Une société peut-elle chaluter les adresses repérées sur les réseaux P2P puis lancer des demandes d’indemnisation après identification de ces IP par les fournisseurs d’accès ? Voilà en quelques mots résumée la problématique jugée hier par la Cour de justice de l’Union. Un arrêt qui ne purge pas toutes les questions.

Mircom International Content Management & Consulting (M.I.C.M.) est une société chypriote qui défend des droits de producteurs de films pornos édités aux Etats Unis et au Canada.

Elle avait réclamé au FAI belge Telenet l’identification de plusieurs milliers d’adresses IP collectées pour son compte par une société allemande spécialisée, Media Protector GmbH. En juin 2019, faute de réponse satisfaisante, Mircom avait saisi le tribunal de commerce d’Anvers d’une action pour que soit ordonnée la production de ces données d’identification.

Telenet a maintenu sa défense. Et le dossier est remonté jusqu’à la Cour de justice de l’Union européenne saisie d’une série de questions préjudicielles. Et quelles questions !

Sur la table, c’est toute la tuyauterie du peer-to-peer qui a été soulevée avec des problématiques bien aiguisées : y-a-t-il atteinte aux droits de la propriété intellectuelle lorsque des segments de fichiers inutilisables individuellement sont diffusés au fil de leur téléchargement par les P2Pistes ?

Autres questions : la juridiction belge a également douté qu’une société puisse jouir de la protection conférée par le droit européen, en particulier la directive relative au respect des droits de propriété intellectuelle de 2004. Et pour cause : elle n’utilise pas les droits cédés par les auteurs des films en cause, mais se borne à réclamer des indemnités à des internautes. Un « modèle ressemblant à la définition d’un "troll du droit d’auteur" (copyright troll) ».

Et la même de s’interroger sur la compatibilité du chalutage d’adresses IP avec le sacro-saint RGPD.

Partager un segment de fichier, est-ce pirater ?

Pour la Cour de justice, les segments sont « non pas des parties d’œuvres, mais des parties des fichiers contenant ces œuvres, servant à la transmission de ces fichiers selon le protocole BitTorrent ».

De cette nuance, elle en conclut que le fait que les segments transmis soient « inutilisables en eux‑mêmes est sans importance, car ce qui est mis à disposition est le fichier contenant l’œuvre, c’est‑à‑dire l’œuvre sous forme numérique ».

Dans son interprétation, elle considère que le fonctionnement des réseaux de pair-à-pair « ne diffère pas, en substance, de celui d’Internet en général ou, plus précisément, de la Toile (World Wide Web), où les fichiers contenant une œuvre sont divisés en petits paquets de données, qui sont acheminés entre le serveur et le client dans un ordre aléatoire et par des chemins différents ».

Dès lors, « tout utilisateur du réseau de pair-à-pair (peer-to-peer) peut facilement reconstituer le fichier originaire à partir de segments disponibles sur les ordinateurs des utilisateurs participant à la même masse ».

Dit autrement, « le fait qu’un utilisateur ne parvient pas, individuellement, à télécharger le fichier originaire intégral n’empêche pas qu’il mette à la disposition de ses pairs (peers) les segments de ce fichier qu’il a réussi à télécharger sur son ordinateur et qu’il contribue ainsi à la naissance d’une situation dans laquelle, au final, tous les utilisateurs participant à la masse ont accès au fichier intégral. »

En conséquence, pour déterminer s’il y a ou non « mise à disposition », l’un des critères permettant d’enclencher ensuite une possible action en contrefaçon, « il n’est pas nécessaire de prouver que l’utilisateur concerné a préalablement téléchargé un nombre de segments représentant un seuil minimal ».

Ce critère de l’acte de mise à disposition est vérifié dès lors qu’une œuvre est mise à la disposition d’un public « de telle sorte que les personnes qui le composent puissent y avoir accès, de l’endroit et au moment qu’elles choisissent individuellement, sans qu’il soit déterminant qu’elles utilisent ou non cette possibilité ». Les autres détails purement techniques importent donc peu.

Lorsque les utilisateurs concernés souscrivent à un logiciel P2P, ils agissent « en pleine connaissance de leur comportement et des conséquences que celui-ci peut avoir » relève encore la CJUE, mais non sans conditionner ce constat par un préalable : les utilisateurs doivent avoir été correctement informés des caractéristiques de ces logiciels P2P. Il reviendra aux juridictions nationales de vérifier ce point.

Quelles armes pour les copyrights trolls et assimilés ?

Dans sa deuxième question, la juridiction belge a demandé à la Cour si les instruments et mesures prévus par la directive de 2004 relative au respect des droits de propriété intellectuelle (IPRED) bénéficient également à Mircom, et toutes les autres sociétés qui vont réclamer des dommages-intérêts à des « contrevenants présumés »

Mircom est contractuellement titulaire de droits d’auteur et/ou de droits voisins. Pour la Cour, cela suffit à lui reconnaitre le bénéfice des instruments de la directive IPRED de 2004, même quand elle n’utilise pas ces droits, même quand elle se limite à réclamer des dommages et intérêts.

La raison est logique, expose en substance la Cour : lorsqu’un titulaire de droits choisit d’externaliser le recouvrement des dommages-intérêts, il ne doit pas subir un traitement moins favorable que celui qui décide de faire valoir ces droits personnellement.

Seulement la question n’est pas totalement purgée. La juridiction belge a donc flairé un possible cas de « copyright troll », ces pratiques où les demandes d’informations nominatives n’ont qu’une vocation : réclamer une indemnité forfaitaire aux abonnés dont l’IP a été chalutée.

Or, l’article 8 de la directive de 2004 reconnait bien la possibilité de demander des informations, mais cette demande ne peut être formulée que « dans le cadre d’une action relative à une atteinte à un droit de propriété intellectuelle ».

La Cour relève avec mansuétude que la recherche d’une solution amiable est « souvent un préalable à l’introduction de l’action en réparation proprement dite ». Elle ne peut en conséquence proscrire cette phase précontentieuse.

Le droit à l’information reconnu par l’article 8 de la directive de 2004 exige des mesures proportionnelles. En outre, les procédures devront être « loyales et équitables ». La Cour laisse à la juridiction belge le soin d’apprécier ces critères, non sans fournir quelques pistes :

« celle-ci pourrait notamment, à cette fin, examiner le mode opératoire de Mircom, en évaluant la manière dont celle-ci propose des solutions amiables aux contrevenants présumés et en vérifiant si elle introduit réellement des actions en justice en cas de refus de solution amiable. Elle pourrait également examiner s’il apparaît, au regard de l’ensemble des circonstances particulières du cas d’espèce, que Mircom tente en réalité, sous couvert de propositions de solutions à l’amiable en raison de prétendues contraventions, à extraire des revenus économiques de l’affiliation même des utilisateurs concernés à un réseau de pair à pair (peer-to-peer) tel que celui en cause, sans chercher spécifiquement à combattre les atteintes au droit d’auteur que ce réseau provoque ».

Chalutage des IP et RGPD

Dernière problématique : la conformité du chalutage des réseaux P2P avec le règlement général sur la protection des données à caractère personnelles. Ici, deux traitements posent question : d’une part, la collecte des IP par la société de défense et d’autre part, l’identification des IP par le FAI puis leur communication à la société de défense.
Pour la Cour, ces premières opérations sont des traitements de données relevant du RGPD pour autant que Mircom « dispose d’un moyen légal d’identifier les détenteurs des connexions Internet », en vertu de la procédure prévue par la directive de 2004.

Parmi les causes pouvant rendre licites ces traitements l’article 6 du RGPD prévoit non seulement le consentement des personnes concernées (qui fait ici défaut), mais aussi « l’intérêt légitime ». Trois conditions cumulatives doivent être vérifiées :

La poursuite d’un intérêt légitime : selon la Cour, « l’intérêt du responsable du traitement ou d’un tiers à obtenir une donnée à caractère personnel concernant une personne qui a prétendument porté atteinte à sa propriété afin de l’assigner en justice pour obtenir réparation constitue un intérêt légitime ».

La nécessité d’un traitement des données à caractère personnel pour la réalisation de cet intérêt légitime. Sur ce point, l’arrêt estime que « l’identification du détenteur de la connexion n’est souvent possible que sur la base de l’adresse IP et des informations fournies par le fournisseur d’accès à Internet ». Critère rempli.

Reste enfin le critère de la pondération, à savoir que les intérêts, les libertés et les droits fondamentaux des personnes concernées (ici les internautes) ne doivent pas prévaloir sur l’intérêt légitime de Microm. La Cour demande à la juridiction de renvoi de soupeser le poids respectif de ces plateaux.

Les choses se complexifient lorsque la Cour rappelle que ces problématiques ne concernent pas seulement le RGPD, mais aussi la directive e-privacy de 2002 s’agissant des IP conservées par Telenet. Derrière, c’est finalement toute la jurisprudence sur la conservation et l’accès aux données, dont l’un des derniers arrêts en la matière, l’arrêt « La Quadrature du Net » d’octobre 2020.

Faute d’avoir été précisément questionnée, la Cour réclame de la juridiction belge une analyse du fondement juridique de la conservation par Telenet, des adresses IP dont Mircom demande la communication ainsi que le fondement de l’éventuel accès de Mircom à ces adresses.

Elle prévient tout de même qu’une « demande (…) limitée à la communication des noms et des adresses des utilisateurs impliqués dans des activités contrefaisantes est conforme à l’objectif d’établir un juste équilibre entre le droit d’information des titulaires de droits de propriété intellectuelle et le droit à la protection des données à caractère personnel de ces utilisateurs ». Elle s’en explique : de telles données relatives à l’identité civile des utilisateurs ne fournissent pas d’autres informations sur la vie privée des internautes.

Après bien des développements, la CJUE estime que le RGPD ne s’oppose pas, en principe, au chalutage des IP par le titulaire de droits de propriété intellectuelle, ni à la communication des noms et des adresses postales des utilisateurs identifiés sur les réseaux P2P « afin de lui permettre d’introduire un recours en indemnisation devant une juridiction civile pour un dommage prétendument causé par lesdits utilisateurs ». Elle demande toutefois que ces mesures soient 1) justifiées, 2) proportionnées, 3) non abusives et enfin 4) trouvent leur fondement dans une mesure législative nationale. Sachant que la Cour constitutionnelle belge a torpillé en avril dernier le régime national de la conservation des données...

• L'arrêt Mircom de la Cour de justice de l'UE