Limitation de l’étendue des données d’identification communicables par Meta

Par un arrêt très bien motivé du 21 décembre 2023, la cour d’appel de Paris rappelle quelles sont les données d’identification communicables par un hébergeur dans le cadre d’une procédure judiciaire. Meta demandait à ce que la communication ordonnée se limite aux « basic subscriber information » (BSI), à savoir les informations d’identification de base en sa possession, soit les noms des titulaires, la date de création du compte, une adresse électronique ou une adresse IP correspondant à la création du compte. Sur le fondement du décret du 20 octobre 2021, pris en application du II de l’article 6 de la LCEN, la cour d’appel a ordonné à Meta de ne communiquer à l’Association nationale de prévention en alcoologie et addictologie (Anfaa) que les noms et prénoms ou raison sociale des titulaires de comptes Instagram, les pseudos utilisés ainsi que les adresses email ou de comptes associés. La cour a expliqué qu’« il résulte de la combinaison de ces dispositions légales et réglementaires que les hébergeurs ne sont tenus de communiquer, pour les besoins des procédures pénales, que les informations relatives à l’identité civile de l’utilisateur et les « autres informations fournies par lui lors de la souscription du contrat ou de la création du compte » ainsi que « les informations relatives au paiement », à l’exclusion des données techniques permettant d’identifier la source de la connexion ou de celles relatives aux équipements terminaux utilisés, notamment l’adresse IP ». En l’espèce, l’Anfaa a sollicité la communication de données d’identification des auteurs de publications sur Instagram pour les besoins d’une procédure pénale, celle-ci souhaitant poursuivre les intéressés pour des faits d’infraction aux dispositions des articles L. 3323-2, L. 3323-4 à L. 3323-6, relatifs à la publicité des boissons alcooliques, prévues et réprimées par l’article L 3351-7 du code de la santé publique et hospitalière.
L’Anfaa avait relevé 19 comptes Instagram qui auraient posté des publicités illicites pour des boissons alcoolisées, en violation des dispositions sanctionnées pénalement par les articles L. 3323-2 et suivants du code de la santé publique. De plus, certaines publications litigieuses ne comportant pas la mention légale sanitaire de la loi Evin, (l’abus d’alcool est dangereux pour la santé), associant l’image de personnalités avec la consommation d’alcool dans des environnements festifs, joyeux et conviviaux, contreviennent aux dispositions de l’article L. 3323-4 du code de la santé publique. Par un jugement du 5 janvier 2023, le tribunal judiciaire de Paris avait ordonné à Meta de retirer les publications en cause, ce qu’elle a fait. Le tribunal lui avait également ordonné de communiquer à l’association les données destinées à identifier les éditeurs des comptes concernés. C’est sur ce point que Meta a fait appel du jugement.
Comme le tribunal judiciaire, la cour a reconnu qu’« il existe bien, par l’incitation non encadrée à consommer de l’alcool, un dommage, au sens de l’article L 6, I, 8 de la LCEN, porté à l’objet même de l’ANPAA et la demande de communication des éléments d’identification est particulièrement fondée, étant précisé que l’Anpaa justifie avoir tenté de contacter les titulaires des comptes mais qu’elle s’est heurté à des refus de retirer les dites publications ». Mais sur la demande de Meta, la cour a réduit l’étendue des données d’identification communicables en application du décret du 20 octobre 2021. Elle constate toutefois que « la société Meta ne s’oppose pas à communiquer, en outre, si elle les a conservées, les données relatives à l’identifiant de connexion au moment de la création du compte, à l’adresse IP de connexion du compte et à la date de création des comptes ».