Conseil d'État
N° 405464
ECLI:FR:CEORD:2019:405464.20191206
Mentionné aux tables du recueil Lebon
M. Alexandre Lallet, rapporteur public
SCP CELICE, SOLTNER, TEXIDOR, PERIER ; SCP SPINOSI, SUREAU, avocats
Lecture du vendredi 6 décembre 2019
Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire et un nouveau mémoire, enregistrés les 28 novembre 2016, 28 février 2017 et 12 novembre 2019 au secrétariat du contentieux du Conseil d'Etat, M. A... demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a clôturé sa plainte aux fins de déréférencement de plusieurs liens obtenus sur la base d'une recherche effectuée à partir de son nom sur le moteur de recherche exploité par la société Google, qui lui a été notifiée par un courrier du 26 septembre 2017 ;
2°) à titre subsidiaire, de poser les questions préjudicielles suivantes à la Cour de justice de l'Union européenne et de surseoir à statuer dans l'attente de la réponse de la Cour à ces questions :
" 1- indépendamment de la licéité de la publication des données à caractère personnel sur la page web vers laquelle mène le lien litigieux, les dispositions de la directive du 24 octobre 1995 doivent-elles être interprétées en ce sens que :
- lorsque le demandeur établit que ces données sont devenues incomplètes ou inexactes, ou qu'elles ne sont plus à jour, l'exploitant d'un moteur de recherche est tenu de faire droit à la demande de déréférencement correspondante '
- plus spécifiquement, lorsque le demandeur démontre que, compte tenu du déroulement de la procédure judiciaire, les informations relatives à une étape antérieure de la procédure ne correspondent plus à la réalité actuelle de sa situation, l'exploitant d'un moteur de recherche est tenu de déréférencer les liens menant vers des pages web comportant de telles informations '
2- les dispositions de l'article 8 paragraphe 5 de la directive du 24 octobre 1995 doivent-elles être interprétées en ce sens que les informations relatives à la mise en examen d'un individu ou relatant un procès, et la condamnation qui en découle, constituent des données relatives aux infractions et aux condamnations pénales ' De manière générale, lorsqu'une page web comporte des données faisant état des condamnations ou des procédures judiciaires dont une personne physique a été l'objet, entre-t-elle dans le champ de ces dispositions ' "
Vu les autres pièces du dossier ;
Vu :
- la Charte des droits fondamentaux de l'Union européenne ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- l'arrêt de la Cour de justice de l'Union européenne du 13 mai 2014, Google Spain SL, Google Inc. contre Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez (C-131/12) ;
- l'arrêt de la Cour de justice de l'Union européenne du 24 septembre 2019, GC, AF, BH et ED contre CNIL (C-136/17) ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Réda Wadjinny-Green, auditeur,
- les conclusions de M. Alexandre Lallet, rapporteur public ;
La parole ayant été donnée, avant et après les conclusions, à la SCP Célice, Soltner, Texidor, Perier, avocat de M. A... et à la SCP Spinosi, Sureau, avocat de la société Google LLC ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que M. A... a demandé à la société Google de procéder au déréférencement, dans les résultats affichés par le moteur de recherche qu'elle exploite à la suite d'une recherche portant sur son nom, de plusieurs liens hypertextes renvoyant à des articles de journaux et de blogs faisant état de sa condamnation par la cour d'appel d'Angers, le Z, pour apologie de crimes contre l'humanité, alors que la Cour de cassation a, par une décision du W, cassé cet arrêt. A la suite du refus opposé par la société Google, il a saisi la Commission nationale de l'informatique et des libertés (CNIL) d'une plainte tendant à ce qu'il soit enjoint à cette société de procéder au déréférencement des liens en cause. Par un courrier du 26 septembre 2016, la présidente de la CNIL l'a informé de la clôture de sa plainte. M. A... demande l'annulation pour excès de pouvoir du refus de la CNIL de mettre en demeure la société Google de procéder au déréférencement demandé.
Sur l'office du juge de l'excès de pouvoir :
2. L'effet utile de l'annulation pour excès de pouvoir du refus de la CNIL de mettre en demeure l'exploitant d'un moteur de recherche de procéder au déréférencement de liens vers des pages web réside dans l'obligation, que le juge peut prescrire d'office en vertu des dispositions de l'article L. 911-1 du code de justice administrative, pour la CNIL de procéder à une telle mise en demeure afin que disparaissent de la liste de résultats affichée à la suite d'une recherche les liens en cause.
3. Il résulte de ce qui a été dit au point précédent que lorsqu'il est saisi de conclusions aux fins d'annulation du refus de la CNIL de mettre en demeure l'exploitant d'un moteur de recherche de procéder au déréférencement de liens, le juge de l'excès de pouvoir est conduit à apprécier la légalité d'un tel refus au regard des règles applicables et des circonstances prévalant à la date de sa décision.
Sur le cadre juridique du litige :
4. L'article 51 de la loi du 6 janvier 1978 dispose, dans sa rédaction applicable à la date de la présente décision, que : " Le droit à l'effacement s'exerce dans les conditions prévues à l'article 17 du règlement (UE) 2016/679 du 27 avril 2016 ".
5. Aux termes de l'article 17 du règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données : " 1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique : / a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ; / b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement ; / c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 ; / d) les données à caractère personnel ont fait l'objet d'un traitement illicite ; / e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis ; f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1. [...] 3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est nécessaire : / a) à l'exercice du droit à la liberté d'expression et d'information [...] ".
6. Par son arrêt du 24 septembre 2019 GC, AF, BH et ED contre CNIL (C-136/17), la Cour de justice de l'Union européenne a, en réponse aux questions que lui avait posées le Conseil d'Etat dans sa décision avant-dire-droit du 24 février 2017, précisé qu'elle examinerait ces questions " sous l'angle de la directive 95/46, en tenant, toutefois, également compte du règlement 2016/679 dans son analyse de celles-ci, afin d'assurer que ses réponses seront, en toute hypothèse, utiles pour la juridiction de renvoi ".
En ce qui concerne le " droit au déréférencement " de données à caractère personnel relatives à des procédures pénales :
7. L'article 46 de la loi du 6 janvier 1978 dispose, dans sa rédaction applicable à la date de la présente décision, que : " Les traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes ne peuvent être effectués que par : / 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ainsi que les personnes morales de droit privé collaborant au service public de la justice et appartenant à des catégories dont la liste est fixée par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, dans la mesure strictement nécessaire à leur mission ; / 2° Les auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi ; / 3° Les personnes physiques ou morales, aux fins de leur permettre de préparer et, le cas échéant, d'exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci et de faire exécuter la décision rendue, pour une durée strictement proportionnée à ces finalités. La communication à un tiers n'est alors possible que sous les mêmes conditions et dans la mesure strictement nécessaire à la poursuite de ces mêmes finalités ; / 4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits ; / 5° Les réutilisateurs des informations publiques figurant dans les décisions mentionnées à l'article L. 10 du code de justice administrative et à l'article L. 111-13 du code de l'organisation judiciaire, sous réserve que les traitements mis en oeuvre n'aient ni pour objet ni pour effet de permettre la réidentification des personnes concernées ". Ces dispositions assurent la mise en oeuvre en droit national de celles de l'article 10 du règlement général sur la protection des données, lesquelles ont abrogé et remplacé celles de l'article 8 paragraphe 5 de la directive 95/46/CE du 24 octobre 1995.
8. Aux termes de cet article 10 : " Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l'article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l'autorité publique, ou si le traitement est autorisé par le droit de l'Union ou par le droit d'un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l'autorité publique. ".
9. La Cour de justice de l'Union européenne a dit pour droit, par son arrêt du 24 septembre 2019, que : " Les dispositions de la directive 95/46 doivent être interprétées en ce sens que [...] les informations relatives à une procédure judiciaire dont une personne physique a été l'objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé constituent des données relatives aux " infractions " et aux " condamnations pénales ", au sens de l'article 8, paragraphe 5, de cette directive ".
10. Elle a par ailleurs dit pour droit que : " 1) Les dispositions de l'article 8, paragraphes 1 et 5, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, doivent être interprétées en ce sens que l'interdiction ou les restrictions relatives au traitement des catégories particulières de données à caractère personnel, visées par ces dispositions, s'appliquent, sous réserve des exceptions prévues par cette directive, également à l'exploitant d'un moteur de recherche dans le cadre de ses responsabilités, de ses compétences et de ses possibilités en tant que responsable du traitement effectué lors de l'activité de ce moteur, à l'occasion d'une vérification opérée par cet exploitant, sous le contrôle des autorités nationales compétentes, à la suite d'une demande introduite par la personne concernée ". Elle a également dit pour droit que : " 2) Les dispositions de l'article 8, paragraphes 1 et 5, de la directive 95/46 doivent être interprétées en ce sens que, en vertu de celles-ci, l'exploitant d'un moteur de recherche est en principe obligé, sous réserve des exceptions prévues par cette directive, de faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel qui relèvent des catégories particulières visées par ces dispositions. / L'article 8, paragraphe 2, sous e), de la directive 95/46 doit être interprété en ce sens que, en application de celui-ci, un tel exploitant peut refuser de faire droit à une demande de déréférencement lorsqu'il constate que les liens en cause mènent vers des contenus comportant des données à caractère personnel qui relèvent des catégories particulières visées à cet article 8, paragraphe 1, mais dont le traitement est couvert par l'exception prévue audit article 8, paragraphe 2, sous e), à condition que ce traitement réponde à l'ensemble des autres conditions de licéité posées par cette directive et à moins que la personne concernée n'ait, en vertu de l'article 14, premier alinéa, sous a), de ladite directive, le droit de s'opposer audit traitement pour des raisons prépondérantes et légitimes tenant à sa situation particulière. / Les dispositions de la directive 95/46 doivent être interprétées en ce sens que, lorsque l'exploitant d'un moteur de recherche est saisi d'une demande de déréférencement portant sur un lien vers une page web sur laquelle des données à caractère personnel relevant des catégories particulières visées à l'article 8, paragraphe 1 ou 5, de cette directive sont publiées, cet exploitant doit, sur la base de tous les éléments pertinents du cas d'espèce et compte tenu de la gravité de l'ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne, vérifier, au titre des motifs d'intérêt public important visés à l'article 8, paragraphe 4, de ladite directive et dans le respect des conditions prévues à cette dernière disposition, si l'inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d'une recherche effectuée à partir du nom de cette personne, s'avère strictement nécessaire pour protéger la liberté d'information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d'une telle recherche, consacrée à l'article 11 de cette charte ".
11. S'agissant des données à caractère personnel relatives à des procédures pénales, la Cour de justice de l'Union européenne a dit pour droit que : " L'exploitant d'un moteur de recherche est tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle, dans la mesure où il est constaté, dans le cadre de la vérification des motifs d'intérêt public important visés à l'article 8, paragraphe 4, de ladite directive, que, eu égard à l'ensemble des circonstances de l'espèce, les droits fondamentaux de la personne concernée, garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne, prévalent sur ceux des internautes potentiellement intéressés, protégés par l'article 11 de cette charte ". Elle a précisé, par le même arrêt, que : " Quand bien même l'exploitant d'un moteur de recherche devrait constater que tel n'est pas le cas en raison du fait que l'inclusion du lien en cause s'avère strictement nécessaire pour concilier les droits au respect de la vie privée et à la protection des données de la personne concernée avec la liberté d'information des internautes potentiellement intéressés, cet exploitant est, en tout état de cause, tenu, au plus tard à l'occasion de la demande de déréférencement, d'aménager la liste de résultats de telle sorte que l'image globale qui en résulte pour l'internaute reflète la situation judiciaire actuelle, ce qui nécessite notamment que des liens vers des pages web comportant des informations à ce sujet apparaissent en premier lieu sur cette liste ".
12. Il découle des motifs énoncés aux points précédents que lorsque des liens mènent vers des pages web contenant des données à caractère personnel relatives à des procédures pénales visées à l'article 8 paragraphe 5 de la directive 95/46/CE du 24 octobre 1995, abrogé et remplacé par l'article 10 du règlement général sur la protection des données du 27 avril 2016, l'ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée est susceptible d'être particulièrement grave en raison de la sensibilité de ces données. Il s'ensuit qu'il appartient en principe à la CNIL, saisie d'une demande tendant à ce qu'elle mette l'exploitant d'un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers des pages web, publiées par des tiers et contenant de telles données, de faire droit à cette demande. Il n'en va autrement que s'il apparaît, compte tenu du droit à la liberté d'information, que l'accès à une telle information à partir d'une recherche portant sur le nom de la personne concernée est strictement nécessaire à l'information du public. Pour apprécier s'il peut être légalement fait échec au droit au déréférencement au motif que l'accès à des données à caractère personnel relatives à une procédure pénale à partir d'une recherche portant sur le nom de la personne concernée est strictement nécessaire à l'information du public, il incombe à la CNIL de tenir notamment compte, d'une part, de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d'avoir pour la personne concernée et, d'autre part, de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société. Il lui incombe également de prendre en compte la possibilité d'accéder aux mêmes informations à partir d'une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée.
13. Dans l'hypothèse particulière où le lien mène vers une page web faisant état d'une étape d'une procédure judiciaire ne correspondant plus à la situation judiciaire actuelle de la personne concernée mais qu'il apparaît, au terme de la mise en balance effectuée dans les conditions énoncées au point précédent, que le maintien de son référencement est strictement nécessaire à l'information du public, l'exploitant d'un moteur de recherche est tenu, au plus tard à l'occasion de la demande de déréférencement, d'aménager la liste de résultats de telle sorte que les liens litigieux soient précédés sur cette liste de résultats d'au moins un lien menant vers une ou des pages web comportant des informations à jour, afin que l'image qui en résulte reflète exactement la situation judiciaire actuelle de la personne concernée.
Sur la légalité de la décision attaquée :
14. Il ressort des pièces du dossier que M. A... a demandé à la CNIL d'ordonner à la société Google de procéder au déréférencement de liens renvoyant vers des articles faisant état de sa condamnation pour apologie de crimes de guerre ou contre l'humanité par le tribunal correctionnel d'Angers le Y, puis par la cour d'appel d'Angers le Z, sans mentionner la décision du W par laquelle la chambre criminelle de la Cour de cassation a annulé cet arrêt.
15. Il ressort des pièces du dossier que, le 21 juillet 2013, à l'occasion d'un litige avec des personnes appartenant à la communauté des gens du voyage, M. A... député de la 5ème circonscription du A de 2002 à 2017 et maire de B depuis 1995, qui affirme qu'il ignorait qu'il était enregistré et qu'il n'entendait pas s'exprimer publiquement, a prononcé les termes suivants : " comme quoi, Hitler n'en a peut-être pas tué assez, hein ". Les propos ont été repris dans la presse et M. A... a fait l'objet de la condamnation pénale mentionnée au point précédent avant que la Cour de cassation ne juge que les propos incriminés n'avaient pas été proférés publiquement au sens de l'article 23 de la loi du 29 juillet 1881 sur la liberté de la presse et n'annule, pour ce motif, l'arrêt de la cour d'appel d'Angers du Z sans renvoyer l'affaire, ce qui a entraîné la relaxe de l'intéressé.
16. Eu égard à la nature et au contenu des informations litigieuses, à leur source, au rôle qu'a joué et continue de jouer dans la vie publique M. A... et au contexte dans lequel ont été tenus les propos rapportés dans les articles vers lesquels mènent les liens litigieux, la CNIL a pu légalement estimer que le maintien des liens permettant d'avoir accès à ces informations à partir d'une recherche effectuée sur le nom de M. A... était strictement nécessaire à l'information du public. En outre, il ressort des pièces du dossier que les articles vers lesquels mènent les liens litigieux comportent, à la date de la présente décision, un addendum faisant mention de la décision de la Cour de cassation du W. Au surplus, il ressort des pièces du dossier qu'ainsi qu'elle le fait valoir dans ses écritures devant le Conseil d'Etat, la société Google a procédé au réaménagement de la liste de résultats obtenue à la suite d'une recherche portant sur le nom du requérant de telle sorte qu'à la date de la présente décision, le premier lien affiché renvoie vers une page web faisant état, de manière exacte et actualisée, de sa situation judiciaire, en mentionnant notamment la décision de la Cour de cassation du W. Dans ces conditions, le refus de la CNIL d'ordonner à la société Google de procéder aux déréférencements que demandait M. A... n'est pas entaché d'illégalité.
17. Il résulte de tout ce qui précède, et sans qu'il soit besoin de poser des questions préjudicielles à la Cour de justice de l'Union européenne, que M. A... n'est pas fondé à demander l'annulation de la décision de la CNIL du 26 septembre 2017.
D E C I D E :
--------------
Article 1er : La requête de M. A... est rejetée.
Article 2 : La présente décision sera notifiée à M. A..., à la Commission nationale de l'informatique et des libertés et à la société Google.
N° 405464
ECLI:FR:CEORD:2019:405464.20191206
Mentionné aux tables du recueil Lebon
M. Alexandre Lallet, rapporteur public
SCP CELICE, SOLTNER, TEXIDOR, PERIER ; SCP SPINOSI, SUREAU, avocats
Lecture du vendredi 6 décembre 2019
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire et un nouveau mémoire, enregistrés les 28 novembre 2016, 28 février 2017 et 12 novembre 2019 au secrétariat du contentieux du Conseil d'Etat, M. A... demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a clôturé sa plainte aux fins de déréférencement de plusieurs liens obtenus sur la base d'une recherche effectuée à partir de son nom sur le moteur de recherche exploité par la société Google, qui lui a été notifiée par un courrier du 26 septembre 2017 ;
2°) à titre subsidiaire, de poser les questions préjudicielles suivantes à la Cour de justice de l'Union européenne et de surseoir à statuer dans l'attente de la réponse de la Cour à ces questions :
" 1- indépendamment de la licéité de la publication des données à caractère personnel sur la page web vers laquelle mène le lien litigieux, les dispositions de la directive du 24 octobre 1995 doivent-elles être interprétées en ce sens que :
- lorsque le demandeur établit que ces données sont devenues incomplètes ou inexactes, ou qu'elles ne sont plus à jour, l'exploitant d'un moteur de recherche est tenu de faire droit à la demande de déréférencement correspondante '
- plus spécifiquement, lorsque le demandeur démontre que, compte tenu du déroulement de la procédure judiciaire, les informations relatives à une étape antérieure de la procédure ne correspondent plus à la réalité actuelle de sa situation, l'exploitant d'un moteur de recherche est tenu de déréférencer les liens menant vers des pages web comportant de telles informations '
2- les dispositions de l'article 8 paragraphe 5 de la directive du 24 octobre 1995 doivent-elles être interprétées en ce sens que les informations relatives à la mise en examen d'un individu ou relatant un procès, et la condamnation qui en découle, constituent des données relatives aux infractions et aux condamnations pénales ' De manière générale, lorsqu'une page web comporte des données faisant état des condamnations ou des procédures judiciaires dont une personne physique a été l'objet, entre-t-elle dans le champ de ces dispositions ' "
Vu les autres pièces du dossier ;
Vu :
- la Charte des droits fondamentaux de l'Union européenne ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- l'arrêt de la Cour de justice de l'Union européenne du 13 mai 2014, Google Spain SL, Google Inc. contre Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez (C-131/12) ;
- l'arrêt de la Cour de justice de l'Union européenne du 24 septembre 2019, GC, AF, BH et ED contre CNIL (C-136/17) ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Réda Wadjinny-Green, auditeur,
- les conclusions de M. Alexandre Lallet, rapporteur public ;
La parole ayant été donnée, avant et après les conclusions, à la SCP Célice, Soltner, Texidor, Perier, avocat de M. A... et à la SCP Spinosi, Sureau, avocat de la société Google LLC ;
Considérant ce qui suit :
1. Il ressort des pièces du dossier que M. A... a demandé à la société Google de procéder au déréférencement, dans les résultats affichés par le moteur de recherche qu'elle exploite à la suite d'une recherche portant sur son nom, de plusieurs liens hypertextes renvoyant à des articles de journaux et de blogs faisant état de sa condamnation par la cour d'appel d'Angers, le Z, pour apologie de crimes contre l'humanité, alors que la Cour de cassation a, par une décision du W, cassé cet arrêt. A la suite du refus opposé par la société Google, il a saisi la Commission nationale de l'informatique et des libertés (CNIL) d'une plainte tendant à ce qu'il soit enjoint à cette société de procéder au déréférencement des liens en cause. Par un courrier du 26 septembre 2016, la présidente de la CNIL l'a informé de la clôture de sa plainte. M. A... demande l'annulation pour excès de pouvoir du refus de la CNIL de mettre en demeure la société Google de procéder au déréférencement demandé.
Sur l'office du juge de l'excès de pouvoir :
2. L'effet utile de l'annulation pour excès de pouvoir du refus de la CNIL de mettre en demeure l'exploitant d'un moteur de recherche de procéder au déréférencement de liens vers des pages web réside dans l'obligation, que le juge peut prescrire d'office en vertu des dispositions de l'article L. 911-1 du code de justice administrative, pour la CNIL de procéder à une telle mise en demeure afin que disparaissent de la liste de résultats affichée à la suite d'une recherche les liens en cause.
3. Il résulte de ce qui a été dit au point précédent que lorsqu'il est saisi de conclusions aux fins d'annulation du refus de la CNIL de mettre en demeure l'exploitant d'un moteur de recherche de procéder au déréférencement de liens, le juge de l'excès de pouvoir est conduit à apprécier la légalité d'un tel refus au regard des règles applicables et des circonstances prévalant à la date de sa décision.
Sur le cadre juridique du litige :
4. L'article 51 de la loi du 6 janvier 1978 dispose, dans sa rédaction applicable à la date de la présente décision, que : " Le droit à l'effacement s'exerce dans les conditions prévues à l'article 17 du règlement (UE) 2016/679 du 27 avril 2016 ".
5. Aux termes de l'article 17 du règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données : " 1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique : / a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ; / b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement ; / c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 ; / d) les données à caractère personnel ont fait l'objet d'un traitement illicite ; / e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis ; f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1. [...] 3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est nécessaire : / a) à l'exercice du droit à la liberté d'expression et d'information [...] ".
6. Par son arrêt du 24 septembre 2019 GC, AF, BH et ED contre CNIL (C-136/17), la Cour de justice de l'Union européenne a, en réponse aux questions que lui avait posées le Conseil d'Etat dans sa décision avant-dire-droit du 24 février 2017, précisé qu'elle examinerait ces questions " sous l'angle de la directive 95/46, en tenant, toutefois, également compte du règlement 2016/679 dans son analyse de celles-ci, afin d'assurer que ses réponses seront, en toute hypothèse, utiles pour la juridiction de renvoi ".
En ce qui concerne le " droit au déréférencement " de données à caractère personnel relatives à des procédures pénales :
7. L'article 46 de la loi du 6 janvier 1978 dispose, dans sa rédaction applicable à la date de la présente décision, que : " Les traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes ne peuvent être effectués que par : / 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ainsi que les personnes morales de droit privé collaborant au service public de la justice et appartenant à des catégories dont la liste est fixée par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, dans la mesure strictement nécessaire à leur mission ; / 2° Les auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi ; / 3° Les personnes physiques ou morales, aux fins de leur permettre de préparer et, le cas échéant, d'exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci et de faire exécuter la décision rendue, pour une durée strictement proportionnée à ces finalités. La communication à un tiers n'est alors possible que sous les mêmes conditions et dans la mesure strictement nécessaire à la poursuite de ces mêmes finalités ; / 4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits ; / 5° Les réutilisateurs des informations publiques figurant dans les décisions mentionnées à l'article L. 10 du code de justice administrative et à l'article L. 111-13 du code de l'organisation judiciaire, sous réserve que les traitements mis en oeuvre n'aient ni pour objet ni pour effet de permettre la réidentification des personnes concernées ". Ces dispositions assurent la mise en oeuvre en droit national de celles de l'article 10 du règlement général sur la protection des données, lesquelles ont abrogé et remplacé celles de l'article 8 paragraphe 5 de la directive 95/46/CE du 24 octobre 1995.
8. Aux termes de cet article 10 : " Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l'article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l'autorité publique, ou si le traitement est autorisé par le droit de l'Union ou par le droit d'un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l'autorité publique. ".
9. La Cour de justice de l'Union européenne a dit pour droit, par son arrêt du 24 septembre 2019, que : " Les dispositions de la directive 95/46 doivent être interprétées en ce sens que [...] les informations relatives à une procédure judiciaire dont une personne physique a été l'objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé constituent des données relatives aux " infractions " et aux " condamnations pénales ", au sens de l'article 8, paragraphe 5, de cette directive ".
10. Elle a par ailleurs dit pour droit que : " 1) Les dispositions de l'article 8, paragraphes 1 et 5, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, doivent être interprétées en ce sens que l'interdiction ou les restrictions relatives au traitement des catégories particulières de données à caractère personnel, visées par ces dispositions, s'appliquent, sous réserve des exceptions prévues par cette directive, également à l'exploitant d'un moteur de recherche dans le cadre de ses responsabilités, de ses compétences et de ses possibilités en tant que responsable du traitement effectué lors de l'activité de ce moteur, à l'occasion d'une vérification opérée par cet exploitant, sous le contrôle des autorités nationales compétentes, à la suite d'une demande introduite par la personne concernée ". Elle a également dit pour droit que : " 2) Les dispositions de l'article 8, paragraphes 1 et 5, de la directive 95/46 doivent être interprétées en ce sens que, en vertu de celles-ci, l'exploitant d'un moteur de recherche est en principe obligé, sous réserve des exceptions prévues par cette directive, de faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel qui relèvent des catégories particulières visées par ces dispositions. / L'article 8, paragraphe 2, sous e), de la directive 95/46 doit être interprété en ce sens que, en application de celui-ci, un tel exploitant peut refuser de faire droit à une demande de déréférencement lorsqu'il constate que les liens en cause mènent vers des contenus comportant des données à caractère personnel qui relèvent des catégories particulières visées à cet article 8, paragraphe 1, mais dont le traitement est couvert par l'exception prévue audit article 8, paragraphe 2, sous e), à condition que ce traitement réponde à l'ensemble des autres conditions de licéité posées par cette directive et à moins que la personne concernée n'ait, en vertu de l'article 14, premier alinéa, sous a), de ladite directive, le droit de s'opposer audit traitement pour des raisons prépondérantes et légitimes tenant à sa situation particulière. / Les dispositions de la directive 95/46 doivent être interprétées en ce sens que, lorsque l'exploitant d'un moteur de recherche est saisi d'une demande de déréférencement portant sur un lien vers une page web sur laquelle des données à caractère personnel relevant des catégories particulières visées à l'article 8, paragraphe 1 ou 5, de cette directive sont publiées, cet exploitant doit, sur la base de tous les éléments pertinents du cas d'espèce et compte tenu de la gravité de l'ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne, vérifier, au titre des motifs d'intérêt public important visés à l'article 8, paragraphe 4, de ladite directive et dans le respect des conditions prévues à cette dernière disposition, si l'inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d'une recherche effectuée à partir du nom de cette personne, s'avère strictement nécessaire pour protéger la liberté d'information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d'une telle recherche, consacrée à l'article 11 de cette charte ".
11. S'agissant des données à caractère personnel relatives à des procédures pénales, la Cour de justice de l'Union européenne a dit pour droit que : " L'exploitant d'un moteur de recherche est tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle, dans la mesure où il est constaté, dans le cadre de la vérification des motifs d'intérêt public important visés à l'article 8, paragraphe 4, de ladite directive, que, eu égard à l'ensemble des circonstances de l'espèce, les droits fondamentaux de la personne concernée, garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne, prévalent sur ceux des internautes potentiellement intéressés, protégés par l'article 11 de cette charte ". Elle a précisé, par le même arrêt, que : " Quand bien même l'exploitant d'un moteur de recherche devrait constater que tel n'est pas le cas en raison du fait que l'inclusion du lien en cause s'avère strictement nécessaire pour concilier les droits au respect de la vie privée et à la protection des données de la personne concernée avec la liberté d'information des internautes potentiellement intéressés, cet exploitant est, en tout état de cause, tenu, au plus tard à l'occasion de la demande de déréférencement, d'aménager la liste de résultats de telle sorte que l'image globale qui en résulte pour l'internaute reflète la situation judiciaire actuelle, ce qui nécessite notamment que des liens vers des pages web comportant des informations à ce sujet apparaissent en premier lieu sur cette liste ".
12. Il découle des motifs énoncés aux points précédents que lorsque des liens mènent vers des pages web contenant des données à caractère personnel relatives à des procédures pénales visées à l'article 8 paragraphe 5 de la directive 95/46/CE du 24 octobre 1995, abrogé et remplacé par l'article 10 du règlement général sur la protection des données du 27 avril 2016, l'ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée est susceptible d'être particulièrement grave en raison de la sensibilité de ces données. Il s'ensuit qu'il appartient en principe à la CNIL, saisie d'une demande tendant à ce qu'elle mette l'exploitant d'un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers des pages web, publiées par des tiers et contenant de telles données, de faire droit à cette demande. Il n'en va autrement que s'il apparaît, compte tenu du droit à la liberté d'information, que l'accès à une telle information à partir d'une recherche portant sur le nom de la personne concernée est strictement nécessaire à l'information du public. Pour apprécier s'il peut être légalement fait échec au droit au déréférencement au motif que l'accès à des données à caractère personnel relatives à une procédure pénale à partir d'une recherche portant sur le nom de la personne concernée est strictement nécessaire à l'information du public, il incombe à la CNIL de tenir notamment compte, d'une part, de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne et des répercussions que leur référencement est susceptible d'avoir pour la personne concernée et, d'autre part, de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société. Il lui incombe également de prendre en compte la possibilité d'accéder aux mêmes informations à partir d'une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée.
13. Dans l'hypothèse particulière où le lien mène vers une page web faisant état d'une étape d'une procédure judiciaire ne correspondant plus à la situation judiciaire actuelle de la personne concernée mais qu'il apparaît, au terme de la mise en balance effectuée dans les conditions énoncées au point précédent, que le maintien de son référencement est strictement nécessaire à l'information du public, l'exploitant d'un moteur de recherche est tenu, au plus tard à l'occasion de la demande de déréférencement, d'aménager la liste de résultats de telle sorte que les liens litigieux soient précédés sur cette liste de résultats d'au moins un lien menant vers une ou des pages web comportant des informations à jour, afin que l'image qui en résulte reflète exactement la situation judiciaire actuelle de la personne concernée.
Sur la légalité de la décision attaquée :
14. Il ressort des pièces du dossier que M. A... a demandé à la CNIL d'ordonner à la société Google de procéder au déréférencement de liens renvoyant vers des articles faisant état de sa condamnation pour apologie de crimes de guerre ou contre l'humanité par le tribunal correctionnel d'Angers le Y, puis par la cour d'appel d'Angers le Z, sans mentionner la décision du W par laquelle la chambre criminelle de la Cour de cassation a annulé cet arrêt.
15. Il ressort des pièces du dossier que, le 21 juillet 2013, à l'occasion d'un litige avec des personnes appartenant à la communauté des gens du voyage, M. A... député de la 5ème circonscription du A de 2002 à 2017 et maire de B depuis 1995, qui affirme qu'il ignorait qu'il était enregistré et qu'il n'entendait pas s'exprimer publiquement, a prononcé les termes suivants : " comme quoi, Hitler n'en a peut-être pas tué assez, hein ". Les propos ont été repris dans la presse et M. A... a fait l'objet de la condamnation pénale mentionnée au point précédent avant que la Cour de cassation ne juge que les propos incriminés n'avaient pas été proférés publiquement au sens de l'article 23 de la loi du 29 juillet 1881 sur la liberté de la presse et n'annule, pour ce motif, l'arrêt de la cour d'appel d'Angers du Z sans renvoyer l'affaire, ce qui a entraîné la relaxe de l'intéressé.
16. Eu égard à la nature et au contenu des informations litigieuses, à leur source, au rôle qu'a joué et continue de jouer dans la vie publique M. A... et au contexte dans lequel ont été tenus les propos rapportés dans les articles vers lesquels mènent les liens litigieux, la CNIL a pu légalement estimer que le maintien des liens permettant d'avoir accès à ces informations à partir d'une recherche effectuée sur le nom de M. A... était strictement nécessaire à l'information du public. En outre, il ressort des pièces du dossier que les articles vers lesquels mènent les liens litigieux comportent, à la date de la présente décision, un addendum faisant mention de la décision de la Cour de cassation du W. Au surplus, il ressort des pièces du dossier qu'ainsi qu'elle le fait valoir dans ses écritures devant le Conseil d'Etat, la société Google a procédé au réaménagement de la liste de résultats obtenue à la suite d'une recherche portant sur le nom du requérant de telle sorte qu'à la date de la présente décision, le premier lien affiché renvoie vers une page web faisant état, de manière exacte et actualisée, de sa situation judiciaire, en mentionnant notamment la décision de la Cour de cassation du W. Dans ces conditions, le refus de la CNIL d'ordonner à la société Google de procéder aux déréférencements que demandait M. A... n'est pas entaché d'illégalité.
17. Il résulte de tout ce qui précède, et sans qu'il soit besoin de poser des questions préjudicielles à la Cour de justice de l'Union européenne, que M. A... n'est pas fondé à demander l'annulation de la décision de la CNIL du 26 septembre 2017.
D E C I D E :
--------------
Article 1er : La requête de M. A... est rejetée.
Article 2 : La présente décision sera notifiée à M. A..., à la Commission nationale de l'informatique et des libertés et à la société Google.