Comment identifier les auteurs de publicités illicites d’alcool sur Instagram? L’affaire ANPAA vs. Meta
Cour d’appel de Paris, Pôle 1 – Ch. 2, arrêt du 21 décembre 2023 Meta Platforms Ireland Ltd / ANPAA RG 23/06581
Les réseaux sociaux représentent une place de choix pour la diffusion de contenus publicitaires. Toutefois, certaines de ces publications peuvent contrevenir à des règlementations strictes, notamment en matière de publicité sur des produits sensibles comme l’alcool. Dans ce contexte, l’identification des auteurs de ces publications illicites devient un enjeu important pour les entreprises et les associations.
Un cas récent illustre les limites de l’obligation pour les plateformes comme Meta (Instagram, Facebook, Whatsapp) de communiquer les données d’identification de leurs utilisateurs. Le 21 décembre 2023, la cour d’appel de Paris (Pôle 1, chambre 2) a rendu un arrêt important dans une affaire opposant l’Association nationale de prévention en alcoologie et addictologie (ANPAA) à Meta. L’ANPAA cherchait à obtenir les informations sur les auteurs de 19 comptes Instagram ayant diffusé des publicités illicites pour des boissons alcoolisées, en violation des articles L. 3323-2, L. 3323-4 à L. 3323-6 du Code de la santé publique, qui encadrent la publicité sur l’alcool en France.
Après une première décision du tribunal judiciaire de Paris du 5 janvier 2023, qui ordonnait à Meta de retirer les publications en question et de fournir les informations d’identification des auteurs des comptes, Meta a fait appel, notamment pour contester l’étendue des données que Meta devait communiquer à l’ANPAA.
1- Le cadre législatif sur la conservation et la communication des données
En France, la conservation et la communication des données d’identification des utilisateurs de plateformes sont régies par la loi pour la confiance dans l’économie numérique (LCEN) du 21 juin 2004, modifiée par le décret n° 2021-1362 du 20 octobre 2021. Ce cadre législatif s’applique aux hébergeurs, comme Meta, et précise les informations qu’ils doivent conserver et communiquer dans le cadre de contentieux judiciaires.
L’article 6 V A de la LCEN impose aux hébergeurs la conservation des données permettant l’identification des utilisateurs pendant des durées précises, conformément à l’article L. 34-1 du Code des postes et des communications électroniques. Ces obligations sont réparties en plusieurs catégories :
- Données d’identification civile : Les noms, prénoms, adresses postales et électroniques des utilisateurs doivent être conservés pendant cinq ans après la fin du contrat ou la fermeture du compte.
- Informations liées à la création du compte et au paiement : Ces données doivent être conservées pendant un an.
- Données techniques (comme l’adresse IP ou les informations sur l’équipement utilisé) : Elles ne peuvent être conservées qu’à des fins de lutte contre la criminalité grave, la sécurité publique ou nationale, pour une durée d’un an seulement.
2- Les précisions apportées par la jurisprudence européenne
La Cour de justice de l’Union européenne (CJUE) a précisé, dans plusieurs arrêts, les conditions dans lesquelles les données de connexion peuvent être conservées par les plateformes et les fournisseurs d’accès à internet. Dans les affaires La Quadrature du Net (CJUE, 6 octobre 2020, affaires C-511/18, C-512/18, C-520/18) et H.K. c/ Prokuratuur (CJUE, 2 mars 2021, affaire C-746/18), la CJUE a rappelé que la conservation généralisée et indifférenciée des données de connexion est incompatible avec le droit de l’Union européenne. Cette conservation ne peut être imposée qu’en cas de nécessité pour lutter contre des infractions graves ou prévenir des menaces graves à la sécurité publique. Les données techniques telles que les adresses IP ne peuvent être conservées que pour ces finalités et pendant des durées strictement définies.
Ainsi, pour des procédures civiles ou pour des infractions mineures, les hébergeurs ne sont pas tenus de fournir ces informations techniques. C’est précisément ce qui était en jeu dans l’affaire opposant l’ANPAA à Meta, où la demande d’accès aux adresses IP a été contestée.
3- La décision de la Cour d’Appel de Paris
Dans son arrêt du 21 décembre 2023, la cour d’appel de Paris a confirmé que Meta, en tant qu’hébergeur au sens de l’article 6, I, 2 de la LCEN, avait l’obligation de fournir certaines données d’identification, mais pas toutes. Meta a demandé à limiter la communication aux « basic subscriber information » (BSI), soit des informations de base telles que les noms, prénoms, adresses électroniques et la date de création du compte. La plateforme a fait valoir que ces seules données étaient conservées dans le cadre de ses obligations légales.
La cour a statué que Meta devait fournir les informations suivantes à l’ANPAA :
- Les noms et prénoms ou la raison sociale des titulaires des comptes,
- Les pseudonymes utilisés sur la plateforme,
- Les adresses e-mail ou des comptes associés.
En revanche, la cour a estimé que Meta n’était pas tenue de communiquer des informations techniques comme les adresses IP, conformément aux limites fixées par la législation française et la jurisprudence européenne. Les données techniques, ne pouvant être fournies que dans les cas de lutte contre la criminalité grave ou pour la sécurité nationale, étaient donc exclues de cette procédure.
Si cette procédure est juridiquement motivée et compréhensible, on ne peut que la regretter: dans la réalité, les auteurs de publications illicites déclarent de faux noms, prénoms, raisons sociales ou pseudonymes, et les adresses email ne permettent pas de lever un anonymat. Cela rend la levée d’anonymat des auteurs de telles publications complexe.
En pratique: comment réagir face à des publications illicites ?
Les entreprises confrontées à des contenus illicites sur les réseaux sociaux, qu’il s’agisse de publicités illégales, de diffamation ou de violations de droits d’auteur, doivent avoir les bons réflexes pour maximiser leurs chances d’obtenir les informations nécessaires à l’identification des auteurs. Voici quelques conseils pratiques et pragmatiques:
- Surveillance des publications : Identifiez les comptes diffusant les contenus illicites et collectez les preuves nécessaires (captures d’écran, liens, etc.)
- Faites appel à des experts en OSINT (Open Source Intelligence) : l’OSINT, ou renseignement en sources ouvertes, consiste à collecter des informations publiques disponibles en ligne afin de reconstituer des profils, des relations ou des comportements. Faire appel à des experts en OSINT peut s’avérer très utile lorsque les informations fournies par les plateformes sont limitées. Ces professionnels utilisent des techniques avancées pour analyser des traces numériques laissées par les utilisateurs (comme les pseudonymes, les métadonnées, ou les activités en ligne) afin de fournir des éléments supplémentaires sur les auteurs de contenus illicites. L’OSINT permet souvent de compléter les informations officielles et d’obtenir des adresses IP sans passer par une demande à la plateforme de réseaux sociaux
- Formalisez une demande de retrait dans le respect de la législation française auprès de la plateforme concernée : Adressez une demande officielle à la plateforme pour supprimer les contenus litigieux, en invoquant les textes légaux appropriés (LCEN, Code de la santé publique, etc.)
- Saisissez le bon tribunal avec le bon avocat : Si la plateforme refuse de retirer les contenus ou de fournir les données d’identification, engagez si nécessaire une action en justice pour contraindre la plateforme à communiquer ces informations avec un avocat qui maîtrise le droit des nouvelles technologies et les spécificités de la mise en oeuvre des dispositions de la LCEN
- Moyens juridiques : Appuyez-vous sur les dispositions de la LCEN et du décret n° 2021-1362 pour réclamer les informations d’identification civiles dans le respect des restrictions imposées par la législation européenne