Source: http://fort-de-france.tribunal-administratif.fr/Decisions-Avis-Publications/Decisions/Selection-des-decisions-faisant-l-objet-d-une-communication-particuliere/CE-19-juillet-2017-GOOGLE-INC
Timestamp: 2017-11-17 21:04:59+00:00
Document Index: 253681026

Matched Legal Cases: ['arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', "l'article 1", "l'article 47", "l'article 44", "l'article 45"]

Accueil / Décisions, Avis & Publications / Décisions / Sélection des décisions faisant l'objet d'une communication... / CE, 19 juillet 2017, GOOGLE INC.
- l’arrêt de la Cour de justice de l’Union européenne du 13 mai 2014, Google Spain SL, Google Inc. contre Agencia Espanola de Proteccion de Datos, B... C... (C-131/12) ;
3. D’une part, aux termes des dispositions de l’article 2 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « (…) Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction (…) ». Aux termes de son article 3 : « I. - Le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens (…) ». Ces dispositions assurent la mise en œuvre en droit national de l’article 2, sous b) et d), de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Elles doivent dès lors être interprétées à la lumière de ces dispositions. Or, par son arrêt du 13 mai 2014 Google Spain SL, Google Inc. contre Agencia Espanola de Proteccion de Datos, B... C... (C-131/12), la Cour de justice de l’Union européenne a dit pour droit que : « L’article 2, sous b) et d), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens que, d’une part, l’activité d’un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de « traitement de données à caractère personnel », au sens de cet article 2, sous b), lorsque ces informations contiennent des données à caractère personnel et, d’autre part, l’exploitant de ce moteur de recherche doit être considéré comme le « responsable » dudit traitement, au sens dudit article 2, sous d) ».
5. D’autre part, aux termes de l’article 5 de la loi du 6 janvier 1978 : « I. - Sont soumis à la présente loi les traitements de données à caractère personnel : / 1° Dont le responsable est établi sur le territoire français. Le responsable d'un traitement qui exerce une activité sur le territoire français dans le cadre d'une installation, quelle que soit sa forme juridique, y est considéré comme établi ». Ces dispositions assurent la mise en œuvre en droit national de l’article 4, paragraphe 1, sous a), de la directive du 24 octobre 1995. Elles doivent dès lors être interprétées à la lumière de ces dispositions. Or, la Cour de justice de l’Union européenne a, par l’arrêt précité, dit pour droit que : « L’article 4, paragraphe 1, sous a), de la directive 95/46/CE doit être interprété en ce sens qu’un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre, au sens de cette disposition, lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre ».
7. Aux termes de l’article 38 de la loi du 6 janvier 1978 : « Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. / Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur. / Les dispositions du premier alinéa ne s'appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement ». Aux termes de l’article 40 de cette même loi : « Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant (…) ». Ces dispositions assurent respectivement la mise en œuvre en droit national des dispositions du de l’article 14, sous a), et de l’article 12, sous b), de la directive du 24 octobre 1995. Elles doivent dès lors être interprétées à la lumière de ces dispositions. Or la Cour de justice de l’Union européenne, dans son arrêt précité du 13 mai 2014, a interprété ces dispositions au regard de l’article 1er, paragraphe 1, de la directive du 24 octobre 1995, aux termes duquel : « Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l'égard du traitement des données à caractère personnel », et de l’article 7 de cette même directive, aux termes duquel : « Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si : / (…) f) il est nécessaire à la réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l'intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l'article 1er paragraphe 1 ». Elle a ainsi dit pour droit qu’« afin de respecter les droits prévus par ces dispositions, et pour autant que les conditions prévues par celles-ci sont effectivement satisfaites, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite ».
8. Il découle des motifs énoncés au point précédent que, sur le fondement des articles 38 et 40 de la loi du 6 janvier 1978, lorsque les conditions fixées par ces articles sont satisfaites, l’exploitant d’un moteur de recherche mettant en œuvre son traitement en France doit faire droit aux demandes qui lui sont présentées tendant au déréférencement de liens, c'est-à-dire à la suppression de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom du demandeur, des liens vers des pages web, publiées par des tiers et contenant des informations le concernant.
9. Aux termes de l’article 45 de la loi du 6 janvier 1978 : « I. - Lorsque le responsable d'un traitement ne respecte pas les obligations découlant de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut le mettre en demeure de faire cesser le manquement constaté dans un délai qu'il fixe. (…) / Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure. / Dans le cas contraire, la formation restreinte de la commission peut prononcer, après une procédure contradictoire, les sanctions suivantes : (…) / 2° Une sanction pécuniaire, dans les conditions prévues à l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'Etat ; (…) ». Aux termes de l’article 48 de cette même loi : « Les pouvoirs prévus à l'article 44 ainsi qu'au I, au 1° du II et au III de l'article 45 peuvent être exercés à l'égard des traitements dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d'un autre Etat membre de la Communauté européenne ». Ces dispositions assurent la mise en œuvre en droit national de l’article 24 de la directive du 24 octobre 1995, qui laisse aux Etats membres le soin de déterminer les sanctions à appliquer en cas de violation des dispositions prises en application de la directive. Il résulte de ces dispositions et de celles, citées au point 5, de l’article 5 de la loi du 6 janvier 1978 que la formation restreinte de la CNIL est compétente pour connaître des manquements à cette loi, commis par un responsable de traitement à raison du traitement de données à caractère personnel qu’il exploite, dès lors que l’activité de ce responsable est établie en France, ou qu’elle s’exerce dans le cadre d’une installation établie en France, y compris lorsque les opérations du traitement en cause ne sont que partiellement mises en œuvre sur le territoire national.
Les autres intervenants seront informés de la présente décision par Maître A...et par la SCP Rousseau-Tapie, avocats au Conseil d’Etat et à la Cour de cassation, qui les représentent devant le Conseil d’Etat.