Extraction de données et web scraping : LCD, contrat, accès indu

Droit du numérique & propriété intellectuelle · Master 1

Licéité du web scraping en droit suisse : LCD, conditions d'utilisation, accès indu et LPD.

Introduction

Le web scraping désigne la collecte automatisée de données sur des sites web au moyen de robots. Il alimente la veille concurrentielle, les comparateurs de prix, la recherche académique et, de plus en plus, l'entraînement de modèles d'intelligence artificielle. Parce que la Suisse ne connaît pas de droit sui generis sur les bases de données, la licéité du scraping dépend d'un faisceau de règles : contrat, concurrence déloyale, droit pénal informatique, droit d'auteur et protection des données.

Sur le plan contractuel, les conditions d'utilisation d'un site peuvent interdire l'extraction automatisée ; leur force obligatoire dépend de leur acceptation effective par l'utilisateur et de leur conformité aux règles sur les conditions générales. En droit de la concurrence déloyale, l'art. 5 let. c LCD réprime celui qui reprend tel quel, au moyen d'un procédé technique de reproduction, le résultat du travail d'un tiers prêt à être mis sur le marché, sans engagement de ressources propres correspondant.

Au plan pénal, l'accès indu à un système informatique (art. 143bis CP) suppose de pénétrer dans un système spécialement protégé contre tout accès ; des données librement accessibles ne sont en principe pas concernées, tandis que le contournement de mesures techniques d'accès peut l'être. Enfin, si les données collectées sont des données personnelles, la LPD s'applique même si elles étaient publiques : finalité, proportionnalité, information et sécurité.

Objectifs d'apprentissage

Qualifier un scraping au regard de l'art. 5 let. c LCD
Évaluer la portée contraignante des conditions d'utilisation d'un site
Délimiter l'accès indu à un système informatique (art. 143bis CP)
Appliquer la LPD aux données personnelles récoltées, même publiques
Proposer des mesures juridiques et techniques de défense contre le scraping

Concepts clés

Reprise d'un résultat de travail: L'art. 5 let. c LCD vise la reprise telle quelle, par un procédé technique de reproduction, d'un résultat de travail d'un tiers prêt à être mis sur le marché, sans investissement propre correspondant. Une extraction systématique d'une base de données de valeur peut y tomber, selon l'ampleur et l'usage.
Conditions d'utilisation: Une interdiction de scraping dans les conditions d'un site n'oblige que les utilisateurs qui les ont acceptées, de manière claire. Une simple mention en pied de page est de force probante faible ; un click-wrap est plus solide.
Accès indu (art. 143bis CP): L'infraction suppose la pénétration sans droit, au moyen d'un dispositif de transmission de données, dans un système appartenant à autrui et spécialement protégé contre tout accès de la part de l'auteur. Un contenu public non protégé est en principe hors champ ; le contournement d'authentification ou de blocage technique peut y entrer.
Données personnelles collectées: La LPD s'applique aux données personnelles même publiques : licéité, bonne foi, proportionnalité, finalité reconnaissable, devoir d'information et sécurité. Le caractère public d'une donnée n'autorise pas tout traitement.
Défense technique et contractuelle: Limites de débit, CAPTCHA, authentification, fichier robots.txt, clauses contractuelles et surveillance renforcent la position du titulaire. Elles constituent aussi des indices pour établir la volonté de limiter l'accès, utile aux qualifications pénales.

Conclusion

L'absence de droit sui generis suisse fait du scraping un terrain où s'enchevêtrent plusieurs régimes. La LCD offre un levier utile contre la reprise parasitaire d'un résultat de travail, le contrat renforce la position du titulaire s'il est valablement accepté, et le droit pénal n'intervient que si des protections techniques sont contournées.

La LPD impose, dès que des données personnelles sont en jeu, des règles indépendantes du caractère public des informations. Le praticien doit donc traiter chaque cas par une analyse cumulative plutôt que de chercher une réponse unique.

Cartes

Qu'est-ce que le web scraping ?: La collecte automatisée de données sur des pages web par un robot ou un script.
Quelle disposition de la LCD vise la reprise d'un résultat de travail d'autrui ?: L'art. 5 let. c LCD.
Quelles conditions pose l'art. 5 let. c LCD ?: Reprise telle quelle d'un résultat de travail d'un tiers prêt à être mis sur le marché, par un procédé technique de reproduction et sans engagement de ressources propres correspondant.
Un scraping de quelques données publiques isolées tombe-t-il en principe sous l'art. 5 let. c LCD ?: Rarement : l'ampleur et le caractère systématique de la reprise, ainsi que l'absence d'investissement propre, sont déterminants.
Les conditions d'utilisation d'un site lient-elles automatiquement tout visiteur ?: Non : elles doivent avoir été acceptées de manière claire ; un click-wrap est plus solide qu'une mention discrète.
Quel article du Code pénal vise l'accès indu à un système informatique ?: L'art. 143bis CP.
L'art. 143bis CP s'applique-t-il à une page librement accessible ?: En principe non : le système doit être spécialement protégé contre tout accès de la part de l'auteur.
Le contournement d'un blocage technique ou d'un mot de passe peut-il être pertinent ?: Oui, il peut établir une protection spéciale et fonder un accès indu.
La LPD s'applique-t-elle à des données personnelles publiées sur un réseau social ?: Oui : le caractère public ne dispense pas de respecter les principes de traitement.
À quoi sert un fichier robots.txt ?: À indiquer aux robots les zones à ne pas explorer ; il n'a pas de force obligatoire en soi mais peut constituer un indice de la volonté du titulaire.
Quelles mesures techniques freinent le scraping ?: Limitation de débit, CAPTCHA, authentification, détection de comportement automatisé.
Le scraping est-il illicite par principe en Suisse ?: Non, il n'existe pas d'interdiction générale ; la licéité dépend du contrat, de la LCD, du droit pénal et de la LPD selon les cas.

Glossaire

Web scraping: Extraction automatisée de données de pages web à l'aide de programmes.
Click-wrap: Mode d'acceptation de conditions d'utilisation par clic exprès sur une case ou un bouton.
Browse-wrap: Conditions rendues accessibles par un lien discret, sans acceptation active de l'utilisateur ; leur force est discutée.
Accès indu: Infraction consistant à pénétrer sans droit dans un système informatique d'autrui spécialement protégé (art. 143bis CP).
Résultat de travail prêt à être mis sur le marché: Prestation achevée, destinée à être exploitée commercialement, que l'art. 5 let. c LCD protège contre une reprise parasitaire.
Robots.txt: Fichier à la racine d'un site qui indique aux robots les zones qu'ils sont invités à ne pas parcourir.
Finalité: Principe de la LPD selon lequel les données ne sont traitées que pour un but déterminé et reconnaissable.