Responsabilité civile des fournisseurs de services Internet

Dans son rapport intitulé «Cadre juridique pour les médias sociaux»  publié à l’automne 2013, le Conseil fédéral confirmait que le droit suisse ne présente pas de lacunes importantes et rappelle que même s’il n’y a pas une loi particulière pour les réseaux sociaux ou Internet, il ne s’agit pas d’une zone de non-droit. Parmi les questions ouvertes, il y avait celle de la responsabilité civile des intermédiaires, en particulier des fournisseurs de services qui permettent l’accès à un réseau et à des contenus. Encore une fois, le Conseil fédéral est arrivé à la conclusion qu’il n’est pas nécessaire, dans les conditions actuelles, d’édicter des dispositions de portée générale sur la responsabilité des fournisseurs.

Distinguer cessation d’une atteinte et responsabilité pour le dommage
Le Rapport du Conseil fédéral du 11 décembre 2015 sur la responsabilité civile des fournisseurs de services Internet dresse un panorama assez complet des dispositions légales applicables en distinguant les actions défensives (prévention et cessation d’une atteinte) des actions en réparation (paiement d’un dommage intérêt y compris tort-moral et remise de gain) dans les domaines de la protection de la personnalité, de la protection des données, de la concurrence déloyale et de la propriété intellectuelle. Une partie importante est consacrée au droit étranger, en particulier avec un avis de droit de l’Institut suisse de droit comparé consacré à la situation en Allemagne, France, Danemark, Royaume-Uni et États-Unis d’Amérique.

Le rapport présente un état de la situation et n’apporte malheureusement guère de réponses lorsque la doctrine est partagée. Ce sera bien aux tribunaux de trancher, même si l’on constate qu’il y a encore peu de jurisprudence. Les affaires les plus importantes ont d’ailleurs déjà été abordées sur ce blog comme l’arrêt «Tribune de Genève» du Tribunal fédéral, l’arrêt jurassien «Google Suggest» ou l’arrêt «Delfi» de la Cour européenne des droits de l’Homme.

Le Conseil fédéral considère que le droit en vigueur fournit d’ores et déjà aux tribunaux les instruments nécessaires pour écarter une légitimation passive dans le cas où la participation à l’atteinte n’est pas dans un lien de causalité adéquate, ce qui serait selon lui le cas pour les fournisseurs d’accès. Ce dernier point est à mon avis discutable.

Des mesures spécifiques seront examinées dans le cadre de la révision du droit d’auteur et une mesure de blocage est aussi prévue dans le projet de loi fédérale sur les jeux d’argent pour les offres de jeux d’argent enregistrées à l’étranger.

S’agissant de la responsabilité à l’égard des contenus mis en ligne, le critère déterminant est celui de la proximité du fournisseur avec le contenu. Un manque de diligence ne devrait être reproché au fournisseur d’hébergement que s’il est resté inactif après avoir reçu des indications précises d’une violation flagrante du droit et s’il n’a pas pris les mesures que l’on pouvait attendre de lui. Si le fournisseur n’a reçu aucune indication, une obligation spontanée ne devrait être retenue que pour les fournisseurs proches du contenu, comme les portails d’actualités ou les hébergeurs de forums et de blogs, et si des atteintes paraissent probables compte tenu des circonstances particulières.

Droit à connaître l’identité de l’auteur
Contrairement à la procédure pénale où une procédure peut être ouverte contre inconnu, cette possibilité n’existe pas en droit civil, d’où l’intérêt de pouvoir faire cesser toute atteinte par un participant même s’il n’en est pas l’auteur ou le responsable. Lorsque la commission par Internet d’un acte punissable est suspectée, les autorités de poursuites pénales ont la possibilité d’obtenir des fournisseurs de services de télécommunication et des fournisseurs de services de communication dérivés toute indication permettant d’identifier son auteur.

L’utilisation de la procédure pénale dans le seul but de bénéficier de la levée du secret des télécommunications pour connaître l’auteur de l’infraction en vue d’une procédure civile a été considéré comme un abus de droit dans les affaires Logistep. Le Conseil fédéral ne propose cependant pas de solution générale pour résoudre ce problème considérant qu’il n’est pas propre aux infractions commises sur Internet. S’agissant du droit d’auteur, des mesures seront étudiées séparément.

Un domaine ou un site web ne peut pas être séquestré

Dans un arrêt non publié (1B_294/2014), le Tribunal fédéral a refusé le séquestre d’un domaine Internet. Pour le tribunal cantonal valaisan, le blocage était comparable à une destruction au sens de l’art. 69 al. 2 CP, comme le pensaient plusieurs autres tribunaux cantonaux.

Pour le Tribunal fédéral, le blocage ne constitue pas une destruction d’un objet dangereux comme le permet l’art. 69 al. 2 CP, mais c’est la cessation immédiate d’un comportement (à savoir la publication d’opinions sur un site web). De plus, la destruction au sens de l’art. 69 al. 2 CP est une sanction pénale qui ne peut être ordonnée que par un juge de première instance dans un jugement pénal (art. 69 al. 2 CP) et non au stade de l’instruction.

Pas de confiscation d’un site web
La mesure étant disproportionnée, le Tribunal fédéral renvoie la cause sans trancher la question essentielle de savoir si des pages web peuvent être considérés comme des objets dangereux ou des instruments délictuels pouvant faire l’objet d’une confiscation sur la base de l’art. 69 al. 1 CP.

Le Tribunal fédéral exclut néanmoins implicitement la confiscation d’un site web ou de son accès, dès lors qu’il considère que le blocage correspond à la cessation d’un comportement.

A la demande de la revue juridique Medialex, j’ai commenté cette décision avec Nicolas Guyot dans l’édition 7/8 2015.

Le séquestre de courriers électroniques chez le fournisseurs de télécommunications

Pour le tribunal fédéral (ATF 140 IV 181), les courriels qu’un prévenu a relevés sur le serveur du fournisseur de service de télécommunication peuvent être séquestrés chez le fournisseur, alors que ceux qui n’ont pas encore été relevés peuvent faire l’objet d’une surveillance en temps réel. Le secret de la correspondance disparaît dès que les courriels sont relevés, même s’ils restent accessibles sur le serveur et qu’ils n’ont pas été lus.

Séquestre ou surveillance de la correspondance ?
Un homme est accusé de meurtre et sa correspondance électronique contient des éléments nécessaires à l’enquête. La question qui se pose est de savoir quelle mesure (et donc quelles conditions) s’applique dans ce cas. De manière générale, lorsqu’une autorité pénale souhaite accéder à la correspondance électronique d’un prévenu, trois possibilités s’offrent à elle :

  • Le séquestre (263 CPP), qui permet de saisir les objets et valeurs patrimoniales appartenant au prévenu ou à des tiers lorsqu’il est probable qu’ils seront utilisés comme moyens de preuves. S’ils sont détenus par un tiers, ce dernier est soumis à une obligation de dépôt. Le prévenu est informé du séquestre par une ordonnance du ministère public.
  • La surveillance en temps réel (269 CPP) des télécommunications qui peut être ordonnée par le ministère public lorsque de graves soupçons laissent présumer qu’une infraction contenue dans la liste de l’art. 269. al. 2 CPP a été commise et que cette mesure est proportionnée. Elle doit être autorisée par le tribunal des mesures de contraintes. Cette mesure est secrète mais le prévenu peut ensuite la contester dans les 10 jours suivant son information. La surveillance porte sur le contenu et les données accessoires.
  • La surveillance rétroactive (273 CPP) qui se limite aux données relatives au trafic et à la facturation et identification des usagers (données accessoires). Elle peut être ordonnée par le ministère public lorsque de graves soupçons laissent présumer qu’un crime, un délit ou une contravention au sens de l’art. 179septies CP a été commis et que cette mesure est proportionnée. Elle doit être autorisée par le tribunal des mesures de contraintes. Cette mesure est secrète mais le prévenu peut ensuite la contester dans les 10 jours suivant son information. Il n’y a pas de surveillance rétroactive du contenu des courriels et les données accessoires peuvent être demandées avec effet rétroactif sur une période de six mois au plus.

Les limites du secret des télécommunications
La sphère privée de l’utilisateur est protégée par le secret des télécommunications qui s’applique durant le processus de communication. Ainsi un courrier postal est protégé pendant l’envoi, mais plus une fois qu’il est remis à son destinataire. On considère qu’il y a remise également lors du dépôt dans la boîte aux lettres du destinataire puisque l’on est dans sa sphère de maîtrise et que le fournisseur n’y a plus accès. Dans le cas d’une case postale, la maîtrise est partagée et le secret se prolonge jusqu’à ce que le destinataire accède à la case. Pour que l’autorité puisse obtenir le courrier qui est dans la boîte aux lettres (ou dans la case postale si le destinataire l’a ouverte et a choisi de l’y laisser), on appliquera les règles du séquestre, alors que pour le courrier dans la case non ouverte, ce sera celles de la surveillance de la correspondance (en temps réel).

Critique
L’analogie avec la case postale a ses limites en raison de l’ubiquité des données électroniques. Premièrement, relever un courriel ne signifie pas, selon le protocole utilisé, qu’il n’est plus sur le serveur. Le protocole POP3 généralement se connecte au serveur de messagerie, récupère le message et l’efface du serveur. En revanche, le protocole IMAP laisse les courriels sur le serveur dans le but de pouvoir les consulter de différents clients de messagerie. Pour le TF, celui qui utilise le protocole IMAP, pourtant très répandu car il permet d’accéder à sa messagerie depuis un téléphone et un ordinateur par exemple, renonce de fait à la protection du secret de la correspondance pour tous les messages qu’il a reçu.

Deuxièmement, lorsqu’un message est partiellement téléchargé, par exemple lorsqu’il est automatiquement poussé («push») sur un téléphone portable mais que seuls l’expéditeur et l’objet sont affichés (le corps du message étant encore exclusivement sur le serveur), le TF considérera-t-il qu’il est déjà entièrement dans la sphère du destinataire ?

Troisièmement, le TF retient que la consultation des messages déposés (mais pas encore relevés) dans la boîte électronique est une surveillance en temps réel et non rétroactive (ce qui permet l’accès au contenu). Sachant que les messages peuvent avoir été déposés plusieurs semaines auparavant, on peut se demander si l’on n’aurait pas déjà dû considérer que ce qui est arrivé dans la boîte est soumis à une surveillance rétroactive.

A mon avis, il aurait certainement été plus simple de considérer que toute acquisition directement chez le fournisseur est une surveillance des télécommunications, par opposition à l’acquisition chez le prévenu qui serait un séquestre. Cela éviterait aussi au ministère public de devoir savoir à l’avance si le prévenu a déjà relevé ou non un message qu’il souhaite obtenir et au fournisseur de séparer les messages sur le serveur qui ont déjà été relevés de ceux qui ne l’ont pas été (ce qui est une question indépendante de savoir s’ils sont marqués comme lus ou non lus!). Aux Etats-Unis, le Stored Communications Act prévoit un régime différent selon que les messages ont plus ou moins 180 jours, ce qui offre au moins un critère objectif.

Rapport 2014-2015 du Préposé fédéral à la protection des données et à la transparence

Le Préposé fédéral à la protection des données et à la transparence Hanspeter Thür a présenté au mois de juin son dernier rapport annuel 2014/2015 dont la densité démontre à elle seule l’étendue des questions à traiter. Contrairement aux années précédentes, le ton est moins consensuel et rappelle les violations fréquentes des principes fondamentaux de la protection de la sphère privée, soulignant le «monopole néo-féodal de Google, Facebook, Amazon et consorts», le besoin d’un débat social profond quant à une «stratégie de la société numérique» et le caractère «quelque peu préoccupant» du «“Patriot Act” suisse».

Le numéro AVS (NAVS13)
Le PFPDT avait déjà fait part de ses inquiétudes l’année dernière, en particulier du fait que son utilisation dans des domaines sans lien avec les assurances sociales permet de dresser un profil de la personnalité très complet et de relier des informations qui ne devraient pas l’être. Tout recours systématique à un identificateur unique et universel tel que le numéro AVS représente des risques majeurs pour la sphère privée des personnes concernées et il faut préférer l’utilisation d’un numéro sectoriel (comme cela est envisagé pour le dossier électronique du patient).

Cette année le numéro AVS sera introduit dans le registre foncier, contre l’avis du Préposé. Il sera également utilisé dans le registre du commerce, mais ne devrait pas être publiquement accessible. La révision partielle de la loi sur la radio et la télévision prévoit également un registre national de toutes les personnes enregistrées en Suisse avec leur numéro AVS, qui sera utilisé par Billag.

D’autres projets en cours pourraient également voir l’utilisation du numéro AVS, par exemple le projet de Loi fédérale relative à l’application des principes du débiteur et de l’agent payeur à l’impôt anticipé, le projet de registre national des maladies oncologiques, le projet d’échange de données personnelles entre les contrôles des habitants, la Poste et d’autres détenteurs de données, ou encore le projet d’utilisation d’un identifiant personnel administratif dans la cyberadministration. Le numéro AVS ne devrait en revanche pas être utilisé comme identifiant unique pour le dossier électronique du patient ou comme numéro d’identification fiscale (NIF).

Dans le cadre de la consultation des offices sur la Stratégie Open Governement Data, le PFPDT a recommandé que le document stratégique prévoie des procédures incluant des mesures techniques et organisationnelles afin de prévenir toute divulgation accidentelle de données personnelles.

Postfinance, CFF, Migros et Coop
Postfinance a introduit une nouvelle plateforme d’e-banking comprenant un logiciel d’analyse obligatoire afin d’assurer la planification du budget et la représentation des flux monétaires. L’analyse des transactions permet aux clients de Postfinance de recevoir des offres spéciales d’entreprises tierces sur leur page e-banking. Depuis l’intervention du PFPDT, les clients sont informés et peuvent choisir, ce qui signifie qu’aucune analyse n’est possible sans leur consentement.

Si le Conseil fédéral a abandonné l’idée d’un échange automatique d’adresses entre la Poste et les registres des habitants, il a néanmoins chargé le Département fédéral de justice et police d’examiner les solutions permettant un échange automatique d’adresses entre les différents organes publics.

Le PFPDT a vérifié les conditions d’utilisation du service de WiFi gratuit proposé par le CFF dans différentes gares. Il a constaté que le traitement des données à des fins de marketing n’était pas encore mis en œuvre. Les conditions d’utilisation étaient formulées de manière trop imprécise et ne détaillaient pas quelles données étaient utilisées à quelles fins. Par conséquent, le consentement requis pour un traitement à des fins de marketing et pour l’analyse de flux de personnes ne serait pas valable sur la base de ces conditions d’utilisation. Les conditions générales ont donc été adaptées.

En ce qui concerne les cartes clients de Migros, le PFPDT a émis une recommandation formelle selon laquelle Migros doit répondre à un client qui fait valoir son droit d’accès, dans quel segment il est classé sur la base des analyses liées aux données clients. Cette classification représente une composante centrale du traitement des données et sa communication est indispensable pour se faire une idée des critères d’analyse, évaluer leur exactitude et se comporter en conséquence. Migros a accepté la recommandation. S’agissant de Coop, la procédure de contrôle est encore en cours.

Vente aux enchères de dossiers médicaux
Le fait que les données des patients possèdent une valeur marchande a été confirmé par un office des faillites qui envisageait la vente forcée du fichier de patients d’un dentiste avec les dossiers médicaux, sans en informer les patients concernés au préalable. Cela n’est pas possible, car l’accord des patients est une condition indispensable. S’agissant de données sensibles, un consentement explicite, donné librement et après avoir été informé est nécessaire.

De manière plus générale, le Préposé rappelle qu’un médecin doit prendre des mesures techniques appropriées pour protéger les données de ses patients contre un accès non autorisé. Pour des informations médicales, la simple protection par identifiant et mot de passe ne suffit pas. Il faut faire appel à des technologies de chiffrement adaptées. En cas d’utilisation de services informatiques en nuage, seul le médecin doit avoir accès à la clé de déchiffrement.

Les assurances
Le PFPDT a constaté à plusieurs reprises que quelques assurances-maladies complémentaires n’effacent pas les données concernant la santé de personnes dont la demande d’adhésion n’a pas abouti à un contrat. Elles ont pourtant une obligation d’effacer spontanément ces données. L’assurance peut avoir un intérêt (justifié) à conserver pendant un certain temps les données d’identification du demandeur ainsi qu’une brève motivation du refus, mais en aucun cas les formulaires de demande contenant les renseignements médicaux ou d’autres informations médicales rassemblées.

En matière de procuration, des améliorations sont nécessaires. Les assurances doivent demander une nouvelle procuration pour chaque nouvel événement assuré. En effet, une procuration ne peut se référer à tous les événements futurs et une procuration standard remise à la conclusion du contrat ne serait pas valable. Elle doit au contraire nommer l’objet de la recherche, par exemple en lien avec le sinistre survenu à une date précise et limiter le traitement aux données nécessaires dans ce contexte. Celui qui transmet des données à l’assurance est responsable de vérifier, malgré la présence d’une procuration, que les données souhaitées sont requises par l’objectif visé et qu’aucun intérêt particulier prépondérant de la personne concernée ne s’oppose à une communication des données. Malheureusement les assurances n’acceptent pas que les assurés modifient la procuration et menacent immédiatement d’une réduction des prestations pour non-respect du devoir de collaboration. Dans les faits, les assurés sont obligés de signer la procuration, ce qui peut néanmoins enlever toute validité au consentement obtenu de manière contrainte.

Les caméras embarqués
Le PFPDT rappelle que l’utilisation de caméras embarquées (dashcams) contrevient en général au droit de la protection des données et qu’elles ne doivent pas être utilisées. Même si ces enregistrements peuvent avoir une certaine utilité, ils n’en demeurent pas moins problématiques car une caméra embarquée filme en continu. Le traitement de données ne se limite pas aux personnes qui sont impliquées dans un événement spécifique (par exemple un accident) ou se comportent de manière fautive, mais concerne toutes les personnes présentes dans le champ de la caméra. De plus, les personnes concernées ne savent pas qu’elles sont filmées. L’utilisation de caméras embarquées est donc contraire aux principes de transparence et de proportionnalité. A noter que cela ne se limite pas seulement aux caméras embarqués dans une voiture, mais s’applique à toutes les caméras utilisées dans l’espace publique (caméras embarqué sur un casque à ski ou à vélo, drones, etc.).

La situation pourrait être différente lorsque la caméra est enclenchée uniquement lorsque survient un accident: tous les utilisateurs de la route ne sont pas considérés comme des suspects potentiels et il n’y a pas de traitement de données à titre préventif. Si l’enregistrement est limité à un événement concret, le traitement de données pourrait être justifié par un intérêt prépondérant.

Transparence
En matière de transparence, le PFPDT a traité 85 demandes de médiation qui ont abouties à 49 recommandations. Le Préposé a rejeté le projet de nouvelles dispositions dans la Loi sur l’aviation selon laquelle les documents concernant les activités de surveillance de l’Office fédéral de l’aviation civile devraient être soustraits à la Loi sur la transparence.

Dans le cadre de l’évaluation de la Loi sur la Transparence, les évaluateurs partagent le sentiment du Préposé que le changement de paradigme régulièrement demandé depuis l’entrée en vigueur de la LTrans n’a toujours pas été mis en œuvre dans l’ensemble de l’administration fédérale et que certaines autorités s’opposent régulièrement à la transmission des documents.

Publications
Au titre des explications et autres publications du PFPDT, on peut relever les explications sur les systèmes de contrôle d’accès dans les centre de loisirs (y compris les stations de ski), les explications sur la vidéosurveillance au moyen de caméras embarquées, les explications sur les mégadonnées (big data), les explications sur le droit à l’oubli, les explications sur l’utilisation de drones, les explications sur les systèmes de localisation de personnes, les explications sur le Bring Your Own Device, les explications sur la protection des données et la recherche et un feuillet thématique sur les systèmes de contrôle d’accès aux centres de loisirs.

Publications: La surveillance électronique des employés

Dans l’ouvrage Internet au travail édité par Jean-Philippe Dunand et Pascal Mahon, j’ai abordé la question de «La surveillance électronique des employés». Cette contribution est complétée par la présentation faite lors d’un séminaire organisé par l’Université de Neuchâtel.

Après avoir fait le point sur les exigences légales (Loi fédérale sur la protection des données et recommandations du Préposé fédéral à la protection des données et à la transparence, art. 28ss du Code civil, Loi et Ordonnance 3 sur le travail, ainsi que les articles 179ss du Code pénal), on passe en revue les jurisprudences déterminantes sur le sujet. Les points principaux sont ensuite regroupés en deux principes essentiels, l’information et la proportionnalité.

Différents cas d’applications sont finalement examinés: la surveillance téléphonique, la surveillance de l’Internet, la surveillance du courrier électronique, et la surveillance de l’activité. L’article se conclut par les conséquences d’une surveillance illégale et quelques recommandations pratiques.

Le droit d’accès est aussi celui de recevoir une copie écrite

Dans le cadre du litige fiscal avec les Etats-Unis, le Tribunal fédéral a confirmé le droit des ex-employés d’obtenir une copie de documents les concernant que la banque a communiqués aux autorités judiciaires américaines (arrêt 4A_406/2014 du 12 janvier 2015 publié aux ATF 141 III 119).

Les faits
En 2012, la banque genevoise a transmis, comme d’autres instituts financiers suisses, les noms ainsi que d’autres données sur des employés, actuels et anciens, qui se sont occupés de clients de la banque sur le territoire américain. Les employés concernés n’avaient pas été avertis. Suite à plusieurs procédures, la banque a finalement autorisé les deux anciens employés à prendre connaissance des documents au siège de l’entreprise, mais elle a refusé de leur en remettre une copie, invoquant notamment les dispositions pénales réprimant la violation du secret bancaire. Les documents demandés contiennent pourtant bien des données personnelles et les anciens employés ont en principe le droit d’en obtenir une copie gratuitement. Le Tribunal fédéral devait examiner si la banque pouvait valablement opposer une exception à ce principe.

Un droit à une communication écrite
La communication écrite des données constitue la règle. A titre exceptionnel, une consultation sur place ou une communication orale des pièces du dossier peut remplacer une communication écrite dans le cas où la personne intéressée est d’accord avec ce mode de faire.

L’inconvénient résultant de la communication systématique des dossiers aux personnes qui le demandent et en particulier le surcroît de travail qui en résulte est propre à tous les détenteurs de fichiers. Ce n’est pas pour autant une cause de refus de la communication écrite. Le législateur en a néanmoins tenu compte, puisqu’il permet dans certains cas que cette surcharge fasse exception à la gratuité de la communication.

On ne peut pas renoncer par avance au droit d’accès garanti par l’article 8 de la Loi fédérale sur la protection des données (LPD) et toute disposition dans ce sens d’un règlement interne est nulle. Une renonciation (non anticipée) au droit d’accès n’est envisageable que si la personne concernée connaît déjà l’essentiel de l’information à laquelle elle pourrait avoir accès.

Lors de la conclusion du contrat de travail, les employés ne connaissaient évidemment pas les informations qu’ils réclament aujourd’hui, et encore moins le fait que leur employeur transmettrait des informations à une autorité étrangère, ce dont il ne les a d’ailleurs pas informés spontanément. La banque ne peut donc pas invoquer valablement une règlement interne qui prévoit que les employés renoncent à leur droit.

Il ne s’agit de plus pas d’une démarche abusive. Les employés, qui n’ont pas à justifier leur demande, ont pour but éventuellement d’agir contre la banque et d’être armés en vue d’une possible action du Département américain de la justice à leur encontre.

Le secret bancaire
La banque considère qu’elle a une interdiction légale de communiquer les renseignements demandés en raisons du secret bancaire (art. 47 LB et 162 CP).

La communication aux ex-employés des informations sur les clients de la banque équivaut aujourd’hui à une remise à des tiers (et ce, même si, après la fin des relations contractuelles, ils sont encore soumis au secret bancaire), ce qui constitue en soi, dans la perspective de la banque, un comportement punissable au sens de l’article 47 LB (ce qui est d’ailleurs également le cas pour la simple consultation, sur place, des données).

Conformément à l’interdiction formulée par le Conseil fédéral, dans sa décision du 4 avril 2012, les banques n’ont pas transmis d’informations permettant d’identifier les clients. Ces documents ne violent donc pas le secret bancaire. Quant au fait que les employés ont pu prendre connaissance des documents intégraux et qu’ils pourraient de mémoire reconstituer les éléments caviardés, cet argument ne convainc pas. Ce ne serait en effet pas la remise des documents écrits qui leur permettrait d’identifier des clients qu’ils connaissent déjà.

Pas d’intérêt prépondérant de la banque
La banque ne peut pas non plus faire valoir son intérêt propre dans la mesure où elle a antérieurement volontairement remis les documents litigieux à un tiers (autorités américaines), alors qu’elle n’y était pas contrainte par une obligation légale. Les données ayant déjà été communiquées à un tiers, il est difficile pour la banque de prétendre que son intérêt prime sur celui des employés, d’autant plus que ces derniers ont déjà pu prendre connaissance du contenu des documents, aussi bien au cours de leur ancienne activité professionnelle que par le biais de leur consultation respective sur place. Les éventuelles informations confidentielles leur sont donc déjà connues. Les documents ne contiennent en outre pas de noms de clients.

Comme les anciens employés continuent à être liés par le secret bancaire ainsi que par le secret professionnel, la crainte de la banque que des données sensibles soient rendues publiques doit être relativisée.

Pas d’intérêt prépondérant de tiers
Les documents transmis aux autorités américaines ne devaient pas contenir d’informations permettant d’identifier les clients. L’autorité judiciaire précédente a au surplus déjà autorisé la banque à anonymiser les éléments permettant d’identifier les (ex-)collaborateurs et les tiers. Ces mesures sont suffisantes pour protéger les tiers et ne permettent pas de s’opposer à l’exercice du droit d’accès.

Aux yeux du Tribunal fédéral, la situation n’est pas si particulière qu’elle nécessiterait d’envisager une exception non prévue par le Conseil fédéral dans son Ordonnance complétant la LPD. En tous les cas le Tribunal a systématique écarté tous les arguments soulevés par la banque.

Cette décision ne révolutionne pas la notion de droit d’accès mais elle en rappelle les contours, parfois méconnus. Elle confirme de plus que le droit d’accès n’a pas à être motivé, qu’il implique le droit de recevoir copie, en principe gratuitement, et que les exceptions sont limitées.

La liberté d’information peut justifier l’enregistrement d’une conversation privée par un journaliste

Dans une Affaire Haldimann et autres contre Suisse du 24 février 2015, la Cour européenne des droits de l’Homme a constaté que la Suisse avait violé la CEDH en condamnant pénalement des journalistes qui avaient enregistré au moyen d’une caméra caché des conversations non publiques (Requête no 21830/09). La Cour a retenu que la liberté d’information devait prendre le pas sur le droit à l’image.

La procédure suisse
En 2003, la rédaction de l’émission hebdomadaire de protection des consommateurs de la télévision suisse alémanique Kassensturz a produit et diffusé un reportage sur les pratiques dans le domaine de la vente des produits d’assurance-vie. Dans ce but, ils ont convenu d’un entretien avec un courtier en assurances lors duquel une journaliste s’est faite passer pour une cliente potentielle. Deux caméras cachées ont enregistré la scène. A la fin de l’entretien, le courtier a été informé et la possibilité de donner son avis lui a été donnée, ce qu’il a refusé. Une partie de l’entretien est ensuite diffusée, mais le visage du courtier est «pixélisé» de manière à ce que seule la couleur de ses cheveux et de sa peau soient encore visibles après cette transformation de l’image, ainsi que ses vêtements. Sa voix a aussi été modifiée.

Au terme de la procédure pénale, les quatre journalistes sont condamnés pour avoir enregistré en secret une conversation de l’un d’entre eux avec le courtier d’assurances et pour avoir diffusé certaines parties de cette conversation sous forme «anonymisée» à la télévision. Les journalistes n’ont pas été condamnés pour avoir fait un enregistrement avec une caméra cachée, mais pour avoir utilisé ce procédé pour enregistrer une conversation non publique.

En droit, il s’agit pour la journaliste qui a participé à la conversation d’une violation de l’art. 179ter CP qui sanctionne l’enregistrement d’une conversation non publique par l’un des participants, sans le consentement de son interlocuteur, et pour les autres une violation de l’art. 179bis CP qui sanctionne l’enregistrement d’une conversation non publique entre d’autres personnes, sans leur consentement, et la communication à des tiers d’un fait obtenu au moyen d’un tel enregistrement. Ces articles garantissent en particulier la confidentialité des conversations non publiques. La violation du domaine secret ou du domaine privé au moyen d’un appareil de prise de vues au sens de l’art. 179quater CP n’a pas été retenue.

Droit à l’image contre liberté d’expression
La Cour européenne des droits de l’Homme était saisie d’un recours formé par les journalistes, qui considèrent que les dispositions pénales en question portent atteinte à la liberté d’expression et ne devraient pas leur être applicables. Ils soulignent d’ailleurs qu’ils ont respecté la décision no 51/2007 du Conseil suisse de la presse qui dit que les recherches cachées sont autorisées si les informations sont dans l’intérêt public et si les informations ne peuvent pas être reçues par un autre moyen.

La Cour aborde l’affaire comme un conflit entre deux droits fondamentaux, la liberté d’expression des journalistes d’une part et le droit au respect de la vie privée du courtier d’autre part. La Cour ne conteste pas que les dispositions pénales protègent le droit du courtier à sa propre image, à sa propre parole ainsi que sa réputation, mais elle se demande si les dispositions pénales sont une restriction justifiée de la liberté d’expression.

La Cour passe en revue les différents critères qu’elle utilise habituellement pour analyser la mise en balance du droit à la liberté d’expression et du droit au respect de la vie privée:

  • la contribution à un débat d’intérêt général: la mauvaise qualité du conseil délivré par des courtiers en assurances et la protection du droit des consommateurs en découlant est un débat d’un intérêt public très important auquel les journalistes participent.
  • la notoriété de la personne visée, l’objet du reportage et son comportement antérieur: le courtier filmé à son insu n’était pas un personnage public. Le reportage litigieux n’était pas focalisé sur la personne du courtier mais sur certaines pratiques commerciales mises en œuvre au sein d’une catégorie professionnelle. En outre, l’entretien ne s’était pas déroulé dans les bureaux du courtier ou autre local professionnel. L’atteinte à la vie privée du courtier est moins importante que s’il avait été visé exclusivement et en personne par le reportage.
  • le mode d’obtention des informations et leur véracité: les journalistes ont respectés les règles déontologiques et la véracité des informations n’a jamais été contestée.
  • le contenu, la forme et les répercussions de la publication: l’enregistrement a été diffusé sous forme de reportage, particulièrement péjoratif à l’égard du courtier. Des mesures ont toutefois été prises pour l’«anonymiser». Pour la Cour, l’ingérence dans la vie privée du courtier n’est pas d’une gravité telle qu’elle doive occulter l’intérêt public à l’information des malfaçons alléguées en matière de courtage en assurances.
  • la gravité de la sanction imposée: même si les peines sont très faibles (quatre et douze jours-amendes), cette sanction pénale peut inciter la presse à s’abstenir d’exprimer des critiques.

En conclusion, la Cour estime que la mesure litigieuse n’était pas, en l’espèce, nécessaire dans une société démocratique et que, par conséquent, il y a eu violation de l’art. 10 CEDH. Autrement dit, la Cour considère que dans ce cas précis, la norme pénale ne devait pas l’emporter sur la liberté d’expression et qu’il ne fallait pas condamner pénalement les journalistes. La Cour crée d’une certaine manière un motif justificatif pour les journalistes rendant leurs actes licites dans ce cas particulier.

Confidentialité des conversations
Pour le juge Paul Lemmens qui signe une opinion dissidente très intéressante, il ne s’agissait pas simplement de la mise en balance de deux intérêts privés. Les dispositions pénales en question visent à protéger non pas la vie privée (ou la réputation) de certains individus, mais la confidentialité en général des conversations non publiques. Il s’agit alors d’un intérêt général touchant à l’ordre public et concrétisé dans la loi pénale, et non pas à de simples intérêts privés.

La question n’est pas de savoir dans quelle mesure l’utilisation de la caméra cachée est acceptable, mais de savoir dans quelle mesure des accusés peuvent invoquer avec succès une cause de justification contre l’accusation d’enregistrement et de diffusion d’une conversation protégée par la loi. Comme l’avait relevé le Tribunal fédéral, la défense d’intérêts légitimes suppose que l’acte délictuel soit un moyen nécessaire et adéquat pour atteindre un but légitime, voire que ce soit la seule voie possible pour atteindre ce but, et que le bien juridique protégé par l’interdiction légale pèse moins lourd que celui que l’auteur de l’acte cherchait à préserver. Cela n’était probablement pas le cas en l’espèce puisqu’il était possible de montrer les abus en matière d’assurance de manière différente. Et cette interprétation ne rendait pas pour autant illégale le recours à une caméra cachée lorsque c’est le seul moyen d’arriver au but visé, et légitime, pour un journaliste.

Cette décision de la Cour européenne des droits de l’Homme va conduire à la révision de la condamnation des journalistes, mais elle va aussi permettre, de manière plus générale, aux journalistes d’investigation suisses d’utiliser des caméras cachées. Leur utilisation devrait toutefois restée limitée, car la Cour n’a pas indiqué que le droit pénal ne s’appliquait pas aux journalistes mais seulement que dans ce cas particulier, le droit à l’information devrait primer sur la protection de la sphère privée. Si le reportage avait visé une personne en particulier, la conclusion aurait pu être différente.

A noter finalement que la Cour ne s’est pas prononcée sur l’éventuelle utilisation de l’enregistrement par la justice pénale. En l’absence d’infraction pénale, la preuve ne serait vraisemblablement plus illégale. Le journaliste pourrait néanmoins se réfugier derrière la protection des sources pour refuser de la communiquer.