A propos de Murielle Cahen

https://www.murielle-cahen.fr/

Avocat à la cour (Paris 5eme arrondissement) J'interviens principalement en droit de la propriété intellectuelle, droit des nouvelles technologies, droit civil & familial, droit pénal, droit de l'immobilier, droit du travail, droit de la consommation Consultation juridique en ligne - Réponse en 24/48h max. (€100 TTC) Titulaire du certificat de spécialisation en droit de l'informatique et droit de l'internet. Editrice du site web : Avocat Online depuis 1999. Droit de l'informatique, du logiciel et de l'Internet. Propriété intellectuelle, licence, presse, cession, transfert de technologie. droit d'auteur, des marques, négociation et arbitrage... Cabinet d'avocats à Paris. Droit internet et droit social, droit des affaires spécialisé dans les nouvelles technologies et lois internet...

Articles de Murielle Cahen:

Piratage de site internet

Avec la création d’internet, et plus particulièrement des sites internet, une nouvelle criminalité a émergé, en effet il est maintenant possible de s’introduire dans un site, d’y introduire des virus,… il a alors fallu adopter la législation face à ce nouveau type de criminalité.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

I. Quelles sont les réponses légales en matière d’infractions (intrusions, défacement, contaminations virales) de sites Internet ?

La plupart des infractions informatiques sont sanctionnées au niveau pénal. La loi Godfrain du 5 janvier 1988 relative à la fraude informatique est la première loi française qui réprime les actes de criminalité informatique et de piratage. Elle a par la suite été complétée par la loi pour la confiance dans l’économie numérique du 21 juin 2004 puis par la loi LOPPSI II du 14 mars 2011. Ces différentes lois permettent de sanctionner les atteintes aux systèmes de traitement automatisé de données (STAD) prévu aux articles 323-1 à 323-7 du Code pénal.

Parmi elles on retrouve l’accès frauduleux dans tout ou partie d’un système de traitement automatisé de données, puni de deux ans de prison et de 60 000 € d’amende. Dans le cas où il en résulte une altération, soit des données contenues (suppression ou modification), soit du fonctionnement même du système, les peines prévues sont de trois ans de prison et de 100 000 € (article 323-1 du Code pénal).

Besoin de l’aide d’un avocat pour un problème de cybercriminalité?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien

Il est également possible de citer le maintien frauduleux dans un système informatique. Les causes d’aggravation retenues (altération des données) sont identiques à celles prévues pour l’accès frauduleux. En effet, bien que le maintien dans un système suppose un préalable accès, celui-ci peut-être autorisé tandis que le maintien, ne l’est pas selon un arrêt de la Cour d’appel de Paris 11° chambre, section. A du 14 janv. 1997.

Par ailleurs, les juges prennent en compte le degré de négligence dans la sécurisation du système. En effet, afin de caractériser un accès ou un maintien frauduleux il semble nécessaire d’établir l’existence d’une faute. L’intrusion consiste en l’utilisation sans droit et contre la volonté du propriétaire du système informatique. Pour ce faire, « le propriétaire doit avoir manifesté son intention de restreindre l’accès aux données aux seules personnes autorisées ». (CA de Paris, 1994)

Est également sanctionnée toute atteinte volontaire au fonctionnement d’un système de traitement automatisé de données, autrement dit le fait de le fausser ou l’entraver est puni de cinq ans de prison et de 150 000 € d’amende (Article 323-2 du Code pénal).

Ainsi une attaque par déni de service peut constituer une entrave au fonctionnement d’un STAD (T. Correctionnel de Nancy, 23 novembre 2015). Il s’agit d’une atteinte au système par saturation. Les entraves au système sont également retenues lorsqu’est déposé un virus ou une bombe logique.

Dans une autre affaire du 15 décembre 2015, les juges ont qualifié d’entrave au fonctionnement d’un STAD, le fait pour un associé de faire cesser le développement du site internet de la société. Pour ce faire, les juges relèvent que « B, qui était le responsable du bureau mauricien où était développé le contenu du site Uptoten.com, licenciait l’ensemble du personnel de ce bureau, faisant de facto cesser le développement du site, et remisait le matériel de la société Uptoten. » (TGI de Paris, 13e chambre correctionnelle, 15 décembre 2015, Uptoten et autres c.J.B).

Est aussi incriminé par l’article 323-3 du Code pénal, le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende (T. Correctionnel de Paris, 25 février 2000).

De plus le droit civil s’applique, ce qui permettra de rechercher la responsabilité de l’individu à l’origine de l’infraction pour qu’il puisse être condamné à des dommages et intérêts pour le préjudice subi par la victime (perte de clients, de commandes, de notoriété, etc.)

II. Sont-elles suffisantes ?

Le système est assez complet, il serait éventuellement possible d’ajouter des infractions pénales plus spécifiques. De plus les cybercriminels innovent constamment ce qui demande un effort constant de la part du législateur.  Mais les différentes actions contre les sites Internet peuvent être sanctionnées par les articles du Code pénal cités.

Les peines semblent assez dissuasives. En effet, les peines vont de 1 an à 5 ans d’emprisonnement et entre 60 000 € et 150 000 € d’amende. Cependant, elles sont aggravées lorsque les infractions visent un STAD mis en œuvre par l’Etat et peuvent aller de 5 ans à 7 ans d’emprisonnement. Elles le sont également lorsqu’elles sont commises en bande organisée.

En outre, comme le précise l’article 323-7 du Code pénal, la tentative des délits prévus par les articles 323-1 à 323-3-1 est punie des mêmes peines.

De plus, des peines complémentaires accompagnent régulièrement ces condamnations. Il peut s’agir d’une confiscation de matériel, ou d’une privation de droits civique et familiaux pour une durée de 5 ans ou plus, etc. (Article 323-5 du Code pénal).

Enfin, la récente adoption de la loi LOPMI prévoit d’aggraver les peines encourues en cas de cyberattaques contre un réseau informatique ou bancaire, les hôpitaux et les services de numéros d’urgence.

Cela dit, il semble que les entreprises hésitent à engager des poursuites pénales contre les pirates.

III. Les moyens mis en œuvre pour poursuivre et découvrir les auteurs de ces infractions sont-ils aujourd’hui pertinents ? Je fais notamment référence à l’OCLCTIC.

Des organismes chargés de la recherche et la sanction des infractions informatiques existent : OCLCTIV, BEFTI, SEFTI, BCRCI notamment, mais ce ne sont pas les seuls, on peut aussi noter que la DST (service de renseignement national) s’occupe des affaires de piratages importantes.

Ils sont compétents techniquement pour effectuer la recherche des infractions et des responsables des différents délits informatiques.

On peut éventuellement noter un manque de moyens matériels et financiers pour contrer des pirates qui ont souvent des moyens puissants. Mais aussi un problème de temps, lorsqu’un groupe de pirates peut passer 24h sur 24 à agir, les différents organismes chargés de la répression sont limités par leur nombre et leurs horaires.

C’est pourquoi les stratégies en la matière tentent de s’axer sur la prévention et la sensibilisation des utilisateurs et des entreprises. Aujourd’hui nombreux sont les sites dédiés à ce sujet et édités par les autorités compétentes en la matière. Il est à ce titre possible de citer le site internet de l’ANSSI ou encore de la CNIL qui regorgent de recommandations et de guides.

Depuis mars 2017, le gouvernement a également mis en place la plateforme « cybermalveillance.gouv.fr ». Cette plateforme est un dispositif national de sensibilisation, prévention et d’assistance aux victimes d’actes de cybermalveillance pour les particuliers, entreprises et collectivités territoriales.

Des points de contact et la création de certifications (SecNUM Cloud) permettent d’identifier les prestataires qualifiés afin de répondre aux besoins des entreprises. Il est possible de trouver la liste des prestataires qualifiés de réponses aux incidents de sécurité aussi appelés PRIS.

IV. Lorsqu¹une entreprise est victime de ce type de délit doit-elle déposer une plainte ? Si oui auprès de qui ?Est-ce que cette démarche ne l’expose pas plus encore ?

La plainte doit être déposée soit auprès d’un organisme de la police nationale ou de la gendarmerie nationale soit spécialisé, soit auprès du commissariat ou de la gendarmerie ou directement auprès du procureur de la république par le biais d’un avocat.

Je conseillerais dans un premier temps de saisir directement les services de police compétents.

C’est une démarche qui ne devrait pas exposer plus l’entreprise, sauf bien sur si le pirate retrouvé fait partie d’un groupe et donne des consignes d’attaques postérieures…..

Il est assez curieux de constater que paradoxalement il y a beaucoup plus de plaintes pour escroquerie à la carte bancaire que pour défacement de site Internet. Bien sûr dans ces cas de figure, ce sont le plus souvent les banques qui portent plainte. En général si le pirate est en France, il est souvent retrouvé par les services de police compétent en une semaine….

V. Quels autres dispositifs ou mesures sont à la disposition des entreprises victimes de cyberattaques ?

En outre, l’outil « cybermalveillance.gouv.fr » a pour missions d’assister les particuliers, les entreprises, les associations, les collectivités et les administrations victimes de malveillance en ligne. Elle pourra les orienter sur la marche à suivre en cas d’attaque et les informer sur le dépôt de plainte.

La récente loi LOPMI du 24 janvier 2023 a donné naissance à un numéro d’urgence, le « 17 cyber », qui sera destiné aux particuliers, aux entreprises, mais aussi aux administrations victimes de cyberattaques.

De plus, au regard des obligations imposées par les articles 33 et 34 du RGPD, dès lors que les violations de données représentent un risque pour les personnes concernées, celles-ci faire l’objet d’une notification auprès l’autorité de contrôle compétente (en l’occurrence la CNIL) dans un délai de 72 heures. Lorsque cette violation présente un risque élevé pour les personnes concernées, il sera nécessaire d’alerter les personnes concernées par cette dernière.
Enfin, il vous sera également demandé d’indiquer cette violation dans votre registre de violation des données.

VI. Lorsqu’elle est victime d’une infraction depuis un pays étranger, quelle loi s’applique-t-elle. Existe-t-il d¹ailleurs un dispositif légal au niveau international ?

Les tribunaux répressifs français sont compétents pour connaître de toute infraction commise sur le territoire français, quelle que soit la nationalité de son auteur ou de sa victime. Cette compétence territoriale se justifie aisément : juridiquement, elle découle du pouvoir souverain de la France de protéger l’ordre public sur son territoire contre les infractions qui y sont commises.

En revanche, beaucoup de cyberattaquants se jouent des frontières et des accords d’extradition conclus entre les différents pays, ce qui peut rendre leur arrestation complexe. On dit qu’ils se domicilient dans des « cyber paradis ». Le principe de la territorialité de la loi pénale fait parfois obstacle aux poursuites en cas d’enquêtes transnationales. Il est à ce titre possible de citer l’exemple de Gregory Chelli aussi connu sous le pseudonyme « Ulcan ».

Malgré tout, on trouve des dispositifs de coopération policière comme INTERPOL (qui délivre des notices rouges) ou des conventions telles que la Convention internationale de cybercriminalité Budapest. Ces dispositifs permettent d’harmoniser la lutte contre la cybercriminalité à une échelle internationale et d’émettre des définitions juridiques communes.

Au niveau européen on retrouve les agences EUROPOL et EUROJUST qui facilitent la coopération entre les services répressifs et judiciaires nationaux. On peut également évoquer l’ENISA, qui vise à garantir un niveau commun en cybersécurité dans toute l’Europe.

Cette coopération a encore été étendue à l’échelle européenne. En effet, la révision de la directive « sécurité des réseaux et des systèmes d’information » initiée en juillet 2020, a permis d’actualiser les notions et les objectifs face à l’évolution du paysage des cybermenaces qui pèsent sur les états, les entreprises ou encore les particuliers. Puisque la cybercriminalité se joue des frontières nationales, le déploiement d’une stratégie de coopération entre les États membres a également été prévu à travers la désignation de différentes autorités compétentes en la matière.

En France, l’adoption de la loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) le 24 janvier 2023 promet également le déploiement de 1 500 cyberpatrouilleurs.

VII. En cas de piratage d’un site, le tiers par exemple le client ayant subi un préjudice quelconque doit-il se retourner contre la société elle-même victime de l¹infraction ?

Le tiers peut se retourner contre la société à l’unique condition qu’elle soit responsable du préjudice par une faute de sa part par exemple, sinon il devra agir contre l’auteur de l’infraction

Il pourra se constituer partie civile par exemple dans un procès contre le pirate même s’ il n’est pas à l’origine de ce procès, par exemple dans un procès engagé par d’autres victimes ou par l’entreprise victime.

VIII. Si le prix d’un produit a été modifié sur le site à l¹insu de l’entreprise, le client peut-il exiger de régler le prix affiché ? Comment l¹entreprise peut-elle prouver sa bonne foi ?

La jurisprudence considère que le client peut exiger de régler le prix affiché, l’erreur d’étiquetage n’entraînant pas la nullité de la vente.

Cependant, il existe une exception à cette règle lorsque le prix présenté est erroné et dérisoire (article 1169 du Code civil). Autrement dit, lorsque le prix est sous-estimé, on considère que le consommateur normalement avisé ne peut pas avoir interprété le prix affiché comme étant la valeur réelle de l’article. Dans cette hypothèse, le client ne peut réclamer le prix affiché et la vente peut être annulée pour erreur. Si l’entreprise ne peut pas prouver sa bonne foi, elle peut éventuellement prouver la mauvaise foi du client pour obtenir la nullité de la vente ou le paiement des sommes non perçues.

Ce cas d’erreur de prix sur Internet s’est produit il y a quelques années. Des internautes ont profité d’un bug du prix sur le site Micromania pour acheter des consoles à 40 euros alors que le prix réel des consoles était compris entre 300 et 400 euros. Micromania a donc été en droit d’annuler la vente ou bien de réclamer la différence de prix entre le prix affiché et le prix payé.

IX. En matière d’infraction, l’employeur peut-il rechercher une responsabilité auprès d¹un salarié (par exemple, son directeur informatique), de son hébergeur (lorsque son système est externalisé) ou de l¹intégrateur pour manquement professionnel (par exemple, défaut de précaution quant à la protection du site ou manque d’information sur sa vulnérabilité ) ?

La société pourra agir en responsabilité civile contre tous ces tiers si elle peut prouver une faute ayant entraîné pour elle un préjudice. Ainsi, l’entreprise pourra intenter un procès contre un hébergeur qui devait assurer la sécurité du site si celle-ci n’était pas assurée dans la réalité. En revanche, l’entreprise devra s’être assurée que ce dernier présentait des garanties suffisantes (article 34 de la loi informatique et liberté).

Elle pourra également intenter un procès contre toute personne qui en dehors d’un contrat a commis une faute, par exemple, un membre de la société ou un tiers qui aurait fourni des informations confidentielles permettant d’accéder au système.

Le comportement fautif du salarié entraîne également des répercussions sur son contrat de travail. C’est ce que rappelle la Cour de cassation dans un arrêt en date du 26 décembre 2006. Ainsi le fait pour un salarié d’essayer de se connecter, sans motif légitime et par emprunt du mot de passe d’un autre salarié, sur le poste informatique du directeur de la société était un comportement qui violait la charte informatique de l’entreprise, rendait impossible son maintien dans l’entreprise pendant la durée du préavis et justifiait son licenciement pour faute grave.

Dans une affaire en date de 2015, le Tribunal correctionnel de Nancy a condamné un administrateur réseau pour maintien frauduleux dans un STAD et pour atteinte aux secrets des correspondances. Ce dernier avait copié, à partir des serveurs informatiques de la société dont il était salarié, des mails et des documents qui laissaient entendre que la société exerçait des pressions sur une inspectrice du travail et les avait adressés à cette dernière. (T. Correctionnel de Nancy, 4 décembre 2015).

Pour ce faire elle retient qu’« il a consulté les serveurs fichiers sans lien avec sa fonction et s’y est maintenu dans une autre intention que celle d’exécuter son travail habituel de développement du wifi. »

X. Préconisez-vous une assurance couvrant spécifiquement les risques liés à une présence sur le réseau (sous quelle forme et dans quelles conditions). À terme, pensez-vous qu’une protection de ce genre sera rendue obligatoire, et est-ce souhaitable ?

En matière de cyber attaque, l’entreprise victime peut traditionnellement invoquer plusieurs chefs de préjudice. Il peut s’agir d’un préjudice financier, d’un préjudice moral ou encore d’un préjudice matériel. En principe l’entreprise obtiendra l’indemnisation totale du ou des préjudices subis. Cependant, elle devra être en capacité d’apporter des éléments de preuve qui corroborent l’existence d’un préjudice du fait de cette attaque.

Quel type de dédommagement peut-il espérer une entreprise lorsque qu’elle est victime d¹un sinistre de cette nature ?

En principe l’entreprise obtiendra l’indemnisation totale du ou des préjudices subis.

Cependant, l’indemnisation est limitée par la solvabilité du responsable, or un bon nombre des pirates sont des particuliers.

Les préjudices pour une société commerciale d’une telle action peuvent être très importants et risquent par conséquent de ne pas être indemnisés totalement.

Il est dans ce cas intéressant pour l’entreprise de souscrire une assurance à cet effet. Le niveau des dédommagements est fonction du type d’assurance souscrite.

A ce propos, la loi LOPMI du 24 janvier 2023 fixe un nouveau cadre pour les clauses de remboursement des cyber-rançons par les assurances. Le remboursement sera désormais conditionné au dépôt d’une plainte de la victime dans les 72h après connaissance de l’infraction. Cette obligation est limitée aux professionnels et devrait s’appliquer 3 mois après la promulgation de la loi.

Pour lire une version plus complète de cet article sur le défacement et le piratage de site internet, cliquez

SOURCES :

https://www.ihemi.fr/articles/organisation-france-europe-cybersecurite-cyberdefense-V2
https://www.ihemi.fr/sites/default/files/inline-files/Gestion%20de%20crise%20et%20cha%C3%AEnes%20cyber%20-%20INHESJ%20-%20juillet%202020%20-%20Martial%20Le%20Gu%C3%A9dard%20-%20MAJ15juil%281%29.pdf
http://www.senat.fr/rap/r19-613/r19-6131.pdf
Le développement de l’assurance cyber risque : https://www.vie-publique.fr/rapport/286216-developpement-de-l-assurance-du-risque-cyber
Rapport sur le développement de l’assurance cyber risque : https://medias.vie-publique.fr/data_storage_s3/rapport/pdf/286216.pdf
https://www.un.org/fr/chronicle/article/combattre-lindustrialisation-de-la-cybercriminalite

Par • internet-et-droit • • Tags: , , , ,

Etre en conformité avec le RGPD et l’accountability

Le Règlement général sur la protection des données (« RGPD ») est le nouveau texte phare en matière de protection des données personnelles  en Europe. Prévu pour entrer en application le 25 mai 2018, le délai de mise en conformité est court et pourtant trop peu d’entreprises sont au courant des dispositions en la matière.

NOUVEAU : Utilisez nos services pour faire retirer un contenu lié à la protection des données ou de contrefaçon en passant par le formulaire !

Le droit européen a instauré un cadre juridique qui se veut « stable » pour l’ensemble de l’Union européenne. Le texte a pour objectif, comme le rappelle la CNIL, de renforcer le droit des personnes au regard du traitement de leurs données à caractère personnel, tout en responsabilisant les traitants et sous-traitants de ces données.

Me CAHEN Murielle, Avocat, peut être choisi par une société pour être Avocat agissant en tant que délégué à la protection des données .

L’avocat  délégué à la protection des données  a un rôle de conseil et de sensibilisation sur les nouvelles obligations du règlement (notamment en matière de conseil et, le cas échéant, de vérification de l’exécution des analyses d’impact).

« Privacy by Design » signifie littéralement que la protection des données personnelles doit être prise en compte dès la conception du produit ou du service.

Besoin de l’aide d’un avocat pour un problème de rgpd ?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien

Entré en vigueur en mai 2018, le règlement général sur la protection des données (RGPD) fêtera bientôt ses cinq ans. Qu’importe votre situation, si vous collectez des données, une démarche de mise en conformité au règlement devra être initiée.

Afin d’en saisir les contours, cette démarche peut s’appuyer sur la désignation d’un délégué à la protection des données qui se chargera de mettre en œuvre la conformité au règlement européen sur la protection des données pour votre organisme.

La promulgation de ce règlement a permis d’harmoniser le cadre juridique pour l’ensemble de l’Union européenne. Ce texte a, dans un premier temps, permis de renforcer le droit des personnes au regard du traitement de leurs données à caractère personnel.

Dans un second temps, le RGPD a été conçu pour être un rempart face aux dérives et aux risques que les traitements de données peuvent représenter. Pour se faire, il introduit de nouvelles obligations et de nouvelles notions. On pensera par exemple à la notion d’accountability et de privacy by design qui ont pour objectif de responsabiliser les organismes afin de rendre plus effective la protection des données.

Les données sont aujourd’hui des sources de valeur considérable. Elles représentent non seulement des actifs pour les entreprises, mais elles sont également un moyen d’assurer la continuité de leurs activités. Comme le souligne l’ENISA, entre 2021 et 2022, on comptabilise environ une attaque par rançongiciel toutes les onze secondes sur l’ensemble des entreprises situées sur le territoire européen.

Au regard des dangers qui pèsent aujourd’hui sur les entreprises, l’ensemble des dispositions du texte se devront d’être comprises par ces dernières (I) afin d’organiser de manière rapide et efficace leur mise en conformité (II).

I. Le cadre juridique instauré par le RGPD , le régime d’accountability et Privacy by Design

Le texte européen entré en vigueur le 25 mai 2018, prévoit de nouvelles obligations pour les entreprises et, plus largement, tous traitants ou sous-traitants de données à caractère personnel (a). Le non-respect de ces obligations entraîne désormais des sanctions plus lourdes que par le passé (b), dans une volonté non dissimulée d’atteindre un cadre harmonisé.

A) Des obligations nouvelles pour les entreprises et en particulier l’accountability et le « Privacy by Design »

L’entrée en vigueur du texte en mai 2018 renouvelle le cadre de la protection des données et des relations entre ceux qui les fournissent et ceux qui les traitent.

Selon son article 3, ce règlement a vocation à s’appliquer aux entreprises qui traitent des données à caractère personnel, que celles-ci soient établies sur le territoire de l’Union européenne (principe d’établissement) ou non, dès lors que les données traitées concernent les personnes qui se trouvent sur le territoire de l’Union européen (principe de ciblage).

Ce texte insère de nouvelles notions telles que la « Privacy by Design ». Définie à l’article 25 du RGPD, cette notion correspond à la prise en considération de la protection des données dès la conception d’un traitement. Il s’agit aussi bien de la mise en œuvre de mesures techniques et organisationnelles appropriées, telles que la pseudonymisation. Ces mesures sont destinées à mettre en œuvre les principes relatifs à la protection des données.

Elles s’accompagnent des principes énoncés par le règlement, tel que le principe de minimisation des données (notamment pour les données sensibles). Ces mesures visent à assortir le traitement des garanties nécessaires afin de répondre aux exigences fixées par le règlement et tendent à assurer une protection effective des données de la personne concernée.

D’autres points essentiels du ressortent du Règlement, à commencer par la « consécration » du droit à l’oubli. Pour commencer, le texte amène la « consécration  » du droit à l’oubli  » , déjà soutenu par la Cour de justice de l’Union européenne dans l’arrêt Google Spain qui précisait qu’un traitement de données pouvait devenir « avec le temps incompatible avec la directive lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées » .

Les données devront être conservées aussi longtemps que nécessaire et leur accès, leur modification, leur restitution jusqu’à leur effacement sur la demande des individus concernés, devront être garantis.

De même, le texte prévoit que les entreprises devront veiller à ce que seules les données nécessaires à la finalité en cause soient collectées.

Également, les entreprises devront s’assurer du consentement éclairé et informé des individus quant à la collecte et au traitement de leurs données, consentement qu’elles devront pouvoir recueillir et prouver.

Ainsi, les organismes à l’origine d’un traitement de données tel que défini à l’article 4 du règlement, se devront de respecter et d’établir, le cas échéant, les durées de conservation des données. Une liste de mesures à prendre en compte lors de l’établissement d’un traitement de données est disponible à l’article 5.

Par ailleurs, les organismes devront répondre aux demandes d’exercice des droits des personnes concernées. Énoncés au chapitre III, ils devront lorsque la demande en sera faite, garantir l’accès, la modification, la restitution voire l’effacement des données de la personne concernée.

De plus, ils devront à chaque traitement s’assurer d’avoir recueilli le consentement de la personne concernée comme prévu aux articles 7 et 8 du Règlement.

Pour qu’un traitement de données soit considéré comme licite lorsque le consentement n’est pas demandé, l’organisme doit s’assurer d’être dans son bon droit en établissant l’existence d’une base légale conformément à l’article 6.

Pour commencer, le traitement peut intervenir dans le cadre d’une relation contractuelle ou d’une obligation légale.  Il peut également être considéré comme licite lorsqu’il vise l’intérêt général ou la sauvegarde des intérêts vitaux d’une personne. Enfin, il peut s’agir du recours au motif légitime, condition abstraite et très peu utilisée en pratique.

Dans le cas contraire, le traitement (la conservation, l’utilisation, la revente, l’analyse, etc.), n’est pas licite et peut par conséquent faire l’objet de sanction.

Enfin, le texte prévoit également des mesures concernant le respect du droit à la portabilité des données, la mise en place d’un cadre strict pour un tel transfert en dehors de l’Union ainsi que l’obligation pour les entreprises d’informer le propriétaire des données ainsi que la CNIL d’une violation grave des données ou d’un piratage , dans les 72 heures.

B) Des risques accrus pour les entreprises en cas de non-conformité

Depuis l’entrée en vigueur du RGPD de nombreuses formalités auprès de la CNIL ont disparu. En contrepartie, la responsabilité des organismes a été renforcée. Ils doivent en effet assurer une protection optimale des données à chaque instant.

La tâche revient également aux entreprises, en marge des obligations précitées, de veiller à ce que les données soient à tout moment et en tous lieux sécurisés contre les risques de perte, de vol, de divulgation ou contre toute autre compromission.

C’est notamment le cas lors du choix des prestataires informatiques. Les organismes ont un devoir de vigilance et d’information envers les personnes concernées (autrement dit, les personnes dont les données font l’objet d’un traitement).

« Privacy by Design » signifie littéralement que la protection des données personnelles doit être prise en compte dès la conception du produit ou du service.

Pour toute violation de ces dispositions, le texte prévoit notamment des amendes administratives, pouvant s’élever jusqu’à 20 millions d’euros « ?ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent? ».

C’est également l’entreprise qui devra indemniser toute personne lésée matériellement ou moralement par un traitement non conforme de ses données, cette fois-ci sans plafonnement.

Si tel n’est pas le cas, une mise en conformité rapide de votre organisme s’impose donc.
Le RGPD a en effet pour but d’unifier le cadre légal européen en la matière, et tend même à obliger les plus réticents à « jouer le jeu » : on sait que les grandes entreprises comme Google ou Facebook ont déjà été, à plusieurs reprises, rappelées à l’ordre par les CNIL européennes. Les dernières décisions rendues en la matière témoignent de la volonté de faire respecter ce règlement.

La CNIL est venue sanctionner de nombreuses entreprises depuis l’instauration du RGPD, en raison de leur manque de mise en conformité avec le règlement. La sanction la plus importante fut celle de Google, dans une décision du 21 janvier 2019 où la CNIL a prononcé une amende d’un montant total de 50 millions d’euros.

Cette décision fut confirmée par le Conseil d’État dans une décision du 19 juin 2020, qui considère que l’amende de 50 millions d’euros n’était pas disproportionnée.

Après avoir effectué le bilan de son action répressive, la CNIL affirme que l’année 2021 a été un record tant par le nombre de mesures adoptées que par le montant cumulé des amendes, qui atteignait 214 millions d’euros.

L’année 2022 a aussi été marquée par une importante réforme des mesures correctrices de la CNIL, ce qui lui permet d’envisager un traitement plus rapide des plaintes (toujours plus nombreuses) et donc des sanctions.

Cette réforme témoigne de la volonté de donner plus de moyens à la CNIL et de durcir la répression cinq ans après l’entrée en application du RGPD.

Cette décision fut suivie de nombreuses autres amendes pour manquement au RGPD, mais jamais avec un montant aussi élevé. Ainsi dans une décision du 28 mai 2019, l’absence de contrôle des accès aux données conservées par un site internet fut sanctionnée à hauteur de 400 000 euros d’amende.

Dans une décision du 13 juin 2019, l’amende n’a pas dépassé 20 000 euros. Encore récemment, un manquement aux articles 32 et 33 du RGPD fut sanctionné par la CNIL à une amende de 3 000 euros. L’article 32 du RGPD prévoyant l’obligation d’assurer un niveau de sécurité adapté aux risques, en ayant recours à des mesures techniques et organisationnelles appropriées.

Une mise en conformité rapide des entreprises s’impose donc. Le RGPD a en effet pour but d’unifier le cadre légal européen en la matière, et tend même à obliger les plus réticents à « jouer le jeu », dans la lignée de la décision de la CNIL espagnole du 11 septembre dernier, qui a infligé à l’entreprise Facebook une amende administrative d’un montant de 1,2 million d’euros la collecte et le traitement (notamment à des fins publicitaires) de données sensibles sans le consentement des utilisateurs.

Mais il s’avère que les entreprises n’ont pas forcément conscience de la façon dont elles traitent leurs données, ni même plus généralement de l’intégralité des donnés qu’elles traitent et qui peuvent se trouver sur leurs bases de données .

Le RGPD ne doit pas être perçu comme une « obligation » qui s’impose aux entreprises, mais bel et bien comme un élément pour se démarquer du reste des prestataires. Repousser sa mise en conformité revient à repousser un gage de qualité.

Cette transition se doit donc d’être organisée, structurée efficacement, et plusieurs étapes méthodiques apparaissent efficaces dans le suivi de cet objectif.

II. Les étapes de la mise en conformité des entreprises aux nouvelles dispositions

Depuis l’entrée en vigueur de cette réglementation, il convient pour les entreprises et, plus largement, tout responsable de traitement ou sous-traitant de données à caractère personnel, d’initier si tel n’est pas le cas, un processus de mise en conformité. À cet égard, le délégué à la protection des données (A) jouera le rôle de celui en charge d’accompagner l’entreprise dans les différentes étapes (B) de cette transition.

A) Le délégué à la protection des données, « chef d’orchestre » de cette mise en conformité par rapport à l’accountability et le « Privacy by Design »

Même si elle n’est pas obligatoire pour tous les organismes, la désignation d’un pilote paraît essentielle au regard des tâches à accomplir par les entreprises dans le cadre de leur mise en conformité avec le RGPD.

On distingue plusieurs cas dans lesquels la désignation d’un délégué à la protection des données est obligatoire (article 37 du RGPD).

Ainsi la désignation est obligatoire pour les organismes publics et pour toute entreprise responsable du traitement de données sensibles ou de traitement à grande échelle doit désigner un délégué à la protection des données. Il peut s’agir par exemple des ministères, des collectivités territoriales ou encore des établissements publics. En avril 2022, ce sont vingt-deux communes qui ont été mises en demeure par la CNIL afin qu’elles désignent un délégué à la protection des données.

En outre, la désignation s’impose aussi pour les organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle. Cela peut correspondre aux compagnies d’assurance ou aux banques pour leurs fichiers clients ou les fournisseurs d’accès internet.

Enfin, les organismes dont les activités de base les amènent à traiter à grande échelle des données dites « sensibles » (données biométriques, génétiques, relatives à la santé, la vie sexuelle, l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale) ou relatives à des condamnations pénales et infractions devront également procéder à la désignation d’un délégué à la protection des données.

Publié le 13 décembre 2016 par le G29, les lignes directrices concernant le régime du délégué permettent de caractériser cette idée de « grande échelle » sur des critères tels que le nombre de personnes concernées, le volume des données traitées, la durée de conservation et de traitement des données ou encore l’étendue géographique du traitement.

La désignation d’un pilote paraît essentielle au regard de la mise en conformité des entreprises avec le RGPD. Le délégué à la protection des données ( » DPO « ), au sein de l’entreprise, sera en charge de l’organisation des différentes missions à mener dans l’accomplissement d’un tel objectif.

La désignation de celui-ci est rendue obligatoire pour les organismes publics et pour toute entreprise responsable du traitement de données sensibles ou de traitement à grande échelle.

Néanmoins, la CNIL rappelle que si cette obligation n’incombe pas à certaines entreprises, il est « ?fortement recommandé? » d’effectuer une telle désignation, « le délégué (constituant) un atout majeur pour comprendre et respecter les obligations du règlement  » .

Il n’est en effet, pas toujours évident pour une personne étrangère à ce domaine de ne pas cerner les attentes ou les obligations qui découlent de la réglementation. Afin d’être désigné, le délégué doit nécessairement avoir des connaissances juridiques qui lui permettront de rendre intelligible la réglementation auprès de ses collaborateurs.

L’incendie du Datacenter d’OVH illustre parfaitement cette méconnaissance du droit des contrats informatiques. Outre la catastrophe s’abattant sur OVH, un grand nombre de clients avaient souscrit un contrat d’hébergement simple, laissant ces derniers sans possibilité de récupérer leurs données et causant parfois, d’importants préjudices (article avec Me Eric Barbry). La perte de données peut s’avérer fatale pour les plus petites structures, d’où l’importance d’établir un plan de reprise des activités. C’est pourquoi le délégué à la protection des données est un indispensable.

Il ne joue pas qu’un simple rôle de mise en conformité, il joue également un rôle de management des données ce qui permet à la société de comprendre les enjeux de la protection des données. Ce dernier incarne un véritable rôle de conseil, on pourrait presque parler d’un devoir d’information.

Comme le souligne l’article 38 du Règlement, le délégué à la protection des données doit être « associé, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel (5) ».

Précisé à l’article 39, ce « chef d’orchestre » aura la charge de l’organisation des différentes missions à mener dans l’accomplissement d’un tel objectifLe DPO n’a pas nécessairement à être membre de l’entreprise, puisqu’elle peut être liée avec lui sur la base d’un contrat de service. Il est soumis au secret professionnel ou à une obligation de confidentialité.

Le DPO devra jouer le rôle d’un coordinateur, à savoir comprendre et cerner les nouvelles obligations prévues par le texte, et guider le responsable du traitement en fonction.

Ceci étant, le délégué n’endosse pas la responsabilité d’une éventuelle non-conformité du traitant ou sous-traitant des données aux dispositions du Règlement?; il est fortement conseillé pour lui néanmoins de garder les traces de son travail par une documentation précise (notamment dans les cas où l’entreprise n’aurait pas suivi ses recommandations).

B) Les détails du processus de transition pour les entreprises

Une fois le DPO désigné, l’entreprise devra alors engager un processus de transition en trois étapes.

La première consiste à lister de manière précise et concise l’intégralité des données traitées, ainsi que les acteurs de ce traitement.

Pour ce faire, la tenue d’un registre des traitements peut être une solution : l’entreprise y consignera toutes les informations relatives aux traitements et aux traitants, à savoir la nature des données, leur provenance ou encore la manière dont elles sont traitées.

Cependant les registres de traitement sont allégés pour les entreprises de moins de 250 salariés.

Pour rappel, l’obligation de tenir un registre des traitements concerne tous les organismes, publics comme privés, et quelle que soit leur taille, dès lors qu’ils traitent des données personnelles.

Par la suite, il conviendra de prendre les mesures nécessaires pour garantir un traitement respectueux des nouvelles dispositions. Dans un premier temps, il conviendra de s’assurer que ces traitements s’appuient sur des bases légales toujours en vigueur et qu’ils respectent les droits des utilisateurs.

Dans un second temps, il s’agira de procéder à une vérification des mesures de sécurité déployées puis de s’assurer qu’ils respectent les principes liés à la transparence prévus par le texte.

À ce titre, une analyse d’impact sur la protection des données peut s’avérer pertinente : en effet ce type d’étude permet d’évaluer précisément les conséquences du traitement en vigueur dans l’entreprise sur la protection des données et le respect des droits des usagers.

Enfin, la dernière étape consistera pour l’entreprise en une consignation par écrit d’une documentation prouvant la conformité de l’entreprise à la nouvelle réglementation. Il s’agit du processus d’accountability qui se réalise au fur et à mesure de l’exécution des précédentes consignes. Ce processus permet de dresser l’état d’avancement de la mise en conformité en interne, de s’organiser plus facilement et d’assurer un respect en continu de la protection des données traitées.

L’accountability est une démarche permanente qui permet de prouver que le respect des règles fixées par le RGPD.

Pour lire une version plus complète sur la RGDP, cliquez

Sources :

(1) https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-ce-qui-change-pour-les-professionnels
(2) http://www.ladn.eu/nouveaux-usages/etude-marketing/rgpd-entreprises-retard-lapplication-reglementation/
(3) Idem
(4)http://curia.europa.eu/juris/document/document.jsf;jsessionid=9ea7d0f130d531e9daf43fa64f7b82f3a43da182cc55.e34KaxiLc3eQc40LaxqMbN4PaNiMe0?text=&docid=152065&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=500062
(5) https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article37
(6) https://www.cnil.fr/fr/designer-un-pilote
(7) https://www.cnil.fr/fr/principes-cles/reglement-europeen-se-preparer-en-6-etapes
Décision CNIL 21 janvier 2019
https://www.cnil.fr/sites/default/files/atoms/files/san-2019-001_21-01-2019.pdf
Décision Conseil d’Etat, 19 juin 2020, n° 430810
https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2020-06-19/430810
Décision CNIL, 28 mai 2019, SAN-2019-005
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000038552658/
Décision CNIL, 13 juin 2019, SAN-2019-006
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000038629823/
Décision CNIL, 7 décembre 2020, SAN-2020-014
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000042675720

Par • Commerce electronique, internet-et-droit • • Tags: , , , , , ,

Comment se défendre face au « revenge porn »?

Le revenge-porn est une pratique qui vient des Etats-Unis. Elle consiste à publier sur internet des images ou des vidéos pornographiques de son ex copain, ex-copine après une rupture amoureuse. Quels sont les recours si l’on est victime de cette pratique de la part de son ex ? Ce phénomène étant assez récent, que permet la loi en France ?

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Phénomène ayant pris une ampleur considérable ces dernières années avec l’omniprésence d’internet dans nos vies sociales , et la présence quasi systématique d’appareils photos intégrées dans les smartphones , le « revenge porn » ou la « pornodivulgation » , commence à être pris en considération par les législations à l’international, notamment aux États-Unis où de nombreux États ont légiféré à ce propos.

Originaire des États-Unis, la pratique a été interdite par la loi dans certains États dès 2004. Elle a pourtant été remise au bout du jour par le site « Is anyone up » créé en 2010 et fermé en 2012.

Besoin de l’aide d’un avocat pour un problème de revenge porn?

Téléphonez nous au : 01 43 37 75 63

ou contactez nous en cliquant sur le lien

Afin de se prémunir de cette pratique, certains couples (américains) introduisent même des clauses sur l’utilisation des réseaux sociaux dans leur contrat de mariage.

En France, la pornodivulgation a été introduite dans le Code pénal à la suite de la promulgation de la loi pour une République numérique du 7 octobre 2016. Cette pratique constitue à présent un délit sévèrement sanctionné. Désormais condamné par l’article 226-2-1 du Code pénal, le Revenge porn n’a pas toujours fait l’objet de sanction par les juridictions pénales.

Dans un arrêt rendu le 16 mars 2016, la chambre criminelle de la Cour de cassation refusait, en vertu de l’article 111-4 du Code pénal, de procéder à une interprétation extensive de la loi pénale. Dans cette affaire, une jeune femme avait été photographiée par son ancien compagnon, à l’époque de leur vie commune, la représentant nue alors qu’elle était enceinte. Une fois séparer ce dernier avait diffusé la photographie sur internet.

La Cour d’appel avait relevé que le fait d’avoir accepté d’être photographiée ne signifie pas, compte tenu du caractère intime de la photographie, qu’elle avait donné son accord pour que celle-ci soit diffusée. Ce raisonnement emprunté à la logique civiliste de la protection de l’image n’a pas suffi à convaincre les juges de la haute juridiction.

La Cour de cassation a donc cassé l’arrêt au motif que « n’est pas pénalement réprimé le fait de diffuser, sans son accord, l’image d’une personne réalisée dans un lieu privé avec son consentement. »

Le fait de porter à la connaissance du public ou d’un tiers l’image d’une personne se trouvant dans un lieu privé n’était punissable que si la captation avait été réalisée sans le consentement de la personne concernée.

Or, la photo intime est souvent prise, ou obtenue avec le consentement de la personne concernée, mais diffusée sans son accord, et ceci pour lui nuire.

Cette interprétation stricte de la loi pénale a remué le monde politique, ce qui a conduit quelques mois après à l’adoption de la loi pour une République numérique. C’est l’article 67 de cette même loi qui a permis d’instaurer l’article 226-2-1 du Code pénal qui dispose :

Jusque-là ignoré de la loi pénale en France, le « revenge porn » est désormais un délit sévèrement sanctionné par le Code pénal. L’article 67 de la loi du 7 octobre 2016 a introduit un nouvel article 226-2-1 dans le Code pénal, la loi pour une République numérique, publiée le 7 octobre 2016 au Journal officiel qui dispose désormais :

« Lorsque les délits prévus aux articles 226-1 et 226-2 portent sur des paroles ou des images présentant un caractère sexuel prises dans un lieu public ou privé, les peines sont portées à deux ans d’emprisonnement et à 60 000 € d’amende. Est puni des mêmes peines le fait, en l’absence d’accord de la personne pour la diffusion, de porter à la connaissance du public ou d’un tiers tout enregistrement ou tout document portant sur des paroles ou des images présentant un caractère sexuel, obtenu, avec le consentement exprès ou présumé de la personne ou par elle-même, à l’aide de l’un des actes prévus à l’article 226-1 ».

Il est donc désormais possible d’intenter une procédure en cas d’images prises dans des lieux publics ou privés, avec ou sans le consentement des victimes, et diffusées sans son accord sur internet ou à des tiers. L’infraction peut cependant être caractérisée, quel que soit le moyen technique de diffusion employé (partage sur un réseau social, envoi par e-mail ou SMS).

C’est l’interprétation restrictive de la Cour de cassation de la notion de consentement.

Besoin de l’aide d’un avocat pour un problème de revenge porn?

Téléphonez nous au : 01 43 37 75 63

ou contactez nous en cliquant sur le lien

La loi du 7 octobre 2016 sera complétée par la loi du 3 août 2018 portant sur le cyberharcèlement moral et le cyberharcèlement sexuel, qui prévoit deux infractions afin de sanctionner les personnes, qui se sont concertées ou non, qui cherchent à stigmatiser une ou plusieurs personnes identifiées et à leur nuire par des comportements répétés sur les réseaux sociaux. Ces comportements comprennent des actes portants atteinte l’identité, à l’intimité, à la dignité, à la réputation et à la tranquillité.

La Cour de cassation, avait ainsi estimé dans un avis rendu le 16 mars 2016 que l’atteinte à la vie privée n’était pas caractérisée si la photo avait été obtenue avec le consentement de la victime.

Or, la photo intime est souvent prise, ou obtenue avec le consentement de la personne concernée mais diffusée sans son accord, et ceci pour lui nuire. Il est donc désormais possible d’intenter une procédure en cas d’images prises dans des lieux publics ou privés, sans le consentement des victimes, et diffusées sur internet ou à des tiers.

Les victimes peuvent dans ce cas, déposer plainte dans un commissariat de police, ou déposer plainte devant le Procureur et ensuite devant un juge d’instruction si le diffuseur des images ou vidéos est inconnu, ou directement devant le tribunal correctionnel s’il est connu.

Finalement, la jurisprudence de l’arrêt du 16 mars 2016 s’est terminée avec la loi du 7 octobre 2016, qui a instauré l’article 226-2-1 du Code pénal, qui vient sanctionner le revenge porn à une peine de deux ans d’emprisonnement et à 60 000 € d’amende.

Cet article précise que « est puni des mêmes peines le fait, en l’absence d’accord de la personne pour la diffusion, de porter à la connaissance du public ou d’un tiers tout enregistrement ou tout document portant sur des paroles ou des images présentant un caractère sexuel, obtenu, avec le consentement exprès ou présumé de la personne ou par elle-même ». Ainsi, même si la captation avait été autorisée, la diffusion peut être sanctionnée pénalement, contrairement à ce qu’avait prévu l’arrêt du 16 mars 2016.

Quels actes sont assimilés à du « Revenge Porn » ?

La pornodivulgation peut prendre diverses formes.

Le Revenge porn intervient souvent à la suite d’une rupture mal vécue. L’auteur agit alors en « représailles » et cherche à culpabiliser et à humilier sa victime.

Dans certains cas, cette pratique est utilisée pour soutirer de l’argent. Ce phénomène est très répandu chez les célébrités notamment à travers la pratique de chantage à la sextape.

L’auteur de Revenge porn peut aussi « simplement » s’amuser à montrer les images à ses amis. Souvent, les images ou vidéos ont été obtenues dans une relation de confiance, avec l’accord de la victime.

Cette vengeance ou pornodivulgation, englobe à la fois les images et vidéos échangées, mais également les propos à caractère sexuel qu’on appelle aussi sexting. Même si l’on retient le plus souvent les images et vidéos, les échanges tenus dans un cadre privé tombent sous le coup de ce délit aggravé s’ils sont diffusés sans le consentement de l’intéressé.

Quel est le profil psychologique des personnes qui s’adonnent à ce genre de pratiques ? Dans quel cas font-elles ça ?

Les personnes qui diffusent, sans leur consentement, des photos intimes de leur victime, le font très souvent dans un but de vengeance immédiate, sans mesurer les conséquences graves que cela peut avoir sur la victime.

Il peut s’agir de personnes tout à fait normales, mais qui ont eu un moment d’égarement quand elles se sont senties rejetées par la victime, très souvent dans le cadre d’une rupture non désirée.

Que faire lorsque l’on est victime de Revenge porn ?

Dans un premier temps, il est conseillé d’effectuer des captures d’écran afin de matérialiser un dossier de preuve. Une plainte peut également être déposée auprès d’un commissariat de police ou d’une brigade de gendarmerie.

Lorsque l’identité de l’auteur est connue, il est également possible de signaler son profil auprès de la plateforme PHAROS. Mise en place le 16 juin 2009 par le Gouvernement français, elle permet de signaler des contenus et comportements en ligne illicites.

Des lignes téléphoniques ont également été mise en place. Il est possible de citer le 30 18. Ce numéro d’écoute est destiné aux jeunes victimes et/ou aux témoins de cyberharcèlement et de toutes formes de violences sur internet. Il peut s’agir de Revenge porn, de chantage à la webcam, d’usurpation d’identité, etc.

Sur quels autres fondements les victimes peuvent-elles faire condamner ces pratiques ?

Les victimes peuvent faire sanctionner la diffusion non consentie de leur image, tant sur le plan civil au regard du droit au respect de la vie privée, que sur le plan pénal, lorsque la diffusion porte atteinte à l’intimité de la vie privée.

Ainsi, l’article 9 du code civil, fondement français du droit au respect de la vie privée, permet aux victimes d’obtenir le prononcé d’une réparation financière et le retrait, sous astreinte, du contenu qui leur porte préjudice. Les juges considèrent qu’un individu a sur son image et sur l’utilisation qui en est faite un droit exclusif. Par conséquent, peu importe que des photographies soient prises avec le consentement des intéressés. Le consentement à la fixation n’emporte pas consentement à la diffusion.

Ces affaires peuvent-elles accélérer les demandes des victimes en faveur du droit à l’oubli sur internet ?

Aussi souvent appelé « droit à l’oubli », le droit au déréférencement était déjà prévu par la Directive 95/46/CE, et est aujourd’hui intégré au Règlement général à la protection des données. Ce droit a été renforcé par les dispositions de l’article 17 du RGPD, et a notamment été étendu aux mineurs (article 40 de loi informatique et libertés modifié par l’article 63 de la loi pour une République numérique de 2016).

Il est ainsi prévu par le règlement que « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais ».

Le droit au déréférencement permet de lutter contre la publication de données à caractère personnel qui porte atteinte aux droits fondamentaux de la personne ou à sa vie privée. Il permet de faire supprimer un ou plusieurs résultats fournis par un moteur de recherche à l’issue d’une requête effectuée à partir de l’identité (nom et prénom) d’une personne.

Cela correspond à l’idée selon laquelle un individu peut avoir commis une faute à un moment de sa vie, sans pour autant être marqué par celle-ci pour l’éternité.

Il n’est pas nécessaire de passer par la case tribunal afin de demander le retrait d’un résultat sur un moteur de recherche. Depuis la décision de la CJUE en date du 13 mai 2014, les moteurs de recherche se sont dotés de formulaire de demande de désindexation afin de prendre directement en charge ses demandes.

Chaque demande de déréférencement est appréciée au cas par les moteurs de recherche. Pour ce faire, les moteurs de recherches procèdent à une mise en balance entre les atteintes aux droits fondamentaux, au respect de la vie privée et à la protection des données que sont susceptibles de provoquer les traitements de données, par rapport au droit à l’information et au droit de la presse.

Ainsi, un cas de Revenge porn peut tout à fait être pris en compte dans le cadre d’une demande de droit à l’oubli ou de droit à l’image protégé par le droit à la vie privée (article 9 du Code civil, ordonnance de référé du 12/05/2017 TGI Paris), pour demander le déréférencement d’URL.

De plus, dans une décision du 20 novembre 2018, le Revenge porn fut sanctionnée sur le fondement de l’article 9 du Code civil, portant sur le droit à la vie privée. En effet, il a été considéré que la diffusion des photographies à caractère sexuel, portait atteinte à l’honneur et à la considération de la personne.

Il vous est donc possible de demander aux moteurs de recherche de déréférencer un résultat qui porterait atteinte à votre vie privée et qui ne présenterait aucun intérêt pour l’information du public, critères que le Revenge porn remplit.

Sources :

http://www.lexpress.fr/actualite/societe/revenge-porn-la-vengeance-des-ex_1628679.html#
http://www.france24.com/fr/20141203-porn-revenge-porno-vengeur-photos-nue-sexe-publication-facebook-condamnation-prison-justice/
http://www.village-justice.com/articles/Publication-non-consentie-photos,17744.html
http://www.enquete-debat.fr/archives/observatoire-de-la-delation-site-porno-jemevenge-com
LOI n° 2016-1321 du 7 octobre 2016 pour une République numérique
https://www.legifrance.gouv.fr/loda/id/JORFTEXT000033202746/
LOI n° 2018-703 du 3 août 2018 renforçant la lutte contre les violences sexuelles et sexistes
https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000037284450
TGI de Bobigny, ch.5/sec.3, jugement contentieux du 20 novembre 2018
https://www.legalis.net/jurisprudences/tgi-de-bobigny-ch-5sec-3-jugement-contentieux-du-20-novembre-2018/
Cour de cassation, criminelle, Chambre criminelle, 16 mars 2016, 15-82.676 : https://www.legifrance.gouv.fr/juri/id/JURITEXT000032263441/
https://www.education.gouv.fr/non-au-harcelement/faire-face-au-sexting-non-consenti-et-au-revenge-porn-325394
https://www.gouvernement.fr/actualite/harcelement-agressions-violences-trois-numeros-pour-aider-les-enfants-en-danger
https://en.wikipedia.org/wiki/Is_Anyone_Up%3F

Par • Contenu-d-un-site, internet-et-droit • • Tags: , ,

CYBERCRIMINALITE

L’émergence des nouvelles technologies et de l’internet, on fait apparaître une nouvelle catégorie de criminalité : la cybercriminalité, une législation adaptée à ces nouveaux modes opératoires a dû être mises en place pour lutter contre le développement grandissant de la cybercriminalité.

Les nouvelles technologies ont apporté avec elle un grand progrès, mais également le risque d’intrusion dans la vie privée, depuis plusieurs années le législateur a donc dû adapter la réglementation par phase successive.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire ! 

Notre quotidien s’est vu faciliter par le développement d’internet et des nouvelles technologies. Cependant, cela peut également être source de dangers, certaines infractions vont même se développer et être facilitées par ces avancées technologiques. Les risques sont donc nombreux.

La cybercriminalité prend plusieurs formes. Certaines infractions seront directement liées aux technologies de l’information et de la communication dans lesquelles l’informatique est l’objet même du délit. Et pour certaines infractions, leur commission sera liée, facilitées ou amplifiées par l’utilisation de ces technologies et ici l’informatique sera un moyen du délit.

Les infractions relevant de la cybercriminalité que nous allons développer ici sont celles dont la commission est liée, facilitée ou amplifiée par l’utilisation des technologies de l’information et de la communication.

Besoin de l’aide d’un avocat pour un problème de cybercriminalité ?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien

I. Les atteintes aux personnes facilitées ou commises par internet

A. La Lutte contre les infractions à caractère sexuel et le harcèlement en ligne

L’infraction va se servir d’un internet pour soit faciliter celle-ci, soit être le lieu de sa commission, soit être le moyen de sa commission.

Quand il s’agit de la facilitation de la commission de certaines infractions par Internet, le Code pénal prévoit une aggravation des peines. Ainsi, en matière de viol (Code pénal, article 222-24, 8 °), d’agressions sexuelles (1) (Code pénal, article 222-28, 6 °), de traite des êtres humains (Code pénal, article 225-4-2, 3 °) ou de prostitution des mineurs (Code pénal, article 225-12-2, 2 °), les peines sont aggravées, « lorsque la victime a été mise en contact avec l’auteur des faits grâce à l’utilisation, pour la diffusion de message à destination d’un public non déterminé, d’un réseau de communication électronique ».

Par ailleurs, il en va de même lorsque l’infraction a été commise « grâce à l’utilisation, pour la diffusion de messages à destination d’un public non déterminé, d’un réseau de communication électronique ». C’est notamment le cas en matière de proxénétisme (Code pénal, article 225-7, 10 °). C’est également le cas en matière du cyberharcèlement autrement appelé le cyberbullying.

La loi n° 2018-703 du 3 août 2018 renforçant la lutte contre les violences sexuelles et sexistes a modifié les articles 222-33 et 222-33-2-2 du Code pénal relatif au harcèlement sexuel et moral.

Les articles précités prévoient désormais une aggravation des peines en cas d’« utilisation d’un service de communication au public en ligne » ainsi qu’une nouvelle infraction permettant de réprimer les « raids en ligne », infraction constituée lorsque des propos ou des comportements sont imposés à une même victime par plusieurs personnes, de manière concertée ou à l’instigation de l’une d’elles, alors même que chacune de ces personnes n’a pas agi de façon répétée ou lorsqu’ils sont imposés à une même victime, successivement, par plusieurs personnes qui, même en l’absence de concertation, savent que ces propos ou comportements caractérisent une répétition.

Enfin, internet peut être le moyen de commission de l’infraction lorsqu’il est prévu que cette dernière puisse se matérialiser par écrit ou se réaliser « par quelque moyen que ce soit » ou les contenus doivent avoir fait l’objet d’une diffusion.

Par conséquent, ce sera le cas des menaces de mort faites par courrier électronique (Code pénal, article 222-17). Il en est de même du happy slapping lorsque les scènes de violences commises sur une personne seront diffusées sur les réseaux sociaux (Code pénal, article 222-33-3, al. 2). Également, la loi réprime depuis le 7 octobre 2016 la « vengeance pornographique » communément appelée « revenge porn ». L’article 226-2-1 du Code pénal condamne enfin cette pratique qui consiste à la diffusion d’un document portant sur des paroles ou des images présentant un caractère sexuel sans le consentement de la personne. Cette diffusion sera punie dès lors que cette divulgation n’a pas été consentie par la personne, peu importe si celle-ci avait donné son consentement pour enregistrer ces images.

B. La protection des mineurs et la lutte contre la pédopornographie sur internet

Pour une protection toujours plus importante des mineurs, le législateur a soit aggravé les peines, soit créé des infractions spécifiques lorsqu’internet constitue le support de l’infraction.

L’article 227-22 du Code pénal dispose qu’en matière de corruption des mineurs, les peines encourues sont aggravées lorsque le mineur a été mis en contact avec l’auteur des faits grâce à l’utilisation d’un réseau de communications électronique pour la diffusion de messages à destination d’un public non déterminé.
L’article 227-22-1 du Code pénal prévoit une infraction autonome lorsque des propositions sexuelles ont été faites par un majeur à un mineur de 15 ans ou à une personne présentant comme telles en utilisant un moyen de communication électronique et une aggravation des peines si ces propositions ont été suivies d’une rencontre.

L’article 227-24 du Code pénal réprime l’exposition des mineurs à des messages à caractère violent ou pornographique, ou de nature à porter gravement atteinte à la dignité humaine ou à les inciter à se livrer à des jeux les mettant physiquement en danger.
Enfin, la lutte contre la pédopornographie (2) est un volet important de la protection des mineurs sur internet. L’article 227-23 du Code pénal sanctionne le fait, en vue de sa diffusion, de fixer, d’enregistrer ou de transmettre l’image ou la représentation pornographique d’un mineur, d’offrir, de rendre disponible ou de diffuser de tels contenus.

Les peines sont aggravées lorsqu’il a été utilisé un réseau de communication électronique pour la diffusion de ces contenus à destination d’un public non déterminé, ce même article sanctionne en outre le fait de consulter habituellement ou en contrepartie d’un paiement un service de communication au public en ligne mettant à disposition des contenus pédopornographiques, de l’acquérir ou de les détenir.

C. Les infractions de presse commises sur internet

La loi du 29 juillet 1881 sur la liberté de la presse constitue le cadre répressif des abus de la liberté d’expression commis sur internet. Le chapitre IV prévoit les crimes et délits commis par la voie de la presse ou par tout autre moyen de publication. Sont ainsi notamment réprimées la diffamation et l’injure (Cour de cassation, chambre criminelle du 14 février 2012, n° 11-81.264), la provocation à la haine, à la violence et la discrimination, l’apologie et la provocation à commettre des délits et des crimes, l’apologie et la contestation des crimes contre l’humanité.

La détermination des personnes responsables résulte des articles 93-2 et 93-3 de la loi n° 82-652 du 29 juillet 1982 modifiée sur la communication audiovisuelle qui instaure un mécanisme de responsabilité en cascade spécifique à la communication au public par voie électronique.

II. La lutte contre l’apologie du terrorisme et les contenus à caractère illicite

A. Lutte contre l’utilisation d’internet pour l’apologie du terrorisme

Pour lutter contre la propagande djihadiste en ligne, la loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme a transféré de la loi du 29 juillet 1881 sur la liberté de la presse au Code pénal l’incrimination d’apologie du terrorisme. L’article 421-2-5 du Code pénal sanctionne de cinq ans d’emprisonnement et de 75 000 euros d’amende le fait de faire publiquement l’apologie d’actes de terrorisme.
Sont ici visés tous les actes de terrorisme définis par les articles 421-1 à 422-7 du Code pénal. Ces peines sont portées à sept ans d’emprisonnement et à 100 000 euros d’amende lorsque les faits ont été commis en utilisant un service de communication au public en ligne.

Il a également été ajouté un article 6-1 à la loi n° 2004 pour la confiance dans l’économie numérique (LCEN) qui prévoit la faculté pour l’offre central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC) de la sous-direction de la lutte contre la cybercriminalité, autorité administrative désignée par le décret n° 2015-125 du 05 février 2015, de demander à l’hébergeur ou à l’éditeur de service de communication au public en ligne de retirer les contenus apologétiques ou provocants relatifs à des actes de terrorisme et aux moteurs de recherche et annuaires de référencer ces contenus. Si l’éditeur ou l’hébergeur ne procèdent pas au retrait, l’OCLCTIC a la possibilité de demander aux fournisseurs d’accès à internet de bloquer l’accès à ces sites (3).

La loi n° 2016-731 du 31 juin 2016 renforçant la lutte contre crime organisé, le terrorisme et leur financement, et améliorant l’efficacité et les garanties de la procédure pénale a introduit dans le même objectif l’article 421-2-5-1 du Code pénal qui sanctionne le fait d’extraire, de reproduire et de transmettre intentionnellement des données faisant l’apologie publique d’actes de terrorisme ou provoquant directement à ces actes afin d’entraver, en connaissance de cause, l’efficacité des procédures de blocage et de déréférencement administratif (LCEN, article 6-1) ou judiciaire (Code de procédure pénal, article 706-23).

B. La lutte contre la manipulation de l’information

La loi n° 2018-1202 du 22 décembre 2018 relative à la lutte contre la manipulation de l’information a créé aux articles 163-1 et suivants du Code électoral un nouveau régime de responsabilité pour les opérateurs de plateforme en ligne dont l’activité dépasse un seuil déterminé de nombre de connexions sur le territoire français (Code de la consommation, article L. 111-7) et a confié au conseil supérieur de l’audiovisuel la mission de surveiller le respect par ces derniers des nouvelles obligations qui leur incombent.

Les opérateurs des plateformes en ligne ont désormais un devoir de coopération dans la lutte contre la diffusion de fausses informations susceptibles de troubler l’ordre public ou d’altérer la sincérité des scrutins mentionnés au premier alinéa de l’article 33-1-1 de la loi n° 86-1067 du 30 septembre 1986. Ils doivent dans ce cadre lutter contre les comptes propageant massivement de fausses informations autrement appelées « fake news ».
Dans le projet de règlement « Digital Service Act » est également prévue la lutte contre la désinformation. Ayant pour objectif d’augmenter la responsabilité des acteurs tels que les plateformes et les fournisseurs d’internet pour renforcer les barrières contre les contenus préjudiciables.

Le règlement « Digital Service Act » publié le 27 octobre 2022 par la Commission européenne, prévoit d’étendre la lutte contre la désinformation. Cette législation doit succéder à la directive dite e-commerce du 8 juin 2000, désormais dépassée par les évènements et les usages. Le DSA sera applicable en février 2024, sauf pour les très grandes plateformes en ligne et les très grands moteurs de recherche qui seront concernés dès 2023.

Ce règlement a vocation s’appliquer à tous les intermédiaires en ligne qui offrent leurs services (biens, contenus ou services) sur le marché européen, peu importe que le lieu d’établissement de ces intermédiaires se situe en Europe ou ailleurs dans le monde. Il vise principalement à étendre la responsabilité des acteurs tels que les plateformes pour renforcer les barrières contre les contenus préjudiciables. A ce titre, elles devront mettre à disposition des utilisateurs un outil leur permettant de signaler facilement les contenus illicites et garantir un retrait rapide de ces mêmes contenus.

C. Le délit d’entrave à l’interruption volontaire de grossesse

Le délit d’entrave à l’interruption volontaire de grossesse (IVG) a été consacré par la loi du 27 janvier 1993. Ce délit se caractérise par la perturbation de l’accès aux établissements pratiquant des IVG ou par l’exercice de pressions, de menaces, etc. à l’encontre des personnels médicaux ou des femmes enceintes venues subir une IVG.

La loi du 4 août 2004 a étendu le délit d’entrave à la perturbation de l’accès aux femmes à l’information sur l’IVG. La loi du 20 mars 2017 a depuis étendu le délit d’entrave à l’interruption volontaire de grossesse à la suite de l’apparition de sites internet qui contribuent à la désinformation à ce sujet. Ce délit correspond à « la diffusion ou la transmission d’allégations ou d’indications de nature à induire intentionnellement en erreur, dans un but dissuasif, sur les caractéristiques ou les conséquences médicales d’une IVG ».

C’est l’article L. 2223-2 du code de la santé publique qui incrimine l’entrave à l’interruption légale de grossesse en punissant de deux ans d’emprisonnement et de 30 000 € d’amende le fait d’empêcher ou de tenter d’empêcher de pratiquer ou de s’informer sur une interruption volontaire de grossesse ou les actes préalables prévus par les articles L. 2212-3 à L. 2212-8.

III. L’utilisation des technologies de l’information et des communications aux fins d’atteindre aux biens

Avec le développement des échanges et des transactions à distance, les techniques de fraude et d’escroquerie en ligne se sont développées. Les attaques contre les biens se sont vu renforcées avec l’avènement du numérique.
Les infractions contre les biens qui vont être citées, sont des infractions dite classique qui ne font pas l’objet d’incrimination spécifique en lien avec l’usage d’internet, elles sont réprimées au même titre que les autres atteintes aux biens.
L’escroquerie est particulièrement développée avec l’usage des nouvelles technologies. Cette infraction est prévue à l’article 313-1 du pénal. Elle caractérise par le fait d’obtenir une remise d’un élément déterminé au moyen d’une tromperie pouvant prendre la forme d’un faux nom, d’une fausse qualité, de l’abus d’une qualité vraie ou encore par la réalisation de manœuvre frauduleuse (mise en scène, aide d’un tiers, publicité mensongère…).

Pour être caractérisé, c’est bien la tromperie qui doit amener à la remise. Le phishing est un exemple très courant d’escroquerie par internet qui consiste généralement à l’envoi d’un mail frauduleux qui va persuader son destinataire de procéder à une remise de fond portant sur des faits trompeurs. La « fraude au président » est également particulièrement courante, elle repose sur le fait qu’une personne va se faire passer pour le supérieur hiérarchique d’une autre en ordonnant un virement. L’escroquerie est punie de 5 ans d’emprisonnement et de 375 000 euros d’amende.

L’extorsion est également une infraction particulièrement utilisée dans la cybercriminalité. Elle est prévue à l’article 312-9 du Code pénal. Il va s’agir ici, de provoquer une remise (d’un fond, de valeurs ou d’un bien quelconque) ou l’obtention d’une signature, de la révélation d’un secret ou encore de l’engagement ou la renonciation de la part d’une personne.

Pour ce faire, c’est la violence ainsi que la menace et la contrainte qui seront utilisées. Le Ransomware va être le fait d’utiliser un programme malveillant qui va empêcher l’utilisateur d’accéder à ses données, notamment par l’utilisation du chiffrement. La personne à l’origine de cette attaque va demander en échange de la remise des données ou de débloquer le système, une rançon. Il y a également le même procédé avec l’attaque DDoS qui consiste à menacer ou à mener une action qui va alors avoir pour effet d’empêcher ou de limiter la capacité d’un système de fournir son service. L’extorsion est punie de sept ans d’emprisonnement et de 100 000 euros d’amende.

Pour lire une version plus complète de cet article sur la cybercriminalité, cliquez

SOURCES :
• https://www.legifrance.gouv.fr/affichJuriJudi.do?oldAction=rechJuriJudi&idTexte=JURITEXT000007457265&fastReqId=1211905801&fastPos=1
• https://cdre.eu/documentation/documentation-en-ligne/82-documentation-en-ligne/justice/droit-penal-materiel/369-decision-2000-375-jai-du-conseil-du-29-mai-2000-relative-a-la-lutte-contre-la-pedopornographie-sur-l-internet
• https://www.legifrance.gouv.fr/affichJuriJudi.do?oldAction=rechJuriJudi&idTexte=JURITEXT000026181926&fastReqId=1755413238&fastPos=1
• https://eur-lex.europa.eu/legal-content/en/TXT/?uri=COM%3A2020%3A825%3AFIN
https://www.leclubdesjuristes.com/wp-content/uploads/2021/04/rapport_cyberattaques_DEFweb-1.pdf
https://www.vie-publique.fr/eclairage/285115-dsa-le-reglement-sur-les-services-numeriques-ou-digital-services-act

Par • internet-et-droit, Newsletter • • Tags: , , ,

«< 29 30 31 32 33 >»

# Nos catégories juridiques

# Poser une question en ligne

Si vous avez une question précise à poser au cabinet d’avocats, dont vous ne trouvez pas la réponse sur le site, posez votre question en ligne.
La question sera alors payante et le montant est de 150 euros TTC. Paiement sécurisé par Paypal ou Crédit Mutuel »

# Nos articles avocat Paris

© Murielle Cahen Cabinet d’avocats Paris 2025
Powered by WordPress • Themify WordPress Themes