Pour mémoire, les données à caractère personnel sont définies comme « toute information relative à une personne physique identifiée, directement ou indirectement, par référence (…) à un ou plusieurs éléments qui lui sont propres. »
Il s’agit par exemple du prénom et du nom patronymique d’une personne, de son numéro de téléphone, de son adresse email ou encore de son adresse postale.
Le 13 mai 2014, la Cour de justice de l’Union européenne a jugé que les filiales locales de Google sont responsables juridiquement de la suppression, de l’effacement et du déréférencement dans ses résultats de recherche des données des personnes et même si celles-ci sont licites et apparaissent sur des pages web publiées par des tiers (CJUE, 13 mai 2014, Google Spain SL, Google Inc. / Agencia Española de Protección de Datos, Mario Costeja González, C-131/12)
La responsabilité des filiales de Google au plan national n’est pas évidente pour la suppression de ces données.
Cependant, dans son arrêt du 13 mai 2014, la Cour de justice de l’Union européenne permet de mettre en cause les sociétés filiales de Google selon le lieu de domicile de la personne concernée.
En effet, si l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre, le responsable du traitement des données à caractère personnel sur le territoire d’un État membre est cet établissement.
S’agissant de Google Inc et de Google France, Google Search est exploité et géré par Google Inc.
Cependant, l’activité de promotion et de vente des espaces publicitaires, dont s’occupe Google France pour la France, constitue la partie essentielle de l’activité commerciale du groupe Google et pourrait être considérée comme étant étroitement liée à Google Search.
Compte tenu du lien indissociable entre l’activité du moteur de recherche exploité par Google Inc. et celle de Google France, cette dernière doit être considérée comme un établissement de la première, dans le cadre des activités duquel le traitement de données à caractère personnel est effectué.
Or, «l’établissement sur le territoire d’un État membre suppose l’exercice effectif et réel d’une activité au moyen d’une installation stable» et «que la forme juridique retenue pour un tel établissement, qu’il s’agisse d’une simple succursale ou d’une filiale ayant la personnalité juridique, n’est pas déterminante».
Ainsi, Google France se livre à l’exercice effectif et réel d’une activité au moyen d’une installation stable en France.
Étant en outre dotée d’une personnalité juridique propre, elle constitue ainsi une filiale de Google Inc. sur le territoire français et, partant, un «établissement» au sens de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et de la jurisprudence de la Cour de Justice de l’Union Européenne.
Par conséquent, la Cour a jugé, s’agisssant de Google Espagne, le 13 mai 2014, que :
« le traitement de données à caractère personnel qui est fait pour les besoins du service d’un moteur de recherche tel que Google Search, lequel est exploité par une entreprise ayant son siège dans un État tiers mais disposant d’un établissement dans un État membre, est effectué «dans le cadre des activités» de cet établissement si celui-ci est destiné à assurer, dans cet État membre, la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche, qui servent à rentabiliser le service offert par ce moteur.
En effet, dans de telles circonstances, les activités de l’exploitant du moteur de recherche et celles de son établissement situé dans l’État membre concerné sont indissociablement liées dès lors que les activités relatives aux espaces publicitaires constituent le moyen pour rendre le moteur de recherche en cause économiquement rentable et que ce moteur est, en même temps, le moyen permettant l’accomplissement de ces activités.
À cet égard, il convient de rappeler que, ainsi qu’il a été précisé aux points 26 à 28 du présent arrêt, l’affichage même de données à caractère personnel sur une page de résultats d’une recherche constitue un traitement de telles données. Or, ledit affichage de résultats étant accompagné, sur la même page, de celui de publicités liées aux termes de recherche, force est de constater que le traitement de données à caractère personnel en question est effectué dans le cadre de l’activité publicitaire et commerciale de l’établissement du responsable du traitement sur le territoire d’un État membre, en l’occurrence le territoire espagnol.
Dans ces conditions, il ne saurait être accepté que le traitement de données à caractère personnel effectué pour les besoins du fonctionnement dudit moteur de recherche soit soustrait aux obligations et aux garanties prévues par la directive 95/46, ce qui porterait atteinte à l’effet utile de celle-ci et à la protection efficace et complète des libertés et des droits fondamentaux des personnes physiques qu’elle vise à assurer, notamment celui au respect de leur vie privée … ».
Il en découle, que le traitement de données à caractère personnel étant effectué dans le cadre des activités d’un établissement, les habitants de cet État membre peuvent agir contre la société représentante localement du moteur de recherche.
Les français peuvent donc solliciter de Google France qu’il supprime toutes les données personnelles indexées dans son moteur de recherche et à défaut engager sa responsabilité pour en obtenir indemnisation.
Je suis à votre disposition pour toute action ou information (en cliquant ici).
PS : Pour une recherche facile et rapide des articles rédigés sur ces thèmes, vous pouvez taper vos "mots clés" dans la barre de recherche du blog en haut à droite, au dessus de la photographie.
Anthony Bem
Avocat à la Cour
27 bd Malesherbes - 75008 Paris
01 40 26 25 01
abem@cabinetbem.com
