L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureLa justice renvoie la Ville de Paris dans ses cordes face à Abritel
Les Parisiens ne peuvent louer leur bien plus de 120 jours par an. Mais faute d’avoir bétonné leur dispositif juridique, les services d’Anne Hidalgo ont échoué à obtenir d’Abritel les données permettant de le vérifier.
Pour lutter contre la pénurie de logements destinés à la location, la ville de Paris et les grandes agglomérations peuvent réclamer des plateformes comme Airbnb et Abritel, le nombre de jours durant lesquels leurs membres ont loué leur bien. Ces locations meublées touristiques deviennent en effet illégales lorsqu’elles dépassent le seuil de 120 jours par an. Ces informations sont à communiquer obligatoirement sous menace de lourdes sanctions. C’est dans ce contexte que le 28 janvier 2021, la Ville de Paris a assigné Homeaway UK Limited devant le président du tribunal judiciaire de Paris. Maison-mère à l’époque d’Abritel - la plateforme appartient depuis à EG Vacation Rentals Ireland Limited - s’est vu reprocher de ne pas lui avoir transmis dans les délais la liste des locations effectuées par son intermédiaire. En justice, la municipalité a réclamé la bagatelle de 93,75 millions d’euros d’amende civile. Seulement, comme le révèle l’Informé, le 30 novembre dernier, le tribunal judiciaire de Paris a douché ses prétentions, sur l’autel du règlement général sur la protection des données (RGPD).
Si Abritel a refusé de transmettre ces informations, alors qu’elle le fait déjà pour d’autres villes en France, c’est en raison de lourdes incertitudes sur la conformité de ce transfert avec le texte européen : la municipalité parisienne avait demandé à Abritel de lui envoyer ces données en utilisant un lien spécifique : « https://ged-du-dtdf.apps.paris.fr/alfresco/ (...) ». Alfresco est un prestataire spécialisé dans la gestion documentaire avec des solutions open source. Problème : les conditions d’utilisation du site officiel, rebaptisé en 2021 « Hyland UK Operations Limited », préviennent que les données recueillies sont transférées vers l’Ohio, aux États-Unis. Une particularité que n’a pas manqué d’exploiter le cabinet Herbert Smith Freehills Paris LLP, avocat d’Abritel. C’est à ce stade que la demande de la ville s’est écrasée sur le mur du RGPD.
Des transferts transatlantiques risqués
Pour comprendre, il faut revenir un instant à la jurisprudence de la Cour de justice de l’Union européenne, très pointilleuse sur la question des transferts transatlantiques. Depuis son importante décision « Schrems II » du 16 juillet 2020, les responsables de traitement de données doivent, comme le résume la CNIL, « évaluer les conditions encadrant les transferts et de mettre en place des mesures adaptées pour garantir que ces données font l’objet d’une protection substantiellement équivalente à celle garantie dans l’Union européenne ». En clair, ils doivent s’assurer que les données vont être bien sécurisées aux États-Unis, ce qui n’est pas en soi une évidence au regard des programmes de surveillance en vigueur outre-Atlantique.
Pour dénouer le litige, le tribunal s’est livré à une analyse en trois temps : d’abord, il n’a pas eu de mal à rattacher le listing des locations à la catégorie des données personnelles : ces informations permettent « de connaître l’adresse précise de biens immobiliers pouvant appartenir à des personnes physiques, pouvant constituer leur résidence principale et décrivant avec précision leur localisation et leur utilisation par le propriétaire comme meublé de tourisme ». Elles « relèvent, à l’évidence, des données à caractère personnel » et le RGPD s’applique dans toute sa vigueur.
S’agissant ensuite de la répartition des rôles, Abritel a été reconnu responsable des traitements mais seulement pour les données recueillies à des fins commerciales lors des mises en relation entre loueurs et internautes. La Ville de Paris endosse cette même casquette dès lors qu’elle réclame et obtient la transmission des données. « L’intermédiaire pour la location de meublés de tourisme est donc responsable de traitement avant la transmission des données, la ville est responsable de traitement après leur transmission », en déduit la juridiction.
La Ville de Paris condamnée à payer 20 000 euros à Abritel
Ces deux préalables posés, le tribunal a enfin constaté l’existence d’une grave lacune : en tant que responsable de traitement, la Ville de Paris aurait dû démontrer d’une manière ou d’une autre « que les données exigées, fondant la demande d’amende civile, respectent les conditions fixées par [la jurisprudence européenne] ». En l’absence d’une telle preuve, les services municipaux n’ont pas démontré que l’opérateur d’Abritel.fr « pouvait communiquer de manière licite lesdites données (…). »
La demande de la municipalité a donc été rejetée. La Ville de Paris a même été condamnée à payer à la plateforme la somme rondelette de 20 000 euros au titre des seuls frais de justice. Pour la petite histoire, avant ce bras de fer judiciaire, Abritel avait bien sollicité la signature d’un accord pour détailler les « mesures organisationnelles appropriées » destinées à encadrer le transfert de données des loueurs, mais Anne Hidalgo a refusé, estimant que la législation sur les locations meublées n’avait rien prévu de tel.
La Ville de Paris conteste stocker les données aux États-Unis
Contacté par l’Informé, Ian Brossat, maire adjoint de Paris en charge du logement, nous indique néanmoins que la ville va faire appel de la décision. Des données stockées aux États-Unis ? « C’est rigoureusement faux » embrayent ses services, contactés eux aussi par l’Informé. « Les données sont bien hébergées sur des serveurs de la Ville de Paris et en aucun cas ne sont transmises à des pays tiers. La Ville de Paris utilise en effet la solution open source Alfresco mais en l’installant et la paramétrant sur ses propres serveurs ». Selon nos interlocuteurs, les arguments d’Abritel ont été soulevés la veille de l’audience et le juge n’a pas rouvert les débats. « Nous n’avons donc pas pu répondre sur ce point, à notre grand regret ».
Télécharger le jugement du tribunal judiciaire de Paris du 30 novembre 2022
