ARRÊT DE LA COUR (grande chambre)
13 mai 2014 (*)
«Données
à caractère personnel – Protection des personnes physiques à l’égard du
traitement de ces données – Directive 95/46/CE – Articles 2, 4, 12 et
14 – Champ d’application matériel et territorial – Moteurs de recherche
sur Internet – Traitement des données contenues dans des sites web –
Recherche, indexation et stockage de ces données – Responsabilité de
l’exploitant du moteur de recherche – Établissement sur le territoire
d’un État membre – Portée des obligations de cet exploitant et des
droits de la personne concernée – Charte des droits fondamentaux de
l’Union européenne – Articles 7 et 8»
Dans l’affaire C‑131/12,
ayant
pour objet une demande de décision préjudicielle au titre de l’article
267 TFUE, introduite par l’Audiencia Nacional (Espagne), par décision du
27 février 2012, parvenue à la Cour le 9 mars 2012, dans la procédure
Google Spain SL,
Google Inc.
contre
Agencia Española de Protección de Datos (AEPD),
Mario Costeja González,
LA COUR (grande chambre),
composée
de M. V. Skouris, président, M. K. Lenaerts, vice-président, MM. M.
Ilešič (rapporteur), L. Bay Larsen, T. von Danwitz, M. Safjan,
présidents de chambre, MM. J. Malenovský, E. Levits, A. Ó Caoimh, A.
Arabadjiev, Mmes M. Berger, A. Prechal et M. E. Jarašiūnas, juges,
avocat général: M. N. Jääskinen,
greffier: Mme M. Ferreira, administrateur principal,
vu la procédure écrite et à la suite de l’audience du 26 février 2013,
considérant les observations présentées:
– pour Google Spain SL et Google Inc., par Mes F. González Díaz, J. Baño Fos et B. Holles, abogados,
– pour M. Costeja González, par Me J. Muñoz Rodríguez, abogado,
– pour le gouvernement espagnol, par M. A. Rubio González, en qualité d’agent,
– pour le gouvernement hellénique, par Mme E.-M. Mamouna et M. K. Boskovits, en qualité d’agents,
– pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de M. P. Gentili, avvocato dello Stato,
– pour le gouvernement autrichien, par M. G. Kunnert et Mme C. Pesendorfer, en qualité d’agents,
– pour le gouvernement polonais, par MM. B. Majczyna et M. Szpunar, en qualité d’agents,
– pour la Commission européenne, par Mme I. Martínez del Peral et M. B. Martenczuk, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 25 juin 2013,
rend le présent
Arrêt
1 La
demande de décision préjudicielle porte sur l’interprétation des
articles 2, sous b) et d), 4, paragraphe, 1, sous a) et c), 12, sous b),
et 14, premier alinéa, sous a), de la directive 95/46/CE du Parlement
européen et du Conseil, du 24 octobre 1995, relative à la protection des
personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données (JO L 281, p. 31),
ainsi que de l’article 8 de la charte des droits fondamentaux de l’Union
européenne (ci-après la «Charte»).
2 Cette
demande a été présentée dans le cadre d’un litige opposant Google Spain
SL (ci-après «Google Spain») et Google Inc. à l’Agencia Española de
Protección de Datos (AEPD) (agence de protection des données, ci-après
l’«AEPD») et à M. Costeja González au sujet d’une décision de cette
agence faisant droit à la plainte déposée par M. Costeja González contre
ces deux sociétés et ordonnant à Google Inc. d’adopter les mesures
nécessaires pour retirer des données à caractère personnel concernant M.
Costeja González de son index et d’empêcher l’accès à celles-ci à
l’avenir.
Le cadre juridique
Le droit de l’Union
3 La directive 95/46 qui, selon son article 1er,
a pour objet la protection des libertés et des droits fondamentaux des
personnes physiques, notamment du droit à la vie privée, à l’égard du
traitement des données à caractère personnel, ainsi que l’élimination
des obstacles à la libre circulation de ces données, énonce à ses
considérants 2, 10, 18 à 20 et 25:
«(2)
considérant que les systèmes de traitement de données sont au service
de l’homme; qu’ils doivent, quelle que soit la nationalité ou la
résidence des personnes physiques, respecter les libertés et droits
fondamentaux de ces personnes, notamment la vie privée, et contribuer au
[...] bien-être des individus;
[...]
(10)
considérant que l’objet des législations nationales relatives au
traitement des données à caractère personnel est d’assurer le respect
des droits et libertés fondamentaux, notamment du droit à la vie privée
reconnu également dans l’article 8 de la convention européenne de
sauvegarde des droits de l’homme et des libertés fondamentales[, signée à
Rome le 4 novembre 1950,] et dans les principes généraux du droit
communautaire; que, pour cette raison, le rapprochement de ces
législations ne doit pas conduire à affaiblir la protection qu’elles
assurent mais doit, au contraire, avoir pour objectif de garantir un
niveau élevé de protection dans la Communauté;
[...]
(18)
considérant qu’il est nécessaire, afin d’éviter qu’une personne soit
exclue de la protection qui lui est garantie en vertu de la présente
directive, que tout traitement de données à caractère personnel effectué
dans la Communauté respecte la législation de l’un des États membres;
que, à cet égard, il est opportun de soumettre les traitements des
données effectués par toute personne opérant sous l’autorité du
responsable du traitement établi dans un État membre à l’application de
la législation de cet État;
(19)
considérant que l’établissement sur le territoire d’un État membre
suppose l’exercice effectif et réel d’une activité au moyen d’une
installation stable; que la forme juridique retenue pour un tel
établissement, qu’il s’agisse d’une simple succursale ou d’une filiale
ayant la personnalité juridique, n’est pas déterminante à cet égard;
que, lorsqu’un même responsable est établi sur le territoire de
plusieurs États membres, en particulier par le biais d’une filiale, il
doit s’assurer, notamment en vue d’éviter tout contournement, que chacun
des établissements remplit les obligations prévues par le droit
national applicable aux activités de chacun d’eux;
(20)
considérant que l’établissement, dans un pays tiers, du responsable du
traitement de données ne doit pas faire obstacle à la protection des
personnes prévue par la présente directive; que, dans ce cas, il
convient de soumettre les traitements de données effectués à la loi de
l’État membre dans lequel des moyens utilisés pour le traitement de
données en cause sont localisés et de prendre des garanties pour que les
droits et obligations prévus par la présente directive soient
effectivement respectés;
[...]
(25)
considérant que les principes de la protection doivent trouver leur
expression, d’une part, dans les obligations mises à la charge des
personnes [...] qui traitent des données, ces obligations concernant en
particulier la qualité des données, la sécurité technique, la
notification à l’autorité de contrôle, les circonstances dans lesquelles
le traitement peut être effectué, et, d’autre part, dans les droits
donnés aux personnes dont les données font l’objet d’un traitement
d’être informées sur celui-ci, de pouvoir accéder aux données, de
pouvoir demander leur rectification, voire de s’opposer au traitement
dans certaines circonstances».
4 L’article 2 de la directive 95/46 dispose que, «[a]ux fins de [celle-ci], on entend par:
a)
‘données à caractère personnel’: toute information concernant une
personne physique identifiée ou identifiable (personne concernée); est
réputée identifiable une personne qui peut être identifiée, directement
ou indirectement, notamment par référence à un numéro d’identification
ou à un ou plusieurs éléments spécifiques, propres à son identité
physique, physiologique, psychique, économique, culturelle ou sociale;
b)
‘traitement de données à caractère personnel’ (traitement): toute
opération ou ensemble d’opérations effectuées ou non à l’aide de
procédés automatisés et appliquées à des données à caractère personnel,
telles que la collecte, l’enregistrement, l’organisation, la
conservation, l’adaptation ou la modification, l’extraction, la
consultation, l’utilisation, la communication par transmission,
diffusion ou toute autre forme de mise à disposition, le rapprochement
ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la
destruction;
[...]
d)
‘responsable du traitement’: la personne physique ou morale,
l’autorité publique, le service ou tout autre organisme qui, seul ou
conjointement avec d’autres, détermine les finalités et les moyens du
traitement de données à caractère personnel; lorsque les finalités et
les moyens du traitement sont déterminés par des dispositions
législatives ou réglementaires nationales ou communautaires, le
responsable du traitement ou les critères spécifiques pour le désigner
peuvent être fixés par le droit national ou communautaire;
[...]»
5 L’article 3 de ladite directive, intitulé «Champ d’application», énonce à son paragraphe 1:
«La
présente directive s’applique au traitement de données à caractère
personnel, automatisé en tout ou en partie, ainsi qu’au traitement non
automatisé de données à caractère personnel contenues ou appelées à
figurer dans un fichier.»
6 L’article 4 de la même directive, intitulé «Droit national applicable», prévoit:
«1.
Chaque État membre applique les dispositions nationales qu’il arrête en
vertu de la présente directive aux traitements de données à caractère
personnel lorsque:
a) le
traitement est effectué dans le cadre des activités d’un établissement
du responsable du traitement sur le territoire de l’État membre; si un
même responsable du traitement est établi sur le territoire de plusieurs
États membres, il doit prendre les mesures nécessaires pour assurer le
respect, par chacun de ses établissements, des obligations prévues par
le droit national applicable;
b)
le responsable du traitement n’est pas établi sur le territoire de
l’État membre mais en un lieu où sa loi nationale s’applique en vertu du
droit international public;
c)
le responsable du traitement n’est pas établi sur le territoire de la
Communauté et recourt, à des fins de traitement de données à caractère
personnel, à des moyens, automatisés ou non, situés sur le territoire
dudit État membre, sauf si ces moyens ne sont utilisés qu’à des fins de
transit sur le territoire de la Communauté.
2.
Dans le cas visé au paragraphe 1 point c), le responsable du traitement
doit désigner un représentant établi sur le territoire dudit État
membre, sans préjudice d’actions qui pourraient être introduites contre
le responsable du traitement lui-même.»
7 Sous
le chapitre II, section I, de la directive 95/46, intitulée «Principes
relatifs à la qualité des données», l’article 6 de cette directive est
libellé comme suit:
«1. Les États membres prévoient que les données à caractère personnel doivent être:
a) traitées loyalement et licitement;
b)
collectées pour des finalités déterminées, explicites et légitimes, et
ne pas être traitées ultérieurement de manière incompatible avec ces
finalités. Un traitement ultérieur à des fins historiques, statistiques
ou scientifiques n’est pas réputé incompatible pour autant que les États
membres prévoient des garanties appropriées;
c)
adéquates, pertinentes et non excessives au regard des finalités pour
lesquelles elles sont collectées et pour lesquelles elles sont traitées
ultérieurement;
d) exactes et,
si nécessaire, mises à jour; toutes les mesures raisonnables doivent
être prises pour que les données inexactes ou incomplètes, au regard des
finalités pour lesquelles elles sont collectées ou pour lesquelles
elles sont traitées ultérieurement, soient effacées ou rectifiées;
e)
conservées sous une forme permettant l’identification des personnes
concernées pendant une durée n’excédant pas celle nécessaire à la
réalisation des finalités pour lesquelles elles sont collectées ou pour
lesquelles elles sont traitées ultérieurement. Les États membres
prévoient des garanties appropriées pour les données à caractère
personnel qui sont conservées au-delà de la période précitée, à des fins
historiques, statistiques ou scientifiques.
2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1.»
8 Sous
le chapitre II, section II, de la directive 95/46, intitulée «Principes
relatifs à la légitimation des traitements de données», l’article 7 de
cette directive dispose:
«Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si:
[...]
f)
il est nécessaire à la réalisation de l’intérêt légitime poursuivi par
le responsable du traitement ou par le ou les tiers auxquels les données
sont communiquées, à condition que ne prévalent pas l’intérêt ou les
droits et libertés fondamentaux de la personne concernée, qui appellent
une protection au titre de l’article 1er paragraphe 1.»
9 L’article
9 de ladite directive, intitulé «Traitements de données à caractère
personnel et liberté d’expression», énonce:
«Les
États membres prévoient, pour les traitements de données à caractère
personnel effectués aux seules fins de journalisme ou d’expression
artistique ou littéraire, des exemptions et dérogations au présent
chapitre, au chapitre IV et au chapitre VI dans la seule mesure où elles
s’avèrent nécessaires pour concilier le droit à la vie privée avec les
règles régissant la liberté d’expression.»
10 L’article 12 de la même directive, intitulé «Droit d’accès», prévoit:
«Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement:
[...]
b)
selon le cas, la rectification, l’effacement ou le verrouillage des
données dont le traitement n’est pas conforme à la présente directive,
notamment en raison du caractère incomplet ou inexact des données;
[...]»
11 L’article 14 de la directive 95/46, intitulé «Droit d’opposition de la personne concernée», dispose:
«Les États membres reconnaissent à la personne concernée le droit:
a)
au moins dans les cas visés à l’article 7 points e) et f), de s’opposer
à tout moment, pour des raisons prépondérantes et légitimes tenant à sa
situation particulière, à ce que des données la concernant fassent
l’objet d’un traitement, sauf en cas de disposition contraire du droit
national. En cas d’opposition justifiée, le traitement mis en œuvre par
le responsable du traitement ne peut plus porter sur ces données;
[...]»
12 L’article 28 de ladite directive, intitulé «Autorité de contrôle», est libellé comme suit:
«1.
Chaque État membre prévoit qu’une ou plusieurs autorités publiques sont
chargées de surveiller l’application, sur son territoire, des
dispositions adoptées par les États membres en application de la
présente directive.
[...]
3. Chaque autorité de contrôle dispose notamment:
– de
pouvoirs d’investigation, tels que le pouvoir d’accéder aux données
faisant l’objet d’un traitement et de recueillir toutes les informations
nécessaires à l’accomplissement de sa mission de contrôle,
– de
pouvoirs effectifs d’intervention, tels que, par exemple, celui [...]
d’ordonner le verrouillage, l’effacement ou la destruction de données,
ou d’interdire temporairement ou définitivement un traitement [...]
– [...]
Les décisions de l’autorité de contrôle faisant grief peuvent faire l’objet d’un recours juridictionnel.
4.
Chaque autorité de contrôle peut être saisie par toute personne, ou par
une association la représentant, d’une demande relative à la protection
de ses droits et libertés à l’égard du traitement de données à
caractère personnel. La personne concernée est informée des suites
données à sa demande.
[...]
6.
Indépendamment du droit national applicable au traitement en cause,
chaque autorité de contrôle a compétence pour exercer, sur le territoire
de l’État membre dont elle relève, les pouvoirs dont elle est investie
conformément au paragraphe 3. Chaque autorité peut être appelée à
exercer ses pouvoirs sur demande d’une autorité d’un autre État membre.
Les
autorités de contrôle coopèrent entre elles dans la mesure nécessaire à
l’accomplissement de leurs missions, notamment en échangeant toute
information utile.
[...]»
Le droit espagnol
13 La
directive 95/46 a été transposée en droit espagnol par la loi organique
n° 15/1999, du 13 décembre 1999, relative à la protection des données à
caractère personnel (BOE n° 298, du 14 décembre 1999, p. 43088).
Le litige au principal et les questions préjudicielles
14 Le
5 mars 2010, M. Costeja González, de nationalité espagnole et domicilié
en Espagne, a introduit auprès de l’AEPD une réclamation à l’encontre
de La Vanguardia Ediciones SL, qui publie un quotidien de grande
diffusion, notamment en Catalogne (Espagne) (ci-après «La Vanguardia»)
ainsi qu’à l’encontre de Google Spain et de Google Inc. Cette
réclamation se fondait sur le fait que, lorsqu’un internaute
introduisait le nom de M. Costeja González dans le moteur de recherche
du groupe Google (ci-après «Google Search»), il obtenait des liens vers
deux pages du quotidien de La Vanguardia respectivement du 19 janvier et
du 9 mars 1998, sur lesquelles figurait une annonce, mentionnant le nom
de M. Costeja González, pour une vente aux enchères immobilière liée à
une saisie pratiquée en recouvrement de dettes de sécurité sociale.
15 Par
cette réclamation, M. Costeja González demandait, d’une part, qu’il
soit ordonné à La Vanguardia soit de supprimer ou de modifier lesdites
pages afin que ses données personnelles n’y apparaissent plus, soit de
recourir à certains outils fournis par les moteurs de recherche pour
protéger ces données. D’autre part, il demandait qu’il soit ordonné à
Google Spain ou à Google Inc. de supprimer ou d’occulter ses données
personnelles afin qu’elles cessent d’apparaître dans les résultats de
recherche et ne figurent plus dans des liens de La Vanguardia. M.
Costeja González affirmait dans ce contexte que la saisie, dont il avait
fait l’objet, avait été entièrement réglée depuis plusieurs années et
que la mention de celle-ci était désormais dépourvue de toute
pertinence.
16 Par
décision du 30 juillet 2010, l’AEPD a rejeté ladite réclamation pour
autant qu’elle visait La Vanguardia, estimant que la publication par
cette dernière des informations en cause était légalement justifiée
étant donné qu’elle avait eu lieu sur ordre du ministère du Travail et
des Affaires sociales et avait eu pour but de conférer une publicité
maximale à la vente publique afin de réunir le plus grand nombre
d’enchérisseurs.
17 En
revanche, cette même réclamation a été accueillie pour autant qu’elle
était dirigée contre Google Spain et Google Inc. L’AEPD a considéré à
cet égard que les exploitants de moteurs de recherche sont soumis à la
législation en matière de protection des données, étant donné qu’ils
réalisent un traitement de données pour lequel ils sont responsables et
qu’ils agissent en tant qu’intermédiaires de la société de
l’information. L’AEPD a estimé qu’elle est habilitée à ordonner le
retrait des données et l’interdiction d’accéder à certaines données par
les exploitants de moteurs de recherche lorsqu’elle considère que leur
localisation et leur diffusion sont susceptibles de porter atteinte au
droit fondamental de protection des données et à la dignité des
personnes au sens large, ce qui engloberait également la simple volonté
de la personne intéressée que ces données ne soient pas connues par des
tiers. L’AEPD a considéré que cette obligation peut incomber directement
aux exploitants de moteurs de recherche, sans qu’il soit nécessaire
d’effacer les données ou les informations du site web où elles figurent,
notamment lorsque le maintien de ces informations sur ce site est
justifié par une disposition légale.
18 Google
Spain et Google Inc. ont introduit deux recours séparés contre ladite
décision devant l’Audiencia Nacional, lesquels ont été joints par
celle-ci.
19 Cette
juridiction expose dans la décision de renvoi que lesdits recours
soulèvent la question de savoir quelles obligations incombent aux
exploitants de moteurs de recherche pour la protection des données à
caractère personnel des personnes intéressées ne souhaitant pas que
certaines informations, publiées sur les sites web de tiers et contenant
leurs données personnelles qui permettent de relier ces informations à
ces personnes, soient localisées, indexées et mises à la disposition des
internautes de manière indéfinie. La réponse à cette question
dépendrait de la manière dont la directive 95/46 doit être interprétée
dans le contexte de ces technologies qui sont apparues après sa
publication.
20 Dans
ces conditions, l’Audiencia Nacional a décidé de surseoir à statuer et
de poser à la Cour les questions préjudicielles suivantes:
«1)
En ce qui concerne l’application territoriale de la directive
[95/46] et, par conséquent, de la législation espagnole en matière de
protection des données à caractère personnel:
a) Doit-on
considérer qu’il existe un ‘établissement’ au sens des dispositions de
l’article 4, paragraphe 1, sous a), de la [directive 95/46] lorsque
l’une ou plusieurs des conditions suivantes sont réunies:
– lorsque
l’entreprise fournissant le moteur de recherche crée dans un État
membre une succursale ou une filiale destinée à assurer la promotion et
la vente des espaces publicitaires proposés par le moteur de recherche,
et dont l’activité vise les habitants de cet État membre,
ou
– lorsque
la société mère désigne une filiale implantée dans cet État membre
comme son représentant et comme étant responsable du traitement de deux
fichiers spécifiques contenant les données des clients ayant conclu des
services publicitaires avec cette entreprise,
ou
– lorsque
la succursale ou la filiale établie dans un État membre transmet à la
société mère, basée en dehors de l’Union européenne, les réclamations et
les injonctions que lui adressent aussi bien les intéressés que les
autorités compétentes en vue d’obtenir le respect du droit à la
protection des données, même lorsque cette collaboration a lieu de
manière volontaire?
b) L’article
4, paragraphe 1, sous c), de la [directive 95/46] doit-il s’interpréter
en ce sens qu’il existe un ‘recours à des moyens situés sur le
territoire dudit État membre’:
– lorsqu’un
moteur de recherche utilise des ‘araignées du web’ ou des robots
d’indexation pour localiser et indexer les informations contenues dans
des sites web hébergés sur des serveurs situés dans cet État membre,
ou
– lorsqu’il
utilise un nom de domaine propre d’un État membre et oriente ses
recherches et ses résultats en fonction de la langue de cet État membre?
c) Le
stockage temporaire des informations indexées par les moteurs de
recherche sur Internet peut-il être considéré comme constituant un
recours à des moyens, au sens de l’article 4, paragraphe 1, sous c), de
la [directive 95/46]? En cas de réponse affirmative à cette dernière
question, peut-on considérer que ce critère de rattachement est rempli
lorsque l’entreprise refuse de révéler le lieu où elle stocke ces index,
en invoquant des raisons de compétitivité?
d) Indépendamment
de la réponse apportée aux questions précédentes, et en particulier
dans le cas où la Cour serait d’avis que les critères de rattachement
prévus à l’article 4 de la directive [95/46] ne sont pas remplis, la
Cour est priée de répondre à la question suivante:
À
la lumière de l’article 8 de la [Charte], convient-il d’appliquer la
[directive 95/46] dans l’État membre où se situe le centre de gravité du
conflit, et dans lequel les droits reconnus aux citoyens de l’Union
[...] peuvent bénéficier de la protection la plus efficace?
2)
En ce qui concerne l’activité des moteurs de recherche en tant
que fournisseurs de contenus en relation avec la [directive 95/46]:
a) S’agissant
[de Google Search], qui agit comme fournisseur de contenus et dont
l’activité consiste à trouver des informations publiées ou placées sur
Internet par des tiers, à les indexer de manière automatique, à les
stocker temporairement et enfin à les mettre à la disposition des
internautes selon un ordre de préférence donné, et lorsque ces
informations contiennent des données à caractère personnel de tierces
personnes, faut-il considérer qu’une activité telle que celle décrite
est comprise dans la notion de ‘traitement de données à caractère
personnel’ telle que définie à l’article 2, sous b), de la [directive
95/46]?
b) Dans le cas où la
question précédente appellerait une réponse affirmative, et toujours en
relation avec une activité telle que celle décrite au paragraphe
précédent:
Faut-il interpréter l’article 2,
sous d), de la [directive 95/46] en ce sens qu’il conviendrait de
considérer que l’entreprise qui exploite [Google Search] est
‘responsable du traitement’ des données à caractère personnel contenues
dans les sites web qu’elle indexe?
c) Dans l’hypothèse où la question précédente appellerait une réponse affirmative:
L’[AEPD]
peut-elle, aux fins de faire respecter les droits contenus aux articles
12, sous b), et 14, [premier alinéa,] sous a), de la [directive 95/46],
ordonner directement [à Google Search] qu’il procède au retrait de ses
index d’informations publiées par des tiers, sans s’adresser
préalablement ou simultanément au propriétaire du site web sur lequel
figurent lesdites informations?
d) Dans l’hypothèse où la réponse à la question précédente serait affirmative:
Les
moteurs de recherche sont-ils libérés de l’obligation qui leur incombe
de respecter ces droits lorsque les informations contenues dans les
données personnelles ont été publiées légalement par des tiers et
demeurent sur le site web d’origine?
3)
En ce qui concerne la portée du droit d’obtenir l’effacement
et/ou de s’opposer à ce que des données concernant l’intéressé fassent
l’objet d’un traitement, en relation avec le droit à l’oubli, la Cour
est priée de dire si:
Le droit d’obtenir
l’effacement et le verrouillage des données à caractère personnel et
celui de s’opposer à ce qu’elles fassent l’objet d’un traitement (droits
régis par les articles 12, sous b), et 14, [premier alinéa,] sous a),
de la [directive 95/46]) doivent être interprétés comme permettant à la
personne concernée de s’adresser aux moteurs de recherche afin de faire
obstacle à l’indexation des informations concernant sa personne,
publiées sur des sites web de tiers, en invoquant sa volonté que ces
informations ne soient pas connues des internautes lorsqu’elle considère
que ces informations sont susceptibles de lui porter préjudice ou
lorsqu’elle désire que ces informations soient oubliées, alors même
qu’il s’agirait d’informations publiées légalement par des tiers?»
Sur les questions préjudicielles
Sur la deuxième question, sous a) et b), concernant le champ d’application matériel de la directive 95/46
21 Par
sa deuxième question, sous a) et b), qu’il convient d’examiner en
premier lieu, la juridiction de renvoi demande, en substance, si
l’article 2, sous b), de la directive 95/46 doit être interprété en ce
sens que l’activité d’un moteur de recherche en tant que fournisseur de
contenus qui consiste à trouver des informations publiées ou placées sur
Internet par des tiers, à les indexer de manière automatique, à les
stocker temporairement et, enfin, à les mettre à la disposition des
internautes selon un ordre de préférence donné doit être qualifiée de
«traitement de données à caractère personnel», au sens de cette
disposition, lorsque ces informations contiennent des données à
caractère personnel. En cas de réponse affirmative, la juridiction de
renvoi souhaite savoir, en outre, si cet article 2, sous d), doit être
interprété en ce sens que l’exploitant d’un moteur de recherche doit
être considéré comme le «responsable» dudit traitement des données à
caractère personnel, au sens de cette disposition.
22 Selon
Google Spain et Google Inc., l’activité des moteurs de recherche ne
saurait être considérée comme un traitement des données qui apparaissent
sur les pages web de tiers affichées dans la liste des résultats de la
recherche, étant donné que ces moteurs traitent les informations
accessibles sur Internet dans leur ensemble sans faire le tri entre les
données à caractère personnel et les autres informations. En outre, à
supposer même que cette activité doive être qualifiée de «traitement de
données», l’exploitant d’un moteur de recherche ne saurait être
considéré comme «responsable» de ce traitement, dès lors qu’il n’a pas
connaissance desdites données et n’exerce pas de contrôle sur celles-ci.
23 En
revanche, M. Costeja González, les gouvernements espagnol, italien,
autrichien et polonais ainsi que la Commission européenne estiment que
ladite activité implique de toute évidence un «traitement de données» au
sens de la directive 95/46, lequel est distinct du traitement de
données par les éditeurs de sites web et poursuit d’autres objectifs que
celui-ci. L’exploitant d’un moteur de recherche serait «responsable» du
traitement des données effectué par celui-ci dès lors que c’est lui qui
détermine les finalités et les moyens de ce traitement.
24 Selon
le gouvernement hellénique, l’activité en cause constitue un tel
«traitement», mais dans la mesure où les moteurs de recherche servent de
simples intermédiaires, les entreprises qui les exploitent ne peuvent
être considérées comme «responsables», à l’exception des cas où elles
stockent des données dans une «mémoire intermédiaire» ou une «mémoire
cache» pour une période de temps qui dépasse ce qui est techniquement
nécessaire.
25 À
cet égard, il y a lieu de relever que l’article 2, sous b), de la
directive 95/46 définit le «traitement de données à caractère personnel»
comme «toute opération ou ensemble d’opérations effectuées ou non à
l’aide de procédés automatisés et appliquées à des données à caractère
personnel, telles que la collecte, l’enregistrement, l’organisation, la
conservation, l’adaptation ou la modification, l’extraction, la
consultation, l’utilisation, la communication par transmission,
diffusion ou toute autre forme de mise à disposition, le rapprochement
ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la
destruction».
26 S’agissant
en particulier d’Internet, la Cour a déjà eu l’occasion de constater
que l’opération consistant à faire figurer, sur une page Internet, des
données à caractère personnel est à considérer comme un tel «traitement»
au sens de l’article 2, sous b), de la directive 95/46 (voir arrêt
Lindqvist, C‑101/01, EU:C:2003:596, point 25).
27 En
ce qui concerne l’activité en cause au principal, il n’est pas contesté
que parmi les données trouvées, indexées, stockées par les moteurs de
recherche et mises à la disposition de leurs utilisateurs figurent
également des informations concernant des personnes physiques
identifiées ou identifiables et donc des «données à caractère personnel»
au sens de l’article 2, sous a), de cette directive.
28 Partant,
il convient de constater que, en explorant de manière automatisée,
constante et systématique Internet à la recherche des informations qui y
sont publiées, l’exploitant d’un moteur de recherche «collecte» de
telles données qu’il «extrait», «enregistre» et «organise» par la suite
dans le cadre de ses programmes d’indexation, «conserve» sur ses
serveurs et, le cas échéant, «communique à» et «met à disposition de»
ses utilisateurs sous forme de listes des résultats de leurs recherches.
Ces opérations étant visées de manière explicite et inconditionnelle à
l’article 2, sous b), de la directive 95/46, elles doivent être
qualifiées de «traitement» au sens de cette disposition, sans qu’il
importe que l’exploitant du moteur de recherche applique les mêmes
opérations également à d’autres types d’information et ne distingue pas
entre celles-ci et les données à caractère personnel.
29 La
constatation qui précède n’est pas non plus infirmée par le fait que
ces données ont déjà fait l’objet d’une publication sur Internet et ne
sont pas modifiées par ce moteur de recherche.
30 Ainsi,
la Cour a déjà constaté que les opérations visées à l’article 2, sous
b), de la directive 95/46 doivent être qualifiées comme un tel
traitement également dans l’hypothèse où elles concernent exclusivement
des informations déjà publiées telles quelles dans les médias. Elle a,
en effet, relevé à cet égard qu’une dérogation générale à l’application
de la directive 95/46 dans une telle hypothèse viderait cette dernière
largement de son sens (voir, en ce sens, arrêt Satakunnan Markkinapörssi
et Satamedia, C‑73/07, EU:C:2008:727, points 48 et 49).
31 En
outre, il découle de la définition contenue à l’article 2, sous b), de
la directive 95/46 que, si la modification de données à caractère
personnel constitue, certes, un traitement au sens de celle-ci, les
autres opérations qui y sont mentionnées ne nécessitent, en revanche,
nullement que ces données soient modifiées.
32 Quant
à la question de savoir si l’exploitant d’un moteur de recherche doit
ou non être considéré comme le «responsable du traitement» des données à
caractère personnel effectué par ce moteur dans le cadre d’une activité
telle que celle en cause au principal, il convient de rappeler que
l’article 2, sous d), de la directive 95/46 définit celui-ci comme «la
personne physique ou morale, l’autorité publique, le service ou tout
autre organisme qui, seul ou conjointement avec d’autres, détermine les
finalités et les moyens du traitement de données à caractère personnel».
33 Or,
c’est l’exploitant du moteur de recherche qui détermine les finalités
et les moyens de cette activité et ainsi du traitement de données à
caractère personnel qu’il effectue, lui-même, dans le cadre de celle-ci
et qui doit, par conséquent, être considéré comme le «responsable» de ce
traitement en vertu dudit article 2, sous d).
34 Par
ailleurs, il convient de constater qu’il serait contraire non seulement
au libellé clair mais également à l’objectif de cette disposition,
consistant à assurer, par une définition large de la notion de
«responsable», une protection efficace et complète des personnes
concernées, d’exclure de celle-ci l’exploitant d’un moteur de recherche
au motif qu’il n’exerce pas de contrôle sur les données à caractère
personnel publiées sur les pages web de tiers.
35 À
cet égard, il y a lieu de souligner que le traitement de données à
caractère personnel effectué dans le cadre de l’activité d’un moteur de
recherche se distingue de et s’ajoute à celui effectué par les éditeurs
de sites web, consistant à faire figurer ces données sur une page
Internet.
36 En
outre, il est constant que cette activité des moteurs de recherche joue
un rôle décisif dans la diffusion globale desdites données en ce
qu’elle rend celles-ci accessibles à tout internaute effectuant une
recherche à partir du nom de la personne concernée, y compris aux
internautes qui, autrement, n’auraient pas trouvé la page web sur
laquelle ces mêmes données sont publiées.
37 De
plus, l’organisation et l’agrégation des informations publiées sur
Internet effectuées par les moteurs de recherche dans le but de
faciliter à leurs utilisateurs l’accès à celles-ci peut conduire,
lorsque la recherche de ces derniers est effectuée à partir du nom d’une
personne physique, à ce que ceux-ci obtiennent par la liste de
résultats un aperçu structuré des informations relatives à cette
personne trouvables sur Internet leur permettant d’établir un profil
plus ou moins détaillé de la personne concernée.
38 Dans
la mesure où l’activité d’un moteur de recherche est donc susceptible
d’affecter significativement et de manière additionnelle par rapport à
celle des éditeurs de sites web les droits fondamentaux de la vie privée
et de la protection des données à caractère personnel, l’exploitant de
ce moteur en tant que personne déterminant les finalités et les moyens
de cette activité doit assurer, dans le cadre de ses responsabilités, de
ses compétences et de ses possibilités, que celle-ci satisfait aux
exigences de la directive 95/46 pour que les garanties prévues par
celle-ci puissent développer leur plein effet et qu’une protection
efficace et complète des personnes concernées, notamment de leur droit
au respect de leur vie privée, puisse effectivement être réalisée.
39 Enfin,
la circonstance que les éditeurs de sites web ont la faculté d’indiquer
aux exploitants de moteurs de recherche, à l’aide notamment de
protocoles d’exclusion comme «robot.txt» ou de codes comme «noindex» ou
«noarchive», qu’ils souhaitent qu’une information déterminée, publiée
sur leur site, soit exclue en totalité ou partiellement des index
automatiques de ces moteurs ne signifie pas que l’absence d’une telle
indication de la part de ces éditeurs libérerait l’exploitant d’un
moteur de recherche de sa responsabilité pour le traitement des données à
caractère personnel qu’il effectue dans le cadre de l’activité de ce
moteur.
40 En
effet, cette circonstance ne change pas le fait que les finalités et
les moyens de ce traitement sont déterminés par cet exploitant. En
outre, à supposer même que ladite faculté des éditeurs de sites web
signifie que ceux-ci déterminent conjointement avec ledit exploitant les
moyens dudit traitement, cette constatation n’enlèverait rien à la
responsabilité de ce dernier, l’article 2, sous d), de la directive
95/46 prévoyant expressément que cette détermination peut être effectuée
«seul ou conjointement avec d’autres».
41 Il
découle de l’ensemble des considérations qui précèdent qu’il convient
de répondre à la deuxième question, sous a) et b), que l’article 2, sous
b) et d), de la directive 95/46 doit être interprété en ce sens que,
d’une part, l’activité d’un moteur de recherche consistant à trouver des
informations publiées ou placées sur Internet par des tiers, à les
indexer de manière automatique, à les stocker temporairement et, enfin, à
les mettre à la disposition des internautes selon un ordre de
préférence donné doit être qualifiée de «traitement de données à
caractère personnel», au sens de cet article 2, sous b), lorsque ces
informations contiennent des données à caractère personnel et, d’autre
part, l’exploitant de ce moteur de recherche doit être considéré comme
le «responsable» dudit traitement, au sens dudit article 2, sous d).
Sur la première question, sous a) à d), concernant le champ d’application territorial de la directive 95/46
42 Par
sa première question, sous a) à d), la juridiction de renvoi vise à
établir s’il est possible d’appliquer la législation nationale
transposant la directive 95/46 dans des circonstances telles que celles
en cause au principal.
43 Dans ce contexte, la juridiction de renvoi a établi les faits suivants:
– Google
Search est proposé au niveau mondial par l’intermédiaire du site web
«www.google.com». Dans de nombreux États, il existe des versions locales
adaptées à la langue nationale. La version en langue espagnole de
Google Search est proposée par l’intermédiaire du site web
«www.google.es», enregistré depuis le 16 septembre 2003. Google Search
est l’un des moteurs de recherche les plus utilisés en Espagne.
– Google
Search est exploité par Google Inc., qui est la société mère du groupe
Google et dont le siège social est établi aux États-Unis.
– Google
Search indexe les sites web du monde entier, parmi lesquels se trouvent
les sites situés en Espagne. Les informations indexées par ses
«araignées du web» ou ses robots d’indexation, c’est-à-dire des
programmes informatiques utilisés pour repérer et balayer le contenu de
pages web de façon méthodique et automatisée, sont stockées
temporairement dans des serveurs dont l’État d’emplacement n’est pas
connu, cette information étant maintenue secrète pour des raisons
concurrentielles.
– Google Search ne
se borne pas à donner accès aux contenus hébergés sur les sites web
indexés, mais met à profit cette activité pour inclure, contre paiement,
des publicités associées aux termes de recherche introduits par les
internautes, pour des entreprises qui désirent utiliser cet outil en vue
d’offrir leurs biens ou services à ces derniers.
– Le
groupe Google a recours à sa filiale Google Spain pour la promotion des
ventes d’espaces publicitaires générés sur le site web
«www.google.com». Google Spain, qui a été constituée le 3 septembre 2003
et qui jouit d’une personnalité juridique propre, a son siège social à
Madrid (Espagne). Elle développe ses activités essentiellement à
destination des entreprises basées en Espagne, agissant en tant qu’agent
commercial dudit groupe dans cet État membre. Son objet social est de
promouvoir, de faciliter et d’effectuer la vente de produits et de
services de publicité en ligne à des tiers ainsi que le marketing de
cette publicité.
– Google Inc. a
désigné Google Spain comme responsable du traitement, en Espagne, de
deux fichiers enregistrés par Google Inc. auprès de l’AEPD, ces fichiers
ayant pour objet de contenir les données personnelles des clients ayant
conclu des contrats de services publicitaires avec Google Inc.
44 Concrètement,
la juridiction de renvoi s’interroge, à titre principal, sur la notion
d’«établissement», au sens de l’article 4, paragraphe 1, sous a), de la
directive 95/46, et sur celle de «recours à des moyens situés sur le
territoire dudit État membre», au sens de cet article 4, paragraphe 1,
sous c).
Sur la première question, sous a)
45 Par
sa première question, sous a), la juridiction de renvoi demande, en
substance, si l’article 4, paragraphe 1, sous a), de la directive 95/46
doit être interprété en ce sens qu’un traitement de données à caractère
personnel est effectué dans le cadre des activités d’un établissement du
responsable de ce traitement sur le territoire d’un État membre, au
sens de cette disposition, lorsque l’une ou plusieurs des trois
conditions suivantes sont réunies:
– l’exploitant
d’un moteur de recherche crée dans un État membre une succursale ou une
filiale destinée à assurer la promotion et la vente des espaces
publicitaires proposés par ce moteur et dont l’activité vise les
habitants de cet État membre, ou
– la
société mère désigne une filiale implantée dans ledit État membre comme
son représentant et comme étant responsable du traitement de deux
fichiers spécifiques contenant les données des clients ayant conclu des
services publicitaires avec cette entreprise, ou
– la
succursale ou la filiale établie dans un État membre transmet à la
société mère, basée en dehors de l’Union, les réclamations et les
injonctions que lui adressent aussi bien les intéressés que les
autorités compétentes en vue d’obtenir le respect du droit à la
protection des données à caractère personnel, même lorsque cette
collaboration a lieu de manière volontaire.
46 En
ce qui concerne la première de ces trois conditions, la juridiction de
renvoi relève que Google Search est exploité et géré par Google Inc. et
qu’il n’est pas établi que Google Spain réalise en Espagne une activité
directement liée à l’indexation ou au stockage d’informations ou de
données contenues dans les sites web de tiers. Cependant, l’activité de
promotion et de vente des espaces publicitaires, dont s’occupe Google
Spain pour l’Espagne, constituerait la partie essentielle de l’activité
commerciale du groupe Google et pourrait être considérée comme étant
étroitement liée à Google Search.
47 M.
Costeja González, les gouvernements espagnol, italien, autrichien et
polonais ainsi que la Commission estiment que, compte tenu du lien
indissociable entre l’activité du moteur de recherche exploité par
Google Inc. et celle de Google Spain, cette dernière doit être
considérée comme un établissement de la première, dans le cadre des
activités duquel le traitement de données à caractère personnel est
effectué. En revanche, selon Google Spain, Google Inc. et le
gouvernement hellénique, l’article 4, paragraphe 1, sous a), de la
directive 95/46 ne trouve pas à s’appliquer dans l’hypothèse de la
première des trois conditions énumérées par la juridiction de renvoi.
48 À
cet égard, il convient tout d’abord de relever que le considérant 19 de
la directive 95/46 précise que «l’établissement sur le territoire d’un
État membre suppose l’exercice effectif et réel d’une activité au moyen
d’une installation stable» et «que la forme juridique retenue pour un
tel établissement, qu’il s’agisse d’une simple succursale ou d’une
filiale ayant la personnalité juridique, n’est pas déterminante».
49 Or,
il n’est pas contesté que Google Spain se livre à l’exercice effectif
et réel d’une activité au moyen d’une installation stable en Espagne.
Étant en outre dotée d’une personnalité juridique propre, elle constitue
ainsi une filiale de Google Inc. sur le territoire espagnol et,
partant, un «établissement» au sens de l’article 4, paragraphe 1, sous
a), de la directive 95/46.
50 Afin
de satisfaire au critère établi à cette disposition, encore faut-il que
le traitement de données à caractère personnel par le responsable de
celui-ci soit «effectué dans le cadre des activités» d’un établissement
de ce responsable sur le territoire d’un État membre.
51 Google
Spain et Google Inc. contestent que ce soit le cas dès lors que le
traitement de données à caractère personnel en cause au principal est
effectué exclusivement par Google Inc., qui exploite Google Search sans
aucune intervention de la part de Google Spain, dont l’activité se
limite à la fourniture d’un soutien à l’activité publicitaire du groupe
Google qui est distincte de son service de moteur de recherche.
52 Cependant,
ainsi que l’ont souligné notamment le gouvernement espagnol et la
Commission, l’article 4, paragraphe 1, sous a), de la directive 95/46
exige non pas que le traitement de données à caractère personnel en
question soit effectué «par» l’établissement concerné lui-même, mais
uniquement qu’il le soit «dans le cadre des activités» de celui-ci.
53 En
outre, au vu de l’objectif de la directive 95/46 d’assurer une
protection efficace et complète des libertés et des droits fondamentaux
des personnes physiques, notamment du droit à la vie privée, à l’égard
du traitement des données à caractère personnel, cette dernière
expression ne saurait recevoir une interprétation restrictive (voir, par
analogie, arrêt L’Oréal e.a., C‑324/09, EU:C:2011:474, points 62 et
63).
54 Il
convient de relever dans ce contexte qu’il ressort notamment des
considérants 18 à 20 et de l’article 4 de la directive 95/46 que le
législateur de l’Union a entendu éviter qu’une personne soit exclue de
la protection garantie par celle-ci et que cette protection soit
contournée, en prévoyant un champ d’application territorial
particulièrement large.
55 Compte
tenu de cet objectif de la directive 95/46 et du libellé de son article
4, paragraphe 1, sous a), il y a lieu de considérer que le traitement
de données à caractère personnel qui est fait pour les besoins du
service d’un moteur de recherche tel que Google Search, lequel est
exploité par une entreprise ayant son siège dans un État tiers mais
disposant d’un établissement dans un État membre, est effectué «dans le
cadre des activités» de cet établissement si celui-ci est destiné à
assurer, dans cet État membre, la promotion et la vente des espaces
publicitaires proposés par ce moteur de recherche, qui servent à
rentabiliser le service offert par ce moteur.
56 En
effet, dans de telles circonstances, les activités de l’exploitant du
moteur de recherche et celles de son établissement situé dans l’État
membre concerné sont indissociablement liées dès lors que les activités
relatives aux espaces publicitaires constituent le moyen pour rendre le
moteur de recherche en cause économiquement rentable et que ce moteur
est, en même temps, le moyen permettant l’accomplissement de ces
activités.
57 À
cet égard, il convient de rappeler que, ainsi qu’il a été précisé aux
points 26 à 28 du présent arrêt, l’affichage même de données à caractère
personnel sur une page de résultats d’une recherche constitue un
traitement de telles données. Or, ledit affichage de résultats étant
accompagné, sur la même page, de celui de publicités liées aux termes de
recherche, force est de constater que le traitement de données à
caractère personnel en question est effectué dans le cadre de l’activité
publicitaire et commerciale de l’établissement du responsable du
traitement sur le territoire d’un État membre, en l’occurrence le
territoire espagnol.
58 Dans
ces conditions, il ne saurait être accepté que le traitement de données
à caractère personnel effectué pour les besoins du fonctionnement dudit
moteur de recherche soit soustrait aux obligations et aux garanties
prévues par la directive 95/46, ce qui porterait atteinte à l’effet
utile de celle-ci et à la protection efficace et complète des libertés
et des droits fondamentaux des personnes physiques qu’elle vise à
assurer (voir, par analogie, arrêt L’Oréal e.a., EU:C:2011:474, points
62 et 63), notamment celui au respect de leur vie privée, à l’égard du
traitement des données à caractère personnel, auquel cette directive
accorde une importance particulière ainsi que le confirment notamment
son article 1er, paragraphe 1, et ses considérants 2 et 10
(voir, en ce sens, arrêts Österreichischer Rundfunk e.a.,
C‑465/00, C‑138/01 et C‑139/01, EU:C:2003:294, point 70; Rijkeboer,
C‑553/07, EU:C:2009:293, point 47, ainsi que IPI, C‑473/12,
EU:C:2013:715, point 28 et jurisprudence citée).
59 Dans
la mesure où la première des trois conditions énumérées par la
juridiction de renvoi suffit à elle seule pour conclure qu’un
établissement tel que Google Spain satisfait au critère prévu à
l’article 4, paragraphe 1, sous a), de la directive 95/46, il n’est pas
nécessaire d’examiner les deux autres conditions.
60 Il
découle de ce qui précède qu’il convient de répondre à la première
question, sous a), que l’article 4, paragraphe 1, sous a), de la
directive 95/46 doit être interprété en ce sens qu’un traitement de
données à caractère personnel est effectué dans le cadre des activités
d’un établissement du responsable de ce traitement sur le territoire
d’un État membre, au sens de cette disposition, lorsque l’exploitant
d’un moteur de recherche crée dans un État membre une succursale ou une
filiale destinée à assurer la promotion et la vente des espaces
publicitaires proposés par ce moteur et dont l’activité vise les
habitants de cet État membre.
Sur la première question, sous b) à d)
61 Compte
tenu de la réponse apportée à la première question, sous a), il n’y a
pas lieu de répondre à la première question, sous b) à d).
Sur
la deuxième question, sous c) et d), concernant l’étendue de la
responsabilité de l’exploitant d’un moteur de recherche en vertu de la
directive 95/46
62 Par
sa deuxième question, sous c) et d), la juridiction de renvoi demande,
en substance, si les articles 12, sous b), et 14, premier alinéa, sous
a), de la directive 95/46 doivent être interprétés en ce sens que, afin
de respecter les droits prévus à ces dispositions, l’exploitant d’un
moteur de recherche est obligé de supprimer de la liste de résultats,
affichée à la suite d’une recherche effectuée à partir du nom d’une
personne, des liens vers des pages web, publiées par des tiers et
contenant des informations relatives à cette personne, également dans
l’hypothèse où ce nom ou ces informations ne sont pas effacés
préalablement ou simultanément de ces pages web, et ce, le cas échéant,
même lorsque leur publication en elle-même sur lesdites pages est
licite.
63 Google
Spain et Google Inc. estiment que, en vertu du principe de
proportionnalité, toute demande visant à l’élimination d’informations
doit être adressée à l’éditeur du site web concerné puisque c’est ce
dernier qui prend la responsabilité de rendre les informations
publiques, qui est en mesure d’évaluer la licéité de cette publication
et qui dispose des moyens les plus efficaces et les moins restrictifs
pour rendre ces informations inaccessibles. En outre, imposer à
l’exploitant d’un moteur de recherche de retirer de ses index des
informations publiées sur Internet tiendrait insuffisamment compte des
droits fondamentaux des éditeurs de sites web, des autres internautes
ainsi que de cet exploitant lui-même.
64 Selon
le gouvernement autrichien, une autorité de contrôle nationale peut
ordonner à un tel exploitant d’effacer de ses fichiers des informations
publiées par des tiers uniquement si l’illégalité ou l’inexactitude des
données en cause a été constatée auparavant ou si la personne concernée a
introduit avec succès une opposition auprès de l’éditeur du site web
sur lequel ces informations ont été publiées.
65 M.
Costeja González, les gouvernements espagnol, italien et polonais ainsi
que la Commission estiment que l’autorité nationale peut ordonner
directement à l’exploitant d’un moteur de recherche de retirer de ses
index et de sa mémoire intermédiaire des informations contenant des
données à caractère personnel publiées par des tiers, sans devoir
s’adresser préalablement ou simultanément à l’éditeur de la page web sur
laquelle figurent ces informations. De plus, pour M. Costeja González,
les gouvernements espagnol et italien ainsi que la Commission, la
circonstance que lesdites informations ont été publiées de façon licite
et qu’elles figurent toujours sur la page web d’origine n’a pas
d’incidence sur les obligations dudit exploitant en vertu de la
directive 95/46. En revanche, pour le gouvernement polonais, cette
circonstance est de nature à libérer celui-ci de ses obligations.
66 À titre liminaire, il convient de rappeler que, ainsi qu’il résulte de son article 1er
et de son considérant 10, la directive 95/46 vise à garantir un niveau
élevé de protection des libertés et des droits fondamentaux des
personnes physiques, notamment de leur vie privée, à l’égard du
traitement des données à caractère personnel (voir, en ce sens, arrêt
IPI, EU:C:2013:715, point 28).
67 Selon
le considérant 25 de la directive 95/46, les principes de la protection
prévus par celle-ci trouvent leur expression, d’une part, dans les
obligations mises à la charge des personnes qui traitent des données,
ces obligations concernant en particulier la qualité des données, la
sécurité technique, la notification à l’autorité de contrôle, les
circonstances dans lesquelles le traitement peut être effectué, et,
d’autre part, dans les droits donnés aux personnes dont les données font
l’objet d’un traitement d’être informées sur celui-ci, de pouvoir
accéder aux données, de pouvoir demander leur rectification, voire de
s’opposer au traitement dans certaines circonstances.
68 La
Cour a déjà jugé que les dispositions de la directive 95/46, en ce
qu’elles régissent le traitement de données à caractère personnel
susceptibles de porter atteinte aux libertés fondamentales et, en
particulier, au droit à la vie privée, doivent nécessairement être
interprétées à la lumière des droits fondamentaux qui, selon une
jurisprudence constante, font partie intégrante des principes généraux
du droit dont la Cour assure le respect et qui sont désormais inscrits
dans la Charte (voir, notamment, arrêts Connolly/Commission, C‑274/99 P,
EU:C:2001:127, point 37, ainsi que Österreichischer Rundfunk e.a.,
EU:C:2003:294, point 68).
69 Ainsi,
l’article 7 de la Charte garantit le droit au respect de la vie privée,
tandis que l’article 8 de la Charte proclame expressément le droit à la
protection des données à caractère personnel. Les paragraphes 2 et 3 de
ce dernier article précisent que ces données doivent être traitées
loyalement, à des fins déterminées et sur la base du consentement de la
personne concernée ou en vertu d’un autre fondement légitime prévu par
la loi, que toute personne a le droit d’accéder aux données collectées
la concernant et d’en obtenir la rectification et que le respect de ces
règles est soumis au contrôle d’une autorité indépendante. Ces exigences
sont mises en œuvre notamment par les articles 6, 7, 12, 14 et 28 de la
directive 95/46.
70 S’agissant
de l’article 12, sous b), de la directive 95/46, celui-ci dispose que
les États membres garantissent à toute personne concernée le droit
d’obtenir du responsable du traitement, selon le cas, la rectification,
l’effacement ou le verrouillage des données dont le traitement n’est pas
conforme à la directive 95/46, notamment en raison du caractère
incomplet ou inexact des données. Cette dernière précision relative au
cas du non-respect de certaines exigences visées à l’article 6,
paragraphe 1, sous d), de la directive 95/46 révélant un caractère
exemplatif et non exhaustif, il s’ensuit que la non-conformité du
traitement, susceptible d’ouvrir à la personne concernée le droit
garanti à l’article 12, sous b), de ladite directive, peut également
découler du non-respect des autres conditions de licéité imposées par
celle-ci au traitement de données à caractère personnel.
71 À
cet égard, il convient de rappeler que, sous réserve des dérogations
admises au titre de l’article 13 de la directive 95/46, tout traitement
de données à caractère personnel doit, d’une part, être conforme aux
principes relatifs à la qualité des données énoncés à l’article 6 de
cette directive et, d’autre part, répondre à l’un des principes relatifs
à la légitimation des traitements de données énumérés à l’article 7 de
ladite directive (voir arrêts Österreichischer Rundfunk e.a.,
EU:C:2003:294, point 65; ASNEF et FECEMD, C‑468/10 et C‑469/10,
EU:C:2011:777, point 26, ainsi que Worten, C‑342/12, EU:C:2013:355,
point 33).
72 Aux
termes de cet article 6 et sous réserve des dispositions spécifiques
que les États membres peuvent prévoir pour des traitements à des fins
historiques, statistiques ou scientifiques, il incombe au responsable du
traitement d’assurer que les données à caractère personnel sont
«traitées loyalement et licitement », qu’elles sont «collectées pour des
finalités déterminées, explicites et légitimes, et ne [sont pas]
traitées ultérieurement de manière incompatible avec ces finalités»,
qu’elles sont «adéquates, pertinentes et non excessives au regard des
finalités pour lesquelles elles sont collectées et pour lesquelles elles
sont traitées ultérieurement», qu’elles sont «exactes et, si
nécessaire, mises à jour» et, enfin, qu’elles sont «conservées sous une
forme permettant l’identification des personnes concernées pendant une
durée n’excédant pas celle nécessaire à la réalisation des finalités
pour lesquelles elles sont collectées ou pour lesquelles elles sont
traitées ultérieurement». Dans ce contexte, ce responsable doit prendre
toutes les mesures raisonnables pour que les données qui ne répondent
pas aux exigences de cette disposition soient effacées ou rectifiées.
73 Quant
à la légitimation, au titre de l’article 7 de la directive 95/46, d’un
traitement comme celui en cause au principal effectué par l’exploitant
d’un moteur de recherche, celui-ci est susceptible de relever du motif
visé à cet article 7, sous f).
74 Cette
disposition permet le traitement de données à caractère personnel
lorsqu’il est nécessaire à la réalisation de l’intérêt légitime
poursuivi par le responsable du traitement ou par le ou les tiers
auxquels les données sont communiquées, à condition que ne prévalent pas
l’intérêt ou les libertés et les droits fondamentaux de la personne
concernée, notamment son droit au respect de sa vie privée à l’égard du
traitement des données à caractère personnel, qui appellent une
protection au titre de l’article 1er, paragraphe 1, de cette
directive. L’application dudit article 7, sous f), nécessite ainsi une
pondération des droits et des intérêts opposés en cause dans le cadre de
laquelle il doit être tenu compte de l’importance des droits de la
personne concernée résultant des articles 7 et 8 de la Charte (voir
arrêt ASNEF et FECEMD, EU:C:2011:777, points 38 et 40).
75 Si
la conformité du traitement aux articles 6 et 7, sous f), de la
directive 95/46 peut être vérifié dans le cadre d’une demande au sens de
l’article 12, sous b), de cette directive, la personne concernée peut,
en plus, se prévaloir sous certaines conditions du droit d’opposition
prévu à l’article 14, premier alinéa, sous a), de celle-ci.
76 Selon
cet article 14, premier alinéa, sous a), les États membres
reconnaissent à la personne concernée le droit, au moins dans les cas
visés à l’article 7, sous e) et f), de la directive 95/46, de s’opposer à
tout moment, pour des raisons prépondérantes et légitimes tenant à sa
situation particulière, à ce que des données la concernant fassent
l’objet d’un traitement, sauf en cas de disposition contraire du droit
national. La pondération à effectuer dans le cadre dudit article 14,
premier alinéa, sous a), permet ainsi de tenir compte de manière plus
spécifique de toutes les circonstances entourant la situation concrète
de la personne concernée. En cas d’opposition justifiée, le traitement
mis en œuvre par le responsable de celui-ci ne peut plus porter sur ces
données.
77 Les
demandes au titre des articles 12, sous b), et 14, premier alinéa, sous
a), de la directive 95/46 peuvent être directement adressées par la
personne concernée au responsable du traitement qui doit alors dûment
examiner le bien-fondé de celles-ci et, le cas échéant, mettre fin au
traitement des données en cause. Lorsque le responsable du traitement ne
donne pas suite à ces demandes, la personne concernée peut saisir
l’autorité de contrôle ou l’autorité judiciaire pour que celles-ci
effectuent les vérifications nécessaires et ordonnent à ce responsable
des mesures précises en conséquence.
78 À
cet égard, il y a lieu de relever qu’il résulte de l’article 28,
paragraphes 3 et 4, de la directive 95/46, que chaque autorité de
contrôle peut être saisie par toute personne d’une demande relative à la
protection de ses droits et libertés à l’égard du traitement de données
à caractère personnel et qu’elle dispose de pouvoirs d’investigation et
de pouvoirs effectifs d’intervention lui permettant d’ordonner
notamment le verrouillage, l’effacement ou la destruction de données, ou
d’interdire temporairement ou définitivement un tel traitement.
79 C’est
à la lumière de ces considérations qu’il convient d’interpréter et
d’appliquer les dispositions de la directive 95/46 régissant les droits
de la personne concernée lorsque l’autorité de contrôle ou l’autorité
judiciaire sont saisies par celle-ci d’une demande telle que celle en
cause au principal.
80 À
cet égard, il importe d’emblée de relever que, ainsi qu’il a été
constaté aux points 36 à 38 du présent arrêt, un traitement de données à
caractère personnel, tel que celui en cause au principal, réalisé par
l’exploitant d’un moteur de recherche, est susceptible d’affecter
significativement les droits fondamentaux au respect de la vie privée et
à la protection des données à caractère personnel lorsque la recherche à
l’aide de ce moteur est effectuée à partir du nom d’une personne
physique, dès lors que ledit traitement permet à tout internaute
d’obtenir par la liste de résultats un aperçu structuré des informations
relatives à cette personne trouvables sur Internet, qui touchent
potentiellement à une multitude d’aspects de sa vie privée et qui, sans
ledit moteur de recherche, n’auraient pas ou seulement que très
difficilement pu être interconnectées, et ainsi d’établir un profil plus
ou moins détaillé de celle-ci. En outre, l’effet de l’ingérence dans
lesdits droits de la personne concernée se trouve démultiplié en raison
du rôle important que jouent Internet et les moteurs de recherche dans
la société moderne, lesquels confèrent aux informations contenues dans
une telle liste de résultats un caractère ubiquitaire (voir, en ce sens,
arrêt eDate Advertising e.a., C‑509/09 et C‑161/10, EU:C:2011:685,
point 45).
81 Au
vu de la gravité potentielle de cette ingérence, force est de
constater que celle-ci ne saurait être justifiée par le seul intérêt
économique de l’exploitant d’un tel moteur dans ce traitement.
Cependant, dans la mesure où la suppression de liens de la liste de
résultats pourrait, en fonction de l’information en cause, avoir des
répercussions sur l’intérêt légitime des internautes potentiellement
intéressés à avoir accès à celle-ci, il y a lieu de rechercher, dans des
situations telles que celles en cause au principal, un juste équilibre
notamment entre cet intérêt et les droits fondamentaux de cette personne
au titre des articles 7 et 8 de la Charte. Si, certes, les droits de la
personne concernée protégés par ces articles prévalent également, en
règle générale, sur ledit intérêt des internautes, cet équilibre peut
toutefois dépendre, dans des cas particuliers, de la nature de
l’information en question et de sa sensibilité pour la vie privée de la
personne concernée ainsi que de l’intérêt du public à disposer de cette
information, lequel peut varier, notamment, en fonction du rôle joué par
cette personne dans la vie publique.
82 Au
terme de l’appréciation des conditions d’application des articles 12,
sous b), et 14, premier alinéa, sous a), de la directive 95/46 à opérer
lorsqu’elles sont saisies d’une demande telle que celle en cause au
principal, l’autorité de contrôle ou l’autorité judiciaire peuvent
ordonner audit exploitant de supprimer de la liste de résultats,
affichée à la suite d’une recherche effectuée à partir du nom d’une
personne, des liens vers des pages web, publiées par des tiers et
contenant des informations relatives à cette personne, sans qu’une
ordonnance en ce sens présuppose que ce nom et ces informations soient,
du plein gré de l’éditeur ou sur ordonnance de l’une de ces autorités,
supprimés au préalable ou simultanément de la page web sur laquelle ils
ont été publiés.
83 En
effet, ainsi qu’il a été constaté aux points 35 à 38 du présent arrêt,
dans la mesure où le traitement des données effectué dans le cadre de
l’activité d’un moteur de recherche se distingue de et s’ajoute à celui
effectué par les éditeurs de sites web et affecte de manière
additionnelle les droits fondamentaux de la personne concernée,
l’exploitant de ce moteur en tant que responsable de ce traitement doit
assurer, dans le cadre de ses responsabilités, de ses compétences et de
ses possibilités, que celui-ci satisfait aux exigences de la directive
95/46, pour que les garanties prévues par celle-ci puissent développer
leur plein effet.
84 À
cet égard, il y a lieu de relever que, compte tenu de la facilité avec
laquelle des informations publiées sur un site web peuvent être
répliquées sur d’autres sites et du fait que les responsables de leur
publication ne sont pas toujours soumis à la législation de l’Union, une
protection efficace et complète des personnes concernées ne pourrait
être réalisée si celles-ci devaient d’abord ou en parallèle obtenir
l’effacement des informations les concernant auprès des éditeurs de
sites web.
85 En
outre, le traitement par l’éditeur d’une page web, consistant dans la
publication d’informations relatives à une personne physique, peut, le
cas échéant, être effectué «aux seules fins de journalisme» et ainsi
bénéficier, en vertu de l’article 9 de la directive 95/46, de
dérogations aux exigences établies par celle-ci, tandis que tel
n’apparaît pas être le cas s’agissant du traitement effectué par
l’exploitant d’un moteur de recherche. Il ne peut ainsi être exclu que
la personne concernée soit dans certaines circonstances susceptible
d’exercer les droits visés aux articles 12, sous b), et 14, premier
alinéa, sous a), de la directive 95/46 contre ledit exploitant, mais non
pas contre l’éditeur de ladite page web.
86 Enfin,
il importe de constater que non seulement le motif justifiant, en vertu
de l’article 7 de la directive 95/46, la publication d’une donnée à
caractère personnel sur un site web ne coïncide pas forcément avec celui
qui s’applique à l’activité des moteurs de recherche, mais que, même
lorsque tel est le cas, le résultat de la mise en balance des intérêts
en cause à effectuer en vertu des articles 7, sous f), et 14, premier
alinéa, sous a), de cette directive peut diverger selon qu’il s’agit du
traitement effectué par l’exploitant d’un moteur de recherche ou de
celui effectué par l’éditeur de cette page web, étant donné que, d’une
part, les intérêts légitimes justifiant ces traitements peuvent être
différents et, d’autre part, les conséquences qu’ont lesdits traitements
pour la personne concernée, et notamment pour sa vie privée, ne sont
pas nécessairement les mêmes.
87 En
effet, dans la mesure où l’inclusion dans la liste de résultats,
affichée à la suite d’une recherche effectuée à partir du nom d’une
personne, d’une page web et des informations qui y sont contenues
relatives à cette personne facilite sensiblement l’accessibilité de ces
informations à tout internaute effectuant une recherche sur la personne
concernée et peut jouer un rôle décisif pour la diffusion desdites
informations, elle est susceptible de constituer une ingérence plus
importante dans le droit fondamental au respect de la vie privée de la
personne concernée que la publication par l’éditeur de cette page web.
88 Au
vu de l’ensemble des considérations qui précèdent, il convient de
répondre à la deuxième question, sous c) et d), que les articles 12,
sous b), et 14, premier alinéa, sous a), de la directive 95/46 doivent
être interprétés en ce sens que, afin de respecter les droits prévus à
ces dispositions et pour autant que les conditions prévues par celles-ci
sont effectivement satisfaites, l’exploitant d’un moteur de recherche
est obligé de supprimer de la liste de résultats, affichée à la suite
d’une recherche effectuée à partir du nom d’une personne, des liens vers
des pages web, publiées par des tiers et contenant des informations
relatives à cette personne, également dans l’hypothèse où ce nom ou ces
informations ne sont pas effacés préalablement ou simultanément de ces
pages web, et ce, le cas échéant, même lorsque leur publication en
elle-même sur lesdites pages est licite.
Sur la troisième question, concernant la portée des droits de la personne concernée garantis par la directive 95/46
89 Par
sa troisième question, la juridiction de renvoi demande, en substance,
si les articles 12, sous b), et 14, premier alinéa, sous a), de la
directive 95/46 doivent être interprétés en ce sens qu’ils permettent à
la personne concernée d’exiger de l’exploitant d’un moteur de recherche
de supprimer de la liste de résultats, affichée à la suite d’une
recherche effectuée à partir du nom de cette personne, des liens vers
des pages web, publiées légalement par des tiers et contenant des
informations véridiques relatives à cette dernière, au motif que ces
informations sont susceptibles de lui porter préjudice ou qu’elle désire
que celles-ci soient «oubliées» après un certain temps.
90 Google
Spain, Google Inc., les gouvernements hellénique, autrichien et
polonais ainsi que la Commission estiment que cette question appelle une
réponse négative. Google Spain, Google Inc., le gouvernement polonais
et la Commission font valoir à cet égard que les articles 12, sous b),
et 14, premier alinéa, sous a), de la directive 95/46 confèrent des
droits aux personnes concernées uniquement à la condition que le
traitement en question soit incompatible avec cette directive ou pour
des raisons prépondérantes et légitimes tenant à leur situation
particulière, et non pas au simple motif qu’elles estiment que ce
traitement est susceptible de leur porter préjudice ou qu’elles
souhaitent que les données faisant l’objet dudit traitement tombent dans
l’oubli. Les gouvernements hellénique et autrichien considèrent que la
personne concernée doit s’adresser à l’éditeur du site web concerné.
91 M.
Costeja González ainsi que les gouvernements espagnol et italien sont
de l’avis que la personne concernée peut s’opposer à l’indexation de ses
données personnelles par un moteur de recherche lorsque la diffusion de
ces données par l’intermédiaire de celui-ci lui porte préjudice et que
ses droits fondamentaux à la protection desdites données et au respect
de la vie privée, lesquels englobent le «droit à l’oubli», prévalent sur
les intérêts légitimes de l’exploitant dudit moteur et l’intérêt
général à la liberté d’information.
92 S’agissant
de l’article 12, sous b), de la directive 95/46, dont l’application est
soumise à la condition que le traitement de données à caractère
personnel est incompatible avec cette directive, il convient de rappeler
que, ainsi qu’il a été relevé au point 72 du présent arrêt, une telle
incompatibilité peut résulter non seulement du fait que ces données sont
inexactes, mais, en particulier, aussi du fait qu’elles sont
inadéquates, non pertinentes ou excessives au regard des finalités du
traitement, qu’elles ne sont pas mises à jour ou qu’elles sont
conservées pendant une durée excédant celle nécessaire, à moins que leur
conservation s’impose à des fins historiques, statistiques ou
scientifiques.
93 Il
découle de ces exigences, prévues à l’article 6, paragraphe 1, sous c) à
e), de la directive 95/46, que même un traitement initialement licite
de données exactes peut devenir, avec le temps, incompatible avec cette
directive lorsque ces données ne sont plus nécessaires au regard des
finalités pour lesquelles elles ont été collectées ou traitées. Tel est
notamment le cas lorsqu’elles apparaissent inadéquates, qu’elles ne sont
pas ou plus pertinentes ou sont excessives au regard de ces finalités
et du temps qui s’est écoulé.
94 Partant,
dans l’hypothèse où il est constaté, à la suite d’une demande de la
personne concernée en vertu de l’article 12, sous b), de la directive
95/46, que l’inclusion dans la liste de résultats, affichée à la suite
d’une recherche effectuée à partir de son nom, des liens vers des pages
web, publiées légalement par des tiers et contenant des informations
véridiques relatives à sa personne, est, au stade actuel, incompatible
avec ledit article 6, paragraphe 1, sous c) à e), en raison du fait que
ces informations apparaissent, eu égard à l’ensemble des circonstances
caractérisant le cas d’espèce, inadéquates, pas ou plus pertinentes ou
excessives au regard des finalités du traitement en cause réalisé par
l’exploitant du moteur de recherche, les informations et les liens
concernés de ladite liste de résultats doivent être effacés.
95 En
ce qui concerne les demandes au sens de cet article 12, sous b),
fondées sur le prétendu non-respect des conditions prévues à l’article
7, sous f), de la directive 95/46 ainsi que celles au titre de l’article
14, premier alinéa, sous a), de cette directive, il convient de relever
que chaque traitement de données à caractère personnel doit être
légitimé en vertu de cet article 7 pour toute la durée pendant laquelle
il est effectué.
96 Au
vu de ce qui précède, dans le cadre de l’appréciation de telles
demandes introduites à l’encontre d’un traitement tel que celui en cause
au principal, il convient notamment d’examiner si la personne concernée
a un droit à ce que l’information relative à sa personne ne soit plus,
au stade actuel, liée à son nom par une liste de résultats, affichée à
la suite d’une recherche effectuée à partir de son nom. À cet égard, il
convient de souligner que la constatation d’un tel droit ne présuppose
pas que l’inclusion de l’information en question dans la liste de
résultats cause un préjudice à la personne concernée.
97 La
personne concernée pouvant, eu égard à ses droits fondamentaux au titre
des articles 7 et 8 de la Charte, demander à ce que l’information en
question ne soit plus mise à la disposition du grand public par son
inclusion dans une telle liste de résultats, il y a lieu de considérer,
ainsi qu’il ressort notamment du point 81 du présent arrêt, que ces
droits prévalent, en principe, non seulement sur l’intérêt économique de
l’exploitant du moteur de recherche, mais également sur l’intérêt de ce
public à trouver ladite information lors d’une recherche portant sur le
nom de cette personne. Cependant, tel ne serait pas le cas s’il
apparaissait, pour des raisons particulières, telles que le rôle joué
par ladite personne dans la vie publique, que l’ingérence dans ses
droits fondamentaux est justifiée par l’intérêt prépondérant dudit
public à avoir, du fait de cette inclusion, accès à l’information en
question.
98 S’agissant
d’une situation comme celle en cause au principal, qui concerne
l’affichage, dans la liste de résultats que l’internaute obtient en
effectuant une recherche à partir du nom de la personne concernée à
l’aide de Google Search, de liens vers des pages des archives en ligne
d’un quotidien contenant des annonces mentionnant le nom de cette
personne et se rapportant à une vente aux enchères immobilière liée à
une saisie pratiquée aux fins du recouvrement de dettes en matière de
sécurité sociale, il convient de considérer que, eu égard à la
sensibilité des informations contenues dans ces annonces pour la vie
privée de ladite personne et au fait que leur publication initiale avait
été effectuée 16 ans auparavant, la personne concernée justifie d’un
droit à ce que ces informations ne soient plus liées à son nom au moyen
d’une telle liste. Dès lors, dans la mesure où il ne semble pas exister,
en l’occurrence, de raisons particulières justifiant un intérêt
prépondérant du public à avoir, dans le cadre d’une telle recherche,
accès à ces informations, ce qu’il appartient toutefois à la juridiction
de renvoi de vérifier, la personne concernée peut, en vertu des
articles 12, sous b), et 14, premier alinéa, sous a), de la directive
95/46, exiger la suppression desdits liens de cette liste de résultats.
99 Il
résulte des considérations qui précèdent qu’il y a lieu de répondre à
la troisième question que les articles 12, sous b), et 14, premier
alinéa, sous a), de la directive 95/46 doivent être interprétés en ce
sens que, dans le cadre de l’appréciation des conditions d’application
de ces dispositions, il convient notamment d’examiner si la personne
concernée a un droit à ce que l’information en question relative à sa
personne ne soit plus, au stade actuel, liée à son nom par une liste de
résultats affichée à la suite d’une recherche effectuée à partir de son
nom, sans pour autant que la constatation d’un tel droit présuppose que
l’inclusion de l’information en question dans cette liste cause un
préjudice à cette personne. Cette dernière pouvant, eu égard à ses
droits fondamentaux au titre des articles 7 et 8 de la Charte, demander
que l’information en question ne soit plus mise à la disposition du
grand public du fait de son inclusion dans une telle liste de résultats,
ces droits prévalent, en principe, non seulement sur l’intérêt
économique de l’exploitant du moteur de recherche, mais également sur
l’intérêt de ce public à accéder à ladite information lors d’une
recherche portant sur le nom de cette personne. Cependant, tel ne serait
pas le cas s’il apparaissait, pour des raisons particulières, telles
que le rôle joué par ladite personne dans la vie publique, que
l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt
prépondérant dudit public à avoir, du fait de cette inclusion, accès à
l’information en question.
Sur les dépens
100 La
procédure revêtant, à l’égard des parties au principal, le caractère
d’un incident soulevé devant la juridiction de renvoi, il appartient à
celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des
observations à la Cour, autres que ceux desdites parties, ne peuvent
faire l’objet d’un remboursement.
Par ces motifs, la Cour (grande chambre) dit pour droit:
1) L’article
2, sous b) et d), de la directive 95/46/CE du Parlement européen et du
Conseil, du 24 octobre 1995, relative à la protection des personnes
physiques à l’égard du traitement des données à caractère personnel et à
la libre circulation de ces données, doit être interprété en ce sens
que, d’une part, l’activité d’un moteur de recherche consistant à
trouver des informations publiées ou placées sur Internet par des tiers,
à les indexer de manière automatique, à les stocker temporairement et,
enfin, à les mettre à la disposition des internautes selon un ordre de
préférence donné doit être qualifiée de «traitement de données à
caractère personnel», au sens de cet article 2, sous b), lorsque ces
informations contiennent des données à caractère personnel et, d’autre
part, l’exploitant de ce moteur de recherche doit être considéré comme
le «responsable» dudit traitement, au sens dudit article 2, sous d).
2) L’article
4, paragraphe 1, sous a), de la directive 95/46 doit être interprété en
ce sens qu’un traitement de données à caractère personnel est effectué
dans le cadre des activités d’un établissement du responsable de ce
traitement sur le territoire d’un État membre, au sens de cette
disposition, lorsque l’exploitant d’un moteur de recherche crée dans un
État membre une succursale ou une filiale destinée à assurer la
promotion et la vente des espaces publicitaires proposés par ce moteur
et dont l’activité vise les habitants de cet État membre.
3) Les
articles 12, sous b), et 14, premier alinéa, sous a), de la directive
95/46 doivent être interprétés en ce sens que, afin de respecter les
droits prévus à ces dispositions et pour autant que les conditions
prévues par celles-ci sont effectivement satisfaites, l’exploitant d’un
moteur de recherche est obligé de supprimer de la liste de résultats,
affichée à la suite d’une recherche effectuée à partir du nom d’une
personne, des liens vers des pages web, publiées par des tiers et
contenant des informations relatives à cette personne, également dans
l’hypothèse où ce nom ou ces informations ne sont pas effacés
préalablement ou simultanément de ces pages web, et ce, le cas échéant,
même lorsque leur publication en elle-même sur lesdites pages est
licite.
4) Les articles 12,
sous b), et 14, premier alinéa, sous a), de la directive 95/46 doivent
être interprétés en ce sens que, dans le cadre de l’appréciation des
conditions d’application de ces dispositions, il convient notamment
d’examiner si la personne concernée a un droit à ce que l’information en
question relative à sa personne ne soit plus, au stade actuel, liée à
son nom par une liste de résultats affichée à la suite d’une recherche
effectuée à partir de son nom, sans pour autant que la constatation d’un
tel droit présuppose que l’inclusion de l’information en question dans
cette liste cause un préjudice à cette personne. Cette dernière pouvant,
eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la
Charte, demander que l’information en question ne soit plus mise à la
disposition du grand public du fait de son inclusion dans une telle
liste de résultats, ces droits prévalent, en principe, non seulement sur
l’intérêt économique de l’exploitant du moteur de recherche, mais
également sur l’intérêt de ce public à accéder à ladite information lors
d’une recherche portant sur le nom de cette personne. Cependant, tel ne
serait pas le cas s’il apparaissait, pour des raisons particulières,
telles que le rôle joué par ladite personne dans la vie publique, que
l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt
prépondérant dudit public à avoir, du fait de cette inclusion, accès à
l’information en question.
Signatures
|
No comments:
Post a Comment