Aux termes de la loi du 6 janvier 1978 et du RGPD, le responsable du traitement est : « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement » (article 4, point 7 RGPD).
La loi pour la confiance dans l’économie numérique du 21 juin 2004 (LCEN) a organisé un régime de responsabilité des acteurs de l’internet en cas de publication de contenus illicites sur un site web.
Ces deux textes permettent de déterminer le régime de responsabilité applicable à l’hébergeur d’un site web.
L’article 6-I-2 de la LCEN définit les hébergeurs comme « les personnes physiques ou morales qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature fournis par des destinataires de ces services ».
Les juges ont récemment rappelés que l’hébergeur d’un site internet n’est pas responsable du traitement des données à caractère personnel sur ce site et en conséquence il ne lui incombe pas d ‘effectuer une quelconque démarche relative à l’exploitation des sites internet, ou à celle des services de mise en relation, type formalités Cnil, éventuel recueil du consentement, informations relatives aux activités de commerce électronique via les dits sites internet (Cour d’appel de Paris, pôle 1 Chambre 8, 1er mars 2019, M.X/Oxeva).
En effet, c’est l’éditeur du site web qui détermine les finalités et les moyens du traitement alors que l’hébergeur quant à lui n’est que l’intermédiaire informatique qui effectue des prestations purement techniques (Arrêt Dailymotion 17 février 2011) en vue de faciliter l’usage du site internet par le public (arrêt Fuzz 17 février 2011).
Cependant, depuis le RGPD, l’hébergeur est responsable en tant que sous-traitant et il pèse sur lui des obligations spécifiques en matière de sécurité, de confidentialité, de documentation et de conseil.
De surcroit, la LCEN pose un principe de l’irresponsabilité civile et pénale de l’hébergeur quant au contenu des sites hébergés ce qui implique qu’il n’a aucune obligation générale de surveillance a priori du contenu du site web.
Néanmoins, l’hébergeur engage sa responsabilité civile et pénale a postériori s’il a connaissance d’un contenu litigieux manifestement illicite et qu’il n’a pas réagi promptement pour retirer ces données ou en rendre l’accès impossible (L.CEN, fin de l’art. 6-I-2). Cette connaissance des faits litigieux est présumée acquise lorsqu’elle est notifiée par toute personne lésée ou intéressée. (L.CEN, art. 6-I-5).
A noter que la notification de faits litigieux à l’hébergeur est soumise à un formalisme très particulier et plusieurs arrêts ont rejeté la responsabilité de l’hébergeur au motif que l’information qui lui avait été transmise ne contenait pas l’ensemble des informations prévues à l’article 6-I-5 de la LCEN.
Aussi, le Tribunal de grande instance de Paris a écarté la responsabilité de l’hébergeur dans la mesure où la notification de contenu illicite faite à l’hébergeur ne contenait pas « la copie de la correspondance adressée à l’auteur ou à l’éditeur des informations ou activités litigieuses demandant leur interruption, leur retrait ou leur modification, ou la justification de ce que l’auteur ou l’éditeur n’a pu être contacté » exigée par l’article 6-I-5 de la LCEN (TGI de Paris, Ordonnance de référé , 18 mai 2018)
Enfin, concernant la promptitude, la jurisprudence a sanctionné le retrait du contenu litigieux qui n’aurait été effectué par l’hébergeur que quelques jours après, considérant ce délai comme étant trop tardif. Aussi il est conseillé à l’hébergeur de procéder au retrait dans les 12 à 24 heures au plus tard.
En conclusion :
- Il n’est pas responsable de traitement ;
- Il est responsable en tant que sous-traitant en matière de sécurité des données notamment ;
- Il peut voir sa responsabilité engagée s’il manque de réactivité en cas de notification d’un contenu litigieux.
