données personnelles

Identité et mort numérique

Malgré une réelle volonté d’accompagner la société dans sa transition numérique et des lois protectrices de la vie privée, il y a encore des progrès à faire pour mieux encadrer les données personnelles. Il faudrait en particulier préciser l’identité numérique et la mort numérique. L’identité numérique permet l’identification de l’individu grâce à l’ensemble des informations recueillies en ligne. En découle la « mort numérique », c’est-à-dire du sort de l’identité numérique après la mort de l’individu. 

NOUVEAU : Utilisez nos services pour vous défendre en passant par le formulaire !

L’identité numérique est le plus souvent composée d’un compte personnel, d’un mot de passe et d’une adresse email, mais elle ne saurait se définir qu’à travers ces composantes. En effet, d’autres facteurs doivent être pris en considération tels que les traces laissées par un individu lors de ses différentes connexions (adresse IP, publications, cookies).

L’identité numérique se distingue de l’identité physique. Elle est facilement falsifiable, et survit après la mort de l’individu. Sa gestion, et plus précisément sa gestion post-mortem est donc particulièrement délicate et sujette à interrogations.

Comme l’indique la CNIL dans un article du 31 octobre 2014, le concept de mort numérique semble :« potentiellement porteur d’interrogations juridiques, mais également sociétales ». Finalement, les données personnelles ont fait l’objet d’une réglementation en 2018, avec le Règlement général pour les données personnelles (RGPD).

Besoin de l’aide d’un avocat pour un problème d’identité numérique ?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien

Quelles sont les interrogations soulevées par les concepts d’identité et de mort numériques ?

I – La qualification des concepts d’identité et de mort numérique

A – La notion d’identité numérique

L’identité numérique ne recouvre pas les mêmes caractéristiques que l’identité physique, il est donc important de faire la différence entre les deux.

L’identité physique d’un individu se définit à travers son état civil, son nom et son domicile. Elle est alors le fondement de l’existence de sa personnalité juridique. Chaque individu possède alors une et une seule identité physique.

L’identité numérique n’est pas liée directement au principe de personnalité juridique et n’est donc pas dépendant de la naissance ou de la mort d’un individu. Un individu peut se façonner artificiellement plusieurs identités numériques.

La commission des affaires économiques de l’Assemblée nationale définit l’identité numérique dans un rapport d’information sur le «développement de l’économie numérique française» du 14 mai 2014 comme « Regroupant l’ensemble des traces laissées par un individu (adresses IP, cookies), ses coordonnées d’identification, les contenus qu’il publie ou partage en ligne (blogs, avis, discussions, contributions à des sites collaboratifs, jeux), ses habitudes de consommation sur internet ou son e-réputation. »(1)

La Cour de Cassation a elle reconnue, le 16 novembre 2016, que l’usurpation d’identité numérique constitue une atteinte à l’honneur et à la consécration de la personne. De plus, l’article 226-4-1 du Code pénal sur l’usurpation d’identité dispose que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. ».(2)

Le 18 décembre 2014, le Tribunal de grande instance de Paris a prononcé une première décision condamnant une usurpation d’identité numérique sur le fondement de l’article 226-4-1 du Code pénal. En l’espèce, un informaticien avait mis en ligne un faux site présenté comme le site officiel de la députée-maire Rachida Dati. (3)

Pourtant à l’heure où les contentieux de la reconnaissance du droit à l’oubli et le droit du droit au déréférencement par la Cour de justice de l’Union européenne, dans l’arrêt Google inc. c./ Costeja du 13 mai 2014. Cette notion a finalement été consacrée à l’article 17 du RGPD qui créé un droit à l’effacement, ainsi « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais »

B – la notion de mort numérique

Le principal enjeu de ce concept est celui du traitement des données à la mort du défunt. En l’absence de cadre juridique précis sur la question de la mort numérique, les pouvoirs publics traitent le sujet sous l’angle du droit au respect de la vie privée des héritiers en raison du caractère personnel attaché au droit à l’image. Dans cette perspective, la loi informatique et liberté prévoit dans son article 2 que seule : « la personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l’objet du traitement ».

La loi pour une République numérique revient alors sur ce concept en proposant une modification de l’ancien article 40, aujourd’hui l’article 85 de la Loi informatique et liberté, qui pourrait permettre de résoudre le problème de la transmission des données post-mortem.

Toute personne pourrait ainsi :« définir des directives relatives à la conservation et à la communication de ses données à caractère personnel après son décès. », directives modifiables et révocables à tout moment qui devront définir :«La manière dont la personne entend que soient exercés après son décès les droits qu’elle détient en application de la présente loi. ».

Ce texte apporte alors des réponses au traitement de la mort numérique, qui jusqu’à présent restait en suspens.

Dans son article publié le 28 octobre 2020 sur la mort numérique, la CNIL réaffirme cette position « Actuellement, en l’absence d’une demande de la part des héritiers ou des proches, le profil de la personne décédée continue d’exister. Ce sont aux réseaux sociaux d’organiser le devenir de ces profils. »

Ainsi, c’est aux réseaux sociaux de prévoir la suppression de ces profils. Cependant, dans les faits, il n’est pas toujours aisé de déterminer les profils actifs et ceux inactifs dont le titulaire est décédé. En effet, il se peut tout à fait que le titulaire du compte soit simplement inactif. Le responsable de traitement ne peut donc pas s’occuper de la suppression de comptes en se basant sur l’inactivité de ces derniers.

Il convient donc d’étudier plus en détail comment se passe la gestion post-mortem de l’identité numérique.

II – La gestion post-mortem de l’identité numérique

A – La question de la suppression post-mortem des comptes sur les réseaux sociaux

La CNIL, dans une fiche pratique indique que « Par principe, un profil sur un réseau social ou un compte de messagerie est strictement personnel et soumis au secret des correspondances. À ce titre, le droit d’accès n’est pas transmissible aux héritiers. C’est la raison pour laquelle il n’est pas possible pour la famille d’avoir accès aux données du défunt ».(4 & 5 )

En effet, il a clairement été tranché par le conseil d’État dans une décision en date du 7 juin 2017 que les héritiers ne peuvent se substituer au défunt dans l’exercice de ses droits personnels. Les héritiers ne peuvent être considérés comme des personnes concernées. En effet, « leur seule qualité d’ayants droit de la personne à laquelle se rapportent les données » ne leur confère pas ce statut.  Ces derniers ne peuvent agir en justice que pour voir réparer un préjudice personnel qui résulterait d’une atteinte à la mémoire du défunt.

Dans une décision du 7 juin 2017, le Conseil d’État rappelle que les héritiers ne sont par principe pas des personnes concernées, cependant il précise que si la victime d’un dommage décède alors le droit à la réparation du dommage dont elle bénéficie se transmet à ses héritiers.

Rapporté au thème de la mort numérique, cela implique donc une impossibilité pour ces derniers de demander à un responsable de site de supprimer des données au nom du défunt. En effet, l’article 85 de la loi de 1978 prévoit seulement que le responsable du traitement des données à caractère personnel prenne en considération le décès et procède aux mises à jour lorsque les héritiers d’une personne décédée en font la requête.

Si la famille d’un défunt n’a théoriquement pas le droit d’aller lire les messages privés échangés par exemple par cette personne sur Twitter, l’article 85 de la loi Informatique et libertés prévoient néanmoins que ses héritiers peuvent malgré tout exiger du responsable d’une plateforme ” qu’il prenne en considération le décès et procède aux mises à jour qui doivent en être la conséquence “ Les héritiers devront alors justifier de leurs identités. En clair, qu’il ferme ou désactive le compte en question.

La plupart des géants du Net (Facebook, Instagram, Linkedin) proposent ainsi depuis plusieurs années déjà des plateformes de signalement en cas de décès à destination des familles, même si ces procédures s’avèrent aujourd’hui assez fastidieuses dans la mesure où c’est aux proches du défunt de solliciter chaque réseau social et de fournir les justificatifs. Facebook propose notamment la possibilité de transformer le compte d’une personne décédé en « Mémorial », le compte perdure, mais sous une forme différente.

(A titre d’information, cette forme d’hommage présente un intérêt pour les plateformes qui profitent de l’activité produite par la page transformée en « mémorial ». Cette activité permet aux plateformes de collecter les données laissées par l’ensemble des proches du défunt afin d’en tirer profit.)

Dans sa fiche pratique en date du 28 octobre 2020, la CNIL propose une liste non exhaustive contenant des liens permettant d’entamer une procédure pour signaler un décès sur les réseaux sociaux. Ces liens vous dirigent directement vers les procédures à suivre pour de nombreux réseaux sociaux.

La loi Lemaire permet d’apporter en partie une réponse à la difficulté tenant au fait que bien souvent, les proches du défunt ne peuvent pas supprimer un compte ou un profil inactif. Désormais, les héritiers pourraient se subroger dans l’exercice des droits du défunt, de telle sorte qu’à défaut d’une quelconque désignation, dans l’application d’une directive, les héritiers de la personne décédée ont cette qualité pour voir prospérer les dernières volontés du défunt quant au sort de ses données. Le projet de loi précise alors que cela serait possible, « Sauf lorsque la personne concernée a exprimé une volonté contraire dans les directives ».(6)

En outre, à l’heure de l’apparition des cimetières numériques, il est permis de s’interroger sur l’extrapolation du droit à l’oubli et du droit au déréférencement au-delà de la mort. La question est alors de savoir par l’intermédiaire de qui et comment ce droit pourra s’exercer. La question reste sans réponse.

B – La question de la transmission de l’identité numérique post-mortem

La question est de savoir s’il est possible d’intégrer dans un testament ses données informatiques et plus généralement son identité numérique, qui seraient dès lors transmises par un acte juridique aux ayants-droits. À cause des difficultés qui pourront être rencontrées par les ayants-droits, le plus simple reste encore d’organiser le devenir de ses données, de son vivant chez un notaire. D’autres alternatives existent.

Google s’est notamment saisi de la question de la transmission de la vie numérique de ses utilisateurs. L’idée est que son utilisateur pourra programmer un message transférant à un contact de confiance toutes ses données retenues sur ses différents comptes au bout d’une période d’inactivité de son choix. Des sociétés privées ont également mis en place des services de gestion des données post-mortem.
Également, la société Cupertino dispose d’un service nommé « Digital Legacy », ce dernier permet à l’utilisateur de désigner jusqu’à cinq personnes de confiance qui pourront avoir accès à tous les fichiers sauvegardés de l’utilisateur (photos, e-mails, contacts, sauvegardes, etc.) après le décès de celui-ci. Ce procédé a été mis en place par Apple dans la mise à jour IOS 15.2. Ainsi, avec ce dispositif, les données stockées dans le cloud de l’utilisateur ne sont plus perdues.

Pour lire l’article sur la mort et l’identité numérique dans sa version complète, cliquer sur ce lien

SOURCES :

  1. N° 1936 – Rapport d’information de Mmes Corinne Erhel et Laure de …
  2. Cour de cassation, criminelle, Chambre criminelle, 16 novembre …
  1. V. De Romanet J.,« L’usurpation d’identité numérique : une première condamnation », RLDI 2015/111, p. 33 ; TGI Paris, 13e ch. corr., 18 déc. 2014, X c/ Rachida Dati
  2. Mort numérique : quels sont vos droits ? Quels sont les droits des …/
  3. Le règlement général sur la protection des données – RGPD – CNIL
  4. Les nouvelles pistes d’Axelle Lemaire pour le projet de loi numérique

Par • Droits d'auteur, internet-et-droit • • Tags: , ,

Arnaque téléphonique et données personnelles : la justice protège les victimes vigilantes

L’essor des services de paiement dématérialisés, encouragé par la digitalisation croissante de l’activité bancaire, a considérablement transformé le paysage financier contemporain.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Si cette évolution permet une gestion plus fluide et plus rapide des opérations, elle fait naître parallèlement de nouveaux risques, en particulier ceux liés aux techniques d’ingénierie sociale. Parmi celles-ci, les fraudes dites de vishing, reposant sur des manipulations téléphoniques destinées à obtenir des informations confidentielles, se sont multipliées et complexifiées, prenant souvent la forme de scénarios très élaborés.

Face à ces menaces, le cadre juridique applicable aux services de paiement revêt une importance cruciale. Le Code monétaire et financier, notamment ses articles L. 133-16 et L. 133-19, organise la répartition des responsabilités entre l’utilisateur d’un service de paiement et son prestataire, en particulier lorsque des opérations non autorisées ont été exécutées. Au centre de ce régime se trouve la notion de négligence grave, véritable pivot permettant au prestataire de se libérer de son obligation de remboursement en cas d’opération frauduleuse. Fruit d’une construction jurisprudentielle, cette notion exige du juge qu’il apprécie avec finesse le comportement de l’utilisateur au regard des obligations de prudence qui s’imposent à lui.

Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

C’est précisément dans ce contexte que s’inscrit l’arrêt rendu par la Cour de cassation le 12 juin 2025, lequel apporte une nouvelle illustration de la manière dont les juges appréhendent la négligence grave dans un contexte de fraude téléphonique particulièrement sophistiquée. L’affaire concerne une société dont la secrétaire, victime d’une usurpation d’identité orchestrée par un pseudo-technicien bancaire, a été amenée à manipuler un dispositif d’authentification sécurisé, permettant ainsi la réalisation de deux virements frauduleux pour un montant avoisinant 98 000 €.

La question centrale était alors de déterminer si le comportement de la salariée – et, par ricochet, celui de l’entreprise – pouvait être qualifié de négligence grave, justifiant l’exonération de la banque. La Cour de cassation valide le raisonnement des juges du fond, estimant que la crédibilité du stratagème mis en place, fondé sur l’usurpation d’un numéro de téléphone, la connaissance d’opérations internes et l’absence de demande d’éléments classiquement considérés comme sensibles, excluait toute négligence grave.

Ce faisant, la Haute juridiction s’inscrit dans la continuité d’une jurisprudence attentive à la réalité des mécanismes frauduleux modernes, et réticente à sanctionner l’utilisateur lorsque celui-ci a été confronté à une manœuvre particulièrement convaincante. Cette approche, déjà perceptible dans des affaires antérieures relatives au phishing ou au vishing, confirme que la négligence grave demeure une notion d’interprétation restrictive, dont la preuve incombe strictement au prestataire de services de paiement.

 

I – Le cadre légal du paiement frauduleux et la responsabilisation du client

A – Les obligations de vigilance et de sécurisation pesant sur l’utilisateur

Les articles L.133-16 et L.133-19 du Code monétaire et financier constituent le socle juridique de la responsabilité du payeur en cas d’opération non autorisée.

L’article L. 133-16 CMF impose au payeur de :

  • Prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs personnalisés ;
  • Informer sans tarder la banque de toute utilisation non autorisée.

L’article L. 133-19 CMF, quant à lui, prévoit que :

  • La banque doit rembourser les opérations non autorisées,
  • Sauf si elle prouve une négligence grave du client ou une fraude de sa part.

La négligence grave s’apprécie strictement : le client ne doit être sanctionné que s’il a méconnu de manière flagrante les règles élémentaires de sécurité. La jurisprudence exige un comportement imprudent « d’une particulière gravité », dépassant la simple négligence.

Dans l’affaire commentée, la BNP Paribas soutenait que la secrétaire avait communiqué des données sensibles par téléphone, ce qui constituerait une violation manifeste des règles de sécurité. Toutefois, les juges ont considéré que le stratagème mis en place par l’escroc faisait obstacle à une telle qualification.

B – Une preuve de la négligence grave strictement encadrée et à la charge du prestataire

Selon l’article L. 133-23 CMF, c’est à la banque qu’il appartient de prouver la négligence grave du client.

La Cour de cassation rappelle régulièrement ce principe : Mais attendu que si, aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ; qu’ayant souverainement retenu qu’il ne résultait pas des pièces versées aux débats la preuve que M. X… avait divulgué à un tiers, de manière intentionnelle, par imprudence ou par négligence grave, des éléments d’identification strictement confidentiels ayant permis les paiements contestés et que la Caisse se bornait à évoquer l’hypothèse d’un « hameçonnage », en prétendant que M. X… avait certainement répondu à un courriel frauduleux qu’il pensait émaner de la Caisse pour qu’il renseigne un certain nombre de points dont les identifiants, mots de passe et codes de clefs qui permettent de réaliser les opérations à distance, sans en apporter la démonstration, c’est exactement que la juridiction de proximité, qui n’était pas tenue de suivre les parties dans le détail de leur argumentation et a procédé à la recherche prétendument omise, a accueilli la demande de remboursement de M. X… ; que le moyen n’est pas fondé ;

Dans l’arrêt du 12 juin 2025, la banque invoquait plusieurs éléments :

  • la salariée aurait manipulé le boîtier de sécurité ;
  • elle aurait communiqué une clé d’accès ;
  • elle aurait validé des opérations pour lesquelles elle n’était pas habilitée.

La Cour de cassation écarte ces arguments, relevant que :

  • l’escroc n’a jamais demandé de mot de passe,
  • il avait usurpé un numéro légitime,
  • il connaissait les écritures du matin,
  • et l’employée n’a pas eu conscience de valider un virement.

Ces éléments suffisent à écarter la négligence grave, puisque la banque n’a pas démontré un comportement objectivement déraisonnable.

II – L’appréciation judiciaire de la faute du client face aux stratagèmes frauduleux

A – La fraude sophistiquée comme obstacle à la qualification de négligence grave

Les juges du fond ont relevé plusieurs éléments montrant que l’employée avait été victime d’une tromperie sophistiquée :

  • usurpation d’un numéro BNP Paribas (phénomène de spoofing) ;
  • présentation d’un incident informatique plausible ;
  • connaissance des opérations effectuées le matin même ;
  • absence de demande de mot de passe, ce qui renforçait la crédibilité de l’appel.

La Cour utilise ici un critère subjectivisé raisonnable : la question est de savoir si, à la place de la salariée, un utilisateur normalement attentif aurait pu être trompé.

Ce raisonnement rejoint une tendance jurisprudentielle constante en matière de fraude bancaire.

Ainsi, la Cour refuse de retenir la négligence grave dès lors que la fraude repose sur une manipulation psychologique sophistiquée, rendant la vigilance ordinaire insuffisante.

B – L’usage non conscient du dispositif de sécurité et l’impossibilité d’imputer la faute au client

La banque soutenait que la secrétaire avait utilisé la Carte Transfert Sécurisé (CTS) du dirigeant pour valider les virements, ce qui constituerait une négligence supplémentaire.

Or, les juges relèvent que :

  • l’enquête ne démontre pas que la salariée a eu accès à la CTS du dirigeant ;
  • l’historique des opérations montre que le numéro d’abonné n’était pas attaché à la validation des tiers ;
  • la salariée n’a jamais eu conscience de valider un virement, mais seulement d’exécuter une procédure présentée comme technique.

La Cour en déduit que la manipulation du boîtier n’était pas la validation consciente d’un ordre de paiement, mais le résultat d’une tromperie.

Elle confirme donc l’analyse de la cour d’appel : la banque ne rapporte pas la preuve d’une négligence grave, et doit rembourser les 98 000 €.

Par son arrêt du 12 juin 2025, la Cour de cassation confirme une position protectrice à l’égard des utilisateurs de services de paiement victimes de fraudes sophistiquées. La négligence grave demeure une notion d’interprétation stricte, et il incombe au prestataire de services de paiement d’en rapporter la preuve.

Lorsque la fraude repose sur un mécanisme de tromperie élaboré, impliquant usurpation d’identité, connaissance d’informations internes et absence de signes manifestes de danger, la responsabilité du client ne peut être retenue.

Pour lire une version plus complet de cet article sur la fraude téléphonique et le vishing, cliquez

Sources :

  1. https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000035430501?isSuggest=true
  2. https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000035430527/2025-11-16?isSuggest=true
  3. https://www.legifrance.gouv.fr/juri/id/JURITEXT000051744492?isSuggest=true
  4. https://www.legifrance.gouv.fr/juri/id/JURITEXT000037495519?fonds=JURI&page=1&pageSize=10&query=le+phishing&searchField=ALL&searchType=ALL&tab_selection=all&typePagination=DEFAULT
  5. https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000035430567?isSuggest=true
  6. https://www.legifrance.gouv.fr/juri/id/JURITEXT000033901282?fonds=JURI&page=1&pageSize=10&query=c%E2%80%99est+%C3%A0+la+banque+qu%E2%80%99il+appartient+de+prouver+la+n%C3%A9gligence+grave+du+client.&searchField=ALL&searchType=ALL&tab_selection=all&typePagination=DEFAULT

Par • internet-et-droit • • Tags: , , , , , ,

Atteinte au RGPD et concurrence déloyale

Dans le paysage juridique contemporain, la question de la protection des données à caractère personnel est devenue un enjeu de première importance, notamment à la suite de l’adoption du Règlement général sur la protection des données, communément appelé RGPD, par l’Union européenne.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Entré en vigueur le 25 mai 2018, ce règlement a pour objectif fondamental d’assurer un niveau de protection élevé des droits et des libertés fondamentales des individus, particulièrement en ce qui concerne le traitement de leurs données personnelles. Le RGPD est le fruit d’une réflexion approfondie sur la nécessité de concilier la protection des informations personnelles avec les exigences d’une économie numérique en pleine expansion. Dans ce cadre, la problématique des pratiques commerciales déloyales, et plus spécifiquement celles touchant à la concurrence, est devenue un sujet central des débats juridiques à l’échelle européenne.

L’affaire C-21/23, jugée par la Cour de justice de l’Union européenne (CJUE) le 4 octobre 2024, illustre parfaitement les défis qui se posent lorsque des acteurs économiques, en l’occurrence des pharmaciens, se retrouvent en situation de conflit au sujet de leurs pratiques relatives au traitement des données. Cette décision de la CJUE est emblématique car elle souligne que le RGPD ne se limite pas à conférer des droits aux seules personnes concernées, mais qu’il ouvre également la voie à des actions en justice pour les concurrents qui estiment qu’une entreprise enfreint les dispositions de ce règlement. Par conséquent, la CJUE a affirmé que les États membres de l’Union européenne ont la capacité législative de permettre à un concurrent d’intenter une action contre une entreprise soupçonnée de violer le RGPD. Cette interprétation renforce non seulement la protection des données personnelles, mais également la lutte contre les comportements jugés fautifs dans le cadre des relations commerciales.

Besoin de l’aide d’un avocat pour un problème de données personnelles ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Il est également primordial de mettre en lumière le fait que la CJUE a clarifié que certaines données, notamment celles recueillies lors de la vente en ligne de médicaments réservés aux pharmacies, relèvent de la catégorie des données de santé au sens du RGPD. Cette classification est particulièrement significative car elle s’applique même dans les cas où les médicaments concernés ne nécessitent pas de prescription médicale. L’interprétation extensive des données de santé par la CJUE souligne l’importance d’obtenir un consentement explicite de la part des consommateurs pour le traitement de leurs informations personnelles. Ce principe de consentement éclairé entraîne des répercussions directes sur les pratiques commerciales des pharmaciens opérant en ligne, qui doivent désormais être particulièrement vigilants quant à la manière dont ils collectent et utilisent les données de leurs clients.

À travers cette décision, la CJUE éclaire non seulement les contours de la protection des données à caractère personnel, mais également les implications considérables que cela engendre pour les pratiques commerciales au sein d’un secteur où l’éthique et la conformité légale doivent impérativement converger. En effet, dans un environnement commercial de plus en plus compétitif, les entreprises doivent naviguer avec soin entre la nécessité de protéger les données personnelles des consommateurs et les exigences du marché. Par ailleurs, il est essentiel de rappeler des exemples jurisprudentiels antérieurs, tels que l’affaire Google Spain SL, où la CJUE a établi un droit à l’oubli pour les individus, renforçant ainsi la protection des données personnelles face aux exigences de l’indexation et de la recherche en ligne.

En somme, l’évolution des normes juridiques régissant la protection des données à caractère personnel, notamment à travers des décisions emblématiques de la CJUE, met en exergue la nécessité d’un cadre juridique rigoureux qui puisse à la fois protéger les droits des individus et garantir des pratiques commerciales loyales et éthiques.

Les enjeux soulevés par ces évolutions législatives et jurisprudentielles sont d’une portée considérable et appellent à une prise de conscience accrue de la part des acteurs économiques, qui doivent s’engager dans une démarche proactive en matière de conformité et d’éthique dans le traitement des données personnelles.

I. Les fondements juridiques de la protection des données à caractère personnel et leur impact sur les pratiques commerciales

A- Le RGPD : un cadre juridique protecteur et contraignant

  1. Présentation des objectifs et des principes fondamentaux du RGPD

Le Règlement général sur la protection des données (RGPD) constitue une avancée majeure en matière de protection des données personnelles. Son adoption a été motivée par la nécessité d’harmoniser les législations des États membres de l’Union européenne, tout en répondant aux préoccupations croissantes des citoyens en matière de confidentialité et de sécurité des informations personnelles.  Le RGPD est articulé autour de plusieurs principes fondamentaux, dont la légalité, la transparence et la limitation des finalités. Ce dernier impose que les données personnelles soient collectées pour des finalités déterminées, explicites et légitimes, et qu’elles ne soient pas traitées de manière incompatible avec ces finalités. Le principe de minimisation des données impose également que seules les informations strictement nécessaires soient collectées, tandis que le principe de précision exige que les données soient tenues à jour.

Enfin, le RGPD établit des obligations de responsabilité, stipulant que les responsables de traitement doivent démontrer leur conformité aux exigences du règlement. Ces principes visent à garantir non seulement la protection des données individuelles, mais aussi à instaurer un climat de confiance entre les citoyens et les entités qui traitent leurs données.

  1. Les droits des personnes concernées et les obligations des responsables de traitement

Le RGPD confère un ensemble de droits puissants aux personnes concernées. Parmi ceux-ci, on trouve le droit d’accès, qui permet aux individus de connaître les données les concernant détenues par une entreprise, ainsi que le droit de rectification, qui leur donne la possibilité de corriger des informations inexactes.

Le droit à l’effacement, souvent désigné comme le « droit à l’oubli », permet aux individus de demander la suppression de leurs données dans certaines circonstances. Par ailleurs, le droit à la portabilité des données permet aux personnes de transférer facilement leurs données d’un responsable de traitement à un autre. Les responsables de traitement, quant à eux, sont soumis à des obligations strictes. Ils doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté aux risques. De plus, ils sont tenus de réaliser des analyses d’impact sur la protection des données lorsque le traitement présente un risque élevé pour les droits et libertés des personnes physiques. Ces obligations visent à renforcer la responsabilité des entreprises en matière de traitement des données personnelles et à garantir un respect rigoureux des droits des individus.

B- La concurrence et les pratiques commerciales déloyales : une interaction nécessaire avec le RGPD

  1. La capacité des concurrents à agir en justice au titre des pratiques commerciales déloyales

Dans le cadre du RGPD, les États membres ont la latitude d’établir des dispositions législatives permettant à des concurrents d’agir en justice contre des entreprises soupçonnées de pratiques contraires aux principes de protection des données. Cette faculté d’action est particulièrement pertinente dans les secteurs où les violations des données peuvent avoir des répercussions non seulement sur les consommateurs, mais également sur la concurrence. En permettant à des concurrents de contester des pratiques commerciales jugées déloyales, le législateur vise à promouvoir une concurrence équitable et à dissuader les comportements fautifs. Les actions en justice des concurrents peuvent aussi contribuer à la protection des droits des personnes concernées, en renforçant la vigilance autour des pratiques de traitement des données. Cette dynamique incite les entreprises à adopter des comportements conformes au RGPD, sachant qu’elles peuvent être tenues responsables non seulement vis-à-vis des régulateurs, mais également vis-à-vis de leurs pairs. Ainsi, la possibilité d’une action en justice par un concurrent apparaît comme un outil efficace dans la lutte contre les violations des données.

  1. La contribution de cette démarche à la protection des données et à la concurrence loyale

En intégrant la possibilité pour les concurrents d’agir en justice, la législation renforce indéniablement la protection des données. Cela crée un écosystème dans lequel les entreprises sont davantage incitées à respecter les normes de conformité. En effet, lorsque les entreprises savent qu’elles peuvent être tenues responsables par leurs concurrents pour des violations potentielles, cela les pousse à investir dans des pratiques de gestion des données conformes et éthiques. Cette approche favorise également une concurrence loyale sur le marché.

Les entreprises qui respectent le RGPD et qui adoptent des pratiques transparentes de traitement des données peuvent ainsi se différencier positivement de celles qui choisissent des voies moins scrupuleuses. Une telle dynamique contribue à créer un environnement commercial plus équitable, où les consommateurs peuvent avoir confiance dans les pratiques des entreprises qui traitent leurs données. En effet, lorsque les entreprises savent qu’elles doivent se conformer aux normes du RGPD pour éviter d’éventuelles poursuites de la part de concurrents, cela limite la tentation de contourner les règles pour obtenir un avantage compétitif. Cela renforce l’idée que la conformité à la législation sur la protection des données n’est pas seulement une obligation légale, mais aussi un atout commercial. De plus, cette approche favorise l’innovation en matière de protection des données. Les entreprises sont incitées à développer des solutions technologiques et des pratiques commerciales qui respectent les droits des consommateurs.

Cela peut inclure le développement d’outils de gestion des consentements, des plateformes de transparence sur l’utilisation des données, et des systèmes de sécurité avancés pour protéger les informations sensibles. En conséquence, les entreprises qui investissent dans des pratiques conformes au RGPD peuvent non seulement éviter des sanctions, mais aussi se positionner comme des leaders dans un marché de plus en plus conscient des enjeux de la protection des données.

II. L’interprétation des données de santé et le consentement explicite dans le cadre de la vente en ligne de médicaments

A- La qualification des données de santé au sens du RGPD

  1. Analyse des informations relatives à la santé dans le cadre des commandes en ligne

Dans le cadre de la vente en ligne de médicaments, la collecte et le traitement des données personnelles relatives à la santé soulèvent des questions essentielles. Selon le RGPD, les données de santé sont considérées comme des données sensibles qui nécessitent une protection renforcée.  La Santé inclut toutes les informations concernant la santé physique ou mentale d’une personne, y compris les informations sur des traitements médicaux, des diagnostics, et des prescriptions. Lorsqu’un consommateur commande un médicament en ligne, des données telles que son historique médical ou ses allergies peuvent être collectées, ce qui augmente les obligations en matière de consentement et de sécurité. La reconnaissance des données de santé comme sensibles oblige les pharmacies en ligne à mettre en place des mesures strictes de protection des données, notamment en matière de cryptage et de contrôle d’accès. De plus, les entreprises doivent être conscientes que toute violation de ces données peut avoir des conséquences graves, tant sur le plan juridique que sur la réputation. En ce sens, l’affaire C-21/23 a mis en lumière la nécessité pour les pharmaciens de comprendre et de respecter les exigences du RGPD lorsqu’ils traitent des données de santé, même dans des cas où des médicaments ne nécessitent pas de prescription.

  1. Implications de la reconnaissance de ces données comme sensibles pour les pharmaciens

La qualification des données de santé comme sensibles a des implications significatives pour les pharmaciens, surtout dans un contexte de vente en ligne.

Tout d’abord, cela implique que les pharmaciens doivent obtenir un consentement explicite et éclairé de la part des consommateurs avant de traiter leurs données. Ce consentement doit être donné librement, spécifique, informé et univoque, ce qui signifie que les consommateurs doivent être clairement informés des finalités pour lesquelles leurs données seront utilisées.

En outre, les pharmaciens doivent s’assurer que les consommateurs comprennent les risques associés à la fourniture de leurs données personnelles. Cela nécessite de mettre en place des dispositifs de communication clairs et accessibles, expliquant comment les données seront protégées et utilisées. Les pharmacies doivent également être prêtes à répondre aux demandes de retrait de consentement, ce qui pourrait nécessiter des ajustements dans leurs systèmes de gestion des données.

B- L’importance du consentement explicite et de l’information des consommateurs

  1. Les exigences en matière de consentement pour le traitement des données de santé

Le RGPD impose des exigences strictes en matière de consentement pour le traitement des données de santé. Les pharmaciens doivent s’assurer que le consentement est recueilli de manière proactive et que les consommateurs sont pleinement conscients des implications de leur accord. Cela inclut la nécessité d’expliquer clairement quelles données seront collectées, pourquoi elles le seront, et comment elles seront utilisées. De plus, le consentement doit être documenté, et les entreprises doivent être en mesure de prouver qu’elles ont obtenu ce consentement en cas de litige. Il est également essentiel que les pharmaciens mettent en place des mécanismes permettant aux consommateurs de retirer leur consentement à tout moment. Cela renforce le contrôle des consommateurs sur leurs propres données et est conforme aux principes de transparence et de responsabilité prévus par le RGPD. De plus, les pharmacies doivent être prêtes à répondre aux demandes des consommateurs concernant l’accès à leurs données, ainsi qu’à la rectification ou à l’effacement de celles-ci.

  1. La nécessité d’informer les consommateurs de manière claire et accessible

Pour que le consentement soit valide, il est crucial que les informations fournies aux consommateurs soient claires, compréhensibles et facilement accessibles. Les pharmacies en ligne doivent donc veiller à rédiger des politiques de confidentialité qui expliquent de manière détaillée les pratiques de traitement des données, en évitant le jargon juridique complexe. Cela peut inclure des éléments tels que :

Personnelles de données collectées (par exemple, informations sur la santé, coordonnées personnelles).

– Les finalités du traitement (par exemple, la délivrance de médicaments, le suivi des commandes).

– Les droits des consommateurs concernant leurs données (accès, rectification, effacement). – Les mesures de sécurité mises en place pour protéger les données.

– Les coordonnées du responsable du traitement ou du délégué à la protection des données. En adoptant une approche proactive en matière d’information, les pharmacies peuvent non seulement se conformer aux exigences légales, mais aussi établir une relation de confiance avec leurs clients. Cela peut contribuer à renforcer la fidélité des consommateurs et à améliorer l’image de marque des entreprises dans un secteur de plus en plus concurrentiel.

III. Les enjeux de la conformité et des sanctions en matière de protection des données dans le secteur pharmaceutique

A- Les conséquences juridiques de la non-conformité au RGPD

  1. Les types de sanctions encourues par les entreprises

La non-conformité au RGPD peut entraîner des sanctions lourdes pour les entreprises, notamment des amendes financières qui peuvent atteindre jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. De plus, les entreprises peuvent faire face à des actions en justice de la part des consommateurs ou d’organismes de régulation, ce qui peut entraîner des coûts juridiques significatifs et nuire à la réputation de l’entreprise. Outre les sanctions financières, une non-conformité peut également entraîner des mesures correctives imposées par les autorités de protection des données, telles que l’obligation de cesser certaines pratiques de traitement ou d’implémenter des audits réguliers. Cela peut perturber les opérations commerciales et entraîner des pertes de revenus.

  1. L’impact sur la réputation et la confiance des consommateurs

Les conséquences de la non-conformité ne se limitent pas aux sanctions financières. En effet, la perception du public envers une entreprise peut être gravement affectée par une violation de données ou une non-conformité au RGPD. Les consommateurs sont de plus en plus sensibles aux questions de protection des données et peuvent choisir de ne pas faire affaire avec des entreprises qui ne respectent pas leurs droits. La réputation d’une entreprise peut être difficile à rétablir après une violation, et les consommateurs peuvent partager leurs expériences négatives sur les réseaux sociaux, amplifiant ainsi l’impact sur la réputation de la marque. En revanche, les entreprises qui démontrent un engagement fort en matière de protection des données peuvent bénéficier d’une amélioration de leur image de marque et d’une fidélisation accrue de leur clientèle.

B- Les bonnes pratiques pour garantir la conformité au RGPD

  1. Mise en place d’une culture de la protection des données au sein de l’entreprise

Pour garantir la conformité au RGPD, il est essentiel d’instaurer une culture de la protection des données au sein de l’entreprise. Cela inclut la sensibilisation et la formation des employés sur les enjeux de la protection des données, ainsi que sur les obligations légales qui en découlent. Les entreprises doivent veiller à ce que tous les employés comprennent leurs responsabilités en matière de traitement des données et soient conscients des conséquences potentielles de la non-conformité.

  1. Élaboration de politiques et de procédures claires de protection des données

Les entreprises doivent établir des politiques et des procédures claires concernant le traitement des données personnelles, y compris des protocoles pour la collecte, le stockage, le partage et la destruction des données. Cela inclut la mise en place de mesures de sécurité techniques et organisationnelles appropriées pour protéger les données, ainsi que des procédures pour gérer les violations de données.

Pour lire une version plus détaillée de cet article sur la collecte des données personnelles et la concurrence déloyale, cliquez

Sources :

CJUE : atteinte au RGPD contestée en justice par un concurrent comme pratique commerciale déloyale – LE MONDE DU DROIT : le magazine des professions juridiques
CURIA – Documents
Guide de la sécurité des données personnelles 2024
RGPD : Qu’est-ce qu’une donnée sensible ? – Définition

Par • internet-et-droit • • Tags: , ,

RGPD et SOUS-TRAITANTS

La prise en compte du statut de sous-traitant, tant au regard de sa définition que des responsabilités en découlant, est une des mesures phares du Règlement général sur la protection des données ( » RGPD « ).

Le texte européen, qui est entré en application le 25 mai 2018, pousse non seulement les entreprises, mais aussi les acteurs publics concernés à vérifier et assurer leur mise en conformité d’ici là.

NOUVEAU ! Pour faire un audit concernant les données personnelles et le RGPD, vous pouvez utiliser le service d’audit des données personnelles mis en place par le cabinet Murielle-Isabelle CAHEN.

Si certaines dispositions demeurent presque inchangées par rapport aux  anciens textes actuellement en vigueur (on pense à la Loi Informatique et Libertés de 1978, comme à la directive 95/46), d’autres naissent pratiquement avec le Règlement.

Ce règlement européen est entré en vigueur le 25 mai 2018 et vise non seulement les entreprises, mais également les acteurs publics afin de garantir leur mise en conformité au texte.

Le 7 juillet 2021, le Comité européen de la protection des données (CEPD) a adopté, des lignes directrices finales qui précisent les critères permettant l’identification des différents acteurs des traitements de données à caractère personnel.

Est considérée comme sous-traitant toute entité qui remplit deux critères : elle doit être distincte du responsable du traitement et doit agir pour le compte de ce dernier. Elle doit agir sur délégation et suivre les instructions du responsable du traitement selon les dispositions de l’article 29 du RGPD.

Besoin de l’aide d’un avocat pour un audit des données personnelles et du RGPD ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Néanmoins, le sous-traitant dispose d’une marge de manœuvre lui permettant de déterminer la manière la plus efficace afin de servir au mieux les intérêts du responsable du traitement. Il peut choisir les moyens techniques et organisationnels adéquats.

Cela dit, lorsque le sous-traitant traite des données pour ses propres finalités et sans instructions du responsable de traitement, il sera lui-même considéré comme étant un responsable du traitement mis en œuvre sur la base de ces données et, par conséquent, sa responsabilité pourrait être engagée à ce titre.

De surcroît, en vertu du RGPD, le responsable de traitement doit s’assurer à ce que le sous-traitant présente certaines garanties suffisantes. À ce titre, le Comité européen de la protection des données précise dans sa ligne directrice les éléments qui doivent être pris en compte dans l’évaluation de ces garanties. Ces éléments se résument à la fiabilité, l’expertise, les ressources ainsi que la réputation sur le marché du sous-traitant. (1)

Le régime de responsabilité pleine et entière des sous-traitants, s’il en existe des prémisses au sein de la loi, fait pourtant bien partie de cette seconde catégorie : « Avant le RGPD, il y avait une distinction relativement claire entre le responsable de traitement et le sous-traitant. Ce n’est plus le cas avec les nouvelles dispositions imposées par le RGPD » . Il convient donc de bien distinguer, désormais, un sous-traitant de son client (responsable de traitement).

De fait, c’est non seulement l’encadrement du statut-même de sous-traitant qui semble être revu par le texte européen (I), mais également leur rôle quant au traitement des données qui leur incombe (II).

I) L’encadrement du statut de sous-traitant au sein du RGPD

Si la définition du sous-traitant est précisée par le RGPD (A), c’est non seulement pour mettre en lumière leur rôle, mais également et parallèlement les sanctions applicables en cas de manquement de leur part (B).

A) La définition du sous-traitant

La CNIL a pu rappeler que le sous-traitant est celui qui traite de données personnelles « pour le compte, sur instruction et sous l’autorité d’un responsable de traitement », lui-même défini au sein de l’article 4§8 du RGPD comme celui « qui détermine les finalités et les moyens d’un traitement ».

Dès lors, tout prestataire ayant accès à des données personnelles et les traitant dans de telles conditions relève d’un tel régime. Notez cependant que dans le cas où cette personne « détermine la finalité et les moyens » du traitement, elle sera qualifiée non pas de sous-traitant, mais bien évidemment de responsable de traitement .

Il peut s’agir de prestataires informatiques d’hébergement et de maintenance, de prestataire de paye, etc.

Notez cependant que dans le cas où cette personne « détermine la finalité et les moyens » du traitement, elle sera qualifiée non pas de sous-traitant, mais bien évidemment de responsable de traitement.

Il sera de même, d’ailleurs, au regard des données traitées par le prestataire pour son propre compte.

Ceci étant, les entreprises comme les personnes publiques amenées à traiter de telles données n’ont parfois pas conscience de l’exactitude de leur statut : à cet égard, le G29 s’est attaché à faciliter cette définition en dégageant plusieurs critères  pouvant constituer un faisceau d’indices, comme « ?le niveau d’instruction donnée par le client au prestataire? », le degré de contrôle du client sur ce dernier, etc.

Néanmoins, l’avis du groupe de travail institué en vertu de l’article 29 de la directive 95/46/CE (G29) a été remplacé par les premières lignes directrices adoptées par Comité européen de la protection des données, le 2 septembre 2020, sur les notions de responsable du traitement et de sous-traitant.

Le CEPD fait la distinction entre les moyens « essentiels du traitement » qui sont déterminés par le responsable du traitement et les moyens « non-essentiels » qui sont déterminés par le sous-traitant. En principe, le sous-traitant est chargé de la réalisation du traitement pour le compte de l’autre partie, à savoir, le responsable du traitement, conformément aux instructions de ce dernier.

Toutefois, le CEPD précise que le sous-traitant est en mesure de prendre des décisions s’agissant de certains moyens « non-essentiels ». (2)

Enfin, une énième distinction est faite au regard du principe de territorialité : ainsi, le RGPD  prévoit que le statut de sous-traitant concerne aussi bien les prestataires établis au sein du territoire de l’Union européenne, que ceux basés à l’étranger, mais dont les « activités de traitement sont liées à l’offre de biens ou de services à des personnes concernées dans l’UE [ou] au suivi du comportement de ces personnes, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l’UE » .

B) Les sanctions en cas de manquement

La Loi Informatique et Libertés de 1978 ne prévoyait aucunement de pénaliser les manquements de ce type de prestataire. C’est désormais chose faite, à travers le RGPD, qui instaure un principe de « responsabilisation de tous les acteurs impliqués dans le traitement des données personnelles ».

A cette fin, l’assise de la responsabilité se base sur un régime de sanction pour les sous-traitants n’ayant pas respecté de telles obligations. Les sous-traitants peuvent également être contrôlés par la CNIL et faire l’objet des sanctions administratives prévues par le RGPD.

Ainsi, et comme le prévoit l’article 82 du RGPD : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement européen peut obtenir la réparation intégrale de son préjudice de la part du responsable de traitement ou du sous-traitant ».

Ces sanctions peuvent s’élever à un montant de plus de 20 millions d’euros ou, pour les entreprises, jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent.

Ces amendes se veulent incitatives pour les entreprises, et particulièrement envers celles dont le modèle économique se fonde exclusivement sur le traitement des données. La question demeure de savoir qu’elles sont les obligations des sous-traitants en la matière.

La formation restreinte de la CNIL, par une décision rendue le 27 janvier 2021, a sanctionné un responsable de traitement et son sous-traitant sur le fondement de l’article 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, au paiement des sommes de 150 000 euros et 75 000 euros.

L’article 32 du RGPD dispose que : « le responsable de traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ».

En l’espèce, la formation restreinte de la CNIL avait estimé que le responsable de traitement et son sous-traitant avaient manqué à leurs obligations en matière de sécurité de traitement. Ces derniers, après avoir fait l’objet d’attaques répétées de credential stuffing sur le site internet, avaient opté pour le développement d’un outil permettant la détection et le blocage de ces attaques. Toutefois, le développement de cet outil n’a été finalisé qu’après un an et durant toute cette période les données des utilisateurs étaient exposées à des violations potentielles. La CNIL relève que durant cet intervalle, plusieurs autres mesures produisant des effets plus rapides auraient pu être envisagées afin d’empêcher de nouvelles attaques ou d’en atténuer les conséquences négatives pour les personnes.

Certes, de nouvelles obligations incombent aux sous-traitants (A) : encore faut-il prévoir leur mise en application pratique (B).

A) Les obligations du sous-traitant

L’article 28 précédemment cité souligne expressément que le sous-traitant devra « offrir à son client des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée ».

De ce régime général découlent plusieurs obligations pour le responsable de traitement, qui peuvent être regroupées en différentes catégories :

  • Une obligation de transparence, qui permettra d’informer précisément le client des formalités effectuées relatives aux traitements;
  • Une obligation de protection des données, mise en œuvre par tout moyen nécessaire et dès la conception du produit ou service en question ;
  • Une obligation de sécurisation des données, assurée par la confidentialité de ces données, la notification de toute violation  de celle-ci au client, ou encore la suppression des données au terme de la prestation ;
  • Une obligation de sécurisation des données, assurée par la confidentialité de ces données, la notification de toute violation  de celle-ci au client, ou encore la suppression des données au terme de la prestation;
  • Une obligation d’assistance, relative à la bonne exécution du traitement, impliquant une aide au client quant au respect des droits des personnes, à la sécurité des données, ou encore quand une directive du client vous semble contraire aux textes en vigueur.

B) La mise en œuvre de ces obligations

Tout d’abord, il est important de garder à l’esprit qu’au regard de tous ces changements, vous devrez certainement revoir l’ensemble des contrats avec vos clients.

En effet, ces nouvelles dispositions rendent fort probable le manque de conformité des contrats en vigueur. L’intégration de clauses en permettant leur mise en conformité apparaît ici essentielle.

D’autre part, gardez à l’esprit que si vous êtes libre de déléguer certains traitements à un sous-traitant (après autorisation écrite de votre client), celui-ci sera soumis à ces mêmes obligations, mais vous devrez répondre de ses manquements à votre client.

Sachez, par ailleurs, que si vous êtes une autorité ou un organisme public sous-traitant, ou que vous êtes amené à traiter, pour le compte de vos clients, de données sensibles ou à grande échelle, vous avez l’obligation de désigner un délégué à la protection des données , chargé de vous accompagner dans ces tâches et de s’assurer de la conformité de ces traitements.

Enfin, et puisque le RGPD poursuit cette volonté d’unifier les règles en vigueur au sein de l’UE, il paraît logique que dans le cas où vous êtes établi au sein de plusieurs pays de l’Union, vous bénéficiez effectivement du mécanisme de guichet unique, qui vous permet de dialoguer avec une seule autorité nationale de contrôle (en l’occurrence, celle de votre établissement principal).

Assurez-vous , en tant que sous-traitant, de prendre pleinement conscience des obligations qui vous incombent d’ici là, et de les mettre en œuvre le plus rapidement possible.

Pour lire une version plus complète de l’article sur le RGPD et les sous-traitants, cliquez

SOURCES :
(1) https://www.dpms.eu/rgpd/guide-rgpd-accompagner-sous-traitant/
(2) https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
(3) http://www.privacy-regulation.eu/fr/4.htm
(4) https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article28
(5) https://cnpd.public.lu/content/dam/cnpd/fr/publications/groupe-art29/wp169_fr.pdf(6) https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre1 # Article

Par • internet-et-droit • • Tags: , , ,

1 2 3

# Nos catégories juridiques

# Poser une question en ligne

Si vous avez une question précise à poser au cabinet d’avocats, dont vous ne trouvez pas la réponse sur le site, posez votre question en ligne.
La question sera alors payante et le montant est de 150 euros TTC. Paiement sécurisé par Paypal ou Crédit Mutuel »

# Nos articles avocat Paris

© Murielle Cahen Cabinet d’avocats Paris 2026
Powered by WordPress • Themify WordPress Themes