Vie privee et 'droit a l'oubli': que fait le Canada?

Author:Saint-Laurent, Genevieve
Position:An Update in the Law of Privacy
 
FREE EXCERPT

L'arret Google Spain c. AEPD et Gonzalez (1), rendu en mai 2014, met en lumiere le fosse qui separe les regimes de protection des donnees personnelles sur Internet en Europe et au Canada. De fait, cette decision de la Cour europeenne de Justice de l'Union Europeenne (CJUE) met en lumiere l'existence, en Europe, d'un regime effectif de protection du droit a la vie privee et qui cherche a s'adapter aux nouvelles realites technologiques. Cette decision introduit ainsi un droit nouveau, afin de tenir compte de la multiplication des donnees personnelles susceptibles d'exister sur Internet et de l'importance, pour un individu, de conserver un certain controle sur les donnees qui le concernent. Or, le > numerique, tel que consacre par cette decision, n'existe nullement en droit canadien, que ce soit en vertu de la common law ou des lois actuelles sur la protection de la vie privee. Au surplus, l'introduction d'un tel droit dans le corpus juridique canadien ne semble pas veritablement envisagee par les partisans, de plus en plus nombreux, d'une reforme de la loi federale sur la protection des renseignements personnels (2). Il faut avouer que les nombreux appels a la modernisation de la loi federale sur la vie privee, notamment par la voix de Jennifer Stoddart (3)--qui etait encore recemment Commissaire a la protection de la vie privee du Canada--se fondent avant tout sur le constat que la loi actuelle (4), dont l'economie generale n'a pas ete revue depuis son adoption, est cruellement insuffisante et inadaptee au monde numerique. L'introduction d'une nouvelle forme de protection des donnees personnelles peut donc paraitre superflue dans ce contexte ou la desuetude de la loi face aux defis de l'Internet est criante.

Pourtant, l'arret Google Spain, comme le projet de Reglement general sur la protection des donnees actuellement etudie par le Parlement europeen, comportent plusieurs elements interessants qui gagneraient a etre etudies dans le cadre de l'inevitable reforme de la Loi sur la protection des renseignements personnels canadienne. Afin de mettre en lumiere les eventuels avantages de la mise en place d'un tel > au Canada, nous analyserons tout d'abord les implications de l'affaire Google Spain et du projet de reglement europeen, avant de s'attarder sur la maniere par laquelle cette nouvelle forme de protection de la vie privee pourrait etre integree en droit canadien.

Le > en Europe

L'affaire Google Spain prend naissance en 1998 quand un journal espagnol, La Vanguardia, publie deux brefs avis legaux annoncant la mise aux encheres de biens immobiliers. Ceux-ci, propriete d'un avocat nomme Mario Costeja Gonzalez, ont ete saisis en recouvrement de dettes de securite sociale et la publication de l'avis de vente a ete requis, suivant la procedure habituelle, par le ministere du Travail et des Affaires sociales. M. Gonzalez regla eventuellement ses dettes et la vente n'eut pas lieu. Neanmoins, dix ans plus tard, M. Gonzalez constate que lorsqu'il recherche son nom sur Google, des liens vers ces avis publies par La Vanguardia s'affichent toujours. En 2010, estimant que ces informations anciennes ne sont plus pertinentes, M. Gonzalez entreprend une procedure devant l'autorite espagnole de regulation des donnees personnelles (ci-apres l'AEPD5), pour exiger que le site Internet du journal fasse disparaitre les avis legaux en question et que Google Inc. (la compagnie mere, basee en Californie) et Google Spain (la filiale, basee en Espagne) suppriment ou occultent les resultats de recherche le concernant et que le moteur de recherche cesse de publier les liens menant vers les articles de La Vanguardia. L'AEPD accueille la reclamation de M. Gonzalez a l'endroit de Google Spain et Google Inc., mais refuse que soient supprimes les articles de journaux, puisque la publication de ceux-ci etait legalement justifiee. Les deux branches de Google introduisent alors un recours contestant la decision devant la Cour nationale espagnole (6) qui se tourne, a son tour, vers la CJUE pour trancher certaines questions preliminaires portant sur l'application du texte legislatif de reference en l'espece, soit la Directive 951461CE7, dont une portant sur l'existence et la portee d'un eventuel > numerique en droit europeen.

Devant faire face a un texte passablement ancien, dont l'adoption est anterieure au developpement fulgurant des technologies de l'information, la CJUE se livre alors a une interpretation large et extensive du champ d'application et du contenu de la Directive. Elle estime ainsi que meme si les serveurs de Google sont situes en dehors du territoire europeen, la legislation europeenne s'applique au moteur de recherche, dans la mesure ou celui-ci dispose, dans un des Etats membres de l'Union, d'une filiale (soit, en l'espece, Google Spain) qui assure la promotion et la vente d'espaces publicitaires. Pour la Cour, ces filiales constituent clairement des > au sens de l'article 4 de la Directive et celle-ci leur est, des lors, applicable (8). D'autre part, la Cour se livre a une analyse du role des moteurs de recherche et estime qu'ils exercent un controle certain sur toute une serie d'informations concernant une personne physique identifiee ou identifiable et qu'ils peuvent donc etre considerees comme > au sens de la Directive (9).

Dans un troisieme temps, la Cour conclut que pour respecter l'esprit de la Directive, > des obligations s'imposent aux differentes entites qui effectuent le traitement de telles donnees. Parmi celles-ci figure l'obligation de prendre en compte les demandes, emanant d'individus--les personnes morales ne pouvant invoquer ce droit--et visant a supprimer des informations personnelles les concernant, parce qu'elles sont inexactes, inadequates, excessives ou qu'elles ne sont pas ou plus pertinentes. Cette procedure est accessible sans qu'il soit necessaire, pour le demandeur, de prouver que la diffusion de ces informations lui porte prejudice. Le moteur de recherche doit alors examiner le bien-fonde de ces requetes et, le cas echeant, supprimer les liens vers le contenu en cause. Lorsque le moteur de recherche ne donne pas suite a ces demandes, la personne concernee peut alors saisir les autorites competentes pour qu'elles tranchent le litige (11). La Cour estime d'ailleurs qu'a titre de responsables de traitement de donnees personnelles, les moteurs de recherche ont des obligations particulierement importantes. En effet, la Cour considere qu'en raison de la myriade de possibilites d'acces et d'interconnexion des donnees fournies par les differents sites web, les moteurs de recherche rendent les donnees personnelles en question pratiquement omnipresentes, celles-ci pouvant etre consultees instantanement par un nombre indefini d'internautes partout dans le monde, en dehors de tout controle par l'emetteur (12). L'atteinte aux droits fondamentaux des citoyens peut ainsi etre demultipliee. En consequence, la Cour estime que l'ingerence dans ces droits ne saurait etre justifiee par le seul interet economique de l'exploitant d'un moteur de recherche (13).

Consciente des difficultes d'application du processus, mais aussi des risques de demandes abusives qui pourraient porter atteinte au droit a l'information du public ou a la liberte de la presse, la Cour precise que ce > n'est pas absolu et qu'il devra toujours etre mis en balance avec les autres droits fondamentaux susceptibles d'etre atteints, comme la liberte d'expression et la liberte de la presse. Devront ainsi etre pris en compte, au cas par cas, le type d'information concernee, la sensibilite des donnees pour la personne concernee et l'interet du public (14). Sur ce dernier point, la Cour precise d'ailleurs que le role joue par un individu dans la vie publique pourrait justifier le refus de supprimer certaines donnees, au nom de l'interet preponderant du public a avoir acces a l'information en question.

Pour un observateur canadien, cette decision de la CJUE est etonnante...

To continue reading

FREE SIGN UP