La Cour d’appel de Versailles a jugé que l’hébergeur d’un site Internet peut être condamné, sur le fondement de la LCEN, à supprimer une page comprenant des données personnelles traitées en violation du RGPD.
Un site Internet permettant aux internautes de contribuer aux différentes rubriques de son encyclopédie en ligne hébergeait une page dédiée à une personne physique et faisant principalement état de son changement de nom.
La personne concernée considérait que cette page faisait état d’informations nominatives protégées et portait atteinte à sa vie privée. Partant, elle en avait sollicité le retrait auprès de l’hébergeur du site Internet, ce qu’il avait refusé.
Par un arrêt du 21 décembre 2023, la Cour d’appel de Versailles a ordonné la suppression de la page litigieuse en combinant la LCEN[1] et la réglementation encadrant le traitement de données à caractère personnel.
L’hébergeur d’un site Internet peut être responsable de traitement au sens du RGPD
La Cour devait en l’espèce apprécier la qualité de l’hébergeur au regard du RGPD.
La Cour, dans une analyse assez succincte, a considéré que l’hébergeur, en publiant des informations relatives à un changement de nom, procédait à un traitement de données à caractère personnel.
Elle a alors considéré que l’hébergeur était, à tout le moins, responsable de traitement dans la mesure où il déterminait seul ou conjointement avec d’autres, les finalités et moyens du traitement.
Partant, l’hébergeur était tenu de respecter le RGPD et devait notamment s’assurer de la licéité, de la loyauté et de la transparence[2] des traitements qu’il réalise via son site Internet.
Le retrait d’une publication contraire au RGPD peut être ordonné sur le fondement de la LCEN
Pour apprécier le caractère illicite de la publication, la Cour a mené une brève analyse pour déterminer si l’hébergeur avait respecté ses obligations au titre du RGPD[3].
La Cour a notamment rappelé qu’un traitement de données personnelles peut être licite s’il est nécessaire aux fins des intérêts légitimes du responsable du traitement ou d’un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux des personnes concernées.
L’hébergeur considérait que le grief d’atteinte à la vie privée de la personne concernée n’était pas légitime au regard de la liberté d’expression et du droit à l’information du public.
La Cour a cependant relevé que la biographie litigieuse était lacunaire et que les tentatives de modifications avaient été systématiquement supprimées alors même que « le respect des libertés d’expression et d’information aurait commandé de procéder à des corrections du contenu ».
Dès lors, la personne concernée était en droit de demander la suppression de la page litigieuse.
Lire l’arrêt de la Cour d’appel de Versailles du 21 décembre 2023, n° 23/02/637
[1] Article 6, I ,8) de la loi pour la confiance dans l’économie numérique.
[2] La position de la Cour de Versailles s’inscrit dans la continuité de la jurisprudence : la Cour d’appel de Montpellier a déjà jugé que l’hébergeur d’un blog était responsable de traitement des données qui y étaient publiées, en l’espèce les noms et prénoms d’un internaute (CA Montpellier, 15 décembre 2011, RG n° 11/02945).
[3] Art. 6 1. f) du RGPD
