3°) en outre, si, en complément de l'obligation évoquée au 2°, le " droit au déréférencement " tel que consacré par la Cour de justice de l'Union européenne dans son arrêt précité doit être interprété en ce sens que l'exploitant d'un moteur de recherche faisant droit à une demande de déréférencement est tenu de supprimer, par la technique dite du " géo-blocage ", depuis une adresse IP réputée localisée dans l'Etat de résidence du bénéficiaire du " droit au déréférencement ", les résultats litigieux des recherches effectuées à partir de son nom, ou même, plus généralement, depuis une adresse IP réputée localisée dans l'un des Etats membres soumis à la directive du 24 octobre 1995, ce indépendamment du nom de domaine utilisé par l'internaute qui effectue la recherche.
Par un arrêt C-507/17 du 24 septembre 2019, la Cour de justice de l'Union européenne s'est prononcée sur ces questions.
Vu les autres pièces du dossier, y compris celles qui ont été visées par la décision du Conseil d'Etat du 19 juillet 2017 ;
Vu :
- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
- la Charte des droits fondamentaux de l'Union européenne ;
le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- l'arrêt de la Cour de justice de l'Union européenne du 13 mai 2014, Google Spain SL, Google Inc. contre Agencia Española de Protección de Datos, Mario Costeja González (C-131/12) ;
- l'arrêt de la Cour de justice de l'Union européenne du 24 septembre 2019, Google LLC contre CNIL (C-507/17) ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Christelle Thomas, maître des requêtes en service extraordinaire,
- les conclusions de M. Alexandre Lallet, rapporteur public ;
La parole ayant été donnée, avant et après les conclusions, à la SCP Spinosi, Sureau, avocat de la société Google LLC., à la SCP Piwnica, Molinié, avocat de la société Microsoft Corporation, à la SCP Baraduc, Duhamel, Rameix, avocat de Wikimedia Foundation Inc, à Me A..., avocat de Reporters Committee for Freedom of the Press et autres, à la SCP Tapie, Rousseau-Tapie, avocat de l'association Article 19 et autres ;
Considérant ce qui suit :
1. Wikimedia Foundation Inc, et la société Microsoft justifient d'un intérêt suffisant à l'annulation de la délibération attaquée. Ainsi, leurs interventions sont recevables.
2. Il résulte de l'instruction que, par une décision du 21 mai 2015, la présidente de la Commission nationale de l'informatique et des libertés (CNIL) a mis en demeure la société Google Inc., lorsqu'elle fait droit à une demande d'une personne physique tendant à la suppression de la liste des résultats, affichée à la suite d'une recherche effectuée à partir de son nom, de liens menant vers des pages web, d'effectuer cette suppression sur toutes les extensions de nom de domaine de son moteur de recherche. Par une délibération du 10 mars 2016, après avoir constaté que la société ne s'était pas, dans le délai imparti, conformée à cette mise en demeure, la formation restreinte de la CNIL a prononcé à son encontre une sanction, rendue publique, de 100 000 euros. La société Google Inc. demande l'annulation de cette délibération.
3. D'une part, l'article 45 de la loi du 6 janvier 1978, dans sa rédaction applicable à la date de la délibération attaquée, dispose que : " I. - La formation restreinte de la Commission nationale de l'informatique et des libertés peut prononcer, après une procédure contradictoire, un avertissement à l'égard du responsable d'un traitement qui ne respecte pas les obligations découlant de la présente loi. Cet avertissement a le caractère d'une sanction. / Le président de la commission peut également mettre en demeure ce responsable de faire cesser le manquement constaté dans un délai qu'il fixe. En cas d'urgence, ce délai peut être ramené à cinq jours. / Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure. / Dans le cas contraire, la formation restreinte peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes : / 1° Une sanction pécuniaire, dans les conditions prévues par l'article 47, à l'exception des cas où le traitement est mis en oeuvre par l'Etat ; (...) ". Ces dispositions assuraient la mise en oeuvre en droit national des dispositions alors en vigueur de l'article 24 de la directive 95/46/CE du 24 octobre 1995, qui laissait aux Etats membres le soin de déterminer les sanctions à appliquer " en cas de violation des dispositions prises en application de cette directive ".
4. D'autre part, l'article 38 de la loi du 6 janvier 1978, dans sa rédaction applicable à la date de la délibération attaquée, dispose que : " Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. / Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur. / Les dispositions du premier alinéa ne s'appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement ". Ces dispositions assuraient la mise en oeuvre en droit national des dispositions de l'article 12, sous b) et de l'article 14, sous a), de la directive du 24 octobre 1995, desquelles découle un " droit au déréférencement " des données à caractère personnel. Elles doivent dès lors être interprétées à la lumière de ces dispositions, auxquelles s'est substitué l'article 17 du règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données, qui consacre un tel " droit à l'effacement ", également dénommé " droit à l'oubli ".
5. Par son arrêt du 24 septembre 2019, Google LLC contre CNIL (C-507/17), la Cour de justice de l'Union européenne a dit pour droit que : " l'article 12, sous b), et l'article 14, premier alinéa, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 [...], ainsi que l'article 17, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, [...] doivent être interprétés en ce sens que, lorsque l'exploitant d'un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d'opérer ce déréférencement non pas sur l'ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l'ensemble des Etats membres et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d'empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l'un des Etats membres d'avoir, par la liste de résultats affichée à la suite de cette recherche, accès aux liens qui font l'objet de cette demande ".
6. Ainsi qu'il a été rappelé au point 1, la formation restreinte de la CNIL a sanctionné la société Google Inc. au motif qu'elle refuse, lorsqu'elle fait droit à une demande de déréférencement, d'effectuer ce déréférencement sur l'ensemble des noms de domaine de son moteur de recherche et se borne à supprimer les liens en cause des seuls résultats affichés en réponse à des recherches menées depuis les noms de domaine correspondant aux déclinaisons de son moteur de recherche dans les Etats membres de l'Union européenne. La formation restreinte de la CNIL a par ailleurs estimé insuffisante la proposition complémentaire dite de " géo-blocage " faite par la société Google Inc., après expiration du délai de mise en demeure, de supprimer la possibilité d'accéder, depuis une adresse IP réputée localisée dans l'Etat de résidence du bénéficiaire du " droit au déréférencement ", aux résultats litigieux à la suite d'une recherche effectuée à partir de son nom, indépendamment de la déclinaison du moteur de recherche qu'a sollicitée l'internaute.
7. Il résulte des motifs énoncés au point 4 qu'en sanctionnant la société requérante au motif que seule une mesure s'appliquant à l'intégralité du traitement liée au moteur de recherche, sans considération des extensions interrogées et de l'origine géographique de l'internaute effectuant une recherche, est à même de répondre à l'exigence de protection telle qu'elle a été consacrée par la Cour de justice de l'Union européenne, la formation restreinte de la CNIL a entaché la délibération attaquée d'erreur de droit.
8. Il est vrai qu'ainsi que le fait valoir la CNIL en défense, la Cour de justice a relevé, au point 72 de l'arrêt du 24 septembre 2019, que " si (...) le droit de l'Union n'impose pas, en l'état actuel, que le déréférencement auquel il serait fait droit porte sur l'ensemble des versions du moteur de recherche en cause, il ne l'interdit pas non plus. Partant, une autorité de contrôle ou une autorité judiciaire d'un Etat membre demeure compétente pour effectuer, à l'aune des standards nationaux de protection des droits fondamentaux (...), une mise en balance entre, d'une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d'autre part, le droit à la liberté d'information, et, au terme de cette mise en balance, pour enjoindre, le cas échéant, à l'exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l'ensemble des versions dudit moteur ".
9. Lorsque, saisi d'une requête dirigée contre une sanction prononcée par la CNIL, il constate que la décision contestée devant lui aurait pu être prise, en vertu du même pouvoir d'appréciation, sur un autre fondement que celui qu'a retenu l'autorité de sanction, le juge administratif peut substituer ce fondement à celui qui a servi de base légale à la décision attaquée, sous réserve que la personne sanctionnée ait disposé des garanties dont est assortie l'application du texte sur le fondement duquel la décision aurait dû être prononcée. Une telle substitution relevant de l'office du juge, celui-ci peut y procéder soit à la demande des parties soit de sa propre initiative, au vu des pièces du dossier, mais sous réserve, dans ce dernier cas, d'avoir au préalable mis les parties à même de présenter des observations sur ce point.
10. Si la CNIL soutient en défense que la sanction contestée trouve son fondement dans la faculté que la Cour de justice a reconnue aux autorités de contrôle d'ordonner de procéder à un déréférencement portant sur l'ensemble des versions d'un moteur de recherche, il ne résulte, en l'état du droit applicable, d'aucune disposition législative qu'un tel déréférencement pourrait excéder le champ couvert par le droit de l'Union européenne pour s'appliquer hors du territoire des Etats membres de l'Union européenne. Au surplus, il résulte en tout état de cause des motifs énoncés au point 7 qu'une telle faculté ne peut être ouverte qu'au terme d'une mise en balance entre, d'une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d'autre part, le droit à la liberté d'information. Or, il ressort des termes mêmes de la délibération attaquée que, pour constater l'existence de manquements persistants et reprocher à la société Google Inc. d'avoir méconnu l'obligation de principe de procéder au déréférencement portant sur l'ensemble des versions d'un moteur de recherche, la formation restreinte de la CNIL n'a pas effectué une telle mise en balance. Il s'ensuit qu'il n'y a pas lieu de faire droit à la substitution de base légale demandée en défense par la CNIL.
11. Il résulte de tout ce qui précède que la société Google Inc. est fondée à demander l'annulation de la délibération qu'elle attaque.
D E C I D E :
--------------
Article 1er : Les interventions de Wikimedia Foundation Inc et de la société Microsoft Corporation sont admises.
Article 2 : La délibération du 10 mars 2016 de la formation restreinte de la Commission nationale de l'informatique et des libertés est annulée.
Article 3 : La présente décision sera notifiée à la société Google LLC., à la Commission nationale de l'informatique et des libertés, à Wikimedia Foundation Inc., à la société Microsoft Corporation, à Reporters Committee for Freedom of the Press, premier dénommé et à l'association Article 19, premier dénommé.
Les autres intervenants seront informés de la présente décision par Maître A... et par la SCP Rousseau-Tapie, avocats au Conseil d'Etat et à la Cour de cassation, qui les représentent devant le Conseil d'Etat.