Déréférencement mondial : l’obligation de protection effective des résidents européens

La CNIL retient que l’exploitant d’un moteur de recherche est responsable d’un traitement de données à caractère personnel et doit assurer l’effectivité des droits d’opposition et d’effacement. Les articles 38 et 40 de la loi Informatique et Libertés, interprétés à la lumière des articles 12 et 14 de la directive 95/46/CE et des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, imposent un déréférencement complet lorsque les conditions légales sont réunies.

La formation restreinte considère que les différentes extensions géographiques du moteur ne constituent pas des traitements distincts, mais des voies d’accès à un traitement unique. La loi française s’applique donc à l’intégralité de ce traitement dès lors qu’une activité est mise en œuvre, même partiellement, sur le territoire national, conformément aux articles 5-I-1° et 48 de la loi Informatique et Libertés.

Une limitation aux extensions européennes ou un filtrage dépendant de l’adresse IP ne garantit ni l’efficacité, ni la complétude, ni l’absence de contournement du déréférencement. Celui-ci doit s’étendre à l’ensemble du moteur, sans distinction liée à l’extension consultée ou à la localisation de l’internaute.

La CNIL précise que son pouvoir de sanction n’est pas subordonné à l’existence d’une plainte. L’absence de mise en conformité dans le délai fixé caractérise le manquement aux articles 38 et 40 et justifie une sanction pécuniaire publique de 100 000 euros.

⬇️Télécharger la décision version officielle

Après l’arrêt de la CJUE du 13 mai 2014, l’exploitant d’un moteur de recherche a limité le déréférencement aux extensions européennes. Malgré une mise en demeure et un délai complémentaire, il n’a pas étendu le dispositif à toutes les extensions. La solution ultérieure fondée sur la localisation de l’adresse IP a été jugée insuffisante en raison des possibilités de consultation et de contournement depuis l’étranger. Une sanction publique de 100 000 euros a été prononcée.

Un exploitant de moteur de recherche indexait automatiquement des informations publiées par des tiers et les affichait dans une liste de résultats associée au nom d’une personne. Après l’arrêt de la CJUE du 13 mai 2014, il a mis en place un formulaire permettant aux résidents européens de demander le déréférencement de liens les concernant.

Saisie de plusieurs plaintes, la CNIL a estimé que les déréférencements ne pouvaient être limités aux seules extensions européennes du moteur. Elle a mis en demeure l’exploitant d’étendre la mesure à toutes les extensions, puis lui a accordé un délai complémentaire.

L’exploitant n’ayant pas modifié son dispositif dans le délai imparti, la CNIL a engagé une procédure de sanction. La solution proposée ensuite, fondée sur la localisation de l’adresse IP, a été jugée insuffisante en raison des possibilités de consultation et de contournement depuis l’étranger. La formation restreinte a prononcé une sanction pécuniaire publique de 100 000 euros.

• Identifier un traitement unique malgré les différentes extensions géographiques
• Établir la mise en œuvre du traitement, même partiellement, sur le territoire national
• Vérifier les conditions d’opposition ou d’effacement des données
• Assurer un équilibre proportionné entre vie privée et intérêt du public
• Écarter toute limitation permettant la consultation ou le contournement depuis l’étranger
• Constater l’absence de mise en conformité dans le délai imparti

• Huit plaintes expressément visées dans la mise en demeure
• Formulaire de demande de suppression de résultat de recherche
• Échanges écrits sur l’absence de modification du dispositif
• Réunion explicative et prorogation du délai de mise en conformité
• Engagement tardif fondé sur la localisation de l’adresse IP
• Possibilités techniques de contournement par VPN ou extension étrangère

L’exploitant doit mettre en œuvre un déréférencement couvrant l’intégralité du traitement, sans le limiter aux extensions européennes ni à la localisation de l’internaute. Les résidents français bénéficient d’une protection qui ne peut varier selon l’extension interrogée ou le destinataire de la donnée.

• Extension du déréférencement à toutes les versions du moteur
• Abandon du filtrage dépendant exclusivement de l’adresse IP
• Prévention des contournements par extensions étrangères ou VPN
• Contrôle individualisé de l’intérêt légitime et de l’obsolescence
• Prise en compte du risque de sanction publique en cas d’inexécution

À faire

• Identifier le traitement unique et ses voies d’accès techniques
• Examiner chaque demande au regard des articles 38 et 40
• Contrôler l’intérêt légitime et l’obsolescence des informations
• Étendre le déréférencement à toutes les extensions
• Documenter la mise en conformité dans le délai imparti

À éviter

• Limiter la mesure aux extensions européennes
• Fonder la protection uniquement sur l’adresse IP
• Laisser accessibles les liens via une extension étrangère
• Négliger les possibilités de contournement par VPN
• Attendre l’expiration du délai pour modifier le dispositif

Les droits d’opposition et d’effacement des données personnelles

Les articles 38 et 40 de la loi Informatique et Libertés transposent les articles 12 et 14 de la directive 95/46/CE. Le déréférencement doit être accordé lorsque l’opposition repose sur un motif légitime ou lorsque les données sont notamment inexactes, incomplètes, équivoques, périmées ou illicitement traitées. L’appréciation doit préserver l’équilibre entre vie privée, protection des données et intérêt du public à l’information.

Le déréférencement de l’ensemble d’un traitement unique

Les différentes extensions géographiques du moteur de recherche constituent des chemins d’accès à un traitement unique. La loi Informatique et Libertés s’applique à l’intégralité de ce traitement lorsqu’il est mis en œuvre, même partiellement, sur le territoire national. Une limitation aux extensions européennes ne permet pas d’assurer une protection efficace, complète et sans contournement des résidents français.

Les conditions du manquement et de la sanction administrative

La mise en demeure pouvait être fondée sur huit plaintes, mais l’exercice du pouvoir répressif de la CNIL n’était pas subordonné à l’existence d’une plainte. L’absence de modification du dispositif dans le délai imparti, malgré une réunion explicative et une prorogation, a caractérisé le manquement aux articles 38 et 40. Une sanction pécuniaire publique de 100 000 euros a été prononcée.

Article 1er de la directive 95/46/CE, Articles 12 et 14 de la directive 95/46/CE, Article 4 de la directive 95/46/CE, Article 2, sous b), de la directive 95/46/CE, Articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, Article 11 de la loi n° 78-17 du 6 janvier 1978, Article 13-I de la loi n° 78-17 du 6 janvier 1978, Article 38 de la loi n° 78-17 du 6 janvier 1978, Article 40 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 48 de la loi n° 78-17 du 6 janvier 1978, Article 5-I-1° de la loi n° 78-17 du 6 janvier 1978