Affaire C‑131/12

Google Spain SL
et
Google Inc.

contre

Agencia Española de Protección de Datos (AEPD)
et
Mario Costeja González

(demande de décision préjudicielle,
introduite par l’Audiencia Nacional)

«Données à caractère personnel – Protection des personnes physiques à l’égard du traitement de ces données – Directive 95/46/CE – Articles 2, 4, 12 et 14 – Champ d’application matériel et territorial – Moteurs de recherche sur Internet – Traitement des données contenues dans des sites web – Recherche, indexation et stockage de ces données – Responsabilité de l’exploitant du moteur de recherche – Établissement sur le territoire d’un État membre – Portée des obligations de cet exploitant et des droits de la personne concernée – Charte des droits fondamentaux de l’Union européenne – Articles 7 et 8»

Sommaire – Arrêt de la Cour (grande chambre) du 13 mai 2014

1.        Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46, article 2 – Traitement de données à caractère personnel – Notion – Activité d’un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer, à les stocker et à les mettre à la disposition des internautes – Inclusion – Responsable du traitement – Notion – Exploitant d’un moteur de recherche – Inclusion

[Directive du Parlement européen et du Conseil 95/46, art. 2, b) et d)]

2.        Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46 – Respect des droits fondamentaux – Respect de la vie privée et protection des données à caractère personnel – Juste équilibre entre le droit à l’information et les droits garantis par la charte des droits fondamentaux de l’Union européenne

(Charte des droits fondamentaux de l’Union européenne, art. 7 et 8; directive du Parlement européen et du Conseil 95/46)

3.        Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46, article 4 – Droit national applicable – Traitement de données dans le cadre des activités de l’établissement d’un exploitant d’un moteur de recherche situé sur le territoire d’un État membre – Portée – Promotion et vente des espaces publicitaires visant les habitants de cet État membre proposés par ce moteur de recherche au moyen dudit établissement – Inclusion

[Directive du Parlement européen et du Conseil 95/46, art. 4, § 1, a)]

4.        Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46, articles 12 et 14 – Droit d’accès de la personne concernée aux données à caractère personnel et droit d’opposition à leur traitement – Droit de demander la suppression de la liste de résultats des liens vers des pages web – Conditions

[Directive du Parlement européen et du Conseil 95/46, art. 12, b), et 14, al. 1, a)]

5.        Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46, articles 12 et 14 – Droit d’accès de la personne concernée aux données à caractère personnel et droit d’opposition à leur traitement – Recherche effectuée au moyen d’un moteur de recherche à partir du nom d’une personne – Affichage d’une liste de résultats – Droit de demander de ne plus mettre cette information à la disposition du grand public

[Charte des droits fondamentaux de l’Union européenne, art. 7 et 8; directive du Parlement européen et du Conseil 95/46, art. 6, § 1, c) à e), 12, b), et 14, al. 1, a)]

1.        L’article 2, sous b), de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens que, d’une part, l’activité d’un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de traitement de données à caractère personnel lorsque ces informations contiennent des données à caractère personnel.

Cette interprétation n’est pas infirmée par le fait que les données ont déjà fait l’objet d’une publication sur Internet et ne sont pas modifiées par le moteur de recherche. En effet, les opérations visées à cette disposition doivent être qualifiées comme un tel traitement également dans l’hypothèse où elles concernent exclusivement des informations déjà publiées telles quelles dans les médias.

Par ailleurs, l’exploitant d’un moteur de recherche doit être considéré comme le responsable dudit traitement des données à caractère personnel au sens dudit article 2, sous d), de ladite directive. En effet, dans la mesure où l’activité d’un moteur de recherche est susceptible d’affecter significativement et de manière additionnelle par rapport à celle des éditeurs de sites web les droits fondamentaux de la vie privée et de la protection des données à caractère personnel, l’exploitant de ce moteur en tant que personne qui détermine les finalités et les moyens de cette activité doit assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que celle-ci satisfait aux exigences de la directive 95/46 pour que les garanties prévues par celle-ci puissent développer leur plein effet et qu’une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée.

(cf. points 29, 30, 38, 41, disp. 1)

2.        Un traitement de données à caractère personnel réalisé par l’exploitant d’un moteur de recherche est susceptible d’affecter significativement les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel lorsque la recherche à l’aide de ce moteur est effectuée à partir du nom d’une personne physique, dès lors que ledit traitement permet à tout internaute d’obtenir par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet, qui touchent potentiellement à une multitude d’aspects de sa vie privée et qui, sans ledit moteur de recherche, n’auraient pas ou seulement que très difficilement pu être interconnectées, et ainsi d’établir un profil plus ou moins détaillé de celle-ci. Il en va d’autant plus ainsi qu’Internet et les moteurs de recherche confèrent aux informations contenues dans une telle liste de résultats un caractère ubiquitaire. Au vu de la gravité potentielle de cette ingérence, celle-ci ne saurait être justifiée par le seul intérêt économique de l’exploitant d’un tel moteur dans ce traitement. Un juste équilibre doit, notamment, être recherché entre l’intérêt légitime des internautes à l’information et les droits fondamentaux de la personne concernée au titre des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne.

(cf. points 36, 38, 80, 81, 97)

3.        L’article 4, paragraphe 1, sous a), de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre, au sens de cette disposition, lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre.

En effet, dans de telles circonstances, les activités de l’exploitant du moteur de recherche et celles de son établissement situé dans un État membre, bien que distinctes, sont indissociablement liées dès lors que les activités relatives aux espaces publicitaires constituent le moyen pour rendre le moteur de recherche en cause économiquement rentable et que ce moteur est, en même temps, le moyen permettant l’accomplissement de ces activités.

(cf. points 51, 55, 56, 60, disp. 2)

4.        Les articles 12, sous b), et 14, premier alinéa, sous a), de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doivent être interprétés en ce sens que, afin de respecter les droits prévus à ces dispositions et pour autant que les conditions prévues par celles-ci sont effectivement satisfaites, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite.

À cet égard, dans la mesure où l’inclusion dans la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, d’une page web et des informations qui y sont contenues relatives à cette personne facilite sensiblement l’accessibilité de ces informations à tout internaute effectuant une recherche sur la personne concernée et peut jouer un rôle décisif pour la diffusion desdites informations, le traitement des données réalisé par l’exploitant d’un moteur de recherche est susceptible de constituer une ingérence plus importante dans le droit fondamental au respect de la vie privée de la personne concernée que la publication par l’éditeur de cette page web.

(cf. points 87, 88, disp. 3)

5.        Il découle des exigences, prévues à l’article 6, paragraphe 1, sous c) à e), de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, que même un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible avec cette directive lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées. Partant, dans l’hypothèse où il est constaté, à la suite d’une demande de la personne concernée en vertu de l’article 12, sous b), de la directive 95/46, que l’inclusion dans la liste de résultats, affichée à la suite d’une recherche effectuée à partir de son nom, des liens vers des pages web, publiées légalement par des tiers et contenant des informations véridiques relatives à sa personne, est, au stade actuel, incompatible avec ledit article 6, paragraphe 1, sous c) à e), en raison du fait que ces informations apparaissent, eu égard à l’ensemble des circonstances caractérisant le cas d’espèce, inadéquates, pas ou plus pertinentes ou excessives au regard des finalités du traitement en cause réalisé par l’exploitant du moteur de recherche, les informations et les liens concernés de ladite liste de résultats doivent être effacés.

Dans ce contexte, la constatation d’un droit de la personne concernée à ce que l’information relative à sa personne ne soit plus liée à son nom par une liste de résultats ne présuppose pas que l’inclusion de l’information en question dans la liste de résultats cause un préjudice à la personne concernée.

La personne concernée pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne, demander à ce que l’information en question ne soit plus mise à la disposition du grand public par son inclusion dans une telle liste de résultats, ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à trouver ladite information lors d’une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question.

(cf. points 93, 94, 96-99, disp. 4)