ARRÊT DE LA COUR (grande chambre)
24 septembre 2019 (*)
« Renvoi préjudiciel – Données à caractère personnel – Protection des personnes physiques à l’égard du traitement de ces données figurant sur des pages web – Directive 95/46/CE – Règlement (UE) 2016/679 – Moteurs de recherche sur Internet – Traitement des données contenues dans des sites web – Catégories de données spécifiques visées à l’article 8 de cette directive et aux articles 9 et 10 de ce règlement – Applicabilité de ces articles à l’exploitant du moteur de recherche – Portée des obligations de cet exploitant au regard desdits articles – Publication des données sur des sites web aux seules fins de journalisme ou d’expression artistique ou littéraire – Incidence sur le traitement d’une demande de déréférencement – Articles 7, 8 et 11 de la charte des droits fondamentaux de l’Union européenne »
Dans l’affaire C‑136/17,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Conseil d’État (France), par décision du 24 février 2017, parvenue à la Cour le 15 mars 2017, dans la procédure
GC,
AF,
BH,
ED
contre
Commission nationale de l’informatique et des libertés (CNIL),
en présence de :
Premier ministre,
Google LLC, venant aux droits de Google Inc.,
LA COUR (grande chambre),
composée de M. K. Lenaerts, président, M. A. Arabadjiev, Mme A. Prechal, M. T. von Danwitz, Mme C. Toader et M. F. Biltgen, présidents de chambre, MM. M. Ilešič (rapporteur), L. Bay Larsen, M. Safjan, D. Šváby, C. G. Fernlund, C. Vajda et S. Rodin, juges,
avocat général : M. M. Szpunar,
greffier : Mme V. Giacobbo-Peyronnel, administratrice,
vu la procédure écrite et à la suite de l’audience du 11 septembre 2018,
considérant les observations présentées :
– pour AF, par lui-même,
– pour BH, par Me L. Boré, avocat,
– pour la Commission nationale de l’informatique et des libertés (CNIL), par Mme I. Falque-Pierrotin ainsi que par MM. J. Lessi et G. Le Grand, en qualité d’agents,
– pour Google LLC, par Mes P. Spinosi, Y. Pelosi et W. Maxwell, avocats,
– pour le gouvernement français, par MM. D. Colas et R. Coesme ainsi que par Mmes E. de Moustier et S. Ghiandoni, en qualité d’agents,
– pour l’Irlande, par Mmes M. Browne, G. Hodge et J. Quaney ainsi que par M. A. Joyce, en qualité d’agents, assistés de Mme M. Gray, BL,
– pour le gouvernement hellénique, par Mmes E.-M. Mamouna, G. Papadaki, E. Zisi et S. Papaioannou, en qualité d’agents,
– pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de MM. F. De Luca et P. Gentili, avvocati dello Stato,
– pour le gouvernement autrichien, par MM. G. Eberhard et G. Kunnert, en qualité d’agents,
– pour le gouvernement polonais, par M. B. Majczyna ainsi que par Mmes M. Pawlicka et J. Sawicka, en qualité d’agents,
– pour le gouvernement du Royaume-Uni, par M. S. Brandon, en qualité d’agent, assisté de M. C. Knight, barrister,
– pour la Commission européenne, par MM. A. Buchet, H. Kranenborg et D. Nardi, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 10 janvier 2019,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).
2 Cette demande a été présentée dans le cadre d’un litige opposant GC, AF, BH et ED à la Commission nationale de l’informatique et des libertés (CNIL) (France) au sujet de quatre décisions de cette dernière refusant de mettre en demeure Google Inc., devenue Google LLC, de procéder à des déréférencements de divers liens inclus dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir de leur nom, et menant vers des pages web publiées par des tiers.
Le cadre juridique
Le droit de l’Union
La directive 95/46
3 La directive 95/46 a, selon son article 1er, paragraphe 1, pour objet la protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel, ainsi que l’élimination des obstacles à la libre circulation de ces données.
4 Les considérants 33 et 34 de la directive 95/46 énoncent :
« (33) considérant que les données qui sont susceptibles par leur nature de porter atteinte aux libertés fondamentales ou à la vie privée ne devraient pas faire l’objet d’un traitement, sauf consentement explicite de la personne concernée ; que, cependant, des dérogations à cette interdiction doivent être expressément prévues pour répondre à des besoins spécifiques [...]
(34) considérant que les États membres doivent également être autorisés à déroger à l’interdiction de traiter des catégories de données sensibles lorsqu’un motif d’intérêt public important le justifie [...] ; qu’il leur incombe, toutefois, de prévoir les garanties appropriées et spécifiques aux fins de protéger les droits fondamentaux et la vie privée des personnes ».
5 L’article 2 de cette directive dispose :
« Aux fins de la présente directive, on entend par :
a) “données à caractère personnel” : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; [...]
b) “traitement de données à caractère personnel” (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ;
[...]
d) “responsable du traitement” : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; [...]
[...]
h) “consentement de la personne concernée” : toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement. »
6 Sous le chapitre II, section I, de ladite directive, intitulée « Principes relatifs à la qualité des données », l’article 6 de la même directive est libellé comme suit :
« 1. Les États membres prévoient que les données à caractère personnel doivent être :
a) traitées loyalement et licitement ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. [...]
c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ;
d) exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ;
e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques.
2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1. »
7 Sous le chapitre II, section II, de la directive 95/46, intitulée « Principes relatifs à la légitimation des traitements de données », l’article 7 de cette directive dispose :
« Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si :
[...]
f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er paragraphe 1. »
8 Sous le chapitre II, section III, de ladite directive, intitulée « Catégories particulières de traitement », figurent les articles 8 et 9 de la même directive. Cet article 8, intitulé « Traitements portant sur des catégories particulières de données », prévoit :
« 1. Les États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle.
2. Le paragraphe 1 ne s’applique pas lorsque :
a) la personne concernée a donné son consentement explicite à un tel traitement, sauf dans le cas où la législation de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut être levée par le consentement de la personne concernée
ou
[...]
e) le traitement porte sur des données manifestement rendues publiques par la personne concernée ou est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.
[...]
4. Sous réserve de garanties appropriées, les États membres peuvent prévoir, pour un motif d’intérêt public important, des dérogations autres que celles prévues au paragraphe 2, soit par leur législation nationale, soit sur décision de l’autorité de contrôle.
5. Le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être effectué que sous le contrôle de l’autorité publique ou si des garanties appropriées et spécifiques sont prévues par le droit national, sous réserve des dérogations qui peuvent être accordées par l’État membre sur la base de dispositions nationales prévoyant des garanties appropriées et spécifiques. Toutefois, un recueil exhaustif des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique.
Les États membres peuvent prévoir que les données relatives aux sanctions administratives ou aux jugements civils sont également traitées sous le contrôle de l’autorité publique.
[...] »
9 L’article 9 de la directive 95/46, intitulé « Traitements de données à caractère personnel et liberté d’expression », énonce :
« Les États membres prévoient, pour les traitements de données à caractère personnel effectués aux seules fins de journalisme ou d’expression artistique ou littéraire, des exemptions et dérogations au présent chapitre, au chapitre IV et au chapitre VI dans la seule mesure où elles s’avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d’expression. »
10 L’article 12 de cette directive, intitulé « Droit d’accès », prévoit :
« Les États membres garantissent à toute personne concernée le droit d’obtenir du responsable du traitement :
[...]
b) selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données ;
[...] »
11 L’article 14 de ladite directive, intitulé « Droit d’opposition de la personne concernée », dispose :
« Les États membres reconnaissent à la personne concernée le droit :
a) au moins dans les cas visés à l’article 7 points e) et f), de s’opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de disposition contraire du droit national. En cas d’opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut plus porter sur ces données ;
[...] »
12 L’article 28 de la même directive, intitulé « Autorité de contrôle », est libellé comme suit :
« 1. Chaque État membre prévoit qu’une ou plusieurs autorités publiques sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de la présente directive.
[...]
3. Chaque autorité de contrôle dispose notamment :
– de pouvoirs d’investigation, tels que le pouvoir d’accéder aux données faisant l’objet d’un traitement et de recueillir toutes les informations nécessaires à l’accomplissement de sa mission de contrôle,
– de pouvoirs effectifs d’intervention, tels que, par exemple, celui [...] d’ordonner le verrouillage, l’effacement ou la destruction de données, ou d’interdire temporairement ou définitivement un traitement [...]
[...]
Les décisions de l’autorité de contrôle faisant grief peuvent faire l’objet d’un recours juridictionnel.
4. Chaque autorité de contrôle peut être saisie par toute personne, ou par une association la représentant, d’une demande relative à la protection de ses droits et libertés à l’égard du traitement de données à caractère personnel. La personne concernée est informée des suites données à sa demande.
[...]
6. Indépendamment du droit national applicable au traitement en cause, chaque autorité de contrôle a compétence pour exercer, sur le territoire de l’État membre dont elle relève, les pouvoirs dont elle est investie conformément au paragraphe 3. Chaque autorité peut être appelée à exercer ses pouvoirs sur demande d’une autorité d’un autre État membre.
Les autorités de contrôle coopèrent entre elles dans la mesure nécessaire à l’accomplissement de leurs missions, notamment en échangeant toute information utile.
[...] »
Le règlement (UE) 2016/679
13 Le règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46 (règlement général sur la protection des données) (JO 2016, L 119, p. 1, et rectificatif JO 2018, L 127, p. 2), est applicable, en vertu de son article 99, paragraphe 2, à partir du 25 mai 2018. L’article 94, paragraphe 1, de ce règlement dispose que la directive 95/46 est abrogée avec effet à cette même date.
14 Les considérants 1, 4, 51, 52 et 65 dudit règlement énoncent :
« (1) La protection des personnes physiques à l’égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la [c]harte des droits fondamentaux de l’Union européenne (ci-après dénommée “Charte”) et l’article 16, paragraphe 1, [TFUE] disposent que toute personne a droit à la protection des données à caractère personnel la concernant.
[...]
(4) Le traitement des données à caractère personnel devrait être conçu pour servir l’humanité. Le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. Le présent règlement respecte tous les droits fondamentaux et observe les libertés et les principes reconnus par la Charte, consacrés par les traités, en particulier le respect de la vie privée et familiale, [...] la protection des données à caractère personnel, la liberté de pensée, de conscience et de religion, la liberté d’expression et d’information, la liberté d’entreprise, [...]
[...]
(51) Les données à caractère personnel qui sont, par nature, particulièrement sensibles du point de vue des libertés et des droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et droits. [...]
(52) Des dérogations à l’interdiction de traiter des catégories particulières de données à caractère personnel devraient également être autorisées lorsque le droit de l’Union ou le droit d’un État membre le prévoit, et sous réserve de garanties appropriées, de manière à protéger les données à caractère personnel et d’autres droits fondamentaux [...]
[...]
(65) Les personnes concernées devraient [...] disposer d’un “droit à l’oubli” lorsque la conservation de ces données constitue une violation du présent règlement ou du droit de l’Union ou du droit d’un État membre auquel le responsable du traitement est soumis. [...] Toutefois, la conservation ultérieure des données à caractère personnel devrait être licite lorsqu’elle est nécessaire à l’exercice du droit à la liberté d’expression et d’information [...] »
15 L’article 4, point 11, du règlement 2016/679 définit la notion de « consentement » comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».
16 L’article 5 de ce règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », énonce, à son paragraphe 1, sous c) à e) :
« Les données à caractère personnel doivent être :
[...]
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
d) exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ;
e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; [...] (limitation de la conservation) ».
17 L’article 9 dudit règlement, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », dispose :
« 1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.
2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie :
a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l’Union ou le droit de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ;
[...]
e) le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée ;
[...]
g) le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ;
[...] »
18 L’article 10 du même règlement, intitulé « Traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions », énonce :
« Le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes fondé sur l’article 6, paragraphe 1, ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique. »
19 L’article 17 du règlement 2016/679, intitulé « Droit à l’effacement (“droit à l’oubli”) », est libellé comme suit :
« 1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :
a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement ;
c) la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2 ;
d) les données à caractère personnel ont fait l’objet d’un traitement illicite ;
e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ;
f) les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information visée à l’article 8, paragraphe 1.
2. Lorsqu’il a rendu publiques les données à caractère personnel et qu’il est tenu de les effacer en vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d’ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l’effacement par ces responsables du traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci.
3. Les paragraphes 1 et 2 ne s’appliquent pas dans la mesure où ce traitement est nécessaire :
a) à l’exercice du droit à la liberté d’expression et d’information ;
[...] »
20 L’article 21 de ce règlement, intitulé « Droit d’opposition », prévoit, à son paragraphe 1 :
« La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice. »
21 L’article 85 dudit règlement, intitulé « Traitement et liberté d’expression et d’information », énonce :
« 1. Les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre du présent règlement et le droit à la liberté d’expression et d’information, y compris le traitement à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire.
2. Dans le cadre du traitement réalisé à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire, les États membres prévoient des exemptions ou des dérogations au chapitre II (principes), au chapitre III (droits de la personne concernée), au chapitre IV (responsable du traitement et sous-traitant), au chapitre V (transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales), au chapitre VI (autorités de contrôle indépendantes), au chapitre VII (coopération et cohérence) et au chapitre IX (situations particulières de traitement) si celles-ci sont nécessaires pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information.
[...] »
Le droit français
22 La mise en œuvre de la directive 95/46 en droit français est assurée par la loi no 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés, dans sa version applicable aux faits au principal.
23 L’article 11 de cette loi précise que, parmi ses missions, la CNIL veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de ladite loi et que, à ce titre, elle reçoit les réclamations, les pétitions et les plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci.
Les litiges au principal et les questions préjudicielles
24 GC, AF, BH et ED ont, chacun, demandé à Google de déréférencer, dans la liste de résultats affichée par le moteur de recherche exploité par cette société en réponse à une recherche effectuée à partir de leur nom respectif, divers liens menant vers des pages web publiées par des tiers, ce que ladite société a toutefois refusé.
25 Plus particulièrement, GC a demandé le déréférencement d’un lien qui renvoie à un photomontage satirique mis en ligne, sous pseudonyme, le 18 février 2011 sur Youtube, la mettant en scène aux côtés du maire d’une commune dont elle était directrice de cabinet et évoquant de manière explicite la relation intime qui les lierait ainsi que l’incidence de cette relation sur son propre parcours politique. Ce photomontage a été mis en ligne à l’occasion de la campagne électorale pour les élections cantonales auxquelles GC était alors candidate. À la date à laquelle un refus a été opposé à sa demande de déréférencement, l’intéressée n’était ni élue ni candidate à un mandat électif local et n’exerçait plus les fonctions de directrice de cabinet du maire de la commune.
26 AF a demandé le déréférencement de liens qui renvoient à un article du quotidien Libération du 9 septembre 2008, reproduit sur le site du Centre contre les manipulations mentales (CCMM) (France), relatif au suicide d’une adepte de l’Église de scientologie au mois de décembre 2006. AF est mentionné dans cet article en qualité de responsable des relations publiques de l’Église de scientologie, profession qu’il a cessé d’exercer depuis lors. Par ailleurs, l’auteur dudit article fait état de ce qu’il a contacté AF pour obtenir sa version des faits, et relate les propos recueillis à cette occasion.
27 BH a demandé le déréférencement de liens qui mènent vers des articles, principalement de presse, relatifs à l’information judiciaire ouverte au mois de juin 1995 sur le financement du parti républicain (PR) dans le cadre de laquelle, avec plusieurs hommes d’affaires et personnalités politiques, il a été mis en examen. La procédure le concernant a été clôturée par une ordonnance de non-lieu le 26 février 2010. La plupart des liens litigieux mènent vers des articles qui sont contemporains de l’ouverture de l’instruction, et ne font en conséquence pas état de l’issue de la procédure.
28 ED a demandé le déréférencement de liens qui mènent vers deux articles publiés dans Nice-Matin et Le Figaro rendant compte de l’audience correctionnelle au cours de laquelle il a été condamné à une peine de sept ans d’emprisonnement et à une peine complémentaire de dix ans de suivi sociojudiciaire pour des faits d’agressions sexuelles sur mineurs de quinze ans. L’une de ces chroniques judiciaires mentionne, en outre, plusieurs détails intimes relatifs à ED, qui ont été révélés à l’occasion du procès.
29 À la suite des refus opposés par Google à leurs demandes de déréférencement, les requérants au principal ont saisi la CNIL de plaintes tendant à ce qu’il soit enjoint à cette société de procéder au déréférencement des liens en cause. Par courriers respectivement datés des 24 avril 2015, 28 août 2015, 21 mars 2016 et 9 mai 2016, la présidente de la CNIL a informé les requérants au principal de la clôture de leurs plaintes.
30 Les requérants au principal ont alors introduit devant la juridiction de renvoi, le Conseil d’État (France), des requêtes dirigées contre ces refus de la CNIL de mettre en demeure Google de procéder aux déréférencements demandés. Ces requêtes ont été jointes par la juridiction de renvoi.
31 Ayant constaté que lesdites requêtes soulèvent plusieurs difficultés sérieuses d’interprétation de la directive 95/46, le Conseil d’État a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) Eu égard aux responsabilités, aux compétences et aux possibilités spécifiques de l’exploitant d’un moteur de recherche, l’interdiction faite aux autres responsables de traitement de traiter des données relevant des paragraphes 1 et 5 de l’article 8 de la directive [95/46], sous réserve des exceptions prévues par ce texte, est-elle également applicable à cet exploitant en tant que responsable du traitement que constitue ce moteur ?
2) En cas de réponse positive à la [première question] :
[a)] [L]es dispositions de l’article 8, paragraphes 1 et 5, de la directive [95/46] doivent-elles être interprétées en ce sens que l’interdiction ainsi faite, sous réserve des exceptions prévues par cette directive, à l’exploitant d’un moteur de recherche de traiter des données relevant de ces dispositions l’obligerait à faire systématiquement droit aux demandes de déréférencement portant sur des liens menant vers des pages web qui traitent de telles données ?
[b)] [D]ans une telle perspective, comment s’interprètent les exceptions prévues à l’article 8, paragraphe 2, sous a) et e), de la directive [95/46], lorsqu’elles s’appliquent à l’exploitant d’un moteur de recherche, eu égard à ses responsabilités, ses compétences et ses possibilités spécifiques ? En particulier, un tel exploitant peut-il refuser de faire droit à une demande de déréférencement lorsqu’il constate que les liens en cause mènent vers des contenus qui, s’ils comportent des données relevant des catégories énumérées au paragraphe 1 de l’article 8, entrent également dans le champ des exceptions prévues par le paragraphe 2 du même article, notamment [les points a) et e) de ce paragraphe] ?
[c)] [D]e même, les dispositions de la directive [95/46] doivent-elles être interprétées en ce sens que, lorsque les liens dont le déréférencement est demandé mènent vers des traitements de données à caractère personnel effectués aux seules fins de journalisme ou d’expression artistique ou littéraire qui, à ce titre, en vertu de l’article 9 de la directive [95/46], peuvent collecter et traiter des données relevant des catégories mentionnées à l’article 8, paragraphes 1 et 5, de cette directive, l’exploitant d’un moteur de recherche peut, pour ce motif, refuser de faire droit à une demande de déréférencement ?
3) En cas de réponse négative à la [première question] :
[a)] [À] quelles exigences spécifiques de la directive [95/46] l’exploitant d’un moteur de recherche, compte tenu de ses responsabilités, de ses compétences et de ses possibilités, doit-il satisfaire ?
[b)] [L]orsqu’il constate que les pages web, vers lesquelles mènent les liens dont le déréférencement est demandé, comportent des données dont la publication, sur lesdites pages, est illicite, les dispositions de la directive [95/46] doivent-elles être interprétées en ce sens :
– qu’elles imposent à l’exploitant d’un moteur de recherche de supprimer ces liens de la liste des résultats affichés à la suite d’une recherche effectuée à partir du nom du demandeur ;
– ou qu’elles impliquent seulement qu’il prenne en compte cette circonstance pour apprécier le bien-fondé de la demande de déréférencement ;
– ou que cette circonstance est sans incidence sur l’appréciation qu’il doit porter ?
En outre, si cette circonstance n’est pas inopérante, comment apprécier la licéité de la publication des données litigieuses sur des pages web qui proviennent de traitements n’entrant pas dans le champ d’application territorial de la directive [95/46] et, par suite, des législations nationales la mettant en œuvre ?
4) Quelle que soit la réponse apportée à la [première question] :
[a)] [I]ndépendamment de la licéité de la publication des données à caractère personnel sur la page web vers laquelle mène le lien litigieux, les dispositions de la directive [95/46] doivent-elles être interprétées en ce sens que :
– lorsque le demandeur établit que ces données sont devenues incomplètes ou inexactes, ou qu’elles ne sont plus à jour, l’exploitant d’un moteur de recherche est tenu de faire droit à la demande de déréférencement correspondante,
– plus spécifiquement, lorsque le demandeur démontre que, compte tenu du déroulement de la procédure judiciaire, les informations relatives à une étape antérieure de la procédure ne correspondent plus à la réalité actuelle de sa situation, l’exploitant d’un moteur de recherche est tenu de déréférencer les liens menant vers des pages web comportant de telles informations ?
[b)] [L]es dispositions de l’article 8, paragraphe 5, de la directive [95/46] doivent-elles être interprétées en ce sens que les informations relatives à la mise en examen d’un individu ou relatant un procès, et la condamnation qui en découle, constituent des données relatives aux infractions et aux condamnations pénales ? De manière générale, lorsqu’une page web comporte des données faisant état des condamnations ou des procédures judiciaires dont une personne physique a été l’objet, entre-t-elle dans le champ de ces dispositions ? »
Sur les questions préjudicielles
32 Les questions posées portent sur l’interprétation de la directive 95/46, qui était applicable à la date de l’introduction de la demande de décision préjudicielle. Cette directive a été abrogée avec effet au 25 mai 2018, date à partir de laquelle est applicable le règlement 2016/679.
33 La Cour examinera les questions posées sous l’angle de la directive 95/46, en tenant, toutefois, également compte du règlement 2016/679 dans son analyse de celles-ci, afin d’assurer que ses réponses seront, en toute hypothèse, utiles pour la juridiction de renvoi.
Sur la première question
34 Par sa première question, la juridiction de renvoi demande, en substance, si les dispositions de l’article 8, paragraphes 1 et 5, de la directive 95/46 doivent être interprétées en ce sens que l’interdiction ou les restrictions relatives au traitement des catégories particulières de données à caractère personnel, visées par ces dispositions, s’appliquent, sous réserve des exceptions prévues par cette directive, également à l’exploitant d’un moteur de recherche dans le cadre de ses responsabilités, de ses compétences et de ses possibilités en tant que responsable du traitement effectué pour les besoins du fonctionnement de ce moteur.
35 À cet égard, il y a lieu de rappeler, d’une part, que l’activité d’un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de « traitement de données à caractère personnel », au sens de l’article 2, sous b), de la directive 95/46, lorsque ces informations contiennent des données à caractère personnel et, d’autre part, que l’exploitant de ce moteur de recherche doit être considéré comme le « responsable » dudit traitement, au sens de l’article 2, sous d), de cette directive (arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 41).
36 En effet, le traitement de données à caractère personnel effectué dans le cadre de l’activité d’un moteur de recherche se distingue de et s’ajoute à celui effectué par les éditeurs de sites web, consistant à faire figurer ces données sur une page web, et cette activité joue un rôle décisif dans la diffusion globale desdites données en ce qu’elle rend celles-ci accessibles à tout internaute effectuant une recherche à partir du nom de la personne concernée, y compris aux internautes qui, autrement, n’auraient pas trouvé la page web sur laquelle ces mêmes données sont publiées. De plus, l’organisation et l’agrégation des informations publiées sur Internet effectuées par les moteurs de recherche dans le but de faciliter à leurs utilisateurs l’accès à celles-ci peuvent conduire, lorsque la recherche de ces derniers est effectuée à partir du nom d’une personne physique, à ce que ceux-ci obtiennent par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur Internet leur permettant d’établir un profil plus ou moins détaillé de la personne concernée (arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, points 35 à 37).
37 Par conséquent, dans la mesure où l’activité d’un moteur de recherche est susceptible d’affecter significativement et de manière additionnelle par rapport à celle des éditeurs de sites web les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, l’exploitant de ce moteur en tant que personne déterminant les finalités et les moyens de cette activité doit assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que celle-ci satisfait aux exigences de la directive 95/46 pour que les garanties prévues par celle-ci puissent développer leur plein effet et qu’une protection efficace et complète des personnes concernées, notamment de leur droit au respect de leur vie privée, puisse effectivement être réalisée (arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 38).
38 La première question préjudicielle vise à déterminer si, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, l’exploitant d’un moteur de recherche doit également satisfaire aux exigences que la directive 95/46 établit par rapport aux catégories particulières de données à caractère personnel, visées à l’article 8, paragraphes 1 et 5, de celle-ci, lorsque de telles données figurent parmi les informations publiées ou placées sur Internet par des tiers et font l’objet d’un traitement par cet exploitant pour les besoins du fonctionnement de son moteur de recherche.
39 S’agissant de ces catégories particulières de données, l’article 8, paragraphe 1, de la directive 95/46 dispose que les États membres interdisent le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que le traitement des données relatives à la santé et à la vie sexuelle. Certaines exceptions et dérogations à cette interdiction sont prévues, notamment, à cet article 8, paragraphe 2.
40 L’article 8, paragraphe 5, de la directive 95/46 énonce que le traitement de données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être effectué que sous le contrôle de l’autorité publique ou si des garanties appropriées et spécifiques sont prévues par le droit national, sous réserve des dérogations qui peuvent être accordées par l’État membre sur la base de dispositions nationales prévoyant des garanties appropriées et spécifiques. Toutefois, un recueil exhaustif des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique. Les États membres peuvent prévoir que les données relatives aux sanctions administratives ou aux jugements civils sont également traitées sous le contrôle de l’autorité publique.
41 Le contenu de l’article 8, paragraphes 1 et 5, de la directive 95/46 a, avec quelques modifications, été repris à l’article 9, paragraphe 1, et à l’article 10 du règlement 2016/679.
42 Il convient de constater, tout d’abord, qu’il ressort du libellé de ces dispositions de la directive 95/46 et du règlement 2016/679 que l’interdiction et les restrictions qu’elles établissent s’appliquent, sous réserve des exceptions prévues par cette directive et ce règlement, à tout type de traitement des catégories particulières de données visées par lesdites dispositions et à l’ensemble des responsables effectuant de tels traitements.
43 Ensuite, aucune autre disposition de ladite directive ou dudit règlement ne prévoit une dérogation générale à cette interdiction ou à ces restrictions en faveur d’un traitement tel que celui effectué dans le cadre de l’activité d’un moteur de recherche. Au contraire, ainsi qu’il ressort du point 37 du présent arrêt, il résulte de l’économie générale de ces textes que l’exploitant d’un tel moteur doit, à l’instar de tout autre responsable du traitement, assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que le traitement des données à caractère personnel qu’il effectue satisfait aux exigences, respectivement, de la directive 95/46 ou du règlement 2016/679.
44 Enfin, une interprétation de l’article 8, paragraphes 1 et 5, de la directive 95/46 ou de l’article 9, paragraphe 1, et de l’article 10 du règlement 2016/679 qui exclurait, a priori et de façon générale, l’activité d’un moteur de recherche des exigences spécifiques que ces dispositions prévoient par rapport aux traitements portant sur les catégories particulières des données qui y sont visées irait à l’encontre de la finalité desdites dispositions, consistant à assurer une protection accrue à l’encontre de tels traitements qui, en raison de la sensibilité particulière de ces données, sont susceptibles de constituer, ainsi qu’il ressort également du considérant 33 de cette directive et du considérant 51 de ce règlement, une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte.
45 Si, contrairement à ce que fait valoir notamment Google, les spécificités du traitement effectué par l’exploitant d’un moteur de recherche dans le cadre de l’activité de celui-ci ne sauraient donc justifier que cet exploitant soit exonéré du respect de l’article 8, paragraphes 1 et 5, de la directive 95/46 ainsi que de l’article 9, paragraphe 1, et de l’article 10 du règlement 2016/679, ces spécificités sont toutefois susceptibles d’influer sur l’étendue de la responsabilité et des obligations concrètes dudit exploitant au regard de ces dispositions.
46 À cet égard, il importe de relever que, comme le souligne la Commission européenne, l’exploitant d’un moteur de recherche est responsable non pas du fait que des données à caractère personnel visées par lesdites dispositions figurent sur une page web publiée par un tiers, mais du référencement de cette page et, tout particulièrement, de l’affichage du lien vers celle-ci dans la liste des résultats présentée aux internautes à la suite d’une recherche effectuée à partir du nom d’une personne physique, un tel affichage du lien en question dans une telle liste étant susceptible d’affecter significativement les droits fondamentaux de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant (voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 80).
47 Dans ces conditions, compte tenu des responsabilités, des compétences et des possibilités de l’exploitant d’un moteur de recherche en tant que responsable du traitement effectué dans le cadre de l’activité de ce moteur, les interdictions et les restrictions prévues à l’article 8, paragraphes 1 et 5, de la directive 95/46 ainsi qu’à l’article 9, paragraphe 1, et à l’article 10 du règlement 2016/679 ne peuvent, ainsi que M. l’avocat général l’a indiqué au point 56 de ses conclusions et comme le relèvent en substance tous les intéressés ayant pris position à ce sujet, s’appliquer à cet exploitant qu’en raison de ce référencement et, donc, par l’intermédiaire d’une vérification à effectuer, sous le contrôle des autorités nationales compétentes, sur la base d’une demande formée par la personne concernée.
48 Il découle de ce qui précède qu’il convient de répondre à la première question que les dispositions de l’article 8, paragraphes 1 et 5, de la directive 95/46 doivent être interprétées en ce sens que l’interdiction ou les restrictions relatives au traitement des catégories particulières de données à caractère personnel, visées par ces dispositions, s’appliquent, sous réserve des exceptions prévues par cette directive, également à l’exploitant d’un moteur de recherche dans le cadre de ses responsabilités, de ses compétences et de ses possibilités en tant que responsable du traitement effectué lors de l’activité de ce moteur, à l’occasion d’une vérification opérée par cet exploitant, sous le contrôle des autorités nationales compétentes, à la suite d’une demande introduite par la personne concernée.
Sur la deuxième question
49 Par sa deuxième question, qui comprend trois parties, la juridiction de renvoi demande, en substance :
– si les dispositions de l’article 8, paragraphes 1 et 5, de la directive 95/46 doivent être interprétées en ce sens que, en vertu de celles-ci, l’exploitant d’un moteur de recherche est obligé, sous réserve des exceptions prévues par cette directive, de faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel qui relèvent des catégories particulières visées par ces dispositions ;
– si l’article 8, paragraphe 2, sous a) et e), de la directive 95/46 doit être interprété en ce sens que, en application de celui-ci, un tel exploitant peut refuser de faire droit à une demande de déréférencement lorsqu’il constate que les liens en cause mènent vers des contenus comportant des données à caractère personnel qui relèvent des catégories particulières visées à cet article 8, paragraphe 1, mais dont le traitement est couvert par l’une des exceptions prévues audit article 8, paragraphe 2, sous a) et e), et
– si les dispositions de la directive 95/46 doivent être interprétées en ce sens que l’exploitant d’un moteur de recherche peut également refuser de faire droit à une demande de déréférencement au motif que les liens dont le déréférencement est demandé mènent vers des pages web sur lesquelles les données à caractère personnel relevant des catégories particulières visées à l’article 8, paragraphe 1 ou 5, de cette directive sont publiées aux seules fins de journalisme ou d’expression artistique ou littéraire, et que cette publication est donc couverte par l’exception prévue à l’article 9 de ladite directive.
50 À titre liminaire, il convient de relever que, dans le cadre de la directive 95/46, des demandes de déréférencement telles que celles en cause au principal trouvent leur fondement notamment dans l’article 12, sous b), de celle-ci, en vertu duquel les États membres garantissent aux personnes concernées le droit d’obtenir du responsable du traitement l’effacement des données dont le traitement n’est pas conforme à cette directive.
51 En outre, selon l’article 14, premier alinéa, sous a), de la directive 95/46, les États membres reconnaissent à la personne concernée le droit, au moins dans les cas visés à l’article 7, sous e) et f), de cette directive, de s’opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de disposition contraire du droit national.
52 À cet égard, il importe de rappeler que la Cour a jugé que l’article 12, sous b), et l’article 14, premier alinéa, sous a), de la directive 95/46 doivent être interprétés en ce sens que, afin de respecter les droits prévus à ces dispositions et pour autant que les conditions prévues par celles-ci sont effectivement satisfaites, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite (arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 88).
53 La Cour a, en outre, précisé que, dans le cadre de l’appréciation des conditions d’application de ces mêmes dispositions, il convient notamment d’examiner si la personne concernée a un droit à ce que l’information en question relative à sa personne ne soit plus, au stade actuel, liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom, sans pour autant que la constatation d’un tel droit présuppose que l’inclusion de l’information en question dans cette liste cause un préjudice à cette personne. Cette dernière pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la Charte, demander que l’information en question ne soit plus mise à la disposition du grand public du fait de son inclusion dans une telle liste de résultats, ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à accéder à ladite information lors d’une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l’information en question (arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 99).
54 Dans le cadre du règlement 2016/679, le législateur de l’Union européenne a prévu, à l’article 17 de ce règlement, une disposition qui régit spécifiquement le « droit à l’effacement », également dénommé, dans l’intitulé de cet article, « droit à l’oubli ».
55 En application de cet article 17, paragraphe 1, la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données dans les meilleurs délais, lorsque l’un des motifs énumérés par cette disposition s’applique. Au titre de ces motifs, ladite disposition mentionne le fait que les données ne sont plus nécessaires au regard des finalités du traitement, que la personne concernée retire le consentement sur lequel est fondé le traitement et qu’il n’existe pas d’autre fondement juridique pour celui-ci, que la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1 ou 2, du règlement 2016/679, qui remplace l’article 14 de la directive 95/46, que les données ont fait l’objet d’un traitement illicite, qu’elles doivent être effacées pour respecter une obligation légale ou qu’elles ont été collectées dans le cadre de l’offre de services de la société de l’information aux enfants.
56 Cependant, l’article 17, paragraphe 3, du règlement 2016/679 précise que l’article 17, paragraphe 1, de ce règlement ne s’applique pas dans la mesure où le traitement en cause est nécessaire pour l’un des motifs énumérés à cette première disposition. Parmi ces motifs, figure, à l’article 17, paragraphe 3, sous a), dudit règlement, l’exercice du droit relatif, notamment, à la liberté d’information.
57 La circonstance que l’article 17, paragraphe 3, sous a), du règlement 2016/679 prévoit désormais expressément que le droit à l’effacement de la personne concernée est exclu lorsque le traitement est nécessaire à l’exercice du droit relatif, notamment, à la liberté d’information, garantie par l’article 11 de la Charte, constitue une expression du fait que le droit à la protection des données à caractère personnel n’est pas un droit absolu, mais doit, ainsi que le souligne le considérant 4 de ce règlement, être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité [voir, également, arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert, C‑92/09 et C‑93/09, EU:C:2010:662, point 48, ainsi que avis 1/15 (Accord PNR UE-Canada), du 26 juillet 2017, EU:C:2017:592, point 136].
58 Dans ce contexte, il convient de rappeler que l’article 52, paragraphe 1, de la Charte admet que des limitations peuvent être apportées à l’exercice de droits tels que ceux consacrés par les articles 7 et 8 de celle-ci, pour autant que ces limitations sont prévues par la loi, qu’elles respectent le contenu essentiel desdits droits et libertés et que, dans le respect du principe de proportionnalité, elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui (arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert, C‑92/09 et C‑93/09, EU:C:2010:662, point 50).
59 Le règlement 2016/679, et notamment son article 17, paragraphe 3, sous a), consacre ainsi explicitement l’exigence d’une mise en balance entre, d’une part, les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, consacrés par les articles 7 et 8 de la Charte, et, d’autre part, le droit fondamental à la liberté d’information, garanti par l’article 11 de la Charte.
60 C’est compte tenu de ces considérations qu’il convient d’examiner dans quelles conditions l’exploitant d’un moteur de recherche est obligé de faire droit à une demande de déréférencement et donc d’effacer de la liste des résultats, affichée à la suite d’une recherche effectuée à partir du nom de la personne concernée, le lien vers une page web, sur laquelle figurent des données à caractère personnel, qui relèvent des catégories particulières visées à l’article 8, paragraphes 1 et 5, de la directive 95/46.
61 À cet égard, il y a lieu de constater, tout d’abord, que le traitement par l’exploitant d’un moteur de recherche des catégories particulières de données visées à l’article 8, paragraphe 1, de la directive 95/46 est, en principe, susceptible de relever des exceptions prévues à cet article 8, paragraphe 2, sous a) et e), auquel se réfère la juridiction de renvoi et qui prévoit que l’interdiction de traitement de ces catégories particulières de données ne s’applique pas lorsque la personne concernée a donné son consentement explicite à un tel traitement, sauf dans le cas où la législation de l’État membre concerné interdit un tel consentement, ou lorsque le traitement porte notamment sur des données manifestement rendues publiques par cette personne. Ces exceptions sont désormais reprises à l’article 9, paragraphe 2, sous a) et e), du règlement 2016/679. En outre, cet article 9, paragraphe 2, sous g), qui reprend en substance l’article 8, paragraphe 4, de la directive 95/46, permet le traitement desdites catégories de données lorsqu’il est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.
62 S’agissant de l’exception visée à l’article 8, paragraphe 2, sous a), de la directive 95/46 et à l’article 9, paragraphe 2, sous a), du règlement 2016/679, il résulte de la définition de la notion de « consentement » fournie à l’article 2, sous h), de cette directive et à l’article 4, point 11, de ce règlement que ce consentement doit être « spécifique » et, donc, porter spécifiquement sur le traitement effectué dans le cadre de l’activité du moteur de recherche et ainsi sur le fait que ce traitement permet à des tiers d’obtenir, au moyen d’une recherche à partir du nom de cette personne, une liste de résultats incluant des liens menant vers des pages web qui contiennent des données sensibles la concernant. Or, il est, en pratique, difficilement envisageable, et il ne ressort, du reste, pas du dossier soumis à la Cour, que l’exploitant d’un moteur de recherche sollicite le consentement explicite des personnes concernées avant de procéder, pour les besoins de son activité de référencement, au traitement des données à caractère personnel les concernant. En tout état de cause, comme l’ont observé notamment les gouvernements français et polonais ainsi que la Commission, le fait même qu’une personne formule une demande de déréférencement signifie, en principe, que, à tout le moins à la date de cette demande, elle ne consent plus au traitement effectué par l’exploitant du moteur de recherche. Dans ce contexte, il convient également de rappeler que l’article 17, paragraphe 1, sous b), dudit règlement vise, parmi les motifs justifiant le « droit à l’oubli », la circonstance que la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 9, paragraphe 2, sous a), du même règlement, et qu’il n’existe pas d’autre fondement juridique au traitement.
63 En revanche, la circonstance, visée à l’article 8 paragraphe 2, sous e), de la directive 95/46 et à l’article 9, paragraphe 2, sous e), du règlement 2016/679, que les données en cause ont manifestement été rendues publiques par la personne concernée a, ainsi que l’ont en substance relevé tous les intéressés qui se sont exprimés à ce sujet, vocation à s’appliquer tout autant à l’exploitant du moteur de recherche qu’à l’éditeur de la page web en question.
64 Partant, dans une telle hypothèse, malgré la présence, sur la page web référencée, de données à caractère personnel relevant des catégories particulières visées à l’article 8, paragraphe 1, de la directive 95/46 et à l’article 9, paragraphe 1, du règlement 2016/679, le traitement de ces données par l’exploitant du moteur de recherche dans le cadre de l’activité de celui-ci est, sous réserve qu’il satisfasse également aux autres conditions de licéité posées, notamment, à l’article 6 de cette directive ou à l’article 5 de ce règlement (voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 72), conforme à ces textes.
65 Cependant, même dans cette hypothèse, la personne concernée est, en application de l’article 14, premier alinéa, sous a), de la directive 95/46 ou de l’article 17, paragraphe 1, sous c), et de l’article 21, paragraphe 1, du règlement 2016/679, susceptible d’avoir droit au déréférencement du lien en cause pour des raisons tenant à sa situation particulière.
66 En tout état de cause, l’exploitant d’un moteur de recherche, lorsqu’il est saisi d’une demande de déréférencement, doit vérifier, au titre des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de la directive 95/46 ou à l’article 9, paragraphe 2, sous g), du règlement 2016/679 et dans le respect des conditions prévues à ces dispositions, si l’inclusion du lien vers la page web en question dans la liste affichée à la suite d’une recherche effectuée à partir du nom de la personne concernée est nécessaire à l’exercice du droit à la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche, protégée par l’article 11 de la Charte. Si les droits de la personne concernée protégés par les articles 7 et 8 de la Charte prévalent, en règle générale, sur la liberté d’information des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique (voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 81).
67 S’ajoute le fait que, dans l’hypothèse où le traitement porte sur les catégories particulières de données visées à l’article 8, paragraphes 1 et 5, de la directive 95/46 ou à l’article 9, paragraphe 1, et à l’article 10 du règlement 2016/679, l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel de la personne concernée est, ainsi qu’il a été relevé au point 44 du présent arrêt, susceptible d’être particulièrement grave en raison de la sensibilité de ces données.
68 Partant, lorsque l’exploitant d’un moteur de recherche est saisi d’une demande de déréférencement portant sur un lien vers une page web sur laquelle de telles données sensibles sont publiées, cet exploitant doit, sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte, vérifier, au titre des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de la directive 95/46 ou à l’article 9, paragraphe 2, sous g), du règlement 2016/679 et dans le respect des conditions prévues à ces dispositions, si l’inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche, consacrée à l’article 11 de la Charte.
69 Il résulte de l’ensemble des considérations qui précèdent qu’il convient de répondre à la deuxième question comme suit :
– Les dispositions de l’article 8, paragraphes 1 et 5, de la directive 95/46 doivent être interprétées en ce sens que, en vertu de celles-ci, l’exploitant d’un moteur de recherche est en principe obligé, sous réserve des exceptions prévues par cette directive, de faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel qui relèvent des catégories particulières visées par ces dispositions.
– L’article 8, paragraphe 2, sous e), de la directive 95/46 doit être interprété en ce sens que, en application de celui-ci, un tel exploitant peut refuser de faire droit à une demande de déréférencement lorsqu’il constate que les liens en cause mènent vers des contenus comportant des données à caractère personnel qui relèvent des catégories particulières visées à cet article 8, paragraphe 1, mais dont le traitement est couvert par l’exception prévue audit article 8, paragraphe 2, sous e), à condition que ce traitement réponde à l’ensemble des autres conditions de licéité posées par cette directive et à moins que la personne concernée n’ait, en vertu de l’article 14, premier alinéa, sous a), de ladite directive, le droit de s’opposer audit traitement pour des raisons prépondérantes et légitimes tenant à sa situation particulière.
– Les dispositions de la directive 95/46 doivent être interprétées en ce sens que, lorsque l’exploitant d’un moteur de recherche est saisi d’une demande de déréférencement portant sur un lien vers une page web sur laquelle des données à caractère personnel relevant des catégories particulières visées à l’article 8, paragraphe 1 ou 5, de cette directive sont publiées, cet exploitant doit, sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte, vérifier, au titre des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de ladite directive et dans le respect des conditions prévues à cette dernière disposition, si l’inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche, consacrée à l’article 11 de la Charte.
Sur la troisième question
70 Cette question étant posée uniquement dans l’hypothèse d’une réponse négative à la première question, il n’y a, compte tenu de la réponse affirmative apportée à cette dernière, pas lieu d’y répondre.
Sur la quatrième question
71 Par sa quatrième question, la juridiction de renvoi demande, en substance, si les dispositions de la directive 95/46 doivent être interprétées en ce sens que,
– d’une part, les informations relatives à une procédure judiciaire dont une personne physique a été l’objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé, constituent des données relatives aux « infractions » et aux « condamnations pénales », au sens de l’article 8, paragraphe 5, de la directive 95/46, et
– d’autre part, l’exploitant d’un moteur de recherche est tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle.
72 À cet égard, il convient de constater que, ainsi que M. l’avocat général l’a relevé au point 100 de ses conclusions et comme l’ont fait valoir notamment le gouvernement français, l’Irlande, les gouvernements italien et polonais ainsi que la Commission, les informations concernant une procédure judiciaire menée contre une personne physique, telles que celles relatant sa mise en examen ou le procès, et, le cas échéant, la condamnation qui en a résulté, constituent des données relatives aux « infractions » et aux « condamnations pénales », au sens de l’article 8, paragraphe 5, premier alinéa, de la directive 95/46 et de l’article 10 du règlement 2016/679, et ce indépendamment du fait que, au cours de cette procédure judiciaire, la commission de l’infraction pour laquelle la personne était poursuivie a effectivement été établie ou non.
73 Partant, en incluant dans la liste de résultats affichée à la suite d’une recherche effectuée à partir du nom de la personne concernée des liens vers des pages web sur lesquelles sont publiées de telles données, l’exploitant d’un moteur de recherche effectue un traitement de celles-ci qui, en application de l’article 8, paragraphe 5, premier alinéa, de la directive 95/46 et de l’article 10 du règlement 2016/679, est soumis à des restrictions particulières. Ainsi que l’a observé la Commission, un tel traitement peut, en vertu de ces dispositions et sous réserve du respect des autres conditions de licéité posées par cette directive et ce règlement, être licite notamment si des garanties appropriées et spécifiques sont prévues par le droit national, ce qui peut être le cas lorsque les informations en question ont été divulguées au public par les autorités publiques dans le respect du droit national applicable.
74 S’agissant de ces autres conditions de licéité, il importe de rappeler qu’il découle des exigences prévues à l’article 6, paragraphe 1, sous c) à e), de la directive 95/46, qui sont désormais reprises à l’article 5, paragraphe 1, sous c) à e), du règlement 2016/679, que même un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible avec cette directive ou ce règlement lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées. Tel est notamment le cas lorsqu’elles apparaissent inadéquates, qu’elles ne sont pas ou plus pertinentes ou sont excessives au regard de ces finalités et du temps qui s’est écoulé (arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 93).
75 Cependant, ainsi qu’il a été constaté au point 66 du présent arrêt, même dans l’hypothèse où le traitement de données visées à l’article 8, paragraphe 5, de la directive 95/46 et à l’article 10 du règlement 2016/679 ne répond pas aux restrictions prévues par ces dispositions ou aux autres conditions de licéité, telles que celles posées à l’article 6, paragraphe 1, sous c) à e), de cette directive et à l’article 5, paragraphe 1, sous c) à e), de ce règlement, l’exploitant d’un moteur de recherche doit encore vérifier, au titre des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de ladite directive ou à l’article 9, paragraphe 2, sous g), dudit règlement et dans le respect des conditions prévues à ces dispositions, si l’inclusion du lien vers la page web en question dans la liste affichée à la suite d’une recherche effectuée à partir du nom de la personne concernée est nécessaire à l’exercice du droit à la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche, protégée par l’article 11 de la Charte.
76 À cet égard, il convient de relever qu’il ressort de la jurisprudence de la Cour européenne des droits de l’homme que des demandes adressées par les personnes concernées en vue de l’interdiction, en vertu de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950, d’une mise à disposition sur Internet, par les différents médias, d’anciens reportages concernant un procès pénal qui avait été dirigé contre ces personnes, appellent un examen du juste équilibre à ménager entre le droit au respect de la vie privée desdites personnes et, notamment, la liberté d’information du public. Dans la recherche de ce juste équilibre, il doit être tenu compte du rôle essentiel que la presse joue dans une société démocratique et qui inclut la rédaction de comptes rendus et de commentaires sur les procédures judiciaires. En outre, à la fonction des médias consistant à communiquer de telles informations et idées s’ajoute le droit, pour le public, d’en recevoir. La Cour européenne des droits de l’homme a reconnu, dans ce contexte, que le public avait un intérêt non seulement à être informé sur un événement d’actualité, mais aussi à pouvoir faire des recherches sur des événements passés, l’étendue de l’intérêt du public quant aux procédures pénales étant toutefois variable et pouvant évoluer au cours du temps en fonction, notamment, des circonstances de l’affaire (Cour EDH, 28 juin 2018, M. L. et W. W. c. Allemagne, CE:ECHR:2018:0628JUD006079810, § 89 et 100 à 102).
77 Il appartient ainsi à l’exploitant d’un moteur de recherche d’apprécier, dans le cadre d’une demande de déréférencement portant sur des liens vers des pages web sur lesquelles sont publiées des informations relatives à une procédure judiciaire en matière pénale menée contre la personne concernée, qui se rapportent à une étape antérieure de cette procédure et ne correspondent plus à la situation actuelle, si, eu égard à l’ensemble des circonstances de l’espèce, telles que notamment la nature et la gravité de l’infraction en question, le déroulement et l’issue de ladite procédure, le temps écoulé, le rôle joué par cette personne dans la vie publique et son comportement dans le passé, l’intérêt du public au moment de la demande, le contenu et la forme de la publication ainsi que les répercussions de celle-ci pour ladite personne, cette dernière a droit à ce que les informations en question ne soient plus, au stade actuel, liées à son nom par une liste de résultats, affichée à la suite d’une recherche effectuée à partir de ce nom.
78 Il importe toutefois d’ajouter que, quand bien même l’exploitant d’un moteur de recherche devrait constater que tel n’est pas le cas en raison du fait que l’inclusion du lien en cause s’avère strictement nécessaire pour concilier les droits au respect de la vie privée et à la protection des données de la personne concernée avec la liberté d’information des internautes potentiellement intéressés, cet exploitant est, en tout état de cause, tenu, au plus tard à l’occasion de la demande de déréférencement, d’aménager la liste de résultats de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle, ce qui nécessite notamment que des liens vers des pages web comportant des informations à ce sujet apparaissent en premier lieu sur cette liste.
79 Eu égard aux considérations qui précèdent, il y a lieu de répondre à la quatrième question que les dispositions de la directive 95/46 doivent être interprétées en ce sens que,
– d’une part, les informations relatives à une procédure judiciaire dont une personne physique a été l’objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé constituent des données relatives aux « infractions » et aux « condamnations pénales », au sens de l’article 8, paragraphe 5, de cette directive, et
– d’autre part, l’exploitant d’un moteur de recherche est tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle, dans la mesure où il est constaté, dans le cadre de la vérification des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de ladite directive, que, eu égard à l’ensemble des circonstances de l’espèce, les droits fondamentaux de la personne concernée, garantis par les articles 7 et 8 de la Charte, prévalent sur ceux des internautes potentiellement intéressés, protégés par l’article 11 de la Charte.
Sur les dépens
80 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (grande chambre) dit pour droit :
1) Les dispositions de l’article 8, paragraphes 1 et 5, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doivent être interprétées en ce sens que l’interdiction ou les restrictions relatives au traitement des catégories particulières de données à caractère personnel, visées par ces dispositions, s’appliquent, sous réserve des exceptions prévues par cette directive, également à l’exploitant d’un moteur de recherche dans le cadre de ses responsabilités, de ses compétences et de ses possibilités en tant que responsable du traitement effectué lors de l’activité de ce moteur, à l’occasion d’une vérification opérée par cet exploitant, sous le contrôle des autorités nationales compétentes, à la suite d’une demande introduite par la personne concernée.
2) Les dispositions de l’article 8, paragraphes 1 et 5, de la directive 95/46 doivent être interprétées en ce sens que, en vertu de celles-ci, l’exploitant d’un moteur de recherche est en principe obligé, sous réserve des exceptions prévues par cette directive, de faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel qui relèvent des catégories particulières visées par ces dispositions.
L’article 8, paragraphe 2, sous e), de la directive 95/46 doit être interprété en ce sens que, en application de celui-ci, un tel exploitant peut refuser de faire droit à une demande de déréférencement lorsqu’il constate que les liens en cause mènent vers des contenus comportant des données à caractère personnel qui relèvent des catégories particulières visées à cet article 8, paragraphe 1, mais dont le traitement est couvert par l’exception prévue audit article 8, paragraphe 2, sous e), à condition que ce traitement réponde à l’ensemble des autres conditions de licéité posées par cette directive et à moins que la personne concernée n’ait, en vertu de l’article 14, premier alinéa, sous a), de ladite directive, le droit de s’opposer audit traitement pour des raisons prépondérantes et légitimes tenant à sa situation particulière.
Les dispositions de la directive 95/46 doivent être interprétées en ce sens que, lorsque l’exploitant d’un moteur de recherche est saisi d’une demande de déréférencement portant sur un lien vers une page web sur laquelle des données à caractère personnel relevant des catégories particulières visées à l’article 8, paragraphe 1 ou 5, de cette directive sont publiées, cet exploitant doit, sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne, vérifier, au titre des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de ladite directive et dans le respect des conditions prévues à cette dernière disposition, si l’inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche, consacrée à l’article 11 de cette charte.
3) Les dispositions de la directive 95/46 doivent être interprétées en ce sens que,
– d’une part, les informations relatives à une procédure judiciaire dont une personne physique a été l’objet ainsi que, le cas échéant, celles relatives à la condamnation qui en a découlé constituent des données relatives aux « infractions » et aux « condamnations pénales », au sens de l’article 8, paragraphe 5, de cette directive, et
– d’autre part, l’exploitant d’un moteur de recherche est tenu de faire droit à une demande de déréférencement portant sur des liens vers des pages web, sur lesquelles figurent de telles informations, lorsque ces informations se rapportent à une étape antérieure de la procédure judiciaire en cause et ne correspondent plus, compte tenu du déroulement de celle-ci, à la situation actuelle, dans la mesure où il est constaté, dans le cadre de la vérification des motifs d’intérêt public important visés à l’article 8, paragraphe 4, de ladite directive, que, eu égard à l’ensemble des circonstances de l’espèce, les droits fondamentaux de la personne concernée, garantis par les articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne, prévalent sur ceux des internautes potentiellement intéressés, protégés par l’article 11 de cette charte.
Lenaerts | Arabadjiev | Prechal |
Rodin
Ainsi prononcé en audience publique à Luxembourg, le 24 septembre 2019.
A. Calot Escobar | | K. Lenaerts |