Finalement, la ténacité de la Commission Nationale de l’ Informatique et des Libertés (CNIL) aura eu du bon pour l’internaute européen, semble-t-il et l’imminence des sanctions par l’autorité française de protection des données personnelles à l’encontre de Google, annoncée par des sources anonymes en janvier 2016, auront porté leurs fruits.

Google s’apprête à céder – au moins partiellement – aux invectives de la CNIL en étendant le déréférencement demandé par un internaute européen à Google.com, sous certaines conditions de localisation néanmoins semble-t-il…

Pour rappel et comme nous l’avons exposé dans une précédente publication, le bras de fer entre Google et la CNIL a débuté après l’arrêt de la Cour de Justice de l’Union Européenne (CJUE) en mai 2014[1] lequel a consacré le droit à l’oubli et permis aux personnes physiques, sous certaines conditions, d’obtenir le déréférencement des liens apparaissant dans les résultats de recherche effectués à partir de leurs noms.

Face à l’interprétation restrictive de la portée de l’arrêt par Google (limitant le déréférencement accepté par le moteur de recherche aux seules extensions européennes de son nom de domaine), la CNIL avait mis en demeure Google, le 12 juin 2015, d’étendre le bénéfice du droit au déréférencement à toutes les extensions (y compris Google.com) ce que cette dernière a rejeté, au nom du refus de l’application extraterritoriale de la réglementation et de la jurisprudence communautaires.

Ce faisant, Google formait un recours gracieux auquel la CNIL opposait une fin de non-recevoir le 21 septembre 2015 en motivant ainsi sa décision : dès lors que Google a accueilli une demande de déréférencement, celui-ci doit s’opérer sur toutes les extensions du nom de domaine du moteur de recherche. Les extensions n’étant que des chemins d’accès différents à un seul traitement de données, le déréférencement ne peut pas se limiter aux seules extensions correspondant au lieu de résidence de la personne ayant sollicité le déréférencement ; une telle restriction géographique revenant à priver d’effet utile la solution dégagée par l’arrêt de la CJUE.

Depuis le début du mois de février, la presse française et internationale a annoncé une inflexion de la position de Google qui aurait décidé d’assouplir sa position, en vue de contenter les autorités européennes de protection des données personnelles (au nombre desquelles, au premier chef, la CNIL).

Pour autant et faute d’annonce officielle par Google, il existe, à l’heure actuelle, une certaine confusion quant aux modalités exactes du nouvel engagement de Google visant à consacrer plus largement  le droit à l’oubli.

Certaines sources prétendent que Google se serait rangée à la position des autorités européennes, en consacrant un déréférencement total, sur toutes les extensions de son nom de domaine (en ce compris Google.com, Google.ca (Google canada) etc…) au profit de tous les internautes européens.

Selon ces sources, ces derniers bénéficieraient (sous réserve que la demande de suppression ait été acceptée) d’un déréférencement sur toutes les extensions européennes et mondiales, que Google leur octroierait automatiquement dès lors qu’une demande d’informations les concernant émanerait d’un internaute localisé sur le territoire européen (la provenance de la demande étant vérifiée via la géolocalisation de l’adresse IP).

D’autres sources suggèrent, en revanche, que Google n’aurait que partiellement infléchi sa position en réservant le bénéfice de ce déréférencement total aux seuls internautes européens dont la demande de suppression aurait été accueillie favorablement, à condition que la recherche les concernant émane du pays européen à partir duquel la demande de suppression a été notifiée.

Concrètement, cela signifierait, par exemple, qu’un français (ayant vu sa demande de suppression d’un lien acceptée par Google) serait assuré de la disparition de ce lien (en association avec son nom) non seulement de Google.fr, mais également de toutes les autres extensions européennes et hors-Europe (telles que Google.com,  Google.ca etc…) sous réserve toutefois que la demande d’informations le concernant émane….. d’un internaute localisé sur le territoire français.

Ainsi, telle serait la teneur de l’engagement  de Google, selon le magazine américain Fortune, d’après la déclaration recueillie auprès d’une personne autorisée chez Google :

“En complément de notre pratique actuelle de déréférencement sur toutes les extensions européennes, nous supprimerons bientôt les liens résultant des recherches menées par les personnes localisées dans le même pays que le requérant, en conformité avec les dernières évolutions de la réglementation européenne dans ce domaine »[2].  

Dans cette hypothèse, le droit à l’oubli de l’internaute européen (requérant à la suppression) et son droit corrélatif au déréférencement serait donc à géométrie variable selon que l’internaute en recherche d’informations sur lui serait ou non localisé dans son pays d’origine.

En pratique : l’internaute français (dont Google a accepté la demande de référencement) peut être assuré de l’inaccessibilité des liens répréhensibles le concernant, sur toutes les extensions mondiales de Google, par un internaute français mais pas nécessairement par un autre internaute européen.

Ainsi, s’il est vrai que l’internaute italien ne pourra pas accéder aux liens corrélés au requérant français par le biais de Google.it, ni Google.fr…. il pourra, en revanche, accéder à ces liens via Google.com (le pays européen d’où la demande d’informations émane – Italie – étant distinct de celui à partir duquel la demande de déréférencement a été notifiée – en l’occurrence la France).

Si telle est bien la proposition d’engagement de Google (laquelle n’est pas encore publique et donc difficilement vérifiable dans sa teneur exacte), il n’est pas certain qu’elle agrée la CNIL laquelle pourrait considérer que l’internaute français (ayant requis le déréférencement) ne bénéficie pas du même « droit à l’oubli » partout en Europe, puisqu’il se trouve soumis à un critère de « territorialité » au sein même de l’Europe, dépendant du lieu de connexion de l’internaute en quête d’informations sur lui.

Pour garantir une protection adéquate et uniforme à tous les internautes européens partout en Europe, faudrait-il donc que cet internaute (qui peut être une personne ayant une notoriété dépassant les frontières de son pays d’origine) introduise une demande de suppression simultanée dans tous les pays européens pour pouvoir espérer bénéficier, en pratique, d’un déréférencement effectif sur Google.com ?  

Google considère probablement que :

(i) l’extension – sous condition – du droit au référencement à toutes ses extensions au bénéfice de l’internaute européen, combinée avec

(ii) le fait que, depuis mars 2015, il est très difficile pour un ressortissant européen d’accéder à d’autres extensions du site de Google que celles liées à son adresse IP (en effet, accéder désormais à Google.com pour un internaute français requiert une certaine agilité et une motivation accrue!)

garantissent, en pratique, le droit à l’oubli et l’application optimale du droit au référencement corrélatif, conformément aux principes dégagés par la CJUE dans son arrêt de mai 2014.

Il n’est pas certain que la plus intransigeante des autorités européennes de protection des données personnelles, la CNIL, partage cette analyse. Verdict prochainement, l’analyse de la proposition d’engagement de Google étant actuellement à l’étude …

 

                                                                                              par Sarah Temple-Boyer

 

 

[1] CJUE C-131/12 du 13 mai 2014 Google Spain SL et Google Inc. V. Agencia Espanola de Proteccion de Datos (AEPD) et Mario Costeja Gonzales

[2] Déclaration originale de la personne autorisée de chez Google telle que citée dans le magazine “Fortune”: “In addition to our existing practice of delisting on all European domains, we’ll soon also remove delisted search results from all Google domains for people searching from the country of the requester, reflecting evolving European law in this area,”