Cour de cassation, 13 mars 2019. 17-31.267

CIV. 1 MY1 COUR DE CASSATION ______________________ Audience publique du 13 mars 2019 Rejet non spécialement motivé Mme BATUT, président Décision n° 10160 F Pourvoi n° N 17-31.267 R É P U B L I Q U E F R A N Ç A I S E _________________________ AU NOM DU PEUPLE FRANÇAIS _________________________ LA COUR DE CASSATION, PREMIÈRE CHAMBRE CIVILE, a rendu la décision suivante : Vu le pourvoi formé par Mme [I] [V], domiciliée [Adresse 2], contre l'arrêt rendu le 25 octobre 2017 par la cour d'appel de Paris (pôle 1, chambre 3), dans le litige l'opposant : 1°/ à la société Google France, société à responsabilité limitée, dont le siège est [Adresse 3], 2°/ à la société Google LLC, dont le siège est [Adresse 1] (Etats-Unis), anciennement dénommée Google Inc., défenderesses à la cassation ; Vu la communication faite au procureur général ; LA COUR, en l'audience publique du 5 février 2019, où étaient présents : Mme Batut, président, Mme Canas, conseiller référendaire rapporteur, Mme Kamara, conseiller doyen, Mme Randouin, greffier de chambre ; Vu les observations écrites de Me Brouchot, avocat de Mme [V], de la SCP Spinosi et Sureau, avocat des sociétés Google France et Google LLC ; Sur le rapport de Mme Canas, conseiller référendaire, et après en avoir délibéré conformément à la loi ; Vu l'article 1014 du code de procédure civile ; Attendu que les moyens de cassation annexés, qui sont invoqués à l'encontre de la décision attaquée, ne sont manifestement pas de nature à entraîner la cassation ; Qu'il n'y a donc pas lieu de statuer par une décision spécialement motivée ; REJETTE le pourvoi ; Condamne Mme [V] aux dépens ; Vu l'article 700 du code de procédure civile, rejette les demandes ; Ainsi décidé par la Cour de cassation, première chambre civile, et prononcé par le président en son audience publique du treize mars deux mille dix-neuf.MOYENS ANNEXES à la présente décision Moyes produits par Me Brouchot, avocat aux Conseils, pour Mme [V]. PREMIER MOYEN DE CASSATION Le pourvoi fait grief à l'arrêt confirmatif attaqué d'AVOIR déclaré irrecevable l'action engagée par Mme [V] à l'encontre de la société Google France ; AUX MOTIFS PROPRES QU'il n'est pas discuté que la société Google Inc. exploite le moteur de recherche google.fr et google.com/transparencyreport, et est le responsable du traitement des données opéré au moyen de ces moteurs de recherche ; que si la société Google France peut être qualifiée d'établissement au sens de l'article 5-1 de la loi précitée [du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés], en raison du fait que ses activités relatives aux espaces publicitaires sont indissociablement liées à celles de l'exploitant du moteur de recherche, de sorte que les traitements de données à caractère personnel réalisés par la société Google sont soumis à la loi française, il ne s'en déduit pas que la société Google France participe à l'exploitation directe ou indirecte dudit moteur de recherche et qu'elle a la qualité de responsable du traitement litigieux des données ; et AUX MOTIFS ADOPTES QUE conformément à l'article 3 de la loi du 6 janvier 1978, le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens ; qu'en l'espèce, si la société Google France peut être qualifiée d'établissement, au sens de l'article 5-1 de la loi précitée, ses activités publicitaires étant indissociablement liées à celles de Google Inc., exploitant du moteur de recherche, ce qui justifie l'application de la loi française aux traitements des données à caractère personnel réalisées par Google Inc., il n'en demeure pas moins que la société Google France est étrangère à toute activité éditoriale et d'exploitation de sites internet et ne peut, partant, être considérée comme l'exploitant du moteur de recherche incriminé ; 1) ALORS QUE la recevabilité d'une action est distincte de son bien-fondé ; que, pour déclarer irrecevable l'action engagée par Mme [V] à l'encontre de la société Google France, la cour d'appel a, par voie de motifs propres et adoptés, énoncé que cette dernière ne pouvait être considérée comme participant à l'exploitation directe ou indirecte du moteur de recherche incriminé, et comme ayant la qualité de responsable du traitement litigieux des données ; qu'en se fondant sur ces motifs exclusivement liés au fond du litige, insusceptibles de justifier le prononcé de l'irrecevabilité de l'action diligentée par Mme [V] à l'encontre de la société Google France, la cour d'appel a confondu recevabilité d'une action en justice avec le bien-fondé d'une demande, violant ainsi les articles 30 et 31 du code de procédure civile ; 2) ALORS QUE, subsidiairement, les filiales de sociétés en charge de l'exploitation d'un moteur de recherche sur internet sont responsables juridiquement de la suppression, de l'effacement et du déréférencement dans ses résultats de recherche des données des personnes, même si celles-ci sont licites apparaissent sur des pages web publiées par des tiers ; que, pour déclarer irrecevable l'action en déréférencement et suppression d'adresses URLs engagée par Mme [V] à l'encontre de la société Google France, la cour d'appel, tout en admettant que celle-ci pouvait être qualifiée d'établissement au sens de l'article 5-1 de la loi du 6 janvier 1978 en ce qu'elle exerçait des activités indissociables de celles d'un exploitant direct ou indirect d'un moteur de recherche, a énoncé que ces faits juridiques n'impliquaient pas l'exploitation directe ou indirecte par la société Google France du moteur de recherche litigieux ; qu'en se déterminant ainsi, la cour d'appel n'a pas déduit les conséquences légales de ses constatations desquelles il se déduisait que l'action exercée par Mme [V] à l'encontre de la société Google France était non seulement recevable mais également fondée au regard de l'article 5-1 de la loi n° 78-17 du 6 janvier 1978, modifiée par la loi n° 2004-801 du 6 août 2004, relative à l'informatique, aux fichiers et aux libertés assurant la transposition de la directive 95/46 CE du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, qu'elle a ainsi violé. SECOND MOYEN DE CASSATION Le pourvoi fait grief à l'arrêt confirmatif attaqué d'AVOIR débouté Mme [V] de ses demandes formées contre la société Google Inc. ; AUX MOTIFS PROPRES QU'aux termes de l'article 809 du code de procédure civile, le président peut toujours, même en présence d'une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s'imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite ; que le dommage imminent s'entend du dommage qui n'est pas encore réalisé, mais qui se produira sûrement si la situation présente doit se perpétuer et le trouble manifestement illicite découle de toute perturbation résultant d'un fait qui directement ou indirectement constitue une violation évidente de la règle de droit ; que selon l'article 8 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales, « toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance » et selon les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne, « toute personne a droit au respect de sa vie privée et familiale, de son domicile et de ses communications » et « toute personne a droit à la protection des données à caractère personnel la concernant » ; que l'article 9 du code civil dispose que chacun a droit au respect de sa vie privée ; que l'article 6 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004 relative à l'informatique, aux fichiers et aux libertés prévoit qu'un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions de ce texte, notamment si : « 3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ; 4° Elles sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées » ; que l'article 7 de ce texte dispose que « Un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions prévues par ce texte et notamment… 5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée » ; qu'en matière de droit d'accès et de rectification, conformément aux dispositions de l'article 40 de la loi du 6 janvier 1978 modifiée, « toute personne physique… peut exiger du responsable du traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite » ; que, s'agissant du droit d'opposition, l'article 38 de la loi du 6 janvier 1978 modifiée indique que : « toute personne physique a le droit de s'opposer pour des motifs légitimes à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement » ; que ces dispositions assurent la transposition de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, qui vise à garantir un niveau élevé de protection des libertés et droits fondamentaux des personnes physiques, notamment leur vie privée, à l'égard du traitement des données à caractère personnel, spécialement de ses articles 6, 7, 12 et 14 ; qu'elles doivent s'interpréter au regard de ce texte et compte tenu de la jurisprudence de la Cour de justice de l'Union européenne, selon laquelle, s'agissant du droit d'accès et de rectification visé à l'article 40 de la loi, le traitement de données exactes ne doit pas devenir avec le temps incompatible avec la directive précitée ; que tel est le cas, lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées, spécialement lorsqu'elles apparaissent inadéquates, qu'elles ne sont pas ou plus pertinentes ou sont excessives au regard de ces finalités et du temps qui s'est écoulé (CJUE : arrêt du 14 mai 2014 - affaire C-131-12 Google Spain SL, Google Inc./AEPD, Costeja Gonzalez - cf. point 93) ; que s'agissant du droit d'opposition visé à l'article 38 ainsi que l'arrêt susvisé l'a précisé, chaque traitement des données à caractère personnel doit être légitimé pour toute la durée pendant laquelle il est effectué (cf. point 95) ; qu'il convient cependant, en tout état de cause, de concilier les droits fondamentaux à la vie privée et à la protection des données à caractère personnel avec les droits fondamentaux à la liberté d'expression et d'information énoncés dans les mêmes termes à l'article 10 de la Convention précitée et à l'article 11 de la Charte des droits fondamentaux de l'Union européenne selon lesquels : « Toute personne a droit à la liberté d'expression. Ce droit comprend la liberté d'opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu'il puisse y avoir ingérence d'autorités publiques et sans considération de frontières » et rappelés à l'article 9 de la directive précitée ; qu'il importe donc de rechercher le juste équilibre entre l'intérêt légitime des internautes potentiellement intéressés à avoir accès à des informations et les droits de la personne concernée (point 81 de l'arrêt du 13 mai 2014 de la CJUE) ; que les droits fondamentaux à la vie privée et à la liberté d'expression ont une valeur normative identique, de sorte que le juge saisi doit rechercher leur équilibre et privilégier la solution la plus protectrice de l'intérêt le plus légitime ; que Mme [V] soutient que, en associant le nom "[I] [V]" avec le nom de son entreprise "P. Communication" et/ou le nom de sa marque " Maîtresse [H]", le moteur de recherche Google permet d'obtenir des pages de résultats de recherches à caractère pornographique, injustifié et malveillant ; que le constat d'huissier du 26 novembre 2015 a relevé le nombre de pages concernées ; que ses demandes de déréférencement ont elles-mêmes généré 76 pages " transparency" dont elle demande aujourd'hui la suppression et dont la matérialité a été constatée par huissier le 9 janvier 2017 ; que la demande de déréférencement formée par [I] [V] au titre des 11 URLs nouvelles en cause d'appel n'est pas irrecevable puisqu'elle tend aux mêmes fins que celle soumise au premier juge ; que les nouvelles URLs ayant été découvertes en cours d'instance, la demande préalable de suppression auprès de Google devenait sans objet ; que Google Inc.. expose que l'appelante ne démontre pas que les adresses URLs seraient les résultats obtenus à la suite d'une recherche effectuée à partir de ses seuls nom et prénom, donnant accès à des informations relevant de la vie privée et non de la vie professionnelle et que le régime des données à caractère personnel n'a pas pour finalité d'empêcher de citer un nom commercial ou une marque de commerce ; que des constats produits par l'appelante, il ne ressort pas que ce soit à partir de ses prénom et nom que les résultats à caractère pornographique, injustifié ou malveillant soient obtenus ; que le constat du 26 novembre 2015 met seulement en évidence qu'une recherche accomplie avec les occurrences "[I] [V] center blog" permet de remonter à deux demandes de suppression référencées "1/09874-02/04/2014-Maîtresse [H]" et "1004239-30/03/2014-Maîtresse [H]" sans autre information ; que les recherches effectuées avec deux autres occurrences le 27 octobre 2016 par la société Google "transparency p communication" et "removals p communications" n'administrent pas non plus cette preuve ; qu'au surplus, il résulte des constats des 26 novembre 2015 et 9 janvier 2017 que les adresses dont il est sollicité le déréférencement et la suppression sont celles donnant accès aux pages internet relatives à la "Transparence des informations" du site www.google.com/transparency report/. ; que la société Google expose que ce site donne accès aux "données qui font toute la lumière sur la manière dont les lois et les règlements affectent les internautes et le flux d'informations en ligne" ; que sa finalité est de permettre aux internautes qui le souhaitent d'être informés des demandes d'informations ou de retraits qui lui sont adressées et d'avoir ainsi accès aux demandes gouvernementales de suppression de contenu, des administrations concernant les utilisateurs de Google, et aux "demandes de suppression de résultats de recherche provenant des titulaires de droits d'auteur" "pour la suppression de pages Web des résultats de recherche Google" ; que c'est suite aux demandes de déréférencement adressées par Mme [V] à Google que les adresses litigieuses ont été mises en ligne ; que la cour relève que lorsque la demande émanait de Mme [I] [V] elle-même son nom n'apparaissait pas, seul le terme "particulier" dans la rubrique "sender" étant mentionné ; que les demandes de déréférencement ont été faites presque exclusivement aux noms de "Maîtresse [H]" ou de "P. Communication" sans que son nom y soit associé ; que c'est à partir des URLs désignés par le requérant dont la suppression a été réclamée que les liens litigieux peuvent être consultés ; que dès lors, le caractère manifestement illicite du trouble invoqué par Mme [I] [V] en raison du refus de Google Inc. de déréférencer ou de supprimer les URLs figurant sur les pages "transparencyreport" n'est pas établi au regard des textes susvisés destinés à la protection de la vie privée et des données à caractère personnel ; et AUX MOTIFS ADOPTES QU'aux termes de l'article 9 du code de procédure civile, « il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention » ; qu'en l'espèce, il appartient donc à [I] [V] de démontrer d'une part que les liens dont elle demande la suppression permettent de remonter à ses nom et prénom, d'autre part que les recherches effectuées à partir de ses nom et prénom conduisent à ces liens et que ceux-ci permettent d'accéder à des contenus dont la suppression peut être demandée sur le fondement, notamment, de la loi modifiée du 6 janvier 1978 ; qu'il résulte du constat d'huissier du 26 novembre 2015 que, parmi les trois recherches effectuées, seule celle accomplie avec les occurrences « [I] [V] center blog » permet de remonter à deux demandes de suppression référencées « 1109874-02/04/2014-Maîtresse [H] » et « 1004239-30/03/2014-Maîtresse [H] » ; que toutefois le constat ne comporte aucun élément de nature à confirmer que cette recherche conduirait à des « pages de résultats de recherches à caractère pornographique, injustifiées et malveillantes », aucune information n'étant fournie en ce sens ; qu'en outre, la même recherche, à partir des mêmes occurrences, effectuée le 27 octobre 2016, ne permet pas de remonter aux résultats constatés par l'huissier de justice ; que les recherches effectuées avec les deux autres occurrences ayant fait l'objet d'investigations dans le constat le sont à partir de termes n'étant pas le nom et le prénom de la demanderesse et ne permettent pas de parvenir à ceux-ci ni n'établissent qu'il serait donné accès à des contenus dont la suppression pourrait être demandée ; qu'il convient, par conséquent, d'estimer qu'en l'état des éléments versés par la demanderesse, celle-ci ne permet pas à la présente juridiction d'apprécier le bien-fondé de sa demande, qui doit, de ce fait, être rejetée ; 1) ALORS QUE dans le cadre de la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, qui vise à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l'égard du traitement des données à caractère personnel, toute personne physique peut exiger du responsable du traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite ; que dans ses conclusions d'appel, Mme [V] avait fait valoir qu'en associant son nom avec le nom de son entreprise « P. Communication » et le nom de sa marque « Maîtresse [H] », le moteur de recherche Google permettait d'obtenir des résultats de recherches à caractère pornographique dont elle était bien fondée à demander la suppression, dès lors que ces URLs portent atteinte à sa vie privée et ne sont nullement justifiées par le droit à l'information du public ; qu'en s'abstenant de procéder à la recherche combinée nom et prénom/dénomination de ses entreprise et marque, qui lui était pourtant clairement demandée, la cour d'appel qui, pour écarter tout trouble manifestement illicite, s'est bornée à rechercher si de tels résultats pouvaient être obtenus à partir uniquement de ses nom et prénom mais non à partir de la combinaison ainsi invoquée, a privé son arrêt de base légale au regard des articles 7, 8, 38, 40 de la loi n° 78-17 du 6 janvier 1978, modifiée par la loi n° 2004-801 du 6 août 2004, relative à l'informatique, aux fichiers et aux libertés qui assure la transposition de la directive 95/46/CE du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces, de l'article 8 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales, des articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne, de l'article 9 du code civil et de l'article 809 du code de procédure civile ; 2) ALORS QU'en affirmant que des constats produits par Mme [V], il ne ressortait pas que ce soit à partir de ses prénom et nom que les résultats à caractère pornographique, injustifié ou malveillant soient obtenus, la cour d'appel a dénaturé le constat du 9 janvier 2017 selon lequel en entrant dans la barre de recherche « Lumen » et en entrant les termes « [I] [V] » s'affiche alors une page internet avec des résultats amenant, après défilement des liens sur une page à des triangles bleus détaillant les URLs non supprimées et à un site pornographique, en violation de l'article 1103 (ancien article 1134) du code civil.