Données personnelles ou droit de la concurrence : Facebook ne se fait pas que des amis

Alors que Facebook a franchi la barre des 2 milliards d’utilisateurs, des autorités nationales et européenne s’y intéressent de plus en plus comme en témoignent les sanctions prononcées récemment à son encontre, en matière de données à caractère personnel ou en droit de la concurrence.

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie

Dans sa délibération du 27 avril 2017 (1), rendue publique le 16 mai suivant (2), la formation restreinte de la Cnil (3) a prononcé une sanction de 150.000 euros à l’encontre de Facebook. Cette sanction faisait suite à la mise en demeure, datée du 26 janvier 2016, par laquelle la Cnil, constatant plusieurs manquements à la loi informatique et libertés, avait demandé à Facebook de se mettre
en conformité. Plus largement, cette décision s’inscrit dans le prolongement d’une action conduite par plusieurs autorités nationales de protection
des données décidée à la suite du changement par le réseau social de sa politique
de confidentialité.

Lois nationales et acteurs globaux du Net
La Commission européenne a, quant à elle, prononcé une amende de 110 millions euros à l’encontre de Facebook pour avoir communiqué des informations inexactes ou dénaturées dans le cadre de l’enquête qu’elle a menée au titre du rachat de WhatsApp par Facebook en 2014. Cette sanction a été publiée le 18 mai dernier (4) (voir encadré page suivante). Ces procédures engagées à l’encontre de Facebook en Europe et en France démontrent l’inégalité des moyens d’action juridique existants et marquent la volonté des autorités de renforcer le montant des sanctions en matière de protection des données jugé trop peu dissuasif. L’adoption du règlement européen du 27 avril 2016 sur la protection des données personnelles (5) va résolument dans ce sens en augmentant considérablement le montant des sanctions prononcées par les « Cnil » en Europe. Sur ce point, le droit de la concurrence apparaît plus dissuasif puisqu’il prévoit déjà des sanctions dont le montant est proportionnel au chiffre d’affaires de l’entreprise condamnée. A propos de la sanction de Facebook en France par la Cnil, la délibération de cette dernière contient des enseignements intéressants notamment sur l’applicabilité de la loi française lorsqu’un responsable de traitement est établi dans plusieurs Etats de l’Union européenne (UE). Rappelons en effet que la loi « Informatique et libertés » (6) s’applique si le responsable d’un traitement qui exerce une activité sur le territoire français dans le cadre d’une installation, quelle que soit sa forme juridique, y est considéré comme établi (7) et que la Cnil peut exercer un contrôle sur tout traitement dont les opérations sont mises en oeuvre, même partiellement, sur le territoire national, y compris si le responsable du traitement est établi dans un autre Etat membre de l’UE (8). Pour déterminer l’applicabilité du droit français en l’espèce, la Cnil va examiner les deux critères énoncés par la directive 95/46/CE sur la protection des données : d’une part, l’existence d’un établissement ; d’autre part, la mise en oeuvre du traitement dans le cadre de ses activités. A cet égard, il est intéressant de souligner que la Cnil a souhaité se référer au texte européen (9) plutôt qu’à celui de la loi française « Informatique et libertés ». Dans sa délibération, la Cnil fait référence à la jurisprudence de la Cour de justice de l’Union européenne (CJUE) et à son interprétation large de la notion d’établissement à l’appui de son raisonnement (10). Ainsi, la formation restreinte considère que Facebook doit être qualifié d’établissement car « Facebook France constitue une installation stable qui exerce une activité réelle et effective grâce à des moyens humains et techniques nécessaires notamment à la fourniture de services de marketing » et participe dans le cadre de ses activités aux traitements en cause. Cette analyse va à l’encontre de celle avancée par Facebook qui contestait la compétence de la Cnil au profit de la législation irlandaise et, par conséquent, de l’autorité irlandaise seule autorité compétente pour contrôler le traitement des données personnelles des utilisateurs du service en Europe. Il est également intéressant de relever que la Cnil adopte la position de la CJUE qui s’était pourtant prononcée dans un contexte différent puisque, contrairement à l’arrêt « Google Spain » cité par la Cnil, « il n’existe aucun risque de contournement des dispositions européennes », Facebook ne contestant pas l’applicabilité du droit européen mais celui du droit français.

Compétence territoriale étendue ?
La Cnil se positionne donc en faveur d’une compétence territoriale étendue pour affirmer la compétence de la loi « Informatique et libertés », sa propre compétence
et prononcer une sanction à l’encontre de Facebook. Cette analyse doit être prise en compte par les responsables de traitements qui sont établis dans plusieurs Etats de l’UE notamment à l’approche de l’entrée en vigueur – à partir du 25 mai 2018 – du règlement européen qui étend le champ de la compétence territoriale. En effet, avec
le nouveau règlement, la personne concernée pourra saisir aussi bien l’autorité de contrôle de l’Etat membre où est situé le responsable du traitement ou son sous-traitant que l’autorité de contrôle dans lequel se trouve sa propre résidence ou son lieu de travail, voire le lieu où la violation alléguée aurait été commise. La décision de la Cnil en France apporte également un certain nombre de précisions au regard des règles relatives à la protection des données à l’approche de l’entrée en vigueur du règlement européen sur la protection des données.

Six manquements de Facebook à la loi française
La délibération de la Cnil sanctionne Facebook au titre de six manquements aux obligations énoncées par cette loi, à savoir : l’obligation d’information, l’obligation de disposer d’une base légale pour les traitements, l’obligation d’une collecte loyale des données, l’obligation d’un consentement exprès pour les données sensibles, l’obligation de mettre à disposition un moyen valable pour s’opposer aux cookies, et l’obligation
de respecter une durée de conservation des données. La délibération de la Cnil est riche en enseignement, notamment sur les manquements au regard de l’obligation d’information. A ce titre, la Cnil relève que la politique d’utilisation des données de Facebook ne précise ni les droits dont disposent les utilisateurs ni les informations relatives au transfert de données hors de l’UE. Elle considère que Facebook doit afficher directement l’information sur le formulaire de collecte et non pas via un lien figurant sur le formulaire d’inscription.
Concernant cette fois la combinaison massive de données pour le ciblage publicitaire, la Cnil relève qu’« aucun des documents mis à la disposition des utilisateurs […] ne mentionne expressément la combinaison de données », Ainsi, si les utilisateurs disposent de moyens pour maîtriser l’affichage de la publicité ciblée, ils ne consentent pas à la combinaison massive de leurs données et ne peuvent s’y opposer, que ce
soit lors de la création de leur compte ou a posteriori. Enfin, sur l’utilisation du cookie
« datr », la Cnil relève que l’information « ne permet pas aux internautes et en particulier aux internautes non-inscrits sur le réseau social, d’être clairement informés
et de comprendre que leurs données sont systématiquement collectées dès lors qu’ils
se trouveront sur un site tiers comportant un module social ». Sur les autres manquements, Facebook ne recueille pas le consentement exprès des utilisateurs lorsqu’ils renseignent des données sensibles et que le paramétrage du navigateur ne permet pas aux utilisateurs de s’opposer valablement aux cookies déposés sur leur équipement terminal.
La Cnil a donc prononcé une sanction de 150.000 euros à l’encontre du réseau social, soit le maximum qu’elle peut aujourd’hui infliger (ce montant pouvant être porté au double en cas de récidive). Cependant, ce montant prévu par la loi « Informatique et liberté » apparaissant peu inadapté au regard de la potentielle gravité des violations de la législation et à la puissance de certains responsables de traitements qui s’en rendent coupables, le nouveau règlement européen prévoit, en fonction des atteintes, des sanctions allant jusqu’à 20millions d’euros ou, dans le cas d’une entreprise jusqu’à 4% du chiffre d’affaires annuel mondial total (11). La délibération de la Cnil amorce l’entrée en vigueur de la nouvelle réglementation européenne qui renforce les obligations de protection en matière de données personnelles. A titre d’illustration, le règlement viendra renforcer le droit à l’information en ajoutant notamment à la liste des informations à fournir : l’identité et les coordonnées du responsable de traitement, le cas échéant, celles de son Data Protection Officer (DPO), les finalités du traitement auxquelles sont destinées les données à caractère personnel ainsi que la base juridique du traitement, les catégories de destinataires de ces données, ainsi que, éventuellement, le transfert de ces données vers un pays tiers. En outre, le règlement prévoit une obligation d’information spécifique en matière de profilage et le consentement devra être recueilli pour toutes les finalités, à défaut de quoi il ne peut être considéré comme valable. @

* Ancien bâtonnier du Barreau de Paris.

Réforme du droit d’auteur en Europe : inquiétudes légitimes du secteur de l’audiovisuel

La Commission européenne avait présenté, le 14 septembre 2016, la version finale du « Paquet Droit d’auteur ». Ce texte, qui vise à réformer le droit d’auteur afin de l’adapter au « marché unique numérique », suscite inquiétudes et critiques de la part des acteurs du secteur de l’audiovisuel.

La régulation audiovisuelle deviendra-t-elle la régulation de l’Internet ?

En 2006, le professeur Eli Noam avait prédit que la régulation de l’audiovisuel
« deviendrait » la régulation des communications électroniques (1). Avec les débats autour de la directive sur les services de médias audiovisuels (SMA),
la prophétie se confirme. Pourtant l’Internet, ce n’est pas de l’audiovisuel.

Bilan numérique et audiovisuel du quinquennat Hollande : limites de l’action publique

Ni la révolution numérique nécessaire à l’économie, ni la révolution audiovisuelle promise par François Hollande n’ont eu lieu. Ces occasions manquées montrent les limites de l’action publique française dans le numérique et l’audiovisuel, dans un contexte marqué par l’impératif sécuritaire.

Pourquoi un lecteur multimédia permettant de regarder des films sur Internet peut être illégal

« La vente d’un lecteur multimédia qui permet de regarder gratuitement et facilement, sur un écran de télévision, des films disponibles illégalement sur Internet peut constituer une violation du droit d’auteur », a estimé le 26 avril dernier la Cour de justice de l’Union européenne (CJUE). Explications.

Edition Multimédi@ a constaté, en se connectant sur le site web Filmspeler.nl, qu’il ne fonctionnait plus et avertissait l’internaute avec le message suivant (en néerlandais dans le texte) : « Notez : durant les quelques dernières années, nous vous avons fait acheter un lecteur de films. Avec ce dispositif [lecteur multimédia, ndlr], vous pouvez – gratuitement – voir un grand nombre de films (récents),
des séries TV et des chaînes de télévision. Le 26 avril 2017, la Cour de justice européenne a jugé qu’il n’était pas permis de mettre la vente ce type de dispositif. Elle a aussi décidé que permettre aux utilisateurs d’accéder à des sources illégales de contenus était contraire à la loi ».

Boîtier, liens hypertextes et streaming
Et l’avertissement sur Filmspeler.nl de conclure : « Le flux continu [streaming, ndlr] de
la source illégale est en violation des droits d’auteur sur des longs métrages récents et des séries télé, ce qui est nuisible pour les ayants droits. Nous voudrions indiquer que la vente et l’utilisation de ce lecteur multimédia de films (et des dispositifs semblables) sont illégaux si le flux continu de la source est illégal ». Il appartient maintenant à la justice néerlandaise de prononcer la décision finale dans le litige qui oppose la fondation Stichting Brein, qui défend les intérêts des titulaires du droit d’auteur, à
Jack Frederik Wullems, lequel vend un lecteur multimédia permettant d’avoir librement accès à des oeuvres audiovisuelles protégées pour certaines par le droit d’auteur sans l’autorisation des premiers. Ce boîtier TV, baptisé Filmspeler et vendu jusqu’alors sur, entre autres, via le site web Filmspeler.nl, se présente comme un périphérique servant d’intermédiaire entre, d’une part, une source de données audiovisuelle et, d’autre part, un écran de télévision. Cet appareil permet notamment de regarder gratuitement et facilement, sur un écran de télévision, des contenus audiovisuels – dont des films – disponibles sur Internet. Et ce, sans l’autorisation des titulaires du droit d’auteur. Ce lecteur multimédia est équipé d’un logiciel open source, qui permet de lire des fichiers et des modules complémentaires disponibles sur Internet, conçus par des tiers, « dont certains renvoient spécifiquement à des sites Internet sur lesquels des œuvres protégées sont mises à la disposition des internautes sans l’autorisation des titulaires du droit d’auteur ». Dans son arrêt du 26 avril dernier (1), la Cour de justice de l’Union européenne (CJUE), présidée par Koen Lenaerts (photo), faisant fonction de juge dans cette affaire, constate que les modules en question contiennent des liens hypertextes qui, lorsqu’ils sont activés au moyen de la télécommande du lecteur multimédia, renvoient à des sites Internet de diffusion en flux continu (streaming) exploités par des tiers, « dont certains donnent accès à des contenus numériques avec l’autorisation des titulaires du droit d’auteur, tandis que d’autres donnent accès à de tels contenus sans l’autorisation de ceux-ci ». En particulier, relève la CJUE, les modules complémentaires ont pour fonction de puiser les contenus désirés sur les sites de diffusion en streaming et de les faire démarrer, d’un simple clic, sur le lecteur multimédia connecté à un écran de télévision. A l’instar de l’avocat général, la Cour affirme que Jack Frederik Wullems procède, « en pleine connaissance des conséquences de son comportement », à la préinstallation – sur le lecteur multimédia Filmspeler qu’il commercialise – de modules complémentaires qui permettent spécifiquement aux acquéreurs d’avoir accès aux œuvres protégées publiées sur des sites de streaming sans l’autorisation des titulaires du droit d’auteur. Ce boîtier TV offre ainsi à ces utilisateurs la possibilité de visualiser ces œuvres sur leur écran de télévision. « Cette opération permet d’établir la liaison directe entre les sites Internet diffusant les œuvres contrefaites et les acquéreurs dudit lecteur multimédia, sans laquelle ces derniers ne pourraient que difficilement bénéficier des œuvres protégées. Une telle activité ne se confond pas avec la simple fourniture d’installations physiques », explique la CJUE. De plus, la fourniture d’un tel lecteur multimédia doit être considérée comme un acte de communication au public (2) pour peu que les œuvres protégées soient effectivement communiquées à un public (3).

Communication au public et droit d’auteur
Or il est constaté que le lecteur multimédia Filmspeler a été acheté par un nombre
« assez considérable » de personnes qui disposent d’une connexion Internet. « Ces personnes peuvent accéder aux œuvres protégées parallèlement, dans le cadre de la diffusion en flux continu des œuvres en cause sur Internet. Ainsi, cette communication vise un nombre indéterminé de destinataires potentiels et implique un nombre important de personnes » (4) La CJUE fait en outre référence à son récent arrêt « GS Media » du 8 septembre 2016, lequel confirme l’importance d’une autorisation du titulaire du droit d’auteur d’œuvres protégées qui ont été rendues librement disponibles sur un site Internet (5).

Reproduction temporaire : exception ?
Cette disposition prévoit en effet précisément que chaque acte de communication d’une oeuvre au public doit être autorisé par le titulaire du droit d’auteur (6). Autrement dit, souligne la Cour, « le placement, sur un site Internet, de liens hypertextes vers une oeuvre protégée qui a été rendue librement disponible sur un autre site Internet, avec l’autorisation des titulaires du droit d’auteur de cette oeuvre, ne saurait être qualifié de “communication au public” ». La CJUE indique aussi que, lorsque le placement de liens hypertextes est effectué dans un but lucratif, « il peut être attendu de l’auteur d’un tel placement qu’il réalise les vérifications nécessaires pour s’assurer que l’oeuvre concernée n’est pas illégalement publiée sur le site auquel mènent lesdits liens hypertextes, de telle sorte qu’il y a lieu de présumer que ce placement est intervenu en pleine connaissance de la nature protégée de ladite oeuvre et de l’absence éventuelle d’autorisation de publication sur Internet par le titulaire du droit d’auteur ».
Dans le cas de Filmspeler, son fournisseur est pleinement conscient de la situation
et de l’absence d’accord avec les ayants droits. Et les modules complémentaires contenant des liens hypertextes préinstallés sur le lecteur multimédia donnent effectivement accès à des œuvres illégalement publiées sur Internet. « Les publicités relatives à ce lecteur multimédia mentionnent spécifiquement que celui-ci permet notamment de regarder gratuitement et facilement, sur un écran de télévision, du matériel audiovisuel disponible sur Internet sans l’autorisation des titulaires du droit d’auteur », pointe du doigt à deux reprises l’arrêt. Et d’enfoncer le clou : « La fourniture dudit lecteur multimédia est réalisée dans le but d’en retirer un bénéfice, le prix acquitté pour ce même lecteur multimédia étant versé notamment pour obtenir un accès direct aux œuvres protégées, disponibles sur des sites de diffusion en flux continu sans l’autorisation des titulaires du droit d’auteur ». Pour sa défense, Jack Frederik Wullems a fait valoir que la diffusion en streaming d’œuvres protégées par le droit d’auteur en provenance d’une source illicite relève de l’exception au droit d’auteur « énoncée à l’article 13a de la loi néerlandaise sur le droit d’auteur » et « interprété à la lumière de l’article 5 paragraphe 1 de la directive 2001/29 sur le droit d’auteur ». Cet article inclut dans les exceptions au droit de reproduction les « actes de reproduction provisoires […], qui sont transitoires ou accessoires et constituent une partie intégrante et essentielle d’un procédé technique et dont l’unique finalité est de permettre […] une utilisation licite d’une oeuvre ou d’un objet protégé […] ». Mais la CJUE ne l’a pas entendu de cette oreille et a jugé également que les actes de reproduction temporaire sur ce lecteur multimédia – d’une oeuvre protégée par le droit d’auteur obtenue par
« streaming » sur un site Internet appartenant à un tiers proposant cette oeuvre sans l’autorisation du titulaire du droit d’auteur – ne sont pas exemptés du droit de reproduction.
Selon la directive (7), un acte de reproduction n’est exempté du droit de reproduction que s’il remplit cinq conditions, à savoir lorsque : cet acte est provisoire ; il est transitoire ou accessoire ; il constitue une partie intégrante et essentielle d’un procédé technique ; l’unique finalité de ce procédé est de permettre une transmission dans un réseau entre tiers par un intermédiaire ou une utilisation licite d’une oeuvre ou d’un objet protégé ; cet acte n’a pas de signification économique indépendante. « Ces cinq conditions sont cumulatives en ce sens que le non-respect d’une seule d’entre elles a pour conséquence que l’acte de reproduction n’est pas exempté. En outre, l’exemption n’est applicable que dans certains cas spéciaux qui ne portent pas atteinte à l’exploitation normale de l’oeuvre ou d’un autre objet protégé et qui ne causent pas
de préjudice injustifié aux intérêts légitimes du titulaire du droit », rappelle la Cour. La reproduction temporaire sur ce lecteur multimédia d’un film protégé par le droit d’auteur n’est donc pas exemptée du droit de reproduction. @

Charles de Laubier