Résultats de recherche pour: communication électronique

RGPD : la question du consentement

Comme chacun sait, le 25 mai 2018, est une date butoir non seulement pour tous les acteurs du numérique, mais aussi et plus largement pour toutes les entreprises, leur mise en conformité au nouveau grand texte européen en matière de données personnelles devant être assurée d’ici là.

Le règlement général sur la protection des données (« RGPD », ou « GDPR » en anglais), à cette échéance, sera applicable dans tous les États membres de l’Union européenne. Et s’il est des notions essentielles au sein du texte, c’est bien celle du consentement.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de vie privée en passant par le formulaire !

Le droit européen des données personnelles a été longtemps régi par la directive 95/46/CE.

Adoptée en 2016, l’entrée en vigueur de la nouvelle réglementation européenne le 25 mai 2018 a permis d’adapter le droit de l’union aux changements induits par l’explosion de l’informatique et d’Internet.

Afin de garantir l’effectivité des dispositions prévues par ce règlement, toutes les entreprises qui collectent des données personnelles de personnes résidant dans l’Union européenne, sont soumises à la réglementation indépendamment de leur localisation.

Les entreprises se doivent de respecter un certain nombre de principes fondamentaux pour la protection des données, tels que la transparence, la limitation de la finalité, la minimisation des données, l’exactitude et l’intégrité des données, ainsi que la sécurité des données. L’un de ces principes est le consentement, qui est défini comme une indication claire et positive de la volonté de la personne concernée de donner son accord pour le traitement de ses données personnelles.

Le consentement demeure l’une des six bases juridiques permettant de traiter des données à caractère personnel, telles qu’énumérées à l’article 6 du RGPD. Lorsque le responsable de traitement sollicite le consentement, il a l’obligation d’évaluer si celui-ci satisfera à toutes les conditions d’obtention d’un consentement valable. S’il a été obtenu dans le plein respect du RGPD, le consentement est un outil qui confère aux personnes concernées un contrôle sur le traitement éventuel de leurs données à caractère personnel. Dans le cas contraire, le contrôle de la personne concernée devient illusoire et le consentement ne constituera pas une base valable pour le traitement des données, rendant de ce fait l’activité de traitement illicite.

Afin d’aider les responsables de traitement dans le recueil du consentement, le comité européen à la protection des données a élaboré un guide composé de lignes directrices qui permet de saisir les réflexes à adopter lors du recours au consentement comme base légale.

Par conséquent, toute entreprise qui traite des données personnelles de résidents de l’Union européenne devra donc prendre pleinement conscience de la portée des dispositions afférentes au consentement. Il conviendra dans un premier temps d’aborder les obligations liées à la nature même du consentement requis (I) et les obligations relatives à sa valeur (II). Enfin, seront traités les cas particuliers tels que le consentement du mineur (III).

I. Les conditions relatives à la nature du consentement requis

Lorsque la base légale du traitement retenue est le consentement, le RGPD impose que ce dernier soit libre, spécifique, éclairé et univoque.

A) L’obligation d’un consentement libre et éclairé

Auparavant inscrite dans la loi Informatique et Libertés, la notion de consentement a été renforcée par les dispositions du RGPD afin de permettre aux personnes concernées d’exercer un contrôle réel et effectif sur le traitement de leurs données.

Définit par l’article 4 du règlement, le consentement s’apparente à « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

L’article 7 du RGPD précise les conditions applicables au consentement.

Pour être valide, le consentement doit être accompagné d’un certain nombre d’informations communiquées à la personne avant qu’elle ne consente. Au-delà des obligations de transparence prévues aux articles 12, le responsable du traitement se doit fournir la liste d’informations mentionnée à l’article 13 afin de recueillir le consentement éclairé des personnes concernées. Il s’agit de l’identité du responsable du traitement, des finalités poursuivies, des catégories de données collectées, de l’existence d’un droit de retrait du consentement.

Le consentement est considéré comme « libre » lorsque l’utilisateur l’a donné sans pression ni influence extérieure. En outre, le caractère libre du consentement se matérialise par la possibilité de refuser et de le retirer à tout moment. Ce droit de retrait doit pouvoir être exercé dès que la personne concernée le souhaite et aussi simplement que lorsqu’elle a consenti. Le responsable du traitement doit donc mettre en place un moyen simple et efficace pour que l’utilisateur puisse retirer son consentement

Le règlement général sur la protection des données parle du consentement, comme d’une « manifestation de volonté libre […] ». Tout en reprenant le terme, déjà soutenu au sein des textes antérieurs, le législateur a cependant fait le choix d’un encadrement concis, au regard de ce principe.

Ainsi, le texte prévoit que la personne concernée dispose du droit de retirer son consentement quand elle le souhaite, aussi simplement qu’elle l’a accordé, et doit être informée de cette possibilité. Ce retrait ne remet pas en cause, pour autant, la licéité du traitement fondé sur le consentement précédemment donné, pour la période allant jusqu’au dit retrait.

Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Par ailleurs, cette liberté signifie également que la personne ne doit pas être contrainte « d’abandonner » son consentement, notamment sous le joug du préjudice éventuel qui pourrait découler de son refus : « le consentement est présumé ne pas avoir été donné librement en cas de déséquilibre […] si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice » .

Le texte précise également que « le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement des données à caractère personnel ».

Autrement dit, le retrait du consentement ne doit pas engendrer de frais pour la personne concernée ou encore avoir pour conséquence d’amoindrir le service fourni. Un déséquilibre des rapports de force peut également avoir lieu dans le cadre des relations de travail. Il est en effet peu probable que la personne concernée soit en mesure de refuser de donner son consentement à son employeur concernant le traitement de ses données sans craindre ou encourir des conséquences négatives suite à ce refus.

Par ailleurs, le considérant 43 du RGPD précise qu’un consentement distinct doit être obtenu pour chacune des finalités envisagées « le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement des données à caractère personnel ». Dès lors qu’un traitement comporte plusieurs finalités, les personnes doivent pouvoir consentir indépendamment pour l’une ou l’autre de ces finalités. Elles doivent pouvoir choisir librement les finalités pour lesquelles elles consentent au traitement de leurs données.

Pour rappel, dans une décision du 21 janvier 2019, la Commission nationale de l’informatique et des libertés (CNIL) a prononcé une amende de 50 millions d’euros à l’encontre de Google, pour violation des dispositions du Règlement général sur la protection des données (RGPD).

Dans un premier temps, la formation restreinte de la CNIL a estimé qu’il y avait une violation continue des obligations de transparence et d’information (article 12 du RGPD) lors de la collecte des données personnelles (article 13 et 14 du RGPD) et que les droits des personnes n’était pas assez clair (article 15 à 22 du RGPD).

Elle relève également que des informations essentielles (finalité, durée de conservation ou catégories de données) étaient anormalement disséminées dans de multiples espaces où il était nécessaire d’activer des boutons ou onglets pour prendre connaissance des informations complémentaires.

De plus, la CNIL a remarqué que les informations fournies n’étaient pas suffisamment claires ou compréhensibles par rapport aux aspects massifs et intrusifs des différents traitements réalisés par l’entreprise et que les finalités étaient trop génériques et vagues.

Dans un second temps, la CNIL est venue sanctionner l’absence de base légale pour les traitements de personnalisation de la publicité. La société américaine indiquait se fonder sur le contentement des utilisateurs, or les agents de la Commission ont estimé que celui-ci n’était pas éclairé, spécifié et univoque. En effet, dans le prolongement de ce qui a été exposé précédemment, les informations permettant de justifier du consentement ont été réparties sur plusieurs espaces et documents en plus de présenter des cases précochées au moment de la collecte.

B) L’obligation d’un consentement explicite

Le terme explicite se rapporte à la façon dont le consentement est exprimé par la personne concernée. Il implique que la personne concernée doit formuler une déclaration de consentement exprès.

Le consentement peut se matérialiser de diverses façons. Le considérant 32 du RGPD  nous apporte quelques précisions, ainsi « Le consentement devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d’une déclaration écrite, y compris par voie électronique, ou d’une déclaration orale […] Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité ».

Le consentement peut être recueilli au moyen d’une déclaration écrite ou orale (enregistrée), y compris par voie électronique. Ainsi, un consentement tacite n’est pas valable, et le recueil du consentement nécessite une formalisation. Le consentement ne peut donc pas être obtenu par défaut ou par inaction de l’utilisateur. A ce titre, il convient de bien différencier la case cochée par défaut, de la case à cocher, qui constitue en soi l’expression d’un consentement exprès au sens du texte susvisé. Le RGPD n’autorise pas non plus le recours à des options de refus nécessitant une action de la personne concernée pour signaler son refus (par exemple des « cases de refus »).

L’article 4 du Règlement, déjà cité, fait allusion au caractère « express » du consentement, en ce que celui-ci doit découler d’une décision « par laquelle une personne concernée accepte, par une déclaration ou par un acte positif clair » le traitement de ses données.

Cette formulation constitue une différence clef entre les « anciens textes » et celui à paraître, puisque la directive 95/46 omet toute mention en ce sens. A contrario, le RGPD souligne expressément « qu’il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité.

Attention, il convient de bien différencier la case cochée par défaut, de la case à cocher, qui constitue en soi l’expression d’un consentement express au sens du texte susvisé.

De même, l’acceptation d’un contrat ou de conditions générales ne rend pas compte d’un tel consentement éclairé, tandis qu’un accord donné par voie écrite, orale ou électronique vaudra acceptation, tant que le sens d’une telle action n’est pas ambiguë.

Si la pratique du « double opt-in » est avancée par le G29 dans ses conclusions, elle demeure non seulement facultative, mais paraît également inefficace à certains égards : « ce double opt-in […] est lourd à mettre en place. Il est bien évidemment redouté notamment par les professionnels du marketing qui savent que la collecte d’un consentement impliquant deux actions positives d’un prospect ou d’un client est très illusoire », la plupart des utilisateurs étant peu enclins à communiquer deux fois leur consentement.

A l’occasion d’un arrêt du 1er octobre 2021, la CJUE statue sur la notion de consentement explicite, et rappelle que le recueil du consentement doit être explicite avant tout traitement des données personnelles, ainsi le consentement doit être donné activement et expressément au site web par les utilisateurs. En l’espèce, la CJUE considère que le consentement recueilli n’est pas explicite, car la case était cochée par défaut, et l’utilisateur devait décocher cette case pour refuser de donner son consentement. Par ailleurs, la CJUE dispose dans cet arrêt que le consentement doit être spécifique ce qui n’est pas le cas en l’espèce, car le bouton de participation au jeu promotionnel « ne suffit pas pour considérer que l’utilisateur a valablement donné son consentement au placement de cookies. »

Enfin, il convient de rappeler que le consentement de la personne est systématiquement requis pour certains traitements, encadrés par des dispositions légales spécifiques. L’article 5 de la directive ePrivacy impose ainsi le recours au consentement avant le dépôt de cookies sur le terminal de l’utilisateur. Il en va de même dans le cadre de la prospection électronique (L34-5 du code des postes et télécommunications).

II. Les conditions relatives à la valeur du consentement requis

La valeur du consentement récolté dépendra principalement de deux facteurs : son fondement (A), qui caractérise sa nécessité, et sa matérialisation, nécessaire au responsable de traitement en matière de preuve (B).

 A) L’importance du fondement du traitement

Il paraît évident que tous les développements précédents, relatifs au consentement des personnes, s’appliquent avant-même la récolte des données personnelles en question.

Pour autant, il convient de distinguer les différentes situations sur la base desquelles le consentement est requis.

En effet, si l’article 6 du RGPD prévoit le régime général des dispositions relatives au consentement, l’article 7, en son paragraphe 4, dénote d’un régime particulier en ce que « au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat » .

Ainsi, et comme le rappelle assez justement le G29, « si le traitement n’est pas nécessaire à l’exécution du contrat, cette exécution ne peut être conditionnée par le consentement au traitement ».

Selon le G29, les deux bases juridiques que sont le consentement et l’exécution d’un contrat ne doivent pas être amalgamées et fusionnées : la conclusion d’un contrat ne doit pas être conditionné à l’acceptation d’un traitement de données « non nécessaires » à l’exécution d’un contrat.

À l’évidence, un traitement rendu obligatoire pour la bonne exécution d’un contrat n’implique donc pas le recueil du consentement quant à un tel traitement.

Il est essentiel de garder à l’esprit, par ailleurs, que le fondement de la licéité du traitement ne peut être modifié après que les données ont été recueillies et traitées. De fait, si un problème se pose quant à la conformité du traitement, il est impossible, pour le responsable de traitement , de basculer sur un autre régime pour justifier le traitement en question.

B) La charge de la preuve

La preuve, au regard de telles exigences, est primordiale. C’est le premier paragraphe de l’article 7 du RGPD qui en précise l’aménagement, en rappelant que « dans le cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ».

L’article 7 du RGPD requiert que le consentement soit démontrable, ce qui implique deux conditions.
Tout d’abord, il est nécessaire d’identifier de manière certaine la personne qui donne son consentement. Ensuite, il est important de conserver ce consentement sous une forme qui puisse prouver son existence. Si une personne donne son consentement en se connectant à un compte en ligne avec un code d’accès qui lui est propre, comme c’est le cas sur un espace de banque en ligne par exemple, la première condition peut être considérée comme remplie. Cependant, cette situation est relativement rare, car de nombreux consentements sont demandés sans que l’identité de la personne ne soit vérifiée

Suivant ces dispositions, la charge de la preuve incombe donc au responsable de traitement, qui devra démontrer par des arguments convaincants le respect du consentement des personnes concernées par le traitement.

Cette dernière précision fait notamment écho aux traitements obligatoires pour la bonne exécution des contrats, où la preuve devra être jugée comme « suffisante ».

Pour autant, le texte ne donne pas plus d’indications concernant la forme de la preuve. Des avis sont cependant fournis par des institutions nationales, à l’image de l’autorité de protection des données du Royaume-Uni, l’« ICO » (« Information Commissionner’s Office ») , qui conseille de conserver toute trace relative aux personnes concernées, à la date et aux méthodes de consentement, etc.

D’un côté, cette souplesse pourrait inquiéter au sujet des éventuelles dérives relatives à la collecte et la réutilisation de ces données ; pour autant, est-il pertinent de cloisonner ce type de preuve, au risque d’une rigidité certaine du texte ?

Quoi qu’il en soit, ces dispositions sont encore à l’étude, et il conviendra d’en observer la pratique pour en comprendre réellement l’étendue.

La CNIL préconise que le responsable de traitement tienne un registre des consentements. Elle rappelle également qu’une fois le traitement terminé, la preuve du consentement ne doit pas être conservée plus longtemps que le temps nécessaire à l’exercice ou à la défense de ses droits en justice par le responsable de traitement. Enfin, il convient de noter que le RGPD ne fixe pas de durée de validité du consentement. Cette durée dépendra du contexte, de la portée du consentement initial.

III. Les cas particuliers

A. Les conditions applicables au consentement des enfants

En vertu de l’article 8 du RGPD, dans le cas où le consentement est donné par un mineur, il doit être donné avec l’autorisation des détenteurs de l’autorité parentale, sauf si le droit national prévoit que l’enfant est en mesure de donner un consentement valable sans autorisation parentale.

En France, l’âge de la majorité numérique est fixé à 15 ans. Conformément à l’article 45 de la loi informatique et libertés, les enfants de 15 ans ou plus peuvent donc consentir eux-mêmes au traitement de leurs données fondé sur le consentement dans le cadre des services de la société d’information. En-dessous de 15 ans, la loi « Informatique et Libertés » impose le recueil du consentement conjoint de l’enfant et du titulaire de l’autorité parentale.

Les raisons de cette protection sont précisées au considérant 38 du RGPD « Les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu’ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel […] »

Il est cependant regrettable de constater qu’aucune mesure de contrôle de l’âge n’est actuellement déployée par les plateformes. Il est néanmoins possible de noter qu’une proposition de loi visant à instaurer une majorité numérique et à lutter contre la haine en ligne a été déposée le 17 janvier 2023 à l’Assemblée nationale. Elle tend à compléter la loi du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN) afin contraindre les réseaux sociaux de refuser l’inscription à leurs services des enfants de moins de 15 ans, sauf si les parents ont donné leur accord. Pour se faire, ces plateformes devront mettre en place une solution technique permettant de vérifier l’âge de leurs utilisateurs et l’autorisation des parents.

Il est important de noter que les âges de majorité numérique peuvent varier d’un pays à l’autre en Europe, et que certains pays peuvent également avoir des règles spécifiques pour certaines activités en ligne (par exemple, les réseaux sociaux ou les jeux en ligne) qui peuvent avoir leur propre âge minimum pour le consentement. En Allemagne cette majorité est fixée à l’âge de 16 ans tandis qu’en Belgique ou au Portugal elle est atteinte dès l’âge de 13 ans.

Enfin, les enfants ont le droit de retirer leur consentement à tout moment. Les responsables du traitement doivent donc veiller à ce que les enfants soient informés de leur droit de retirer leur consentement et à ce qu’il soit facilement d’exerçable.

B. Le consentement au traitement de données sensibles

Le RGPD catégorise certaines données personnelles comme étant sensibles. Définit à l’article 9 du règlement, ces données sont celles qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données de santé ou encore les données biométriques. En raison de leur caractère « sensible » et des risques que leur traitement entraîne pour la vie privée ou pour les droits des personnes, ces données ne peuvent être traitées qu’avec des garanties supplémentaires.

Le consentement donné en matière de données sensibles doit être encore plus explicite que celui donné pour les données à caractère personnel. Le consentement explicite est requis dans certaines situations où un risque sérieux lié à la protection des données survient, et où un niveau élevé de contrôle sur les données à caractère personnel par la personne concernée est de ce fait jugé approprié.

Une manière évidente de s’assurer que le consentement est explicite serait de confirmer expressément le consentement dans une déclaration écrite. Le cas échéant, le responsable du traitement pourrait s’assurer que la déclaration écrite est signée par la personne concernée afin de prévenir tout doute potentiel et toute absence potentielle de preuve à l’avenir. Il est également possible d’obtenir un consentement explicite moyennant une conversation téléphonique, à condition que les informations relatives au choix soient loyales, compréhensibles et claires et qu’elle demande une confirmation spécifique de la part de la personne concernée.

Il est important de noter que le consentement n’est pas toujours la base légale utilisée pour le traitement des données sensibles.

Le traitement des données sensibles sans recourir au consentement peut être autorisé pour des raisons de santé publique. Il peut, par exemple, s’avérer nécessaire de collecter et de traiter des données sensibles pour lutter contre la propagation d’une maladie contagieuse (circonstances que nous avons rencontré lors de la crise du Coronavirus). Dans ce cas, la collecte et le traitement de ces données peuvent être autorisés par des lois ou des réglementations nationales ou européennes, même si l’utilisateur n’a pas donné son consentement explicite.

De même, dans le cadre de la lutte contre le terrorisme ou la criminalité, il peut être nécessaire de collecter et de traiter des données sensibles pour prévenir ou détecter des infractions graves. Dans ce cas également, la législation peut autoriser le traitement de ces données sensibles, même en l’absence de consentement explicite de l’utilisateur.

Pour une version plus détaillée sur le RGDP et le consentement, cliquez sur les mots RGDP et consentement

SOURCES :
http://www.avistem.com/fr/le-rgpd-en-focus-focus-2-le-recueil-du-consentement
http://www.privacy-regulation.eu/fr/r43.htm
https://cnpd.public.lu/content/dam/cnpd/fr/actualites/national/2017/10/séances-information–gdpr/gdpr-info-sessions-fr-11h05-consentement.pdf
https://www.cnil.fr/fr/reglement-europeen/lignes-directrices
http://www.privacy-regulation.eu/fr/r32.htm
https://fr.mailjet.com/rgpd/consentement/
http://www.privacy-regulation.eu/fr/7.htm
https://ico.org.uk/media/about-the-ico/consultations/2013551/draft-gdpr-consent-guidance-for-consultation-201703.pdf
Délibération, 21 janvier 2019, SAN-2019-001
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000038032552/
CJUE, 1er octobre 2019, C-673/17
https://curia.europa.eu/juris/document/document.jsf;jsessionid=CA644C7436D43DA19729CD95998C7383?text=&docid=218462&pageIndex=0&doclang=FR&mode=lst&dir=&occ=first&part=1&cid=6352664
https://asso-generationnumerique.fr/enquetes/
F. Mattatia « RGPD et droit des données personnelles », 5° édition – Edition EYROLLES – 2021
Comité Européen à la protection des données – Guide lignes directrices – 2020 : https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_fr
CNIL – Capacité des mineurs en ligne : https://www.cnil.fr/fr/recommandation-1-encadrer-la-capacite-dagir-des-mineurs-en-ligne

Par • internet-et-droit • • Tags: , , ,

Protection de la vie privée

La protection de la vie privée est un principe essentiel aujourd’hui. Cependant, l’arrivée d’internet a complètement modifié les mœurs, c’est pourquoi il est nécessaire de s’arrêter sur la protection de la vie privée dans le cadre d’internet.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de vie privée en passant par le formulaire !

La protection de la vie privée est un principe essentiel aujourd’hui. A l’ère du numérique la vie privée peut être menacée par une variété de facteurs, tels que les réseaux sociaux, les caméras de surveillance, les drones, les employeurs, les gouvernements et les pirates informatiques. Les préoccupations liées à la vie privée ont été amplifiées avec l’augmentation de la quantité de données personnelles autorisées en ligne et la facilité avec laquelle ces données peuvent être pondérées, analysées et partagées.

Il existe plusieurs lois et normes qui sont destinées à protéger la vie privée des individus. Il est possible de citer le Règlement européen sur la protection des données (RGPD) entrée en vigueur le 25 mai 2018 qui a permis d’instaurer un cadre européen harmonisé qui contribue au respect de la vie privée des utilisateurs en ligne.

Besoin de l’aide d’un avocat pour un problème de vie privée ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Est-il légal d’adresser un e mail (ou un SMS) à un prospect qui n’a a priori pas fait de démarches pour recevoir ces messages ?

En France, les responsables de traitement, c’est-à-dire tous les organismes ou entreprises qui traitent des données à caractère personnel (RGPD) sont soumises au respect des dispositions du Règlement européen à la protection des données.

Le RGPD requiert que tout traitement de données à caractère personnel respecte un socle de principes fixés en son article 5 et soit fondé sur une des bases légales prévues à l’article 6 pour être licites.

La prospection commerciale par courriel est possible, mais la personne concernée doit d’abord en être informée. En effet, le consentement de la personne est systématiquement requis préalablement s’il s’agit de particuliers ou pouvoir s’y opposer s’il s’agit de professionnels (L34-5 du code des postes et télécommunications). Si le consentement n’a pas été requis, la prospection électronique sera considérée comme du spam.

Le consentement requiert pour être valable de respecter les dispositions de l’article 7 du RGPD. D’une part il doit être libre, éclairé et univoque. D’autre part, il requiert, pour être valable, une action positive et spécifique de la personne concernée. La CNIL recommande que le consentement préalable ou le droit d’opposition soit recueilli par le biais d’une case à cocher.

Pour rappel, l’utilisation d’une case précochée est interdite en matière de recueil du consentement. Il est donc recommandé d’utiliser une case décochée par défaut pour permettre aux personnes de s’opposer.

Par ailleurs chaque message électronique devra comprendre des mentions obligatoires. D’une part il conviendra de préciser l’identité de l’annonceur et d’autre part, d’intégrer un moyen de s’opposer à la réception de nouvelles sollicitations en vertu du droit de retrait.

Un fichier de prospects dit « qualifié » peut-il être revendu à un tiers ? (par exemple, une société vient de racheter une start up qui vient de déposer le bilan afin d’utiliser son fichier, est ce légal ?)

Un fichier de prospects dit « qualifié » est une liste de contacts potentiels pour une entreprise qui ont été évalués et classés en fonction de leur intérêt et de leur capacité à acheter les produits ou services de l’entreprise. L’avantage d’un fichier de prospects qualifiés est qu’il permet de se concentrer sur les contacts les plus pertinents et les plus susceptibles de générer des ventes.

La vente d’un fichier clients n’est pas interdite par le RGPD, mais doit se faire dans le respect de certaines obligations précises. La CNIL rappelle les règles qu’un vendeur et un acquéreur doivent respecter lors de la vente d’un fichier à des fins commerciales notamment s’agissant des droits des personnes.

Tout d’abord, seuls les fichiers qui ont été constitués dès le départ dans le respect de la réglementation peuvent faire l’objet d’une vente. La vente d’un fichier clients a pour conséquence de permettre à l’acquéreur de démarcher les personnes concernées, ce qui ne sera possible que si le vendeur respecte certaines règles. Pour se faire, plusieurs conditions sont requises.

Pour commencer, les données des clients utilisées à des fins de prospection commerciale peuvent être conservées pendant la relation commerciale, puis, sauf exception, pour une durée de 3 ans à compter de la fin de cette relation commerciale, autrement dit, à partir de la dernière action du client.

Les données des clients qui ne sont conservées qu’à des fins administratives (comptabilité, contentieux, etc.) ne devront pas être transmises.

Les données des clients qui se sont opposés à leur transmission à des fins de prospection par voie postale ou téléphonique et ceux qui n’ont pas consenti à la transmission des données à des fins de prospection par voie électronique devront être supprimées du fichier avant que celui-ci ne soit transmis à l’acquéreur.

Comme le rappelle la CNIL, les conditions de transmission et de remise des données entre le vendeur et l’acquéreur devront s’effectuer de façon à garantir la sécurité et la confidentialité des données.

Le nouveau responsable de traitement devra par conséquent assurer le respect de l’ensemble des obligations posées par le RGPD. Il s’agira par exemple de s’assurer du respect des durées de conservation des données, d’assurer la sécurité des données ou encore de garantir le respect des demandes d’exercice de droit de la personne concernée.

Par ailleurs, elle indique que la partie qui acquiert les données devra informer les personnes, dès que possible. Elle recommande de le faire dès le premier contact avec la personne concernée et, au plus tard, dans un délai d’un mois sauf si les personnes ont déjà reçu les informations nécessaires.

 

Ou en est le droit français à l’heure actuelle sur la protection des données ? (et notamment sur la revente des fichiers)

En France, la loi « Informatique et Libertés », adoptée en 1978 et modifiée à plusieurs reprises au cours des vingt dernières années, a longtemps été considérée comme le texte fondamental régissant le droit des données personnelles. Elle a notamment institué la Commission nationale de l’informatique et des libertés (CNIL) chargée de veiller à ce que l’informatique soit au service du citoyen et qu’elle ne porte atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques.

Les dispositions de la LIL ont été renforcées en 2004 suite à la transposition de la directive 95/46/CE.

Adoptée en 2016, l’entrée en vigueur de la nouvelle réglementation européenne le 25 mai 2018 a permis d’adapter le droit de l’union aux changements induits par l’explosion de l’informatique et d’Internet.

Afin de garantir l’effectivité des dispositions prévues par ce règlement, toutes les entreprises qui collectent des données personnelles de personnes résidant dans l’Union européenne sont soumises à la réglementation indépendamment de leur localisation. Le choix d’un règlement se justifie par une forte volonté d’harmoniser le volet de la protection des données sur le territoire de l’Union européenne.

Une partie de cette réglementation a donc radicalement remplacé certaines dispositions de la loi « Informatiques et Libertés » et a par conséquent conduit à l’abrogation de la directive 95/46/CE.

Cependant, il convient de rappeler que le RGPD ne couvre pas la totalité du droit des données (lutte contre les infractions pénales et menaces à la sécurité publique par exemple) et laisse des marges de manœuvre nationales sur certains points (majorité numérique par exemple).

En 2018, le législateur a procédé à la modification de la loi « Informatiques et Libertés » ce qui a permis de réorganiser l’ensemble de la loi en cinq titres différents.

Pour lire une version plus compète de cet article sur la protection de la vie privée, cliquez

SOURCES :

https://www.cnil.fr/fr/la-prospection-commerciale-par-sms-mms
https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique
https://www.cnil.fr/fr/reglement-europeen-protection-donnees

Par • internet-et-droit • • Tags: , , ,

L’anonymat sur Internet

« Si je regarde suffisamment vos messages et votre localisation, et que j’utilise une intelligence artificielle, je peux prévoir où vous allez vous rendre. Montrez-nous 14 photos de vous et nous pourrons vous identifier. Vous pensez qu’il n’y a pas quatorze photos différentes de vous sur Internet ? Il y en a plein sur Facebook ! » le PDG de Google, Eric Schmidt, a estimé, que l’anonymat sur Internet était voué à disparaître et serait remplacé par une  » transparence totale « .

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire ! 

L’anonymat sur internet fait référence à la possibilité pour les utilisateurs d’utiliser des services en ligne sans révéler leur véritable identité.

Avec le développement des activités numériques sur le web, le terme  » anonyme  » prend une nouvelle orientation. Ainsi, des millions d’internautes naviguent sur le web de façon anonyme, du moins le croient-ils, en consultant des sites d’information ou d’e-commerce. Dans le même temps, d’autres millions d’internautes ont ouvert des comptes personnels sur des réseaux sociaux en se cachant derrière un pseudonyme. Alors qu’on utilise de plus en plus Internet, qu’on y laisse toujours plus de données et qu’il est de plus en plus facile de savoir qui y fait quoi, l’inquiétude quant à l’utilisation de ces données grandit chaque jour.

En toute hypothèse, sur le web, la sensation d’anonymat est décuplée par la distance qui existe entre l’internaute et le serveur auquel il accède pour y consulter des informations ou pour y créer des données (donner une opinion, écrire un texte, uploader un document, etc.). Et la sensation d’anonymat s’accroit chez de nombreux internautes à partir du moment où ils se cachent derrière un écran et un pseudonyme.

Dans la pratique, moins de 5% des internautes mettent en place des pratiques d’offuscation de leurs traces sur le web en utilisant notamment des services tels que les réseaux privés virtuels (VPN), des navigateurs anonymes et des services de messagerie anonymes

On notera le caractère ambigu de l’anonymat : d’un côté, c’est ce qui est sans nom, sans valeur, parfois menaçant ; de l’autre, c’est une stratégie de protection, de préservation, porteuse d’égalité (dans le cas par exemple, de l’anonymat du vote en France). Cette dualité se retrouve également sur internet.

 

I. L’anonymat, principe nécessaire à la protection de la vie privée sur internet

A. Anonymat et vie privée sur internet

Anonymat et vie privée sont très souvent associés, et pour cause. Le premier est un moyen de préserver la seconde. La vie privée est la raison pour laquelle on peut recourir à des techniques d’anonymisation. Internet bouleverse la manière dont nous gérons notre vie privée.

L’anonymat en ligne offre de nombreux avantages, notamment la possibilité de protéger ses données personnelles, de contourner les restrictions géographiques imposées par certains services, et de protéger son identité lors de la participation à des débats politiques ou sociaux

Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

La vie privée ne peut se comprendre qu’en termes de contrôle de ce qu’on laisse sur internet. Elle consiste à conserver le contrôle d’une information personnelle et ne pas la laisser sortir d’un cadre dans lequel elle a été rendue publique.

La notion de vie privée se rapporte principalement à la capacité de contrôler les informations personnelles que l’on partage sur Internet, afin de préserver leur caractère confidentiel et de les empêcher de se propager au-delà du cadre dans lequel elles ont été rendues publiques.

Sur internet, cet ensemble d’informations personnelles aussi appelées données constitue ce que l’on nomme « l’identité numérique ». Elle se compose à la dois des traces personnelles, des traces liées à notre activité sur les plateformes et des traces commerciales.

Sur internet, l’utilisateur ne laisse pas seulement des traces volontairement et de manière visible. S’il existe bien des traces visibles et intentionnelles (commentaire sur un blog, photo sur les réseaux sociaux), les traces invisibles et non intentionnelles sont d’autant plus nombreuses (l’adresse IP quand on se connecte à un site internet, requête dans les archives d’un moteur de recherche). Il y a également les cookies placés sur le navigateur ou le tracker, qui est un petit programme présent sur les sites web qui enregistre certaines activités à des fins publicitaires, présent sur les sites de e-commerce.

Un très grand nombre d’informations peuvent être collectées sur internet : l’historique de connexions et de visites, l’adresse IP, les recherches Google, les favoris et l’historique complet, les emails etc..

Par ailleurs, avec l’arrivée des objets connectées d’autres types de données sont à présents la cible des entreprises.

B. L’encadrement juridique de la protection des données collectées sur internet

S’il est aisé d’imaginer que nous sommes tous fichés par l’Etat et les organismes qui lui sont rattachés (sécurité sociale, fisc, police à travers la carte nationale d’identité, la préfecture lors de l’établissement de la carte grise, le Pôle emploi, le médecin, etc.), par son employeur, par des associations indépendantes (club de sport, association à laquelle on fait un don, forum de discussion ou chat, etc.) ou encore par des sociétés commerciales (banque, assureurs, téléphonie, fichiers clients des commerces, etc.), on imagine moins être fichés par des sociétés que l’on ne connaît pas. Et pourtant, les données personnelles circulent facilement soit contre rémunération pour le titulaire du fichier, soit de manière involontaire en cas notamment de piratage informatique ou de détournement de la finalité d’un fichier.

C’est pour cela qu’en France, la CNIL, la Commission nationale informatique et libertés veille à ce que la loi Informatique et libertés de 1978 et les autres textes qui protègent ces données personnelles, soient respectés, afin d’éviter les abus et les atteintes aux droits fondamentaux.

En 2014, la CNIL affirme que près de 35% des recruteurs avouent avoir déjà écarté un candidat à un emploi à cause d’une e-réputation négative. négative.

En France, le texte fondateur en matière de protection des données est la Loi informatique et liberté du 6 janvier 1978 qui définit les principes à respecter lors de la collecte, du traitement et de la conservation des données personnelles. Elle renforce les droits des personnes sur leurs données, prévoit une simplification des formalités administratives déclaratives et précise les pouvoirs de contrôle et de sanction de la CNIL.

La loi « Informatique et Libertés » est applicable dès lors qu’il existe un traitement automatisé ou un fichier manuel, c’est-à-dire un fichier informatique ou un fichier  » papier  » contenant des informations personnelles relatives à des personnes physiques.

Depuis le 25 mai 2018, la réglementation européenne à la protection des données a étendu les pouvoirs de la CNIL et la protection des données sur le plan européen.

En 2018, plusieurs associations actives dans le domaine de la protection des données personnelles ainsi qu’un opérateur de télécoms ont saisi le Conseil d’État de recours contre les décrets qui prévoient la conservation des données de connexions et qui organisent leur traitement pour les besoins du renseignement et des enquêtes pénales.

À cette occasion, le Conseil d’État a saisi, en 2018, la Cour de justice de l’Union européenne (CJUE) pour l’inviter à préciser la portée des règles issues du droit européen (directive 2002/58, dite « vie privée et communications électroniques » et règlement général sur la protection des données – RGPD). Plusieurs juridictions d’autres États membres de l’Union ont, elles aussi, saisi la CJUE dans le même but. Par trois décisions rendues le 6 octobre 2020, la CJUE a détaillé les limites posées à ses yeux par le droit européen

Dans un arrêt rendu le 6 octobre 2020, la CJUE a précisé que le droit de l’UE s’oppose à ce qu’une « réglementation nationale permettant à une autorité étatique d’imposer, aux fins de la sauvegarde de la sécurité nationale, aux fournisseurs de services de communications électroniques la transmission généralisée et indifférenciée des données relatives au trafic et des données de localisation aux services de sécurité et de renseignement ».

Toutefois, elle a nuancé sa position en rajoutant que, dans des situations dans lesquelles un État membre fait face à une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, ce dernier peut déroger à l’obligation d’assurer la confidentialité des données afférentes aux communications électroniques en imposant, par des mesures législatives, une conservation généralisée et indifférenciée de ces données pour une durée temporellement limitée au strict nécessaire, mais renouvelable en cas de persistance de la menace.

Contrairement à toute attente, par rendu un arrêt rendu le 21 avril 2021, le CE avait autorisé la conservation généralisée des données de connexion, et ce, en dehors des situations exceptionnelles d’état d’urgence sécuritaire. Cette décision contraire aux exigences de la jurisprudence précédente de la CJUE (6 octobre 2020) a été possible grâce à une réinterprétation de la notion de « sécurité nationale » pour inclure des infractions au-delà de la lutte contre le terrorisme telles que l’organisation de manifestations non-déclarées ou encore le trafic de stupéfiants.

En outre, il relevait à cette occasion, la possibilité d’accéder à ces données pour la lutte contre la criminalité grave permet, à ce jour, de garantir les exigences constitutionnelles de prévention des atteintes à l’ordre public et de recherche des auteurs d’infractions pénales. En revanche, il ordonnait au Gouvernement de réévaluer régulièrement la menace qui pèse sur le territoire pour justifier la conservation généralisée des données et de subordonner l’exploitation de ces données par les services de renseignement à l’autorisation d’une autorité indépendante.

II. L’anonymat, principe menacé par les développements technologiques

A. Le Big Data au détriment de l’anonymat

Littéralement, le terme de  » Big Data  » signifie métadonnées, grosses données ou encore données massives. Ils désignent un ensemble très volumineux de données qu’aucun outil classique de gestion de base de données ou de gestion de l’information ne peut vraiment travailler. En effet, nous procréons environ 2,5 trillions d’octets de données tous les jours. Ce sont les informations provenant de partout : messages que nous nous envoyons, vidéos que nous publions, informations climatiques, signaux GPS, enregistrements transactionnels d’achats en ligne et bien d’autres encore. Ces données sont baptisées Big Data ou volumes massifs de données. Les géants du Web, au premier rang desquels Yahoo (mais aussi Facebook et Google ), ont été les tous premiers à déployer ce type de technologie.

L’analyse des données est capable d’extraire des informations très précises sur les individus en croisant des données anonymes. Par exemple, les signaux de géolocalisation des portables, la démarche d’un passant filmée par vidéosurveillance, le choix de films téléchargés forment autant d’indicateurs sur les habitudes, les intérêts et les activités des personnes.

Le cas Cambridge Analytica dévoilé en 2018, fait échos aux risques que font courir la collecte et la manipulation des données personnelles à grande échelle.

Actuellement, la tendance est à la convergence des différentes données disponibles. Data en ligne et hors ligne, structurées ou non structurées rassemblées et consolidées, accord entre Facebook et des courtiers de données : les algorithmes n’ont pas fini de générer de plus en plus de sources lucratives sur le marché des Big Data. Plus encore : il est possible de prédire où se trouvera une personne d’ici 80 semaines sur la base de données de géolocalisation issues de son GPS. Finalement, rester non identifié devient une gageure.

B. Une pression croissante de l’État

Depuis une dizaine d’années, les initiatives de la part des gouvernements pour tenter de réguler et de contrôler internet se sont multipliées. Rappelons les révélations d’Edward Snowden en 2013, qui ont montré que les collectes massives d’informations par la NSA, concernant des citoyens du monde entier, dépassaient le cadre de la lutte nécessaire contre le terrorisme ou contre les autres risques géopolitiques.

La France n’est pas en reste, puisque son service de renseignement extérieur, la DGSE (Direction Générale de la Sécurité Extérieure), a également à sa disposition un système d’interception massif d’Internet, sans compter sa proximité avec l’opérateur Orange. Au delà des services de renseignement, ces dernières années, le législateur français a été particulièrement attentif à la régulation d’internet :  LCEN (loi pour la confiance en l’économie numérique) ; DADVSI (loi relative aux droits d’auteur et droits voisins dans la société d’information) , LOPPSI 2 (loi d’orientation et de programmation pour la performance de la sécurité intérieure), Hadopi (loi Création et Internet de la Haute autorité pour la diffusion des œuvres et la protection des droits sur internet) ou encore les lois antiterroristes qui accroissent la surveillance du réseau à la recherche de potentiels terroristes.

Cette pression croissante des gouvernements à des fins de contrôle, de régulation et de surveillance peut se faire au détriment de l’anonymat des utilisateurs d’internet.

Le 15 novembre 2001, la France a adopté la loi sur la sécurité quotidienne, dont l’article 29 oblige les fournisseurs d’accès à internet à conserver les identifiants de connexion de leurs abonnés. Ses mesures, dont l’article 29, auraient dû arriver à expiration fin décembre 2003. Cependant un amendement de la loi sur la sécurité intérieure du 21 janvier 2003, a pérennisé les mesures de conservation des identifiants et les a séparées du motif terroriste, leur raison d’être de l’adoption de la première loi. Ces mesures sont désormais présentes dans l’article 34-1 du Code des postes de communications électroniques.

À partir de la loi de 2004 et de la loi pour la confiance en l’économie numérique, la conservation des identifiants de connexion, qui devait être effectuée uniquement par les opérateurs de télécommunications, donc les fournisseurs d’accès à internet, concerne également les hébergeurs, c’est à dire, tous les sites qui mettent à disposition du public un service de  » stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature  » (sites d’informations, services de vidéo type Dailymotion ou Youtube, Wikipédia…). Le décret précisant les modalités n’est intervenu que le 1er mars 2012.

Le 30 juillet 2021, la loi n° 2021-998 relative à la prévention d’actes de terrorisme et au renseignement a été adoptée. Ce texte, par le biais de son article 17, a  modifié l’article L34-1 du Code des postes et des communications électroniques ainsi que l’article 6-II de la LCEN.

Ce texte révise la loi sur le renseignement du 24 juillet 2015 notamment pour tenir compte de l’évolution des technologies et des modes de communication utilisés par les terroristes. Les services de renseignement disposent de nouveaux moyens de contrôle, en particulier la possibilité à titre expérimental d’intercepter des communications satellitaires.

  1. Les limites dans le cadre des enquêtes pénales

Par une série de quatre arrêts rendus le 12 juillet 2022 par la chambre criminelle, la Cour de cassation tire les conséquences des décisions rendues par la Cour de justice de l’Union européenne relatives à la conservation des données de connexion et à l’accès à celles-ci dans le cadre de procédures pénales (Crim. 12 juill. 2022, FS-B+R, n° 21-83.710 ; Crim. 12 juill. 2022, FS-B, n° 21-83.820 ; Crim. 12 juill. 2022, FS-B, n° 21-84.096 ; Crim. 12 juill. 2022, FS-B, n° 20-86.652).

D’une part, la Cour de cassation énonce que les données de connexion ne peuvent être obtenues que dans le cadre d’enquêtes pénales relatives à des infractions d’une certaine gravité. A ce propos, la loi n° 2022-299 du 2 mars 2022 visant à combattre le harcèlement scolaire avait déjà limité une telle possibilité aux enquêtes relatives à une infraction punie d’au moins 3 ans d’emprisonnement en application notamment du nouvel article 60-1-2 du Code de procédure pénale.
L’appréciation du caractère grave de la criminalité par les juridictions est également effectuée au regard de la nature des agissements de la personne mise en cause, de l’importance du dommage qui en résulte, des circonstances de la commission des faits et de la durée de la peine encourue.

D’autre part, la Cour de cassation précise que la délivrance de réquisitions relatives aux données de connexion doit faire l’objet d’un contrôle préalable par une juridiction ou une autorité administrative indépendante au sens où l’entend la Cour de justice de l’Union européenne.

La Cour de cassation en conclut que les articles 60-1, 60-2, 77-1-1 et 77-1-2 du Code de procédure pénale n’étaient pas conformes au droit de l’Union européenne. Selon elle, les règles actuelles du Code de procédure pénale, qui permettent au procureur de la République ou à un enquêteur d’accéder à ces données, sont contraires au droit de l’Union car elles ne prévoient pas un contrôle préalable par une juridiction ou une entité administrative indépendante. Bien que la Cour valide la compétence du juge d’instruction en la matière, elle considère en revanche que le procureur de la République, en ce qu’il incarne une autorité de poursuite, ne peut pas ordonner de telles mesures d’investigation.

Par le passé, la Cour de justice de l’Union européenne avait en effet jugé, par un arrêt de sa Grande chambre du 2 mars 2021, H. K. et Prokuratuur, C-746/18, que « l’article 15, paragraphe 1, de la directive 2002/58, telle que modifiée par la directive 2009/136, lu à la lumière des articles 7, 8 et 11 ainsi que de l’article 52, paragraphe 1, de la charte des droits fondamentaux, doit être interprété en ce sens qu’il s’oppose à une réglementation nationale donnant compétence au ministère public, dont la mission est de diriger la procédure d’instruction pénale et d’exercer, le cas échéant, l’action publique lors d’une procédure ultérieure, pour autoriser l’accès d’une autorité publique aux données relatives au trafic et aux données de localisation aux fins d’une instruction pénale. »

La Cour de cassation a toutefois jugé que les éléments de preuve ainsi obtenus ne peuvent être annulés que si une telle irrégularité portait concrètement atteinte aux droits de la personne poursuivie. Cette interprétation permet de limiter les cas dans lesquels la nullité des actes serait encourue et de sauvegarder la plupart des procédures pénales en cours.

Pour lire une version plus complète de cet article sur l’anonymat sur internet, cliquez sur ce lien

Sources :

Sources :

https://books.google.fr/books?id=zSsTBQAAQBAJ&pg=PR18&lpg=PR18&dq=anonymat+sur+internet+mémoire&source=bl&ots=1x_SHNL5q8&sig=YwazYsBgPmSWpV-Tqbi1hwnlvMc&hl=fr&sa=X&ved=0ahUKEwjksqHopafLAhUGVxoKHWTYAggQ6AEIOTAF#v=onepage&q=anonymat%20sur%20internet%20mémoire&f=false
http://www.journaldunet.com/ebusiness/le-net/1169618-vers-un-reglement-europeen-sur-la-protection-des-donnees-qui-vise-les-plateformes-us/
http://www.zdnet.fr/actualites/etat-d-urgence-le-gouvernement-n-interdira-pas-le-wi-fi-public-et-tor-39829552.htm
http://rue89.nouvelobs.com/blog/oh-my-code/2016/03/05/respect-de-la-vie-privee-apple-ou-surveillance-generalisee-fbi-vous-de-choisir-235245

Par • internet-et-droit • • Tags: , , , ,

RÈGLEMENT « DIGITAL SERVICES ACT » POUR UNE RESPONSABILISATION DES PLATEFORMES

Face à la montée de problématiques telles que la haine en ligne, la manipulation de l’information, la désinformation, et la contrefaçon, l’Union européenne (UE) a adopté une nouvelle mesure réglementaire, le Digital Services Act (DSA), pour réguler les activités des plateformes numériques, en particulier celles des géants du web, les GAFAM.

Pour faire supprimer un contenu qui bafoue vos droits, utilisez le service mis en place par le cabinet Murielle-Isabelle CAHEN.

Promulgué le 19 octobre 2022, ce règlement a pour but d’accroître la protection des Européens dans un monde numérique en constante évolution. Il agit en tant que modernisation de la Directive du 8 juin 2000 sur le commerce électronique, cherchant à mettre à jour et à renforcer les dispositions de cette directive pour tenir compte de l’évolution rapide du paysage numérique.

Ainsi, Les plateformes en ligne devront proposer aux internautes un outil leur permettant de signaler facilement les contenus illicites. Une fois le signalement effectué, elles devront rapidement retirer ou bloquer l’accès au contenu illégal. Dans ce cadre, elles devront coopérer avec des « signaleurs de confiance ». Ce statut sera attribué dans chaque pays à des entités ou organisations en raison de leur expertise et de leurs compétences. Leurs notifications seront traitées en priorité.

Le règlement s’applique à tous les services intermédiaires fournis aux internautes et ayant leur lieu d’établissement ou de résidence dans l’union européenne.

Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Autrement dit, le lieu d’établissement de la plateforme ou du prestataire est sans incidence dès lors que la seule utilisation du service dans le territoire de l’union européenne permet au DSA d’être applicable.

Un tel règlement permet de protéger la cible des plateformes : les utilisateurs. En effet, tous les prestataires seront soumis aux mêmes obligations prévues par le DSA.

En somme, doivent se soumettre au DSA :

Les fournisseurs d’accès à internet ;

Les fournisseurs de services intermédiaires (services d’information, de mise en marche et d’hébergement) ;

Les plateformes en ligne telles que les réseaux sociaux, les plateformes marchandes, ou les plateformes de voyage et d’hébergement ;

Les moteurs de recherches et plateformes en ligne utilisés par plus de 45 millions d’Européens par mois et désignés comme « Très grande plateforme » par la Commission européenne.

A ce titre, en avril 2023, la Commission européenne a adopté les premières décisions listant 17 très grandes plateformes en ligne et 2 très grands moteurs de recherche en ligne touchant au moins 45 millions d’utilisateurs européens actifs par mois.

De ce fait, ces règlements pourront avoir un impact significatif et déterminant sur l’économie numérique mondiale.

Inquiets et désabusés devant les pratiques des géants du numérique qui constituent les GAFAM ou MAMAA, les institutions Européennes entendent bien mettre au pas ces grandes sociétés tentaculaires qui occupent une position presque oligopolistique sur ces différents marchés que sont le numérique et la publicité.

Ces règlements s’inscrivent également dans un mouvement de régulation sur internet qui vise notamment à stopper certains agissements des grandes plateformes, mieux protéger les internautes et à favoriser le jeu de la concurrence sur les marchés numériques. Responsabiliser ces acteurs incontournables semble donc nécessaire.

L’opacité des méthodes déployées par ces derniers engendre également de nombreux problèmes. C’est la raison pour laquelle le règlement DSA vise à apporter un nouveau cadre au système de recommandation de contenu aux utilisateurs (I) afin de mieux réguler les publicités ciblées (II).

I) Un cadre nouveau pour les systèmes de recommandations en ligne

Vous l’avez sans doute remarqué en surfant sur le web : les recommandations foisonnent sur les réseaux sociaux et les moteurs de recherche. Celles-ci sont rendues possibles grâce aux algorithmes de recommandation. (A) Pour faire face à ce système bien rôdé qui présente des risques certains pour les utilisateurs, l’Europe a mis en place un cadre juridique basé sur la transparence (B).

A) L’univers numérique : un monde gouverné par les algorithmes

De manière générale l’accès à l’information implique nécessairement l’usage d’algorithme. Tous les moteurs de recherche que nous utilisons les utilisent afin de nous diriger de manière optimale vers l’information recherchée. Les plateformes de partage de vidéos tels que Youtube ou Netflix ne sont pas en reste et les utilisent massivement.

Ces algorithmes influencent de manière radicale nos choix, nos goûts et nos envies.

C’est d’ailleurs ce qui avait été reproché à Google Shopping qui avait été condamnée en 2021 par le Tribunal de l’UE à une amende record de 2,42 milliards d’euros. Google avait alors auto préférencé les liens dirigeant vers Google Shopping, son propre comparateur de produit au détriment des autres concurrents. Cette pratique pourrait par le biais des recommandations être appliquée.

Dans une étude publiée par le Conseil supérieur de l’Audiovisuel en 2019, il ressortait que les critères qui gouvernent les algorithmes sont : les préférences et historique de consommation des utilisateurs, les types de contenus, les partages, les commentaires, les likes, les sites visités… La manière dont ces données alimentent les algorithmes et l’utilisation qui en est faite par ces derniers reste un mystère.

Le système manque singulièrement de transparence et aucune explication n’est faite à propos des contenus qui sont proposés aux utilisateurs.

Pourtant comme cela a été mis en évidence dans l’affaire Google Shopping l’importance du classement d’une information ou d’un produit est déterminante, et c’est bien le danger que représente ce système opaque qui peut engendrer non seulement des comportements déloyaux envers les concurrents, mais également des effets extrêmement négatifs sur les habitudes de consommation de l’ensemble des utilisateurs.

Un mauvais usage de cette puissance informationnelle pourrait conduire à biens des catastrophes (manipulation des utilisateurs, relayage de fausses informations). C’est d’ailleurs ce point qui ressort dans les considérants du règlement ici présenté : les systèmes de recommandation algorithmique jouent un rôle important dans l’amplification de certains messages et la diffusion d’informations.

On est alors en mesure de s’interroger sur la variété et la qualité des points de vue donnés par le moteur de recherche sur un sujet donné à ses utilisateurs.

Déjà sanctionnées sous le prisme du droit de la concurrence par le Digital Market Act, le règlement qui accompagne le DSA vient interdite les pratiques d’auto-préférence, lorsqu’elles revêtent un caractère anticoncurrentiel, les modes de fonctionnement des algorithmes devront être dévoilées au grand jour par l’instauration par le DSA d’obligations de transparence et d’explicabilité.

B) Une obligation renforcée de transparence et d’explication

Explicabilité et transparence sont les maitres mots du DSA. L’importance des systèmes de recommandation algorithmique n’est plus à prouver et les risques qu’ils entrainent sont certains. Le législateur Européen l’a bien compris et le DSA désigne désormais ces systèmes de recommandation comme étant de potentiels « facteurs d’aggravation des risques systémiques » portés par les très grandes plateformes.

Le règlement vient imposer à ces dernières de prévoir au moins une option de système de recommandation n’étant pas fondée sur le profilage.

A l’égard de toutes les plateformes le DSA vient créer des obligations de transparence et d’explicabilité de leur système de recommandation.

L’article 24 bis du DSA prévoit ainsi une obligation pour les plateformes d’intégrer dans leurs conditions générales « dans un langage clair et compréhensible, les principaux paramètres utilisés dans leurs systèmes de recommandation, ainsi que toute option permettant aux bénéficiaires du service de modifier et d’influencer ces principaux paramètres ».  Les plateformes devront ainsi permettre aux utilisateurs de paramétrer eux-mêmes les algorithmes de recommandation.

L’article apporte par la suite des précisions sur les informations qui devront figurer dans les conditions générales pour satisfaire aux exigences du paragraphe susmentionné. Ces informations devront comprendre les critères les plus significatifs qui permettent aux algorithmes de dresser leurs recommandations.

L’objectif visé par le législateur est de contraindre les plateformes à informer les utilisateurs que d’une part les informations qui lui sont présentées ont fait l’objet d’un reclassement par ordre de priorité, et comment d’autre part cet ordre de priorité est déterminé et à partir de quelles informations.

L’explicabilité et la transparence impliquent nécessairement une exigence de clarté et d’intelligibilité des explications ainsi transmises à l’utilisateur. C’est la raison pour laquelle l’article 24 bis du DSA mentionne un « langage clair et compréhensible ».

Cette obligation d’intelligibilité s’inscrit dans la continuité du règlement RGPD qui visait à rendre l’utilisation des données personnelles des utilisateurs par les plateformes numériques compréhensible. La formule « langage clair et compréhensible » sera par la suite reprise dans de nombreux points du DSA. (Article 12 du DSA qui oblige à faire usage d’un langage clair et compréhensible dans les conditions générales, ou encore l’article 38 qui impose une fois encore une obligation spécifique de clarté et d’adaptation du langage utilisé dès lors que le public visé est constitué de mineurs).

Dorénavant les grandes plateformes devront également fournir un résumé clair et concis des habituelles conditions générales interminables, dont personne ne daigne réellement prêter attention.

Cet encadrement des systèmes de recommandation a de toute évidence pour finalité de protéger l’utilisateur des plateformes. L’utilisateur doit rester conscient du fonctionnement de ces dernières afin de préserver un consentement libre et éclairé à tout acte qu’il effectuera sur les plateformes.

II) L’émergence d’un cadre juridique pour la publicité ciblée

La publicité ciblée est massivement utilisée par les plateformes du numérique et génère des revenus considérables. Pouvant avoir de nombreuses conséquences sur le comportement des consommateurs et sur le jeu de la concurrence, le recours à ces méthodes de publicité doit être fortement encadré. C’est la raison pour laquelle le législateur vient ici encore imposer aux plateformes une obligation renforcée de transparence en ce qui concerne la publicité ciblée (A). Ces obligations vont bouleverser les méthodes des plateformes numériques et fortement sensibiliser les consommateurs, ce qui risque de mener à une forte réduction de ces dernières (B).

A. La publicité ciblée au cœur des obligations de transparence

La CNIL définit la publicité ciblée comme étant une technique publicitaire qui vise à identifier les personnes individuellement afin de leur diffuser des messages publicitaires spécifiques en fonction de leurs caractéristiques individuelles.

Ce procédé représente aujourd’hui une part de revenus considérable pour les plateformes du numérique (près de 7 678 milliards d’euros de recette rien qu’en France en 2021) et apparait être l’un des piliers de l’économie numérique ainsi que la principale cause de collectes des données personnelles.

A la différence des publicités classiques qui font l’objet d’espaces dédiés et sont clairement identifiées, les publicités ciblées sont intégrées dans le flux de contenu habituel des utilisateurs.

Partant de ce constat, le DSA instaure un nouveau cadre particulièrement restrictif et allant au-delà de ce qui découlait de l’application du RGPD et de la directive e-privacy,  sans préjudice des principes posés par ces textes.

Désormais les plateformes devront veiller à ce que les utilisateurs soient informés de la présence de ces publicités. Ces dernières devront également être clairement identifiables par le consommateur moyen et ce de manière non ambiguë. Cette identification passera par l’apposition obligatoire de marques visuelles et sonores qui devront être adaptées à la nature de l’interface en question (Youtube, Facebook, Instagram etc…).

L’article 24 du DSA viendra ainsi contraindre les plateformes à :

  • Rendre visible et identifiable tout contenu publicitaire ;
  • Rendre identifiable la personne au nom et pour le compte de qui la publicité est diffusée ;
  • Exposer les paramètres utilisés pour cibler le consommateur

Désormais le ciblage publicitaire ne pourra plus être réalisé sur la base de données « sensibles » au sens du RGPD et ne pourra plus être réalisé à destination des mineurs.

Ces obligations ne sont pas sans faire échos au scandale « Cambridge Analytica » et à l’utilisation de données personnelles liées aux convictions politiques dans un but d’influencer le comportement les électeurs.

Il est à espérer que ces obligations auront un impact significatif sur la perception du consommateur ainsi que sur l’usage de la publicité ciblée.

B. L’éventuel impact sur les revenus des plateformes générés par la publicité ciblée

Il est probable que les limites posées par le DSA à l’utilisation des systèmes de profilage pour proposer des publicités aux utilisateurs pourraient conduire à une forte diminution de son importance.

L’interdiction faite aux plateformes de proposer de la publicité au mineur risque de bouleverser considérablement le modèle économique de ces dernières. En effet le DSA précise que les plateformes ne pourront proposer de la publicité ciblée lorsqu’elles savent avec « une certitude raisonnable que les utilisateurs sont mineurs ».

L’article 52 du DSA vient par la suite préciser qu’une plateforme est considérée comme accessible aux mineurs lorsque ses conditions générales permettent à ces derniers d’utiliser le service.

Si l’on retient une interprétation stricte de cet article, toute plateforme qui autorise aux mineurs l’accès à ses services devrait soit bannir toute publicité ciblée de son modèle, soit parvenir à distinguer parmi ses utilisateurs lesquels sont mineurs ou majeurs de manière fiable.

Une autre disposition intéressante fait son apparition à la lecture de l’article 24 du DSA qui prévoit que les plateformes ne pourront collecter plus d’informations qu’habituellement au prétexte de pouvoir continuer à mettre en œuvre la publicité ciblée.

Les plateformes pourraient mettre en place des mécanismes afin de contourner ces obligations, tels que l’instauration d’un système déclaratif de l’âge des utilisateurs ou autres déclarations sur l’honneur. Ces mécanismes ont déjà sur certaines plateformes été mis en place et ont brillé par leur inefficacité. En l’absence d’identité numérique, toute identification effective reste pour l’instant impossible.

L’article 29 du DSA vient également préciser que les très grandes plateformes (Youtube, Google, Facebook, Tiktok etc..) doivent fournir au moins une option pour leurs systèmes de recommandation qui ne soit pas fondée sur le profilage. Les très grandes plateformes devront donc proposer aux utilisateurs un moyen de désactiver les publicités ciblées.

Toutes ces mesures devraient conduire inexorablement de nombreux utilisateurs à désactiver les publicités ciblées de leur interface, et ainsi par voie de conséquence conduire à une forte diminution des recettes astronomiques réalisées par les très grandes plateformes.

Certaines plateformes qui visent principalement un public mineur (Tiktok, Snapchat) se verront en principe interdire totalement le recours à la publicité ciblée.

Bien que le DSA n’entraine pas l’interdiction complète de l’usage de la publicité ciblée, il en réduira très certainement la portée.

Toutes ces mesures sont à saluer dans un contexte tel que celui que nous connaissons aujourd’hui, fortement marqué par la montée en puissance de ces géants du numérique. Ces derniers disposant d’un pouvoir financier et d’influence sans limite ne devraient plus continuer bien longtemps à œuvrer en toute impunité.

Pour lire une version plus complète de cet article sur le digital act et la responsabilité des plateformes de commerce électronique, cliquez

Sources :

https://www.vie-publique.fr/eclairage/285115-dsa-le-reglement-sur-les-services-numeriques-ou-digital-services-act#:~:text=Les%20plateformes%20en%20ligne%20devront,des%20″signaleurs%20de%20confiance« .
https://www.plravocats.fr/blog/technologies-propriete-intellectuelle-media/tout-comprendre-du-digital-services-act-dsa
https://www.vie-publique.fr/dossier/284898-dsa-et-dma-tout-savoir-sur-les-nouveaux-reglements-europeens
https://www.vie-publique.fr/eclairage/285115-dsa-le-reglement-sur-les-services-numeriques-ou-digital-services-act
https://www.economie.gouv.fr/legislation-services-numeriques-dsa-adoption-definitive-text
https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:32022R2065
Communications électroniques – Quel système de gouvernance pour le DMA et le DSA ? – Focus par Laurence IDOT (Lexis)

Par • internet-et-droit • • Tags: , , , , ,

«< 4 5 6 7 8 >»

# Nos catégories juridiques

# Poser une question en ligne

Si vous avez une question précise à poser au cabinet d’avocats, dont vous ne trouvez pas la réponse sur le site, posez votre question en ligne.
La question sera alors payante et le montant est de 150 euros TTC. Paiement sécurisé par Paypal ou Crédit Mutuel »

# Nos articles avocat Paris

© Murielle Cahen Cabinet d’avocats Paris 2024
Powered by WordPress • Themify WordPress Themes