données personnelles

La protection des données dans les contrats de services informatiques transfrontaliers

L’évolution rapide des technologies de l’information et de la communication a transformé le paysage des services informatiques, permettant aux entreprises de fournir des services et de stocker des données à l’échelle mondiale. Cependant, cette expansion transfrontalière des services informatiques a soulevé des préoccupations majeures en matière de protection des données personnelles.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

La protection des données est un sujet brûlant dans le monde d’aujourd’hui, et les lois sur la protection des données sont de plus en plus strictes pour garantir la confidentialité et la sécurité des informations personnelles. Cela a des implications significatives pour les contrats de services informatiques transfrontaliers, car ils impliquent souvent la collecte, le stockage et le traitement de données personnelles.

L’application des lois sur la protection des données dans les contrats de services informatiques transfrontaliers pose des défis uniques. Tout d’abord, il y a souvent une différence entre les lois sur la protection des données des pays d’origine et ceux du pays où les services sont fournis. Cela crée une tension entre la nécessité de se conformer aux lois du pays d’origine et celle de respecter les lois du pays d’accueil.

Besoin de l’aide d’un avocat pour un problème de protection de vie privée ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

De plus, les contrats de services informatiques transfrontaliers impliquent souvent plusieurs parties, dont certaines peuvent être situées dans des pays différents. Cela complique davantage l’application des lois sur la protection des données, car chaque pays peut avoir ses propres règles et réglementations en matière de protection des données.

En outre, les lois sur la protection des données évoluent rapidement, ce qui rend difficile la mise en conformité des contrats de services informatiques transfrontaliers sur le long terme. Les entreprises doivent être constamment vigilantes et s’adapter aux nouvelles lois et réglementations pour éviter les sanctions potentielles et les atteintes à la réputation.

Pour faire face à ces défis, les entreprises doivent adopter une approche proactive en matière de protection des données dans les contrats de services informatiques transfrontaliers. Cela implique de mener des évaluations approfondies de la conformité aux lois sur la protection des données, de mettre en place des mesures de sécurité robustes pour protéger les informations personnelles, et d’établir des mécanismes clairs de responsabilité et de gouvernance des données.

L’application des lois sur la protection des données dans les contrats de services informatiques transfrontaliers est un défi complexe mais essentiel. Les entreprises doivent être conscientes des réglementations en vigueur dans les pays concernés, mettre en place des mesures de conformité efficaces et être prêtes à s’adapter aux évolutions législatives. En agissant de manière proactive, les entreprises peuvent non seulement se conformer aux lois sur la protection des données, mais aussi gagner la confiance des clients et préserver leur réputation dans un monde de plus en plus axé sur la confidentialité et la sécurité des données.

I. Pourquoi protéger les données personnelles ?

A. Contexte général

Dans le contexte général de l’application des lois sur la protection des données personnelles dans les contrats de services informatiques transfrontaliers, il est essentiel de comprendre que les données personnelles sont devenues un enjeu majeur dans l’économie numérique mondiale. Avec la numérisation croissante des services et des échanges transfrontaliers, les entreprises doivent se conformer à un ensemble complexe de réglementations sur la protection des données pour assurer la confidentialité et la sécurité des informations personnelles de leurs utilisateurs.

Les contrats de services informatiques transfrontaliers impliquent souvent le transfert de données à caractère personnel entre différentes juridictions, ce qui soulève des défis en matière de conformité aux lois nationales et internationales sur la protection des données. Cela nécessite une attention particulière aux clauses contractuelles, aux mécanismes de transfert de données et aux mesures de sécurité pour garantir le respect des droits des individus et éviter les risques associés à la non-conformité.

B. L’importance de la protection des données personnelles dans les services informatiques transfrontaliers

L’importance de la protection des données personnelles dans les services informatiques transfrontaliers ne peut être sous-estimée. Les données personnelles sont des informations sensibles qui peuvent révéler des détails intimes sur les individus, tels que leur identité, leurs préférences, leurs habitudes d’achat et leur historique médical.

La collecte, le traitement et le stockage de ces données nécessitent une attention particulière pour garantir la confidentialité et la sécurité des personnes concernées.

Tout d’abord, la protection des données personnelles est un droit fondamental. Les individus ont le droit de contrôler leurs propres informations personnelles et de décider comment elles sont utilisées.

Les lois sur la protection des données ont été mises en place pour garantir que les entreprises respectent ces droits et traitent les données personnelles de manière éthique et légale. De plus, la protection des données personnelles est essentielle pour maintenir la confiance des utilisateurs et des clients.

Les violations de données et les atteintes à la vie privée peuvent avoir des conséquences graves pour les individus concernés, tant sur le plan financier que sur le plan émotionnel. Les entreprises qui ne parviennent pas à protéger les données personnelles risquent de perdre la confiance de leurs clients et de leur réputation. Dans le contexte des services informatiques transfrontaliers, où les données peuvent être transférées entre différents pays, il est d’autant plus important de garantir la protection des données personnelles.

Les lois sur la protection des données varient d’un pays à l’autre, ce qui rend complexe la mise en conformité avec les réglementations dans chaque juridiction. Les entreprises doivent donc être conscientes des exigences légales dans chaque pays où elles opèrent et prendre les mesures nécessaires pour garantir la conformité.

En outre, les services informatiques transfrontaliers peuvent impliquer le traitement de données sensibles dans des secteurs tels que la santé, les finances et les ressources humaines. Ces données nécessitent une protection accrue en raison de leur nature sensible et de leur potentiel d’impact sur la vie des individus. La violation de la confidentialité de ces données peut entraîner des conséquences graves, y compris des préjudices physiques, financiers ou psychologiques. Enfin, la protection des données personnelles est également importante d’un point de vue éthique. Les entreprises ont la responsabilité de traiter les données personnelles de manière équitable et transparente, en respectant les principes de minimisation des données, de finalité spécifique et de sécurité. Cela implique de mettre en place des mesures de sécurité appropriées pour prévenir les accès non autorisés, les pertes ou les fuites de données.

En somme, la protection des données personnelles dans les services informatiques transfrontaliers est essentielle pour respecter les droits fondamentaux des individus, maintenir la confiance des utilisateurs et des clients, se conformer aux réglementations, protéger les données sensibles et agir de manière éthique. Les entreprises doivent donc accorder une attention particulière à la protection des données personnelles et mettre en place les mesures appropriées pour garantir la confidentialité et la sécurité des informations personnelles.

II. Réglementation des données personnelles

A. Principes généraux de protection des données

  1. Consentement éclairé et volontaire

Le consentement éclairé et volontaire est l’un des principes fondamentaux de protection des données personnelles. Il stipule que les individus doivent donner leur consentement de manière claire, spécifique et librement donné avant que leurs données personnelles ne soient collectées, traitées ou transférées. Les entreprises doivent obtenir un consentement explicite et informé, et offrir la possibilité de retirer ce consentement à tout moment.

  1. Collecte limitée et finalité spécifique

Ce principe stipule que les données personnelles ne doivent être collectées que de manière adéquate, pertinente et limitée à ce qui est nécessaire pour atteindre un objectif spécifique. Les entreprises doivent informer les individus de la finalité de la collecte de leurs données et ne doivent pas utiliser ces données à d’autres fins sans obtenir un consentement supplémentaire.

  1. Exactitude et mise à jour des données

Il est essentiel de garantir l’exactitude et la mise à jour des données personnelles. Les entreprises doivent prendre des mesures raisonnables pour s’assurer que les données personnelles qu’elles détiennent sont exactes, complètes et à jour. Les individus ont le droit de demander la rectification ou la suppression de leurs données incorrectes ou obsolètes.

  1. Sécurité et confidentialité des données

La sécurité et la confidentialité des données personnelles sont des principes clés de protection des données. Les entreprises doivent mettre en place des mesures de sécurité appropriées pour protéger les données personnelles contre les accès non autorisés, les pertes ou les fuites. Cela peut inclure l’utilisation de technologies de cryptage, de pare-feu et de contrôles d’accès.

  1. Conservation limitée dans le temps

Ce principe stipule que les données personnelles ne doivent être conservées que pendant la durée nécessaire pour atteindre la finalité pour laquelle elles ont été collectées. Les entreprises doivent définir des périodes de conservation appropriées et supprimer les données personnelles une fois qu’elles ne sont plus nécessaires, sauf si la loi l’exige autrement.

En conclusion, l’application des lois sur la protection des données personnelles dans les contrats de services informatiques transfrontaliers nécessite de respecter les principes généraux de protection des données. Le consentement éclairé et volontaire, la collecte limitée et la finalité spécifique, l’exactitude et la mise à jour des données, la sécurité et la confidentialité des données, ainsi que la conservation limitée dans le temps sont autant de principes essentiels pour garantir la protection des données personnelles.

Les entreprises doivent intégrer ces principes dans leurs pratiques et leurs contrats afin de respecter les droits fondamentaux des individus et de se conformer aux réglementations en matière de protection des données.

B. Cadre juridique international et européen

Le cadre juridique international et européen en matière de protection des données personnelles joue un rôle crucial dans la régulation des contrats de services informatiques transfrontaliers. En particulier, le Règlement Général sur la Protection des Données (RGPD) de l’Union européenne, entré en vigueur en 2018, établit des principes et des obligations clés pour le traitement des données personnelles, y compris les transferts de données en dehors de l’UE.

Dans le contexte international, des accords et des normes tels que le Privacy Shield entre l’UE et les États-Unis, ou les clauses contractuelles types de la Commission européenne, offrent des mécanismes pour encadrer les transferts transfrontaliers de données personnelles.

Il est essentiel pour les entreprises d’opérer dans le respect de ces réglementations pour éviter les sanctions potentielles, garantir la confiance des clients et maintenir des relations commerciales solides à l’échelle internationale. Ainsi, la conformité aux normes européennes et internationales en matière de protection des données personnelles est un aspect crucial à prendre en compte lors de la rédaction et de la gestion des contrats de services informatiques transfrontaliers..

C. Implications pour les contrats transfrontaliers de services informatiques

Les lois sur la protection des données personnelles ont des implications importantes pour les contrats transfrontaliers de services informatiques. Voici quelques points clés à prendre en compte :

  1. Juridiction applicable :

Lorsqu’un contrat de service informatique est conclu entre des parties situées dans des pays différents, il est important de déterminer quelle juridiction est applicable en matière de protection des données. Chaque pays a ses propres lois et réglementations en la matière, et il est essentiel de s’assurer que le contrat est conforme à ces lois.

  1. Transfert de données personnelles :

Les contrats de services informatiques peuvent impliquer le transfert de données personnelles entre les parties. Dans ce cas, il est nécessaire de respecter les règles de transfert de données transfrontalier, telles que les clauses contractuelles types ou les mécanismes de certification, afin de garantir un niveau adéquat de protection des données.

  1. Responsabilité du sous-traitant :

Si le prestataire de services informatiques sous-traite certaines activités à des sous-traitants situés dans d’autres pays, il est important de s’assurer que ces sous-traitants respectent également les lois sur la protection des données. Le contrat devrait prévoir des clauses spécifiques concernant la responsabilité du sous-traitant en matière de protection des données.

  1. Consentement des utilisateurs :

Les lois sur la protection des données exigent souvent que les utilisateurs donnent leur consentement éclairé pour le traitement de leurs données personnelles. Les contrats de services informatiques doivent donc inclure des dispositions permettant de recueillir et de gérer efficacement le consentement des utilisateurs

  1. Sécurité des données :

Les contrats de services informatiques doivent prévoir des mesures de sécurité appropriées pour protéger les données personnelles contre les accès non autorisés, les divulgations ou les pertes. Il est important d’identifier les normes de sécurité appropriées et de veiller à ce que le prestataire de services informatiques les respecte.

III. Conséquences de la non-conformité

A. Sanctions et amendes

En cas de non-conformité aux lois sur la protection des données personnelles dans les contrats de services informatiques transfrontaliers, il y a plusieurs conséquences possibles. Voici quelques-unes des actions correctives et mesures à prendre :

  1. Notification des autorités de protection des données :

En cas de violation de la législation sur la protection des données, il est souvent nécessaire de notifier les autorités compétentes. Cela peut impliquer de fournir des détails sur la violation et les mesures prises pour y remédier.

  1. Communication aux parties concernées :

Si la non-conformité a un impact sur les données personnelles des individus, il peut être nécessaire d’informer les personnes concernées de la violation et des mesures prises pour remédier à la situation.

  1. Révision des contrats :

Il peut être nécessaire de revoir les contrats de services informatiques transfrontaliers pour s’assurer qu’ils sont conformes aux lois sur la protection des données. Cela peut impliquer de mettre en place des clauses spécifiques pour garantir la sécurité et la confidentialité des données.

  1. Mise en place de mesures de sécurité :

Il est important de prendre des mesures pour remédier aux failles de sécurité qui ont conduit à la non-conformité. Cela peut inclure la mise en place de mesures de sécurité techniques et organisationnelles pour protéger les données personnelles.

  1. Sanctions et amendes :

Selon la gravité de la non-conformité, des sanctions et amendes peuvent être imposées par les autorités compétentes. Il est donc essentiel de se conformer aux lois sur la protection des données pour éviter de telles sanctions. Il est important de noter que les mesures à prendre en cas de non-conformité peuvent varier en fonction de la législation applicable et de la gravité de la violation. Il est recommandé de consulter des experts juridiques spécialisés dans la protection des données pour obtenir des conseils spécifiques à votre situation.

L’application des lois sur la protection des données personnelles dans les contrats de services informatiques transfrontaliers est essentielle pour garantir la protection des données des utilisateurs et respecter les obligations légales. En cas de non-conformité aux lois sur la protection des données personnelles, plusieurs conséquences peuvent survenir, notamment :

  1. Sanctions administratives :

Les autorités de protection des données peuvent imposer des sanctions administratives, telles que des avertissements, des amendes administratives, des restrictions d’activités, voire la suspension ou la révocation des autorisations ou licences.

  1. Amendes financières :

Les amendes financières peuvent être imposées en cas de violation des lois sur la protection des données. Le montant de ces amendes peut varier en fonction de la gravité de la violation et des dispositions légales applicables dans chaque juridiction. Dans certains cas, les amendes peuvent atteindre un pourcentage significatif du chiffre d’affaires annuel de l’entreprise.

  1. Responsabilité civile :

En cas de violation des droits des personnes concernées, les entreprises peuvent être tenues responsables devant les tribunaux civils et peuvent faire l’objet de poursuites en dommages et intérêts. Les personnes concernées peuvent demander une indemnisation pour le préjudice subi en raison de la violation de leurs droits.

  1. Réputation et confiance :

La non-conformité aux lois sur la protection des données peut entraîner une atteinte à la réputation de l’entreprise. Les violations de la confidentialité et de la sécurité des données peuvent affecter la confiance des clients et des partenaires commerciaux, ce qui peut avoir un impact négatif sur les activités de l’entreprise à long terme. Il est donc crucial pour les entreprises de se conformer aux lois sur la protection des données personnelles et d’intégrer des mesures de sécurité et de confidentialité appropriées dans leurs contrats de services informatiques transfrontaliers. Cela permet de réduire les risques de non-conformité et de garantir la protection des données personnelles des utilisateurs.

B. Impact sur la réputation et la confiance des clients

La non-conformité aux lois sur la protection des données personnelles dans les contrats de services informatiques transfrontaliers peut avoir de graves conséquences sur la réputation et la confiance des clients. Voici quelques-unes de ces conséquences :

  1. Perte de confiance des clients :

Lorsqu’une entreprise ne se conforme pas aux lois sur la protection des données, cela peut entraîner une perte de confiance de la part de ses clients. Les clients sont de plus en plus préoccupés par la confidentialité et la sécurité de leurs données personnelles, et ils attendent des entreprises qu’elles les protègent de manière adéquate. En ne respectant pas ces attentes, une entreprise risque de perdre ses clients existants et de faire fuir de potentiels nouveaux clients.

  1. Réputation ternie :

Une violation des lois sur la protection des données peut entraîner une réputation ternie pour une entreprise. Les médias et les réseaux sociaux peuvent rapidement se saisir de ces violations et en faire la une des journaux. Cela peut nuire à la réputation de l’entreprise, qui peut être perçue comme irresponsable ou peu fiable en matière de protection des données. Cette mauvaise réputation peut être difficile à rétablir et peut avoir un impact à long terme sur la croissance de l’entreprise.

  1. Sanctions financières :

Outre les amendes financières dont nous avons parlé précédemment, la non-conformité aux lois sur la protection des données peut entraîner d’autres sanctions financières. Par exemple, une entreprise peut être tenue de payer des indemnités aux personnes dont les données ont été compromises ou exploitées de manière non autorisée. Ces indemnisations peuvent être coûteuses et avoir un impact financier significatif sur l’entreprise.

  1. Actions en justice :

Les violations des lois sur la protection des données peuvent également donner lieu à des actions en justice de la part des personnes dont les données ont été affectées. Les clients mécontents peuvent intenter des actions en justice pour demander des dommages et intérêts, ce qui peut entraîner des coûts supplémentaires et une exposition médiatique négative pour l’entreprise.

C. Actions correctives et mesures à prendre en cas de non-conformité

Pour remédier aux failles de sécurité qui ont conduit à la non-conformité aux lois sur la protection des données, voici quelques mesures de sécurité à prendre :

  1. Évaluation des risques :

Effectuer une évaluation approfondie des risques liés à la sécurité des données personnelles afin de comprendre les vulnérabilités et les menaces potentielles.

  1. Mise en place de politiques de sécurité :

Élaborer et mettre en œuvre des politiques de sécurité claires et exhaustives qui définissent les procédures et les bonnes pratiques à suivre pour protéger les données personnelles.

  1. Formation du personnel :

Sensibiliser et former le personnel sur les bonnes pratiques de sécurité des données, y compris l’importance de la confidentialité, de la protection des mots de passe, de l’utilisation sécurisée des systèmes et des outils, etc.

  1. Contrôles d’accès :

Mettre en place des contrôles d’accès stricts pour limiter l’accès aux données personnelles uniquement aux personnes autorisées. Cela peut inclure l’utilisation de mots de passe sécurisés, d’authentification à plusieurs facteurs et de contrôles de privilèges d’accès.

  1. Chiffrement des données :

Utiliser le chiffrement pour protéger les données personnelles sensibles, tant en transit que lorsqu’elles sont stockées. Cela peut aider à prévenir l’accès non autorisé aux données en cas de compromission des systèmes.

  1. Gestion des incidents de sécurité :

Mettre en place un processus de gestion des incidents de sécurité qui permet de détecter, de signaler et de répondre rapidement aux violations de sécurité ou aux incidents de données personnelles.

  1. Vérification régulière :

Effectuer des audits et des vérifications régulières pour s’assurer que les mesures de sécurité sont mises en œuvre correctement et sont efficaces.

  1. Collaboration avec des tiers :

Si vous travaillez avec des partenaires ou des prestataires de services, assurez-vous qu’ils respectent également les normes de sécurité des données personnelles et mettent en place des mesures de sécurité adéquates. Ces mesures de sécurité peuvent aider à renforcer la protection des données personnelles et à prévenir les violations de sécurité. Cependant, il est important de noter que les mesures spécifiques peuvent varier en fonction de la nature des données et des exigences légales applicables.

Pour lire une version plus complète de cet article sur la protection de la vie privée entre différents pays, cliquez

Sources :

  1. La loi Informatique et Libertés | CNIL
  2. Donnée personnelle | CNIL
  3. CHAPITRE I – Dispositions générales | CNIL
  4. Assurer votre conformité en 4 étapes | CNIL
  5. RGPD & Consentement : tout ce qu’il faut savoir | Mailjet
  6. Fuite massive de données personnelles de santé – Protection des données | Dalloz Actualité (dalloz-actualite.fr)

 

Par • internet-et-droit • • Tags: , , ,

LE DROIT AU DEREFERENCEMENT

L’arrivée d’internet a grandement contribué au développement de nouveaux usages facilitant notre vie. Le développement des plateformes de services en ligne telles que les réseaux sociaux et les moteurs de recherches ont permis de faciliter nos échanges et notre accès à l’information.

Les moteurs de recherche sont des outils formidables qui correspondent à un grand répertoire d’informations libres qui, une fois en ligne, ne sont plus maîtrisées. Internet accroît le sentiment d’impunité et lorsque les informations sont accessibles à n’importe qui, nombreux sont les usages dérivés qui en sont fait pour ternir la réputation.

Pour faire supprimer un contenu qui bafoue vos droits, utilisez le service mis en place par le cabinet Murielle-Isabelle CAHEN.

Face au problème grandissant, le droit est venu préciser le rôle des plateformes dans la gestion de leur contenu, mais également accorder des droits aux utilisateurs afin qu’internet ne deviennent pas une zone de non-droit.

Parmi ces droits, le droit au déréférencement permet de lutter contre la publication de données à caractère personnel qui porte atteinte aux droits fondamentaux de la personne ou à sa vie privée. Il permet de faire supprimer un ou plusieurs résultats fournis par un moteur de recherche à l’issue d’une requête effectuée à partir de l’identité (nom et prénom) d’une personne.

Aussi souvent appelé « droit à l’oubli », le droit au déréférencement était déjà prévu par la Directive 95/46/CE, et aujourd’hui intégré à l’article 17 du RGPD. (https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article17).
Issu d’une longue réflexion, cet article a créé le droit à l’effacement et a permis une inversion de la charge de la preuve, à présent le responsable de traitement supporte la charge de la preuve. Ce droit a vu son application précisée par une série d’arrêts rendus entre 2014 et 2020.

Besoin de l’aide d’un avocat pour un problème de droit à l’oubli ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

A travers cette saga jurisprudentielle, la Cour européenne de justice, mais également le Conseil d’État se sont attelés à définir les modalités de mise en œuvre du droit au déréférencement aux moteurs de recherche (I). En pratique, le droit au déréférencement a connu différentes évolutions, mais connaît également de nombreuses limites aussi bien à travers sa mise en œuvre, qu’à travers le rôle accordé aux moteurs de recherche (II).

I. La définition des modalités de mise en œuvre du droit au déréférencement

Afin de garantir une protection adéquate des personnes faisant l’objet d’un traitement de données par les moteurs de recherche, la CJUE a dû déterminer les responsabilités et devoirs de ces nouveaux acteurs au regard de la législation existante. Pour se faire, elle a d’abord procédé à la vérification de l’applicabilité de la directive européenne 95/46/CE aux moteurs de recherche (A). Elle a ensuite fixé un ensemble d’obligations découlant de la réglementation et définit leurs modalités de mise en œuvre par ces mêmes acteurs (B).

A. L’intervention de la CJUE dans la détermination de l’application de la Directive 95/46/CE aux moteurs de recherche

C’est à l’occasion de sa célèbre décision en date du 13 mai 2014 que la CJUE est venue préciser les modalités d’application du droit au déréférencement par les moteurs de recherche.  (CJUE, 13 mai 2014, affaire C-131/12, Google Spain SL, Google Inc. c/ Agencia Española de Protección de Datos)

Dans un premier temps, la CJUE procède à la vérification de l’applicabilité de la Directive 95/46/CE (aujourd’hui abrogée) au moteur de recherche, en l’occurrence Google.
Pour se faire elle effectue une qualification des activités du moteur de recherche qu’elle considère par extension de son interprétation classique, être des traitements de données. Puis, elle effectue un contrôle sur la qualité du moteur de recherche, et au regard de ses activités et de son rôle dans la détermination des finalités et moyens du traitement, lui confère la qualité de responsable de traitement.

La Cour l’existence d’un lien de cause à effet entre les résultats indexés par le moteur de recherche dans le cadre de ses activités et les atteintes à la vie privée dont sont victimes les personnes concernées.

Cette décision s’accorde difficilement avec la position antérieure de la CJUE qui considérait que ce même moteur de recherche, Google, avait un rôle « purement technique, automatique et passif ». (Arrêt de la CJUE du 23 mars 2010, affaires jointes C-236/08 à C-238/08 : )

Ce raisonnement adopté par la Cour témoigne de sa volonté de faire produire ses effets à la directive européenne afin de réguler les activités du moteur de recherche. La CJUE confirme l’application de la Directive 95/46/CE et ordonne à Google de la respecter afin de garantir une protection efficace et complète des personnes concernées.

Dans un second temps la Cour doit déterminer si la localisation de Google n’empêche pas l’application de la Directive 95/46/CE. Pour se faire, elle analyse si l’entreprise remplie une des trois conditions fixées par la directive. La Cour se livre alors à une réécriture du considérant 19 de la directive et procède à la qualification d’établissement stable de Google Spain.

Cette mise en balance des différents intérêts a permis de renforcer la protection des personnes concernées et de responsabiliser Google envers ses utilisateurs. Cette décision ne responsabilise pas seulement Google, elle apporte ainsi un cadre nouveau pour les moteurs de recherches qui devront, dès à présent, se conformer à la Directive 95/46/CE.

B. La définition des critères d’évaluation du droit au déréférencement

En vertu de la Directive 95/46/CE, les États membres garantissent aux personnes concernées le droit d’obtenir du responsable de traitement, en l’occurrence le moteur de recherche, l’effacement, la rectification ou le verrouillage des données dont le traitement n’est pas conforme à la directive, notamment en raison du caractère incomplet ou inexact des données.

A travers cette décision, la CJUE définit les critères qui devront permettre aux moteurs de recherche de statuer sur une demande de déréférencement.

Dès lors, chaque demande de déréférencement devra être appréciée au cas par cas afin d’effectuer un juste équilibre (principe de proportionnalité) entre les atteintes aux droits fondamentaux, au respect de la vie privée et à la protection des données que sont susceptibles de provoquer les traitements de données, et le droit à l’information et le droit de la presse. Le droit à l’oubli n’est par conséquent pas un droit absolu.

Précisé par la jurisprudence de 2019, cet examen devra se faire à la lumière d’autres critères que sont la notoriété et la fonction de la personne concernée, il s’agira de déterminer si c’est une personne publique. L’âge de la personne concernée, notamment son âge au moment de la publication, mais aussi la nature des contenus en cause leur caractère plus ou moins objectif, leur exactitude, de s’interroger sur leurs sources.

Le responsable de traitements devra également vérifier les conditions et la date de mise en ligne des contenus, et enfin les éventuelles répercussions que leur référencement est susceptible d’avoir pour la personne concernée (par exemple si la personne rencontre des difficultés à obtenir un prêt, car un article concernant d’anciennes insolvabilités est en ligne).

Cet examen doit se faire à la lumière de différents critères que sont la notoriété, l’âge de minorité, la nature des informations référencées, l’éventuel préjudice subi, le contexte de la publication. Ce qui n’est pas sans rappeler les éléments pris en compte par les juridictions françaises pour déterminer une atteinte à la vie privée.

Ainsi « l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite ».

Finalement, la nouveauté de cet arrêt réside dans le fait que le moteur de recherche peut être obligé de désindexer lesdits liens, même si les données à caractère personnel continuent à demeurer sur les sites web.

II. Les évolutions et les limites de la pratique du droit au déréférencement/du droit à l’oubli

La jurisprudence européenne offre de nouvelles perspectives en instaurant de nouvelles obligations aux moteurs de recherches. Précisé par une série d’arrêts qui découlent de cette première décision, la portée territoriale du droit au déréférencement fait aujourd’hui l’objet de discussions (A). La jurisprudence a amené à la fois des évolutions, mais également d’autres limites dans l’octroi du droit au déréférencement (B).

A. Les limites de la portée territoriale

A la suite d’un différend opposant Google Inc. et la CNIL, le Conseil d’État saisi d’une question préjudicielle la CJUE afin de déterminer la portée territoriale du droit au déréférencement. Autrement dit, s’arrête-t-il aux frontières de l’Union européenne ?

En réponse à cette question, la portée et les limites du droit au déréférencement ont été précisées par la CJUE dans deux nouveaux arrêts du 24 septembre 2019. (https://curia.europa.eu/juris/document/document.jsf?text=&docid=218105&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=9762 et https://curia.europa.eu/juris/document/document.jsf?text=&docid=218106&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=9963)

A travers l’un de ses deux arrêts, la CJUE répond et considère que le droit au déréférencement doit être respecté dans les États membres de l’Union européenne. Il n’est pas contraignant pour les autres pays. Un moteur de recherche qui reçoit une demande de déréférencement par un citoyen européen n’est obligé de supprimer les résultats concernés que pour ses noms de domaines européens (google.fr, google.be, google.de, etc.).

Toutefois, la Cour de justice de l’Union européenne précise que, si le droit de l’Union n’impose pas cette portée mondiale, « il ne l’interdit pas non plus », ce qui permet à une autorité de contrôle ou à une autorité judiciaire d’ordonner un déréférencement à portée mondiale.

Par une série de décisions rendues le 6 décembre 2019, le Conseil d’État tire les conséquences des décisions de la CJUE.

Cette saga jurisprudentielle s’achèvera le 27 mars 2020, date à laquelle le Conseil d’État prend acte du jugement rendu par la Cour de justice de l’Union européenne et annule la délibération de la CNIL ordonnant un déréférencement mondial. En France, aucune mesure législative ne permet en effet à la CNIL d’exiger de procéder à un déréférencement d’une telle envergure.

Cette décision révèle des difficultés techniques propres aux nouvelles technologies, mais aussi législatives et soulève des interrogations.

L’approbation du déréférencement à échelle européenne n’empêche pas en effet l’utilisation d’outils techniques (VPN) permettant d’outrepasser la mise en œuvre du déréférencement, ce qui remet en cause l’effectivité de ce procédé visant à protéger les utilisateurs. Ne devrait-on pas adapter cette solution à l’état de l’art ?

B. Les évolutions et les limites de l’exercice du droit au déréférencement induites par la jurisprudence

Ces jurisprudences ont allégé le processus judiciaire auparavant requis pour faire droit à une demande de déréférencement. Il n’est plus nécessaire de passer au préalable par la case tribunal. Les moteurs de recherche mettent à disposition des formulaires qui permettent d’effectuer une demande de déréférencement. . En cas de recours contre une décision prise par un moteur de recherche, il n’est pas non plus nécessaire non plus d’emprunter le chemin des tribunaux. La CNIL sert d’intermédiaire. Cela évite des frais judiciaires aux personnes qui souhaiteraient exercer ce droit.

En revanche, le pouvoir conféré aux moteurs de recherche fait l’objet de débats. En effet, ils sont, dans la première partie du processus, les seuls a apprécié s’ils accordent le déréférencement ou non, et ce même pour des contenus licites. Il s’agit de conférer à un acteur privé le rôle de concilier deux libertés fondamentales, le droit au respect de sa vie privée et la liberté de la presse. Ce qui entre dans le domaine de compétence des juges et non pas des acteurs privés.

Pour lire une version plus complète de cet article sur le droit à l’oubli, cliquez

SOURCES :

Par • internet-et-droit • • Tags: , , ,

Droit et geolocalisation

La géolocalisation permet de localiser géographiquement un objet ou une personne. Ce procédé offre des possibilités d’actions marketing ciblées très avantageuses pour les entreprises et les utilisateurs. Il permet de cerner la personnalité et les habitudes de chaque individu. Néanmoins, l’exploitation de cette fonctionnalité entraîne, fatalement, une surveillance des déplacements dans le temps et l’espace qui peut nuire à la vie privée des individus.

NOUVEAU : Utilisez nos services pour faire valoir vos droits en droit du travailen passant par le formulaire !

La géolocalisation est une technologie permettant de déterminer, plus ou moins précisément, la localisation d’un objet ou d’une personne par l’intermédiaire d’un système GPS ou d’un téléphone mobile. Ce service est accompli par un réseau de télécommunication.

Avec le développement des nouvelles technologies, la majorité des applications installées sur nos smartphones offre des fonctions de partage de localisation. La géolocalisation est un outil utile lorsqu’elle est utilisée de manière bienveillante. On la retrouve en particulier dans le transport (par exemple de suivre un chauffeur VTC, trouver une trottinette électrique), dans la livraison (suivre la progression d’une livraison en cours), pour assurer la sécurité des biens (pour retrouver sa voiture ou son smartphone par exemple) ou encore dans le sport (certaines applications sportives proposent de retracer l’itinéraire de l’utilisateur lors d’un footing ou d’une randonnée). Bien que ces technologies soient utiles, elles récupèrent des données à caractère personnel qui peuvent comprendre des risques pour notre vie privée.

Selon l’article 4 du Règlement européen sur la protection des données, une donnée est personnelle dès lors qu’elle permet d’identifier directement ou indirectement un individu personne physique.

La personne est identifiée directement lorsque son nom apparaît dans un fichier et, indirectement lorsque le fichier comporte des informations l’identifiant (adresse IP, numéro de téléphone…).

Lorsqu’elles sont utilisées et permettent la mise en place de service, il s’agit d’un traitement qui est strictement encadré par la loi.

Selon le même article,  » Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction « .

I/ Le droit et  la géolocalisation

Besoin de l’aide d’un avocat pour un problème de droit  du travail ?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien

Le RGPD énonce en son chapitre II un certain nombre de principes qui régissent la mise en place d’un traitement de données. Certaines de ces obligations incombent aux sociétés exploitantes ou utilisant un service de géolocalisation dans la mesure où cela entraîne un traitement de données personnelles et une possible atteinte à la vie privée des utilisateurs.

 » Le traitement doit avoir un objectif précis et les données récoltées doivent être en concordance avec cet objectif. Cette finalité ne doit pas être détournée, les données doivent toujours être exploitées dans le même but.

 » L’utilisateur doit donner son autorisation avant toute collecte de donnée de localisation.
La localisation peut être ponctuelle ou continue. Lorsqu’elle est ponctuelle, la collecte d’information est limitée dans le temps et l’espace (météo ou trafic routier). Ainsi, la simple demande, par l’utilisateur, d’accéder à un tel service est considérée comme une manifestation de son consentement.
Lorsque la localisation est continue, l’utilisateur doit avoir la possibilité de l’utiliser, ou non, à chaque fois qu’il le souhaite, par l’intermédiaire d’une inscription (bouton, case à cocher).

 » Une information précise de la nature du traitement des données doit être apportée aux utilisateurs (type de donnée, durée de conservation, finalité et droits relatifs à ces données).

 » Les données personnelles doivent être soumises à des mesures de sécurité adaptées aux risques amenés par le traitement. Dès lors, les responsables du traitement mettre en place une sécurité à la fois physique et logique.

 » Les données collectées doivent, nécessairement, jouir d’une date de péremption. Les responsables ont l’obligation de fixer une durée raisonnable de conservation. Le caractère raisonnable s’apprécie en fonction de l’objectif du service et à la durée nécessaire à sa fourniture. Une fois le service fourni, une conservation est possible lorsque les données sont indispensables à la facturation et au paiement des frais d’interconnexion. Si ces données donnent lieux à la conservation d’un historique, elles doivent être rendues anonymes.

En outre, la géolocalisation peut également toucher la vie privée des salariés. L’entrée en vigueur du Règlement général sur la protection des données (RGPD) a exempté l’employeur de l’obligation de déclaration à la CNIL des systèmes de géolocalisation de véhicules professionnels. Toutefois, l’employeur reste tenu d’une obligation d’information de ses salariés de l’existence du dispositif en question et des droits qui peuvent en découler. Il doit, éventuellement, informer et consulter le Comité social et économique au préalable à la mise en place de ce dispositif

L’article L1121-1 du Code du travail dispose que : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » (1)

Le Conseil d’État avait énoncé, dans un arrêt rendu le 15 décembre 2017, qu’« il résulte de [l’article L. 1121-1 du Code du travail] que l’utilisation par un employeur d’un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace que la géolocalisation. En dehors de cette hypothèse, la collecte et le traitement de telles données à des fins de contrôle du temps de travail doivent être regardés comme excessifs au sens du 3° de l’article 6 de la loi du 6 janvier 1978 précité. » (2)

À cet effet, la Cour de cassation s’est alignée sur cette jurisprudence du Conseil d’État. En effet, dans un arrêt de la chambre sociale du 19 décembre 2018, la Cour de cassation a également illustré le contrôle mis en place en vertu de l’article L1121-1 du Code de travail.

En l’espèce, la question se posait autour de la licéité d’un dispositif de géolocalisation mis en place par une société spécialisée dans la distribution de publicités ciblées afin de localiser les salariés chargés de la distribution et de contrôler ainsi leur durée de travail.

La Cour de cassation s’est prononcée en considérant que ce système de géolocalisation est disproportionné quant au but recherché, et ce, sur le fondement de l’article L1121-1 du Code de travail. Les juges de cassation se fondent sur deux raisons principales à savoir que, ce système n’est licite « que lorsque ce contrôle ne peut pas être fait par un autre moyen fût-il moins efficace que la géolocalisation » et que l’usage de ce dernier « n’est pas justifié lorsque le salarié dispose d’une liberté dans l’organisation de son travail ». (3)

Une autre fonction rendue possible par la géolocalisation a fait l’objet d’un avis de la CNIL. Il s’agit du marketing ciblé qui transforme le terminal mobile de l’utilisateur en un support de message publicitaire.
Selon la CNIL  » le marketing ciblé basé sur de la géolocalisation n’est pas interdit « , néanmoins les usagers doivent souscrire à des services de géolocalisation et être informés de la possibilité de s’y opposer.

II/ Le rôle particulier de la CNIL et ses pouvoirs

La CNIL est une autorité indépendante créée par la loi du 06 Janvier 1978 « Informatique et libertés ». Elle à ce titre chargée de veiller à ce que l’informatique soit au service du citoyen et qu’elle ne porte atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. Elle exerce ses missions conformément à la loi no 78-17 du 6 janvier 1978 modifiée notamment en 2004 et en 2019.

Le développement généralisé de la géolocalisation amène la commission à être vigilante et à multiplier les opérations de sensibilisation à l’attention de l’ensemble des citoyens et sociétés.
Elle émets de nombreux avis sur de nouveaux dispositifs de géolocalisation, jugés trop intrusifs (Google Latitude, Facebook Lieux).

À travers ses contrôles, la CNIL peut infliger des sanctions en cas de non-respect des obligations légales.
Les contrôles ont été renforcés ces dernières années au sein des entreprises proposant des services de géolocalisation. La CNIL peut effectuer ses contrôles directement dans les locaux des entreprises et demander la communication de tout document permettant l’accès aux programmes informatiques et aux données afin de vérifier la licéité et la conformité des traitements effectués.

Lorsqu’une entrave à la loi est constatée, la CNIL peut prononcer des sanctions pécuniaires pouvant s’élever jusqu’à un montant maximum de 150 000€ et 300 000 en cas de récidive. De surcroît, des injonctions de cesser le traitement illicite peuvent être déclarées.
Les manquements à la loi  » Informatique et Libertés  » sont punis de 5 ans d’emprisonnement et de 300 000€ d’amende.

En 2011, la commission s’est attaquée à Google et à ses services Street View et Latitute. L’entreprise a été condamnée à 100 00€ d’amende. Les voitures de Street View et Latitude collectaient, en plus des photos, les réseaux Wifi ouverts et de ce fait une grande quantité de données privées.

Depuis le 25 mai 2018, la formation restreinte de la CNIL peut prononcer des sanctions à l’égard d’organismes qui ne respectent pas le règlement général sur la protection des données (RGPD) de l’Union européenne jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires mondial.

S’agissant de la mise en œuvre d’un dispositif de géolocalisation des salariés, la CNIL apporte sur des éclaircissements quant à la licéité de cette pratique. En effet, cette dernière liste les utilisations permises et les utilisations proscrites.

Ainsi, il est permis à titre d’exemple de recourir à ce dispositif afin d’assurer le suivi d’une prestation, d’assurer la sécurité ou la sûreté du salarié et/ou des marchandises, de veiller à une allocation optimale des moyens mis à disposition pour l’exécution de la prestation et de veiller au respect des règles d’utilisation du véhicule.

Toutefois, le dispositif de géolocalisation ne peut avoir pour finalité de contrôler le respect des limitations de vitesse, de contrôler l’employé en permanence, de surveiller les déplacements du salarié en dehors de son temps de travail ou encore de contrôler les déplacements des représentants du personnel. (4)

Le rôle de la CNIL s’avère de plus en plus fondamental face à la multiplication et la banalisation de ces technologies. Un simple défaut de paramétrage, où en cas de piratage d’un téléphone, une surveillance constante des utilisateurs peut s’instaurer.

III. Illustration récente

En 2020, la CNIL a pour partie axé son action de contrôle sur plusieurs thématiques prioritaires en lien avec les préoccupations quotidiennes des Français dont la géolocalisation pour les services de proximité.

Dans une délibération rendue le 16 mars 2023 par la formation restreinte de la CNIL, une sanction de 125 000 euros a été prononcée à l’encontre de la société CITYSCOOT pour avoir notamment porté une atteinte disproportionnée à la vie privée de ses clients en les géolocalisant de manière quasi permanente. Cette décision a été prise en coopération avec les autorités de protection des données espagnole et italienne dans la mesure où la société propose aussi ces services dans ces pays.

Depuis 2016, la société propose un service de location de scooters électriques en libre-service accessible à partir de son application mobile. Les scooters ne sont pas stationnés dans des espaces précis et peuvent être laissés, après utilisation, dans la zone de location identifiée dans l’application. Les véhicules sont équipés d’un dispositif de localisation embarqué qui permet à CITYSCOOT et aux utilisateurs, via leur application mobile, de connaître la position des scooters. La location d’un scooter électrique auprès de la société suppose la création d’un compte à partir de l’application mobile. Il s’agit d’un service sans engagement qui est facturé à la minute.

Un contrôle en ligne a été effectué sur le site web  » cityscoot.eu  » et l’application mobile  » CITYSCOOT « , le 13 mai 2020.  La délégation de la CNIL s’est notamment attachée à vérifier les données collectées et les finalités de la collecte. Ce contrôle avait également pour but de vérifier l’encadrement de la sous-traitance et la sécurité des données.

A l’occasion de ce contrôle, la CNIL s’est aperçue qu’au cours de la location d’un scooter par un particulier, la société collectait des données relatives à la géolocalisation du véhicule toutes les 30 secondes lorsque le CITYSCOOT est actif et que son tableau de bord est allumé, qu’il soit en déplacement ou prêt à rouler. Lorsque le CITYSCOOT est inactif, le boîtier collecte des données de position toutes les 15 minutes. En outre, la société conservait l’historique de ces trajets durant douze mois en base active, puis douze mois en archivage intermédiaire avant d’être anonymisées.

La société justifie la collecte des données de position des scooters au regard de diverses finalités telles que le traitement des infractions au code de la route, le traitement des réclamations clients, le support aux utilisateurs (afin d’appeler les secours en cas de chute d’un utilisateur), ou encore la gestion des sinistres et des vols. Or selon la CNIL, aucune des finalités avancées par la société ne justifie une collecte quasi permanente des données de géolocalisation au cours de la location d’un scooter.
Elle relève un premier manquement à l’article 5 du RGPD qui instaure l’obligation de veiller à la minimisation des données.

Elle a également pu constater que la société fait appel à quinze sous-traitants ayant un accès ou hébergeant des données à caractère personnel. Sur ces quinze contrats, elle considère que les contrats avec les sociétés ne contiennent pas toutes les mentions prévues par le RGPD. D’une part, certains d’entre eux ne mentionnent pas les dispositions relatives aux procédures de suppression ou de renvoi des données à caractère personnel du sous-traitant au responsable de traitement à échéance du contrat. D’autre part, certains ne mentionnent ni l’objet du traitement, ni sa durée.

Elle constate donc un second manquement à l’obligation d’encadrer les traitements faits par un sous-traitant par contrat (article 28 du RGPD).

Pour finir, elle souligne également un manquement à l’obligation d’informer l’utilisateur et d’obtenir son consentement avant d’inscrire et de lire des informations sur son équipement personnel (article 82 de la LIL).

Comme le rappelle la CNIL « Le montant de la sanction tient compte du chiffre d’affaires de la société, de la gravité des manquements constatés mais également des mesures prises par la société pour y remédier lors de la procédure. »

Pour lire une version plus complète de cet article sur la géolocalisation, cliquez

Sources :

Par • Commerce electronique, internet-et-droit • • Tags: , , , , ,

LES RISQUES JURIDIQUES DES LOGICIELS DE RECONNAISSANCE FACIALE

Aujourd’hui, les logiciels de reconnaissance faciale gagnent en performance et en fiabilité. Les plus avancés peuvent ainsi travailler avec des images de basse qualité telles que celles fournies par les caméras de vidéosurveillance. De plus en plus présente dans nos vies, cette technologie génère des inquiétudes et pose de véritables problèmes d’atteinte à la vie privée.

Dès leur avènement aux années 1990, les logiciels de biométrie sont devenus de plus en plus performants notamment en termes de rapidité de traitement et de fiabilité. Comment fonctionne ce procédé ? Le visage est capturé à l’aide de n’importe quel capteur, caméra ou appareil photo, et l’image est ensuite traitée par un logiciel qui repère en général la position des yeux pour procéder à un alignement.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de vie privée en passant par le formulaire !

Grâce à mécanisme, le logiciel fait un relevé des différents points caractéristiques du visage (nez, sourcils, écartement des yeux, etc.). Ensuite, ces informations sont codées sous forme de fichier, le gabarit, dans lequel s’effectueront les recherches. Il est ensuite possible de repérer les similitudes entre les captures de visage et les gabarits présents en base de données.

Ce procédé était utilisé par la police grâce à la technique du bertillonnage, et ce, avant même de la naissance de la technologie. Il s’agit d’une technique criminalistique mise au point par Alphonse Bertillon en 1879 et reposant sur l’analyse biométrique accompagnée de photographies de face et de profil. Le principe était de réaliser des mesures sur les criminels, de noter entre autres l’écartement entre les yeux, la taille du visage, les oreilles… afin de réaliser un fichier d’identification permettant de les reconnaître plus facilement en cas de nouvelle arrestation.

Désormais, les technologies utilisent les mêmes techniques grâce à un algorithme qui permet de comparer un visage à une photo de sa base de données. Jugées peu fiables à l’époque, elles permettent dorénavant un taux de rejet de plus en plus faible. Les réseaux sociaux ont profondément contribué à cette évolution et tous les géants technologiques se sont approprié ce savoir-faire d’identification des visages. Le logiciel d’Apple « iphoto », l’application « Picassa » et le réseau social Facebook utilisent tous ce système de reconnaissance faciale.

Besoin de l’aide d’un avocat pour un problème de vie privée ?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien

Le paradoxe de Facebook résulte dans le fait que ce sont les utilisateurs eux-mêmes qui abreuvent chaque jour le réseau de centaines de millions de photographies. Selon ce dernier, 100 millions de noms sont mis en légende sous des visages quotidiennement.

Ce processus permet, dès lors, au réseau de posséder de précieuses informations sur ses utilisateurs, notamment concernant ses données personnelles, sur lesquelles les « géants du net » basent leur système économique.

Il convient de préciser que ces utilisations par les entreprises privées de la reconnaissance faciale ne font pas figure de seuls exemples : récemment, certaines villes chinoises se dotaient de cette technologie à des fins de fluidité du trafic.

Ainsi, quand la ville de Shenzhen affiche aux coins des carrefours de grands panneaux analysant les visages des passants, la mégalopole de Shanghaï inflige des contraventions aux personnes qui traversent « au rouge », leur visage placardé sur les écrans des arrêts de bus du quartier grâce à une capture via reconnaissance faciale.

Ces pratiques, toutefois, induisent de possibles dérives bien évidentes, à la limite des romans de science-fiction et du Big Brother de George Orwell…

Le tribunal administratif de Marseille, dans une décision rendue le 27 février 2020, avait annulé la délibération du conseil régional de Provence-Alpes-Côte d’Azur qui consistait à lancer à titre expérimental un dispositif de reconnaissance faciale dans deux lycées.

En l’espèce, lors d’une réunion datant du 14 décembre 2018, ce conseil avait délibéré en vue de lancer cette expérimentation qui visait à assurer le contrôle de l’accès au lycée des lycéens que le système identifiera. En outre, ce dispositif de reconnaissance faciale devait permettre de suivre la trajectoire de non seulement les lycéens, mais également les visiteurs occasionnels que le système ne pourrait pas identifier.

Le tribunal administratif a donc considéré que cette expérimentation portait atteinte aux dispositions du Règlement général sur la protection des données (RGPD). En effet, le tribunal administratif de Marseille s’est aligné sur la position de la CNIL qui avait considéré que cette expérimentation particulière était « contraire aux principes fondamentaux de proportionnalité et de minimisation des données issues du RGPD ». (1)

Quid des craintes sur le respect de la vie privée, sur la possibilité que la police utilise ce système pour mener des enquêtes illégales ou pour que des gens malintentionnés s’en servent à mauvais escient ? Ces inquiétudes sont non seulement légitimes, mais laissent également penser à quel point cette technique nécessite un encadrement pour éviter les dérives.

Il convient, dès lors, de se pencher sur les risques d’atteinte à la vie privée liés aux logiciels biométriques (I), pour envisager un cadre efficace face aux éventuelles dérives (II).

I- Logiciels biométriques et risques d’atteinte à la vie privée

A) Le droit à l’image

Ces techniques permettent de transformer les visages en données électroniques qu’il est désormais possible de regrouper, d’analyser et de classer. Or, ces données sont sensibles et précieuses, car elles sont une caractéristique de notre corps et un élément de notre identité.

Il est incontestable que certaines utilisations de la reconnaissance faciale sont bénéfiques notamment en ce qui concerne l’authentification des employés autorisés à avoir accès à une centrale nucléaire ou la lutte contre la fraude visant les individus qui présentent des demandes de passeport sous différents noms.

Ceci étant, la reconnaissance faciale a également des répercussions sur le respect de notre vie privée et certains auteurs estiment que cette technologie signe la fin de l’anonymat. La base de données d’images de Facebook est certainement la plus importante au monde.

Sur ce réseau planétaire, l’utilisateur a notamment la possibilité de « taguer » une photographie pour y associer un nom et un profil. En 2011, Facebook lance un système de rconnaissance faciale qui permet, à partir d’un nom, de retrouver sur le réseau et le web, toutes les images représentant la personne.

En septembre 2012, ce système a été abandonné par Facebook pour l’Europe à la suite d’une série de plaintes déposées par un étudiant autrichien, Max Schrems, devant l’autorité irlandaise chargée de la protection des données privées.

Parmi les projets en développement, Facebook va frapper fort avec son programme de recherche DeepFace qui sera dévoilé en détail à la fin du mois de juin. La société qui possède 250 milliards de photos personnelles pourra bientôt identifier tout un chacun avec son système de reconnaissance faciale. Ce système ne devrait pas être destiné aux utilisateurs.

Récemment, le 2 novembre 2021, le vice-président de l’intelligence artificielle auprès de Meta (Facebook) avait annoncé l’abandon de la reconnaissance faciale pour ses applications et la suppression des données biométriques pour plus d’un milliard de personnes. En effet, Facebook prévoit de supprimer, d’ici décembre 2021, plus d’un milliard de modèles de reconnaissance faciale. Néanmoins, Meta n’éliminera pas son programme DeepFace. (3)

B) Utilisation des données personnelles et sécurisation des données

La question de la sécurisation des données en ligne se pose à ce stade. L’application Snapchat, prisée par les jeunes, car elle promet l’autodestruction des photos partagées en quelques secondes, a admis de graves failles. Accusée d’avoir récolté les carnets d’adresses des utilisateurs sans leur consentement et de les avoir trompés sur la disparition des fichiers échangés, l’application Snapchat qui n’avait pas sécurisé sa base d’utilisateurs a été victime de pirates qui ont pu récupérer noms et numéros.

Une application actuellement en deuxième période d’essai nommée NameTag fonctionne sur les Google Glass et permet de scanner n’importe quelle personne dans la rue puis de l’envoyer vers les serveurs de FacialNetwork afin de dresser une comparaison avec une base de données contenant pour le moment 2,5 millions de portraits.

C’est après une analyse par le logiciel, le nom de la personne est présenté avec la possibilité de consulter les informations rendues publiques sur divers réseaux sociaux communautaires tels que Facebook, Twitter, Linkedln ou Instagram. La société dispose également de 450 000 fiches issues de la base américaine des agresseurs sexuels et autres criminels. Pour ses lunettes, Google a strictement interdit les applications de reconnaissance faciale reconnaissant la violation de la vie privée.

En ce qui concerne de police judiciaire, les avancées permises par ces logiciels sont certaines. En 2012, le FBI avait investi un milliard de dollars dans ce qui devait être un « programme d’identification de nouveau générateur » permettant de constituer une base de données nationale photographique des criminels puis quelques informations concernant leurs données biométriques.

Auparavant, les défenseurs de la vie privée s’inquiétaient déjà que des personnes au casier vierge et non suspectes puissent figurer dans ce fichier et se retrouver surveillées. Cette crainte semble aujourd’hui se justifier d’après des documents récupérés par la Fondation Electronic Frontier, une ONG à but non lucratif, selon lesquels 4,3 millions de clichés ont été récupérés sans aucune implication criminelle ou enquête en cours.

Il est possible d’imaginer plusieurs situations : celle dans laquelle un innocent se retrouve au cœur d’une enquête criminelle, mais aussi celle où la technologie est utilisée à mauvais escient pour atteindre d’autres objectifs visés par les pouvoirs publics notamment pour réprimer la dissidence. La protection des données biométriques et leur vulnérabilité au piratage et aux utilisations malveillantes suscitent des inquiétudes.

La reconnaissance faciale est encadrée par la loi informatique et liberté du 6 janvier 1978. Mais en 2018 un nouveau règlement européen est entré en vigueur mettant en place de nouvelles règles dans ce domaine.

Ce texte européen n’est autre que le règlement général sur la protection des données adoptée par le parlement européen en avril 2016 et entrée en vigueur le 25 mai 2018. Selon ce nouveau texte, les données biométriques doivent être considérées comme des données sensibles. Or il s’avère que ce règlement interdit le traitement des données sensibles à l’article 9.1. En principe la reconnaissance faciale est donc interdite par ce texte.

Le droit français a été adapté à ce nouveau texte européen par le biais de la loi du 20 juin 2018 qui a substantiellement modifié la loi informatique et liberté tout en faisant usage des marges de manœuvre accordées aux États membres par le RGPD. Ensuite, l’ordonnance n° 2018-1125 du 12 décembre 2018 est intervenue afin de réécrire et de remettre en cohérence la loi du 6 janvier 1978 ainsi que d’autres lois françaises qui traitent de la protection des données.

Cette législation, cependant, comporte également beaucoup d’exceptions à ce principe. La reconnaissance faciale peut être autorisée sur les personnes qui consentent à son utilisation. L’État peut lui aussi recourir à un système de reconnaissance faciale lorsque l’intérêt public est en jeu. Mais il faut pour cela respecter une certaine procédure.

Cette procédure se résume au dépôt d’un décret devant le Conseil d’État ainsi que la sollicitation de l’avis de la CNIL (Commission nationale de l’informatique et des libertés). Le procédé est également autorisé s’il utilise des données à caractère personnelles, mais qui sont rendues publiques par la personne concernée. Si la technologie de reconnaissance faciale est intégrée dans un système comme un téléphone ou un ordinateur alors son utilisation peut aussi être autorisée.

II- La nécessité d’un encadrement afin d’éviter les dérives

A) Le contrôle de la CNIL en France

Conformément à une étude effectuée à la demande de la CNIL par TNS Sofres, les technologies de reconnaissance faciale qui permettent d’associer automatiquement un nom suscitent des inquiétudes pour 41 % des participants, malgré une faible utilisation pour le moment (12 % des internautes). La CNIL est chargée d’encadrer les pratiques liées à la biométrie faciale.

Un cadre légal s’impose face à cette technologie. À moins d’avoir nommé un correspondant Informatique et Liberté (CIL), une déclaration auprès de la CNIL est nécessaire en cas d’usage de vidéosurveillance.

S’agissant des usages privés, la CNIL a surtout un rôle d’information générale et d’éducation des internautes quant à leur utilisation des réseaux sociaux. Elle a émis plusieurs recommandations dans certains articles de son site afin de sensibiliser les citoyens sur ces pratiques et d’éviter les dérives.

En France, la reconnaissance faciale appliquée à la sécurisation des accès dans les entreprises ou dans les lieux publics est soumise à l’autorisation de la CNIL. Si l’application est mise en œuvre pour le compte de l’État, il faut un décret en Conseil d’État après un avis préalable de la commission. Au contraire, si l’application biométrique est limitée à un usage exclusivement personnel, elle ne sera pas soumise à la loi informatique et liberté (exemple : reconnaissance faciale qui sécurise l’accès aux ordinateurs domestiques, à un Smartphone).

Alors qu’en France, la surveillance globale est un concept toujours lointain, il existe à New York des caméras installées dans la ville qui permettent d’observer les citoyens et de pouvoir effectuer une analyse biométrique de leur visage afin de le comparer à une base de données dans un but de protection contre le terrorisme.

L’idée consiste à ce que les autorités puissent identifier toute personne marchant dans la rue est inquiétante et attentatoire à la vie privée. La législation devra sûrement s’adapter avec l’arrivée de ces nouvelles technologies telles que les lunettes connectées ou encore les drones .

La CNIL n’est donc pas opposée par principe à l’utilisation de la reconnaissance faciale, mais elle réclame que son utilisation s’accompagne d’une prise de conscience sur les dangers potentiels que pourrait représenter cette technologie.

A cet égard, en septembre 2018 elle avait appelé à la tenue d’un débat démocratique sur le sujet. Ce débat devait déboucher sur l’instauration de gardes fous pour préserver la sécurité des citoyens et empêcher que cet outil ne soit utilisé à mauvais escient. Elle demandait ainsi de trouver « un juste équilibre entre les impératifs de sécurisation notamment des espaces publics et la préservation des droits et libertés de chacun ».

Dans ce but, la CNIL a apporté, le 7 novembre 2019, une première contribution de méthode à ce débat et qui poursuit les quatre objectifs suivants :

  • La présentation technique de ce qu’est la reconnaissance faciale et à quoi elle sert.
  • La mise en lumière des risques technologiques, éthiques, sociétaux, liés à cette technologie.
  • Le rappel du cadre s’imposant aux dispositifs de reconnaissance faciale et à leurs expérimentations.
  • La précision du rôle de la CNIL dans l’éventuel déploiement de nouveaux dispositifs de reconnaissance faciale à titre expérimental. (2)

La CNIL a imposé, dans ce contexte, certaines exigences en matière de reconnaissance faciale pour concrétiser cet objectif. Elle tient donc à ce que les risques technologiques, éthiques et sociétaux que cette technologie comporte soient mis en lumière.

Elle demande en particulier aux acteurs ayant une activité dans le domaine de faire en sorte que son utilisation se fasse en toute transparence. Toutefois les risques liés à cette technologie sont si importants que la CNIL distingue entre ceux qui ne sont pas acceptables, car ils auraient des conséquences beaucoup trop importantes dans une société démocratique et ceux qui peuvent être assumés moyennant des garanties appropriées.

Elle exige de ce fait une étude d’impact avant toute utilisation de la reconnaissance faciale pour évaluer les dommages qu’elle pourrait causer. S’ils sont trop importants ou s’il n’existe aucun moyen pour s’assurer que les principes démocratiques seront préservés alors l’emploi de ce dispositif ne sera pas autorisé. Elle préconise donc une étude au cas par cas.

Selon la commission le respect des personnes doit être placé au cœur des systèmes utilisant la reconnaissance faciale. La CNIL réclame donc que les entreprises mettant cette technologie à disposition du public respectent les règles édictées par le RGPD notamment le recueil du consentement et la garantie du contrôle des données.

Récemment, la Présidente de la CNIL a adressé, le 18 février 2021, un avertissement à un club sportif en matière de reconnaissance faciale. Le club sportif en question envisageait de recourir à un système de reconnaissance faciale dans le but d’identifier automatiquement les personnes qui font l’objet d’une interdiction commerciale de stade.

En effet, en l’absence d’une disposition législative ou réglementaire spéciale, la mise en œuvre de ce dispositif de reconnaissance faciale par ce club sportif à des fins de « lutte antiterroriste » est considérée comme illicite. Ainsi, ce projet a été considéré par la CNIL comme non conforme au RGPD et à la loi informatique et liberté.

B) Rebondissements à l’échelle internationale

Dans de nombreux pays, des réflexions sur le sujet ont été menées. En mars 2012, le Groupe de travail « Article 29 sur la protection des données de l’Union européenne » a exprimé son opinion concernant la reconnaissance faciale dans les services en ligne et mobiles en vue d’une réflexion sur le cadre juridique approprié et de la formulation de recommandations. Ce groupe de travail mentionne l’absence de consentement, les mesures de sécurité insuffisantes et le fait que ces technologies pourraient sonner le glas de l’anonymat.

Il convient de rappeler qu’en avril 2012, le groupe de travail a rendu publique une opinion qui indique qu’il faut obtenir le consentement de l’intéressé pour stocker et utiliser des données biométriques. De ce fait, Facebook a été contraint de désactiver son système de reconnaissance faciale qui contrevenait aux lois sur la protection des données de l’UE et à supprimer les photos qu’il avait recueillies en Allemagne.

En outre, un avis commun sur la proposition de règlement de la Commission européenne sur l’intelligence artificielle a été rendu le 21 juin 2021. Dans cet avis, la CNIL européenne (European Data Protection Board) et l’European Data Protection Supervisor (EDPS) affirment leur volonté de vouloir interdire les outils de reconnaissance faciale dans l’espace public.

Andrea Jelinek, la présidente du comité européen de la protection des données, et Wojciech Wiewiórowski, CEPD ont déclaré que : « le déploiement de l’identification biométrique à distance dans les espaces accessibles au public signifie la fin de l’anonymat dans ces lieux. Les applications comme la reconnaissance faciale en direct interfèrent avec les droits et libertés fondamentaux dans une telle mesure qu’elles pourraient remettre en cause l’essence même de ces droits et libertés ». (5)

Également intéressée par ces questions, La Federal Trade Commission a rendu publiques des pratiques exemplaires (autorisation des clients) à l’intention des entreprises ayant recours aux technologies de détection des visages. D’ailleurs aux États-Unis, la reconnaissance faciale gagne de plus en plus de terrain. L’organisme d’audit du Congrès des États-Unis (Government Accountability Office (GAO)) a publié, le 24 août, un rapport selon parmi 24 agences interrogées, dix envisagent d’intensifier leur utilisation de la reconnaissance faciale d’ici 2023. (4)

En conclusion, il est incontestable que la reconnaissance faciale confère une nouvelle dimension à la surveillance du fait qu’elle permet d’identifier les individus beaucoup plus rapidement et aisément. Elle constitue l’un des enjeux majeurs de ces prochaines années face au développement de ces nouvelles technologies et d’autant plus avec l’arrivée de la géolocalisation.

Pour lire une version plus complète de cet article sur la reconnaissance faciale, cliquez

Sources :

Par • internet-et-droit • • Tags: , , ,

1 2 3

# Nos catégories juridiques

# Poser une question en ligne

Si vous avez une question précise à poser au cabinet d’avocats, dont vous ne trouvez pas la réponse sur le site, posez votre question en ligne.
La question sera alors payante et le montant est de 150 euros TTC. Paiement sécurisé par Paypal ou Crédit Mutuel »

# Nos articles avocat Paris

© Murielle Cahen Cabinet d’avocats Paris 2026
Powered by WordPress • Themify WordPress Themes