28 mars 2024
Cour d'appel de Colmar
RG n°
22/04363
Chambre 2 A
Texte de la décision
MINUTE N° 109/2024
Copie exécutoire
aux avocats
Le 28 mars 2024
La greffière
RÉPUBLIQUE FRANÇAISE
AU NOM DU PEUPLE FRANÇAIS
COUR D'APPEL DE COLMAR
DEUXIÈME CHAMBRE CIVILE
ARRÊT DU 28 Mars 2024
Numéro d'inscription au répertoire général : 2 A N° RG 22/04363 -
N° Portalis DBVW-V-B7G-H62U
Décision déférée à la cour : 15 Novembre 2022 par le président du tribunal judiciaire de STRASBOURG
APPELANT et INTIMÉ SUR APPEL INCIDENT :
Monsieur [M] [B]
demeurant [Adresse 2]
représenté par Me Nadine HEICHELBECH, avocat à la cour.
avocat plaidant : Me SCHAEFFER, avocat à [Localité 6].
INTIMÉE et APPELANTE SUR APPEL INCIDENT :
La société GOOGLE LLC, société de droit étranger prise en la personne de ses représentants légaux,
ayant son siège social [Adresse 1] CALIFORNIE - ETATS-UNIS
représentée par Me Guillaume HARTER, avocat à la cour.
avocat plaidant : Me Pauline FOURNIÉ, avocat au barreau de Paris.
INTIMÉE :
La société GOOGLE IRELAND LTD, société de droit étranger prise en la personne de ses représentants légaux
ayant son siège social [Adresse 5]
[Localité 3] - IRLANDE
représentée par Me Guillaume HARTER avocat à la cour.
avocat plaidant : Me Pauline FOURNIÉ, avocat au barreau de Paris.
COMPOSITION DE LA COUR :
En application des dispositions des articles 805 et 907 du Code de procédure civile, l'affaire a été débattue le 24 Novembre 2023, en audience publique, les parties ne s'y étant pas opposées, devant Madame Isabelle DIEPENBROEK, présidente de chambre et Madame Nathalie HERY, conseiller, chargées du rapport.
Ces magistrats ont rendu compte des plaidoiries dans le délibéré de la Cour, composée de :
Madame Isabelle DIEPENBROEK, présidente de chambre,
Madame Myriam DENORT, conseiller,
Madame Nathalie HERY, conseiller,
qui en ont délibéré.
Greffier lors des débats : Madame Sylvie SCHIRMANN
ARRÊT contradictoire
- prononcé publiquement par mise à disposition de l'arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du Code de procédure civile.
- signé par Madame Isabelle DIEPENBROEK, présidente, et Madame Corinne ARMSPACH-SENGLE, greffière, à laquelle la minute de la décision a été remise par le magistrat signataire.
* * * * *
FAITS ET PROCÉDURE
La société de droit américain Google LLC qui fournit divers services internet propose aux internautes un service « blogger » permettant de créer un 'blog', à partir d'un compte d'utilisateur Google, après acceptation des conditions d'utilisation Google.
Suite à une réorganisation du groupe, la fourniture des services Google aux utilisateurs situés dans l'Espace économique européen (EEE) et en Suisse a été confiée à la société de droit irlandais Google Ireland Limited à partir de janvier 2019.
M. [M] [B], dirigeant de plusieurs sociétés dans le domaine du bâtiment, dénonçant le contenu de messages parus entre janvier 2008 et mars 2010 dans deux blogs hébergés par le service 'blogger', lesquels dénigraient la qualité de son travail qualifié d''enfer' et de 'gouffre financier', lui-même étant personnellement traité d' 'escroc' et de 'personne immorale et malhonnête', après avoir vainement demandé par messagerie aux auteurs des écrits litigieux de les retirer, et le 5 novembre 2021, à la société Google LLC au moyen du formulaire en ligne prévu à cet effet, de retirer les contenus incriminés sur le fondement du droit à l'oubli, a fait citer cette société, selon exploit du 21 janvier 2022, devant le juge des référés du tribunal judiciaire de Strasbourg, aux fins d'obtenir la communication de l'ensemble des données d'identification des auteurs des messages incriminés, sur le fondement des articles 145 du code de procédure civile, 6-II de la loi du 21 juin 2004 pour la confiance dans l'économie numérique, et 17 du réglement UE 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit règlement général sur la protection des données (RGPD).
Par exploit du 17 février 2022, il a appelé en intervention forcée la société Google Ireland Limited, aux mêmes fins.
Par ordonnance du 15 novembre 2022, le juge des référé a dit n'y avoir lieu à mise hors de cause de la société Google LLC, dit n'y avoir lieu à référé, renvoyé les parties à mieux se pourvoir et condamné M. [B] aux dépens, rejetant sa demande sur le fondement de l'article 700 du code de procédure civile.
Le juge des référés a rejeté la demande de mise hors de cause de la société Google LLC, faute pour elle de démontrer que les données d'identification seraient exclusivement détenues par la société Google Ireland Limited, les conditions d'utilisation Google ne faisant pas expressément référence au service 'blogger'.
Il a ensuite rappelé que pour obtenir une mesure d'instruction in futurum, le demandeur devait justifier d'éléments rendant crédibles ses suppositions et démontrer que le litige potentiel n'était pas voué à l'échec.
Il a ensuite considéré que l'article 6- II de la loi du 21 juin 2004 pour la confiance dans l'économie numérique, dans sa version applicable au litige, qui déroge à l'obligation d'effacement ou d'anonymisation des données imposée aux fournisseurs d'accès à internet et aux services d'hébergement sur internet, ne prévoyait plus la possibilité de communiquer les données conservées pour les besoins des procédures civiles, l'article L.34-1.II bis, III et III bis du code des postes et télécommunications auquel renvoie l'article précité fixant les conditions de conservation de ces données pour les besoins des seules procédures pénales ; qu'il appartenait à M. [B] de justifier de l'utilité de la communication d'éléments dont pouvait dépendre la solution du litige, litige en l'espèce manifestement voué à l'échec en raison de la prescription de toute action sur le fondement de la loi du 28 juillet 1881, ou de toute autre action pénale ; que l'article 17 du RGPD ne pouvait pas non plus fonder une demande relative à la communication de données de tiers, puisque l'identité des destinataires de messages envoyés n'entraient pas dans le cadre des données à caractère personnel le concernant.
M. [B] a interjeté appel de cette ordonnance le 1er décembre 2022, en toutes ses dispositions.
Par ordonnance du 3 janvier 2023, la présidente de la chambre a fixé d'office l'affaire à bref délai en application de l'article 905 du code de procédure civile, et le greffe a notifié l'avis de fixation.
MOYENS ET PRÉTENTIONS DES PARTIES
Aux termes de ses dernières conclusions transmises par voie électronique le 12 avril 2023, M. [B] demande à la cour de confirmer l'ordonnance entreprise en ce qu'elle a dit n'y avoir lieu de mettre hors de cause la société Google LLC, de l'infirmer pour le surplus, et statuant à nouveau de :
- ordonner in solidum aux sociétés Google LLC et Google Ireland Ltd de communiquer à M. [B] l'ensemble des données qu'elles détiennent de nature à permettre 1'identification du ou des comptes associés aux écrits accessibles aux adresses http://erablesycomore.blogspot.comethttp://[04].blogspot.com/2008/0l/arpinha-la-socit-de-rnovation-viter.html et notamment les informations suivantes :
- les types de protocoles et l'adresse IP utilisés pour la connexion au service de communication proposé par la société Google LLC,
- l'identifiant utilisé au moment de la création du ou des comptes concernés,
- les noms et prénoms ou la raison sociale du ou de leurs titulaires,
- les adresses postales associées,
- les pseudonymes utilisés,
- les adresses de courrier électronique ou de compte associées ;
- ordonner que cette communication soit réalisée dans un délai de 5 jours ouvrés à compter de la signification de la 'présente ordonnance' sous astreinte de 2 000 euros par jour de retard passé ce délai ;
- condamner in solidum les sociétés Google LLC et Google Ireland Ltd à payer à M. [B] une somme de 5 000 euros au titre de l'article 700 du code de procédure civile et aux entiers dépens ;
- rejeter l'appel incident et la demandes de la société Google LLC.
Il fait valoir qu'il justifie d'un motif légitime à obtenir la levée de l'anonymat de l'auteur ou des auteurs des écrits litigieux afin que le principe du contradictoire soit respecté lorsqu'il demandera au juge des référés la suppression desdits écrits, en application de l'aliéna 1er de l'article 6-I 8) de la loi sur la confiance dans l'économie numérique, lesdits écrits constituant des données personnelles au sens de l'article 4 du RGPD pour les auteurs des écrits et pour lui-même. Il soutient que l'action civile en effacement et en déréférencement fondée sur 'le droit à l'oubli' n'est soumise à aucun délai de prescription, et qu'elle est possible tant que dure le traitement des données ou leur diffusion, une telle action ne pouvant prospérer sans que les auteurs des écrits incriminés soient appelés à la cause.
L'appelant fait valoir que le premier juge a fait sienne la jurisprudence de la cour d'appel de Paris qui considère que la conservation des données d'identification par les fournisseurs d 'accès à internet et à des services d'hébergement est désormais strictement encadrée pour les seuls besoins des procédures pénales, et de surcroît pour des infractions d'une particulière gravité - actes de terrorisme, atteintes à la sûreté de l'Etat,...-, mais que cette analyse est contestable, la loi n'interdisant pas la levée de l'anonymat dans les matières civiles.
Il soutient ainsi que la loi prévoit seulement, à la charge des fournisseurs d'accès et hébergeurs, des obligations de détention et de conservation particulières à la matière pénale, pour un temps limité, afin de se conformer à la décision de la Cour de justice de l'Union européenne du 06 octobre 2020, La Quadrature du net et autres, aff C-511/18, ce qui n'exclut pas que le juge civil puisse en exiger la communication, et invoque l'adage selon lequel 'là où la loi ne distingue pas, il n'y pas lieu de distinguer'.
Il invoque enfin l'article 15 1) du RGPD qui permet à la personne concernée par un traitement de données à caractère personnel d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès aux dites données à caractère personnel ainsi que les informations concernant les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées. Il soutient en effet que, par la généralité des termes employés par l'article 4 du RGPD, qui définit les données à caractère personnel comme ' toute information se rapportant à une personne physique identifiée ou identifiable', cette information peut émaner de la personne concernée ou de tiers, l'article n'opérant aucune distinction selon l'auteur concerné, de sorte que tant les commentaires faits sur lui que ses propres commentaires adressés en réponse via la messagerie en ligne du site internet blogspot.com constituent des données à caractère personnel.
Il approuve par contre l'ordonnance en tant qu'elle a refusé de mettre hors de cause la société Google LLC, faisant valoir qu'elle continue à s'afficher comme étant le titulaire du site internet blogspot.com (adressage, nom de domaine...), que la circonstance que la société californienne ait confié l'exploitation du service 'blogger' à la société irlandaise ne lui est pas opposable en vertu de l'effet relatif des contrats, de sorte qu'il a incontestablement intérêt à agir contre la société Google LLC qui s'affiche toujours comme propriétaire en droit de ce site.
Aux termes de leurs conclusions transmises par voie électronique le 13 mars 2023, la société Google Ireland Limited et la société Google LLC concluent au rejet de l'appel principal, et à la confirmation de l'ordonnance, sauf en tant qu'elle a dit n'y avoir lieu de mettre hors de cause la société Google LLC. Cette dernière forme appel incident pour demander l'infirmation de ce chef de l'ordonnance et réitérer sa demande de mise hors de cause.
Subsidiairement, les intimées demandent à la cour de :
- juger que la société Google Ireland Limited ne devra communiquer à M. [B] que les seules données habituellement collectées, issues de l'EEE, qui compte tenu des dispositions légales régissant la conservation des données à caractère personnel, seraient éventuellement toujours en sa possession et qui pourraient être les suivantes :
- les noms et prénoms ou la raison sociale, la ou les adresses e-mail, les adresses postales, numéros de téléphone éventuellement renseignés par le ou les auteur(s) des écrits accessibles aux adresses URLs suivantes :
*http://[04].blogspot.com/2008/01/arpinha-la-socit-de-rnovation-viter.html
*http://erablesycomore.blogspot.com/2010/03/faites-bien-attention.html#comment-form
- la ou les adresses IP issues des territoires de l'Union Européenne et/ou de l'Association européenne de libre-échange utilisée(s) lors des publications des écrits en cause ;
- lui donner acte de ce qu'elle s'engage, sous les réserves précitées et après en avoir informé la ou les personnes concernées, à exécuter l'arrêt à intervenir, dans un délai de 15 jours ouvrés suivant sa signification à son siège social selon les modalités juridiques requises par la loi ;.
- débouter M. [B] de sa demande d'astreinte et de sa demande au titre des frais irrépétibles d'appel ;
en tout état de cause, :
- condamner M. [B] à payer à chacune des sociétés Google LLC et Google Ireland Limited, la somme de 3 000 euros sur le fondement de l'article 700 du code de procédure civile au titre des frais irrépétibles d'appel, ainsi qu'aux entiers dépens.
Au soutien de son appel incident, la société Google LLC fait valoir que pour les utilisateurs résidant dans l'Espace Economique Européen (EEE) et en Suisse, la responsabilité de l'exploitation des « services Google » a été confiée à Google Ireland Limited comme cela ressort clairement des conditions générales d'utilisation de ses différents services, qui sont accessibles à une adresse URL qu'elle indique, les services en question étant non seulement le moteur de recherche « Google », mais aussi le service 'blogger'. Elle soutient que c'est donc uniquement la société Google Ireland Limited qui exploite ce service et qui détient seule les données d'identification des utilisateurs résidant dans l'EEE et en Suisse, la circonstance que la société Google LLC soit titulaire du nom de domaine « blogspot.com » auquel est accessible le service « blogger » n'ayant aucune incidence.
Elles approuvent en revanche les motifs de l'ordonnance en ce qu'elle a dit n'y avoir lieu à référé, M. [B] ne justifiant d'aucun motif légitime sérieux, au sens de l'article 145 du code de procédure civile, puisque toute action est manifestement vouée à l'échec.
Les appelantes soutiennent en effet que, comme l'a rappelé le premier juge, l'article 6-II de la loi sur la confiance dans l'économie numérique, dans sa version applicable en l'espèce, au visa duquel M. [B] sollicite la communication des données d'identification du ou des auteurs des articles en question, ne prévoit plus la possibilité de communiquer les données conservées pour les besoins des procédures civiles.
Elles font valoir, qu'en application de ce texte, tel qu'il a été modifié par la loi du 30 juillet 2021, pour mettre la législation en conformité avec la jurisprudence de la CJUE qui s'oppose à une conservation généralisée et indifférenciée des données, la détention et la conservation des données d'identification par les fournisseurs d'accès à internet et les hébergeurs, ne peut désormais avoir lieu que dans les conditions et aux fins spécifiques prévues par l'article L.34-1 II bis, III et III bis du code des postes et des communications électroniques, c'est à dire pour les seuls besoins des procédures pénales, de la prévention des menaces contre la sécurité publique, de la sauvegarde de la sécurité nationale, de la prévention et de la répression de la criminalité et de la délinquance grave.
Elles en déduisent, comme le premier juge, qu'il résulte de cet article 6.II de ladite loi, dans sa rédaction issue de la loi du 30 juillet 2021, qui déroge à l'obligation d'effacement ou d'anonymisation des données imposée aux fournisseurs d'accès à internet et aux hébergeurs, que la possibilité de communiquer les données conservées pour les besoins des procédures civiles n'est plus prévue, et que l'interprétation que donne M. [B] de ce texte est contra legem.
Au surplus, une action contre les auteurs des articles en cause sur le fondement de la diffamation ou de l'injure serait manifestement prescrite, le point de départ du délai de 3 mois pour agir étant fixé à la date du premier acte de publication, c'est à dire la date à laquelle le message a été mis sur le réseau, et M. [B] ne justifiant pas de la possibilité d'une autre action pénale.
Par ailleurs, l'article 15.1 c) du RGPD relatif au droit d'accès de la personne concernée par un traitement de données à caractère personnel permet seulement à ladite personne d'obtenir du responsable du traitement en cause l'accès auxdites données ainsi que les informations concernant les « destinataires ou catégories de destinataires » auxquels ses données à caractère personnel ont été ou seront communiquées. Or, d'une part, les commentaires que M. [B] aurait adressés via la messagerie en ligne du site internet blogspot.com aux auteurs qu'il incrimine, dont il ne justifie pas de l'existence, ne sont pas des « données à caractère personnel » le concernant ; d'autre part, les auteurs des articles en cause ne sont pas des « destinataires ou catégories de destinataires » auxquels des données à caractère personnel de M. [B] auraient été communiquées par le responsable du traitement.
Enfin, l'article 17 dudit règlement permet seulement à une personne physique concernée par un traitement de données à caractère personnel, lorsque certaines conditions sont réunies, d'obtenir de l'exploitant du moteur de recherche non pas la suppression des écrits litigieux, mais leur 'déréférencement' afin qu'ils ne soient plus accessibles sur le moteur de recherche Google, de sorte que l'obtention des données d'identification du ou des auteurs des contenus en cause est donc sans lien avec la possibilité pour M. [B] d'intenter, au fond, « une action en effacement et en déréférencement fondée sur le droit à l'oubli ».
Subsidiairement, les articles 1 et 3 du décret 25 février 2011 sur lesquels M. [B] fonde ses demandes ayant été abrogés, la communication ne pourrait être ordonnée que sous réserve des dispositions légales en vigueur quant à leur nature et à la durée de conservation.
L'intimée conteste par ailleurs avoir fait preuve de résistance abusive et s'engage à exécuter, le cas échéant, l'arrêt à intervenir de sorte que le prononcé d'une astreinte n'est pas justifié.
Pour l'exposé complet des prétentions et moyens des parties, la cour se réfère à leurs dernières conclusions notifiées et transmises par voie électronique aux dates susvisées.
MOTIFS
Sur la mise hors de cause de la société Google LLC
À hauteur de cour, il est justifié d'une part des conditions d'utilisation Google applicables aux utilisateurs basés dans l'Espace économique européen, lesquelles précisent que, dans cet espace et en Suisse, les services Google sont fournis par la société Google Ireland Limited qui est également en charge de traiter les demandes concernant les données à caractère personnel ; d'autre part la liste des services auxquels s'appliquent ces conditions d'utilisation, qui vise expressément le service « blogger ».
Par voie de conséquence, il apparaît que c'est la société Google Ireland Limited, qui exploite le service « blogger » pour les utilisateurs résidant dans l'espace économique européen et en Suisse, et qui est donc seule concernée par la demande de M. [B]. La société Google LLC, fut-elle propriétaire du nom de domaine 'blogspot.com', doit donc être mise hors de cause. L'ordonnance entreprise sera donc infirmée sur ce point.
Sur la communication des données d'identification
Aux termes des dispositions de l'article 145 du code de procédure civile, s'il existe un motif légitime de conserver ou d'établir avant tout procès la preuve de faits dont pourrait dépendre la solution d'un litige, les mesures d'instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé sur requête ou en référé.
À cet égard, M. [B], à qui il incombe de démontrer son intérêt légitime à obtenir la communication des données d'identification des auteurs des blogs qu'il incrimine, fait valoir que la communication de ces données est nécessaire afin de lui permettre d'engager une action civile en suppression desdits écrits, en application de l'article 6-I 8) de la loi sur la confiance en l'économie numérique du 21 juin 2004.
Or, contrairement à ce que soutient M. [B], l'article 6.I.8 précité qui dispose que « Le président du tribunal judiciaire, statuant selon la procédure accélérée au fond, peut prescrire à toute personne susceptible d'y contribuer toutes mesures propres à prévenir un dommage ou à faire cesser un dommage occasionné par le contenu d'un service de communication au public en ligne. », n'implique pas nécessairement la mise en cause des auteurs des contenus incriminés, la demande pouvant être dirigée contre toute personne susceptible de contribuer à un dommage, et au premier chef contre l'hébergeur du service qui est parfaitement connu et identifié.
En outre, comme l'a exactement retenu le premier juge, pèse sur les fournisseurs d'accès à internet et de services d'hébergement une obligation d'effacement ou d'anonymisation des données d'identification, qui est le corollaire du secret professionnel auquel sont tenus les 'hébergeurs' en application de l'article 6-III.2 s'agissant des données d'identification des personnes éditant à titre non professionnel un service de communication au public en ligne, à laquelle il ne peut être dérogé en application des dispositions combinées de l'article 6-II de la loi précitée, dans sa rédaction issue de la loi n°2021-998 du 30 juillet 2021, et de l'article 34-1 II bis, III et III bis du code des postes et des communications électroniques, auquel il renvoie que pour les besoins des procédures pénales ou de la prévention des menaces contre la sécurité publique, de la sauvegarde de la sécurité nationale, de la prévention et de la répression de la criminalité et de la délinquance grave.
Or, M. [B] ne fait pas valoir qu'il serait susceptible d'engager une procédure pénale, de sorte que sa demande de communication des données d'identification des auteurs des contenus qu'il critique, qui suppose nécessairement qu'il soit dérogé au principe d'anonymisation précité, ne peut aboutir.
Enfin, c'est tout aussi vainement que M. [B] se prévaut des dispositions des articles 15 1) et 17 du RGPD. En effet, le premier de ces textes selon lequel 'la personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès aux dites données à caractère personnel ainsi que les informations suivantes :
(...)
c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales', permet seulement à la personne concernée par le traitement de ses données personnelles d'obtenir du responsable du traitement, l'accès aux dites données et les informations relatives aux destinataires et catégories de destinataires auxquels elles ont été ou seront communiquées, or les données d'identification des auteurs des blogs litigieux ne constituent pas des données personnelles concernant M. [B], pas plus que les qualificatifs qui lui sont attribués par ces derniers ou que les commentaires qu'il a adressés via la messagerie, et ces auteurs ne sont pas non plus des destinataires ou catégories de destinataires d'un traitement de telles données au sens de l'article 15 précité. L'article 17 ne permet enfin que d'obtenir de l'exploitant du moteur de recherche, non pas la suppression des écrits litigieux, mais seulement leur 'déréférencement', ce qui ne suppose pas l'appel en cause des auteurs des contenus litigieux.
Par voie de conséquence, M. [B] ne justifiant pas d'un intérêt légitime à obtenir la communication des données d'identification des auteurs des blogs incriminés, l'ordonnance ayant rejeté sa demande fondée sur l'article 145 du code de procédure civile doit être confirmée.
Sur les dépens et les frais exclus des dépens
La décision entreprise sera confirmée en ses dispositions relatives aux dépens et frais exclus des dépens.
M. [B] succombant en son appel supportera la charge des entiers dépens d'appel et sera débouté de sa demande sur le fondement de l'article 700 du code de procédure civile. Il sera en revanche alloué aux sociétés Google Ireland Limited et Google LLC qui ont assuré une défense commune une somme globale de 2 000 euros sur ce fondement au titre des frais exclus des dépens qu'elles ont exposés en cause d'appel.
PAR CES MOTIFS
La cour, statuant par arrêt contradictoire, prononcé publiquement, par mise à disposition au greffe, conformément aux dispositions de l'article 450, alinéa 2 du code de procédure civile,
CONFIRME l'ordonnance du juge des référés du tribunal judiciaire de Strasbourg du 15 novembre 2022, sauf en ce qu'elle a dit n'y avoir lieu à mise hors de cause de la société Google LLC ;
Statuant à nouveau dans cette limite,
MET hors de cause la société Google LLC ;
Ajoutant à ladite ordonnance,
CONDAMNE M. [M] [B] aux entiers dépens d'appel ainsi qu'à payer aux sociétés Google Ireland Limited et Google LLC, ensemble, la somme de 2 000 euros (deux mille euros) sur le fondement de l'article 700 du code de procédure civile ;
REJETTE la demande de M. [M] [B] sur ce fondement.
La greffière, La présidente,