L'abondance de récents contentieux et l'adoption prochaine de lignes directrices par le Comité européen de la protection des données (CEPD) montrent que le droit au déréférencement est en pleine construction et les juridictions, tant européennes que nationales, lui dessinent un cadre juridique au fil de leurs décisions.
Ainsi, dans un arrêt du 24 septembre 2019, la Cour de justice de l'Union mettait fin aux interrogations des juridictions françaises en prenant position sur la portée, tant géographique que matérielle, du droit à l'oubli numérique. Elle répondait en cela à plusieurs questions préjudicielles de la Cour de cassation et du Conseil d'État. Ce dernier, par décision du 19 juillet 2017, avait sursis à statuer et interrogé la Cour sur l'étendue géographique du droit au déréférencement, après que la CNIL avait infligé, par délibération du 10 mars 2016, une amende de 100 000 € à Google pour avoir refusé d’appliquer le déréférencement à l'ensemble des noms de domaine de son moteur de recherche. Étaient ainsi supprimés les liens litigieux des seuls résultats affichés en réponse à des recherches effectuées depuis des noms de domaine correspondants aux déclinaisons de son moteur dans les États membres de l’UE.
Remarque : la formation restreinte de la CNIL avait par ailleurs estimé insuffisante la proposition de géo-blocage de Google de supprimer la possibilité d’accéder, depuis une adresse IP réputée localisée dans l’Etat de résidence du bénéficiaire du droit au déréférencement, aux résultats litigieux à la suite d’une recherche effectuée à partir de son nom, indépendamment de la déclinaison du moteur de recherche qu’a sollicitée l’internaute.
La CJUE a estimé que si le droit de l’Union n’impose pas que le déréférencement porte sur l’ensemble des versions du moteur de recherche, il ne l’interdit pas non plus. Il revient alors aux autorités de contrôles ou aux juridictions d’un État membre d’effectuer, « à l’aune des standards nationaux de protection des droits fondamentaux, une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection de ses données personnelles et, d’autre part, le droit à la liberté d’information, pour enjoindre, le cas échéant, à l’exploitant du moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur ».
Si, en l’espèce, Google considérait que la CNIL ne pouvait lui ordonner un déréférencement mondial, la CNIL, quant à elle, s’est fondée sur la possibilité offerte par la CJUE d’enjoindre un déréférencement sur toutes les versions du moteur de recherche, qu’elle pensait systématique, pour constater l’existence de manquements persistants de la part de Google.
Dans sa décision du 7 mars 2020, le Conseil d’État vient préciser encore un peu plus la portée territoriale du droit au déréférencement, à la lumière de l’arrêt CJUE du 24 septembre 2019.
Il estime, en premier lieu, qu’en sanctionnant Google au motif que seule une mesure s’appliquant à l’intégralité du traitement liée au moteur de recherche, sans considération des extensions interrogées et de l’origine géographique de l’internaute effectuant une recherche, est à même de répondre à l’exigence de protection telle qu’elle a été consacrée par la CJUE, la formation restreinte de la CNIL a entaché sa délibération d’erreur de droit.
Ensuite, il retient que si la CNIL soutient que la Cour a reconnu aux autorités de contrôle la faculté d’ordonner un déréférencement de toutes les versions d’un moteur de recherche, aucun fondement légal ne permet de considérer qu’un tel déréférencement pourrait excéder le champ couvert par le droit de l’Union pour s’appliquer à des pays tiers. De plus, un tel déréférencement ne pourrait être imposé qu’au terme d’une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection de ses données personnelles et, d’autre part, le droit à la liberté d’information, ce que n’a pas fait la CNIL avant d’infliger sa sanction.
La Commission ne pouvant donc exiger de Google qu'un déréférencement au niveau européen, le Conseil d’État annule la délibération du 10 mars 2016 par laquelle elle a infligé l’amende de 100 000 € au moteur de recherche.