Expertises des Systèmes d'information - Octobre 2019 - n°450 - Le mensuel du droit de l'informatique et du multimédia - 299

e webscraping, technique
d'extraction automatisée de
contenu d'un site web pour
un usage dans un autre
contexte, se développe. Cette pratique
est-elle pour autant légale ? Dans
une décision du 9 septembre 2019,
la cour d'appel des Etats-Unis pour le
9ème circuit a jugé que l'extraction
de données publiques depuis
LinkedIn par un tiers était licite, bien
que le réseau social professionnel
ait prohibé cette pratique dans ses
conditions générales d'utilisation.
Pour la cour, le scraping n'enfreint
pas le Computer Fraud and Abuse
Act, qui punit l'accès non autorisé
à un système d'information, du fait
du caractère public des données en
cause. En France, comme en Europe,
la question se pose également et la
réponse n'est pas forcément éloignée
de la position américaine, même si
elle doit être nuancée.
Depuis sa création en 2012, la société américaine hiQ Labs collecte
les informations figurant sur les
profils publics des membres de
LinkedIn dans le but de proposer des
offres commerciales en ressources
humaines. LinkedIn ne s'en était
pas plaint, jusqu'au moment où il a
envisagé de proposer des produits
similaires. En 2016, LinkedIn a mis
en demeure hiQ Labs de cesser d'extraire les données de son site au nom
du Computer Fraud ans Abuse Act
(CFAA) et de ses CGU, et il a bloqué
les bots qui scannaient ses pages.
hiQ Labs, dont le modèle économique repose entièrement sur cette
activité, a saisi la cour du district
Nord de Californie pour obtenir une
réponse claire sur sa légalité.
Dans une injonction préliminaire
du 14 août 2017, la cour lui donne
raison considérant que les profils
des utilisateurs sont publics. Cette
décision a été confirmée par le
jugement du 9 septembre dernier. La
cour commence par affirmer que le
réseau social n'a pas de droits sur les
données de ses membres qui optent
pour un profil public pour les rendre
accessibles aux tiers. Elle poursuit
en indiquant qu'il ne peut y avoir
atteinte au CFAA dans la mesure
où les données sont en accès libre.
Elle estime, par ailleurs, que laisser

DONNÉES

La légalité du Webscraping en question
La justice américaine a refusé à LinkedIn le droit
d'interdire l'extraction de profils publics depuis son
site. Quid de la légalité de cette pratique en France ?
à LinkedIn la possibilité de contrôler
l'accès à ces données pourrait être
préjudiciable à l'intérêt public. Cet
argument a du reste été soutenu par
l'Electronic Frontier Foundation, le
moteur de recherche DuckDuckGo
et l'Internet Archive dans un Amicus
brief. Enfin, la cour met en avant le
fait qu'une telle interdiction mettrait
en péril hiQ Labs.
Comme le souligne Pascal Agosti,
avocat associé du cabinet Caprioli,
« la question centrale dans cette
affaire porte sur le fait qu'il s'agit d'une
donnée dont l'accès est public. Cette
donnée dite publique est mise en
ligne par le membre de LinkedIn en
acceptant les CGU. Mais ces données
restent la propriété du membre ». Se
pose donc la question de l'autorisation du titulaire des données. Mais
pour les juges américains, la notion
d'autorisation n'a pas de sens car les
données sont publiques. Le membre
ne s'oppose pas à ce qu'on puisse
les exploiter. D'ailleurs, constate la
cour, il les a mises en ligne pour
pouvoir être utilisées dans une finalité professionnelle.
En France, la question n'est pas tranchée et dépend bien sûr de chaque
cas. Elle pourrait être posée sous
l'angle du droit pénal, sur le fondement des atteintes aux systèmes de
traitement automatisé de données
(article 323-1 et suite). Encore faut-il
établir une intention frauduleuse.
On peut également retenir que l'aspiration s'apparente à une extraction substantielle de données. Mais
on sait que la protection des bases
de données reste difficile à mettre
en œuvre. Le web scraping pourrait
aussi, dans certaines conditions, être
considéré comme un acte de parasitisme. Concernant le non-respect de
CGU qui interdirait cette pratique,
la cour d'appel de Paris a justement
EXPERTISES Octobre 2019

rappelé qu'elles ne sont pas opposables aux tiers, dans un arrêt du
23 mars 2012 concernant l'aspiration des données de vols de Ryanair
par Opodo.
De façon générale, les sites n'ont pas
de droits sur les données en tant que
telles contrairement au titulaire qui
peut autoriser leur utilisation par un
acteur tiers. Selon Pascal Agosti, « les
règles adoptées en matière financière peuvent constituer un état de
l'art applicable aux prestataires dans
d'autres domaines ». Les Fintech
pratiquent en effet le screen scraping
qui permet d'accéder aux données
d'un client d'une banque en utilisant
ses codes d'accès pour offrir leurs
services. Le législateur européen est
intervenu pour réguler la pratique.
En vertu de la directive révisée sur les
services de paiement (DSP2), entrée
en vigueur le 13 janvier 2018, le screen
scraping est prohibé. Toutefois, les
banques ont désormais l'obligation de
fournir un accès facilité à ces données
via une API ou accès par protocole
informatique. Pascal Agosti explique
que « l'agrégation de données en
matière bancaire doit répondre à des
exigences d'interopérabilité voulues
au niveau communautaire, dans
le cadre du règlement d'exécution
découlant de la directive DSP2. Ces
règles en matière de données financières devraient pouvoir s'étendre à
tout type de données, en termes de
protection de données personnelles
et de sécurité informatique ». Dans
cette logique pragmatique, autant
envisager un encadrement technologique et contractuel de l'extraction
de donnée afin qu'elle ne soit pas
massive et donc préjudiciable au site
et qu'elle soit profitable au détenteur
de la donnée.

Sylvie ROZENFELD

299

Expertises des Systèmes d'information - Octobre 2019 - n°450 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2019 - n°450 - Le mensuel du droit de l'informatique et du multimédia