Quelques jours avant l’ordonnance de référé du tribunal administratif de Lille, le tribunal administratif de Nice a été amené à se prononcer sur le recours à la reconnaissance faciale et à la vidéosurveillance algorithmique par cette ville. Par une ordonnance de référé du 23 novembre 2023, les juges ont conclu qu’aucune atteinte grave et manifestement illégale aux libertés fondamentales n’était en l’espèce caractérisée. En conséquence, ils rejettent les demandes de la Ligue des droits de l’homme, du Syndicat de la magistrature et de l’Union syndicale « Solidaires » au juge des référés d’enjoindre à la commune de Nice de cesser immédiatement l’usage du logiciel édité par la société Briefcam permettant la reconnaissance faciale et l’usage du logiciel de vidéosurveillance algorithmique Wintics ou, dans le cas où ledit logiciel ne serait pas utilisé, de ne pas le déployer.
La commune de Nice affirme avoir utilisé Briefcam, à titre expérimental, lors de la coupe d’Europe de football de 2016 et lors du carnaval de Nice édition 2019, mais ne l’utilise plus actuellement. Par ailleurs, elle prétend n’avoir jamais activé la licence permettant de procéder à de la reconnaissance faciale au moyen de ce logiciel. En revanche, elle a eu recours à la reconnaissance faciale, à titre expérimental, lors du carnaval de Nice édition 2019, au moyen de la solution Anyvision éditée par la société Confidentia. Enfin, elle ne nie pas avoir passé un marché pour l’acquisition d’un « logiciel de vidéosurveillance augmentée », dénommé Wintics, non édité par la société Briefcam, en vue de l’utiliser dans le cadre de l’expérimentation prévue par la loi du 19 mai 2023 (pour les jeux olympiques et paralympiques 2024). Mais elle affirme que ce logiciel n’est pas encore déployé, les procédures légales et réglementaires préexistantes à son déploiement étant en cours.
Le tribunal conclut que « à supposer même que la commune soit dotée d’un tel logiciel (Briefcam), lequel comporterait d’autres fonctionnalités que celle permettant la reconnaissance faciale, il n’est pas établi que la simple détention de ce logiciel impliquerait, dans tous les cas, que les informations recueillies par le système de vidéoprotection de la commune puissent conduire, au bénéfice d’un autre usage que celui qui ne mettrait pas en œuvre la reconnaissance faciale, à rendre les personnes auxquelles elles se rapportent identifiables ».

Par une ordonnance de référé du 22 novembre 2023, le tribunal administratif de Caen a enjoint à la communauté de communes Cœur Côte Fleurie (comprenant notamment Deauville-Trouville) d’effacer les données à caractère personnel issues de l’usage du logiciel de vidéosurveillance algorithmique Briefcam, à l’exception d’un seul exemplaire du fichier, dans sa dernière version à la date de la présente ordonnance, qui sera placé sous séquestre auprès de la Commission nationale informatique et libertés. Le juge des référés a considéré que le dispositif de caméras augmentées de BriefCam utilisé par la communauté de communes porte une atteinte grave et manifestement illégale au respect de la vie privée. Il constate que le recours à un tel système qui intervient en dehors de tout cadre légal ou réglementaire et qui a pour objet de simplifier l’exploitation du contenu de vidéosurveillance et d’accélérer le temps d’identification des menaces de sécurité, permet d’identifier des personnes physiques en fonction de leurs caractéristiques propres. Il note par ailleurs qu’il n’est pas établi ni même allégué que d’autres moyens moins intrusifs au regard de la vie privée ne pouvaient être mis en œuvre afin de préserver l’ordre public.
Ce dispositif d’analyse vidéo a été mis en place en 2016 afin de transformer la vidéo brute en source de renseignements exploitables, en réduisant le temps d’identification des menaces de sécurité et un communiqué de l’intercommunalité informe qu’il s’appuie quotidiennement sur Briefcam pour faire progresser les enquêtes. Mais il a fallu la publication d’un article sur le site Disclose le 14 novembre 2023 pour que le public apprenne son existence. Il révèle que les caméras augmentées couplées au logiciel de vidéosurveillance algorithmique Briefcam permettent, d’une part, d’identifier des personnes physiques en fonction de leurs caractéristiques propres (taille, couleur de peau, couleur de cheveux, âge, sexe, couleur des vêtements et apparence, manière de se mouvoir) et, d’autre part, de les suivre de manière automatisée. Comme l’explique le guide des technologies de sûreté 2022 versé au dossier, le logiciel Briefcam constitue une plateforme complète d’analyse de contenu vidéo qui s’intègre dans les systèmes de vidéosurveillance existants et permet d’exploiter le contenu de vidéosurveillance en simplifiant la consultation de ces systèmes et leur exploitation. Selon ce document, cette plateforme, « basée sur une combinaison unique de la technologie brevetée de Vidéo Synopsis et deep learning » permet entre autres d’accélérer les enquêtes en résumant des heures de vidéos en quelques minutes, avec plus de trente filtres de classification d’objets.
Comme le rappelle la Cnil et le tribunal, la loi Informatique et libertés n’autorise pas le déploiement dans l’espace public par l’Etat ou les collectivités publiques de caméras intelligentes ou augmentées qui permettent de repérer de manière automatique des comportements contraires à l’ordre public ou des infractions. À noter que la communauté de communes Cœur Côte Fleurie n’a pas présenté d’observation en défense et n’était pas représentée.

Par une ordonnance de référé du 29 novembre 2023, le tribunal administratif de Lille a estimé que la ville de Roubaix n’utilisait pas la fonction de reconnaissance faciale de son logiciel de vidéoprotection Briefcam. D’après les explications fournies par la ville, il s’avère que la fonction de détection faciale était désactivée, qu’elle ne pourrait être activée que par une reconfiguration du système et uniquement en utilisant un compte administrateur dont ne dispose pas la commune de Roubaix. Par ailleurs, la ville n’a émis aucune demande d’activation de cette fonction. En conséquence, le tribunal déboute la Ligue des droits de l’homme, le Syndicat de la magistrature et l’Union syndicale « Solidaires » de leurs demandes visant à ce que le tribunal enjoigne à la commune de Roubaix de cesser immédiatement l’usage du logiciel Briefcam et de mettre sous séquestre auprès de la Cnil la version du logiciel utilisée.
Par un arrêté du 5 novembre 2019, le préfet du Nord a reconduit pour une durée de cinq ans l’autorisation précédemment délivrée à la commune de Roubaix, par son arrêté du 27 avril 2010, d’installer un système de vidéoprotection. Ce système comporte 470 caméras fixes, réparties sur douze périmètres, et pilotées depuis un centre de supervision urbain (CSU). Sa police municipale indique utiliser le logiciel Briefcam uniquement pour procéder, a posteriori, à une recherche de plaques d’immatriculation, sur réquisition judiciaire. Et le CSU n’a, dans ce cadre, eu recours à ce logiciel qu’à 23 reprises au cours de l’année écoulée. Elle précise d’ailleurs qu’elle n’utilise pas non plus ce logiciel à des fins de vidéoverbalisation car elle dispose, pour la lecture courante des plaques d’immatriculation et la constatation des infractions au stationnement, d’un lecteur automatique de plaques d’immatriculation (LAPI). La Cnil, de son côté, avait procédé à un contrôle du système le 20 avril dernier, et n’avait constaté aucun manquement.

Le 27 novembre 2023, le tribunal de commerce de Paris a condamné une société de services informatiques spécialisée en « accessibilité numérique » à verser 17 500 € de dommages et intérêts et 10 000 € au titre de l’article 700 du CPC à un concurrent pour avoir tenu des propos dénigrants à son sujet. Le tribunal a considéré que la teneur des deux tweets qui lui étaient reprochés dépassaient les limites de la libre critique en raison de leur absence de nuance, de mesure ou de base factuelle suffisante. Les juges consulaires ont ainsi jugé que « les propos litigieux ont porté atteinte à l’image commerciale de la société visée et revêtent donc un caractère fautif ».
La société Koena avait posté deux tweets relatifs à la solution d’accessibilité numérique de son concurrent Facil’iti qui, selon elle, ne permettait pas de rendre accessible son site aux personnes en situation de handicap, ne répondait pas aux besoins de ces internautes ou n’était pas conforme au Référentiel général d’amélioration de l’accessibilité (RGAA). Elle avait également organisé un appel à témoignages sur les réseaux sociaux destiné à discréditer la solution de son concurrent. Facil’iti a donc demandé à Koena de retirer ses messages. Face au refus de cette dernière, elle l’a assignée devant le tribunal de commerce de Paris pour dénigrement.
Le tribunal a commencé par rappeler que le dénigrement consiste à répandre à l’encontre d’un concurrent des informations malveillantes à son propos ou à celui de ses produits ou services dans le but de nuire, peu important que la divulgation de cette information soit exacte dès lors qu’elle jette le discrédit. Le juge retient que Koena a exprimé publiquement une opinion péjorative et estime que le fait d’utiliser le terme « mensonger » atteste d’une absence de neutralité et de mesure. Il considère par ailleurs que les propos en cause ne reposent pas sur une base factuelle suffisante. Koena affirmait ainsi que la solution ne répondait pas aux besoins des internautes en situation de handicap, sans nuance au regard de la multiplicité des handicaps possibles susceptibles d’affecter la capacité des personnes à interagir sur le web. Koena reprochait également à son adversaire de ne pas être conforme au RGAA alors que la notion « d’accessibilité numérique » serait réservée, selon elle, aux seuls opérateurs qui respectent le RGAA. Or, le tribunal rappelle « l’absence de toute définition juridique des termes « accessibilité numérique » malgré une dizaine de pages consacrées par Koena à cette question, l’usage de ce terme n’étant pas réservé aux seuls opérateurs économiques d’importance assujettis au RGAA ». A noter que ce référentiel n’est imposé qu’à l’Etat, aux collectivités locales et aux entreprises d’une certaine taille. Le tribunal en conclut que le terme « accessibilité numérique » « n’est pas en soi de nature à justifier une tromperie dès lors que la communication n’est pas trompeuse, que ce terme n’est pas réservé aux seuls acteurs d’importance tenus de respecter 106 critères du RGAA, dont le Tribunal rappelle qu’il s’agit d’une liste de bonnes pratiques afin de remplir un objectif d’accessibilité et qu’il ne constitue pas la seule méthode pour y parvenir ».

Par un jugement du 6 octobre 2023 du tribunal judiciaire de Lille, une banque en ligne a été condamnée à réparer le préjudice financier subi par une cliente victime d’une escroquerie en ligne car elle a manqué à son devoir de vigilance, en validant plusieurs ordres de virement sans vérifier les capacités financières et les connaissances de sa cliente pour se dispenser de lui apporter une information. En conséquence, la banque est tenue d’indemniser le préjudice subi, lié à la perte de chance de ne pas avoir conservé les fonds.
En l’espèce, une femme avait été contactée par un pseudo « conseiller » d’une plateforme en ligne spécialisée dans l’acquisition de parts SCPI dénommée « INFOSCPI ». Via son interface en ligne, elle avait donné instruction à sa banque Monobanq de procéder à un virement de 30 000 € au profit d’un compte à la banque Portugaise Banco BPI pour l’ « achat de parts de SCPI ». Le virement a été validé par son conseiller en ligne et deux mois plus tard, la cliente a donné instruction de procéder à un premier virement de 50 000 € au profit d’un compte à la banque Espagnole Banco Sabadell, puis à un second de 40 000 € au profit d’un compte auprès de la banque hongroise Optbank. Informée par l’Autorité des marchés financiers de l’éventualité d’une escroquerie commise à son préjudice, et en l’absence de réponse à ses demandes de restitution de fonds adressées sur la plateforme InfoScpi, celle-ci étant désactivée, la cliente de Monabanq a déposé plainte, mais cette dernière a été classée sans suite. Elle a donc mis en demeure Monabanq de réparer la somme de 120 000 € investie à perte. Après la contestation par la banque de toute violation de son devoir de conseil et de son obligation de vigilance, la cliente l’a assignée devant le tribunal judiciaire de Lille en responsabilité contractuelle et indemnisation du préjudice financier.
Le tribunal commence par rappeler que la banque est tenue à l’égard de ses clients non avertis à un devoir de mise en garde. Par ailleurs, elle doit justifier avoir vérifié les capacités financières et les connaissances de son client pour se dispenser de lui apporter une information spécifique et assurer à son égard son devoir de vigilance. La société Monabanq ne justifiant pas avoir contacté sa cliente au sujet des opérations concernées autrement qu’en exécutant les ordres de virement sollicités, le tribunal estime qu’elle a nécessairement commis un manquement à son devoir de vigilance, sans que la légèreté supposée de la victime n’ait eu un caractère exonérateur de sa propre responsabilité. Il conclut qu’elle doit réparer le préjudice financier, lié à la perte de chance de ne pas avoir conservé les fonds.
En cas de perte de chance, la réparation du dommage ne peut qu’être partielle. Toutefois, si le manquement à un devoir de vigilance ne peut donner lieu qu’à réparation d’une perte de chance, l’indemnisation ne peut être du montant des sommes investies. Monabanq est condamnée à payer 50 % des sommes à titre de réparation de la perte de chance de ne pas investir ses fonds à perte, soit 60 000 € assortie des intérêts au taux légal à compter de ce jour.

Non seulement, on n’est jamais sûr de gagner un procès contre son prestataire informatique, mais la procédure peut coûter bien plus cher que le contrat objet du litige. C’est l’expérience vécue par une société qui a été condamnée à verser 5 000 € à son prestataire, au titre des frais qu’elle a engagés pour se défendre et au dépens, sommes auxquelles s’ajoutent ses propres dépenses de défense. Le contrat portait sur la migration de son site pour un montant inférieur à 8 000 €. Dans son jugement du 4 octobre 2023, le tribunal de commerce a débouté le client de toutes ses demandes.
Une société avait confié à un prestataire la migration d’un site d’e-commerce mutualisé vers un site dédié ainsi que son référencement payant. Mais les performances du site n’ont pas été améliorées et cette migration a entraîné l’endommagement du module et la corruption d’un certain nombre de données qui avait entraîné une détérioration du référencement naturel. Le tribunal a conclu que la lenteur du système n’était pas imputable à Yatéo dont le contrat d’un faible montant ne couvrait pas cet aspect et qui avait proposé sans succès un « audit de lenteur de front ». Le tribunal relève par ailleurs que l’hébergeur avait constaté que les disques n’étaient pas assez performants pour cette activité. Concernant l’endommagement du module et la détérioration du référencement, le tribunal a estimé que ces dysfonctionnements n’étaient pas davantage imputables au prestataire. Ce dernier n’avait pas été investi d’une mission portant sur le référencement naturel. Par ailleurs, le client avait refusé la proposition d’assistance du prestataire. Selon les juges, celui-ci a respecté ses engagements et n’a pas manqué à son obligation d’information et de conseil.

L’ordonnance de référé du 11 août 2023 du tribunal judiciaire de Paris vient préciser, de manière très motivée, le cadre dans lequel les hébergeurs doivent communiquer les données d’identification qu’ils détiennent. L’article 145 du code de procédure civile impose qu’une telle mesure soit légitime et proportionnée au but poursuivi, dans le respect des articles 6 II de la LCEN, L 34-1 du code des postes et des communications électroniques et du décret du 20 octobre 2021. Dans une affaire d’harcèlement sur LinkedIn, le tribunal juge que ces conditions sont remplies.
Dans cette affaire, une cadre d’une société avait été la cible depuis plus d’un an de messages s’en prenant à sa personne ou à son apparence physique, publiés sous pseudonyme, sur son compte professionnel LinkedIn, en mode public, en commentaire de ses publications, ou en mode privé. Elle avait donc sollicité le tribunal pour qu’il ordonne à LinkedIn de livrer les données permettant d’identifier les titulaires des comptes à l’origine de ces messages. Cette requête avait été rejetée au motif qu’il ne pouvait pas être fait exception au principe du contradictoire. Elle a donc assigné LinkedIn en référé pour obtenir ces données.
Sur le motif légitime invoqué, le tribunal rappelle qu’« il ne s’agit pas ici de vérifier si le délit invoqué est constitué mais d’apprécier si l’action pénale pour les besoins de laquelle la mesure d’instruction est sollicitée sur le fondement de l’article 145 du code de procédure civile est, ou pas, manifestement vouée à l’échec ». Après analyse des douze messages malveillants envers une personne en un an, le tribunal a estimé que ces éléments étaient crédibles et démontraient que le litige potentiel n’était manifestement pas voué à l’échec. Le tribunal a conclu que la victime de cyberharcèlement « justifie d’un motif légitime, l’identification de la personne ou des personnes à l’origine des messages qu’elle dénonce étant le préalable nécessaire à l’engagement d’une procédure pénale sur citation directe, le fait que d’autres voies procédurales s’offrent à elle pour agir sur le plan pénal n’affectant en rien la légitimité de sa démarche ». Le tribunal a par ailleurs considéré que LinkedIn, hébergeur des messages tant publics que privés, devait communiquer les données d’identification des titulaires des comptes à l’origine des messages pouvant être qualifiés de cyberharcèlement, prévu au titre de l’article 222-333-2-2 du code pénal. S’agissant d’une infraction punie d’une peine maximale de deux ans de prison, le tribunal a considéré que la communication des données était proportionnée à l’atteinte alléguée. « Outre qu’elle est légalement admissible, cette mesure apparaît proportionnée aux intérêts antinomiques en présence, le droit de la preuve de la demanderesse, exercé pour la défense d’un droit en justice ne portant pas une atteinte disproportionnée au droit à la vie privée de la ou des personnes dont les données d’identification lui seraient communiquées en vue d’un usage procédural licite ».

La Cour d’appel d’Angers a confirmé la condamnation d’un praticien hospitalier pharmacien des hôpitaux pour injure publique envers un fonctionnaire en raison des écrits qu’il a publiés sur son blog sur les modalités de mise en œuvre de l’obligation vaccinale dans l’hôpital où il travaille. Par un jugement du 24 avril 2022, le tribunal judiciaire d’Angers lui avait infligé une peine d’amende avec sursis de 900 €. Il lui avait en outre ordonné de supprimer le passage litigieux, sous astreinte de 150 € par jour de retard et de verser 1 € symbolique, et 2 000 € au titre des frais engagés, aux deux personnes visées par ses propos.
Ce pharmacien des hôpitaux du centre hospitalier de Cholet avait publié un article contre une note de la direction qu’il avait intitulé : « Vers la mort des professionnels de santé « non vaccinés » contre la Covid-19 » sur le blog du Centre territorial d’information indépendante et d’avis pharmaceutique. Dans son texte, il évoquait un écrit d’un professeur de droit sur le jugement de vingt médecins et trois fonctionnaires nazis, accusés de crimes de guerre et contre l’humanité, lors du procès de Nuremberg. L’article du blog visait deux fonctionnaires de Cholet, l’un censé représenter la direction, l’autre étant DRH et avait assimilé leur comportement à ceux des nazis. Ces derniers avaient réagi en assignant le praticien hospitalier pour injures envers un fonctionnaire. Le pharmacien avait contesté l’incrimination d’injure publique, objectant qu’il voulait faire un parallèle avec le code Nuremberg et le consentement libre et éclairé du patient.
La cour a maintenu l’incrimination d’injure publique. Elle a jugé que le prévenu avait bien procédé à une comparaison entre les personnes incriminées et des fonctionnaires nazis. Par ailleurs, elle constate qu’il y a bien eu injure publique dès lors que les propos ne renfermaient l’imputation d’aucun faits précis et n’avaient pas non plus pour objet de prêter à une personne un fait qu’il n’aurait pas commis. Comme le tribunal, la cour a également rejeté l’incrimination de diffamation invoquée par le prévenu. La cour a aussi exclu l’argument tenant à l’atteinte à la liberté d’expression, du fait de l’absence de caractère d’intérêt général du débat. Dans cet article, le prévenu critiquait une note interne d’un hôpital sur la mise en œuvre de textes contraignants et non l’obligation vaccinale générale des soignants telle qu’imposée par ces textes.

Comme dans une affaire similaire jugée par la cour d’appel de Paris, le tribunal de commerce de Toulouse confirme, par un jugement du 19 septembre 2023, le système de reversement entre opérateurs et éditeurs de services en ligne, lorsque les reversements sont calculés à partir de relevés de trafic téléphonique dirigés vers des numéros SVA (Services à valeur ajoutée). Mais il déboute le prestataire de services de numéros surtaxés qui se voit refuser les reversements en expliquant que « la notion même de reversement implique qu’un versement initial ait été effectué. L’obligation de restitution ne saurait exister que pour autant qu’une somme susceptible d’être reversée ait été payée ».
Dans cette affaire de retenue en cascade, le tribunal a appliqué les contrats concernant la réclamation d’un reversement calculé sur la base des relevés de trafic téléphonique liés à des numéros à coûts partagés. Du fournisseur de services lié à un numéro surtaxé à l’opérateur d’interconnexion Orange, cinq sociétés interviennent dans cette chaîne contractuelle. Et quand un grain de sable surgit, c’est toute la chaîne qui est impactée. En l’espèce, Orange a contesté les sommes de 198 217 € à verser à SFR, opérateur d’interconnexion, concernant des numéros SVA en raison d’appels « roamers out », à savoir d’appels passés par des abonnés français depuis l’étranger, exclus du contrat entre Orange et SFR. Ce dernier n’a pas contesté les faits et a émis un avoir de cette somme. Il a informé Digital Virgo, opérateur intermédiaire, de l’existence d’une retenue en cascade de la part d’Orange et a opéré la même retenue sur les sommes à reverser, complétée par un avoir de plus de 40 000 €, portant sur la retenue globale de 198 217 €. Elle a fait valoir leur contrat qui exclut aussi le trafic en provenance de l’étranger. Digital Virgo n’a pas contesté la retenue en cascade et en a informé Tel-On, l’opérateur d’arrivée qui met à disposition des numéros surtaxés, dont le contrat qui les lie exclut également le trafic de l’étranger. Et enfin, Tel-On a suspendu le paiement des factures de 90 486 € de MCG Multimedia, suite aux retenues en cascade d’Orange opérées par Digital Virgo, en vertu du contrat qui lie Tel-On à MCG Multimedia. Ce que cette dernière a contesté en assignant Tel-On en justice.

Un prestataire de maintenance informatique a-t-il des droits sur les développements de logiciels effectués pour un client dans le cadre d’un contrat de maintenance évolutive et corrective ? Le tribunal judiciaire de Paris y répond en se demandant si le développement en question était original, condition de la protection par le droit d’auteur. Par une ordonnance de référé du 20 juillet 2023, le tribunal a rejeté les revendications du mainteneur car il n’a pas démontré « en quoi ses contributions au logiciel s’écartaient d’une simple réparation des erreurs, d’améliorations ponctuelles ou de mises à jour demandées par son client ». Et il en a conclu que « l’existence d’une œuvre protégée par le droit d’auteur et la contrefaçon de celle-ci n’est pas suffisamment vraisemblable pour caractériser un trouble manifestement illicite au sens de l’article 835 du code de procédure civile ».
En 2010, la société Siedi, aujourd’hui Colas digital solutions, a conclu avec la société AG2L Développement un partenariat pour la mise au point, la distribution et la maintenance d’un logiciel de gestion dénommé Zephyr, comportant une clause de cession des droits de propriété intellectuelle du logiciel à Siedi. À partir de 2013, AG2L a réalisé des développements sur ce logiciel pour le compte de Siedi. En 2018, par un contrat de « tierce maintenance applicative Zephyr », AG2L a effectué des développements de maintenance évolutive et corrective. Le contrat a pris fin le 1er janvier 2022 mais AG2L a continué d’intervenir dans l’année dans le cadre de commandes de maintenance ponctuelles. Puis les parties ont ouvert des discussions pour un nouveau contrat de maintenance, au cours desquelles AG2L a revendiqué des droits de propriété intellectuelle sur le logiciel Zephyr. Colas a contesté ces revendications en rappelant la clause de cession du contrat de 2010 et le fait que les prestations effectuées dans le cadre du contrat de maintenance n’avaient pas donné lieu à une réalisation distincte du logiciel existant, ni à une œuvre de l’esprit s’écartant d’une logique automatique et contraignante, raisonnement qui a été approuvé par le tribunal.