Banni par un algorithme : quels droits pour les utilisateurs du numérique ?

En 2022, une soixantaine d’employés d’une entreprise texane apprenait son licenciement. Motif ? Une intelligence artificielle, un algorithme, avait scellé leur sort. On pourra se rassurer en relevant que cela s’est passé à Austin (Etats-Unis), et non en France où le Code du Travail restreint l’arbitraire et encadre strictement les procédures et motifs des licenciements économiques. Mais l’utilisation d’« algorithmes délibératifs » peut léser les intérêts des individus dans bien d’autres domaines. Songeons par exemple aux décisions prises par les plateformes de services numériques.

Qu’est-ce qu’un algorithme délibératif ?

On parle d’algorithmes délibératifs lorsqu’une IA applique un ensemble de règles, évalue une situation selon des critères définis et sélectionne une décision parmi un éventail d’options, avec ou sans aucune intervention humaine. Parfois, l’intelligence artificielle combine décision automatisée et apprentissage conduisant à adapter ses règles de calcul. De tels algorithmes (séries d’instructions) délibèrent au sens où ils opèrent des arbitrages en se basant sur des règles et des données d’entrée.

Comme on le verra, le droit ne les interdit pas mais encadre leur utilisation et protège les droits des personnes en imposant certaines obligations aux fournisseurs de services en ligne.

L’illustration : un cas de désactivation de comptes d’utilisateur de services numériques par META

Prenons un exemple. Un « Français de l’étranger » a une résidence stable et une entreprise en France. Il est titulaire depuis des années de comptes Instagram et Facebook, tant pour un usage personnel (échanges avec son réseau propre) que pour communiquer avec les clients et prospects de sa société et intéressant ses activités commerciales en France et à l’étranger (publications, fidélisation…). Un jour, il reçoit une notification de META : « Votre compte a été suspendu pour non-respect des Standards de la communauté ». Un, puis deux, puis trois… Et bientôt, tous ses comptes sont suspendus sans autre justification que ce motif générique. Très vite, il clique sur le « bouton » qui lui permet de contester ces décisions, vraisemblablement prises de façon automatisée par un système d’IA.

180 jours plus tard, il reçoit une nouvelle notification l’informant que le « compte a été définitivement désactivé. » Même motif : « votre compte, ou l’activité sur celui-ci, ne respecte pas les Standards de la communauté ». Ce message standard ajoute que « Comme plus de 180 jours se sont écoulés depuis que votre compte a été suspendu, vous ne pouvez plus demander un examen de cette décision ». Ironiquement, il lui est suggéré de découvrir « comment [les] Standards de la communauté permettent de faire d’Instagram un endroit authentique et respectueux où tout le monde peut s’exprimer. » Sa réclamation à META PLATFORMS IRELAND LTD, restée sans réponse, n’aura pas eu plus d’effet. À aucun moment un opérateur humain ne s’est manifesté. L’opacité est totale… Et les recours semblent épuisés.

L’ampleur du phénomène et le fameux « problème de la boîte noire »

Ce cas réel est loin d’être isolé. Une notification similaire s’affiche chaque jour sur des millions d’écrans, annonçant à l’utilisateur de services en ligne la suspension ou la désactivation de son compte pour des raisons aussi obscures et vagues, sans information sur les voies de recours et surtout sans intervention humaine. Précisons que nous avons pris le cas de META, mais nous aurions pu en citer des exemples avec TikTok ou d’autres plateformes utilisant les mêmes types d’algorithmes.

Par hypothèse, l’IA ne s’explique pas, elle tranche. Sa raison d’être n’est pas de justifier ses décisions. Ignorant la nature de la règle violée et le comportement qui a mis en branle sa sanction, l’utilisateur n’est pas sans rappeler Joseph K, le héros du Procès de Kafka. Si ces décisions sont souvent incompréhensibles pour lui, les raisonnements générés par les modèles d’apprentissage des systèmes d’IA le sont aussi pour ceux qui les conçoivent. C’est ce que la doctrine anglo-américaine appelle : « The Black Box Problem » (« le problème de la boîte noire »), d’où le risque de mesures aveugles et inexplicables, prises sans acteur humain.

Enjeux du problème posé par le recours aux « algorithmes délibératifs »

La question n’est pas tant de savoir pourquoi les plateformes ont recours aux processus automatisés : elles le font pour d’évidentes raisons de coûts (la modération humaine est plus onéreuse) et d’efficacité du traitement automatisé et rapide de flux massifs de données concernant des centaines de millions, voire des milliards d’individus. La question qui se pose ici est celle de la légalité de l’utilisation de ces mécanismes lorsque la décision lèse les intérêts de l’utilisateur en restreignant ou supprimant le service et l’accès aux données hébergées. Dans notre exemple, il n’a même pas pu créer de nouveaux comptes pour contourner la difficulté (blocage).

Ce type de décisions frappe particuliers, indépendants et entreprises de tous secteurs. De nombreux opérateurs utilisent les réseaux sociaux populaires comme vitrine commerciale et publicitaire, canal pour la vente directe, constitution de bases de clients et prospects… Une suppression d’accès peut avoir des conséquences dommageables voire désastreuses pour leurs activités (ex : perte d’investissements, d’audience et de données et atteinte à la réputation, souvenirs pour les particuliers).

Pour qui se voit confronté à « l’inertie bureaucratique » d’un système d’IA, l’expérience peut s’avérer décourageante faute d’un interlocuteur humain pour résoudre la difficulté. Or, en droit, ce n’est pas « l’IA » qui est responsable des décisions prises (elle n’a pas de « personnalité juridique »), mais bien l’entreprise qui met en œuvre de tels processus automatisés.

Protection des utilisateurs par le droit spécial ou le droit commun de la responsabilité et des contrats

En tant que consommateurs ou non professionnels[1], les particuliers qui font un usage privé des services numériques bénéficient d’une protection renforcée contre l’arbitraire et les clauses léonines ou illicites.

Les utilisateurs « professionnels » ou commerciaux, s’ils ne peuvent trouver refuge dans le droit de la consommation, ne sont pas dépourvus de recours et moyens légaux. Outre le droit commun de la responsabilité civile en cas de manquement (ex : résiliation fautive des services) ou de restrictions arbitraires ou discriminatoires (qui permet de fonder des demandes d’indemnisation des dommages entraînés par des mesures injustifiées), les règles issues du droit de l’Union européenne (RSN et RGPD) sont aussi un recours pour les utilisateurs des services, quels qu’ils soient.

Protection spéciale par le Règlement (UE) sur les Services Numériques (« RSN ») : obligations de transparence et d’information des fournisseurs de plateformes et recours effectif contre les décisions

Transparence. Le Règlement (UE) 2022/2065 du 19 octobre 2022 sur les Services Numériques (« RSN »)[2] impose aux fournisseurs de plateformes en ligne (ex : META, TikTok, etc.) de communiquer aux utilisateurs la motivation de toute décision de suspension ou de suppression de comptes ou de restriction d’accès à leurs services, d’offrir de façon transparente un « système interne de traitement des réclamations » compréhensible et de les informer de leurs possibilités de recours.

L’exposé des motifs doit être « clair et spécifique » pour chaque décision.

Il contient a minima :

– « les faits et circonstances sur base desquels la décision a été prise »,

– le fondement juridique (règles de droit ou clauses des conditions générales d’utilisation violées),

– et « des informations relatives à l’utilisation de moyens automatisés pour prendre la décision ».

Les informations « claires et aisément compréhensibles » communiquées par le fournisseur doivent permettre à l’utilisateur d’exercer un recours effectif (voir ci-après § 7).

Enfin, le fournisseur veille « à ce que les décisions […] soient prises sous le contrôle de collaborateurs dûment qualifiés, et pas uniquement par des moyens automatisés. »

En résumé, toute décision automatisée, non motivée, prise sans contrôle humain réel et sans recours effectif est susceptible de contrevenir au RSN.

Une décision de suspension d’un compte reposant sur un motif générique (violation des conditions d’utilisation ou illicéité de contenu) qui, 6 mois après une réclamation de l’utilisateur opérée au moyen du système interne rudimentaire et peu clair, constate que le compte est « définitivement désactivé », sans possibilité de réexamen et sans information sur les recours possibles, semble contrevenir au RSN.

À noter : les utilisateurs, même s’ils sont établis hors Union européenne, bénéficient de ces dispositions dès lors qu’ils utilisent une plateforme de services numériques opérant au sein du territoire de l’Union.

Que faire en cas de sanction et de non-respect de ces obligations par les plateformes numériques ?

La première étape : le recours interne. Il consiste à exiger la motivation détaillée, l’indication des faits et règles et un réexamen par un contrôle humain. C’est indispensable avant tout autre recours amiable (médiation) ou juridictionnel. Il faut garder la preuve de la contestation envoyée au fournisseur, ce que ne permet pas toujours le système interne de réclamation offert.

Ce système doit permettre à l’utilisateur, pendant au moins six mois à compter de la décision, le dépôt d’une réclamation « suffisamment précise et étayée ». Concrètement, il doit s’être vu notifier les griefs retenus contre lui afin de pouvoir contester la mesure de façon motivée et transmettre des justificatifs, obtenir un réexamen réel et, le cas échéant, une infirmation de la décision si celle-ci a été prise à tort.

Ainsi, la mise en place d’un recours de pure forme, sans communication préalable des motifs et n’ayant aucune chance d’aboutir à une infirmation de la décision, ne répond pas a priori aux exigences du RSN.

L’étape optionnelle : le recours à la médiation prévu par l’article 21 du RSN. Innovation du Règlement, l’utilisateur peut, s’il n’a pas obtenu satisfaction avant, saisir un médiateur neutre et indépendant. Cette médiation ne peut être refusée par le fournisseur des services numériques. Ce médiateur, appartenant à un organisme certifié, examine le litige soumis. Il peut recommander par exemple la réactivation d’un compte supprimé sans fondement. Cependant, sa proposition doit être acceptée par les parties pour produire effet. Cette recommandation n’ayant en soi aucune force obligatoire, le recours au juge est souvent le seul moyen d’obtenir la réparation d’un préjudice lié à une décision contestable.

L’étape judiciaire. Faute d’accord ou si la solution n’est pas favorable, l’utilisateur peut aussi se tourner, après médiation ou en première intention, vers les tribunaux.

Il formera un recours basé sur :

– le droit de la consommation (lorsqu’il a le statut de « consommateur » ou de « non-professionnel ») ;

– le droit des contrats et le droit commun de la responsabilité ;

– les dispositions du règlement européen dit « RGPD » relatif à la protection des données personnelles, l’article 22 prévoyant notamment que toute personne objet d’un traitement « a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé […] produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire » (les articles 15 et 17 sur le traitement et l’effacement des données sont également des ressources) ;

– le droit au respect des libertés d’expression et de communication et à ne pas subir de discrimination ;

– le respect des dispositions du Règlement UE précité dit « RSN » ou « DSA ».

Sanctions financières. L’article 52 du RSN précise qu’en cas d’infraction audit règlement, la sanction prise par l’État membre peut aller jusqu’à « une amende dont le montant maximal peut atteindre 6% du chiffre d’affaires mondial annuel du fournisseur de services intermédiaires ».

Conclusion

La jurisprudence, en construction, montre des signes favorables aux utilisateurs, par exemple en cas de suppression de compte injustifiée, discriminatoire ou disproportionnée. Nous avons abordé ici certains enjeux du problème posé par les algorithmes délibératifs, mais il est évident que les restrictions à la liberté de communiquer et le danger des décisions automatisées peuvent revêtir une portée politique et intéresser le débat démocratique.

Maître Guillaume LE LU – Avocat en droit de la propriété intellectuelle et des technologies numériques

[1] Termes définis dans le Code de la Consommation (article liminaire).

[2] Ou Digital Service Act (« DSA »)

Cybersécurité – Que faire et qui sont les responsables en cas de cyberattaque visant une entreprise ?

Imaginons une entreprise d’aéronautique toulousaine. Un matin, tandis qu’il se rend au travail, son DSI (Directeur des Systèmes d’Information) apprend qu’elle vient d’être victime d’une cyberattaque. Tous les cadres et des employés ciblés ont reçu des emails menaçants les informant que leurs données ont été piratées. Un groupe de "cyber-activistes" opposé à l’ouverture d’un nouvel aéroport revendique l’attaque sur des sites web situés dans plusieurs pays. Un lien sur les pages web créées par les hackers propose le téléchargement sur le Dark Net de dizaines de milliers de données concernant des clients, partenaires et salariés, dont des données sensibles. Une réunion de crise est prévue à 9h00. Le DSI réfléchit aux failles qui ont permis ce scénario et aux actions prioritaires du COMEX. À quelques heures de route de là, dans le Doubs, le patron d’une petite entreprise de papeterie allume son PC et découvre stupéfait qu’il ne peut plus lire les dossiers commerciaux, comptables et financiers. Un pop-up l’informe qu’un malware a chiffré les données et qu’une rançon, payable en bitcoins, est exigée sous dix jours pour les rendre accessibles. À défaut, elles seront détruites. Deux cas différents mais une même question : que faire ? Bientôt suivie d’une autre : qu’aurait-on dû faire pour éviter ça ?

Actualité et variété des risques de cyberattaques touchant les entreprises

Dans son Panorama de la cybermenace en 2025, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) « constate un niveau de cybermenace qui reste élevé, qui n’épargne personne et qui est le fait d’attaquants toujours plus difficiles à suivre ». Elle souligne la spécialisation croissante des attaquants et la circulation accrue des outils et méthodes de compromission. Aux menaces désormais bien identifiées – rançongiciels, hameçonnage, virus, compromission de messageries, etc. – s’ajoute un facteur aggravant : la diffusion et l’usage croissant d’outils assistés par l’intelligence artificielle, qui accélèrent les opérations de détection de vulnérabilités et rendent possibles des attaques ciblées dans des proportions nettement supérieures[1].

Les conséquences d’une cyberattaque varient en intensité et en gravité, mais excèdent toujours la seule dimension informatique. Elles peuvent prendre la forme d’une atteinte limitée à la sécurité des systèmes d’information, d’une compromission de l’intégrité, de la confidentialité ou de la disponibilité des données de l’entreprise, d’une fuite de données sensibles, confidentielles – y compris de secrets d’affaires ou de données personnelles de clients, partenaires ou salariés –, d’une désorganisation plus ou moins grave des activités, voire d’un arrêt partiel ou total de certains services. À cela s’ajoutent fréquemment des risques d’atteinte à la réputation et, dans certains cas, de réclamations de tiers et l’intervention d’autorités administratives de contrôle.

Un tel événement appelle une réaction rapide, mais surtout ordonnée et méthodique, afin d’en limiter les effets et de définir sans délai un plan d’action adapté à la situation.

Quelle est la chaîne des responsabilités en cas de cyberattaque visant une entreprise ?

Une cyberattaque n’engage pas la responsabilité des seuls cybercriminels. Elle peut révéler, selon les circonstances, les manquements d’autres acteurs : l’entreprise victime, lorsqu’elle n’a pas pris les mesures organisationnelles et de sécurité appropriées ; ses dirigeants ou cadres responsables de la cybersécurité, ou encore les prestataires chargés de protéger les systèmes d’information ou d’exécuter certains traitements de données pour le compte de l’entreprise.

La question est donc plus complexe qu’il n’y paraît à première vue. Par exemple, la première victime d’une cyberattaque peut ainsi avoir à répondre d’une partie du mal.

a) Responsabilité des auteurs et complices des atteintes (les cybercriminels)

Les auteurs et complices de la cyberattaque s’exposent bien entendu à des poursuites civiles et pénales.

Civilement, ils sont tenus de réparer les dommages causés à l’entreprise et aux tiers du fait de leurs agissements malveillants.

Pénalement, le droit français réprime depuis la loi Godfrain[2] les atteintes aux « systèmes de traitement automatisé de données » : accès ou maintien frauduleux ou entrave au fonctionnement du système ; extraction, modification ou détournement de données, mise à disposition d’outils de piratage. Les fournisseurs de tels outils sont traités comme des cybercriminels à part entière, non pas en complices. De lourdes peines d’emprisonnement et d’amende assortissent ces infractions définies par le Code Pénal, aggravées en cas de risques d’atteinte à l’intégrité physique des personnes pouvant en résulter.

A noter : les personnes morales peuvent, elles aussi, voir leur responsabilité pénale engagée à ce titre.

D’autres qualifications peuvent en outre être retenues, notamment lorsque des données personnelles ont été collectées par un moyen frauduleux, déloyal ou illicite.

b) Responsabilité de l’entreprise « victime »

Plus contre-intuitif, mais c’est un point très important : l’entreprise victime peut voir sa responsabilité engagée à différents titres et degrés selon la gravité des atteintes constatées après l’attaque. En effet, l’atteinte à son système d’information ne fait pas d’elle la seule victime. Lorsque des salariés ou ses cocontractants (clients, fournisseurs, etc.) subissent un dommage à raison de la fuite, de l’altération ou de l’indisponibilité de données les intéressant, l’entreprise verra souvent questionnée la qualité des mesures techniques et organisationnelles mises en œuvre pour assurer leur confidentialité, sécurité et intégrité, notamment sur le fondement des dispositions du « Règlement Général sur la Protection des Données » (RGPD) applicable en Europe depuis 2016.

Sa responsabilité pourra alors être recherchée sur plusieurs fondements :

• vis-à-vis des personnes physiques dont les données sont compromises, notamment si l’atteinte révèle une faille concernant des données sensibles ou une insuffisance des mesures de prévention, de détection ou de protection, en un mot des négligences en matière de sécurité et de protection des données personnelles ;
• vis-à-vis des clients et partenaires, notamment lorsque l’entreprise est tenue par des engagements contractuels renforcés de sécurité, de continuité, de confidentialité ou de notification de violation ou si la violation est grave et porte sur des données sensibles ou des secrets d’affaires;
• vis-à-vis des autorités, sur le plan légal et réglementaire: lorsque les atteintes affectent un secteur d’activité d’importance vitale, des « services essentiels » ou des données personnelles, l’entreprise est tenue de notifier l’atteinte et s’expose à des contrôles, injonctions ou sanctions administratives, s’il s’avère qu’elle n’a pas respecté ses obligations en matière de cybersécurité ou en cas d’omission des notifications de compromission de ses systèmes d’information et données.

Autrement dit, le caractère malveillant et extérieur de l’acte n’exonère pas de plein droit l’entreprise.

Elle n’a pas à garantir qu’aucune cyberattaque ne pourra survenir grâce aux mesures prises, mais elle est tenue à une obligation de moyens renforcée concernant la sécurité de ses systèmes d’information et des données qu’elle traite.

Une cyberattaque pourra, le cas échéant, servir de révélateur en mettant à jour des manquements ou négligences suffisamment graves pour entraîner des procédures d’injonction et amendes et engager sa responsabilité vis-à-vis des tiers. La CNIL sanctionne de plus en plus sévèrement les insuffisances, tout en rappelant que la seule survenance d’une attaque et d’une atteinte aux données personnelles n’emporte pas automatiquement un manquement.

Sans vouloir se montrer trop effrayant, ajoutons que l’absence ou l’insuffisance de mesures techniques et organisationnelles de protection appropriées des données ou le défaut de notification de violations pourraient tomber sous le coup des dispositions des articles 226-17 et 226-17-1 du Code Pénal (infractions assorties de peines de 5 ans d’emprisonnement et de 300 000 € d’amende, l’entrepreneur individuel comme la personne morale pouvant être poursuivis pénalement).

c) Responsabilité secondaire des dirigeants d’entreprise

Les dirigeants auraient tort de croire que la personnalité morale de la société dans laquelle ils officient leur offre, en toutes circonstances, un écran protecteur suffisant. Lorsque la cybersécurité entre dans leurs attributions, que ce soit du fait de la nature même de leurs fonctions ou par l’effet d’une délégation de pouvoirs, leurs négligences graves en matière de cybersécurité des données et des systèmes d’information peuvent entraîner des conséquences personnelles. Il faut toutefois distinguer.

La responsabilité de l’entreprise ne se confond pas avec celle de ses dirigeants, sauf dans le cas spécial de « l’entrepreneur individuel », qui ne jouit pas de l’écran de la personne morale qu’est une société.

En principe, la simple négligence dans l’exercice de leur mandat social ou de leur contrat de travail ne suffit pas à engager leur responsabilité civile propre à l’égard des tiers, sauf dépassement de fonctions. L’écran joue alors pleinement son rôle : seule la société répond de leurs actes.

En revanche, en droit du travail, les manquements graves à des obligations relevant de la cybersécurité qui sont des attributions d’un cadre-dirigeant peuvent justifier des mesures disciplinaires voire un licenciement pour motif réel et sérieux ou faute grave, s’il est établi qu’il dispose de pouvoirs effectifs. Croire que la cybersécurité serait pour ainsi dire « couverte » par la responsabilité de l’entreprise serait donc une erreur de ce point de vue. Certains l’ont appris à leurs dépens. Une récente décision rendue en jurisprudence l’illustre, la Cour d’appel de Paris ayant confirmé le licenciement « pour cause réelle et sérieuse » d’un cadre-dirigeant doté d’une délégation de pouvoirs en cette matière, en raison d’une fraude informatique subie par son entreprise et de négligences établies de sa part[3] .

Dans des hypothèses plus graves, une « faute de gestion » pourrait même engager la responsabilité personnelle du dirigeant mandataire social, indépendamment de celle de la société.

d) Responsabilité accessoire des prestataires informatiques ou sous-traitants au sens du RGPD

Enfin, la responsabilité peut s’étendre aux prestataires informatiques auxquels l’entreprise confie, de tout ou partie, la sécurité de ses systèmes d’information, infrastructures ou données. C’est le cas, par exemple, des prestataires chargés de l’hébergement, l’infogérance, la supervision, la sauvegarde, la sécurité informatique ou la sous-traitance du traitement de données personnelles. Si l’atteinte a été rendue possible ou aggravée du fait de l’exécution défectueuse de leur prestation, l’entreprise cliente pourrait rechercher leur responsabilité contractuelle pour faute.

En matière de données personnelles, le « sous-traitant » au sens du RGPD n’est pas non plus exempt de responsabilités en cas de violation : même si le responsable du traitement supporte l’essentiel des obligations réglementaires à l’égard des tiers, le prestataire qui traite ces données sur la base de ses instructions pourra engager sa responsabilité en cas de manquement aux obligations qui lui incombent.

Que faire en cas de cyberattaque ?

Une cyberattaque ne se traite pas dans le désordre et l’improvisation. L’urgence commande d’agir vite, mais surtout avec raison et méthode, en ayant présent à l’esprit les impératifs juridiques et pratiques.

a) Contenir immédiatement l’attaque et préserver les preuves

La priorité consiste à limiter l’aggravation du dommage : isoler les systèmes compromis, restreindre les accès, suspendre certains flux ou services si nécessaire, sans omettre de préserver les éléments de preuve utiles à l’analyse ultérieure des faits (par exemple au moyen d’un constat par un commissaire de justice, assisté le cas échéant d’un expert en informatique).

b) Mesurer l’étendue des atteintes et dommages et identifier les risques d’atteintes à la réputation

Il faut ensuite identifier ce qui a été touché : systèmes, données, services, tiers concernés. L’entreprise doit apprécier la gravité des atteintes, le risque de réitération, la nature des données compromises et l’ampleur des dommages causés ou susceptibles de survenir, fût-ce au préjudice d’autrui. L’évaluation permet, notamment, de déterminer s’il y a lieu d’effectuer certaines notifications, y compris aux tiers.

Le risque de dommage réputationnel doit être également considéré en vue d’élaborer un plan d’action.

c) Lancer une enquête interne, communiquer en interne et prendre des mesures correctives urgentes

La cyberattaque révèle souvent des défaillances plus anciennes : défaut de procédure, erreur humaine, cloisonnement insuffisant, prestataire mal encadré, consignes de sécurité mal appliquées. Une enquête interne permet d’en identifier les causes, d’écarter le risque de complicités internes, de communiquer à destination des collaborateurs et de mettre à jour sans délai les procédures de sécurité.

d) Définir un plan d’action

Ici, la réponse à la crise cesse d’être strictement technique et opérationnelle. Parallèlement à ces mesures, l’entreprise doit arrêter un plan d’action cohérent et structuré : priorités de rétablissement, mobilisation des prestataires et des services internes compétents, audit des contrats et des procédures d’information, qualification des obligations légales et réglementaires, préparation des notifications éventuelles. À ce stade, l’appui d’une direction juridique expérimentée et, au besoin, d’un cabinet d’avocats spécialisé, permet souvent d’éviter des erreurs de qualification, des réactions contradictoires ou inadaptées ou des omissions ou erreurs stratégiques lourdes de conséquences.

e) Effectuer les notifications requises s’il y a lieu

Lorsque l’attaque affecte des données personnelles ou relève d’un secteur « réglementé », certaines notifications peuvent s’avérer obligatoires, notamment auprès de la CNIL, voire de l’ANSSI (pour les entreprises opérant dans certains secteurs d’activités) et, selon les cas, d’autres autorités compétentes. Lorsque l’atteinte aux données présente un risque élevé, la notification aux tiers concernés s’imposera également aux termes des dispositions du RGPD.

Les contrats conclus avec les clients ou partenaires de l’entreprise requièrent parfois une information en pareil cas ou le recommandent pour préserver la confiance et la réputation. Toutefois, en cas d’une cyberattaque bénigne, la question de l’opportunité d’une notification se posera. Elle cesserait en tout cas d’être obligatoire en dehors d’une obligation contractuelle, sous réserve des secteurs réglementés.

f) Déposer une plainte pénale

Le dépôt d’une plainte pénale permet de qualifier juridiquement les faits, de signaler l’infraction et préserver la voie répressive, les recours et les garanties offertes par les polices d’assurances couvrant ce type de risques. A noter : il existe un parquet du Tribunal Judiciaire de Paris spécialisé dans la cybercriminalité (section J3) ; un dépôt entre ses mains permet d’espérer une plus grande efficacité et célérité dans son traitement.

g) Déclarer le sinistre à l’assureur

Enfin, l’entreprise vérifiera sans délai les garanties susceptibles de jouer et déclarera le sinistre dans les formes et délais prévus au contrat d’assurance afin de bénéficier d’une couverture financière.

 

En conclusion 

Une cyberattaque n’est jamais un simple incident informatique appelant des mesures techniques. Elle met à l’épreuve l’organisation, la chaîne de responsabilités, la communication et les procédures de sécurité, les contrats avec les prestataires extérieurs et la discipline juridique de l’entreprise. Le droit évolue dans le sens d’un renforcement des obligations de sécurité et de résilience des entreprises ainsi que d’une responsabilité accrue des dirigeants en matière de cybersécurité (la directive européenne « NIS2 », qui sera prochainement transposée en droit français, en atteste).

 

[1] V. Le Monde, 7 avr. 2026, « Cybersécurité : Anthropic restreint le lancement de son dernier modèle d’IA pour prévenir les risques de cyberattaque ». Le quotidien rapporte que la start-up américaine Anthropic a limité l’accès à son modèle Mythos, en raison de ses performances très élevées dans l’identification de vulnérabilités logicielles et des risques que ferait courir un mauvais usage de telles capacités.

[2] « Loi Godfrain » ou loi no 88-19 du 5 janvier 1988 relative à la fraude informatique, première loi française réprimant les actes de cybercriminalité et de piratage informatique.

[3] CA Paris, Pôle 6, Chambre 8, 5 mars 2026, n°22/06832

La protection internationale des marques de commerce (Volet II)

Atteintes aux marques dans l’environnement numérique

En 2023, la Maison de luxe française Hermès remportait un procès engagé pour atteinte aux marques devant le Tribunal fédéral de New York contre Mason Rothschild. L’artiste américain avait, en 2021, lancé une collection de 100 sacs virtuels conçus par NFTs[1], qu’il vendait dans le « métavers » sous le nom MetaBirkins à un prix proche des produits originaux.

Ces biens virtuels imitaient la forme et la marque du célèbre sac « Birkin » de la maison Hermès. Relevons que le jury n’a pas été convaincu par les arguments tirés de notamment de la démarche artistique et a fait prévaloir le droit des marques eu égard à l’aspect mercantile de l’opération, condamnant l’artiste numérique à des dommages et intérêts et à cesser de vendre ses « Metabirkins ».

Ce cas illustre le fait qu’il est indispensable pour les titulaires de marques déposées de comprendre les mutations de l’environnement numérique et de rester attentifs à leur protection internationale pour lutter contre les risques d’atteinte parasitaire à leur rayonnement et de dilution de leur caractère distinctif. Notre premier volet thématique (publié sur ce blog et sur le site de l'ASFE) expliquait comment protéger les marques à l’international (dépôt, extension…). Celui-ci aborde certains des enjeux juridiques de défense en cas d’atteinte transnationale à des marques dans l’environnement numérique.

Actualité et réalité des atteintes transnationales aux marques sur Internet

La mondialisation des échanges et la dématérialisation des services et des biens rend les atteintes « transnationales » aux marques sur Internet plus fréquentes et protéiformes.

Plateformes d’e-commerce, publicité ciblée, réseaux sociaux, etc., permettent la copie et la diffusion à l’échelle du réseau mondial Internet des signes distinctifs protégés.

Un seul acte (mise en ligne, utilisation d’un hashtag…) suffit à produire ses effets et porter atteinte d’un clic à une marque dans un grand nombre d’États à la fois, voire à l’échelle de la planète. Ceci donne une impression d’ubiquité et d’instantanéité des atteintes et des dommages en résultant. Or, on l’a vu dans le volet I, les marques et leurs atteintes demeurent « territoriales » : la violation du titre de propriété intellectuelle n’existe que là où le signe est protégé et exploité (principe de territorialité).

Dans ces conditions, les opérateurs peuvent parfois éprouver le sentiment d’un combat déséquilibré ou douteux entre un « monde réel » où les lois nationales continueraient de s’imposer aux individus et aux entreprises au sein de frontières des Etats et un « univers virtuel » et dérégulé (parfois métaphoriquement nommé « métavers ») qui échapperait aux lois et à l’espace souverains de ces mêmes Etats.

Mais l’affaire Hermès vs. Mason Rothschild évoquée en introduction montre que les tribunaux, lorsqu’ils sont saisis d’atteintes du fait de l’usage commercial et de l’imitation ou de la copie de marques déposées continuent d’appliquer des principes de droit « classiques » pour prévenir ou réprimer les actes parasitaires ou de contrefaçon qui leur sont soumis, et ce où que leurs auteurs se trouvent sur le globe, de sorte que, pour ainsi dire, « force reste à la loi ».

Résolution d’un cas pratique en droit des marques international

L’hypothèse[2] : une société établie dans une péninsule asiatique a déposé un nom de domaine Glamoorly.com, nom qui correspond à l’adresse d’un site de vente de produits de beauté destinés à un large public féminin. Les offres y sont présentées en malaisien, mandarin, coréen, anglais, allemand, espagnol et français. Les produits peuvent y être achetés en ligne par tout un chacun et en plusieurs monnaies, dont l’euro. Leur livraison est assurée en Asie, en Amérique du Nord et dans divers pays européens, dont la France.

Une « marque d’usage »[3] Glamoorly figure sur ce site en lien avec ces produits et elle consiste, outre ce nom (Glamoor + ly), en un logo de dauphin sous un arc en ciel rose et bleu évoquant des lèvres féminines. Le nom de domaine glamoorly.com a été déposé en 2017 mais les archives du Net montrent que l’exploitation du site n’a débuté qu’en 2022.

Un entrepreneur vous appelle. Il a créé Glamoor en 2015, une SARL basée à Lyon, qui vend depuis des produits cosmétiques destiné aux femmes. Elle a enregistré deux marques Glamoor : marque française en 2018 et marque de l’Union Européenne (MUE) en 2020. La seconde (marque « semi-figurative ») intègre un logo aux tons rose et cobalt figurant un poisson sortant d’une vague et évoquant un sourire de femme. Ses produits sont vendus en boutique et en ligne depuis 2017 sur le site Glamoor.com. Du fait de sa forte croissance, il envisage de poursuivre le développement de son offre aux Etats-Unis, au Canada et en Asie.

Mais le site qu’il vient de découvrir à travers une publicité visant la France inquiète votre interlocuteur. Il aimerait que son concurrent malaisien cesse de tirer profit d’une confusion avec ses produits et ses marques Glamoor, connus aussi bien en France qu’à l’étranger. Mais a-t-il des chances d’obtenir des mesures de cessation ou de restriction, voire une réparation ? Ne risque-t-il pas y de perdre son argent dans une action coûteuse et délicate alors que ses signes sont déjà utilisés depuis plusieurs années sur des territoires où Glamoor n’est pas encore active ? Peut-il faire valoir ses titres pour s’opposer dans les pays où ses marques sont protégées à l’utilisation de signes similaires liés à la vente de produits identiques ou très similaires ?

Qu’allez-vous dire à cet entrepreneur pour le conseiller sur la défense de ses marques ?

Premier réflexe, le bon : vérifier le Code de la Propriété Intellectuelle et la jurisprudence. La réponse est claire. L’utilisation, liée des produits identiques ou similaires, de signes similaires à des marques enregistrés dans un but commercial est une contrefaçon en droit français, dès lorsqu’elle entraîne un « risque de confusion » dans l’esprit du public (article L. 713-2-2° CPI).

L’imitation et l’usage de marques enregistrées, dès lors qu’elle entraîne un tel risque « incluant le risque d’association du signe avec la marque », est strictement interdite. Les jurisprudences française et européenne considèrent que ce risque s’apprécie d’après la perception d’un consommateur moyennement attentif qui n’a pas les deux signes en même temps sous les yeux.

L’élément distinctif dominant de la marque enregistrée (imitée ou reproduite) est prépondérant dans l’appréciation. Selon la jurisprudence, les petites différences (une adjonction insignifiante comme « ly » par exemple) ou les extensions de noms de domaine (« .fr », « .com », etc.) ne modifiant pas l’appréciation globale du risque de confusion. Les signes étant ici très similaires et les produits identiques ou fortement similaires, l’affaire paraît entendue : en droit français et européen, un risque de confusion semble pouvoir être établi, d’autant que les logos de la marque semi-figurative Glamoor et de la « marque d’usage » Glamoorly se ressemblent visuellement (forme, coloris, évocations).

L’action en contrefaçon paraît à portée de main. Vous vous apprêtez à conseiller à votre entrepreneur de faire établir un constat en ligne du contenu du site et des publicités sans plus tarder. Une dernière vérification : oui, les marques jouissent bien d’une antériorité, car si Glamoorly.com a été enregistré en 2017, seule une exploitation effective (qui a débuté en 2022) compte dans l’appréciation. Or, les marques ont été enregistrées plus tôt. Mais un doute vous assaille : les droits français et européens pourront-ils s’appliquer aux atteintes et le juge français sera-t-il compétent pour statuer sur les demandes dans le cadre d’une action contrefaçon à l’encontre de l’exploitant identifié du site marchand ?

L’application des « règles de conflits de lois » et de compétence internationale : loi du lieu de protection et notion de « public ciblé »

Principe : le litige doit être résolu selon la loi du pays pour lequel la protection de la marque est revendiquée (règle de conflit de lois consacrée par l’article 8 du Règlement (CE) n°864/2007 « Rome II »). Où que soit localisé l’auteur de l’atteinte, la contrefaçon d’une marque française relèvera de la loi française, celle d’une marque américaine du droit américain (Lanham Act), celle d’une marque de l’UE du droit européen (Règlement (UE) 2017/1001), etc. On constate que cette règle aboutit à une pluralité de droits applicables en cas d’atteinte (par définition transnationale) à une marque sur Internet : chaque juge saisi exigera d’apprécier l’action soumise selon le droit de son propre Etat. Cela arrangeait notre entrepreneur lyonnais, mais est-ce si sûr ?

Le correctif jurisprudentiel du « public ciblé ». La jurisprudence européenne a affiné l’analyse de cette règle pour l’adapter à l’Internet : ainsi, la simple accessibilité d’un site depuis le territoire couvert par la marque ne suffit pas à caractériser l’acte d’atteinte à la marque sur ce territoire nécessaire pour rendre la loi applicable. Il faut des indices matériels prouvant que l’offre de vente ou la publicité est effectivement destinée aux consommateurs de ce territoire. Parmi les indices de « ciblage » pris en compte par les juges français et de l’UE, on citera : la référence explicite au public du pays ou de l’Etat membre dans les offres ou les publicités, le libellé des prix en monnaie du pays ou de la zone ciblée, la langue, les lieux de livraison desservis, etc.

Ainsi, quelle que soit la localisation de l’exploitant du site, dès lors qu’il cible le public d’un pays (i.e. même si le site est localisé en dehors), la contrefaçon d’une marque sera soumise au droit du pays de protection. A l’inverse, si des signes contrefont une marque mais que le public du pays de protection n’est pas visé par le site, le droit de ce pays ou de cette zone géographique ne s’appliquera pas. Un examen préalable et concret au cas par cas est indispensable.

Dans notre cas, deux indices démontrent que les publics européen et français sont délibérément visés par le site Glamoorly.com : les produits vendus en ligne sont décrits en plusieurs langues européennes, y compris le français ; les prix sont aussi libellés en euros ; ils peuvent être livrés dans plusieurs pays de l’UE dont la France ; enfin, des publicités ciblées visent même le public français. Les droits européen et français devraient donc pouvoir être appliqués respectivement aux atteintes à la MUE et la marque française. Si toutefois l’offre n’avait été rédigée qu’en anglais, en monnaie locale ou en dollars et si aucune livraison n’était assurée au sein de l’UE et en France, l’appréciation eût été bien différente.

Compétence des tribunaux. Le critère du public ciblé détermine aussi cette question. Pour qu’un juge français ou de l’Union européenne puisse statuer sur une atteinte à des marques française et de l’UE commise sur Internet par un site marchand situé hors UE, il faut qu’il cible le public français et/ou de l’Union européenne (indices cités plus haut) et que les dommages liés se matérialisent sur le territoire français ou de l’UE (ce sera le cas si ces marques sont exploitées dans ces territoires). Dans notre exemple, nous en conclurons que la société Glamoor pourrait saisir un juge français de ses demandes. Vous l’aviserez de se pourvoir devant le Tribunal judiciaire de Paris, seule juridiction compétente en France pour statuer sur une MUE. La question des difficultés d’exécution de la décision obtenue restera entière, toutefois.

CONCLUSION

Outre les actions judiciaires « classiques » évoquées plus haut, les règlements alternatifs que sont l’arbitrage et la médiation proposés par des organismes internationaux tels que l’OMPI, l’EUIPO et d’autres offices régionaux, peuvent offrir une alternative plus rapide, moins coûteuse (ex : procédure UDRP pour les noms de domaine) et plus simple que l’obtention d’un jugement de condamnation en contrefaçon, qu’il faudra ensuite signifier et faire exécuter contre l’opérateur établi à l’étranger.

Prévenir reste donc la visée première. La mise en place d’une surveillance des marques et la formalisation de clauses (droit applicable et « élection de for ») dans les contrats internationaux (licence, partenariat, etc.) est un premier niveau de prévisibilité en cas de litiges. Mais agir et assurer une défense (judiciaire ou extra-judiciaire) des marques reste indispensable en cas d’atteintes avérées. Compte tenu de la complexité de tels litiges, nous ne saurions trop vous conseiller de vous faire assister à cet effet par un expert qualifié.

Maître Guillaume LE LU

Avocat en droit de la propriété intellectuelle et des technologies numériques

[1] Non-Fongible Tokens : fichiers numériques auxquels sont attachés le certificat d’authenticité numérique qui permet d’identifier ces sacs virtuels comme des objets uniques.

[2] L’exemple est fictif : vous pouvez vérifier, les deux sites Internet cités n’existent pas… du moins à ce jour.

[3] Une « marque d’usage » est une marque non-enregistrée. En France, une telle marque ne constitue pas un titre de propriété intellectuelle opposable aux tiers, car seul l’enregistrement le confère (article L. 713-1 CPI), sauf régime de protection particulier (sans titre) de la marque dite « notoire » (article L. 713-5 CPI).

 

La protection internationale des marques de commerce (Volet I)

En 2016, Apple perdait à Pékin un procès en appel contre une modeste entreprise locale qui accolait IPHONE sur des produits de maroquinerie (parmi lesquels des étuis en cuir pour téléphones portables), une marque déposée en Chine par l’entreprise chinoise en 2007, l’année du lancement de la commercialisation mondiale du célèbre « iPhone ». Apple échouait ainsi à faire respecter une marque emblématique malgré l’antériorité de son dépôt en Chine (2002). Ce pays a valu bien d’autres déboires à la multinationale cofondée par Steve Jobs. Même si d’autres facteurs peuvent aussi expliquer un faible engouement du public chinois et la modeste part de marché dont jouissent les produits d’Apple sur ce territoire, l’exemple illustre la nécessité – pour les entreprises désireuses d’exporter leurs produits ou services voire de s’implanter à l’étranger – de se pencher sérieusement sur la question de la protection internationale des marques.

Qu’est-ce que le « principe de territorialité » ?

Les droits de propriété intellectuelle ont un caractère territorial. Une marque est un bien immatériel. Par définition, il peut être présent partout à la fois ou se diffuser hors frontières (ubiquité). Il suffit de songer à une plateforme de « e-commerce » agrégeant des quantités d’offres de produits de marque et permettant leur achat en ligne par des millions d’internautes pour se représenter un tel « don ». Mais le droit sur les marques reste quant à lui territorial, car il est nécessaire qu’une loi nationale les définisse et fixe souverainement le régime de leur protection. D’où un principe de territorialité, qui signifie qu’une marque ne fait l’objet d’une protection (c’est-à-dire d’un monopole) que dans les limites du territoire du pays où celle-ci a été enregistrée[1].

Ainsi, par exemple, une marque déposée par une entreprise à l’INPI (marque française) ne lui confère une exclusivité que sur le territoire français. Un concurrent pourra donc utiliser librement un signe distinctif identique ou similaire dans un pays où cette marque n’est pas encore protégée, sans encourir la sanction de la contrefaçon, même si le signe désigne des produits ou services identiques ou similaires[2].

Pourquoi protéger ses marques à l’international ?

Ceci rend nécessaire de choisir une stratégie destinée à protéger ses marques et logos à l’international et ainsi limiter les risques d’appropriation des mêmes signes distinctifs par des tiers, de « dépôts parasites », de dilution ou dégénérescence de la marque, faits qui portent atteinte aux fonctions essentielles de la marque et à son caractère distinctif et peuvent contrarier l’entrée ultérieure d’une entreprise sur les marchés qu’elle cible. Anticiper l’extension ou le dépôt de marque à l’international permet d’accompagner les évolutions ultérieures de l’entreprise et de sécuriser l’image de ses produits et services et de ses marques auprès des clients avant même l’accès au marché.

Quels sont les options et outils de protection d’une marque à l’international ?

Lorsqu’une entreprise entend protéger sa marque à l’international, elle doit articuler le principe de territorialité avec les outils juridiques internationaux.

Voici les principales options :

A. Dépôt national (par ex. auprès de l’INPI) suivi d’une extension à l’international

Pour prendre le cas d’une entreprise opérant depuis la France, un premier dépôt peut être fait auprès de l’INPI. Ce dépôt, en vertu du principe exposé plus haut (1°), protège la marque seulement en France. Mais cet enregistrement peut servir de base à une ou plusieurs extensions internationales via des procédures ad hoc. Cet enregistrement premier (dépôt de base) permet de faire bénéficier aux marques « réflexes » déposées ensuite dans d’autres pays de la date du premier dépôt de marque, à condition d’être réalisé dans les six mois (« délai de priorité ») en vertu de l’article 4 de la Convention de l’Union de Paris (« CUP »). Le titulaire de ce droit de priorité peut déposer la marque dans tout autre pays membre de cette convention internationale (CUP) sans risquer de se voir opposer l’antériorité d’un dépôt intervenu entretemps. La CUP lie à ce jour 181 pays membres (source : wipo.com), dont la France, ce qui confère à ce droit de priorité « unioniste » une grande portée pratique.

B. Dépôt d’une marque de l’Union Européenne après de l’EUIPO

La demande de dépôt d’une marque de l’Union Européenne (MUE) est réalisée auprès de l’EUIPO (Office de l’Union Européenne pour la Propriété Intellectuelle). Elle présente des avantages et inconvénients par rapport aux autres options :

• Avantages : un seul dépôt assurant la protection de la MUE selon un régime uniforme dans les 27 pays membres de l’Union ; les frais sont plus élevés que pour un seul dépôt national (par ex. auprès de l’INPI) mais moindres qu’un dépôt divisé entre chacun des pays ciblés ; contrairement à une marque internationale ou à des dépôts nationaux multiples, la MUE n’est pas divisible.
• Inconvénient : si la MUE est invalidée (après son enregistrement par l’EUIPO) dans l’un des pays membres, cela peut affecter le dépôt dans l’ensemble de l’UE sachant qu’il s’agit d’un titre unitaire.

C. Dépôt d’une marque internationale en vertu du « système de Madrid » (OMPI)

Le « système de Madrid » permet un dépôt international centralisé traité par l’OMPI (Organisation Mondiale de la Propriété Intellectuelle) : un seul dépôt de la marque dans plusieurs pays membres à la fois.

A partir d’un dépôt de base de marque dans un Etat membre du « système », le titulaire effectue une demande de marque internationale désignant les pays ciblés (en France, auprès de l’INPI, qui la transmet à l’OMPI), dans une seule langue et moyennant une redevance unique globale. L’OMPI enregistre cette marque, puis chaque office national désigné procède à un examen selon la loi de son pays. Il ne s’agit pas un titre unitaire : la marque internationale est divisible et équivaut à un ensemble de marques nationales déposées dans chaque pays désigné, pouvant être acceptées ou refusées pays par pays.

L’avantage de cette procédure est sa simplicité, sa souplesse et son économie : un seul dépôt auprès d’un « guichet unique » permet d’étendre la protection jusqu’à 131 pays, de moduler la protection dans chaque pays choisi et de faciliter les modifications et renouvellements grâce à une gestion centralisée par l’OMPI. En outre, en cas de refus dans un pays, les enregistrements dans les autres pays restent en vigueur, à la différence de ce qui se produit avec un titre « unitaire » (ex : MUE).

D. Les enregistrements de marque directs auprès des différents offices nationaux

L’ultime option examinée est un enregistrement pays par pays, via les offices nationaux compétents (ex : USPTO aux États-Unis, JPO au Japon, OAPI en Afrique, etc.). Le recours à cette option est utile si un pays dans lequel un dépôt est souhaité n’est pas signataire du « système de Madrid » (C) ou si une stratégie de dépôt sur-mesure s’impose eu égard à la situation. Cette option semble adaptée à des dépôts ciblés limités à quelques pays et permet de diviser les dépôts et de répartir les dates et coûts d’enregistrement selon l’évolution des besoins. Ses inconvénients sont des coûts plus élevés liés à la multiplicité des offices (absence de « guichet unique »), aux frais de traduction et éventuellement d’intervention de conseils voire de mandataires locaux, et une lourdeur administrative, sans parler de la durée des démarches, sachant que le facteur temps est dans certains cas déterminant.

Choisir une stratégie adaptée et cohérente

Dans tous les cas, il convient de définir la stratégie la plus adaptée à chaque situation, en prenant en compte le plan marketing de l’entreprise et les paramètres des options, en visant prioritairement les marchés importants en termes de développement et où l’entreprise compte exploiter sa (ou ses) marque(s) à court terme. Il faut aussi prendre garde aux régimes juridiques locaux et aux risques concurrentiels variables suivant les pays ou les zones géographiques ciblés.

Il est également envisageable de panacher ces options en fonction de la configuration. Exemple : commencer par un dépôt de base à l’INPI avant d’envisager une extension à l’international via le « système de Madrid », le dépôt d’une MUE et/ou d’autres dépôts « régionaux » pour les pays cibles non-membres du « système ». N’oublions pas que l’on peut aussi choisir de déposer des noms de marques ou des logos distincts en France et ailleurs dans le monde pour désigner un même produit ou service (stratégie de marque locale versus marque globale) – exemple : marque Lay’s en France et Walkers en Irlande et au Royaume-Uni désignant un même produit alimentaire.

L’essentiel est d’anticiper cette problématique et de la gérer avec cohérence afin de bâtir un portefeuille de marques adapté à son plan de développement et de permettre une défense internationale efficace des marques déposées, comme on le verra dans le prochain volet de l’article sur cette thématique.

Maître Guillaume LE LU

Avocat en droit de la propriété intellectuelle et des technologies numériques

[1] Ou dans le territoire où une « marque d’usage » (i.e. marque non-enregistrée) est utilisée, sachant que certains pays lui reconnaissent un caractère juridiquement protégeable (mais ce n’est pas le cas en droit français, sous réserve du cas particulier de la « marque notoire » : voir note 2).

[2] Sous réserve de la marque « notoire », c’est-à-dire largement connue (ex-type : Coca-cola), protégée même en l’absence de dépôt sur le territoire, en cas d’atteinte créant un risque de confusion (art. 6 CUP).