Autorité belge de protection des données 14 juillet 2020

Le 14 juillet 2020, l'Autorité belge de protection des données (« APD ») a imposé une amende de 600.000 EUR à Google Belgium SA (« Google Belgium ») pour violation du droit à l'oubli d'un résident belge.

Outre le fait qu'il s'agisse de loin de l'amende la plus élevée infligée à ce jour par l'APD, la décision contient des enseignements intéressants concernant la compétence internationale et l'(in)application du principe du guichet unique, la portée des catégories spéciales de données à caractère personnel ainsi que les conditions d'exercice du droit à l'oubli, également appelé droit à l'effacement.

Les faits sont les suivants: le plaignant, cadre dirigeant d'une grande entreprise, a, par le biais d'un formulaire en ligne, demandé à Google Belgium de procéder au déréférencement de résultats de recherches liés à son nom qu'il estimait nuisibles à sa réputation. Ces référencements contenaient, d'une part, des liens présumés avec un certain parti politique, que le plaignant réfute et, d'autre part, une plainte pour harcèlement à son encontre, qui a été déclarée infondée en 2010. Google Belgium ayant refusé d'accéder à ses demandes concernant plusieurs référencements concernés, le plaignant a saisi l'APD d'une plainte le 12 août 2019.

Dans sa décision, la Chambre Contentieuse a commencé par rejeter l'application du mécanisme de one-stop-shop ou guichet unique consacré aux articles 56, 1. et 60 du règlement général sur la protection des données à caractère personnel (« RGPD »). Pour rappel, le mécanisme du guichet unique prévoit que, lorsque les organisations exercent des activités transfrontières de traitement de données à caractère personnel, l'« autorité de contrôle chef de file » guide la coopération avec les autorités de contrôles nationales. Sur cette base, Google Belgium contestait la compétence de l'Autorité belge de protection des données en soutenant que, dans la mesure où l'établissement principal de Google dans l'Union européenne est Google Ireland, l'autorité de contrôle compétente était l'autorité de contrôle irlandaise. La Chambre Contentieuse a rejeté cet argument aux motifs (i) qu'il n'y avait selon elle aucun traitement transfrontalier et que (ii) seule la société Google LLC basée en Californie - et non Google Ireland - peut être considérée comme responsable de traitement des activités d'indexation du moteur de recherches telles que celles en cause.

Google Belgium a également contesté la recevabilité de la plainte au motif que l'entité responsable de traitement serait Google LLC et non Google Belgium. La Chambre Contentieuse, appliquant les principes dégagés dans les arrêts Google Spain, Google / CNIL et Wirtschaftsakademie, a également rejeté cet argument. En l'espèce, l'APD a considéré que l'exigence d'une protection efficace et complète des personnes concernées ainsi que les liens indissociables caractérisant les activités de traitement de Google Belgium et de Google LLC justifient dûment la responsabilité de Google Belgium, peu importe que le traitement des données soit dans les faits exercé en dehors de l'Union européenne par des employés de Google LLC.

Quant aux conditions d'exercice du droit à l'effacement, la Chambre Contentieuse a rappelé que les demandes de déférencement doivent être appréciées afin d'assurer un juste équilibre entre les droits des personnes concernées et la liberté d'expression ainsi que le droit à l'information des internautes. Dans le cadre de cette évaluation, la Chambre a évalué si le plaignant jouait un rôle dans la vie publique - ce qui justifierait un seuil plus élevé pour l'effacement de ses données - et si les référencements contiennent au sujet de celui-ci des catégories particulières de données visées à l'article 9 du RGPD - qui font l'objet d'une protection plus stricte.

Selon l'APD, il ne fait pas de doute que le plaignant a joué et joue un rôle dans la vie publique. En revanche, il est intéressant de constater que, selon elle, le fait que les référencements se bornent à mentionner le soutien professionnel d'un certain parti politique dont aurait bénéficié le plaignant ne suffit pas à qualifier ces données de données sensibles au sens de l'article 9 du RGPD. Pour ce faire, les données à caractère personnel en question auraient dû révéler les propres opinions politiques du plaignant, ce qui n'est pas le cas en l'espèce selon la Chambre Contentieuse.

Sur base de ces considérations, l'APD a estimé que la demande du plaignant visant à déréférencer les résultats de la liste de recherches concernant l'existence d'un prétendu lien avec un certain parti politique était infondée. Quant à la demande de déréférencement des résultats de recherche relatifs à une plainte pour harcèlement à l'encontre du plaignant, l'APD y a fait droit. Considérant que l'information référencée n'est plus pertinente, évoque d'anciens faits qui n'ont pas été établis et est de nature à avoir des répercussions préjudiciables tant sur la vie professionnelle que privée du plaignant, l'APD a en effet considéré que ces référencements - bien qu'ils aient pu à une époque participer au débat public - ne peuvent plus être considérés comme nécessaires à l'exercice du droit à la liberté d'information au sens de l'article 17, 3., du RGPD.

L'APD considère par ailleurs que ces manquements présentent un caractère grave dans le chef de Google Belgium qui n'a pas agi avec la diligence requise alors qu'elle disposait de toutes les informations nécessaires pour ce faire et ce, depuis la réception du formulaire de demande de déréférencement du plaignant.

En conséquence, et en vue de garantir une protection effective des droits du plaignant, il a été ordonné à Google de cesser les référencements en cause avec effet dans l'ensemble des pays de l'Espace économique européen.

L'APD a également imposé à Google Belgium une amende de 500.000 EUR pour violation grave du droit à l'effacement (art. 17, 1., a), RGPD) et du principe de licéité du traitement (art. 6, 1., f), RGPD) et 100.000 EUR pour violation du principe de transparence (art. 12, 1. et 4., RGPD). Enfin, il a été ordonné à Google Belgium d'adapter les formulaires mis à disposition de ses utilisateurs pour l'exercice de leurs droits et de clarifier les rôles et responsabilités des différentes entités concernées.

Google Belgium dispose à présent de la possibilité d'introduire un recours contre la décision de l'APD devant la 18 ^e chambre de la cour d'appel de Bruxelles (Cour des marchés) dans les 30 jours à compter de sa notification.