N° 399922
CONSEIL D'ETAT
statuant
au contentieux
N° 399922 REPUBLIQUE FRANÇAISE
_________
GOOGLE INC. AU NOM DU PEUPLE FRANÇAIS
_________
Mme Christelle Thomas Le Conseil d’Etat statuant au contentieux
Rapporteur (Section du contentieux, 10ème et 9ème chambres réunies)
__________ Sur le rapport de la 10e chambre
M. Alexandre Lallet
Rapporteur public
__________
Séance du 13 mars 2020
Lecture du 27 mars 2020
__________
Vu la procédure suivante :
Par une décision du 19 juillet 2017, le Conseil d’Etat, statuant
au contentieux sur la requête de la société Google Inc. tendant à l’annulation de
la délibération n° 2016-054 du 10 mars 2016 par laquelle la formation restreinte
de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé
à son encontre une sanction, rendue publique, de 100 000 euros, a sursis à statuer
jusqu’à ce que la Cour de justice de l’Union européenne se soit prononcée sur
les questions de savoir :
1°) si le « droit au déréférencement » tel qu’il a été consacré
par la Cour de justice de l’Union européenne dans son arrêt du 13 mai 2014 sur
le fondement des dispositions des articles 12, sous b), et 14, sous a), de la
directive du 24 octobre 1995, doit être interprété en ce sens que l’exploitant d’un
moteur de recherche est tenu, lorsqu’il fait droit à une demande de
déréférencement, d’opérer ce déréférencement sur l’ensemble des noms de
domaine de son moteur de telle sorte que les liens litigieux n’apparaissent plus
quel que soit le lieu à partir duquel la recherche lancée sur le nom du demandeur
est effectuée, y compris hors du champ d’application territorial de la directive
du 24 octobre 1995 ;
2°) en cas de réponse positive à cette première question, si le
« droit au déréférencement » tel que consacré par la Cour de justice de l’Union
européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant
d’un moteur de recherche est seulement tenu, lorsqu’il fait droit à une demande
de déréférencement, de supprimer les liens litigieux des résultats affichés à la
-1-
N° 399922
suite d’une recherche effectuée à partir du nom du demandeur sur le nom de
domaine correspondant à l’Etat où la demande est réputée avoir été effectuée ou,
plus généralement, sur les noms de domaine du moteur de recherche qui
correspondent aux extensions nationales de ce moteur pour l’ensemble des Etats
membres de l’Union européenne ;
3°) en outre, si, en complément de l’obligation évoquée au 2°,
le « droit au déréférencement » tel que consacré par la Cour de justice de l’Union
européenne dans son arrêt précité doit être interprété en ce sens que l’exploitant
d’un moteur de recherche faisant droit à une demande de déréférencement est
tenu de supprimer, par la technique dite du « géo-blocage », depuis une adresse
IP réputée localisée dans l’Etat de résidence du bénéficiaire du « droit au
déréférencement », les résultats litigieux des recherches effectuées à partir de
son nom, ou même, plus généralement, depuis une adresse IP réputée localisée
dans l’un des Etats membres soumis à la directive du 24 octobre 1995, ce
indépendamment du nom de domaine utilisé par l’internaute qui effectue la
recherche.
Par un arrêt C-507/17 du 24 septembre 2019, la Cour de justice
de l’Union européenne s’est prononcée sur ces questions.
Par un nouveau mémoire et un mémoire en réplique,
enregistrés les 26 novembre 2019 et 21 janvier 2020, la société Google LLC
persiste dans ses conclusions. Elle soutient que la formation restreinte de la
CNIL a entaché sa délibération d’une erreur de droit en retenant le principe d’un
déréférencement mondial et que la solution technique mise en œuvre pour
assurer le déréférencement satisfait aux exigences posées par le droit de l’Union
européenne tel qu’interprété par la Cour de justice de l’Union européenne.
Par deux nouveaux mémoires en défense, enregistrés les 29
novembre 2019 et 6 février 2020, la CNIL conclut au rejet de la requête. Elle
soutient que l’arrêt de la Cour de justice de l’Union européenne n’interdit pas
qu’une autorité de contrôle nationale ordonne la mise en œuvre d’un
déréférencement mondial et que la solution technique mise en œuvre par Google
pour assurer le déréférencement ne satisfait pas aux exigences de protection
effective des données personnelles.
Par une intervention, enregistrée le 13 janvier 2020,
Wikimedia Foundation Inc. demande que le Conseil d’Etat fasse droit aux
conclusions de la requête de la société Google Inc. Elle soutient que la formation
restreinte de la CNIL ne pouvait ordonner un déréférencement mondial qu’à
l’issue d’une mise en balance entre le droit au respect de la vie privée et à la
protection des données personnelles et le droit à l’information propre à un cas
d’espèce et non par un raisonnement de principe.
Par une intervention, enregistrée le 28 janvier 2020, la société
Microsoft Corporation demande que le Conseil d’Etat fasse droit aux
conclusions de la requête de la société Google Inc. Elle soutient que la formation
-2-
N° 399922
restreinte de la CNIL ne pouvait ordonner un déréférencement mondial qu’à
l’issue d’une mise en balance entre le droit au respect de la vie privée et à la
protection des données personnelles et le droit à l’information propre à un cas
d’espèce et non par un raisonnement de principe et que la CNIL a commis une
erreur de droit en écartant la solution technique de déréférencement proposée par
la société Google qui satisfait aux exigences du droit afférent.
Vu les autres pièces du dossier, y compris celles qui ont été
visées par la décision du Conseil d’Etat du 19 juillet 2017 ;
Vu :
- la convention européenne de sauvegarde des droits de
l’homme et des libertés fondamentales ;
- la Charte des droits fondamentaux de l’Union européenne ;
le règlement (UE) 2016/679 du Parlement européen et du
Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- l’arrêt de la Cour de justice de l’Union européenne du 13 mai
2014, Google Spain SL, Google Inc. contre Agencia Española de Protección de
Datos, Mario Costeja González (C-131/12) ;
- l’arrêt de la Cour de justice de l’Union européenne du 24
septembre 2019, Google LLC contre CNIL (C-507/17) ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Christelle Thomas, maître des requêtes en
service extraordinaire,
- les conclusions de M. Alexandre Lallet, rapporteur public ;
La parole ayant été donnée, avant et après les conclusions, à la
SCP Spinosi, Sureau, avocat de la société Google LLC., à la SCP Piwnica,
Molinié, avocat de Wikimedia Foundation Inc, à la SCP Baraduc, Duhamel,
Rameix, avocat de Microsoft Corporation, à Me Haas, avocat de Reporters
Committee for Freedom of the Press et autres, à la SCP Tapie, Rousseau-Tapie,
avocat de l’association Article 19 et autres ;
Considérant ce qui suit :
-3-
N° 399922
1. Wikimedia Foundation Inc, et la société Microsoft justifient
d’un intérêt suffisant à l’annulation de la délibération attaquée. Ainsi, leurs
interventions sont recevables.
2. Il résulte de l’instruction que, par une décision du 21 mai
2015, la présidente de la Commission nationale de l’informatique et des libertés
(CNIL) a mis en demeure la société Google Inc., lorsqu’elle fait droit à une
demande d’une personne physique tendant à la suppression de la liste des
résultats, affichée à la suite d’une recherche effectuée à partir de son nom, de
liens menant vers des pages web, d’effectuer cette suppression sur toutes les
extensions de nom de domaine de son moteur de recherche. Par une délibération
du 10 mars 2016, après avoir constaté que la société ne s’était pas, dans le délai
imparti, conformée à cette mise en demeure, la formation restreinte de la CNIL
a prononcé à son encontre une sanction, rendue publique, de 100 000 euros. La
société Google Inc. demande l’annulation de cette délibération.
3. D’une part, l’article 45 de la loi du 6 janvier 1978, dans sa
rédaction applicable à la date de la délibération attaquée, dispose que : « I. - La
formation restreinte de la Commission nationale de l'informatique et des libertés
peut prononcer, après une procédure contradictoire, un avertissement à l'égard
du responsable d'un traitement qui ne respecte pas les obligations découlant de
la présente loi. Cet avertissement a le caractère d'une sanction. / Le président
de la commission peut également mettre en demeure ce responsable de faire
cesser le manquement constaté dans un délai qu'il fixe. En cas d'urgence, ce
délai peut être ramené à cinq jours. / Si le responsable du traitement se conforme
à la mise en demeure qui lui est adressée, le président de la commission
prononce la clôture de la procédure. / Dans le cas contraire, la formation
restreinte peut prononcer à son encontre, après une procédure contradictoire,
les sanctions suivantes : / 1° Une sanction pécuniaire, dans les conditions
prévues par l'article 47, à l'exception des cas où le traitement est mis en œuvre
par l'Etat ; (…) ». Ces dispositions assuraient la mise en œuvre en droit national
des dispositions alors en vigueur de l’article 24 de la directive 95/46/CE du 24
octobre 1995, qui laissait aux Etats membres le soin de déterminer les sanctions
à appliquer « en cas de violation des dispositions prises en application de cette
directive ».
4. D’autre part, l’article 38 de la loi du 6 janvier 1978, dans sa
rédaction applicable à la date de la délibération attaquée, dispose que : « Toute
personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que
des données à caractère personnel la concernant fassent l'objet d'un traitement.
/ Elle a le droit de s'opposer, sans frais, à ce que les données la concernant
soient utilisées à des fins de prospection, notamment commerciale, par le
responsable actuel du traitement ou celui d'un traitement ultérieur. / Les
dispositions du premier alinéa ne s'appliquent pas lorsque le traitement répond
à une obligation légale ou lorsque l'application de ces dispositions a été écartée
par une disposition expresse de l'acte autorisant le traitement ». Ces dispositions
assuraient la mise en œuvre en droit national des dispositions de l’article 12, sous
b) et de l’article 14, sous a), de la directive du 24 octobre 1995, desquelles
découle un « droit au déréférencement » des données à caractère personnel. Elles
-4-
N° 399922
doivent dès lors être interprétées à la lumière de ces dispositions, auxquelles s’est
substitué l’article 17 du règlement 2016/679 du 27 avril 2016 relatif à la
protection des personnes physiques à l’égard du traitement des données à
caractère personnel et à la libre circulation de ces données et abrogeant la
directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection
des données, qui consacre un tel « droit à l’effacement », également dénommé
« droit à l’oubli ».
5. Par son arrêt du 24 septembre 2019, Google LLC contre
CNIL (C-507/17), la Cour de justice de l’Union européenne a dit pour droit que :
« l’article 12, sous b), et l’article 14, premier alinéa, sous a), de la directive
95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 […], ainsi
que l’article 17, paragraphe 1, du règlement (UE) 2016/679 du Parlement
européen et du Conseil, du 27 avril 2016, […] doivent être interprétés en ce sens
que, lorsque l’exploitant d’un moteur de recherche fait droit à une demande de
déréférencement en application de ces dispositions, il est tenu d’opérer ce
déréférencement non pas sur l’ensemble des versions de son moteur, mais sur
les versions de celui-ci correspondant à l’ensemble des Etats membres et ce, si
nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux
exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de
sérieusement décourager les internautes effectuant une recherche sur la base du
nom de la personne concernée à partir de l’un des Etats membres d’avoir, par la
liste de résultats affichée à la suite de cette recherche, accès aux liens qui font
l’objet de cette demande ».
6. Ainsi qu’il a été rappelé au point 1, la formation restreinte
de la CNIL a sanctionné la société Google Inc. au motif qu’elle refuse,
lorsqu’elle fait droit à une demande de déréférencement, d’effectuer ce
déréférencement sur l’ensemble des noms de domaine de son moteur de
recherche et se borne à supprimer les liens en cause des seuls résultats affichés
en réponse à des recherches menées depuis les noms de domaine correspondant
aux déclinaisons de son moteur de recherche dans les Etats membres de l’Union
européenne. La formation restreinte de la CNIL a par ailleurs estimé insuffisante
la proposition complémentaire dite de « géo-blocage » faite par la société
Google Inc., après expiration du délai de mise en demeure, de supprimer la
possibilité d’accéder, depuis une adresse IP réputée localisée dans l’Etat de
résidence du bénéficiaire du « droit au déréférencement », aux résultats litigieux
à la suite d’une recherche effectuée à partir de son nom, indépendamment de la
déclinaison du moteur de recherche qu’a sollicitée l’internaute.
7. Il résulte des motifs énoncés au point 4 qu’en sanctionnant
la société requérante au motif que seule une mesure s’appliquant à l’intégralité
du traitement liée au moteur de recherche, sans considération des extensions
interrogées et de l’origine géographique de l’internaute effectuant une recherche,
est à même de répondre à l’exigence de protection telle qu’elle a été consacrée
par la Cour de justice de l’Union européenne, la formation restreinte de la CNIL
a entaché la délibération attaquée d’erreur de droit.
-5-
N° 399922
8. Il est vrai qu’ainsi que le fait valoir la CNIL en défense, la
Cour de justice a relevé, au point 72 de l’arrêt du 24 septembre 2019, que « si
(…) le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement
auquel il serait fait droit porte sur l’ensemble des versions du moteur de
recherche en cause, il ne l’interdit pas non plus. Partant, une autorité de contrôle
ou une autorité judiciaire d’un Etat membre demeure compétente pour effectuer,
à l’aune des standards nationaux de protection des droits fondamentaux (…), une
mise en balance entre, d’une part, le droit de la personne concernée au respect
de sa vie privée et à la protection des données à caractère personnel la concernant
et, d’autre part, le droit à la liberté d’information, et, au terme de cette mise en
balance, pour enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche
de procéder à un déréférencement portant sur l’ensemble des versions dudit
moteur ».
9. Lorsque, saisi d’une requête dirigée contre une sanction
prononcée par la CNIL, il constate que la décision contestée devant lui aurait pu
être prise, en vertu du même pouvoir d’appréciation, sur un autre fondement que
celui qu’a retenu l’autorité de sanction, le juge administratif peut substituer ce
fondement à celui qui a servi de base légale à la décision attaquée, sous réserve
que la personne sanctionnée ait disposé des garanties dont est assortie
l'application du texte sur le fondement duquel la décision aurait dû être
prononcée. Une telle substitution relevant de l'office du juge, celui-ci peut y
procéder soit à la demande des parties soit de sa propre initiative, au vu des
pièces du dossier, mais sous réserve, dans ce dernier cas, d'avoir au préalable
mis les parties à même de présenter des observations sur ce point.
10. Si la CNIL soutient en défense que la sanction contestée
trouve son fondement dans la faculté que la Cour de justice a reconnue aux
autorités de contrôle d’ordonner de procéder à un déréférencement portant sur
l’ensemble des versions d’un moteur de recherche, il ne résulte, en l’état du droit
applicable, d’aucune disposition législative qu’un tel déréférencement pourrait
excéder le champ couvert par le droit de l’Union européenne pour s’appliquer
hors du territoire des Etats membres de l’Union européenne. Au surplus, il
résulte en tout état de cause des motifs énoncés au point 7 qu’une telle faculté ne
peut être ouverte qu’au terme d’une mise en balance entre, d’une part, le droit
de la personne concernée au respect de sa vie privée et à la protection des
données à caractère personnel la concernant et, d’autre part, le droit à la liberté
d’information. Or, il ressort des termes mêmes de la délibération attaquée que,
pour constater l’existence de manquements persistants et reprocher à la société
Google Inc. d’avoir méconnu l’obligation de principe de procéder au
déréférencement portant sur l’ensemble des versions d’un moteur de recherche,
la formation restreinte de la CNIL n’a pas effectué une telle mise en balance. Il
s’ensuit qu’il n’y a pas lieu de faire droit à la substitution de base légale
demandée en défense par la CNIL.
11. Il résulte de tout ce qui précède que la société Google Inc.
est fondée à demander l’annulation de la délibération qu’elle attaque.
-6-
N° 399922
DECIDE:
--------------
Article 1er : Les interventions de Wikimedia Foundation Inc et de la société
Microsoft Corporation sont admises.
Article 2 : La délibération du 10 mars 2016 de la formation restreinte de la
Commission nationale de l’informatique et des libertés est annulée.
Article 3 : La présente décision sera notifiée à la société Google LLC., à la
Commission nationale de l’informatique et des libertés, à Wikimedia Foundation
Inc., à la société Microsoft Corporation, à Reporters Committee for Freedom of
the Press, premier dénommé et à l’association Article 19, premier dénommé.
Les autres intervenants seront informés de la présente décision par Maître Haas
et par la SCP Rousseau-Tapie, avocats au Conseil d’Etat et à la Cour de
cassation, qui les représentent devant le Conseil d’Etat.
Délibéré à l'issue de la séance du 13 mars 2020 où siégeaient : M. Alain
Ménéménis, président adjoint de la section du contentieux, présidant ; M.
Mattias Guyomar, M. Guillaume Goulard, présidents de chambre ; Mme
Nathalie Escaut, Mme Anne Egerszegi, M. Thomas Andrieu, conseillers d'Etat,
Mme Christelle Thomas, maître des requêtes en service extraordinaire-
rapporteur.
Lu en séance publique le 27 mars 2020
Le président :
Signé : M. Alain Ménéménis
Le rapporteur :
Signé : Mme Christelle Thomas
Le secrétaire :
Signé : Mme Claudine Ramalahanoharana
La République mande et ordonne au Premier ministre en ce qui le concerne ou à
tous huissiers de justice à ce requis en ce qui concerne les voies de droit commun
contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour le secrétaire du contentieux, par délégation :
-7-