Copies exécutoires RÉPUBLIQUE FRANÇAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE PARIS

Pôle 1 – Chambre 2

ARRÊT DU 04 JUILLET 2024

(n° , 12 pages)

Numéro d’inscription au répertoire général : N° RG 23/14657 – N° Portalis 35L7-V-B7H-CIF4Q

Décision déférée à la Cour : Ordonnance du 07 Juillet 2023 -TJ hors JAF, JEX, JLD, J. EXPRO, JCP de PARIS – RG n° 23/52934

APPELANTE

TWITTER INTERNATIONAL UNLIMITED COMPANY, société de droit irlandais prise en la personne de ses représentants légaux domiciliés en cette qualité audit siège [Adresse 5]

[Adresse 3]

[Localité 2] (IRLANDE)

Représentée par M^e Florence GUERRE de la SELARL SELARL PELLERIN – DE MARIA – GUERRE, avocat au barreau de PARIS, toque : L0018

Ayant pour avocats plaidants M^e Karim BEYLOUNI et M^e Carla MONTERASTELLI, avocats au barreau de PARIS, toque : J98

INTIMEE

S.A.S. ALTIMANCE, agissant poursuites et diligences en la personne de ses représentants légaux domiciliés en cette qualité audit siège

[Adresse 4]

[Adresse 4]

[Localité 1]

Représentée par M^e Julie BELLESORT de la SELAS KPMG AVOCATS, avocat au barreau de PARIS, toque : K069

COMPOSITION DE LA COUR :

L’affaire a été débattue le 30 Mai 2024, en audience publique, Michèle CHOPIN, Conseillère, ayant été entendue en son rapport dans les conditions prévues par l’article 804, 805 et 905 du code de procédure civile, devant la cour composée de :

Marie-Hélène MASSERON, Présidente de chambre,

Michèle CHOPIN, Conseillère,

Laurent NAJEM, Conseiller,

Qui en ont délibéré,

Greffier, lors des débats : Saveria MAUREL

ARRÊT :

— CONTRADICTOIRE

— rendu publiquement par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par Marie-Hélène MASSERON, Présidente de chambre et par Saveria MAUREL, Greffière, présente lors de la mise à disposition.

*****

EXPOSE DU LITIGE

La société Twitter international unlimited company « TIUC » ou la société Twitter, est en charge de l’hébergement, de l’exploitation et du contrôle de la plateforme X, anciennement dénommée Twitter.

La société Altimance est une filiale du groupe britannique Rigby, spécialisée dans les services informatiques, comptant plus de 250 salariés.

Elle allègue avoir fait l’objet en octobre 2022 d’une campagne de dénigrement sur les réseaux sociaux tels que LinkedIn et Twitter sous la forme de publications.

Par exploit du 10 février 2023, la société Altimance a fait assigné la société Twitter international unlimited company devant le juge des référés du tribunal judiciaire de Paris, sur le fondement des articles 145 du code de procédure civile, 6 II de la loi pour la confiance en l’économie numérique du 21 juin 2004 (LCEN) et L 34-1 du code des postes et communications électroniques aux fins de voir :

autoriser la société Twitter international unlimited company dans un délai de 48 heures à compter de la signification de la décision à intervenir, et sous astreinte de 500 euros par jour de retard, à lui communiquer :

*les informations relatives à l’identité civile (notamment, les noms et prénoms, la date et le lieu de naissance, la ou les adresses postales associées, la ou les adresses de courrier électronique de l’utilisateur et du ou des comptes associés le cas échéant, le ou les numéros de téléphone) des titulaires des comptes suivants :

@Jar-Jar-Altim accessible à l’adresse https ://twitter.com/Jar-Jar-Altim,

@FulcrumAltim accessible à l’adresse https://twitter.com/FulcrumAltim,

@Freddy-thrawn accessible à l’adresse https://twitter.com/freddy-thrawn,

@Strodown accessible à l’adresse https://twitter.com/strodown,

* les autres informations fournies par les utilisateurs de ces mêmes comptes lors de la création de leurs comptes (à savoir l’identifiant utilisé, le ou les pseudonymes utilisés, les données destinées à permettre à l’utilisateur de vérifier son mot de passe ou de la modifier, le cas échéant par l’intermédiaire d’un double système d’identification de l’utilisateur dans leur dernière version mise à jour).

Par ordonnance contradictoire du 7 juillet 2023, le juge des référés du tribunal judiciaire de Paris a :

rejeté l’exception d’incompétence soulevée en défense et déclaré recevables les demandes formulées par la société Altimance ;

enjoint la société Twitter international unlimited company de communiquer, dans les dix jours à compter de la signification de la présente décision, au conseil de la société Altimance, la Selas KPMG Avocats, prise en la personne de Me [J], les données d’identification des créateurs et des utilisateurs des comptes suivants, supports des propos litigieux :

@Jar-Jar-Altim accessible à l’adresse https ://twitter.com/Jar-Jar-Altim,

@FulcrumAltim accessible à l’adresse https://twitter.com/FulcrumAltim,

@Freddy-thrawn accessible à l’adresse https://twitter.com/freddy-thrawn,

@Strodown accessible à l’adresse https://twitter.com/strodown,

à savoir :

*les nom et prénom, la date et le lieu de naissance ou la raison sociale, ainsi que les nom et prénom, date et lieu de naissance de la personne agissant en son nom si le compte est ouvert au nom d’une personne morale, renseignés par l’utilisateur dudit compte ;

*les adresses postales, numéros de téléphone et adresses de courrier électronique renseignées par l’utilisateur de ce compte ;

*l’identifiant utilisé, le ou les pseudonymes utilisés, les données destinées à permettre à l’utilisateur de vérifier son mot de passe ou de le modifier, le cas échéant par l’intermédiaire d’un double système d’identification de l’utilisateur, dans leur dernière version mise à jour ;

débouté les partis du surplus de leurs demandes ;

condamné la société Twitter international unlimited company à verser à la société Altimance la somme de 1. 500 euros sur le fondement de l’article 700 du code de procédure civile ;

condamné la société Twitter international unlimited company aux dépens.

Par déclaration du 24 août 2023, la société Twitter international unlimited company a interjeté appel de cette décision.

Dans ses dernières conclusions déposées et notifiées le 21 mai 2024, la société Twitter international unlimited company demande à la cour, au visa des articles 6 de la loi n°2004 pour la confiance dans l’économie numérique du 21 juin 2004, L. 34-1 du code des postes et des communications électroniques, le décret n° 2021-1362 du 20 octobre 2021 relatif à la conservation des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne, pris en application du II de l’article 6 de la LCEN, de la loi n° 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement, la loi du 29 juillet 1881 et les articles 145 et 542 du code de procédure civile, de :

la déclarer recevable et bien fondée en son appel ;

infirmer l’ordonnance de référé du 7 juillet 2023 en ce qu’elle a rejeté l’exception d’incompétence qu’elle a soulevé et déclaré recevables les demandes de la société Altimance ;

Statuant à nouveau :

juger bien fondée l’exception d’incompétence soulevée par elle ;

juger le juge des référés incompétent au profit du tribunal judiciaire de Paris, statuant selon la procédure accéléré au fond ;

A titre principal, si la cour d’appel confirmait la compétence du juge des référés :

infirmer l’ordonnance du 7 juillet 2023 en ce qu’elle a jugé que la société Altimance disposait d’un motif légitime au sens de l’article 145 du code de procédure civile ;

En conséquence :

infirmer l’ordonnance du 7 juillet 2023 en ce qu’elle a ordonné la communication des données d’identification des quatre comptes litigieux ;

A titre subsidiaire, si la cour confirme la compétence du juge des référés et jugeait que la société Altimance dispose d’un motif légitime :

infirmer l’ordonnance en ce qu’elle a jugé proportionnée et mesurée la communication des données d’identification relative aux comptes Twitter @Jar-Jar-Altim, @FulcrumAltim, @freddy-thrawn et @strodown sollicitée par Altimance ;

infirmer l’ordonnance en ce qu’elle a ordonné la communication des données d’identification des quatre comptes litigieux ;

A titre infiniment subsidiaire si la cour devait confirmer le jugement entrepris en ce qu’il a ordonné la communication des données d’identification des comptes twitter @Jar-Jar-Altim, @FulcrumAltim, @freddy-thrawn et @strodown :

ordonner que les données qui seront communiquées le cas échéant à la société Altimance par elle seront limitées aux informations sur l’identité civile de l’utilisateur visées aux articles 2 et 3 du décret n° 2021-1362 du 20 octobre 2021 et L. 34-1 II bis 1 et 2 du code des postes et des communications électroniques, dans la limite de celles en sa possession ;

ordonner à la société Altimance de réserver l’usage des données ainsi obtenues des poursuites pénales, à l’exclusion de toute poursuite civile ou prud’homale ;

En tout état de cause et en y ajoutant au besoin,

infirmer le jugement attaqué en ce qu’il l’a condamnée à payer à la société Altimance la somme de 1.500 euros en application de l’article 700 du code de procédure civile ;

confirmer le jugement du 7 juillet 2023 pour le surplus et notamment en ce qu’il a débouté la société Altimance de sa demande tendant au paiement d’une astreinte ;

rejeter l’ensemble des demandes, fins et conclusions de la société Altimance qu’il s’agisse de ses demandes au fond ou de celles afférentes à l’article 700 du code de procédure civile ;

en particulier, rejeter la demande d’astreinte de 1.000 euros par jour de retard assortissant la mesure de communication de données d’identification formulée par la société Altimance ainsi que la demande de condamnation à son encontre aux entiers dépens ;

rejeter la demande de la société Altimance tendant au paiement de la somme de 10.000 euros conformément à l’article 700 du code de procédure civile ;

condamner la société Altimance à lui verser la somme de 5.000 euros au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

Dans ses dernières conclusions déposées et notifiées le 27 mai 2024, la société Altimance demande à la cour, au visa des articles 6 de la loi n°2004 pour la confiance dans l’économie numérique du 21 juin 2004, L. 34-1 du code des postes et des communications électroniques, le décret n° 2021-1362 du 20 octobre 2021 relatif à la conservation des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne, pris en application du II de l’article 6 de la LCEN, de la loi n° 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement, la loi du 29 juillet 1881 et les articles 145 et 542 du code de procédure civile, de :

confirmer l’ordonnance attaquée en ce qu’elle a :

*considéré que le président du tribunal judiciaire de Paris était compétent pour connaître de ce litige et rejeté l’exception d’incompétence soulevée par la société Twitter international unlimited company ;

*enjoint à la société Twitter international unlimited company de communiquer, dans les dix jours à compter de la signification de la présente décision, à son conseil, les données d’identification des créateurs et des utilisateurs des comptes suivants, supports des propos litigieux : @Jar-Jar-Altim, @FulcrumAltim, @freddy-thrawn et @strodown ;

*condamné la société Twitter international unlimited company à lui verser la somme de 1.500 euros en application des dispositions de l’article 700 du code de procédure civile, ainsi qu’aux dépens ;

infirmer l’ordonnance du 7 juillet 2023 pour le surplus et notamment en ce qu’elle l’a débouté de sa demande de prononciation d’une astreinte ;

assortir l’obligation faite à la société Twitter international unlimited company de communiquer les données d’une astreinte de 1.000 euros par jour de retard à compter du 11ème jour de la signification de l’arrêt à intervenir ;

rejeter, en conséquence, l’ensemble des demandes, fins, moyens et prétentions de la société Twitter international unlimited company ;

condamner la société Twitter international unlimited company à lui verser la somme de 10.000 euros au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

Conformément aux dispositions de l’article 455 du code de procédure civile, il est renvoyé aux conclusions des parties susvisées pour un plus ample exposé de leurs prétentions et moyens.

SUR CE,

Sur l’exception d’incompétence soulevée par la société Twitter

La société Altimance a assigné la société Twitter sur le fondement de l’article 145 du code de procédure civile ainsi que des dispositions de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN).

Elle soutient que comme l’a retenu le premier juge, le président du tribunal judiciaire de Paris statuant en référé est compétent pour connaître de ses demandes en application de l’article 145 du code de procédure civile, celles-ci visant à obtenir la preuve de l’identité de l’auteur des tweets litigieux, dont pourrait dépendre la solution d’un éventuel litige, et non à prévenir ou faire cesser un dommage au sens de l’article 6, I, 8 de la LCEN.

La société Twitter soutient pour sa part qu’il résulte de l’article 6, I, 8 de la LCEN, telle que modifiée par la loi n° 2021-1109 du 24 août 2021, que les demandes de communication de données d’identification doivent désormais être formées devant le président du tribunal judiciaire statuant selon la procédure accélérée au fond. Selon elle, alors que l’ancienne rédaction de ce texte renvoyait à la compétence du juge des référés ou des requêtes, la nouvelle rédaction, applicable au présent litige, prévoit désormais que seul le juge du fond peut être saisi, selon la procédure accélérée au fond, des demandes tendant à prévenir ou faire cesser un dommage résultant d’un service de communication au public en ligne – incluant les demandes de communication de données d’identification.

Elle sollicite donc l’infirmation de l’ordonnance entreprise en ce qu’elle a rejeté l’exception d’incompétence au profit du tribunal judiciaire de Paris statuant selon la procédure accélérée au fond.

Aux termes de l’article 145 du code de procédure civile, s’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé sur requête ou en référé.

L’article 6, I, 8 de la LCEN disposait, dans sa rédaction antérieure à celle issue de la loi n° 2021-1109 du 24 août 2021 :

« L’autorité judiciaire peut prescrire en référé ou sur requête, à toute personne mentionnée au 2 ou, à défaut, à toute personne mentionnée au 1, toutes mesures propres à prévenir un dommage ou à faire cesser un dommage occasionné par le contenu d’un service de communication au public en ligne ».

Ce texte dispose désormais que :

« Le président du tribunal judiciaire, statuant selon la procédure accélérée au fond, peut prescrire à toute personne susceptible d’y contribuer toutes mesures propres à prévenir un dommage ou à faire cesser un dommage occasionné par le contenu d’un service de communication au public en ligne ».

Il en résulte que seul le président du tribunal judiciaire, statuant selon la procédure accélérée au fond, est compétent pour prescrire les mesures propres à prévenir ou faire cesser un dommage occasionné par le contenu d’un service de communication au public en ligne – ce qui peut inclure, le cas échéant, la communication de données d’identification lorsque celle-ci s’avère nécessaire à la prévention ou à l’arrêt du dommage -.

Mais cette compétence n’exclut nullement celle du juge des référés pour ordonner, en application de l’article 145 du code de procédure civile, les mesures d’instruction légalement admissibles – dont la communication de données d’identification -, s’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige.

Contrairement à ce que soutient la société Twitter, la nouvelle rédaction de l’article 6, I, 8 de la LCEN n’a retiré aucune attribution au juge des référés sur le fondement de l’article 145 du code de procédure civile, le premier texte visant la prévention et la cessation des dommages, non les mesures d’instruction in futurum concernées par le second.

De même, si l’article L. 213-2 du code de l’organisation judiciaire prévoit qu'« en toutes matières, le président du tribunal judiciaire statue en référé ou sur requête » et que « dans les cas prévus par la loi ou le règlement, il statue selon la procédure accélérée au fond », il en résulte qu’hors les cas dans lesquels la loi ou le règlement renvoie expressément à la procédure accélérée au fond, le président du tribunal judiciaire statue « en toutes matières » en référé ou sur requête.

L’article 145 du code de procédure civile permet ainsi la saisine du président du tribunal judiciaire sur requête ou en référé lorsque les conditions prévues par ce texte sont réunies.

Au cas présent, d’une part, la demande de la société RT France tend uniquement à l’obtention de la preuve de l’identité de l’auteur de tweets litigieux et non à la prévention ou la cessation d’un dommage, d’autre part, le juge du fond n’a pas été préalablement saisi.

La saisine du juge des référés était donc possible et l’exception d’incompétence soulevée par la société Twitter sera rejetée.

L’ordonnance entreprise sera confirmée de ce chef.

Sur la demande de communication des données d’identification

La société Twitter soutient notamment que les actions au fond envisagées par la société Altimance sont manifestement vouées à l’échec, toute action sur le fondement de l’injure ou de la diffamation étant prescrite, les autres infractions litées par la société Altimance, notamment l’abus de confiance, apparaissant étrangères au dossier et sont évoquées de manière opportune. Elle indique encore que la mesure de communication des données d’identification des comptes visés est dépourvue de toute utilité et serait superfétatoire. A titre subsidiaire, elle estime que la mesure sollicitée est disproportionnée, aucun abus de la liberté d’expression n’étant caractérisé. A titre infiniment subsidiaire, elle soutient que la communication devra le cas échéant être limitée à ce qui est légalement admissible.

La société Altimance ne conteste pas qu’en application des articles 6-I-8 de la loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, toute demande tendant à intervenir sur les contenus en ligne relève désormais de la compétence exclusive du président du tribunal judiciaire selon la procédure accélérée au fond mais toutefois, cette compétence n’est pas exclusive de celle du juge des référés saisie en application des dispositions de l’article 145 du code de procédure civile. Elle expose ensuite que les faits décrits sont susceptibles de recevoir plusieurs qualifications pénales, à savoir l’abus de confiance, la collecte frauduleuse, déloyale et illicite de données à caractère personnel, mais aussi la diffamation et l’injure publiques. Elle fait valoir que l’ouverture d’une information judiciaire contre personne non dénommée n’est pas de nature à priver le juge des référés des pouvoirs tirés de l’article 145 du code de procédure civile. Elle précise enfin que la mesure de communication des données n’est pas disproportionnée et qu’une astreinte devra assortir cette mesure alors que Twitter a adopté des procédés dilatoires et n’a toujours pas exécuté la décision rendue.

Il convient d’abord de constater, ce qui n’est pas contesté in fine par la société Twitter, qu’au vu du contenu des tweets litigieux, il existe bien un procès en germe non manifestement voué à l’échec entre la société RT France et le ou les auteurs de ces tweets, rendant légitime la recherche par celle-ci de la preuve de l’identité du ou des auteurs en vue de poursuites pénales sur le fondement de la diffamation publique envers particulier.

Il convient ensuite de relever que l’ouverture d’une information judiciaire contre personne non dénommée n’est pas de nature à priver le juge des référés des pouvoirs que lui confère l’article 145 du code de procédure civile dès lors qu’aucun juge du fond n’est saisi, étant observé que la société Altimance justifie avoir interrompu le délai de prescription des publications postérieures au 3 novembre 2022 et a déposé plainte avec constitution de partie civile entre les mains du doyen des juges d’instruction, la consignation ayant été versée.

L’identification des auteurs des propos litigieux par la voie pénale reste donc incertaine et comme le souligne la société Altimance, le court délai de prescription de l’action en diffamation ne lui permettait pas d’attendre le résultat de l’action pénale avant d’agir au civil sur le fondement de l’article 145 du code de procédure civile, alors qu’il n’est pas discuté que cette action civile n’interrompt pas les délais de prescription de l’action pénale.

Il doit être ajouté enfin que le risque de dépérissement des données est réel dès lors que la société Twitter n’est tenue de conserver certaines données d’identification que pendant un an, en application de l’article L. 34-1 du code des postes et communications électroniques, comme il sera exposé ci-après.

L’utilité de la mesure d’instruction sollicitée en référé par la société RT France n’est donc pas contestable et le motif légitime, caractérisé.

En outre, il doit être relevé que la plainte déposée par la société Altimance excipe en les distinguant les infractions de diffamation et d’injure publiques et sollicite les données d’identification que la société Twitter en sa qualité d’hébergeur, en application des articles 6 II de la LCEN, L 34-1 du code des poste et communications électroniques, sont tenus de conserver pour les besoins des procédures pénales, le premier juge ayant à juste titre relevé que de telles infractions en relèvent. La mesure sollicitée est ainsi délimitée dans son objet et ne peut être considérée comme disproportionnée.

L’ordonnance entreprise sera confirmée de ce chef.

Sur les données communicables

A titre subsidiaire, la société Twitter demande à ce que la communication des données des données devra être limité à ce qui est légalement admissible et disponible.

Elle soutient qu’il résulte de l’application combinée des articles 6.I de la LCEN, L.34-1 II bis du code des postes et communications électroniques et du décret n°2021-1362 du 20 octobre 2021 (« décret LCEN ») que les données autres que celles de l’état civil, adresses, identifiant ou pseudonymes ne peuvent être conservées par les hébergeurs, et donc communiquées, que « pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale », dont l’action de l’intimée ne fait pas partie.

L’intimée n’a pas répondu à cette demande infiniment subsidiaire.

Il est constant que la société Twitter est l’hébergeur, au sens de l’article 6, I, 2 de la LCEN, des contenus des comptes incriminés.

L’article 6, II, de la LCEN dispose, dans sa rédaction actuelle :

« Dans les conditions fixées aux II bis, III et III bis de l’article L. 34-1 du code des postes et des communications électroniques, les personnes mentionnées aux 1 et 2 du I du présent article détiennent et conservent les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires.

Elles fournissent aux personnes qui éditent un service de communication au public en ligne des moyens techniques permettant à celles-ci de satisfaire aux conditions d’identification prévues au III.

Un décret en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés, définit les données mentionnées au premier alinéa et détermine la durée et les modalités de leur conservation ».

Ce texte disposait, dans sa rédaction antérieure à celle issue de la loi n° 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement :

« Les personnes mentionnées aux 1 et 2 du I détiennent et conservent les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires.

Elles fournissent aux personnes qui éditent un service de communication au public en ligne des moyens techniques permettant à celles-ci de satisfaire aux conditions d’identification prévues au III.

L’autorité judiciaire peut requérir communication auprès des prestataires mentionnés aux 1 et 2 du I des données mentionnées au premier alinéa.

Les dispositions des articles 226-17,226-21 et 226-22 du code pénal sont applicables au traitement de ces données.

Un décret en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés, définit les données mentionnées au premier alinéa et détermine la durée et les modalités de leur conservation ».

La nouvelle rédaction fait donc référence, à la différence de l’ancienne, aux conditions de détention et de conservation des données fixées aux II bis, III et III bis de l’article L. 34-1 du code des postes et des communications électroniques.

Ces articles prévoient que :

« II bis.-Les opérateurs de communications électroniques sont tenus de conserver :

1° Pour les besoins des procédures pénales, de la prévention des menaces contre la sécurité publique et de la sauvegarde de la sécurité nationale, les informations relatives à l’identité civile de l’utilisateur, jusqu’à l’expiration d’un délai de cinq ans à compter de la fin de validité de son contrat ;

2° Pour les mêmes finalités que celles énoncées au 1° du présent II bis, les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte ainsi que les informations relatives au paiement, jusqu’à l’expiration d’un délai d’un an à compter de la fin de validité de son contrat ou de la clôture de son compte ;

3° Pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, jusqu’à l’expiration d’un délai d’un an à compter de la connexion ou de l’utilisation des équipements terminaux.

III.-Pour des motifs tenant à la sauvegarde de la sécurité nationale, lorsqu’est constatée une menace grave, actuelle ou prévisible, contre cette dernière, le Premier ministre peut enjoindre par décret aux opérateurs de communications électroniques de conserver, pour une durée d’un an, certaines catégories de données de trafic, en complément de celles mentionnées au 3° du II bis, et de données de localisation précisées par décret en Conseil d’Etat.

L’injonction du Premier ministre, dont la durée d’application ne peut excéder un an, peut être renouvelée si les conditions prévues pour son édiction continuent d’être réunies. Son expiration est sans incidence sur la durée de conservation des données mentionnées au premier alinéa du présent III.

III bis.-Les données conservées par les opérateurs en application du présent article peuvent faire l’objet d’une injonction de conservation rapide par les autorités disposant, en application de la loi, d’un accès aux données relatives aux communications électroniques à des fins de prévention et de répression de la criminalité, de la délinquance grave et des autres manquements graves aux règles dont elles ont la charge d’assurer le respect, afin d’accéder à ces données ».

Le décret n° 2021-1362 du 20 octobre 2021 relatif à la conservation des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne, pris en application du II de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique dispose que :

« Article 1:

Le présent décret précise les obligations de conservation de données qui, en vertu du II de l’article 6 de la loi du 21 juin 2004 susvisée, incombent aux personnes mentionnées aux 1 et 2 du I du même article, dans les conditions prévues aux II bis, III et III bis de l’article L. 34-1 du code des postes et communications électroniques.

Article 2 :

Les informations relatives à l’identité civile de l’utilisateur, au sens du 1° du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver jusqu’à l’expiration d’un délai de cinq ans à compter de la fin de validité du contrat de l’utilisateur, sont les suivantes :

1° Les nom et prénom, la date et le lieu de naissance ou la raison sociale, ainsi que les nom et prénom, date et lieu de naissance de la personne agissant en son nom lorsque le compte est ouvert au nom d’une personne morale ;

2° La ou les adresses postales associées ;

3° La ou les adresses de courrier électronique de l’utilisateur et du ou des comptes associés le cas échéant ;

4° Le ou les numéros de téléphone.

Article 3 :

Les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte, mentionnées au 2° du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver jusqu’à l’expiration d’un délai d’un an à compter de la fin de validité du contrat de l’utilisateur ou de la clôture de son compte, sont les suivantes :

1° L’identifiant utilisé ;

2° Le ou les pseudonymes utilisés ;

3° Les données destinées à permettre à l’utilisateur de vérifier son mot de passe ou de le modifier, le cas échéant par l’intermédiaire d’un double système d’identification de l’utilisateur, dans leur dernière version mise à jour.

Article 4 :

Les informations relatives au paiement, mentionnées au 2° du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver, pour chaque opération de paiement, jusqu’à l’expiration d’un délai d’un an à compter de la fin de validité du contrat de l’utilisateur ou de la clôture de son compte, sont les suivantes :

1° Le type de paiement utilisé ;

2° La référence du paiement ;

3° Le montant ;

4° La date, l’heure et le lieu en cas de transaction physique.

Article 5 :

Les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, mentionnées au 3° du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver jusqu’à l’expiration d’un délai d’un an à compter de la connexion ou de l’utilisation des équipements terminaux, sont les suivantes :

1° Pour les personnes mentionnées au 1 du I de l’article 6 de la loi du 21 juin 2004 susvisée et pour chaque connexion de leurs abonnés :

a) L’identifiant de la connexion ;

b) L’identifiant attribué par ces personnes à l’abonné ;

c) L’adresse IP attribuée à la source de la connexion et le port associé ;

2° Pour les personnes mentionnées au 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée et pour chaque opération de création d’un contenu telle que définie à l’article 6 :

a) L’identifiant de la connexion à l’origine de la communication ;

b) Les types de protocoles utilisés pour la connexion au service et pour le transfert des contenus.

Le délai mentionné au premier alinéa du présent article court à compter du jour de la connexion ou de la création d’un contenu, pour chaque opération contribuant à cette création ».

De ces dispositions, il ressort que les hébergeurs ne sont tenus de conserver, pour les besoins des procédures pénales, que les informations relatives à l’identité civile de l’utilisateur et les autres informations fournies par lui lors de la souscription du contrat ou de la création du compte ainsi que les informations relatives au paiement – les premières pendant cinq ans, les secondes pendant un an -, à l’exclusion des données techniques permettant d’identifier la source de la connexion et de celles relatives aux équipements terminaux utilisés. En effet, ces dernières données ne peuvent être conservées que pour les seuls besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale et ce, pendant une durée d’un an.

Ces nouvelles dispositions légales et réglementaires ont été adoptées à la suite de décisions de la Cour de justice de l’Union européenne ayant retenu que le droit de l’Union limitait la possibilité d’imposer aux opérateurs de communications électroniques, aux fournisseurs d’accès à internet et aux hébergeurs la conservation des données de connexion de leurs utilisateurs, que cette conservation ne pouvait être généralisée et indifférenciée et qu’elle devait être encadrée, l’encadrement variant selon la nature des données en cause, les finalités poursuivies et le type de conservation (CJUE, 6 octobre 2020, C-511/18, C-512/18, C-520/18, La Quadrature du Net et autres).

A la suite de ces décisions, le Conseil d’Etat a rappelé que, selon la jurisprudence de la CJUE, si la conservation généralisée et indifférenciée des adresses IP peut être imposée aux fournisseurs d’accès à internet et aux hébergeurs, pour une période limitée au strict nécessaire, dès lors qu’elle peut constituer le seul moyen d’investigation permettant l’identification d’une personne ayant commis une infraction en ligne, une telle conservation emporte une ingérence grave dans les droits fondamentaux des personnes concernées qui justifie qu’elle ne puisse avoir lieu qu’aux fins de lutte contre la criminalité grave, pour la prévention des menaces graves contre la sécurité publique et pour la sauvegarde de la sécurité nationale (CE, ass., 21 avril 2021, n° 393099, Lebon, point 33).

Ces décisions concernent la conservation des données.

Toutefois, la Cour de justice de l’Union européenne a également jugé que l’accès aux données n’était possible que pour la finalité ayant justifié la conservation : « S’agissant des conditions dans lesquelles l’accès aux données relatives au trafic et aux données de localisation conservées par les fournisseurs de services de communications électroniques peut, à des fins de prévention, de recherche, de détection et de poursuite d’infractions pénales, être accordé à des autorités publiques, en application d’une mesure prise au titre de l’article 15, paragraphe 1, de la directive 2002/58, la Cour a jugé qu’un tel accès ne peut être octroyé que pour autant que ces données aient été conservées par ces fournisseurs d’une manière conforme audit article 15, paragraphe 1 (voir, en ce sens, arrêt du 6 octobre 2020, La Quadrature du Net e.a., C-511/18, C-512/18 et C 520/18, EU:C:2020:791, point 167) » (CJUE, 2 mars 2021, C-746/18, H.K c/ Prokuratuur, point 29).

Il doit également être relevé que l’article 6, II, de la LCEN, dans sa nouvelle rédaction, fait expressément référence aux conditions de conservation prévues par l’article L. 34-1 du code des postes et communications électroniques.

De même, le décret du 20 octobre 2021, qui abroge le décret n° 2011-219 du 25 février 2011, est expressément visé au dernier alinéa de l’article 6, II, de la LCEN. Or, selon ce dernier alinéa, le décret « définit les données mentionnées au premier alinéa et détermine la durée et les modalités de leur conservation ». Il en résulte que « les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires » visées au premier alinéa de l’article 6, II, de la LCEN sont celles définies par le décret du 20 octobre 2021, avec les conditions et restrictions ci-dessus rappelées.

Dès lors, il résulte de la combinaison de ces dispositions légales et réglementaires que les hébergeurs ne sont tenus de communiquer, pour les besoins des procédures pénales, que les informations relatives à l’identité civile de l’utilisateur et les « autres informations fournies par lui lors de la souscription du contrat ou de la création du compte » ainsi que « les informations relatives au paiement », à l’exclusion des données techniques permettant d’identifier la source de la connexion ou de celles relatives aux équipements terminaux utilisés, notamment l’adresse IP.

Au cas présent, la société Altimance a sollicité la communication de données d’identification de l’auteur de messages Twitter pour les besoins d’une procédure pénale, celle-ci souhaitant poursuivre l’intéressé pour des faits délictuels de diffamation publique envers particulier, prévus et réprimés par les articles 29 alinéa 1er et 32 alinéa 1er de la loi du 29 juillet 1881.

Elle n’agit donc pas pour « les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale » visés au 3° de l’article L. 34-1 précité du code des postes et communications électroniques.

C’est dès lors à bon droit que la société Twitter a sollicité le cantonnement de la demande de communication aux informations relatives à l’identité civile, à l’exclusion de celles relatives à l’identifiant de connexion au moment de la création du compte, aux types de protocoles, à l’adresse IP de connexion du compte.

Le premier juge a dans ces conditions ordonné à juste titre à la société Twitter de communiquer à la société Altimance les informations requises :

— les nom et prénoms ou la raison sociale du titulaire du compte,

— les pseudonymes utilisés,

— les adresses de courrier électronique ou de comptes associés.

Cette mesure, qui tend à préserver un juste équilibre entre la protection de la liberté d’expression et de la vie privée, d’une part, le droit d’accès au juge, d’autre part, ne porte pas une atteinte excessive aux droits de l’appelante garantis par l’article 6, § 1, de la Convention européenne des droits de l’homme, dès lors que celle-ci a parallèlement pu déposer une plainte pénale entre les mains du juge d’instruction et que la présente décision lui permet d’obtenir les données d’identité civile de l’auteur des messages litigieux.

La société Twitter ne contestant pas être en possession des données en cause, l’ordonnance sera confirmée en ce qu’elle a ordonné leur communication

Sur le prononcé d’une astreinte

La société Twitter n’ayant pas démontré une résistance ou une obstruction particulière, il n’y a pas lieu d’assurer l’effectivité des mesures ordonnées en les assortissant d’une astreinte.

L’ordonnance rendue sera confirmée sur ce point.

Sur les frais et dépens

La société Altimance France conservera la charge des dépens de cette instance, engagée dans son seul intérêt, les demandes formées en application de l’article 700 du code de procédure civile étant rejetée.

PAR CES MOTIFS

Confirme l’ordonnance entreprise en toutes ses dispositions,

Y ajoutant,

Laisse à la charge de la société Altimance les dépens d’appel ;

Rejette les demande formées en application de l’article 700 du code de procédure civile.

LA GREFFIÈRE LA PRÉSIDENTE