Category: Legal news

La CJUE, réunie en Assemblée plénière, déclare conforme au droit européen, sous conditions, les dispositions du Code de la propriété intellectuelle autorisant l’ARCOM à accéder aux données personnelles conservées par les opérateurs de communications électroniques, pour mettre en œuvre la « riposte graduée » visant à lutter contre le téléchargement d’œuvres protégées par le droit d’auteur et les droits voisins (CJUE, Ass. Plén., 30 avril 2024, Aff. C-470/21, La Quadrature du Net et al., c/ Premier ministre et Ministre de la Culture français).

Plusieurs associations de protection des droits des personnes avaient saisi le Conseil d’Etat d’un recours en annulation de la décision implicite du Premier ministre de rejeter leur demande d’abrogation d’un décret n°2010-236, pris sur le fondement de l’article L.331-21 du code de la propriété intellectuelle, organisant les modalités d’obtention, par les agents assermentés de la HADOPI (depuis devenue l’ARCOM par fusion avec le CSA), auprès des opérateurs de communications électroniques, de certaines données d’identification des internautes, afin de lutter contre le téléchargement illicite d’œuvres protégées.

Au regard des nombreuses décisions rendues par la Cour de Justice ces 10 dernières années sur les modalités de conservation des données personnelles par ces opérateurs et de l’accès à ces données par les autorités compétentes pour lutter contre les infractions en ligne, le Conseil d’Etat a décidé de poser à la juridiction européenne plusieurs questions préjudicielles visant à vérifier, en substance, la conformité au droit européen des textes précités et, plus généralement, du dispositif légal français organisant les traitements de données personnelles nécessaires à la mise en œuvre du dispositif de riposte graduée dont la HADOPI avait la charge et incombant dorénavant à l’ARCOM.

La Cour de justice décide que les dispositions de la loi française en cause sont conformes au droit européen et, en particulier, à l’article 15 de la directive n°2002/58 dite « vie privée et communications électroniques », qui autorise par exception et à certaines conditions la conservation généralisée des données d’identification, et aux articles 7, 8, 11 et 52 de la Charte des droits fondamentaux, sous réserve que soient respectées les conditions suivantes :

• Les données relatives à l’identité civile (qui sont les données concernées) correspondant aux adresses IP fournies préalablement par les titulaires de droits à l’ARCOM comme étant utilisées à des fins de téléchargement non autorisé d’œuvres protégées, doivent être conservées de manière séparée et étanche des autres catégories de données (adresses IP elles-mêmes, données de trafic, données de localisation), de manière à éviter toute exploitation combinée de ces données et ainsi de tirer des conclusions précises sur la vie privée des personnes concernées ;
• L’accès de l’ARCOM à ces données doit servir exclusivement à identifier les personnes soupçonnées d’avoir télécharger des œuvres protégées sans autorisation et doit être entouré des garanties permettant d’éviter de tirer des conclusions précises sur leur vie privée ; parmi ces garanties, il doit être interdit aux agents assermentés de l’ARCOM (i) de divulguer quelque information que ce soit sur les fichiers consultés par ces personnes, sauf pour saisir le ministère public, (ii) de procéder au traçage du parcours de navigation des intéressés et (iii) d’utiliser les adresses IP à d’autres fins que l’identification desdites personnes ;
• La possibilité de « croiser » ces données d’identification avec celles permettant de connaître le titre des œuvres téléchargées, qui ne doit intervenir qu’au dernier stade de la riposte graduée (c’est-à-dire après l’envoi de deux recommandations restées sans effet), pour envisager les sanctions prévues par les textes, doit être subordonnée au contrôle d’une juridiction ou d’une autorité administrative indépendante distincte de l’ARCOM, préalablement à ce croisement d’informations ;
• Le système automatisé utilisé par l’ARCOM pour procéder à ces opérations doit faire l’objet d’un contrôle régulier par un organisme indépendant, visant à vérifier son intégrité et notamment sa protection contre les risques d’accès et d’utilisation abusifs ou illicites des données, ainsi que son efficacité et sa fiabilité à détecter les défaillances éventuelles.

L’affaire Veuve Clicquot est l’occasion de rappeler la difficulté à enregistrer une marque de couleur, y compris s’agissant des preuves à rapporter quant à l’acquisition de son caractère distinctif par l’usage (Trib. UE, 6e ch., 6 mars 2024, aff. T-652/22, Lidl Stiftung & Co. KG c/ EUIPO).

Malgré la possibilité théorique d’enregistrer une nuance de couleur à titre de marque, en pratique c’est plus compliqué, ainsi que l’illustre l’affaire portant sur l’enregistrement de la marque de couleur orange utilisée pour les champagnes Veuve Clicquot. Pour pouvoir déposer avec succès une marque de couleur, il faut qu’elle soit distinctive, soit dès le dépôt (peu fréquent) soit qu’elle ait acquis un caractère distinctif par l’usage (plus fréquent) et ce alors que la jurisprudence considère que « les consommateurs n’ont pas pour habitude de présumer l’origine des produits en se basant sur leur couleur ou sur celle de leur emballage, en l’absence de tout élément graphique ou textuel » (CJUE, 6 mai 2003, Libertel, C-104/01).

En 1998, la maison de champagnes Veuve Clicquot a présenté une demande d’enregistrement d’une marque figurative de l’UE à l’EUIPO, pour la protection d’une certaine nuance de la couleur orange, pour la description « Vins de Champagne ». Après plusieurs refus, l’EUIPO a finalement enregistré la marque en 2007. Une demande en nullité de la marque pour défaut de distinctivité a ensuite été formée par la société Lidl. Cette demande a été rejetée par la chambre de recours dans une décision du 16 août 2022, la chambre estimant que ladite marque avait acquis, à la date de son dépôt en 1998, un caractère distinctif. Par arrêt du 6 mars 2024, le Tribunal de l’UE a annulé cette décision au motif de l’absence de preuve pertinente… en Grèce et au Portugal.

Le Tribunal rappelle que, bien que la marque litigieuse ait été enregistrée comme une marque figurative, elle doit être regardée comme étant une « marque de couleur ». La juridiction ajoute que selon une distinction classique, il existe une hiérarchie des preuves pour établir la distinctivité acquise par l’usage d’une marque; octroyant aux preuves dites «directes» (sondages, déclarations d’associations professionnelles), un poids plus important que celui accordé aux preuves dites « secondaires » (volume des ventes, des parts de marchés, des investissements promotionnels…). En effet, dans les États membres de l’UE où aucune preuve directe n’est produite, la production de preuves secondaires est insuffisante à caractériser la distinctivité acquise par l’usage de la marque. Par conséquent, le tribunal conclut qu’en retenant que la présence de preuves « secondaires » pour les États de la Grèce et du Portugal suppléait l’absence de preuves « directes » pour ces États membres, la chambre de recours a méconnu le principe de hiérarchie des preuves et a commis une erreur de droit.

Cependant, la marque n’est pas encore irréversiblement annulée, puisque l’affaire est renvoyée devant la chambre de recours, qui pourra à nouveau examiner si le caractère distinctif de la marque Orange a été acquis par l’usage, y compris en Grèce et au Portugal… La décision rappelle la difficulté à enregistrer une marque de couleur, y compris s’agissant des preuves à rapporter quant à l’acquisition par l’usage de son caractère distinctif.

Si toutes les marques sont égales, certains signes sont plus difficiles à faire enregistrer que d’autres.

La société Twitter/X a été condamnée à communiquer à certains éditeurs et agences de presse les données nécessaires au calcul de la rémunération leur revenant en application du nouveau droit voisin portant sur les publications de presse en ligne (Tribunal judiciaire, Paris, référé, 2 ordonnances, 23 mai 2024, n° 23/55581 et n°23/56102)

Par deux ordonnances du 23 mai 2024, le Tribunal judiciaire de Paris a enjoint à la société Twitter/X, à la demande de certains éditeurs de presse (Le Figaro, Le monde, Les Échos, Le Parisien, Télérama, Le Nouvel observateur, Courrier International, Malesherbes Publication et le Huffington Post –ord. RG 23/55581) et de l’AFP (ord. RG 23/56102), la communication de certains éléments nécessaires au calcul de la rémunération due aux éditeurs de presse et agence de presse en ligne en application du nouveau droit voisin qui leur a été reconnu par la loi n°2019-775 du 24 juillet 2019, ayant transposé en droit français aux articles L. 218-1 à L. 218-5 du Code de la propriété intellectuelle l’article 15 de la directive n°2019/790 du 17 avril 2019. Parmi ces éléments, figurent « le nombre d’impressions et le taux de clics sur impressions en France sur Twitter/X », « la part estimée des requêtes en lien avec les publications », « les revenus publicitaires générés en France par Twitter/X », « la liste des types de données collectées en France depuis le 24 octobre 2019 », ainsi qu’« une description du fonctionnement des algorithmes de Twitter/X ».

La décision est intéressante à plusieurs titres. Elle est d’abord utile pour les éditeurs et agences de presse en ligne, ainsi que, par ricochet, pour les auteurs-journalistes. Le nouveau droit voisin reconnu aux éditeurs et agence de presse sur leurs publications en ligne est en effet un droit à vocation essentiellement économique en ce qu’il vise à protéger les investissements des éditeurs et agences de presse à l’encontre d’agissements considérés comme parasitaires réalisés par les services de communication en ligne (tels que les agrégateurs d’informations et les services de veille médiatique) réutilisant les publications de presse des premiers et en détournant la valeur à leur profit. Les éditeurs et agence de presse doivent donc être en mesure d’apprécier l’assiette de calcul des redevances leur revenant en application de ce nouveau dispositif, étant rappelé que parmi les critères utilisés pour fixer le montant cette rémunération figure notamment « l’importance de l’utilisation des publications de presse par les services de communication au public en ligne ». Ces éléments de calcul devraient également, par ricochet, profiter aux auteurs-journalistes dès lors que ces derniers ont droit à « une part appropriée et équitable » de la somme versée aux éditeurs et agences de presse.

La décision est également intéressante car elle montre les difficultés liées à la mise en place du nouveau dispositif – ce qui est peu étonnant dès lors que l’on se souvient que l’article 15 intitulé « Protection des publications de presse en ce qui concerne les utilisations en ligne » a été l’une des dispositions les plus discutées de la directive du 17 avril 2019 et que les discussions ont failli emporter l’ensemble du texte. Les grandes plateformes sont réticentes à le mettre en œuvre et à assurer une transparence effective, préalable à un partage de la valeur efficient. Elle est enfin intéressante s’agissant de la portée de ce nouveau droit voisin eu égard au développement des systèmes d’intelligence artificielle et, par conséquent de la question de savoir s’il s’applique aussi aux seuls résultats générés par le système d’intelligence artificielle dans le cadre de prompts (output), ou également aux données dites d’entraînement (input).

Des modifications ont été apportées à la loi n° 2023- 451 du 9 juin 2023 « visant à encadrer l’influence commerciale et à lutter contre les dérives des influenceurs sur les réseaux sociaux », et d’autres le seront prochainement par voie d’ordonnances, afin de la mettre en conformité avec le droit de l’UE (Loi n°2024-364 du 22 avril 2024 portant diverses dispositions d’adaptation au droit de l’UE en matière d’économie, de finances, de transition écologique, de droit pénal, de droit social et en matière agricole).

Alerté par la Commission européenne sur l’existence d’un risque de conflit avec le droit de l’Union européenne dont la directive dite « e-commerce » (2000/31/CE du 8 juin 2000), le règlement dit « DSA » (2022/2065 du 19 octobre 2022) et la directive dite « SMA » (2018/1808 du 14 novembre 2018), le Gouvernement a été sommé de réécrire la « loi influenceurs ». Dans ce contexte, la loi DDADUE du 22 avril 2024 a, d’une part, abrogé les articles 10, 11, 12, 15 et 18 de la « loi influenceurs ». Relatifs au signalement, au retrait des contenus illicites ainsi qu’à l’engagement de coopération des opérateurs de plateforme en ligne, ces dispositions chevauchaient celles du DSA, ce qui était source d’insécurité juridique. D’autre part, la loi DDADUE a autorisé la Gouvernement à modifier par ordonnances notamment (i) l’article 1er qui définit l’activité d’influence commerciale, (ii) l’article 4 qui fixe le régime des interdictions de promotion de certains produits et services, (iii) l’article 5 qui prévoit les obligations d’affichage des publications des personnes exerçant l’activité d’influence commerciale, (iv) les articles 2 et 8 qui imposent la rédaction d’un contrat en cas de relation liant une personne exerçant l’activité d’influence commerciale et son agent ou son annonceur et (v) l’article 9 qui définit les conditions dans lesquelles les personnes établies en dehors de l’UE et exerçant l’activité d’influence commerciale sont tenues de respecter la « loi influenceurs ». Le Gouvernement a jusqu’au 22 janvier 2025 pour prendre ces ordonnances qui devront ensuite être ratifiées par le Parlement.

La loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (SREN) a été publiée au Journal officiel le 22 mai 2024, après avoir été en partie censurée par le Conseil constitutionnel le 17 mai 2024 (Loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique et Conseil constitutionnel, décision n° 2024-866 du 17 mai 2024).

Après le vote par le Parlement européen du 13 mars 2024, la proposition de règlement sur l’intelligence artificielle (IA) a été adoptée le 21 mai 2024 par le Conseil, clôturant ainsi le processus décisionnel européen (Règlement UE sur l’intelligence artificielle, adopté par le Conseil européen le 21 mai 2024 avant sa publication au JOUE)

Le processus décisionnel européen a pris fin : après le vote par le Parlement le 13 mars 2024, le Règlement UE sur l’intelligence artificielle a en effet été adopté par le Conseil le 21 mai 2024. Le texte va pouvoir être publié au Journal officiel de l’Union européenne (JOEU) dans les tous prochains jours. Il entrera en vigueur le 20e jour suivant et ne sera applicable que 24 mois après son entrée en vigueur, soit a priori en juin 2026.

Certaines de ses dispositions seront toutefois applicables dès avant juin 2026. Ainsi notamment des mesures de formation et de sensibilisation que doivent prendre les fournisseurs et déployeurs de systèmes d’IA ou encore de l’interdiction des systèmes d’IA comportant un « risque inacceptable », applicables dans les 6 mois, soit a priori en décembre 2024. D’autres dispositions seront applicables dans les 12 mois suivant l’entrée en vigueur du Règlement, soit a priori en juin 2025. Il s’agit notamment des dispositions sur les systèmes d’IA « à haut risque » et les « modèles d’IA à usage général », comme les IA génératives.

Pour rappel : Le Règlement de l’UE sur l’IA est un texte stratégique. Il fixe un cadre complet, transverse, applicable à tous et tous secteurs confondus (sauf finalités militaires et R&D). En substance, le Règlement de l’UE sur l’IA tend à favoriser l’innovation tout en protégeant la société, en procédant à une approche de régulation graduée selon les risques : les systèmes d’IA sont classés selon leur niveau de risque, les contraintes juridiques variant à proportion de ce risque. Les plus dangereux, considérés comme présentant un « risque inacceptable », sont interdits. Ceux classés à « haut risques » sont fortement encadrés, notamment par le nécessaire respect de normes harmonisées, de déclaration de conformité, d’enregistrement dans une base de données de l’UE, d’un marquage de conformité, ainsi que de la mise en place d’une documentation technique permettant notamment de s’assurer du respect des différentes contraintes applicables. Les moins dangereux sont les systèmes d’IA présentant un « risque limité », dont notamment les systèmes d’IA dits à « usage général » qui sont soumis à des obligations moins contraignantes, telles que l’obligation de transparence afin notamment de permettre l’identification des contenus générés par un système d’IA, tout comme les informations concernant les contenus les alimentant.

Concrètement, le Règlement oblige tout opérateur économique exploitant un système d’IA, à réaliser un audit de ses systèmes d’IA afin, d’abord, d’en évaluer les risques pour, ensuite, selon le niveau de risque identifié, mettre en place le dispositif de conformité approprié. Audit et cartographie des risques constituent les premières étapes du processus de mise en conformité. Il est recommandé à cette occasion d’établir une charte ou code de bonne conduite afin de réguler les pratiques et de diffuser les règles de bonne conduite.