L’Autorité de Protection des données (ci-après “APD”) a imposé une amende de 600.000 euros à Google Belgium pour non-respect du droit à l’oubli d’un citoyen, après que Google ait refusé sa demande de déréférencer des articles obsolètes attentatoires à sa réputation. Il s’agit de la plus haute amende imposée par l’APD à ce jour.
Demande de déréférencement de pages internet auprès de Google Belgium
Le plaignant, qui de par sa fonction joue un rôle dans la vie publique en Belgique, a fait auprès de Google Belgium la demande de supprimer des résultats de recherche liés à son nom sur le moteur de recherche (ce qu’on appelle du « déréférencement »).
Une partie des pages qu’il souhaitait ainsi voir déréférencées concerne un éventuel étiquetage politique, que celui-ci réfute ; une seconde partie est relative à une plainte pour harcèlement à son encontre, déclarée non fondée il y a de nombreuses années. Google a pris la décision de ne déréférencer aucune des pages en question.
Droit à l’oubli
Quant aux pages concernant un étiquetage politique, la Chambre Contentieuse de l’APD a estimé que, vu le rôle du plaignant dans la vie publique, le maintien de leur référencement était nécessaire à l’intérêt public et a ainsi donné raison à Google.
Quant aux pages concernant une plainte à l’encontre du plaignant, l’APD estime que la demande de déréférencement est fondée et que Google a fait part d’un manquement grave en la refusant.
Vu que les faits n’ont pas été établis, sont anciens, et susceptibles d’avoir de sérieuses répercussions pour le plaignant, les droits et intérêts de la personne concernée doivent prévaloir, Google devait, selon la Chambre Contentieuse acceder à la requete du plaignant, vu que l’entreprise possédait des preuves du caractère non pertinent et dépassé des faits.
Selon Président de la Chambre Contentieuse : « Dans le droit à l’oubli, il faut trouver un juste équilibre entre d’une part, le droit du public à accéder à l’information, et, d’autre part, les droits et intérêts de la personne concernée.
Si certains des articles cités par le plaignant peuvent être considérés nécessaires au droit à l’information, les autres, qui relatent des faits de harcèlement non démontrés et vieux d’environ 10 ans, doivent pouvoir tomber dans l’oubli.
En maintenant accessibles via son moteur de recherche largement utilisé par les internautes des liens qui peuvent causer d’importants dommages à la réputation du plaignant, Google a fait preuve d’une claire négligence. »
La sanction : 600.000 euros d’amende
L’APD a ainsi infligé à Google une amende de 600.000 euros pour ne pas avoir déréférencé les pages faisant rapport de la plainte obsolète à l’encontre du plaignant, pour le manque d’information fournie au plaignant pour justifier le refus de déréférencement, ainsi que le manque de transparence dans le formulaire de déréférencement proposé par Google.
Elle ordonne également à Google de cesser les référencements des pages concernées dans l’Espace Economique Européen, et d’adapter ses formulaires de demande de déréférencement afin d’apporter plus de clarté par rapport à quelle(s) entité(s) sont responsables de ce traitement de données.
Cette amende infligée à Google est la plus élevée jamais décidée par l’APD.
Le Président de la Chambre Contentieuse ajoute : « Cette décision est historique pour la protection des données personnelles en Belgique, non seulement de par le montant de la sanction, mais aussi parce qu’elle assure que la protection complète et efficace du citoyen soit maintenue dans des dossiers liés à des grands groupes internationaux comme Google, dont la structure est très complexe. »
La compétence de l’APD vis-à-vis de Google Belgium
Dans cette affaire, Google a plaidé que la plainte ne peut être fondée parce qu’elle est introduite à l’encontre de Google Belgium, alors que le responsable du traitement n’est pas la filiale belge de Google, mais la société Google LLC, établie en Californie.
La Chambre Contentieuse n’a pas accepté cet argument. Selon elle, les activités de Google Belgium et de Google LLC sont indissociablement liées, et, par conséquent, la filiale belge peut être tenue responsable.
Ceci est crucial pour assurer une protection effective et complète du RGPD, car il n’est pas évident pour une autorité nationale en Europe d’exercer un contrôle efficace et d’imposer des sanctions vis-à-vis d’une société située aux États-Unis.
La Chambre Contentieuse a par contre suivi l’argument de Google selon lequel son établissement principal en Europe (Google Ireland) n’est pas responsable pour les déréférencements.
Selon le Président de l’APD : « Cette décision n’est pas seulement importante pour nos citoyens belges, elle est aussi la preuve de notre ambition de mieux protéger la vie privée ‘en ligne’ en collaboration avec nos homologues européens, ce qui demande des actions concrètes contre des acteurs actifs au niveau mondial. De cette manière, nous souhaitons contribuer activement au développement d’une réelle culture de protection des données au niveau européen. »
Droit à l’effacement vs Droit à l’oubli.
En vertu de l’article 17 du RGPD, l’entité qui traitent vos données personnelles (appelée « responsable de traitement ») devra les effacer dans les meilleurs délais si l’un des motifs suivants s’applique :
- vos données ne sont plus nécessaires au regard des finalités
- vous retirez votre consentement sur lequel est fondé le traitement et il n’existe pas d’autre fondement juridique au traitement
- vous vous opposez au traitement de vos données et il n’existe pas de motif légitime impérieux pour le traitement
- vos données personnelles ont fait l’objet d’un traitement illicite;
- vos données personnelles doivent être effacées pour respecter une obligation légale
- vos données personnelles ont été collectées dans le cadre de l’offre de services de la société de l’information quand vous étiez enfant
Que se passe-t-il si vos données ont été transmises à d’autres entités ?
C’est ici qu’intervient l’expression « droit à l’oubli » qui est plutôt à interpréter comme un droit de suite à une demande au droit à l’effacement. (Compte tenu des évolutions technologiques, il est fort probable qu’il n’existe pas de véritable droit à oubli.)
Lorsqu’elle a rendu publiques vos données personnelles et qu’elle est tenue de les effacer parce qu’elle se trouve dans l’une des hypothèses citées ci-dessus, l’entité qui traite vos données (appelée « responsable de traitement ») devra prendre toutes les mesures raisonnables pour informer les autres entités qui traitent vos données que vous avez demandé l’effacement de tout lien vers ces données personnelles, ou de toute copie ou reproduction de celles-ci.
Il ne s’agit donc pas d’une obligation de résultat mais plutôt de moyen.
Même si vous le demandez, l’effacement de vos données ne sera néanmoins pas effectué par le responsbale du traitement dans 5 situations bien précises mais qui devront etre justifiées.
Le traitement est nécessaire à :
- à l’exercice du droit à la liberté d’ex
pression et d’information; - pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement;
- pour des motifs d’intérêt public dans le domaine de la santé publique, conformément à l’article 9, paragraphe 2, points h) et i), ainsi qu’à l’article 9, paragraphe 3;
- à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, dans la mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement; ou
- à la constatation, à l’exercice ou à la défense de droits en justice.
Vous avez questions relatives à ce sujet, n’hésitez pas à me contacter.
Source de l’article : https://www.autoriteprotectiondonnees.be/news/600000-euros-d-amende-l-apd-sanctionne-google-belgium-pour-non-respect-du-droit-a-l-oubli