Archives de Tag: données personnelles

par | 5 mai 2020 · 10 h 00 min

Pas de droit à l’oubli mondial : l’arrêt Google du Conseil d’État du 27 mars 2020 le confirme !

En janvier 2019[1] (voir notre article sur le sujet), la société Google était condamnée à la plus grosse amende jamais prononcée par la CNIL (50 millions d’euros). Dans cette nouvelle affaire, elle échappera à toute sanction ! Pour mieux la comprendre, il faut remonter quelques années en arrière.

Le 10 mars 2016[2], par une délibération de la formation restreinte de la CNIL, la société Google Inc., exploitant le moteur de recherche Google, a été sanctionnée à hauteur de 100.000 euros, après une mise en demeure[3] demeurée infructueuse, de procéder au déréférencement du nom et prénom de plusieurs personnes physiques sur l’ensemble de ses extensions. Rappelons que le déréférencement est la technique qui permet de faire supprimer un ou plusieurs résultats fournis par un moteur de recherche à l’issue d’une requête (pour faciliter cette démarche, Google Inc. met à disposition un formulaire spécifique en ligne).

Plus précisément, il était reproché à la société Google Inc. d’avoir violé le droit pour une personne de s’opposer à ce que ses données personnelles fassent l’objet d’un traitement en vertu des articles 38 et 40 de la loi informatique et libertés (dans leur ancienne rédaction[4]). En effet, Google Inc. refusait de déréférencer les liens renvoyant au contenu litigieux sur l’ensemble des extensions de son moteur de recherche et n’acceptait de le faire que pour celles des pays européens. Autrement dit, en reprenant le nom et prénom des personnes concernées, quiconque pouvait avoir accès aux pages web litigieuses à partir d’une extension non-européenne du moteur de recherche.

Au soutien de sa position, Google Inc. insistait notamment sur le fait que (i) la CNIL excédait ses pouvoirs en voulant imposer une mesure ayant une portée extraterritoriale et (ii) qu’un déréférencement mondial contrevenait de manière disproportionnée à la liberté d’expression de l’auteur du contenu et à la liberté d’information des internautes (puisqu’en supprimant les liens renvoyant vers le contenu litigieux, ce dernier ne serait plus accessible ni visible depuis Google, le plus gros moteur de recherche au monde).

Google Inc. a introduit un recours auprès du Conseil d’État dans le but obtenir l’annulation de la sanction dont elle faisait l’objet. Par un arrêt du 19 juillet 2017[5], le Conseil d’État a transmis à la Cour de Justice de l’Union Européenne (CJUE) trois questions préjudicielles à des fins de clarification de l’interprétation du droit européen. Le 24 septembre 2019[6], la CJUE a rendu un arrêt favorable à l’interprétation de Google Inc. L’affaire étant en état d’être jugée, le Conseil d’État a rendu son arrêt le 27 mars 2020 et a précisé la portée territoriale du droit au déréférencement.

1/ Principe : l’absence d’un droit au déréférencement mondial

Dans un premier temps, le Conseil d’État rappelle la portée géographique du droit au déréférencement, précisée par la CJUE dans son arrêt du 24 septembre 2019. À cet égard, la Cour disposait que « lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des Etats membres » (§73). La Cour ajoutait que cette mesure de déréférencement pouvait être accompagnée de mesures permettant d’empêcher ou de décourager les internautes effectuant une recherche, d’avoir accès aux liens litigieux. 

Or, le Conseil d’État expose que la formation restreinte de la CNIL a sanctionné la société Google Inc. au motif qu’elle refusait de faire droit à une demande de déréférencement sur l’ensemble des noms de domaine de son moteur de recherche et se bornait à supprimer les liens en cause des seuls résultats affichés sur ses extensions européennes. Qui plus est, la CNIL estimait insuffisant le mécanisme de géo-blocage proposé par Google Inc. en complément de son déréférencement à l’échelle de l’Union européenne.

Ainsi, transposant le raisonnement de la CJUE, le Conseil d’État ne fait pas droit à l’interprétation de la CNIL. Il juge, en effet, qu’en sanctionnant la société Google Inc. au motif que seule une mesure s’appliquant à l’intégralité du traitement lié au moteur de recherche pourrait répondre à l’exigence de protection des données personnelles telle que consacrée par la CJUE, « la formation restreinte de la CNIL a entaché la délibération en cause, d’erreur de droit[7] » (§7).

2/ Exception : un droit au déréférencement mondial à l’issue d’une mise en balance des intérêts minutieuse

Si le principe tient à l’absence d’un droit au déréférencement mondial, le Conseil d’État y apporte, toutefois, quelques nuances :

  • Reprenant les arguments invoqués en défense par la CNIL, le Conseil d’État rappelle que la CJUE précisait dans l’arrêt précité[8] que «si (…) le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus » (§72). Elle ajoute, néanmoins, que si les autorités de contrôle ou judiciaires d’un Etat membre demeurent compétentes pour enjoindre un déréférencement mondial, c’est à la condition qu’ « une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information » (§72), ait été réalisée au préalable. En d’autres termes, cette mise en balance implique de mesurer de manière casuistique l’ampleur de l’atteinte aux droits susmentionnés dans l’hypothèse où le déréférencement mondial serait prononcé et, à l’inverse, dans le cas où il ne le serait pas. À l’issue de cette analyse, il en résultera généralement que le droit le touché par la décision l’emportera sur l’autre.
  • Par ailleurs, le Conseil d’État rappelle que lorsqu’il est saisi d’une requête dirigée contre une sanction prononcée par la CNIL et que celle-ci aurait pu être prise sur un autre fondement que celui retenu par l’autorité de sanction, le juge administratif peut substituer la base légale de la décision attaquée « sous réserve que la personne sanctionnée [ici la société Google Inc.] ait disposé des garanties dont est assortie l’application du texte sur le fondement duquel la décision aurait dû être prononcée »[9] afin que celle-ci ne soit plus entachée d’erreur de droit.

Appliqué à l’espèce, le Conseil d’État rejette la demande de la CNIL tenant à la substitution du fondement initialement choisi pour sanctionner la société Google Inc. par le raisonnement de la CJUE reconnaissant aux autorités de contrôle nationales le pouvoir d’ordonner un déréférencement sur l’ensemble des versions du moteur de recherche.  Pourquoi ? Parce que le Conseil d’État observe qu’en l’état actuel du droit, le législateur français n’a pas adopté de dispositions législatives permettant d’ordonner un déréférencement hors de l’Union européenne. Il estime, ainsi, qu’un fondement jurisprudentiel n’est pas valable pour réaliser cette substitution.  En outre, quand bien même ce fondement le serait, le Conseil d’État souligne que la faculté d’exiger un déréférencement mondial ne peut être ouverte qu’au terme d’une balance des intérêts, chose que la formation restreinte de la CNIL n’a pas effectué.

Eu égard à ce qui précède, le Conseil d’État juge qu’un déférencement mondial ne peut être ordonné par la CNIL et que, par voie de conséquence, la société Google Inc. est fondée à demander l’annulation de la délibération attaquée.

3/ Le résultat incertain d’une future mise en balance des intérêts

Si le raisonnement entrepris par le Conseil d’État semble tout à fait cohérent au regard du droit européen et eu égard à l’absence de mise en balance des intérêts, on peut, toutefois, regretter qu’il ne se soit pas prononcé sur les mesures de géo-blocages mises en œuvre par Google Inc. à l’issue de sa mise en demeure. En effet, ces dernières semblaient permettre de bloquer l’accès aux liens litigieux pour les adresses IP réputées localisées dans l’Etat de résidence du bénéficiaire du droit au déréférencement à la suite d’une recherche effectuée à partir de son nom et ce, indépendamment de la déclinaison du moteur de recherche utilisée par l’internaute. Dès lors, il aurait été intéressant de voir si, à l’issue de la mise en balance des intérêts, ces mesures de géo-blocages auraient été considérées comme suffisantes pour faire droit aux arguments de Google Inc. et pour refuser de prononcer le déréférencement mondial.

En tout état de cause, il reste désormais à savoir comment cette mise en balance sera mise en œuvre par les différentes autorités nationales de protection des données personnelles. De son côté, dans sa délibération de 2016[10], la CNIL avait d’ores et déjà relevé que ces mesures n’étaient pas satisfaisantes en ce sens que l’information déréférencée demeurait consultable par tout internaute situé en dehors du territoire concerné par la mesure de filtrage et, d’autre part, qu’un contournement de cette mesure par les utilisateurs concernés restait possible (par exemple, en utilisant un VPN).

Droit du Partage continuera naturellement de suivre ces sujets pour vous.

_________________________________

[1] Délibération n°SAN-2019-001 du 21 janvier 2019 Délibération de la formation restreinte n° SAN – 2019-001 du 21 janvier 2019 prononçant une sanction pécuniaire à l’encontre de la société GOOGLE LLC.

[2] Délibération de la formation restreinte n° 2016-054 du 10 mars 2016 prononçant une sanction pécuniaire à l’encontre de la société X.

[3] Décision n° 2015-047 du 21 mai 2015 mettant en demeure la société X.

[4] Aujourd’hui, « le droit à l’effacement » ou aussi dit « droit à l’oubli » est consigné à l’article 17 du Règlement sur la protection des données à caractère personnel (RGPD) et 40 de la loi informatique et libertés.

[5] CE, Section du contentieux, 10ème et 9ème chambres réunies ,19 juillet 2017, Google Inc., décision N°399922.

[6] CJUE (grande chambre), 24 septembre 2019, Google LLC contre Commission nationale de l’informatique et des libertés (CNIL), affaire C-507/17.

[7] L’erreur de droit peut résulter d’un détournement de procédure ou d’un défaut de base légale (par exemple, lorsque, comme en l’espèce, l’administration n’a pas fondé sa décision sur la bonne norme).

[8] CJUE (grande chambre), 24 septembre 2019, Google LLC contre Commission nationale de l’informatique et des libertés (CNIL), affaire C-507/17.

[9] Cette substitution se fait soit à la demande des parties soit de la propre initiative du juge (et dans cette seconde hypothèse, uniquement si les parties ont eu la possibilité de présenter des observations sur ce point).

[10] Délibération de la formation restreinte n° 2016-054 du 10 mars 2016 prononçant une sanction pécuniaire à l’encontre de la société X.

Publicité

Poster un commentaire

Classé dans Evolution du cadre juridique, Obligations et responsabilité des plateformes

Tagué , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

par | 5 décembre 2019 · 10 h 09 min

Vivre avec les objets connectés : numéro 3 de la revue Third

En tant que lieu de construction d’une culture du numérique, Third décrypte la révolution juridique en abordant les grands objets de réflexion et en adoptant une approche pluridisciplinaire (voir le site de la revue Third).

Publié en novembre 2019, le numéro 3 de la revue Third (voir le sommaire de ce numéro) appréhende les objets connectés et leur impact sur notre vie quotidienne.

Objet connecté - Third 3

Les objets connectés peuplent la littérature et l’imaginaire de la révolution numérique.

Le plus souvent, ce sujet est abordé du point de vue de l’usage, pour souligner les changements apportés par ces objets connectés dans le quotidien des personnes et des entreprises. Cette approche centrée sur l’usage tend à éluder deux aspects fondamentaux : qu’y a-t-il dans un objet connecté ? Peut-on aujourd’hui affirmer de manière incontestable que le progrès annoncé en est un ?

C’est sur ce double questionnement que la revue Third a travaillé en cherchant à faire la radiographie de l’objet connecté. Les différentes contributions de ce numéro analysent donc toutes l’avènement de l’internet des objets (Internet of Things – IoT) sous un angle bien spécifique, tout en faisant l’effort d’apporter une vue d’ensemble afin de replacer les enjeux dans le cadre plus large des mutations engendrées par le numérique.

Nous vous invitons à découvrir le numéro de Third « Vivre avec les objets connectés ».

Poster un commentaire

Classé dans Autres secteurs (vêtements, food, stockage & location de biens meubles...), Evolution du cadre juridique

Tagué , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

par | 22 octobre 2019 · 14 h 10 min

Cookies et autres traceurs : vers une plus grande protection des internautes ?

Récemment, le Figaro a été invité par la Commission nationale de l’informatique et des libertés (CNIL) à revoir sa politique de cookies tandis que la compagnie aérienne Vueling a quant à elle été sanctionnée par l’autorité espagnole au titre de sa politique de cookies. Ces affaires se multiplient et illustrent l’importance des pratiques des éditeurs de sites internet concernant le dépôt de cookies et autres traceurs.

1. À quoi servent les cookies ?

D’après la CNIL, un cookie est un « petit fichier informatique, un traceur, déposé et lu par exemple lors de la consultation d’un site internet, de la lecture d’un courrier électronique, de l’installation ou de l’utilisation d’un logiciel ou d’une application mobile et ce, quel que soit le type de terminal utilisé (ordinateur, smartphone, liseuse numérique, console de jeux vidéos connectés à Internet, etc.) » (voir le site de la CNIL).

Par ailleurs, d’un point de vue technique, bien qu’un cookie soit de composition simple, il en existe différentes variantes : cookies de modules sociaux de partage de contenus, cookies de pistage, cookies publicitaires tiers, cookies de mesure d’audience… Par ailleurs, d’autres techniques comme les identifications par calcul d’empreinte du terminal, les identifiants générés par les systèmes d’exploitation, les identifiants matériels (adresse MAC, numéro de série), sont également susceptibles de stocker des données personnelles. La multiplicité de ces traceurs les rend difficilement différentiables par l’internaute, ce qui peut parfois nuire à la compréhension de ce qui est accepté.

Initialement, les traceurs informatiques ont été créés dans le but faciliter la navigation de l’internaute en mémorisant ses préférences, en lui permettant d’effectuer des tâches sans avoir à saisir à nouveau des informations lorsqu’il navigue d’une page à une autre ou lorsqu’il visite le site ultérieurement. Aujourd’hui, les cookies et autres traceurs sont notamment utilisés par les sites de commerce électronique afin d’analyser les habitudes de navigation des internautes, de sorte qu’ils sont devenus des moyens pour définir le profil d’un internaute et donc des outils de ciblage publicitaire.

Ces traceurs sont logiquement appréhendés par le droit, en particulier par la directive européenne 2002/58/CE (dite e-privacy) modifiée par la directive européenne 2009/136/CE ainsi que par la loi informatique et libertés.

2. Quelle est la position de la CNIL?

Le 5 décembre 2013, la CNIL a adopté une recommandation (voir le texte de la recommandation) visant à guider les éditeurs de site web dans l’application de l’article 32-II de la loi informatique et libertés (aujourd’hui devenu l’article 82), dont il ressortait une double obligation : l’obligation d’informer la personne concernée de la finalité et des moyens de s’opposer aux cookies et l’obligation d’obtenir le consentement de la personne concernée. Cependant, le règlement général sur la protection des données (RGPD) est entré en vigueur, en modifiant notamment la conception du consentement et la CNIL a dû revoir sa position concernant les cookies.

Le 4 juillet 2019, la CNIL a adopté des lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 (voir la délibération de la CNIL). Dans ces nouvelles lignes directrices, la CNIL décide, d’une part, que la simple poursuite de la navigation sur un site ne peut plus être regardée comme une expression valide du consentement au dépôt de cookies et qu’il est nécessaire de mettre en place une action positive de l’internaute pour qu’il exprime son consentement. D’autre part, elle considère que les opérateurs qui exploitent des traceurs doivent être en mesure de prouver qu’ils ont bien recueilli le consentement. Il s’agit là d’une modification importante de la position de la CNIL.

Cependant, la CNIL a choisi de permettre une « période d’adaptation » qui s’achèvera 6 mois après la publication de la recommandation (laquelle est attendue pour le 1er trimestre 2020). Cette période de tolérance a fait l’objet d’intenses discussions devant le Conseil d’État (cf. ci-dessous n°4).

3. Quelle est la position de la Cour de justice de l’Union européenne ?

Dans un arrêt Planet49 rendu le 1er octobre 2019, la grande chambre de la Cour de justice de l’Union européenne (CJUE) a répondu à la demande de décision préjudicielle introduite par la Cour fédérale de justice allemande (voir l’intégralité de la décision). Dans cette affaire, la fédération allemande des organisations de consommateurs conteste l’utilisation par la société allemande Planet49 d’une case cochée par défaut par laquelle les internautes, souhaitant participer à des jeux promotionnels en lignes, expriment leur accord au placement de cookies.

À travers l’arrêt rendu par la CJUE souligne quatre points principaux :

  • le consentement que l’utilisateur d’un site internet doit donner pour le placement et la consultation de cookie sur son équipement n’est pas valablement donné au moyen d’une case cochée par défaut, que cet utilisateur doit décocher pour refuser de donner son consentement (opt out) ;
  • la solution est la même que les informations stockées ou consultées par les cookies constituent ou non des données à caractère personnel ;
  • le consentement de l’utilisateur doit être spécifique, de telle sorte que le fait pour l’utilisateur, d’activer le bouton de participation au jeu promotionnel ne suffit pas pour considérer qu’il a valablement donné son consentement au placement de cookies ; et  
  • le fournisseur de services doit donner à l’utilisateur des informations telles que la durée de fonctionnement des cookies ainsi que la possibilité ou non pour les tiers d’avoir accès à ces cookies.

L’arrêt de la CJUE confirme ainsi la nouvelle position de la CNIL sur le fond. Toutefois, la mise en œuvre par la CNIL d’une période de tolérance est l’objet d’un intense débat devant le Conseil d’Etat. 

4. Le plan d’action de la CNIL soutenu par le Conseil d’Etat

Dans son communiqué de presse du 28 juin 2019 (voir le texte du communiqué), la CNIL a annoncé laisser aux acteurs une période transitoire de 12 mois pendant laquelle, la poursuite de la navigation comme expression du consentement sera considérée comme acceptable. La CNIL précise ensuite, dans son communiqué du 18 juillet 2019 (voir le texte du communiqué), que cette période d’adaptation s’achèvera 6 mois après la publication de la future recommandation.

Les associations La Quadrature Du Net et Caliopen ont demandé au juge des référés du Conseil d’Etat d’ordonner la suspension de l’exécution de la décision de la CNIL, d’autoriser la « poursuite de la navigation » comme mode d’expression du consentement en matière de cookies et de traceurs en ligne jusque mi-2020. Elles considèrent que la création d’une période transitoire pendant laquelle la CNIL s’abstiendra de toute poursuite à l’encontre des acteurs viole le droit français et le droit de l’Union européenne en matière de droit des données à caractère personnel. Et que la décision attaquée porte atteinte de manière substantielle, directe et certaine aux intérêts qu’elle entend défendre.    

Dans sa décision du 16 octobre 2019 (voir l’intégralité de la décision), le Conseil d’État rappelle tout d’abord que la CNIL, qui est une autorité administrative indépendante, dispose d’un large pouvoir d’appréciation dans l’exercice de ses missions. Il juge ensuite que le délai laissé aux acteurs pour se conformer aux règles qui seront publiées à l’issue de la concertation n’est pas illégal puisqu’il permet aux acteurs de s’approprier ces nouvelles règles. Le Conseil d’Etat estime enfin que la stratégie de la CNIL ne méconnaît pas le droit au respect de la vie privée car elle contribue à remédier aux pratiques prohibées de publicité ciblée, et n’empêchera pas la Commission de réaliser des contrôles pendant cette période transitoire, en sanctionnant le cas échéant les manquements les plus graves à ce nouveau cadre juridique. Cet arrêt apporte également une précision procédurale importante : les communiqués de presse indiquant les prises de position de la CNIL peuvent faire l’objet d’un recours pour excès de pouvoir, à condition que les actes « revêtent le caractère de dispositions générales et impératives ou qu’ils énoncent des prescriptions individuelles dont ces autorités pourraient ultérieurement censurer la méconnaissance ».

Droit du Partage continuera naturellement à suivre ce sujet pour vous.

Poster un commentaire

Classé dans Evolution du cadre juridique, Union Européenne

Tagué , , , , , , , , , , , , , , ,

par | 30 septembre 2019 · 18 h 47 min

L’action de groupe : arme efficace contre l’utilisation abusive des données personnelles ?

Les données à caractère personnel sont un sujet clé de la vie numérique et de l’économie digitale. A la suite d’un nombre non négligeable de scandales, leur protection a progressivement pris une dimension toute particulière.

On peut citer à titre d’exemple : le vol de données Uber ayant conduit la CNIL à infliger au géant américain une amende record de 50 millions d’euros ; ou encore l’affaire Cambridge Analytica, société de profilage politique, soupçonnée d’avoir compilé, au moyen d’un quizz de personnalité, les données personnelles de près de 87 millions d’utilisateurs Facebook.

Pour autant face à ces situations les moyens mis à disposition des individus pour assurer effectivement le contrôle et la protection de leurs données à caractère personnel paraissent insuffisants.

1. Quid de l’action de groupe en France ?

De manière générale, l’action de groupe se définit comme « une action judiciaire diligentée par un représentant d’un groupe, désigné par la loi, afin que ledit groupe, suite au dommage de masse causé par les manquements d’un professionnel, puisse obtenir une réparation judiciaire » [1]. En d’autres termes, elle permet à un titulaire, spécialement déterminé par la loi, d’agir afin d’obtenir réparation des préjudices subis par un groupe de personnes aux torts d’un seul et même protagoniste.

A l’aube des années 1980, en l’absence d’instrument juridique en mesure de prendre acte et de sanctionner « les litiges de masse », la doctrine française commence à réfléchir à l’introduction de l’action de groupe en droit français[2]. Cependant, fort des dissensions et alternances politiques, le gouvernement français a longtemps craint l’introduction d’un tel mécanisme[3].

L’action de groupe a finalement été consacrée pour la première fois par la loi du 17 mars 2014 relative à la consommation, dite « loi Hamon ». Elle a ensuite été étendue à diverses sphères du droit, notamment en droit de la santé[4], en droit de l’environnement[5], en matière de discrimination au travail[6], ainsi qu’en matière de données personnelles.

2. Quel est le cadre juridique français de l’action de groupe en matière de données personnelles ?

  • De la demande de cessation à l’action en réparation

L’action de groupe en matière de données personnelles a été introduite en France par la loi du 18 novembre 2016 de modernisation de la justice du XXIe siècle. Celle-ci a introduit dans la loi du 6 janvier 1978 dite « Informatique et Libertés » (LIL)[7], l’article 43 ter (désormais abrogé en raison d’une version plus récente du texte). L’objectif était de permettre aux personnes victimes de manquements aux obligations de protection des données personnelles, d’en demander la cessation devant la juridiction compétente.

Après la réforme législative du 20 juin 2018 relative à la protection des données personnelles, le champ de cette action de groupe a été élargie. Cette réforme insère dans la LIL un nouvel article 37[8], permettant d’une part de demander la cessation du manquement, et / ou d’autre part « d’engager la responsabilité de la personne ayant causé le dommage afin d’obtenir réparation des préjudices matériels ou moraux subis ».

Conformément à l’article 37 de la LIL, lu en combinaison avec les articles 60 et suivants de la loi du 18 novembre 2016 de modernisation de la justice du XXIe siècle, cette action de groupe peut être respectivement portée devant la juridiction civile[9] ou la juridiction administrative[10] compétente. Le demandeur à l’action doit en informer la Cnil, afin que celle-ci puisse présenter des observations.

Il s’agit là de modifications opérées sous l’impulsion du droit de l’Union européenne et notamment du Règlement général sur la protection des données à caractère personnel du 27 avril 2016 dit « RGPD ». L’action de groupe est effectivement prévue par le RGPD, qui permet aux personnes physiques ayant subi un dommage matériel ou moral du fait de la violation d’obligations posées par le Règlement, d’obtenir réparation du préjudice subi.

  • Les conditions de l’action

Le fait générateur de l’action de groupe en matière de données personnelles est restreint : l’action ne peut être exercée que « lorsque plusieurs personnes physiques placées dans une situation similaire subissent un dommage ayant pour cause commune un manquement de même nature » aux dispositions du RGPD ou à celles de la loi du 20 juin 2018 relative aux données personnelles (LIL, art. 37 II).

Par ailleurs, en vertu de l’article 37 IV. de la LIL, seuls peuvent exercer une telle action :

  • « Les associations régulièrement déclarées depuis cinq ans au moins ayant dans leur objet statutaire la protection de la vie privée ou la protection des données à caractère personnel» ;
  • « Les associations de défense des consommateurs représentatives au niveau national et agréées, lorsque le traitement de données à caractère personnel affecte des consommateurs» ;
  • « Les organisations syndicales de salariés ou de fonctionnaires représentatives ou les syndicats représentatifs de magistrats de l’ordre judiciaire, lorsque le traitement affecte les intérêts des personnes que les statuts de ces organisations les chargent de défendre».

Il est important de noter, que l’action de groupe doit être précédée d’une mise en demeure en vue de faire cesser le manquement ou de réparer le(s) préjudice(s) subi(s). Ce n’est qu’à l’issue de l’expiration d’un délai de 4 mois, à compter de la réception de la mise en demeure, que l’action de groupe pourra être introduite devant la juridiction compétente[11].

3. Quelles sont les actions en cours ?

Alors même que les scandales portant sur l’utilisation massive et abusive des données à caractère personnel se multiplient, la France compte à ce jour un nombre restreint d’actions de groupe :

  • Internet Society France (ISOC France) c/ Facebook :

En novembre 2018, l’ONG annonçait vouloir engager la première action de groupe indemnitaire en matière de données personnelles[12].

Par une lettre de mise en demeure, l’ISOC France a alerté la plateforme de sept « atteintes récurrentes aux libertés et à la vie privée » de ses utilisateurs. L’internet Society reproche notamment au géant américain de collecter des données sensibles (l’orientation sexuelle, les opinions politiques et les croyances religieuses), de ne pas demander le consentement libre et éclairé des utilisateurs Facebook et WhatsApp ou encore l’absence de sécurisation efficace des données personnelles[13].

En l’absence de réponse, l’ONG a décidé de porter l’affaire devant les tribunaux français. Selon l’Agence France Presse (AFP), l’ISOC France a déclaré vouloir introduire une assignation devant le tribunal de grande instance de Paris au cours du mois de septembre 2019[14].

  • UFC-Que choisir c/ Google:

Le 26 juin dernier, UFC-Que choisir a introduit une action de groupe contre le géant de l’internet, pour collecte et exploitation de données utilisateurs contraires aux obligations posées par le RGPD.

Cette action concerne principalement les utilisateurs de produits Android. L’association pointe notamment du doigt le processus de création de compte : « nous considérons que le consentement des utilisateurs n’est pas obtenu de façon légale, notamment au travers de cases pré-cochées camouflées ». Selon elle, les utilisateurs n’auraient pas conscience de « l’intrusion massive » dans leur vie privée notamment au travers des données de géolocalisation et à fortiori de la finalité de cette collecte.

L’organisme a assigné Facebook devant le Tribunal de grande instance de Paris et est en attente d’une décision sur la responsabilité de Google dans le cadre de la collecte et du traitement des données personnelles de ses utilisateurs.

Droit du Partage continuera naturellement à suivre ce sujet pour vous.

[1] S. GUINCHARD, CHAINAIS et FERRAND, Procédure civile. Droit interne et droit de l’Union européenne, 2014, coll. Précis, Dalloz, n° 404

[2] Commission de refonte du droit de la consommation, sous la direction de J. CALAIS-AULOY, 1985

[3] Action de groupe – Sonia BEN HADJ YAHIA – Juin 2015, n°2 et suivants

[4] Article 184 de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé

[5] Article L142-3-1 du code de l’environnement.

[6] Articles L.1134-6 à L.1134-10 du Code du travail.

[7] La loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle est venu modifier la loi Libertés et Informatiques.

[8] Article 37 de la  LOI n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

[9] Article 60 de la Loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle.

[10] Article 85 de la Loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle.

[11] Article 64 de la Loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle.

[12] Communiqué de l’ISOC France en date du 9 novembre 2018.

[13] Lettre recommandée avec accusé de réception adressée à Facebook France, Facebook Ireland LTD, Facebook Inc.

[14] Article de presse en date du 26 mars 2019 rédigé par l’AFP et publié sur CB News.

Poster un commentaire

Classé dans Evolution du cadre juridique, Union Européenne

Tagué , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

par | 5 juillet 2019 · 13 h 43 min

À la recherche de la Smart City : numéro 2 de la revue Third

En tant que lieu de construction d’une culture du numérique, Third décrypte la révolution juridique en abordant les grands objets de réflexion et en adoptant une approche pluridisciplinaire (voir le site de la revue Third). Publié en mai 2019, le numéro 2 de la revue Third (voir le site dédié au numéro sur la Smart City) est dédié aux questions posées autour de la Smart City.

Smart City Couverture Third numéro 2

Expression à la mode et indéfinissable, la Smart City ponctue presque toutes les discussions sur l’impact du numérique dans nos vies urbaines. Il était donc naturel que la revue Third s’essaie à mieux appréhender cette notion, tout en conservant l’approche pluridisciplinaire qui la guide.

Chacun à leur façon, les contributeurs de ce numéro creusent l’idée que la Smart City est un idéal, une forme de rêve collectif dans lequel ceux qui composent une ville (le citoyen, le politique et l’entrepreneur) tireraient profit de toutes les mutations résultant de la révolution numérique : des villes mieux organisées, plus fluides, plus justes, où il ferait bon vivre.

Où en est ce projet aujourd’hui ? Sous quel angle peut-on réellement l’appréhender ? Quelles sont les forces qui le façonnent ? Quels changements aura-t-il sur nos vies ? Voulons-nous vraiment d’une Smart City ?

Nous vous invitons à découvrir les articles passionnants des contributeurs du numéro de Third intitulé « À la recherche de la Smart City ».

Poster un commentaire

Classé dans Autres secteurs (vêtements, food, stockage & location de biens meubles...), Prises de position, Transport de personnes

Tagué , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

par | 2 mai 2019 · 10 h 00 min

RGPD et objets connectés : de l’importance de la sécurité

Alors que plus de 20 milliards d’objets connectés devraient être en circulation d’ici 2020 (voir notamment les insights de Gartner sur l’Internet of Things), la protection de la vie privée et des données personnelles va devenir un enjeu cardinal (tant pour les professionnels que pour les consommateurs). Au cœur de ces considérations et en application du RGPD (notamment l’article 32), se trouve la sécurité des éléments physiques ainsi que des flux de données permis par ces objets connectés (voir notre précédent article pour des perspectives juridiques plus complètes).

Les questions de sécurité se posent à tous les niveaux : l’intégrité physique de l’objet, la sécurité de la liaison objet / service numérique et la sureté des serveurs (peut être situés à l’étranger) où sont stockées les informations envoyées par l’objet. On peut ainsi distinguer 3 scenarii par ordre croissant de risque :

1/ Les données restent sous la maitrise de l’usager : les objets n’envoient pas les données à l’extérieur, c’est-à-dire à des tiers car elles restent sur des réseaux maitrisés par l’usager.

2/ Les données sont transmises à l’extérieur pour analyse : les objets transmettent les données à un ou des tiers pour être analysées dans le but de rendre tout ou partie du service.

3/ Les données sont transmises à l’extérieur pour permettre de gérer l’équipement à distance : dans cette situation, les données sont envoyées par l’objet à un ou des tiers afin d’interagir ensuite avec l’équipement.

Le cadre juridique relatif à la protection des données personnelles, en particulier le RGPD qui est applicable dans l’Union Européenne, fixe des exigences importantes en matière de sécurité et d’exercice des droits des individus. Très attentive à ces enjeux, la CNIL s’est focalisée sur les cas d’usages les plus courants en France (notamment, les compteurs intelligents, les jouets connectés, les voitures connectées ou encore les enceintes à commande vocales).

Prenons l’exemple des compteurs communicants comme Linky qui font l’objet d’une attention particulière des dernières années. Dès le 15 novembre 2012, la CNIL a adopté une délibération portant recommandation relative aux traitements des données de consommation détaillées collectées par les compteurs communicants dans laquelle il est notamment rappelé la nécessité de mettre en place des mesures fortes pour assurer la sécurité et la confidentialité des données.

Cette question était au cœur d’un récent litige (voir l’ordonnance de référé du 23 avril 2019 rendue par le Président du Tribunal de grande instance de Bordeaux). Dans cette affaire, plusieurs personnes physiques ont assigné la société Enedis pour s’opposer à l’installation d’un compteur électrique Linky sur le fondement, notamment, de la violation du RGPD. Dans son ordonnance, le Président a refusé de faire droit à cette demande en retenant notamment l’absence de trouble manifestement illicite car il existe une « anonymisation des informations pendant leur transmission, d’une part par leur cryptage, et d’autre part par l’absence de toute référence d’identification nominative ».

Si l’interprétation des règles du RGPD est encore en construction et que les services de la CNIL poursuivent leurs efforts de pédagogie, la récemment désignée Présidente de la CNIL (Marie-Laure Denis) a affirmé que « un an après [l’] entrée en vigueur [du RGPD], c’est la fin d’une forme de tolérance ». Les acteurs du marché doivent mettre en œuvre des mesures de mise en conformité, en particulier concernant la sécurité et la confidentialité des données personnelles.

Les entreprises du marché des objets connectés doivent prendre ces sujets à bras le corps pour assurer la pérennité de leur activité et rassurer leurs clients. Ainsi, il convient de conduire une analyse précise du flux des données et des risques encourus par la situation (v. p. ex. les 3 scenarii détaillés supra) afin de prendre de mettre en place des mesures techniques (par exemple, l’anonymisation et le cryptage) et organisationnelles (par exemple, une politique interne relative à la sécurité et à la protection des données).

Droit du Partage continuera naturellement à suivre ces sujets pour vous.

Poster un commentaire

Classé dans Autres secteurs (vêtements, food, stockage & location de biens meubles...), Evolution du cadre juridique

Tagué , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

par | 13 mars 2019 · 9 h 54 min

Quand l’autorité de la concurrence allemande fait du droit des données personnelles pour contraindre Facebook

Entre les soupçons d’ingérence russe dans la campagne présidentielle américaine, l’audition de M. Zuckerberg devant le congrès américain en marge du scandale Cambridge Analytica et les innombrables procédures judiciaires et enquêtes de régulateurs, Facebook n’en finit plus d’être sous les feux de la rampe.

Dans le prolongement d’une enquête ouverte en mars 2016, le Bundeskartellamt, (l’autorité de concurrence allemande) vient de rendre une décision le 7 février dernier dans laquelle elle interdit à Facebook « de croiser les données d’utilisateurs provenant de différentes sources ».

C’est une décision rare en ce sens que l’autorité allemande a largement intégré le droit des données personnelles dans ses raisonnements pour sanctionner Facebook, alors même que sa compétence se limite en principe au droit de la concurrence allemand et, dans une certaine mesure, au droit européen.

Cette décision met en lumière les interactions croissantes entre ces deux disciplines. En France, l’Autorité de la concurrence s’intéresse également aux données personnelles. Elle vient de publier un avis « portant sur l’exploitation des données dans le secteur de la publicité sur Internet[1] » et avait réalisé une étude conjointe en mai 2016 « sur les données et leurs enjeux pour leur application du droit de la concurrence[2] » avec le Bundeskartellamt, justement.

Le fonctionnement de Facebook décortiqué

Dans les documents explicatifs de la décision publiés en anglais[3], l’autorité allemande a constaté qu’en acceptant les conditions générales d’utilisation de Facebook, tout utilisateur consent à ce que Facebook collecte et utilise trois types de données le concernant :

  • les données collectées sur Facebook ;
  • les données collectées sur les services appartenant à Facebook, comme Instagram et Facebook Messenger, mais aussi WhatsApp ; et
  • les données collectées sur les « sites et applications tiers ».

Cette dernière catégorie de données est collectée de différentes manières et recouvre les cas où Facebook est « incorporé » à un site ou une application tierce, connecté aux API de Facebook. C’est par exemple la situation où l’on utilise notre profil Facebook pour se connecter à un service, plutôt que de créer un compte avec notre adresse email, ou lorsque l’on commente une page d’un site Internet avec notre profil Facebook.

Conformément à ses conditions générales d’utilisation, Facebook agrège l’ensemble des données collectées sur ces différents services, et les relie au profil Facebook de l’utilisateur concerné. Cette collecte de données à travers trois sources différentes (Facebook, les services détenus par Facebook, et les services tiers) permet évidemment d’avoir une connaissance encore plus fine de l’utilisateur et donc d’offrir aux annonceurs un ciblage encore plus pertinent.

Les griefs et le raisonnement du Bundeskartellamt

La caractérisation d’un abus de position dominante en droit de la concurrence nécessite la réunion de deux conditions : (i) une position dominante sur un marché spécifique à l’affaire, ici celui des réseaux sociaux en Allemagne, et (ii) l’abus de cette position dominante.

La position dominante de Facebook n’a pas été difficile à prouver puisque comme dans la plupart des pays où Facebook est actif  le service est massivement utilisé par les populations (sauf en Asie, et notamment en Chine),. En Allemagne, la part de marché de Facebook s’élève à 90%. Le Bundeskartellamt a souligné que même si l’on devait inclure dans le marché pertinent d’autres services proches d’un service de réseau social, les plus importants appartenaient de toute façon à Facebook, à savoir Instagram et WhatsApp. L’autorité allemande a aussi relevé que Google + n’avait jamais réussi à concurrencer Facebook et avait fini par disparaitre.

C’est la caractérisation de l’abus qui présente une certaine originalité. Il y a deux grandes catégories d’abus en droit de la concurrence : les abus d’éviction (qui évincent les concurrents d’un marché) et les abus d’exploitation (qui imposent des conditions commerciales excessives et/ou injustifiées).

Pour retenir un abus d’exploitation en l’espèce, l’autorité allemande s’est fondée sur une jurisprudence de la Cour fédérale de justice (l’équivalent de la Cour de cassation française) selon laquelle les principes du droit civil peuvent être mobilisés pour caractériser un abus de position dominante. Alors que ce type de jurisprudence sert généralement à mobiliser des principes de droit des contrats visant à assurer l’équilibre des rapports entre les parties, c’est ici le droit des données personnelles qui a servi de fondement, ce qui est assez novateur. L’autorité allemande a alors constaté que Facebook violait de nombreuses dispositions du RGPD et a pu constater l’abus.

La sanction

Comme l’a résumé le président du Bundeskartellamt, la décision peut être comparée à un « démantèlement interne des données de Facebook ».

Cette expression est une référence historique aux origines du droit de la concurrence et résume assez bien la sanction. Le droit de la concurrence est né d’un monopole, celui de l’entreprise de raffinage et de distribution « Standard Oil » fondée par John Rockfeller et qui avait fini par contrôler la quasi-totalité de la production et de la distribution de pétrole aux États-Unis à la fin du XIXe siècle. Le gouvernement américain avait fini par démanteler (« divest ») la Standard Oil et avait peu après adopté les premières règles sur le droit de la concurrence, et notamment les règles sur l’abus de position dominante, qui visent à empêcher les monopoles de se constituer.

En substance, Facebook ne pourra plus combiner les données issues (i) de Facebook, (ii) des autres services qu’elle détient et (iii) des services tiers pour les agréger au profil Facebook de l’utilisateur, à moins d’obtenir un consentement de façon licite. Facebook peut toujours collecter des données de ces trois manières, mais de façon séparée, la combinaison des trois n’étant permise que si l’utilisateur a été en mesure d’exprimer son consentement conformément aux standards du RGPD.

Chose assez rare, l’autorité allemande n’a pas imposé d’amende, alors qu’elles constituent généralement le remède le plus utilisé par les autorités de concurrence. L’autorité a indiqué que « l’enjeu ici est de parvenir à des changements dans le comportement de [Facebook] au bénéfice des concurrents et des consommateurs et de contraindre [Facebook] d’adhérer à ces changements. (…) L’objet de cette procédure n’est pas d’imposer une amende ».

La compétence de l’autorité allemande est limitée, si bien que Facebook n’est contraint de procéder à ce « démantèlement » que pour les utilisateurs de Facebook résidant en Allemagne.

Quelles suites ? 

Comme Google après sa condamnation par la Commission européenne, Facebook a rapidement réagi en publiant un article intitulé « Pourquoi nous ne sommes pas d’accord avec le Bundeskartellamt[4] » et en annonçant avoir fait appel de la décision, qui sera revue par un tribunal allemand. Facebook explique notamment que la « popularité n’est pas la domination », et que Facebook est directement en concurrence avec de nombreux autres services comme Snapchat, Twitter ou YouTube.

Il sera intéressant de voir comment un juge abordera le raisonnement de l’autorité allemande (le Bundeskartellamt reste une autorité administrative), et si une question préjudicielle sera éventuellement posée à la Cour de justice de l’Union Européenne pour clarifier les règles applicables à ce type de pratiques.

Mise à jour : dans une décision du 26 août 2019, la Cour d’appel régionale de Dusseldörf (« Oberlandesgericht« ) a suspendu la décision du Bundeskartellamt. Facebook n’a pas encore exécuté la décision de l’autorité de concurrence allemande, et n’aura donc pas à le faire tant que la procédure n’est pas achevée. Le président de l’autorité allemande a annoncé qu’un appel serait porté devant la juridiction supérieure, la Cour suprême fédérale. L’affaire est donc toujours en cours.

Droit du Partage continuera naturellement à suivre ces sujets pour vous.

 

[1] Avis n° 18-A-03 du 6 mars 2018 portant sur l’exploitation des données dans le secteur de la publicité sur internet

[2] Etude conjointe « Droit de la concurrence et données », 10 mai 2016, disponible à l’adresse suivante : http://www.autoritedelaconcurrence.fr/doc/rapport-concurrence-donnees-vf-mai2016.pdf

[3]https://www.bundeskartellamt.de/SharedDocs/Meldung/EN/Pressemitteilungen/2019/07_02_2019_Facebook.html

[4] https://newsroom.fb.com/news/2019/02/bundeskartellamt-order/

Poster un commentaire

Classé dans Union Européenne

Tagué , , , , , , , , ,

par | 12 février 2019 · 10 h 34 min

RGPD, la première sanction prononcée par la CNIL concerne Google

Nous vous l’avions annoncé dans notre précédent article (voir notre article sur les enjeux de l’année 2019) : les premières sanctions prononcées sur le fondement du Règlement général sur la protection des données personnelles (« RGPD ») devaient intervenir en 2019. Ce pronostic vient de se réaliser car le géant américain Google a été condamné à payer une amende de 50 millions d’euros (voir le texte complet de la délibération de la CNIL concernant Google).

Parmi ses nombreux services, Google a conçu un système d’exploitation pour les smartphones appelé « Android » qui compte plus de 27 millions d’utilisateurs en France. Pour l’utiliser, un compte utilisateur doit être créé, ce qui implique un traitement de données à caractère personnel, lequel est naturellement soumis aux conditions du RGPD.

Les associations de défense et de représentation des droits et libertés fondamentaux dans l’espace numérique « None Of Your Business » (« NOYB ») et la Quadrature Du Net (« QDN »), qui soutenaient que le RGPD n’était pas respecté par Google, sont à l’origine de la procédure ouverte par la CNIL concernant Google.

Cette décision de sanction mérite des commentaires sur les points essentiels.

1/ La compétence de la CNIL : pour Google, la CNIL aurait dû transmettre les plaintes reçues à l’autorité de protection des données irlandaise (la Data Protection Commission) qui serait l’autorité chef de file en raison la localisation de son établissement principal en Irlande. (i.e : désigner une autorité chef de file permet aux organismes mettant en œuvre des traitements transfrontaliers de bénéficier du mécanisme du « guichet unique » et de disposer ainsi d’un seul interlocuteur pour toutes leurs activités de traitement sur le territoire de l’Union Européenne).

En se fondant sur l’article 4 (16) et le considérant 36 du RGPD, la CNIL a considéré que la société Google Irlande Ltd n’était pas « l’établissement principal » de la société Google LLC dès lors qu’il n’est pas établi qu’elle dispose d’un pouvoir décisionnel quant aux traitements visés (c’est-à-dire, la capacité de détermination des finalités et des moyens du traitement).

En l’absence d’établissement principal permettant l’identification d’une autorité chef de file, la CNIL est compétente pour traiter les plaintes

2/ Les manquements aux obligations de transparence et d’information :  toute personne qui fait l’objet d’un traitement de données personnelles doit se faire transmettre une information claire, précise et accessible sur l’existence ainsi que les modalités du traitement. Il était reproché à Google de ne pas avoir fourni à ses utilisateurs une telle information.

Pour Google, le document intitulé « Règles de confidentialité et conditions d’utilisation » offre « une bonne vue d’ensemble des traitements mis en œuvre ». La société explique également que l’information des personnes doit s’apprécier de façon globale et qu’ainsi, en plus des divers documents mis à disposition, l’information est transmise par le biais d’autres modalités (messages électroniques adressés à l’utilisateur créant son compte l’informant de la possibilité de modifier les paramètres, mise en place d’un dashboard, fenêtre pop-up etc…) ou fait l’objet d’une rubrique dédiée (par exemple, Google indiquait que les informations relatives à la durée de conservation des données figuraient dans la rubrique « Exporter et supprimer vos informations » au sein des « Règles de confidentialité ». ).

Bien que saluant les progrès et efforts réalisés par Google ces dernières années, la CNIL considère que les exigences de transparence et d’information du RGPD ne sont pas respectées. Elle relève notamment que l’architecture générale de l’information choisie par le géant américain nécessite une démarche positive de l’utilisateur pour prendre connaissance d’informations complémentaires, qu’il devra ensuite recouper et comparer afin de comprendre quelles données sont collectées en fonction des différents paramètres choisis. La CNIL retient que l’exigence d’une information « aisément accessible » visée par le RGPD n’est pas atteinte… La formation restreinte a donc estimé que « la multiplication des actions nécessaires, combinée à un choix de titres non explicites ne satisfait pas aux exigences de transparence et d’accessibilité de l’information ».

3/ La base juridique du traitement : la nécessité d’avoir une « base juridique » (c’est-à-dire, un des fondements juridiques limitativement énumérés par le RGPD) est un autre grand principe auquel il ne peut être dérogé. Il était reproché à la société américaine de ne pas valablement recueillir le consentement des personnes concernées, sur lequel elle se fondait pour les traitements de personnalisation de la publicité, celui-ci devant présenter certaines caractéristiques.

Pour Google, le consentement des utilisateurs est suffisamment éclairé, spécifique et univoque.

La CNIL n’est pas de cet avis et retient que le consentement (i) n’est pas éclairé (notamment car l’information préalable est « excessivement disséminée »), (ii) n’est pas spécifique et univoque (notamment car le consentement n’est pas donné par le biais d’un acte positif par lequel la personne consent spécifiquement et distinctement au traitement de ses données à des fins de personnalisation de la publicité par rapport aux autres finalités de traitement puisque la case était masquée et pré-cochée par défaut, la possibilité de paramétrer ne suffisant pas à lever l’irrégularité) et (iii) n’est pas libre (notamment car l’utilisateur se voit contraint d’ « accepter en bloc » l’ensemble des traitements de données à caractère personnel mis en œuvre).

4/ La sanction : pour Google, la sanction consistant en une mise en demeure aurait représenté la mesure correctrice la plus adéquate. Pour justifier le montant de son amende (50 millions d’euros), la CNIL souligne que les manquements relevés à l’encontre de Google sont graves (il s’agit des dispositions dont la méconnaissance est la plus sévèrement sanctionnée en vertu de l’article 83 du RGPD). En effet, elle estime que ces traitements de données, clés dans le modèle économique de Google et générant des avantages considérables, ont une « ampleur considérable compte tenu de la place prépondérante qu’occupe le système d’exploitation Android». Elle relève par ailleurs que les manquements de Google perdurent au jour où la CNIL statue. Tout cela justifie la sanction pécuniaire qui se trouve doublée d’une sanction complémentaire de publicité (légitimée par la place prépondérante occupée par la société sur le marché des systèmes d’exploitation et de l’intérêt que représente la décision pour l’information du public). Et c’est peut-être là que se trouve la véritable sanction pour Google…

La QDN et NOYB, mandatés par près de 10.000 personnes, se félicitent d’avoir obtenu la première amende majeure depuis l’entrée en vigueur du RGPD, illustrant ainsi la mise en œuvre du nouvel arsenal répressif institué par celui-ci. Bien que la somme de 50 millions d’euros puisse paraître colossale, elle est à relativiser par rapport au maximum encouru (4% du chiffre d’affaires annuel global du précédent exercice).

Google, considérant que la sanction n’est pas justifiée au regard des efforts déjà déployés pour se conformer aux exigences du RGPD, a décidé d’exercer une voie de recours devant le Conseil d’État.

La bataille judiciaire continue et les prochaines décisions (à la fois de la CNIL et du Conseil d’État) seront intéressantes à étudier.

Droit du Partage continuera naturellement à suivre ces sujets pour vous.

Poster un commentaire

Classé dans Transport de personnes

Tagué , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

par | 9 janvier 2019 · 11 h 26 min

Règlementation du numérique – ce que 2019 nous réserve

Le cadre juridique de l’économie numérique et des plateformes est en perpétuelle construction. L’année 2018 restera sans doute celle de l’entrée en vigueur du RGPD et de la modification de la loi informatique et libertés. L’année 2019 sera quant à elle marquée par l’adoption de textes importants, et dans de nombreux domaines !

Voici les principaux éléments qu’il faudra suivre avec attention en 2019 et qui feront sans aucun doute l’actualité :

  • Opérateurs de plateforme en ligne – les règles se multiplient: cette année encore, le « droit des plateformes » s’étoffe, avec notamment :
    • Diffusion de bonnes pratiques par les plateformes : le 1er janvier 2019 marque l’entrée en vigueur de ce dispositif créé par la loi pour une République Numérique (voir notre article sur les obligations issues des décrets d’application de la loi dite « Lemaire »). Au-delà de 5 millions de visiteurs uniques par mois, par plateforme, sur la base de la dernière année civile, l’opérateur doit élaborer et diffuser des bonnes pratiques pour renforcer la loyauté, la clarté et la transparence des informations transmises aux consommateurs.
    • Les obligations déclaratives sur les revenus des utilisateurs : pour les revenus perçus en 2019, les plateformes doivent transmettre à l’administration fiscale un récapitulatif annuel pour chaque utilisateur (voir notre article sur la réforme de l’article 242 bis du Code général des impôts), et pourront être tenus du paiement de la TVA due par certains d’entre eux en cas de fraude[1] (voir notre article sur ce nouveau mécanisme de responsabilité sur la TVA). On peut aussi mentionner l’obligation de vérification de l’identité des utilisateurs réalisant des transaction supérieures ou égales à 1.000 euros.
    • Le règlement européen Platform to business : en plus de ces règles françaises il faut mentionner ce règlement qui vise à mieux encadrer les relations entre les plateformes et les professionnels qui les utilisent pour leur activité. Ce texte a pour ambition de profondément modifier les pratiques commerciales des grandes plateformes et sera un moment important de 2019 pour les marketplaces.
    • La responsabilité sociale des plateformes : la question avait fait l’actualité lorsque les députés avaient tenté d’introduire le mécanisme relatif à l’établissement d’une charte détaillant les relations juridiques avec les indépendants (voir notre article à ce sujet). La disposition en cause avait alors été censurée par le Conseil constitutionnel. Réintroduit dans la LOM, le Conseil d’État a estimé dans son avis sur le projet de loi que le législateur pouvait adopter à nouveau le mécanisme et que celui-ci n’était pas inconstitutionnel. Reste à voir si celui-ci sera définitivement adopté à l’occasion de la LOM.
  • Les données personnelles : elles continueront de faire l’actualité en 2019. Le secteur poursuit sa mise en conformité avec le RGPD et la CNIL va continuer ses efforts de pédagogie. Ce sera d’autant plus important qu’une ordonnance a été publiée en décembre 2018 pour la réécriture complète de la loi informatique et libertés, ce qui lui permettra d’être en ligne avec le droit actuel des données personnelles. Plus de 7 mois après l’entrée en vigueur du RGPD, il est aussi probable que les premières sanctions substantielles soient prononcées en 2019.
    Au niveau européen, l’Union va compléter le cadre juridique existant avec le règlement « E-privacy[2] ». Également appelé règlement « Cookies », il pourrait introduire des changements d’une ampleur comparable à ceux induits par le RGPD. Son objectif est de renforcer la protection de la vie privée de l’internaute et de mieux encadrer l’utilisation des métadonnées, des adresses IP ou des cookies notamment. Le texte sera à nouveau discuté cet été par le Conseil.
  • La lutte contre les « fake news[3]» : suite aux soupçons d’ingérence russe dans la campagne présidentielle américaine par l’intermédiaire de Facebook, le gouvernement français a réagi avec la loi du 22 décembre 2018 relative à la lutte contre la manipulation de l’information. Objet d’intenses débats parlementaires et d’une saisine du Conseil constitutionnel, la loi prévoit un dispositif qui a vocation à s’appliquer pendant les grandes élections (présidentielles et législatives, notamment). Il sera applicable pour la première fois lors des élections européennes de mai 2019. Les plateformes, encore elles, devront notamment divulguer aux utilisateurs l’identité des personnes qui financent des contenus sponsorisés ou rendre public le montant des sommes versées (au-dessus d’un certain seuil). Un décret a été notifié à la Commission européenne et devrait rentrer en vigueur en avril 2019, soit quelques semaines avant les élections.
  • Les mobilités : le transport (de personnes et de marchandises) est profondément impacté par le numérique. Une grande loi sur les mobilités (dite « LOM » pour Loi d’Orientation des Mobilités) sera débattue au Parlement à compter de février 2019 (voir notre article détaillant cette loi à venir). Elle est le fruit d’un long processus entamé en août 2017 avec les assises de la mobilité. La dernière grande loi sur les transports de cette envergure date de 1982 (« LOTI » – Loi d’Organisation des Transports Intérieurs) : c’est dire l’importance de ce texte qui va dessiner les contours de la mobilité de demain et les opportunités qu’il pourrait ouvrir pour les acteurs du numérique.
  • La directive européenne sur les contrats de fourniture de contenu numérique[4] : présentée en 2015, la directive vise à harmoniser les droits des utilisateurs européens qui bénéficient de contenus numériques. Le texte pourrait avoir un champ d’application très large et s’appliquer à des produits aussi variés que Netflix, Facebook, YouTube ou encore Android. Le texte contient également les premières règles applicables aux constructeurs d’objets connectés. En outre, la proposition de directive admet que la fourniture de données personnelles constitue une « contrepartie », ce qui pourrait être une première étape à l’admission d’un droit de nature patrimonial sur les données personnelles.

Nous suivrons également avec attention la jurisprudence sur les indépendants qui trouvent des clients grâces aux plateformes à la suite de l’arrêt de la Cour de cassation concernant Take Eat Easy[5] et l’arrêt de la Cour d’appel de Paris du 10 janvier 2019 admettant l’existence d’une relation salariée entre un chauffeur et Uber. Nul doute que les juridictions auront l’occasion d’affiner leur jurisprudence.

Enfin, 2019 est aussi la dernière année du mandat de la Commission européenne actuelle. La composition de la future commission sera déterminante pour l’avenir de la régulation du numérique, et pourrait conduire à la refonte du texte le plus important de ces vingt dernières années : la directive sur le commerce électronique[6]. Cela dépendra des équilibres politiques dans les institutions européennes et de l’état d’avancement des différents instruments réglementaires en préparation (en plus de ceux déjà cités, on peut faire référence à la directive sur les droits d’auteur ou les règles relatives à la libre circulation des données non personnelles).

Droit du Partage vous tiendra naturellement informés tout au long de cette nouvelle année.

[1] Loi n° 2018-898 du 23 octobre 2018 relative à la lutte contre la fraude, articles 10 et 11 modifiant respectivement l’article 242 bis du Code Général des Impôts et créant un article 283 bis

[2] Proposition de règlement du Parlement européen et du conseil concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques et abrogeant la directive 2002/58/CE (règlement «vie privée et communications électroniques»)

[3] Loi n° 2018-1202 du 22 décembre 2018 relative à la lutte contre la manipulation de l’information

[4] Proposition de directive du parlement européen et du conseil concernant certains aspects des contrats de fourniture de contenu numérique, COM/2015/0634 final

[5] Cour de cassation, Chambre Sociale, 28 novembre 2018, n°17-20.079 : censurant une cour d’appel qui avait rejeté l’action en requalification d’un coursier au motif que l’application était dotée d’un système de géolocalisation et que le système de « strike » de Take Eat Easy était comparable à celui d’un employeur, cette décision a marqué les esprits et a parfois été décrite comme remettant en cause le modèle intrinsèque des plateformes.

[6] Directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique»)

Poster un commentaire

Classé dans Evolution du cadre juridique, Obligations et responsabilité des plateformes, Union Européenne

Tagué , , , , , , , , , , , ,

par | 16 octobre 2018 · 9 h 20 min

Objets connectés et intelligents : perspectives juridiques sur ce phénomène

On ne compte plus les innovations qui transforment des objets du quotidien en véritables machines intelligentes et la créativité des fabricants n’a pas de limite pour développer ce segment de marché : les applications de santé, les montres, les ustensiles de cuisine, les accessoires de sports, la domotique…

Les déclinaisons sont infinies et les perspectives vertigineuses puisque ces objets seront le socle des villes, des immeubles, des moyens de transport et des foyers de demain ! Mais ce pourrait également être l’avenir du corps humain grâce à l’intégration de dimensions technologiques dans notre organisme (c’est le fondement du courant transhumaniste qui met en avant la notion d’humanité augmentée).

Avant toute chose, il est nécessaire de circonscrire le champ de l’analyse en définissant ce qu’on entend par « objet connecté » ou « objet intelligent » (en anglais « Internet of Things » – IoT). Il est communément admis qu’il s’agit d’objets reliés par un réseau sans fil (internet, Wifi, bluetooth…) et qui proposent aux consommateurs des services sur la base des informations collectées par des puces ou des capteurs. Les objets connectés reposent principalement sur le traitement à grande échelle de données personnelles plus ou moins sensibles des utilisateurs afin de les analyser et de les partager (on parle parfois de « quantified self »).

Si l’on met de côté les enjeux sociétaux (ie. la prise de conscience de la nécessité d’adopter une certaine « hygiène » face à ces innovations) et les enjeux industriels (ie. les challenges rencontrés par les fabricants pour innover et produire ces nouveaux produits), il est primordial d’aborder la question de la régulation de ces objets connectés ou intelligents.

Le cadre juridique résulte de la conjonction de plusieurs ensemble de règles issues de différentes spécialités juridiques, ce qui impose que le juriste connaisse cette variété de normes et appréhende avec précision le fonctionnement effectif de ces objets. Pour aller au cœur des problématiques, nous avons sélectionné les enjeux clés.

1/ Les données personnelles : pour connaitre le client, comprendre ses besoins et fournir le service adéquat, les objets connectés reposent sur le traitement des données personnelles de l’utilisateur. Les règles résultant du RGPD et la loi informatique et libertés (en particulier, celles relatives aux données sensibles comme la santé) s’appliquent. Tous les acteurs de cette nouvelle industrie doivent en faire une priorité, en particulier car les articles 226-16 du Code pénal prévoient de lourdes sanctions en cas de violation des règles.

À titre d’illustration des (très nombreux) enjeux relatifs aux données personnelles on peut mentionner l’article 34 de la loi informatiques et libertés relatif à la sécurité des données. Ce texte dispose que le responsable du traitement est tenu de prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. C’est ainsi que la CNIL a sanctionné Dailymotion pour manquement à la sécurisation des données de ses utilisateurs car le stockage des identifiants administrateurs était « en clair », ce qui permis à des tiers d’accéder aux données des utilisateurs (délibération n°SAN-2018-0008 du 24 juillet 2018).

Or, pour les objets connectés, l’identité du « responsable de traitement » pourrait être débattue dans certaines situations en raison des multiples intervenants sur les objets : est-ce le fabricant de l’objet lui-même ? des puces ou du système informatique ?

2/ La protection de la vie privée : principe légal, conventionnel et protégé par la jurisprudence du Conseil Constitutionnel, la protection de la vie privée fait face à de nouveaux défis avec le traitement massif et la diffusion à grande échelle des données personnelles des individus. C’est d’autant plus important lorsqu’il s’agit d’objets connectés ou intelligents qui se trouvent dans les immeubles, sur notre corps ou dans les voitures, c’est-à-dire qu’ils ont accès à l’intimité des individus.

Cette problématique est directement liée au traitement des données personnelles car les opérateurs/fabricants d’objets connectés auront accès à une multitude de données et la ligne sera fine entre respecter/violer la vie privée. À titre d’exemple, la Cour de Justice de l’Union Européenne a jugé contraire aux règles relatives aux donnés personnelles « la conservation généralisée et indiférenciée de l’ensemble des données relatives au trafic et des données de localisation des abonnés et utilisateurs inscrits » (arrêt du 21 décembre 2016, Tele 2 Sverige, aff. C-203/15).

Les règles relatives à la vie privée dans le numérique vont prochainement être renforcées avec le règlement relatif à la vie privée et aux communications électroniques (dit « e-privacy » – voir le projet ici) qui devrait prochainement être adopté.

3/ Le consentement pour la souscription de contrats : puisque les objets sont « intelligents » et que la technologie renforce ses propres capacités, notamment avec l’apprentissage permis par l’intelligence artificielle, il arrive (et cela ira croissant) que les objets prennent des décisions de manière autonome. À titre d’illustration, on peut citer le système « Instant Ink » d’HP qui permet à l’imprimante de commander des cartouches d’encre avant que le stock soit épuisé.

Les règles du droit des contrats sont claires : pour conclure un contrat, il est nécessaire d’avoir un contenu licite et certain, le consentement des parties et une capacité de contracter. On peut raisonnablement penser que l’objet connecté (quelque soit son degré de sophistication) n’est pas la contrepartie du vendeur dans la transaction. De même, il est impossible de concevoir que l’objet soit porteur d’un mandat de l’utilisateur car le mandataire doit être « une personne ». L’objet connecté ne semble pas pouvoir être considéré comme le vecteur du consentement, ce qui crée des challenges intéressants pour les fabricants de ces objets.

De même, le droit de la consommation a un rôle déterminant à jouer pour protéger les utilisateurs, ce qui est un frein (plus ou moins justifié) au développement de pratiques liées aux objets connectés. Actuellement, il est nécessaire de confirmer une commande réalisée à distance et le professionnel doit informer le consommateur des caractéristiques du produit, son prix et les détails. Or, quelle place peut avoir la technologie permettant à un objet en panne de solliciter automatiquement le SAV ? La question est passionnante.

4/ Le droit de la responsabilité : les objets intelligents peuvent être amené à adopter des fonctionnements qui pourraient créer des conséquences défavorables pour leurs propriétaires (par exemple, l’ouverture d’une voiture sans que le titulaire de la clé soit à proximité ou la défaillance dans le fonctionnement d’une serrure connectée).

Dans pareille hypothèse, un débat juridique pourrait s’ouvrir sur la personne responsable du/des dommages, ce qui pourrait être complexe. En effet, beaucoup d’intervenants sont impliqués dans la conception, la fabrication et l’entretien de ces objets technologiques, ce qui pourrait rendre le travail du juge complexe. L’essentiel est, en amont, pour les sociétés qui commercialisent ces produits de s’interroger sur les hypothèses litigieuses pour anticiper.

5/ Le droit à « ne pas être connecté » :  les objets sont reliés à un réseau (en particulier, internet) mais également entre eux, de sorte que de nombreuses communications ont lieu automatiquement et sans que les individus soient au courant et/ou aient donné leur consentement, ce qui pose la question de la « déconnexion ». C’est ainsi que la Commission Européenne a publié une recommandation le 12 mai 2009 (voir le texte ici) qui vise à promovoir la faculté pour les utilisateurs de désactiver les puces des objets connectés ou intelligents.

Dans la même logique de liberté de rupture avec ces innovations connectées, les débats sur l’installation des compteurs « Linky » qui communiquent directement avec le gestionnaire du réseau électrique. Beaucoup de débats ont eu lieu concernant l’installation de ces compteurs et certaines mairies ont même pris des arrêtés interdisant les compteurs. Dans un jugement du 11 septembre 2018, le tribunal administratif de Toulouse a rappelé qu’Enedis ne pouvait pas entrer dans les lieux pour installer le compteur sans accord des occupants, que les données personnelles des clients devaient être préservées et a invalidé le fait pour une mairie de l’interdire sur tout le territoire de la commune (en l’occurrence, Blagnac).

Ce nouveau marché interroge donc les catégories juridiques et génère de nouveaux questionnements, en particulier concernant l’encadrement du traitement des données personnelles, la sécurité des produits et le risque de surveillance généralisée.

Les opérateurs économiques de ce nouveau marché doivent adopter une approche responsable et mesurée en mettant ces enjeux au cœur de leurs préoccupations afin de favoriser le maximum de sécurité juridique et d’assurer le développement de leur business.

Droit du Partage continuera à suivre ces enjeux pour vous.

 

Poster un commentaire

Classé dans Autres secteurs (vêtements, food, stockage & location de biens meubles...), Evolution du cadre juridique

Tagué , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,