L’hébergeur, ou hosting company, désigne toute personne assurant, même à titre gratuit, le stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature.

Il existe plusieurs catégories d’hébergements proposés par les hébergeurs, dont les principaux sont les suivants :

• Les hébergements mutualisés, dont les serveurs sont partagés entre plusieurs utilisateurs ;
• Les hébergements dédiés, dont les serveurs sont utilisés par un seul utilisateur.

La loi ° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique opère une distinction entre hébergeur et éditeur de contenus.

Ainsi, les hébergeurs ne peuvent voir leur responsabilité engagée du fait des informations qu’ils stockent s’ils n’avaient pas effectivement connaissance de l’activité ou de l’information illicite ou si, dès le moment où ils en ont eu connaissance, ils ont agi promptement pour retirer ces informations ou en rendre l’accès impossible.

Toutefois, les hébergeurs ne sont pas soumis à une obligation générale de surveiller les informations qu’ils stockent, ni à une obligation de rechercher des faits ou des circonstances révélant des activités illicites.

Leur rôle est donc essentiellement restreint à mettre à la disposition du public des procédures de signalement efficientes, et de traiter rapidement ces signalements lorsque l’information ou l’activité signalée a un caractère manifestement illicite.

Par principe, dès lors qu’un hébergeur stocke des données à caractère personnel pour le compte de ses clients, il sera considéré comme étant sous-traitant de ces derniers au sens du RGPD.

Il est ainsi important de s’assurer de la conformité des éventuels transferts de données réalisés par cet hébergeur, ainsi que le cas échéant de sa soumission au Cloud Act.

En tout état de cause, le responsable du traitement ne pourra faire appel qu’à des hébergeurs présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le stockage des données à caractère personnel réponde aux exigences du RGPD et garantisse la protection des droits de la personne concernée.

Point législation

« Les personnes physiques ou morales qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature fournis par des destinataires de ces services ne peuvent pas voir leur responsabilité civile engagée du fait des activités ou des informations stockées à la demande d’un destinataire de ces services si elles n’avaient pas effectivement connaissance de leur caractère manifestement illicite ou de faits et circonstances faisant apparaître ce caractère ou si, dès le moment où elles en ont eu cette connaissance, elles ont agi promptement pour retirer ces données ou en rendre l’accès impossible. »

Article 6. I. 2 de la Loi n° 2004-575 (LCEN)

Point jurisprudence

La Cour d’Appel de Versailles a pu considérer que « l’appréciation de ce caractère « manifestement illicite » s’opère par rapport à la loi française et non à celle du lieu de résidence de l’éditeur du site, la loi se référant à l’accès aux contenus et non à leur émission […], que ce caractère manifestement illicite ne peut être que la conséquence d’un manquement délibéré à une disposition de droit positif explicite et dénuée d’ambiguïté .»

Cour d’Appel de Versailles, 13 octobre 2020, n° 19/02573

Le Cabinet Bouchara vous accompagne notamment dans :

• La suppression de contenus illicites sur Internet ;
• Les actions judiciaires et extrajudiciaires à l’encontre d’hébergeurs ;
• La mise en conformité de votre organisme au RGPD ;
• La rédaction de politiques de protection des données (politique de confidentialité, charte informatique…) ;
• La documentation de vos traitements (registre des activités de traitement, registre des violations, analyse d’impact relative à la vie privée, consultation préalable…) ;
• L’obtention de certifications et l’adhésion à des codes de conduite ;
• L’étude de la faisabilité juridique de la mise en œuvre d’un nouveau traitement de données à caractère personnel ;
• La rédaction et transmission de vos codes de conduites à la CNIL pour approbation ;
• L’analyse juridique de la conformité de vos traitements de données, y compris des transferts de données hors de l’Espace Economique Européen ;
• La rédaction et la négociation de vos accords de traitements de données (DPA) ;
• La rédaction de vos règles d’entreprises contraignantes (BCR) et codes de conduites ;
• La formation et la sensibilisation de vos collaborateurs.

Nous sommes également Délégué à la Protection des Données externe de nombreux responsables de traitements et sous-traitants.