Archives de Tag: règlementation

Pas de droit à l’oubli mondial : l’arrêt Google du Conseil d’État du 27 mars 2020 le confirme !

En janvier 2019[1] (voir notre article sur le sujet), la société Google était condamnée à la plus grosse amende jamais prononcée par la CNIL (50 millions d’euros). Dans cette nouvelle affaire, elle échappera à toute sanction ! Pour mieux la comprendre, il faut remonter quelques années en arrière.

Le 10 mars 2016[2], par une délibération de la formation restreinte de la CNIL, la société Google Inc., exploitant le moteur de recherche Google, a été sanctionnée à hauteur de 100.000 euros, après une mise en demeure[3] demeurée infructueuse, de procéder au déréférencement du nom et prénom de plusieurs personnes physiques sur l’ensemble de ses extensions. Rappelons que le déréférencement est la technique qui permet de faire supprimer un ou plusieurs résultats fournis par un moteur de recherche à l’issue d’une requête (pour faciliter cette démarche, Google Inc. met à disposition un formulaire spécifique en ligne).

Plus précisément, il était reproché à la société Google Inc. d’avoir violé le droit pour une personne de s’opposer à ce que ses données personnelles fassent l’objet d’un traitement en vertu des articles 38 et 40 de la loi informatique et libertés (dans leur ancienne rédaction[4]). En effet, Google Inc. refusait de déréférencer les liens renvoyant au contenu litigieux sur l’ensemble des extensions de son moteur de recherche et n’acceptait de le faire que pour celles des pays européens. Autrement dit, en reprenant le nom et prénom des personnes concernées, quiconque pouvait avoir accès aux pages web litigieuses à partir d’une extension non-européenne du moteur de recherche.

Au soutien de sa position, Google Inc. insistait notamment sur le fait que (i) la CNIL excédait ses pouvoirs en voulant imposer une mesure ayant une portée extraterritoriale et (ii) qu’un déréférencement mondial contrevenait de manière disproportionnée à la liberté d’expression de l’auteur du contenu et à la liberté d’information des internautes (puisqu’en supprimant les liens renvoyant vers le contenu litigieux, ce dernier ne serait plus accessible ni visible depuis Google, le plus gros moteur de recherche au monde).

Google Inc. a introduit un recours auprès du Conseil d’État dans le but obtenir l’annulation de la sanction dont elle faisait l’objet. Par un arrêt du 19 juillet 2017[5], le Conseil d’État a transmis à la Cour de Justice de l’Union Européenne (CJUE) trois questions préjudicielles à des fins de clarification de l’interprétation du droit européen. Le 24 septembre 2019[6], la CJUE a rendu un arrêt favorable à l’interprétation de Google Inc. L’affaire étant en état d’être jugée, le Conseil d’État a rendu son arrêt le 27 mars 2020 et a précisé la portée territoriale du droit au déréférencement.

1/ Principe : l’absence d’un droit au déréférencement mondial

Dans un premier temps, le Conseil d’État rappelle la portée géographique du droit au déréférencement, précisée par la CJUE dans son arrêt du 24 septembre 2019. À cet égard, la Cour disposait que « lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement en application de ces dispositions, il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des Etats membres » (§73). La Cour ajoutait que cette mesure de déréférencement pouvait être accompagnée de mesures permettant d’empêcher ou de décourager les internautes effectuant une recherche, d’avoir accès aux liens litigieux. 

Or, le Conseil d’État expose que la formation restreinte de la CNIL a sanctionné la société Google Inc. au motif qu’elle refusait de faire droit à une demande de déréférencement sur l’ensemble des noms de domaine de son moteur de recherche et se bornait à supprimer les liens en cause des seuls résultats affichés sur ses extensions européennes. Qui plus est, la CNIL estimait insuffisant le mécanisme de géo-blocage proposé par Google Inc. en complément de son déréférencement à l’échelle de l’Union européenne.

Ainsi, transposant le raisonnement de la CJUE, le Conseil d’État ne fait pas droit à l’interprétation de la CNIL. Il juge, en effet, qu’en sanctionnant la société Google Inc. au motif que seule une mesure s’appliquant à l’intégralité du traitement lié au moteur de recherche pourrait répondre à l’exigence de protection des données personnelles telle que consacrée par la CJUE, « la formation restreinte de la CNIL a entaché la délibération en cause, d’erreur de droit[7] » (§7).

2/ Exception : un droit au déréférencement mondial à l’issue d’une mise en balance des intérêts minutieuse

Si le principe tient à l’absence d’un droit au déréférencement mondial, le Conseil d’État y apporte, toutefois, quelques nuances :

  • Reprenant les arguments invoqués en défense par la CNIL, le Conseil d’État rappelle que la CJUE précisait dans l’arrêt précité[8] que «si (…) le droit de l’Union n’impose pas, en l’état actuel, que le déréférencement auquel il serait fait droit porte sur l’ensemble des versions du moteur de recherche en cause, il ne l’interdit pas non plus » (§72). Elle ajoute, néanmoins, que si les autorités de contrôle ou judiciaires d’un Etat membre demeurent compétentes pour enjoindre un déréférencement mondial, c’est à la condition qu’ « une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et, d’autre part, le droit à la liberté d’information » (§72), ait été réalisée au préalable. En d’autres termes, cette mise en balance implique de mesurer de manière casuistique l’ampleur de l’atteinte aux droits susmentionnés dans l’hypothèse où le déréférencement mondial serait prononcé et, à l’inverse, dans le cas où il ne le serait pas. À l’issue de cette analyse, il en résultera généralement que le droit le touché par la décision l’emportera sur l’autre.
  • Par ailleurs, le Conseil d’État rappelle que lorsqu’il est saisi d’une requête dirigée contre une sanction prononcée par la CNIL et que celle-ci aurait pu être prise sur un autre fondement que celui retenu par l’autorité de sanction, le juge administratif peut substituer la base légale de la décision attaquée « sous réserve que la personne sanctionnée [ici la société Google Inc.] ait disposé des garanties dont est assortie l’application du texte sur le fondement duquel la décision aurait dû être prononcée »[9] afin que celle-ci ne soit plus entachée d’erreur de droit.

Appliqué à l’espèce, le Conseil d’État rejette la demande de la CNIL tenant à la substitution du fondement initialement choisi pour sanctionner la société Google Inc. par le raisonnement de la CJUE reconnaissant aux autorités de contrôle nationales le pouvoir d’ordonner un déréférencement sur l’ensemble des versions du moteur de recherche.  Pourquoi ? Parce que le Conseil d’État observe qu’en l’état actuel du droit, le législateur français n’a pas adopté de dispositions législatives permettant d’ordonner un déréférencement hors de l’Union européenne. Il estime, ainsi, qu’un fondement jurisprudentiel n’est pas valable pour réaliser cette substitution.  En outre, quand bien même ce fondement le serait, le Conseil d’État souligne que la faculté d’exiger un déréférencement mondial ne peut être ouverte qu’au terme d’une balance des intérêts, chose que la formation restreinte de la CNIL n’a pas effectué.

Eu égard à ce qui précède, le Conseil d’État juge qu’un déférencement mondial ne peut être ordonné par la CNIL et que, par voie de conséquence, la société Google Inc. est fondée à demander l’annulation de la délibération attaquée.

3/ Le résultat incertain d’une future mise en balance des intérêts

Si le raisonnement entrepris par le Conseil d’État semble tout à fait cohérent au regard du droit européen et eu égard à l’absence de mise en balance des intérêts, on peut, toutefois, regretter qu’il ne se soit pas prononcé sur les mesures de géo-blocages mises en œuvre par Google Inc. à l’issue de sa mise en demeure. En effet, ces dernières semblaient permettre de bloquer l’accès aux liens litigieux pour les adresses IP réputées localisées dans l’Etat de résidence du bénéficiaire du droit au déréférencement à la suite d’une recherche effectuée à partir de son nom et ce, indépendamment de la déclinaison du moteur de recherche utilisée par l’internaute. Dès lors, il aurait été intéressant de voir si, à l’issue de la mise en balance des intérêts, ces mesures de géo-blocages auraient été considérées comme suffisantes pour faire droit aux arguments de Google Inc. et pour refuser de prononcer le déréférencement mondial.

En tout état de cause, il reste désormais à savoir comment cette mise en balance sera mise en œuvre par les différentes autorités nationales de protection des données personnelles. De son côté, dans sa délibération de 2016[10], la CNIL avait d’ores et déjà relevé que ces mesures n’étaient pas satisfaisantes en ce sens que l’information déréférencée demeurait consultable par tout internaute situé en dehors du territoire concerné par la mesure de filtrage et, d’autre part, qu’un contournement de cette mesure par les utilisateurs concernés restait possible (par exemple, en utilisant un VPN).

Droit du Partage continuera naturellement de suivre ces sujets pour vous.

_________________________________

[1] Délibération n°SAN-2019-001 du 21 janvier 2019 Délibération de la formation restreinte n° SAN – 2019-001 du 21 janvier 2019 prononçant une sanction pécuniaire à l’encontre de la société GOOGLE LLC.

[2] Délibération de la formation restreinte n° 2016-054 du 10 mars 2016 prononçant une sanction pécuniaire à l’encontre de la société X.

[3] Décision n° 2015-047 du 21 mai 2015 mettant en demeure la société X.

[4] Aujourd’hui, « le droit à l’effacement » ou aussi dit « droit à l’oubli » est consigné à l’article 17 du Règlement sur la protection des données à caractère personnel (RGPD) et 40 de la loi informatique et libertés.

[5] CE, Section du contentieux, 10ème et 9ème chambres réunies ,19 juillet 2017, Google Inc., décision N°399922.

[6] CJUE (grande chambre), 24 septembre 2019, Google LLC contre Commission nationale de l’informatique et des libertés (CNIL), affaire C-507/17.

[7] L’erreur de droit peut résulter d’un détournement de procédure ou d’un défaut de base légale (par exemple, lorsque, comme en l’espèce, l’administration n’a pas fondé sa décision sur la bonne norme).

[8] CJUE (grande chambre), 24 septembre 2019, Google LLC contre Commission nationale de l’informatique et des libertés (CNIL), affaire C-507/17.

[9] Cette substitution se fait soit à la demande des parties soit de la propre initiative du juge (et dans cette seconde hypothèse, uniquement si les parties ont eu la possibilité de présenter des observations sur ce point).

[10] Délibération de la formation restreinte n° 2016-054 du 10 mars 2016 prononçant une sanction pécuniaire à l’encontre de la société X.

Poster un commentaire

Classé dans Evolution du cadre juridique, Obligations et responsabilité des plateformes

Plateformes et obligations fiscales : application du nouveau régime des articles 242 bis et 283 bis du Code général des impôts

Avec le 1er janvier de chaque année viennent les bonnes résolutions et l’entrée en vigueur de nouveaux textes ou dispositifs juridiques.

Depuis 2015/2016, les sociétés qui opèrent des plateformes en ligne ou des marketplaces font l’objet d’obligations toujours plus nombreuses, que ce soit des règles numériques (ex : transparence des algorithmes ou données personnelles) ou sectorielles (ex : droit des transports pour les nouvelles mobilités). Ce mouvement, qui se constate tant à l’échelle nationale qu’européenne (en dernier lieu, nous vous renvoyons à notre article sur le règlement européen Platform to business qui régit les relations entre les plateformes et les utilisateurs professionnels), ne nous semble pas prêt de s’arrêter si l’on se fie aux récentes déclarations de la nouvelle Commission Européenne (notamment, en ce qui concerne le Digital Services Act).

Pour l’heure, nous souhaitons revenir sur le nouveau régime des obligations fiscales applicables aux opérateurs de plateformes de mise en relation au 1er janvier 2020, lequel se concentre dans 2 articles du Code général des impôts :

Article 242 bis 

Pour être synthétique (si vous souhaitez des détails, consultez cet article détaillé), les fondamentaux de l’article 242 bis sont maintenus, de sorte que les sociétés opérant des plateformes numériques doivent :

1/ transmettre, à chaque transaction, une information sur les obligations fiscales et sociales des utilisateurs. Le non-respect de cette obligation est désormais sanctionné d’une amende forfaitaire globale fixée dans la limite d’un plafond de 50.000 euros (auparavant, 10.000 euros).

2/ envoyer à chaque utilisateur, avant le 31 janvier de chaque année, un récapitulatif annuel comprenant les informations listées dans les textes (dont certaines sont nouvelles).

La principale nouveauté du dispositif est que les opérateurs de plateformes en ligne doivent déclarer à l’administration fiscale les sommes perçues par leurs utilisateurs et transmettre certaines informations (les conditions sont précisées par le 3° de l’article 242 bis du Code général des impôts et les textes d’application). À défaut, la société est susceptible d’être sanctionnée par une amende de 5% des sommes non déclarées. En particulier, il nécessaire de s’assurer que le format de transmission est celui attendu par l’administration et que cette démarche pourra être réalisée dans les délais (voir ce site alimenté par la DGFip qui permet de mieux comprendre la mise en oeuvre pratique de ce texte).

Si le dispositif de l’article 242 bis est étoffé, nous attendons de voir si sa mise en oeuvre technique (en particulier pour la transmission des informations à l’administration fiscale) et juridique (en particulier l’existence ou non de sanctions) révélera une ambition de fort contrôle de la part de l’administration.

Article 283 bis

Pour être synthétique (si vous souhaitez des détails, consultez cet article détaillé), ce régime juridique (applicable aux opérateurs de plateformes en ligne définis à l’article L. 111-7 du Code de la consommation qui dépassent un seuil de connexions de 5 millions de visiteurs uniques par mois) vise à permettre une lutte contre les pertes de recettes fiscales en matière de TVA.

Le mécanisme est progressif puisque l’administration fiscale signalera à la plateforme le.s utilisateur.s assujetti.s qui se soutrairai.en.t à ses.leurs obligations relatives à la TVA afin qu’elle puisse prendre des mesures adéquates. Si les présomptions de fraude persistent, alors que la plateforme a notifié les mesures prises pour rectifier la situation, l’administration pourra mettre la plateforme en demeure. Si aucune mesure supplémentaire n’est prise ou que l’utilisateur n’est pas exclu, la plateforme pourrait être solidairement responsable du paiement de la TVA.

Les conditions de mise en oeuvre semblent complexes et il sera intéressant de voir les premiers cas d’usage de cet article.

***

Tous les acteurs du numériques exploitant ou opérant une plateforme en ligne doivent tenir compte de ces règles et en tirer des conséquences juridiques dans leur fonctionnement opérationnel.

Droit du Partage continuera naturellement à suivre ces sujets pour vous.

Poster un commentaire

Classé dans Evolution du cadre juridique, Fiscalité et charges sociales, Obligations et responsabilité des plateformes

Vivre avec les objets connectés : numéro 3 de la revue Third

En tant que lieu de construction d’une culture du numérique, Third décrypte la révolution juridique en abordant les grands objets de réflexion et en adoptant une approche pluridisciplinaire (voir le site de la revue Third).

Publié en novembre 2019, le numéro 3 de la revue Third (voir le sommaire de ce numéro) appréhende les objets connectés et leur impact sur notre vie quotidienne.

Objet connecté - Third 3

Les objets connectés peuplent la littérature et l’imaginaire de la révolution numérique.

Le plus souvent, ce sujet est abordé du point de vue de l’usage, pour souligner les changements apportés par ces objets connectés dans le quotidien des personnes et des entreprises. Cette approche centrée sur l’usage tend à éluder deux aspects fondamentaux : qu’y a-t-il dans un objet connecté ? Peut-on aujourd’hui affirmer de manière incontestable que le progrès annoncé en est un ?

C’est sur ce double questionnement que la revue Third a travaillé en cherchant à faire la radiographie de l’objet connecté. Les différentes contributions de ce numéro analysent donc toutes l’avènement de l’internet des objets (Internet of Things – IoT) sous un angle bien spécifique, tout en faisant l’effort d’apporter une vue d’ensemble afin de replacer les enjeux dans le cadre plus large des mutations engendrées par le numérique.

Nous vous invitons à découvrir le numéro de Third « Vivre avec les objets connectés ».

Poster un commentaire

Classé dans Autres secteurs (vêtements, food, stockage & location de biens meubles...), Evolution du cadre juridique

Loi d’orientation des mobilités (LOM) : l’espoir ou le désespoir ?

Ça y est !

La loi d’orientation des mobilités (LOM) a été votée par l’Assemblée Nationale par 116 voix pour, 49 voix contre et 9 abstentions. Si le Conseil constitutionnel a rendu une décision de censure (voir la décision du Conseil Constitutionnel du 20 décembre 2019), l’essentiel semble fait : la grande loi sur les transports voulue par Emmanuel Macron a (enfin) vu le jour (voir la version publiée au JO le 26 décembre 2019).

Mais que ce fut long et compliqué … ! Et surtout, cette LOM tant attendue est-elle à la hauteur des attentes ?

Les pessimistes diront que les ambitions du texte ont diminué au fur et à mesure que les mois s’écoulaient (c’est dire à quel point le tout s’est réduit à peau de chagrin puisque les Assises de la Mobilité ont été lancée à l’automne 2017) et qu’une partie la loi est « vide » puisqu’il est renvoyé à des décrets, ordonnances et rapports (ces termes sont mentionnés à plus de 100 fois dans le texte). Les optimistes verront le début d’une nouvelle ère pour la mobilité et sauront tirer satisfaction des quelques avancées (par exemple, la consécration légale du « co-transportage de colis) ». Enfin, les réalistes retiendront l’importance du travail accompli pendant 2 années et la prise de conscience du grand public que la mobilité est un enjeu fondamental de notre société en cours de numérisation.

C’est l’occasion pour nous d’aborder les nouveautés et les regrets juridiques concernant les sujets que nous suivons.

Les nouveautés juridiques

Il nous semble que quelques éléments clés méritent d’être signalés :

le développement des règles relatives à l’ouverture des données de transport : sont imposés de nouveaux standards (notamment, en déclinant en droit français le règlement européen (UE) 2017/1926 du 31 mai 2017 relatif à la mise à disposition de services d’informations sur les déplacements multimodaux).

l’accompagnement des innovations dans le transport de marchandises : la loi consacre le « cotransportage de colis » (c’est-à-dire le déplacement de colis fondé sur le partage de frais) et prévoit qu’une ordonnance pourra définir les conditions d’exercice de l’activité des plateformes d’intermédiation numérique, notamment entre des clients et des entreprises réalisant du transport public routier de marchandises.

la nécessité d’expérimenter de nouvelles solutions dans le transport : le gouvernement peut prendre par voie d’ordonnance toute mesure à caractère expérimental visant à tester, dans des territoires peu denses, des solutions nouvelles de transport routier de personnes.

la mobilité autonome : indépendamment des enjeux technologiques (la principale question concernant leur maturité) et juridiques structurant (en particulier, la convention de Vienne de 1968 qui impose à tout conducteur d’avoir le contrôle de son véhicule), la LOM (en complément de la loi PACTE) initie une nouvelle étape règlementaire en ouvrant la voie à une adaptation de la législation pour la circulation sur la voie publique de véhicules terrestres à moteur dont les fonctions de conduite sont déléguées, partiellement ou totalement, à un système de conduite automatisé.

le free-floating : la loi complète le Code des transports en prévoyant un régime juridique pour les opérateurs de services de partage de véhicules, cycles et engins de déplacement de personnes ou de marchandises, mis à disposition sur la voie publie en libre-service sans station d’attache (en particulier, la faculté pour l’autorité compétente d’exiger que soit délivré un « titre » à l’opérateur pour exercer son activité). Cette nouveauté accompagne l’explosion des modèles de free-floating et il nous semble impératif que les textes les régissant ne soient pas étouffants et/ou appliqués avec trop de complexité (ce qui pourrait nuire à l’innovation) tout en gérant les enjeux de partage de l’espace public (lesquels ont une dimension importante de droit public).

Les regrets juridiques

En tant que juristes et enthousiastes des innovations portées par l’économie numérique, en particulier dans les transports, on peut regretter :

l’abandon des ambitions sur le co-voiturage : alors que des précisions sur le « partage des frais » (notamment, les éléments qui peuvent être pris en compte ou non) étaient attendues, la LOM ne précise rien mais des textes règlementaires pourraient le faire. Il s’agit d’une occasion manquée d’élargir la notion, de réduire l’incertitude juridique à laquelle certaines sociétés font face et de sécuriser des modèles innovants (par exemple, le covoiturage courte distance).

la quasi-disparition du plan vélo : le « plan vélo » était initialement ambitieux et radical, notamment pour renforcer les usages. Après de nombreux mois de travail législatif, les avancées sont limitées, ce qui est regrettable (si le marquage des vélos va devenir obligatoire, les incitations financières et fiscales sont limitées alors qu’elles permettent d’orienter les comportements).

les débats caricaturaux sur les « chartes » pour indépendants : on ne cesse d’opposer les indépendants et les salariés, comme s’il s’agissait de mondes irréconciliables et qu’il faudrait nécessairement que l’un prenne le dessus sur l’autre. L’article de la loi concernant les chartes a fait l’objet de nombreux débats et de vives critiques, ce qui occulte l’élément central : la construction d’un système de protection sociale compatible avec le marché du travail actuel (notamment, les carrières discontinues, le cumul de statuts ou des aspirations à plus de libertés dans son activité). C’est d’autant plus regrettable que le Conseil Constitutionnel a censuré une partie de cet article, vidant ainsi ce mécanisme d’une partie importante de sa substance.

l’abandon du transport occasionnel par les particuliers : dans une des versions de travail, il avait été envisagé, pour les territoires à faible densité de population et en cas d’inexistence ou insuffisance de l’offre de transports publics, d’autoriser des conducteurs « amateurs » à transporter des passagers contre rémunération (avec un plafond annuel de gains). Alors qu’il s’agissait d’une innovation juridique pour certains territoires (lorsqu’il s’agit de mobilité, on a tendance à penser qu’il s’agit exclusivement de Paris… or, les territoires ruraux et péri-urbains ont parfois plus de besoins de transports que les métropoles), cette piste a été abandonnée.

La suite ?

Il faut apprécier les suites qui seront données. Les textes d’application prévus sont nombreux (en particulier, les ordonnances et les décrets), de sorte qu’on ne pourra mesurer l’ambition réelle pour les nouvelles mobilités et l’innovation dans le transport qu’à l’aune de la réalité juridique effective. L’histoire de la LOM n’est donc pas terminée.

Droit du Partage vous tiendra évidemment informer des évolutions à venir.

Poster un commentaire

Classé dans Evolution du cadre juridique, Transport de marchandises, Transport de personnes

Cookies et autres traceurs : vers une plus grande protection des internautes ?

Récemment, le Figaro a été invité par la Commission nationale de l’informatique et des libertés (CNIL) à revoir sa politique de cookies tandis que la compagnie aérienne Vueling a quant à elle été sanctionnée par l’autorité espagnole au titre de sa politique de cookies. Ces affaires se multiplient et illustrent l’importance des pratiques des éditeurs de sites internet concernant le dépôt de cookies et autres traceurs.

1. À quoi servent les cookies ?

D’après la CNIL, un cookie est un « petit fichier informatique, un traceur, déposé et lu par exemple lors de la consultation d’un site internet, de la lecture d’un courrier électronique, de l’installation ou de l’utilisation d’un logiciel ou d’une application mobile et ce, quel que soit le type de terminal utilisé (ordinateur, smartphone, liseuse numérique, console de jeux vidéos connectés à Internet, etc.) » (voir le site de la CNIL).

Par ailleurs, d’un point de vue technique, bien qu’un cookie soit de composition simple, il en existe différentes variantes : cookies de modules sociaux de partage de contenus, cookies de pistage, cookies publicitaires tiers, cookies de mesure d’audience… Par ailleurs, d’autres techniques comme les identifications par calcul d’empreinte du terminal, les identifiants générés par les systèmes d’exploitation, les identifiants matériels (adresse MAC, numéro de série), sont également susceptibles de stocker des données personnelles. La multiplicité de ces traceurs les rend difficilement différentiables par l’internaute, ce qui peut parfois nuire à la compréhension de ce qui est accepté.

Initialement, les traceurs informatiques ont été créés dans le but faciliter la navigation de l’internaute en mémorisant ses préférences, en lui permettant d’effectuer des tâches sans avoir à saisir à nouveau des informations lorsqu’il navigue d’une page à une autre ou lorsqu’il visite le site ultérieurement. Aujourd’hui, les cookies et autres traceurs sont notamment utilisés par les sites de commerce électronique afin d’analyser les habitudes de navigation des internautes, de sorte qu’ils sont devenus des moyens pour définir le profil d’un internaute et donc des outils de ciblage publicitaire.

Ces traceurs sont logiquement appréhendés par le droit, en particulier par la directive européenne 2002/58/CE (dite e-privacy) modifiée par la directive européenne 2009/136/CE ainsi que par la loi informatique et libertés.

2. Quelle est la position de la CNIL?

Le 5 décembre 2013, la CNIL a adopté une recommandation (voir le texte de la recommandation) visant à guider les éditeurs de site web dans l’application de l’article 32-II de la loi informatique et libertés (aujourd’hui devenu l’article 82), dont il ressortait une double obligation : l’obligation d’informer la personne concernée de la finalité et des moyens de s’opposer aux cookies et l’obligation d’obtenir le consentement de la personne concernée. Cependant, le règlement général sur la protection des données (RGPD) est entré en vigueur, en modifiant notamment la conception du consentement et la CNIL a dû revoir sa position concernant les cookies.

Le 4 juillet 2019, la CNIL a adopté des lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 (voir la délibération de la CNIL). Dans ces nouvelles lignes directrices, la CNIL décide, d’une part, que la simple poursuite de la navigation sur un site ne peut plus être regardée comme une expression valide du consentement au dépôt de cookies et qu’il est nécessaire de mettre en place une action positive de l’internaute pour qu’il exprime son consentement. D’autre part, elle considère que les opérateurs qui exploitent des traceurs doivent être en mesure de prouver qu’ils ont bien recueilli le consentement. Il s’agit là d’une modification importante de la position de la CNIL.

Cependant, la CNIL a choisi de permettre une « période d’adaptation » qui s’achèvera 6 mois après la publication de la recommandation (laquelle est attendue pour le 1er trimestre 2020). Cette période de tolérance a fait l’objet d’intenses discussions devant le Conseil d’État (cf. ci-dessous n°4).

3. Quelle est la position de la Cour de justice de l’Union européenne ?

Dans un arrêt Planet49 rendu le 1er octobre 2019, la grande chambre de la Cour de justice de l’Union européenne (CJUE) a répondu à la demande de décision préjudicielle introduite par la Cour fédérale de justice allemande (voir l’intégralité de la décision). Dans cette affaire, la fédération allemande des organisations de consommateurs conteste l’utilisation par la société allemande Planet49 d’une case cochée par défaut par laquelle les internautes, souhaitant participer à des jeux promotionnels en lignes, expriment leur accord au placement de cookies.

À travers l’arrêt rendu par la CJUE souligne quatre points principaux :

  • le consentement que l’utilisateur d’un site internet doit donner pour le placement et la consultation de cookie sur son équipement n’est pas valablement donné au moyen d’une case cochée par défaut, que cet utilisateur doit décocher pour refuser de donner son consentement (opt out) ;
  • la solution est la même que les informations stockées ou consultées par les cookies constituent ou non des données à caractère personnel ;
  • le consentement de l’utilisateur doit être spécifique, de telle sorte que le fait pour l’utilisateur, d’activer le bouton de participation au jeu promotionnel ne suffit pas pour considérer qu’il a valablement donné son consentement au placement de cookies ; et  
  • le fournisseur de services doit donner à l’utilisateur des informations telles que la durée de fonctionnement des cookies ainsi que la possibilité ou non pour les tiers d’avoir accès à ces cookies.

L’arrêt de la CJUE confirme ainsi la nouvelle position de la CNIL sur le fond. Toutefois, la mise en œuvre par la CNIL d’une période de tolérance est l’objet d’un intense débat devant le Conseil d’Etat. 

4. Le plan d’action de la CNIL soutenu par le Conseil d’Etat

Dans son communiqué de presse du 28 juin 2019 (voir le texte du communiqué), la CNIL a annoncé laisser aux acteurs une période transitoire de 12 mois pendant laquelle, la poursuite de la navigation comme expression du consentement sera considérée comme acceptable. La CNIL précise ensuite, dans son communiqué du 18 juillet 2019 (voir le texte du communiqué), que cette période d’adaptation s’achèvera 6 mois après la publication de la future recommandation.

Les associations La Quadrature Du Net et Caliopen ont demandé au juge des référés du Conseil d’Etat d’ordonner la suspension de l’exécution de la décision de la CNIL, d’autoriser la « poursuite de la navigation » comme mode d’expression du consentement en matière de cookies et de traceurs en ligne jusque mi-2020. Elles considèrent que la création d’une période transitoire pendant laquelle la CNIL s’abstiendra de toute poursuite à l’encontre des acteurs viole le droit français et le droit de l’Union européenne en matière de droit des données à caractère personnel. Et que la décision attaquée porte atteinte de manière substantielle, directe et certaine aux intérêts qu’elle entend défendre.    

Dans sa décision du 16 octobre 2019 (voir l’intégralité de la décision), le Conseil d’État rappelle tout d’abord que la CNIL, qui est une autorité administrative indépendante, dispose d’un large pouvoir d’appréciation dans l’exercice de ses missions. Il juge ensuite que le délai laissé aux acteurs pour se conformer aux règles qui seront publiées à l’issue de la concertation n’est pas illégal puisqu’il permet aux acteurs de s’approprier ces nouvelles règles. Le Conseil d’Etat estime enfin que la stratégie de la CNIL ne méconnaît pas le droit au respect de la vie privée car elle contribue à remédier aux pratiques prohibées de publicité ciblée, et n’empêchera pas la Commission de réaliser des contrôles pendant cette période transitoire, en sanctionnant le cas échéant les manquements les plus graves à ce nouveau cadre juridique. Cet arrêt apporte également une précision procédurale importante : les communiqués de presse indiquant les prises de position de la CNIL peuvent faire l’objet d’un recours pour excès de pouvoir, à condition que les actes « revêtent le caractère de dispositions générales et impératives ou qu’ils énoncent des prescriptions individuelles dont ces autorités pourraient ultérieurement censurer la méconnaissance ».

Droit du Partage continuera naturellement à suivre ce sujet pour vous.

Poster un commentaire

Classé dans Evolution du cadre juridique, Union Européenne

L’action de groupe : arme efficace contre l’utilisation abusive des données personnelles ?

Les données à caractère personnel sont un sujet clé de la vie numérique et de l’économie digitale. A la suite d’un nombre non négligeable de scandales, leur protection a progressivement pris une dimension toute particulière.

On peut citer à titre d’exemple : le vol de données Uber ayant conduit la CNIL à infliger au géant américain une amende record de 50 millions d’euros ; ou encore l’affaire Cambridge Analytica, société de profilage politique, soupçonnée d’avoir compilé, au moyen d’un quizz de personnalité, les données personnelles de près de 87 millions d’utilisateurs Facebook.

Pour autant face à ces situations les moyens mis à disposition des individus pour assurer effectivement le contrôle et la protection de leurs données à caractère personnel paraissent insuffisants.

1. Quid de l’action de groupe en France ?

De manière générale, l’action de groupe se définit comme « une action judiciaire diligentée par un représentant d’un groupe, désigné par la loi, afin que ledit groupe, suite au dommage de masse causé par les manquements d’un professionnel, puisse obtenir une réparation judiciaire » [1]. En d’autres termes, elle permet à un titulaire, spécialement déterminé par la loi, d’agir afin d’obtenir réparation des préjudices subis par un groupe de personnes aux torts d’un seul et même protagoniste.

A l’aube des années 1980, en l’absence d’instrument juridique en mesure de prendre acte et de sanctionner « les litiges de masse », la doctrine française commence à réfléchir à l’introduction de l’action de groupe en droit français[2]. Cependant, fort des dissensions et alternances politiques, le gouvernement français a longtemps craint l’introduction d’un tel mécanisme[3].

L’action de groupe a finalement été consacrée pour la première fois par la loi du 17 mars 2014 relative à la consommation, dite « loi Hamon ». Elle a ensuite été étendue à diverses sphères du droit, notamment en droit de la santé[4], en droit de l’environnement[5], en matière de discrimination au travail[6], ainsi qu’en matière de données personnelles.

2. Quel est le cadre juridique français de l’action de groupe en matière de données personnelles ?

  • De la demande de cessation à l’action en réparation

L’action de groupe en matière de données personnelles a été introduite en France par la loi du 18 novembre 2016 de modernisation de la justice du XXIe siècle. Celle-ci a introduit dans la loi du 6 janvier 1978 dite « Informatique et Libertés » (LIL)[7], l’article 43 ter (désormais abrogé en raison d’une version plus récente du texte). L’objectif était de permettre aux personnes victimes de manquements aux obligations de protection des données personnelles, d’en demander la cessation devant la juridiction compétente.

Après la réforme législative du 20 juin 2018 relative à la protection des données personnelles, le champ de cette action de groupe a été élargie. Cette réforme insère dans la LIL un nouvel article 37[8], permettant d’une part de demander la cessation du manquement, et / ou d’autre part « d’engager la responsabilité de la personne ayant causé le dommage afin d’obtenir réparation des préjudices matériels ou moraux subis ».

Conformément à l’article 37 de la LIL, lu en combinaison avec les articles 60 et suivants de la loi du 18 novembre 2016 de modernisation de la justice du XXIe siècle, cette action de groupe peut être respectivement portée devant la juridiction civile[9] ou la juridiction administrative[10] compétente. Le demandeur à l’action doit en informer la Cnil, afin que celle-ci puisse présenter des observations.

Il s’agit là de modifications opérées sous l’impulsion du droit de l’Union européenne et notamment du Règlement général sur la protection des données à caractère personnel du 27 avril 2016 dit « RGPD ». L’action de groupe est effectivement prévue par le RGPD, qui permet aux personnes physiques ayant subi un dommage matériel ou moral du fait de la violation d’obligations posées par le Règlement, d’obtenir réparation du préjudice subi.

  • Les conditions de l’action

Le fait générateur de l’action de groupe en matière de données personnelles est restreint : l’action ne peut être exercée que « lorsque plusieurs personnes physiques placées dans une situation similaire subissent un dommage ayant pour cause commune un manquement de même nature » aux dispositions du RGPD ou à celles de la loi du 20 juin 2018 relative aux données personnelles (LIL, art. 37 II).

Par ailleurs, en vertu de l’article 37 IV. de la LIL, seuls peuvent exercer une telle action :

  • « Les associations régulièrement déclarées depuis cinq ans au moins ayant dans leur objet statutaire la protection de la vie privée ou la protection des données à caractère personnel» ;
  • « Les associations de défense des consommateurs représentatives au niveau national et agréées, lorsque le traitement de données à caractère personnel affecte des consommateurs» ;
  • « Les organisations syndicales de salariés ou de fonctionnaires représentatives ou les syndicats représentatifs de magistrats de l’ordre judiciaire, lorsque le traitement affecte les intérêts des personnes que les statuts de ces organisations les chargent de défendre».

Il est important de noter, que l’action de groupe doit être précédée d’une mise en demeure en vue de faire cesser le manquement ou de réparer le(s) préjudice(s) subi(s). Ce n’est qu’à l’issue de l’expiration d’un délai de 4 mois, à compter de la réception de la mise en demeure, que l’action de groupe pourra être introduite devant la juridiction compétente[11].

3. Quelles sont les actions en cours ?

Alors même que les scandales portant sur l’utilisation massive et abusive des données à caractère personnel se multiplient, la France compte à ce jour un nombre restreint d’actions de groupe :

  • Internet Society France (ISOC France) c/ Facebook :

En novembre 2018, l’ONG annonçait vouloir engager la première action de groupe indemnitaire en matière de données personnelles[12].

Par une lettre de mise en demeure, l’ISOC France a alerté la plateforme de sept « atteintes récurrentes aux libertés et à la vie privée » de ses utilisateurs. L’internet Society reproche notamment au géant américain de collecter des données sensibles (l’orientation sexuelle, les opinions politiques et les croyances religieuses), de ne pas demander le consentement libre et éclairé des utilisateurs Facebook et WhatsApp ou encore l’absence de sécurisation efficace des données personnelles[13].

En l’absence de réponse, l’ONG a décidé de porter l’affaire devant les tribunaux français. Selon l’Agence France Presse (AFP), l’ISOC France a déclaré vouloir introduire une assignation devant le tribunal de grande instance de Paris au cours du mois de septembre 2019[14].

  • UFC-Que choisir c/ Google:

Le 26 juin dernier, UFC-Que choisir a introduit une action de groupe contre le géant de l’internet, pour collecte et exploitation de données utilisateurs contraires aux obligations posées par le RGPD.

Cette action concerne principalement les utilisateurs de produits Android. L’association pointe notamment du doigt le processus de création de compte : « nous considérons que le consentement des utilisateurs n’est pas obtenu de façon légale, notamment au travers de cases pré-cochées camouflées ». Selon elle, les utilisateurs n’auraient pas conscience de « l’intrusion massive » dans leur vie privée notamment au travers des données de géolocalisation et à fortiori de la finalité de cette collecte.

L’organisme a assigné Facebook devant le Tribunal de grande instance de Paris et est en attente d’une décision sur la responsabilité de Google dans le cadre de la collecte et du traitement des données personnelles de ses utilisateurs.

Droit du Partage continuera naturellement à suivre ce sujet pour vous.

[1] S. GUINCHARD, CHAINAIS et FERRAND, Procédure civile. Droit interne et droit de l’Union européenne, 2014, coll. Précis, Dalloz, n° 404

[2] Commission de refonte du droit de la consommation, sous la direction de J. CALAIS-AULOY, 1985

[3] Action de groupe – Sonia BEN HADJ YAHIA – Juin 2015, n°2 et suivants

[4] Article 184 de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé

[5] Article L142-3-1 du code de l’environnement.

[6] Articles L.1134-6 à L.1134-10 du Code du travail.

[7] La loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle est venu modifier la loi Libertés et Informatiques.

[8] Article 37 de la  LOI n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

[9] Article 60 de la Loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle.

[10] Article 85 de la Loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle.

[11] Article 64 de la Loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle.

[12] Communiqué de l’ISOC France en date du 9 novembre 2018.

[13] Lettre recommandée avec accusé de réception adressée à Facebook France, Facebook Ireland LTD, Facebook Inc.

[14] Article de presse en date du 26 mars 2019 rédigé par l’AFP et publié sur CB News.

Poster un commentaire

Classé dans Evolution du cadre juridique, Union Européenne

Référencement naturel : la guerre des mots clés sur les moteurs de recherches

Moteur de recherches, référencement et mots clés : voici des termes qui contribuent directement au succès d’une entreprise sur internet. Être facilement identifié en ligne et capter le trafic des internautes sont des enjeux clés pour toutes les entreprises qui ont une présence digitale. Par conséquent, l’optimisation de sa visibilité dans les pages de recherche nécessite d’optimiser les moteurs de recherche (search engine optimization ou SEO) mais également de construire des stratégies d’acquisition de trafic avec des mots clés (par exemple, grâce aux « AdWords » de Google).

Pour maximiser sa présence dans les pages de résultats, il est possible de faire l’acquisition de mots clés identifiants un concurrent et/ou ses services. Cette pratique a vu naître un contentieux spécifique qui a 2 facettes principales.

1/ La situation du concurrent : les décisions de justice rendues ces dernières années ont fait émerger le principe selon lequel le fait de choisir comme mot clé la marque d’un concurrent ne constitue pas ipso facto un acte de contrefaçon. En revanche, cette situation peut devenir critiquable lorsqu’il existe une atteinte à la fonction de marque pour l’identification du produit ou service (en particulier, s’il y a ou peut y avoir une confusion entre les produits ou services). Par ailleurs, cette action en contrefaçon peut être accompagnée de demandes fondées sur la concurrence déloyale, laquelle pourrait être caractérisée par le parasitisme ou le détournement de clientèle. Dans ce cas, le demandeur devra établir un comportement fautif attentatoire à une concurrence paisible, ce qui impose de démontrer des actes supplémentaires à l’acquisition de mots clés permettant de caractériser la faute (par exemple, la rédaction de libellés dans la page de résultats favorisant la confusion ou de nature à induire l’internaute en erreur).

Dans un récent arrêt du 5 mars 2019 (voir ici la décision complète), la Cour d’appel de Paris a condamné une société (Rue du Commerce) pour contrefaçon de marque (Carré Blanc) mais pas pour concurrence déloyale, ce qui apporte des précisions intéressantes.

En ce qui concerne la contrefaçon, il a été retenu que le mot clé « Carré Blanc » était utilisé dans les annonces snippet, les URL et la page du site pour préciser le type d’article recherché (par exemple, un peignoir ou une couette). Les juges d’appel retiennent que « cette insertion répétée permet d’améliorer le référencement du site en cas de nouvelle recherche par un internaute sur les mêmes mots clés et découle d’un choix de la société Rue du Commerce dans l’organisation de son site et notamment dans le lien vers la page d’index et dans la rédaction de l’extrait, même si le site n’a pas de contrôle sur les mots-clés définis par l’internaute » et que « cette répétition du signe carré blanc dans le titre, dans l’adresse URL et dans l’extrait à deux reprises porte atteinte à la fonction d’origine de la marque, en ce qu’elle est de nature, s’agissant d’un référencement naturel, à laisser l’internaute normalement informé et raisonnablement attentif penser que des produits de marque carré blanc lui seront proposés sur ce site ».

En ce qui concerne la concurrence déloyale, il a été jugé que « la mise en place de techniques de référencement afin de promouvoir les pages internet du site de la société Rue du Commerce ayant pour titre carré blanc et d’améliorer son classement dans les meilleurs résultats du moteur de recherche google relève d’une démarche commerciale afin de mettre en avant ces produits et de démarcher les clients, et ne peut caractériser un comportement déloyal que s’il a pour effet de détourner effectivement le consommateur de la société concurrente de Rue du Commerce, qui en subirait une perte de son chiffre d’affaires ». En l’occurrence, les juges ont relevé que, malgré la stratégie de Rue du Commerce visant à améliorer son référencement naturel, ce site n’est pas systématiquement placé en premier et que la société Carré Blanc ne démontrait pas de baisse de visites ou de chiffre d’affaires.

Ces éléments permettent d’affiner la compréhension des éléments retenus par les juridictions et de renforcer la construction de stratégies de référencement naturel sur les moteurs de recherche.

2/ La situation du moteur de recherche : en plus de l’action contre le concurrent, l’entreprise dont la marque est utilisée comme mot-clé pourrait s’interroger sur le rôle et l’étendue de la responsabilité des moteurs de recherche puisqu’il s’agit de l’outil technologique qui référence les contenus. En effet, lorsque leurs clients sélectionnent des mots clés et choisissent, à cette occasion des marques et/ou des éléments distinctifs de concurrents, la question de la responsabilité de cet intermédiaire numérique peut donc légitimement se poser.

Dans la jurisprudence récente, les moteurs de recherche (au premier rang desquels Google) ont été visé par plusieurs actions (par exemple, les procédures initiées par Louis Vuitton). La principale critique était de permettre à des annonceurs d’acheter des mots-clés correspondant aux signes distinctifs du concurrent. Parmi les décisions importantes, on peut faire référence à l’arrêt précité de la Cour de justice qui affirme notamment le principe selon lequel il est possible d’agir en responsabilité si le prestataire a eu connaissance du caractère illicite des activités.

Derrière ce cas spécifique, il s’agit en réalité de la question de la responsabilité de l’intermédiaire en ligne qui se trouve à la frontière des qualifications d’ « éditeur » et d’ « hébergeur ». Issus de la directive sur le commerce électronique (2000/31/CE) et de la loi pour la confiance dans l’économie numérique (LCEN), les débats sur la qualification juridique de certains acteurs (par exemple, les moteurs de recherche ou les plateformes) forment une jurisprudence importante. Un des éléments décisif pour caractériser l’éditeur est le rôle actif sur le contenu, ce qui dépend des faits, du fonctionnement opérationnel de la société mais également de la fonctionnalité en question (les acteurs digitaux sont complexes et peuvent être un « éditeur » pour certains aspects et un « hébergeur » pour d’autres).

Le contentieux met en lumière un enjeu simple : le droit des acteurs de l’internet, constitué au début des années 2000, ne permet plus d’appréhender la diversité des fonctionnements actuels. Il en découle alors une insécurité juridique pour les opérateurs économiques mais également pour les internautes, de sorte qu’il serait bienvenu que l’Union Européenne s’attèle à revoir ce régime juridique. Nous comprenons que la nouvelle Commission Européenne pourrait mettre à l’ordre du jour une revue de la directive sur le commerce électronique, ce qui ouvrirait de nouvelles perspectives juridiques pour consolider le cadre applicable aux intermédiaires en ligne.

Droit du Partage continuera naturellement à suivre ce sujet pour vous.

Poster un commentaire

Classé dans Evolution du cadre juridique, Obligations et responsabilité des plateformes

À la recherche de la Smart City : numéro 2 de la revue Third

En tant que lieu de construction d’une culture du numérique, Third décrypte la révolution juridique en abordant les grands objets de réflexion et en adoptant une approche pluridisciplinaire (voir le site de la revue Third). Publié en mai 2019, le numéro 2 de la revue Third (voir le site dédié au numéro sur la Smart City) est dédié aux questions posées autour de la Smart City.

Smart City Couverture Third numéro 2

Expression à la mode et indéfinissable, la Smart City ponctue presque toutes les discussions sur l’impact du numérique dans nos vies urbaines. Il était donc naturel que la revue Third s’essaie à mieux appréhender cette notion, tout en conservant l’approche pluridisciplinaire qui la guide.

Chacun à leur façon, les contributeurs de ce numéro creusent l’idée que la Smart City est un idéal, une forme de rêve collectif dans lequel ceux qui composent une ville (le citoyen, le politique et l’entrepreneur) tireraient profit de toutes les mutations résultant de la révolution numérique : des villes mieux organisées, plus fluides, plus justes, où il ferait bon vivre.

Où en est ce projet aujourd’hui ? Sous quel angle peut-on réellement l’appréhender ? Quelles sont les forces qui le façonnent ? Quels changements aura-t-il sur nos vies ? Voulons-nous vraiment d’une Smart City ?

Nous vous invitons à découvrir les articles passionnants des contributeurs du numéro de Third intitulé « À la recherche de la Smart City ».

Poster un commentaire

Classé dans Autres secteurs (vêtements, food, stockage & location de biens meubles...), Prises de position, Transport de personnes

Lutte contre la manipulation d’informations sur Internet : que nous apporte la loi fake news ?

La lutte contre les fake news sur Internet n’est pas seulement un sujet médiatique : au croisement entre les enjeux de sincérité du scrutin, d’ingérence étrangère dans un processus électoral et de responsabilisation des plateformes, le sujet a fait l’objet d’une loi.

Entrée en vigueur en décembre 2018, la loi relative à la lutte contre la manipulation de l’information passe actuellement sa première épreuve à l’occasion des élections européennes. Ce texte représente bien plus qu’une tentative de définition de la notion de « fausse information » : il s’agit d’un nouveau bloc du droit des plateformes et des algorithmes, auquel chaque opérateur peut se référer, notamment en ce qui concerne les sujets de transparence des algorithmes.

Droit du Partage vous en présente les contours et les enjeux de sa première mise en œuvre concrète.

  1. Les plateformes numériques au cœur du dispositif

Les opérateurs de plateformes sont au cœur du dispositif de la loi fake news : le texte reconnait leur place primordiale dans la diffusion de l’information et les place au cœur du dispositif réglementaire.

Cependant, la loi ne s’adresse pas à tous les opérateurs de plateformes et précise que les plateformes concernées sont celles dont l’activité repose sur la promotion de contenus d’information se rattachant à un débat d’intérêt général.

Parmi les nombreuses mesures qu’elle contient, les trois principales sont les suivantes :

  • D’une part la loi renforce, pendant les périodes électorales (c’est-à-dire trois mois avant les élections) les obligations d’information et de transparence des plateformes ayant plus de 5 millions de visiteurs uniques par mois (voir le décret ici) sur les « contenus d’information se rattachant à un débat d’intérêt général » (i) en informant les utilisateurs sur l’identité de la personne qui rémunère la plateforme en échange de la promotion de contenus ; (ii) en fournissant une information loyale, claire et transparente sur l’utilisation des données personnelles dans le cadre de la promotion de contenus d’information et (iii) en rendant public le montant des rémunérations reçues en contrepartie de la promotion de contenus d’information lorsque leur montant est supérieur à 100 euros.
  • D’autre part, de façon plus structurelle et permanente (c’est-à-dire même hors périodes électorales), la loi prévoit l’obligation pour les plateformes de mettre en œuvre des mesures visant à lutter contre la diffusion de fausses informations susceptibles de troubler l’ordre public ou d’altérer la sincérité d’un scrutin. Pour cela, les plateformes peuvent notamment prendre des mesures de (i) transparence de leurs algorithmes, de (ii) promotion des contenus issus d’entreprises et d’agences de presse ou de (iii) lutte contre les comptes propageant massivement de fausses informations.
  • Enfin, la loi crée une procédure spécifique en période électorale, aussi appelée « référé fake news», qui permet au ministère public, à tout candidat, tout parti ou toute personne ayant intérêt à agir, de demander au juge des référés, sous 48 heures, de prendre des mesures proportionnées et nécessaires pour faire cesser la diffusion de ces informations auprès des hébergeurs et des plateformes qui hébergent les contenus en question.
  1. Quelle mise en œuvre concrète pendant la campagne des européennes ?

La campagne des élections européennes a été l’occasion d’une première mise en application de cette loi.

Les opérateurs de plateformes concernés par le dispositif ont pris des mesures allant dans le sens d’une meilleure information de leurs utilisateurs, notamment sur le dispositif de signalement de fausses informations, l’information concernant les auteurs d’articles « politiques » et les mesures prises par l’opérateur pour lutter contre la diffusion de fausses informations en période électorale. À titre d’exemple, Facebook a mis en ligne une page internet dédiée au sujet et Twitter a mis en œuvre sur sa plateforme un dispositif de signalement de contenu permettant de signaler un tweet comme « induisant en erreur au sujet d’élections ».

Du côté procédural, le « référé fake news » vient de connaître sa première décision avec un jugement du Tribunal de grande instance de Paris rendu le 17 mai après la demande formulée, par deux élus communistes pour obtenir le retrait, par Twitter, d’un tweet du Ministre de l’intérieur concernant les manifestations de gilets jaunes et l’utilisation du terme « attaque » pour désigner la présence de gilets jaunes dans l’enceinte de l’Hôpital de la Pitié-Salpêtrière. Dans sa décision, le Tribunal refuse de faire droit à la demande de retrait du tweet, notamment au motif que l’information diffusée par le Ministre de l’intérieur n’est pas « manifestement inexacte ou trompeuse ». Cette première décision est intéressante car elle met en lumière le difficile effort de qualification d’une « fake news » et la complexité de sa mise en oeuvre : en l’espèce, les juges ont apprécié de manière restrictive la définition de la fausse information qui doit être manifestement inexacte ou trompeuse et qui doit être diffusée de manière délibérée, artificielle ou automatisée et massive.

Les prochaines décisions en la matière seront particulièrement intéressantes à suivre, notamment si elles portent sur des informations ne relevant pas de l’appréciation de faits par des responsables politiques, un « cas d’usage » de fake news qui ne correspond pas aux comportements que la loi vise à sanctionner, à savoir la diffusion massive d’une information fausse au moyen d’un système automatisé.

  1. Quelles perspectives pour la lutte contre la manipulation d’information ?

Le principal défaut de la loi relative à la lutte contre la manipulation d’information est sans doute son caractère national et isolé (à l’exception de Singapour – LIEN), dans un contexte où la diffusion de fausses informations se développe de manière transnationale, privant ainsi un dispositif exclusivement national d’efficacité dans le cas où les données considérées comme relevant de fake news sont stockées ou hébergées à l’étranger.

L’Europe semble être un échelon plus pertinent à cet égard. C’est pourquoi les récentes initiatives européennes visant à lutter contre la désinformation sont intéressantes et à suivre : elles visent, à travers un mécanisme de conformité volontaire des opérateurs de plateformes, à atteindre les mêmes objectifs que la loi française, avec des résultats qu’il conviendra d’observer. Le récent code européen de bonnes pratiques contre la désinformation sur internet auquel Facebook, Google et Twitter ont chacun adhéré est un bon exemple de mécanisme de régulation, fondé sur le volontarisme des acteurs, qui permet de contraindre les acteurs de manière plus efficace qu’une loi nationale. Les plateformes signataires de la charte publient ainsi régulièrement des rapports concernant les mesures qu’elles prennent pour lutter contre la désinformation, sous le contrôle attentif de la Commission européenne.

Le sujet de la lutte contre la désinformation en ligne est donc loin d’être clos, faute de mécanisme transnational efficace ou de corps de règles unifié à l’échelle européenne permettant de fixer des règles cohérentes pour toutes les plateformes opérant en Europe.

Droit du Partage continuera naturellement à suivre ce sujet pour vous.

Poster un commentaire

Classé dans Evolution du cadre juridique, Obligations et responsabilité des plateformes, Union Européenne

RGPD et objets connectés : de l’importance de la sécurité

Alors que plus de 20 milliards d’objets connectés devraient être en circulation d’ici 2020 (voir notamment les insights de Gartner sur l’Internet of Things), la protection de la vie privée et des données personnelles va devenir un enjeu cardinal (tant pour les professionnels que pour les consommateurs). Au cœur de ces considérations et en application du RGPD (notamment l’article 32), se trouve la sécurité des éléments physiques ainsi que des flux de données permis par ces objets connectés (voir notre précédent article pour des perspectives juridiques plus complètes).

Les questions de sécurité se posent à tous les niveaux : l’intégrité physique de l’objet, la sécurité de la liaison objet / service numérique et la sureté des serveurs (peut être situés à l’étranger) où sont stockées les informations envoyées par l’objet. On peut ainsi distinguer 3 scenarii par ordre croissant de risque :

1/ Les données restent sous la maitrise de l’usager : les objets n’envoient pas les données à l’extérieur, c’est-à-dire à des tiers car elles restent sur des réseaux maitrisés par l’usager.

2/ Les données sont transmises à l’extérieur pour analyse : les objets transmettent les données à un ou des tiers pour être analysées dans le but de rendre tout ou partie du service.

3/ Les données sont transmises à l’extérieur pour permettre de gérer l’équipement à distance : dans cette situation, les données sont envoyées par l’objet à un ou des tiers afin d’interagir ensuite avec l’équipement.

Le cadre juridique relatif à la protection des données personnelles, en particulier le RGPD qui est applicable dans l’Union Européenne, fixe des exigences importantes en matière de sécurité et d’exercice des droits des individus. Très attentive à ces enjeux, la CNIL s’est focalisée sur les cas d’usages les plus courants en France (notamment, les compteurs intelligents, les jouets connectés, les voitures connectées ou encore les enceintes à commande vocales).

Prenons l’exemple des compteurs communicants comme Linky qui font l’objet d’une attention particulière des dernières années. Dès le 15 novembre 2012, la CNIL a adopté une délibération portant recommandation relative aux traitements des données de consommation détaillées collectées par les compteurs communicants dans laquelle il est notamment rappelé la nécessité de mettre en place des mesures fortes pour assurer la sécurité et la confidentialité des données.

Cette question était au cœur d’un récent litige (voir l’ordonnance de référé du 23 avril 2019 rendue par le Président du Tribunal de grande instance de Bordeaux). Dans cette affaire, plusieurs personnes physiques ont assigné la société Enedis pour s’opposer à l’installation d’un compteur électrique Linky sur le fondement, notamment, de la violation du RGPD. Dans son ordonnance, le Président a refusé de faire droit à cette demande en retenant notamment l’absence de trouble manifestement illicite car il existe une « anonymisation des informations pendant leur transmission, d’une part par leur cryptage, et d’autre part par l’absence de toute référence d’identification nominative ».

Si l’interprétation des règles du RGPD est encore en construction et que les services de la CNIL poursuivent leurs efforts de pédagogie, la récemment désignée Présidente de la CNIL (Marie-Laure Denis) a affirmé que « un an après [l’] entrée en vigueur [du RGPD], c’est la fin d’une forme de tolérance ». Les acteurs du marché doivent mettre en œuvre des mesures de mise en conformité, en particulier concernant la sécurité et la confidentialité des données personnelles.

Les entreprises du marché des objets connectés doivent prendre ces sujets à bras le corps pour assurer la pérennité de leur activité et rassurer leurs clients. Ainsi, il convient de conduire une analyse précise du flux des données et des risques encourus par la situation (v. p. ex. les 3 scenarii détaillés supra) afin de prendre de mettre en place des mesures techniques (par exemple, l’anonymisation et le cryptage) et organisationnelles (par exemple, une politique interne relative à la sécurité et à la protection des données).

Droit du Partage continuera naturellement à suivre ces sujets pour vous.

Poster un commentaire

Classé dans Autres secteurs (vêtements, food, stockage & location de biens meubles...), Evolution du cadre juridique