FAITS ET PROCEDURE

Vu l’assignation délivrée le 25 janvier 2008 par Mme Bénédicte S., puis ses conclusions suivant lesquelles il est pour l’essentiel demandé en référé de　:

Vu l’article 8 de la Charte des Droits Fondamentaux de l’Union Européenne, la loi 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, les articles 3 du code civil et 809 du code de procédure civile,

En conséquence,

Vu les conclusions des sociétés Google France et Google lncorporated, société de droit américain de l’Etat de Californie, qui demandent essentiellement de　:

Vu la décision rendue le 17 mars 2008, l’affaire ayant été plaidée à l’audience du 27 février 2008, ordonnant la réouverture des débats aux fins d’obtenir notamment des sociétés défenderesses copie de leurs statuts, de la loi de l’Etat de Californie relative à la protection des données personnelles, et invitant les parties à s’expliquer plus complètement si nécessaire au vu de ces éléments sur l’application de la loi française ou de la loi de l’Etat de Californie　;

Les parties entendues à l’audience tenue le 31 mars 2008 en leurs explications complémentaires orales;

DISCUSSION

Mme　Bénédicte S. expose que Usenet, ensemble de groupes de discussion rassemblant sur un mode hiérarchisé des contributions sur un sujet précis créé en 1979, est le plus ancien service de ce type disponible sur le réseau internet.

Elle explique que l’utilisateur, une fois connecté au serveur informatique fournissant le service, choisit le ou les groupes auxquels il désire s’inscrire, peut consulter tous les articles mis à disposition, qu’ils soient récents ou stockés sur le serveur depuis un certain temps, les plus anciens étant automatiquement effacés à l’expiration d’un délai pouvant varier entre quelques jours et un mois.

La société Google Inc. exploite par ailleurs le moteur de recherche notoirement connu sous le nom de Google, et propose également d’autres services (mise en ligne de vidéos, actualités, cartes etc.), parmi lesquels Google Groupes, qui propose, outre la participation aux groupes Usenet existants et d’en créer de nouveaux, I’accès aux archives des forums créés depuis l’année 1981. La société Google France est l’agence commerciale et technique en France de la société Google Inc., responsable de l’activité publicitaire du site internet.

Soulignant le fait que tous les échanges archivés sont facilement accessibles par simple recherche sur requête affichant les nom et prénom d’une personne, Mme　S. met en cause la conformité de ce service d’archives aux dispositions de la loi du 6 janvier 1978 sur l’informatique et les Libertés, expliquant qu’utilisatrice de l’internet depuis plus de 10 ans, elle a participé à des échanges sur des forums Usenet pour certains remontant à l’année 1998, alors qu’à cette époque n’y participaient que quelques dizaines de personnes.

Or tous les messages postés par elle depuis 1998 sont encore aujourd’hui accessibles, et révèlent des informations sur ses goûts, ses préoccupations, sa vie intime, ses interrogations en matière de santé, et se rapportent par conséquent à sa vie privée.

Le contact pris avec le support technique de Google en vue d’obtenir la suppression des messages la concernant du service d’archives n’ayant pas abouti, Mme　S. explique avoir en vain mis en demeure la société Google par lettre recommandée en date du 1er octobre 2007, en invoquant le bénéfice des dispositions de l’article 38 de la loi nº 78-17 du 6 janvier 1978.

Sur un nouveau courrier adressé le 19 novembre 2007, la Direction juridique de Google France lui répondait le 11 décembre 2007 par courrier électronique qu’il suffisait de se rendre sur une page du site pour demander le retrait des messages ; elle opposait le fait que Google possédait des historiques de tels messages sur dix ans, et que certains messages ne comportaient pas d’identification (adresse du message) rendant leur suppression impossible par le moyen proposé.

Elle juge au total la procédure proposée pour la suppression des messages inefficace, et observe que ses données personnelles figurent dans des réponses aux messages d’autres participants, alors que seul l’auteur d’origine peut procéder à leur suppression.

Ce service d’archives électroniques de forums de discussion constituant à son sens un traitement des nombreuses données à caractère personnel fournies à cette occasion, elle considère que des données la concernant ont été collectées depuis le territoire français où elle est établie, Google Inc. possédant un site internet spécialement conçu pour les utilisateurs établis en France, identifiable par le nom de domaine google.fr ; la société Google France étant l’agence commerciale et technique de la société Google Inc doit être considérée comme le représentant en France du responsable du traitement, Google Inc., qui n’y est pas établi.

La loi française est dès lors à son sens applicable au service Google Groupes, exploité par la société Google Inc., qui au demeurant a adhéré au programme «Safe Harbour», ce qui implique à ses yeux qu’elle admet que ses filiales européennes participent aux activités impliquant le transfert de données personnelles vers les Etats-Unis : il lui paraît de ce fait possible d’invoquer les règles de territorialité applicables en matière de loi de police, d’application immédiate au sens de l’article 3 § 1 du code civil.

Or elle n’a jamais donné à Google son accord, au sens de l’article 7 de la loi du 6 janvier 1978, à l’archivage dans son service Google Groupes des messages postés sur Usenet ; il s’agit pour elle, au regard des conditions restrictives de l’article 6, d’une collecte à caractère déloyal de données, par détournement de finalité, ne l’ayant jamais envisagé non plus qu’un accès aussi aisé à tout public, grâce à un moteur de recherche inexistant à un tel niveau de performance à l’époque de l’envoi.

Déniant tout intérêt historique au contenu des échanges en question, elle entend dès lors exercer le droit d’opposition prévu à I’article 38 de la loi, et fait valoir que le défaut de respect des dispositions de la loi du 6 janvier 1978 qui assurent la protection de son droit au respect de la vie privée constitue un trouble manifestement illicite au sens de l’article 809 du code de procédure civile, et demande en conséquence la suppression définitive des bases de données des serveurs du service Google Groupes de l’intégralité des messages adressés, ainsi que de toute information relative à ses prénom et nom.

Invoquant enfin le préjudice ainsi causé par l’atteinte à l’intimité de sa vie privée du fait de l’archivage des messages, elle demande au titre d’une obligation qu’elle estime non sérieusement contestable une provision sur dommages et intérêts d’un montant de 20 000 € sur le fondement de l’article 809 alinéa 2 du code de procédure civile.

Elle maintient à l’audience tenue le 31 mars 2008 sa position, fait valoir que la législation de l’Etat de Californie présente un caractère sectoriel, et non général comme la loi française, et ne permet pas à son sens d’assurer ses droits à obtenir la suppression des messages litigieux.

Elle soutient que les statuts de la société Google France confirment l’existence de moyens de traitement sur le territoire français, et reprend le moyen suivant lequel la loi du 6 janvier 1978 peut être considérée comme une loi de police, ajoutant que l’ordre public ainsi que le conçoit le droit international privé commande l’application de la loi française　: en l’état du défaut de communauté juridique entre la conception européenne de la protection des données personnelles et celle du droit de l’Etat de Californie, le juge doit examiner si le résultat obtenu en appliquant la législation californienne ne peut être considéré comme choquant.

Les sociétés Google France et Google lncorporated demandent la mise hors de cause de la société Google France, expliquant que Google Groupes est un service de Google Inc., et que la société Google Frange, simple agence commerciale, ne l’administre pas, n’ayant reçu aucun pouvoir ou mandat de représentation.

Il est ensuite fait valoir que la loi française n’est pas applicable, en l’absence de collecte de données à caractère personnel sur le territoire français ; celles-ci ont volontairement été mises en ligne par Mme　S., et l’archivage n’a pas été réalisé en France.

Il est opposé à l’argument tenant à l’application immédiate de la loi de police du 6 janvier 1978, le fait qu’il se trouve en contradiction avec le champ défini à son article 5.

La société Google Inc. affirme ensuite que la demanderesse dispose d’un moyen accessible en ligne pour faire procéder au retrait des messages, et qu’il n’est pas démontré qu’il soit impossible à mettre en oeuvre, alors que seul l’auteur est à même d’identifier chacun des messages pour les supprimer.

Elle conteste au demeurant procéder un traitement de données à caractère personnel ; l’archivage, réalisé par intérêt historique, ne s’y assimilerait pas, non plus que l’utilisation d’un forum de discussion faisant apparaître fortuitement de telles données.

Elle prétend avoir respecté les dispositions des articles 6 et 7 de la loi de 1978, opposant la valeur historique de l’archivage, et le fait que les finalités sont restées inchangées ; elle souligne que les messages ne sont accessibles que grâce à un moteur de recherche spécifique.

Elle oppose également les règles de forme que les demandes de mise en oeuvre des droits prévus aux articles 38 et 40 doivent respecter, soutient que l’allégation d’une atteinte à la vie privée est sérieusement contestable, comme la demande d’indemnité, tant dans son principe que dans son montant.

A l’audience tenue le 31 mars 2008, elle s’appuie sur une consultation et ajoute, la question étant posée en matière délictuelle, que la loi du fait dommageable, en l’absence de mise en oeuvre du traitement en France – les statuts de la société de droit français Google France ne démontrant pas le contraire – est la loi californienne, la constitution de l’Etat comportant un principe fondamental de protection des données personnelles, en vertu de laquelle la société Google Inc. a adopte des règles de conduite qu’elle a respectées.

Elle récuse la possibilité d’invoquer l’ordre public, compte tenu de l’existence de dispositions protectrices des données personnelles dans la législation de l’Etat de Californie, et du fait que le résultat de son application n’est pas choquant, soulignant à nouveau que le caractère public des discussions n’avait pu échapper à la demanderesse, l’archivage n’opérant pas de changement de nature à cet égard.

Attendu qu’aux termes de l’article 809 § 1 du code de procédure civile, il peut toujours être prescrit en référé, même en cas de contestation sérieuse, les mesures conservatoires ou de remise en état qui s’imposent pour faire cesser un trouble manifestement illicite;

Attendu que la demanderesse prétend qu’elle n’a pas donné son consentement, au sens de l’article 7 de la loi nº 78-17 du 6 janvier 1978 modifiée par la loi nº2004-801 du 6 août 2004, au traitement de données personnelles que constitue à ses yeux l’archivage des messages qu’elle a envoyés　; qu’elle ne met pas en cause le principe lui-même de l’utilisation du moteur de recherche par ailleurs exploité, même si elle souligne le fait qu’elle n’avait pas prévu sa montée en puissance;

Que de son côté la société Google Inc. conteste en tout état de cause procéder à un traitement de données personnelles;

Qu’avant d’envisager la question de la loi applicable en matière de traitement de données personnelles, il convient par conséquent en premier lieu de déterminer si des données personnelles de Mme　S. ont pu être l’objet d’opérations hors son consentement;

Attendu que force est de constater qu’une fois le choix fait par la demanderesse de s’inscrire à un ou plusieurs groupes de discussion, celle-ci ne pouvait ignorer que l’adresse électronique qu’elle faisait choix d’utiliser était portée à la connaissance de toute personne intéressée qu’elle a entendu faire choix de ses prénom et nom pour deux de celles qu’elle a utilisées, la troisième étant composée de la première lettre de son prénom suivie de son nom ; qu’elle demande pourtant, outre la suppression des bases de données du service Google Groupes les messages qu’elle a envoyés, la suppression de toute information relative à ses nom et prénom des index ou de la mémoire cache du moteur de recherche de ce service;

Qu’il ne s’impose pas avec évidence à cette juridiction que le traitement mis en cause puisse consister en des opérations de collecte sans autorisation de données personnelles ; qu’il s’agit en réalité pour Mme　S. de mettre en cause leur conservation, au sens de l’article 2 de la loi française dont elle soutient l’application, l’article 2, b) de la directive 95/46/CE du Parlement Européen et du Conseil du 24 octobre 1995 prévoyant de même ce type de traitement ; qu’évoquant des échanges remontant à 1998 elle prétend n’avoir pas prévu un archivage de telle durée;

Sur le champ d‘application des dispositions de la loi française

Attendu qu’aux termes de l’article 5 de la loi française, il faut, pour que le responsable du traitement de données personnelles soit soumis à cette loi, à défaut d’être établi sur le territoire français ou d’un autre Etat membre de l’Union européenne, que des moyens de traitement soient mis en oeuvre sur le territoire, à l’exclusion de ceux qui ne sont utilisés qu’à des fins de transit;

Que suivant l’article 4, 1, c) de la directive 95/46/CE du Parlement Européen et du Conseil du 24 octobre 1995, il faut, pour que le responsable non établi sur le territoire de la Communauté soit soumis à la loi de l’Etat membre concerné, être fait recours à des moyens, automatisés ou non, situés sur le territoire de cet état, sauf si ceux-ci ne sont utilisés qu’à des fins de transit sur celui-ci;

Attendu qu’il est constant et non contesté par Mme　S. que le service Google Groupes, qui permet de participer aux groupes de discussion Usenet et l’accès aux échanges archivés, est proposé par la société de droit nord-américain Google lncorporated, et exploité par elle en Californie ;

Que Mme　S. ne remet pas en cause le fait que la société Google France, simple agence, ne l’administre pas, aucun serveur dédié au service n’étant installé sur le territoire français ; que la société Google France affirme n’avoir reçu aucun mandat pour représenter la société Google Inc. ; que la société Google France n’administre pas davantage le moteur de recherche général, ni celui spécifique au service Google Groupes　;

Que le site internet google.fr, à partir duquel Madame S. explique que des messages ont été envoyés et consultés, a pour éditeur la société Google Inc. ; que le fait que l’objet de la société à responsabilité limitée Google Rance, «la fourniture de tous services et/ou conseils relatifs aux logiciels, au réseau internet, aux réseaux télématiques ou en ligne», comporte notamment «la promotion directe de produits et services et la mise en oeuvre de centres de traitement de l’information», ne démontre pas que cette société intervient dans le processus de traitement des données personnelles qu’implique le fonctionnement du service d’archivage considéré　;

Que l’adhésion de la société Google Inc. aux principes de «Safe Harbour» – traduit par «Sphère de Sécurité» par la C.N.I.L. – dispositif résultant d’un accord souscrit dans le cadre des dispositions des articles 68 et 69 de la loi du 6 janvier 1978, correspondant aux articles 25 et 26 de la directive, révèle que des données personnelles correspondant à des personnes physiques ressortissantes d’Etats membres de l’Union européenne lui sont transférées　; que cependant, la demanderesse ne contredit pas la défenderesse qui affirme qu’il s’agit de données liées à l‘exécution de contrats concernant des services différents, Adwords et Adsense, ou des salariés de la société Google France;

Que Mme　S. ne démontre pas en réalité que la société Google Inc. est établie en France ou utilise pour l’archivage litigieux les moyens, matériels ou humains, de la société Google France, ou de tout autre entité située sur le territoire français, autrement qu’à des fins de transit;

Qu’en conséquence les données figurant dans les messages archivés de nature à permettre l’identification directe ou indirecte de la demanderesse ne peuvent être regardées comme ayant fait l’objet d’un traitement en France;

Que la société de droit français Google France sera mise hors de cause par application des dispositions de l’article 5 de la loi nº 78-15 du 6 janvier 1978 relatives à son champ d’application;

Sur la loi applicable

Attendu que le juge des référés n’en est pas moins appelé à se prononcer à l’égard de la société Google Inc. sur les mesures à caractère provisoire sollicitées, soit la suppression de messages comportant des données personnelles ou la mention de celles-ci, et une condamnation au paiement d’une indemnité provisionnelle; que par-delà le type de mesures qu’il est dans les pouvoirs de cette juridiction de prendre en conformité avec les dispositions de l’article 809 du code de procédure civile, celle-ci ne peut éluder, pour apprécier le caractère manifestement illicite du trouble allégué, comme l’existence d’une obligation non contractuelle non sérieusement contestable pouvant fonder la demande de provision, l’examen de cette question de la loi applicable, indépendante de celle relative à la compétence de cette juridiction et qui n’est pas discutée　;

Que la question de l’application de l’article 3 § 3 du code civil aux Français de la législation concernant l’état des personnes ne se pose pas ; que l’archivage des messages est en effet contesté en ce qu’il porte atteinte aux droits de Madame Bénédicte S. sur ses nom et prénom, droits de la personnalité dont elle a librement disposé pour s’identifier lorsqu’elle a envoyé ses messages, mais dont elle critique l’usage qui en a été fait par le service d’archivage;

Attendu en premier lieu que doit être examiné préalablement l’argument qui tend à qualifier de loi de police la loi du 6 janvier 1978, dans la mesure où il est susceptible de rendre sans objet la discussion sur la détermination du droit applicable;

Que pour retenir cette qualification, il faudrait considérer l’application de la loi française comme s’imposant sans contestation possible pour la sauvegarde de l’organisation socioéconomique de notre communauté nationale　; que la seule circonstance tenant au fait que le défaut de respect de certaines de ses dispositions soit sanctionné pénalement ne permet pas d’évidence de retenir le caractère impératif de son application à la situation considérée, au regard au surplus des conditions restrictives de son champ d’application évoquées plus haut ; qu’il n’est pas sérieusement avancé que par l’effet du défaut d’application de la loi française, résultat aujourd’hui de la transposition en droit interne de la directive européenne, aucune protection ne serait assurée aux données personnelles par la loi de l’Etat étranger;

Que l’Etat de Californie érige l’impératif de cette protection en principe dans sa Constitution (article 1, § 1) ; qu’aussi, c’est de manière inopérante que Mme　S. prend également comme fondement de son action pour assurer la protection de ses données personnelles le principe similaire édicté par la Charte des Droits Fondamentaux de l’Union Européenne reconnue par le traité de Lisbonne du 13 décembre 2007, dont la ratification est au surplus toujours en cours;

Qu’il convient de relever en outre que le Règlement (CE) nº 864/2007 du Parlement Européen et du Conseil du 11 juillet 2007, applicable aux obligations non contractuelles («Rome II»), exclut de son champ d’application celles qui découlent d’atteintes à la vie privée et aux droits de la personnalité (Chapitre I, Article premier, 2, g) ;

Que l’application de la loi du pays où le dommage survient, au sens de l’article 4 de ce Règlement n’implique donc pas l’application de la loi française;

Que la législation de l’Etat de Californie a en réalité vocation à s’appliquer, en raison de la production sur le territoire de l’Etat de Californie du fait générateur du dommage allégué, soit l’archivage des messages ; que les plus anciens d’entre eux qui révèlent plus particulièrement des sujets d’intérêt touchant à la vie personnelle de la demanderesse sont au surplus diffusés par l’auteur en langue anglaise, principalement à destination d’internautes résidant aux Etats-Unis d’Amérique;

Attendu que la demanderesse oppose encore l’exception d’ordre public, au sens où l’entend le droit international privé, qui imposerait l’application de la loi française;

Attendu que suivant la consultation versée au débat, s’il n’existe pas dans le droit positif californien de loi générale en la matière, celui-ci comporte un ensemble de législations sectorielles régies par le principe fondamental inscrit dans la Constitution évoqué plus haut, élaborées pour protéger de risques identifiés d’atteintes ; qu’il s’agit notamment de préserver la confidentialité raisonnablement attendue des données échangées, et d’obliger l’opérateur d’un service de communication en ligue collectant des données d’identification, définies largement, à publier des règles de conduite appropriées (privacy policy) les précisant et décrivant le processus permettant à l’utilisateur d’accéder à ses données et de les rectifier;

Que le type de protection assurée par la législation de l’Etat de Californie reposant sur une auto-régulation contrôlée, est à rapprocher du dispositif français, du type déclaratif à titre principal, supposant autorisation dans des cas précisés;

Attendu dès lors qu’il n’est nullement évident pour cette juridiction, appelée à prendre des mesures à caractère essentiellement provisoire, que les valeurs fondamentales de notre ordre juridique pourraient se trouver compromises par l’application à la situation que décrit Mme　S. du droit étranger, à le supposer même moins favorable;

Sur les demandes

Attendu qu’il convient en considération des développements qui précèdent d’examiner si Mme　S. peut faire état d’un trouble à caractère manifestement illicite　;

Que suivant la société défenderesse, Mme　S. dispose d’un service en ligne lui permettant, dans le respect du droit positif de l’Etat de Californie applicable, de supprimer les messages archivés et de demander de ne pas archiver les messages envoyés (pièce nº 3 de la demanderesse) ; qu’au vu des derniers constats en date des 12, 15, 19 et 25 février 2008 dressés à la diligence des défenderesses, elle apparaît, contrairement à ce qu’elle soutient, pouvoir les mettre en oeuvre, en sélectionnant, après leur identification («message-ID» dans l’en tête original de chacun d’eux), plusieurs messages à la fois pour les supprimer (annexes 11 à 19), l’huissier ayant effectué des tests de suppression (annexes 20 à 25, 28 à 33) rendant raisonnablement envisageable la suppression par l’intéressée des messages par elle jugés indésirables pour être révélateurs d’éléments de l’intimité de sa vie privée et dont elle est l’auteur, soit ceux postés les 7, 9 et 19 mai 1998 ; que s’agissant de ceux dont elle n’est pas l’auteur et auxquels elles a répondu, il existe une difficulté sérieuse　; que celle-ci résulte, outre de leur contenu dont le caractère personnel est discutable, de l’objection opposée à Mme　S. qui conteste l’archivage pour une durée illimitée, suivant laquelle c’est à l’auteur qu’il appartient pour chacun de ses messages d’en solliciter la suppression　;

Que le trouble qu’elle invoque n’apparaît donc pas manifestement illicite.

Que dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, il peut être accordé une provision au créancier, Mme　S. invoquant à l’appui de sa demande d’indemnisation le fait que l’archivage des messages porte atteinte à l’intimité de sa vie privée;

Mais attendu au vu de ce qui précède au sujet du trouble allégué du fait de l’accès au contenu des messages archivés, dont tous ne ressortissent pas par leur contenu à la vie privée de l’intéressée, que le droit invoqué à indemnisation apparaît sérieusement contestable;

Qu’il n’y a par conséquent lieu à référé, les parties étant invitées à se pourvoir si elles l’entendent devant le juge du fond compétent;

Sur les frais et dépens

Attendu que Mme　Bénédicte S. succombe dans ses demandes, et devra prendre les dépens de l’instance à sa charge;

Que les sociétés Google Inc. et Google France demandent de faire application de l’article 700 du code de procédure civile;

Mais attendu que la procédure mise en place par le service Google Groupes de suppression des messages est apparue d’une mise en oeuvre effective de prime abord malaisée, et que le débat a permis de clarifier;

Qu’il n’apparaît pas en conséquence contraire à l’équité de ne pas faire application des dispositions de l’article 700 du code de procédure civile;

DECISION

Par ordonnance contradictoire et en premier ressort, mise à disposition au greffe,

Vu la loi nº78-17 du 6 janvier 1978 modifiée,

*  Constatons l’absence de moyens avérés de traitement en France par le service Google Groupes de données à caractère personnel,

*  Mettons la société à responsabilité limitée Google France hors de cause,

Vu les dispositions de l‘article 809 du code de procédure civile,

*  Constatons l’absence de traitement sur le territoire français par la société Google Inc. de traitement de données personnelles pour les besoins de son service Google Groupes,

*  Constatons que la loi française n’est pas en toute évidence une loi de police justifiant son application impérative au présent litige, et que son application ne s’impose pas, que ce soit en vertu du lieu de survenance du fait dommageable ou pour des motifs tenant à l’ordre public au sens du droit international privé,

*  Disons n’y avoir lieu à référé, en l’absence au regard du droit positif de I’Etat de Californie de trouble à caractère manifestement illicite et d’obligation non contractuelle d’indemniser qui ne soit sérieusement contestable,

*  Invitons les parties à se pourvoir devant le juge du fond compétent si elles l’estiment opportun,

*  Disons n’y avoir lieu à application des dispositions de l’article 700 du code de procédure civile,

*  Laissons les dépens à la charge de Mme Bénédicte S.

Le tribunal　: M. Emmanuel Binoche (président)

Avocats　: Me Valérie Sedallian, Me Marion Barbier, Me Stéphane Lemarchand