Résultats de recherche pour: numérique

LE DROIT À L’OUBLI

Le règlement général sur la protection des données (RGPD), entré en vigueur le 25 mai 2018, au sein d’une section consacrée aux droits de la personne concernée, affecte son article 17 à la notion de « Droit à l’effacement » des données à caractère personnel.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Prévu par l’article 17 du RGPD et également connu sous l’appellation de « droit à l’oubli » ou « droit à l’oubli numérique », le droit à l’effacement des données permet à tout citoyen résidant dans un pays membre de l’Union européenne de demander à un organisme d’effacer les données personnelles qui le concernent.

Si le droit à l’oubli n’est pas nouveau, les frontières de cette notion ont continuellement été débattues et font toujours l’objet de nombreuses controverses. L’avènement du numérique, en démultipliant la quantité de données échangées et instantanément disponibles sur internet, n’a fait que renforcer l’intérêt porté à ce droit qui revêt désormais une importance cruciale.

I. Le principe du droit à l’oubli

A. La portée du droit à l’oubli

Le droit à l’oubli est initialement un concept européen. Les premiers jalons d’un droit à l’effacement ont été posés par la loi informatique et liberté de 1978, mais aussi par la directive européenne 95/46 (Directive 95/46/CE du 24/10/1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ) dont l’article 12 b) (désormais abrogé) dispose que toute personne a un droit d’obtenir d’un responsable de traitement, l’effacement des données personnelles qui la concernent lorsque celles-ci sont incomplètes ou erronées.


Besoin de l’aide d’un avocat pour un problème de vie privée ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien


Toutefois, ce droit à l’effacement a rapidement montré ses limites, notamment en raison des facultés de stockage des données sur internet qui dépassent largement les capacités humaines.

En effet, les moteurs de recherche peuvent conserver les données relatives à un individu pour une période quasi illimitée, et ce, sans faire la distinction entre celles qui mériteraient d’être référencées et celles qui ne devraient plus l’être.

Face à ce constat, l’idée de créer un véritable « droit à l’oubli » a suscité de nombreux débats, notamment entre les régulateurs et les entreprises du net.

Avant le RGPD, le droit à l’oubli numérique ou droit à l’oubli en ligne était un concept qui permettait à tout internaute de demander le déréférencement d’une ou de plusieurs pages contenant des informations sur lui. Il a été instauré par le fameux arrêt Google Spain c/AEPD et Costeja Gonzales de la CJUE daté du 13 mai 2014.

Cet arrêt affirmait qu’en respectant certaines conditions, une personne physique a le droit de demander à un moteur de recherche de supprimer de la liste des résultats des liens pointant vers des pages contenant ses données personnelles une fois que l’on saisit son nom dans la barre de recherche.

Depuis la mise en application du RGPD, le droit à l’oubli a été en quelque sorte renforcé par la consécration d’un droit à l’effacement

Selon l’article 17 du RGPD qui s’applique en France à compter du 25 mai 2018, la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais lorsque l’un des motifs suivants s’applique :

  1. a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
  2. b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement ;
  3. c) la personne    concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2 ;
  4. d) les données à caractère personnel ont fait l’objet d’un traitement illicite ;
  5. e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ;
  6. f) les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information visée à l’article 8, paragraphe 1.

Lorsqu’il a rendu publiques les données à caractère personnel et qu’il est tenu de les effacer en vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies disponibles et des coûts de mise en œuvre, prend des mesures raisonnables, y compris d’ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l’effacement par ces responsables du traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci.

Cette notion de droit à l’oubli peut être définie par sa finalité, en écartant les éventuels risques qu’un individu soit atteint de manière durable par l’utilisation des données qui le concerne à son insu, que celles-ci soient présentes en ligne par sa propre initiative, ou par celle d’une tierce personne.

En plus d’obtenir du responsable du traitement l’effacement des données ayant un caractère personnel, le droit à l’oubli numérique prévoit également d’effacer la diffusion de ces données personnelles, et en particulier quand la personne concernée n’accorde plus son consentement pour leur utilisation.

B. Les limites du droit à l’oubli

Le droit à l’effacement est écarté dans un nombre de cas limité. Il ne doit pas aller à l’encontre :

  1. De l’exercice du droit à la liberté d’expression et d’information ;
  2. Du respect d’une obligation légale (ex. délai de conservation d’une facture = 10 ans) ;
  3. De l’utilisation de vos données si elles concernent un intérêt public dans le domaine de la santé ;
  4. De leur utilisation à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques ;
  5. De la constatation, de l’exercice ou de la défense de droits en justice.

 C. Ouverture sur un déréférencement mondial au cas par cas

Dans sa décision du 27 mars 2020, le Conseil d’État a précisé la portée géographique du droit au déréférencement. La CNIL prend acte de cette décision qui tire les conséquences automatiques de l’arrêt de la Cour de justice de l’Union européenne (CJUE) du 24 septembre 2019.

En effet, lorsque le moteur de recherche répond à l’affirmative, il ne supprime toutefois que les résultats qui apparaissent sur le site de l’État de nationalité du requérant. Or, cette restriction territoriale suscite des controverses. Selon la CNIL, le refus de Google de déréférencer les liens sur toutes les extensions du nom de domaine du moteur de recherche représente une violation des droits d’opposition et d’effacement reconnus aux personnes faisant l’objet d’un traitement de données personnelles, dans la mesure où les liens demeurent « accessibles à tout utilisateur effectuant une recherche à partir des autres extensions du moteur de recherche ».

La CNIL a ainsi déjà mis en demeure Google d’effectuer les déréférencements sur toutes ses extensions dans un délai de quinze jours (CNIL, décis. N °2015-047, 21/05/2015). De son côté, Google considère que les pouvoirs de la CNIL se limitent à la France et que celle-ci ne saurait valablement se prononcer sur les extensions des autres pays, soutenant qu’un déréférencement mondial serait excessif et limiterait la liberté d’expression.

La CJUE a été saisie par le Conseil d’État le 24 février 2017 pour se prononcer sur des questions préjudicielles ayant trait à la portée du droit au déréférencement et ses conditions de mise en œuvre (CE, Assemblée, 24/02/2017, n°391000).

Dans l’attente de la réponse de la Cour, l’avocat général de la CJUE a rendu un avis le 10 janvier 2019 aux termes duquel il donne partiellement l’avantage à Google en soutenant que « l’exploitant d’un moteur de recherche n’est pas tenu, lorsqu’il fait droit à une demande de déréférencement, d’opérer ce déréférencement sur l’ensemble des noms de domaine de son moteur ».

Contrairement à la CNIL qui s’est largement positionnée en faveur de l’ « amnésie générale », le Conseil d’État proposait que le droit à l’oubli  ne s’applique qu’en Europe, laissant ainsi la possibilité de consulter un contenu référencé en France depuis l’étranger.

Si sans surprise, dans sa décision du 27 mars 2020 le Conseil d’État confirme l’impossibilité d’un droit au déréférencement mondial et général, il ouvre cependant la porte à une application mondiale de ce droit, au cas par cas. Les deux parties peuvent ainsi trouver satisfaction dans cet arrêt : Google qui voit sa sanction annulée et le confinement du droit au déréférencement aux frontières de l’UE confirmé et la CNIL qui voit le Conseil d’État l’autoriser à permettre l’abolition des frontières, au cas par cas.

Par une décision du 10 mars 2016, la CNIL avait prononcé une sanction de 100 000 euros à l’encontre de Google Inc. en raison de son refus d’appliquer le droit au déréférencement à l’ensemble des extensions de nom de domaine de son moteur de recherche. Saisi par le moteur de recherche, le Conseil d’État avait sursis à statuer, pour demander à la CJUE son interprétation du RGPD en matière de territorialité. La cour de Luxembourg avait rappelé que, si le RGPD n’impose pas un déréférencement sur l’ensemble des versions du moteur de recherche, il ne l’interdit pas non plus. Et c’est dans cette brèche que le Conseil d’État s’est glissé, approuvant ainsi le raisonnement de la CNIL.

La CJUE considère qu’il n’existe pas un droit au déréférencement mondial, sur la base du RGPD.

Néanmoins, elle rappelle que les autorités des États membres demeurent compétentes pour effectuer, à l’aune des standards nationaux de protection des droits fondamentaux, une mise en balance entre, d’une part, le droit de la personne concernée au respect de sa vie privée et à la protection des données et, d’autre part, le droit à la liberté d’information, et, qu’au terme de cette mise en balance, elle peut enjoindre, le cas échéant, à l’exploitant de ce moteur de recherche de procéder à un déréférencement portant sur l’ensemble des versions dudit moteur.

Faute pour la CNIL d’avoir effectué cette mise en balance dans le contentieux qui l’opposait à Google, elle a vu confirmé l’annulation de sa décision du 10 mars 2016.

II. Le droit à l’oubli en pratique

A. Identifier l’organisme à contacter

L’exercice du droit à l’effacement est une procédure relativement simple. Dans un premier temps, la personne concernée doit identifier l’organisme à contacter, c’est-à-dire l’entreprise qui assure le traitement des données.

Il faudra ensuite se rendre sur la page d’information consacrée à l’exercice des droits sur la plateforme de ladite entreprise, en cliquant entre autres sur « politique vie privée », « politique confidentialité » ou « mentions légales ».

B. Exercer le droit à l’effacement auprès de l’organisme

L’exercice du droit d’effacement peut être exercé par divers moyens : par voie électronique (formulaire de déréférencement, adresse mail, bouton de téléchargement, etc.) ou par courrier, par exemple.

A la suite de l’affaire Google Spain de 2014, Google a mis en place un formulaire de requête en ligne permettant aux internautes de faire une demande de déréférencement. Lorsque Google est saisi d’une requête en déréférencement, le moteur de recherche effectue une analyse au cas par cas pour déterminer si le lien litigieux donne accès à des informations qui s’avèrent « inadéquates, pas ou plus pertinentes ou excessives au regard des finalités du traitement en cause ».

Depuis les mêmes formulaires de déréférencement existe pour les moteurs de recherche YAHOO, BING, QWANT notamment.

En outre, il est très important d’indiquer précisément quelles sont les données que vous souhaitez effacer.

En effet, l’exercice de ce droit n’entraîne pas la suppression simple et définitive de toutes les données vous concernant qui sont détenues par l’organisme.

Par exemple, une demande d’effacement de votre photo sur un site n’aboutira pas à la suppression de votre compte. De même, une demande de suppression de votre compte n’entraînera pas la suppression des factures et autres documents comptables relatifs à vos achats, pour lesquels une obligation légale de conservation existe.

Si et seulement si, l’organisme à des doutes raisonnables sur votre identité, il peut vous demander de joindre tout document permettant de prouver votre identité, par exemple pour éviter les usurpations d’identité.

En revanche, il ne peut pas vous demander des pièces justificatives qui seraient abusives, non pertinentes et disproportionnées par rapport à votre demande.

La conservation d’une copie des différentes démarches est toujours conseillée, notamment lorsque la personne concernée souhaite saisir la CNIL en cas d’absence de réponse ou de réponse non satisfaisante du responsable de traitement.

C. Que faire en cas de refus ou d’absence de réponse

Le responsable du fichier droit procéder à l’effacement dans les meilleurs délais et au plus tard dans un délai d’un mois, qui peut être porté à trois compte tenu de la complexité de la demande.

Dans ce dernier cas, l’organisme doit vous informer des raisons de cette prolongation. En cas de réponse insatisfaisante ou d’absence de réponse sous un mois, vous pouvez également saisir la CNIL afin de procéder au dépôt d’une plainte en ligne.

 En outre, le responsable du traitement qui décide de ne pas donner suite à une demande d’exercice du droit à l’effacement se voit dans l’obligation de justifier son refus auprès du propriétaire des données.

Suite à l’application des nouvelles dispositions du RGPD, les entreprises traitant les données personnelles doivent mettre en place les meilleurs mécanismes qui permettent de vérifier que les données collectées ne sont pas conservées au-delà du délai nécessaire, compte tenu des finalités annoncées au départ.

Pour lire une version plus complète de cet article sur le droit à l’oubli, cliquez

 SOURCES :

https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32016R0679
https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000000886460
https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000000697074&categorieLien=id
https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A62012CJ0131
https://www.cnil.fr/sites/default/files/atoms/files/decision_du_conseil_detat_-_dereferencement_-_27_mars_2020.pdf

COMMENT SE DÉFENDRE CONTRE L’ESPIONNAGE INDUSTRIEL ?

Le secret industriel et commercial est une branche du secret des affaires.

Afin d’être performantes et compétitives les entreprises acquièrent un savoir-faire et dans le même temps des connaissances particulières.

Fruit de leur expérience, de leur investissement et de leurs recherches, ces connaissances font souvent l’objet de convoitises, c’est ainsi que s’est développé l’espionnage industriel.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Sur le plan économique, l’espionnage peut se définir comme étant soit l’acquisition et/ou l’interception illicite de secrets d’affaires ou de savoir-faire d’une entreprise rivale. Soit, même si cela est moins couramment répandu, la déstabilisation d’un concurrent par la divulgation publique de son avantage commercial et/ou industriel.

Ces risques se sont démultipliés avec l’arrivée du numérique. Bien qu’offrant de multiples avantages, les entreprises sont plus facilement exposées et plus vulnérables lorsqu’elles manquent de moyens.

Il apparaît alors nécessaire de mettre en place des mesures de protection afin que le savoir-faire, les connaissances spécifiques de l’entreprise restent tenus secrets et que la concurrence entre les entreprises joue librement.

En France, se défendre contre l’espionnage industriel n’est pas chose facile. En effet, plusieurs rapports indiquent que la défense contre l’espionnage industriel est mal faite ou sinon mal assurée. Cette lacune dans le cadre de la défense contre l’espionnage industriel est encore plus grave lorsque l’on compare la France à son voisin d’outre-Atlantique.

Il est facilement possible de remarquer que se défendre contre l’espionnage industriel est plus efficace et plus simple aux États-Unis. Cette nette différence est difficile à expliquer tant l’espionnage industriel est présent en France autant qu’aux États-Unis. Il ne faut oublier que la France est aussi dotée d’entreprises performantes, au même titre que les États-Unis. Conscients de ces lacunes, la doctrine, la jurisprudence ainsi que le législateur ont œuvré pour une meilleure défense contre l’espionnage industriel.

Il est possible de citer à titre d’exemple l’enquête menée par Investiga France, agence d’enquête créée en 1991 et agréée par l’Etat. Une jeune stagiaire chinoise avait été incarcérée en 2005 pour espionnage industriel chez l’équipementier français Valéo pour  » abus de confiance « , et  » intrusion dans un système automatisé de données  » après avoir téléchargé et transmis à un concurrent un volume important de données confidentielles durant son stage.

 

 


Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien


Également, en 2007, un ingénieur travaillant au sein de l’entreprise Michelin était condamné pour avoir mis en vente des données confidentielles. De telles informations méritent alors protection en ce qu’elles sont susceptibles de permettre au concurrent d’appréhender la stratégie industrielle et commerciale de sa rivale, mais aussi de connaître ses éventuelles faiblesses structurelles.

En 2019, la société Orapi a été condamnée pour espionnage industriel au paiement d’une amende de 80 000 euros. D’autres amendes ont également été prononcées à l’encontre du président-directeur général, du directeur du site de Lisieux ainsi qu’à l’encontre de la responsable marketing. Il était reproché à cette société d’avoir accédé à une base de données sécurisée appartenant à un groupement d’intérêt économique (GIE) dont faisait partie son concurrent et d’avoir téléchargé des fiches techniques et de fiches de sécurité de produits vendus, et ce, grâce à l’appropriation des identifiants appartenant à une ancienne employée. (1)

En effet, l’objectif recherché était la déstabilisation de l’entreprise visée, afin de tirer un profit économique ou industriel de cette situation. L’espionnage industriel est caractérisé par la récupération d’informations stratégiques (du point de vue commercial) de concurrents par des moyens illégaux, allant du piratage au chantage, en passant par la surveillance ou encore la violence.

Dans une autre perspective, il en va même de la sécurité de l’emploi, puisque la compétitivité érodée d’une entreprise, victime d’usurpation ou fuite, risque de se traduire par des licenciements.

En dehors des modes de réservation des créations immatérielles, les données, constitutives du savoir-faire d’une entreprise, ne peuvent faire l’objet d’un droit privatif ; le secret étant alors leur seul moyen de sauvegarde.

Alors que venait d’éclater l’affaire d’espionnage industriel supposé chez Renault, le député UMP du Tarn Bernard Carayon avait déposé, le 12 janvier 2011, la proposition de loi n°1754 sur le secret des affaires, visant à créer un délit d’atteinte aux informations économiques protégées.

Plusieurs tentatives ont été faites depuis 2004 pour instaurer un délit de violation du secret des affaires. Si Carayon, soutenu par quelques 124 députés co-signataires, avait déjà déposé une proposition de loi en 2009, et tenté d’introduire un amendement sur l’intelligence économique dans le projet de loi Loppsi sur la sécurité, la nécessité de renforcer la protection des entreprises contre l‘espionnage industriel ne cesse de se faire sentir.

Il s’agit alors d’instaurer des peines suffisamment sévères pour être dissuasives, à l’image de celles que prévoit le Cohen Act américain, de manière à combler les lacunes du droit français, qui, faute de sanctions précises et sévères, décourage les entreprises à porter les affaires d’espionnage industriel devant les tribunaux. Par ailleurs, les entreprises victimes sont souvent préoccupées par leur réputation et des conséquences d’images qui pourraient découler de ses poursuites. Elles renoncent d’autant plus à agir que la jurisprudence semble peu favorable aux entreprises victimes dans ces affaires (cf Michelin).

La loi loi n° 2018-670 du 30 juillet 2018, dont l’ensemble des dispositions avaient été validées par le Conseil Constitutionnel le 26 juillet 2018 a été adoptée. Cette loi vise à l’instauration d’un cadre commun qui va permettre de lutter et de prévoir des réparations quant aux atteintes au secret des affaires.

La question qui se pose est de savoir si, ces derniers se trouvent correctement protégés par une mise en œuvre du droit commun de la responsabilité délictuelle et contractuelle. Si le droit commun de la responsabilité délictuelle et contractuelle, utilisé par la jurisprudence, offre un cadre adéquat à la protection des secrets de l’entreprise, l’efficacité de la répression de la violation du secret pourrait être améliorée.

I/ La protection contre l’espionnage industriel dans le droit positif

A/ L’inefficacité des articles épars appréhendant l’espionnage industriel

La directive (UE) 2016/943 du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites est intervenue afin d’harmoniser les législations nationales des États membres portant sur la protection des secrets d’affaires dans le cadre de la lutte contre leur divulgation, leur obtention et leur utilisation illicites. A cet égard, l’article 19 de cette directive imposait aux États membres de s’y conformer en adoptant les dispositions législatives, réglementaires et administratives nécessaires, et ce, au plus tard le 9 juin 2018.

Dans ce sens, la loi n° 2018-670 du 30 juillet 2018 transposant la directive européenne n° 2016/943 du 8 juin 2016 a été adoptée. En outre, le décret n° 2018-1126 du 11 décembre 2018 précise les mesures d’application judiciaire de la loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires. Désormais, la protection du secret des affaires est consacrée dans le Code de commerce. (2)

L’article L. 151-1 du code de commerce introduit une définition sur la base de trois critères cumulatifs. Ainsi, est protégée l’information non généralement aisément accessible ou connue pour les personnes familières de ce type d’informations en raison de leur secteur d’activité, l’information qui revêt une valeur commerciale effective ou potentielle et qui, enfin, fait l’objet de mesures de protection raisonnables visant à en conserver le caractère secret. (3)

Premièrement, dans l’hypothèse où le secret d’affaires divulgué repose sur un mode de protection institué par la propriété intellectuelle, à l’instar d’une marque, de dessins et modèles, d’un brevet, ou d’un droit d’auteur, la loi prévoit expressément les cas spécifiques de protection et de recours pour contrefaçon des droits du titulaire (articles L 111-1, L 112-2, L 335-2 et suivants du Code de la propriété intellectuelle).

Celle-ci permet d’ailleurs de réagir de manière immédiate et efficace en faisant procéder à des mesures conservatoires, selon la procédure de saisie-contrefaçon, avec intervention d’huissiers de justice et de personnes assermentées. Une astreinte financière pourra de même être sollicitée, outre la confiscation. Toutefois, la sanction reste généralement financière, sous forme de dommages et intérêts qui sont parfois peu dissuasifs.

Cela dit, les contrats de travail peuvent contenir des clauses de confidentialité et des clauses de non-concurrence. Ces clauses permettent de sanctionner le salarié qui se livrerait à des activités d’espionnage. On peut également insérer une clause de confidentialité dans les contrats conclus avec des partenaires extérieurs, assortie d’une sanction financière. Toutefois, en l’état actuel du droit, on peut penser que la plupart des affaires se rapportant à l’espionnage industriel seraient tranchées devant le tribunal des Prud’hommes comme une violation du contrat de travail ce qui apparaît être une réponse assez peu efficace au problème.

En dehors de ces hypothèses de titres de propriété intellectuelle et clauses de contrat de travail, il est possible pour l’entreprise victime de s’appuyer sur des qualifications pénales classiques, telles que le vol du matériel supportant le savoir-faire (article 311-1 et suivants du Code pénal), voire l’abus de confiance dans le cadre de relations contractuelles (article 314-1 et suivants du Code pénal).

Des dispositions répressives pouvant permettre aux entreprises de lutter contre la fuite de leurs informations protégées existent également. Tel est le cas de l’article 226-13 du Code pénal qui réprime, d’une peine d’un an d’emprisonnement et de 15 000 euros d’amende, la violation du secret professionnel, par une personne qui en est « dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire ».

En outre, une seconde disposition répressive pourrait contribuer à la lutte contre la fuite d’informations protégées, en ce qu’elle vise la corruption (article 445-1 et 2 du Code pénal), constituée si la communication des informations avait pour but de faciliter l’activité des concurrents. L’incrimination de la violation du secret de fabrique figure, quant à elle, aux articles L. 621-1 du Code de la propriété intellectuelle et L. 1227-1 du Code du travail, qui la sanctionnent par une peine de deux ans d’emprisonnement et 30 000 euros d’amende.

Seul ce délit de divulgation du secret de fabrication peut encore sembler inclure spécifiquement la violation d’un secret industriel. Il ressort donc de cette énumération qu’il n’existe aucun texte pénal qui sanctionne précisément l’appropriation de biens informationnels par espionnage industriel.

B/ L’insuffisance de la jurisprudence réprimant l’espionnage industriel

Le détenteur d’un secret, à la différence du titulaire d’un droit de propriété intellectuelle,  ne dispose pas de l’action en contrefaçon, mais seulement d’une action en responsabilité fondée sur la preuve de la faute de l’usurpateur, au sens des articles 1382 ancien et suivants , devenu article 1240 du Code civil. Il convient de rappeler que tout professionnel a le droit d’attirer la clientèle de ses concurrents. Le préjudice concurrentiel est donc en principe licite. Toutefois, il devient fautif dès lors qu’il a été causé par des moyens déloyaux. Ainsi la jurisprudence affirme que l’action en concurrence déloyale a précisément pour objet d’assurer la protection de celui qui ne peut se prévaloir d’un droit privatif (arrêt de la Chambre commerciale du 3 octobre 1978).

Celui qui appréhende une information confidentielle sans l’accord du détenteur du secret, peut donc voir sa responsabilité engagée sur le fondement de la protection contre la concurrence déloyale. La faute du défendeur consiste alors dans l’accès et le détournement des connaissances contre la volonté de leur détenteur, caractérisant l’espionnage industriel, aussi appelé captation du savoir-faire d’autrui (arrêt de la Cour d’appel de Paris du 9 avril 1992).

À titre d’exemple, est répréhensible de débaucher un employé en lui proposant un salaire très élevé dans le but de connaître les secrets d’un concurrent (arrêt de la Chambre sociale du 7 juillet 1960). De même, fait figure d’acte d’espionnage industriel répréhensible, le fait, pour un commerçant, de se procurer, par l’intermédiaire d’un préposé transportant les produits d’une maison concurrente, la liste des clients de cette dernière (arrêt du TGI de Lure, du 13 avril 1962).

De surcroît, doit être réparé le préjudice moral et économique résultant de la faute d’un concurrent qui a créé cet état en faisant croire à son entourage que l’entreprise assurait mal la protection de certaines de ses données secrètes (arrêt de la Cour d’appel de Versailles du 11 septembre1997).

Le cas d’usurpation répréhensible le plus évident reste celui de personnes extérieures à l’entreprise, pratiquant des actes d’espionnage industriel ou commercial (arrêt de la Cour de Paris, du 9 avril 1992).

Il apparaît cependant important de noter qu’aujourd’hui, avec le numérique il est devenu plus complexe de trouver l’auteur de tels méfaits.

Finalement, la Cour de cassation est prête à appliquer des textes généraux pour sanctionner de tels faits d’appréhension, avec les dispositions relatives à l’abus de confiance sur le détournement de « projet » (arrêt de la Chambre criminelle du 22 septembre 2004), voire même au vol d’informations (arrêt de la Chambre criminelle du 21 janvier 2003).

La jurisprudence relative à la concurrence déloyale permet donc de maintenir le droit pour chaque entreprise de s’informer des initiatives et des innovations de ses concurrents, tout en assurant une certaine prohibition de l’espionnage. Une telle protection s’avère cependant insuffisante, et c’est d’autant plus le cas que les réparations accordées ne se font jamais en nature.

Généralement, la sanction de la violation des secrets de l’entreprise prend seulement une forme indemnitaire, puisqu’une fois dévoilée, l’information confidentielle semble perdre tout intérêt. Cette remarque doit être nuancée. Certes, des informations secrètes peuvent perdre tout intérêt une fois révélées, comme c’est le cas lorsqu’un cadre porte à la connaissance du public les difficultés financières traversées par une entreprise (arrêt de la Chambre sociale du 30 juin 1982).

Ceci étant, l’usurpation d’une donnée secrète ne suppose pas nécessairement sa divulgation, laquelle peut, de toute façon, ne pas faire perdre tout intérêt à cette information.

À titre d’exemple, constitue une information essentielle la liste des composants électroniques disponibles dans le commerce qui, selon les tests menés par une entreprise, sont les seuls à pouvoir résister à certaines contraintes mécaniques. Si la simple lecture de la liste par un concurrent fait perdre à l’entreprise son avantage concurrentiel, l’intérêt de cette information ne se trouve pas épuisé pour autant.

Il convient de noter qu’à chaque expérience menée par le concurrent ayant eu accès à la liste, celui-ci va mettre en œuvre cette connaissance, et c’est donc l’utilisation de la donnée usurpée qui cause à l’entreprise victime le dommage, justifiant de fait une réparation en nature. Elle suppose le prononcé d’une interdiction faite au concurrent ayant usurpé l’information de l’utiliser et de la divulguer ; en plus de la condamnation à l’octroi de dommages-intérêts, pour usurpation de l’information secrète.

Pour le moment, cette solution opportune demeure peu pratiquée en France, puisqu’on ne trouve que très peu d’arrêts prononçant sous astreinte la prohibition de l’utilisation des informations usurpées, afin de réparer le préjudice en nature.

Il convient de citer , parmi ces rares arrêts, celui rendu par la Chambre sociale le 12 mars 1996, où il est défendu à l’usurpateur, sous peine d’astreinte, de procéder à des audits ou d’accomplir des actes de formation pour les anciens clients de la société victime et d’utiliser du matériel et des documents provenant de cette société ; ou encore celui de la Chambre commerciale du 12 déc. 1995, où il est fait interdiction à la société usurpatrice de fabriquer et diffuser le produit.

En revanche, la réparation en nature est très présente dans certains pays étrangers, et en particulier aux États-Unis où les juges n’hésitent pas à interdire la divulgation et l’utilisation de secrets commerciaux, tels des fichiers clients, des méthodes logistiques, des formules chimiques ou même une liste de donneurs de sang. La voie indemnitaire est ainsi loin d’être la seule concevable pour dédommager l’entreprise.

De surcroit, non seulement l’allocation de dommages-intérêts ne permet pas toujours une réparation adéquate, mais surtout l’éventuelle expertise menée pour chiffrer le préjudice peut entraîner un nouveau risque de divulgation.

À l’heure où l’espionnage industriel prend une envergure sans précédent, la sécurité de l’entreprise dans un marché concurrentiel passe par une protection efficace de ses secrets, ce qui suppose, en plus d’un cadre juridique accueillant (comme soulevé dans le I-A), l’assurance d’une sanction efficace de nature à dissuader toute violation des secrets de l’entreprise.

II/ La nécessité d’une défense plus effective contre l’espionnage industriel

A/ L’affaire Michelin, témoin des limites de la protection

Le 21 juin 2010, le Tribunal correctionnel de Clermont-Ferrand par jugement a condamné un ancien salarié de la société Michelin qui avait tenté de vendre des informations obtenues au cours de son contrat de travail à la société Bridgestone, fabricant concurrent de pneumatiques.

Alors qu’il venait de démissionner, l’ex-ingénieur Michelin avait proposé à Bridgestone, en juillet 2007, des données confidentielles en échange de 100 000 livres. Elles portaient notamment sur une nouvelle génération de pneus poids lourds. Bridgestone avait alors prévenu Michelin, conduisant à l’arrestation de « l’espion ».

Plusieurs chefs de poursuite sont retenus et permettent de dresser un panorama des fondements juridiques de protection de l’information et du secret des affaires. Pourtant, compte tenu de la manière dont la société Michelin avait piégé son salarié, ce dernier, invoquant les dispositions de la Convention européenne des droits de l’Homme, a soutenu que le procès était inéquitable en raison de la déloyauté dans la collecte de la preuve.

Michelin était informé par Bridgestone des intentions de son salarié, a créé une adresse e-mail se terminant par « fukuda », pseudonyme qui aurait permis de piéger le salarié.

D’abord, il est reproché au salarié le délit précité d’abus de confiance, dont dispose l’article 314-1 du Code pénal, qui condamne à une peine de cinq ans d’emprisonnement et 375 000 euros d’amende, toute personne ayant détourné au préjudice d’autrui, des fonds, des valeurs ou biens quelconques qui lui ont été remis et qu’elle avait acceptés à charge de les rendre.

Ainsi, le tribunal confirme ainsi la jurisprudence selon laquelle lorsqu’une information remise dans un but déterminé est utilisée à d’autres fins, il y a abus de confiance, et ce peu importe que le bien en cause soit immatériel (arrêt rendu par la Chambre criminelle le 14 novembre 2000 s’agissant d’un numéro de carte bancaire mémorisé pour être réutilisé).

La jurisprudence qui applique, aux affaires d’espionnage industriel, les dispositions précitées réprimant la révélation des secrets de fabrique, notamment l’article L. 1227-1 du Code de travail, prévoyant une peine d’emprisonnement de 2 ans et 30 000 euros d’amende, pour tout directeur ou salarié d’une entreprise qui révélerait ou de tenterait de révéler un secret de fabrication est de même confimée.

Il faut regretter l’étroitesse de la rédaction qui ne couvrirait pas des tiers à l’entreprise comme les stagiaires. De plus, la difficulté juridique tient à la définition du secret de fabrication.

Finalement, le tribunal n’a pas admis l’existence d’un secret de fabrique et sa protection corollaire et a motivé sa position de la manière suivante : « Procédé de fabrication offrant un intérêt pratique ou commercial, tenu secret qu’aucune précision n’a été apportée par la Manufacture Michelin concernant l’éventuel dépôt de brevet pour ce procédé qui était déjà en phase de développement ». Il est exigé comme condition de la protection du secret de fabrique un dépôt de brevet éventuel, alors que ce lien avec la brevetabilité d’un produit peut paraître étonnant en ce qu’il ajoute une condition au texte, ainsi partiellement vidé de sa substance.

Le texte sur le secret de fabrique n’a pas vocation à protéger uniquement l’avant-brevet, mais également des savoir-faire ou techniques qui ne peuvent être brevetés, à la condition qu’ils soient originaux…

Finalement, l’atteinte aux droits fondamentaux de la nation du fait de la « livraison à une entreprise étrangère de renseignements dont l’exploitation et la divulgation sont de nature à porter atteinte aux intérêts fondamentaux de la nation », réprimée par l’article 411-6 du Code pénal, d’une peine de 15 ans de détention criminelle et de 225 000 euros d’amende a pu être évoquée dans l’affaire.

Ce délit consiste à recueillir en vue de livrer à une puissance, entreprise ou organisation étrangère, voire à leurs agents, des procédés ou données informatisées, dont l’exploitation ou la réunion est de nature à porter atteinte aux intérêts fondamentaux de la nation.

Le problème réside dans la difficulté de la réunion des conditions d’application de l’article, d’autant plus que cette disposition ne peut s’appliquer pour sanctionner l’espionnage industriel que dans la seule hypothèse où l’État est mis en danger.

Alors même que cette récente affaire Michelin témoigne de l’existence de divers moyens de protection contre l’espionnage industriel, qu’applique la jurisprudence française, elle fait également apparaître les limites à la protection française constituée autour de dispositions éparses, se révélant, qui plus est, peu efficace au moment de leur mise en œuvre.

B/ La loi relative à la protection des informations économiques comme remède ?

La directive (UE) 2016/943 du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites est intervenue afin d’harmoniser les législations nationales des États membres portant sur la protection des secrets d’affaires dans le cadre de la lutte contre leur divulgation, leur obtention et leur utilisation illicites. A cet égard, l’article 19 de cette directive imposait aux États membres de s’y conformer en adoptant les dispositions législatives, réglementaires et administratives nécessaires, et ce, au plus tard le 9 juin 2018.

Cette directive intervient sur de nombreux points. Pour commencer, elle définit le secret d’affaires comme des informations non divulguées qui sont secrètes, ont une valeur commerciale et font l’objet de mesures raisonnables de protection pour en assurer la confidentialité.

Les détenteurs de secrets d’affaires sont tenus de prendre des mesures raisonnables pour protéger leur confidentialité, par exemple, en utilisant des accords de confidentialité, des restrictions d’accès, des mesures de sécurité, etc.

Par ailleurs elle interdit l’obtention illicite de secrets d’affaires, y compris le vol, l’espionnage, la corruption ou toute autre pratique déloyale. Elle interdit également leur utilisation et leur divulgation illicites. Des exceptions sont prévues afin de protéger l’intérêt public, notamment en permettant la divulgation des secrets d’affaires dans le cadre de dénonciations d’activités illégales, de la protection des intérêts légitimes des travailleurs ou de l’exercice de la liberté d’expression et d’information.

Enfin la directive établit des mécanismes pour obtenir des mesures provisoires et des réparations en cas de violation des secrets d’affaires, y compris des injonctions pour empêcher l’utilisation ou la divulgation illicite, ainsi que des réparations pour les dommages subis.

En France, la loi n° 2018-670 du 30 juillet 2018 a permis de procéder à la transposition de la directive européenne. En outre, le décret n° 2018-1126 du 11 décembre 2018 précise les mesures d’application judiciaire de la loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires. Désormais, la protection du secret des affaires est consacrée dans le Code de commerce. (2) Les secrets d’affaires peuvent inclure des informations telles que des formules, des procédés de fabrication, des techniques, des méthodes commerciales, des bases de données, des plans, des études, etc.

Ayant reçu la validation du Conseil constitutionnel, la loi complète le Code de commerce en apportant des précisions quant à l’objet et aux modalités de protection. Par ailleurs elle définit le régime des actions préventives, correctives et compensatoires en cas de violation du secret des affaires et établit des mesures générales de protection applicables devant les juridictions civiles ou commerciales.

L’article L. 151-1 du code de commerce introduit une définition sur la base de trois critères cumulatifs. L’information protégée doit ainsi ne pas être connue ou aisément accessible pour les personnes familières de ce type d’informations en raison de leur secteur d’activité, elle doit revêtir une valeur commerciale effective ou potentielle qui résulte de son caractère secret, et doit faire l’objet de mesures de protection raisonnables pour demeurer secrète, compte tenu des circonstances. (3)

Le dispositif mis en place au travers de cette loi est plus efficace, dotant la justice de moyens répressifs plus importants.

Cette loi prévoit en son article 1er de punir « l’atteinte au secret d’une information à caractère économique protégée » par une peine de trois ans d’emprisonnement et 375 000 euros d’amende ; le double si le responsable de la fuite a agi dans « l’intention de nuire » à l’entreprise ou en a tiré un « profit personnel ».

Une définition plus précise quant à l’objet de la révélation incriminée est expressément fournie. En effet, sont expressément qualifiées d’informations à caractère économique protégées, les informations ne constituant pas des connaissances générales librement accessibles par le public, ayant, directement ou indirectement, une valeur économique pour l’entreprise, et pour la protection desquelles leur détenteur légitime a mis en œuvre des mesures substantielles conformes aux lois et usages, en vue de les tenir secrètes.

Cette loi avait été directement inspirée de l’Economic Espionnage Act américain de 1996 (également appelé Cohen Act), selon lequel « Toute personne qui a accès ou s’approprie sans autorisation des informations représentant une valeur économique, qui ne sont pas dans le domaine public et pour lesquelles une entreprise a pris des mesures de protection substantielles est passible de sanctions pénales et civiles ».

La loi Loppsi 2 , s’ajoutant à ce dispositif, peut faire figure de moyen supplémentaire de lutte contre l’espionnage industriel.

Par ailleurs, il convient de souligner les apports du RGPD et la NIS 2 dans ces domaines. Les nouvelles exigences de sécurité qu’ont imposé ces réglementations entendent protéger les données des entreprises et des personnes physiques afin de garantir leur compétitivité mais également la confidentialité de ces dernières.

Elles s’attèlent à réglementer l’ensemble de la chaîne qui entretient un lien direct ou indirect avec l’entreprise et peut potentiellement provoquer des failles de sécurité.

Protéger la myriade de sous-traitants est une mission très complexe. 

Sur le plan pratique, il est institué un « confidentiel entreprise », comme il existe un « confidentiel défense ». Certains documents scientifiques, techniques, commerciaux ou financiers seraient frappés de cette mention, leur divulgation constituant une infraction pénale. Les données protégées sont celles dont la divulgation porterait une atteinte grave aux positions stratégiques, au potentiel ou aux intérêts de l’entreprise, méritant donc au même titre que les brevets industriels de voir leur confidentialité protégée.

Pour lire une version plus complète de cet article sur l’espionnage industriel, cliquez ici

Sources :

Diffamation sur une page Facebook et sur twitter : qui est l’auteur principal ?

Comme chacun le sait, les réseaux sociaux sont le théâtre de vifs échanges fondés sur la liberté d’expression. Cette liberté de communication n’est cependant pas absolue et le délit de diffamation peut être retenu à l’encontre d’un utilisateur. Cependant, il est parfois difficile de déterminer qui est l’utilisateur, auteur des propos diffamatoires.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Il est alors intéressant de revenir sur le régime de responsabilité applicable au délit de diffamation sur une page Facebook ou sur un compte Twitter et plus particulièrement à la détermination du responsable.

L’émergence des réseaux sociaux a en effet permis à chacun de se saisir de l’actualité et d’exprimer son point de vue de manière directe. Mais cette nouvelle voie d’expression dénuée d’intermédiation peut également favoriser des propos qualifiables de diffamatoires.


Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien


Les victimes de propos diffamatoires sur une page Facebook ou sur un compte Twitter ne sont pas démunies face à cette situation et la loi permet de réagir face à ces comportements délictueux.

Ainsi, en se fondant sur la loi de 1881 (loi du 29 juillet 1881 sur la liberté de la presse) réprimant les propos diffamatoires (I), la loi de 1982 (loi du 29 juillet 1982 sur la communication audiovisuelle) et la loi du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN) prévoient un régime de responsabilité en cascade (II) fondé sur la détermination de l’auteur principal.

I – APPLICABILITÉ DE LA LOI DE 1881 POUR DES PROPOS TENUS SUR UNE PAGE FACEBOOK OU UN COMPTE TWITTER

A – L’APPLICABILITÉ DE LA LOI DE 1881

Lors de l’émergence d’Internet, s’est posée la question du régime de responsabilité applicable à des propos répréhensibles. En effet, face à l’augmentation du nombre de connexions et d’échange de messages via l’Internet, un nombre croissant de contentieux est apparu. La solution est venue de la loi du 29 juillet 1982 (loi n° 82652) dite loi sur la communication audiovisuelle (Cour de cassation – Chambre criminelle 16 octobre 2018 in fine).

Par cette loi, le législateur de l’époque crée un régime de responsabilité spécial, directement fondé sur la loi du 29 juillet 1881 et notamment son article 29 qui consacre la diffamation. Ce renvoi permet d’écarter le fondement classique de la responsabilité civile fondé sur l’article 1240 du Code civil (anciennement 1382 du Code civil) qui prévoit que « tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Cette responsabilité spéciale permet une meilleure adaptation des recours face aux réalités de l’Internet, notamment sur les difficultés probatoires que peuvent rencontrer les victimes.

L’article 1240 du Code civil requiert en effet classiquement trois critères pour retenir la responsabilité d’une personne : une faute, un lien de causalité et un dommage. Par cette loi, le législateur reconnaît donc la spécificité des cas de responsabilités sur l’Internet.

L’assimilation faite en 1982 pour l’Internet à la loi de 1881 sur la liberté de la presse vaut aujourd’hui pour les réseaux sociaux. C’est ce que prévoit la loi de 2004 dite LCEN (Tribunal correctionnel Pau, 12 nov. 2018). La loi de 1881 réprimant les propos diffamatoires par voie de presse est donc applicable aux messages postés sur une page Facebook ou un compte Twitter (Cour d’appel de de Paris – 17 déc. 2014 n° 12/20 756).

La Cour d’appel de Pau, dans un arrêt du 16 janvier 2024, a rappelé l’article 29 de la loi de 1881 et le fait que les abus de la liberté d’expression prévus et réprimés par la loi du 29 juillet 1881 ne peuvent être réparés sur le fondement de 1240 du Code civil, l’objectif étant d’interdire aux parties de contourner, en se fondant sur le droit commun, les dispositions protectrices de la liberté d’information et d’expression de la loi de 1881.

En l’espèce, il est constant que les appelants fondent leur action sur les dispositions des articles 1240 et 1241 du Code civil. Par conséquent, la cour estime que c’est donc justement que le premier juge, retenant que les dispositions des articles 1240 et 1241 du Code civil ne permettaient pas de sanctionner les abus à la liberté d’expression, a débouté les demandeurs de l’intégralité de leurs demandes

B – LE DÉLIT DE DIFFAMATION DANS LA LOI DE 1881           

La loi du 29 juillet 1881, dispositif cardinal de la liberté d’expression dans le corpus juridique français prévoit en son article 29 un délit : la diffamation.

Cet article dispose : « toute allégation ou imputation d’un fait qui porte atteinte à l’honneur ou à la considération de la personne ou du corps auquel le fait est imputé est une diffamation. La publication directe ou par voie de reproduction de cette allégation ou de cette imputation est punissable, même si elle est faite sous forme dubitative ou si elle vise une personne ou un corps non expressément nommés, mais dont l’identification est rendue possible par les termes des discours, cris, menaces, écrits ou imprimés, placards ou affiches incriminés ».

La diffamation requiert donc la réunion de cinq éléments : une allégation ou imputation, un fait déterminé, une atteinte à l’honneur ou à la considération, une personne ou un corps identifié, une publicité des propos.

Un arrêt du 26 février 2020 rendu par la Cour d’appel de Paris (Cour d’appel de Paris, 26 févr. 2020, 10/2020) précise cette notion de diffamation : « la diffamation, qui peut se présenter sous forme d’allusion ou d’insinuation, doit être appréciée en tenant compte des éléments intrinsèques et extrinsèques au support en cause, а savoir tant du contenu même des propos que du contexte dans lequel ils s’inscrivent ».

La publicité est le caractère le plus discuté en matière de diffamation, la Cour de cassation procédant à une différence d’analyse entre les pages publiques et privées. Plusieurs affaires concernant des insultes proférées par des salariés à propos de leurs employeurs ont en effet été rejetées par la Cour.

La haute juridiction a plusieurs fois procédé à une analyse du nombre d’amis de l’intéressé : si ce nombre dépasse celui du cercle d’amis restreint, alors le message litigieux pourra être considéré comme étant public (Civ. 1re, 10 avr. 2013, n° 11–19.530). À l’inverse, si le nombre d’amis demeure comparable à un cercle d’amis restreint, le caractère public n’est pas retenu et l’auteur pourra être exonéré. Dans le cas de Twitter, l’analyse diffère : pour les comptes privés, les juges pourront procéder à une évaluation du nombre de personnes suivant le compte. Pour le cas des comptes publics, la publicité est présumée (Cass. Crim, 11 décembre 2018, 17-85.159, Inédit)

La question du caractère public ou non d’un message Facebook peut s’avérer épineuse. La Cour de cassation semble s’attacher à un autre critère : celui de la communauté d’intérêts. Elle a ainsi pu retenir le caractère public d’un message publié au sein d’un groupe partageant une « communauté d’intérêts » (Civ. 1re, 10 avr. 2013, n° 11-19.530).

Dans le cas d’une page Facebook, la question est différente puisque le caractère public est plus aisé à caractériser : n’importe quel utilisateur peut avoir accès à cette page (CAA Nantes, 21 janv. 2016, n° 14NT02263).

S’ajoute à ces éléments dits « matériels » de l’infraction, un élément moral : l’intention de porter atteinte à l’honneur ou à la considération d’une personne ou d’un corps déterminé. Ce deuxième élément est le plus souvent présumé. C’est ce que juge la Cour de cassation dans un arrêt du 19 juin 2012  : (Cour de cassation, chambre criminelle, 19 juin 2012, n° 11-84.235) : « les imputations diffamatoires sont réputées, de droit, faites avec intention de nuire, mais elles peuvent être justifiées lorsque leur auteur établit sa bonne foi, en prouvant qu’il a poursuivi un but légitime, étranger а toute animosité personnelle, et qu’il s’est conformé à un certain nombre d’exigences, en particulier de sérieux de l’enquête, ainsi que de prudence dans l’expression, étant précisé que la bonne foi ne peut être déduite de faits postérieurs à la diffusion des propos ».

II – UN RÉGIME DE RESPONSABILITÉ EN CASCADE

A – LA RESPONSABILITÉ EN CASCADE : DÉTERMINATION DE L’AUTEUR PRINCIPAL

Déterminer qui est le responsable d’un acte de diffamation peut s’avérer complexe, surtout lorsque l’acte a été commis par l’intermédiaire d’un ordinateur.

Conscient de cette problématique, le législateur a instauré un système de responsabilité en cascade, permettant dans la plupart des cas, de déterminer un responsable. Ainsi, l’article 93-3 de la loi du 29 juillet 1982 prévoit que « l’auteur, et à défaut de l’auteur, le producteur seront poursuivis comme auteur principal ».

Appliqué à une page Facebook ou à un compte Twitter et à défaut d’auteur identifiable, il s’agira du producteur. Producteur au sens de celui « ayant pris linitiative de créer un service de communication au public » (Cass. crim., 16 févr. 2010 n°09-81.064) c’est-à-dire la personne physique qui fournit le service. Sachant que la jurisprudence considère que « le titulaire dun compte Facebook en est en conséquence le directeur de la publication » (Tribunal correctionnel de Pau, 12 nov. 2018). Cela vaut aussi pour un compte Twitter dont l’auteur n’est pas identifiable.

Cependant, le créateur ou animateur d’un site de communication au public, en tant que producteur, pourra se voir exonérer de toute responsabilité vis-à-vis du contenu du message adressé par un utilisateur s’il n’avait pas connaissance du message avant sa mise en ligne (Conseil constitutionnel, 16 sept. 2011, n° 2011-164 QPC). Pour une page Facebook.

Dans un arrêt rendu le 13 novembre 2020 par la Cour Administrative d’Appel de Paris (4e chambre de l’instruction), la personne mise en cause, animatrice d’une page Facebook contestait sa responsabilité, arguant que l’ordinateur utilisé pour administrer sa page se trouvait dans un lieu accessible au public et que plusieurs personnes pouvaient de fait, y avoir eu accès, sans son contrôle (la personne ne s’étant pas déconnectée de son compte personnel).

Elle cherchait ainsi à s’exonérer de sa responsabilité. La Cour a cependant refusé ce raisonnement en se fondant sur le fait qu’elle ne pouvait nier sa responsabilité. Le message litigieux provenant de son compte personnel et non d’un compte tiers : l’auteur avait utilisé les codes d’accès de l’administrateur de la page, sans que cette dernière ne puisse démontrer qui était cette personne. L’administrateur a donc était désigné comme responsable.

Ainsi, peut-être retenu comme auteur principal et donc responsable au sens de la loi du 29 juillet 1881, l’auteur du texte litigieux et à défaut l’administrateur de la page Facebook ou du compte Twitter (pour Facebook : Cour de cassation – Chambre criminelle, 1 septembre 2020, n° 19-84.505 – pour Twitter : Cour de cassation – Chambre criminelle, 10 mai 2017, 16.81-555)

Dans le cas précis de Twitter, il faut noter une spécificité : les membres apparaissent souvent sous pseudonyme, rendant l’exercice d’identification encore plus complexe (Cass. Crim. 8 janv. 2019). Afin de lutter plus efficacement contre les agissements de personnes non identifiables, la loi pour la confiance dans l’économie (loi du 21 juin 2004, précitée) a mis en place un régime de responsabilité spécifique. Ainsi, les hébergeurs ont l’obligation de supprimer les tweets illicites qui leur ont été signalés. Et ceux dans les plus brefs délais.

Dans un arrêt du 16 février 2023, la Cour d’appel de Versailles a établi que que la demande formulée par l’appelant n’a pas pour objet l’engagement de la responsabilité des sociétés Google Ireland Limited et Google LLC sur le fondement de la loi du 29 juillet 1881, aucune des infractions de presse prévues par ce texte ne leur étant reprochée et aucune des qualités mentionnées ne pouvant leur être appliquées, seul demeure au débat à hauteur de la cour, le respect de leurs obligations en matière de traitement de données personnelles. Par conséquent, la cour considère que la fin de non-recevoir tirée de ce moyen sera rejetée.

B –  LE RÉGIME D’EXONÉRATION

Il existe en finalité peu de cas d’exonération de responsabilité pour des propos diffamatoires sur une page Facebook ou un compte Twitter. Le principal cas pour l’auteur n’en est pas réellement un : cela recouvre la situation dans laquelle il n’est pas identifiable. Un autre cas d’exonération pour l’auteur peut être celui d’arguer la non-publicité de la diffamation ou le manque d’un critère constitutif de la diffamation. Mais encore une fois ce il ne s’agit pas d’un réel cas d’exonération.

Pour l’administrateur, l’exonération peut venir de la démonstration que les propos diffamatoires publiés sur sa page n’avaient pas été portés à sa connaissance avant publication. Dans le cas où son identité a été usurpée et qu’un usage malveillant de son compte Facebook ou Twitter a été perpétré, l’administrateur pourra se voir exonérer de toute responsabilité pour des propos diffamatoires. Il devra pour cela rapporter la preuve de l’usurpation (en lien : Tribunal correctionnel de Paris 18 avril 2019).

Tel ne fut pas le cas dans l’affaire précitée du 13 novembre 2020 (Cour Administrative d’Appel de Paris, 4e chambre de l’instruction).

Dans le cas où une personne publie un message à caractère diffamatoire sur une page Facebook ou un compte Twitter qu’elle n’administre pas et si l’administrateur intervient promptement pour supprimer le commentaire, alors sa responsabilité pourra être écartée. C’est le même mécanisme que celui prévu par la LCEN (Loi sur la Confiance dans l’Économie Numérique du 21 juin 2004), pour les hébergeurs.

En somme, la responsabilité en cascade prévue par la loi du 29 juillet 1982 réduit considérablement les cas d’exonérations pour des cas de diffamation.

Pour lire cet article sur la diffamation sur les réseaux sociaux, Facebook et Twitter en version plus détaillée, cliquez

SOURCES :

RGPD : la question du consentement

Comme chacun sait, le 25 mai 2018, est une date butoir non seulement pour tous les acteurs du numérique, mais aussi et plus largement pour toutes les entreprises, leur mise en conformité au nouveau grand texte européen en matière de données personnelles devant être assurée d’ici là.

Le règlement général sur la protection des données (« RGPD », ou « GDPR » en anglais), à cette échéance, sera applicable dans tous les États membres de l’Union européenne. Et s’il est des notions essentielles au sein du texte, c’est bien celle du consentement.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de vie privée en passant par le formulaire !

Le droit européen des données personnelles a été longtemps régi par la directive 95/46/CE.

Adoptée en 2016, l’entrée en vigueur de la nouvelle réglementation européenne le 25 mai 2018 a permis d’adapter le droit de l’union aux changements induits par l’explosion de l’informatique et d’Internet.

Afin de garantir l’effectivité des dispositions prévues par ce règlement, toutes les entreprises qui collectent des données personnelles de personnes résidant dans l’Union européenne, sont soumises à la réglementation indépendamment de leur localisation.

Les entreprises se doivent de respecter un certain nombre de principes fondamentaux pour la protection des données, tels que la transparence, la limitation de la finalité, la minimisation des données, l’exactitude et l’intégrité des données, ainsi que la sécurité des données. L’un de ces principes est le consentement, qui est défini comme une indication claire et positive de la volonté de la personne concernée de donner son accord pour le traitement de ses données personnelles.

Le consentement demeure l’une des six bases juridiques permettant de traiter des données à caractère personnel, telles qu’énumérées à l’article 6 du RGPD. Lorsque le responsable de traitement sollicite le consentement, il a l’obligation d’évaluer si celui-ci satisfera à toutes les conditions d’obtention d’un consentement valable. S’il a été obtenu dans le plein respect du RGPD, le consentement est un outil qui confère aux personnes concernées un contrôle sur le traitement éventuel de leurs données à caractère personnel. Dans le cas contraire, le contrôle de la personne concernée devient illusoire et le consentement ne constituera pas une base valable pour le traitement des données, rendant de ce fait l’activité de traitement illicite.

Afin d’aider les responsables de traitement dans le recueil du consentement, le comité européen à la protection des données a élaboré un guide composé de lignes directrices qui permet de saisir les réflexes à adopter lors du recours au consentement comme base légale.

Par conséquent, toute entreprise qui traite des données personnelles de résidents de l’Union européenne devra donc prendre pleinement conscience de la portée des dispositions afférentes au consentement. Il conviendra dans un premier temps d’aborder les obligations liées à la nature même du consentement requis (I) et les obligations relatives à sa valeur (II). Enfin, seront traités les cas particuliers tels que le consentement du mineur (III).

I. Les conditions relatives à la nature du consentement requis

Lorsque la base légale du traitement retenue est le consentement, le RGPD impose que ce dernier soit libre, spécifique, éclairé et univoque.

A) L’obligation d’un consentement libre et éclairé

Auparavant inscrite dans la loi Informatique et Libertés, la notion de consentement a été renforcée par les dispositions du RGPD afin de permettre aux personnes concernées d’exercer un contrôle réel et effectif sur le traitement de leurs données.

Définit par l’article 4 du règlement, le consentement s’apparente à « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

L’article 7 du RGPD précise les conditions applicables au consentement.

Pour être valide, le consentement doit être accompagné d’un certain nombre d’informations communiquées à la personne avant qu’elle ne consente. Au-delà des obligations de transparence prévues aux articles 12, le responsable du traitement se doit fournir la liste d’informations mentionnée à l’article 13 afin de recueillir le consentement éclairé des personnes concernées. Il s’agit de l’identité du responsable du traitement, des finalités poursuivies, des catégories de données collectées, de l’existence d’un droit de retrait du consentement.

Le consentement est considéré comme « libre » lorsque l’utilisateur l’a donné sans pression ni influence extérieure. En outre, le caractère libre du consentement se matérialise par la possibilité de refuser et de le retirer à tout moment. Ce droit de retrait doit pouvoir être exercé dès que la personne concernée le souhaite et aussi simplement que lorsqu’elle a consenti. Le responsable du traitement doit donc mettre en place un moyen simple et efficace pour que l’utilisateur puisse retirer son consentement

Le règlement général sur la protection des données parle du consentement, comme d’une « manifestation de volonté libre […] ». Tout en reprenant le terme, déjà soutenu au sein des textes antérieurs, le législateur a cependant fait le choix d’un encadrement concis, au regard de ce principe.

Ainsi, le texte prévoit que la personne concernée dispose du droit de retirer son consentement quand elle le souhaite, aussi simplement qu’elle l’a accordé, et doit être informée de cette possibilité. Ce retrait ne remet pas en cause, pour autant, la licéité du traitement fondé sur le consentement précédemment donné, pour la période allant jusqu’au dit retrait.


Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien


Par ailleurs, cette liberté signifie également que la personne ne doit pas être contrainte « d’abandonner » son consentement, notamment sous le joug du préjudice éventuel qui pourrait découler de son refus : « le consentement est présumé ne pas avoir été donné librement en cas de déséquilibre […] si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice » .

Le texte précise également que « le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement des données à caractère personnel ».

Autrement dit, le retrait du consentement ne doit pas engendrer de frais pour la personne concernée ou encore avoir pour conséquence d’amoindrir le service fourni. Un déséquilibre des rapports de force peut également avoir lieu dans le cadre des relations de travail. Il est en effet peu probable que la personne concernée soit en mesure de refuser de donner son consentement à son employeur concernant le traitement de ses données sans craindre ou encourir des conséquences négatives suite à ce refus.

Par ailleurs, le considérant 43 du RGPD précise qu’un consentement distinct doit être obtenu pour chacune des finalités envisagées « le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement des données à caractère personnel ». Dès lors qu’un traitement comporte plusieurs finalités, les personnes doivent pouvoir consentir indépendamment pour l’une ou l’autre de ces finalités. Elles doivent pouvoir choisir librement les finalités pour lesquelles elles consentent au traitement de leurs données.

Pour rappel, dans une décision du 21 janvier 2019, la Commission nationale de l’informatique et des libertés (CNIL) a prononcé une amende de 50 millions d’euros à l’encontre de Google, pour violation des dispositions du Règlement général sur la protection des données (RGPD).

Dans un premier temps, la formation restreinte de la CNIL a estimé qu’il y avait une violation continue des obligations de transparence et d’information (article 12 du RGPD) lors de la collecte des données personnelles (article 13 et 14 du RGPD) et que les droits des personnes n’était pas assez clair (article 15 à 22 du RGPD).

Elle relève également que des informations essentielles (finalité, durée de conservation ou catégories de données) étaient anormalement disséminées dans de multiples espaces où il était nécessaire d’activer des boutons ou onglets pour prendre connaissance des informations complémentaires.

De plus, la CNIL a remarqué que les informations fournies n’étaient pas suffisamment claires ou compréhensibles par rapport aux aspects massifs et intrusifs des différents traitements réalisés par l’entreprise et que les finalités étaient trop génériques et vagues.

Dans un second temps, la CNIL est venue sanctionner l’absence de base légale pour les traitements de personnalisation de la publicité. La société américaine indiquait se fonder sur le contentement des utilisateurs, or les agents de la Commission ont estimé que celui-ci n’était pas éclairé, spécifié et univoque. En effet, dans le prolongement de ce qui a été exposé précédemment, les informations permettant de justifier du consentement ont été réparties sur plusieurs espaces et documents en plus de présenter des cases précochées au moment de la collecte.

B) L’obligation d’un consentement explicite

Le terme explicite se rapporte à la façon dont le consentement est exprimé par la personne concernée. Il implique que la personne concernée doit formuler une déclaration de consentement exprès.

Le consentement peut se matérialiser de diverses façons. Le considérant 32 du RGPD  nous apporte quelques précisions, ainsi « Le consentement devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d’une déclaration écrite, y compris par voie électronique, ou d’une déclaration orale […] Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité ».

Le consentement peut être recueilli au moyen d’une déclaration écrite ou orale (enregistrée), y compris par voie électronique. Ainsi, un consentement tacite n’est pas valable, et le recueil du consentement nécessite une formalisation. Le consentement ne peut donc pas être obtenu par défaut ou par inaction de l’utilisateur. A ce titre, il convient de bien différencier la case cochée par défaut, de la case à cocher, qui constitue en soi l’expression d’un consentement exprès au sens du texte susvisé. Le RGPD n’autorise pas non plus le recours à des options de refus nécessitant une action de la personne concernée pour signaler son refus (par exemple des « cases de refus »).

L’article 4 du Règlement, déjà cité, fait allusion au caractère « express » du consentement, en ce que celui-ci doit découler d’une décision « par laquelle une personne concernée accepte, par une déclaration ou par un acte positif clair » le traitement de ses données.

Cette formulation constitue une différence clef entre les « anciens textes » et celui à paraître, puisque la directive 95/46 omet toute mention en ce sens. A contrario, le RGPD souligne expressément « qu’il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité.

Attention, il convient de bien différencier la case cochée par défaut, de la case à cocher, qui constitue en soi l’expression d’un consentement express au sens du texte susvisé.

De même, l’acceptation d’un contrat ou de conditions générales ne rend pas compte d’un tel consentement éclairé, tandis qu’un accord donné par voie écrite, orale ou électronique vaudra acceptation, tant que le sens d’une telle action n’est pas ambiguë.

Si la pratique du « double opt-in » est avancée par le G29 dans ses conclusions, elle demeure non seulement facultative, mais paraît également inefficace à certains égards : « ce double opt-in […] est lourd à mettre en place. Il est bien évidemment redouté notamment par les professionnels du marketing qui savent que la collecte d’un consentement impliquant deux actions positives d’un prospect ou d’un client est très illusoire », la plupart des utilisateurs étant peu enclins à communiquer deux fois leur consentement.

A l’occasion d’un arrêt du 1er octobre 2021, la CJUE statue sur la notion de consentement explicite, et rappelle que le recueil du consentement doit être explicite avant tout traitement des données personnelles, ainsi le consentement doit être donné activement et expressément au site web par les utilisateurs. En l’espèce, la CJUE considère que le consentement recueilli n’est pas explicite, car la case était cochée par défaut, et l’utilisateur devait décocher cette case pour refuser de donner son consentement. Par ailleurs, la CJUE dispose dans cet arrêt que le consentement doit être spécifique ce qui n’est pas le cas en l’espèce, car le bouton de participation au jeu promotionnel « ne suffit pas pour considérer que l’utilisateur a valablement donné son consentement au placement de cookies. »

Enfin, il convient de rappeler que le consentement de la personne est systématiquement requis pour certains traitements, encadrés par des dispositions légales spécifiques. L’article 5 de la directive ePrivacy impose ainsi le recours au consentement avant le dépôt de cookies sur le terminal de l’utilisateur. Il en va de même dans le cadre de la prospection électronique (L34-5 du code des postes et télécommunications).

II. Les conditions relatives à la valeur du consentement requis

La valeur du consentement récolté dépendra principalement de deux facteurs : son fondement (A), qui caractérise sa nécessité, et sa matérialisation, nécessaire au responsable de traitement en matière de preuve (B).

 A) L’importance du fondement du traitement

Il paraît évident que tous les développements précédents, relatifs au consentement des personnes, s’appliquent avant-même la récolte des données personnelles en question.

Pour autant, il convient de distinguer les différentes situations sur la base desquelles le consentement est requis.

En effet, si l’article 6 du RGPD prévoit le régime général des dispositions relatives au consentement, l’article 7, en son paragraphe 4, dénote d’un régime particulier en ce que « au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat » .

Ainsi, et comme le rappelle assez justement le G29, « si le traitement n’est pas nécessaire à l’exécution du contrat, cette exécution ne peut être conditionnée par le consentement au traitement ».

Selon le G29, les deux bases juridiques que sont le consentement et l’exécution d’un contrat ne doivent pas être amalgamées et fusionnées : la conclusion d’un contrat ne doit pas être conditionné à l’acceptation d’un traitement de données « non nécessaires » à l’exécution d’un contrat.

À l’évidence, un traitement rendu obligatoire pour la bonne exécution d’un contrat n’implique donc pas le recueil du consentement quant à un tel traitement.

Il est essentiel de garder à l’esprit, par ailleurs, que le fondement de la licéité du traitement ne peut être modifié après que les données ont été recueillies et traitées. De fait, si un problème se pose quant à la conformité du traitement, il est impossible, pour le responsable de traitement , de basculer sur un autre régime pour justifier le traitement en question.

B) La charge de la preuve

La preuve, au regard de telles exigences, est primordiale. C’est le premier paragraphe de l’article 7 du RGPD qui en précise l’aménagement, en rappelant que « dans le cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ».

L’article 7 du RGPD requiert que le consentement soit démontrable, ce qui implique deux conditions.
Tout d’abord, il est nécessaire d’identifier de manière certaine la personne qui donne son consentement. Ensuite, il est important de conserver ce consentement sous une forme qui puisse prouver son existence. Si une personne donne son consentement en se connectant à un compte en ligne avec un code d’accès qui lui est propre, comme c’est le cas sur un espace de banque en ligne par exemple, la première condition peut être considérée comme remplie. Cependant, cette situation est relativement rare, car de nombreux consentements sont demandés sans que l’identité de la personne ne soit vérifiée

Suivant ces dispositions, la charge de la preuve incombe donc au responsable de traitement, qui devra démontrer par des arguments convaincants le respect du consentement des personnes concernées par le traitement.

Cette dernière précision fait notamment écho aux traitements obligatoires pour la bonne exécution des contrats, où la preuve devra être jugée comme « suffisante ».

Pour autant, le texte ne donne pas plus d’indications concernant la forme de la preuve. Des avis sont cependant fournis par des institutions nationales, à l’image de l’autorité de protection des données du Royaume-Uni, l’« ICO » (« Information Commissionner’s Office ») , qui conseille de conserver toute trace relative aux personnes concernées, à la date et aux méthodes de consentement, etc.

D’un côté, cette souplesse pourrait inquiéter au sujet des éventuelles dérives relatives à la collecte et la réutilisation de ces données ; pour autant, est-il pertinent de cloisonner ce type de preuve, au risque d’une rigidité certaine du texte ?

Quoi qu’il en soit, ces dispositions sont encore à l’étude, et il conviendra d’en observer la pratique pour en comprendre réellement l’étendue.

La CNIL préconise que le responsable de traitement tienne un registre des consentements. Elle rappelle également qu’une fois le traitement terminé, la preuve du consentement ne doit pas être conservée plus longtemps que le temps nécessaire à l’exercice ou à la défense de ses droits en justice par le responsable de traitement. Enfin, il convient de noter que le RGPD ne fixe pas de durée de validité du consentement. Cette durée dépendra du contexte, de la portée du consentement initial.

III. Les cas particuliers

A. Les conditions applicables au consentement des enfants

En vertu de l’article 8 du RGPD, dans le cas où le consentement est donné par un mineur, il doit être donné avec l’autorisation des détenteurs de l’autorité parentale, sauf si le droit national prévoit que l’enfant est en mesure de donner un consentement valable sans autorisation parentale.

En France, l’âge de la majorité numérique est fixé à 15 ans. Conformément à l’article 45 de la loi informatique et libertés, les enfants de 15 ans ou plus peuvent donc consentir eux-mêmes au traitement de leurs données fondé sur le consentement dans le cadre des services de la société d’information. En-dessous de 15 ans, la loi « Informatique et Libertés » impose le recueil du consentement conjoint de l’enfant et du titulaire de l’autorité parentale.

Les raisons de cette protection sont précisées au considérant 38 du RGPD « Les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu’ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel […] »

Il est cependant regrettable de constater qu’aucune mesure de contrôle de l’âge n’est actuellement déployée par les plateformes. Il est néanmoins possible de noter qu’une proposition de loi visant à instaurer une majorité numérique et à lutter contre la haine en ligne a été déposée le 17 janvier 2023 à l’Assemblée nationale. Elle tend à compléter la loi du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN) afin contraindre les réseaux sociaux de refuser l’inscription à leurs services des enfants de moins de 15 ans, sauf si les parents ont donné leur accord. Pour se faire, ces plateformes devront mettre en place une solution technique permettant de vérifier l’âge de leurs utilisateurs et l’autorisation des parents.

Il est important de noter que les âges de majorité numérique peuvent varier d’un pays à l’autre en Europe, et que certains pays peuvent également avoir des règles spécifiques pour certaines activités en ligne (par exemple, les réseaux sociaux ou les jeux en ligne) qui peuvent avoir leur propre âge minimum pour le consentement. En Allemagne cette majorité est fixée à l’âge de 16 ans tandis qu’en Belgique ou au Portugal elle est atteinte dès l’âge de 13 ans.

Enfin, les enfants ont le droit de retirer leur consentement à tout moment. Les responsables du traitement doivent donc veiller à ce que les enfants soient informés de leur droit de retirer leur consentement et à ce qu’il soit facilement d’exerçable.

B. Le consentement au traitement de données sensibles

Le RGPD catégorise certaines données personnelles comme étant sensibles. Définit à l’article 9 du règlement, ces données sont celles qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données de santé ou encore les données biométriques. En raison de leur caractère « sensible » et des risques que leur traitement entraîne pour la vie privée ou pour les droits des personnes, ces données ne peuvent être traitées qu’avec des garanties supplémentaires.

Le consentement donné en matière de données sensibles doit être encore plus explicite que celui donné pour les données à caractère personnel. Le consentement explicite est requis dans certaines situations où un risque sérieux lié à la protection des données survient, et où un niveau élevé de contrôle sur les données à caractère personnel par la personne concernée est de ce fait jugé approprié.

Une manière évidente de s’assurer que le consentement est explicite serait de confirmer expressément le consentement dans une déclaration écrite. Le cas échéant, le responsable du traitement pourrait s’assurer que la déclaration écrite est signée par la personne concernée afin de prévenir tout doute potentiel et toute absence potentielle de preuve à l’avenir. Il est également possible d’obtenir un consentement explicite moyennant une conversation téléphonique, à condition que les informations relatives au choix soient loyales, compréhensibles et claires et qu’elle demande une confirmation spécifique de la part de la personne concernée.

Il est important de noter que le consentement n’est pas toujours la base légale utilisée pour le traitement des données sensibles.

Le traitement des données sensibles sans recourir au consentement peut être autorisé pour des raisons de santé publique. Il peut, par exemple, s’avérer nécessaire de collecter et de traiter des données sensibles pour lutter contre la propagation d’une maladie contagieuse (circonstances que nous avons rencontré lors de la crise du Coronavirus). Dans ce cas, la collecte et le traitement de ces données peuvent être autorisés par des lois ou des réglementations nationales ou européennes, même si l’utilisateur n’a pas donné son consentement explicite.

De même, dans le cadre de la lutte contre le terrorisme ou la criminalité, il peut être nécessaire de collecter et de traiter des données sensibles pour prévenir ou détecter des infractions graves. Dans ce cas également, la législation peut autoriser le traitement de ces données sensibles, même en l’absence de consentement explicite de l’utilisateur.

Pour une version plus détaillée sur le RGDP et le consentement, cliquez sur les mots RGDP et consentement

SOURCES :
http://www.avistem.com/fr/le-rgpd-en-focus-focus-2-le-recueil-du-consentement
http://www.privacy-regulation.eu/fr/r43.htm
https://cnpd.public.lu/content/dam/cnpd/fr/actualites/national/2017/10/séances-information–gdpr/gdpr-info-sessions-fr-11h05-consentement.pdf
https://www.cnil.fr/fr/reglement-europeen/lignes-directrices
http://www.privacy-regulation.eu/fr/r32.htm
https://fr.mailjet.com/rgpd/consentement/
http://www.privacy-regulation.eu/fr/7.htm
https://ico.org.uk/media/about-the-ico/consultations/2013551/draft-gdpr-consent-guidance-for-consultation-201703.pdf

Délibération, 21 janvier 2019, SAN-2019-001
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000038032552/
CJUE, 1er octobre 2019, C-673/17
https://curia.europa.eu/juris/document/document.jsf;jsessionid=CA644C7436D43DA19729CD95998C7383?text=&docid=218462&pageIndex=0&doclang=FR&mode=lst&dir=&occ=first&part=1&cid=6352664
https://asso-generationnumerique.fr/enquetes/
F. Mattatia « RGPD et droit des données personnelles », 5° édition – Edition EYROLLES – 2021
Comité Européen à la protection des données – Guide lignes directrices – 2020 : https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_fr
CNIL – Capacité des mineurs en ligne : https://www.cnil.fr/fr/recommandation-1-encadrer-la-capacite-dagir-des-mineurs-en-ligne