Cette entreprise fondée en 2012 récupère des informations sur les profils publics, les met en forme et les commercialise, sous l’angle de l’analyse prédictive. Sa cible : les employeurs. Avec des produits qui doivent leur permettre de cartographier les compétences (Skill Mapper) et de détecter le personnel qui envisage de mettre les voiles (Keeper).
En 2017, LinkedIn avait formellement demandé à hiQ de cesser la pratique, au nom du Computer Fraud and Abuse Act (CFAA). Le texte, en vigueur depuis 1986, punit le fait d’accéder à un ordinateur sans autorisation ou d’utiliser à outrance un accès autorisé.
Face à cette injonction, hiQ avait saisi la justice en Californie pour tenter de prouver que son activité était légale. Et l’avait emporté.
LinkedIn avait fait appel. En septembre 2019, la Cour d’appel l’avait débouté. Entre autres pour les motifs suivants :
– Le réseau social n’a pas les droits sur les données que publient ses membresces derniers propriétaires étant de leurs profils.
– Les utilisateurs qui choisissent un profil public attendre « évidemment » qu’il soit accessible par des tiers.
– Le CFAA est censé régir les cas de piratage ; il est d’autant plus discutable de l’invoquer dans une affaire concernant des données en accès libre.
– Laisser à LinkedIn le contrôle sur l’utilisation des données publiques pourrait engendrer un « monopole de l’information » préjudiciable à l’intérêt public
– Sans accès aux données concernées, hiQ endommagé face à des « dommages irréparables »
LinkedIn évoque un intérêt économique légitime…
La procédure était remontée jusqu’à la Cour suprême, qui avait donné raison à LinkedIn. En toile de fond, une décision qu’elle avait rendue quelques semaines plus tôt… et qui impliquait une lecture du CFAA autre que celle de la Cour d’appel. En l’occurrence, sous l’angle de l’usage abusif d’un accès autorisé – et, en conséquence, des mesures techniques que LinkedIn avait mises en place contre les robots de hiQ. L’affaire concernait un officier de police qui avait utilisé une base de données gouvernementale pour mener une enquête de sa propre initiative.
À nouveau sollicitée, la Cour d’appel a maintenu sa position initiale. Elle s’est prononcée sur deux éléments en particulier. D’un côté, l’existence d’une perturbation de la relation contractuelle entre hiQ et ses clients. De l’autre, l’applicabilité du CFAA, principal axe de défense de LinkedIn.
Sur le premier point, hiQ prétend que l’interférence était volontaire. Et qu’elle s’est affectée autant par la mise en place des mesures techniques que par l’invocation du CFAA. LinkedIn ne conteste pas ces observations, mais affirme que selon la législation, une telle interférence peut se justifier, par un intérêt économique légitime.
Comment la Cour at-elle raisonnée à ce propos ? Elle a d’abord considéré qu’en l’existence d’une relation contractuelle, on privilégiait l’intérêt sociétal d’une stabilité plutôt que la liberté de concurrence. Puis reprend des éléments du raisonnement de la Cour suprême. Plus précisément : une telle interférence ne peut se justifier par le seul fait qu’un concurrent chercherait à gagner un avantage économique aux dépens de LinkedIn. Il faut pouvoir prouver qu’on a agi pour « sauvegarder un intérêt d’une plus grande valeur sociétale que la stabilité du contrat ».
Pour estimer si c’est le cas, il convient de vérifier deux choses. D’une part, si les moyens d’interférence restent dans le cadre des « pratiques commerciales reconnues ». De l’autre, s’ils restent dans les clous de la concurrence loyale.
… mais se heurte à l’interprétation du CFAA
Le blocage technique n’est probablement pas une « pratique commerciale reconnue » au sens de la jurisprudence californienne, considérée la Cour. Au contraire, par exemple, de la publicité, de l’ajustement des prix ou du débauchage d’employés. Qui peut influer sur des relations contractuelles, mais sans perturber les éléments constitutifs d’un modèle économique.
Il n’est pas non plus acquis, toujours selon la Cour, qu’on soit dans les cordes de la concurrence loyale. Un argument de hiQ a tout particulièrement fait mouche : LinkedIn a été attaqué formellement des années après avoir eu connaissance des pratiques incriminées. Et il est fait dans les semaines suivantes l’annonce d’un produit susceptible de concurrence Skill Mapper.
Reste alors la seconde question : une fois l’avertissement formel reçu, la collecte de données s’est-elle poursuivie « sans autorisation » au sens du CFAA ?
Le blocage en lui-même ne saurait être considéré comme une absence d’autorisation, précise d’emblée la Cour. Et de justifier le maintien de son interprétation « restrictive » du texte : un simple détournement n’est pas suffisant pour l’invoquer ; la notion d’intrusion est indispensable (cf. « piratage » ci-dessus).
Y at-il, dans l’affaire « LinkedIn vs hiQ », quelque chose qui s’apparente à une intrusion ? La réponse de la Cour est négative. Dans les grandes lignes, sur les bases suivantes :
– La notion d’accès non autorisé ne s’applique qu’à des informations rendues privées par une forme d’exigence de type mot de passe
– D’autres textes que le CFAA – dont le Stored Communications Act – vont dans le même sens
– LinkedIn n’a pas manifesté rendu privé les données sur ses profils publics
Photo d’illustration © 360b – Shutterstock
