Court of Justice of the European Communities (including Court of First Instance Decisions)

You are here: BAILII >> Databases >> Court of Justice of the European Communities (including Court of First Instance Decisions) >> G. C. and Others (Dereferencement de donnees sensibles) (Data protection - Opinion) French Text [2019] EUECJ C-136/17_O (10 January 2019)
URL: http://www.bailii.org/eu/cases/EUECJ/2019/C13617_O.html
Cite as: [2019] EUECJ C-136/17_O, ECLI:EU:C:2019:14, EU:C:2019:14

[New search] [Contents list] [Help]

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. MACIEJ SZPUNAR

présentées le 10 janvier 2019 (1)

Affaire C‑136/17

G. C.,

A. F.,

B. H.,

E. D.

contre

Commission nationale de l’informatique et des libertés (CNIL)

en présence de

Premier ministre,

Google Inc.

[demande de décision préjudicielle formée par le Conseil d’État (France)]

« Renvoi préjudiciel – Données à caractère personnel – Traitement des données – Exploitant d’un moteur de recherche Internet – Demande de déréférencement – Portée de l’obligation – Traitement de données à caractère personnel effectué aux seules fins de journalisme ou d’expression artistique ou littéraire »

I. Introduction

1. Concilier le droit à la vie privée et à la protection des données à caractère personnel avec le droit à l’information et à la liberté d’expression à l’ère d’Internet est l’un des principaux défis de notre époque. Partant, il n’est pas surprenant qu’au cours des dernières années un certain nombre d’affaires soulevant des questions juridiques liées à cette problématique ait été porté devant la Cour.

2. Une fois la question tranchée et réglée, de nouvelles questions se posent. Ce phénomène est d’autant plus accentué que, très souvent, le cadre juridique n’a pas été adopté dans la perspective de l’ère d’Internet. L’affaire au principal, tout comme l’affaire C‑507/17, Google (Portée territoriale du déréférencement), dans laquelle mes conclusions sont rendues le même jour que dans la présente affaire, en est un bon exemple : comment et dans quelle mesure les obligations imposées par une directive sur la protection des données de 1995, à savoir la directive 95/46/CE (2), s’appliquent-elles à un moteur de recherche tel que Google, une entreprise créée en 1998 ?

3. Dans son arrêt de principe du 13 mai 2014, Google Spain et Google (3), la Cour a jugé que, en vertu de l’article 12, sous b), et de l’article 14, premier alinéa, sous a), de la directive 95/46, les individus bénéficient d’un « droit à l’oubli » (4) susceptible d’entraîner une obligation de l’exploitant d’un moteur de recherche de supprimer les liens vers des informations le concernant (5). La présente affaire s’inscrit dans le prolongement de cet arrêt. En effet, à la suite de cet arrêt, un grand nombre de questions nouvelles s’est posé, concernant notamment le traitement des données dites « sensibles », relatives à l’origine raciale ou ethnique, aux opinions politiques ainsi qu’aux convictions religieuses ou philosophiques.

4. C’est la raison pour laquelle, lorsque j’interpréterai le droit tel qu’il existe, je ferai également référence tant à la législation en vigueur qu’à l’interprétation qui en est faite dans l’arrêt Google Spain et Google (6).

5. En deux mots, ma proposition à la Cour est double : d’une part, en règle générale, les liens Internet vers des données sensibles devraient, sur demande, être systématiquement supprimés par l’exploitant d’un moteur de recherche ; d’autre part, la liberté d’expression doit être respectée. À cet égard, j’invite la Cour à interpréter son arrêt Google Spain et Google (7) de manière à tenir dûment compte de la liberté d’expression.

II. Le cadre juridique

A. Le droit de l’Union

1. La directive 95/46

6. Selon son article 1^er, la directive 95/46 a pour objet la protection des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l’égard du traitement des données à caractère personnel, ainsi que l’élimination des obstacles à la libre circulation de ces données.

7. L’article 2 de la directive 95/46 dispose que, « [a]ux fins de [celle-ci], on entend par :

a) “données à caractère personnel” : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ;

b) “traitement de données à caractère personnel” (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ;

[...]

d) “responsable du traitement” : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou communautaires, le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou communautaire ;

[...]

h) “consentement de la personne concernée” : toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement. »

8. L’article 3, paragraphe 1, de cette directive, intitulé « Champ d’application », dispose :

« La présente directive s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. »

9. L’article 4 de ladite directive, intitulé « Droit national applicable », prévoit :

« 1. Chaque État membre applique les dispositions nationales qu’il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque :

a) le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de l’État membre; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable ;

[...] »

10. Au chapitre II, section I, intitulée « Principes relatifs à la qualité des données », de la directive 95/46, l’article 6 dispose :

« 1. Les États membres prévoient que les données à caractère personnel doivent être :

a) traitées loyalement et licitement ;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible pour autant que les États membres prévoient des garanties appropriées ;

c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement;

d) exactes et, si nécessaire, mises à jour; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ;

e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques.

2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1. »

11. Au chapitre II, section II, intitulée « Principes relatifs à la légitimation des traitements de données », de la directive 95/46, l’article 7 dispose :

« Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si :

[...]

f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1^er paragraphe 1. »

12. Au chapitre II, section III, intitulée « Catégories particulières de traitement », de la directive 95/46 figurent les articles 8 et 9. L’article 8 de cette directive, intitulé « Traitements portant sur des catégories particulières de données », prévoit :

« 1. Les États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle.

2. Le paragraphe 1 ne s’applique pas lorsque :

a) la personne concernée a donné son consentement explicite à un tel traitement, sauf dans le cas où la législation de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut être levée par le consentement de la personne concernée

b) le traitement est nécessaire aux fins de respecter les obligations et les droits spécifiques du responsable du traitement en matière de droit du travail, dans la mesure où il est autorisé par une législation nationale prévoyant des garanties adéquates

c) le traitement est nécessaire à la défense des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement

d) le traitement est effectué dans le cadre de leurs activités légitimes et avec des garanties appropriées par une fondation, une association ou tout autre organisme à but non lucratif et à finalité politique, philosophique, religieuse ou syndicale, à condition que le traitement se rapporte aux seuls membres de cet organisme ou aux personnes entretenant avec lui des contacts réguliers liés à sa finalité et que les données ne soient pas communiquées à des tiers sans le consentement des personnes concernées

e) le traitement porte sur des données manifestement rendues publiques par la personne concernée ou est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

[...]

4. Sous réserve de garanties appropriées, les États membres peuvent prévoir, pour un motif d’intérêt public important, des dérogations autres que celles prévues au paragraphe 2, soit par leur législation nationale, soit sur décision de l’autorité de contrôle.

5. Le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être effectué que sous le contrôle de l’autorité publique ou si des garanties appropriées et spécifiques sont prévues par le droit national, sous réserve des dérogations qui peuvent être accordées par l’État membre sur la base de dispositions nationales prévoyant des garanties appropriées et spécifiques. Toutefois, un recueil exhaustif des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique.

Les États membres peuvent prévoir que les données relatives aux sanctions administratives ou aux jugements civils sont également traitées sous le contrôle de l’autorité publique.

6. Les dérogations au paragraphe 1 prévues aux paragraphes 4 et 5 sont notifiées à la Commission.

[...] »

13. L’article 9 de cette directive 95/46, intitulé « Traitements de données à caractère personnel et liberté d’expression », énonce :

« Les États membres prévoient, pour les traitements de données à caractère personnel effectués aux seules fins de journalisme ou d’expression artistique ou littéraire, des exemptions et dérogations au présent chapitre, au chapitre IV et au chapitre VI dans la seule mesure où elles s’avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d’expression. »

14. L’article 12 de ladite directive, intitulé « Droit d’accès », prévoit :

« Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement :

[...]

b) selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données ;

[...] »

15. L’article 14 de la même directive, intitulé « Droit d’opposition de la personne concernée », dispose :

« Les États membres reconnaissent à la personne concernée le droit :

a) au moins dans les cas visés à l’article 7 points e) et f), de s’opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de disposition contraire du droit national. En cas d’opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut plus porter sur ces données ;

[...] »

16. L’article 28 de la directive 95/46, intitulé « Autorité de contrôle », est libellé comme suit :

« 1. Chaque État membre prévoit qu’une ou plusieurs autorités publiques sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de la présente directive.

[...]

3. Chaque autorité de contrôle dispose notamment :

– de pouvoirs d’investigation, tels que le pouvoir d’accéder aux données faisant l’objet d’un traitement et de recueillir toutes les informations nécessaires à l’accomplissement de sa mission de contrôle,

– de pouvoirs effectifs d’intervention, tels que, par exemple, celui [...] d’ordonner le verrouillage, l’effacement ou la destruction de données, ou d’interdire temporairement ou définitivement un traitement [...],

[...]

Les décisions de l’autorité de contrôle faisant grief peuvent faire l’objet d’un recours juridictionnel.

4. Chaque autorité de contrôle peut être saisie par toute personne, ou par une association la représentant, d’une demande relative à la protection de ses droits et libertés à l’égard du traitement de données à caractère personnel. La personne concernée est informée des suites données à sa demande.

[...]

6. Indépendamment du droit national applicable au traitement en cause, chaque autorité de contrôle a compétence pour exercer, sur le territoire de l’État membre dont elle relève, les pouvoirs dont elle est investie conformément au paragraphe 3. Chaque autorité peut être appelée à exercer ses pouvoirs sur demande d’une autorité d’un autre État membre.

Les autorités de contrôle coopèrent entre elles dans la mesure nécessaire à l’accomplissement de leurs missions, notamment en échangeant toute information utile.

[...] »

2. Le règlement 2016/679

17. En vertu de son article 99, paragraphe 2, le règlement 2016/679 est applicable à partir du 25 mai 2018. L’article 94, paragraphe 1, de ce règlement dispose que la directive 95/46 est abrogée avec effet à cette même date.

18. L’article 9 de ce règlement, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », dispose :

« 1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.

2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie :

a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l’Union ou le droit de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ;

[...]

e) le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée ;

[...]

g) le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ;

[...] »

19. L’article 10 dudit règlement, intitulé « Traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions », énonce :

« Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l’article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique. »

20. L’article 17 de ce même règlement, intitulé « Droit à l’effacement (“droit à l’oubli”) », est libellé comme suit :

« 1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :

a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;

b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement ;

c) la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2 ;

d) les données à caractère personnel ont fait l’objet d’un traitement illicite ;

e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ;

f) les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information visée à l’article 8, paragraphe 1.

2. Lorsqu’il a rendu publiques les données à caractère personnel et qu’il est tenu de les effacer en vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d’ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l’effacement par ces responsables du traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci.

3. Les paragraphes 1 et 2 ne s’appliquent pas dans la mesure où ce traitement est nécessaire :

a) à l’exercice du droit à la liberté d’expression et d’information ;

b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

c) pour des motifs d’intérêt public dans le domaine de la santé publique, conformément à l’article 9, paragraphe 2, points h) et i), ainsi qu’à l’article 9, paragraphe 3 ;

d) à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, dans la mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ; ou

e) la constatation, à l’exercice ou à la défense de droits en justice. »

21. L’article 18 du règlement 2016/679, intitulé « Droit à la limitation du traitement », dispose :

« 1. La personne concernée a le droit d’obtenir du responsable du traitement la limitation du traitement lorsque l’un des éléments suivants s’applique :

a) l’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l’exactitude des données à caractère personnel ;

b) le traitement est illicite et la personne concernée s’oppose à leur effacement et exige à la place la limitation de leur utilisation ;

[...]

d) la personne concernée s’est opposée au traitement en vertu de l’article 21, paragraphe 1, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée.

2. Lorsque le traitement a été limité en vertu du paragraphe 1, ces données à caractère personnel ne peuvent, à l’exception de la conservation, être traitées qu’avec le consentement de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice, ou pour la protection des droits d’une autre personne physique ou morale, ou encore pour des motifs importants d’intérêt public de l’Union ou d’un État membre.

3. Une personne concernée qui a obtenu la limitation du traitement en vertu du paragraphe 1 est informée par le responsable du traitement avant que la limitation du traitement ne soit levée. »

22. L’article 21, paragraphe 1, de ce règlement, intitulé « Droit d’opposition », prévoit :

« La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice. »

23. L’article 85 dudit règlement, intitulé « Traitement et liberté d’expression et d’information », énonce :

« 1. Les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre du présent règlement et le droit à la liberté d’expression et d’information, y compris le traitement à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire.

2. Dans le cadre du traitement réalisé à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire, les États membres prévoient des exemptions ou des dérogations au chapitre II (principes), au chapitre III (droits de la personne concernée), au chapitre IV (responsable du traitement et sous-traitant), au chapitre V (transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales), au chapitre VI (autorités de contrôle indépendantes), au chapitre VII (coopération et cohérence) et au chapitre IX (situations particulières de traitement) si celles-ci sont nécessaires pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information.

3. Chaque État membre notifie à la Commission les dispositions légales qu’il a adoptées en vertu du paragraphe 2 et, sans tarder, toute disposition légale modificative ultérieure ou toute modification ultérieure les concernant. »

B. Le droit français

24. La directive 95/46 a été transposée en droit français par la loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

III. Les faits et la procédure au principal

25. G. C., A. F., B. H. et E. D. ont tous demandé à la société Google LLC de déréférencer divers liens menant vers des pages web publiées par des tiers dans la liste de résultats affichée par le moteur de recherche exploité par cette société en réponse à une recherche effectuée à partir de leur nom respectif, ce que ladite société a refusé.

26. Plus particulièrement, G. C. a demandé le déréférencement d’un lien qui renvoie à un photomontage satirique mis en ligne, sous pseudonyme, le 18 février 2011 sur la chaîne YouTube, la mettant en scène au côté du maire de la commune dont elle était directrice de cabinet et évoquant de manière explicite la relation intime qui la lierait à celui-ci, ainsi que l’incidence de cette relation sur son propre parcours politique. Ce photomontage a été mis en ligne à l’occasion de la campagne pour les élections cantonales auxquelles G. C. était alors candidate. Lorsqu’un refus a été opposé à sa demande de déréférencement, l’intéressée n’était ni élue ni candidate à un mandat électif local et n’exerçait plus les fonctions de directrice de cabinet du maire de la commune.

27. A. F. a demandé le déréférencement de liens renvoyant à un article du quotidien Libération du 9 septembre 2008, reproduit sur le site du Centre contre les manipulations mentales (CCMM), relatif au suicide d’une adepte de l’Église de scientologie en décembre 2006. A. F. est mentionné dans cet article en qualité de responsable des relations publiques de l’Église de scientologie, profession qu’il a cessé d’exercer depuis lors. Par ailleurs, l’auteur de l’article litigieux indique qu’il aurait contacté A. F. pour obtenir sa version des faits et relate les propos recueillis à cette occasion.

28. B. H. a demandé le déréférencement de liens menant vers des articles, principalement de presse, relatifs à l’information judiciaire ouverte au mois de juin 1995 sur le financement du Parti républicain (PR) dans le cadre de laquelle il a été mis en examen avec plusieurs hommes d’affaires et personnalités politiques. La procédure le concernant a été clôturée par une ordonnance de non-lieu le 26 février 2010. La plupart des liens litigieux mènent vers des articles qui sont contemporains de l’ouverture de l’instruction et ne font donc pas état de l’issue de la procédure.

29. E. D. a demandé le déréférencement de liens menant vers deux articles publiés dans Nice Matin et le Figaro rendant compte de l’audience correctionnelle au cours de laquelle il a été condamné à une peine de sept ans d’emprisonnement et à une peine complémentaire de dix ans de suivi socio-judiciaire pour des faits d’agressions sexuelles sur mineurs de quinze ans. L’une de ces chroniques judiciaires mentionne en outre plusieurs détails intimes relatifs à E. D. qui ont été révélés à l’occasion du procès.

30. À la suite des refus opposés par Google, les requérants ont saisi la Commission nationale de l’informatique et des libertés (CNIL) de plaintes tendant à ce qu’il soit enjoint à cette société de procéder au déréférencement des liens en cause. Par courriers datés du 24 avril 2015, du 28 août 2015, du 21 mars 2016 et du 9 mai 2016, la présidente de la CNIL a informé les requérants de la clôture de leurs plaintes.

31. Les requérants ont alors déposé des requêtes dirigées contre ces refus de la CNIL de mettre en demeure Google de procéder aux déréférencements demandés. Ces requêtes ont été jointes par la juridiction de renvoi.

IV. Les questions préjudicielles et la procédure devant la Cour

32. Ayant constaté que lesdites requêtes présentent plusieurs difficultés sérieuses d’interprétation de la directive 95/46, le Conseil d’État (France), par décision du 24 février 2017, parvenue à la Cour le 15 mars 2017, a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1) Eu égard aux responsabilités, aux compétences et aux possibilités spécifiques de l’exploitant d’un moteur de recherche, l’interdiction faite aux autres responsables de traitement de traiter des données relevant des paragraphes 1 et 5 de l’article 8 de la directive [95/46], sous réserve des exceptions prévues par ce texte, est-elle également applicable à cet exploitant en tant que responsable du traitement que constitue ce moteur ?

2) En cas de réponse positive à la première question :

– les dispositions de l’article 8 paragraphes 1 et 5 de la directive [95/46] doivent-elles être interprétées en ce sens que l’interdiction ainsi faite, sous réserve des exceptions prévues par cette directive, à l’exploitant d’un moteur de recherche de traiter des données relevant de ces dispositions l’obligerait à faire systématiquement droit aux demandes de déréférencement portant sur des liens menant vers des pages web qui traitent de telles données ?

– dans une telle perspective, comment s’interprètent les exceptions prévues à l’article 8 paragraphe 2, sous a) et e), de la directive [95/46], lorsqu’elles s’appliquent à l’exploitant d’un moteur de recherche, eu égard à ses responsabilités, ses compétences et ses possibilités spécifiques? En particulier, un tel exploitant peut-il refuser de faire droit à une demande de déréférencement lorsqu’il constate que les liens en cause mènent vers des contenus qui, s’ils comportent des données relevant des catégories énumérées au paragraphe 1 de l’article 8, entrent également dans le champ des exceptions prévues par le paragraphe 2 de ce même article, notamment [sous a) et e)] ?

– de même, les dispositions de la directive [95/46] doivent-elles être interprétées en ce sens que, lorsque les liens dont le déréférencement est demandé mènent vers des traitements de données à caractère personnel effectués aux seules fins de journalisme ou d’expression artistique ou littéraire qui, à ce titre, en vertu de l’article 9 de la directive [95/46], peuvent collecter et traiter des données relevant des catégories mentionnées à l’article 8, paragraphes 1 et 5, de cette directive, l’exploitant d’un moteur de recherche peut, pour ce motif, refuser de faire droit à une demande de déréférencement ?

3) En cas de réponse négative à la première question :

– à quelles exigences spécifiques de la directive [95/46] l’exploitant d’un moteur de recherche, compte tenu de ses responsabilités, de ses compétences et de ses possibilités, doit-il satisfaire ?

– lorsqu’il constate que les pages web, vers lesquelles mènent les liens dont le déréférencement est demandé, comportent des données dont la publication, sur lesdites pages, est illicite, les dispositions de la directive [95/46] doivent-elles être interprétées en ce sens :

– qu’elles imposent à l’exploitant d’un moteur de recherche de supprimer ces liens de la liste des résultats affichés à la suite d’une recherche effectuée à partir du nom du demandeur ?

– ou qu’elles impliquent seulement qu’il prenne en compte cette circonstance pour apprécier le bien-fondé de la demande de déréférencement ?

– ou que cette circonstance est sans incidence sur l’appréciation qu’il doit porter ?

En outre, si cette circonstance n’est pas inopérante, comment apprécier la licéité de la publication des données litigieuses sur des pages web qui proviennent de traitements n’entrant pas dans le champ d’application territorial de la directive [95/46] et, par suite, des législations nationales la mettant en œuvre ?

4) Quelle que soit la réponse apportée à la première question :

– indépendamment de la licéité de la publication des données à caractère personnel sur la page web vers laquelle mène le lien litigieux, les dispositions de la directive [95/46] doivent-elles être interprétées en ce sens que :

– lorsque le demandeur établit que ces données sont devenues incomplètes ou inexactes, ou qu’elles ne sont plus à jour, l’exploitant d’un moteur de recherche est tenu de faire droit à la demande de déréférencement correspondante ?

– plus spécifiquement, lorsque le demandeur démontre que, compte tenu du déroulement de la procédure judiciaire, les informations relatives à une étape antérieure de la procédure ne correspondent plus à la réalité actuelle de sa situation, l’exploitant d’un moteur de recherche est tenu de déréférencer les liens menant vers des pages web comportant de telles informations ?

– les dispositions de l’article 8, paragraphe 5, de la directive [95/46] doivent-elles être interprétées en ce sens que les informations relatives à la mise en examen d’un individu ou relatant un procès, et la condamnation qui en découle, constituent des données relatives aux infractions et aux condamnations pénales? De manière générale, lorsqu’une page web comporte des données faisant état des condamnations ou des procédures judiciaires dont une personne physique a été l’objet, entre-t-elle dans le champ de ces dispositions? »

33. A. F., B. H., Google, les gouvernements français, irlandais, hellénique, italien, autrichien, polonais et du Royaume-Uni, ainsi que la Commission européenne, ont déposé des observations écrites.

34. B. H., Google, les gouvernements français, irlandais, hellénique, autrichien et polonais ainsi que la Commission ont été entendus lors de l’audience qui s’est tenue le 11 septembre 2018.

V. Analyse

A. Remarques liminaires

1. L’acte législatif pertinent : la directive 95/46

35. Les questions posées par la juridiction de renvoi portent non pas sur l’interprétation des dispositions du règlement 2016/679 mais sur celle des dispositions de la directive 95/46. Or ce règlement, qui est applicable depuis le 25 mai 2018 (8), a abrogé la directive avec effet à cette même date (9).

36. Dans la mesure où il apparaît que, en droit de procédure administrative français, la loi applicable à un litige est celle du jour d’une décision attaquée, il ne fait pas de doute que c’est la directive 95/46 qui est applicable au litige au principal. Par conséquent, ce sont les dispositions de cette directive que la Cour est appelée à interpréter.

2. Toile de fond : arrêt Google Spain et Google

37. Les questions de la juridiction de renvoi dans la présente affaire ont pour toile de fond l’arrêt de principe Google Spain et Google (10), dans lequel la Cour a dit pour droit, notamment, et ce qui est d’intérêt pour la présente affaire :

– que l’activité d’un moteur de recherche doit être qualifiée de « traitement de données à caractère personnel » au sens de l’article 2, sous b), de la directive 95/46 lorsque ces informations contiennent des données à caractère personnel et que l’exploitant de ce moteur de recherche doit être considéré comme le « responsable » dudit traitement, au sens de l’article 2, sous d), de cette directive (11) ;

– qu’afin de respecter les droits prévus à l’article 12, sous b), et à l’article 14, premier alinéa, sous a), de la directive 95/46, et pour autant que les conditions prévues par ces dispositions sont effectivement satisfaites, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, les cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite (12) ;

– que dans le cadre de l’appréciation des conditions d’application de l’article 12, sous b), et de l’article 14, premier alinéa, sous a), de la directive 95/46, il convient notamment d’examiner si la personne concernée a un droit à ce que l’information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom, sans pour autant que la constatation d’un tel droit présuppose que l’inclusion de l’information en question dans cette liste cause un préjudice à cette personne (13) et

– que ladite personne pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), demander que l’information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats, ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à accéder à ladite information lors d’une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question (14).

38. Les faits de l’affaire ayant donné lieu à l’arrêt Google Spain et Google (15) concernaient des données, certes personnelles, mais pas « sensibles » au sens de l’article 8 de la directive 95/46. Cela nous amène à la première question.

B. La première question préjudicielle

39. Par sa première question, la juridiction de renvoi demande si, eu égard aux responsabilités, aux compétences et aux possibilités spécifiques de l’exploitant d’un moteur de recherche, l’interdiction faite aux autres responsables de traitement de traiter des données relevant de l’article 8, paragraphes 1 et 5, de la directive 95/46 est également applicable à un tel exploitant.

40. En vertu de l’article 8, paragraphe 1, de la directive 95/46, les États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle.

41. L’article 8, paragraphe 5, de cette directive stipule que le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être effectué que sous le contrôle de l’autorité publique ou si des garanties appropriées et spécifiques sont prévues par le droit national, sous réserve des dérogations qui peuvent être accordées par l’État membre sur la base de dispositions nationales prévoyant des garanties appropriées et spécifiques. Toutefois, un recueil exhaustif des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique. Les États membres peuvent prévoir que les données relatives aux sanctions administratives ou aux jugements civils sont également traitées sous le contrôle de l’autorité publique.

42. Il y a lieu de constater que l’article 8 de la directive 95/46 n’était pas en cause dans l’affaire ayant donné lieu à l’arrêt Google Spain et Google (16). Ce simple constat me conduit à supposer que, contrairement à ce qu’avance Google dans ses observations, la réponse à la première question préjudicielle ne saurait découler de cet arrêt. Le fait que cette affaire ne concernait pas des données sensibles visées à l’article 8, paragraphe 1, de la directive 95/46 ne signifie pas qu’un moteur de recherche n’est pas soumis à cette disposition.

43. Dans ses conclusions dans l’affaire Google Spain et Google, l’avocat général Jääskinen a motivé, notamment, comme suit sa thèse (qui n’a pas été suivie par la Cour), selon laquelle un fournisseur de services de moteur de recherche sur Internet n’est pas un « responsable du traitement » de données à caractère personnel sur les pages web source de tiers : « Retenir une thèse opposée supposerait que les moteurs de recherche sur Internet sont incompatibles avec le droit de l’Union, une conclusion que je jugerais absurde. Plus particulièrement, si les fournisseurs de services de moteur de recherche sur Internet étaient considérés comme des responsables du traitement de données à caractère personnel sur des pages web source de tiers et que figuraient sur ces pages des “catégories particulières de données”, telles que visées à l’article 8 de la directive [95/46 ] (c’est-à-dire des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que des données relatives à la santé et à la vie sexuelle), l’activité du fournisseur de services de moteur de recherche sur Internet deviendrait automatiquement illégale, dès lors que les conditions strictes prévues dans cet article pour le traitement de telles données ne seraient pas remplies. » (17)

44. Ce passage met très bien en exergue la problématique et l’enjeu de la présente affaire. Étant donné que la directive 95/46, qui date de l’année 1995, et dont les destinataires des obligations qu’elle prévoit sont en principe les États membres, n’avait pas été rédigée en ayant à l’esprit les moteurs de recherche tels qu’ils existent à l’heure actuelle, ses dispositions ne se prêtent pas à une application intuitive et purement littérale à de tels moteurs de recherche. C’est précisément pour cette raison que les juridictions de renvoi avaient, tout comme dans la présente affaire, des doutes dans l’affaire ayant donné lieu à l’arrêt Google Spain et Google (18) et se sont adressées à la Cour.

45. Par conséquent, l’on ne saurait adopter une approche de « tout ou rien » concernant l’applicabilité des dispositions de la directive 95/46 aux moteurs de recherche. Selon moi, il convient d’examiner chaque disposition du point de vue de son aptitude à être appliquée à un moteur de recherche.

46. Appliquer à la lettre à un moteur de recherche l’article 8, paragraphe 1, de la directive 95/46 aurait pour effet d’interdire tout traitement des données qui y sont énumérées, sous réserve des exceptions prévues à l’article 8, paragraphe 2, de cette directive.

47. À cet égard, je relève qu’aucune des parties ayant soumis des observations ne plaide pour une interprétation aussi stricte, et ce à juste titre.

48. Une application à la lettre de l’article 8, paragraphe 1, de la directive 95/46 obligerait un moteur de recherche à contrôler qu’une liste de résultats affichée à la suite d’une recherche effectuée sur la base du nom d’une personne physique ne contienne pas de lien vers des pages Internet comportant des données visées par cette disposition, et ce ex ante et d’office, c’est-à-dire même en l’absence de demande de déréférencement d’une personne concernée.

49. À mon avis, un contrôle ex ante et d’office n’est ni possible ni souhaitable.

50. Dans l’arrêt Google Spain et Google (19), la Cour a relevé que, « dans la mesure où l’activité d’un moteur de recherche est susceptible d’affecter significativement et de manière additionnelle par rapport à celle des éditeurs de sites web les droits fondamentaux de la vie privée et de la protection des données à caractère personnel, l’exploitant de ce moteur en tant que personne déterminant les finalités et les moyens de cette activité doit assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que celle-ci satisfait aux exigences de la directive 95/46 pour que les garanties prévues par celle-ci puissent développer leur plein effet et qu’une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée » (20).

51. Il est possible de tirer deux conclusions de ce passage. Tout d’abord, comme le soutient la Commission dans ses observations, la directive 95/46 part du principe que tout responsable du traitement doit satisfaire à l’ensemble des exigences qu’elle édicte, y compris celles prévues à son article 8.

52. Ensuite, et même si ce passage est formulé comme une obligation incombant à l’exploitant d’un moteur de recherche (21), un tel exploitant ne peut agir que dans le cadre de ses responsabilités, de ses compétences et de ses possibilités. En d’autres termes, un tel exploitant peut ne pas être en mesure d’assurer le plein effet des dispositions de la directive 95/46, justement en raison de ses responsabilités, de ses compétences et de ses possibilités limitées.

53. Il convient donc d’interpréter l’article 8 de la directive 95/46 de façon à tenir compte des responsabilités, des compétences et des possibilités d’un exploitant d’un moteur de recherche.

54. À cet égard, il convient d’exclure une application ex ante de l’article 8, paragraphe 1, de la directive 95/46 à un exploitant d’un moteur de recherche. Un contrôle ex ante de pages Internet qui sont référencées en tant que résultat d’une recherche ne relève pas de la responsabilité ni des possibilités (22) d’un moteur de recherche. La tâche d’un exploitant d’un moteur de recherche est, comme le signale son titre, de rechercher, de trouver, de relever et de mettre à disposition, et ce grâce à un algorithme qui permet de trouver les informations de la manière la plus efficace. En revanche, ce n’est pas à l’exploitant d’un moteur de recherche de contrôler, voire de censurer. L’exploitant d’un moteur de recherche agit aux fins de la recherche et réagit aux fins du déréférencement d’un résultat de recherche. C’est en tout cas ainsi que je comprends l’arrêt Google Spain et Google (23).

55. Dans un même ordre d’idées, et ainsi que le souligne également la Commission, les interdictions et les restrictions édictées à l’article 8, paragraphe 1, de la directive 95/46 ne peuvent pas s’appliquer à un exploitant d’un moteur de recherche comme s’il avait lui-même fait figurer les données sensibles dans les pages Internet référencées. Logiquement, l’activité d’un moteur de recherche n’intervient qu’après la mise en ligne de données (sensibles) et a un caractère secondaire.

56. Partant, les interdictions et les restrictions prévues à l’article 8, paragraphe 1, de la directive 95/46 ne peuvent s’appliquer à un moteur de recherche qu’en raison de ce référencement et, donc, par l’intermédiaire d’une vérification ex post, sur la base d’une demande de déréférencement formée par la personne concernée.

57. Je propose donc de répondre à la première question préjudicielle que, dans le cadre des responsabilités, des compétences et des possibilités d’un exploitant d’un moteur de recherche, l’article 8, paragraphes 1 et 5, de la directive 95/46 s’applique, en principe, aux activités d’un tel exploitant d’un moteur de recherche.

58. Les modalités d’une telle application sont abordées par la deuxième question préjudicielle.

C. La deuxième question préjudicielle

59. La deuxième question, posée dans l’éventualité où la Cour constaterait l’applicabilité de l’article 8, paragraphes 1 et 5, de la directive 95/46 au traitement effectué par un exploitant d’un moteur de recherche, comporte trois volets.

60. En effet, la juridiction cherche en substance

– à savoir si, sous réserve des exceptions prévues par la directive 95/46, l’interdiction faite à un exploitant d’un moteur de recherche de traiter des données relevant de l’article 8, paragraphes 1 et 5, de cette directive l’oblige à faire systématiquement droit aux demandes de déréférencement qui portent sur des liens menant vers des pages web sur lesquelles figurent de telles données ;

– à savoir comment s’appliquent les exceptions spécifiques, prévues à l’article 8, paragraphe 2, sous a) et e), de la directive 95/46, au traitement effectué par un exploitant d’un moteur de recherche et, notamment, si celui-ci peut refuser de faire droit à une demande de déréférencement sur la base de celles-ci et

– à obtenir des éclaircissements sur les exceptions prévues à l’article 9 de la directive 95/46 pour les traitements effectués aux seules fins de journalisme ou d’expression artistique ou littéraire, et ce dans la seule mesure où ces exceptions s’avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d’expression. À cet égard, la juridiction de renvoi demande si l’exploitant d’un moteur de recherche peut refuser de faire droit à une demande de déréférencement lorsqu’il constate que les données se trouvant sur la page vers laquelle mène le lien en cause y figurent de manière licite en raison du fait que le traitement effectué à cet égard par l’éditeur de la page web est couvert par cette exception.

61. J’aborderai ces sous-questions dans l’ordre dans lequel elles sont posées.

1. Sur le déréférencement systématique

62. Le point de départ est que, en l’absence d’une justification au sens des articles 8 et 9 de la directive 95/46, le refus de l’exploitant d’un moteur de recherche de déréférencer une page Internet est contraire à l’article 8, paragraphes 1 ou 5, de cette directive.

63. Google ainsi que les gouvernements irlandais, autrichien et du Royaume-Uni soutiennent qu’il s’agit d’un facteur important mais non décisif dans le cadre de la pondération des droits et des intérêts que l’exploitant du moteur de recherche devrait effectuer pour chaque demande de déréférencement, y inclus celle portant sur des liens vers des sites Internet traitant des catégories de données particulières, au sens de l’article 8, paragraphes 1 ou 5, de la directive 95/46.

64. En revanche, les gouvernements français, italien et polonais ainsi que la Commission considèrent que l’interdiction de traitement énoncée à l’article 8, paragraphes 1 et 5, de la directive 95/46 implique que l’exploitant du moteur de recherche saisi d’une demande de déréférencement doit systématiquement faire droit à celle-ci, c’est-à-dire sans devoir ou pouvoir vérifier d’autres éléments que l’absence de justification.

65. Je partage cette dernière position.

66. En effet, le libellé de l’article 8, paragraphes 1 et 5, de la directive 95/46 ne permet pas de douter qu’il s’agit d’une obligation d’interdiction de traitement des données sensibles qui y sont énumérées. En effet, je vois mal comment, dans une telle situation, cette obligation pourrait être considérée comme un élément parmi d’autres à prendre en compte dans le cadre de l’examen d’une demande de déréférencement.

67. Une telle approche constitue un prolongement logique de l’affaire ayant donné lieu à l’arrêt Google Spain et Google (24). Pour rappel, cette affaire concernait uniquement des données dont la publication était, en soi, licite. Par conséquent, dans un premier temps, la Cour a pu constater que l’exploitant d’un moteur de recherche était obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web publiées par des tiers et contenant des informations relatives à cette personne – même lorsque cette publication était, en soi, licite (25) – avant, dans un second temps, de procéder à la mise en balance des droits de la personne concernée avec l’intérêt économique de l’exploitant du moteur de recherche ainsi que l’intérêt du public à accéder à l’information en cause (26).

68. À cet égard, je me permets d’ouvrir une parenthèse concernant l’affaire Google Spain et Google. Dans la mesure où il est communément admis que, si une information est licite, la personne qui l’émet bénéficie en tout état de cause de la liberté d’expression consacrée à l’article 11 de la Charte, il aurait été utile que la Cour mentionne expressément ce droit fondamental. Cela aurait fait ressortir plus clairement qu’il ne convient pas seulement de mettre en balance les articles 7 et 8 de la Charte, d’une part, et la liberté d’information, d’autre part, mais que la liberté d’expression doit également entrer en ligne de compte. Je reviendrai sur ce point dans l’analyse relative à l’article 9 de la directive 95/46.

69. En revanche, je ne vois pas de place pour une telle mise en balance dans le cadre de l’article 8 de la directive 95/46. Dès lors qu’il est établi qu’un traitement des données sensibles a lieu, il convient de faire droit à une demande de déréférencement.

70. Je suis bien conscient de la position exprimée par le « groupe de travail “article 29” sur la protection des données » (27) dans ses « Lignes directrices relatives à l’exécution de l’arrêt [Google Spain et Google (28)] » du 26 novembre 2014 (29) (ci-après les « lignes directrices »), selon laquelle, premièrement, dans la plupart des cas de demande de déréférencement, il faut tenir compte de plus d’un critère avant de prendre une décision, deuxièmement, aucun critère n’est déterminant à lui seul (30) et, troisièmement, en ce qui concerne spécifiquement l’article 8 de la directive 95/46, « [l]es autorités chargées de la protection des données sont davantage susceptibles d’intervenir en cas de rejet d’une demande de déréférencement » (31).

71. À cet égard, le fait qu’il convient de tenir compte de plusieurs critères avant de prendre une décision sur une demande de déréférencement me paraît évident. En revanche, affirmer qu’une autorité chargée de la protection des données serait davantage susceptible d’intervenir ne me semble pas suffisamment affirmatif et clair. S’il est avéré que des données relèvent des domaines sensibles visés à l’article 8, paragraphes 1 et 5, de la directive 95/46, leur traitement est alors interdit.

72. Partant, il me semble que la prévention d’une amplification éventuelle de telles données par un moteur de recherche est également couverte par la ratio legis de l’article 8, paragraphes 1 et 5, de la directive 95/46. Étant donné que, en vertu de cette disposition, le législateur considère que le traitement de certaines données est illicite, il en découle, selon moi, que le traitement distinct par un exploitant d’un moteur de recherche l’est également, à tout le moins à partir du moment où cet exploitant n’a pas donné suite à une demande de déréférencement.

73. Autrement dit, avec l’article 8 de la directive 95/46, le législateur de l’Union a déjà tranché la question des données sensibles en ce sens qu’une mise en balance ne saurait avoir lieu. Cette interprétation est confortée par le fait que le règlement 2016/679 a non seulement maintenu l’interdiction (32) d’un traitement de données sensibles mais a même élargi ces catégories (33).

74. Par conséquent, sous réserve des exceptions prévues par la directive 95/46, l’interdiction faite à un exploitant d’un moteur de recherche de traiter des données relevant de l’article 8, paragraphes 1 et 5, de cette directive l’oblige à faire systématiquement droit aux demandes de déréférencement qui portent sur des liens menant vers des pages web sur lesquelles figurent de telles données.

2. Sur les exceptions spécifiques prévues à l’article 8, paragraphe 2, sous a) et e), de la directive 95/46

75. La juridiction de renvoi cherche à obtenir des éclaircissements uniquement sur deux des cinq exceptions prévues à l’article 8, paragraphe 2, de la directive 95/46.

76. Selon l’article 8, paragraphe 2, sous a), de la directive 95/46, le paragraphe 1 ne s’applique pas lorsque la personne concernée a donné son consentement explicite (34) à un tel traitement, sauf dans le cas où la législation de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut être levée par le consentement de ladite personne. L’article 8, paragraphe 2, sous e), de la directive 95/46 stipule que le paragraphe 1 de cet article ne s’applique pas lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée ou est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

77. Dans la mesure où, selon la solution que je propose à la Cour, je considère que les interdictions de traitement prévues à l’article 8, paragraphes 1 et 5, de la directive 95/46 s’appliquent, j’estime que, en principe, les exceptions prévues à ce même article 8 de la directive 95/46 s’appliquent également, même si certaines des exceptions prévues à l’article 8, paragraphe 2, de la directive 95/46 me semblent plus théoriques que pratiques pour ce qui est de leur applicabilité à un moteur de recherche (35). L’exploitant d’un moteur de recherche peut donc refuser de faire droit à une demande de déréférencement lorsque les conditions de l’article 8, paragraphe 2, de cette directive sont remplies.

3. Sur le traitement de données à caractère personnel et la liberté d’expression (article 9 de la directive 95/46)

78. Conformément à l’article 9 de la directive 95/46, les États membres prévoient, pour les traitements de données à caractère personnel effectués aux seules fins de journalisme ou d’expression artistique ou littéraire, des exemptions et des dérogations, notamment, à l’article 8 de la directive 95/46 dans la mesure où elles s’avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d’expression.

79. La question qui se pose est celle de savoir si l’exploitant d’un moteur de recherche peut refuser de faire droit à une demande de déréférencement lorsqu’il constate que l’affichage des données sensibles figurant sur la page vers laquelle mène le lien en cause est licite parce que le traitement effectué à cet égard par l’éditeur de la page Internet est couvert par l’article 9 de la directive 95/46.

80. Il convient de relever que, en vertu de l’arrêt Google Spain et Google (36), il se peut très bien qu’une demande de déréférencement aboutisse contre l’exploitant d’un moteur de recherche, mais échoue contre l’éditeur de la page web référencée en raison de l’article 9 de la directive 95/46. En effet, la Cour a considéré que « le traitement par l’éditeur d’une page web, consistant dans la publication d’informations relatives à une personne physique, peut, le cas échéant, être effectué “aux seules fins de journalisme” et ainsi bénéficier, en vertu de l’article 9 de la directive 95/46, de dérogations aux exigences établies par celle-ci, tandis que tel n’apparaît pas être le cas s’agissant du traitement effectué par l’exploitant d’un moteur de recherche. Il ne saurait ainsi être exclu que la personne concernée soit dans certaines circonstances susceptible d’exercer les droits visés aux articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46 contre ledit exploitant, mais non pas contre l’éditeur de ladite page web » (37).

81. Ce passage clé de l’arrêt Google Spain et Google (38) constitue le noyau dur du raisonnement visant à justifier l’instauration d’un « droit à l’oubli » : afin de protéger la vie privée et le droit aux données de la personne concernée, l’on peut « tirer sur le messager » (même) si une « rectification à la source » est impossible, en raison du droit à la liberté d’expression d’un éditeur d’une page Internet.

82. La tentation est grande d’interpréter ce passage en ce sens que l’article 9 ne s’applique pas à l’exploitant d’un moteur de recherche.

83. Je propose à la Cour de résister à une telle tentation.

84. Premièrement, selon une jurisprudence constante de la Cour européenne des droits de l’homme (ci-après la « Cour de Strasbourg »), « [g]râce à leur accessibilité ainsi qu’à leur capacité à conserver et à diffuser de grandes quantités de données, les sites Internet contribuent grandement à améliorer l’accès du public à l’actualité et, de manière générale, à faciliter la communication de l’information » (39). Plus particulièrement, dans une affaire ayant pour objet un site Internet qui constitue l’un des principaux services de partage de fichiers sur Internet au monde (40), la Cour de Strasbourg a relevé que « l’article 10 de la convention de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (41), concerne non seulement le contenu des informations mais aussi les moyens de transmission ou de captage » (42).

85. Le droit du public de recevoir et de communiquer des informations mises à disposition sur l’internet est protégé par l’article 11 de la Charte (43). Cela concerne aussi bien les informations figurant sur les pages web source que les informations fournies par les moteurs de recherche sur Internet (44).

86. Deuxièmement, la seule conclusion qu’il est possible de déduire du passage précité de l’arrêt Google Spain et Google (45) est que l’article 9 de la directive 95/46 ne s’applique pas en tant que tel directement à l’activité de l’exploitant du moteur de recherche. L’activité d’un tel exploitant étant secondaire à l’activité, primaire, de l’émetteur de l’information, il est logique que l’article 9 de la directive 96/45 vise en premier lieu cet émetteur. Cependant, le fait que les données figurant sur la page Internet en cause relèvent du journalisme ou de l’expression artistique ou littéraire, au sens de l’article 9 de la directive 95/46, ne saurait avoir pour conséquence d’empêcher l’exploitant d’un moteur de recherche, qui, ainsi que je l’ai constaté ci-dessus, est soumis aux obligations prévues à l’article 8 de cette directive, de se prévaloir de l’article 9 de la directive 95/46.

87. Le fait que les données d’une page Internet relèvent de l’article 9 de cette directive doit constituer une circonstance susceptible de permettre le rejet d’une demande de déréférencement.

88. L’article 9 de la directive 95/46 constitue une concrétisation au niveau du droit dérivé de la liberté d’expression et d’information ainsi que de la liberté des médias, consacrées à l’article 11 de la Charte. En d’autres termes, dans la mise en balance à effectuer entre, d’une part, le droit au respect de la vie privée ainsi que le droit à la protection des données au titre des articles 7 et 8 de la Charte et, d’autre part, le droit du public à accéder à l’information en question, le fait que cette information émane de la plume d’un journaliste ou constitue une expression artistique ou littéraire est un élément à prendre en compte.

89. Pour résumer, même si certaines considérations de la Cour auraient pu être formulées de manière plus claire dans l’arrêt Google Spain et Google (46), il n’est pas exclu que la liberté d’expression n’entre pas en ligne de compte lors de l’examen du respect des conditions prévues à l’article 12, sous b), et à l’article 14, premier alinéa, sous a), de la directive 95/46 effectué dans ledit arrêt. À mon sens, lors de la mise en balance entre l’intérêt des internautes potentiellement intéressés à avoir accès à une page Internet via une recherche effectuée à partir du nom de la personne concernée et les droits fondamentaux de cette personne au titre des articles 7 et 8 de la Charte, il convient également de prendre en compte la liberté d’expression et d’information des éditeurs et des internautes, garantie par l’article 11 de la Charte.

90. Je me vois conforté dans cette analyse par les lignes directrices, selon lesquelles « [l]es autorités chargées de la protection des données reconnaissent qu’en fonction du contexte, il peut être pertinent d’examiner si l’information a été publiée à des fins journalistiques. Le fait que l’information est publiée par un journaliste – dont le travail consiste à informer le public – constitue un facteur à prendre en considération. Cependant, ce critère ne suffit pas à lui seul pour rejeter une demande, puisque l’arrêt de la Cour opère clairement une distinction entre la base juridique d’une publication dans les médias et la base juridique permettant aux moteurs de recherche d’organiser les résultats d’une recherche à partir du nom d’une personne » (47).

91. Finalement, il convient de relever que l’article 17 du règlement 2016/679, qui codifie désormais le « droit à l’oubli », prévoit, à son paragraphe 3, sous a), une exception à ce droit lorsque le traitement est nécessaire à l’exercice du droit à la liberté d’expression et d’information. Cette exception s’applique à tous les motifs pouvant fonder un droit à l’oubli, énumérés à l’article 17, paragraphe 1, de la directive 95/46, et, par conséquent, même, par exemple, dans une situation où les données à caractère personnel ont fait l’objet d’un traitement illicite (paragraphe 1, sous d). Le règlement 2016/679 reconnaît donc une limitation du droit au déréférencement pour des raisons relatives à la liberté d’expression et d’information, même si le traitement porte sur des données sensibles.

92. Dès lors, je propose à la Cour de répondre à la deuxième question préjudicielle que, en vertu de l’article 8, paragraphes 1 et 5, de la directive 95/46, un exploitant d’un moteur de recherche est obligé de faire systématiquement droit aux demandes de déréférencement qui portent sur des liens menant vers des pages web sur lesquelles figurent des données sensibles visées à cette disposition, sous réserve des exceptions prévues par la directive 95/46, telles que celles prévues à l’article 8, paragraphe 2, sous a) et e), de cette directive. En revanche, le fait que les données de la page Internet en cause relèvent de l’article 9 de la directive 95/46 constitue une circonstance susceptible de permettre le rejet d’une demande de déréférencement. Dans une telle situation, l’exploitant d’un moteur de recherche est amené à procéder à une mise en balance entre, d’une part, le droit au respect de la vie privée ainsi que le droit à la protection des données au titre des articles 7 et 8 de la Charte et, d’autre part, le droit du public à avoir accès à l’information en question ainsi que le droit de la liberté d’expression de celui dont émane l’information au titre de l’article 11 de la Charte.

D. La troisième question préjudicielle

93. La troisième question préjudicielle étant posée « en cas de réponse négative » à la première question, eu égard à la réponse positive que je propose d’y donner, il n’y a pas lieu d’y répondre.

E. La quatrième question préjudicielle

94. La quatrième question préjudicielle se compose de deux parties.

95. Par la première partie de cette question, la juridiction de renvoi demande à la Cour si, lorsque le demandeur établit que les données à caractère personnel, publiées sur la page Internet vers laquelle mène le lien litigieux, sont devenues incomplètes ou inexactes ou ne sont plus à jour, l’exploitant d’un moteur de recherche est tenu de faire droit à la demande de déréférencement.

96. La juridiction de renvoi cherche ainsi à savoir si une telle obligation existe lorsque le demandeur démontre que, compte tenu du déroulement de la procédure judiciaire, les informations relatives à une étape antérieure de la procédure ne correspondent plus à la réalité actuelle de sa situation.

97. Par la seconde partie de la quatrième question, qui se réfère en particulier aux affaires au principal concernant B. H. et E. D., la juridiction de renvoi cherche à savoir si les informations relatives à la mise en examen d’un individu ou relatant un procès, et la condamnation qui en découle, constituent des données relatives aux infractions et aux condamnations pénales, au sens de l’article 8, paragraphe 5, de la directive 95/46, et, notamment, si une page web comportant des données faisant état des condamnations ou des procédures judiciaires, dont une personne physique a été l’objet, relève de cette disposition.

98. Il convient d’aborder la seconde partie avant la première.

99. Conformément à l’article 8, paragraphe 5, de la directive 95/46, le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être effectué que sous le contrôle de l’autorité publique ou si des garanties appropriées et spécifiques sont prévues par le droit national, sous réserve des dérogations qui peuvent être accordées par l’État membre sur le fondement de dispositions nationales prévoyant des garanties appropriées et spécifiques. Toutefois, un recueil exhaustif des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique. Les États membres peuvent prévoir que les données relatives aux sanctions administratives ou aux jugements civils sont également traitées sous le contrôle de l’autorité publique.

100. Je suis d’avis que des informations relatives à des procédures judiciaires publiées sur des pages Internet, telles que celles en cause dans les affaires concernant B. H. et E. D., constituent des données au sens de l’article 8, paragraphe 5, de la directive 95/46. Même si une procédure pénale n’a pas abouti à une condamnation, il s’agit bien d’une donnée relative à une infraction.

101. Reste la première partie de la quatrième question préjudicielle, relative aux conclusions qu’il convient de tirer de ce constat concernant des articles, notamment de presse, qui relatent une étape antérieure dans le cadre d’une procédure judiciaire et qui, par définition, ne sont plus à jour.

102. Eu égard à la réponse proposée dans le cadre de la troisième partie de la deuxième question, je considère que, s’agissant d’un article de presse, il conviendrait d’adopter une approche nuancée dans la mesure où il s’agit de données à caractère personnel relatées aux seules fins de journalisme.

103. À cet égard, aux termes des lignes directrices, « [l]es États membres de l’Union peuvent avoir des approches différentes quant à la publication d’informations concernant des contrevenants et leurs infractions. Il peut exister des dispositions légales particulières qui ont une incidence sur la disponibilité de ce type d’informations au fil du temps. Les autorités chargées de la protection des données traiteront ce type de cas conformément aux principes et approches en vigueur dans leur État membre. De manière générale, les autorités chargées de la protection des données sont davantage susceptibles d’envisager le déréférencement de résultats de recherche ayant trait à des délits relativement mineurs qui ont été perpétrés il y a longtemps, que d’envisager celui-ci pour des délits plus graves qui ont été commis plus récemment. Toutefois, ces questions exigent d’être examinées avec précaution et seront traitées au cas par cas » (48).

104. Dans un même ordre d’idées, je considère qu’il conviendrait d’effectuer un examen au cas par cas, dans lequel l’exploitant d’un moteur de recherche serait amené à effectuer une pondération entre, d’une part, le droit au respect de la vie privée ainsi que le droit à la protection des données au titre des articles 7 et 8 de la Charte et, d’autre part, le droit du public à avoir accès à l’information en question, tout en tenant compte du fait que cette information relève du journalisme ou constitue une expression artistique ou littéraire.

VI. Conclusion

105. Eu égard à l’ensemble des considérations qui précèdent, je propose à la Cour de répondre aux questions préjudicielles posées par le Conseil d’État (France) comme suit :

1) Dans le cadre des responsabilités, des compétences et des possibilités d’un exploitant d’un moteur de recherche, l’article 8, paragraphes 1 et 5, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données s’applique, en principe, aux activités d’un tel exploitant.

2) Le référencement d’une page Internet comportant des données faisant état de la commission d’une infraction et des poursuites pénales relève du champ d’application de l’article 8, paragraphe 5, de la directive 95/46.

3) En vertu de l’article 8, paragraphes 1 et 5, de la directive 95/46, un exploitant d’un moteur de recherche est obligé de faire systématiquement droit aux demandes de déréférencement qui portent sur des liens menant vers des pages web sur lesquelles figurent des données sensibles visées à cette disposition, sous réserve des exceptions prévues par la directive 95/46, telles que celles prévues à l’article 8, paragraphe 2, sous a) et e), de cette directive.

4) En revanche, le fait que les données d’une page Internet en cause relèvent de l’article 9 de la directive 95/46 constitue une circonstance susceptible de permettre le rejet d’une demande de déréférencement. Dans une telle situation, l’exploitant d’un moteur de recherche est amené à procéder à une mise en balance entre, d’une part, le droit au respect de la vie privée ainsi que le droit à la protection des données au titre des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne et, d’autre part, le droit du public à avoir accès à l’information en question ainsi que le droit de la liberté d’expression de celui dont émane l’information au titre de l’article 11 de la Charte.

1 Langue originale : le français.

2 Directive du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).

3 C‑131/12, EU:C:2014:317.

4 Même si cet arrêt ne mentionne nullement un tel terme, il est devenu courant dans la pratique et a même été repris en droit dérivé : voir article 17 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46 (règlement général sur la protection des données) (JO 2016, L 119, p. 1), et rectificatif (JO 2016, L 127, p. 2).

5 Je reviendrai sur cet arrêt en détail dans l’analyse juridique.

6 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

7 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

8 En vertu de l’article 99, paragraphe 2, du règlement 2016/679.

9 Voir article 94, paragraphe 1, du règlement 2016/679.

10 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

11 Voir arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, EU:C:2014:317, point 1 du dispositif).

12 Voir arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, EU:C:2014:317, point 3 du dispositif).

13 Voir arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, EU:C:2014:317, point 4 du dispositif).

14 Voir arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, EU:C:2014:317, point 4 du dispositif).

15 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

16 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

17 Voir conclusions de l’avocat général Jääskinen dans l’affaire Google Spain et Google (C‑131/12, EU:C:2013:424, point 90).

18 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

19 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

20 Voir arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, EU:C:2014:317, point 38). C’est moi qui souligne. Ce passage est essentiellement repris au point 83 du même arrêt.

21 Ainsi que le montrent les termes « doit assurer ».

22 En effet, Google avance, à juste titre à mon sens, ne pas être en mesure d’examiner, page par page, chaque site exploré et indexé pour s’assurer que son contenu est conforme aux lois applicables ou pour déterminer s’il contient des données à caractère personnel susceptibles d’être qualifiées dans l’Union européenne de sensibles, inexactes, incomplètes, d’avoir été publiées de manière illicite ou de concerner des infractions ou à des condamnations pénales.

23 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

24 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

25 Voir point 88 de cet arrêt et point 3 du dispositif.

26 Voir point 99 dudit arrêt et point 4 du dispositif.

27 Avec l’entrée en vigueur du règlement 2016/679, ce groupe de travail a été remplacé par le comité européen de la protection des données (voir articles 68 et 94, paragraphe 2, du règlement 2016/679).

28 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

29 Disponible à l’adresse suivante : https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp225_fr.pdf.

30 Voir p. 14 des lignes directrices.

31 Voir p. 20 des lignes directrices.

32 Même si les exceptions sont plus nombreuses que celles prévues à l’article 8 de la directive 95/46. Voir article 9, paragraphe 2, du règlement 2016/679.

33 Voir article 9, paragraphe 1, du règlement 2016/679. Y figurent maintenant également le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique et des données concernant l’orientation sexuelle d’une personne physique.

34 Conformément à l’article 2, sous h), de la directive 95/46, on entend par « consentement de la personne concernée » toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement.

35 Par exemple, l’exception sous a) devrait constituer une situation plutôt théorique, étant donné qu’une demande de déréférencement présuppose, logiquement, que, à tout le moins à la date de cette demande, la personne qui la formule ne consente plus au traitement effectué par l’exploitant du moteur de recherche. En outre, les exceptions énumérées à l’article 8, paragraphe 2, sous b) (droit de travail) et sous d), (activités d’une fondation et al) ne me semblent pas pouvoir s’appliquer à un moteur de recherche. En tout état de cause, elles ne sont pas visées par les questions préjudicielles.

36 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

37 Voir arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, EU:C:2014:317, point 85).

38 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

39 Voir Cour EDH, 10 mars 2009, Times Newspapers Ltd c. Royaume-Uni (n^os1 et 2), CE:ECHR:2009:0310JUD000300203, § 27, et Cour EDH, 10 janvier 2013, Ashby Donald et autres c. France, CE:ECHR:2013:0110JUD003676908, § 34.

40 Il s’agit du site Internet « The Pirate Bay ». Sur le fonctionnement de ce site, voir également mes conclusions dans l’affaire Stichting BreinStichting BreinStichting Brein (C‑610/15, EU:C:2017:99).

41 Qui est le pendant de l’article 11 de la Charte.

42 Voir arrêt de la Cour EDH du 19 février 2013, Neij et Sunde c. Suède, requête nº 40397/12, § 10.

43 Voir arrêt du 16 février 2012, SABAM (C‑360/10, EU:C:2012:85, point 48).

44 Voir conclusions de l’avocat général Jääskinen dans l’affaire Google Spain et Google (C‑131/12, EU:C:2013:424, point 121).

45 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

46 Arrêt du 13 mai 2014 (C‑131/12, EU:C:2014:317).

47 Voir p. 22 des lignes directrices.

48 Voir p. 23 des lignes directrices.

© European Union
The source of this judgment is the Europa web site. The information on this site is subject to a information found here: Important legal notice. This electronic version is not authentic and is subject to amendment.