Tribunal judiciaire de Paris, Service des référés, 11 juin 2025, n° 25/51522

Exposé du litige

TRIBUNAL
 JUDICIAIRE
 DE PARIS


 ■




 
N° RG 25/51522 - N° Portalis 352J-W-B7J-C7D2G

N° : 3-CH

Assignation du :
21 Février 2025

[1]

[1] 2 Copies exécutoires
délivrées le:


ORDONNANCE DE RÉFÉRÉ 
rendue le 11 juin 2025



par Rachel LE COTTY, Première vice-présidente au Tribunal judiciaire de Paris, agissant par délégation du Président du Tribunal,

Assistée de Célia HADBOUN, Greffière. 

DEMANDERESSES

La société FREE, société par actions simplifiée
[Adresse 4]
[Localité 3]

La société FREE MOBILE, société par actions simplifiée
[Adresse 1]
[Localité 3]

représentées par Maître Yves COURSIN de l’AARPI COURSIN CHARLIER AVOCATS, avocats au barreau de PARIS - #C2186


DEFENDERESSE

La société GOOGLE IRELAND LIMITED, société de droit irlandais
[Adresse 8]
[Localité 6] IRELAND

représentée par Maître Aurélie BREGOU, avocat au barreau de PARIS - #P0221

INTERVENANTE VOLONTAIRE

La société GOOGLE LLC, société de droit américain
[Adresse 2]
[Adresse 9], ETATS-UNIS

représentée par Maître Aurélie BREGOU de la SELARL DEPREZ, GUIGNOT & ASSOCIES, avocats au barreau de PARIS - #P0221


DÉBATS

A l’audience du 14 Mai 2025, tenue publiquement, présidée par Rachel LE COTTY, Première vice-présidente, assistée de Célia HADBOUN, Greffière, 

Soutenant qu’un pirate informatique était parvenu à détourner des données personnelles et bancaires de leurs abonnés et qu’il avait essayé d’obtenir le paiement d’une rançon, les sociétés Free et Free mobile ont, par acte du 21 février 2025, assigné en référé la société Google Ireland limited devant le président du tribunal judiciaire de Paris, sur le fondement de l’article 145 du code de procédure civile, pour obtenir la communication des données d’identification de la personne titulaire des adresses email « [Courriel 7] » et « [Courriel 5] ».
 
Aux termes de leurs conclusions déposées et soutenues oralement à l’audience du 14 mai 2025, les sociétés Free et Free mobile demandent de :

- ordonner à la société Google Ireland limited de leur communiquer tous les éléments permettant d'identifier la personne titulaire de l'adresse email « [Courriel 7] », dont notamment :

• ses nom(s), prénom(s), date et lieu de naissance ;

• son ou ses adresses postales ;

• son ou ses adresses de courrier électronique ;

• son ou ses numéros de téléphone ;

• les adresses IP utilisées lors de la création de l'adresse email, en en précisant les ports-sources, ainsi que les jours et heures (avec fuseau horaire) de connexion ;

• et toutes autres informations utiles à l’identification de la personne recherchée, telles que prévues par les dispositions des articles L.34-1 et R.10-13 du code des postes et communications électroniques ;

- ordonner à la société Google LLC de leur communiquer tous les éléments permettant d'identifier la personne titulaire de l'adresse email « [Courriel 5] », dont notamment :

• ses nom(s), prénom(s), date et lieu de naissance ;

• son ou ses adresses postales ;

• son ou ses adresses de courrier électronique ;

• son ou ses numéros de téléphone ;

• les adresses IP utilisées lors de la création de l'adresse email, en en précisant les ports-sources, ainsi que les jours et heures (avec fuseau horaire) de connexion ;




• et toutes autres informations utiles à l’identification de la personne recherchée, telles que prévues par les dispositions des articles L.34-1 et R.10-13 du code des postes et communications électroniques ;

- ordonner aux sociétés Google Ireland limited et Google LLC de ne pas informer les titulaires des adresses emails « [Courriel 7] » et « [Courriel 5] » de la demande d'identification ;

- ordonner que cette communication soit effectuée dans les 48 heures de la signification de l’ordonnance ;

- dire qu’il pourra en être référé au juge des référés en cas de difficulté ;

- leur laisser la charge de leurs dépens.

Aux termes de leurs conclusions déposées et soutenues oralement à l’audience du 14 mai 2025, les sociétés Google Ireland limited et Google LLC demandent au juge des référés de :

- juger la société Google LLC recevable et bien fondée en son intervention volontaire ;

- lui donner acte de ce qu’elle s’en rapporte à justice sur le principe même de la communication des données d'identification du propriétaire du compte de messagerie Gmail « [Courriel 5] » ;

- dans l’hypothèse où le juge des référés ferait droit à cette demande de communication, juger que la société Google LLC ne devra communiquer que les données habituellement collectées qui, conformément aux dispositions légales régissant la durée de conservation des données à caractère personnel, peuvent encore être en sa possession, et sous réserve qu'elles aient été renseignées par le propriétaire du compte Gmail « [Courriel 5] », ces données pouvant être exclusivement les suivantes :

• les nom et prénom du propriétaire du compte Gmail « [Courriel 5] », s'il s'agit d'une personne physique ;

• la raison sociale et toutes les autres informations d’identification du propriétaire du compte Gmail « [Courriel 5] », s'il s'agit d'une personne morale ;

• l’adresse électronique du propriétaire du compte Gmail « [Courriel 5] » ;

• l’adresse postale du propriétaire du compte Gmail « [Courriel 5] » ;

• le ou les numéros de téléphone du propriétaire du compte Gmail « [Courriel 5] » ;

• la ou les adresses IP utilisées lors de la création du compte Gmail « [Courriel 5] », ainsi que les jours et heures (avec fuseau horaire) de connexion lors de la création dudit compte ;




- donner acte à la société Google LLC de ce qu’elle s'engage, sous les réserves précitées et après en avoir informé le propriétaire du compte Gmail « [Courriel 5] » conformément à ses règles habituelles en matière de notification, à communiquer lesdites données dans un délai de 15 (quinze) jours ouvrables à compter de la réception à son siège social aux Etats-Unis d’un courrier recommandé (FedEx, UPS, DHL) contenant l’ordonnance à intervenir traduite en anglais ;

- donner acte à la société Google Ireland limited de ce qu’elle s’en rapporte à justice sur le principe même de la communication des données d'identification du propriétaire du compte de messagerie Gmail « [Courriel 7] » ;

- dans l’hypothèse où le juge des référés ferait droit à cette demande de communication, juger qu’elle ne devra communiquer que les données habituellement collectées qui, conformément aux dispositions légales régissant la durée de conservation des données à caractère personnel, peuvent encore être en sa possession, et sous réserve qu'elles aient été renseignées par le propriétaire du compte Gmail « [Courriel 7] », ces données pouvant être exclusivement les suivantes :

• les nom et prénom du propriétaire du compte Gmail « [Courriel 7] », s'il s'agit d'une personne physique ;

• la raison sociale et toutes les autres informations d’identification du propriétaire du compte Gmail « [Courriel 7] », s'il s'agit d'une personne morale ;

• l’adresse électronique du propriétaire du compte Gmail « [Courriel 7] » ;

• l’adresse postale du propriétaire du compte Gmail « [Courriel 7] » ;

• le ou les numéros de téléphone du propriétaire du compte Gmail « [Courriel 7] » ;

• la ou les adresses IP utilisées lors de la création du compte Gmail « [Courriel 7] », ainsi que les jours et heures (avec fuseau horaire) de connexion lors de la création dudit compte ;

- donner acte à la société Google Ireland limited de ce qu’elle s'engage, sous les réserves précitées et après en avoir informé le propriétaire du compte Gmail « [Courriel 7] » conformément à ses règles habituelles en matière de notification, à communiquer lesdites données dans un délai de 15 (quinze) jours ouvrables suivant la signification, selon les modalités requises par la loi, de l’ordonnance à intervenir à son siège social en Irlande ;

- juger que chacune des parties conservera à sa charge l’intégralité des frais, honoraires et sommes de quelque nature que ce soit qu’elles ont pu engager à l’occasion de la présente instance.

Conformément aux dispositions des articles 455 et 446-1 du code de procédure civile, il est renvoyé aux conclusions des parties pour un plus ample exposé des faits, de la procédure et des moyens.

Motifs

MOTIFS

Sur l’intervention volontaire de la société Google LLC

Selon l’article 325 du code de procédure civile, l'intervention n’est recevable que si elle se rattache aux prétentions des parties par un lien suffisant.

L’article 328 du même code précise que l'intervention volontaire est principale ou accessoire.

En application de l’article 329 du même code, l'intervention est principale lorsqu'elle élève une prétention au profit de celui qui la forme. Elle n'est recevable que si son auteur a le droit d'agir relativement à cette prétention.

Au cas présent, il ressort des pièces produites par la société Google LLC qu’elle est la détentrice des données d’identification du compte de messagerie « [Courriel 5] », dont la communication est sollicitée par les demanderesses. 

Elle est donc recevable en son intervention volontaire principale à l’instance.

Sur la demande de communication des données d’identification sur le fondement de l’article 145 du code de procédure civile 

Aux termes de l’article 145 du code de procédure civile, s’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé.

Il entre dans les pouvoirs du juge des référés d’ordonner, sur le fondement de ce texte, la communication de données d’identification, sous réserve pour le demandeur de justifier d’un motif légitime, à savoir un procès en germe non manifestement voué à l’échec.

La mesure doit par ailleurs être de nature à améliorer la situation probatoire du demandeur et légalement admissible.

Sur le motif légitime

Selon l’article 323-1 du code pénal, le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de trois ans d'emprisonnement et de 100.000 euros d'amende.

Selon l’article 323-3 du même code, le fait d'introduire frauduleusement des données dans un système de traitement automatisé, d'extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu'il contient est puni de cinq ans d'emprisonnement et de 150.000 euros d'amende.





Aux termes de l’article 313-1 du même code, l'escroquerie est le fait, soit par l'usage d'un faux nom ou d'une fausse qualité, soit par l'abus d'une qualité vraie, soit par l'emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d'un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. 

L'escroquerie est punie de cinq ans d'emprisonnement et de 375.000 euros d'amende. 

Au cas présent, il ressort des pièces produites et des débats que les sociétés Free et Free mobile ont été victimes d’un piratage ayant permis au pirate de récupérer les données personnelles et bancaires de certains de leurs abonnés et que le président du groupe Iliad, M. [S], a reçu un message d’un certain « [O] [B] », par l’intermédiaire de la messagerie électronique Telegram, dans lequel il « laisse la possibilité à free d’acheter sa propre base ».

Il existe en conséquence un procès pénal en germe, non manifestement voué à l’échec, sur le fondement des textes précités, et les demanderesses ont un intérêt probatoire évident à solliciter la communication des données d’identification de l’auteur des messages litigieux, étant rappelé qu’elles ont déposé plainte le 25 octobre 2024 auprès du procureur de la République mais qu’un dépôt de plainte n’est pas de nature à priver le juge des référés des pouvoirs que lui confère l’article 145 du code de procédure civile dès lors qu’aucun juge du fond n’est saisi.

Au demeurant, le bien fondé de la demande des sociétés Free et Free mobile a déjà été retenu par la présente juridiction, une première ordonnance de référé du 12 novembre 2024 ayant ordonné à la société Telegram messenger de leur communiquer toutes les données d’identification de la personne ayant créé le compte de messagerie apparaissant sous les identités « [O] [B] » et « @dalton_russell0 ».

Elles n’ont cependant pas pu, en l’état, identifier l’auteur des messages litigieux, en dépit de la communication, par la société Telegram messenger, des données d’identification en sa possession.

Or, il ressort des pièces produites que, parmi les données d'identification détenues par la société Telegram messenger figurait un numéro de téléphone portable et que, selon les informations transmises par l’opérateur de ce numéro de téléphone, son titulaire est également titulaire des adresses email suivantes : « [Courriel 7] » et « [Courriel 5] ».

L'adresse email « [Courriel 7] » est fournie par la société irlandaise Google Ireland limited, qui a été assignée par les demanderesses, et l'adresse email « [Courriel 5] » est fournie par la société américaine Google LLC, laquelle est intervenue volontairement à l’instance.

Les sociétés Free et Free mobile justifient donc d’un motif légitime de solliciter les éléments permettant d’identifier le titulaire des adresses email « [Courriel 7] » et « [Courriel 5] », en vue d'engager une action au fond contre le ou les auteurs des infractions qu'elles dénoncent.



Sur les données communicables

Aux termes de l'article L. 34-1 du code des postes et des communications électroniques :

« I. – Le présent article s'applique au traitement des données à caractère personnel dans le cadre de la fourniture au public de services de communications électroniques ; il s'applique notamment aux réseaux qui prennent en charge les dispositifs de collecte de données et d'identification.

II. – […].

II bis.- Les opérateurs de communications électroniques sont tenus de conserver :

1° Pour les besoins des procédures pénales, de la prévention des menaces contre la sécurité publique et de la sauvegarde de la sécurité nationale, les informations relatives à l'identité civile de l'utilisateur, jusqu'à l'expiration d'un délai de cinq ans à compter de la fin de validité de son contrat ;

2° Pour les mêmes finalités que celles énoncées au 1° du présent II bis, les autres informations fournies par l'utilisateur lors de la souscription d'un contrat ou de la création d'un compte ainsi que les informations relatives au paiement, jusqu'à l'expiration d'un délai d'un an à compter de la fin de validité de son contrat ou de la clôture de son compte ; 

3° Pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, les données techniques permettant d'identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, jusqu'à l'expiration d'un délai d'un an à compter de la connexion ou de l'utilisation des équipements terminaux. […] ».

Aux termes de l'article R.10-13 du code des postes et des communications électroniques, dans sa rédaction issue du décret n°2021-1361 du 20 octobre 2021 :

« I.-Les informations relatives à l'identité civile de l'utilisateur, au sens du 1° du II bis de l'article L. 34-1, que les opérateurs de communications électroniques sont tenus de conserver, sont :

1° Les nom et prénom, la date et le lieu de naissance pour une personne physique ou la raison sociale, ainsi que les nom, prénom, date et lieu de naissance de la personne agissant en son nom, lorsque le compte est ouvert au nom d'une personne morale ;

2° La ou les adresses postales associées ;

3° La ou les adresses de courrier électronique de l'utilisateur et du ou des comptes associés le cas échéant ;

4° Le ou les numéros de téléphone.

II.- Les autres informations fournies par l'utilisateur lors de la souscription d'un contrat ou de la création d'un compte, mentionnées au 2° du II bis de l'article L. 34-1, que les opérateurs de communications électroniques sont tenus de conserver, sont :

1° L'identifiant utilisé ;

2° Le ou les pseudonymes utilisés ;

3° Les données destinées à permettre à l'utilisateur de vérifier son mot de passe ou de le modifier, le cas échéant par l'intermédiaire d'un double système d'identification de l'utilisateur, dans leur dernière version mise à jour.

III.-Les informations relatives au paiement mentionnées au 2° du II bis de l'article L. 34-1, que les opérateurs de communications électroniques sont tenus de conserver, pour chaque opération de paiement, lorsque la souscription du contrat ou la création du compte est payante, sont :

1° Le type de paiement utilisé ;

2° La référence du paiement ;

3° Le montant ;

4° La date, l'heure et le lieu en cas de transaction physique.

IV.-Les données techniques permettant d'identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, mentionnées au 3° du II bis de l'article L. 34-1, que les opérateurs de communications électroniques sont tenus de conserver, sont :

1° L'adresse IP attribuée à la source de la connexion et le port associé ;

2° Le numéro d'identifiant de l'utilisateur ;

3° Le numéro d'identification du terminal ;

4° Le numéro de téléphone à l'origine de la communication […]. »

En application de ces dispositions, les hébergeurs sont tenus de conserver, pour les besoins de toutes les procédures pénales, les informations relatives à l'identité civile de l'utilisateur, les autres informations fournies par l'utilisateur lors de la souscription d'un contrat ou de la création d'un compte et les informations relatives au paiement, les premières pendant cinq ans et les autres pendant un an à compter de la fin de validité du contrat ou de la clôture du compte. Le contenu de ces informations est précisé par les I, II et III de l’article R. 10-13 précité.

En outre, mais uniquement pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, les hébergeurs sont tenus de conserver, pendant un an, les données techniques permettant d'identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés. Le contenu de ces données est précisé par le IV de l’article R. 10-13.

Au cas présent, les faits allégués sont susceptibles de relever d’une qualification pénale aggravée dès lors que la peine encourue peut aller jusqu’à cinq ans d'emprisonnement et 375 000 euros d'amende, en cas d’escroquerie notamment.


La demande de communication des données d’identification intervenant par conséquent pour les besoins de la lutte contre la délinquance grave, elle est légalement admissible en ce qu’elle porte sur les données prévues par l’article R. 10-13, I à IV, du code des postes et des communications électroniques. 

Au demeurant, les sociétés Google Ireland limited et Google LLC ne s’y opposent pas, rappelant uniquement qu’elles ne peuvent être condamnées à communiquer que les données qui sont en leur possession et sous réserve qu’elles aient bien été renseignées par les propriétaires des comptes Gmail en cause. 

Il leur sera en conséquence enjoint de communiquer l’ensemble des données sollicitées par les demanderesses, sous réserve qu’elles soient en leur possession.

Il leur sera également donné acte de ce qu’elles s’engagent à communiquer les données en leur possession dans un délai de 15 jours ouvrables suivant la signification, selon les modalités requises par la loi, de l’ordonnance au siège social de la société Google Ireland limited en Irlande et dans un délai de 15 jours ouvrables à compter de la réception au siège social de la société Google LLC aux Etats-Unis d’un courrier recommandé (FedEx, UPS, DHL) contenant l’ordonnance traduite en anglais, ces dispositions étant de nature à réduire les frais et délais de signification pour les demanderesses. 

En revanche, leur demande d’information du propriétaire du compte Gmail en cause ne peut être accueillie, les sociétés Free et Free mobile objectant à juste titre que cette mesure serait de nature à priver d’effet la décision.

Enfin, les éventuelles difficultés d’exécution donneront lieu à la saisine du juge de l’exécution, le juge des référés étant dessaisi par la présente décision.

Sur les frais et dépens

La partie défenderesse à une mesure ordonnée sur le fondement de l'article 145 du code de procédure civile ne peut être considérée comme une partie perdante au sens de l'article 696 du code de procédure civile (2e Civ., 10 février 2011, pourvoi n° 10-11.774, Bull. 2011, II, n° 34). En effet, les mesures d'instruction sollicitées avant tout procès le sont au seul bénéfice de celui qui les sollicite, en vue d'un éventuel procès au fond, et sont donc en principe à la charge de ce dernier.

Chacune des parties conservera donc à sa charge les dépens par elle exposés à l’occasion de la présente instance. 

PAR CES MOTIFS 

Statuant publiquement, par mise à disposition au greffe, par ordonnance de référé contradictoire et en premier ressort,

Recevons la société Google LLC en son intervention volontaire ;

Ordonnons à la société Google Ireland limited de communiquer aux sociétés Free et Free mobile l’ensemble des données d'identification du propriétaire du compte Gmail « [Courriel 7] » en sa possession, et notamment :

• les nom et prénom, date et lieu de naissance du propriétaire du compte Gmail « [Courriel 7] », s'il s'agit d'une personne physique ;

• la raison sociale et toutes les autres informations d’identification du propriétaire du compte Gmail « [Courriel 7] », s'il s'agit d'une personne morale ;

• l’adresse électronique du propriétaire du compte Gmail « [Courriel 7] » ;

• l’adresse postale du propriétaire du compte Gmail « [Courriel 7] » ;

• le ou les numéros de téléphone du propriétaire du compte Gmail « [Courriel 7] » ;

• la ou les adresses IP utilisées lors de la création du compte Gmail « [Courriel 7] », en précisant les ports-sources, ainsi que les jours et heures (avec fuseau horaire) de connexion lors de la création dudit compte ;

Donnons acte à la société Google Ireland limited de ce qu’elle s'engage à communiquer les données en sa possession dans un délai de 15 (quinze) jours ouvrables suivant la signification, selon les modalités requises par la loi, de la présente ordonnance à son siège social en Irlande ;

Ordonnons à la société Google LLC de communiquer aux sociétés Free et Free mobile l’ensemble des données d'identification du propriétaire du compte Gmail « [Courriel 5] » en sa possession, et notamment :

• les nom et prénom, date et lieu de naissance du propriétaire du compte Gmail « [Courriel 5] », s'il s'agit d'une personne physique ;

• la raison sociale et toutes les autres informations d’identification du propriétaire du compte Gmail « [Courriel 5] », s'il s'agit d'une personne morale ;

• l’adresse électronique du propriétaire du compte Gmail « [Courriel 5] » ;

• l’adresse postale du propriétaire du compte Gmail « [Courriel 5] » ;

• le ou les numéros de téléphone du propriétaire du compte Gmail « [Courriel 5] » ;

• la ou les adresses IP utilisées lors de la création du compte Gmail « [Courriel 5] », en précisant les ports-sources, ainsi que les jours et heures (avec fuseau horaire) de connexion lors de la création dudit compte ;

Donnons acte à la société Google LLC de ce qu’elle s'engage à communiquer les données en sa possession dans un délai de 15 (quinze) jours ouvrables à compter de la réception à son siège social aux Etats-Unis d’un courrier recommandé (FedEx, UPS, DHL) contenant la présente ordonnance traduite en anglais ;

Ordonnons aux sociétés Google Ireland limited et Google LLC de ne pas informer les titulaires des adresses emails « [Courriel 7] » et « [Courriel 5] » de la demande d'identification ;

Dispositif

Laissons à chaque partie la charge des dépens par elle exposés à l’occasion de la présente instance ;

Rappelons que la présente ordonnance bénéficie de plein droit de l'exécution provisoire.

Ainsi fait à Paris, le 11 juin 2025

La Greffière, La Présidente,



Célia HADBOUN Rachel LE COTTY

TRIBUNAL
 JUDICIAIRE
 DE PARIS


 ■




 
N° RG 25/51522 - N° Portalis 352J-W-B7J-C7D2G

N° : 3-CH

Assignation du :
21 Février 2025

[1]

[1] 2 Copies exécutoires
délivrées le:


ORDONNANCE DE RÉFÉRÉ 
rendue le 11 juin 2025



par Rachel LE COTTY, Première vice-présidente au Tribunal judiciaire de Paris, agissant par délégation du Président du Tribunal,

Assistée de Célia HADBOUN, Greffière. 

DEMANDERESSES

La société FREE, société par actions simplifiée
[Adresse 4]
[Localité 3]

La société FREE MOBILE, société par actions simplifiée
[Adresse 1]
[Localité 3]

représentées par Maître Yves COURSIN de l’AARPI COURSIN CHARLIER AVOCATS, avocats au barreau de PARIS - #C2186


DEFENDERESSE

La société GOOGLE IRELAND LIMITED, société de droit irlandais
[Adresse 8]
[Localité 6] IRELAND

représentée par Maître Aurélie BREGOU, avocat au barreau de PARIS - #P0221

INTERVENANTE VOLONTAIRE

La société GOOGLE LLC, société de droit américain
[Adresse 2]
[Adresse 9], ETATS-UNIS

représentée par Maître Aurélie BREGOU de la SELARL DEPREZ, GUIGNOT & ASSOCIES, avocats au barreau de PARIS - #P0221


DÉBATS

A l’audience du 14 Mai 2025, tenue publiquement, présidée par Rachel LE COTTY, Première vice-présidente, assistée de Célia HADBOUN, Greffière, 

Soutenant qu’un pirate informatique était parvenu à détourner des données personnelles et bancaires de leurs abonnés et qu’il avait essayé d’obtenir le paiement d’une rançon, les sociétés Free et Free mobile ont, par acte du 21 février 2025, assigné en référé la société Google Ireland limited devant le président du tribunal judiciaire de Paris, sur le fondement de l’article 145 du code de procédure civile, pour obtenir la communication des données d’identification de la personne titulaire des adresses email « [Courriel 7] » et « [Courriel 5] ».
 
Aux termes de leurs conclusions déposées et soutenues oralement à l’audience du 14 mai 2025, les sociétés Free et Free mobile demandent de :

- ordonner à la société Google Ireland limited de leur communiquer tous les éléments permettant d'identifier la personne titulaire de l'adresse email « [Courriel 7] », dont notamment :

• ses nom(s), prénom(s), date et lieu de naissance ;

• son ou ses adresses postales ;

• son ou ses adresses de courrier électronique ;

• son ou ses numéros de téléphone ;

• les adresses IP utilisées lors de la création de l'adresse email, en en précisant les ports-sources, ainsi que les jours et heures (avec fuseau horaire) de connexion ;

• et toutes autres informations utiles à l’identification de la personne recherchée, telles que prévues par les dispositions des articles L.34-1 et R.10-13 du code des postes et communications électroniques ;

- ordonner à la société Google LLC de leur communiquer tous les éléments permettant d'identifier la personne titulaire de l'adresse email « [Courriel 5] », dont notamment :

• ses nom(s), prénom(s), date et lieu de naissance ;

• son ou ses adresses postales ;

• son ou ses adresses de courrier électronique ;

• son ou ses numéros de téléphone ;

• les adresses IP utilisées lors de la création de l'adresse email, en en précisant les ports-sources, ainsi que les jours et heures (avec fuseau horaire) de connexion ;




• et toutes autres informations utiles à l’identification de la personne recherchée, telles que prévues par les dispositions des articles L.34-1 et R.10-13 du code des postes et communications électroniques ;

- ordonner aux sociétés Google Ireland limited et Google LLC de ne pas informer les titulaires des adresses emails « [Courriel 7] » et « [Courriel 5] » de la demande d'identification ;

- ordonner que cette communication soit effectuée dans les 48 heures de la signification de l’ordonnance ;

- dire qu’il pourra en être référé au juge des référés en cas de difficulté ;

- leur laisser la charge de leurs dépens.

Aux termes de leurs conclusions déposées et soutenues oralement à l’audience du 14 mai 2025, les sociétés Google Ireland limited et Google LLC demandent au juge des référés de :

- juger la société Google LLC recevable et bien fondée en son intervention volontaire ;

- lui donner acte de ce qu’elle s’en rapporte à justice sur le principe même de la communication des données d'identification du propriétaire du compte de messagerie Gmail « [Courriel 5] » ;

- dans l’hypothèse où le juge des référés ferait droit à cette demande de communication, juger que la société Google LLC ne devra communiquer que les données habituellement collectées qui, conformément aux dispositions légales régissant la durée de conservation des données à caractère personnel, peuvent encore être en sa possession, et sous réserve qu'elles aient été renseignées par le propriétaire du compte Gmail « [Courriel 5] », ces données pouvant être exclusivement les suivantes :

• les nom et prénom du propriétaire du compte Gmail « [Courriel 5] », s'il s'agit d'une personne physique ;

• la raison sociale et toutes les autres informations d’identification du propriétaire du compte Gmail « [Courriel 5] », s'il s'agit d'une personne morale ;

• l’adresse électronique du propriétaire du compte Gmail « [Courriel 5] » ;

• l’adresse postale du propriétaire du compte Gmail « [Courriel 5] » ;

• le ou les numéros de téléphone du propriétaire du compte Gmail « [Courriel 5] » ;

• la ou les adresses IP utilisées lors de la création du compte Gmail « [Courriel 5] », ainsi que les jours et heures (avec fuseau horaire) de connexion lors de la création dudit compte ;




- donner acte à la société Google LLC de ce qu’elle s'engage, sous les réserves précitées et après en avoir informé le propriétaire du compte Gmail « [Courriel 5] » conformément à ses règles habituelles en matière de notification, à communiquer lesdites données dans un délai de 15 (quinze) jours ouvrables à compter de la réception à son siège social aux Etats-Unis d’un courrier recommandé (FedEx, UPS, DHL) contenant l’ordonnance à intervenir traduite en anglais ;

- donner acte à la société Google Ireland limited de ce qu’elle s’en rapporte à justice sur le principe même de la communication des données d'identification du propriétaire du compte de messagerie Gmail « [Courriel 7] » ;

- dans l’hypothèse où le juge des référés ferait droit à cette demande de communication, juger qu’elle ne devra communiquer que les données habituellement collectées qui, conformément aux dispositions légales régissant la durée de conservation des données à caractère personnel, peuvent encore être en sa possession, et sous réserve qu'elles aient été renseignées par le propriétaire du compte Gmail « [Courriel 7] », ces données pouvant être exclusivement les suivantes :

• les nom et prénom du propriétaire du compte Gmail « [Courriel 7] », s'il s'agit d'une personne physique ;

• la raison sociale et toutes les autres informations d’identification du propriétaire du compte Gmail « [Courriel 7] », s'il s'agit d'une personne morale ;

• l’adresse électronique du propriétaire du compte Gmail « [Courriel 7] » ;

• l’adresse postale du propriétaire du compte Gmail « [Courriel 7] » ;

• le ou les numéros de téléphone du propriétaire du compte Gmail « [Courriel 7] » ;

• la ou les adresses IP utilisées lors de la création du compte Gmail « [Courriel 7] », ainsi que les jours et heures (avec fuseau horaire) de connexion lors de la création dudit compte ;

- donner acte à la société Google Ireland limited de ce qu’elle s'engage, sous les réserves précitées et après en avoir informé le propriétaire du compte Gmail « [Courriel 7] » conformément à ses règles habituelles en matière de notification, à communiquer lesdites données dans un délai de 15 (quinze) jours ouvrables suivant la signification, selon les modalités requises par la loi, de l’ordonnance à intervenir à son siège social en Irlande ;

- juger que chacune des parties conservera à sa charge l’intégralité des frais, honoraires et sommes de quelque nature que ce soit qu’elles ont pu engager à l’occasion de la présente instance.

Conformément aux dispositions des articles 455 et 446-1 du code de procédure civile, il est renvoyé aux conclusions des parties pour un plus ample exposé des faits, de la procédure et des moyens.





MOTIFS

Sur l’intervention volontaire de la société Google LLC

Selon l’article 325 du code de procédure civile, l'intervention n’est recevable que si elle se rattache aux prétentions des parties par un lien suffisant.

L’article 328 du même code précise que l'intervention volontaire est principale ou accessoire.

En application de l’article 329 du même code, l'intervention est principale lorsqu'elle élève une prétention au profit de celui qui la forme. Elle n'est recevable que si son auteur a le droit d'agir relativement à cette prétention.

Au cas présent, il ressort des pièces produites par la société Google LLC qu’elle est la détentrice des données d’identification du compte de messagerie « [Courriel 5] », dont la communication est sollicitée par les demanderesses. 

Elle est donc recevable en son intervention volontaire principale à l’instance.

Sur la demande de communication des données d’identification sur le fondement de l’article 145 du code de procédure civile 

Aux termes de l’article 145 du code de procédure civile, s’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé.

Il entre dans les pouvoirs du juge des référés d’ordonner, sur le fondement de ce texte, la communication de données d’identification, sous réserve pour le demandeur de justifier d’un motif légitime, à savoir un procès en germe non manifestement voué à l’échec.

La mesure doit par ailleurs être de nature à améliorer la situation probatoire du demandeur et légalement admissible.

Sur le motif légitime

Selon l’article 323-1 du code pénal, le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de trois ans d'emprisonnement et de 100.000 euros d'amende.

Selon l’article 323-3 du même code, le fait d'introduire frauduleusement des données dans un système de traitement automatisé, d'extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu'il contient est puni de cinq ans d'emprisonnement et de 150.000 euros d'amende.





Aux termes de l’article 313-1 du même code, l'escroquerie est le fait, soit par l'usage d'un faux nom ou d'une fausse qualité, soit par l'abus d'une qualité vraie, soit par l'emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d'un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. 

L'escroquerie est punie de cinq ans d'emprisonnement et de 375.000 euros d'amende. 

Au cas présent, il ressort des pièces produites et des débats que les sociétés Free et Free mobile ont été victimes d’un piratage ayant permis au pirate de récupérer les données personnelles et bancaires de certains de leurs abonnés et que le président du groupe Iliad, M. [S], a reçu un message d’un certain « [O] [B] », par l’intermédiaire de la messagerie électronique Telegram, dans lequel il « laisse la possibilité à free d’acheter sa propre base ».

Il existe en conséquence un procès pénal en germe, non manifestement voué à l’échec, sur le fondement des textes précités, et les demanderesses ont un intérêt probatoire évident à solliciter la communication des données d’identification de l’auteur des messages litigieux, étant rappelé qu’elles ont déposé plainte le 25 octobre 2024 auprès du procureur de la République mais qu’un dépôt de plainte n’est pas de nature à priver le juge des référés des pouvoirs que lui confère l’article 145 du code de procédure civile dès lors qu’aucun juge du fond n’est saisi.

Au demeurant, le bien fondé de la demande des sociétés Free et Free mobile a déjà été retenu par la présente juridiction, une première ordonnance de référé du 12 novembre 2024 ayant ordonné à la société Telegram messenger de leur communiquer toutes les données d’identification de la personne ayant créé le compte de messagerie apparaissant sous les identités « [O] [B] » et « @dalton_russell0 ».

Elles n’ont cependant pas pu, en l’état, identifier l’auteur des messages litigieux, en dépit de la communication, par la société Telegram messenger, des données d’identification en sa possession.

Or, il ressort des pièces produites que, parmi les données d'identification détenues par la société Telegram messenger figurait un numéro de téléphone portable et que, selon les informations transmises par l’opérateur de ce numéro de téléphone, son titulaire est également titulaire des adresses email suivantes : « [Courriel 7] » et « [Courriel 5] ».

L'adresse email « [Courriel 7] » est fournie par la société irlandaise Google Ireland limited, qui a été assignée par les demanderesses, et l'adresse email « [Courriel 5] » est fournie par la société américaine Google LLC, laquelle est intervenue volontairement à l’instance.

Les sociétés Free et Free mobile justifient donc d’un motif légitime de solliciter les éléments permettant d’identifier le titulaire des adresses email « [Courriel 7] » et « [Courriel 5] », en vue d'engager une action au fond contre le ou les auteurs des infractions qu'elles dénoncent.



Sur les données communicables

Aux termes de l'article L. 34-1 du code des postes et des communications électroniques :

« I. – Le présent article s'applique au traitement des données à caractère personnel dans le cadre de la fourniture au public de services de communications électroniques ; il s'applique notamment aux réseaux qui prennent en charge les dispositifs de collecte de données et d'identification.

II. – […].

II bis.- Les opérateurs de communications électroniques sont tenus de conserver :

1° Pour les besoins des procédures pénales, de la prévention des menaces contre la sécurité publique et de la sauvegarde de la sécurité nationale, les informations relatives à l'identité civile de l'utilisateur, jusqu'à l'expiration d'un délai de cinq ans à compter de la fin de validité de son contrat ;

2° Pour les mêmes finalités que celles énoncées au 1° du présent II bis, les autres informations fournies par l'utilisateur lors de la souscription d'un contrat ou de la création d'un compte ainsi que les informations relatives au paiement, jusqu'à l'expiration d'un délai d'un an à compter de la fin de validité de son contrat ou de la clôture de son compte ; 

3° Pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, les données techniques permettant d'identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, jusqu'à l'expiration d'un délai d'un an à compter de la connexion ou de l'utilisation des équipements terminaux. […] ».

Aux termes de l'article R.10-13 du code des postes et des communications électroniques, dans sa rédaction issue du décret n°2021-1361 du 20 octobre 2021 :

« I.-Les informations relatives à l'identité civile de l'utilisateur, au sens du 1° du II bis de l'article L. 34-1, que les opérateurs de communications électroniques sont tenus de conserver, sont :

1° Les nom et prénom, la date et le lieu de naissance pour une personne physique ou la raison sociale, ainsi que les nom, prénom, date et lieu de naissance de la personne agissant en son nom, lorsque le compte est ouvert au nom d'une personne morale ;

2° La ou les adresses postales associées ;

3° La ou les adresses de courrier électronique de l'utilisateur et du ou des comptes associés le cas échéant ;

4° Le ou les numéros de téléphone.

II.- Les autres informations fournies par l'utilisateur lors de la souscription d'un contrat ou de la création d'un compte, mentionnées au 2° du II bis de l'article L. 34-1, que les opérateurs de communications électroniques sont tenus de conserver, sont :

1° L'identifiant utilisé ;

2° Le ou les pseudonymes utilisés ;

3° Les données destinées à permettre à l'utilisateur de vérifier son mot de passe ou de le modifier, le cas échéant par l'intermédiaire d'un double système d'identification de l'utilisateur, dans leur dernière version mise à jour.

III.-Les informations relatives au paiement mentionnées au 2° du II bis de l'article L. 34-1, que les opérateurs de communications électroniques sont tenus de conserver, pour chaque opération de paiement, lorsque la souscription du contrat ou la création du compte est payante, sont :

1° Le type de paiement utilisé ;

2° La référence du paiement ;

3° Le montant ;

4° La date, l'heure et le lieu en cas de transaction physique.

IV.-Les données techniques permettant d'identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, mentionnées au 3° du II bis de l'article L. 34-1, que les opérateurs de communications électroniques sont tenus de conserver, sont :

1° L'adresse IP attribuée à la source de la connexion et le port associé ;

2° Le numéro d'identifiant de l'utilisateur ;

3° Le numéro d'identification du terminal ;

4° Le numéro de téléphone à l'origine de la communication […]. »

En application de ces dispositions, les hébergeurs sont tenus de conserver, pour les besoins de toutes les procédures pénales, les informations relatives à l'identité civile de l'utilisateur, les autres informations fournies par l'utilisateur lors de la souscription d'un contrat ou de la création d'un compte et les informations relatives au paiement, les premières pendant cinq ans et les autres pendant un an à compter de la fin de validité du contrat ou de la clôture du compte. Le contenu de ces informations est précisé par les I, II et III de l’article R. 10-13 précité.

En outre, mais uniquement pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, les hébergeurs sont tenus de conserver, pendant un an, les données techniques permettant d'identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés. Le contenu de ces données est précisé par le IV de l’article R. 10-13.

Au cas présent, les faits allégués sont susceptibles de relever d’une qualification pénale aggravée dès lors que la peine encourue peut aller jusqu’à cinq ans d'emprisonnement et 375 000 euros d'amende, en cas d’escroquerie notamment.


La demande de communication des données d’identification intervenant par conséquent pour les besoins de la lutte contre la délinquance grave, elle est légalement admissible en ce qu’elle porte sur les données prévues par l’article R. 10-13, I à IV, du code des postes et des communications électroniques. 

Au demeurant, les sociétés Google Ireland limited et Google LLC ne s’y opposent pas, rappelant uniquement qu’elles ne peuvent être condamnées à communiquer que les données qui sont en leur possession et sous réserve qu’elles aient bien été renseignées par les propriétaires des comptes Gmail en cause. 

Il leur sera en conséquence enjoint de communiquer l’ensemble des données sollicitées par les demanderesses, sous réserve qu’elles soient en leur possession.

Il leur sera également donné acte de ce qu’elles s’engagent à communiquer les données en leur possession dans un délai de 15 jours ouvrables suivant la signification, selon les modalités requises par la loi, de l’ordonnance au siège social de la société Google Ireland limited en Irlande et dans un délai de 15 jours ouvrables à compter de la réception au siège social de la société Google LLC aux Etats-Unis d’un courrier recommandé (FedEx, UPS, DHL) contenant l’ordonnance traduite en anglais, ces dispositions étant de nature à réduire les frais et délais de signification pour les demanderesses. 

En revanche, leur demande d’information du propriétaire du compte Gmail en cause ne peut être accueillie, les sociétés Free et Free mobile objectant à juste titre que cette mesure serait de nature à priver d’effet la décision.

Enfin, les éventuelles difficultés d’exécution donneront lieu à la saisine du juge de l’exécution, le juge des référés étant dessaisi par la présente décision.

Sur les frais et dépens

La partie défenderesse à une mesure ordonnée sur le fondement de l'article 145 du code de procédure civile ne peut être considérée comme une partie perdante au sens de l'article 696 du code de procédure civile (2e Civ., 10 février 2011, pourvoi n° 10-11.774, Bull. 2011, II, n° 34). En effet, les mesures d'instruction sollicitées avant tout procès le sont au seul bénéfice de celui qui les sollicite, en vue d'un éventuel procès au fond, et sont donc en principe à la charge de ce dernier.

Chacune des parties conservera donc à sa charge les dépens par elle exposés à l’occasion de la présente instance. 

PAR CES MOTIFS 

Statuant publiquement, par mise à disposition au greffe, par ordonnance de référé contradictoire et en premier ressort,

Recevons la société Google LLC en son intervention volontaire ;

Ordonnons à la société Google Ireland limited de communiquer aux sociétés Free et Free mobile l’ensemble des données d'identification du propriétaire du compte Gmail « [Courriel 7] » en sa possession, et notamment :

• les nom et prénom, date et lieu de naissance du propriétaire du compte Gmail « [Courriel 7] », s'il s'agit d'une personne physique ;

• la raison sociale et toutes les autres informations d’identification du propriétaire du compte Gmail « [Courriel 7] », s'il s'agit d'une personne morale ;

• l’adresse électronique du propriétaire du compte Gmail « [Courriel 7] » ;

• l’adresse postale du propriétaire du compte Gmail « [Courriel 7] » ;

• le ou les numéros de téléphone du propriétaire du compte Gmail « [Courriel 7] » ;

• la ou les adresses IP utilisées lors de la création du compte Gmail « [Courriel 7] », en précisant les ports-sources, ainsi que les jours et heures (avec fuseau horaire) de connexion lors de la création dudit compte ;

Donnons acte à la société Google Ireland limited de ce qu’elle s'engage à communiquer les données en sa possession dans un délai de 15 (quinze) jours ouvrables suivant la signification, selon les modalités requises par la loi, de la présente ordonnance à son siège social en Irlande ;

Ordonnons à la société Google LLC de communiquer aux sociétés Free et Free mobile l’ensemble des données d'identification du propriétaire du compte Gmail « [Courriel 5] » en sa possession, et notamment :

• les nom et prénom, date et lieu de naissance du propriétaire du compte Gmail « [Courriel 5] », s'il s'agit d'une personne physique ;

• la raison sociale et toutes les autres informations d’identification du propriétaire du compte Gmail « [Courriel 5] », s'il s'agit d'une personne morale ;

• l’adresse électronique du propriétaire du compte Gmail « [Courriel 5] » ;

• l’adresse postale du propriétaire du compte Gmail « [Courriel 5] » ;

• le ou les numéros de téléphone du propriétaire du compte Gmail « [Courriel 5] » ;

• la ou les adresses IP utilisées lors de la création du compte Gmail « [Courriel 5] », en précisant les ports-sources, ainsi que les jours et heures (avec fuseau horaire) de connexion lors de la création dudit compte ;

Donnons acte à la société Google LLC de ce qu’elle s'engage à communiquer les données en sa possession dans un délai de 15 (quinze) jours ouvrables à compter de la réception à son siège social aux Etats-Unis d’un courrier recommandé (FedEx, UPS, DHL) contenant la présente ordonnance traduite en anglais ;

Ordonnons aux sociétés Google Ireland limited et Google LLC de ne pas informer les titulaires des adresses emails « [Courriel 7] » et « [Courriel 5] » de la demande d'identification ;
Laissons à chaque partie la charge des dépens par elle exposés à l’occasion de la présente instance ;

Rappelons que la présente ordonnance bénéficie de plein droit de l'exécution provisoire.

Ainsi fait à Paris, le 11 juin 2025

La Greffière, La Présidente,



Célia HADBOUN Rachel LE COTTY

Décisions proches

Celles qui citent les mêmes textes rares que celle-ci (code penal 313-1, code des postes et des communications electroniques L34-1, code penal 323-1, code des postes et des communications electroniques R10-13, code de procedure civile 328, code de procedure civile 325, code de procedure civile 329, code penal 323-3). Sans IA : les citations relevées dans les décisions.

• 12 novembre 2024 · Tribunal judiciaire de Paris · Fait droit à une partie des demandes du ou des demandeurs sans accorder de délais d'exécution au défendeur · n° 24/57625

  en commun : code penal 313-1, code des postes et des communications electroniques L34-1, code penal 323-1, code des postes et des communications electroniques R10-13

• 9 septembre 2025 · Tribunal judiciaire de Paris · Fait droit à une partie des demandes du ou des demandeurs sans accorder de délais d'exécution au défendeur · n° 25/54274

  en commun : code penal 313-1, code des postes et des communications electroniques L34-1, code des postes et des communications electroniques R10-13

• 19 février 2026 · Tribunal judiciaire de Paris · Ordonne de faire ou de ne pas faire quelque chose avec ou sans astreinte · n° 25/57430

  en commun : code penal 313-1, code des postes et des communications electroniques L34-1, code des postes et des communications electroniques R10-13

• 17 avril 2026 · Tribunal judiciaire de Paris · Fait droit à une partie des demandes du ou des demandeurs sans accorder de délais d'exécution au défendeur · n° 26/52518

  en commun : code penal 313-1, code des postes et des communications electroniques L34-1, code des postes et des communications electroniques R10-13

• 11 mai 2023 · Cour d'appel de Douai · Autre · n° 15/06278

  en commun : code penal 323-1, code penal 323-3

• 27 juin 2024 · Tribunal judiciaire de Paris · Fait droit à une partie des demandes du ou des demandeurs sans accorder de délais d'exécution au défendeur · n° 20/02476

  en commun : code penal 323-1, code penal 323-3

Mise à jour de la source le 2025-06-11T18:26:15.000Z.