Résumé de l’affaire et résultat

A la suite de l’arrêt de 2014 de la Cour de justice de l’Union européenne dans l’affaire Google Spain SL c. Agence espagnole de protection des données (AEPD), qui a reconnu le droit à l’oubli, l’AEPD a émis plusieurs ordonnances enjoignant à Google Spain de supprimer certaines informations relatives à des ressortissants espagnols. Google Spain a contesté ces ordonnances en faisant valoir qu’en tant que filiale de Google Inc. elle n’avait pas le contrôle du contenu car sa fonction se limitait à la promotion de services et d’acquisitions. En appel, la Chambre administrative de la Cour suprême d’Espagne lui a donné raison, déterminant que Google Inc. était le seul responsable du traitement des données et qu’il était donc le seul responsable du retrait du contenu.

Facts

Avant le présent recours devant la Chambre administrative de la Cour suprême d’Espagne, l’AEPD a émis plusieurs ordonnances, demandant à Google Spain de retirer des informations personnelles sur la base du droit à l’oubli. Google Spain a contesté ces ordonnances en faisant valoir que sa fonction se limite à la promotion de services et d’acquisitions et qu’elle n’interfère pas avec le contenu ou la gestion des moteurs de recherche. Google Spain a donc fait valoir qu’elle ne peut pas être considérée comme le « responsable du traitement » des données au sens de la directive européenne 95/46/CE, de la loi espagnole 15/1999 sur la protection des données, ainsi que de l’arrêt rendu en 2014 par la Cour de justice de l’Union européenne dans l’affaire Google Spain SL contre Agencia Española de Protección de Datos.

Dans un premier temps, l’Audience nationale d’Espagne a rejeté la position de Google Spain, estimant que Google Inc. et sa filiale locale forment une unité commerciale et que cette dernière est un élément indispensable au fonctionnement du moteur de recherche. Google Spain a fait appel de cette décision devant la chambre administrative de la Cour suprême d’Espagne.

Vue d’ensemble de la décision

La question principale devant la chambre administrative de la Cour suprême était de savoir si Google Spain, en tant que filiale de Google Inc. basée en Californie, pouvait être considéré comme un contrôleur de données et donc responsable de la suppression des informations jugées contraires au droit à l’oubli d’un individu.

S’appuyant sur l’arrêt de 2014 de la Cour de justice de l’Union européenne dans l’affaire Google Spain SL c. Agencia Española de Protección de Datos, la directive 95/46/CE de l’UE, la loi espagnole 15/1999 de protection des données et l’avis 1/2010 du groupe de travail sur la protection des données, la Cour a estimé qu’un contrôleur de données est l’entité qui détermine les moyens et les finalités du traitement des données à caractère personnel. En ce qui concerne les moteurs de recherche sur Internet, la Chambre administrative a estimé que le responsable du traitement des données trouve et indexe les informations postées ou publiées par des tiers, et les stocke temporairement et les met à la disposition des utilisateurs en ligne.

En l’espèce, la Chambre administrative a estimé que la fonction de Google Spain se limitait à la promotion de produits et de services publicitaires. Elle a estimé que, bien que la Cour de justice des Communautés européennes ait déjà déterminé que Google Inc. et sa filiale étaient  » inextricablement liées « , Google Spain ne disposait pas des fonctions requises pour être considérée comme un responsable du traitement des données.

La Chambre administrative a jugé que Google Inc. est exclusivement chargée de déterminer les finalités, les conditions et les moyens du traitement des données et que, par conséquent, Google Spain n’est pas responsable des données et ne peut donc pas être tenue de se conformer aux ordonnances de l’AEPD.