Données personnelles et contenus illicites : le retrait d’un contenu publié en violation du RGPD peut être ordonné sur le fondement de la LCEN

La Cour d’appel de Versailles a jugé que l’hébergeur d’un site Internet peut être condamné, sur le fondement de la LCEN, à supprimer une page comprenant des données personnelles traitées en violation du RGPD.

Un site Internet permettant aux internautes de contribuer aux différentes rubriques de son encyclopédie en ligne hébergeait une page dédiée à une personne physique et faisant principalement état de son changement de nom.

La personne concernée considérait que cette page faisait état d’informations nominatives protégées et portait atteinte à sa vie privée. Partant, elle en avait sollicité le retrait auprès de l’hébergeur du site Internet, ce qu’il avait refusé.

Par un arrêt du 21 décembre 2023, la Cour d’appel de Versailles a ordonné la suppression de la page litigieuse en combinant la LCEN[1] et la réglementation encadrant le traitement de données à caractère personnel.

L’hébergeur d’un site Internet peut être responsable de traitement au sens du RGPD

La Cour devait en l’espèce apprécier la qualité de l’hébergeur au regard du RGPD

La Cour, dans une analyse assez succincte, a considéré que l’hébergeur, en publiant des informations relatives à un changement de nom, procédait à un traitement de données à caractère personnel.

Elle a alors considéré que l’hébergeur était, à tout le moins, responsable de traitement dans la mesure où il déterminait seul ou conjointement avec d’autres, les finalités et moyens du traitement.

Partant, l’hébergeur était tenu de respecter le RGPD et devait notamment s’assurer de la licéité, de la loyauté et de la transparence[2] des traitements qu’il réalise via son site Internet.

Le retrait d’une publication contraire au RGPD peut être ordonné sur le fondement de la LCEN

Pour apprécier le caractère illicite de la publication, la Cour a mené une brève analyse pour déterminer si l’hébergeur avait respecté ses obligations au titre du RGPD[3].

La Cour a notamment rappelé qu’un traitement de données personnelles peut être licite s’il est nécessaire aux fins des intérêts légitimes du responsable du traitement ou d’un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux des personnes concernées. 

L’hébergeur considérait que le grief d’atteinte à la vie privée de la personne concernée n’était pas légitime au regard de la liberté d’expression et du droit à l’information du public.

La Cour a cependant relevé que la biographie litigieuse était lacunaire et que les tentatives de modifications avaient été systématiquement supprimées alors même que « le respect des libertés d’expression et d’information aurait commandé de procéder à des corrections du contenu ». 

Dès lors, la personne concernée était en droit de demander la suppression de la page litigieuse.

Lire l’arrêt de la Cour d’appel de Versailles du 21 décembre 2023, n° 23/02/637  


[1] Article 6, I ,8) de la loi pour la confiance dans l’économie numérique.

[2] La position de la Cour de Versailles s’inscrit dans la continuité de la jurisprudence : la Cour d’appel de Montpellier a déjà jugé que l’hébergeur d’un blog était responsable de traitement des données qui y étaient publiées, en  l’espèce les noms et prénoms d’un internaute (CA Montpellier, 15 décembre 2011, RG n° 11/02945).

[3] Art. 6 1. f) du RGPD

Don't miss our next publications​

Your email address is processed by FÉRAL in order to send you the firm’s publications and news. You can unsubscribe at any time. To learn more about how your data is processed and how to exercise your rights, please consult our personal data protection policy.

Search
Close this search box.
Search
Close this search box.