Le Conseil d’Etat annule la sanction de 100 000 euros infligée par la Cnil à Google en 2016. A l’époque, le gendarme des données personnelles condamnait le géant de Mountain View au motif que celui-ci refusait d’étendre hors de l’UE le droit à l’oubli consacré en 2014. Un passage par la CJUE plus tard, le moteur de recherche a finalement eu gain de cause.
Le droit à l’oubli, ou droit au déréférencement, est né de la jurisprudence de la Cour de justice de l’Union Européenne en 2014. Cette règle permet aux Européens de demander à un moteur de recherche de retirer certains résultats. Notre Cnil nationale s’est très tôt positionnée sur le sujet et a soutenu une interprétation large de l’arrêt de la Cour européenne, lui donnant une portée internationale.
Une doctrine sur la base de laquelle le gendarme français des données personnelles avait sanctionné en mars 2016 Google d'une amende de 100 000 euros. La commission écrivait alors que « seul un déréférencement sur l’ensemble des extensions du moteur de recherche, quelles que soient l’extension utilisée et l’origine géographique de la personne effectuant la recherche, permet d’assurer une protection effective de ce droit ». Mais le géant de Mountain View avait répliqué et saisi le Conseil d’Etat.
Retour à la CJUE
Ce dernier bottait en touche et en appelait aux lumières de la Cour de justice de l’Union européenne, afin qu’elle précise l’interprétation qui doit être fait du droit à l’oubli quant à sa portée. Or la réponse de la CJUE n’allait pas dans le sens de la Cnil : d’une part, la Cour limitait le principe au seul territoire européen, de l’autre son avocat général approuvait le recours par les moteurs de recherche au géoblocage, mesure proposée par Google et jugée insuffisante par l'autorité française.
Dans ces conditions, le verdict rendu par le Conseil d’Etat le 27 mars n’est pas une surprise, il suit fidèlement les lignes tracées par la CJUE. Aux yeux des juges, la délibération de la Cnil sanctionnant Google est entachée d’erreur de droit, puisque le droit applicable et l’avis de la Cour européenne restreignent l’application du droit à l’oubli aux frontières européennes. « Le moteur de recherche est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des Etats membres » estimait en effet la CJUE.
Néanmoins celle-ci, et c’est là l’axe de défense de la Cnil, reconnaît qu’une autorité de contrôle européenne est compétente à exiger un déréférencement sur toutes les versions et extensions d’un moteur de recherche lorsqu’elle effectue, « à l’aune des standards nationaux de protection des droits fondamentaux (…), une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information ». Soit, pour la délibération de 2016, un changement du fondement de la base légale de la sanction.
La Cnil en tort
Mais, aux yeux du Conseil d’Etat, « il ne résulte, en l’état du droit applicable, d’aucune disposition législative qu’un tel déréférencement pourrait excéder le champ couvert par le droit de l’Union européenne pour s’appliquer hors du territoire des Etats membres de l’Union européenne ». En outre, la Cnil n’a pas procédé dans sa délibération à cette fameuse « mise en balance ». Par conséquent, la plus haute juridiction administrative du pays casse la décision du gendarme des données personnelles et annule cette amende de 100 000 euros infligée à Google.
Le camouflet est sévère pour la Cnil, qui voit toutefois dans cette affaire une lueur d’espoir. Ni la CJUE, ni le Conseil d’Etat n’enterrent définitivement le principe d’une portée internationale du droit à l’oubli, pour peu que le législateur français décide « d’adopter de dispositions spéciales permettant, en France, à la CNIL d’opérer un déréférencement excédant le champ prévu par le droit de l’Union ».