Actualités

24/10/2022

La CNIL sanctionne la société américaine CLEARVIEW AI d’une amende de 20 millions d’euros dans une délibération du 17 octobre 2022.

La société CLEARVIEW AI collecte des photographies provenant de sites web, y compris les réseaux sociaux, consultables sans connexion à un compte. Plus de 20 milliards d’images ont été extraites dans le monde et la société commercialise l’accès à sa base qui permet la recherche à l’aide d’une photographie grâce à une technologie de reconnaissance faciale utilisant des données biométriques.

Saisie de plaintes, la CNIL a mis en demeure la société de cesser la collecte et l’usage des données des personnes se trouvant en France effectués sans base légale, de faciliter l’exercice des droits des personnes concernées et de faire droit à leur demande d’accès et d’effacement.

La CNIL a constaté que CLEARVIEW AI :
● ne recueillait pas le consentement des personnes concernées,
● ne disposait pas d’un intérêt légitime à collecter et utiliser ces données au regard du caractère particulièrement intrusif et massif du procédé de collecte des images (d’autant plus que les personnes ne pouvaient s’attendre à ce que leurs images soient utilisées pour alimenter un système de reconnaissance faciale),
● ne facilitait pas l’exercice du droit d’accès des personnes (limitation aux données des 12 derniers mois précédant la demandant, possibilité d’exercer ce droit seulement deux fois par an, en ne répondant que rarement au demandes),
● ne répondait pas, ou de manière partielle, aux demandes d’accès et d’effacement,
● n'a pas coopéré avec les services de la CNIL ; la société n’ayant présenté aucune observation en défense.

La formation restreinte de la CNIL a prononcé une sanction de 20 millions d’euros assortie d’une injonction de cesser, dans un délai de deux mois, la collecte et le traitement des données des personnes concernées assortie d’une astreinte de 100 000 euros par jour de retard au-delà de ce délai.

Reste à savoir comment la CNIL fera exécuter cette décision à l’encontre d’une société américaine, qui traite aux USA des données accessibles aux USA, avec des moyens situés aux USA…

21/10/2022

La DGCCRF peut faire déréférencer des sites au contenu manifestement illicite : ce pouvoir est confirmé par le Conseil constitutionnel

Le Conseil constitutionnel a validé la conformité à la Constitution de l’article L.521-3-1, 2°a du code de la consommation statuant sur une QPC soulevée par la société de droit américain éditant un site de commerce dont la DGCCRF avait constaté qu’il commercialisait des produits pour la plupart importés, avec un taux de dangerosité élevé et qui n’effectuait pas les retraits ni les rappels de produits tel qu’il incombe aux distributeurs.

Ce texte prévoit cette possibilité pour la DGCCRF d’ordonner le déréférencement de contenus manifestement illicites, notamment lorsque l’infraction constatée est de nature à porter une atteinte grave à la loyauté des transactions ou à l’intérêt des consommateurs.

La DGCCRF - Ministère de l'Économie avait enjoint à Apple, Google, Qwant et Microsoft de déréférencer l’adresse « wish. com » et l’application « Wish » de leurs moteurs de recherche et magasins d’applications.

Le Conseil constitutionnel, dans sa décision n° 2022-1016 QPC du 21 octobre 2022, estime que le grief tiré de la méconnaissance de la liberté d'expression et de communication garantie par l’article 11 de la Déclaration des droits de l’homme et du citoyen de 1789 n’est pas fondé. L’exercice de ce droit implique certes la liberté d’accéder aux services de communication au public en ligne, mais le Conseil considère qu’il est loisible au législateur « d'instituer des dispositions destinées à faire cesser des abus de l'exercice de la liberté d'expression et de communication qui portent atteinte à l'ordre public et aux droits des tiers ».

21/10/2022

La sanction des abus de la liberté d’expression sur internet ne cesse d’interroger par sa complexité procédurale.

Une société anglaise propose des services en ligne d’accès à des documents (formulaires, lettres ou contrats type) avec une offre d’essai à prix réduit de 48h se transformant automatiquement en abonnement payant. Des internautes, s’estimant trompés par cette politique tarifaire, ont émis des commentaires très critiques sur les sites www.signal-arnaques.com et www.scamdoc.com.

Estimant ces commentaires dénigrants, la société anglaise a assigné l’éditeur de ces deux sites devant le tribunal de commerce de Paris.

Le tribunal de commerce de Paris, dans sa décision du 21 septembre 2022, considère que l’éditeur n’a pas respecté la réglementation relative aux avis en ligne en n’ayant pas délivré aux utilisateurs une information loyale, claire et transparente sur les modalités de publication et de traitement des avis mis en ligne (art. L.111-7-2 du code de la consommation).

Le tribunal constate que les propos diffusés (« arnaque » ; « à fuir » ; « escrocs » ; « voleurs »…) sont incontestablement dénigrants et dépassent les limites de la liberté d’expression.

Enfin, le tribunal considère que l’éditeur des sites www.signal-arnaques.com et www.scamdoc.com, en tant qu’hébergeur des avis, est responsable des commentaires publiés sur son site dans la mesure où l’essentiel des commentaires n’étaient pas promptement retirés après de multiples lettres de mise en demeure de la société anglaise.

Il est à noter que le tribunal se considère compétent pour statuer de faits de dénigrement. Selon lui, malgré la teneur des propos publiés, « en aucun cas [ils ne visent] l’honneur ou la considération de quiconque, mais, [...] ils ont pour objectif de dénoncer certaines pratiques commerciales » de la société anglaise.

La Cour de cassation a consacré le principe selon lequel les abus dans la liberté d’expression prévus et réprimés par la loi du 29 juillet 1881 ne peuvent pas être réparés sur le fondement de la responsabilité délictuelle (Cass. ass. plén., 12 juill. 2000, n° 98-10.160).

En l’espèce, la distinction est ténue entre la critique de la pratique commerciale, de la compétence du juge commercial, et celle de la personne (y compris la personne morale) de la compétence du tribunal judiciaire au fondement de la loi de 1881 avec ces règles procédurales spécifiques et sa très courte prescription.

L’éditeur est condamné à verser 25 000 euros au demandeur au titre de son préjudice moral, à supprimer les commentaires litigieux et à publier un communiqué détaillant le jugement sur son site.

13/10/2022

Une société exploitant le site internet www.entreparticuliers.com proposant un service payant d’hébergement d’annonces essentiellement immobilières avait recours à un service de « pige immobilière » qui collectait et lui transmettait toutes les nouvelles annonces immobilières publiées par des particuliers sur différents supports, notamment internet. La société LBC France, exploitant du site www.leboncoin.fr, constatant que nombre de ses utilisateurs se plaignaient de la reprise de leurs annonces, a estimé que ce procédé constituait la mise en place d'un système d'extraction total, répété et systématique de la base de données immobilière de son site.

La Cour de cassation, dans son arrêt du 5 octobre 2022, reconnait que LBC France est fondée à invoquer la protection de sa base de données dans la mesure où elle avait procédé à des investissements financiers substantiels lors de l’acquisition de la base de données en question, lui conférant la qualité de producteur d’une base de données au sens de l’article L341-1 et L342-5 du code de la propriété intellectuelle.

Il était justifié d'un investissement autonome par rapport à celui que requiert la création des données contenues dans la base dont elle demandait la protection (investissements liés à obtention du contenu de la base de données, à la vérification et à la présentation de son contenu).

Plus particulièrement, la Cour constate que la sous-base de données « immobilier » devait bénéficier d’une protection dans la mesure où de nombreux investissements avaient été réalisés, notamment au titre de l’acquisition d’une société exploitant un site d’annonces immobilières et de campagnes publicitaires ciblées ayant permis de collecter un grand nombre d’annonces créées par des internautes.

Constatant que le site www.entreparticuliers.com reprenait toutes les informations essentielles des annonces de leboncoin.fr et que la société l’exploitant s'était vu transférer toutes ces annonces en vertu du contrat de pige, la Cour en déduit qu’elle avait procédé à l'extraction et la réutilisation d'une partie qualitativement substantielle du contenu de la sous-base de données « immobilier » de la société LBC France.

10/10/2022

Un éditeur de progiciel, avait agi en contrefaçon à l’encontre d’un opérateur de communications électroniques qui avait intégré ce progiciel dans une solution informatique de gestion. L’éditeur estimant que l’opérateur n’avait pas respecté les clauses de sa licence l’avait assigné en contrefaçon de ses droits d’auteur.

Selon la Cour de cassation, la CJUE avait conclu, dans un arrêt du 18 décembre 2019, « que la violation d’une clause d’un contrat de licence d’un programme d’ordinateur, portant sur des droits de propriété intellectuelle du titulaire des droits d’auteur de ce programme, relève de la notion d’ « atteinte aux droits de propriété intellectuelle », au sens de la directive 2004/48, et que, par conséquent, ledit titulaire doit pouvoir bénéficier des garanties prévues par cette dernière directive, indépendamment du régime de responsabilité applicable selon le droit national ».

Elle en déduit, dans son arrêt du 5 octobre 2022, que « dans le cas d’une d’atteinte portée à ses droits d’auteur, le titulaire, ne bénéficiant pas des garanties prévues aux articles 7 et 13 de la directive 2004/48 s’il agit sur le fondement de la responsabilité contractuelle, est recevable à agir en contrefaçon ».

Les articles 7 et 13 en question prévoient que 1️⃣ le titulaire des droits d’auteur doit pouvoir ordonner des mesures de conservation des preuves telles que la saisie réelle et que 2️⃣ le titulaire doit pouvoir prétendre à des dommages-intérêts adaptés au préjudice réellement subi du fait de l’atteinte, ce que ne permettent pas les mesures d'instruction au fondement de l’article 145 du code de procédure civil et les principes de la responsabilité contractuelle.

07/10/2022

Google condamné par le Tribunal Judiciaire de Chambéry à supprimer la fiche « Google My Business » d’une dentiste qui invoquait un traitement non autorisé de ses données personnelles.  

La fiche comportait son nom, son adresse, une note et des avis d’internautes.

Les arguments des sociétés Google France, Google Llc et Google Ireland ltd quant à leur prétendu ‘intérêt légitime’ au traitement du fait du droit du public à l’information ont été rejetés.  

Le Tribunal judiciaire de Chambéry, dans sa décision du 15 septembre 2022, rappelle que l’intérêt légitime pouvant servir de base légale à un traitement de données personnelles doit être déterminé de manière claire et précise. Or, le Tribunal juge ici que le traitement a une finalité commerciale cachée : « si la diffusion de la seule fiche du professionnel poursuit en effet un caractère informatif, la diffusion combinée de la fiche et des avis constitue le moyen pour les sociétés Google d’inciter fortement les professionnels à recourir à ses services, qu’ils soient gratuits ou payants. C’est dès lors de mauvaise foi que les défenderesses prétendent que le traitement réalisé dans le cadre de la publication de la fiche entreprise est décorrélé des actes de prospection commerciale auxquels elles se livrent ».  

En outre, pour que le droit à l’information soit légitimement invoqué, il faut que l’information soit fiable, ce qui n’est pas le cas s’agissant d’avis anonymes non-vérifiés.

Le Tribunal retient que Google France est également responsable, au côté des sociétés irlandaises et américaine du groupe, dès lors qu’il est démontré qu’elle a en France une activité de promotion des ventes d’espaces publicitaires sur la base de l’annuaire des fiches de professionnels référencés dans Google My Business.

06/10/2022

La régulation de l'IA est un sujet qui agite les institutions françaises et européennes.

Après le Conseil d’Etat qui vient de publier une étude sur les apports potentiels de l’intelligence artificielle pour l’action publique et la Cour de cassation associée à l’INRIA qui propose d’utiliser l’IA pour éviter les divergences de jurisprudence entre les juridictions, la Commission européenne s’attèle au chantier de l’harmonisation des règles nationales en matière de responsabilité délictuelle et de responsabilité des produits défectueux.

La première proposition de directive vise à établir des règles uniformes pour l'accès à l'information et l'allègement de la charge de la preuve en ce qui concerne les dommages causés par des systèmes d'IA et d'instaurer une protection plus large pour les victimes (qu'il s'agisse de particuliers ou d'entreprises).

L’objectif est également d’étendre à l’IA certaines règles pour les actions en réparation ne relevant pas du champ d'application de la directive sur la responsabilité du fait des produits, dans les cas où des dommages sont causés par un comportement fautif (ex : atteinte à la vie privée ou discrimination du fait d’une IA).

Enfin, elle simplifiera le processus juridique pour les victimes en instaurant une présomption de causalité lorsque la faute d’une IA semble raisonnablement probable et en leur octroyant un droit d’accès aux éléments de preuve auprès des entreprises.

27/09/2022

Rupture brutale d'une relation commerciale établie : ça ne marche pas à tous les coups rappelle la Cour de cassation ! Une société informe un éditeur de logiciels de la résiliation de deux contrats conclus ensemble, l’un ayant pour objet une licence, le support et la maintenance sur modules existants et standards de l'éditeur, l’autre des prestations de services d’installation et de paramétrage.

Dans son arrêt du 7 septembre 2022, la Cour de cassation reproche à la Cour d’appel de Paris d’avoir condamné la société cliente pour rupture brutale des relations commerciales établies au sens de l’ancien article L.442-6, I, 5° du code de commerce (aujourd'hui L442-1-II).

L’arrêt déduisait de l’ampleur du projet d’implanter 600 licences sur 42 sites du groupe pour une application développée à partir du logiciel de l'éditeur et projetée sur 3 voire 5 années de collaboration, l’existence d’une relation suivie, stable et dont l'éditeur pouvait espérer, en raison de la complexité et de l’étendue du déploiement de son application, la prolongation des contrats au-delà.

La Cour de cassation rappelle que "l'existence d'une relation commerciale établie suppos[e] caractérisée une relation d'affaires régulière, stable et significative, à la date de la rupture, et ne p[eut] se déduire de la durée projetée du contrat résilié ni de la perspective de poursuite des relations entre les parties à l'issue de cette durée".