La consécration du droit à l'oubli sur les plateformes de blogs
Le 15 décembre 2011, la Cour d'appel de Montpellier a considéré qu'un hébergeur de blogs était tenu de supprimer les noms et prénoms des personnes qui y sont désignées en application de la loi n° 78-17 dite Informatique et libertés.
Je m'abonne
Par Maître Mathieu Prud'homme, avocat et directeur du département Internet contentieux au cabinet
Alain Bensoussan, et Maître Katharina Berbett, avocat.
Un hébergeur de blogs est tenu de supprimer les noms et prénoms des personnes qui y sont citées, en application de la loi dite Informatique et liberté.
Ainsi en a décidé la Cour d'appel de Montpellier le 15 décembre 2011. En l'espèce, le demandeur, qui intervenait habituellement sous pseudonyme sur les blogs hébergés par la société défenderesse, avait vu sa véritable identité, ainsi que des éléments concernant sa vie privée, révélés dans les commentaires d'un blog. De plus, en tapant son nom sur un moteur de recherche, apparaissaient des liens renvoyant aux pages concernées de la plateforme de blogs. La société hébergeant les blogs n'avait pas donné suite à sa demande de suppression.
En première instance, le juge avait rejeté ses demandes, rappelant qu'un hébergeur, en application de la Loi pour la confiance dans l'économie numérique (LCEN), est dispensé de surveiller les contenus, mais doit réagir promptement pour retirer un contenu lorsque celui-ci lui est signalé. Or, d'une part, le demandeur n'avait pas au préalable contacté l'auteur des contenus et d'autre part, le caractère manifestement illicite des contenus n'avait pas été retenu. La cour d'appel a jugé que « l'application de la LCEN n'est pas exclusive de l'application de la loi n° 78-17 », et que l'hébergeur du blog procédait à un traitement de données à caractère personnel en collectant les informations contenues dans les billets, en les conservant tout en les organisant de façon antéchronologique et en les regroupant sur un thème donné, tout en se réservant la faculté d'en suspendre la diffusion en cas d'abus.
L'hébergeur doit surveiller et contrôler
La Cour a considéré que l'hébergeur aurait dû faire droit à la demande de suppression, en vertu du droit d'opposition dont dispose l'intéressé selon l'article 38 de la loi Informatique et libertés.
L'application de la loi Informatique et libertés aux hébergeurs stockant des données à caractère personnel pour le compte de leurs clients (ou membres) a d'autres conséquences. Parmi les autres obligations imposées par cette loi figurent l'obligation d'information des personnes désignées dans les contenus stockés, l'interdiction de traiter de données sensibles sans avoir obtenu au préalable certaines autorisations, ainsi que l'obligation d'assurer la sécurité des données.
Certaines de ces obligations, et notamment l'obtention du consentement de l'intéressé paraissent cependant difficilement conciliables avec l'absence d'obligation générale de surveillance et de contrôle a priori imposée à l'hébergeur pour les contenus ajoutés par des tiers. Cependant, pour le cas de l'obligation d'information, l'article 32 de la loi Informatique et Libertés, prévoit une exception lorsqu'elle «se révèle impossible ou exige des efforts disproportionnés par rapport à l'intérêt de la démarche». Dans l'affaire précitée, le moteur de recherche avait bénéficié de cette exception. Il n'en demeure pas moins que tout site comprenant des espaces de contribution personnelle devra dorénavant procéder à la suppression d'un contenu désignant une personne, lorsque celle-ci en fait la demande sur le fondement du droit d'opposition et pour des motifs légitimes.
Informer les tiers
En tout état de cause, le respect de ces obligations pourra permettre d'anticiper le nouveau cadre législatif européen en matière de protection des données à caractère personnel. En effet, la Commission européenne a déposé, le 25 janvier 2012, une proposition de Directive et de Règlement visant à instaurer un nouveau corps de règles uniforme.
Ces textes visent notamment à instaurer un «droit à l'oubli numérique et à l'effacement», permettant à toute personne de demander la suppression de ses données personnelles si une entreprise n'a pas de raison légitime de les conserver. Ils prévoient également que le responsable du traitement devra, s'il a rendu les données publiques, comme c'est le cas sur un blog, prendre toutes les mesures raisonnables, en vue d'informer les tiers, tels les moteurs de recherche, qu'ils doivent effacer tous liens, ou copies des informations. Ce droit à l'oubli est toutefois assorti d'une exception visant à préserver l'exercice du droit à la liberté d'expression. Enfin, une autre mesure consacrée par ces textes est la généralisation de l'obligation de notification à l'autorité nationale compétente des violations de données, et ce dans un délai de vingt-quatre heures.
mathieu-prudhomme
@alain-bensoussan.com
