Précisions récentes de la CJUE sur les obligations de l’exploitant d’un moteur de recherche dans le cadre d’une demande de déréférencement portant sur des données sensibles

La Cour de Justice de l’Union européenne a rendu, le 24 septembre 2019, un arrêt précisant les obligations de l’exploitant d’un moteur de recherche dans le cadre d’une demande de déréférencement portant sur des données sensibles (affaire GC e.a./CNIL, C-136/17).
 
Dans cet arrêt, la Cour a rappelé que la finalité des interdictions et restrictions relatives au traitement de ces catégories particulières de données, visées aux articles 9 paragraphe 1, et de l’article 10 du RGPD consistait à « assurer une protection accrue à l’encontre de tels traitements qui, en raison de la sensibilité particulière de ces données, sont susceptibles de constituer, (…), une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel (…) » (§ 44).
 
Après avoir également rappelé que « l’exploitant d’un moteur de recherche est responsable non pas du fait que des données à caractère personnel visées par lesdites dispositions figurent sur une page web publiée par un tiers, mais du référencement de cette page et, tout particulièrement, de l’affichage du lien vers celle-ci dans la liste des résultats présentée aux internautes à la suite d’une recherche effectuée à partir du nom d’une personne physique, un tel affichage du lien en question dans une telle liste étant susceptible d’affecter significativement les droits fondamentaux de la personne concernée au respect de sa vie privée à la protection des données à caractère personnel la concernant », la Cour a suivi la position de l’Avocat général, Maciej Szpunar, qui estimait que les interdictions et les restrictions prévues par le RGPD « ne peuvent s’appliquer à un moteur de recherche qu’en raison de ce référencement et donc, par l’intermédiaire d’une vérification ex post, sur la base d’une demande de déréférencement formée par la personne concernée » (§ 46 et 47).
 
Par ailleurs, si la Cour reconnaît que l’exploitant d’un moteur de recherche peut se prévaloir des exceptions prévues aux articles 9, paragraphe 2 du RGPD, elle estime que celui-ci doit, en tout état de cause, lorsqu’il est saisi d’une demande de déréférencement, « vérifier (…) si l’inclusion dans la liste de résultats du lien vers une page web sur laquelle des données sensibles sont publiées, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche » (§ 68).
 
Dans le même arrêt, la Cour indique que « les informations concernant une procédure judiciaire menée contre une personne physique, telle que celles relatant sa mise en examen ou le procès, et, le cas échéant, la condamnation qui en a résulté, constituent des données relatives aux "infractions" et aux "condamnations pénales", au sens de l’article 10 du règlement 2016/679, et ce indépendamment du fait qu'au cours de cette procédure judiciaire, la commission de l’infraction pour laquelle la personne était poursuivie a effectivement été établie ou non » (§ 72).
 
La Cour précise que l’exploitant d’un moteur de recherche, qui constate que l’inclusion du lien en cause s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés, est, « en tout état de cause, tenu, au plus tard à l’occasion de la demande de déréférencement, d’aménager la liste de résultats de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle » (§ 78).  r\nSimon Shihab