Après s'être attaqué à Twitter, nouvelle victoire de l'UFC Que Choisir cette fois contre Google. Dans un jugement de 136 pages, le TGI de Paris a exigé la suppression d'anciennes clauses jugées abusives. Une décision, susceptible d’appel, qui concerne en tout premier lieu la question des données personnelles. Explications.

Premier point important de cette décision rendue à la demande de l’UFC Que Choisir par la chambre sociale 1/4 du tribunal de grande instance de Paris, les juges ont considéré que le droit de la consommation s’appliquait bien dans les rapports entre utilisateurs et Google.

Pourquoi ? Comme spécifié aux pages 76 et suivantes, l’internaute qui utilise les services gratuits édités par le géant américain fournit en contrepartie des informations et autres données personnelles : « son nom, son prénom, son nom d’utilisateur, son mot de passe, son adresse email, son numéro de téléphone mobile, sa localisation géographique, mais également les différents sites ou pages de sites qu'il consulte régulièrement, les liens cliqués ou encore les contenus qu'il apprécie, son adresse IP ou l'historique de ses navigations ».

Pour le tribunal, si Google offre des services sans paiement monétaires, ils ne sont pas gratuits. Au contraire, « la fourniture de données collectées gratuitement puis exploitées et valorisées par la société Google doit s’analyser en un "avantage" » au sens de l’article 1107 du Code civil.

Selon cette disposition, « le contrat est à titre onéreux lorsque chacune des parties reçoit de l'autre un avantage en contrepartie de celui qu'elle procure. Il est à titre gratuit lorsque l'une des parties procure à l'autre un avantage sans attendre ni recevoir de contrepartie ».

« Ses protestations de sincérité suivant lesquelles elle ne vend pas les informations des utilisateurs à des tiers n'ont aucune incidence dès lors qu'il est établi que [Google] valorise ces mêmes informations auprès de tiers afin notamment de bénéficier de recettes publicitaires » balaye le jugement qui considère Google comme un professionnel, et l’internaute comme un consommateur.

Ceci posé, tout le droit de la consommation trouve à s’appliquer aux services et en particulier aux conditions générales d’utilisation et à la politique de confidentialité de Google. À charge pour la justice de les passer au peigne fin puis d’éradiquer les clauses qui créent « un déséquilibre significatif entre les droits et obligations des parties au contrat ».

Page 78, on apprend que la société avait également tenté d’extirper du champ de la loi de 1978 sur l’informatique et les libertés certaines de ses prestations technologiques. Là encore, l’argumentaire n’a pas pesé.

Si le géant américain a pu victorieusement faire valoir que l’acceptation de ses conditions puisse se faire par un clic, sans que ces documents n'aient à être envoyés préalablement par voie postale ou par voie électronique, plusieurs de ses clauses ont été épinglées par la justice.

Des clauses « évasives et globales »

Elles concernent d’anciennes versions en vigueur, remontant parfois à 2013. Par exemple dans une version de 2014 de celles relatives aux règles de confidentialité, Google indique qu’ « en nous transmettant des informations, par exemple en créant un compte Google, vous nous permettez d'améliorer nos services. Nous pouvons notamment afficher des annonces et des résultats de recherche plus pertinents et vous aider à échanger avec d'autres personnes ou à simplifier et accélérer le partage avec d'autres internautes ». 

« Force en effet est de constater que ces clauses sont insuffisamment claires, complètes et détaillées en ce qu'elles n'offrent aucune information de première présentation quant aux destinataires ou catégories de destinataires des données partagées par la société Google , aux modalités des traitements numériques effectués par cet opérateur numérique et aux finalités pour lesquelles ces données sont partagées, notamment en ce qui concerne la finalité première de publicités ciblées vis-à-vis des utilisateurs » répond le tribunal, avec la loi de 1978 et le Code de la consommation sur les genoux.

Des mentions trop « évasives et globales », alors que la finalité première de Google est publicitaire. « Cette information générale, indique la décision, ne permet pas en définitive à l'utilisateur de prendre initialement conscience des finalités réelles et par conséquent de l'ampleur de la collecte des données le concernant et de la portée de son propre engagement ».

Même lorsque Google indique que ses collectes lui permettent d’améliorer les services. Une présentation jugée abusive « alors que la finalité réelle et première de cette collecte est celle de l'organisation d'envois de publicités ciblées auprès de ce même consommateur en exploitant commercialement l'ensemble de ses données à caractère personnel ».

Le numéro d'application unique de Google épinglé

Google a également vu plusieurs de ses clauses réputées non écrites, celles en particulier qui n’informaient pas l’utilisateur de la collecte des données personnelles via Google+ et présumaient son consentement à ce traitement. Une violation de plusieurs dispositions issues de la loi de 1978 et du Code de la consommation.

Les clauses relatives à la géolocalisation sont également sanctionnées pour défaut d’accord de l’utilisateur, taisant dans le même temps les moyens lui permettant de s’y opposer.

Google fait également état d’un « numéro d’application unique ». Or, « ce numéro et les informations concernant votre installation (type de système d’exploitation et numéro de version, par exemple) peuvent être envoyés à Google lorsque vous installez ou désinstallez le service, ou lorsque le service contacte régulièrement nos serveurs (par exemple, pour demander des mises à jour automatiques) ».

Un peu maigre aux yeux du tribunal : « le libellé de cette clause ne permet effectivement pas en lui-même de comprendre la signification et la portée exactes de cette notion ».

Les clauses relatives aux cookies 

La gestion des cookies est également fusillée par la décision du tribunal de grande instance de Paris. Que ce soit dans les versions de 2013 à 2016 de la clause 12 des règles de confidentialité, aucune n’est dans les clous des textes en vigueur.

Un utilisateur incapable d’exprimer son accord, « à l'exception d'un dispositif de renvoi permettant d'en opérer ultérieurement la suppression dans le cadre de la consultation d'une section différente ».

En outre, Google est peu bavard sur les finalités et sur les possibilités permettant de s’y opposer « à l'exception du renvoi précité à la possibilité de suppression dans le cadre d'une rubrique distincte dont l'accès se pratique en outre par une pluralité de liens hypertextes ».

Ce parcours du consentement est jugé trop labyrinthesque, ou plus exactement illicite ou abusif.

Certes, un utilisateur peut utiliser son navigateur pour bloquer les cookies. C’est ce que rappelle Google dans sa clause n°21. « Il convient toutefois de rappeler que bon nombre de nos services sont susceptibles de ne pas fonctionner correctement si vous désactivez les cookies. Ils ne tiendront pas compte, par exemple, de vos préférences linguistiques » alerte le service en ligne.

Ces précisions sont jugées beaucoup trop légères. L’utilisateur ne peut appréhender correctement « la teneur, la gravité et les conséquences des dysfonctionnements encourus », exceptée la question linguistique.

Le jugement apprécie peu d’ailleurs la présentation portée par l’entreprise américaine : « cette clause procède d'une forme de droit frustratoire pour le consommateur dans la mesure où elle lui reconnaît le libre exercice d'un droit de blocage sur l'emploi de cookies tout en le mettant fortement en garde, à des fins manifestement dissuasives d'exercice de ce droit, contre des risques de dysfonctionnements de ses équipements personnels, dont la teneur, la gravité et les conséquences prévisibles ne sont quasi-aucunement précisées ».

Quand Google s'attribue la part du lion

Google s’offre aussi une jolie part du lion : « Nous sommes susceptibles d’utiliser le nom fourni dans votre Profil Google dans tous nos services qui requièrent l’utilisation d’un Compte Google. Nous pouvons également être amenés à remplacer d’anciens noms associés à votre Compte Google, afin que vous soyez présenté de manière cohérente à travers l’ensemble de nos services ».

Ce faisant, l’entreprise s’attribue le droit de modifier librement des données personnelles et porter atteinte à l’intégrité des données communiquées par l’utilisateur. Or, un tel droit exige toujours son consentement préalable, qui fait ici défaut.

Identiquement, lorsque Google s’offre la possibilité de recouper les informations glanées dans tel service avec celles recueillies dans tel autre sont sanctionnées. Pourquoi ? Car la clause s’appuie sur une présomption de consentement de l’utilisateur. « L'utilisateur est en effet parfaitement en droit de ne pas souhaiter combiner entre eux différents dispositifs de traitement de données personnelles, y compris au sein de la gamme des différentes offres de services d'un même opérateur numérique » rétorque le jugement.

Il y a bien une option de révocabilité ou un dispositif alternatif, mais trop complexes, ils sont jugés insuffisants.

Cette complexité est également sanctionnée sur l’autel de la clause 20 des règles de confidentialité de Google, dans la plupart de ses versions entre 2013 et 2016. Certes, Google promet de fournir des informations sur la gestion de cette politique, mais en usant et abusant de liens menant eux-mêmes vers d’autres liens hypertextes. Un méli-mélo qui risque de perdre l’utilisateur « normalement avisé et vigilant », estime le tribunal.

La question du partage des données

Ce n’est pas tout. Google indique que lorsqu’on partage ses données, elles peuvent être indexées par les moteurs. Ainsi, les informations publiées sur Google+ deviennent automatiquement publique, faute de paramétrage de l’utilisateur.

Se souvenant de l’arrêt Costeja, sur le « droit à l’oubli » dans les moteurs, le tribunal répute cette clause non écrite, là encore : « En rappelant cette automaticité d'indexation au titre d'un consentement par défaut sans aucunement rappeler que cette même automaticité peut être par ailleurs désactivée par l'utilisateur lui-même, cette clause sera réputée non-écrite en raison de son caractère illicite ou abusif ».

La liste est encore longue. Dans une autre clause, Google présente le droit d'accès aux données reconnu aux utilisateurs comme une faculté consentie par l’entreprise. Or, il s’agit d’un droit reconnu par la loi Informatique et Libertés, non un luxe ou un cadeau.

De plus, Google laisse entendre qu’il peut conserver à des fins commerciales des données pourtant erronées, ce en contradiction avec le même texte de 1978. De même, avec sa clause 25 des règles de confidentialité, la même entreprise indique que « l’accès aux données et leur rectification constituent un service gratuit, sauf dans le cas où ce service impliquerait un effort démesuré ».

Effort démesuré ? Voilà une « formulation sémantiquement trop large apparaissant (…) insuffisamment claire et compréhensible » affirme le jugement, avant d’exiger un coup de gomme.

Quand l'utilisateur doit faire une enquête pour connaître les règles d'utilisation

Il n’aura eu aucune difficulté à exiger l'effacement de la clause indiquant que « les présentes Règles de confidentialité s’appliquent à tous les services proposés par Google Inc. et par ses filiales, y compris à YouTube, aux services fournis par Google sur les appareils Android et aux services proposés sur d’autres sites (nos services publicitaires, par exemple), mais excluent les services régis par d’autres règles de confidentialité n’incorporant pas les présentes ».

Une telle présentation contraint en effet l’utilisateur à faire une véritable enquête pour savoir quelle règle s’applique à quel service. Illicite, abusif, conclut le tribunal.

Une autre disposition est censurée parce qu’elle déduit de l’utilisation des services, l’acceptation de l’ensemble des conditions d’utilisation. Au contraire, l’information précontractuelle de l’utilisateur doit être préalable.

Le couperet est encore tombé sur la partie des conditions d’utilisation qui permet à Google d’éjecter un utilisateur en cas de « suspicion d’utilisation impropre » de ses services. Le tribunal, avant son coup de ciseau, aurait préféré plus de précision, en particulier « sur les conditions de progressivité du passage de la simple mesure de suspension à la mesure de cessation définitive de fourniture de services ».

Coup de hache sur la clause attribuant une licence d'utilisation mondiale à Google

Une autre clause, très fréquente, confère à Google une licence mondiale, d’utilisation, de stockage, de reproduction, de publication, etc. de l’ensemble des contenus fournis par l’utilisateur. Or, l'article L.131 - 1 code de la propriété intellectuelle prévoit que « la cession globale des œuvres futures est nulle ». Elle est donc réputée non écrite, une nouvelle fois.

Le tribunal sanctionne de la même manière ses clauses 13 et 14 des CGU qui indiquent qu’une atteinte répétée au droit d’auteur entrainera la désactivation des comptes, conformément au Digital Millenium Copyrigt Act. Un texte pas facilement accessible pour le consommateur, qui entraine au surplus l’exclusion du droit français sur la propriété intellectuelle ou au regard de la loi sur la confiance dans l’économie numérique.

Google s’offre d'autres libertés, comme celle de l’analyse des emails et des autres contenus pour offrir ensuite des « fonctionnalités pertinentes » à savoir des résultats de recherche personnalisés, des publicités sur mesure et une détection de spams et autres logiciels malveillants, notamment.

Or, cette présentation est fausse puisque les publicités ciblées sont « par définition réservée qu'au seul avantage de l'opérateur qui valorise ainsi économiquement depuis ces plates-formes numériques l'ensemble des données à caractère personnel qu'il collecte à raison de chaque utilisateur qui s'y connecte ».

D’autres clauses ont été épinglées, toujours au fil des 136 pages du jugement.

Google devra diffuser un lien vers cette décision pendant 3 mois, mais...

On notera pour finir que celui-ci a exigé que ce document soit accessible par lien hypertexte durant 3 mois, aussi bien sur la page d’accueil de Google que sur ses applications sur tablettes et téléphones. Mieux, il a décidé qu’une astreinte de 5 000 euros accompagnera cette publicité. Seul hic, il n’a pas jugé utile d‘assortir sa décision de l’exécution provisoire. En ce sens que si Google fait appel, il n’aura pas à placarder ce lien sur tous ces écrans.

Ces clauses n’étant plus en vigueur depuis plusieurs années – la procédure a mis cinq ans pour aboutir – le TGI a réduit le montant des dommages et intérêts consentis à l’UFC Que Choisir à la somme de 30 000 euros.

Il n’en reste pas moins que cette décision est utile en ce sens qu’elle aura nécessairement un effet d’entrainement pour tous les autres acteurs qui utilisent toujours des dispositions similaires, et même à l’encontre de Google qui sait que ses CGU sont auscultées de près par les associations de consommateurs.

Dans un communiqué,  l’UFC ajoute d’ailleurs que « la société de Mountain View doit arrêter de noyer le consommateur dans des informations éparpillées sur plusieurs documents. Finies les conditions générales interminables à accepter en bloc. Grâce à la décision obtenue par l’UFC-Que Choisir, Google devra obtenir un véritable consentement de ses utilisateurs à la collecte massive et à l’exploitation intrusive des données personnelles ».