France: Clauses abusives et données à caractère personnel : Twitter condamnée en France

Last Updated: 23 October 2018
Article by Anaëlle Idjeri

Par un jugement en date du 7 août 2018, le Tribunal de grande instance de Paris s'est prononcé sur le caractère illicite – au regard du droit de la consommation et de la Loi Informatique et Libertés du 6 janvier 1978 – des clauses contenues dans les différentes versions des Conditions Générales d'Utilisation, de la Politique de confidentialité et des « Règles » de Twitter soumises à son examen.

Twitter a ainsi été condamnée à modifier l'ensemble de sa documentation contractuelle à destination des utilisateurs français et à rendre public le jugement dans son intégralité.

Les professionnels sont désormais avertis : les règles du droit de la consommation doivent être strictement prises en compte lors de la rédaction de leurs conditions générales d'utilisation et autres politiques de confidentialité.

Au terme d'une analyse remarquablement minutieuse, le Tribunal a non seulement jugé que le contrat Twitter était un contrat de consommation à titre onéreux (1) et que Twitter devait être considérée comme responsable de traitement au sens de la Loi Informatique et Libertés (2), mais encore décidé que 266 des clauses contenues dans la documentation contractuelle de Twitter, en ce compris celles de contrats qui ne sont plus proposés, sont abusives (3).

  1. L'application du droit de la consommation à la documentation contractuelle de Twitter

Twitter alléguait que le contrat d'utilisation du réseau social conclu par l'utilisateur étant gratuit, les dispositions du droit de la consommation français étaient inapplicables.

En l'espèce, si le service proposé par Twitter à ses utilisateurs est dépourvu de contrepartie monétaire, le Tribunal a retenu que Twitter « commercialise à titre onéreux auprès d'entreprises partenaires, publicitaires ou marchands, des données à caractère personnel ou non, déposées gratuitement par l'utilisateur à l'occasion de son inscription sur la plateforme et lors de son utilisation  ». Ainsi, « la fourniture des données collectées gratuitement puis exploitées et valorisées par Twitter doit s'analyser en un avantage au sens de l'article 1107 du Code civil, qui constitue la contrepartie de celui que Twitter procure à l'utilisateur, de sorte que le contrat conclu avec Twitter est un contrat à titre onéreux ».

En conséquence, Twitter est qualifiée de professionnel et l'utilisateur partageant du contenu de consommateur au sens de l'article liminaire du Code de la consommation. Les règles du droit de la consommation sont donc applicables.

  1. La qualification de Twitter comme responsable de traitement au sens de la Loi Informatique et Libertés

La demanderesse soutenait que certaines des clauses contenues dans la documentation contractuelle de Twitter étaient abusives en ce qu'elles instituaient une présomption de responsabilité de l'utilisateur et limitaient, voire exonéraient Twitter de sa responsabilité, alors qu'en qualité de responsable du Traitement, Twitter est tenue d'une obligation de préservation des données, de la prévention de leur déformation, de leur endommagement, ou de leur accessibilité par les tiers.

Twitter alléguait quant à elle ne pas être le responsable de traitement puisque l'utilisateur détermine, en qualité de « responsable éditorial » de ses publications, leur finalité et doit en conséquence être considéré comme le responsable. Twitter soutenait encore qu'elle agissait comme sous-traitant uniquement « sur instruction du responsable de traitement » ; elle serait ainsi un simple prestataire technique chargé d'héberger les données publiées par l'utilisateur.

En conséquence, le Tribunal a retenu que Twitter était le responsable de traitement et qu'elle devait ainsi conformément à l'article 3 de la Loi Informatique et Libertés « prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et empêcher que des tiers non autorisés y aient accès ». Le Tribunal a encore jugé que la clause qui « donne ainsi à croire à l'utilisateur qu'il doit assumer seul la charge de la sécurisation de ses données  » est illicite au sens de l'article 34 de la Loi Informatique et Libertés.

  1. L'illicéité des clauses relatives aux données à caractère personnel

Après avoir tranché ces questions de fond, le Tribunal a minutieusement analysé l'ensemble des clauses contenues dans la documentation contractuelle de Twitter proposée entre 2014 et 2016.  

Nous ne présenterons ci-après que quelques-unes des clauses relatives aux données à caractère personnel qui ont été déclarées abusives, c'est-à-dire celles qui « ont pour objet ou pour effet de créer, au détriment du consommateur, un déséquilibre significatif entre les droits et obligations des parties au contrat ».

  • Le défaut de qualification des données à caractère personnel

Certaines clauses prévoyaient la collecte auprès de l'utilisateur d'« informations» ou de « coordonnées », sans préciser s'il s'agissait de données à caractère personnel. Or, l'obligation d'information précontractuelle mise à la charge du professionnel, se matérialise notamment par la fourniture au consommateur d'une présentation et d'une rédaction claire et compréhensible des clauses du contrat proposé.

En l'espèce, Twitter alléguait que l'utilisateur comprenait « nécessairement » que les offres proposées sont « susceptible(s) d'inclure des communications de nature commerciale » entre elle et des tiers.

Conformément à l'article 6 de la Loi Informatique et Libertés, le Tribunal a jugé que même s'il n'existe pas de véritable obligation de qualifier juridiquement les données à caractère personnel, le responsable du traitement doit recueillir le consentement explicite et éclairé de la personne concernée par la collecte et le traitement de ses données personnelles. L'utilisateur devant ainsi être en mesure de comprendre l'usage réel qui est fait de ses données, peu important qu'elles soient données de sa pleine initiative ou par l'utilisation d'outil tels que, notamment, des traceurs ou des cookies.

  • La présomption de consentement de l'utilisateur au contrat et au traitement de ses données à caractère personnel par la simple navigation sur Twitter

La demanderesse soutenait que le consentement spécifique de l'utilisateur est requis pour le traitement de ses données à caractère personnel. A l'inverse, Twitter indiquait que le consentement général de l'utilisateur est présumé avoir été donné par l'utilisateur dès son inscription sur le réseau Twitter.

En tout état de cause, la demanderesse soulignait que le consentement, à le supposer établi, ne peut constituer un consentement particulier de l'utilisateur au traitement de ses données personnelles à des fins de publicités comportementales. De manière intéressante, Twitter arguait en outre que l'« internaute moyen » est de plus en plus « éduqué », et qu'il n'ignore pas que les sites tels que Twitter se financent de cette manière.

Le Tribunal a considéré que le consentement ne peut se déduire de la seule inscription sur un site internet et de sa navigation ultérieure sur ce site. Dès lors, la documentation contractuelle de Twitter se contentant de présenter la collecte des données personnelles – fournies par l'utilisateur à l'occasion de son inscription sur le site et lors de sa navigation ultérieure – comme étant la nécessaire contrepartie de l'accès aux services de Twitter, est abusive.

  • L'absence de consentement de l'utilisateur au transfert hors de l'Union Européenne de ses données personnelles

Le Tribunal a encore jugé que sont abusives les clauses prévoyant une acceptation implicite de l'utilisateur – résultant de l'utilisation du service – au transfert de ses données à caractère personnel vers des pays tiers, dont certains ne sont pas identifiés (« tout autre pays où Twitter exerce des activités »), ces pays étant susceptibles de ne pas assurer un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes concernées au sens de l'article 68 de la Loi Informatique et Libertés. En effet, la certification Safe Harbor puis le Privacy Shield prévu dans la documentation contractuelle ne couvrent pas l'intégralité des pays vers lesquels des données sont transférées, mais seulement les Etats-Unis.

  • Le défaut d'information de l'utilisateur des finalités du traitement de ses données à caractère personnel et de leur transfert à des tiers

Twitter prétendait que la collecte des données personnelles s'effectuerait dans le seul intérêt de l'utilisateur afin de nourrir et d'améliorer les services mis à sa disposition.

Cependant, il ressort de l'analyse des clauses menée par le Tribunal que Twitter pouvait utiliser les coordonnées de l'utilisateur afin de lui « proposer des offres commerciales », et que les « services (de Twitter) sont financés par la publicité ». Twitter alléguait à ce sujet que l'utilisation des données à caractère personnel collectées auprès de l'utilisateur permet de lui proposer des offres commerciales et que l'utilisation des données personnelles constitue « une aide » (pour) « d'autres personnes » à trouver le compte de l'utilisateur, sans toutefois identifier clairement les « personnes », à qui les données sont transmises.

Ce faisant, le Tribunal a pu retenir non seulement que Twitter manquait à son obligation d'informer l'utilisateur sur les finalités et sur les bénéficiaires du transfert des données – conformément à l'article 32-I de la Loi Informatique et Libertés – mais que ces clauses avaient en outre pour effet de conférer au professionnel le droit exclusif d'interpréter une clause ambiguë dans le sens qui lui serait le plus favorable. En conséquence, ces clauses sont déclarées abusives. 

  • L'exclusion par Twitter de sa responsabilité pour la sécurisation des données

Le responsable de traitement est la personne qui détermine les finalités et les moyens du traitement des données à caractère personnel (Article 3 de la Loi Informatique et Libertés). L'article 34 de la même loi lui impose de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

Dans sa documentation contractuelle, Twitter recommande à l'utilisateur de « réfléchir sérieusement à ce qu'(il) (rend) public », laissant entendre à celui-ci qu'il serait le seul responsable des contenus qu'il publie, et ce, malgré la collecte de données à caractère personnel pour lesquelles il n'a pu donner son consentement.

Le Tribunal a pu retenir que l'utilisateur n'a ni l'information de l'existence, ni la conscience d'une telle collecte, de sorte que, dans une telle situation, il n'est pas véritablement concevable qu'il puisse « réfléchir sérieusement » aux contenus qu'il publie. Dès lors, une telle clause est abusive. Twitter reste tenue, en sa qualité de responsable du traitement, de prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

  • La conservation illimitée des données à caractère personnel de l'utilisateur par Twitter

Le Tribunal a rappelé que l'article 36 de la Loi Informatique et Libertés dispose que les données à caractère personnel ne peuvent être conservées au-delà de la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.

Or, la documentation contractuelle de Twitter prévoyait que les données de l'utilisateur – dont les données à caractère personnel – sont conservées après la suppression du compte de l'utilisateur, sans limitation de durée, Twitter se réservant ainsi le droit de les conserver sans motif légitime pour une période sans lien avec la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. Pis encore, en cas de résiliation du contrat, Twitter conservait les contenus mis en ligne par l'utilisateur.

De toute évidence de telles clauses en reconnaissant au professionnel un pouvoir de décision unilatéral, constituent à nouveau, au regard du droit de la consommation, une clause de nature à créer un déséquilibre significatif entre les droits et obligations des parties au contrat au détriment du consommateur.

En conclusion, ce jugement remarquable par sa longueur (plus de 265 pages) et son analyse minutieuse, s'inscrit dans la droite lignée du Règlement Général sur la Protection des Données selon lequel le professionnel collectant des données à caractère personnel doit impérativement s'assurer du consentement éclairé de son utilisateur. La législation française sur les clauses abusives étant issue de la directive européenne no. 93/13/CEE du Conseil du 5 avril 1993, il conviendra de prêter attention au retentissement que pourrait avoir ce jugement dans les autres Etats de l'Union Européenne.

Enfin, la portée de cette décision devra également être appréciée au regard des deux décisions qui devraient être rendues dans les prochains mois dans le cadre des procédures initiées devant les tribunaux français à l'encontre de Facebook et Google et fondées sur des demandes similaires.

Please click here to read this article in English.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.

To print this article, all you need is to be registered on Mondaq.com.

Click to Login as an existing user or Register so you can print this article.

Authors
 
Some comments from our readers…
“The articles are extremely timely and highly applicable”
“I often find critical information not available elsewhere”
“As in-house counsel, Mondaq’s service is of great value”

Related Topics
 
Related Articles
 
Related Video
Up-coming Events Search
Tools
Print
Font Size:
Translation
Channels
Mondaq on Twitter
 
Register for Access and our Free Biweekly Alert for
This service is completely free. Access 250,000 archived articles from 100+ countries and get a personalised email twice a week covering developments (and yes, our lawyers like to think you’ve read our Disclaimer).
 
Email Address
Company Name
Password
Confirm Password
Position
Mondaq Topics -- Select your Interests
 Accounting
 Anti-trust
 Commercial
 Compliance
 Consumer
 Criminal
 Employment
 Energy
 Environment
 Family
 Finance
 Government
 Healthcare
 Immigration
 Insolvency
 Insurance
 International
 IP
 Law Performance
 Law Practice
 Litigation
 Media & IT
 Privacy
 Real Estate
 Strategy
 Tax
 Technology
 Transport
 Wealth Mgt
Regions
Africa
Asia
Asia Pacific
Australasia
Canada
Caribbean
Europe
European Union
Latin America
Middle East
U.K.
United States
Worldwide Updates
Registration (you must scroll down to set your data preferences)

Mondaq Ltd requires you to register and provide information that personally identifies you, including your content preferences, for three primary purposes (full details of Mondaq’s use of your personal data can be found in our Privacy and Cookies Notice):

  • To allow you to personalize the Mondaq websites you are visiting to show content ("Content") relevant to your interests.
  • To enable features such as password reminder, news alerts, email a colleague, and linking from Mondaq (and its affiliate sites) to your website.
  • To produce demographic feedback for our content providers ("Contributors") who contribute Content for free for your use.

Mondaq hopes that our registered users will support us in maintaining our free to view business model by consenting to our use of your personal data as described below.

Mondaq has a "free to view" business model. Our services are paid for by Contributors in exchange for Mondaq providing them with access to information about who accesses their content. Once personal data is transferred to our Contributors they become a data controller of this personal data. They use it to measure the response that their articles are receiving, as a form of market research. They may also use it to provide Mondaq users with information about their products and services.

Details of each Contributor to which your personal data will be transferred is clearly stated within the Content that you access. For full details of how this Contributor will use your personal data, you should review the Contributor’s own Privacy Notice.

Please indicate your preference below:

Yes, I am happy to support Mondaq in maintaining its free to view business model by agreeing to allow Mondaq to share my personal data with Contributors whose Content I access
No, I do not want Mondaq to share my personal data with Contributors

Also please let us know whether you are happy to receive communications promoting products and services offered by Mondaq:

Yes, I am happy to received promotional communications from Mondaq
No, please do not send me promotional communications from Mondaq
Terms & Conditions

Mondaq.com (the Website) is owned and managed by Mondaq Ltd (Mondaq). Mondaq grants you a non-exclusive, revocable licence to access the Website and associated services, such as the Mondaq News Alerts (Services), subject to and in consideration of your compliance with the following terms and conditions of use (Terms). Your use of the Website and/or Services constitutes your agreement to the Terms. Mondaq may terminate your use of the Website and Services if you are in breach of these Terms or if Mondaq decides to terminate the licence granted hereunder for any reason whatsoever.

Use of www.mondaq.com

To Use Mondaq.com you must be: eighteen (18) years old or over; legally capable of entering into binding contracts; and not in any way prohibited by the applicable law to enter into these Terms in the jurisdiction which you are currently located.

You may use the Website as an unregistered user, however, you are required to register as a user if you wish to read the full text of the Content or to receive the Services.

You may not modify, publish, transmit, transfer or sell, reproduce, create derivative works from, distribute, perform, link, display, or in any way exploit any of the Content, in whole or in part, except as expressly permitted in these Terms or with the prior written consent of Mondaq. You may not use electronic or other means to extract details or information from the Content. Nor shall you extract information about users or Contributors in order to offer them any services or products.

In your use of the Website and/or Services you shall: comply with all applicable laws, regulations, directives and legislations which apply to your Use of the Website and/or Services in whatever country you are physically located including without limitation any and all consumer law, export control laws and regulations; provide to us true, correct and accurate information and promptly inform us in the event that any information that you have provided to us changes or becomes inaccurate; notify Mondaq immediately of any circumstances where you have reason to believe that any Intellectual Property Rights or any other rights of any third party may have been infringed; co-operate with reasonable security or other checks or requests for information made by Mondaq from time to time; and at all times be fully liable for the breach of any of these Terms by a third party using your login details to access the Website and/or Services

however, you shall not: do anything likely to impair, interfere with or damage or cause harm or distress to any persons, or the network; do anything that will infringe any Intellectual Property Rights or other rights of Mondaq or any third party; or use the Website, Services and/or Content otherwise than in accordance with these Terms; use any trade marks or service marks of Mondaq or the Contributors, or do anything which may be seen to take unfair advantage of the reputation and goodwill of Mondaq or the Contributors, or the Website, Services and/or Content.

Mondaq reserves the right, in its sole discretion, to take any action that it deems necessary and appropriate in the event it considers that there is a breach or threatened breach of the Terms.

Mondaq’s Rights and Obligations

Unless otherwise expressly set out to the contrary, nothing in these Terms shall serve to transfer from Mondaq to you, any Intellectual Property Rights owned by and/or licensed to Mondaq and all rights, title and interest in and to such Intellectual Property Rights will remain exclusively with Mondaq and/or its licensors.

Mondaq shall use its reasonable endeavours to make the Website and Services available to you at all times, but we cannot guarantee an uninterrupted and fault free service.

Mondaq reserves the right to make changes to the services and/or the Website or part thereof, from time to time, and we may add, remove, modify and/or vary any elements of features and functionalities of the Website or the services.

Mondaq also reserves the right from time to time to monitor your Use of the Website and/or services.

Disclaimer

The Content is general information only. It is not intended to constitute legal advice or seek to be the complete and comprehensive statement of the law, nor is it intended to address your specific requirements or provide advice on which reliance should be placed. Mondaq and/or its Contributors and other suppliers make no representations about the suitability of the information contained in the Content for any purpose. All Content provided "as is" without warranty of any kind. Mondaq and/or its Contributors and other suppliers hereby exclude and disclaim all representations, warranties or guarantees with regard to the Content, including all implied warranties and conditions of merchantability, fitness for a particular purpose, title and non-infringement. To the maximum extent permitted by law, Mondaq expressly excludes all representations, warranties, obligations, and liabilities arising out of or in connection with all Content. In no event shall Mondaq and/or its respective suppliers be liable for any special, indirect or consequential damages or any damages whatsoever resulting from loss of use, data or profits, whether in an action of contract, negligence or other tortious action, arising out of or in connection with the use of the Content or performance of Mondaq’s Services.

General

Mondaq may alter or amend these Terms by amending them on the Website. By continuing to Use the Services and/or the Website after such amendment, you will be deemed to have accepted any amendment to these Terms.

These Terms shall be governed by and construed in accordance with the laws of England and Wales and you irrevocably submit to the exclusive jurisdiction of the courts of England and Wales to settle any dispute which may arise out of or in connection with these Terms. If you live outside the United Kingdom, English law shall apply only to the extent that English law shall not deprive you of any legal protection accorded in accordance with the law of the place where you are habitually resident ("Local Law"). In the event English law deprives you of any legal protection which is accorded to you under Local Law, then these terms shall be governed by Local Law and any dispute or claim arising out of or in connection with these Terms shall be subject to the non-exclusive jurisdiction of the courts where you are habitually resident.

You may print and keep a copy of these Terms, which form the entire agreement between you and Mondaq and supersede any other communications or advertising in respect of the Service and/or the Website.

No delay in exercising or non-exercise by you and/or Mondaq of any of its rights under or in connection with these Terms shall operate as a waiver or release of each of your or Mondaq’s right. Rather, any such waiver or release must be specifically granted in writing signed by the party granting it.

If any part of these Terms is held unenforceable, that part shall be enforced to the maximum extent permissible so as to give effect to the intent of the parties, and the Terms shall continue in full force and effect.

Mondaq shall not incur any liability to you on account of any loss or damage resulting from any delay or failure to perform all or any part of these Terms if such delay or failure is caused, in whole or in part, by events, occurrences, or causes beyond the control of Mondaq. Such events, occurrences or causes will include, without limitation, acts of God, strikes, lockouts, server and network failure, riots, acts of war, earthquakes, fire and explosions.

By clicking Register you state you have read and agree to our Terms and Conditions