Au sommaire d’un numéro très juridique, cette semaine, la responsabilité des intermédiaires, la protection des données personnelles, la neutralité du Net aux États-Unis et la compétence internationale des tribunaux français dans le contentieux des cyber-délits.
Responsabilité des intermédiaires
Nous parlions la semaine dernière des critiques formulées à l’encontre d’un rapport sénatorial proposant de créer une troisième qualification pour les opérateurs du Web, outre celles d’hébergeur et d’éditeur, et de lui associer certaines obligations de surveillance et de contrôle du contenu. Cette proposition a finalement été abandonnée. Les auteurs du rapport expliquent que la directive «commerce électronique», qui interdit aux États d’imposer aux intermédiaires techniques locaux une obligation générale de surveillance du réseau, rend difficile la création de cette troisième qualification.
Pour autant, il nous semble que l’idée d’une troisième qualification était intéressante, et qu’il ne faut pas l’abandonner si vite. Le contentieux de la responsabilité des opérateurs du Web 2.0 est en effet marqué, depuis plusieurs années, par une forte insécurité juridique. Celle-ci provient de l’application du principe de neutralité technologique dans la rédaction de la règle de qualification. Grâce à ce principe, la loi est suffisamment générale et abstraite pour être appliquée aux technologies futures ; elle n’est pas dépassée dès sont entrée en vigueur, parce qu’une nouvelle technologie différente a remplacé la technologie dominante pour laquelle la loi a été pensée. Corollaire de ce caractère abstrait, la loi est plus difficile à appliquer, car son application nécessite une plus forte dose d’interprétation. De cette interprétation provient l’insécurité juridique.
Ainsi, pour ce qui nous occupe ici, les grands opérateurs du Web 2.0 (eBay, Google, YouTube, etc.) ont été tantôt qualifiés d’éditeurs (directement responsables du dommage causé par la diffusion du contenu litigieux), tantôt d’hébergeurs (bénéficiaires d’un régime spécial d’irresponsabilité pour les dommages causés par la diffusion du contenu, mais responsables pour carence lorsque, sachant qu’un contenu est illicite et disposant des moyens d’en faire cesser la diffusion, ils n’ont pas agi). L’incertitude dans la qualification réside dans le fait que la loi (article 6 LCEN du 21 juin 2004) qualifie d’hébergeur «les personnes physiques ou morales qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature fournis par des destinataires de ces services». Les hébergeurs se bornent donc à assurer le stockage d’un contenu diffusé à l’initiative de l’internaute ; ils ne sont clairement pas intéressés dans cette diffusion : que le contenu soit une page blanche ou un site complet, cela revient pour eux au même.
Et si, pourtant, cela ne revenait pas au même, ces opérateurs pourraient-ils encore être qualifiés de simples intermédiaires techniques ? Tel est le coeur de la question de la qualification des «hébergeurs intéressés» du Web 2.0 : par exemple, un site d’hébergement de vidéos tel que YouTube propose bien aux internautes d’héberger leurs vidéos (à ce titre, il est hébergeur), mais son modèle économique est fondé sur la diffusion du contenu, et non sur son seul hébergement. Cela signifie, dans le cas de YouTube, qu’il bénéficie de la quantité et de la qualité des vidéos hébergées, parce que ce sont elles qui amènent les internautes à visiter son site. Est-il, dans ce contexte, toujours un simple hébergeur ? La jurisprudence semble dernièrement s’être fixée sur une réponse positive (notamment depuis l’arrêt de la CJUE dans l’affaire Google AdWords ; v. cependant et par exemple, contra, CA Paris, 3 sept. 2010). De la même manière, YouTube participe à l’organisation des vidéos sur son site, en les classant notamment par popularité ou par thème, ou en proposant à l’internaute qui visionne une vidéo de voir des vidéos «semblables». Est-ce là une simple mesure d’organisation du contenu (tel un kiosquier qui déciderait de mettre en avant tel journal plutôt que tel autre, sans pour autant être responsable du contenu de ces journaux), ou une mesure de sélection du contenu qui relève d’une activité d’édition ? Là aussi, après avoir tergiversé, la jurisprudence tend désormais à considérer qu’il s’agit d’une simple mesure d’organisation, qui permet à l’opérateur de bénéficier de la qualification d’hébergeur. La jurisprudence en la matière est très riche, et très fluctuante. Certaines décisions mettent en scène des situations où, par exemple, l’opérateur est qualifié d’hébergeur d’une partie de la page, et d’éditeur d’une autre partie. Une autre tendance s’oriente progressivement vers le «Notice & Stay Down», c’est-à-dire vers une obligation pour les intermédiaires techniques de surveiller l’ensemble du contenu afin de s’assurer qu’un contenu particulier qui a été juge illicite et retiré ne soit pas remis en ligne par d’autres internautes (pour un exemple en jurisprudence, v. n°50).
Voilà pourquoi une troisième qualification, correspondant aux opérateurs qui hébergent des fichiers et qui, sans être éditeurs du contenu mis en ligne par les internautes, ont un intérêt dans la diffusion de ce contenu. Toutefois, cette troisième qualification doit déboucher sur un système juridiquement plus sûr et plus juste, et non constituer une manière de détourner l’interdiction faite aux États européens d’imposer aux intermédiaires une obligation générale de surveillance du réseau. Elle doit permettre de s’assurer que chacun prend ses responsabilités, mais elle ne doit pas être une arme placée entre les mains des ayants droit pour réprimer un peu plus le partage d’oeuvres sur Internet au mépris de la vie privée et de la liberté d’expression d’autrui.
Vie privée et données personnelles
Nous parlions dans un précédent numéro du décret n°2011-219 relatif à la conservation des données d’identification des internautes par les opérateurs. Nous disions alors que la conservation de certaines données allait à l’encontre des principes de nécessité et de proportionnalité qui gouvernent la matière. La conservation des mots de passe, par exemple, semble être excessive. Tel est également l’avis des grands acteurs du Web 2.0, tels que Google, Facebook, Microsoft ou Yahoo qui, réunis au sein de l’Association des Services Internet Communautaires (ASIC), ont déposé un recours en annulation contre ce décret devant le Conseil d’État.
Les deux principales critiques(es) formulées contre le décret portent sur la forme pour la première et sur le fond pour la seconde. En premier lieu, le décret a été pris sans consultation de la Commission européenne, alors qu’une telle consultation est obligatoire pour les textes relatifs à la conservation des données (art. 15.2 de la directive 2006/24). En second lieu, s’agissant du fond, les requérants soutiennent que certaines données dont le décret impose la conservation, comme les mots de passe, ne sont pas des données d’identification de l’internaute. En effet, il n’est pas nécessaire (violation du principe de nécessité) de connaître le mot de passe lié au compte de l’utilisateur d’un service du Web pour savoir qui se cache derrière le pseudonyme associé à ce compte. Les opérateurs estiment en outre que la durée de conservation (1 an) est excessive, et que la conservation d’un grand volume de données pendant une telle durée sera pour eux très coûteuse.
Neutralité du Net
L’autorité américaine de régulation des télécommunications (Federal Communications Commission ou FCC) a publié, en décembre 2010, une série de règles visant à garantir la neutralité du Net (v. n°37). Ces règles furent rapidement très controversées : les partisans de la neutralité du Net estimèrent qu’elles n’allaient pas assez loin, tandis que les opérateurs (et le camp républicain) trouvèrent en elle une restriction excessive de la liberté du commerce. Dès janvier 2011, deux grands opérateurs américains, Verizon et MetroPCS, saisirent la justice afin d’obtenir l’annulation de la réglementation de la FCC. Le tribunal saisi du dossier (DC Columbia) a jugé que ces actions étaient prématurées et a débouté les demandeurs. Mais ce n’est qu’un début, d’autres actions seront, à n’en pas douter, engagées dès que la réglementation de la FCC entrera en vigueur.
Dans le même temps, la réglementation de la FCC et l’autorité elle-même font face à une attaque de bien plus grande ampleur, provenant directement du Congrès. Le législateur américain (comprendre: le parti républicain) veut, par la loi, annuler la réglementation de la FCC et priver cette dernière du pouvoir d’imposer aux opérateurs le respect de la neutralité du Net. Une proposition dans ce sens a été déposée à la Chambre des représentants(en). Il lui reste donc encore à être votée, puis à être soumise à l’examen du Sénat et, enfin, à celui du Président qui pourrait lui opposer son veto. Affaire à suivre, donc.
Conflits de juridictions
On appelle «conflits de juridictions» une branche du droit international privé visant à déterminer quel est le tribunal compétent, dans l’ordre international, pour connaître d’une affaire. Il y a un conflit de juridictions, par exemple, lorsqu’un délit est commis sur le territoire d’un État et que le préjudice est subi par la victime sur le territoire d’un autre État. Ce conflit est résolu par des «règles de conflit» qui, en l’occurrence (art. 46 CPC en droit interne, art. 5.3 du règlement n°44/2001 en droit communautaire), confèrent une compétence générale du tribunal du fait générateur du délit pour réparer tous les préjudices qui en découlent, et une compétence particulière des juridictions de chaque pays dans lequel une fraction du préjudice est subi, pour réparer cette fraction du préjudice.
Cela étant dit, voyons un cas pratique : un site Web diffuse depuis l’étranger un message qu’une personne résidant en France estime préjudiciable. Cette personne peut-elle saisir le juge français, en soutenant que la diffusion en France lui cause préjudice ? Deux réponses sont possibles. La première est un oui franc et massif. Elle se fonde sur la théorie dite de l’accessibilité : dès lors qu’un contenu est accessible en France, les tribunaux français sont compétents pour connaître des dommages qu’il cause. Cela semble logique, et pourtant, dans le cadre d’Internet, cela ne l’est pas. En effet, tous les sites sont, par hypothèse (c’est-à-dire sauf filtrage, ce qui reste exceptionnel) accessibles en France comme en tout endroit où une connexion à Internet est possible. Le critère de l’accessibilité revient donc, peu ou prou, à consacrer une compétence universelle des juridictions françaises. Or, une telle compétence présente plus d’inconvénients que d’avantages. En particulier, elle est largement inefficace, puisqu’elle amène les tribunaux français à juger des situations totalement détachées de la France et à condamner des personnes étrangères qui pourront être protégées par leur loi locale au moment de l’exequatur de la décision française (tel est le cas notamment aux États-Unis: en raison du premier amendement à la Constitution, les tribunaux américains refusent généralement l’exécution des décisions étrangères de condamnation d’une personne résidant aux États-Unis dans les affaires relatives à la liberté d’expression). La compétence universelle est donc généralement nuisible à la bonne circulation des décisions. Elle est aussi source d’insécurité juridique pour les justiciables : imaginons, par exemple, un français condamné à l’étranger pour avoir diffusé un message sur Internet, qui est licite en droit français et qui n’était destiné qu’au public français. Il existe d’autres arguments, plus techniques encore, sur lesquels nous passons.
La deuxième réponse est un «oui» conditionné ; c’est-à-dire, un «oui mais». Oui, les juridictions françaises peuvent être compétentes, mais encore faut-il que le site litigieux ait un lien avec la France ou le public français (v. p. ex. ces deux décisions). Un tel critère permet de restreindre la compétence des tribunaux français de manière «raisonnable», c’est-à-dire en évitant la compétence universelle tout en évitant tout déni de justice.
La jurisprudence a utilisé, ces dernières années, l’un ou l’autre des deux critères. Elle a d’abord utilisé le critère de l’accessibilité (v. p. ex. Cass Com, 20 mars 2007), avant de s’orienter peu à peu vers une appréciation plus restrictive. Ainsi, plusieurs arrêts du pôle propriété intellectuelle de la Cour d’appel de Paris, rendu depuis 2007, ont exigé que le site litigieux entretienne un lien «suffisant, substantiel ou significatif» avec la France. Le pôle droit international privé de la même Cour en était, quant à lui, resté au critère de l’accessibilité (v. CA Paris, 3 sept. 2010). La Cour de cassation était partagée entre une application pure et simple du critère de l’accessibilité par la première chambre civile (arrêt Castellblanch/Cristal), et une exigence timide par la chambre commerciale d’un lien entre le site et le public français (arrêt Hugo Boss).
C’est dans ce contexte qu’intervient l’arrêt de la chambre commerciale du 29 mars 2011. Au visa de l’article 46 CPC, la Cour explique d’abord que la Cour d’appel a appliqué le critère de l’accessibilité : «Attendu que pour débouter les sociétés Ebay de leur exception d’incompétence à l’égard de la société de droit américain Ebay Inc. l’arrêt retient qu’il est établi que le site exploité aux États-Unis d’Amérique est accessible sur le territoire français et que le préjudice allégué, ni virtuel, ni éventuel, subi sur ce territoire, peut être donc être apprécié par le juge français, sans qu’il soit utile de rechercher s’il existe ou non un lien suffisant, substantiel ou significatif entre les faits allégués et le territoire français» ; et juge ensuite que ce critère ne suffit pas à établir la compétence des juridictions françaises : «Attendu qu’en se déterminant ainsi alors que la seule accessibilité d’un site internet sur le territoire français n’est pas suffisante pour retenir la compétence des juridictions françaises, prises comme celles du lieu du dommage allégué et sans rechercher si les annonces litigieuses étaient destinées au public de France, la cour d’appel a privé sa décision de base légale».