Droit à l’oubli : la CNIL réitère à Google l’application mondiale des règles européennes

La Commission nationale informatique et liberté (CNIL) a rejeté le 21 septembre l’appel de Google, et a confirmé sa décision de vouloir étendre le droit à l’oubli pratiqué en Europe à tous les sites de Google du monde entier.

Google respecte le droit à l’oubli en Europe depuis la nouvelle loi instituée en 2014, en supprimant les résultats de recherche vers des pages Web contenant des informations personnelles sur des individus ayant fait la demande. Ces contenus étaient soient dommageables pour la personne, soient non pertinents ou périmés. Mais cela ne doit pas s’appliquer seulement aux domaines européens tels que Google.fr et Google.de, mais doit s’appliquer aussi aux recherches sur les autres domaines tels Google.com ou Google.co.jp.

En mai, la CNIL a demandé à Google d’appliquer ces suppressions de données sur l’ensemble de ses domaines dans le monde entier, une décision que Google a porté en appel, en invoquant le principe de la liberté d’expression. Ce lundi 21 septembre, la CNIL a rejeté son appel, et Google pourrait faire face à une amende de 150 000 euros supplémentaire si le groupe américain refuse de coopérer.

« Si ce droit est limité à certaines extensions, il pourrait être facilement contourné : pour trouver le résultat supprimé, il suffirait de faire une recherche sur un autre domaine (par exemple, effectuer une recherche en France en utilisant google.com), » a précisé la CNIL.

De mai 2014 au 21 septembre 2015, Google a reçu environ 318 000 demandes de suppressions de contenus personnels dans les résultats de recherche. Pour mesurer si une demande doit être honorée ou pas, Google prend en compte le caractère public d’une information.

Google donne des exemples de demandes qu’il a refusé : par exemple un homme d’affaires de premier plan en Pologne a voulu voir retirés des articles de son procès contre un journal ; ou encore un professionnel des médias au Royaume-Uni a demandé le retrait de quatre articles qu’il avait publié avec des contenus embarrassants.

LIRE AUSSI

• Les politiciens ont eux aussi le droit de faire oublier leur tweet sur le réseau social
• 
La CNIL sanctionne Google (2014)

Google ne fournit pas d’information sur le nombre de demandes accordées ou refusées, mais une analyse des données obtenue par The Guardian en juillet a révélé que la plupart des demandes ne sont pas accordées.

Si la demande porte sur la suppression d’« informations privées ou personnelles » le demandeur a un taux de réussite de 46% de voir sa demande accomplie. La grande majorité de ces demandes, environ 95% proviennent de citoyens privés. Dans les quatre autres catégories (« infraction grave », « personnalité publique », « politique », ou « les demandes de protection de l’enfant »), les demandes ont été accordées dans moins de 1% des cas.

Dans un cas cité par The Guardian, un médecin a demandé à Google de supprimer des liens vers 50 articles de presse documentant une opération ratée. Google a finalement supprimé les liens vers trois d’entre eux parce qu’ils contenaient des renseignements personnels sur le médecin.

On ne sait pas comment Google va réagir au refus de la CNIL, mais le géant américain a montré une opposition ferme à la décision prise en juillet. Peter Fleisher, avocat pour Google sur la vie privée a écrit : « si l’approche proposée par la CNIL devait être adoptée comme norme pour la réglementation de l’Internet, nous ferons une course dans le mauvais sens. En fin de compte, l’Internet deviendrait aussi libre que l’endroit le moins libre du monde ».

 Notons tout de même l’aspect caricatural de sa déclaration.

Dans le scénario où Google refuserait d’appliquer le droit à l’oubli européen à tous les domaines à l’échelle mondiale, la CNIL pourrait lui imposer une nouvelle pénalité de 150 000 euros – considérant ce refus comme une nouvelle infraction, pour arriver à un montant de 300 000 euros d’amendes – le maximum qu’elle peut lui demander dans les cinq ans.

Le montant d’une telle somme est dérisoire pour une entreprise qui génère 66 milliards de dollars de recettes annuelles, mais l’Union européenne est en train d’introduire de nouvelles règlementations qui pourraient relever ce montant maximal des sanctions (en ce qui concerne la protection des données privées) jusqu’à 2 à 5% du chiffre d’affaires global de l’entreprise, soit plus de 3 milliards de dollar pour Google.

« Donc, quelle est la prochaine étape ? Il est peu probable que Google se conforme à cette demande de la CNIL » a écrit dans un courriel Paul Lanois, avocat en technologie autrefois enseignant en France. En termes de procédure, « si Google veut faire appel à d’éventuelles sanctions, selon la nature des sanctions imposées, il peut déposer une requête en référé… ou il peut déposer un appel de plein droit dans le but de renverser la décision de la CNIL (et bien sûr Google peut déposer les deux) ».

Quand les nouvelles réglementations sur la protection des données personnelles seront mises en œuvre, Google pourra faire face à un dilemme : soit se conformer aux lois sur le droit à l’oubli sur l’ensemble de ses domaines ou, pour éviter la pression sur ses bureaux en Europe, se retirer complètement du continent (une entreprise coûteuse car il y a environ 5 000 employés en Europe, selon les chiffres de 2011). Cette année-là, le PDG de Google Eric Schmidt avait annoncé une grande campagne d’embauche de près de 1 000 employés.

Il est néanmoins peu probable que Google retire ses bureaux d’Europe et de France, mais le bras de fer continue avec la CNIL qui veut faire respecter sur son territoire ses propres réglementations – n’en déplaise à Google et aux amendes qui vont s’accumuler, si ces lois ne sont pas appliquées.

Version anglaise : France Orders Google to Apply Europe’s ‘Right to Be Forgotten’ Rule Globally