Voici dix-huit mois environ, la Cour de justice de l'Union européenne (CJUE) jetait un pavé dans la mare du monde très convenu de l'internet. L'arrêt du 13 mai 2014 constitue un événement dont nous avons aussitôt annoncé qu'on n'avait pas fini d'en mesurer les effets. Et de fait, les bases de cette décision continuent d'opposer les tenants de la protection de la vie des citoyens à ceux de liberté absolue d'informer.
- 1. Rappel des faits et du contentieux
- 2. Une pure application du droit international privé
- 3. Le danger des recoupements informatiques
- 4. La myopie obstinée de Google
- 5. La mise en demeure de la Cnil
- 6. Des enjeux de pouvoirs transatlantiques
- 7. Une nécessaire harmonisation de la protection des personnes dans le monde
- 8. Pour ne pas conclure
1. Rappel des faits et du contentieux
À l'origine du contentieux, la plainte d'un Espagnol contre Google Spain qui refusait de déréférencer une information le concernant sur une saisie pour dette de sécurité sociale. Pour éclairer sa décision, le juge espagnol a posé à la CJUE une question préjudicielle pour préciser le sens de la directive 95/46/CE sur la protection des données à caractères personnel. L'arrêt du 13 mai constitue la réponse.
Cette décision été prise par les médias comme un coup de théâtre inattendu. Elle était bien au contraire prévisible. Il est même étonnant qu'on ait attendu si longtemps pour faire respecter le droit sur internet.
2. Une pure application du droit international privé
Contrairement au mythe du "vide juridique" sur internet répandu par les médias, le droit s'applique partout, parfois avec difficulté, compte tenu du caractère mondial du phénomène et des inévitables "conflits de lois dans l'espace", terme qui relève du "droit international privé" qui tend à définir la loi applicable dans un cas qui dépasse les frontières d'un pays. Souvent sur internet plusieurs lois nationales ont vocation à s'appliquer. Par exemple, pour le blog hébergé aux États-Unis, édité par un Français et diffamant un autre Français, quelle loi appliquer ?
Dans le cas qui nous occupe, Google invoque régulièrement sa nationalité américaine pour refuser d'appliquer les lois des pays dans lesquels il est pourtant établi et aux publics desquels il s'adresse. Ce sont des éléments qui militent en faveur de l'application de la loi européenne et ici de la loi espagnole. Il n'y avait donc rien d'anormal à prendre la retentissante décision que la CJUE a eu le courage de rendre. Il suffisait de bien raisonner et d'avoir sous la main un litige à trancher. Ce fut chose faite ce 13 mai 2014 : pour la première fois, un juge – et quel juge ! – tenait tête à la loi américaine et à Google.
3. Le danger des recoupements informatiques
Les juristes qui se sont penchés sur les divers phénomènes qui se déroulent sur internet ne sont pas allés au bout des analyses juridiques qui s'imposaient. Sinon, Google aurait depuis longtemps été limité dans sa capacité de nuire aux citoyens.
La plupart des pays respectant les droits de l'Homme se sont dotés, dans les années 1970-80 de lois garde-fou pour limiter et encadrer les dangers de l'informatique et sa puissance de recoupements de données nominatives. Il fallait juguler la tentation des pouvoirs publics de surveiller le citoyen en usant de l'informatique pour croiser tous types d'informations pouvant relever de sa vie privée. C'est une des raisons pour lesquelles, par exemple, il est impossible de rapprocher les déclarations de revenus des aides sociales perçues par une même personne. On se défiait ainsi des pouvoirs publics. Mais c'est du privé qu'est venu le plus terrifiant recoupement d'informations personnelles jamais réalisé.
Un moteur de recherche n'est autre qu'un surpuissant outil informatique capable en quelques millisecondes de recouper tout type d'informations mondialement collectées, sur la simple frappe des prénom et nom d'une personne. Et jusque-là, nul ne s'était ému de cette violation flagrante des lois de protection des personnes de par le monde, jusque ce que la CJUE ose conduire ce raisonnement simple : Google réalise quotidiennement des "traitements de données à caractère personnel" au sens de la directive européenne ; il en est donc le "responsable" et doit donc respecter cette directive dès l'instant que les personnes concernées sont des ressortissants de l'Union, que les informations sont consultables au sein de l'Union et que Google, implanté dans les divers pays européens, y fait du commerce.
4. La myopie obstinée de Google
Tous les moteurs de recherche ont donc
appliqué l'arrêt de la CJUE. Ils ont très vite mis sur leurs sites des formulaires de demande de déréférencement. Mais avec une certaine myopie, Google va limiter le déréférencement aux plateformes européennes de son moteur, mais pas sur Google.com, ni dans les autres pays du monde. Nous avons très tôt dénoncé (1) cette myopie pour le moins hypocrite puisque Google.com est aussi consultable depuis les pays européens et que la décision de la Cour n'a jamais suggéré une telle limitation.
Il faudra attendre le 16 novembre 2014 pour que le G29 qui groupe l'équivalent de la Cnil dans les 28 États membres de l'Union européenne publie une interprétation de l'arrêt de la CJUE. Dans cette lecture d'experts, il est précisée que l'arrêt ne suppose aucune restriction territoriale au déréférencement et que celui-ci doit donc aussi être effectif partout, y compris sur Google.com.
5. La mise en demeure de la Cnil
Cette analyse n'a pas été suivie d'effet par Google qui continue de refuser de déréférencer ailleurs qu'au sein de l'Union européenne, cependant que, outre-Atlantique, un des plus puissants groupements de consommateurs demandait le 7 juillet dernier à bénéficier du même droit au déréférencement que les Européens.
C'est dans ce contexte que la présidente la Cnil, actuelle présidente du G29, a décidé de rendre publique le 12 juin 2015 la mise en demeure qu'elle avait adressée à Google à partir de plaintes demandant le déréférencement de liens autant en Europe que dans le reste du monde.
Dans un discret billet publié le 30 juillet dernier sur son blog maison, Google a fait savoir qu'il rejetait la mise en demeure, prenant ainsi le risque de se voir condamné à des sanctions pécuniaires, voire pénales, au moins en France.
6. Des enjeux de pouvoirs transatlantiques
C'est donc une décision réfléchie en vue de livrer une bataille juridique et judiciaire qui peut mener loin et prendre encore du temps.
Ce qui se déroule ainsi sous nos yeux, c'est un conflit bien plus vaste entre l'Union européenne et les États-Unis. Ce sont des enjeux de pouvoirs cristallisés par des enjeux juridiques : quel droit prime dans quelle région du monde ? On sait peut-être que dès que des transactions sont libellées en dollars, quand bien même les échanges n'auraient pas lieu sur le territoire des États-Unis, la loi américaine s'applique. De même, dès qu'un courriel transite par un site ou un réseau américain, il est aussi soumis au droit de ce pays. C'est ainsi que depuis deux décennies, le droit américain s'applique sans qu'on le sache sur internet, parfois même au mépris des règles classiques du droit international privé.
L'application du droit au déréférencement n'est d'ailleurs pas la seule pomme de discorde entre l'Union européenne et Google puisque la Commission a parallèlement communiqué à Google, le 15 avril dernier, une série de griefs constituant un abus de position dominante, contraire aux règles des traités européens, prélude à une action judiciaire européenne contre le géant américain.
7. Une nécessaire harmonisation de la protection des personnes dans le monde
Par delà ces enjeux, force est de constater qu'une certaine harmonisation des législations est inévitable dès l'instant où des données protégées franchissent les frontières. Et un premier jalon vient d'être posé, le 8 septembre dernier entre le gouvernement des États-Unis et les responsables de l'Union européenne en vue de faire respecter les droits des ressortissants européens sur leurs données personnelles dans le cadre de fourniture de données à la justice américaine. Un tout premier pas qui, s'il est approuvé par le Congrès, constituera une étape vers un rapprochement des législations.
8. Pour ne pas conclure
Le feuilleton du droit au déréférencement n'est pas clos. Les semaines qui viennent nous montreront comment la Cnil, le G29 ou l'Union européenne elle-même, décident de traiter le conflit frontal voulu par Google.
Il est cependant significatif que des Américains se mobilisent pour bénéficier des mêmes droits de protection que les Européens. Qui aurait dit un jour que la "vieille Europe" monterait la voie à certaines libertés qui seraient encore méconnues outre-Atlantique ? Mais il est vrai que même la statue de la Liberté a été fabriquée à Paris avant de trôner dans la rade de New York…
Didier Frochot
→ www.les-infostrateges.com
(1) Dans une actualité du 17 juin 2014 sur Les-infostateges.com.
