Le 14 juillet 2020, l’Autorité belge de protection des données (« APD ») a imposé une amende de 600.000 EUR à Google Belgium SA (« Google Belgium ») pour violation du droit à l’oubli d’un résident belge.
Outre le fait qu’il s’agisse de loin de l’amende la plus élevée infligée à ce jour par l’APD, la décision contient des enseignements intéressants concernant la compétence internationale et l'(in)application du principe du guichet unique, la portée des catégories spéciales de données à caractère personnel ainsi que les conditions d’exercice du droit à l’oubli, également appelé droit à l’effacement.
Les faits sont les suivants : le plaignant, cadre dirigeant d’une grande entreprise, a, par le biais d’un formulaire en ligne, demandé à Google Belgium de procéder au déréférencement de résultats de recherches liés à son nom qu’il estimait nuisibles à sa réputation. Ces référencements contenaient, d’une part, des liens présumés avec un certain parti politique, que le plaignant réfute et, d’autre part, une plainte pour harcèlement à son encontre, qui a été déclarée infondée en 2010. Google Belgium ayant refusé d’accéder à ses demandes concernant plusieurs référencements concernés, le plaignant a saisi l’APD d’une plainte le 12 août 2019.
Dans sa décision, la Chambre Contentieuse a commencé par rejeter l’application du mécanisme de one-stop-shop ou guichet unique consacré aux articles 56, paragraphe 1 et 60 du Règlement général sur la protection des données à caractère personnel (« RGPD »). Pour rappel, le mécanisme du guichet unique prévoit que, lorsque les organisations exercent des activités transfrontières de traitement de données à caractère personnel, l’« autorité de contrôle chef de file » guide la coopération avec les autorités de contrôles nationales. Sur cette base, Google Belgium contestait la compétence de l’Autorité belge de protection des données en soutenant que, dans la mesure où l’établissement principal de Google dans l’Union européenne est Google Ireland, l’autorité de contrôle compétente était l’autorité de contrôle irlandaise. La Chambre Contentieuse a rejeté cet argument aux motifs (i) qu’il n’y avait selon elle aucun traitement transfrontalier et que (ii) seule la société Google LLC basée en Californie – et non Google Ireland – peut être considérée comme responsable de traitement des activités d’indexation du moteur de recherches telles que celles en cause.
Google Belgium a également contesté la recevabilité de la plainte au motif que l’entité responsable de traitement serait Google LLC et non Google Belgium. La Chambre Contentieuse, appliquant les principes dégagés dans les arrêts Google Spain, Google c. CNIL et Wirtschaftsakademie, a également rejeté cet argument. En l’espèce, l’APD a considéré que l’exigence d’une protection efficace et complète des personnes concernées ainsi que les liens indissociables caractérisant les activités de traitement de Google Belgium et de Google LLC justifient dûment la responsabilité de Google Belgium, peu importe que le traitement des données soit dans les faits exercé en dehors de l’Union européenne par des employés de Google LLC.
Quant aux conditions d’exercice du droit à l’effacement, la Chambre Contentieuse a rappelé que les demandes de déférencement doivent être appréciées afin d’assurer un juste équilibre entre les droits des personnes concernées et la liberté d’expression ainsi que le droit à l’information des internautes. Dans le cadre de cette évaluation, la Chambre a évalué si le plaignant jouait un rôle dans la vie publique – ce qui justifierait un seuil plus élevé pour l’effacement de ses données – et si les référencements contiennent au sujet de celui-ci des catégories particulières de données visées à l’article 9 du RGPD – qui font l’objet d’une protection plus stricte.
Voy. suite partie 2/2 disponible ici.
