Statut juridique des bases de données et protection par la propriété intellectuelle

À l’ère du numérique, les bases de données sont un outil de travail essentiel pour bon nombre d’entreprises. Ces bases de données constituent ce que l'on peut appeler le patrimoine informationnel. Protéger une base de données implique de sécuriser un actif immatériel tout en préservant la tranquillité de l’entreprise qui la détient.

Définition légale et portée

Une base de données se définit comme "un recueil d'œuvres, de données ou d'autres éléments indépendants, disposés de manière systématique ou méthodique, et individuellement accessibles par des moyens électroniques ou par tout autre moyen" conformément à l'article L.112-3 du Code de la propriété intellectuelle (CPI). Cette définition englobe toutes les bases de données quelle que soient leur forme et leur support (électronique et papier). On peut en déduire que ne constituent pas des bases de données les œuvres audiovisuelles, littéraires et artistiques ou encore musicales, multimédia ou logicielles qui sont des œuvres en elles-mêmes.

La loi du 1er juillet 1998 relative à la protection des bases de données transpose dans le Code de la Propriété intellectuelle la directive européenne du 11 mars 1996. La première innovation majeure de cette harmonisation législative dans l'Union européenne est d'avoir conféré aux bases de données le statut de créations intellectuelles à part entière. Pour la valorisation de ces actifs immatériels, il était indispensable que la loi leur confère une protection spécifique.

Double régime de protection : droit d'auteur et droit sui generis

Les bases de données bénéficient d'une double protection : le droit sui generis du producteur et le droit d'auteur. Cette seconde protection spécifique sui generis a été instituée afin d'assurer une meilleure défense des investissements "substantiels" réalisés par les producteurs qui rassemblent, sélectionnent, organisent les données contenues dans une base mais dont l'action ne pouvait être protégée par le droit d'auteur. Chacun de ces éléments bénéficie d'une protection qui lui est propre (le droit d'auteur pour l'architecture de la base et le droit sui generis du producteur de la base de données pour le contenu de la base).

Il est ici essentiel de rappeler que, nonobstant leur nature particulière, une base de données ou un logiciel ne fait l’objet de droit d’auteur qu’à la condition qu’ils soient originaux, condition commune à toutes les créations. La protection d’une base diffère selon la nature de l’objet à protéger. L’architecture de la base de données est protégeable par le droit d'auteur. Le contenu de la base de données est protégé par le droit des producteurs de bases de données.

Le droit sui generis : titulaire, conditions et champ d’application

Le droit sui generis appartient au producteur de la base de données. Le producteur est « la personne qui prend l'initiative et le risque des investissements correspondants » selon le Code de la propriété intellectuelle. Aucune autre personne ne peut se prévaloir du droit sui generis.

La loi subordonne la protection des bases de données par le droit sui generis à la preuve d'un investissement substantiel. L’article L.341-1 du CPI exige, pour l’application du droit sui generis, un « investissement financier, matériel ou humain substantiel » du producteur concernant « la constitution, la vérification ou la présentation » du contenu de la base. Selon la Cour de justice des Communautés européennes, « la notion d'investissement lié à l'obtention du contenu d'une base de données [...] doit s'entendre comme désignant les moyens consacrés à la recherche d'éléments existants et à leur rassemblement dans ladite base. L'investissement visé est celui « consacré à la constitution de ladite base en tant que telle ». Le coût de la création des données échappe totalement à la notion d'investissement substantiel.

La notion d'investissement comprend également les moyens consacrés pour assurer la fiabilité de l'information et le contrôle des éléments de la base. Les investissements à prendre en compte sont ceux liés à l’obtention du contenu de la base, à la vérification du contenu en vue d’assurer la fiabilité de l’information, et à sa présentation (son agencement et de l’organisation de son accessibilité). La Cour a précisé que les investissements liés à la création des éléments de la base ne sont pas à prendre en compte.

Preuve et exemples jurisprudentiels

La condition d'investissement substantiel a été rappelée dans une décision récente de la Cour d'appel de Paris, rendue le 2 février 2021. En l'espèce, la Cour d’appel a constaté que « leboncoin » avait engagé des coûts importants que ce soit pour la publicité du site ou pour le stockage des contenus ainsi que pour le maintien d'une équipe chargée de la gestion de la base et de la vérification des annonces. Par conséquent, les juges ont retenu la qualité de producteur de base de données au site « leboncoin » et la société Entreparticuliers.com a été condamnée à ce titre.

En France, les juges appliquent ces critères, comme le montre une affaire du TGI de Strasbourg du 22 juillet 2003, dans laquelle une société avait diffusé sur Internet le contenu d'une base de données alors qu'elle était seulement autorisée à l'utiliser pour ses propres besoins. Le juge a estimé que la création d'un fichier organisé regroupant de nombreuses informations sur la totalité des communes françaises a nécessité un investissement substantiel. Le critère de l'investissement substantiel peut parfois être retenu assez facilement, comme dans une affaire du TGI de Paris du 25 avril 2003, où l'exploitation illicite portait sur l'utilisation par un syndicat de l'entreprise Sonacotra d'une base de données regroupant des courriels de salariés.

Étendue des droits et exceptions

La faculté d'interdire, reconnue au producteur de la base de données, peut porter sur « l'extraction, par transfert permanent ou temporaire de la totalité ou d'une partie qualitativement ou quantitativement substantielle du contenu d'une base de données sur un autre support, par tout moyen et sous toute forme que ce soit » (CPI, art. L.342-1), ou sur « la réutilisation, par la mise à la disposition du public de la totalité ou d'une partie qualitativement ou quantitativement substantielle du contenu de la base, quelle qu'en soit la forme » (CPI, art. L.342-1).

Il y a transfert lorsque le contenu d'une base protégée est fixé sur un autre support. Le transfert peut alors être permanent, mais il peut aussi tout à fait être temporaire s'il a une durée limitée. Quant à la finalité du transfert, elle est indifférente, peu importe qu'il serve ou non à réaliser une autre base de données, peu importe que les données soient ensuite modifiées et peu importe qu'elles puissent être organisées différemment.

Le caractère qualitativement substantiel de l'extraction doit être apprécié au regard de la nature des données extraites. Le caractère quantitativement substantiel est apprécié au regard d'un pourcentage (données extraites/données contenues dans la base). « La notion de partie substantielle, évaluée de façon quantitative, du contenu d'une base de données au sens de l'article 7 de la directive 96/9 se réfère au volume de données extrait et/ou réutilisé de la base et doit être appréciée par rapport au volume du contenu total de la base". L'atteinte aux parties non substantielles de la base de données peut également être interdite par le producteur quand elle se manifeste par "l'extraction ou la réutilisation répétée et systématique de parties qualitativement ou quantitativement non substantielles du contenu de la base lorsque ces opérations excèdent manifestement les conditions d'utilisation normale de la base de données" (CPI, art. L.342-2).

L’article L.342-3 du CPI prévoit des exceptions : le producteur ne peut interdire l’extraction ou la réutilisation de parties non substantielles, appréciée de façon qualitative ou quantitative, du contenu de la base, par la personne qui y a licitement accès, ou à des fins privées (pour les bases de données non électroniques) sous réserve du respect des droits d'auteur ou des droits voisins sur les œuvres ou éléments incorporés dans la base, ou pour la consultation par des personnes handicapées ou à des fins pédagogiques ou de recherche.

Durée de la protection et renouvellement

La protection court à compter de l'achèvement de la fabrication de la base et elle expire 15 ans après le 1er janvier de l'année civile qui suit celle de l'achèvement (article L.342-5, al. 1er du C.P.I). Toutefois, si la base de données protégée fait l'objet de nouveaux investissements (par exemple tel sera le cas des enrichissements apportés), une nouvelle durée de protection court pendant 15 ans après le 1er janvier de l'année civile suivant celle de ce nouvel investissement (article L.342-5, al. 3, C.P.I.). De même, si la mise en exploitation de la base est différée, la protection commence à partir de la mise à disposition du public.

Sanctions en cas d'atteinte

L'article L.343-4 du Code de la propriété intellectuelle prévoit qu'« Est puni de trois ans d'emprisonnement et de 300 000 euros d'amende le fait de porter atteinte aux droits du producteur d'une base de données tels que définis à l'article L.342-1. » La sanction pénale énoncée dans la loi du 1er juillet 1998 en cas d'atteinte aux droits des producteurs d'une base de données était une peine de deux ans d'emprisonnement et une amende de 1.000.000 F pour les personnes physiques. Cette peine a été augmentée par la loi du 9 mars 2004 : l’article L.343-4 du C.P.I. condamne dorénavant les personnes physiques agissant seules à 3 ans d’emprisonnement et 300.000 euros d’amende, et les personnes physiques agissant en bande organisée à 5 ans et 500.000 euros d’amende.

Les peines sont doublées pour les récidivistes (article L.343-7 du C.P.I.), alors que pour les personnes morales, le taux de l'amende peut atteindre le quintuple. Ceci ne préjuge pas des sanctions civiles (dommages et intérêts) auxquelles les auteurs d'infractions pourraient se voir condamnés.

Exemples jurisprudentiels de sanctions civiles et mesures conservatoires

Outre les sanctions pénales précitées, le juge peut décider d’octroyer des dommages et intérêts à la partie civile pour le préjudice subi. Dans une ordonnance de référé du 18 juin 2008, le tribunal de commerce de Paris a ordonné à la société IIEESS de cesser la diffusion d’un logiciel qui extrayait de manière automatique des données du site www.societe.com. Le tribunal a considéré que le site Société.com bénéficiait de la qualité de producteur de base de données au sens de l’article L.341-1 du C.P.I. Par conséquent, il a ordonné à IIEESS de cesser, sous astreinte de 5.000 € par infraction constatée, la diffusion du logiciel litigieux, et de communiquer à SOCIETE les chiffres de facturation du logiciel depuis sa mise en vente.

Par un jugement du 20 juin 2007, le TGI de Paris a interdit à ETURF l’extraction d’une partie substantielle de la base de données Infocentre du PMU. ETURF a été condamnée à payer au PMU la somme de 120.000 € de dommages et intérêts pour s’être livrée à une extraction et à une réutilisation d’une partie qualitativement substantielle de la base de données du PMU.

Protection par le droit d’auteur : l’architecture et l’originalité

Les bases de données sont aujourd'hui protégées par le droit d'auteur grâce à la directive du 11 mars 1996 transposée en 1998 en France. Tout d'abord, il importe de définir la notion de base de données. La protection des bases de données comme rappelé ci-dessus, est encadrée en partie par le droit d'auteur.

Le droit d'auteur protège la structure de la base de données, à condition qu'elle soit originale. L'auteur dispose des droits moraux et patrimoniaux classiques. Les éléments protégés sont ceux liés à l'agencement du contenu : le classement lui-même doit être original (un simple classement alphabétique ne suffit pas). En pratique, les bases de données sont souvent le fruit d’un travail collectif. Si d'aventure, le créateur de la base était un salarié de l'entreprise, il convient de signaler que la loi ne prévoit pas de cession automatique des droits de celui-ci comme c'est le cas pour les logiciels (article L.113-9 C.P.I). Le salarié qui crée une base est le titulaire des droits de propriété intellectuelle. Ainsi, l'entreprise devra donc se faire céder expressément les droits (contrat de cession, contrat de travail ou avenant).

Interactions entre contenant et contenu

Bien que les deux protections qui s'appliquent aux bases de données soient indépendantes, il existe toutefois une interaction entre le contenant (l'architecture) et le contenu de la base. En effet, si l’un n’est pas constitué, la qualification de base de données ne pourra pas être retenue et aucune protection ne pourra s'appliquer. Il est fondamental de bien différencier les dispositions relatives à la protection de l’architecture de la base de celles relatives à son contenu.

Aspects pratiques et recommandations

Avec les technologies et les systèmes d’information, les organisations disposent de très nombreuses bases de données pour leur fonctionnement interne (ex : bases RH, clients) et externe (ex : bases en ligne payantes ou gratuites). Pour la valorisation de ces actifs immatériels, il est recommandé d'effectuer un audit préventif des données intégrées. La protection d’une base de données reste un sujet technique. Pour en comprendre tous les enjeux, il est fondamental de bien différencier les dispositions relatives à la protection de l’architecture de la base de celles relatives à son contenu.

Le droit des bases de données

Mesures contractuelles et pratiques de sécurité

Les bases de données représentent des investissements financiers et professionnels importants pour la collecte, le traitement et le stockage des informations qu'elles contiennent. Il est donc conseillé de sécuriser l’actif par des mesures organisationnelles et contractuelles : clauses de cession de droits, contrats de prestation, clauses limitant les autorisations d’extraction et de réutilisation, mentions contractuelles sur l’usage des données et mise en place de mesures techniques pour prévenir les crawlers non autorisés.

Protection des données personnelles et RGPD

Il arrive qu’une base de données ait à traiter des données personnelles. Le RGPD constitue le socle de la protection des données personnelles. Il octroie aux personnes concernées des droits individuels importants comme le droit d’accès, de rectification ou d’effacement. La protection des données personnelles ou l'absence de protection par le droit d'auteur n'a pas d'incidence sur la mise en oeuvre du droit sui generis, mais impose des obligations distinctes aux responsables de traitement.

Points clés en pratique

Il convient tout d’abord de cerner la notion de producteur de base de données et d’identifier qui a pris l’initiative et le risque des investissements correspondants.
La preuve d’un investissement substantiel est essentielle pour bénéficier du droit sui generis ; cet investissement porte sur la constitution, la vérification ou la présentation du contenu, non sur la création des données.
La protection est double : structure originale protégée par le droit d’auteur ; contenu protégé par le droit sui generis du producteur.
La durée de protection est de 15 ans, renouvelable de 15 ans en cas de nouvel investissement substantiel.
Le producteur peut interdire l’extraction et la réutilisation substantielle ; des exceptions légales existent pour les parties non substantielles, l’éducation, la recherche, et les personnes handicapées.
Les atteintes sont sanctionnées pénalement et civilement ; des mesures conservatoires et astreintes peuvent être ordonnées par les tribunaux.

Tableau récapitulatif (aspects essentiels)

Aspect	Contenu
Définition	Recueil organisé d'éléments, article L.112-3 CPI
Protections	Droit d’auteur (architecture) + droit sui generis (contenu)
Condition principale sui generis	Investissement financier, matériel ou humain substantiel
Durée	15 ans, prorogeable 15 ans après nouvel investissement substantiel
Droits du producteur	Interdire extraction et réutilisation substantielles
Sanctions	3 ans d'emprisonnement et 300 000 € d'amende (personnes physiques), dommages et intérêts

Après les marques et le droit d'auteur, le tour d'horizon des différents droits de propriété intellectuelle continue avec la protection accordée aux bases de données. Les bases de données sont des actifs importants pour les entreprises du digital et la création initiale et les mises à jour nécessitent un investissement conséquent, protégé par la directive communautaire de 1996 transposée en France en 1998. Un audit préventif des données intégrées et des cessions contractuelles de droits sont des mesures pratiques recommandées pour sécuriser ces actifs.

balises: