CNIL

Par un jugement en date du 14 janvier 2016, le Tribunal de Commerce de Paris s’est déclaré compétent à juger une affaire portant sur un site internet avec un nom de domaine en .it. Mais qu’en est-il exactement de l’obligation pour les propriétaires de bases de données d’adresses emails d’internautes français et dont le siège de la société est implanté hors de France ?

Dans l’affaire qui lui a été donné de juger le 21 octobre 2015, le Tribunal de Commerce de Paris a du prendre position sur une question de compétence : est-il à même de juger de l’action d’un site internet alors que ce dernier sur un nom de domaine italien et qu’il est hébergé hors de France ? Pour répondre à cette question, le tribunal s’est basé sur le règlement CE 44/2001 du 22 décembre 2000 concernant la compétence judiciaire, la reconnaissance et l’exécution des décisions en matière civile et commerciale.

Comme l’a indiqué le Tribunal de Commerce de Paris :

L’article 2-1 du règlement communautaire n° 44/2001 prévoit que « Sous réserve des dispositions du présent règlement, les personnes domiciliées sur le territoire d’un État membre sont attraites, quelle que soit leur nationalité, devant les juridictions de cet État-membre ».

Son article 5-3 prévoit qu’ « Une personne domiciliée sur le territoire d’un État membre peut être attraite, dans un autre État membre : [ … ]
3) En matière délictuel/e ou quasi délictuel/e, devant le tribunal du lieu où le fait dommageable s’est produit ou risque de se produire »
.

En d’autres termes, bien qu’un site internet soit réalisé, hébergé et entretenu dans un pays étranger, c’est le ciblage même du site qui entraîne le fait qu’il ait à se plier à la législation d’un Etat-Membre ou d’un autre… Or, dans le cas présent, il a alors été reconnu que le site internet incriminé disposait d’une traduction en langue française, destinée à des internautes français et que dès lors il présentait un lien significatif et suffisant pour permettre au Tribunal de Commerce de Paris de se déclarer compétent : c’est que l’on appelle le principe de territorialité.

Quid des propriétaires de bases de données résidents à l’étranger ?

Les propriétaires de bases de données email situés en France ont pour obligation de déclarer l’ensemble de leurs fichiers auprès de la CNIL. C’est une des obligations qui découle de la loi informatique et liberté du 6 juillet 1978, loi qui a été de très nombreuses fois modifiée depuis… Mais très souvent, les propriétaires étrangers de bases de données emails ne procèdent pas aux déclarations CNIL.

Or, si l’on s’intéresse à l’argumentaire du Tribunal de Commerce de Paris, il faut un lien significatif entre l’activité du loueur de bases de données et la France… Pour déterminer une telle chose, il nous faut alors retenir trois éléments :

  • L’origine géographique des internautes présents dans la base de données ;
  • La langue utilisée dans le message adressé par email ;
  • Le ciblage géographique du message adressé par email.

Le premier point est certainement le plus complexe : il est toujours plus simple de connaître la finalité d’une collecte que son origine. Il existe deux possibilités : la collecte par des jeux concours ou la collecte par l’intermédiaire d’un site internet éditorial.

Le premier cas est relativement simple. Comme on peut le voir dans le cas du jeu concours présent ci-dessous, dont la collecte est également opérée pour quelques acteurs implantés hors de France (ex.: Bonotour), il suffit de s’intéresser au règlement dudit jeu où l’on peut lire que ce dernier a été déposé auprès d’un huissier de justice français… Dès lors, cette collecte cible spécifiquement des internautes en France Métropolitaine.

Exemple Jeu Concours

Concernant la collecte par l’intermédiaire d’un site éditorial, il s’agit d’un élément plus complexe à déterminer. Il y a bien entendu une condition sine qua none : le site doit disposer d’une version française, tant que nous sommes dans le cadre d’une propriétaire dont la société n’est pas implanté en France. Si oui, il n’y a aucun doute à avoir que si une collecte existe sur le site, elle a pour objectif de collecter des adresses email d’internautes francophones ! Il faut alors y apporter une nuance : déterminer si la collecte vise des internautes localisés en France ou non.

Pour cela, il faut alors procéder à une analyse du contenu du site. S’il traite d’informations locales françaises, qu’il présente des services uniquement accessibles en France, ou bien encore, qu’il présente des offres commerciales à destination des internautes situés en France, on peut dès lors considérer que ce site a pour objectif de cibler des internautes résidant en France.

Cependant, la collecte à elle seule n’est pas suffisante, il faut s’intéresser à l’usage principal de cette collecte ! 

On se retrouve alors dans une analyse beaucoup plus simple à mener : les messages envoyés ont-ils pour vocations de mettre en avant des offres ciblant des internautes qui résident en France ? Si non, le propriétaire n’est alors pas tenu de se plier aux obligations déclaratives imposées par la loi française.

Néanmoins, si c’est bien l’objectif de la collecte, le propriétaire se retrouve alors dans le cadre de la législation française quant à la collecte et la conservation des données personnelles. L’email étant considéré comme une donnée personnelle directement identifiable, le propriétaire a donc obligation de procéder à la déclaration de sa base de données auprès de la CNIL.

Si une telle base de données venait à ne pas remplir ces formalités déclaratives, le propriétaire de la base de données serait alors tenu pénalement responsable et risquerait une sanction de 5 ans d’emprisonnement et 300.000€ d’amende, comme le précise l’article L226-16 du Code Pénal. Mais le propriétaire n’est pas le seul responsable de ce fait… En effet, un annonceur qui utiliserait une telle base de données pourrait recevoir la qualification de complice et risquerait dès lors lui aussi une condamnation pénale !

En conclusion, à partir du moment où une collecte d’adresse email visant spécifiquement des internautes qui résident en France afin de leur faire parvenir des messages ciblés, la base de données qui en résulte doit être déclarée auprès de la CNIL.

Leave a Reply

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

You may use these HTML tags and attributes:

<a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>