Introduction
Afin de lutter contre la pénurie de logements destinés à la location, la ville de Paris peut réclamer des plateformes comme Airbnb et Abritel, le nombre de jours durant lesquels leurs membres ont loué leur bien. Ces locations meublées touristiques deviennent en effet illégales lorsqu’elles dépassent le seuil de 120 jours par an.
Il résulte ainsi de l’article L. 324-2-1 du Code du tourisme qu’une commune, ayant mis en œuvre la procédure d’enregistrement des meublés de tourisme, peut demander à l’intermédiaire des informations portant sur les locations de meublés de tourisme de l’année en cours et celles de l’année civile précédente.
L’intermédiaire doit alors transmettre à la commune ces informations pour chaque meublé de tourisme ayant fait l’objet d’au moins une location dans la commune par l’intermédiaire de cette personne. Cet intermédiaire a obligation de communiquer ces informations, sous peine de lourdes sanctions.
C’est dans ce contexte que le 28 janvier 2021, la Ville de Paris a assigné Homeaway UK Limited et EG Vacation Rentals Ireland Limited devant le président du tribunal judiciaire de Paris, en tant que maison-mère de la plateforme Abritel. Homeaway UK s’est vu reprocher de ne pas avoir transmis dans les délais la liste des locations effectuées par son intermédiaire. La ville de Paris réclame à ce titre la somme de 93,75 millions d’euros au titre d’amende civile.
Toutefois, le tribunal judiciaire de Paris a débouté la municipalité, en application du règlement général sur la protection des données (RGPD) et de la jurisprudence Schrems II par un jugement du 30 novembre 2023.
Rappel des apports de l’arrêt Shrems II
L'arrêt Schrems II a été rendue en juillet 2020 par la Cour de justice de l'Union européenne (CJUE). Il a invalidé le "Privacy Shield", un accord entre l'Union européenne et les États-Unis qui permettait aux entreprises de transférer des données personnelles entre l'UE et les États-Unis. Aux termes de cette décision, la surveillance généralisée mise en place par les autorités américaines n'offrait pas de garanties suffisantes de protection des données personnelles conformément aux normes de l'UE.
L'arrêt Schrems II a ainsi mis en évidence la nécessité pour les entreprises de s'assurer que les données personnelles transférées vers des pays tiers (comme les États-Unis) soient protégées conformément aux normes de protection des données de l'UE.
L’application aux faits d’espèces
En l’espèce, Homeaway UK a refusé de transmettre les informations demandées à la ville de Paris, bien qu’elle le fasse déjà pour d’autres villes en France. Pour justifier son refus, la plateforme invoque de lourdes incertitudes sur la conformité de ce transfert avec le texte européen.
En effet, la municipalité parisienne avait demandé à Abritel de lui envoyer ces données en utilisant un lien hébergé sur un site « Alfresco ». Ce dernier est un prestataire spécialisé dans la gestion documentaire avec des solutions open source. Or, les conditions d’utilisation du site officiel, mentionnent spécifiquement que les données recueillies seront transférées vers l’Ohio, aux États-Unis.
C’est à ce stade que la jurisprudence Schrems II s’applique.
Comme souligné précédemment, et en vertu de cette jurisprudence, les responsables de traitement de données sont tenus d’évaluer les conditions encadrant les transferts et de mettre en place des mesures adaptées pour garantir que ces données font l’objet d’une protection substantiellement équivalente à celle garantie dans l’Union européenne.
Autrement dit, les responsables de traitement doivent s’assurer que les données vont être effectivement sécurisées aux États-Unis, ce qui n’est absolument pas une évidence au regard des programmes de surveillance en vigueur outre-Atlantique.
Le raisonnement du Tribunal de Paris
En l’espèce, le raisonnement du tribunal se décompose en trois temps. Tout d’abord, l’application du RGPD ne fait ici aucun doute, les données concernées constituent bien des données personnelles.
Ensuite, le tribunal se penche sur la question délicate de l’attribution des rôles. En effet, la ville de Paris soutenait ne pas avoir la qualité de responsable de traitement mais de tiers autorisé. En effet, elle n’avait aucun intérêt à affirmer détenir un tel rôle puisqu’en application de la jurisprudence Schrems II, il lui appartiendrait alors d’évaluer les conditions encadrant les transferts hors UE et de mettre en place des mesures adaptées. Ce qui, de toute évidence, n’avait pas été mis en œuvre.
En outre, le tribunal a reconnu Homeaway UK comme responsable des traitements mais seulement pour les données recueillies à des fins commerciales lors des mises en relation entre loueurs et internautes. Or, selon le tribunal, la Ville de Paris assume également cette responsabilité dès lors qu’elle réclame et obtient la transmission des données. Ainsi, Homeaway UK est donc responsable de traitement avant la transmission des données, la ville de Paris est responsable de traitement après leur transmission.
Dès lors, une obligation d’évaluation des conditions de transfert vers les Etats-Unis pèse sur la ville de Paris, en tant que responsable de traitement. Le tribunal a ici constaté l’existence d’une grave lacune : la Ville de Paris aurait dû démontrer d’une manière ou d’une autre que les données exigées respectent les conditions fixées par la jurisprudence européenne, en l’occurrence Schrems II.
En l’absence d’une telle preuve, les services municipaux n’ont pas démontré que l’opérateur d’Abritel.fr pouvait communiquer de manière licite lesdites données.
La demande de la municipalité a donc été rejetée. La Ville de Paris a été condamnée à payer à la plateforme d’Abritel la somme de 20 000 euros au titre des seuls frais de justice.
Il semble toutefois que la mairie de Paris fera appel de cette décision, contestant notamment les transferts vers les Etats-Unis.