Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Par ailleurs, chacun peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel le concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite (articles 38 et 40 de la loi n°78-17 du 6 janvier 1978 dite « loi informatique et libertés »).

Ces dispositions sont issues de la transposition, en droit interne, des articles 12 et 14 de la directive 95/46 du 24 octobre 1995.

La Cour de justice de l’Union européenne (CJUE) a interprété ces dispositions en indiquant que l’exploitant d’un moteur de recherches saisi d’une demande de déréférencement est en principe tenu d’y faire droit Il ne saurait en être autrement que « s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question » (CJUE, 13 mai 2014, C-131/12, Google Spain et Google).

Par un arrêt du 14 février 2018, la 1re chambre civile de la Cour de cassation vient de préciser la portée de ces dispositions dans une affaire dans laquelle un particulier reprochait à la société Google Inc. d’exploiter, sans son consentement, des données à caractère personnel le concernant, par le biais du moteur de recherche Google.fr.

Le plaignant avait saisi le juge des référés sur le fondement de l’article 809 du Code de procédure civile, pour obtenir la cessation de ces agissements constitutifs, selon lui, d’un trouble manifestement illicite.

Le tribunal de grande instance de Nice avait enjoint Google de procéder à la suppression « des liens référencés en lien avec les données à caractère strictement privé et personnel concernant M. B, sous astreinte de 1000 euros par jour de retard ». La cour d’appel d’Aix-en-Provence, le 15 septembre 2016, a confirmé la demande de suppression des liens, conduisant à toute adresse URL identifiée et signalée à Google Inc par l’internaute comme portant atteinte à sa vie privée, dans un délai de 7 jours à compter de la réception de ce signalement.

La Cour de cassation, se fondant sur la jurisprudence européenne précitée, casse et annule, partiellement et sans renvoi, l’arrêt de la cour d’appel pour violation des articles 38 et 40 de la Loi informatique et libertés (Cass. 1re civ., 14 février 2018, n°17-10.499). En effet, elle retient que la juridiction saisie d’une demande de déréférencement est « tenue de porter une appréciation sur son bien-fondé et de procéder, de façon concrète, à la mise en balance des intérêts en présence, de sorte qu’elle ne peut ordonner une mesure d’injonction d’ordre général conférant un caractère automatique à la suppression de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages Internet contenant des informations relatives à cette personne ».

Cette affaire vient rappeler que le déréférencement n’est pas un droit de portée absolue. Issu de la jurisprudence de la CJUE, ce droit est aujourd’hui présent dans le règlement (UE) 2016/679 du 27 avril 2016 sous le nom de droit à l’effacement ou « droit à l’oubli ».

Anne-Laure Villedieu, avocat associée, droit de la propriété industrielle, droit de l’informatique, des communications électroniques et protection des données personnelles.

Victoire Delloye, avocat, droit de la propriété intellectuelle