Dans un arrêt du 11 novembre 2020, la Cour de justice de l’Union européenne s’est prononcée sur les modalités du recueil du consentement à un traitement de données personnelles. Elle indique qu’il « appartient au responsable du traitement des données de démontrer que la personne concernée a, par un comportement actif, manifesté son consentement au traitement de ses données à caractère personnel et qu’elle a obtenu, préalablement, une information au regard de toutes les circonstances entourant ce traitement, sous une forme compréhensible et aisément accessible ainsi que formulée en des termes clairs et simples, lui permettant de déterminer facilement les conséquences de ce consentement, de sorte qu’il soit garanti que celui-ci soit donné en pleine connaissance de cause. ». Plus précisément, quand un contrat relatif à la fourniture de services de télécommunication contient une clause selon laquelle la personne concernée a été informée et a consenti à la collecte ainsi qu’à la conservation d’une copie de son titre d’identité à des fins d’identification, la Cour considère que cette clause n’est pas de nature à démontrer que cette personne a valablement donné son consentement, au sens du RGPD. Il n’y a pas de démonstration de consentement « lorsque la case se référant à cette clause a été cochée par le responsable du traitement des données avant la signature de ce contrat, ou lorsque les stipulations contractuelles dudit contrat sont susceptibles d’induire la personne concernée en erreur quant à la possibilité de conclure le contrat en question même si elle refuse de consentir au traitement de ses données, ou lorsque le libre choix de s’opposer à cette collecte et à cette conservation est affecté indûment par ce responsable, en exigeant que la personne concernée, afin de refuser de donner son consentement, remplisse un formulaire supplémentaire faisant état de ce refus ».
Dans cette affaire, Orange Romania avait été condamné à verser une amende par l’autorité de contrôle roumaine pour avoir collecté et conservé les copies des titres d’identité de ses clients, sans leur consentement exprès. La case relative au consentement avait déjà été cochée par les agents de vente d’Orange Romania avant que ces clients ne procèdent à la signature portant acceptation de toutes les clauses contractuelles. Or, la Cnil roumaine avait estimé que cette case précochée avant la signature de chacun des contrats n’avait pas été de nature à établir un consentement assez solide.

Lire notre présentation de la décision

Par une décision du 4 novembre 2020, le Conseil d’Etat a rejeté le recours de la Quadrature du net en annulation pour excès de pouvoir du décret du 13 mai 2019 autorisant la création d’un moyen d’authentification Alicem (Authentification en ligne certifiée sur mobile). Le Conseil a estimé quel le recours au traitement de données biométriques autorisé par décret doit être regardé comme exigé par la finalité du traitement. Par ailleurs, il considère que le consentement des utilisateurs de cette application est librement consenti, ajoutant que ceux qui ne souhaitent pas y consentir ne subissent pas de préjudice au sens du RGPD, dans la mesure où ils peuvent accéder à l’ensemble des téléservices via un identifiant unique. Enfin, le Conseil d’Etat considère que le recueil des données doit être regardé comme adéquat et proportionné à la finalité du traitement.
Alicem sera proposé lors de la délivrance d’un passeport ou d’un titre de séjour biométriques de résidents étrangers. Il s’agit d’un moyen d’identification et d’authentification électroniques auprès d’organismes publics ou privés partenaires afin d’accéder à leurs téléservices, disponible sur une application mobile d’un mobile Android. Le Conseil d’Etat rappelle qu’il offre aux personnes un niveau de garantie élevé au sens du règlement du 23 juillet 2014 afin de se prémunir contre l’utilisation abusive ou l’usurpation d’identité, lors de leurs démarches en ligne. Pour créer un compte Alicem, l’utilisateur doit consentir au traitement de ses données dans le cadre d’un système de reconnaissance faciale. Des identifiants électroniques sont alors associés à ce compte et les données biométriques créées à l’occasion de la création de ce compte ont alors détruites.

Les obligations qui pèsent sur le prestataire chargé du développement des applications mobiles et internet dépendent des besoins et objectifs spécifiques du client. Faute de les avoir exprimés et d’avoir effectué des tests, le client ne peut reprocher à son fournisseur d’avoir manqué à ses obligations contractuelles, estime le tribunal de commerce de Paris dans un jugement du 7 octobre 2020.
Oopet, nouvel intervenant sur le marché des animaux de compagnie, avait confié le développement d’une application de gestion de santé des animaux (Oopet Fit) et d’une application de rencontre (Oopet Love) à un prestataire informatique, la société Dual. Le contrat avait été signé sans la production d’un cahier des charges. Dual avait assuré la partie technique et Oopet la partie artistique. Le client s’est plaint de lenteur dans la livraison des applications mobiles et de nombreux dysfonctionnements. Il a finalement décidé de ne plus travailler avec Dual pour les applications mobiles dont le développement a été confié à la société Graph-R. Celle-ci a constaté l’existence de nombreux bugs et a indiqué qu’il faudrait tout reprendre à zéro. Oopet a donc demandé à Dual de lui rembourser les sommes versées, ce que cette dernière a refusé de faire.
Le tribunal rappelle que Oopet et Dual avaient choisi de travailler selon les principes de la méthode Agile, ce qui nécessitait de nombreux allers-retours entre les parties. Des erreurs ont été relevées, des réponses ont parfois été apportées de manière tardive, des difficultés sont apparues pour s’accorder sur les prestations, ce qui « ne dérogent pas à la norme de ce type de construction en l’absence de cahier des charges et ne présentent pas de caractère anormal », constate le tribunal. Il en a conclu que le prestataire avait exécuté ses obligations contractuelles, eu égard au fait que le client n’avait pas exprimé ses besoins et qu’il lui reprochait une absence de tests alors que cette obligation ne figurait pas au contrat.

Le tribunal judiciaire de Meaux a rappelé que lorsque les faits se sont produits sur internet, le demandeur est libre de choisir le tribunal. Dans une ordonnance sur incident du 2 novembre 2020, le tribunal a rappelé la règle de l’article 46 du code de procédure civile qui autorise le demandeur, en matière délictuelle, à saisir la juridiction du lieu du fait dommageable ou celle dans le ressort de laquelle le dommage a été subi. Pour le tribunal, « il est constant que les écrits objet du litige (dont il est sollicité le déréférencement) ont été publiés sur internet et sont en conséquence diffusés sur l’ensemble du territoire national et ainsi mises à la disposition des utilisateurs éventuels du site de sorte que M. X. pouvait légitimement choisir la présente juridiction, la constatation des faits par un huissier parisien étant parfaitement indifférente à cet égard. ».
Cette exception d’incompétence soulevée par Google LLC s’inscrit dans un litige portant sur une demande de déréférencement d’un homme concernant une page portant atteinte à son image. Selon ce dernier, le référencement sur le moteur de recherche lui causerait un préjudice dans l’exercice de son activité professionnelle au siège de la Bred Banque Populaire à Paris. N’ayant pas obtenu gain de cause, le demandeur a assigné Google devant le tribunal judiciaire de Meaux, situé dans le département où il réside. Mais Google a soulevé une exception d’incompétence. Comme à son habitude, il a essayé de faire valoir que le tribunal saisi n’a aucune compétence au regard de sa domiciliation aux Etats-Unis, invoquant l’article 42 du code de procédure civile. Le tribunal écarte l’application de ce texte au profit de l’article 46 du CPC. Google a de nouveau remis en cause la compétence de cette juridiction au profit de Paris, les constats des faits ayant été effectués par un huissier parisien. Après avoir balayé ce dernier argument, le tribunal a rejeté l’exception tirée de l’incompétence territoriale de la présente juridiction et a renvoyé les parties à l’audience de mise en état du 4 janvier 2021 pour les conclusions en réplique au fond de la société Google LLC.

Par un jugement du 15 octobre 2020, le tribunal judiciaire de Paris a interdit à Google de permettre l’achat de mots-clés « achat/vente, billets/tickets et spectacle/concert » via Google Ads pour toute annonce destinée à un public situé en France, en vue de la vente de billets de spectacle sans autorisation écrite du producteur du spectacle concerné, sous astreinte de 1 000 € par infraction constatée. Le tribunal a, en outre, condamné Google à verser au syndicat Prodiss (Syndicat national des producteurs, diffuseurs, festivals et salles de spectacle musical et de variété) 40 000 € au titre du préjudice d’image subi et 20 000 € au titre de l’article 700 du CPC.
Prodiss avait constaté sur le moteur de recherche Google la présence d’annonces publicitaires de ventes de billets de spectacle de Rammstein, Grand corps malade, Drake ou Metallica renvoyant vers des sites non autorisés à les vendre par les producteurs. Or, l’article 313-6-2 du code pénal prohibe la vente de billets de spectacle, réalisée de manière habituelle, et sans l’autorisation du producteur ou de l’organisateur de spectacle. Le Conseil constitutionnel avait validé cet article et l’avait justifié par le fait que « l’incrimination en cause doit permettre de lutter contre l’organisation d’une augmentation artificielle des prix des titres d’accès à ces manifestations et spectacles ».
Après des pourparlers vains, Prodiss a assigné Google pour obtenir des mesures visant à l’empêcher de diffuser des messages publicitaires faisant la promotion de l’activité illicite de vente de billets. Le tribunal a estimé que Google avait engagé sa responsabilité à l’égard des producteurs représentés par le syndicat en permettant à des sites non autorisés de proposer les billets à la vente, alors que le l’article du code pénal vise à protéger les lourds investissements de la profession. Il a donc enjoint à Google de subordonner l’achat des mots clés en cause à la justification d’une autorisation écrite du producteur concerné par l’annonce.

Dans le cadre de l’enquête internationale « Implant Files » sur les dispositifs médicaux coordonnée par le Consortium international des journalistes d’investigation (ICIJ), le tribunal administratif de Paris a partiellement donné raison au quotidien Le Monde concernant sa demande d’accès à la liste des dispositifs médicaux certifiés CE. Dans sa décision du 15 octobre 2020, il juge que la protection du secret des affaires ne justifie pas le refus de communiquer la liste des dispositifs médicaux mis sur le marché et ayant obtenu la certification CE. En revanche, il considère que la demande de communication de la liste des dispositifs médicaux n’ayant pas obtenu ce marquage ou de ceux qui l’ont, mais qui ne sont pas encore commercialisés, constitue une « ingérence nécessaire et proportionnée à la protection des informations confidentielles en cause ».
Une journaliste du Monde avait demandé au Laboratoire national de métrologie et d’essais (LNE) la communication des listes en question. Devant le refus opposé à sa demande, elle avait saisi la Commission d’accès aux documents administratifs (Cada) qui a émis un avis défavorable à sa requête. La journaliste et le quotidien ont donc intenté un recours en annulation de la décision du LNE, établissement public à caractère industriel et commercial, en charge d’une mission d’intérêt général. Ces documents sont considérés comme des documents administratifs auxquels l’article L. 311-6 du code des relations entre le public et l’administration est applicable. Ce texte autorise un refus de communication des documents si elle est susceptible de porter atteinte au secret des affaires.
Le tribunal rappelle que les requérantes sont fondées à se prévaloir de la liberté d’expression figurant à l’article 10 de la convention européenne des droits de l’homme pour revendiquer un accès à ces documents. Toutefois, il précise que la protection d’informations confidentielles peut justifier une restriction de cette liberté, à condition de poursuivre un but légitime et que cette ingérence soit strictement nécessaire et proportionnée. Le tribunal estime que la liste des dispositifs qui ont déjà été certifiés CE n’est plus de nature à porter atteinte au secret des stratégies commerciales des entreprises, a fortiori si elle ne comporte que le nom des dispositifs. En revanche pour les autres dispositifs, tant qu’ils n’ont pas été mis sur le marché, il pourrait être porté atteinte au secret des affaires en révélant l’intention de l’industriel de commercialiser un tel dispositif.

La cour administrative d’appel de Lyon a jugé que les moniteurs qui travaillent en qualité d’auto-entrepreneur pour la plateforme en ligne d’enseignement de la conduite automobile sous l’enseigne Le permis libre ne sont pas des salariés, au vu des conditions matérielles et effectives d’exercice des prestations. Dans son arrêt du 1er octobre 2020, elle a jugé que la Direccte n’avait pas renversé la présomption de non-salariat institué par l’article L 8221-6 du code du travail et en conclut que c’est à tort que le préfet du Rhône avait prononcé la fermeture administrative de l’établissement pour une durée de trois mois. L’Etat est condamné à verser 1 500 € à la société R & L qui exploite la plateforme, au titre de l’article L 761-1 du code de la justice administrative.
R & L, titulaire d’un agrément pour enseigner la conduite automobile, exploite une plateforme internet de mise en relation entre des tiers souhaitant préparer les épreuves de l’examen du permis de conduire et des moniteurs d’auto-école disposant de l’agrément d’enseignant ainsi que d’un véhicule équipé de la double commande. Les moniteurs sont contractuellement liés à R & L par des conditions générales d’utilisation du site applicables aux enseignants, exerçant sous le statut d’indépendant et bénéficiant de la présomption de non-salariat. Pour renverser cette présomption, il aurait fallu établir que les moniteurs fournissaient directement ou par personne interposée des prestations au donneur d’ordre dans des conditions qui les plaçaient dans un lien de subordination juridique permanente à l’égard de celui-ci. Peu importe la volonté exprimée des parties ni de la dénomination donnée dans leur convention, rappelle la cour, ce sont les conditions effectives d’exercice de la prestation qui comptent. Or, il résulte de l’instruction que plusieurs éléments plaident en faveur d’une activité hors salariat. D’abord, si les tarifs horaires sont fixés unilatéralement par R & L qui reverse la rémunération aux moniteurs, ces derniers restent libres de proposer leur service à d’autres structures agréées de formation à la conduite automobile, de choisir le nombre d’heures d’enseignement à dispenser sous l’enseigne R & L, leurs horaires, leur secteur géographique ou bien encore de renoncer à proposer leur prestation sans qu’aucun objectif quantitatif ne puisse leur être imposé. Par ailleurs, si les moniteurs sont soumis à l’évaluation des candidats, si R & L se réserve le droit de suivre le taux de réussite à l’examen du permis de conduire par enseignant, « ces clauses sont dépourvues de prérogative hiérarchique permettant de contraindre un moniteur à modifier ses pratiques ». Enfin, si selon les conditions générales d’utilisation, R & L dispose d’un pouvoir de sanction en cas d’annulation par le formateur d’une réservation en deçà du délai contractuel de quarante-huit heures ou en cas de mauvaise évaluation par les élèves, « ces stipulations visent, comme dans toute relation d’affaires, à pénaliser la partie qui n’exécute pas ou exécute mal ses obligations et n’instaurent pas de lien de subordination entre le gestionnaire de la plateforme et ses prestataires ».

Le refus de fournir le code de déverrouillage d’un téléphone peut constituer l’infraction de refus de remise de la convention secrète de chiffrement d’un moyen de cryptologie lorsqu’elle fait suite à une réquisition émanant d’une autorité judiciaire, selon l’arrêt du 13 octobre de la Cour de cassation. Dans cette affaire, le prévenu avait refusé de remettre les codes de déverrouillage des trois téléphones portables qu’il avait sur lui. La cour d’appel avait relaxé le prévenu condamné en 1ère instance, au motif qu’« un code de déverrouillage d’un téléphone portable d’usage courant, qui ouvre l’accès aux données qui y sont contenues, ne constitue pas une convention secrète d’un moyen de cryptologie, en ce qu’il ne permet pas de déchiffrer des données ou messages cryptés ». La cour suprême a invalidé l’arrêt de la cour de Paris car elle estime qu’en se référant à la notion de téléphone d’usage courant, la cour d’appel a méconnu les textes applicables en la matière.
L’article 434-15-2 du code pénal réprime le fait de refuser de remettre aux autorités la convention secrète de déchiffrement d’un moyen de cryptologie dont la personne a connaissance lorsque ce moyen est susceptible d’avoir été utilisé pour commettre un crime ou un délit. La Cour de cassation considère justement que, de la combinaison de cet article avec l’article 29 de la LCEN et les articles L. 871-1 Et R. 871-3 du code de la sécurité intérieure, il s’en déduit que « la convention secrète de déchiffrement d’un moyen de cryptologie contribue à la mise au clair des données qui ont été préalablement transformées, par tout matériel ou logiciel, dans le but de garantir la sécurité de leur stockage, et d’assurer ainsi notamment leur confidentialité. Le code de déverrouillage d’un téléphone portable peut constituer une telle convention lorsque ledit téléphone est équipé d’un moyen de cryptologie. ».

Le fait que l’identité visuelle créée par une agence de communication ait été exploitée par son client alors que plus de la moitié de la rémunération convenue n’a pas été payée « constitue l’appropriation injustifiée d’une valeur économique et caractérise les actes parasitaires dénoncés », a conclu le tribunal judiciaire de Paris dans un jugement du 9 octobre 2020. En revanche, le tribunal a rejeté les demandes de l’agence sur le fondement du droit d’auteur considérant que « nonobstant la qualité et l’efficacité de son travail de conception, et le fait qu’il se distingue par une combinaison d’éléments visuels et intellectuellement suggestifs qui se renforçant mutuellement, la société Bug ne démontre pas l’originalité des caractéristiques qu’elle invoque ». Au regard des prestations accomplies et des actes d’exploitation relevés, le tribunal fixe à 22 000 € le préjudice subi par l’agence.
La société Ixom, spécialisée dans les équipements pour cycles, avait confié à la société Bug la construction de son identité visuelle et la définition de sa stratégie de communication, puis dans un second temps la conception du packaging et le suivi de la production de son site web par la société Pepper Internet. Bug a cessé ses missions en raison de cinq factures impayées. Or, Ixom a exploité les réalisations de Bug tant sur son site internet qu’au moyen de ses comptes Facebook et Twitter, ainsi que sur les supports publicitaires et les packagings des produits d’Ixom. En outre, elle a poursuivi le développement de son site, via Pepper Internet en utilisant la charte graphique créée par Bug.
Bug s’est vu déboutée de ses demandes sur le fondement du droit d’auteur car ses créations ne sont pas originales. Concernant le logo, le tribunal constate que la police de caractères choisie est couramment utilisée dans le domaine technique et mécanique. Concernant le slogan « we love cycling as much as you do », il est centré sur l’utilisateur du produit pour assurer sa promotion ce qui traduit une maîtrise professionnelle de l’outil de communication, mais ne peut suffire à révéler une empreinte personnelle, estime le tribunal. De même que les éléments de la charte sont d’une qualité esthétique destinée à servir efficacement le message à transmettre, mais ne portent pas l’empreinte de la personnalité d’un auteur.

Par un arrêt du 8 octobre 2020, la cour d’appel de Paris a rejeté les demandes d’annulation de Google contre la décision de l’Autorité de la concurrence du 9 avril 2020 qui lui avait imposé plusieurs injonctions dont la négociation de bonne foi avec les éditeurs de presse qui feraient la demande de rémunération contre la reprise de contenus selon des critères transparents, objectifs et discriminatoires. L’Autorité avait considéré que Google avait des pratiques susceptibles de caractériser un abus de position dominante, en ayant imposé aux éditeurs des conditions de transaction inéquitables tout en refusant toute forme de rémunération suivant les modalités prévues par la loi du 24 juillet 2019.
L’article 15 de la directive a créé un droit voisin au bénéfice des éditeurs de presse en leur conférant le droit d’autoriser ou d’interdire la reproduction, la communication et la mise à disposition de leurs publications. Un mois avant l’entrée en vigueur de la loi du 24 juillet 2019 transposant la directive, Google avait annoncé qu’il n’afficherait plus d’aperçus de contenus de presse français, sauf si l’éditeur l’autorisait. Il avait toutefois précisé qu’il n’entendait pas rémunérer les éditeurs estimant que ces extraits relevaient de l’article L 211-3-1 qui prévoit que les ayants droit ne peuvent interdire « l’utilisation de mots isolés ou de très courts extraits d’une publication de presse. ». Vu la dépendance des éditeurs de presse au moteur de recherche – en France, Google détenait en 2019 93,34 % de parts de marché des services de recherche généraliste –, 87 % d’entre eux avaient accepté que Google affiche leurs contenus, sans contrepartie financière, en l’informant que cette autorisation ne valait pas renonciation de leur part à obtenir une rémunération pour la reprise des contenus protégés. C’est dans ce contexte que des syndicats de presse et l’AFP ont saisi l’Autorité de la concurrence qui a prononcé, à titre conservatoire, plusieurs injonctions à l’encontre de Google dont le comportement était susceptible de caractériser un abus de position dominante.
Sur le moyen de Google tiré de l’absence de pratique anticoncurrentielle, la cour a commencé par confirmer sans surprise qu’avec plus de 90% de parts de marché sur la recherche généraliste en ligne, Google détenait une position dominante. Puis, elle a validé les mesures conservatoires décidées par l’autorité de régulation en raison de l’existence d’une pratique anticoncurrentielle probable. En effet, le comportement unilatéral et systématique adopté par Google a placé les éditeurs dans une « situation fortement contrainte » faisant peser sur eux un risque de déréférencement. De son côté, Google tire un intérêt économique évident pour l’affichage d’articles, du fait des revenus publicitaires qu’il en tire et de l’attractivité supplémentaire de son moteur de recherche. En privant les éditeurs de la possibilité de négocier une rémunération au moment où la loi reconnaît ce droit est susceptible d’être qualifié « d’abus de position d’exploitation par l’imposition de conditions de transactions inéquitables ». Par ailleurs, l’Autorité de la concurrence avait retenu une atteinte grave de nature à affecter la pérennité d’un secteur dans son ensemble et des sociétés saisissantes en particulier et ainsi à compromettre l’offre numérique des consommateurs et des différents acteurs du marché qui la valorise.
La cour a estimé que l’autorité avait parfaitement caractérisé l’urgence et le caractère immédiat de l’atteinte. Et elle a approuvé le caractère nécessaire et proportionné des quatre mesures conservatoires ordonnées et soumises à l’examen de la cour. Concernant l’injonction de négocier de bonne foi, la cour a estimé que les limitations apportées à la liberté contractuelle n’étaient pas disproportionnées compte tenu de l’atteinte portée aux droits voisins du droit d’auteur et du possible abus d’exploitation de position dominante. Par ailleurs, l’autorité avait imposé le maintien des modalités d’affichage mises en place par la loi, selon les paramètres retenus par les éditeurs, pendant la durée de la négociation. La cour a approuvé cette injonction pour les mêmes raisons que la précédente. L’autorité avait aussi ordonné que Google prenne des mesures pour que les négociations n’affectent ni l’indexation ni le classement ni la présentation des contenus protégés repris par lui. Sur ce point, la cour d’appel a complété la décision de l’autorité en prévoyant que cette injonction ne doit pas faire obstacle aux améliorations et innovations de Google, sous réserve qu’elles n’entraînent, directement ou indirectement, aucune conséquence préjudiciable aux titulaires de droits voisins par les négociations. Enfin, la cour approuve le fait que les négociations les négociations n’affectent pas les autres relations économiques qui existeraient entre Google et les éditeurs de presse. Selon la cour, même si cette mesure peut l’empêcher de modifier son modèle économique, ces imitations à sa liberté d’entreprendre et à sa liberté contractuelle ne sont pas disproportionnées.