Global Security Magazine. Février 2009

 

LES BASES DE DONNÉES SOUS LA PROTECTION DE LA LOI

 

Par Eric A. Caprioli, Avocat à la Cour de Paris, docteur en droit

Les bases de données constituent un élément essentiel du patrimoine informationnel des entreprises. La loi du 1er juillet 1998, relative à la protection des bases de données, a transposé dans le code de la propriété intellectuelle (CPI) la directive européenne du 11 mars 1996. Très souvent, les bases de données représentent des investissements financiers et professionnels importants pour la collecte, le traitement et le stockage des informations qu'elles contiennent. La loi vise à leur conférer le statut de créations intellectuelles à part entière.

L'originalité de la protection des bases de données réside dans la dualité du régime au profit du producteur, ces protections étant cumulables (art. L. 341-1 al. 2).

Protection du droit d'auteur : L'article L. 112-3 alinéa 2 du code de la propriété intellectuelle énonce que les bases de données sont protégées par le droit d'auteur et donne leur définition : « un recueil d'œuvres, de données ou d'autres éléments indépendants, disposés de manière systématique ou méthodique, et individuellement accessibles par des moyens électroniques ou par tout autre moyen ». Cette définition englobe toutes les bases de données, quels que soient leur forme et leur support (électronique et papier). Conformément au droit d'auteur, la base ne sera protégeable qu'à condition qu'elle soit originale « par le choix ou la disposition des matières » (art. L. 112-3, al. 1), car il ne s'agit pas ici de protéger le contenu, mais seulement la forme originale de la base. L'œuvre est ainsi protégée pour une durée de soixante-dix ans à compter du premier janvier suivant le décès de l'auteur (article L. 123-1).

Protection de l'investissement : Les articles L. 341-1 à L. 343-4 du CPI encadrent la protection juridique du contenu des bases de données en protégeant le producteur qui « atteste d'un investissement financier, matériel ou humain substantiel » (art. L. 341-1 al. 1). Cette protection a une durée de quinze ans à compter du premier janvier suivant l'achèvement de la fabrication de la base de données, et est renouvelable à chaque nouvel investissement substantiel (art. L. 342-5).

La législation consacre le droit des producteurs de bases de données

L'article L. 341-1 CPI impose un « investissement financier, matériel ou humain substantiel » du producteur concernant « la constitution, la vérification ou la présentation » du contenu de la base.

A l'occasion de trois arrêts du 9 novembre 2004, la Cour de Justice des Communautés Européennes a précisé les critères d'appréciation de l'investissement substantiel, (art. 7.1 de la directive et art. L. 341-1 du CPI). Les investissements à prendre en compte sont ceux liés à l'obtention du contenu de la base (les moyens consacrés à la recherche d'éléments existants et à leur rassemblement), à la vérification du contenu en vue d'assurer la fiabilité de l'information, et à la présentation du contenu (son agencement et l'organisation de son accessibilité). Mais les investissements liés à la création des éléments de la base ne sont pas à prendre en compte.

En France, les juges appliquent ces critères, comme le montre une affaire du TGI de Strasbourg du 22 juillet 2003, dans laquelle une société avait diffusé sur Internet le contenu d'une base de données alors qu'elle était seulement autorisée à l'utiliser pour ses propres besoins. Le tribunal a estimé que la création d'un fichier organisé regroupant de nombreuses informations sur la totalité des communes françaises a nécessité un investissement substantiel. Pour l'appréciation du caractère substantiel, il n'y a pas lieu de rechercher les investissements lors de la création de la base, conformément à la jurisprudence de la CJCE. Le critère de l'investissement substantiel peut parfois être retenu assez facilement, comme dans une affaire du TGI de Paris du "http ://www.legalis.net/jurisprudence-decision.php3 ?id_article=120" 25 avril 2003, où l'exploitation illicite portait sur l'utilisation par un syndicat de l'entreprise Sonacotra d'une base de données regroupant des courriels de salariés. Même si « les dépenses générées par la base de données sont difficilement séparables de celles liées à l'installation et au fonctionnement de la messagerie », le juge considère qu'il y a eu un « investissement financier et humain substantiel », notamment en raison des mises à jour régulières de la base. La preuve de l'investissement substantiel a été constituée par les factures globales de création du système de messagerie dont la base de données ne représente qu'une partie, ce qui démontre que le critère de l'investissement a été apprécié plutôt largement.

Les sanctions des violations des droits du producteur de bases de donnés pleuvent

La loi prévoit que le producteur de bases de données a le droit d'interdire l'extraction ou la réutilisation par la mise à la disposition du public de la totalité ou d'une partie qualitativement ou quantitativement substantielle du contenu de sa base (art. L. 342-1 CPI). Il peut également interdire l'extraction ou la réutilisation répétée et systématique de parties non substantielles (art. L. 342-2 CPI). Mais l'article L. 342-3 du CPI prévoit des exceptions : le producteur ne peut interdire l'extraction ou la réutilisation de parties non substantielles, ou à des fins privées pour les bases de données non électroniques, ou pour la consultation par des personnes handicapées ou à des fins pédagogiques ou de recherche.

Les articles L. 343-1 à L. 343-4 prévoient les sanctions pénales applicables en cas d'atteintes aux droits d'un producteur de bases de données. La personne physique agissant seule encourt une peine de trois ans d'emprisonnement et 300.000 euros d'amende (hors dommages intérêts octroyés à la partie civile).

Le Tribunal de Commerce de Paris a ordonné en référé (18 juin 2008) à la société IIEESS de cesser, sous astreinte de 5.000 euros par infraction constatée, la diffusion d'un logiciel qui extrait de manière automatique des données du site www.société.com. L'extraction d'une partie substantielle de la base violait l'article L. 342-1 du CPI. Par un jugement du 20 juin 2007, le TGI de Paris a interdit l'extraction et la réutilisation d'une partie qualitativement substantielle de la base de données Infocentre du PMU, qui réunissait des informations sur les courses françaises pour les parieurs. Le défendeur a été condamné à verser 120.000 euros de dommages et intérêts en réparation du préjudice subi. Le tribunal de commerce de Paris (jugement du 8 décembre 2006) a condamné l'extraction d'une partie quantitativement substantielle du contenu d'une base de données de la société Motor Presse France répertoriant des terrains des campings situés en France, et a condamné le défendeur à payer 30.000 euros de dommages et intérêts.

Si la protection juridique des bases de données existe, il n'en demeure pas moins qu'elle intervient avant et après l'atteinte au droit du producteur (la règle et sa sanction). Aussi, est-il indispensable d'en assurer une protection technique sécurisée afin de prévenir les atteintes ? Comme pour toute action liée à la sécurité des SI, les dimensions juridiques, technique et organisationnelle doivent être étroitement imbriquées.