DSA et conformité des services numériques : ce que doivent savoir les hébergeurs, plateformes et marketplaces (2é partie)

 

Ce qu’il faut retenir

(2è partie) Le Digital Services Act (DSA) est pleinement applicable depuis février 2024. Hébergeurs, plateformes et marketplaces doivent se conformer à des obligations renforcées en matière de responsabilité, de transparence et de gestion des contenus.

 

Lire la suite de l'article: https://www.deleporte-wentz-avocat.com/actualite-dsa-et-conformite-des-services-numeriques-ce-que-doivent-savoir-les-hebergeurs-plateformes-et-marketplaces-2e-partie

DSA et conformité des services numériques : ce que doivent savoir les hébergeurs, plateformes et marketplaces (1ère partie)

Ce qu’il faut retenir

Le Digital Services Act (DSA) est pleinement applicable depuis février 2024. Hébergeurs, plateformes et marketplaces doivent se conformer à des obligations renforcées en matière de responsabilité, de transparence et de gestion des contenus.

 

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-dsa-et-conformite-des-services-numeriques-ce-que-doivent-savoir-les-hebergeurs-plateformes-et-marketplaces-1ere-partie

Influenceurs en ligne : une activité mieux encadrée juridiquement

 

Ce qu'il faut retenir

La loi du 9 juin 2023 est venue encadrer l’activité d’influenceur, ainsi que celle de leurs agents, pour lutter contre les dérives de certains, et protéger les consommateurs. Plusieurs domaines d’activités sont désormais interdits (santé, produits et services financiers, jeux d’argent et de hasard) et l’information du public est améliorée. En outre, la loi impose un formalisme aux contrats conclus entre les agents et les influenceurs.

Lire la suite de l'article :  https://www.deleporte-wentz-avocat.com/actualite-influenceurs-en-ligne-une-activite-mieux-encadree-juridiquement

Données personnelles des enfants : TikTok condamné à 345 millions d'euros d'amende pour violation du RGPD

 

Ce qu'il faut retenir

TikTok a été condamné par la DPC irlandaise à une amende de 345 millions d’euros pour violation du RGPD concernant les données de mineurs

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-donnees-personnelles-des-enfants-tiktok-condamne-a-345-millions-d-amende-pour-violation-du-rgpd

Entrée en application du DMA : quels bénéfices pour les utilisateurs des plateformes numériques ?

 

Ce qu'il faut retenir

Le Règlement sur les marchés numériques (Digital Markets Act - DMA), entré en application le 2 mai 2023, a pour objectif de réguler le comportement des grandes plateformes numériques qui agissent en tant que “contrôleurs d’accès” sur les marchés, notamment les GAFAM. Les pratiques, désormais prohibées, et les obligations leur incombant doivent bénéficier aux utilisateurs, entreprises et consommateurs, en limitant les pratiques abusives et en favorisant la concurrence.  La Commission européenne a publié la liste des contrôleurs d’accès le 6 septembre dernier.

 

Lire la suite de l'article : https://www.deleporte-wentz-avocat.com/actualite-entree-en-application-du-dma-quels-benefices-pour-les-utilisateurs-des-plateformes-numeriques

Prévention de la diffusion de contenus terroristes en ligne : les nouvelles règles applicables

L’un des axes de la lutte anti-terroriste et contre la radicalisation porte sur la lutte contre la diffusion sur internet de contenus à caractère terroriste. L’Union européenne a renforcé sa réglementation en la matière avec l’adoption du règlement relatif à la lutte contre la diffusion de contenus à caractère terroriste en ligne, ou règlement “TCO”, le 29 avril 2021. (1)

En France, après l’adoption de la loi du 24 août 2021, la réglementation relative à la lutte contre la diffusion de contenus terroristes en ligne vient d’être complétée par la loi du 16 août 2022. (2)

Cette loi poursuit et complète l’adaptation du droit français à la lutte contre la diffusion de contenus terroristes suite à l’entrée en application du règlement européen le 7 juin 2022. la nouvelle réglementation précise les conditions relatives à la notification et au retrait des contenus à caractère terroriste, les sanctions applicables pour non-respect de l’obligation de retrait, et enfin, les recours ouverts aux hébergeurs et fournisseurs de contenus pour contester une injonction de retrait de contenus.


1. Les règles relatives au retrait des contenus à caractère terroriste

La notion de “contenu à caractère terroriste” est précisément définie et les différents cas de figure listés dans le règlement comme “un ou plusieurs des types de matériel suivants, à savoir le matériel qui:
    a) incite à la commission de l’une des infractions visées à l’article 3, paragraphe 1, points a) à i), de la directive (UE) 2017/541, lorsque ce matériel prône la commission d’infractions terroristes, directement ou indirectement, par exemple en glorifiant les actes terroristes, entraînant ainsi le risque qu’une ou plusieurs de ces infractions soient commises ;
    b) sollicite une personne ou un groupe de personnes pour commettre l’une des infractions visées à l’article 3 (…) de la directive (UE) 2017/541, ou pour contribuer à la commission de l’une de ces infractions;
    c) sollicite une personne ou un groupe de personnes pour participer aux activités d’un groupe terroriste au sens de l’article 4, point b), de la directive (UE) 2017/541;
    d) fournit des instructions concernant la fabrication ou l’utilisation d’explosifs, d’armes à feu ou d’autres armes, ou de substances nocives ou dangereuses, ou concernant d’autres méthodes ou techniques spécifiques aux fins de commettre l’une des infractions terroristes visées à l’article 3 (…) de la directive (UE) 2017/541 ou de contribuer à la commission de l’une de ces infractions;
    e) constitue une menace quant à la commission d’une des infractions visées à l’article 3 (…) de la directive (UE) 2017/541.”

L’article 6-1 de la LCEN, modifié par la loi du 24 août 2021 et entré en vigueur le 7 juin 2022,  impose un délai très court - 24 heures - aux hébergeurs techniques et aux fournisseurs de contenus pour retirer ou bloquer les contenus à caractère terroriste. Ce délai court à compter de la réception d’une injonction de retrait de la part des autorités. En France, l’autorité compétente pour émettre les injonctions de retrait ou de blocage de contenus à caractère terroriste est l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication - OCLCTIC.

Les injonctions de retrait doivent notamment être motivées et inclure l’URL exacte pour permettre aux destinataires d’accéder directement au contenu litigieux et prendre les mesures de suspension ou de blocage qui s’imposent.
 
Les fournisseurs de services d’hébergement destinataires d’une injonction de retrait informent l’autorité compétente du retrait ou du blocage du contenu en cause et des date et heure de cette action.  

Un modèle d’injonction de retrait et un modèle de réponse aux autorités figurent en annexe au règlement TCO.

L’OCLCTIC peut par ailleurs communiquer les adresses électroniques dont les contenus auraient un caractère terroriste, aux moteurs de recherche ou aux annuaires pour que ces derniers désindexent lesdits contenus, notamment lorsque le retrait n’a pas été effectué dans les délais impartis.

L’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) est identifiée comme l’organisme compétent, par l’intermédiaire d’une personnalité qualifiée désignée en son sein, pour s’assurer notamment de la régularité des demandes de suppression et de déréférencement de contenus.

L’Arcom est également en charge de recueillir auprès des hébergeurs les informations nécessaires au suivi de l’application de leur obligation de retrait ou de blocage et de les mettre en demeure de se conformer à leurs obligations de retrait ou de rétablissement éventuel de contenus litigieux


2. Les sanctions applicables pour non-respect de l’obligation de retrait

Ces dispositions sont complétées par les nouveaux articles 6-1-1 à 6-1-5 de la LCEN qui précisent les modalités pratiques de la mise en oeuvre des injonctions de retrait et notamment les sanctions pénales applicables pour non-respect de l’obligation de retrait ou de blocage de contenus à caractère terroriste.

Le montant des sanctions est à la hauteur de l’enjeu de sécurité publique. En effet, l’absence de retrait ou de blocage d’un tel contenu par un hébergeur ou un éditeur de contenu dans le délai d’une heure à compter de la réception d’une injonction est punie d’un an d’emprisonnement et de 250.000 euros d’amende, ou 1.250.000 euros d’amende pour les personnes morales, qui peuvent par ailleurs être déclarées pénalement responsables. Lorsque cette infraction est commise “de manière habituelle” par une personne morale, l’amende peut atteindre 4% de son chiffre d’affaires mondial pour l’exercice N-1.

En cas de non-respect de leurs obligations de diligence vis-à-vis de ces contenus, l’Arcom peut en outre prononcer une amende administrative à l’encontre des hébergeurs fautifs, pouvant atteindre 4% de leur chiffre d’affaires mondial pour l’exercice N-1. Le montant de la sanction prend en considération plusieurs critères d’appréciation, tels que la nature, la gravité et la durée du manquement, le caractère intentionnel ou négligent du manquement, son caractère répétitif ou non, la coopération de l’hébergeur avec les autorités compétentes, etc.


3. Quels recours pour les hébergeurs et fournisseurs de contenus contre les injonctions de retrait de contenus ?

La loi prévoit différentes voies de recours aux hébergeurs et fournisseurs de contenus pour contester une injonction de retrait.

Les fournisseurs services d’hébergement et de contenus, ainsi que la personnalité qualifiée désignée par l’Arcom, peuvent demander l’annulation d’une injonction de retrait ou de blocage au président du tribunal administratif dans un délai de 48 heures à compter de sa réception par l’hébergeur, ou pour le fournisseur de contenu, à compter du moment où il a été informé du retrait du contenu par l’hébergeur.

De même, les fournisseurs de service d’hébergement et de contenu peuvent demander à la juridiction administrative d’annuler la décision motivée de la personnalité qualifiée désignée par l’Arcom, dans un délai de 48 heures à compter de la notification de cette décision.

Le président du tribunal administratif statue sur la légalité de l’injonction de retrait ou de la décision motivée dans les 72 heures de sa saisine.

    La plateforme Pharos permet à toute personne de signaler les contenus illicites, et notamment les contenus à caractère terroriste. (3) Ces signalements sont ensuite traités par l’OCLCTIC qui peut demander aux hébergeurs et aux fournisseurs de contenus le retrait desdits contenus dans le délai de 24 heures, ou leur blocage par les fournisseurs d’accès et les moteurs de recherche.

Selon les autorités, en 2021 l’OCLCTIC a prononcé près de 15.000 demandes de retrait auprès des hébergeurs et des fournisseurs de contenus.


                                                        * * * * * * * * * * *


(1) Règlement (UE) 2021/784 du Parlement européen et du Conseil du 29 avril 2021 relatif à la lutte contre la diffusion de contenus à caractère terroriste en ligne, ou règlement “TCO” (terrorist content online)

(2) Loi n°2021-1109 du 24 août 2021 confortant le respect des principes de la République ;
Loi n°2022-1159 du 16 août 2022 portant diverses dispositions d'adaptation au droit de l'Union européenne en matière de prévention de la diffusion de contenus à caractère terroriste en ligne, codifiée aux articles 6-1-1 à 6-1-5 de la loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN)

(3) Plateforme Pharos accessible à : https://www.internet-signalement.gouv.fr/PharosS1/

Bénédicte DELEPORTE
Avocat

Deleporte Wentz Avocat
www.dwavocat.com

Septembre 2022

DMA : Proposition de règlement sur les marchés numériques pour encadrer les “contrôleurs d’accès”

La réforme européenne du droit du numérique vient de passer une étape décisive avec le vote, par le Parlement européen, de la proposition de Règlement sur les marchés numériques (Digital Markets Act - DMA) le 15 décembre 2021, suivi du vote de la proposition de Règlement sur les services numériques (Digital Services Act - DSA) le 20 janvier 2022. Ces deux projets de règlements passent maintenant par l’étape d’un trilogue entre des représentants du Parlement, du Conseil et de la Commission afin de parvenir à un accord sur le texte définitif, pour une entrée en application probablement début 2023. (1) 

L’objectif de cette réforme d’envergure est double : réguler le fonctionnement des marchés numériques, et plus particulièrement, le rôle des “contrôleurs d’accès” (ou “gatekeepers”), dont les GAFAM, qui jouent un rôle dominant sur le marché, et réguler les services numériques, afin de lutter plus efficacement contre les contenus illicites et la propagation de fausses informations.

Dans ce premier article, nous nous concentrons sur le DMA. Un second article suivra afin de présenter le DSA, ces deux textes ayant des objectifs distincts.

Ce qu’il faut retenir

Le DMA a pour objectif de réguler le comportement des grandes plateformes numériques, y compris les services de plateforme essentiels, qui agissent en tant que “contrôleurs d’accès” (ou “gatekeepers”) sur les marchés, notamment les GAFAM. Les services concernés comprennent, entre autres, les systèmes d’exploitation, les services de publicité en ligne, les moteurs de recherche, les réseaux sociaux, etc.

Les contrôleurs d’accès seront soumis à un certain nombre d’obligations dans le but d’améliorer la concurrence entre les entreprises utilisatrices et les services proposés par les contrôleurs d’accès.

1. Le DMA - ou la régulation des contrôleurs d’accès

Selon l’exposé des motifs du DMA, “Certaines grandes plateformes jouent de plus en plus le rôle de points d’accès ou de contrôleurs d’accès entre les entreprises utilisatrices et les utilisateurs finaux et jouissent d’une position solide et durable, qui résulte souvent de la création d’écosystèmes de conglomérat organisés autour de leurs services de plateforme essentiels, renforçant ainsi les barrières à l’entrée existantes.”

Ainsi, le DMA a pour objectif de réguler le comportement des grandes plateformes numériques qui agissent en tant que “contrôleurs d’accès” sur les marchés. Alors qu’il existerait plus de 10.000 plateformes actives sur le marché communautaire, seul un petit nombre d’entre elles captent la plus grande part de la valeur générée.

Suivant le constat des régulateurs, ces plateformes ont atteint une taille telle qu’elles ont rendu les utilisateurs - consommateurs et entreprises, dépendants de leurs services. Elles se positionnent ainsi en tant que régulateurs privés pouvant imposer des conditions inéquitables aux entreprises et aux consommateurs (services captifs, blocage de l’accès aux données générées en ligne par les entreprises, etc.) et imposent des barrières à l’entrée à leurs concurrents potentiels, qui ne peuvent avoir accès au marché. En effet, les contrôleurs d’accès, par leur taille, ont acquis une situation dominante, présentant des risques pour les droits des utilisateurs, personnes physiques et morales.


2. Plateformes essentielles et contrôleurs d’accès

Le DMA vise plus particulièrement les services de plateforme essentiels (les contrôleurs d’accès ou certains services qu’ils proposent). Ces services de plateforme essentiels recouvrent les services suivants :

• l’intermédiation en ligne (y compris les places de marchés - Amazon, App Store, Google Play), 
• les moteurs de recherche (Google),
• les réseaux sociaux (Facebook, Instagram),  
• les plateformes de partage de vidéos (Youtube),
• les services de communication électronique,
• les systèmes d’exploitation (Android, iOS),  
• les services en nuage (AWS, iCloud, Google Cloud) et  
• les services de publicité en ligne (Google Ads).
  

Pour être qualifié de contrôleur d’accès, un service de plateforme essentiel doit remplir plusieurs critères quantitatifs (art. 3 DMA), à savoir :

1. avoir une forte incidence sur le marché numérique européen, c’est-à-dire réaliser un chiffre d’affaires annuel dans l’UE égal ou supérieur à 6,5 milliards d’euros au cours des trois derniers exercices ou avoir une capitalisation boursière moyenne, ou atteindre une juste valeur marchande équivalente de l’entreprise à laquelle il appartient, au moins égale à 65 milliards d’euros au cours du dernier exercice, et fournir un service de plateforme essentiel dans au moins trois Etats membres ; 
2. exploiter un ou plusieurs points d’accès majeur des entreprises pour développer leurs activités commerciales en ligne, c’est-à-dire avoir enregistré plus de 45 millions d’utilisateurs actifs par mois dans l’UE et plus de 10.000 entreprises utilisatrices actives dans l’UE au cours du dernier exercice ; 
3. occuper une position solide et durable sur le marché, c’est-à-dire avoir atteint le nombre d’utilisateurs finaux mentionné ci-dessus pendant les trois derniers exercices.
   

Les contrôleurs d’accès doivent informer la Commission de leur situation dans un délai de trois mois et fournir les informations visées ci-dessus. Ils pourront également démontrer à la Commission qu’ils ne remplissent pas ces critères. Enfin, la Commission pourra désigner comme contrôleur d’accès des services de plateforme essentiels qui satisfont aux exigences qualitatives ci-dessus, mais qui ne remplissent pas les critères quantitatifs.


3. Les obligations des contrôleurs d’accès

Les contrôleurs d’accès sont soumis à un certain nombre d’obligations, l’objectif étant d’améliorer la concurrence entre les entreprises utilisatrices et les services proposés par les contrôleurs d’accès.

Parmi ces obligations, les contrôleurs d’accès doivent (art. 5 DMA) : 

• s’abstenir de combiner les données personnelles issues de leurs services avec les données issues des autres services proposés par le contrôleur d’accès ou par des services tiers ; 
• permettre aux entreprises utilisatrices de proposer les mêmes produits ou services aux utilisateurs finaux via des services d’intermédiation en ligne tiers à des prix ou des conditions différents de ceux proposés par le contrôleur d’accès ; 
• permettre aux entreprises utilisatrices de promouvoir leurs offres auprès des utilisateurs finaux acquis grâce au service de plateforme essentiel et de conclure des contrats avec ces utilisateurs finaux ; 
• s’interdire d’exiger des entreprises utilisatrices ou des utilisateurs finaux qu’ils s’abonnent ou s’enregistrent à un autre service de plateforme essentiel comme condition d’accès, d’inscription ou d’enregistrement à l’un de ses services de plateforme essentiel ; 
• faire réaliser un audit, par un auditeur indépendant, sur les techniques de profilage des consommateurs utilisées, les résultats devant être soumis à la Commission. (art. 13 DMA)
  

Par ailleurs, le DMA interdira certaines pratiques manifestement déloyales, telles que l’interdiction pour les utilisateurs de désinstaller des logiciels ou applications pré-installés. Le règlement imposera également l’interopérabilité entre les services proposés sur ces plateformes et les logiciels tiers.

La Commission européenne aura la possibilité de mener des enquêtes de marché ciblées pour déterminer s’il y a lieu de faire évoluer la règlementation sur les contrôleurs d’accès pour suivre l’évolution des marchés numériques. (art. 18 et s. DMA)

 

4. Des sanctions dissuasives en cas de violation du DMA

Les sanctions pouvant être imposées par la Commission européenne et par les tribunaux nationaux se veulent être à la hauteur des enjeux et de la taille des acteurs concernés.

En cas de violation des dispositions du DMA, les amendes pourront atteindre 10% du chiffre d’affaires réalisé au cours de l’exercice précédent par le contrôleur d’accès. Pour fixer le montant de l’amende, la Commission prendra en considération la gravité, la durée et la récurrence des manquements aux obligations du DMA. (art. 26 DMA)


A l’issue de l’examen du DMA par le Parlement, les députés européens souhaitent améliorer les critères de qualification des contrôleurs d’accès. Les députés ont par ailleurs inclus les navigateurs web, les assistants virtuels et les télévisions connectées dans le champ du DMA et ajouté la possibilité de désinstaller des applications préinstallées. Les seuils quantitatifs permettant de désigner les contrôleurs d’accès ont également été relevés à 8 milliards d’euros de chiffre d’affaires annuel ou 80 milliards d’euros de capitalisation boursière et le montant des amendes a été doublé, de 10 à 20% du chiffre d’affaires.

Ces dernières années, avec la montée en puissance des GAFAM, les juridictions des Etats membres et la Commission en Europe d’une part, les juridictions américaines d’autre part, ont tenté de lutter contre des pratiques jugées abusives de la part des sociétés, qualifiées de “contrôleurs d’accès” - sans grand succès. L’objectif du DMA est donc, par l’imposition de règles homogènes dans l’Union européenne, de lutter contre les avantages permettant à ces très grands groupes de conserver leur position dominante, favorisant notamment leurs produits et services par rapport aux entreprises utilisatrices ou exploiter les données générées par ces entreprises à leur propre avantage et, in fine permettre plus de compétitivité et de diversité, en donnant accès au marché à des acteurs de taille plus modeste.

                                                      * * * * * * * * * * *

(1) Proposition de règlement du Parlement européen et du Conseil relatif aux marchés contestables et équitables dans le secteur du numérique (Digital Markets Act - DMA)


Bénédicte DELEPORTE
Avocat

Deleporte Wentz Avocat
www.dwavocat.com

Février 2022

Plateformes internet - Trois nouveaux décrets “pour favoriser la transparence des plateformes numériques”

Afin d’améliorer la confiance des utilisateurs dans les services numériques, et pour faire suite à la loi pour une République numérique (1), trois décrets d’application “pour favoriser la transparence des plateformes numériques” ont été publiés le 29 septembre 2017. (2) Ces décrets concernent les moteurs de recherche, les réseaux sociaux et les sites comparateurs ainsi que les places de marchés et les sites d'économie collaborative.

1. A compter du 1er janvier 2018, les plateformes qui valorisent des contenus, des biens ou des services proposés par des tiers, à savoir les moteurs de recherche et les sites comparatifs notamment, devront préciser les critères de référencement et de déréférencement ainsi que les critères de classement de leurs résultats. Ces sites devront également indiquer dans quelle mesure le montant de leur rémunération entre en compte dans l'ordre de présentation des contenus.

Les plateformes de mise en relation doivent prévoir une rubrique accessible depuis toutes les pages du site comprenant notamment les informations relatives à la qualité des personnes pouvant proposer la vente de biens ou de services (consommateurs ou professionnels), la description de la mise en relation entre vendeurs et acheteurs, la commission due à la plateforme pour la mise en relation, etc. A noter que ces informations figurent en principe dans les conditions générales de la plateforme.

Enfin, les plateformes B-to-C doivent mettre à la disposition des vendeurs professionnels un espace permettant la communication des informations prévues aux articles L.221-5 et L.221-6 du code de la consommation (description du bien ou du service proposé, prix, délais de livraison, coordonnées du professionnel, garantie légale, existence d’un droit de rétractation, modalités de règlement des litiges, etc.).

Par ailleurs, les sites web publiant des avis de consommateurs devront préciser si ces avis ont été vérifiés et, le cas échéant, de quelle manière cette vérification a été effectuée. Lorsque les avis sont vérifiés, l’opérateur du site doit veiller à ce que les données personnelles des contributeurs soient traitées conformément aux obligations de la loi Informatique et Libertés.

2. A compter du 1er janvier 2019, les plateformes qui comptabilisent en moyenne plus de 5 millions de visiteurs uniques mensuels devront “appliquer des bonnes pratiques en matière de clarté, de transparence et de loyauté.” Ces règles, qui devront être consultables en ligne, correspondent aux obligations générales d’information précontractuelle définies aux articles L.111-1 et suivants du code de la consommation.


                                                                      * * * * * * * * * * * *

(1) Loi n°2016-1321 du 7 octobre 2016 pour une république numérique

(2) Décret n°2017-1434 du 29 septembre 2017 relatif aux obligations d'information des opérateurs de plateformes numériques ; Décret n°2017-1435 du 29 septembre 2017 relatif à la fixation d'un seuil de connexions à partir duquel les opérateurs de plateformes en ligne élaborent et diffusent des bonnes pratiques pour renforcer la loyauté, la clarté et la transparence des informations transmises aux consommateurs ; Décret n°2017-1436 du 29 septembre 2017 relatif aux obligations d'information relatives aux avis en ligne de consommateurs


Bénédicte DELEPORTE
Avocat

Deleporte Wentz Avocat
www.dwavocat.com

Février 2018

Pourquoi être concerné par le RGPD si votre entreprise n'est pas localisée dans l’UE ?

La directive du 24 octobre 1995 sur la protection des données s’appliquait aux traitements de données réalisés par des organismes, responsables de traitement, situés dans l’Union européenne. Les traitements de données réalisés par des responsables de traitement situés en dehors de l’UE n’étaient en principe pas soumis aux règles de la directive européenne, telles que transposées dans les lois nationales des Etats-membres. (1) Or, avec le développement des technologies et des services en ligne autour de la donnée, de nombreuses sociétés situées hors Union européenne, telles que Google, Amazon, Facebook ou Apple (les “GAFA”) notamment, collectent et traitent des données d’Européens et “échappent” à la réglementation européenne, même si les transferts de données vers ces sociétés américaines sont notamment soumis aux principes du Privacy Shield.

Désormais la donnée, et plus particulièrement la donnée personnelle, est au coeur de l’économie numérique. Il était donc nécessaire de mettre à jour la règlementation des données personnelles pour prendre en compte les évolutions technologiques intervenues depuis la directive de 1995 et assurer un niveau de protection élevé et homogène des données personnelles. C’est chose faite avec le règlement général sur la protection des données (RGPD). Ce texte, adopté le 27 avril 2016 après plus de quatre ans d’intenses discussions, doit entrer en application le 25 mai 2018. (2)

L’un des objectifs du RGPD est de prendre en compte, d’une part les cas dans lesquels plusieurs responsables de traitements et/ou sous-traitants, situés dans différentes régions du monde, sont impliqués dans un traitement de données, d’autre part les services de cloud computing et de big data (serveurs déployés et données collectées dans plusieurs régions), et enfin les activités des GAFA, ceci afin que les données personnelles des résidents européens restent protégées quel que soit le pays dans le monde où se trouve le responsable de traitement.

Le champ d’application du règlement couvre donc non seulement le territoire de l’Union européenne, mais aussi les entreprises situées hors Union européenne qui visent le marché européen. Ces entreprises sont donc concernées par le RGPD et doivent se mettre en conformité avec ces nouvelles règles.


1. Le RGPD, un texte applicable en Europe et au-delà

La directive de 1995 devait être transposée dans les lois nationales des Etats membres. Ces lois nationales sur la protection des données personnelles comportaient cependant des différences entre les Etats membres, certains états ayant choisi une application stricte de la directive, alors que d’autres ont opté pour une application plus souple.

Le règlement général sera d’application directe dans les Etats membres. Ses règles s’appliqueront de manière quasiment uniforme dans tous les Etats membres, hormis quelques dispositions qui pourront différer d’un pays à l’autre. (3)

Mais alors que la directive n’avait que peu d’impact en dehors de l’Union européenne, le règlement sera d’application territoriale dans l’UE, mais également extra-territoriale, au-delà de l’UE. (4)

    1.1 Application dans l’Union européenne

Le règlement s’appliquera, d’une part aux traitements de données à caractère personnel réalisés dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l’Union européenne, que le traitement lui-même ait lieu ou non dans l’UE.

L’établissement situé dans l’UE nécessite un effectif et une activité stables. En revanche, l’établissement n’est pas soumis à une forme juridique particulière. Il peut s’agir du siège, d’une filiale, voire de la succursale d’une entreprise, elle-même située en dehors de l’Union.

Le traitement peut être réalisé, ou non dans l’UE. Cette disposition permet par exemple de soumettre au règlement les bases de données hébergées en cloud, quels que soient les pays d’installation des serveurs.

    1.2 Application extra-territoriale

Le règlement s’appliquera d’autre part aux traitements de données à caractère personnel relatifs à des personnes qui se trouvent dans l’UE, réalisés par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l’UE, lorsque les activités de traitement sont liées à l'offre de biens (site de e-commerce) ou de services (applications mobiles, hébergement de données en cloud) à ces personnes, à titre gratuit ou payant.

Pour déterminer si l’entreprise, responsable du traitement ou sous-traitant, vise le marché européen en proposant des biens ou des services à des personnes situées dans l’UE, il conviendra de relever les indices qui permettront d’établir que le responsable du traitement ou le sous-traitant visent bien le marché européen. Par exemple, la simple accessibilité du site internet de l’entreprise en cause, une adresse email ou l'utilisation d'une langue généralement utilisée dans le pays tiers où cette entreprise est établie ne suffira pas pour déterminer que le responsable du traitement ou le sous-traitant visent effectivement le marché européen. En revanche, des éléments tels que l'utilisation d'une langue européenne ou d'une monnaie telle que l’euro pourront permettre de démontrer que le marché européen est effectivement visé.

Par ailleurs, les traitements de données de personnes situées dans l'Union européenne par une entreprise, responsable du traitement ou sous-traitant, qui n'est pas établie dans l'Union seront également soumis au règlement lorsque ces traitements ont pour objet le suivi du comportement de ces personnes, sous réserve qu’il s’agisse de leur comportement dans l’UE. Cette disposition concerne particulièrement les activités de profilage en ligne, “afin notamment de prendre des décisions concernant” la personne, “ou d'analyser ou de prédire ses préférences, ses comportements et ses dispositions d’esprit.” (5)

On retiendra également que ces dispositions s’appliquent tant aux responsables de traitement qu’aux sous-traitants. Ces derniers sont donc concernés par les dispositions du RGPD, au même titre que les responsables de traitement, donneurs d’ordre, ou peuvent même être considérés comme co-responsables de traitement.

Ainsi, le règlement ne limite pas son applicabilité aux responsables de traitements et aux sous-traitants établis dans l’Union européenne, mais étend son périmètre géographique au-delà des frontières de l’Union européenne, dès lors que des données personnelles de résidents européens sont concernées.


2. Quelles conséquences pour les entreprises non-européennes ?

Les entreprises n’ayant aucun établissement sur le territoire de l’UE, mais qui visent l’Europe pour leurs activités commerciales (voir critères ci-dessus), et à ce titre, qui collectent et traitent des données personnelles d’Européens devront donc se conformer au RGPD, la date butoir étant fixée au 25 mai 2018.

    2.1 L’obligation de désigner un représentant dans l’Union

Au-delà des travaux de mise en conformité au règlement, les entreprises, responsables de traitements et sous-traitants, n’ayant pas d’établissement sur le territoire de l’UE devront désigner “par écrit” un représentant dans l’Union. (6)

Ce représentant devra être établi dans un des États membres dans lesquels se trouvent les personnes physiques dont les données font l'objet d'un traitement. Le représentant, mandaté par le responsable du traitement ou le sous-traitant, servira de contact pour les autorités de contrôle et les personnes concernées pour les questions relatives au traitement. Le responsable du traitement ou le sous-traitant resteront néanmoins responsables juridiquement de la conformité et du respect au RGPD.
La désignation d’un représentant ne s’appliquera cependant pas à toutes les entreprises non-européennes concernées.

Seront exemptés de cette obligation les responsables du traitement ou sous-traitants :
. qui mettront en oeuvre des traitements à titre occasionnel,
. qui n'impliquent pas un traitement à grande échelle des catégories particulières de données sensibles visées à l'article 9 par.1, ou un traitement de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10,
. et qui mettront en oeuvre des traitements ne nécessitant pas d’analyse d’impact en vertu de l’article 35 du règlement.

De même, les autorités et organismes publics non européens ne sont pas concernés par cette obligation de désignation d’un représentant.

    2.2 Le cas du Royaume-Uni après le Brexit

Une fois que le Royaume-Uni sera sorti de l’Union européenne, il ne sera plus soumis au RGPD. Cependant, le gouvernement britannique vient de se prononcer pour l’adoption d’une loi, réformant la Data Protection Act 1998 actuelle et intégrant dans le droit anglais les règles du RGPD.

L’objet de ce projet de loi est de rassurer le monde des affaires suite au Brexit, sur la possibilité de poursuivre les transferts de données entre le Royaume-Uni et l’Union européenne. Par ce biais, le Royaume-Uni souhaite s’assurer que sa loi sur la protection des données personnelles sera considérée par la Commission de Bruxelles comme offrant un niveau de protection adéquat, permettant de continuer à transférer librement des données personnelles entre le Royaume-Uni et l’UE. (7)

    2.3 La mise en conformité au RGPD

Le règlement européen comprend de nombreux principes nouveaux ou renforcés par rapport à la réglementation actuelle qu’il convient de prendre en compte. Ces principes devront être intégrés  par les entreprises dans leurs procédures de développement de nouveaux produits et services à destination du marché européen, pour être en conformité au règlement. Parmi ces principes, il convient de rappeler : (8)

a) Concernant les droits des personnes :
    - Le renforcement des conditions de l’obtention du consentement des personnes (art. 7) : les termes relatifs au consentement doivent être rédigés de manière claire et explicite. ;
    - L’information des personnes concernées doit être transparente, et rédigée en termes clairs et simples ;
    - Le droit à la portabilité des données (art. 20) permet aux personnes concernées de demander au responsable de traitement de récupérer ou transmettre leurs données personnelles collectées pour les transférer à un nouveau responsable de traitement ;
    - La protection spécifique des données personnelles des mineurs de moins de 16 ans (art. 8). Lorsque des services en ligne sont destinés aux enfants, les traitements de données de mineurs de moins de 16 ans (ou 13 ans dans les Etats membres qui ont fixé cette limite d’âge) seront soumis à l’accord ou l’autorisation de la personne exerçant l’autorité parentale.

b) Concernant les responsables de traitements et sous-traitants
    - Les traitements automatisés et les techniques de profilage sont encadrés (art. 22). Ces traitements seront autorisés sous certaines conditions et si la personne a donné son consentement ;
    - Le responsable de traitement devra déployer des règles internes claires et facilement accessibles afin de garantir et démontrer le respect de la réglementation (notion d’“accountability”) (art. 5 et 24) ;
    - Lors du développement de nouveaux produits ou services, les responsables de traitement devront intégrer par défaut la protection des données personnelles dans la définition des moyens de traitement et dans le traitement lui-même (principe de “protection de la vie privée dès la conception” ou “privacy by design”) (art. 5 et 25) ;
    - Le règlement prévoit des règles de sécurité accrues et une obligation de notification des failles de sécurité à tous les responsables de traitement (art. 5, et 32 à 34) ;
    - Un délégué à la protection des données devra être désigné dans les entreprises ayant pour “activité de base” la gestion de données personnelles “à grande échelle” ou le contrôle et suivi du comportement des personnes (art. 37, 38 et 39).

Enfin, le règlement prévoit un pouvoir de sanction par les autorités de contrôle plus large et dissuasif (art. 83). Selon le type de violation retenu, les autorités de contrôle pourront prononcer des amendes administratives pouvant s’élever soit à 10 millions d’euros ou 2% du chiffre d’affaires total mondial de l’entreprise pour l’exercice précédent, le montant le plus élevé étant retenu, soit à 20 millions d’euros ou 4% du chiffre d’affaires total mondial de l’entreprise pour l’exercice précédent.

                                                                   * * * * * * * * * * * *


(1) Voir l’article 4 “Droit national applicable” de la Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données

(2) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD)

(3) Par exemple, l’âge minimum pour un jeune pour donner son consentement pourra être compris entre 13 et 16 ans, le choix étant laissé à chaque Etat membre.

(4) Voir RGPD, considérants 22 à 24 et article 3 “Champ d’application territoriale”

(5) Considérant 24

(6) RGPD, article 27

(7) “UK Government announces proposals for a new Data Protection Bill”, in Technology Law Dispatch, 16 août 2017

(8) Pour une analyse plus détaillée des obligations relatives à la mise en conformité au RGPD, voir nos articles à ce sujet : “Adoption du Règlement européen sur la protection des données personnelles : le compte à rebours de la mise en conformité a commencé”, “Entrée en application du RGPD en mai 2018 : comment organiser votre mise en conformité au règlement européen ?”, “Sécurité des données personnelles : vers la généralisation de la procédure de notification des incidents de sécurité"


Bénédicte DELEPORTE
Avocat

Deleporte Wentz Avocat
www.dwavocat.com

Septembre 2017

E-réputation : quand le droit s’adapte au numérique

 Le magazine Face au Risque a publié son 500ème numéro en février. A cette occasion, une rubrique a été consacrée à "La loi, aujourd’hui et demain". Nous y avons participé en publiant l'article ci-après dans lequel nous avons retracé l’évolution de la réglementation en matière de réputation en ligne.


    Internet est un espace de liberté d’expression, sans pour autant être exonéré des règles de droit. Si le réseau offre la possibilité pour tous de partager du contenu et donner son avis sur des produits et services, il permet aussi aux internautes de contribuer à faire et défaire la réputation d’une entreprise, ce qui peut être lourd de conséquence en termes économiques.

Face à des pratiques malveillantes, la loi a évolué pour prendre en compte les spécificités du web. C’est ainsi qu’en 2004 et 2011, le législateur a mis à disposition des entreprises de nouveaux outils juridiques.

Riposter. Initialement prévu pour la presse écrite, le législateur a crée un droit de réponse spécifique à la presse en ligne qui permet à toute personne, nommée ou désignée dans un service de communication au public en ligne, de faire connaître son point de vue.

Obtenir la suppression des contenus illicites. Cette récente procédure permet aux entreprises victimes de demander aux hébergeurs, sous certaines conditions, le retrait de propos ou contenus litigieux.

Identifier l’auteur des faits. Les hébergeurs doivent conserver pendant un an les données d’identification des créateurs des contenus qu’ils stockent. La loi permet désormais aux entreprises victimes de leur demander les coordonnées des auteurs des propos litigieux, sous réserve de l’accord du juge, afin d’entamer des poursuites judiciaires.

Faire condamner l’usurpateur d’identité. Initialement prévu pour les seules atteintes à l’état civil, le législateur a comblé cette lacune en créant un nouveau délit d’usurpation d’identité en ligne, passible d’un an d’emprisonnement et 15.000€ d’amende.

Cet arsenal répressif pourrait bientôt être renforcé par l’instauration d’un droit à l’oubli numérique, permettant à toute personne d’obtenir l’effacement de données la concernant. Ce droit est prévu dans la proposition de Règlement européen, devant être adopté courant 2014 et entrer en vigueur début 2016.


Betty SFEZ - Avocat
Deleporte Wentz Avocat

www.dwavocat.com

* Article publié dans Face au Risque n°500, février 2014, www.faceaurisque.com

La prochaine réforme de la protection des données personnelles en Europe : vers un renforcement des droits des personnes et des obligations des entreprises

La directive européenne sur la protection des données personnelles date d’octobre 1995.  Or, depuis 1995, les manières de collecter, utiliser, interconnecter, diffuser - en d’autres termes “traiter” - les données à caractère personnel, ont beaucoup évolué. Pour prendre en compte ces évolutions, notamment le développement des usages d’internet et des réseaux sociaux, mais également de toutes les technologies utilisant des données personnelles, la Commission européenne a publié le 25 janvier 2012, une proposition de règlement relatif à la protection des personnes relative au traitement de leurs données à caractère personnel. (1)

Ce règlement, une fois le texte définitif adopté, sera d’application immédiate et uniforme dans l’ensemble de l’Union européenne et viendra remplacer la directive de 1995 et les différentes lois nationales de protection des données personnelles. Ce texte devrait être adopté début 2014 et entrer en vigueur début 2016. Même si cette échéance peut paraître encore éloignée, et que certains aspects du règlement sont toujours en cours de discussion, il nous semble important d’en exposer les principaux aspects afin de permettre aux entreprises d’anticiper au mieux sa mise en oeuvre.

Il ne s’agit pas ici de faire une description exhaustive de la proposition de règlement mais de se focaliser sur les principales dispositions. Ainsi, les deux grands axes à retenir sont un renforcement des droits des personnes concernées sur leurs données, notamment en matière d’information préalable, de consentement, de droit d’opposition et de droit à l’oubli, et en parallèle, un renforcement des obligations des entreprises en matière de collecte et de traitement des données personnelles, avec des sanctions alourdies en cas de non-respect de la nouvelle règlementation.


1. Le renforcement des droits des personnes concernées sur leurs données

Les sources de collecte de données personnelles se sont démultipliées ces dernières années, d’une part avec des technologies et pratiques commerciales facilitant ces collectes (développement du e-commerce, du web 2.0, des smartphones et des applications mobiles,  du cloud computing, des technologies et objets dits “intelligents”, etc.), d’autre part du fait de l’évolution des modes d’utilisation de ces technologies par les internautes (grâce aux achats en ligne, à l’utilisation des réseaux sociaux, des applications mobiles, des services de géolocalisation, entre autres). L’intensification de l’utilisation de nos données personnelles et l’absence de frontières physiques ont rendu les lois sur la protection des données personnelles quelque peu obsolètes, en témoignent les incessants allers-retours entre la Commission européenne et les principales sociétés du web (Google et Facebook par exemple), en matière de rappel au respect des principes de protection des données à caractère personnel.

La proposition de règlement européen apporte des modifications substantielles concernant les droits des personnes dont les données sont traitées, en allant vers un renforcement de ces droits.

    1.1 Les règles de recueil du consentement des personnes
Les modalités de recueil du consentement par la personne concernée, au traitement de ses données personnelles, ont été précisées et vont dans le sens d’une plus grande maîtrise de principe de l’accord et de son retrait par la personne concernée.

Le texte européen définit le consentement comme toute manifestation de volonté, libre, spécifique, informée et explicite par laquelle la personne dont les données sont traitées (la “personne concernée”) accepte, par une déclaration ou par un acte positif univoque, que des données personnelles la concernant fassent l'objet d'un traitement.

Ainsi, lorsqu’il est requis, le consentement au traitement des données personnelles ne peut être tacite ou implicite. Il doit nécessairement répondre à une information préalable claire, précise et complète. La charge de la preuve de l’obtention du consentement de l’utilisateur incombera à l’entreprise qui traite ces données.

En outre, le consentement de la personne concernée, au traitement de ses données, n'est valable que si cette personne est effectivement en mesure de retirer son consentement à tout moment, et donc de s'opposer ultérieurement à la poursuite du traitement de ses données.

Les entreprises devront systématiquement s’assurer que les acheteurs de leurs produits ou les utilisateurs de leurs services ont accepté de façon effective la collecte et le traitement de leurs données.

Enfin, le règlement prévoit que “le consentement ne constitue pas un fondement juridique valable pour le traitement lorsqu'il existe un déséquilibre significatif entre la personne concernée et le responsable du traitement”. Il en irait ainsi lorsque la personne concernée se trouverait dans une situation de dépendance par rapport à l’entreprise et qu’elle ne serait pas en mesure de négocier ou de faire modifier les conditions contractuelles ; par exemple, les données personnelles concernant un salarié et traitées par son employeur dans le cadre de  l’exécution du contrat de travail, ou les contrats d'adhésion entre des particuliers et des entreprises. Il sera intéressant de voir comment cette disposition sera interprétée, dans la mesure où la plupart des contrats conclus entre les consommateurs et les sociétés de services (téléphonie, assurances, banque, etc.) et tous les contrats conclus en ligne peuvent être qualifiés de contrats d’adhésion dans lesquels existe un “déséquilibre significatif” entre les parties.

    1.2 Les droits des personnes concernées
Outre le renforcement des règles relatives au recueil du consentement des personnes, leurs droits sur la manière dont leurs données seront traitées ont été précisés.

- Le droit à l’oubli numérique : ce droit permet à toute personne de demander la suppression totale des données collectées par une entreprise, notamment lorsque ces collectes ont été réalisées alors que la personne concernée était mineure, ou lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, ou encore lorsque le délai de conservation autorisé a expiré.

Dès lors, toute entreprise ayant collecté des données à caractère personnel devra les effacer, à la demande de la personne concernée, et en cesser toute diffusion. Par exemple, un internaute qui voudrait résilier son compte sur un réseau social devrait pouvoir obtenir de l’exploitant du site qu'il détruise toutes les données personnelles le concernant, sous réserve du droit applicable (droit du pays d’établissement de l’exploitant du site ou droit du pays de résidence de l’internaute - en l’occurrence, droit de l’UE).

La proposition de règlement prévoit également que l’entreprise doit d’une part, procéder à l'effacement des données sans délai, sauf motif légitime pour les conserver (pour respecter une obligation légale de conservation des données ou à des fins de recherche statistique et scientifique par exemple) et d’autre part, prendre toutes mesures utiles afin d'informer l'ensemble des tiers à qui elle a communiqué les données de la demande de la personne concernée.

- Le droit à la portabilité des données : ce droit offre la possibilité aux personnes concernées de se voir restituer leurs données personnelles dans un format électronique communément utilisé, permettant de les transférer à un autre fournisseur de service. Comme pour les numéros de téléphone, le principe de portabilité des données permet de faciliter le transfert des données personnelles vers de nouveaux prestataires, et de ne pas être tenu de rester  indéfiniment chez le même prestataire quand bien même le niveau et/ou le prix des services serait devenu insatisfaisant. 

- Le droit d’opposition au profilage : la proposition de règlement impose le principe du consentement préalable et le respect du droit d’opposition des personnes concernées aux actions de marketing direct et de profilage. Le “profilage” peut se définir comme toute forme de traitement de données personnelles destiné à évaluer certains aspects personnels propres à une personne physique ou à analyser ou prévoir ses habitudes de navigation sur le web, ses habitudes d’achat de biens et de services, voire sa productivité professionnelle, ou sa catégorie socio-professionnelle. Le texte européen exige que ces personnes soient dûment informées du traitement de leurs données à des fins de profilage et des effets escomptés de ce traitement.


2. Le renforcement des obligations applicables aux entreprises collectant des données personnelles

Face au renforcement des droits des personnes concernées, les obligations des sociétés collectant des données à caractère personnel ont également été renforcées par rapport à la situation actuelle, avec un alourdissement des sanctions pécuniaires en cas de violation des dispositions réglementaires. 

    2.1 L’obligation de déployer de nouvelles procédures internes de gouvernance
Les formalités déclaratives auprès de la CNIL seront simplifiées, et pour certaines catégories de traitements, supprimées.

En contrepartie, les entreprises devront déployer des procédures internes pour assurer le respect des principes de protection des données personnelles. Ces procédures, créant une véritable politique de gouvernance en matière de protection des données personnelles, comprendront : audits, registres, études d’impact, prise en compte de la protection des données dès la conception des nouveaux produits et services (mise en oeuvre des principes de “Privacy by design” ou de “Privacy by default”), codes de conduite, etc. (2)

Les entreprises devront adopter des règles internes contraignantes, tenir une documentation permettant de conserver la trace des traitements mis en oeuvre et de leurs caractéristiques, pouvoir rapporter la preuve de la mise en oeuvre de mesures de sécurité des données appropriées, mettre en œuvre des mécanismes pour vérifier l’efficacité de ces mesures, etc. Ces mesures et procédures techniques et organisationnelles devront être appliquées depuis la définition des moyens de traitement jusqu’à leur mise en oeuvre effective.

Par ailleurs, en cas de traitements sensibles de données personnelles, les entreprises devront réaliser une analyse d'impact et définir des mesures appropriées pour garantir la protection des données en cause. Par “traitement sensible”, il faut comprendre tout  traitement présentant des risques particuliers au regard des droits et libertés des personnes concernées, du fait de leur nature ou de leur finalité (tels que les traitements de données relatifs à la santé, aux orientations sexuelles, aux origines raciales ou ethniques, ou encore les traitements relatifs à la surveillance de zones accessibles au public impliquant l’usage de dispositifs de vidéosurveillance).

Enfin, en cas d’existence de plusieurs filiales dans l’Union européenne, l’autorité en charge de la protection des données compétente sera celle de l’Etat membre dans lequel le responsable du traitement a son établissement principal. Ce concept de “guichet unique” sera certainement amené à être précisé dans la version finale du règlement.

    2.2 La désignation d’un délégué à la protection des données
Le délégué à la protection des données (ou “DPD”) est l’équivalent en France, du Correspondant Informatique et Libertés, communément appelé “CIL”. Dans le dispositif actuel, le CIL, dont la nomination n’est pas obligatoire, a pour mission de veiller à l'application de la loi Informatique et Libertés au sein de l’entreprise qui l’a désigné. La désignation d’un CIL présente de nombreux avantages, tel que l’allégement des formalités obligatoires auprès de la CNIL et l’amélioration de la maîtrise des risques juridiques et techniques liés aux traitements des données personnelles. (3)

Avec l’entrée en vigueur du règlement européen, les entreprises auront l’obligation de désigner un délégué à la protection des données dans deux cas : si l’entreprise compte au moins 250 salariés ou si cette société traite des données sensibles, à savoir des données dont la nature, la portée et/ou la finalité exigent un suivi régulier et systématique des personnes concernées. Le DPD pourra être interne à l’entreprise ou externe à celle-ci (avocat ou consultant en informatique par exemple).

    2.3 L’obligation de notifier les violations de données à la CNIL
Une violation de données personnelles consiste en une atteinte à la sécurité des traitements, entraînant de manière accidentelle ou illicite la destruction, la perte, l'altération, la divulgation ou la consultation non autorisée de données personnelles transmises, conservées ou traitées d’une autre manière. Par exemple, une faille dans la boutique d’un e-commerçant qui permettrait de récupérer des noms, adresses, et/ou numéros de cartes bancaires des utilisateurs inscrits ou un email confidentiel destiné à un client, et diffusé par erreur à d’autres personnes constitueraient des cas de violation de données personnelles.

Les entreprises françaises ont l’obligation de notifier toute violation grave des données à la CNIL dans les meilleurs délais, et si possible dans un délai de 24 heures après en avoir eu connaissance. La notification doit au minimum décrire (i) la nature de la violation ainsi que les catégories et le nombre de personnes et de données affectées, (ii) les conséquences de la violation des données, et (iii) les mesures proposées ou prises pour y remédier. L’entreprise doit conserver une trace documentaire de toute violation de données à caractère personnel.

Sauf à démontrer à la CNIL qu’elle a pris des mesures de sécurité appropriées, l’entreprise a l’obligation d’informer toutes personnes concernées de la violation de leurs données, lorsque cette violation est susceptible de porter atteinte à la protection de leurs données personnelles ou à la vie privée.

Cette obligation existe déjà à l’article 34 bis de la Loi Informatique et Libertés. Si la loi française impose uniquement cette notification aux fournisseurs de services de communication électronique, le texte européen ne semble pas faire de distinction suivant l’activité de l’entreprise. Cette obligation serait donc à la charge de toute entreprise traitant des données personnelles.

    2.4 De lourdes sanctions en cas de non respect de la réglementation
Ces règles, qui s’appliqueront directement dans chacun des Etats membres de l’Union européenne, prévoient des sanctions financières particulièrement lourdes en cas de non respect de la réglementation.

Les entreprises qui enfreindraient les règles posées par le règlement seront passibles de sanctions financières pouvant atteindre des montants élevés. Si en France la CNIL peut déjà aujourd’hui prononcer des amendes d’un montant maximum de 300.000€, le texte européen permettra d’imposer des amendes pouvant s'élever à 2% du chiffre d’affaires annuel mondial de l’entreprise fautive.

Le montant de l'amende sera fixé en tenant compte de plusieurs paramètres tels la nature, la gravité et la durée de la violation, le fait que l'infraction a été commise de façon délibérée ou par négligence, le degré de responsabilité de la personne en cause, l’existence de cas de violations commises antérieurement par la société, ou le degré de coopération avec la CNIL en vue de remédier à la violation ou à la non-conformité.

Il convient cependant de noter que sans moyens humains supplémentaires, il sera difficile pour la CNIL, comme pour les autres autorités en charge de la protection des données personnelles, de jouer pleinement leur rôle.


    Le risque, pour tout texte réglementaire technique, est d’être trop attaché à l'état des technologies à la date de son adoption. Or, la vitesse de l’évolution des usages, des pratiques et des outils et services disponibles tendent à rendre ces textes règlementaires très rapidement obsolètes. Même si la proposition de règlement relatif à la protection des données personnelles n’est pas encore définitif, il est à craindre qu’un texte qui ne serait pas assez générique dans son approche, prenant en compte les technologies plutôt que les usages, devienne rapidement caduque et difficilement applicable.

La proposition de règlement fait ainsi l’objet de nombreuses réserves et critiques depuis sa première publication, en janvier 2012. Ce texte suscite une multiplication de résolutions, amendements ou avis mettant en relief ses points faibles ou manquements. Par exemple, l’Assemblée nationale, dans sa proposition de résolution de février 2012, recommandait de compléter le texte européen en ajoutant des dispositions spécifiques au Cloud computing, ces services n’étant pas expressément visés par la proposition de règlement.

Le texte est actuellement en cours d’examen par le Parlement européen au sein de la Commission chargée des questions relatives aux affaires civiles, justice et affaires intérieures (Commission LIBE). Jan Philipp Albrecht, député européen et rapporteur du groupe, vient de publier son projet de rapport le 8 janvier 2013. Ce texte prévoit notamment d’allonger le délai de notification des violations de données de 24 à 72h ; l’exercice gratuit du droit d’opposition et le recours à la “pseudonymisation” et à l’anonymisation des données pour ne pas identifier directement une personne physique, notamment sur les réseaux sociaux. Ce projet de rapport précise par ailleurs que l’utilisation d’options par défaut, que la personne concernée doit modifier pour marquer son opposition au traitement, comme les cases pré-cochées (opt-out), n’est pas l’expression d’un libre consentement. Enfin, le texte encourage la mise en place d’un système normalisé d’icônes et de logos afin de faciliter la compréhension des conditions de collecte et de traitement des données par les personnes concernées. (4)

Les négociations entre le Parlement, la Commission et le Conseil européen débuteront à partir de mai 2013 en vue d’obtenir un compromis et un texte final d’ici le début de l’année prochaine.


* * * * * * * * * * * *

(1) Voir les textes en référence : proposition de règlement du parlement européen et du conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données du 25 janvier 2012, (2012/0011 (COD) ; directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; et loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée.

(2) Le “Privacy By Design” ou principe de protection des données dès la conception d’un produit ou d’un service, requiert l’intégration de la prise en compte de la protection dans le cycle de vie d’une technologie, dès la première étape de sa conception jusqu’à son déploiement, son utilisation et son élimination. Le “Privacy by Default” ou principe de la protection des données par défaut, requiert que les paramètres de respect de la vie privée dans les services et produits soient par défaut conformes aux principes généraux de la protection des données, tels que la réduction au minimum des volumes de données collectées et la limitation de la finalité des traitements.

(3) Voir à ce sujet notre article “Le Correspondant Informatique et Libertés, garant de la conformité des traitements de données personnelles à la loi”, sur notre blog à http://dwavocat.blogspot.fr/2011/12/le-correspondant-informatique-et.html

(4) Projet de rapport sur la proposition de règlement européen relative aux données du 25 janvier 2012, Commission des libertés civiles, de la justice et des affaires intérieures, publié par le rapporteur Jan Philipp Albrecht le 8 janvier 2013.


Bénédicte DELEPORTE – Avocat
Betty SFEZ – Avocat

Deleporte Wentz Avocat
www.dwavocat.com

Janvier 2013

Les atteintes à l’e-réputation de l'entreprise : comment défendre son image de marque sur internet

Les atteintes à l'e-réputation font régulièrement la une de la presse internet. En attestent par exemple, la condamnation de sites de réservation d'hôtels et de voyages en octobre 2011 pour avoir notamment publié de faux avis de consommateurs ou, plus récemment, la révélation des pratiques de la société Orangina qui aurait trafiqué sa page Facebook avec de faux profils pour animer sa propre "fan page".(1)

Avec le développement de l’internet participatif, et la possibilité pour tous de créer, publier et partager des contenus en ligne, mais également de commenter ou recommander des sites webs, produits ou services, la gestion et la maîtrise de sa réputation numérique sont devenues une préoccupation majeure pour les entreprises et leurs dirigeants.

Comment l'entreprise peut-elle éviter "le mauvais buzz", faire face aux critiques et défendre son image de marque sur internet ? L’objet du présent article est d’apporter quelques éléments de réponse.

1. Comment anticiper les risques d’atteinte à la réputation numérique de l'entreprise ?

L'e-réputation consiste en l’image d’une personne physique, d'une entreprise ou d’une marque, telle que perçue par les internautes. Les clients, utilisateurs, concurrents et salariés d'une entreprise peuvent contribuer à faire et à défaire sa réputation ou celle d’une ligne de produits ou de services. Il est donc conseillé de mettre en oeuvre des règles de gestion, ou bonnes pratiques, de l’image de marque de l’entreprise.

    1.1 Les pratiques portant atteinte à l'e-réputation de l’entreprise et/ou de ses dirigeants

Les atteintes à l’e-réputation d’une entreprise peuvent être de deux types : d’une part, l’entreprise qui tente de manipuler son image de marque en ligne par l’intermédiaire de faux avis de consommateurs par exemple, et dont les pratiques sont divulguées, portant ainsi atteinte à la crédibilité de sa communication vis-à-vis du public, d’autre part un utilisateur ou un groupe de consommateurs insatisfaits qui décident de cibler une entreprise et ses produits en publiant des commentaires et avis négatifs, plus ou moins fondés, l’objectif étant de porter atteinte à l’image de cette entreprise et/ou de ses produits.

Les pratiques résultant en une atteinte à l’e-réputation se déclinent de plusieurs manières :

- Les faux avis de consommateurs mis en ligne par une entreprise visant à manipuler sa réputation. Cette pratique peut dans certains cas être qualifiée de pratique commerciale trompeuse ;

- Les faux avis de consommateurs mis en ligne par une entreprise concurrente, et édités par ses salariés ou des entreprises spécialisées dans la rédaction de faux commentaires ;

- Les avis négatifs de consommateurs ciblant les produits et services d'une entreprise, postés sur des forums de discussion, des blogs, etc. ;

- Le dénigrement et la diffusion de fausses informations : le dénigrement consiste à jeter publiquement le discrédit sur un concurrent en répandant des informations erronées ou malveillantes sur sa personnalité ou ses produits, services, compétences et prix, afin de détourner sa clientèle ou d’en tirer un quelconque profit ;

- La divulgation d'informations personnelles sur les clients ou dirigeants de l'entreprise pouvant porter atteinte à leur vie privée ou au droit à l'image ou la divulgation d'informations confidentielles (secret d’affaires, secret de fabrication, savoir-faire, etc.).(2) L’accès aux informations confidentielles peut, par exemple, être dû au piratage du système d'information de l'entreprise en cause ;

- La diffamation et l’injure consistent, par exemple, en l'allégation d’un fait portant atteinte à l’honneur d'un dirigeant d'entreprise ou en l'utilisation d'une expression outrageante à son encontre ;

- Les atteintes à la marque et au nom de domaine : une marque ou un logo peuvent faire l'objet d'un détournement, d'une reproduction non autorisée ou d'une imitation servile. L’atteinte peut par exemple consister en l’apposition d’un terme péjoratif, dénigrant ou insultant au nom de l’entreprise ou à l’une de ses marques (tel que arnaque, escroquerie ou boycott). Les noms de domaine peuvent également être détournés par le "cybersquatting" ou le “typosquatting” ;

- L’usurpation d'identité : l'identité d'une entreprise peut être usurpée au moyen du "phishing", consistant pour les fraudeurs à tromper un internaute sur l'origine d'un message (provenant de sa banque par exemple) afin de lui soutirer des informations confidentielles telles que mots de passe ou numéro de carte bancaire.

Les conséquences d’une atteinte à l’e-réputation :

Ces différentes pratiques sont nuisibles à l'entreprise dans la mesure où celle-ci court le risque de voir sa marque associée à des valeurs non souhaitées ou à des comportements répréhensibles et où la divulgation d'information peut desservir les intérêts de ses clients, actionnaires, fournisseurs, distributeurs et autres partenaires commerciaux.

De nombreuses entreprises ont déjà fait les frais d'un "mauvais buzz", justifié ou non. On citera, par exemple, les sociétés Acadomia (constitution de fichiers nominatifs sans autorisation contenant des commentaires injurieux envers les enseignants et clients), Nestlé (pratiques contestables liées à l’utilisation de l'huile de palme et à la déforestation, dénoncées par Greenpeace) ou, plus récemment, Guerlain (propos racistes tenus par le fondateur).(3)

Les entreprises doivent se préparer à ces types d’atteinte à leur image et développer des règles de gestion de leur e-réputation. 

   1.2 La mise en oeuvre de bonnes pratiques en matière de gestion de l’image de marque de l’entreprise

Anticiper les risques d’atteinte à l’image est indispensable ; l'entreprise doit donc développer une véritable politique de gestion de sa réputation numérique et mettre en oeuvre des bonnes pratiques de gestion de son image de marque :

- La protection des marques et noms de domaine de l'entreprise : en premier lieu, il est recommandé à l'entreprise de protéger sa/ses marques par le droit de la propriété intellectuelle par leur enregistrement auprès de l’INPI, éventuellement sous plusieurs formes (verbale et figurative) et d’étendre la protection à plusieurs pays au cas où l’entreprise aurait une activité commerciale à l’international (marque communautaire ou internationale). Ce mode de protection permettra à l’entreprise de poursuivre en justice les tiers qui reproduiraient sa marque de manière non autorisée et/ou en cas de parasitisme ou de dénigrement.

- La sécurisation du système d'information de l'entreprise : afin d'éviter une fuite d'informations, l'entreprise devra sécuriser son système d'information en déployant : (i) des solutions techniques de sécurisation de ses équipements (pare-feu, antivirus, filtre anti-spam, utilisation de codage pour les données sensibles, y compris la mise à jour régulière de ces dispositifs de sécurité), et (ii) une communication pédagogique envers les salariés axée sur les risques technologiques, la nécessité de signaler les incidents de sécurité et de prendre les précautions nécessaires en matière de sécurisation de leurs équipements et comptes (ex: choix de mots de passe complexes).

- L’adoption d’une stratégie de communication et de veille de l'e-réputation : l'entreprise doit communiquer sur sa marque, ses produits et services de manière régulière et adaptée aux nouveaux usages d'internet, par exemple en animant une communauté d'internautes et en dialoguant avec ses clients via la plate-forme internet collaborative de la société, telle la SNCF avec sa rubrique débats (http://debats.sncf.com/), ou via une page entreprise sur Facebook par exemple. La gestion de l'e-réputation sera alors assurée : (i) par la désignation d'un community manager, ayant pour mission d'animer la marque de l'entreprise auprès des différentes communautés d'internautes, et de répondre aux questions, détecter les problèmes ou désamorcer les crises ; (ii) et si nécessaire, par la mise en ligne de conditions d'utilisation détaillant les conditions de modération applicables à la plate-forme collaborative utilisée par l'entreprise.

Par ailleurs, de nouveaux outils et services sont mis à la disposition des entreprises par des sociétés spécialisées dans la gestion de l'e-réputation : logiciels de mesure de visibilité sur les réseaux sociaux, plates-formes permettant aux professionnels de consulter en temps réel les avis, commentaires et notes donnés par les internautes, assurance spécifique contre les atteintes à l'e-réputation, etc. Il est cependant recommandé d'étudier avec attention les contrats proposés par ces prestataires, les services et les engagements étant variables selon les prestataires.(4)

- La sensibilisation des salariés de l'entreprise : les salariés tendent de plus en plus à s'exprimer sur internet à propos de leur employeur. Les entreprises doivent donc instaurer une politique de sensibilisation de leur personnel consistant, d’une part en formations ciblées sur les bonnes pratiques d'utilisation des outils de communication électronique (email, réseaux sociaux et le cas échéant réseau social de l’entreprise), l’exercice de la liberté d'expression et ses limites, d’autre part dans la mise en place d'une charte internet complète et à jour.(5)

- L’information des internautes : enfin, l'image de marque de l’entreprise passe par une information claire sur les caractéristiques essentielles de ses produits et services, ses conditions de vente et de livraison, ses conditions de fourniture de services, les prix pratiqués, la politique relative aux données personnelles, etc. A ce titre, il est recommandé de soigner la rédaction des conditions générales de vente/d'utilisation et mentions légales figurant sur le site web de l'entreprise.

Si, en dépit de ces précautions, l'entreprise est victime d'atteintes à sa réputation sur internet, plusieurs moyens d'action pourront être envisagés pour lutter contre de telles offenses.

2. Comment réagir et se défendre en cas d’atteinte à la réputation numérique de l'entreprise

    2.1 Une riposte graduée en fonction de la gravité de l'atteinte

En cas d'atteinte à son e-réputation, l'entreprise doit définir la stratégie qui sera la plus efficace pour y mettre fin et réagir sans délai afin de ne pas laisser une information nuisible se propager. Cependant, avant toute action, judiciaire ou extra-judiciaire, il sera primordial de conserver la preuve des éléments litigieux, notamment via un constat d’huissier. Plusieurs actions sont envisageables compte tenu du type et de la gravité de l’atteinte à son image. Il est recommandé de faire établir une analyse de la gravité de l’atteinte à l’image et de la stratégie de défense à mettre en oeuvre avec l’aide d’un avocat.

- "Noyer" ou "nettoyer" les contenus indésirables : l'entreprise peut tenter de "noyer" les contenus nuisibles en mettant en ligne de nouveaux contenus correctifs ou informatifs (mais ni erronés, ni trompeurs) sur ses produits et/ou services, les informations litigieuses redescendant dans les pages de résultats des moteurs de recherche.

En outre, bien qu'il ne soit pas toujours possible de faire totalement disparaître du web certaines informations, l'entreprise peut tenter de les faire supprimer, par des moyens techniques divers, tels l'utilisation de dispositifs d'alerte mis en place par la plupart des médias participatifs ou le recours à des sociétés spécialisées dans le "nettoyage" de l'e-réputation. Il est là aussi recommandé d'étudier avec attention les contrats proposés par ces prestataires avant d’avoir recours à ces services.(6)

- Instaurer un dialogue avec l'auteur du trouble : s'il est identifié, l'entreprise peut préférer se rapprocher du/des auteur(s) des contenus portant atteinte à son image de marque, et tenter de négocier le retrait des informations gênantes afin d'éviter ou de limiter tout déficit d'image. Le rôle du community manager peut être déterminant dans le désamorçage du problème.

L'entreprise ou ses dirigeants victimes peuvent également faire jouer leur droit de réponse en ligne, dont l'exercice est soumis, par la loi, à certaines conditions ou faire jouer leur droit d'opposition à la divulgation de données personnelles, permettant de demander la suppression de ces données, soit auprès du webmaster du site internet à l'origine de la publication litigieuse, soit à défaut de suppression dans un délai de deux mois, auprès de la CNIL qui enjoindra au responsable du site web de faire le nécessaire.(7)

- Mettre en oeuvre des procédures alternatives de règlement des litiges : en cas de tentative d’enregistrement d’une marque ou d’un nom de domaine potentiellement contrefaisant ou dénigrant, l'entreprise peut selon les cas, soit lancer une procédure d'opposition, permettant d'empêcher l'enregistrement d'une marque nouvelle qui porterait atteinte à ses droits, soit lancer une procédure de suppression ou de transfert à son profit d'un nom de domaine susceptible de porter atteinte à ses droits. Les conditions de mise en oeuvre de ces procédures varient selon le type de marque ou d'extension du nom de domaine et selon l'office d'enregistrement et de gestion concernés.(8)

- Engager une action judiciaire : enfin, l'entreprise ou son dirigeant peut décider d'agir en justice afin d'obtenir (i) l'identité de l'auteur des propos litigieux, si celui-ci n'est pas identifié, (ii) le retrait du contenu litigieux, ou la désindéxation des pages sur lesquelles ces contenus ont été diffusés, et (iii) la réparation du préjudice subi par la condamnation de l'auteur à des dommages et intérêts. Ces actions, en référé ou au fond, seront dirigées selon les cas, soit directement contre l'auteur des faits au cas où l’entreprise a pu l’identifier, soit contre l'hébergeur du site internet litigieux ou les FAI au cas où ceux-ci n’auraient pas fourni les informations permettant d’identifier l’auteur des contenus ou n’auraient pas retiré les contenus litigieux à la demande de l’entreprise.(9)

Si internet permet de s’exprimer librement, le web n'est pas pour autant une zone de non-droit. Certaines atteintes à la liberté d’expression et à l'e-réputation sont sévèrement réprimées par la loi.

    2.2 Les différents fondements pouvant être invoqués en cas d’action judiciaire contre les auteurs des troubles

Plusieurs fondements juridiques peuvent être invoqués suivant le type d'atteinte subie, en cas d’action judiciaire contre les auteurs des troubles :

- La diffamation et l'injure sont réprimées par la loi du 29 juillet 1881 sur la liberté de la presse et sont notamment punies d'une amende de 12.000€. Les sanctions peuvent atteindre un an d'emprisonnement et 45.000€ d'amende en cas de diffamation à caractère racial. Il convient cependant de noter que ce type d’action est soumis à un délai de prescription court (trois mois).(10)

- Le dénigrement est sanctionné sur le fondement de l'action en concurrence déloyale en application de l'article 1382 du Code civil. Cette action vise à mettre en cause la responsabilité civile de l'auteur des propos litigieux et d'obtenir le versement de dommages et intérêts.(11)

- Le délit d'atteinte à la vie privée est prévu par le Code pénal qui punit d'un an d'emprisonnement et de 45.000€ d'amende, le fait de porter volontairement atteinte à l'intimité de la vie privée d'autrui. La loi réprime le fait d'enregistrer et/ou de diffuser des paroles prononcées à titre confidentiel ou l'image d'une personne se trouvant dans un lieu privé, sans le consentement de la personne concernée (articles 226-1 et 226-2 Code pénal).

- Le non-respect du droit d'opposition est réprimé par la loi Informatique et Libertés qui punit de cinq ans d'emprisonnement et 300.000€ d'amende le fait de procéder à un traitement de données à caractère personnel malgré l’opposition de la personne concernée, lorsque cette opposition est fondée sur des motifs légitimes (article 226-18-1 du Code pénal).

- Les pratiques commerciales trompeuses sont définies par le Code de la consommation et punies de deux ans d'emprisonnement et/ou 37.500€ d'amende (personnes morales : 187.500€ ou 50% des dépenses de publicité ou de la pratique constituant le délit). Ces pratiques consistent à tromper le consommateur et l’amener à prendre une décision commerciale qu’il n’aurait pas prise autrement.(12)

Les pratiques commerciales trompeuses visent ici les faux avis de consommateurs ou les commentaires positifs postés par l’entreprise elle-même, sous l’apparence d’un client satisfait. Ces pratiques font l’objet, depuis début 2011, d’enquêtes spécifiques diligentées par les agents de la DGCCRF. Par ailleurs, l’AFNOR est en train de travailler à un projet de norme visant à renforcer la fiabilité des commentaires déposés par les internautes sur les sites marchands.

- Les atteintes à la marque telles que la reproduction sans autorisation ou l'imitation servile sont sanctionnées au titre de la contrefaçon et punies de trois ans d’emprisonnement et de 300.000€ d’amende (article L.716-10 du Code de la propriété intellectuelle).

- Le délit d'usurpation d'identité numérique est défini par la LOPPSI 2 et passible d'un an d'emprisonnement et 15.000€ d’amende. Ce nouveau délit permet de sanctionner, par exemple, les actes de "phishing".(13)

Enfin, cet arsenal répressif pourrait bientôt se voir renforcé par l'instauration, (i) d'un droit à l'oubli numérique, facilitant la suppression des données publiées et prévu dans le projet de règlement communautaire sur les données personnelles et (ii) d'un délit d'atteinte au secret des affaires, punissant de trois ans d'emprisonnement et 375.000€ d'amende, la divulgation d'informations de nature commerciale, industrielle, scientifique, etc. compromettant gravement les intérêts d'une entreprise et prévu par une proposition de loi sur la protection des informations économiques.(14)

* * * * * * * * * * *

(1) Condamnation des sociétés Expedia et autres, à payer près de 430.000€ de dommages et intérêts au Syndicat national des hôteliers, restaurateurs, cafetiers et traiteurs (Synhorcat) (Tribunal com. Paris, 15e ch., 4/10/2011) ; et voir l’article : "Orangina aurait trafiqué sa page Facebook avec de faux profils", Le Journal du Net (15/02/2012).
(2) L'article 9 al.1 du Code civil dispose que "Chacun a droit au respect à sa vie privée". Cette disposition permet à toute personne de s'opposer à la divulgation d'informations concernant, notamment, la vie conjugale, la vie familiale, la santé, la sexualité ou encore le patrimoine du dirigeant de l'entreprise. En vertu du droit au respect de la vie privée, la jurisprudence a créé le droit à l'image afin de permettre à une personne, célèbre ou non, de s'opposer à la captation, la fixation ou à la diffusion de son image, sans son autorisation expresse et préalable.
(3) Voir les articles publiés sur Le Journal du Net : "L'affaire Nestlé: autoritarisme, mépris, absence" et "Acadomia engage le dialogue....mais reste muette" (29/04/2011).
(4) Voir les articles publiés sur le site Les Echos entrepreneur : "Le nouveau filon de l'e-réputation" (18/02/2011) et sur le site Capital.fr : "De nouvelles assurances pour protéger votre e-réputation" (31/01/2012).
(5) Voir nos articles : "La charte technologique : un document essentiel pour la protection des réseaux et des données de l'entreprise" (09/2008) et "La charte informatique face à l'évolution des technologies : l'outil indispensable pour définir les règles du jeu" (12/2011) (accessible sur notre site web: www.dwavocat.com).
(6) Voir article publié sur le Blog de l'agence de communication digitale 50A (www.50a.fr) : "Nettoyeur pour 9,90€: une e-réputation au rabais?" (30/11/2011).
(7) Article 6-IV de la loi n°2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN) et Décret n°2007-1527 du 24 octobre 2007 ; Loi n°78-17 du 6 janvier 1978, modifiée relative à l’informatique, aux fichiers et aux libertés, et notamment article 38 ; Fiche pratique CNIL : "l'e-réputation en questions" (24/08/2011).
(8) Voir les articles L.45 et s. du Code des postes et des communications électroniques et la procédure "Syreli" devant l'AFNIC.
(9) Voir l'article 6 de la LCEN et le Décret n°2011-219 du 25 février 2011.
(10) Sur la diffamation, voir jugement du TGI de Nanterre du 6/01/2011 David Douillé c/ Bakchich et autres et jugement du TGI de Paris du 8/09/2010, M. X c/ Google inc., Eric S., et Google France
(11) Sur le dénigrement, voir jugement du TGI de Béthune du 14/12/2010 société Kemenn c/ Eric N.
(12) Voir les articles L.121-1, L.121-6 et L213-1 du Code de la consommation et l’art. 131-38 du Code pénal.
(13) Loi n°2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure, dite LOPPSI 2 (art. 2) et article 226-4-1 du Code pénal.
(14) Proposition de règlement du parlement européen et du conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données du 25 janvier 2012 ; Proposition de loi relative à la protection des informations économiques du 13 janvier 2012.

Bénédicte DELEPORTE – Avocat
Betty SFEZ – Avocat

Deleporte Wentz Avocat
www.dwavocat.com

Mars 2012