google +. Il résulte de ce qui a été dit au point 5 que les conclusions de Mme A. tendant à l'annulation de la décision de la CNIL en tant qu'elle porte sur ce lien ont perdu leur objet. Il n'y a dès lors plus lieu d'y statuer.

13. En second lieu, il ressort des pièces du dossier que Mme A. a demandé à la CNIL d'ordonner à la société Google de procéder au déréférencement d'un lien renvoyant à une page du site Yelp qui fait état de son activité de médecin généraliste, précise les coordonnées de son cabinet et donne la possibilité aux internautes de rédiger des commentaires à la suite d'une consultation.

14. Si Mme A. conteste le maintien du lien litigieux en tant qu'il mène à des commentaires négatifs relatifs à sa pratique médicale, il ressort en tout état de cause des pièces du dossier qu'à la date de la présente décision, aucun commentaire n'apparait plus sur le site en litige.

15. Par ailleurs, contrairement à ce qui est soutenu, la décision attaquée qui énonce les considérations de droit et de fait sur lesquelles elle se fonde, est en tout état de cause suffisamment motivée.

16. Enfin, eu égard à la nature et au contenu des données qui restent accessibles sur le site Yelp à la date de la présente décision, qui mentionnent seulement l'activité professionnelle de Mme A. et rendent publiques ses coordonnées postales et téléphoniques, la CNIL a pu légalement estimer que l'intérêt prépondérant du public à avoir accès à ces informations à partir d'une recherche effectuée sur le nom de la requérante faisait obstacle à ce qu'il soit fait droit à sa demande de déréférencement.

17. Il résulte de tout ce qui précède que les requêtes de Mme A. doivent être rejetées.

DECIDE :

Article 1er : Il n'y a pas lieu de statuer sur les conclusions dirigées contre la décision de la CNIL en tant qu'elle porte sur le lien menant vers le site Google +.

Article 2 : Le surplus des conclusions des requêtes de Mme A. est rejeté.

Article 3 : La présente décision sera notifiée à Mme A., à la Commission nationale de l'informatique et des libertés et à la société Google LLC.