Le Privacy Shield invalidé par la Cour de justice de l’Union européenne

Privacy Shield invalidé

L’accord sur le transfert de données personnelles entre l’Union européenne et les Etats-Unis adopté en juillet 2016, vient d’être annulé par la CJUE (1).

Pour rappel, cet accord ou plutôt cette « décision d’adéquation » visait à reconnaître, aux mécanismes EU–US Privacy Shield bouclier de protection des données »), le niveau de protection essentiellement équivalent aux exigences européennes (2) ; l’idée étant de :

  • permettre aux entreprises européennes de bénéficier d’un fondement pour justifier les transferts de données vers les États-Unis,
  • sans passer par les mécanismes de clauses contractuelles types ou autres règles contraignantes d’entreprise posées par l’Union européenne à travers le RGPD pour autoriser de tels transferts.

Pour bénéficier de la décision d’adéquation, les entreprises américaines devaient donc « s’auto-certifier ». La démarche consistait à s’engager auprès du département du commerce des États-Unis, à respecter :

  • un ensemble de règles et
  • de garanties en matière de protection des données personnelles.

Le Privacy Shield vs RGPD

Le bouclier de protection des données faisait partie des différents outils permettant de transférer des données personnelles vers les États-Unis ; aux côtés des autres solutions telles que les clauses contractuelles types ou les règles d’entreprise contraignantes. 

Le Privacy Shield avait été attaqué dès son adoption, par le militant autrichien de la vie privée Max Schrems. Ce dernier avait déjà obtenu l‘annulation du « Safe Harbor » américain en 2015 (3).

La CJUE vient d’invalider l’adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis, « au regard des exigences découlant du RGPD, lu à la lumière des dispositions de la Charte garantissant le respect de la vie privée et familiale, la protection des données à caractère personnel et le droit à une protection juridictionnelle effective » (4).

Les « clauses contractuelles » demeurent légales en matière de transfert de données

En revanche, la Cour valide une autre décision de la Commission européenne, sur la légalité des « clauses contractuelles » en matière de transfert de données (5).

Selon la CJUE, cette décision reste valide par le seul fait que « les clauses types de protection des données qu’elle prévoit ne lient pas les autorités de ces pays tiers », en raison de leur caractère contractuel.

En revanche, précise-t-elle, cette validité dépend « du point de savoir si, conformément à l’exigence résultant de l’article 46, paragraphe 1, et de l’article 46, paragraphe 2, sous c), du RGPD, (…), une telle décision comporte des mécanismes effectifs permettant, en pratique, d’assurer que le niveau de protection requis par le droit de l’Union soit respecté et que les transferts de données à caractère personnel, fondés sur de telles clauses, soient suspendus ou interdits en cas de violation de ces clauses ou d’impossibilité de les honorer ». 

La Cour constate que la décision 2010/87 met en place de tels mécanismes.

Isabelle Pottier
Lexing Département Etudes et publications

(1) CJUE affaire C‑311/18 du 16-07-2020, dit « Schrems II ».
(2) Décision d’exécution (UE) 2016/1250, du 12-07-2016.
(3) CJUE affaire C-362/14 du 06-10-2015, Schrems.
(4) Communiqué de presse CJUE n° 91/20 du 16-07-2020.
(5) Décision CE 2010/87 du 5 février 2010.




Vente en ligne : loi applicable aux CGV et aux données

Vente en ligne : loi applicable aux CGV et aux données

Un site peut-il imposer comme loi applicable une loi moins favorable que celle du pays de résidence du consommateur ?

La Cour de Justice de l’Union européenne a rendu le 28 juillet 2016 une décision à l’encontre d’un géant de la vente en ligne.

Société luxembourgeoise, site internet allemand et association de consommateurs autrichienne

C’est une association de consommateurs autrichienne qui a intenté une action en cessation contre Amazon EU, société de droit luxembourgeois. Le motif: les conditions générales de vente du site de e-commerce seraient abusives.

La juridiction du premier degré rend une décision partiellement favorable à l’association de consommateurs. Celle-ci décide, tout comme le site de vente en ligne, d’interjeter appel.

La juridiction d’appel juge que la loi applicable doit être déterminée en application du règlement Rome I sur la loi applicable aux obligations contractuelles (1).

En l’espèce, les clauses seraient à analyser, d’abord, au regard du droit luxembourgeois, puis, au regard du droit autrichien pour établir les dispositions les plus favorables.

La procédure arrive devant la Haute juridiction autrichienne.

Celle-ci sursoit à statuer. Et pose plusieurs questions préjudicielles à la CJUE. Sur la loi applicable à l’action, à la détermination du caractère abusif des clauses et au traitement des données personnelles.

La CJUE, par cette décision, apporte trois clarifications au droit positif.

Détermination de la loi applicable à l’action en cessation et à la détermination du caractère abusif des clauses

Tout d’abord, se pose une question d’interprétation. Plus précisément, celle des règlements Rome I et Rome II pour déterminer la loi applicable à l’action en cessation (au sens de la directive 2009/22) dirigée contre les clauses contractuelles, prétendument illicites, imposées par une entreprise établie dans un Etat membre qui conclut des contrats par voie de commerce électronique avec des consommateurs qui résident dans d’autres Etats membres.

L’action en cessation est une action délictuelle ou quasi-délictuelle au sens du règlement Bruxelles I (2).

Dans une logique de cohérence, cette interprétation s’applique aussi aux règlements Rome I (obligations contractuelles) et Rome II (obligations non-contractuelles), nous apprend la Cour.

Lorsque l’action en cessation porte sur des clauses abusives, qui relèvent du régime de la concurrence déloyale, on appliquera la loi du lieu où est situé l’intérêt collectif.

Ainsi, la loi d’application de l’action en cessation est déterminée par le règlement Rome II sur les obligations non-contractuelles (3).

La loi applicable à l’examen du caractère abusif des clauses est déterminée selon la nature même de ces clauses.

Le rattachement autonome des clauses garantit, d’après la Cour, que le droit applicable ne varie pas en fonction du type d’action. Qu’il s’agisse d’actions  individuelles ou par un groupe de consommateurs, etc.

Ce rattachement autonome permet de lutter contre les clauses abusives; Et ce faisant, de limiter le risque d’incohérence des décisions.

Détermination du caractère abusif des clauses

Ensuite, la Cour se penche sur la question de savoir si, des clauses de Conditions générales de vente (« CGV ») d’un contrat conclu par voir électronique entre un professionnel et un consommateur, qui imposent comme loi du contrat celle de l’Etat membre où est le siège du professionnel, sont abusives.

La Cour rappelle que lorsqu’une clause n’a pas fait l’objet d’une négociation individuelle (ce qui est systématiquement le cas en matière de vente en ligne), cette clause est considérée abusive lorsqu’elle crée un déséquilibre significatif entre les droits et obligations des parties, au détriment du consommateur.

Le caractère abusif d’une clause est déterminé par un examen au cas par cas de chaque clause. En plus des critères de bonne foi, d’équilibre et de transparence, il faut prendre en compte « toutes les circonstances pertinentes, y compris la nature des biens » (4) ou services contractés.

La Cour reconnait qu’il appartient à la juridiction nationale de se prononcer. Cela ne l’empêche toutefois pas d’entamer une analyse.

Ainsi, la Cour estime qu’une clause, qui figure dans les CGV d’un professionnel et qui n’a pas fait l’objet de négociation individuelle, qui détermine la loi applicable au contrat conclu par voie électronique est la loi de l’Etat membre du siège du professionnel, est abusive si cette clause induit le « consommateur en erreur en lui donnant l’impression que seule la loi de cet Etat membre s’applique au contrat » (5) sans informer le consommateur qu’il bénéficie également des dispositions impératives du droit national qui serait applicable en l’absence de cette clause.

Après avoir démêlé le droit, la Cour renvoie la décision factuelle aux juridictions autrichiennes.

Détermination de la loi applicable au traitement des données personnelles

Enfin, la Cour répond à la question de savoir si, lorsqu’un traitement de données à caractère personnel est mis en place par une entreprise de commerce électronique, la loi applicable au traitement est celle de l’Etat membre vers lequel l’entreprise dirige ses activités.

L’application de l’article 4 de la directive sur les données personnelles conduit à l’application de la loi de l’Etat membre dans lequel un établissement effectue un traitement de données dans le cadre de ses activités (6).

Pour la Cour, le fait qu’un consommateur autrichien puisse accéder au site internet d’un professionnel établi dans un autre pays membre ne permet pas d’établir l’existence d’un établissement.

Dès lors, il convient d’évaluer si Amazon EU procède au traitement dans le cadre des activités d’un établissement hors du Luxembourg.

Cette évaluation reviendra aux juridictions autrichiennes.

En conclusion, cette décision renforce la protection du consommateur en ce qu’il doit être informé des dispositions impératives du lieu de sa résidence habituelle. Elle permet encore d’appréhender avec plus de précision la loi applicable au traitement, en fonction de l’existence d’un établissement.

Lexing Alain Bensoussan Selas
Lexing Publicité et marketing électronique

(1) Règl. CE 593/2008 du 17-6-2008
(2) Règl. CE 44/2001 du 22-12-2000
(3) Règl. 864/2007 du 11-72007
(4) CJUE 28-7-016 C-191/15 n°63
(5) CJUE 28-7-016 C-191/15 n°71
(6) Dir. 95/45/CE du 24-10-1995




Usage de marque et contrefaçon : retour sur une notion

Usage de marque et contrefaçon : retour sur une notionLa Cour de justice de l’Union européenne a récemment apporté des précisions quant à la notion d’ usage de marque (1).

L’affaire portée devant la Cour opposait le fabricant de véhicules automobiles Daimler AG, titulaire de la marque internationale MERCEDES-BENZ, déposée notamment pour les automobiles et accessoires d’automobiles, à une société de garage automobile, réparateur agréé Daimler de 2007 à 2012.

Durant cette période, la convention de service après-vente autorisait le réparateur à faire usage de la marque MERCEDES-BENZ et de la mention « réparateur Mercedez-Benz agréé » dans sa publicité.

Dans ce cadre, celui-ci avait eu recours à un service d’annonces en ligne et fait publier une annonce publicitaire contenant la mention précitée.

Cette annonce avait été reprise et diffusée sur d’autres sites internet d’annonces en ligne sans son consentement.

A la suite de la résiliation de la convention de service après-vente, le réparateur avait sollicité la modification de l’annonce publicitaire, ainsi que la suppression des annonces en ligne diffusées sans son consentement.

Malgré les démarches entreprises, les annonces publicitaires ont continué à être diffusées sur internet et référencées sur les moteurs de recherche, conduisant la société Daimler AG à assigner l’ancien réparateur agréé sur le fondement de la contrefaçon de marque.

Usage de marque par un tiers

Dans ce cadre, la Fővárosi Törvényszék (juridiction hongroise saisie du litige) demande à la CJUE d’interpréter l’article 5, paragraphe 1, de la directive 2008/95.

Cet article permet au titulaire d’une marque d’interdire l’usage dans la vie des affaires par un tiers, sans son consentement, d’un signe identique à la marque pour des produits ou services identiques à ceux visés par la marque, ou d’un signe identique ou similaire pour des produits ou services identiques ou similaires dès lors qu’il existe un risque de confusion dans l’esprit du public.

La question posée à la Cour de justice est de savoir si le tiers mentionné dans une annonce publiée sur un site internet contenant un signe identique ou similaire à une marque, pour des produits ou services identiques ou similaires à ceux visés par cette marque, de manière à créer un risque de confusion ou à laisser penser qu’il existe une relation commerciale entre lui et le titulaire de la marque, faisait usage de cette marque alors que l’annonce n’a pas été placée par le tiers ou en son nom ou que celui-ci a fait en vain tout ce qu’on pouvait attendre de lui pour la faire supprimer.

Acte purement matériel et condition de la contrefaçon

Est donc visé, dans l’affaire soumise à la Cour, l’usage de marque entendu comme acte purement matériel et condition de la contrefaçon.

A ce titre, l’article 5, paragraphe 3 de la directive 2008/95 vise, de manière non exhaustive, l’apposition du signe sur des produits ou leur conditionnement, la commercialisation de produits ou l’offre de services sous le signe, l’importation et l’exportation de produits sous le signe, et l’utilisation du signe dans les papiers d’affaires et la publicité.

A cet égard, la CJUE a déjà jugé que la reproduction d’une marque par un tiers, sans consentement de son titulaire, au sein d’annonces publicitaires dans le contexte de ses activités commerciales, constitue un usage de marque au sens de l’article 5, paragraphe 1 de la directive 2008/95 et est susceptible de revêtir la qualification d’acte de contrefaçon, sous réserve de l’épuisement du droit conféré par la marque (2).

Usage de marque à titre publicitaire

A également été jugé que l’exploitant du site internet d’annonces en ligne diffusant à la demande d’un tiers, une annonce publicitaire mentionnant une marque sans autorisation de son titulaire, n’effectue pas un usage de marque au sens de l’article 5, paragraphe 1 de la directive 2008/95 (3) .

Dans cette décision, la CJUE a en effet opéré une distinction, concernant le référencement payant sur internet, entre :

  • les prestataires de services de référencement, à savoir les moteurs de recherche permettant aux annonceurs de sélectionner des signes identiques à des marques en tant que mots-clés, stockent ces signes et diffusent les annonces de leurs clients, mais n’effectuent pas lui-même un usage à titre de marque et bénéficient du régime de responsabilité allégé des hébergeurs (4) ;
  • les annonceurs qui réservent à titre de mots-clés des signes identiques à la marque d’un tiers afin de déclencher l’affichage d’un lien publicitaire vers leur propre site, effectuant ainsi un usage à titre de marque.

Or, dans l’affaire portée devant la Cour, la situation est tout à fait particulière : si l’annonceur a effectivement commandé l’annonce litigieuse auprès de l’exploitant du site internet, ce dernier a ensuite continué à la diffuser malgré la demande de suppression de l’annonceur.

Conditions cumulatives à l’usage de marque

Face à ce constat et au regard de l’article 5 paragraphes 1 et 3 de la directive 2008/95, la Cour entend poser deux conditions cumulatives à l’usage illicite de marque :

  • un comportement actif de la part du tiers, tel que l’apposition du signe sur des produits ou leur conditionnement, ou son utilisation dans la publicité ;
  • une maîtrise directe ou indirecte de l’acte constituant l’usage, ce qui n’est pas le cas d’un acte effectué par un opérateur indépendant sans le consentement de l’annonceur, voire contre la volonté expresse de celui-ci.

La Cour observe, sur ce deuxième point, que l’article 5 paragraphe 1 de la directive 2008/95 a pour finalité de permettre au titulaire d’interdire et de faire cesser tout usage de sa marque réalisé par un tiers sans son consentement.

Or cet objectif ne peut être atteint dès lors que le tiers n’a pas de maîtrise, qu’elle soit directe ou indirecte, de l’acte constituant l’usage, de sorte qu’il lui est impossible de se conformer à cette interdiction.

Dans ces conditions, la Cour considère que le tiers ne peut être responsable des actes ou des omissions du prestataire d’annonces en ligne qui, délibérément ou par négligence, passe outre les instructions expresses données par ledit tiers visant à éviter l’usage de la marque.

La solution semble logique : un tiers ne devrait pas engager sa responsabilité pour des actes de contrefaçon commis indépendamment de sa volonté et qu’il n’a pas la possibilité de faire cesser.

Usage de marque au niveau national

Reste à savoir comment cette décision de la CJUE sera reçue par les juridictions nationales, s’agissant des démarches devant être entreprises par le tiers en vue de la suppression de l’annonce litigieuse ou de la mention de la marque y figurant, et de l’appréciation du caractère vain de ces démarches ou de l’impossibilité, pour le tiers, de faire cesser l’usage de marque litigieux.

Une telle appréciation sera très certainement chose délicate pour les juridictions nationales, compte tenu du particularisme de chaque affaire.

En outre, on peut se demander si l’usage de marque serait caractérisé, et partant, la contrefaçon retenue vis-à-vis d’un tiers au comportement inactif, n’étant pas à l’origine des actes de contrefaçon allégués, qui en bénéficierait et n’effectuerait aucune démarche afin de faire cesser ces actes.

Par ailleurs, la Cour rappelle, sous réserve que le droit national des Etats membres le prévoit, que le titulaire de la marque conserve la possibilité de réclamer au tiers la restitution de l’avantage économique dont il a pu bénéficier grâce à la diffusion de l’annonce litigieuse, et renvoie, pour cela, au droit national des Etats membres.

Usage de marque et référencement

La CJUE rappelle également que le titulaire de la marque aura la possibilité d’agir à l’encontre des sites Internet de référencement ayant continué de diffuser l’annonce litigieuse, malgré la demande du tiers de supprimer celle-ci ou la mention de la marque y figurant.

Le titulaire de la marque pourra, en effet, engager la responsabilité du prestataire d’annonces en ligne en qualité d’hébergeur, dans la mesure où il aura eu connaissance du caractère illicite ou de faits et circonstances faisant apparaître le caractère illicite de l’annonce diffusée, ou qu’il n’aura pas, dès le moment où il en aura eu cette connaissance, agi promptement pour retirer cette annonce ou en rendre l’accès impossible (5).

A cet égard, la connaissance du caractère illicite de l’annonce sera présumée acquise par l’hébergeur dès lors que l’annonceur ou le titulaire de la marque lui aura adressé une notification LCEN conforme aux exigences du droit national de l’Etat membre et, pour la France, aux dispositions de l’article 6.I-5 de la LCEN (6).

Virginie Brunot
Justine Ribaucourt
Lexing Droit Propriété industrielle

(1) CJUE, 3-3-2016, Aff. C-179/15, Daimler AG c. Együd Garage Gépjárműjavító és Értékesítő Kft.
(2) CJCE, 23-2-1999, Aff. C-63/97, BMW et BMW Nederland BV c/ Ronald Karel Deenik, pt. 42-45.
(3) CJUE, 23-3-2010, Google France et Google, aff. C-236/08 à C-238/08, pt. 51-52.
(4) Dir. 2000/31/CE du 8-6-2000, art. 14.
(5) Dir. 2000/31/CE du 8-6-2000, art. 14 ; Loi 2004-575 du 21-6-2004, art. 6, I, al. 2 et 3.
(6) Loi 2004-575 du 21-6-2004, art. 6, I, al. 5.