CE27 mars 2020CE, 10-9 chambres réunies, 27 mars 2020, Société Google Inc, n° 399922, Rec., points 7-10(source)
Droit au déréférencement – Portée territoriale – 1) Portée des obligations pesant sur l'exploitant d'un moteur de recherche en vertu du droit de l'UE – Obligation de déréférencement à l'échelle de l'UE – Existence – Obligation de déréférencement mondial – Absence – 2) Faculté de la CNIL d'imposer un déréférencement mondial – a) Absence, faute de disposition législative prévoyant un déréférencement excédant le champ couvert par le droit de l'UE – b) En tout état de cause, exercice d'une telle faculté subordonné par la CJUE à une mise en balance entre le droit au respect de la vie privée et à la protection des données à caractère personnel et le droit à la liberté d'information
Exploitant d'un moteur de recherche demandant l'annulation de la délibération de la formation restreinte de la CNIL le sanctionnant pour ne s'être pas conformé à la mise en demeure qui lui avait été dressée de faire droit aux demandes de déréférencement de personnes physiques en supprimant de la liste des résultats affichés l'ensemble des liens menant vers les pages web litigieuses sur toutes les extensions de nom de domaine de son moteur de recherche.
1) Par un arrêt du 24 septembre 2019, Google LLC contre CNIL (C‑507/17), la CJUE a dit pour droit que l'article 17, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016 doit être interprété en ce sens que, lorsque l'exploitant d'un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d'opérer ce déréférencement non pas sur l'ensemble des versions de son moteur, mais sur les versions correspondant à l'ensemble des États membres et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d'empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l'un des États membres d'avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l'objet de cette demande.
Il en résulte que la formation restreinte de la CNIL a entaché sa délibération d'erreur de droit en sanctionnant l'exploitant au motif que seule une mesure de déréférencement s'appliquant à l'intégralité du traitement lié au moteur de recherche, sans considération des extensions interrogées et de l'origine géographique de l'internaute effectuant une recherche, est à même de répondre à l'exigence de protection telle qu'elle a été consacrée par la CJUE.
2) a) Si la CNIL soutient en défense que la sanction contestée trouve son fondement dans la faculté que la Cour de justice a reconnue aux autorités de contrôle d'ordonner de procéder à un déréférencement portant sur l'ensemble des versions d'un moteur de recherche, il ne résulte, en l'état du droit applicable, d'aucune disposition législative qu'un tel déréférencement pourrait excéder le champ couvert par le droit de l'Union européenne pour s'appliquer hors du territoire des États membres de l'Union européenne.
b) Au surplus, il résulte en tout état de cause des énonciations du point 72 de l'arrêt de la CJUE du 24 septembre 2019 qu'une telle faculté ne peut être ouverte qu'au terme d'une mise en balance entre, d'une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d'autre part, le droit à la liberté d'information. Or, il ressort des termes mêmes de la délibération attaquée que, pour constater l'existence de manquements persistants et reprocher à la société requérante d'avoir méconnu l'obligation de principe de procéder au déréférencement portant sur l'ensemble des versions d'un moteur de recherche, la formation restreinte de la CNIL n'a pas effectué une telle mise en balance.