A la poursuite du droit à l’oubli et d’un équilibre par rapport aux autres droits fondamentaux

Le droit à l’oubli sur Internet – dont le droit au déréférencement sur les moteurs de recherche – n’est pas un droit absolu. Il s’arrête là où commencent d’autres droits fondamentaux comme la liberté d’informer – selon le principe de proportionnalité. Mais cet équilibre est à géométrie variable.

Fabrice Lorvo*, avocat associé, FTPA.

L’oubli est une préoccupation récente aux racines millénaires. C’est d’abord un concept auquel notre civilisation est rompue depuis le code de Hammurabi (1). Cependant, l’effectivité de l’oubli a été profondément remise en cause par la révolution numérique car la donnée devient aujourd’hui indéfiniment apparente sur les sites web et immédiatement accessible par les moteurs de recherche. Dès lors, le législateur comme le juge œuvrent pour adapter un droit à l’oubli (2) à l’outil numérique.

Conditions du droit au déréférencement
Deux arrêts ont été rendus le 24 septembre 2019 par la Cour de justice de l’Union européenne (CJUE) qui contribuent à en définir les modalités. Nous nous intéresserons à celui (3) qui apporte d’importantes précisions sur les conditions dans lesquelles une personne peut exercer son droit au déréférencement. Ce droit permet à une personne de demander à un moteur de recherche de supprimer certains résultats qui apparaissent à partir d’une requête faite avec son nom et son prénom lorsque ces résultats renvoient vers des pages contenant des informations sensibles la concernant (par exemple, sa religion, ses opinions politiques ou l’existence d’une procédure pénale). Cette suppression concerne uniquement la page de résultats et ne signifie donc pas l’effacement des informations sur le site web source. Les informations continuent d’exister, mais il est plus difficile et long de les retrouver.
Au regard des textes successivement applicables (4), et des enseignements de la jurisprudence « Google Spain » (5) de 2014, la CJUE apporte les précisions suivantes :

Les interdictions et les restrictions au traitement de certaines données, comme les exceptions prévues par les textes, s’appliquent à l’exploitant d’un moteur de recherche à l’occasion de la vérification qu’il doit opérer à la suite d’une demande de déréférencement. Le rôle du moteur de recherche est décisif dans la mesure où, techniquement, il permet de trouver immédiatement, dans l’océan des données disponibles sur Internet, toutes les informations sur une personne dénommée, et, en les regroupant, de constituer ainsi un profil. La cour rappelle que l’exploitant d’un moteur de recherche n’est pas responsable des données existantes, mais uniquement de leur référencement et de leur affichage dans une page de résultats suite à une requête nominative. Cet exploitant doit respecter la législation sur le traitement des données comme les éditeurs de sites web. Tout autre interprétation constituerait « une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel » qui sont garantis par les textes.

L’exploitant d’un moteur de recherche a l’obligation de faire droit à la demande de la personne concernée… sauf si des exceptions (prévues par les textes) s’appliquent. La CJUE rappelle que les Etats membres doivent garantir aux personnes concernées le droit d’obtenir du responsable de traitement l’effacement des données dont le traitement n’est pas conforme aux textes. De même, en cas de demande de déréférencement, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, des liens vers des pages web, publiées par des tiers et contenant des informations sensibles relatives à cette personne, même si lesdites informations ne sont pas effacées préalablement ou simultanément de ces pages web, et même lorsque leur publication en elle-même sur lesdites pages est licite. Enfin, la cour rappelle que le consentement de la personne au traitement de ce type d’information est nécessaire et qu’il n’existe plus à partir du moment où ladite personne demande le déférencement. Il n’est donc pas nécessaire de prouver que le référencement cause un préjudice.

Droit absolu et principe de proportionnalité
Ce régime extrêmement protecteur, eu égard à l’importance de l’impact d’une telle publication pour l’individu, connaît néanmoins une exception de taille. En effet, l’ingérence dans les droits fondamentaux d’un individu peut cependant être justifiée par l’intérêt prépondérant du public à avoir accès à l’information (6) en question. Le droit au déréférencement des données à caractère personnel n’est donc pas un droit absolu, il doit être systématiquement comparé avec d’autres droits fondamentaux conformément au principe de proportionnalité. En conséquence, le droit à l’oubli de la personne concernée est exclu lorsqu’il est considéré que le traitement desdites données est nécessaire à la liberté d’information. Le droit à la liberté d’information doit répondre à des objectifs d’intérêt général reconnu par l’Union européenne ou, au besoin, de protection des droits et des libertés d’autrui.

Droits fondamentaux et liberté d’informer
Lorsqu’il est saisi d’une demande de déréférencement, l’exploitant d’un moteur de recherche doit donc mettre en balance, d’une part, les droits fondamentaux de la personne concernée et, d’autre part, la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche. D’après la CJUE, si les droits de la personne concernée prévalent, en règle générale, sur la liberté d’information des internautes, cet équilibre peut toutefois dépendre de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que l’intérêt du public à disposer de cette information. Or, cet intérêt peut varier notamment en fonction du rôle joué par cette personne dans la vie publique, comme l’illustre la jurisprudence « Google Spain ».

Enfin, la CJUE aborde la question cruciale de la publication relative à une procédure judiciaire, notamment quand ces informations sont devenues obsolètes. Il s’agit des informations concernant une enquête, une mise en examen ou un procès et, le cas échéant, de la condamnation qui en a résulté. La cour rappelle que la publication de ces données est soumise à des restrictions particulières (7) et qu’elle peut être licite lorsqu’elle est divulguée au public par les autorités publiques. Cependant, un traitement initialement licite de données exactes peut devenir avec le temps illicite, notamment lorsque ces données apparaissent inadéquates, qu’elles ne sont pas ou plus pertinentes, ou sont excessives au regard des finalités du traitement ou du temps qui s’est écoulé. L’exploitant d’un moteur de recherche doit encore vérifier, au jour de la demande de déréférencement, si l’inclusion du lien dans le résultat est nécessaire à l’exercice du droit à la liberté d’information des internautes potentiellement intéressés par l’accès à cette page web au moyen d’une telle recherche. Dans la recherche de ce juste équilibre entre le droit au respect de la vie privée des personnes, et notamment la liberté d’information du public, il doit être tenu compte du rôle essentiel que la presse joue dans une société démocratique et qui inclut la rédaction de comptes rendus et de commentaires sur les procédures judiciaires, ainsi que le droit pour le public de recevoir ce type d’information. En effet, selon la jurisprudence (8), le public a un intérêt non seulement à être informé sur un événement d’actualité, mais aussi à pouvoir faire des recherches sur des événements passés, l’étendue de l’intérêt du public quant aux procédures pénales étant toutefois variable et pouvant évoluer au cours du temps en fonction, notamment, des circonstances de l’affaire : notamment « la nature et la gravité de l’infraction en question, le déroulement et l’issue de ladite procédure, le temps écoulé, le rôle joué par cette personne dans la vie publique et son comportement dans le passé, l’intérêt du public à ce jour, le contenu et la forme de la publication ainsi que les répercussions de celle-ci pour ladite personne ».

Outre l’actualité ou le passé définitif, une difficulté demeure pour les informations obsolètes ou partielles. Par exemple, qu’en est-il pour une mise en examen annoncée sur Internet qui a aboutie à un non-lieu ? Ou pour une décision de condamnation frappée d’appel ? L’apport nouveau et essentiel de cet arrêt du 24 septembre 2019 est que la CJUE considère que même si la liberté d’information prévaut, l’exploitant est en tout état de cause tenu – au plus tard à l’occasion de la demande de déréférencement – d’aménager la liste de résultats, de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle. Ce qui nécessite notamment que des liens vers des pages web comportant des informations à ce sujet apparaissent en premier lieu sur cette liste. Il s’agit là d’une précision essentielle, en théorie, mais qui peut s’avérer complètement inefficace en pratique. Pour apparaître dans les résultats, ces pages (sur la situation judiciaire actuelle) doivent… exister. Que se passe-t-il si des pages web ne comportent pas d’informations sur la suite de la procédure ? Souvent, la presse s’intéresse plus aux mises en examen qu’aux cas de nonlieu. La personne concernée devra-t-elle publier elle-même des pages web sur sa situation judiciaire actuelle ? Mais dans l’esprit du public, quelle force aura cette preuve pro domo (9) ? Devra-t-elle avoir recours à une agence de communication pour ce faire ? Enfin, les délais de traitement des demandes de référencement sont très longs, d’abord pour les moteurs de recherche puis au niveau des autorités de contrôle (la Cnil en France), et, pendant ce temps-là, les résultats de la recherche demeurent affichés ; le mal est fait. Avoir raison trop tard, c’est toujours avoir tort dans l’esprit du public.

Renverser la charge de la preuve ?
Dans ces conditions, pour ce type d’information d’une extrême sensibilité et, au moins, pour les personnes qui ne recherchent pas les suffrages du public, ne conviendrait-il pas de renverser la charge de la preuve ? D’imposer que l’exploitant du moteur de recherche ait l’obligation, à première demande, de déréférencer ces données ? Et s’il considère que la balance penche dans l’intérêt du public, l’exploitant devra saisir l’autorité de contrôle puis, en cas de refus, les tribunaux pour demander l’autorisation de re-référencer le lien. @

* Fabrice Lorvo est l’auteur du livre « Numérique : de la
révolution au naufrage ? », paru en 2016 chez Fauves Editions.

Non-respect d’une licence de logiciel par le licencié : manquement contractuel ou contrefaçon ?

Deux affaires récentes ont opposé respectivement Free et Orange à des éditeurs de logiciels, lesquels les accusaient de contrefaçon. Mais le non-respect d’un contrat de licence de logiciel par le détenteur de cette licence de logiciel peut soit relever de la contrefaçon, soit du manquement contractuel.

Par Charles Bouffier, avocat, cabinet August Debouzy

La question de la nature de la responsabilité de toute personne qui souscrit à une licence pour l’utilisation d’un logiciel (le « licencié ») mais qui ne respecte pas les termes du contrat de licence du logiciel a donné lieu ces dernières années à des solutions jurisprudentielles contrastées en droit français (1). Et ce, compte-tenu du principe de non-cumul des responsabilités (2). Cette question délicate se trouve au coeur de deux affaires récentes opposant des opérateurs – respectivement Free Mobile et Orange – à des éditeurs de logiciels.

Affaire « Free » : question préjudicielle
Le 16 octobre 2018, la Cour d’appel de Paris (3) a posé une question préjudicielle à la Cour de justice de l’Union européenne (CJUE) dans le cadre d’une affaire opposant Free Mobile à la société IT Development (4). Les faits sont les suivants : la société IT Development a consenti par contrat à la société Free Mobile une licence sur un logiciel de gestion de déploiement de réseaux mobiles dénommé ClickOnSite. Arguant d’une décompilation non-autorisée et de modifications apportées au code-source de son logiciel en violation du contrat de licence, notamment pour créer des formulaires, la société IT Development a fait procéder à une saisie-contrefaçon dans les locaux d’un sous-traitant de l’opérateur Free Mobile puis a assigné ce dernier en contrefaçon de logiciel. En défense, Free Mobile a opposé que les actes invoqués ne constituent pas une violation de droits de propriété intellectuelle, mais une inexécution contractuelle. Par jugement du 6 janvier 2017, le TGI de Paris a considéré qu’il était reproché à la société Free Mobile « des manquements à ses obligations contractuelles, relevant d’une action en responsabilité contractuelle et non pas des faits délictuels de contrefaçon de logiciel, de sorte que l’action en contrefaçon initiée par la demanderesse est irrecevable » (5). La Cour d’appel de Paris, elle, a accepté de surseoir à statuer et de renvoyer à la CJUE la question préjudicielle suivante : « Le fait pour un licencié de logiciel de ne pas respecter les termes d’un contrat de licence de logiciel (par expiration d’une période d’essai, dépassement du nombre d’utilisateurs autorisés ou d’une autre unité de mesure, comme les processeurs pouvant être utilisés pour faire exécuter les instructions du logiciel, ou par modification du code-source du logiciel lorsque la licence réserve ce droit au titulaire initial) constitue-t-il : une contrefaçon (au sens de la directive 2004/48 du 29 avril 2004 [sur le respect des droits de propriété intellectuelle, dite IPRED, ndlr]) subie par le titulaire du droit d’auteur du logiciel réservé par l’article 4 de la directive 2009/24/CE du 23 avril 2009 concernant la protection juridique des programmes d’ordinateur, ou bien peut-il obéir à un régime juridique distinct, comme le régime de la responsabilité contractuelle de droit commun ». Très attendues, les conclusions de l’avocat général de la CJUE ont été publiées le 12 septembre dernier (6). Après avoir réduit la portée de la question préjudicielle à la seule hypothèse de la modification du code source du logiciel (au motif que les trois autres seraient étrangères aux faits litigieux), l’avocat général suggère à la CJUE d’y répondre de la façon suivante : « Il y a lieu d’interpréter les articles 4 et 5 de la directive (…) concernant la protection juridique des programmes d’ordinateur, pris avec l’article 3 de la directive (…) relative au respect des droits de propriété, en ce sens que :
• La modification du code source d’un programme d’ordinateur, effectuée en violation d’un contrat de licence, constitue une atteinte aux droits de propriété intellectuelle qui appartiennent au titulaire du droit d’auteur sur le programme, à condition que cette modification ne soit pas exonérée d’autorisation conformément à la directive [sur la protection juridique des programmes d’ordinateur].
• Le fondement juridique de l’action que le titulaire des droits d’auteur sur un programme informatique peut exercer contre le titulaire de la licence, pour cause de violation des facultés propres du titulaire des droits, est de nature contractuelle lorsque le contrat de licence réserve ces facultés au titulaire du programme, conformément à l’article 5 paragraphe 1, de la directive [sur la protection juridique des programmes d’ordinateur].

Des facultés réservées au titulaire
• Il appartient au législateur national de déterminer, en respectant les dispositions de la directive [IPRED] et les principes d’équivalence et d’effectivité, les modalités procédurales nécessaires à la protection des droits d’auteur sur le programme d’ordinateur en cas de violation de ces derniers, lorsque cette violation implique simultanément une violation de ces droits et un manquement contractuel. » Ainsi, selon l’avocat général de la CJUE, si le manquement reproché au licencié consiste dans le non-respect d’une clause contractuelle par laquelle le titulaire s’est expressément réservé l’exclusivité de certaines des facultés énumérées dans la directive concernant la protection juridique des programmes d’ordinateur, « la qualification juridique du différend serait uniquement contractuelle » et il n’y aurait alors pas de place pour la contrefaçon. En revanche, la modification du code source d’un programme d’ordinateur effectuée en violation d’un contrat de licence se situe en dehors de la réserve des facultés énumérées dans cette directive. Elle implique une décompilation (afin de reconstituer le code source du logiciel), qui ne figure pas parmi les facultés précitées et qui n’est permise qu’à des fins d’interopérabilité, sous réserve de certaines conditions (8).
Aussi, selon l’avocat général, un tel manquement « pourrait être qualifié, simultanément, de manquement contractuel et de violation du devoir général du respect du droit d’auteur selon les contours définis par la loi […]. Dans ce cas de figure, le principe de non-cumul serait applicable ». Par application de la règle de non-cumul – et sous-réserve de la conformité de cette règle avec le droit de l’Union européenne (en particulier la directive IPRED) ce qu’il appartiendra à la juridiction de renvoi de dire, le fondement de l’action du titulaire serait alors de nature contractuelle.

Parallèle avec l’affaire « Orange »
En attendant l’arrêt de la CJUE sur cette question, un parallèle peut être fait avec une autre affaire récente. Le contentieux impliquant des licences de logiciel libre est suffisamment rare(lire ci-dessous une autre affaire « Free » de 2008) pour que l’on s’attarde sur un jugement du TGI de Paris du 21 juin 2019 rendu dans une affaire opposant l’éditeur de logiciel libre Entr’ouvert aux sociétés Orange et Orange Applications for Business (10). L’opérateur télécoms avait répondu à un appel d’offres de l’Agence pour le gouvernement de l’administration électronique (ADAE) en vue de la conception et de la réalisation d’un portail informatique, en proposant un outil interfacé avec la bibliothèque logicielle Lasso éditée par la société Entr’ouvert sous licence libre GNU GPL version 2. Estimant que la mise à disposition par Orange de cette bibliothèque à son client ne respectait pas les articles 1 et 2 de cette licence libre, la société Entr’ouvert a fait procéder à une saisie-contrefaçon au siège d’Orange puis l’a assigné en contrefaçon de droit d’auteur devant le TGI de Paris. En substance, elle reprochait à l’opérateur télécoms une déclaration d’utilisation de la version 0.6.3 de la licence litigieuse – alors qu’il aurait également employé la version 2.2.90, ainsi que l’indication prétendument trompeuse à l’ADAE de ce que la bibliothèque serait un module autonome.

Non-cumul de responsabilité
Orange et sa filiale Orange Application for Business (cette dernière étant intervenue volontairement à l’instance) soulevaient pour leur part l’irrecevabilité de l’action intentée au motif que le litige relèverait de la responsabilité contractuelle et non pas de la contrefaçon. L’opérateur télécoms a été suivi en cela par le TGI. En effet, après avoir rappelé – à l’instar de l’avocat de la CJUE dans l’affaire « Free » – que « la violation des droits réservés de l’auteur [listés à l’article L.122-6 du code de la propriété intellectuelle] est sanctionnée par la contrefaçon » et que « les modalités particulières d’usage pour permettre l’utilisation du logiciel conformément à sa destination, par [le licencié] sont aménagées, selon l’alinéa 2 de l’article L122-6-1 du code de la propriété intellectuelle, par contrat entre les parties », le TGI a finalement considéré « que la société Entr’ouvert poursuit en réalité la réparation d’un dommage généré par l’inexécution par les sociétés défenderesses d’obligations résultant de la licence et non pas la violation d’une obligation extérieure au contrat de licence ». En application du principe de non-cumul de responsabilité, nous dit le jugement, « seul le fondement de la responsabilité contractuelle est susceptible d’être invoqué par la demanderesse, qui doit donc être déclarée irrecevable en son action en contrefaçon et en ses prétentions accessoires ». L’affaire rebondira peut-être devant la Cour d’appel de Paris… @

ZOOM

Il y a dix ans, Free était déjà accusé de contrefaçon – sur sa Freebox
La licence libre GNU GPL Version 2 (GNU signifiant « GNU’s Not UNIX » et GPL « General Public License ») avait déjà été au cœur il y a dix ans d’une précédente affaire de contrefaçon portée devant le TGI de Paris : l’affaire « Free/ Welte, Andersen et Landley » qui avait défrayé la chronique à l’époque. En 2008, les auteurs de deux logiciels libres (Iptables et BusyBox) avaient assigné Free en contrefaçon de leurs droits d’auteur devant le TGI de Paris. Ils reprochaient à l’opérateur télécoms l’utilisation, dans la Freebox, des deux logiciels litigieux sans permettre l’accès à leurs codes sources, en méconnaissance des termes de cette licence GNU GPL Version 2 (https:// lc.cx/Assign2008). Free s’était alors défendue en expliquant que le terminal n’était pas vendu mais simplement prêté, ce qui l’exonérait — selon son fondateur Xavier Niel — de toute obligation de divulgation dudit code source. Un accord avait finalement été conclu en juillet 2011 entre les parties mettant fin au procès (https:// lc.cx/FSF-Free2011). Cet accord prévoyait notamment le libre accès aux codes sources des logiciels libres utilisés dans les Freebox. Compte-tenu de cette issue amiable, le TGI n’avait pas eu à se prononcer sur la recevabilité de l’action en contrefaçon des demandeurs pour non-respect des termes de la licence GNU GPL Version 2. Huit ans après, l’occasion lui en a été donnée dans le cadre d’une affaire visant cette fois-ci l’opérateur Orange. @

Les internautes reprennent la main sur les cookies, mais les éditeurs de sites web se rebiffent

« Le placement de cookies requiert le consentement actif des internautes ; une case cochée par défaut est donc insuffisante », a rappelé la Cour de justice de l’Union européenne (CJUE) dans un arrêt du 1er octobre, RGPD oblige. Ce consentement actif préalable ne plaît à tous les éditeurs du Web.

L’étau du règlement général sur la protection des données (RGPD), entré en vigueur en mai 2018, se resserre sur les cookies, ces traceurs ou autres mouchards déposés sur les terminaux des internautes et mobinautes à des fins de publicités ciblées et de collecte de données. L’arrêt rendu le 1er octobre par la Cour de justice de l’Union européenne (CJUE) suit les conclusions de l’avocat général de cette dernière, qui, le 21 mars 2019, avait rappelé que pour être valide le consentement de l’utilisateur à accepter des cookies doit être « éclairé » (1).

Le Conseil d’Etat saisi contre la Cnil
« Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité », prévoit le considérant 32 du RGPD. De plus, l’utilisateur doit être informé de la durée de fonctionnement des cookies et de l’identité des tiers ayant accès à ses informations par ce biais. Et le RGPD précise qu’il en va ainsi « que les informations stockées ou consultées dans l’équipement terminal de l’utilisateur d’un site Internet constituent ou non des données à caractère personnel ». Il s’agit de protéger chaque Européen connecté de toute ingérence dans sa vie privée, « notamment contre le risque que des identificateurs cachés ou autres dispositifs analogues pénètrent dans son équipement à son insu » (2).
Le Comité européen de la protection des données (CEPD), anciennement appelé groupe de travail « Article 29 » (G29) et réunissant les « Cnil » européennes, est le garant de cette bonne application par les différents Etats membres. D’autant que le projet de règlement européen « ePrivacy » (respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques), toujours en discussion au Parlement européen (3), ira dans le même sens concernant les cookies.
En France, c’est la Commission nationale de l’informatique et des libertés (Cnil) qui veille et contrôle au bon respect des consignes législative du RGPD par les éditeurs de sites web. Mais elle a décidé d’appliquer un moratoire, en fixant à début 2020 le moment de la publication de ses recommandations pour mettre en oeuvre les lignes directrices publiées le 19 juillet au Journal Officiel (4) – remplaçant ainsi les précédentes instructions datant de 2013. A ce délai s’ajoutent six mois de délai pour laisser le temps aux éditeurs en ligne de s’adapter et de se mettre en conformité, soit à partir de mi-2020, deux ans après l’entrée en vigueur du fameux RGPD (5). Or une douzaine de jours avant l’arrêt de la CJUE, Etienne Drouard (photo), avocat d’un groupement de neuf associations professionnelles (6), dont le Groupement des éditeurs de contenus et de services en ligne (Geste), déposait en France un recours devant le Conseil d’Etat contre les lignes directrices « cookies et autres traceurs » de la Cnil. Ces neuf associations professionnelles, représentatives de l’écosystème du Net français (éditeurs, régies publicitaires, Ad-tech, e-commerçants et annonceurs), contestent la manière dont la Cnil interprète le RGPD. Par exemple, cette dernière prévoit à l’article 2 de ses lignes directrices qu’« afin que le consentement soit éclairé, l’utilisateur doit pouvoir identifier l’ensemble des entités ayant recours à des traceurs avant de pouvoir y consentir. Ainsi, la liste exhaustive et régulièrement mise à jour de ces entités doit être mise à disposition auprès de l’utilisateur directement lors du recueil de son consentement » (7).
Les neuf plaignantes craignent « une totale remise en cause, à terme, des activités marketing et publicitaires et une grande destruction de valeur économique, notamment au profit des acteurs internationaux dominants de ce secteur ». Par ailleurs, pour Maître Drouard (cabinet K&L Gates), qui s’est exprimé chez nos confrères de Mind Media et de l’AFP, cette solution franco-française n’est pas prévue dans le RGPD qui ne prévoit pas tant d’informations à fournir aux utilisateurs. « La publicité sans cookies, ça n’existe pas », a-t-il lancé. A partir du 29 octobre, Libération va essayer de prouver le contraire.

Le moratoire « cookies » attaqué par LQDN
Quant au moratoire consenti par la Cnil aux éditeurs en ligne du temps pour avoir le temps de se mettre en conformité, il est attaqué dans un second recours déposé le 29 juillet devant le Conseil d’Etat par cette fois La Quadrature du Net, association française de défense des droits et libertés numériques, et Caliopen, autre association de l’Internet libre (à l’origine d’un projet soutenu par Gandi pour développer un agrégateur de correspondances privées provenant de messageries électroniques, réseaux sociaux ou de microblogging). Pour elles, il n’y a pas de temps à perdre pour assurer « la protection de nos libertés fondamentales ». L’arrêt est à venir. @

Charles de Laubier

Responsabilité et données : le « Je t’aime moi non plus » des éditeurs en ligne vis-à-vis de Facebook

La pluralité de responsables dans le traitement des données personnelles n’implique pas forcément une responsabilité conjointe. C’est le raisonnement que devrait avoir la Cour de justice européenne dans l’affaire « Fashion ID ».
Or, son avocat général n’en prend pas le chemin. Erreur !

Par Etienne Drouard et Joséphine Beaufour, avocats associés, cabinet K&L Gates

L’éditeur d’un service en ligne – site web et/ou application mobile – peut-il être coresponsable de la collecte, par Facebook, des données personnelles des visiteurs de son service en raison de l’intégration d’un bouton « J’aime » de Facebook au sein de son service ? Selon l’avocat général de la Cour de justice de l’Union européenne (CJUE), lequel a présenté le 19 décembre 2018 ses conclusions dans l’affaire « Fashion ID » (1), la réponse devrait être « oui ».

Communauté d’intérêt et responsabilité
Cet avocat général (2) cherche à construire, en matière de protection des données personnelles comme en matière de propriété intellectuelle, un régime de responsabilité liée à l’insertion d’un lien hypertexte vers les services d’un tiers. En matière de propriété intellectuelle, il aura fallu 14 années de controverses avant de juger au niveau européen qu’un lien hypertexte peut être un acte de représentation d’une oeuvre nécessitant, pour celui qui intègre un lien au sein de son service, de recueillir l’autorisation du titulaire des droits attachés à l’oeuvre accessible via ce lien (3). En matière de protection des données personnelles, cette fois, quelle est la responsabilité pour l’éditeur d’un service en ligne résultant de l’insertion d’un lien hypertexte d’un tiers – en l’occurrence le bouton « J’aime » de Facebook – sur son site web, permettant à ce tiers de collecter des données personnelles des visiteurs du site web concerné ? Comme en matière de propriété intellectuelle, l’avocat général de la CJUE se demande si le critère décisif pour déclencher une telle responsabilité ne serait pas celui d’une communauté d’intérêts entre celui qui intègre le lien sur son site web et celui qui a conçu seul les fonctionnalités que ce lien déclenche. Dans cette affaire « Fashion ID » – du nom de la société allemande de vente en ligne de prêt-à-porter – il est établi que l’adresse IP et l’identifiant du logiciel de navigation du visiteur du site web de Fashion ID sont transmis à Facebook du fait de l’intégration d’un bouton « J’aime » sur ce site, même si le visiteur ne clique pas sur ce bouton « J’aime », et même s’il ne dispose pas d’un compte Facebook. La « Verbraucherzentrale NRW eV », une association allemande de protection des consommateurs a introduit une action en cessation à l’encontre de Fashion ID au motif que l’utilisation du bouton « J’aime » de Facebook sur ce site web était contraire aux lois allemandes sur la protection des données personnelles, lois transposant la directive européenne «Protection des données personnelles » de 1995. Puisque cette action ayant été introduite avant l’entrée en vigueur du RGPD (4), la CJUE rendra donc sa décision en application de cette directive de 1995 et des lois de transposition allemandes (5). L’association reproche ainsi à Fashion ID de n’avoir fourni aucune information à ses visiteurs sur l’existence d’une telle collecte par Facebook. Le régime de responsabilité entre Facebook et Fashion ID reste en suspens : est-elle conjointe, solidaire, ou distincte ? Pour obtenir une réponse fiable, l’association allemande a saisi la CJUE d’une question préjudicielle afin de savoir si Fashion ID peut être considéré comme « responsable du traitement » au sens de la directive de 1995, alors même qu’elle ne peut avoir elle-même aucune influence sur ce processus de traitement des données par Facebook ?
L’avocat général de la CJUE fait référence, dans ses conclusions, à l’arrêt
« Unabhängiges » (6) du 5 juin 2018 dont l’affaire serait similaire à celle de Fashion ID, au motif que : l’éditeur de site web intègre dans son site une fonctionnalité développée et mise à disposition par Facebook, permettant ainsi la collecte de données personnelles par Facebook, résultant de l’enregistrement par Facebook de cookies
sur les terminaux des visiteurs de sa page web. L’occasion de faire cette analogie ayant été trop belle, il en a conclu que le gestionnaire d’un site web qui y intègre un lien hypertexte installant le « plugiciel » (ou plugin en anglais) d’un tiers – en l’espèce,
le bouton « J’aime » de Facebook – permettant la collecte par ce tiers de données personnelles, devrait être considéré comme un « coresponsable » de cette collecte avec ledit tiers ayant conçu ce plugiciel.

« Unité de finalités et de moyens » : vague
Inventer des similitudes peut parfois tourner à la conversation de comptoir. L’avocat général a cherché à découvrir, coûte que coûte, « une identité de finalités et de
moyens » dans l’opération de collecte et de transfert des données personnelles pour que Facebook et Fashion ID soient jugés coresponsables. Selon lui, la détermination commune des moyens serait caractérisée par la décision prise par Fashion ID d’utiliser le plugiciel fourni par Facebook, outil permettant la collecte et la transmission des données personnelles à Facebook. Ainsi, tant Facebook que Fashion ID « paraissent donc avoir délibérément été à l’origine de la phase de collecte et de transmission du processus de traitement des données ».

Des conclusions dénuées de tout fondement
Par ailleurs, l’avocat général, a estimé que la finalité pour laquelle Fashion ID a intégré le bouton « J’aime » sur son site web serait d’améliorer la visibilité de ses produits par le biais du réseau social. S’il admet que cette finalité ne correspond pas à celle poursuivie par Facebook (à savoir le profilage des visiteurs à des fins de publicités ciblées), il affirme cependant que les deux parties « paraissent globalement poursuivre la même finalité d’une manière qui semble mutuellement assez complémentaire ». Le critère retenu ici ne serait donc pas l’identité de la finalité poursuivie, mais « une unité de la finalité : commerciale et publicitaire », critère beaucoup plus large, vague et sujet à interprétation que le premier. La conclusion à laquelle parvient l’avocat général est dénuée de tout fondement juridique connu ou prévu par les textes en vigueur hier ou aujourd’hui. D’une part, ni la directive de 1995, ni le RGPD, ni la CJUE jusqu’à présent, ne se fondent sur une « identité de finalités » ou encore une « unité de finalités », mais bien sur la détermination commune de finalités par les deux responsables de traitement, c’est-à-dire une (ou plusieurs) finalité(s) déterminée(s) d’un commun accord.
D’autre part, la détermination conjointe de moyens ne fonde pas la décision prise par un éditeur de site web d’intégrer un plugiciel d’un tiers sur sa page web. Il serait, au contraire, grand temps d’admettre qu’un seul et même moyen de traitement de données, peut servir des finalités et des intérêts différents, voire divergents, déclenchant des responsabilités distinctes pour des traitements de données qui peuvent être étrangers l’un de l’autre ou propres à un acteur, et échappant à la connaissance, au contrôle ou au bénéfice d’un autre acteur. C’est au prix de cette distinction des intérêts et des finalités, qu’on peut réguler l’économie numérique en évitant de confondre David et Goliath et de rendre un éditeur européen de services coresponsable de l’activité d’un vendeur américain de profils publicitaires. Fashion ID
et Facebook ne sont pas coresponsables de traitement ; Fashion ID n’a pas déterminé conjointement avec Facebook les finalités et les moyens qu’aura Facebook de traiter des données. La pluralité de responsables de traitement n’implique pas forcément une responsabilité conjointe. Autrement dit, quand on est plusieurs, on ne forme pas qu’un. Selon la directive de 1995, un responsable de traitement est « la personne physique ou morale qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel » (7). Cette définition a été reprise à l’identique dans le RGPD (8) : elle admet qu’il peut y avoir plusieurs coresponsables décidant conjointement de la finalité du traitement et des moyens à mettre en oeuvre pour la réaliser (9). S’il peut exister différents niveaux de responsabilité conjointe, pour tout ou partie d’un traitement de données, la question posée désormais à la CJUE est celle avant tout de savoir comment caractériser une telle responsabilité conjointe et non de la décréter par paresse lorsqu’on se trouve en présence de plusieurs acteurs autour d’un même moyen de traitement de données. Tant la directive de 1995 que le RGPD
de 2018 posent un critère repris par la CJUE, celui de la « détermination conjointe des finalités et des moyens » du traitement opéré par les personnes physiques ou morales. Or, l’avocat général ne reprend pas ce critère d’appréciation puisque, selon lui, pour qu’il y ait responsabilité conjointe, il est nécessaire que les deux opérateurs poursuivent une unité de finalité et non pas qu’ils déterminent conjointement la finalité de traitement. Or les finalités poursuivies par Fashion ID et par Facebook sont divergentes.
Il est faux d’affirmer en l’espèce que les deux parties auraient déterminé de façon commune la finalité de l’opération de traitement consistant en la collecte des données personnelles des visiteurs du site web de Fashion ID. En effet, Facebook n’est convenu de rien avec personne lorsqu’il a conçu son plugiciel lui permettant à lui – et à lui seul – de collecter les données de personnes visitant un site web tiers. Facebook n’a pas davantage discuté avec quiconque de sa stratégie « data », consistant à collecter et traiter des données à des fins de profilage et de ciblage publicitaire, y compris lorsque les personnes concernées ne se sont jamais inscrites sur Facebook. Fashion ID a simplement décidé, a posteriori, d’intégrer ce plugiciel dans sa page web afin de bénéficier de la diffusion qu’un bouton « J’aime » lui procure au sein des membres
de la communauté Facebook d’un de ses visiteurs, si ce dernier a un compte Facebook et s’il clique « J’aime ». La société Fashion ID n’a en aucun cas déterminé les moyens essentiels à la collecte par Facebook des données car elle n’a pas participé à la conception du plugiciel, de ses fonctionnalités, de ses finalités et de leur participation
à la stratégie « data » de Facebook.

Ce qu’en disent les « Cnil » européennes
Ainsi, Fashion ID et Facebook ne peuvent être qualifiés de responsables conjoints d’un tel traitement, non pas parce que ce serait une erreur d’appréciation discutable, mais parce que les régulateurs européens et le RGPD disent le contraire. Comme l’a relevé le G29 des « Cnil » européennes, « la coopération dans le traitement ne signifie pas qu’il y a forcément coresponsabilité. En effet, un échange de données entre deux parties, sans partage des finalités ou des moyens dans un ensemble d’opération, doit être considéré uniquement comme un transfert de données entre des responsables distincts » (10). Il faudra être encore un peu patient avant d’avoir la position finale de
la CJUE, en espérant, d’ici là, que celle-ci ne se trompera pas de question ni de raisonnement. @

Réforme du droit d’auteur : les eurodéputés rejettent le risque de filtrage généralisé d’Internet

En rejetant le 5 juillet 2018 la réforme controversée de la directive sur le droit d’auteur, les eurodéputés jouent les prolongations en renvoyant la poursuite des débats à septembre prochain. Le risque de filtrage généralisé de l’Internet est l’un des points noirs de ce projet législatif.

L’article 13 de la directive européenne « Droit d’auteur dans le marché unique numérique » est le plus controversé de la réforme du copyright, contre laquelle 318 eurodéputés se sont prononcés contre le 5 juillet à Strasbourg (versus 278 pour et 31 abstention). Cet article 13 est celui qui fait le plus débat – voire polémique – dans ce projet de texte qui vient d’être rejeté. Car il introduirait une responsabilité des plateformes du numériques – de YouTube à Facebook, en passant par Twitter, Dailymotion ou encore Wikipedia – sur le sort des contenus (musiques, films, photos, …) qu’elles hébergent et mettent à disposition sur Internet.

L’article 13 cristallise l’opposition
Cet article 13, qui avait pourtant obtenu le 20 juin dernier la bénédiction de la commission des Affaires juridiques (JURI) du Parlement européen (15 voix pour,
10 contre), présente le risque d’ouvrir la voie au filtrage généralisé d’Internet dans la mesure où les GAFA devraient supprimer de façon préventive les contenus considérés comme piratés. Leur responsabilité serait ainsi étendue à la lutte contre le piratage en ligne, au point de leur demander d’utiliser le filtrage automatique de téléchargement en cas de violation de la propriété intellectuelle. YouTube, la filiale vidéo de Google, utilise déjà un système d’identification des contenus protégés, baptisé Content ID, qui détecte automatiquement les violations présumées de droits d’auteur. Un fois que le contenu
« piraté » est repéré, YouTube le supprime aussitôt.
C’est la perspective de ce filtrage généralisé qui pose problème depuis la présentation de ce projet de directive en septembre 2016 par la Commission européenne. Le 25 mai dernier, les Etats membres, au sein du Conseil de l’Union européenne, s’étaient mis d’accord sur la responsabilisation des plateformes. Le projet de texte (1) oblige les prestataires de services à obtenir l’autorisation des ayants droits. Ainsi, l’article 13 stipule : « Quand il a aucune autorisation, par exemple parce que le détenteur de droits ne veut pas conclure une licence, le prestataire de services devra empêcher la disponibilité des œuvres identifiées par l’ayant droit. Sinon, les prestataires de service seront considérés comme responsables de l’infraction au copyright. (…) Sur la notification par l’ayant droit d’une oeuvre protégée non autorisé, le prestataire de services devra prendre des mesures urgentes pour supprimer l’oeuvre et l’empêcher de devenir disponible à l’avenir ». Autrement dit, en absence de d’autorisation de l’ayant droit, un fournisseur de services de partage de contenu en ligne sera tenu pour responsable s’il ne démontre pas qu’il a fait preuve des meilleurs efforts pour empêcher la disponibilité des œuvres spécifiques ou autres « en mettant en oeuvre des mesures efficaces et proportionnées, pour empêcher la disponibilité sur ses services des œuvres spécifiques ou autres identifiées par le détenteur de droits et pour lequel celui-ci a fourni au service des informations pertinentes et nécessaires pour l’application de ces mesures, et sur notification de l’ayant droit ». Cet article 13 soulève de nombreux problèmes de compatibilité avec la directive européenne de 2000 sur le commerce électronique (2), laquelle régit – depuis près de vingt ans maintenant – une bonne partie des responsabilités des acteurs de l’Internet qui ne sont soumis à aucune obligation de surveillance préalable des contenus. Le statut d’hébergeur à responsabilité limité avait d’ailleurs été conforté le 24 novembre 2011 par la Cour de justice de l’Union européenne (CJUE) dans un arrêt « Scarlet contre Sabam » dans lequel elle a décidé que« le droit de l’Union s’oppose à une injonction faite à un [fournisseur d’Internet] de mettre en place un système de filtrage de toutes les communications électroniques transitant par ses services ». La directive « e-commerce » de 2000 prévoit en effet, dans son article 15 intitulé « Absence d’obligation générale en matière de surveillance », que « les États membres ne doivent pas imposer aux [fournisseur d’Internet] une obligation générale de surveiller les informations qu’ils transmettent ou stockent, ou une obligation générale de rechercher activement des faits ou des circonstances révélant des activités illicites » (3).

Les arrêts « contre » de la CJUE
De plus, la CJUE avait estimé qu’« une telle obligation de surveillance générale serait incompatible » avec une autre directive et non des moindres : à savoir la directive « Propriété intellectuelle » du 29 avril 2004 (4), selon laquelle « les mesures [pour assurer le respect des droits de propriété intellectuelle] ne doivent pas être inutilement complexes ou coûteuses et ne doivent pas comporter de délais déraisonnables ». Ce qui n’est pas le cas du filtrage généralisé. Et comme si cela ne suffisait pas, les juges européens en ont appelé à la Charte des droits fondamentaux de l’Union européenne signée le 7 décembre 2000 et devenue « force juridique obligatoire » depuis l’entrée en vigueur du Traité de Lisbonne en décembre 2009. « La protection du droit de propriété intellectuelle est certes consacrée [par] la charte des droits fondamentaux de l’Union européenne (article 17, paragraphe 2). Cela étant, il ne ressort nullement (…) qu’un tel droit serait intangible et que sa protection devrait donc être assurée de manière absolue », a estimé la CJUE. Un autre arrêt européen, daté du 16 février 2012 celui-là (Sabam contre Netlog (5)), s’est lui aussi opposé à une surveillance généralisée du Net. En France, la loi pour la confiance dans l’économie numérique (LCEN) de 2004 est venue à son tour sanctuariser ce régime de responsabilité limitée de l’hébergeur.

Mises en garde et controverses
Malgré toutes ces précautions législatives et jurisprudentielles, le statut des hébergeurs du Net était menacé. Les mises en gardes des opposants et les campagnes des lobbies ont finalement abouti au rejet du 5 juillet. « Ces mesures [si elles devaient être adoptées à la rentrée, ndlr] vont sérieusement saper les libertés fondamentales de l’Internet. Placer les intérêts particuliers des grosses compagnies média avant notre capacité à participer librement en ligne est inacceptable », avait lancé le 20 juin dernier l’eurodéputée Julia Reda (photo), qui fut l’auteur en 2015 du premier rapport (6) demandé par le Parlement européen en vue de cette réforme du droit d’auteur à l’ère du numérique. Selon elle, « l’article 13 va forcer les plateformes Internet (réseaux sociaux, sites vidéo, hébergeurs de photos, etc.) à installer de puissants filtres pour inspecter tout contenu publié par des utilisateurs, aussi en images – et donc à bloquer la plupart des “mèmes” (7), ceux-ci étant en général basé sur des images connues et non libres de droits ». Du côté des utilisateurs, le Bureau européen des unions de consommateurs (Beuc), basé à Bruxelles, avait exprimé son inquiétude, par la voix de sa directrice générale, Monique Goyens :
« Internet tel que nous le connaissons ne sera plus le même à partir du moment où les plateformes devront systématiquement filtrer le contenu que les utilisateurs veulent télécharger. Internet va passer d’un lieu où les utilisateurs peuvent partager leurs créations et leurs idées à un lieu contraignant et contrôlé ». La Quadrature du Net, elle, avait dénoncé très tôt « l’automatisation de la censure au nom de la protection du droit d’auteur et, plus largement, contre la centralisation du Web » (8). Cette association de défense des droits et libertés numériques a pris acte des « garanties » présentées par l’eurodéputé rapporteur du texte, Axel Voss, à savoir contre des censures arbitraires ou abusives : la censure opérée par les plateformes ne doit pas conduire au filtrage de contenus qui ne contreviennent pas à un droit d’auteur, ni au déploiement d’une surveillance généralisée des contenus mis en ligne ; un mécanisme de contestation rapide auprès de la plateforme, ainsi que la possibilité de saisir un juge afin de faire valoir des exceptions au droit d’auteur qui rendraient le filtrage injustifié. Mais ce compromis n’avait pas convaincu La Quadrature du Net, ni même Wikipedia qui avait protesté le 4 juillet en se rendant inaccessible dans plusieurs pays européens. Surtout qu’un article 11 prévoit, lui, l’instauration d’un droit voisin pour les éditeurs de presse. Encore plus contesté que l’article 13, il fut adopté le 20 juin dernier de justesse (13 voix pour, 12 contre). Ce droit voisin va permettre aux journaux, magazines ou encore aux agences de presse de se faire rémunérer lors de la réutilisation en ligne de leurs contenus par les agrégateurs d’informations tels que Google News ou Yahoo News (9). Surnommée « taxe sur les liens » (link tax) pour les contenus d’actualité, cette mesure suppose aussi de surveiller et filtrer Internet pour la mettre en oeuvre. « Le filtrage automatique des téléchargements et les droits voisins vont entraîner une censure de la liberté d’expression en ligne et un délitement d’Internet tel que nous le connaissons », avait déclaré Siada El Ramly, directrice générale d’Edima (European Digital Media Association), organisation représentant les GAFA (10). Le 5 juillet, l’Edima a considéré le rejet du texte comme « une victoire pour la démocratie ». Quant à l’association CCIA (Computer & Communications Industry Association), basée aux Etats-Unis et porte-parole des mêmes géants américains du Net, elle avait fustigé aussi la réforme du droit d’auteur : « Les filtres de téléchargement présenteront une obligation générale de contrôler le contenu téléchargé par l’utilisateur, ce qui sera destructeur pour les droits fondamentaux des citoyens européens et pour responsabilité limité des plateformes – une pierre angulaire légale pour le secteur numérique européen ».
En France, l’Association des services Internet communautaires (Asic) – présidée par Giuseppe de Martino (11) – avait lancé un appel le 13 avril dernier, dans une tribune parue dans Le Monde et cosignée par le Syntec numérique, France Digitale, Tech in France et Renaissance numérique, en demandant « au gouvernement français de préserver l’Internet ouvert tel que nous le connaissons actuellement, en empêchant l’instauration d’un filtrage généralisé ». Ensemble, ils ont mis en garde : « Le développement d’Internet, la créativité, la diversité des contenus que l’on peut y trouver et qui font sa richesse s’en trouveraient gravement menacés ». Les eurodéputés les ont entendus.

« Outils automatiques » et contenus illicites
La Commission européenne, elle, incite fortement les plateformes à mettre en place des « outils automatiques » de détection pour lutter non seulement contre le piratage en ligne mais aussi les contenus à caractère terroriste, les incitations à la haine et à la violence, les contenus pédopornographiques, les produits de contrefaçon. C’est le sens de sa recommandation du 1er mars (12). Elle avait fixé l’échéance du mois de mai 2018 avant de décider s’il y a lieu ou pas de légiférer. @

Charles de Laubier