Murielle Cahen

A propos de Murielle Cahen

Avocat à la cour (Paris 5eme arrondissement) J'interviens principalement en droit de la propriété intellectuelle, droit des nouvelles technologies, droit civil & familial, droit pénal, droit de l'immobilier, droit du travail, droit de la consommation Consultation juridique en ligne - Réponse en 24/48h max. (€100 TTC) Titulaire du certificat de spécialisation en droit de l'informatique et droit de l'internet. Editrice du site web : Avocat Online depuis 1999. Droit de l'informatique, du logiciel et de l'Internet. Propriété intellectuelle, licence, presse, cession, transfert de technologie. droit d'auteur, des marques, négociation et arbitrage... Cabinet d'avocats à Paris. Droit internet et droit social, droit des affaires spécialisé dans les nouvelles technologies et lois internet...

Articles de Murielle Cahen:

3 Mar 2023

Etre en conformité avec le RGPD et l’accountability

Le Règlement général sur la protection des données (« RGPD ») est le nouveau texte phare en matière de protection des données personnelles en Europe. Prévu pour entrer en application le 25 mai 2018, le délai de mise en conformité est court et pourtant trop peu d’entreprises sont au courant des dispositions en la matière.

NOUVEAU : Utilisez nos services pour faire retirer un contenu lié à la protection des données ou de contrefaçon en passant par le formulaire !

Le droit européen a instauré un cadre juridique qui se veut « stable » pour l’ensemble de l’Union européenne. Le texte a pour objectif, comme le rappelle la CNIL, de renforcer le droit des personnes au regard du traitement de leurs données à caractère personnel, tout en responsabilisant les traitants et sous-traitants de ces données.

Me CAHEN Murielle, Avocat, peut être choisi par une société pour être Avocat agissant en tant que délégué à la protection des données .

L’avocat délégué à la protection des données a un rôle de conseil et de sensibilisation sur les nouvelles obligations du règlement (notamment en matière de conseil et, le cas échéant, de vérification de l’exécution des analyses d’impact).

« Privacy by Design » signifie littéralement que la protection des données personnelles doit être prise en compte dès la conception du produit ou du service.

Besoin de l’aide d’un avocat pour un problème de rgpd ?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien

Entré en vigueur en mai 2018, le règlement général sur la protection des données (RGPD) fêtera bientôt ses cinq ans. Qu’importe votre situation, si vous collectez des données, une démarche de mise en conformité au règlement devra être initiée.

Afin d’en saisir les contours, cette démarche peut s’appuyer sur la désignation d’un délégué à la protection des données qui se chargera de mettre en œuvre la conformité au règlement européen sur la protection des données pour votre organisme.

La promulgation de ce règlement a permis d’harmoniser le cadre juridique pour l’ensemble de l’Union européenne. Ce texte a, dans un premier temps, permis de renforcer le droit des personnes au regard du traitement de leurs données à caractère personnel.

Dans un second temps, le RGPD a été conçu pour être un rempart face aux dérives et aux risques que les traitements de données peuvent représenter. Pour se faire, il introduit de nouvelles obligations et de nouvelles notions. On pensera par exemple à la notion d’accountability et de privacy by design qui ont pour objectif de responsabiliser les organismes afin de rendre plus effective la protection des données.

Les données sont aujourd’hui des sources de valeur considérable. Elles représentent non seulement des actifs pour les entreprises, mais elles sont également un moyen d’assurer la continuité de leurs activités. Comme le souligne l’ENISA, entre 2021 et 2022, on comptabilise environ une attaque par rançongiciel toutes les onze secondes sur l’ensemble des entreprises situées sur le territoire européen.

Au regard des dangers qui pèsent aujourd’hui sur les entreprises, l’ensemble des dispositions du texte se devront d’être comprises par ces dernières (I) afin d’organiser de manière rapide et efficace leur mise en conformité (II).

I. Le cadre juridique instauré par le RGPD , le régime d’accountability et Privacy by Design

Le texte européen entré en vigueur le 25 mai 2018, prévoit de nouvelles obligations pour les entreprises et, plus largement, tous traitants ou sous-traitants de données à caractère personnel (a). Le non-respect de ces obligations entraîne désormais des sanctions plus lourdes que par le passé (b), dans une volonté non dissimulée d’atteindre un cadre harmonisé.

A) Des obligations nouvelles pour les entreprises et en particulier l’accountability et le « Privacy by Design »

L’entrée en vigueur du texte en mai 2018 renouvelle le cadre de la protection des données et des relations entre ceux qui les fournissent et ceux qui les traitent.

Selon son article 3, ce règlement a vocation à s’appliquer aux entreprises qui traitent des données à caractère personnel, que celles-ci soient établies sur le territoire de l’Union européenne (principe d’établissement) ou non, dès lors que les données traitées concernent les personnes qui se trouvent sur le territoire de l’Union européen (principe de ciblage).

Ce texte insère de nouvelles notions telles que la « Privacy by Design ». Définie à l’article 25 du RGPD, cette notion correspond à la prise en considération de la protection des données dès la conception d’un traitement. Il s’agit aussi bien de la mise en œuvre de mesures techniques et organisationnelles appropriées, telles que la pseudonymisation. Ces mesures sont destinées à mettre en œuvre les principes relatifs à la protection des données.

Elles s’accompagnent des principes énoncés par le règlement, tel que le principe de minimisation des données (notamment pour les données sensibles). Ces mesures visent à assortir le traitement des garanties nécessaires afin de répondre aux exigences fixées par le règlement et tendent à assurer une protection effective des données de la personne concernée.

D’autres points essentiels du ressortent du Règlement, à commencer par la « consécration » du droit à l’oubli. Pour commencer, le texte amène la « consécration » du droit à l’oubli » , déjà soutenu par la Cour de justice de l’Union européenne dans l’arrêt Google Spain qui précisait qu’un traitement de données pouvait devenir « avec le temps incompatible avec la directive lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées » .

Les données devront être conservées aussi longtemps que nécessaire et leur accès, leur modification, leur restitution jusqu’à leur effacement sur la demande des individus concernés, devront être garantis.

De même, le texte prévoit que les entreprises devront veiller à ce que seules les données nécessaires à la finalité en cause soient collectées.

Également, les entreprises devront s’assurer du consentement éclairé et informé des individus quant à la collecte et au traitement de leurs données, consentement qu’elles devront pouvoir recueillir et prouver.

Ainsi, les organismes à l’origine d’un traitement de données tel que défini à l’article 4 du règlement, se devront de respecter et d’établir, le cas échéant, les durées de conservation des données. Une liste de mesures à prendre en compte lors de l’établissement d’un traitement de données est disponible à l’article 5.

Par ailleurs, les organismes devront répondre aux demandes d’exercice des droits des personnes concernées. Énoncés au chapitre III, ils devront lorsque la demande en sera faite, garantir l’accès, la modification, la restitution voire l’effacement des données de la personne concernée.

De plus, ils devront à chaque traitement s’assurer d’avoir recueilli le consentement de la personne concernée comme prévu aux articles 7 et 8 du Règlement.

Pour qu’un traitement de données soit considéré comme licite lorsque le consentement n’est pas demandé, l’organisme doit s’assurer d’être dans son bon droit en établissant l’existence d’une base légale conformément à l’article 6.

Pour commencer, le traitement peut intervenir dans le cadre d’une relation contractuelle ou d’une obligation légale. Il peut également être considéré comme licite lorsqu’il vise l’intérêt général ou la sauvegarde des intérêts vitaux d’une personne. Enfin, il peut s’agir du recours au motif légitime, condition abstraite et très peu utilisée en pratique.

Dans le cas contraire, le traitement (la conservation, l’utilisation, la revente, l’analyse, etc.), n’est pas licite et peut par conséquent faire l’objet de sanction.

Enfin, le texte prévoit également des mesures concernant le respect du droit à la portabilité des données, la mise en place d’un cadre strict pour un tel transfert en dehors de l’Union ainsi que l’obligation pour les entreprises d’informer le propriétaire des données ainsi que la CNIL d’une violation grave des données ou d’un piratage , dans les 72 heures.

B) Des risques accrus pour les entreprises en cas de non-conformité

Depuis l’entrée en vigueur du RGPD de nombreuses formalités auprès de la CNIL ont disparu. En contrepartie, la responsabilité des organismes a été renforcée. Ils doivent en effet assurer une protection optimale des données à chaque instant.

La tâche revient également aux entreprises, en marge des obligations précitées, de veiller à ce que les données soient à tout moment et en tous lieux sécurisés contre les risques de perte, de vol, de divulgation ou contre toute autre compromission.

C’est notamment le cas lors du choix des prestataires informatiques. Les organismes ont un devoir de vigilance et d’information envers les personnes concernées (autrement dit, les personnes dont les données font l’objet d’un traitement).

« Privacy by Design » signifie littéralement que la protection des données personnelles doit être prise en compte dès la conception du produit ou du service.

Pour toute violation de ces dispositions, le texte prévoit notamment des amendes administratives, pouvant s’élever jusqu’à 20 millions d’euros « ?ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent? ».

C’est également l’entreprise qui devra indemniser toute personne lésée matériellement ou moralement par un traitement non conforme de ses données, cette fois-ci sans plafonnement.

Si tel n’est pas le cas, une mise en conformité rapide de votre organisme s’impose donc.
Le RGPD a en effet pour but d’unifier le cadre légal européen en la matière, et tend même à obliger les plus réticents à « jouer le jeu » : on sait que les grandes entreprises comme Google ou Facebook ont déjà été, à plusieurs reprises, rappelées à l’ordre par les CNIL européennes. Les dernières décisions rendues en la matière témoignent de la volonté de faire respecter ce règlement.

La CNIL est venue sanctionner de nombreuses entreprises depuis l’instauration du RGPD, en raison de leur manque de mise en conformité avec le règlement. La sanction la plus importante fut celle de Google, dans une décision du 21 janvier 2019 où la CNIL a prononcé une amende d’un montant total de 50 millions d’euros.

Cette décision fut confirmée par le Conseil d’État dans une décision du 19 juin 2020, qui considère que l’amende de 50 millions d’euros n’était pas disproportionnée.

Après avoir effectué le bilan de son action répressive, la CNIL affirme que l’année 2021 a été un record tant par le nombre de mesures adoptées que par le montant cumulé des amendes, qui atteignait 214 millions d’euros.

L’année 2022 a aussi été marquée par une importante réforme des mesures correctrices de la CNIL, ce qui lui permet d’envisager un traitement plus rapide des plaintes (toujours plus nombreuses) et donc des sanctions.

Cette réforme témoigne de la volonté de donner plus de moyens à la CNIL et de durcir la répression cinq ans après l’entrée en application du RGPD.

Cette décision fut suivie de nombreuses autres amendes pour manquement au RGPD, mais jamais avec un montant aussi élevé. Ainsi dans une décision du 28 mai 2019, l’absence de contrôle des accès aux données conservées par un site internet fut sanctionnée à hauteur de 400 000 euros d’amende.

Dans une décision du 13 juin 2019, l’amende n’a pas dépassé 20 000 euros. Encore récemment, un manquement aux articles 32 et 33 du RGPD fut sanctionné par la CNIL à une amende de 3 000 euros. L’article 32 du RGPD prévoyant l’obligation d’assurer un niveau de sécurité adapté aux risques, en ayant recours à des mesures techniques et organisationnelles appropriées.

Une mise en conformité rapide des entreprises s’impose donc. Le RGPD a en effet pour but d’unifier le cadre légal européen en la matière, et tend même à obliger les plus réticents à « jouer le jeu », dans la lignée de la décision de la CNIL espagnole du 11 septembre dernier, qui a infligé à l’entreprise Facebook une amende administrative d’un montant de 1,2 million d’euros la collecte et le traitement (notamment à des fins publicitaires) de données sensibles sans le consentement des utilisateurs.

Mais il s’avère que les entreprises n’ont pas forcément conscience de la façon dont elles traitent leurs données, ni même plus généralement de l’intégralité des donnés qu’elles traitent et qui peuvent se trouver sur leurs bases de données .

Le RGPD ne doit pas être perçu comme une « obligation » qui s’impose aux entreprises, mais bel et bien comme un élément pour se démarquer du reste des prestataires. Repousser sa mise en conformité revient à repousser un gage de qualité.

Cette transition se doit donc d’être organisée, structurée efficacement, et plusieurs étapes méthodiques apparaissent efficaces dans le suivi de cet objectif.

II. Les étapes de la mise en conformité des entreprises aux nouvelles dispositions

Depuis l’entrée en vigueur de cette réglementation, il convient pour les entreprises et, plus largement, tout responsable de traitement ou sous-traitant de données à caractère personnel, d’initier si tel n’est pas le cas, un processus de mise en conformité. À cet égard, le délégué à la protection des données (A) jouera le rôle de celui en charge d’accompagner l’entreprise dans les différentes étapes (B) de cette transition.

A) Le délégué à la protection des données, « chef d’orchestre » de cette mise en conformité par rapport à l’accountability et le « Privacy by Design »

Même si elle n’est pas obligatoire pour tous les organismes, la désignation d’un pilote paraît essentielle au regard des tâches à accomplir par les entreprises dans le cadre de leur mise en conformité avec le RGPD.

On distingue plusieurs cas dans lesquels la désignation d’un délégué à la protection des données est obligatoire (article 37 du RGPD).

Ainsi la désignation est obligatoire pour les organismes publics et pour toute entreprise responsable du traitement de données sensibles ou de traitement à grande échelle doit désigner un délégué à la protection des données. Il peut s’agir par exemple des ministères, des collectivités territoriales ou encore des établissements publics. En avril 2022, ce sont vingt-deux communes qui ont été mises en demeure par la CNIL afin qu’elles désignent un délégué à la protection des données.

En outre, la désignation s’impose aussi pour les organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle. Cela peut correspondre aux compagnies d’assurance ou aux banques pour leurs fichiers clients ou les fournisseurs d’accès internet.

Enfin, les organismes dont les activités de base les amènent à traiter à grande échelle des données dites « sensibles » (données biométriques, génétiques, relatives à la santé, la vie sexuelle, l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale) ou relatives à des condamnations pénales et infractions devront également procéder à la désignation d’un délégué à la protection des données.

Publié le 13 décembre 2016 par le G29, les lignes directrices concernant le régime du délégué permettent de caractériser cette idée de « grande échelle » sur des critères tels que le nombre de personnes concernées, le volume des données traitées, la durée de conservation et de traitement des données ou encore l’étendue géographique du traitement.

La désignation d’un pilote paraît essentielle au regard de la mise en conformité des entreprises avec le RGPD. Le délégué à la protection des données ( » DPO « ), au sein de l’entreprise, sera en charge de l’organisation des différentes missions à mener dans l’accomplissement d’un tel objectif.

La désignation de celui-ci est rendue obligatoire pour les organismes publics et pour toute entreprise responsable du traitement de données sensibles ou de traitement à grande échelle.

Néanmoins, la CNIL rappelle que si cette obligation n’incombe pas à certaines entreprises, il est « ?fortement recommandé? » d’effectuer une telle désignation, « le délégué (constituant) un atout majeur pour comprendre et respecter les obligations du règlement » .

Il n’est en effet, pas toujours évident pour une personne étrangère à ce domaine de ne pas cerner les attentes ou les obligations qui découlent de la réglementation. Afin d’être désigné, le délégué doit nécessairement avoir des connaissances juridiques qui lui permettront de rendre intelligible la réglementation auprès de ses collaborateurs.

L’incendie du Datacenter d’OVH illustre parfaitement cette méconnaissance du droit des contrats informatiques. Outre la catastrophe s’abattant sur OVH, un grand nombre de clients avaient souscrit un contrat d’hébergement simple, laissant ces derniers sans possibilité de récupérer leurs données et causant parfois, d’importants préjudices (article avec Me Eric Barbry). La perte de données peut s’avérer fatale pour les plus petites structures, d’où l’importance d’établir un plan de reprise des activités. C’est pourquoi le délégué à la protection des données est un indispensable.

Il ne joue pas qu’un simple rôle de mise en conformité, il joue également un rôle de management des données ce qui permet à la société de comprendre les enjeux de la protection des données. Ce dernier incarne un véritable rôle de conseil, on pourrait presque parler d’un devoir d’information.

Comme le souligne l’article 38 du Règlement, le délégué à la protection des données doit être « associé, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel (5) ».

Précisé à l’article 39, ce « chef d’orchestre » aura la charge de l’organisation des différentes missions à mener dans l’accomplissement d’un tel objectifLe DPO n’a pas nécessairement à être membre de l’entreprise, puisqu’elle peut être liée avec lui sur la base d’un contrat de service. Il est soumis au secret professionnel ou à une obligation de confidentialité.

Le DPO devra jouer le rôle d’un coordinateur, à savoir comprendre et cerner les nouvelles obligations prévues par le texte, et guider le responsable du traitement en fonction.

Ceci étant, le délégué n’endosse pas la responsabilité d’une éventuelle non-conformité du traitant ou sous-traitant des données aux dispositions du Règlement?; il est fortement conseillé pour lui néanmoins de garder les traces de son travail par une documentation précise (notamment dans les cas où l’entreprise n’aurait pas suivi ses recommandations).

B) Les détails du processus de transition pour les entreprises

Une fois le DPO désigné, l’entreprise devra alors engager un processus de transition en trois étapes.

La première consiste à lister de manière précise et concise l’intégralité des données traitées, ainsi que les acteurs de ce traitement.

Pour ce faire, la tenue d’un registre des traitements peut être une solution : l’entreprise y consignera toutes les informations relatives aux traitements et aux traitants, à savoir la nature des données, leur provenance ou encore la manière dont elles sont traitées.

Cependant les registres de traitement sont allégés pour les entreprises de moins de 250 salariés.

Pour rappel, l’obligation de tenir un registre des traitements concerne tous les organismes, publics comme privés, et quelle que soit leur taille, dès lors qu’ils traitent des données personnelles.

Par la suite, il conviendra de prendre les mesures nécessaires pour garantir un traitement respectueux des nouvelles dispositions. Dans un premier temps, il conviendra de s’assurer que ces traitements s’appuient sur des bases légales toujours en vigueur et qu’ils respectent les droits des utilisateurs.

Dans un second temps, il s’agira de procéder à une vérification des mesures de sécurité déployées puis de s’assurer qu’ils respectent les principes liés à la transparence prévus par le texte.

À ce titre, une analyse d’impact sur la protection des données peut s’avérer pertinente : en effet ce type d’étude permet d’évaluer précisément les conséquences du traitement en vigueur dans l’entreprise sur la protection des données et le respect des droits des usagers.

Enfin, la dernière étape consistera pour l’entreprise en une consignation par écrit d’une documentation prouvant la conformité de l’entreprise à la nouvelle réglementation. Il s’agit du processus d’accountability qui se réalise au fur et à mesure de l’exécution des précédentes consignes. Ce processus permet de dresser l’état d’avancement de la mise en conformité en interne, de s’organiser plus facilement et d’assurer un respect en continu de la protection des données traitées.

L’accountability est une démarche permanente qui permet de prouver que le respect des règles fixées par le RGPD.

Pour lire une version plus complète sur la RGDP, cliquez

Sources :

(1) https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-ce-qui-change-pour-les-professionnels
(2) http://www.ladn.eu/nouveaux-usages/etude-marketing/rgpd-entreprises-retard-lapplication-reglementation/
(3) Idem
(4)http://curia.europa.eu/juris/document/document.jsf;jsessionid=9ea7d0f130d531e9daf43fa64f7b82f3a43da182cc55.e34KaxiLc3eQc40LaxqMbN4PaNiMe0?text=&docid=152065&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=500062
(5) https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article37
(6) https://www.cnil.fr/fr/designer-un-pilote
(7) https://www.cnil.fr/fr/principes-cles/reglement-europeen-se-preparer-en-6-etapes
Décision CNIL 21 janvier 2019
https://www.cnil.fr/sites/default/files/atoms/files/san-2019-001_21-01-2019.pdf
Décision Conseil d’Etat, 19 juin 2020, n° 430810
https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2020-06-19/430810
Décision CNIL, 28 mai 2019, SAN-2019-005
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000038552658/
Décision CNIL, 13 juin 2019, SAN-2019-006
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000038629823/
Décision CNIL, 7 décembre 2020, SAN-2020-014
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000042675720

Par Murielle Cahen • Commerce electronique, internet-et-droit • • Tags: accountability, base de données, droit à l'oubli, Privacy by Design, protection, protection données;, vie privée

3 Mar 2023

Comment se défendre face au « revenge porn »?

Le revenge-porn est une pratique qui vient des Etats-Unis. Elle consiste à publier sur internet des images ou des vidéos pornographiques de son ex copain, ex-copine après une rupture amoureuse. Quels sont les recours si l’on est victime de cette pratique de la part de son ex ? Ce phénomène étant assez récent, que permet la loi en France ?

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Phénomène ayant pris une ampleur considérable ces dernières années avec l’omniprésence d’internet dans nos vies sociales , et la présence quasi systématique d’appareils photos intégrées dans les smartphones , le « revenge porn » ou la « pornodivulgation » , commence à être pris en considération par les législations à l’international, notamment aux États-Unis où de nombreux États ont légiféré à ce propos.

Originaire des États-Unis, la pratique a été interdite par la loi dans certains États dès 2004. Elle a pourtant été remise au bout du jour par le site « Is anyone up » créé en 2010 et fermé en 2012.

Besoin de l’aide d’un avocat pour un problème de revenge porn?

Téléphonez nous au : 01 43 37 75 63

ou contactez nous en cliquant sur le lien

Afin de se prémunir de cette pratique, certains couples (américains) introduisent même des clauses sur l’utilisation des réseaux sociaux dans leur contrat de mariage.

En France, la pornodivulgation a été introduite dans le Code pénal à la suite de la promulgation de la loi pour une République numérique du 7 octobre 2016. Cette pratique constitue à présent un délit sévèrement sanctionné. Désormais condamné par l’article 226-2-1 du Code pénal, le Revenge porn n’a pas toujours fait l’objet de sanction par les juridictions pénales.

Dans un arrêt rendu le 16 mars 2016, la chambre criminelle de la Cour de cassation refusait, en vertu de l’article 111-4 du Code pénal, de procéder à une interprétation extensive de la loi pénale. Dans cette affaire, une jeune femme avait été photographiée par son ancien compagnon, à l’époque de leur vie commune, la représentant nue alors qu’elle était enceinte. Une fois séparer ce dernier avait diffusé la photographie sur internet.

La Cour d’appel avait relevé que le fait d’avoir accepté d’être photographiée ne signifie pas, compte tenu du caractère intime de la photographie, qu’elle avait donné son accord pour que celle-ci soit diffusée. Ce raisonnement emprunté à la logique civiliste de la protection de l’image n’a pas suffi à convaincre les juges de la haute juridiction.

La Cour de cassation a donc cassé l’arrêt au motif que « n’est pas pénalement réprimé le fait de diffuser, sans son accord, l’image d’une personne réalisée dans un lieu privé avec son consentement. »

Le fait de porter à la connaissance du public ou d’un tiers l’image d’une personne se trouvant dans un lieu privé n’était punissable que si la captation avait été réalisée sans le consentement de la personne concernée.

Or, la photo intime est souvent prise, ou obtenue avec le consentement de la personne concernée, mais diffusée sans son accord, et ceci pour lui nuire.

Cette interprétation stricte de la loi pénale a remué le monde politique, ce qui a conduit quelques mois après à l’adoption de la loi pour une République numérique. C’est l’article 67 de cette même loi qui a permis d’instaurer l’article 226-2-1 du Code pénal qui dispose :

Jusque-là ignoré de la loi pénale en France, le « revenge porn » est désormais un délit sévèrement sanctionné par le Code pénal. L’article 67 de la loi du 7 octobre 2016 a introduit un nouvel article 226-2-1 dans le Code pénal, la loi pour une République numérique, publiée le 7 octobre 2016 au Journal officiel qui dispose désormais :

« Lorsque les délits prévus aux articles 226-1 et 226-2 portent sur des paroles ou des images présentant un caractère sexuel prises dans un lieu public ou privé, les peines sont portées à deux ans d’emprisonnement et à 60 000 € d’amende. Est puni des mêmes peines le fait, en l’absence d’accord de la personne pour la diffusion, de porter à la connaissance du public ou d’un tiers tout enregistrement ou tout document portant sur des paroles ou des images présentant un caractère sexuel, obtenu, avec le consentement exprès ou présumé de la personne ou par elle-même, à l’aide de l’un des actes prévus à l’article 226-1 ».

Il est donc désormais possible d’intenter une procédure en cas d’images prises dans des lieux publics ou privés, avec ou sans le consentement des victimes, et diffusées sans son accord sur internet ou à des tiers. L’infraction peut cependant être caractérisée, quel que soit le moyen technique de diffusion employé (partage sur un réseau social, envoi par e-mail ou SMS).

C’est l’interprétation restrictive de la Cour de cassation de la notion de consentement.

Besoin de l’aide d’un avocat pour un problème de revenge porn?

Téléphonez nous au : 01 43 37 75 63

ou contactez nous en cliquant sur le lien

La loi du 7 octobre 2016 sera complétée par la loi du 3 août 2018 portant sur le cyberharcèlement moral et le cyberharcèlement sexuel, qui prévoit deux infractions afin de sanctionner les personnes, qui se sont concertées ou non, qui cherchent à stigmatiser une ou plusieurs personnes identifiées et à leur nuire par des comportements répétés sur les réseaux sociaux. Ces comportements comprennent des actes portants atteinte l’identité, à l’intimité, à la dignité, à la réputation et à la tranquillité.

La Cour de cassation, avait ainsi estimé dans un avis rendu le 16 mars 2016 que l’atteinte à la vie privée n’était pas caractérisée si la photo avait été obtenue avec le consentement de la victime.

Or, la photo intime est souvent prise, ou obtenue avec le consentement de la personne concernée mais diffusée sans son accord, et ceci pour lui nuire. Il est donc désormais possible d’intenter une procédure en cas d’images prises dans des lieux publics ou privés, sans le consentement des victimes, et diffusées sur internet ou à des tiers.

Les victimes peuvent dans ce cas, déposer plainte dans un commissariat de police, ou déposer plainte devant le Procureur et ensuite devant un juge d’instruction si le diffuseur des images ou vidéos est inconnu, ou directement devant le tribunal correctionnel s’il est connu.

Finalement, la jurisprudence de l’arrêt du 16 mars 2016 s’est terminée avec la loi du 7 octobre 2016, qui a instauré l’article 226-2-1 du Code pénal, qui vient sanctionner le revenge porn à une peine de deux ans d’emprisonnement et à 60 000 € d’amende.

Cet article précise que « est puni des mêmes peines le fait, en l’absence d’accord de la personne pour la diffusion, de porter à la connaissance du public ou d’un tiers tout enregistrement ou tout document portant sur des paroles ou des images présentant un caractère sexuel, obtenu, avec le consentement exprès ou présumé de la personne ou par elle-même ». Ainsi, même si la captation avait été autorisée, la diffusion peut être sanctionnée pénalement, contrairement à ce qu’avait prévu l’arrêt du 16 mars 2016.

Quels actes sont assimilés à du « Revenge Porn » ?

La pornodivulgation peut prendre diverses formes.

Le Revenge porn intervient souvent à la suite d’une rupture mal vécue. L’auteur agit alors en « représailles » et cherche à culpabiliser et à humilier sa victime.

Dans certains cas, cette pratique est utilisée pour soutirer de l’argent. Ce phénomène est très répandu chez les célébrités notamment à travers la pratique de chantage à la sextape.

L’auteur de Revenge porn peut aussi « simplement » s’amuser à montrer les images à ses amis. Souvent, les images ou vidéos ont été obtenues dans une relation de confiance, avec l’accord de la victime.

Cette vengeance ou pornodivulgation, englobe à la fois les images et vidéos échangées, mais également les propos à caractère sexuel qu’on appelle aussi sexting. Même si l’on retient le plus souvent les images et vidéos, les échanges tenus dans un cadre privé tombent sous le coup de ce délit aggravé s’ils sont diffusés sans le consentement de l’intéressé.

Quel est le profil psychologique des personnes qui s’adonnent à ce genre de pratiques ? Dans quel cas font-elles ça ?

Les personnes qui diffusent, sans leur consentement, des photos intimes de leur victime, le font très souvent dans un but de vengeance immédiate, sans mesurer les conséquences graves que cela peut avoir sur la victime.

Il peut s’agir de personnes tout à fait normales, mais qui ont eu un moment d’égarement quand elles se sont senties rejetées par la victime, très souvent dans le cadre d’une rupture non désirée.

Que faire lorsque l’on est victime de Revenge porn ?

Dans un premier temps, il est conseillé d’effectuer des captures d’écran afin de matérialiser un dossier de preuve. Une plainte peut également être déposée auprès d’un commissariat de police ou d’une brigade de gendarmerie.

Lorsque l’identité de l’auteur est connue, il est également possible de signaler son profil auprès de la plateforme PHAROS. Mise en place le 16 juin 2009 par le Gouvernement français, elle permet de signaler des contenus et comportements en ligne illicites.

Des lignes téléphoniques ont également été mise en place. Il est possible de citer le 30 18. Ce numéro d’écoute est destiné aux jeunes victimes et/ou aux témoins de cyberharcèlement et de toutes formes de violences sur internet. Il peut s’agir de Revenge porn, de chantage à la webcam, d’usurpation d’identité, etc.

Sur quels autres fondements les victimes peuvent-elles faire condamner ces pratiques ?

Les victimes peuvent faire sanctionner la diffusion non consentie de leur image, tant sur le plan civil au regard du droit au respect de la vie privée, que sur le plan pénal, lorsque la diffusion porte atteinte à l’intimité de la vie privée.

Ainsi, l’article 9 du code civil, fondement français du droit au respect de la vie privée, permet aux victimes d’obtenir le prononcé d’une réparation financière et le retrait, sous astreinte, du contenu qui leur porte préjudice. Les juges considèrent qu’un individu a sur son image et sur l’utilisation qui en est faite un droit exclusif. Par conséquent, peu importe que des photographies soient prises avec le consentement des intéressés. Le consentement à la fixation n’emporte pas consentement à la diffusion.

Ces affaires peuvent-elles accélérer les demandes des victimes en faveur du droit à l’oubli sur internet ?

Aussi souvent appelé « droit à l’oubli », le droit au déréférencement était déjà prévu par la Directive 95/46/CE, et est aujourd’hui intégré au Règlement général à la protection des données. Ce droit a été renforcé par les dispositions de l’article 17 du RGPD, et a notamment été étendu aux mineurs (article 40 de loi informatique et libertés modifié par l’article 63 de la loi pour une République numérique de 2016).

Il est ainsi prévu par le règlement que « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais ».

Le droit au déréférencement permet de lutter contre la publication de données à caractère personnel qui porte atteinte aux droits fondamentaux de la personne ou à sa vie privée. Il permet de faire supprimer un ou plusieurs résultats fournis par un moteur de recherche à l’issue d’une requête effectuée à partir de l’identité (nom et prénom) d’une personne.

Cela correspond à l’idée selon laquelle un individu peut avoir commis une faute à un moment de sa vie, sans pour autant être marqué par celle-ci pour l’éternité.

Il n’est pas nécessaire de passer par la case tribunal afin de demander le retrait d’un résultat sur un moteur de recherche. Depuis la décision de la CJUE en date du 13 mai 2014, les moteurs de recherche se sont dotés de formulaire de demande de désindexation afin de prendre directement en charge ses demandes.

Chaque demande de déréférencement est appréciée au cas par les moteurs de recherche. Pour ce faire, les moteurs de recherches procèdent à une mise en balance entre les atteintes aux droits fondamentaux, au respect de la vie privée et à la protection des données que sont susceptibles de provoquer les traitements de données, par rapport au droit à l’information et au droit de la presse.

Ainsi, un cas de Revenge porn peut tout à fait être pris en compte dans le cadre d’une demande de droit à l’oubli ou de droit à l’image protégé par le droit à la vie privée (article 9 du Code civil, ordonnance de référé du 12/05/2017 TGI Paris), pour demander le déréférencement d’URL.

De plus, dans une décision du 20 novembre 2018, le Revenge porn fut sanctionnée sur le fondement de l’article 9 du Code civil, portant sur le droit à la vie privée. En effet, il a été considéré que la diffusion des photographies à caractère sexuel, portait atteinte à l’honneur et à la considération de la personne.

Il vous est donc possible de demander aux moteurs de recherche de déréférencer un résultat qui porterait atteinte à votre vie privée et qui ne présenterait aucun intérêt pour l’information du public, critères que le Revenge porn remplit.

Sources :

http://www.lexpress.fr/actualite/societe/revenge-porn-la-vengeance-des-ex_1628679.html#
http://www.france24.com/fr/20141203-porn-revenge-porno-vengeur-photos-nue-sexe-publication-facebook-condamnation-prison-justice/
http://www.village-justice.com/articles/Publication-non-consentie-photos,17744.html
http://www.enquete-debat.fr/archives/observatoire-de-la-delation-site-porno-jemevenge-com
LOI n° 2016-1321 du 7 octobre 2016 pour une République numérique
https://www.legifrance.gouv.fr/loda/id/JORFTEXT000033202746/
LOI n° 2018-703 du 3 août 2018 renforçant la lutte contre les violences sexuelles et sexistes
https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000037284450
TGI de Bobigny, ch.5/sec.3, jugement contentieux du 20 novembre 2018
https://www.legalis.net/jurisprudences/tgi-de-bobigny-ch-5sec-3-jugement-contentieux-du-20-novembre-2018/
Cour de cassation, criminelle, Chambre criminelle, 16 mars 2016, 15-82.676 : https://www.legifrance.gouv.fr/juri/id/JURITEXT000032263441/
https://www.education.gouv.fr/non-au-harcelement/faire-face-au-sexting-non-consenti-et-au-revenge-porn-325394
https://www.gouvernement.fr/actualite/harcelement-agressions-violences-trois-numeros-pour-aider-les-enfants-en-danger
https://en.wikipedia.org/wiki/Is_Anyone_Up%3F

Par Murielle Cahen • Contenu-d-un-site, internet-et-droit • • Tags: droit à l'image, pornographie, vie privée

3 Mar 2023

CYBERCRIMINALITE

L’émergence des nouvelles technologies et de l’internet, on fait apparaître une nouvelle catégorie de criminalité : la cybercriminalité, une législation adaptée à ces nouveaux modes opératoires a dû être mises en place pour lutter contre le développement grandissant de la cybercriminalité.

Les nouvelles technologies ont apporté avec elle un grand progrès, mais également le risque d’intrusion dans la vie privée, depuis plusieurs années le législateur a donc dû adapter la réglementation par phase successive.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Notre quotidien s’est vu faciliter par le développement d’internet et des nouvelles technologies. Cependant, cela peut également être source de dangers, certaines infractions vont même se développer et être facilitées par ces avancées technologiques. Les risques sont donc nombreux.

La cybercriminalité prend plusieurs formes. Certaines infractions seront directement liées aux technologies de l’information et de la communication dans lesquelles l’informatique est l’objet même du délit. Et pour certaines infractions, leur commission sera liée, facilitées ou amplifiées par l’utilisation de ces technologies et ici l’informatique sera un moyen du délit.

Les infractions relevant de la cybercriminalité que nous allons développer ici sont celles dont la commission est liée, facilitée ou amplifiée par l’utilisation des technologies de l’information et de la communication.

Besoin de l’aide d’un avocat pour un problème de cybercriminalité ?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien

I. Les atteintes aux personnes facilitées ou commises par internet

A. La Lutte contre les infractions à caractère sexuel et le harcèlement en ligne

L’infraction va se servir d’un internet pour soit faciliter celle-ci, soit être le lieu de sa commission, soit être le moyen de sa commission.

Quand il s’agit de la facilitation de la commission de certaines infractions par Internet, le Code pénal prévoit une aggravation des peines. Ainsi, en matière de viol (Code pénal, article 222-24, 8 °), d’agressions sexuelles (1) (Code pénal, article 222-28, 6 °), de traite des êtres humains (Code pénal, article 225-4-2, 3 °) ou de prostitution des mineurs (Code pénal, article 225-12-2, 2 °), les peines sont aggravées, « lorsque la victime a été mise en contact avec l’auteur des faits grâce à l’utilisation, pour la diffusion de message à destination d’un public non déterminé, d’un réseau de communication électronique ».

Par ailleurs, il en va de même lorsque l’infraction a été commise « grâce à l’utilisation, pour la diffusion de messages à destination d’un public non déterminé, d’un réseau de communication électronique ». C’est notamment le cas en matière de proxénétisme (Code pénal, article 225-7, 10 °). C’est également le cas en matière du cyberharcèlement autrement appelé le cyberbullying.

La loi n° 2018-703 du 3 août 2018 renforçant la lutte contre les violences sexuelles et sexistes a modifié les articles 222-33 et 222-33-2-2 du Code pénal relatif au harcèlement sexuel et moral.

Les articles précités prévoient désormais une aggravation des peines en cas d’« utilisation d’un service de communication au public en ligne » ainsi qu’une nouvelle infraction permettant de réprimer les « raids en ligne », infraction constituée lorsque des propos ou des comportements sont imposés à une même victime par plusieurs personnes, de manière concertée ou à l’instigation de l’une d’elles, alors même que chacune de ces personnes n’a pas agi de façon répétée ou lorsqu’ils sont imposés à une même victime, successivement, par plusieurs personnes qui, même en l’absence de concertation, savent que ces propos ou comportements caractérisent une répétition.

Enfin, internet peut être le moyen de commission de l’infraction lorsqu’il est prévu que cette dernière puisse se matérialiser par écrit ou se réaliser « par quelque moyen que ce soit » ou les contenus doivent avoir fait l’objet d’une diffusion.

Par conséquent, ce sera le cas des menaces de mort faites par courrier électronique (Code pénal, article 222-17). Il en est de même du happy slapping lorsque les scènes de violences commises sur une personne seront diffusées sur les réseaux sociaux (Code pénal, article 222-33-3, al. 2). Également, la loi réprime depuis le 7 octobre 2016 la « vengeance pornographique » communément appelée « revenge porn ». L’article 226-2-1 du Code pénal condamne enfin cette pratique qui consiste à la diffusion d’un document portant sur des paroles ou des images présentant un caractère sexuel sans le consentement de la personne. Cette diffusion sera punie dès lors que cette divulgation n’a pas été consentie par la personne, peu importe si celle-ci avait donné son consentement pour enregistrer ces images.

B. La protection des mineurs et la lutte contre la pédopornographie sur internet

Pour une protection toujours plus importante des mineurs, le législateur a soit aggravé les peines, soit créé des infractions spécifiques lorsqu’internet constitue le support de l’infraction.

L’article 227-22 du Code pénal dispose qu’en matière de corruption des mineurs, les peines encourues sont aggravées lorsque le mineur a été mis en contact avec l’auteur des faits grâce à l’utilisation d’un réseau de communications électronique pour la diffusion de messages à destination d’un public non déterminé.
L’article 227-22-1 du Code pénal prévoit une infraction autonome lorsque des propositions sexuelles ont été faites par un majeur à un mineur de 15 ans ou à une personne présentant comme telles en utilisant un moyen de communication électronique et une aggravation des peines si ces propositions ont été suivies d’une rencontre.

L’article 227-24 du Code pénal réprime l’exposition des mineurs à des messages à caractère violent ou pornographique, ou de nature à porter gravement atteinte à la dignité humaine ou à les inciter à se livrer à des jeux les mettant physiquement en danger.
Enfin, la lutte contre la pédopornographie (2) est un volet important de la protection des mineurs sur internet. L’article 227-23 du Code pénal sanctionne le fait, en vue de sa diffusion, de fixer, d’enregistrer ou de transmettre l’image ou la représentation pornographique d’un mineur, d’offrir, de rendre disponible ou de diffuser de tels contenus.

Les peines sont aggravées lorsqu’il a été utilisé un réseau de communication électronique pour la diffusion de ces contenus à destination d’un public non déterminé, ce même article sanctionne en outre le fait de consulter habituellement ou en contrepartie d’un paiement un service de communication au public en ligne mettant à disposition des contenus pédopornographiques, de l’acquérir ou de les détenir.

C. Les infractions de presse commises sur internet

La loi du 29 juillet 1881 sur la liberté de la presse constitue le cadre répressif des abus de la liberté d’expression commis sur internet. Le chapitre IV prévoit les crimes et délits commis par la voie de la presse ou par tout autre moyen de publication. Sont ainsi notamment réprimées la diffamation et l’injure (Cour de cassation, chambre criminelle du 14 février 2012, n° 11-81.264), la provocation à la haine, à la violence et la discrimination, l’apologie et la provocation à commettre des délits et des crimes, l’apologie et la contestation des crimes contre l’humanité.

La détermination des personnes responsables résulte des articles 93-2 et 93-3 de la loi n° 82-652 du 29 juillet 1982 modifiée sur la communication audiovisuelle qui instaure un mécanisme de responsabilité en cascade spécifique à la communication au public par voie électronique.

II. La lutte contre l’apologie du terrorisme et les contenus à caractère illicite

A. Lutte contre l’utilisation d’internet pour l’apologie du terrorisme

Pour lutter contre la propagande djihadiste en ligne, la loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme a transféré de la loi du 29 juillet 1881 sur la liberté de la presse au Code pénal l’incrimination d’apologie du terrorisme. L’article 421-2-5 du Code pénal sanctionne de cinq ans d’emprisonnement et de 75 000 euros d’amende le fait de faire publiquement l’apologie d’actes de terrorisme.
Sont ici visés tous les actes de terrorisme définis par les articles 421-1 à 422-7 du Code pénal. Ces peines sont portées à sept ans d’emprisonnement et à 100 000 euros d’amende lorsque les faits ont été commis en utilisant un service de communication au public en ligne.

Il a également été ajouté un article 6-1 à la loi n° 2004 pour la confiance dans l’économie numérique (LCEN) qui prévoit la faculté pour l’offre central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC) de la sous-direction de la lutte contre la cybercriminalité, autorité administrative désignée par le décret n° 2015-125 du 05 février 2015, de demander à l’hébergeur ou à l’éditeur de service de communication au public en ligne de retirer les contenus apologétiques ou provocants relatifs à des actes de terrorisme et aux moteurs de recherche et annuaires de référencer ces contenus. Si l’éditeur ou l’hébergeur ne procèdent pas au retrait, l’OCLCTIC a la possibilité de demander aux fournisseurs d’accès à internet de bloquer l’accès à ces sites (3).

La loi n° 2016-731 du 31 juin 2016 renforçant la lutte contre crime organisé, le terrorisme et leur financement, et améliorant l’efficacité et les garanties de la procédure pénale a introduit dans le même objectif l’article 421-2-5-1 du Code pénal qui sanctionne le fait d’extraire, de reproduire et de transmettre intentionnellement des données faisant l’apologie publique d’actes de terrorisme ou provoquant directement à ces actes afin d’entraver, en connaissance de cause, l’efficacité des procédures de blocage et de déréférencement administratif (LCEN, article 6-1) ou judiciaire (Code de procédure pénal, article 706-23).

B. La lutte contre la manipulation de l’information

La loi n° 2018-1202 du 22 décembre 2018 relative à la lutte contre la manipulation de l’information a créé aux articles 163-1 et suivants du Code électoral un nouveau régime de responsabilité pour les opérateurs de plateforme en ligne dont l’activité dépasse un seuil déterminé de nombre de connexions sur le territoire français (Code de la consommation, article L. 111-7) et a confié au conseil supérieur de l’audiovisuel la mission de surveiller le respect par ces derniers des nouvelles obligations qui leur incombent.

Les opérateurs des plateformes en ligne ont désormais un devoir de coopération dans la lutte contre la diffusion de fausses informations susceptibles de troubler l’ordre public ou d’altérer la sincérité des scrutins mentionnés au premier alinéa de l’article 33-1-1 de la loi n° 86-1067 du 30 septembre 1986. Ils doivent dans ce cadre lutter contre les comptes propageant massivement de fausses informations autrement appelées « fake news ».
Dans le projet de règlement « Digital Service Act » est également prévue la lutte contre la désinformation. Ayant pour objectif d’augmenter la responsabilité des acteurs tels que les plateformes et les fournisseurs d’internet pour renforcer les barrières contre les contenus préjudiciables.

Le règlement « Digital Service Act » publié le 27 octobre 2022 par la Commission européenne, prévoit d’étendre la lutte contre la désinformation. Cette législation doit succéder à la directive dite e-commerce du 8 juin 2000, désormais dépassée par les évènements et les usages. Le DSA sera applicable en février 2024, sauf pour les très grandes plateformes en ligne et les très grands moteurs de recherche qui seront concernés dès 2023.

Ce règlement a vocation s’appliquer à tous les intermédiaires en ligne qui offrent leurs services (biens, contenus ou services) sur le marché européen, peu importe que le lieu d’établissement de ces intermédiaires se situe en Europe ou ailleurs dans le monde. Il vise principalement à étendre la responsabilité des acteurs tels que les plateformes pour renforcer les barrières contre les contenus préjudiciables. A ce titre, elles devront mettre à disposition des utilisateurs un outil leur permettant de signaler facilement les contenus illicites et garantir un retrait rapide de ces mêmes contenus.

C. Le délit d’entrave à l’interruption volontaire de grossesse

Le délit d’entrave à l’interruption volontaire de grossesse (IVG) a été consacré par la loi du 27 janvier 1993. Ce délit se caractérise par la perturbation de l’accès aux établissements pratiquant des IVG ou par l’exercice de pressions, de menaces, etc. à l’encontre des personnels médicaux ou des femmes enceintes venues subir une IVG.

La loi du 4 août 2004 a étendu le délit d’entrave à la perturbation de l’accès aux femmes à l’information sur l’IVG. La loi du 20 mars 2017 a depuis étendu le délit d’entrave à l’interruption volontaire de grossesse à la suite de l’apparition de sites internet qui contribuent à la désinformation à ce sujet. Ce délit correspond à « la diffusion ou la transmission d’allégations ou d’indications de nature à induire intentionnellement en erreur, dans un but dissuasif, sur les caractéristiques ou les conséquences médicales d’une IVG ».

C’est l’article L. 2223-2 du code de la santé publique qui incrimine l’entrave à l’interruption légale de grossesse en punissant de deux ans d’emprisonnement et de 30 000 € d’amende le fait d’empêcher ou de tenter d’empêcher de pratiquer ou de s’informer sur une interruption volontaire de grossesse ou les actes préalables prévus par les articles L. 2212-3 à L. 2212-8.

III. L’utilisation des technologies de l’information et des communications aux fins d’atteindre aux biens

Avec le développement des échanges et des transactions à distance, les techniques de fraude et d’escroquerie en ligne se sont développées. Les attaques contre les biens se sont vu renforcées avec l’avènement du numérique.
Les infractions contre les biens qui vont être citées, sont des infractions dite classique qui ne font pas l’objet d’incrimination spécifique en lien avec l’usage d’internet, elles sont réprimées au même titre que les autres atteintes aux biens.
L’escroquerie est particulièrement développée avec l’usage des nouvelles technologies. Cette infraction est prévue à l’article 313-1 du pénal. Elle caractérise par le fait d’obtenir une remise d’un élément déterminé au moyen d’une tromperie pouvant prendre la forme d’un faux nom, d’une fausse qualité, de l’abus d’une qualité vraie ou encore par la réalisation de manœuvre frauduleuse (mise en scène, aide d’un tiers, publicité mensongère…).

Pour être caractérisé, c’est bien la tromperie qui doit amener à la remise. Le phishing est un exemple très courant d’escroquerie par internet qui consiste généralement à l’envoi d’un mail frauduleux qui va persuader son destinataire de procéder à une remise de fond portant sur des faits trompeurs. La « fraude au président » est également particulièrement courante, elle repose sur le fait qu’une personne va se faire passer pour le supérieur hiérarchique d’une autre en ordonnant un virement. L’escroquerie est punie de 5 ans d’emprisonnement et de 375 000 euros d’amende.

L’extorsion est également une infraction particulièrement utilisée dans la cybercriminalité. Elle est prévue à l’article 312-9 du Code pénal. Il va s’agir ici, de provoquer une remise (d’un fond, de valeurs ou d’un bien quelconque) ou l’obtention d’une signature, de la révélation d’un secret ou encore de l’engagement ou la renonciation de la part d’une personne.

Pour ce faire, c’est la violence ainsi que la menace et la contrainte qui seront utilisées. Le Ransomware va être le fait d’utiliser un programme malveillant qui va empêcher l’utilisateur d’accéder à ses données, notamment par l’utilisation du chiffrement. La personne à l’origine de cette attaque va demander en échange de la remise des données ou de débloquer le système, une rançon. Il y a également le même procédé avec l’attaque DDoS qui consiste à menacer ou à mener une action qui va alors avoir pour effet d’empêcher ou de limiter la capacité d’un système de fournir son service. L’extorsion est punie de sept ans d’emprisonnement et de 100 000 euros d’amende.

Pour lire une version plus complète de cet article sur la cybercriminalité, cliquez

SOURCES :
• https://www.legifrance.gouv.fr/affichJuriJudi.do?oldAction=rechJuriJudi&idTexte=JURITEXT000007457265&fastReqId=1211905801&fastPos=1
• https://cdre.eu/documentation/documentation-en-ligne/82-documentation-en-ligne/justice/droit-penal-materiel/369-decision-2000-375-jai-du-conseil-du-29-mai-2000-relative-a-la-lutte-contre-la-pedopornographie-sur-l-internet
• https://www.legifrance.gouv.fr/affichJuriJudi.do?oldAction=rechJuriJudi&idTexte=JURITEXT000026181926&fastReqId=1755413238&fastPos=1
• https://eur-lex.europa.eu/legal-content/en/TXT/?uri=COM%3A2020%3A825%3AFIN
https://www.leclubdesjuristes.com/wp-content/uploads/2021/04/rapport_cyberattaques_DEFweb-1.pdf
https://www.vie-publique.fr/eclairage/285115-dsa-le-reglement-sur-les-services-numeriques-ou-digital-services-act

Par Murielle Cahen • internet-et-droit, Newsletter • • Tags: criminalité, cybercriminalité, mineur, violence

2 Mar 2023

CLOUD COMPUTING ET RISQUES JURIDIQUES

Le Cloud Computing a fait émerger, en dépit de son caractère récent, une foule de questions notamment sur les avantages, mais surtout sur les risques liés à ce Cloud Computing. Alors doit-on se méfier ou au contraire approuver le Cloud ?

Le monde est fait de révolutions industrielles et de « modes » 1990 : le PC Windows, 2000 : Internet dans les entreprises, et… 2010 : le Cloud Computing !

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Le Cloud Computing ou « l’informatique dans les nuages », fait référence à une technique de service informatique qui permets aux utilisateurs tiers d’accéder aux ressources Internet d’un hébergeur, sans être contraints d’acquérir ou de louer le matériel informatique ou le logiciel ou encore de conclure des contrats de maintenance et de prestation de services y afférents. Plus précisément, cette technologie permet d’utiliser la puissance de serveurs informatiques à distance par l’intermédiaire d’un réseau.

Le National Institute of Standards and Technology (NIST) définit le cloud computing comme étant « l’accès via un réseau de télécommunications, à la demande et en libre-service, à des ressources informatiques partagées configurables ».

Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien

Les multiples utilisateurs peuvent partager certaines données, générer automatiquement leurs propres fichiers et communiquer en ligne avec des tiers auxquels ils auront préalablement autorisé l’accès auxdites données, et ce, grâce à un système d’authentification (mot de passe et codes d’authentification. Mais l’usage de cet outil novateur que constitue le Cloud Computing contient, en son sein, des risques juridiques liés à la protection des données qu’il permet de traiter.

Dans ce sens, le début de la première initiative s’était concrétisé par le partenariat entre les entreprises Intel, Hewlett Packard et Yahoo! fin juillet 2008 dans le but de promouvoir la recherche dans ce domaine du Cloud Computing. On parlait alors de « cloud computing test bed », ayant pour objectif de créer un « environnement distribué » à l’échelle mondiale, permettant notamment la recherche sur les logiciels et le matériel informatique, ainsi que la centralisation de données.

Ensuite, le gouvernement américain suivait cette ligne en lançant le 22 novembre 2010 sa politique de « cloud prioritaire ».

Aujourd’hui, les services de cloud computing, qui déjà lancés par un certain nombre de sociétés dont Amazon et Google, et même Microsoft avec sa plateforme cloud Azure qui répond déjà aux attentes des développeurs, pourraient bien révolutionner l’informatique des entreprises.

Le cloud computing, permettant désormais d’externaliser l’utilisation de la mémoire ainsi que les capacités de calcul d’ordinateurs et de serveurs répartis dans le monde entier, offre en effet aux entreprises une formidable puissance informatique s’adaptant de surcroît à la demande. Mais le cloud computing présente également un certain nombre de risques juridiques dont il convient de se prémunir dans le cadre d’un contrat adapté.

Les dépenses mondiales en services de cloud computing devraient augmenter de 23 % en 2023, selon un récent rapport de CanalysLes réalités de la dégradation des conditions macroéconomiques et de la récession imminente ont entraîné un ralentissement du volume et du rythme de la migration vers le cloud au quatrième trimestre, notamment de la part des entreprises, qui ont généralement des charges de travail plus importantes.

Il s’agit d’une technique qui diffère des contrats classiques d’outsourcing aux termes desquels un prestataire tiers sera en charge du traitement technique des données (données personnelles comprises).

Le droit français et la majorité des lois nationales relatives à la protection des données personnelles au sens de la directive n° 95/46/CE du 24 octobre 1995, considèrent en principe ce prestataire tiers (hébergeur du système de Cloud Computing) comme un sous-traitant des données agissant conformément aux instructions d’un responsable du traitement des données.

Le RGPD, dans son article 28, impose l’existence d’un contrat liant le responsable de traitement, à savoir le client, et le sous-traitant qui n’est autre que le prestataire de services de cloud.

Néanmoins, il peut s’avérer que cette qualification peut s’avérer plus complexe comme ses conséquences sur le plan contractuel. L’affaire Swift, concernant une société de droit belge, qui assure le transfert de fonds internationaux à des établissements financiers, témoigne de cette complexité.

La société Swift prétendait qu’elle était le sous-traitant des données en question lorsqu’elle exportait des données personnelles et des données financières hors de l’Union européenne dans le cadre d’opérations financières. Et la Justice belge a en effet considéré que les établissements financiers impliqués dans ces opérations étaient les responsables des données personnelles en question et que Swift devait ainsi être considéré comme sous-traitant de ces données de fait et délégué desdits établissements financiers. Cette affaire révèle assez clairement les risques juridiques qu’entretient l’innovation du Cloud Computing.

Enfin, le cloud permet à l’entreprise de s’affranchir des contraintes traditionnelles (la bonne appréciation du nombre de serveurs, de la capacité nécessaire) et d’avoir une approche modulaire en fonction des besoins. Sur le plan juridique, on se rapproche du cas dans lequel une entreprise déciderait d’externaliser tout ou partie de son système d’information.

Une démarche prudente consiste en l’appréhension des risques et la prise des mesures nécessaires à la garantie la continuité du service, la sécurité des données, la qualité du service, la réversibilité… Finalement, la question liée à la confidentialité doit rester une préoccupation centrale. Ces différents sujets sont très similaires à ceux de l’outsourcing. Donc, dans l’ensemble, des réponses existent déjà et pourraient être mises en œuvre.

Il conviendra donc d’exposer ce qu’est le concept de cloud computing (1), pour ensuite définir et se prémunir des risques juridiques liés à son utilisation (2).

I. Qu’est-ce que le cloud computing ?

Il convient de définir le cloud computing (A), ainsi que ses avantages (B).

A) La définition du cloud computing

Le cloud computing présente un concept récent permettant d’utiliser de la mémoire et des capacités de calcul d’ordinateurs et de serveurs répartis dans le monde entier et liés par un réseau tel Internet. Le cloud computing permet ainsi de disposer, à la demande, de capacités de stockage et de puissance informatique sans disposer matériellement de l’infrastructure correspondante.

Le cloud computing est la prestation de services informatiques (comme des logiciels, des bases de données, des serveurs et des réseaux) sur Internet. Cela signifie que les utilisateurs finaux peuvent accéder aux logiciels et aux applications, peu importe où ils se trouvent. Pour les utilisateurs, le « Cloud » est synonyme de connexion permanente à des applications web, au stockage de données, au traitement et à d’autres ressources informatiques.

L’infrastructure du fournisseur est ainsi totalement autonome et déconnectée de celle du client, ce qui permet à ce dernier de s’affranchir de tout investissement préalable (homme ou machine). L’accès aux données et aux applications peut ainsi se faire à partir de n’importe quel périphérique connecté, le plus souvent au moyen d’un simple navigateur Internet.

Il existe également des clouds computing publics qui constituent des services partagés auxquels toute personne peut accéder à l’aide d’une connexion Internet et d’une carte de paiement, sur une base d’utilisation sans abonnement. Ce sont donc des infrastructures virtualisées que se partagent plusieurs utilisateurs.

Les clouds privés (ou d’entreprise), quant à eux, ils tendent à reprendre le même modèle de distribution des clouds computing publics, à la différence qu’ils sont détenus et gérés de manière privée, l’accès pouvant être limité à une seule entreprise ou à une partie de celle-ci. Ces derniers peuvent ainsi apparaître comme plus sûrs en termes de sécurité, de stabilité, de confidentialité et de persistance des données.

Globalement, le cloud computing constitue une nouvelle forme d’informatique à la demande, à géométrie variable, que l’on pourrait classer d’un point de vue juridique, au croisement des services d’externalisation, et des services ASP et SaaS.

En effet, les services d’externalisation (ou « outsourcing ») consistent à confier la totalité d’une fonction ou d’un service à un prestataire externe spécialisé, pour une durée pluriannuelle. Grâce à de tels contrats, le client peut s’exonérer des contraintes de gestion et de maintenance d’un système informatique.

Les services « ASP » (pour « Application Service Provider ») dérivent des contrats d’outsourcing. Sauf que dans les contrats ASP, le client ne fait que louer un droit d’accès et d’utilisation du système informatique auprès du prestataire. Le client dispose ainsi d’un accès à distance à des applications sur un serveur extérieur, ce qui le dispense d’acquérir lui-même une infrastructure informatique, des licences d’utilisation de progiciels etc.

Les services SaaS (pour « Software As A Service »), sont quant à eux des dérivés des contrats ASP dont ils constituent une forme particulière (application personnalisée), en externalisant le système informatique du client, auquel celui-ci à accès exclusivement par Internet.

B) Les apports du cloud computing

L’adoption du Cloud a été rapide et globale. A l’origine, les trois principes raison qui envoient les entreprises à adopter les services Cloud sont : la flexibilité de la fourniture des services, les équipements géographiques et l’offre.

En effet, le Cloud computing offre la possibilité d’étendre le système d’information d’une entreprise à la simple demande de celle-ci, en fonction de l’utilisation attendue (pics d’activité, pics de fréquentation, etc.).

Les services fournis dans le cadre du cloud computing sont vastes. L’entreprise peut notamment bénéficier d’une capacité de traitement de l’information (sans acquérir des ordinateurs et ressources nécessaires), d’infrastructures informatiques (de type réseaux), de capacités de stockage et d’archivage (sans avoir à se doter de serveurs spécifiques) mais aussi d’applications informatiques (sans avoir à acquérir les licences correspondantes).

Ainsi, le cloud computing permet, sans investissement majeur en termes d’infrastructure et de dépenses en capitaux, de bénéficier d’un service à moindre coût fondé sur la consommation, de type « pay-per-use », et par suite d’optimiser la gestion des coûts d’une entreprise.

De ce fait, le prix d’un tel service est calculé en fonction de la consommation effective d’une entreprise, tout comme pour l’utilisation du gaz ou de l’électricité. L’entreprise achète en quelque sorte la possibilité d’utiliser de la puissance informatique sur demande.

Au-delà du service en lui-même, les avantages du cloud computing, résident donc d’une part dans la simplicité et la rapidité de mise en œuvre dudit service, et d’autre part dans la grande flexibilité liée à l’offre sur demande que celui-ci permet.

Enfin, il convient de noter que techniquement, il est possible de mettre n’importe quelle application dans un cloud computing. Néanmoins, ses usages principaux concerneront essentiellement le management lié aux nouvelles technologies, la collaboration, les applications personnelles ou d’entreprise, le développement ou le déploiement des applications et enfin les capacités serveurs et de stockage.

A titre d’illustration, Microsoft a investi des centaines de millions de dollars cette année pour construire et améliorer les centres de données (le dernier, ouvert à Chicago, compte 300000 serveurs !) qui rendent ses ambitions de cloud computing possibles. Malgré la crise économique, Microsoft a investi 9 milliards de $ en R&D, 10 % de plus que l’année dernière, et les spécialistes prédisent déjà que le géant américain, malgré les critiques faites à son encontre, sera l’acteur le plus prééminent et le plus rentable en la matière.

Le cloud computing constitue donc un service mutualisé et virtualisé, dont le coût varie uniquement en fonction de l’utilisation effective, qu’il conviendra d’encadrer spécifiquement sur un plan juridique.

II . Les risques juridiques liés à l’utilisation du cloud computing

Les principaux risques juridiques du cloud computing sont inhérents aux données (A). Il convient de s’en prémunir dans des contrats sécurisés (B).

A) La sécurité et la sécurisation des données

Le cloud computing se base sur l’hypothèse selon laquelle la majeure partie de l’informatique s’effectue sur une machine souvent distante qui diffère de celle en cours d’utilisation. Les données recueillies lors de ce processus sont stockées et traitées par des serveurs distants (aussi connus sous le nom de « serveurs Cloud »), ce qui signifie que l’appareil qui accède au Cloud est moins sollicité.

Ces serveurs libèrent la mémoire et la puissance de calcul des ordinateurs personnels puisque ce sont eux qui hébergent les logiciels, les plates-formes et les données. Les utilisateurs accèdent aux services Cloud de manière sécurisée : il leur suffit d’utiliser les identifiants transmis par le fournisseur de cloud computing.
Comme le cloud computing implique d’héberger la charge de travail de l’ordinateur d’un utilisateur sur une machine différente, le Cloud est donc accessible partout et disponible dès lors qu’une connexion Internet l’est également.

Certaines sociétés ont leur propre infrastructure Cloud pour conserver les données utilisateur (Google dispose par exemple de ses propres serveurs, tout comme Salesforce). Toutefois, un Cloud peut aussi consister en un nombre restreint d’ordinateurs. Ainsi, il existe des Clouds publics et privés, qui peuvent être autohébergés ou hébergés par un tiers. Pour les Clouds privés, les utilisateurs doivent disposer de plates-formes ou de sessions appropriées (comme un navigateur web ou un compte en ligne) pour pouvoir accéder aux serveurs et aux données qu’ils contiennent.

La mise en place de services de cloud computing n’est pas sans risques, notamment au regard de la sécurité et de sécurisation des données. En effet, l’accès aux données et aux applications est réalisé entre le client et la multiplicité des serveurs distants. Ce risque se trouve donc amplifié par la mutualisation des serveurs et par la délocalisation de ceux-ci.

L’accès aux services induira donc des connexions sécurisées et une authentification des utilisateurs. Se posera alors le problème de la gestion des identifiants et celui des responsabilités (accès non autorisé, perte ou vol d’identifiants, niveau d’habilitation, démission ou licenciement, etc.).

Il existe également un risque de perte de données qu’il conviendra de prendre en considération, d’évaluer et d’anticiper dans le cadre de procédures de sauvegarde adaptées (stockage dans des espaces privés, en local, en environnement public, etc.). De même, il existe également des risques au regard de la confidentialité des données (fuites), vu le nombre de serveurs et la délocalisation de ceux-ci.

De surcroît, la réalisation des services de cloud computing étant assurée par un prestataire externe, celle-ci comporte des risques au regard de la qualité de service obtenue, et de la propriété et de l’intégrité des données et/ou applications confiées, risques qu’il conviendra donc de prévoir contractuellement.

En outre, la mise en place de ce type de service peut parfois s’avérer onéreuse. Il existe en effet des risques financiers liés aux outils de contrôle servant à évaluer la consommation du cloud computing, et sa facturation. Il conviendra ainsi de définir contractuellement une unité de mesure du stockage, et des ressources informatiques utilisées, ou encore du nombre d’utilisateurs actifs, afin que cela reste avantageux pour l’entreprise concernée.

Finalement, la mise en place de services de cloud computing fait naître pour l’entreprise un certain nombre de risques au regard des données personnelles et des formalités imposées par la CNIL. Ces risques sont aggravés en cas de transfert de données hors de l’Union européenne (UE). La rédaction de contrats de cloud computing devra donc également prendre en considération ces problématiques.

En effet, le contrat doit tenir compte de ces contraintes, d’autant que le fait de confier ses données à un sous-traitant n’exonère pas le responsable du traitement de ses obligations. Cette question prend une ampleur particulière, car les serveurs sont délocalisés et le client n’a pas à connaître la localisation des serveurs.

Cependant, la loi impose, pour les transferts de données à caractère personnel hors de l’Union européenne, des formalités d’autorisation. Il est donc prudent d’imposer au prestataire de cloud computing soit un engagement de maintenir ses serveurs au sein de l’Union européenne, soit de veiller à être bien informés dans le cas d’un transfert hors Union européenne.

Il convient de distinguer entre les données personnelles telles que définies par le Règlement général sur la protection des données (RGPD) et les données commerciales non personnelles. Le RGPD, dans son article 4, définit les données personnelles comme toute information relative à une personne physique identifiée ou identifiable de manière directe ou indirecte par référence à des éléments qui lui sont propres. Sachant que les données à caractère personnel sont protégées par ce règlement, les données commerciales, quant à elles, sont régies par les dispositions de la loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires et plus précisément en vertu l’article L151-1 du Code de commerce. (1)

B) Les précautions juridiques nécessaires à la rédaction d’un contrat de cloud computing

Il conviendra d’un point de vue général de mettre en place, pour pallier les risques précédemment évoqués, comme dans le cadre de tout projet d’externalisation, une convention de niveau de service, également appelée « SLA » (pour « Service Level Agreement »), permettant au client d’obtenir du prestataire une qualité de service convenue contractuellement.

En outre, la convention pourra comporter des indications quant aux attentes du client relatives à la réalisation des obligations du prestataire et notamment instaurer un système de malus ou de pénalités.

Il s’avère primordial de contractualiser un plan de réversibilité permettant d’assurer le transfert des services à d’autres prestataires, et ce, pour assurer une pérennité des services de cloud computing.

Plus particulièrement, il conviendra de prévoir les facteurs déclencheurs de cette réversibilité (carence du prestataire, libre choix du client après un certain nombre d’années), les conditions de cette réversibilité (simple discontinuité du service, ou arrêt total du service) et enfin le coût de celle-ci.

Il sera préconisé de prévoir la réplication des données sur plusieurs sites distants ou l’obligation de résultat de restauration des données dans des délais contractuels définis afin de palier leur perte. L’accord de Cloud Computing devra aussi stipuler une garantie de paiement d’une indemnité aux personnes physiques concernées par les données personnelles, en cas de traitement illicite ou de perte de ces dernières.

Le contrat prendra soin de préciser que l’ensemble des traitements ne seront opérés par l’hébergeur que sur instructions et contrôle des utilisateurs, c’est-à-dire sans prise d’initiative sans instructions expresses des utilisateurs considérés comme responsables de traitements.

En ce qui concerne l’intégrité et de la confidentialité des données, il pourra être prévu une clause d’audits externes, chargés d’une mission de contrôle acceptée par l’hébergeur du service. Notons aussi qu’il conviendra de s’assurer de la bonne rédaction de la clause de responsabilité du contrat, et d’encadrer tout particulièrement la traçabilité, l’accès frauduleux, l’atteinte à l’intégrité, voire la perte de données sensibles.

Mais s’agissant plus particulièrement les données sensibles que sont les données personnelles, le client pourra exiger que celles-ci restent localisées sur des serveurs exclusivement situés dans l’UE et prévoir les moyens de contrôle de cette obligation.

Le client s’exonérera ainsi d’un ensemble de formalités CNIL liées au transfert de données personnelles en dehors de l’UE. Pour se prémunir, il pourra aussi stipuler une interdiction pour l’hébergeur de regrouper, ou de stocker sur des serveurs identiques, un fichier de données avec d’autres fichiers comportant des données dites sensibles (par exemple : des fichiers comportant des informations bancaires et financières).

Enfin, nouveau modèle d’intégration de services informatiques, utilisables à la demande via Internet, reposant sur l’hébergement et l’accès à distance, attractif pour les entreprises, le cloud computing reste complexe à maîtriser.

Naturellement le bénéficiaire du cloud computing aura intérêt à s’assurer que le contrat de cloud comporte une clause intuitu personae, à encadrer autant que possible les conséquences de la disparition de son cocontractant.

Il conviendra par conséquent pour les entreprises de mettre en place un cadre contractuel adapté. L’encadrement juridique est en effet primordial pour prévenir les risques liés à ce service, qui, d’ici 2020, permettra aux entreprises de faire migrer l’essentiel de leurs applications dans les « nuages ».

Cela étant, il est intéressant d’évoquer le Cloud Act (Clarifying Lawful Overseas Use of Data Act) qui avait été adopté, le 8 mars 2018, par le Congrès américain. Ce Cloud Act permet aux agences de renseignement américaines ou aux forces de l’ordre d’obtenir les informations stockées dans les serveurs des opérateurs de télécoms et des fournisseurs de services de Cloud computing.

En effet, les prestataires de services sont obligés de communiquer « les contenus de communications électroniques et tout enregistrement ou autre information relative à un client ou abonné, qui sont en leur possession ou dont ils ont la garde ou le contrôle, que ces communications, enregistrements ou autres informations soient localisés à l’intérieur ou à l’extérieur des États-Unis ». (2)

Suivant l’exemple américain, les instances européennes ont entamé le travail sur un Cloud Act européen ayant pour objectif l’établissement d’un cadre juridique permettant d’instaurer une souveraineté de l’Union européenne sur son propre cloud. Ces mesures se justifient par les difficultés de mises en œuvre inhérentes au recours au cloud. Comme l’a formulé Frédéric Forster : « Si le recours au cloud a la particularité d’être aisé et convivial, il ne se heurte toutefois pas à des difficultés juridiques de mise en œuvre, voire à des convoitises dont il est évidemment indispensable qu’elles soient régulées et coordonnées ». (3)

Pour lire une version plus complète de cet article sur les risques juridiques du cloud computing, cliquez

Sources

: https://www-labase-lextenso-fr.ezproxy.univ-paris13.fr/gazette-du-palais/GPL425s1?em=cloud%20computing
https://www-lamyline-fr.ezproxy.univ-paris13.fr/content/document.aspx?idd=DT0004728009&version=20191114&DATA=yvwYAHK3r6rxmIABJzwNyn
Forster, Les nouveaux enjeux juridiques, EDI 85 spécial Cloud computing,
Magazine de février 2019, Dossier p. 44 et suivantes
https://www.lexis360intelligence.fr/encyclopedies/JurisClasseur_Communication/CU0-TOCID/document/EN_KEJC-201260_0KRO?q=cloud%20computing&doc_type=doctrine_fascicule
https://www.lexis360intelligence.fr/encyclopedies/JurisClasseur_Communication/CU0-TOCID/document/EN_KEJC-201282_0KRO?q=cloud%20computing&doc_type=doctrine_fascicule

Par Murielle Cahen • internet-et-droit • • Tags: cloud computing, informatique, protection des données personnelles, protection vie privé, rgpd

«< 32 33 34 35 36 >»

Murielle Cahen Cabinet d’avocats Paris

A propos de Murielle Cahen

Articles de Murielle Cahen:

Etre en conformité avec le RGPD et l’accountability

I. Le cadre juridique instauré par le RGPD , le régime d’accountability et Privacy by Design

A) Des obligations nouvelles pour les entreprises et en particulier l’accountability et le « Privacy by Design »

B) Des risques accrus pour les entreprises en cas de non-conformité

II. Les étapes de la mise en conformité des entreprises aux nouvelles dispositions

A) Le délégué à la protection des données, « chef d’orchestre » de cette mise en conformité par rapport à l’accountability et le « Privacy by Design »

B) Les détails du processus de transition pour les entreprises

Comment se défendre face au « revenge porn »?

Quels actes sont assimilés à du « Revenge Porn » ?

Quel est le profil psychologique des personnes qui s’adonnent à ce genre de pratiques ? Dans quel cas font-elles ça ?

Que faire lorsque l’on est victime de Revenge porn ?

Sur quels autres fondements les victimes peuvent-elles faire condamner ces pratiques ?

Ces affaires peuvent-elles accélérer les demandes des victimes en faveur du droit à l’oubli sur internet ?

# Coordonnées du cabinet

# Derniers articles

# Publications Murielle Cahen

Contactez-nous