protection des données personnelles

Vidéosurveillance en ville : où se situe la limite avec votre vie privée ?

L’image captée par une caméra installée sur la voie publique est-elle une donnée personnelle ? Cette question, qui pourrait sembler d’ordre purement technique, engage en réalité les fondements mêmes du droit de la protection des données et conditionne l’ensemble du régime juridique applicable aux dispositifs de vidéosurveillance urbaine.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire et un avocat enverra une lettre de mise en demeure !

Car si la réponse est affirmative — et elle l’est, dans la très grande majorité des configurations pratiques —, alors la caméra de rue n’est pas un simple équipement sécuritaire : elle est un instrument de traitement de données personnelles, soumis à toutes les exigences du Règlement général sur la protection des données (RGPD), applicable depuis le 25 mai 2018, et susceptible à ce titre d’engager la responsabilité juridique du responsable du traitement qui ne respecterait pas ses obligations.

Cette qualification est d’autant plus décisive que la prolifération des dispositifs de captation d’images dans l’espace public a atteint, en France comme dans l’ensemble de l’Union européenne, une densité sans précédent. Plus de 80 000 caméras de vidéoprotection seraient déployées sur la voie publique française, auxquelles s’ajoutent des millions de dispositifs privés dont les champs de vision débordent fréquemment sur des espaces communs.

Dans ce contexte, la neutralité technique de la caméra — longtemps présentée comme un simple œil mécanique enregistrant objectivement la réalité de la rue — ne peut plus être admise sans examen. L’enregistrement d’une personne identifiable dans l’espace public constitue une opération de collecte de données personnelles au sens de l’article 4 du RGPD, et cette collecte engage l’ensemble de la chaîne d’obligations pesant sur le responsable du traitement : identification d’une base légale valide, respect des principes de finalité déterminée, de minimisation des données, de limitation de la conservation et de sécurité du traitement.

Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

La Commission nationale de l’informatique et des libertés (CNIL), autorité administrative indépendante chargée de veiller au respect du droit de la protection des données en France, a développé au fil des années une doctrine substantielle sur la vidéosurveillance, articulée autour des grands principes du RGPD. Ses lignes directrices, délibérations et décisions de sanction témoignent d’une exigence croissante à l’égard des responsables de traitement, qu’il s’agisse de collectivités territoriales, de gestionnaires de transports en commun, d’opérateurs de centres commerciaux ou de particuliers. Mais cette doctrine, aussi élaborée soit-elle, se heurte à la réalité d’un terrain où les obligations juridiques sont fréquemment méconnues ou contournées, et où la légitimité d’un dispositif de surveillance est souvent appréciée à l’aune de sa seule utilité sécuritaire, sans considération pour les droits des personnes filmées.

La Cour européenne des droits de l’homme avait pourtant, dès l’arrêt Peck contre Royaume-Uni du 28 janvier 2003, posé un principe essentiel : la présence d’une personne dans l’espace public n’emporte pas renonciation à toute protection de sa vie privée au sens de l’article 8 de la Convention européenne des droits de l’homme.

La diffusion d’images captées par une caméra publique sans le consentement de la personne filmée peut constituer une ingérence dans sa vie privée, sauf à justifier cette ingérence par une base légale suffisante, une finalité légitime et une nécessité démonstrative dans une société démocratique. Ce triptyque — légalité, légitimité, nécessité — constitue la matrice de tout contrôle de proportionnalité en matière de surveillance, et il s’applique avec la même rigueur à la vidéosurveillance classique et aux nouveaux dispositifs d’analyse algorithmique.

C’est précisément sur ce second terrain que la matière a connu ses développements les plus significatifs et les plus préoccupants. L’émergence des caméras dites augmentées, qui ne se bornent plus à enregistrer des images mais les analysent en temps réel pour détecter des comportements, qualifier des situations et déclencher des alertes, opère une mutation qualitative du dispositif de surveillance.

La loi n° 2023-380 du 19 mai 2023 relative aux Jeux olympiques et paralympiques de 2024 a ouvert, à titre expérimental, la voie à de tels traitements algorithmiques sur la voie publique française.

Le Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act), entré en vigueur le 2 août 2024, est venu compléter ce dispositif en posant des interdictions et des obligations renforcées pour les systèmes d’IA employés à des fins de surveillance dans les espaces accessibles au public, reconnaissant ainsi que la surveillance algorithmique de masse constitue un risque systémique pour les libertés fondamentales en Europe.

L’objet du présent article est d’examiner avec rigueur les fondements et les limites du cadre juridique applicable à la vidéosurveillance urbaine, en partant de la qualification juridique comme données personnelles des images captées dans l’espace public (I), pour analyser ensuite les régimes renforcés applicables aux dispositifs algorithmiques et les enjeux inédits qu’ils soulèvent pour la préservation des libertés fondamentales dans la cité numérique (II).

I. La vidéosurveillance urbaine saisie par le droit des données personnelles : qualification et régime juridique applicable

A. L’image de la personne filmée dans l’espace public comme donnée personnelle : fondements textuels, jurisprudentiels et doctrinaux de la qualification

La première question est celle de la qualification juridique. Une caméra installée sur la voie publique ou dans un lieu ouvert au public produit-elle nécessairement des données personnelles soumises au RGPD ? La réponse est nuancée mais, dans la grande majorité des configurations pratiques, affirmative.

Aux termes de l’article 4 du RGPD, constitue une donnée personnelle « toute information se rapportant à une personne physique identifiée ou identifiable ». Est identifiable « une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

L’image d’une personne filmée dans la rue entre aisément dans ce champ dès lors qu’elle permet d’identifier cette personne, soit directement par reconnaissance du visage, soit indirectement par recoupement avec d’autres informations telles que la localisation, l’horaire, la plaque d’immatriculation d’un véhicule ou le contexte du déplacement.

Le Comité européen de la protection des données (CEPD) a consacré ses lignes directrices 3/2019 sur le traitement des données personnelles par dispositifs vidéo à cette question. Il y précise que les images de personnes physiques captées par un dispositif vidéo constituent des données personnelles lorsqu’elles permettent l’identification de ces personnes et que le RGPD s’applique pleinement à de tels traitements. Le CEPD insiste par ailleurs sur le fait que, même lorsque le but initial d’un dispositif est uniquement statistique ou technique — comptage de personnes, mesure des flux — la captation d’images identifiables crée un risque de requalification ultérieure et doit être traitée avec les mêmes précautions que tout autre traitement de données personnelles.

La CNIL, dans sa fiche pratique consacrée à la vidéoprotection, distingue soigneusement les dispositifs de vidéoprotection au sens du Code de la sécurité intérieure — qui filment la voie publique et relèvent d’un régime d’autorisation préfectorale — des dispositifs de vidéosurveillance au sens du RGPD, qui traitent des données personnelles et relèvent du régime général de protection des données. Cette distinction est importante car elle montre que les deux corps de règles ne sont pas exclusifs l’un de l’autre : un dispositif peut simultanément être soumis au régime d’autorisation préfectorale et aux exigences du RGPD dès lors qu’il collecte des images de personnes identifiables.

La Cour européenne des droits de l’homme a posé des fondements essentiels dans sa jurisprudence. Dans l’affaire Peck contre Royaume-Uni, la Cour a jugé que le fait pour une personne d’être filmée dans la rue à un moment de vulnérabilité personnelle, puis que ces images soient diffusées à un large public sans son consentement, constituait une violation de l’article 8 de la Convention. La Cour a ainsi affirmé avec clarté que « la voie publique n’est pas un espace libre de droit » et que la personne qui circule dans la rue ne renonce pas, du seul fait de sa présence dans un espace visible, à toute protection de sa vie privée. Ce principe jurisprudentiel est capital : il interdit de traiter la caméra de rue comme un dispositif juridiquement indifférent.

Sur le plan doctrinal, le philosophe et sociologue David Lyon a montré que la surveillance moderne ne consiste pas simplement à observer des comportements, mais à collecter systématiquement des informations sur les individus afin de les classer, de les évaluer et, éventuellement, de les gouverner. Kevin D. Haggerty et Richard V. Ericson ont décrit la surveillance contemporaine comme un « assemblage surveillant » dans lequel des fragments d’informations extraits de contextes différents sont recombinés pour produire une représentation opérationnelle des personnes.

Daniel J. Solove a, quant à lui, élaboré une taxonomie des atteintes à la vie privée qui souligne que la simple collecte et l’agrégation d’informations peuvent constituer une atteinte grave à la vie privée, même en l’absence de divulgation ou d’usage ultérieur préjudiciable.

La rupture essentielle entre le regard humain et l’enregistrement technique mérite d’être soulignée avec force. Voir quelqu’un dans la rue et l’enregistrer ne sont pas des actes juridiquement équivalents. Le regard humain est fugitif et s’efface dans la mémoire ; la caméra conserve, archive et rend l’information mobilisable à tout moment.

Le passant qui croise une personne dans la rue l’oublie ; le système de vidéosurveillance en conserve la trace pour une durée déterminée, parfois longue, accessible à des agents habilités, potentiellement transmissible à des autorités judiciaires et, dans les systèmes les plus sophistiqués, susceptible d’être analysée automatiquement. La caméra transforme ainsi une présence ordinaire dans l’espace public en trace exploitable, ce qui justifie pleinement l’application du droit de la protection des données.

La qualification de traitement de données personnelles emporte des conséquences majeures : le responsable du traitement doit identifier une base légale valide parmi celles énumérées par l’article 6 du RGPD, informer les personnes concernées de l’existence du traitement, de sa finalité et de leurs droits, limiter la collecte aux données strictement nécessaires, encadrer la durée de conservation des images, garantir la sécurité du système et maintenir un registre des traitements. Ces obligations, qui s’imposent à tout responsable de traitement, constituent le socle juridique indérogeable de tout dispositif de vidéosurveillance légitime.

B. Les obligations du responsable de traitement : bases légales, finalités, proportionnalité et droits des personnes concernées

La question de la légitimité d’un dispositif de vidéosurveillance ne se réduit pas à l’identification d’une base légale formelle. Elle exige une appréciation substantielle fondée sur les principes de finalité déterminée, de nécessité démontrée, de proportionnalité spatiale et temporelle et de transparence effective à l’égard des personnes concernées.

Le principe de finalité, consacré par l’article 5, paragraphe 1, sous b), du RGPD, exige que les données soient collectées pour des finalités déterminées, explicites et légitimes. Appliqué à la vidéosurveillance, ce principe interdit le déploiement de caméras à des fins vagues, génériques ou indéfinies. Dire qu’une caméra est installée pour « assurer la sécurité » sans préciser de quel type de risque il s’agit, dans quel périmètre, selon quels critères et avec quelles garanties pour les personnes filmées, ne constitue pas une finalité suffisamment déterminée au sens du RGPD. La CNIL insiste sur ce point : la finalité doit être documentée, précise et opposable.

Le Code de la sécurité intérieure, en son article L251-2, énumère les finalités pour lesquelles des systèmes de vidéoprotection peuvent filmer la voie publique : protection des bâtiments et installations publics et de leurs abords, sauvegarde des installations utiles à la défense nationale, régulation des flux de transport, prévention des atteintes à la sécurité des personnes et des biens dans des lieux exposés à des risques d’agression ou de vol, prévention et constatation des infractions terroristes, et constatation de certaines infractions routières. Cette énumération limitative montre que la caméra de voie publique n’est pas un instrument à vocation universelle : elle ne peut être légalement déployée qu’en correspondance avec une finalité expressément prévue par la loi.

Le principe de nécessité impose une démonstration positive : il ne suffit pas qu’une caméra soit utile ou techniquement possible ; il faut établir qu’elle répond à un besoin réel et qu’aucune mesure moins intrusive ne permet d’atteindre le même objectif de manière raisonnablement équivalente. La CNIL invite ainsi les responsables de traitement à se demander si des alternatives moins attentatoires à la vie privée — meilleur éclairage, présence humaine renforcée, contrôle d’accès, sécurisation matérielle — ne permettraient pas d’atteindre le même niveau de sécurité. Ce test de nécessité est exigeant et souvent négligé dans les faits, au profit d’un pragmatisme sécuritaire qui tend à voir dans la caméra une solution universelle et peu coûteuse.

La proportionnalité spatiale est également un critère décisif. L’orientation de la caméra doit être rigoureusement limitée à l’espace correspondant à la finalité déclarée. Filmer l’entrée d’un immeuble n’autorise pas à capter les fenêtres des appartements voisins, les balcons, la voie publique ou les véhicules stationnés. La CNIL rappelle ainsi qu’un particulier peut installer une caméra pour surveiller sa propriété, mais que celle-ci ne peut filmer la voie publique, les entrées d’immeubles voisins ou les espaces communs. Ce principe exprime une règle fondamentale : la sécurité privée ne justifie pas l’appropriation visuelle de l’espace partagé.

La proportionnalité temporelle impose une limitation stricte de la durée de conservation des images. Plus cette durée est longue, plus le risque de détournement d’usage, d’accès non autorisé ou d’exploitation secondaire est élevé. Le RGPD, en son article 5, paragraphe 1, sous e), pose le principe de limitation de la conservation : les données ne doivent pas être conservées plus longtemps que nécessaire au regard des finalités poursuivies. En matière de vidéosurveillance, la CNIL recommande généralement une durée de conservation maximale d’un mois pour les images de voie publique en l’absence d’incident signalé, durée pouvant être réduite à quelques jours dans de nombreux cas. Au-delà de cette durée, la conservation doit être spécialement justifiée.

La transparence constitue enfin une condition de loyauté à l’égard des personnes concernées. L’article 13 du RGPD impose d’informer les personnes concernées de l’identité du responsable du traitement, de la finalité et de la base légale du traitement, de la durée de conservation, de l’existence de leurs droits d’accès, de rectification, d’effacement, de limitation et d’opposition, ainsi que de la possibilité de saisir la CNIL en cas de difficulté. Un simple pictogramme de caméra posé sur une vitre ne satisfait pas à cette obligation d’information complète. Des mentions d’information accessibles, claires et compréhensibles doivent être affichées à l’entrée des zones filmées.

La jurisprudence européenne offre des repères précieux pour l’appréciation de la proportionnalité. Dans l’affaire López Ribalda et autres contre Espagne, la Grande Chambre de la Cour européenne des droits de l’homme a examiné la compatibilité d’un dispositif de vidéosurveillance occulte mis en place par un employeur avec l’article 8 de la Convention. Elle a admis, dans des circonstances très particulières caractérisées par l’existence de soupçons sérieux et précis de vol, que la surveillance cachée pendant une durée limitée pouvait ne pas violer la Convention, dès lors qu’un contrôle judiciaire effectif permettait d’apprécier ex post la proportionnalité de la mesure. Mais la Cour a pris soin de souligner que cette décision ne consacre aucune liberté générale de surveiller : elle confirme au contraire que la légitimité d’un dispositif dépend du contexte précis, de la gravité du motif, de l’étendue de la surveillance, de sa durée et des garanties offertes aux personnes.

Le Conseil d’État français a tracé des limites importantes dans ses ordonnances du 18 mai 2020 et du 22 décembre 2020, rendues à la suite de recours de l’association La Quadrature du Net. Saisi de la question de la légalité de la captation d’images par drones au-dessus de manifestations publiques, le Conseil d’État a jugé que la surveillance de personnes identifiables dans l’espace public par des dispositifs aéroportés supposait une base juridique précise, une finalité déterminée et des garanties suffisantes pour les personnes filmées. À défaut, l’usage de ces dispositifs était illégal. Ce raisonnement est directement transposable à l’ensemble des dispositifs de vidéosurveillance : la technologie ne crée pas le droit de surveiller.

L’analyse d’impact relative à la protection des données (AIPD), prévue par l’article 35 du RGPD, constitue un outil indispensable pour les dispositifs de vidéosurveillance susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Elle oblige le responsable du traitement à évaluer systématiquement les risques liés au traitement et à documenter les mesures prises pour y remédier. La CNIL a précisé que les dispositifs couvrant de vastes espaces publics, interceptant en continu des données relatives à un grand nombre de personnes non averties ou comportant des capacités d’analyse automatisée doivent en principe faire l’objet d’une AIPD préalable à leur mise en œuvre.

II. Les dispositifs algorithmiques d’analyse d’image : rupture qualitative et encadrement renforcé

A. La loi du 19 mai 2023 et l’expérimentation des caméras augmentées : portée, limites et risques pour les libertés fondamentales

Le déploiement de caméras dotées de capacités d’analyse algorithmique automatisée dans l’espace public constitue une rupture qualitative majeure par rapport à la vidéosurveillance classique. Alors que la caméra traditionnelle se borne à enregistrer et à stocker des images, qui ne sont consultées qu’a posteriori et uniquement par des agents habilités, la caméra augmentée analyse en temps réel les flux vidéo pour détecter automatiquement des événements prédéfinis, qualifier des comportements et générer des alertes. Le passage de l’enregistrement passif à l’interprétation algorithmique active transforme fondamentalement la nature du traitement et le niveau de risque pour les libertés fondamentales.

La CNIL a défini les caméras augmentées comme « des dispositifs vidéo auxquels sont ajoutés des traitements algorithmiques d’analyse automatisée d’images », précisant qu’elles peuvent détecter des comportements, des mouvements, des objets ou des situations sans nécessairement identifier les individus filmés. Cette définition inclusive est importante : elle reconnaît que l’analyse algorithmique constitue un traitement de données personnelles distinct et supplémentaire par rapport à la simple captation, même lorsque les individus ne sont pas formellement identifiés, dès lors que leur comportement fait l’objet d’une qualification automatisée.

La loi n°2023-380 du 19 mai 2023 relative aux Jeux olympiques et paralympiques de 2024, en son article 10, a ouvert la voie à une expérimentation inédite en droit français.

Elle a autorisé, à titre temporaire et expérimental, le recours à des systèmes de traitement algorithmique d’images collectées par des systèmes de vidéoprotection ou des caméras installées sur des aéronefs aux fins de détecter en temps réel certains événements prédéterminés susceptibles de présenter ou de révéler des risques. Cette autorisation est encadrée par des conditions strictes : les finalités autorisées sont limitativement énumérées, les systèmes doivent être déclarés à la CNIL préalablement à leur mise en œuvre, ils ne peuvent procéder à aucune identification biométrique, et des garanties procédurales et techniques précises doivent être respectées.

Le décret n°2023-828 du 28 août 2023 a précisé les modalités de mise en œuvre de cette expérimentation. Il définit les catégories d’événements dont la détection est autorisée — mouvements de foule, présence d’objets abandonnés, franchissement de zones, situations de non-respect de la direction de circulation — et précise les garanties techniques et organisationnelles devant entourer leur traitement. Il prévoit notamment que les systèmes doivent faire l’objet d’une évaluation préalable par la CNIL et que les résultats des analyses algorithmiques ne peuvent en aucun cas servir de base directe et exclusive à des décisions administratives ou judiciaires affectant les personnes détectées.

Le Conseil constitutionnel, saisi de la conformité de cette disposition à la Constitution, a rendu sa décision n°2023-850 DC le 17 mai 2023. Il a validé l’essentiel du dispositif, en soulignant son caractère expérimental et limité dans le temps, l’interdiction absolue de toute identification biométrique, la finalité strictement définie des événements déclectables et l’existence de garanties de contrôle. Il a également précisé que le législateur devrait évaluer les résultats de cette expérimentation avant de décider d’une éventuelle généralisation, imposant ainsi une logique de proportionnalité dynamique : le maintien ou l’extension du dispositif est conditionné à la démonstration de son utilité et de sa nécessité effective.

Cette expérimentation française soulève néanmoins des questions de fond qui demeurent ouvertes. La définition des événements délectables repose sur des paramètres algorithmiques qui ne sont pas publics, ce qui rend difficile tout contrôle démocratique sur les critères de détection. La notion de « comportement atypique » ou de « mouvement de foule » est fondamentalement ambiguë et culturellement indexée : ce qui est perçu comme anormal par un algorithme entraîné sur certains corpus de données peut correspondre à des pratiques sociales ordinaires pour certaines communautés. Le risque de biais discriminatoire dans les systèmes d’analyse comportementale est documenté par la recherche scientifique et reconnu par les autorités de contrôle européennes.

La Commission nationale consultative des droits de l’homme (CNCDH) a émis un avis critique sur cette expérimentation, soulignant le risque d’une normalisation progressive de la surveillance algorithmique de l’espace public et appelant à une vigilance accrue quant au risque d’effet dissuasif sur l’exercice des libertés fondamentales — liberté de manifestation, liberté d’association, liberté de mouvement — que peut produire un environnement urbain densément surveillé et algorithmiquement analysé.

L’association La Quadrature du Net, pionnière dans le contentieux relatif à la surveillance numérique, a formé un recours devant le Conseil d’État contre les textes d’application de l’expérimentation olympique, contestant notamment l’insuffisance des garanties entourant le fonctionnement des algorithmes et l’absence de transparence sur les taux d’erreur des systèmes utilisés. Ce contentieux illustre le rôle croissant des organisations de la société civile dans la régulation effective de la surveillance technologique, face aux insuffisances des mécanismes de contrôle institutionnels.

B. L’AI Act et la Convention-cadre du Conseil de l’Europe : vers un corpus normatif européen et international de la surveillance intelligente

L’entrée en vigueur du Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle marque une étape décisive dans la construction d’un régime juridique européen de l’intelligence artificielle appliquée à la surveillance. Ce règlement, fondé sur une approche par les risques, distingue les systèmes d’IA interdits, les systèmes à haut risque soumis à des obligations renforcées et les systèmes à risque limité ou minimal bénéficiant d’un régime allégé.

Son article 5 énumère les pratiques d’IA dont l’utilisation est absolument interdite, au motif qu’elles sont incompatibles avec les valeurs fondamentales de l’Union européenne. Parmi ces interdictions figure, dans des termes d’une extrême sévérité, le recours à des systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives. Seules des dérogations strictement encadrées sont admises, en cas de recherche d’une victime spécifique, de prévention d’une menace terroriste grave et imminente ou de localisation d’un suspect dans le cadre d’une infraction pénale particulièrement grave. Ces dérogations sont soumises à autorisation judiciaire préalable, à des critères de nécessité et de proportionnalité, et à un contrôle a posteriori obligatoire.

Cette interdiction de principe de la reconnaissance faciale de masse dans l’espace public constitue l’un des apports les plus significatifs de l’AI Act pour la protection des libertés fondamentales en Europe. Elle prend acte du risque systémique que représente la possibilité d’identifier automatiquement toute personne circulant dans un espace public : un tel dispositif permettrait théoriquement de reconstituer en temps réel les déplacements, les fréquentations, les habitudes et les activités de millions de personnes, créant ainsi une infrastructure de surveillance totale incompatible avec les exigences d’une société démocratique.

Les systèmes d’IA utilisés pour l’évaluation des risques ou la prédiction des comportements individuels, ainsi que les systèmes d’analyse comportementale dans des espaces publics, sont classés parmi les systèmes à haut risque en vertu de l’Annexe III de l’AI Act. Ils sont soumis à des obligations substantielles : documentation technique complète et mise à jour, enregistrement automatique des opérations permettant un audit a posteriori, transparence accrue à l’égard des personnes concernées, supervision humaine effective, précision, robustesse et cybersécurité garanties, et conformité aux exigences fondamentales avant la mise sur le marché.

Les autorités de surveillance désignées par chaque État membre pour l’application de l’AI Act devront coordonner leur action avec les autorités de protection des données, créant ainsi un réseau de contrôle croisé entre les régimes issus du RGPD et de l’AI Act. Cette articulation institutionnelle est essentielle pour éviter les angles morts réglementaires que des responsables de traitement peu scrupuleux pourraient tenter d’exploiter en se prévalant alternativement de l’un ou de l’autre régime.

Sur le plan international, la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle, les droits de l’homme, la démocratie et l’État de droit, ouverte à la signature le 5 septembre 2024, constitue le premier instrument juridique contraignant sur l’IA au niveau mondial. Elle s’applique aux activités du cycle de vie des systèmes d’IA qui présentent des risques pour les droits de l’homme, la démocratie et l’État de droit, réalisées par des Parties ou des acteurs privés agissant en leur nom. Elle impose aux États parties d’adopter les mesures législatives ou autres nécessaires pour s’assurer que les activités liées aux systèmes d’IA sont compatibles avec les obligations relatives aux droits de l’homme et ne portent pas atteinte aux institutions et aux processus démocratiques.

La convention prévoit des garanties spécifiques pour les personnes affectées par des systèmes d’IA : droit à une procédure régulière, droit à des recours effectifs, interdiction des décisions entièrement automatisées qui auraient des effets juridiques significatifs sans supervision humaine adéquate. Ces principes s’appliquent directement aux systèmes de vidéosurveillance algorithmique dans la mesure où ceux-ci sont susceptibles de conduire à des décisions opérationnelles affectant concrètement les personnes détectées — interpellation, contrôle d’identité, refus d’accès, signalement à des autorités.

La réflexion doctrinale sur les risques psycho-juridiques de la surveillance algorithmique de l’espace public mérite d’être prise au sérieux. Michel Foucault avait montré, dans sa célèbre analyse du panoptique de Bentham, que la surveillance agit moins par l’observation effective que par l’intériorisation de la possibilité d’être observé : l’individu placé sous le regard potentiel d’un surveillant modifie spontanément son comportement pour se conformer aux normes attendues. Dans la ville algorithmiquement surveillée, ce mécanisme prend une dimension nouvelle : l’individu ne sait pas s’il est simplement filmé, enregistré, identifié ou automatiquement qualifié comme suspect. Cette incertitude produit un effet dissuasif sur l’exercice des libertés fondamentales que le droit doit prendre en compte.

Shoshana Zuboff a analysé, dans son ouvrage fondateur sur le capitalisme de surveillance, les logiques d’extraction, de prédiction et de modification des comportements qui caractérisent les économies numériques contemporaines. Même si son analyse vise principalement les plateformes numériques commerciales, elle éclaire le risque inhérent à la surveillance algorithmique de l’espace public : lorsque les comportements humains dans la rue deviennent systématiquement captables, analysables et prédictibles, la frontière entre sécurité publique, gestion sociale et gouvernement algorithmique des comportements devient extrêmement fragile.

Le droit de la protection des données impose en outre, pour tout dispositif de vidéosurveillance augmentée, la mise en œuvre effective du principe de protection des données dès la conception (privacy by design) et par défaut (privacy by default), consacré par l’article 25 du RGPD. Ce principe exige que les paramètres techniques des systèmes soient réglés, dès leur conception, de manière à minimiser la collecte de données, à réduire au maximum l’angle de captation, à ne conserver que les images strictement nécessaires, à chiffrer les flux vidéo, à journaliser tous les accès et à automatiser la suppression des enregistrements à l’expiration de la durée de conservation autorisée. La sécurité par défaut s’oppose à la surveillance par défaut.

En définitive, le droit européen et français dessine progressivement un corpus normatif cohérent pour encadrer la vidéosurveillance algorithmique de l’espace public. Ce corpus repose sur quatre piliers : le RGPD et ses exigences de licéité, de finalité, de nécessité, de proportionnalité et de transparence ; le Code de la sécurité intérieure et ses régimes d’autorisation spécifiques pour la vidéoprotection de la voie publique ; l’AI Act et ses interdictions et obligations renforcées pour les systèmes d’IA à haut risque ; et la Convention-cadre du Conseil de l’Europe sur l’IA, qui inscrit ces exigences dans une perspective internationale de protection des droits fondamentaux. La complémentarité de ces instruments constitue une force mais aussi une source potentielle de complexité qui nécessitera un effort constant d’articulation et d’interprétation cohérente de la part des autorités compétentes.

Pour lire une version plus complète de cet article sur la video surveillance en ville, cliquez

Sources :

  1. Règlement – 2016/679 – EN – rgdp – EUR-Lex
  2. Particulier | CNIL
  3. CEDH, Cour (quatrième section), AFFAIRE PECK c. ROYAUME-UNI, 28 janvier 2003, 44647/98 | Doctrine
  4. La Convention européenne des droits de l’homme (version intégrale) – Manuel pour la pratique de l’éducation aux droits de l’homme avec les jeunes
  5. Règlement – UE – 2024/1689 – EN – EUR-Lex
  6. La vidéoprotection | CNIL
  7. (PDF) L’Assemblage de la Surveillante
  8. « Une taxonomie de la vie privée » par Daniel J. Solove
  9. Article L251-2 – Code de la sécurité intérieure – Légifrance
  10. CEDH, AFFAIRE LÓPEZ RIBALDA ET AUTRES c. ESPAGNE, 2019, 001-197095
  11. LOI n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions (1) – Légifrance
  12. Décision n° 2023-850 DC du 17 mai 2023 | Conseil constitutionnel

Par • internet-et-droit • • Tags: , , , , , ,

Condamnation réhabilitée : le Tribunal de Paris impose à un média de modifier un article ancien

Depuis plus d’une décennie, la confrontation entre droit à l’oubli et liberté de la presse s’impose comme l’un des enjeux majeurs du droit européen de l’information. Les juges nationaux et européens sont appelés à concilier deux principes de même valeur :

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

D’une part, la liberté d’expression et d’information, garantie par l’article 11 de la Déclaration des droits de l’homme et du citoyen (1789) et par l’article 10 de la Convention européenne des droits de l’homme (CEDH) ;

et d’autre part, le droit au respect de la vie privée et à la protection des données personnelles, consacrés par l’article 8 de la CEDH et par le Règlement général sur la protection des données (RGPD), notamment à travers ses articles 4, 10, 17 et 21.

C’est dans cette tension entre mémoire et oubli qu’intervient une décision importante du Tribunal judiciaire de Paris (17ᵉ chambre civile – presse), rendue le 10 septembre 2025, dans le litige opposant [O] [W], homme d’affaires surnommé « baron de la bourse », à la société éditrice du journal La Tribune .

Besoin de l’aide d’un avocat pour un problème de droit à l’oubli ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

En 2016, le média avait publié un article intitulé « HiMedia : le camp [B] lâche des boules puantes contre [O] [W] », évoquant un conflit d’actionnaires et mentionnant une condamnation pénale de 2011 pour publicité mensongère.

Or, cette condamnation avait été réhabilitée en 2021, conformément aux articles 133-11 à 133-16 du Code pénal.

S’appuyant sur le droit à l’oubli, reconnu par la CJUE dans l’arrêt Google Spain (2014), et sur la protection des données pénales sensibles prévue à l’article 10 du RGPD, [O] [W] demandait la suppression ou la modification de l’article.

La Tribune, de son côté, invoquait la liberté de la presse et l’intérêt du public à être informé sur le passé d’un acteur financier influent.

Le tribunal, optant pour une solution d’équilibre, a ordonné la suppression des passages relatifs à la condamnation, mais le maintien de l’article, consacrant ainsi une conciliation subtile entre liberté d’informer et droit à la réinsertion.

I – Les fondements d’un équilibre fragile entre information et réhabilitation

A – Liberté d’expression et mémoire journalistique : un droit à la transparence publique

Le droit à l’oubli découle du droit à la protection des données personnelles et du respect de la vie privée.

  • Fondements européens :
  • Article 8 de la Convention européenne des droits de l’homme (droit au respect de la vie privée)
  • Article 8 de la Charte des droits fondamentaux de l’Union européenne (protection des données personnelles)
  • Règlement général sur la protection des données (RGPD) :
  • Le RGPD consacre le droit à l’effacement (article 17), dit droit à l’oubli, permettant à une personne d’obtenir la suppression de données la concernant, lorsque leur maintien porte atteinte à ses droits fondamentaux.
  • Les données relatives aux condamnations pénales sont protégées de manière renforcée (article 10 RGPD).

Reconnaissance jurisprudentielle du droit à l’oubli : arrêt Google Spain (CJUE, 2014)

Cet arrêt impose à Google de déréférencer certains résultats lorsqu’ils sont obsolètes, inexacts ou attentatoires aux droits de la personne, même si les contenus restent accessibles sur le site source.

B – Le droit à l’oubli et la réhabilitation : vers une protection renouvelée de la dignité individuelle

  • Fondements de la liberté d’expression :
  • Article 11 de la Déclaration des droits de l’homme et du citoyen (1789)
  • Article 10 de la Convention européenne des droits de l’homme (liberté d’expression et d’information)
  • Valeur démocratique de l’information et rôle de la presse :

La presse doit pouvoir informer librement sur les faits d’actualité, les personnes influentes, les affaires économiques ou judiciaires, dès lors que cela répond à un intérêt légitime du public.

  • Protection des archives journalistiques :

La jurisprudence considère que les archives de presse constituent une mémoire historique et ne doivent être modifiées qu’exceptionnellement.

  • Arrêt CEDH, Hurbain c. Belgique, 4 juillet 2023

La Cour admet que l’on puisse imposer l’anonymisation d’un article ancien, mais uniquement si :

  • L’information n’a plus d’intérêt public,
  • elle porte gravement atteinte à la réputation de la personne,
  • et aucune autre solution moins intrusive n’est possible.
  • Principe d’équilibre entre droits fondamentaux :

Le juge doit constamment mettre en balance :

  • la liberté de la presse et le droit du public à être informé ;
  • avec le droit à la vie privée, la protection des données et la réhabilitation.

Cet équilibre est au cœur de la jurisprudence de la CEDH (articles 8 et 10) et du RGPD (article 17 §3).

II – La décision du Tribunal judiciaire de Paris : illustration d’une conciliation pragmatique

A – La mise en balance opérée par le juge : critères de proportionnalité et intérêt public actuel

Position du demandeur ([O] [W])

[O] [W], homme d’affaires, conteste la présence dans un article de La Tribune (publié en 2016) d’une mention concernant sa condamnation pénale de 2011. Il invoque :

  • Droit à l’oubli et protection des données personnelles :
  • Article 17 du RGPD (droit à l’effacement)
  • Article 8 CEDH (vie privée)
  • Réhabilitation pénale acquise en 2021 :
  • Articles 133-11 à 133-16 du Code pénal

Selon lui, cette réhabilitation efface juridiquement la condamnation, rendant injustifié son maintien dans l’article.

  • Absence d’intérêt actuel pour le public :
  • Les faits remontent à plus de 14 ans.
  • L’article apparaît encore dans les résultats de recherche Google lorsqu’on tape son nom.
  • Position de La Tribune

La rédaction de La Tribune refuse toute suppression totale de l’article et invoque :

  • Liberté de la presse et d’informer :
  • Article 10 CEDH
  • Article 11 de la Déclaration des droits de l’homme
  • Intérêt du public à connaître les antécédents d’un acteur économique influent, surtout dans un conflit d’actionnaires (affaire HiMedia/AdUX)
  • Protection des archives journalistiques :
  • Jurisprudence CEDH, Hurbain c. Belgique, 2023

Ils soutiennent que modifier des archives ne peut être qu’exceptionnel.

Mise en balance par le tribunal

Le Tribunal judiciaire de Paris suit la méthode imposée par la CEDH (arrêt Hurbain) :

 

Éléments examinés

 

 Appréciation du tribunal

 
Ancienneté des faits

 

 Condamnation de 2011, article de 2016 : ancienneté importante.

 
Réhabilitation

 

 Effet juridique réel : la société ne doit plus l’associer indéfiniment à cette condamnation.

 
Notoriété du demandeur

 

 Personnalité du monde financier, mais pas figure politique nationale.

 
Intérêt public actuel

 

  

Conflit HiMedia n’est plus d’actualité en 2025.

 
 

Préjudice potentiel

 

 La mention est accessible via Google → atteinte durable à sa réputation.

 

 

Conclusion : l’information peut rester dans les archives, mais les passages relatifs à la condamnation doivent être retirés.

B – La portée de la décision : affirmation d’un droit à l’oubli “sélectif” et consolidation de la liberté de la presse

Décision du Tribunal judiciaire de Paris (10 septembre 2025)

  • Pas de suppression intégrale de l’article, car cela porterait une atteinte excessive à la liberté de la presse.
  • Obligation pour La Tribune de retirer ou anonymiser les passages évoquant la condamnation pénale de 2011.
  • Délai : 15 jours après le caractère définitif du jugement.
  • Pas d’atteinte à l’intégrité des archives sur les faits économiques eux-mêmes (affaire HiMedia/AdUX).

Justification juridique

Cette décision repose sur :

  • Article 17 §3 RGPD : l’effacement ne s’applique pas lorsque la conservation est nécessaire à la liberté d’information.
  • Arrêt Hurbain c. Belgique (CEDH, 2023) : modification ciblée légitime si l’information ancienne porte atteinte à une personne réhabilitée.

Réhabilitation pénale est le droit à ne plus être associé publiquement à des faits effacés juridiquement.

Portée et conséquences

  • Pour la presse :
  • Les archives restent protégées.
  • Mais une modification ciblée est possible en cas de condamnation ancienne et réhabilitée.
  • Pour les personnes condamnées puis réhabilitées :
  • Elles peuvent obtenir la suppression partielle d’archives si la mention devient disproportionnée.
  • Ce droit n’efface pas l’histoire, mais limite sa diffusion nuisible.
  • Pour l’équilibre des droits fondamentaux :
  • Nouvelle illustration d’une conciliation entre article 10 CEDH (liberté de la presse) et article 8 CEDH (vie privée).
  • Confirmation de la jurisprudence européenne et française en matière de droit à l’oubli “nuancé”.

Pour lire un article plus complet sur le droit à l’oubli et la presse, cliquez

Sources :

  1. Loi n° 84-1208 du 29 décembre 1984 de finances pour 1985 – Légifrance
  2. European Convention on Human Rights
  3. Tribunal Judiciaire de Paris, 17e chambre presse civile, 10 septembre 2025, n° 24/01823 | Doctrine
  4. Section 3 : De l’amnistie (Articles 133-9 à 133-11) – Légifrance
  5. https://curia.europa.eu/juris/document/document.jsf?docid=152065&doclang=FR
  6. Article 10 RGPD : tout savoir sur les données pénales

Par • internet-et-droit • • Tags: , , , , ,

La protection des données dans les contrats de services informatiques transfrontaliers

L’évolution rapide des technologies de l’information et de la communication a transformé le paysage des services informatiques, permettant aux entreprises de fournir des services et de stocker des données à l’échelle mondiale. Cependant, cette expansion transfrontalière des services informatiques a soulevé des préoccupations majeures en matière de protection des données personnelles.  

NOUVEAU : Utilisez nos services pour faire rédiger un contrat en passant par le formulaire !

La protection des données est un sujet brûlant dans le monde d’aujourd’hui, et les lois sur la protection des données sont de plus en plus strictes pour garantir la confidentialité et la sécurité des informations personnelles. Cela a des implications significatives pour les contrats de services informatiques transfrontaliers, car ils impliquent souvent la collecte, le stockage et le traitement de données personnelles.

L’application des lois sur la protection des données dans les contrats de services informatiques transfrontaliers pose des défis uniques. Tout d’abord, il y a souvent une différence entre les lois sur la protection des données des pays d’origine et ceux du pays où les services sont fournis. Cela crée une tension entre la nécessité de se conformer aux lois du pays d’origine et celle de respecter les lois du pays d’accueil.

De plus, les contrats de services informatiques transfrontaliers impliquent souvent plusieurs parties, dont certaines peuvent être situées dans des pays différents. Cela complique davantage l’application des lois sur la protection des données, car chaque pays peut avoir ses propres règles et réglementations en matière de protection des données.

En outre, les lois sur la protection des données évoluent rapidement, ce qui rend difficile la mise en conformité des contrats de services informatiques transfrontaliers sur le long terme. Les entreprises doivent être constamment vigilantes et s’adapter aux nouvelles lois et réglementations pour éviter les sanctions potentielles et les atteintes à la réputation.

Pour faire face à ces défis, les entreprises doivent adopter une approche proactive en matière de protection des données dans les contrats de services informatiques transfrontaliers. Cela implique de mener des évaluations approfondies de la conformité aux lois sur la protection des données, de mettre en place des mesures de sécurité robustes pour protéger les informations personnelles, et d’établir des mécanismes clairs de responsabilité et de gouvernance des données.

Besoin de l’aide d’un avocat pour un problème de contrat?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

L’application des lois sur la protection des données dans les contrats de services informatiques transfrontaliers est un défi complexe mais essentiel. Les entreprises doivent être conscientes des réglementations en vigueur dans les pays concernés, mettre en place des mesures de conformité efficaces et être prêtes à s’adapter aux évolutions législatives. En agissant de manière proactive, les entreprises peuvent non seulement se conformer aux lois sur la protection des données, mais aussi gagner la confiance des clients et préserver leur réputation dans un monde de plus en plus axé sur la confidentialité et la sécurité des données.

I. Pourquoi protéger les données personnelles ?

A. Contexte général

Dans le contexte général de l’application des lois sur la protection des données personnelles dans les contrats de services informatiques transfrontaliers, il est essentiel de comprendre que les données personnelles sont devenues un enjeu majeur dans l’économie numérique mondiale. Avec la numérisation croissante des services et des échanges transfrontaliers, les entreprises doivent se conformer à un ensemble complexe de réglementations sur la protection des données pour assurer la confidentialité et la sécurité des informations personnelles de leurs utilisateurs.

Les contrats de services informatiques transfrontaliers impliquent souvent le transfert de données à caractère personnel entre différentes juridictions, ce qui soulève des défis en matière de conformité aux lois nationales et internationales sur la protection des données. Cela nécessite une attention particulière aux clauses contractuelles, aux mécanismes de transfert de données et aux mesures de sécurité pour garantir le respect des droits des individus et éviter les risques associés à la non-conformité.

B. L’importance de la protection des données personnelles dans les services informatiques transfrontaliers

L’importance de la protection des données personnelles dans les services informatiques transfrontaliers ne peut être sous-estimée. Les données personnelles sont des informations sensibles qui peuvent révéler des détails intimes sur les individus, tels que leur identité, leurs préférences, leurs habitudes d’achat et leur historique médical.

La collecte, le traitement et le stockage de ces données nécessitent une attention particulière pour garantir la confidentialité et la sécurité des personnes concernées.

Tout d’abord, la protection des données personnelles est un droit fondamental. Les individus ont le droit de contrôler leurs propres informations personnelles et de décider comment elles sont utilisées.

Les lois sur la protection des données ont été mises en place pour garantir que les entreprises respectent ces droits et traitent les données personnelles de manière éthique et légale. De plus, la protection des données personnelles est essentielle pour maintenir la confiance des utilisateurs et des clients.

Les violations de données et les atteintes à la vie privée peuvent avoir des conséquences graves pour les individus concernés, tant sur le plan financier que sur le plan émotionnel. Les entreprises qui ne parviennent pas à protéger les données personnelles risquent de perdre la confiance de leurs clients et de leur réputation. Dans le contexte des services informatiques transfrontaliers, où les données peuvent être transférées entre différents pays, il est d’autant plus important de garantir la protection des données personnelles.

Les lois sur la protection des données varient d’un pays à l’autre, ce qui rend complexe la mise en conformité avec les réglementations dans chaque juridiction. Les entreprises doivent donc être conscientes des exigences légales dans chaque pays où elles opèrent et prendre les mesures nécessaires pour garantir la conformité.

En outre, les services informatiques transfrontaliers peuvent impliquer le traitement de données sensibles dans des secteurs tels que la santé, les finances et les ressources humaines. Ces données nécessitent une protection accrue en raison de leur nature sensible et de leur potentiel d’impact sur la vie des individus. La violation de la confidentialité de ces données peut entraîner des conséquences graves, y compris des préjudices physiques, financiers ou psychologiques. Enfin, la protection des données personnelles est également importante d’un point de vue éthique. Les entreprises ont la responsabilité de traiter les données personnelles de manière équitable et transparente, en respectant les principes de minimisation des données, de finalité spécifique et de sécurité. Cela implique de mettre en place des mesures de sécurité appropriées pour prévenir les accès non autorisés, les pertes ou les fuites de données.

En somme, la protection des données personnelles dans les services informatiques transfrontaliers est essentielle pour respecter les droits fondamentaux des individus, maintenir la confiance des utilisateurs et des clients, se conformer aux réglementations, protéger les données sensibles et agir de manière éthique. Les entreprises doivent donc accorder une attention particulière à la protection des données personnelles et mettre en place les mesures appropriées pour garantir la confidentialité et la sécurité des informations personnelles.

II. Réglementation des données personnelles

A. Principes généraux de protection des données

  1. Consentement éclairé et volontaire

Le consentement éclairé et volontaire est l’un des principes fondamentaux de protection des données personnelles. Il stipule que les individus doivent donner leur consentement de manière claire, spécifique et librement donné avant que leurs données personnelles ne soient collectées, traitées ou transférées. Les entreprises doivent obtenir un consentement explicite et informé, et offrir la possibilité de retirer ce consentement à tout moment.

  1. Collecte limitée et finalité spécifique

Ce principe stipule que les données personnelles ne doivent être collectées que de manière adéquate, pertinente et limitée à ce qui est nécessaire pour atteindre un objectif spécifique. Les entreprises doivent informer les individus de la finalité de la collecte de leurs données et ne doivent pas utiliser ces données à d’autres fins sans obtenir un consentement supplémentaire.

  1. Exactitude et mise à jour des données

Il est essentiel de garantir l’exactitude et la mise à jour des données personnelles. Les entreprises doivent prendre des mesures raisonnables pour s’assurer que les données personnelles qu’elles détiennent sont exactes, complètes et à jour. Les individus ont le droit de demander la rectification ou la suppression de leurs données incorrectes ou obsolètes.

  1. Sécurité et confidentialité des données

La sécurité et la confidentialité des données personnelles sont des principes clés de protection des données. Les entreprises doivent mettre en place des mesures de sécurité appropriées pour protéger les données personnelles contre les accès non autorisés, les pertes ou les fuites. Cela peut inclure l’utilisation de technologies de cryptage, de pare-feu et de contrôles d’accès.

  1. Conservation limitée dans le temps

Ce principe stipule que les données personnelles ne doivent être conservées que pendant la durée nécessaire pour atteindre la finalité pour laquelle elles ont été collectées. Les entreprises doivent définir des périodes de conservation appropriées et supprimer les données personnelles une fois qu’elles ne sont plus nécessaires, sauf si la loi l’exige autrement.

En conclusion, l’application des lois sur la protection des données personnelles dans les contrats de services informatiques transfrontaliers nécessite de respecter les principes généraux de protection des données. Le consentement éclairé et volontaire, la collecte limitée et la finalité spécifique, l’exactitude et la mise à jour des données, la sécurité et la confidentialité des données, ainsi que la conservation limitée dans le temps sont autant de principes essentiels pour garantir la protection des données personnelles.

Les entreprises doivent intégrer ces principes dans leurs pratiques et leurs contrats afin de respecter les droits fondamentaux des individus et de se conformer aux réglementations en matière de protection des données.

B. Cadre juridique international et européen

Le cadre juridique international et européen en matière de protection des données personnelles joue un rôle crucial dans la régulation des contrats de services informatiques transfrontaliers. En particulier, le Règlement Général sur la Protection des Données (RGPD) de l’Union européenne, entré en vigueur en 2018, établit des principes et des obligations clés pour le traitement des données personnelles, y compris les transferts de données en dehors de l’UE.

Dans le contexte international, des accords et des normes tels que le Privacy Shield entre l’UE et les États-Unis, ou les clauses contractuelles types de la Commission européenne, offrent des mécanismes pour encadrer les transferts transfrontaliers de données personnelles.

Il est essentiel pour les entreprises d’opérer dans le respect de ces réglementations pour éviter les sanctions potentielles, garantir la confiance des clients et maintenir des relations commerciales solides à l’échelle internationale. Ainsi, la conformité aux normes européennes et internationales en matière de protection des données personnelles est un aspect crucial à prendre en compte lors de la rédaction et de la gestion des contrats de services informatiques transfrontaliers..

  1. Implications pour les contrats transfrontaliers de services informatiques

Les lois sur la protection des données personnelles ont des implications importantes pour les contrats transfrontaliers de services informatiques. Voici quelques points clés à prendre en compte :

  1. Juridiction applicable :

Lorsqu’un contrat de service informatique est conclu entre des parties situées dans des pays différents, il est important de déterminer quelle juridiction est applicable en matière de protection des données. Chaque pays a ses propres lois et réglementations en la matière, et il est essentiel de s’assurer que le contrat est conforme à ces lois.

  1. Transfert de données personnelles :

Les contrats de services informatiques peuvent impliquer le transfert de données personnelles entre les parties. Dans ce cas, il est nécessaire de respecter les règles de transfert de données transfrontalier, telles que les clauses contractuelles types ou les mécanismes de certification, afin de garantir un niveau adéquat de protection des données.

  1. Responsabilité du sous-traitant :

Si le prestataire de services informatiques sous-traite certaines activités à des sous-traitants situés dans d’autres pays, il est important de s’assurer que ces sous-traitants respectent également les lois sur la protection des données. Le contrat devrait prévoir des clauses spécifiques concernant la responsabilité du sous-traitant en matière de protection des données.

  1. Consentement des utilisateurs :

Les lois sur la protection des données exigent souvent que les utilisateurs donnent leur consentement éclairé pour le traitement de leurs données personnelles. Les contrats de services informatiques doivent donc inclure des dispositions permettant de recueillir et de gérer efficacement le consentement des utilisateurs

  1. Sécurité des données :

Les contrats de services informatiques doivent prévoir des mesures de sécurité appropriées pour protéger les données personnelles contre les accès non autorisés, les divulgations ou les pertes. Il est important d’identifier les normes de sécurité appropriées et de veiller à ce que le prestataire de services informatiques les respecte.

III. Conséquences de la non-conformité

A. Sanctions et amendes

En cas de non-conformité aux lois sur la protection des données personnelles dans les contrats de services informatiques transfrontaliers, il y a plusieurs conséquences possibles. Voici quelques-unes des actions correctives et mesures à prendre :

  1. Notification des autorités de protection des données :

En cas de violation de la législation sur la protection des données, il est souvent nécessaire de notifier les autorités compétentes. Cela peut impliquer de fournir des détails sur la violation et les mesures prises pour y remédier.

  1. Communication aux parties concernées :

Si la non-conformité a un impact sur les données personnelles des individus, il peut être nécessaire d’informer les personnes concernées de la violation et des mesures prises pour remédier à la situation.

  1. Révision des contrats :

Il peut être nécessaire de revoir les contrats de services informatiques transfrontaliers pour s’assurer qu’ils sont conformes aux lois sur la protection des données. Cela peut impliquer de mettre en place des clauses spécifiques pour garantir la sécurité et la confidentialité des données.

  1. Mise en place de mesures de sécurité :

Il est important de prendre des mesures pour remédier aux failles de sécurité qui ont conduit à la non-conformité. Cela peut inclure la mise en place de mesures de sécurité techniques et organisationnelles pour protéger les données personnelles.

  1. Sanctions et amendes :

Selon la gravité de la non-conformité, des sanctions et amendes peuvent être imposées par les autorités compétentes. Il est donc essentiel de se conformer aux lois sur la protection des données pour éviter de telles sanctions. Il est important de noter que les mesures à prendre en cas de non-conformité peuvent varier en fonction de la législation applicable et de la gravité de la violation. Il est recommandé de consulter des experts juridiques spécialisés dans la protection des données pour obtenir des conseils spécifiques à votre situation.

L’application des lois sur la protection des données personnelles dans les contrats de services informatiques transfrontaliers est essentielle pour garantir la protection des données des utilisateurs et respecter les obligations légales. En cas de non-conformité aux lois sur la protection des données personnelles, plusieurs conséquences peuvent survenir, notamment :

  1. Sanctions administratives :

Les autorités de protection des données peuvent imposer des sanctions administratives, telles que des avertissements, des amendes administratives, des restrictions d’activités, voire la suspension ou la révocation des autorisations ou licences.

  1. Amendes financières :

Les amendes financières peuvent être imposées en cas de violation des lois sur la protection des données. Le montant de ces amendes peut varier en fonction de la gravité de la violation et des dispositions légales applicables dans chaque juridiction. Dans certains cas, les amendes peuvent atteindre un pourcentage significatif du chiffre d’affaires annuel de l’entreprise.

  1. Responsabilité civile :

En cas de violation des droits des personnes concernées, les entreprises peuvent être tenues responsables devant les tribunaux civils et peuvent faire l’objet de poursuites en dommages et intérêts. Les personnes concernées peuvent demander une indemnisation pour le préjudice subi en raison de la violation de leurs droits.

  1. Réputation et confiance :

La non-conformité aux lois sur la protection des données peut entraîner une atteinte à la réputation de l’entreprise. Les violations de la confidentialité et de la sécurité des données peuvent affecter la confiance des clients et des partenaires commerciaux, ce qui peut avoir un impact négatif sur les activités de l’entreprise à long terme. Il est donc crucial pour les entreprises de se conformer aux lois sur la protection des données personnelles et d’intégrer des mesures de sécurité et de confidentialité appropriées dans leurs contrats de services informatiques transfrontaliers. Cela permet de réduire les risques de non-conformité et de garantir la protection des données personnelles des utilisateurs.

B. Impact sur la réputation et la confiance des clients

La non-conformité aux lois sur la protection des données personnelles dans les contrats de services informatiques transfrontaliers peut avoir de graves conséquences sur la réputation et la confiance des clients. Voici quelques-unes de ces conséquences :

  1. Perte de confiance des clients :

Lorsqu’une entreprise ne se conforme pas aux lois sur la protection des données, cela peut entraîner une perte de confiance de la part de ses clients. Les clients sont de plus en plus préoccupés par la confidentialité et la sécurité de leurs données personnelles, et ils attendent des entreprises qu’elles les protègent de manière adéquate. En ne respectant pas ces attentes, une entreprise risque de perdre ses clients existants et de faire fuir de potentiels nouveaux clients.

  1. Réputation ternie :

Une violation des lois sur la protection des données peut entraîner une réputation ternie pour une entreprise. Les médias et les réseaux sociaux peuvent rapidement se saisir de ces violations et en faire la une des journaux. Cela peut nuire à la réputation de l’entreprise, qui peut être perçue comme irresponsable ou peu fiable en matière de protection des données. Cette mauvaise réputation peut être difficile à rétablir et peut avoir un impact à long terme sur la croissance de l’entreprise.

  1. Sanctions financières :

Outre les amendes financières dont nous avons parlé précédemment, la non-conformité aux lois sur la protection des données peut entraîner d’autres sanctions financières. Par exemple, une entreprise peut être tenue de payer des indemnités aux personnes dont les données ont été compromises ou exploitées de manière non autorisée. Ces indemnisations peuvent être coûteuses et avoir un impact financier significatif sur l’entreprise.

  1. Actions en justice :

Les violations des lois sur la protection des données peuvent également donner lieu à des actions en justice de la part des personnes dont les données ont été affectées. Les clients mécontents peuvent intenter des actions en justice pour demander des dommages et intérêts, ce qui peut entraîner des coûts supplémentaires et une exposition médiatique négative pour l’entreprise.

C. Actions correctives et mesures à prendre en cas de non-conformité

Pour remédier aux failles de sécurité qui ont conduit à la non-conformité aux lois sur la protection des données, voici quelques mesures de sécurité à prendre :

  1. Évaluation des risques :

Effectuer une évaluation approfondie des risques liés à la sécurité des données personnelles afin de comprendre les vulnérabilités et les menaces potentielles.

  1. Mise en place de politiques de sécurité :

Élaborer et mettre en œuvre des politiques de sécurité claires et exhaustives qui définissent les procédures et les bonnes pratiques à suivre pour protéger les données personnelles.

  1. Formation du personnel :

Sensibiliser et former le personnel sur les bonnes pratiques de sécurité des données, y compris l’importance de la confidentialité, de la protection des mots de passe, de l’utilisation sécurisée des systèmes et des outils, etc.

  1. Contrôles d’accès :

Mettre en place des contrôles d’accès stricts pour limiter l’accès aux données personnelles uniquement aux personnes autorisées. Cela peut inclure l’utilisation de mots de passe sécurisés, d’authentification à plusieurs facteurs et de contrôles de privilèges d’accès.

  1. Chiffrement des données :

Utiliser le chiffrement pour protéger les données personnelles sensibles, tant en transit que lorsqu’elles sont stockées. Cela peut aider à prévenir l’accès non autorisé aux données en cas de compromission des systèmes.

  1. Gestion des incidents de sécurité :

Mettre en place un processus de gestion des incidents de sécurité qui permet de détecter, de signaler et de répondre rapidement aux violations de sécurité ou aux incidents de données personnelles.

  1. Vérification régulière :

Effectuer des audits et des vérifications régulières pour s’assurer que les mesures de sécurité sont mises en œuvre correctement et sont efficaces.

  1. Collaboration avec des tiers :

Si vous travaillez avec des partenaires ou des prestataires de services, assurez-vous qu’ils respectent également les normes de sécurité des données personnelles et mettent en place des mesures de sécurité adéquates. Ces mesures de sécurité peuvent aider à renforcer la protection des données personnelles et à prévenir les violations de sécurité. Cependant, il est important de noter que les mesures spécifiques peuvent varier en fonction de la nature des données et des exigences légales applicables.

Pour lire une version plus complète de cet article sur les contrat informatique et les données personnelles  transfrontalière, cliquez

Sources :

  1. La loi Informatique et Libertés | CNIL
  2. Donnée personnelle | CNIL
  3. CHAPITRE I – Dispositions générales | CNIL
  4. Assurer votre conformité en 4 étapes | CNIL
  5. RGPD & Consentement : tout ce qu’il faut savoir | Mailjet
  6. Fuite massive de données personnelles de santé – Protection des données | Dalloz Actualité (dalloz-actualite.fr)

Par • internet-et-droit • • Tags: , , ,

QUEL CONSENTEMENT SUR INTERNET ?

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Le consentement de la personne concernée est défini comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement (Règl. UE 2016/679 du 27-4-2016, art. 4-11).

Il en résulte que la personne concernée ne doit pas se sentir forcée à consentir. Si la personne concernée n’est pas véritablement en mesure d’exercer un choix, se sent contrainte de consentir ou subit des conséquences négatives importantes si elle ne donne pas son consentement, le consentement n’est pas valable.

La personne concernée a le droit de retirer son consentement à tout moment (Règl. UE 2016/679 du 27-4-2016, art. 7-3).

En outre, la locution « nécessaire à l’exécution d’un contrat » doit être interprétée de façon restrictive. Le traitement doit être nécessaire pour exécuter le contrat conclu avec chacune des personnes concernées. Dans le contexte du travail, ce principe peut par exemple autoriser le traitement des informations liées au salaire et au compte bancaire afin de pouvoir verser les salaires. Il doit exister un lien direct et objectif entre le traitement des données et l’objectif d’exécution du contrat ‘Groupe de travail « Article 29 » : Lignes directrices sur le consentement au sens du règlement 2016/679 du 10-4-2018).

Besoin de l’aide d’un avocat pour un problème de vie privée?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Par ailleurs, le principe du consentement de la personne concernée est entouré de diverses garanties (RGPD art. 7) :

–  le responsable du traitement doit être en mesure de démontrer que le consentement a été effectivement donné ;

–  si la déclaration écrite de consentement porte également sur d’autres questions que celle du consentement et si elle est consécutive à une demande préalablement adressée à la personne concernée, cette demande doit être présentée sous une forme compréhensible et aisément accessible ; elle doit aussi être formulée en des termes clairs et simples ;

–  la personne concernée a le droit de retirer son consentement à tout moment ; ce retrait ne remet pas pour autant en cause la licéité du traitement fondé sur le consentement initial ;

–  au moment de déterminer si le consentement est donné librement, il convient, éventuellement, de s’assurer que l’exécution d’un contrat n’est pas subordonnée à un consentement non nécessaire à cette exécution (pratique du « couplage »).

Tel n’a pas été le cas dans un arrêt de la CJUE du 12 novembre 2020 qui juge qu’un contrat de fourniture de services de télécommunication qui contient une clause selon laquelle le client a consenti à la collecte et la conservation de son titre d’identité ne peut démontrer qu’il a valablement donné son consentement lorsque la case y afférente a été cochée par le responsable de traitement avant la signature du contrat. Il en est de même lorsque le consommateur est induit en erreur quant à la possibilité de conclure le contrat en cas de refus du traitement de ses données, ou lorsque le libre choix de s’opposer à cette collecte et à cette conservation est affecté par l’exigence d’un formulaire supplémentaire exprimant ce refus.

La CEDH dans une décision du 9 mai 2023 (CEDH, 9 mai 2023 n°31172/19 « Association les témoins de Jéhovah c/ Finlande) (1)  avait à se prononcer sur l’obligation imposée aux témoins de Jéhovah par la commission de protection des données personnelles, de recueillir le consentement des personnes à la collecte de leurs données personnelles dans le cadre de leurs activités de prédication. La CEDH a considéré que cette obligation n’est pas une violation de la liberté de conscience et de religion. Bien qu’il s’agisse d’une ingérence dans les droits de la communauté religieuse, cette dernière poursuivait un but légitime et était nécessaire dans une société démocratique. (7)

I. La case se référant à cette clause a été cochée par le responsable du traitement des données avant la signature de ce contrat

Selon l’article 4 § 1 du RGPD, la donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée »); est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

En outre, la lettre de l’article 4 § 2 dispose que le « traitement » est toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliqués à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

Par ailleurs, le paragraphe 11 de l’article 4 du RGPD dispose que le « consentement » de la personne concernée est toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Le consentement de la personne concernée reste essentiel pour traitement de ses données à caractère personnel par le responsable du traitement ou par ses sous-traitants. Le manquement à cette obligation est une faute imputable au responsable du traitement pour violation du consentement préalable de la personne avant toutes sortes de collectes de ses données.

La Cour de Justice de l’Union européenne par cet arrêt a voulu démontrer ou mettre en lumière l’objet même ou le but poursuivi par le RGPD en l’occurrence le renforcement des droits des personnes physiques concernées par tout traitement de leurs données à caractère personnel.

De plus, le consentement doit être éclairé. Cette qualité fait écho à l’obligation de transparence qui découle des articles 5 et 12 du RGPD et, plus particulièrement à l’obligation d’information qui s’impose au responsable de traitement en vertu des articles 13 et 14 du RGPD.

La CNIL considère que le recours à des cases précochées ou préactivées ne permet pas d’obtenir un consentement univoque. Dans le même esprit, la CJUE a jugé que le placement de cookies requiert un consentement actif des internautes de sorte qu’une case cochée par défaut est insuffisante. De plus, le recueil du consentement de l’utilisateur s’applique quand bien même les données concernées seraient à caractère personnel ou non.

Le Conseil d’État confirme cette observation de la CNIL, à travers une décision du 19 juin 2020 (CE, 10e et 9e chambre réunies, 19 juin 2020 n°430810) (2). Celui-ci précise qu’un consentement exprimé par défaut, tel que par une case pré-cochée, ne reflète pas une action active de la part de l’utilisateur et ne peut donc être considéré comme émanant d’un choix clair et délibéré permettant légitimement le recueil du consentement. La cour ajoute que le consentement obtenu dans le cadre de l’acceptation générale des conditions d’utilisation d’un service ne revêt pas un caractère spécifique conforme au RGPD.

Quand le responsable décide de fonder son traitement sur le consentement de la personne concernée, il doit être en mesure de démontrer qu’il a obtenu ce consentement.

La CJUE a précisé que le responsable du traitement doit être en mesure de démontrer le consentement de la personne concernée à la collecte et à la conservation de ses données à caractère personnel. La seule présence d’une clause contractuelle, cochée à l’avance par les agents de vente, précisant que le client a consenti, ne permet pas de prouver l’existence d’un consentement valable (CJUE, 11 nov. 2020, aff. C-61/19, Orange Romania).

La CNIL dans une délibération rendue le 24 novembre 2022 n°SAN-2022-021 (3), avait à se prononcer sur un contrat conclu entre la société EDF et un courtier en données. Celle-ci précise que le responsable de traitement reste garant de l’obtention du consentement des personnes prospectées et ne peut se décharger de sa responsabilité en cas de manquement de son contractant, à moins qu’il n’ait mis en place des mesures de contrôle adéquates. (8)

2. Les stipulations contractuelles dudit contrat sont susceptibles d’induire la personne concernée en erreur quant à la possibilité de conclure le contrat en question même si elle refuse de consentir au traitement de ses données

Conformément aux lignes directrices dégagées par le CEPD (Lignes directrices CEPD n° 05/2020, 4 mai 2020), le consentement est libre quand il n’est pas contraint, ni influencé. La personne doit se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus. En ce sens, l’article 7 du RGPD dispose qu’« au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat ».

Cela semble revenir à l’idée que le consentement ne peut être considéré comme valable quand il est donné dans le but de profiter d’un produit ou d’un service pour la fourniture duquel un traitement de données n’est pas nécessaire. Le CEPD donne l’exemple d’un fournisseur de site web qui bloque la visibilité du contenu, sauf si l’utilisateur clique sur le bouton « Accepter les cookies ». La personne concernée ne dispose pas d’un véritable choix, son consentement n’est donc pas donné librement.

La CNIL dans une délibération rendue le 15 juin 2023 (SAN-2023-009) (4) a sanctionné une société spécialisée dans la publicité en ligne pour ne pas avoir vérifié que les personnes dont elle traite les données par l’intermédiaire de cookies avaient donné leur consentement. À cette occasion, elle détaille les conditions requises pour prouver le consentement des individus lorsque des cookies tiers sont déposés sur un site web.

Le responsable peut tout d’abord mettre en œuvre un traitement nécessaire soit à l’exécution d’un contrat auquel la personne concernée est partie, soit à l’exécution de mesures précontractuelles prises à la demande de celle-ci. Comme le consentement, la base légale contractuelle se révèle être souvent utilisée en pratique.

Le responsable peut également faire reposer la licéité de son traitement sur le respect d’une obligation légale à laquelle il est soumis, la sauvegarde des intérêts vitaux de la personne concernée ou encore l’exécution d’une mission d’intérêt public ou la mise en œuvre d’un traitement relevant de l’exercice de l’autorité publique dont il est investi.

En dernier lieu, la loi du 6 janvier 1978 et le RGPD prévoient la possibilité de mettre en œuvre un traitement quand ce dernier est « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant » (L. n° 78-17, 6 janv. 1978, art. 5, 6° RGPD, art. 6, § 1, f). C’est ainsi au responsable de déterminer à quel moment ses intérêts ou ceux d’un tiers doivent prévaloir sur ceux de la personne concernée.

La CEDH dans une décision du 8 septembre 2022 (CEDH, 5e sect., 8 sept. 2022, nos 3153/16 et 27758/18, Drelon c/ France) (5) devait se prononcer sur une collecte de données effectuée par un établissement français du sang. À cette occasion, elle a rappelé que le seul fait que le responsable de traitement puisse collecter les données personnelles au regard du but poursuivi est insuffisant à rendre ce traitement illicite. Il faut en plus que les données collectées soient exactes, mises à jour, pertinentes et non excessives au regard des finalités du traitement des données. (10)

Dans tous les cas la personne concernée doit être informée de la collecte de ses données conformément au RGPD et son consentement devra être recueilli sans ambiguïté sauf exception édictée par ledit RGPD.

 3. Le libre choix de s’opposer à cette collecte et à cette conservation est affecté indûment par ce responsable, en exigeant que la personne concernée, afin de refuser de donner son consentement, remplisse un formulaire supplémentaire faisant état de ce refus

La personne concernée est libre de consentir à la collecte de ses données à caractère personnel. Certes, le RGPD prévoit encore la possibilité pour les personnes concernées de « s’opposer à tout moment » au traitement de leurs données (art. 21 (1)). Elles ne peuvent toutefois plus le faire selon les mêmes modalités.

Aux termes du règlement européen, l’exercice du droit d’opposition n’a en effet vocation à s’appliquer qu’à l’encontre des traitements nécessaires à « l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, ou en raison des intérêts légitimes du responsable du traitement » (RGPD, consid. no 69 et art. 21 (1), par renvoi à, art. 6 (1) e) ou f)).

Dans de telles circonstances, les seules possibilités de mettre fin au traitement seront donc soit de recourir au droit à l’effacement (RGPD, art. 17), soit de retirer son consentement (RGPD, art. 7 (3)) avec l’avantage de ne pas devoir justifier de « motif légitime » (voir en ce sens, Maisnier-Boché L., art. préc.).

Ce qui implique dans les deux hypothèses que de telles actions soient nécessairement exercées après que le traitement ait été mis en œuvre et non avant (RGPD, art. 99 (2)). Sans compter qu’aucune disposition ne semble par ailleurs pouvoir être invoquée pour faire valoir le droit d’opposition en cas de traitement de données personnelles nécessaire à l’exécution d’un contrat ou de mesures précontractuelles (RGPD, art. 6 (1) b) ; voir également en ce sens, Maisnier-Boché L., art. préc.) ou celui – mais l’exception est plus admissible compte tenu des risques encourus – nécessaire à la sauvegarde des intérêts vitaux (RGPD, art. 6 (1) d)).

Le Conseil d’État, dans une décision rendue le 20 décembre 2023 (CE, 20 décembre 2023 n°430810) (6), devait se prononcer sur le droit à l’effacement d’un politicien souhaitant obtenir le déréférencement d’un article de presse le concernant. Celui-ci, par une mise en balance du droit à la protection des données à caractère personnel et le droit à la liberté d’information du public, sur des questions d’intérêt public, a rejeté cette demande de déréférencement.(11)

À cette limite, importante donc, le règlement européen apporte au moins deux précisions utiles. La première est que le droit d’opposition vaut bien en cas de profilage et qu’il continue de s’appliquer en matière de prospection (RGPD, art. 21 (2)), à des fins commerciales comme non-commerciales notamment associatives ou politiques.

La deuxième concerne les conséquences de l’exercice du droit d’opposition. Aussi évidentes soient-elles, il n’en demeurait pas moins pertinent de rappeler que « lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins » (RGPD, art. 21 (3)). Ce qui, comme du reste actuellement, ne devrait toutefois pas avoir pour conséquence d’interdire la mise en place de listes d’opposition, justement dans la mesure où elles poursuivent une finalité propre, à savoir garantir l’exercice effectif de ce droit.

Selon l’article 6 § 1.b du RGPD, le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci.

Toutefois, lorsque le responsable du traitement coche au préalable la case de consentement de la collecte des données personnelles des clients, ce dernier ne met pas en évidence le caractère libre du client pour consentir ou non à la collecte de ses données personnelles. Autrement dit, il affecte même le caractère licite de la collecte des données personnelles des personnes concernées au regard de l’article 6 du RGPD.

Le Conseil d’État dans un arrêt du 19 juin 2020 (CE, 19 juin 2020, n°430810) a condamné la société Google sur ce fondement. Ce dernier souligne que le consentement donné au moyen d’une case pré-cochée ne résulte pas d’une action active de la part de l’utilisateur et ne peut donc être considéré comme provenant d’une décision claire et volontaire. (9)

SOURCES :

1)  CEDH, 9 mai 2023 n°31172/19 « Association les témoins de Jéhovah c/Finlande :https://hudoc.echr.coe.int/fre#{%22itemid%22:[%22002-14070%22]}

(2) CE, 10e et 9e chambre réunies, 19 juin 2020 n°430810 : https://www.legifrance.gouv.fr/ceta/id/CETATEXT000042040546
(3) CNIL, délibération SAN-2022-021 du 24 novembre 2022 : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000046650733

(4) CNIL, Délibération SAN-2023-009 du 15 juin 2023

(5) CEDH, 5e sect., 8 sept. 2022, nos 3153/16 et 27758/18, Drelon c/ France https://hudoc.echr.coe.int/fre#%7B%22itemid%22:%5B%22001-219069%22%5D%7D

(6) CE, 19 juin 2020, n°430810 : https://www.legifrance.gouv.fr/ceta/id/CETATEXT000042040546

(7) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/lessentiel-droit-de-la-famille-et-des-personnes/DFP201o3?em=consentement%20collecte%20des%20donn%C3%A9espar%20

(8) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/lessentiel-droit-de-la-distribution-et-de-la-concurrence/DDC201h3?em=responsable%20de%20traitement%20consentement

(9) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/gazette-du-palais/GPL383j7?em=consentement%20%C3%A9clair%C3%A9%20donn%C3%A9es

(10) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/lessentiel-droit-de-la-famille-et-des-personnes/DFP201a6?em=collecte%20de%20donn%C3%A9es%20

(11) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/gazette-du-palais/GPL459j2?em=droit%20%C3%A0%20l%27effacement

Par • internet-et-droit • • Tags: , , , ,

1 2 3 4

# Nos catégories juridiques

# Poser une question en ligne

Si vous avez une question précise à poser au cabinet d’avocats, dont vous ne trouvez pas la réponse sur le site, posez votre question en ligne.
La question sera alors payante et le montant est de 150 euros TTC. Paiement sécurisé par Paypal ou Crédit Mutuel »

# Nos articles avocat Paris

© Murielle Cahen Cabinet d’avocats Paris 2026
Powered by WordPress • Themify WordPress Themes