De très nombreux sites de e-commerce font accepter leurs conditions contractuelles (CGU et/ou CGV) en faisant cocher une case face à un lien hypertexte renvoyant vers la page web correspondante. Cette pratique, qui était juridiquement acceptée jusqu’à maintenant, vient d’être invalidée par la Cour de Justice de l’Union européenne (CJUE) dans un arrêt du 5 juillet 2012, qui l’estime contraire à la directive 97/7 concernant la protection des consommateurs en matière de contrats à distance. (1)
En l’espèce, la société Content Services Ltd proposait des services en ligne, dont le téléchargement de logiciels gratuits et payants et des abonnements en ligne. L’acceptation des conditions contractuelles se faisait via une case à cocher, avec un lien hypertexte vers la page des CGV du site. En cochant la case, l’internaute acceptait donc les CGV, qui mentionnaient notamment leur renonciation au droit de rétractation. Un organisme autrichien de protection des consommateurs a poursuivi Content Services devant les tribunaux autrichiens, considérant que cette société ne respectait pas les règles européennes en matière de protection des consommateurs et de conclusion des contrats à distance, notamment l’article 5 par.1 de la directive 97/7. Le tribunal autrichien a décidé de porter la demande devant la CJUE afin d’obtenir une décision préjudicielle.
En résumé, il était demandé à la CJUE de trancher la question de savoir si le fait, pour le e-commerçant, de communiquer au e-consommateur un lien hypertexte renvoyant aux conditions contractuelles consultables sur son site web, était ou non conforme aux exigences d’information du consommateur, posées par l’article 5 par. 1 de la directive.
1. La communication d’un lien hypertexte renvoyant vers une page du site web du vendeur répond-elle à l’exigence de “fourniture des informations” au sens de la directive ?
La directive 97/7/CE concerne la protection des consommateurs en matière de contrats à distance. (2) L’article 5 “Confirmation écrite des informations” dispose, au paragraphe 1 que “le consommateur doit recevoir, par écrit ou sur un autre support durable à sa disposition et auquel il a accès, confirmation des informations mentionnées à l’article 4 par. 1(…), en temps utile lors de l’exécution du contrat et au plus tard au moment de la livraison (…), à moins que ces informations n’aient déjà été fournies au consommateur préalablement à la conclusion du contrat par écrit ou sur un autre support durable à sa disposition et auquel il a accès.(…)”. (3)
Les informations devant être fournies comprennent notamment les conditions et modalités d’exercice du droit de rétractation, l’adresse géographique du fournisseur où le consommateur peut présenter ses réclamations, les informations relatives au SAV et aux garanties commerciales, les conditions de résiliation du contrat lorsque celui-ci est à durée indéterminée ou d’une durée supérieure à un an.
La directive 97/7 a été transposée en droit français, l’article 5 étant transposé à l’article L.121-19 du Code de la consommation. (4)
La première partie de la question posée à la CJUE portait sur la notion de “fourniture” des informations pertinentes au consommateur ou de “réception” de celles-ci, au sens de la directive.
En d’autres termes, le fait pour l’exploitant d’un site de e-commerce, de communiquer au consommateur un lien hypertexte qui renvoie vers les pages du site relatives aux CGV est-il suffisant et conforme aux exigences d’information de la directive ?
La réponse de la CJUE est négative. Selon les juges européens, la directive a pour objet la protection du consommateur, cette protection devant être renforcée en matière d’achat à distance. La protection du e-consommateur inclut la fourniture d’une information complète par le e-commerçant. A ce titre, le e-consommateur dispose notamment du droit de se rétracter postérieurement à son achat, sans avoir à se justifier.
La directive impose, à l’article 5, la “fourniture” des informations pertinentes au e-consommateur, ou sa “réception” de celles-ci. Les juges estiment que le consommateur ne doit pas avoir à faire d’efforts pour avoir accès à ces informations, par exemple, en devant cliquer sur un lien pour rechercher et accéder aux conditions contractuelles sur le site web, a fortiori dans la mesure où la grande majorité des utilisateurs acceptent les CGU/CGV des sites marchands quasiment automatiquement avant leur achat et ne les lisent jamais. Selon la Cour, un comportement passif des consommateurs doit suffire pour prendre effectivement connaissance des informations, sans même avoir à cliquer sur un lien pour se rendre sur une page web.
La Cour en conclut donc que lorsque ces informations ne sont accessibles que via un lien communiqué au consommateur, lesdites informations ne sont ni fournies au consommateur, ni reçues par celui-ci au sens de l’article 5 par. 1 de la directive.
2. La fourniture des informations via un lien hypertexte renvoyant vers une page du site web du vendeur répond-elle à l’exigence de “support durable” ?
L’article 5 par. 1 de la directive pose une deuxième condition en matière de fourniture des informations pertinentes au e-consommateur : celles-ci doivent être fournies par écrit ou sur un “support durable”.
Après avoir répondu à la question relative à la fourniture des informations, la Cour examine la notion de support durable. Ainsi, pour être considéré comme durable, un support doit répondre aux trois critères suivants : 1) permettre au consommateur de stocker les informations qui lui ont été adressées personnellement, 2) garantir l’absence d’altération de leur contenu ainsi que leur accessibilité pendant une durée appropriée, et 3) offrir aux consommateurs la possibilité de les reproduire telles quelles. En effet, le consommateur doit pouvoir conserver durablement les conditions contractuelles applicables à son achat afin de pouvoir y faire référence en cas de litige éventuel.
Or, selon les juges, le seul fait de renvoyer vers une page web, à partir d’un lien communiqué au consommateur, ne permet pas à celui-ci de stocker les informations dans les conditions rappelées ci-dessus. En outre, le contenu des pages web peut être modifié à tout moment par le e-commerçant. (5)
La CJUE estime donc que les informations qui sont uniquement disponibles sur un site internet, en passant par un lien hypertexte présenté par le vendeur, ne peuvent être considérées comme fournies sur un support durable, au sens de l’article 5 par. 1 de la directive.
3. Les conséquences pratiques de l’arrêt de la CJUE du 5 juillet 2012 pour les sites de e-commerce européens
L’intérêt de cette décision est qu’elle s’applique à l’ensemble des sites de e-commerce de l’Union. Or, à ce jour, de très nombreux sites de vente en ligne font accepter leurs conditions contractuelles (CGU et/ou CGV) en faisant cocher une case face à un lien hypertexte renvoyant vers la page correspondante. Les conditions peuvent parfois être téléchargées en format pdf et/ou être imprimées. D’autres sites ne prennent même pas la peine de faire accepter leurs conditions contractuelles par ce moyen, les CGV indiquant uniquement que le fait de commander un bien ou un service entraîne automatiquement l’accord des conditions contractuelles du marchand par le consommateur.
La décision de la CJUE du 5 juillet 2012 a pour effet de lever toute ambigüité sur l’opposabilité des conditions contractuelles (ou “informations pertinentes”) des e-commerçants aux e-consommateurs. Cet arrêt a pour effet de pousser la protection du e-consommateur vers un nouveau pallier, quitte à le déresponsabiliser un peu plus. Il contredit la pratique communément admise de l’acceptation des conditions contractuelles par opt-in et lien hypertexte, validée notamment par les tribunaux français. (6)
En conséquence, nombre de sites de e-commerce français et européens vont devoir adapter le mode de communication de leurs conditions contractuelles à leurs clients s’ils veulent s’assurer que ces conditions sont considérées comme effectivement acceptées par les consommateurs et qu’elles leurs sont donc opposables.
Cette adaptation s’articule autour de deux éléments : la “fourniture” effective des informations au consommateur, sur un “support durable”.
Ainsi, jusqu’à présent, les e-marchands adressaient un email de confirmation de commande au client, au contenu souvent générique. La mise en conformité aux dispositions de la directive passera, par exemple, par l’intégration en toutes lettres dans l’email de confirmation de commande des informations prévues à l’article 5 par.1 de la directive (article L.121-19 du Code de la consommation). Il est recommandé par ailleurs de faire en sorte que les CGU/CGV puissent être aisément imprimables et/ou disponibles sous format électronique non modifiable (support durable) et comprennent a minima une date d’effet, un numéro de version et/ou une empreinte d’horodatage.
A défaut de prendre ces précautions, le e-commerçant, sur qui repose la charge de la preuve de la fourniture des informations pertinentes et de la bonne exécution de ses obligations, pourra se voir imposer un droit de rétractation porté de 7 jours à 3 mois, des conditions contractuelles non opposables à ses clients, ainsi qu’une amende de 1500€ (3000€ en cas de récidive) en application de l’article R.121-1-1 du Code de la consommation.
Cette décision suscite une certaine perplexité : d’une part, rien n’obligera le consommateur à lire effectivement les conditions contractuelles lors d’un achat en ligne, quel que soit le mode de communication de ces conditions, via un lien hypertexte ou in extenso dans l’email de confirmation de commande par exemple ; d’autre part, à l’ère du m-commerce, encore moins d’acheteurs auront la volonté de lire les conditions contractuelles applicables à un achat, le plus souvent d’impulsion, sur un écran de smartphone... Le consommateur doit, certes pouvoir bénéficier d’une certaine protection contractuelle, il n’en doit pas moins prendre ses responsabilités d’acheteur, en lisant le contrat.
* * * * * * * * * * * *
(1) Arrêt CJUE 3é ch. du 5 juillet 2012, Content Services Ltd c/ Bundesarbeitskammer, aff. C-49/11
(2) Directive 97/7/CE du Parlement européen et du Conseil du 20 mai 1997 concernant la protection des consommateurs en matière de contrats à distance. Cette directive doit être remplacée par la directive 2011/83 relative aux droits des consommateurs, à compter du 13 juin 2014. La directive 2011/83 reprend, à l’article 6, des dispositions relatives à l’obligation d’information concernant les contrats à distance.
(3) A noter que les dispositions de l’article 5 par. 1 ne s’appliquent pas aux services fournis en une seule fois et dont la facturation est effectuée par l’opérateur de la technique de communication.
(4) L’article L.121-19 du Code de la consommation dispose “I.-Le consommateur doit recevoir, par écrit ou sur un autre support durable à sa disposition, en temps utile et au plus tard au moment de la livraison :
1° Confirmation des informations mentionnées aux 1° à 4° de l'article L. 121-18 et de celles qui figurent en outre aux articles L. 111-1, L. 111-2 et L. 113-3 ainsi que de celles prévues pour l'application de l'article L. 214-1, à moins que le professionnel n'ait satisfait à cette obligation avant la conclusion du contrat ;
2° Une information sur les conditions et les modalités d'exercice du droit de rétractation ;
3° L'adresse de l'établissement du fournisseur où le consommateur peut présenter ses réclamations ;
4° Les informations relatives au service après vente et aux garanties commerciales ;
5° Les conditions de résiliation du contrat lorsque celui-ci est d'une durée indéterminée ou supérieure à un an.
II.-Les dispositions du présent article ne sont pas applicables aux services fournis en une seule fois au moyen d'une technique de communication à distance et facturés par l'opérateur de cette technique à l'exception du 3°.III.-Les moyens de communication permettant au consommateur de suivre l'exécution de sa commande, d'exercer son droit de rétractation ou de faire jouer la garantie ne supportent que des coûts de communication, à l'exclusion de tout coût complémentaire spécifique.”
(5) L’arrêt fait référence à un rapport du European Securities Markets Expert Group (ESME) de 2007 qui distinguait entre les “sites ordinaires” et les “sites sophistiqués”, considérant que certains sites sophistiqués pouvaient constituer un support durable. Ce point n’a pas été étudié plus avant par les juges dans la mesure où le site de la société Content Services n’entrait pas dans la catégorie des sites sophistiqués.
(6) Voir par exemple : CA Paris du 25 novembre 2010, SAS Karavel c/ epx Challet. Dans cette affaire, les utilisateurs contestaient, entre autre, l’opposabilité des CGV de l’exploitant du site. La Cour a estimé que le fait d’avoir coché une case mentionnant leur acceptation des CGV, celles-ci étant accessibles via un lien hypertexte, les engageait contractuellement. Ils ne pouvaient donc prétendre ne pas connaître les conditions contractuelles du site.
Bénédicte DELEPORTE
Avocat
août 2012
vendredi 24 août 2012
lundi 20 août 2012
Géolocalisation et protection de la vie privée : la réglementation applicable aux données collectées
La géolocalisation, fonctionnalité présente sur la plupart des smartphones, offre des possibilités d’action de marketing ciblé intéressantes pour les entreprises (commerces, services, rencontres) et pour les utilisateurs. Toutefois, cette technologie rendant possible la surveillance des déplacements d'un individu, dans le temps et dans l’espace, peut donner lieu à certaines dérives et nuire à la vie privée des mobinautes. L'exploitation de services de géolocalisation est de ce fait, encadrée par la loi. Il appartient donc aux sociétés éditrices d'applications mobiles de géolocalisation et aux sociétés utilisant ces applications d'être vigilantes lors de la mise à disposition de ce service au public. Dès que l’exploitation d’un service de géolocalisation implique la collecte et le traitement de données à caractère personnel, ce service est soumis à la réglementation sur la protection de la vie privée.
Le présent article a pour objet de rappeler brièvement le cadre juridique applicable à l’utilisation de services de géolocalisation et le rôle de la CNIL dans ce domaine.
1. Le cadre juridique de la géolocalisation
La géolocalisation consiste notamment à communiquer des informations sur une personne en fonction de sa position géographique. Aussi, dès lors qu’une application mobile implique la collecte et l’exploitation d’informations relatives à la géolocalisation des mobinautes, le traitement de ces informations, considérées comme des données à caractère personnel, doit être conforme aux règles de respect de la vie privée. Les sociétés françaises éditrices et fournisseurs d'applications mobiles de géolocalisation et les sociétés souhaitant utiliser la géolocalisation relèvent de la loi Informatique et Libertés du 6 janvier 1978, en qualité de responsable de traitement. (1)
Un certain nombre d’obligations légales s’imposent aux sociétés exploitant ou utilisant un service de géolocalisation :
1.1 Les obligations relatives aux traitements de données de géolocalisation
La géolocalisation a le plus souvent pour finalité la collecte de données à caractère personnel. Il s’agit donc d’un traitement de données devant être déclaré à la CNIL préalablement à la mise en exploitation du service. (2)
Concernant les traitements de données de géolocalisation, les sociétés exploitant ce type de service doivent :
- respecter la finalité du traitement, qui doit être déterminée, explicite et légitime ;
- obtenir l’autorisation préalable de l’utilisateur de l'application mobile pour : (i) la collecte de ses données de localisation, cette autorisation pouvant être recueillie par l'intermédiaire d'une case à cocher (opt-in) au moment du téléchargement de l’application, ou éventuellement à tout moment pour activer ou désactiver l’application ou l’option de géolocalisation, et (ii) la conservation des informations liées à ses déplacements (historique des déplacements). En outre, l’utilisateur doit pouvoir revenir sur son consentement par un moyen simple et gratuit et pouvoir supprimer les données de localisation qui le concernent ;
- informer l'utilisateur du type de données collectées, de la durée de leur conservation, de la finalité du traitement, le cas échéant, des personnes à qui les données seront transmises (par exemples, commerçants ou gestionnaire de base cartographique) et de ses droits relatifs à ses données (droits d'accès, de rectification, de contestation et d'opposition (suppression/désinscription) au traitement des données).
La durée de conservation des données collectées doit être raisonnable, en fonction de l’objectif du traitement. Enfin l'entreprise devra assurer la sécurité des informations traitées en adoptant des mesures de sécurité physiques et techniques adaptées à la nature des données et aux risques présentés. (3)
1.2 Les obligations spécifiques à la réutilisation des données à des fins marketing, ou le “géo-marketing”
Les données de géolocalisation sont parfois utilisées pour envoyer de la publicité géo-ciblée sur le téléphone du mobinaute. Ainsi, grâce à cette technologie, des sociétés envoient aux mobinautes des publicités géo-ciblées, non seulement en fonction de qui ils sont (identité, goûts, habitudes), mais également en fonction de l'endroit où ils se trouvent. Le marketing ciblé basé sur de la géolocalisation n’est pas interdit par la loi. Cependant, les utilisateurs doivent être informés de la possible réutilisation de leurs données par des annonceurs tiers à des fins commerciales, et doivent avoir donné leur consentement (opt-in) pour recevoir ces messages. (4)
1.3 Les bonnes pratiques dans la mise en oeuvre d’un service de géolocalisation
Le Groupe de travail de l'article 29 a édité un Avis en mai 2011 regroupant des bonnes pratiques pour les éditeurs d'applications mobiles de géolocalisation.
Le Groupe de l’article 29 recommande ainsi aux sociétés souhaitant déployer un service de géolocalisation (i) d’informer clairement les mobinautes des raisons (finalités) pour lesquelles elles souhaitent utiliser leurs données, et d’obtenir leur consentement pour chacune de ces raisons ; (ii) d’offrir la possibilité aux mobinautes de choisir le niveau de géolocalisation (par exemple à l’échelle d’un pays, d’une ville, d’un code postal, ou d’un quartier) ; (iii) une fois que le service de localisation est activé, de mettre en place une icône, visible en permanence sur chaque écran, indiquant que les services de localisation sont activés et (iv) d’offrir la possibilité aux mobinautes de revenir sur leur consentement à tout moment, sans avoir à quitter l’application et d'être en mesure de supprimer facilement et de manière définitive toute donnée de localisation stockée sur le dispositif. (5)
2. Les pouvoirs de la CNIL et les sanctions encourues en cas de non-conformité aux obligations légales
2.1 La mission de la CNIL
La Commission est vigilante quant aux risques pouvant résulter d'un développement généralisé et banalisé de la géolocalisation. A ce titre, la CNIL a lancé plusieurs opérations de sensibilisation à l’attention de l’ensemble des citoyens et des dirigeants d’entreprises, notamment par l’intermédiaire de son site internet, afin de rappeler les règles applicables en matière de géolocalisation.
La CNIL s'est également prononcée contre de nouveaux dispositifs de géolocalisation qui lui paraissaient contrevenir aux droits des personnes car de nature trop intrusive. Par exemple, en 2009, la CNIL a demandé à la société Google de mettre son nouveau service de géolocalisation dénommé - Google Latitude - en conformité à la loi Informatique et Libertés. En 2010, la CNIL a mis en garde les membres Facebook contre le nouveau service Facebook Lieux, permettant d'indiquer sa position géographique à tout moment à un autre internaute. Le service permettait notamment de dévoiler des informations de nature privée et protégeable, pouvant être interceptées et réutilisées par des tiers malintentionnés. (6)
2.2 Les contrôles de la CNIL et les sanctions applicables en cas de non-conformité aux obligations légales
La Commission a par ailleurs renforcé les contrôles dans les entreprises proposant des services basés sur cette technologie, afin de s’assurer du respect de la vie privée des mobinautes. En effet, la CNIL dispose de la possibilité d'effectuer des contrôles sur place (dans les locaux de l’entreprise), au cours desquels les agents de la CNIL peuvent demander communication de tout document, recueillir tout renseignement utile et accéder aux serveurs, aux programmes informatiques et aux données afin de vérifier la conformité des traitements mis en oeuvre à la loi Informatique et Libertés.
La mise en place d'un dispositif de géolocalisation en violation des règles précitées peut conduire la CNIL à prononcer, à l’égard du chef d’entreprise qui méconnaît ses obligations, un avertissement, une mise en demeure, une sanction pécuniaire d’un montant maximum de 150.000€ (300.000€ en cas de récidive) et une injonction de cesser le traitement. La CNIL peut également décider de dénoncer les infractions à la loi au procureur de la République. Les manquements à la loi Informatique et Libertés sont punis jusqu'à 5 ans d’emprisonnement et 300.000€ d’amende.
La géolocalisation offre ainsi de nouvelles opportunités pour les professionnels souhaitant développer leurs actions de marketing. Toutefois, dès que des données personnelles sont collectées, cette technologie présente des risques liés à la protection de la vie privée en raison de son caractère particulièrement intrusif. En effet, ce type de technologie peut conduire, à défaut de paramétrage du téléphone ou en cas de piratage, à la surveillance constante des mobinautes, ignorant qu’ils transmettent leur position géographique et à qui ils la transmettent. C'est à ce titre que la loi impose des obligations aux sociétés exploitant un service de géolocalisation.
En conséquence, il est recommandé aux sociétés exploitant ce type de service de s’assurer de la conformité de leurs traitements au droit de la protection des données à caractère personnel et à défaut, de prendre toutes mesures nécessaires de mise en conformité.
* * * * * * * * * *
(1) Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée, dite Loi Informatique et Libertés.
(2) Toutefois, cette déclaration n’est pas nécessaire en cas de désignation, par l’entreprise mettant en oeuvre ce traitement, d’un Correspondant Informatique et Libertés (CIL). Le CIL veille à la conformité à la loi des traitements mis en oeuvre par l'organisme qui l'a désigné. Voir à ce sujet notre article Le Correspondant Informatique et Libertés, garant de la conformité des traitements de données personnelles à la loi, publié en décembre 2011 (http://dwavocat.blogspot.fr/2011/12/le-correspondant-informatique-et.html)
(3) Voir notamment article L.34-1-V du Code des postes et des communications électroniques.
(4) Voir notamment article L.34-5 du Code des postes et des communications électroniques.
(5) Le groupe de travail, établi en vertu de l’article 29 de la directive 95/46/CE regroupe des représentant des commissions sur le respect de la vie privée de chaque Etat-membre. Concernant la géolocalisation, voir l’Avis 13/2011 sur les services de géolocalisation des dispositifs mobiles intelligents, adopté le 16 mai 2011.
(6) Communiqué CNIL, "Contrôler Latitude", du 11 juin 2009 et Avis CNIL, "Facebook Place en questions", du 15 octobre 2010, accessibles sur le site www.cnil.fr
Bénédicte DELEPORTE – Avocat
Betty SFEZ – Avocat
Deleporte Wentz Avocat
www.dwavocat.com
Août 2012
Le présent article a pour objet de rappeler brièvement le cadre juridique applicable à l’utilisation de services de géolocalisation et le rôle de la CNIL dans ce domaine.
1. Le cadre juridique de la géolocalisation
La géolocalisation consiste notamment à communiquer des informations sur une personne en fonction de sa position géographique. Aussi, dès lors qu’une application mobile implique la collecte et l’exploitation d’informations relatives à la géolocalisation des mobinautes, le traitement de ces informations, considérées comme des données à caractère personnel, doit être conforme aux règles de respect de la vie privée. Les sociétés françaises éditrices et fournisseurs d'applications mobiles de géolocalisation et les sociétés souhaitant utiliser la géolocalisation relèvent de la loi Informatique et Libertés du 6 janvier 1978, en qualité de responsable de traitement. (1)
Un certain nombre d’obligations légales s’imposent aux sociétés exploitant ou utilisant un service de géolocalisation :
1.1 Les obligations relatives aux traitements de données de géolocalisation
La géolocalisation a le plus souvent pour finalité la collecte de données à caractère personnel. Il s’agit donc d’un traitement de données devant être déclaré à la CNIL préalablement à la mise en exploitation du service. (2)
Concernant les traitements de données de géolocalisation, les sociétés exploitant ce type de service doivent :
- respecter la finalité du traitement, qui doit être déterminée, explicite et légitime ;
- obtenir l’autorisation préalable de l’utilisateur de l'application mobile pour : (i) la collecte de ses données de localisation, cette autorisation pouvant être recueillie par l'intermédiaire d'une case à cocher (opt-in) au moment du téléchargement de l’application, ou éventuellement à tout moment pour activer ou désactiver l’application ou l’option de géolocalisation, et (ii) la conservation des informations liées à ses déplacements (historique des déplacements). En outre, l’utilisateur doit pouvoir revenir sur son consentement par un moyen simple et gratuit et pouvoir supprimer les données de localisation qui le concernent ;
- informer l'utilisateur du type de données collectées, de la durée de leur conservation, de la finalité du traitement, le cas échéant, des personnes à qui les données seront transmises (par exemples, commerçants ou gestionnaire de base cartographique) et de ses droits relatifs à ses données (droits d'accès, de rectification, de contestation et d'opposition (suppression/désinscription) au traitement des données).
La durée de conservation des données collectées doit être raisonnable, en fonction de l’objectif du traitement. Enfin l'entreprise devra assurer la sécurité des informations traitées en adoptant des mesures de sécurité physiques et techniques adaptées à la nature des données et aux risques présentés. (3)
1.2 Les obligations spécifiques à la réutilisation des données à des fins marketing, ou le “géo-marketing”
Les données de géolocalisation sont parfois utilisées pour envoyer de la publicité géo-ciblée sur le téléphone du mobinaute. Ainsi, grâce à cette technologie, des sociétés envoient aux mobinautes des publicités géo-ciblées, non seulement en fonction de qui ils sont (identité, goûts, habitudes), mais également en fonction de l'endroit où ils se trouvent. Le marketing ciblé basé sur de la géolocalisation n’est pas interdit par la loi. Cependant, les utilisateurs doivent être informés de la possible réutilisation de leurs données par des annonceurs tiers à des fins commerciales, et doivent avoir donné leur consentement (opt-in) pour recevoir ces messages. (4)
1.3 Les bonnes pratiques dans la mise en oeuvre d’un service de géolocalisation
Le Groupe de travail de l'article 29 a édité un Avis en mai 2011 regroupant des bonnes pratiques pour les éditeurs d'applications mobiles de géolocalisation.
Le Groupe de l’article 29 recommande ainsi aux sociétés souhaitant déployer un service de géolocalisation (i) d’informer clairement les mobinautes des raisons (finalités) pour lesquelles elles souhaitent utiliser leurs données, et d’obtenir leur consentement pour chacune de ces raisons ; (ii) d’offrir la possibilité aux mobinautes de choisir le niveau de géolocalisation (par exemple à l’échelle d’un pays, d’une ville, d’un code postal, ou d’un quartier) ; (iii) une fois que le service de localisation est activé, de mettre en place une icône, visible en permanence sur chaque écran, indiquant que les services de localisation sont activés et (iv) d’offrir la possibilité aux mobinautes de revenir sur leur consentement à tout moment, sans avoir à quitter l’application et d'être en mesure de supprimer facilement et de manière définitive toute donnée de localisation stockée sur le dispositif. (5)
2. Les pouvoirs de la CNIL et les sanctions encourues en cas de non-conformité aux obligations légales
2.1 La mission de la CNIL
La Commission est vigilante quant aux risques pouvant résulter d'un développement généralisé et banalisé de la géolocalisation. A ce titre, la CNIL a lancé plusieurs opérations de sensibilisation à l’attention de l’ensemble des citoyens et des dirigeants d’entreprises, notamment par l’intermédiaire de son site internet, afin de rappeler les règles applicables en matière de géolocalisation.
La CNIL s'est également prononcée contre de nouveaux dispositifs de géolocalisation qui lui paraissaient contrevenir aux droits des personnes car de nature trop intrusive. Par exemple, en 2009, la CNIL a demandé à la société Google de mettre son nouveau service de géolocalisation dénommé - Google Latitude - en conformité à la loi Informatique et Libertés. En 2010, la CNIL a mis en garde les membres Facebook contre le nouveau service Facebook Lieux, permettant d'indiquer sa position géographique à tout moment à un autre internaute. Le service permettait notamment de dévoiler des informations de nature privée et protégeable, pouvant être interceptées et réutilisées par des tiers malintentionnés. (6)
2.2 Les contrôles de la CNIL et les sanctions applicables en cas de non-conformité aux obligations légales
La Commission a par ailleurs renforcé les contrôles dans les entreprises proposant des services basés sur cette technologie, afin de s’assurer du respect de la vie privée des mobinautes. En effet, la CNIL dispose de la possibilité d'effectuer des contrôles sur place (dans les locaux de l’entreprise), au cours desquels les agents de la CNIL peuvent demander communication de tout document, recueillir tout renseignement utile et accéder aux serveurs, aux programmes informatiques et aux données afin de vérifier la conformité des traitements mis en oeuvre à la loi Informatique et Libertés.
La mise en place d'un dispositif de géolocalisation en violation des règles précitées peut conduire la CNIL à prononcer, à l’égard du chef d’entreprise qui méconnaît ses obligations, un avertissement, une mise en demeure, une sanction pécuniaire d’un montant maximum de 150.000€ (300.000€ en cas de récidive) et une injonction de cesser le traitement. La CNIL peut également décider de dénoncer les infractions à la loi au procureur de la République. Les manquements à la loi Informatique et Libertés sont punis jusqu'à 5 ans d’emprisonnement et 300.000€ d’amende.
La géolocalisation offre ainsi de nouvelles opportunités pour les professionnels souhaitant développer leurs actions de marketing. Toutefois, dès que des données personnelles sont collectées, cette technologie présente des risques liés à la protection de la vie privée en raison de son caractère particulièrement intrusif. En effet, ce type de technologie peut conduire, à défaut de paramétrage du téléphone ou en cas de piratage, à la surveillance constante des mobinautes, ignorant qu’ils transmettent leur position géographique et à qui ils la transmettent. C'est à ce titre que la loi impose des obligations aux sociétés exploitant un service de géolocalisation.
En conséquence, il est recommandé aux sociétés exploitant ce type de service de s’assurer de la conformité de leurs traitements au droit de la protection des données à caractère personnel et à défaut, de prendre toutes mesures nécessaires de mise en conformité.
* * * * * * * * * *
(1) Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée, dite Loi Informatique et Libertés.
(2) Toutefois, cette déclaration n’est pas nécessaire en cas de désignation, par l’entreprise mettant en oeuvre ce traitement, d’un Correspondant Informatique et Libertés (CIL). Le CIL veille à la conformité à la loi des traitements mis en oeuvre par l'organisme qui l'a désigné. Voir à ce sujet notre article Le Correspondant Informatique et Libertés, garant de la conformité des traitements de données personnelles à la loi, publié en décembre 2011 (http://dwavocat.blogspot.fr/2011/12/le-correspondant-informatique-et.html)
(3) Voir notamment article L.34-1-V du Code des postes et des communications électroniques.
(4) Voir notamment article L.34-5 du Code des postes et des communications électroniques.
(5) Le groupe de travail, établi en vertu de l’article 29 de la directive 95/46/CE regroupe des représentant des commissions sur le respect de la vie privée de chaque Etat-membre. Concernant la géolocalisation, voir l’Avis 13/2011 sur les services de géolocalisation des dispositifs mobiles intelligents, adopté le 16 mai 2011.
(6) Communiqué CNIL, "Contrôler Latitude", du 11 juin 2009 et Avis CNIL, "Facebook Place en questions", du 15 octobre 2010, accessibles sur le site www.cnil.fr
Bénédicte DELEPORTE – Avocat
Betty SFEZ – Avocat
Deleporte Wentz Avocat
www.dwavocat.com
Août 2012
dimanche 29 juillet 2012
La recommandation de la CNIL sur le Cloud computing : vers une évolution des rôles et responsabilités entre clients et prestataires
Les services de Cloud computing sont en fort développement, tirés par des aspects économiques et de flexibilité de service, possibles grâce à la mutualisation des ressources entre les clients. Le recours au Cloud computing pose cependant plusieurs questions et problèmes liés notamment à la localisation des données, à leur sécurité, à leur accessibilité, au droit applicable, à la réversibilité. (1)
La CNIL avait publié une consultation publique fin 2011, demandant aux entreprises qui le souhaitaient de fournir leurs réflexions, dans le cadre des questions posées, avec pour finalité la publication d’un rapport pour améliorer l’encadrement juridique du Cloud computing. Pour rappel, la consultation portait sur cinq séries de questions : 1) qu'est-ce qui caractérise un service de Cloud computing ? 2) Le statut et les responsabilités du sous-traitant des données, applicables au prestataire Cloud, doivent-ils évoluer ? 3) Quels critères utiliser pour déterminer la loi applicable aux services Cloud ? 4) Quels outils juridiques permettraient de mieux encadrer les transferts de données vers des pays ne disposant pas d'un niveau de protection adéquat ? 5) Quelles mesures de sécurité devraient être adoptées (mesures techniques et gestion des accès aux données) pour garantir la confidentialité des données ?
Après analyse des contributions, la CNIL a publié ses recommandations le 25 juin dernier. (2)
Nous faisons ci-après une synthèse des principaux points couverts par la CNIL, sur la base des deux axes suivants : l’évolution de la notion de responsable du traitement et la nécessité de bâtir la confiance entre prestataires et clients, via des engagements forts en matière de sécurité et de transparence dans les procédures déployées.
1. L’évolution de la notion de responsable de traitement induite par le développement des services de Cloud computing
En matière de traitements de données à caractère personnel, le responsable de traitement est en principe le client. En effet, le client, en qualité de collecteur des données à caractère personnel, en détermine les finalités et les moyens de traitement. (3) Cependant, hors Cloud privé, le client ayant recours à un service de Cloud computing n’a plus la maîtrise effective du traitement. Il est donc nécessaire de réfléchir à l’évolution de la notion de responsable de traitement au regard des rôles effectifs joués respectivement par le client et par le prestataire.
1.1 Service Cloud et maîtrise des traitements de données à caractère personnel
Dans le cadre des Cloud publics, le fonctionnement et les objectifs du service sont définis par le prestataire, autour d’une prestation standardisée. Le rôle du prestataire ne se limite plus à celui d’un simple sous-traitant qui ne ferait que traiter les données personnelles pour le compte du client et selon ses instructions.
Les conditions posées par l’article 3 de la loi Informatique et Libertés, qui définit la notion de responsable de traitement, ne sont donc plus nécessairement réunies. Afin de déterminer les rôles respectifs du client et du prestataire, la CNIL préconise d’appliquer un faisceau d’indices. Selon les résultats de ce test, les rôles de responsable de traitement et de sous-traitant peuvent être amenés à évoluer et être revus.
Ce faisceau d’indices comprend les quatre critères suivants :
- l’évaluation du niveau d’instruction donné par le client au prestataire. Plus le degré d’autonomie du prestataire dans la réalisation de la prestation sera élevé, plus la tendance sera de le considérer également comme responsable de traitement ;
- le degré de contrôle de l’exécution de la prestation du prestataire par le client ;
- la valeur ajoutée fournie par le prestataire sur le traitement des données du client, et donc, le niveau de maîtrise du traitement de données par le prestataire ;
- le degré de transparence du client sur le recours à un prestataire Cloud.
Ainsi, plus le client sera passif, et en contrepartie, plus le prestataire s’impliquera dans le traitement, plus la tendance sera de considérer ce dernier également comme responsable de traitement. L’application des critères définis ci-dessus aux offres de service Cloud standardisées, soumises à la maîtrise du service par le prestataire et entraînant une moindre implication du client, devrait permettre de retenir la qualification de responsable de traitement pour le prestataire dans la mesure où celui-ci participe de manière effective à la détermination des finalités et des moyens des traitements de données personnelles.
1.2 Responsable ou co-responsables du traitement
Cependant, même si le prestataire peut être considéré comme responsable de traitement et non plus comme simple sous-traitant du client, cela ne signifie pas pour autant que le client sera dégagé de toute responsabilité concernant les traitements mis en oeuvre.
Le client reste en effet celui qui collecte les données à caractère personnel et qui les utilisera (par exemple dans le cadre de ses activités de gestion de la relation clients, ou de ses campagnes de marketing, ou encore de gestion des RH). En revanche, le client n’aura plus la maîtrise des moyens mis en oeuvre, de l’accès aux données, ou des mesures de sécurité appliquées auxdits traitements.
En d’autres termes, le fait de déclarer que le prestataire peut également être considéré comme responsable de traitement ne signifie pas que le client perdra ce rôle en contrepartie. Doit-on alors envisager la notion de co-responsables de traitement ?
Comme le relève justement la CNIL, la co-responsabilité est source d’insécurité juridique et de dilution des responsabilités. Ainsi, plutôt que d’être globalement co-responsables de traitement et de diluer les responsabilités, la CNIL recommande aux parties d’identifier les pôles de responsabilité respectifs dans le cadre du contrat de prestation. La CNIL propose un tableau afin d’aider clients et prestataires à identifier, pour chaque étape (formalités déclaratives, information des personnes, obligation de confidentialité et de sécurité, exercice des droits des personnes concernées - droit d’accès et de rectification), qui du client ou du prestataire, sera effectivement responsable. La définition effective des étapes et des partages de responsabilités devra se faire dans le cadre du contrat de prestation de Cloud computing.
Le rôle du sous-traitant, dans le cadre des traitements de données personnelles, n’est pas pour l’instant défini de manière spécifique. Le projet de règlement européen relatif à la protection des données personnelles du 25 janvier 2012 prévoit la création d’un régime légal du sous-traitant, soumis à une liste d’obligations communes avec le responsable de traitement. (4)
2. L’avenir des services en Cloud computing passe par la confiance
Une meilleure redéfinition des rôles et des responsabilités des clients et prestataires est illusoire si, en parallèle, la question de la confiance des clients dans les prestataires et les services fournis reste en deçà des attentes. Les deux piliers de la confiance sont, d’une part les engagements relatifs à la sécurité du service, d’autre part une plus grande transparence des prestataires relative aux procédures en place.
2.1 La question sensible de la sécurité du service
Bien que l’utilisation du Cloud computing se développe, l’un des freins au passage au Cloud reste la sécurité. En effet, de nombreuses entreprises sont encore réticentes à l’idée d’externaliser leurs données, que celles-ci soient de nature commerciale, protégées par le droit d’auteur, à caractère personnel ou autre.
La sécurité recouvre plusieurs questions : celle de l’accès aux données et de la disponibilité du service (les derniers incidents d’interruption de service subis récemment par des prestataires majeurs du Cloud ont encore exacerbé les craintes des utilisateurs), celle de la réversibilité en fin de contrat (question du transfert à un nouveau prestataire et de l’interopérabilité des systèmes), et surtout, celle de la sécurité du système du prestataire (imperméabilité du système aux intrusions de tiers).
Ces différentes questions passent par des contrats intégrant de réels engagements de la part des prestataires, avec SLA (Service level agreement ou engagement de service) et PLA (Privacy level agreement ou engagement de protection des données - ce concept de PLA étant en cours de développement).
La CNIL, dans sa recommandation, inclut une liste d’engagements à prendre en compte dans le contrat (tel que la responsabilité en cas de perte de données).
2.2 Une plus grande transparence dans les procédures mises en place
L’un des avantages, et des problèmes, du Cloud computing est la possibilité pour les prestataires d’utiliser des centres serveurs délocalisés, avec une multiplication des lieux de traitement et de stockage des données. Les procédés actuellement déployés par les prestataires sont rarement décrits de manière claire et précise dans les contrats.
A ce sujet, la CNIL recommande aux prestataires d’intégrer des clauses-types dans leurs contrats de prestation et de mettre en place des règles du type BCR (Binding corporate rules, ou règles d’entreprise contraignantes).
Les clauses contractuelles types proposées par la CNIL, dont l’objet est de mieux encadrer les transferts de données hors Union européenne, diffèrent suivant que : (i) le prestataire Cloud est localisé hors UE et agit en qualité de sous-traitant, (ii) le prestataire Cloud est localisé hors UE et agit en qualité de responsable de traitement, ou (iii) le prestataire Cloud est localisé dans l’UE, agit en qualité de sous-traitant et transfère les données à un sous-traitant (de 2é niveau) situé hors UE.
Par ailleurs, les “BCR sous-traitants” sont un nouvel outil, de nature contractuelle, qui permettrait d’améliorer la transparence et la confiance dans les services proposés.
Les BCR sont des accords intra-groupes (ou codes de conduite), développés et déployés par certaines entreprises multinationales afin de faciliter les transferts de données personnelles entre les sociétés d’un même groupe, en contrepartie d’engagements forts de la part du groupe en matière de respect de la réglementation européenne sur la protection des données personnelles. Pour être appliqués, les BCR doivent avoir été validés par l’une des commissions européennes pour la protection des données. Ce concept, qui a fait ses preuves au niveau des multinationales l’ayant adopté, pourrait effectivement être reproduit pour les prestataires Cloud. Ceux-ci pourraient adopter des BCR sous-traitants applicables aux sociétés de leurs groupes afin de garantir un niveau de protection adéquat aux données personnelles des clients, transférées au sein du groupe du prestataire.
Il n’est pas encore possible de mettre en oeuvre des “BCR sous-traitants”. Cependant, cette notion de BCR sous-traitant est prévue dans le projet de règlement européen du 25 janvier 2012. Ils intégreraient notamment une liste d’engagements techniques de la part des prestataires Cloud (tels que par exemple le recours à des metadonnées, ou le recours au chiffrement).
Les BCR sous-traitant semblent donc être un outil qui permettrait d’apporter les éléments nécessaires à l’amélioration de la confiance dans la prestation de Cloud computing.
Bien que la recommandation de la CNIL se focalise en premier lieu sur les données à caractère personnel, la réflexion vaut autant pour les données personnelles que pour les autres catégories de données transférées par les entreprises sur le Cloud. Le document comprend en fait 5 séries de recommandations, dont l’objet est d’aider les entreprises dans leur prise de décision de passage au Cloud computing : 1) identifier clairement les données et les traitements qui passeront dans le Cloud, 2) définir ses propres exigences de sécurité technique et juridique, 3) conduire une analyse de risques afin d’identifier les mesures de sécurité essentielles pour l’entreprise, 4) identifier le type de Cloud pertinent pour le traitement envisagé et 5) choisir un prestataire présentant des garanties suffisantes. Les aspects juridiques à prendre en compte sont complétés par des clauses contractuelles types.
Le recours à une prestation de Cloud computing nécessite donc, pour le client, de procéder au choix du prestataire et de service adaptés après avoir établi une analyse des besoins et des risques, et identifié les mesures de sécurité nécessaires compte tenu du type de service contracté.
* * * * * * * * * * *
(1) La définition de Cloud computing retenue dans la recommandation de la CNIL comprend le panel des offres de services informatiques fournis en ligne par des prestataires spécialisés : SaaS (Software as a Service, ou accès à des logiciels en ligne), PaaS (Platform as a Service, ou accès à une plateforme de développement d’applications en ligne) et IaaS (Infrastructure as a Service, ou fourniture d’une infrastructure informatique - serveurs, stockage, etc. - en ligne)
(2) La recommandation de la CNIL est consultable à l’URL: http://www.cnil.fr/la-cnil/actualite/article/article/cloud-computing-les-conseils-de-la-cnil-pour-les-entreprises-qui-utilisent-ces-nouveaux-services/ ; A noter également que le Groupe de l’Article 29 (groupe de travail des commissions européennes de protection des données personnelles) a publié ses propres recommandations relatives au Cloud computing le 1er juillet 2012, dans lesquelles on retrouve les grandes thématiques et recommandations émises par la CNIL.
(3) La notion de responsable de traitement est définie à l’article 3 I de la loi du 6 janvier 1978 modifiée, dite loi Informatique et Libertés, comme suit : “Le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens.”
(4) Proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) du 25 janvier 2012
Bénédicte DELEPORTE
Avocat
Deleporte Wentz Avocat
www.dwavocat.com
juillet 2012
La CNIL avait publié une consultation publique fin 2011, demandant aux entreprises qui le souhaitaient de fournir leurs réflexions, dans le cadre des questions posées, avec pour finalité la publication d’un rapport pour améliorer l’encadrement juridique du Cloud computing. Pour rappel, la consultation portait sur cinq séries de questions : 1) qu'est-ce qui caractérise un service de Cloud computing ? 2) Le statut et les responsabilités du sous-traitant des données, applicables au prestataire Cloud, doivent-ils évoluer ? 3) Quels critères utiliser pour déterminer la loi applicable aux services Cloud ? 4) Quels outils juridiques permettraient de mieux encadrer les transferts de données vers des pays ne disposant pas d'un niveau de protection adéquat ? 5) Quelles mesures de sécurité devraient être adoptées (mesures techniques et gestion des accès aux données) pour garantir la confidentialité des données ?
Après analyse des contributions, la CNIL a publié ses recommandations le 25 juin dernier. (2)
Nous faisons ci-après une synthèse des principaux points couverts par la CNIL, sur la base des deux axes suivants : l’évolution de la notion de responsable du traitement et la nécessité de bâtir la confiance entre prestataires et clients, via des engagements forts en matière de sécurité et de transparence dans les procédures déployées.
1. L’évolution de la notion de responsable de traitement induite par le développement des services de Cloud computing
En matière de traitements de données à caractère personnel, le responsable de traitement est en principe le client. En effet, le client, en qualité de collecteur des données à caractère personnel, en détermine les finalités et les moyens de traitement. (3) Cependant, hors Cloud privé, le client ayant recours à un service de Cloud computing n’a plus la maîtrise effective du traitement. Il est donc nécessaire de réfléchir à l’évolution de la notion de responsable de traitement au regard des rôles effectifs joués respectivement par le client et par le prestataire.
1.1 Service Cloud et maîtrise des traitements de données à caractère personnel
Dans le cadre des Cloud publics, le fonctionnement et les objectifs du service sont définis par le prestataire, autour d’une prestation standardisée. Le rôle du prestataire ne se limite plus à celui d’un simple sous-traitant qui ne ferait que traiter les données personnelles pour le compte du client et selon ses instructions.
Les conditions posées par l’article 3 de la loi Informatique et Libertés, qui définit la notion de responsable de traitement, ne sont donc plus nécessairement réunies. Afin de déterminer les rôles respectifs du client et du prestataire, la CNIL préconise d’appliquer un faisceau d’indices. Selon les résultats de ce test, les rôles de responsable de traitement et de sous-traitant peuvent être amenés à évoluer et être revus.
Ce faisceau d’indices comprend les quatre critères suivants :
- l’évaluation du niveau d’instruction donné par le client au prestataire. Plus le degré d’autonomie du prestataire dans la réalisation de la prestation sera élevé, plus la tendance sera de le considérer également comme responsable de traitement ;
- le degré de contrôle de l’exécution de la prestation du prestataire par le client ;
- la valeur ajoutée fournie par le prestataire sur le traitement des données du client, et donc, le niveau de maîtrise du traitement de données par le prestataire ;
- le degré de transparence du client sur le recours à un prestataire Cloud.
Ainsi, plus le client sera passif, et en contrepartie, plus le prestataire s’impliquera dans le traitement, plus la tendance sera de considérer ce dernier également comme responsable de traitement. L’application des critères définis ci-dessus aux offres de service Cloud standardisées, soumises à la maîtrise du service par le prestataire et entraînant une moindre implication du client, devrait permettre de retenir la qualification de responsable de traitement pour le prestataire dans la mesure où celui-ci participe de manière effective à la détermination des finalités et des moyens des traitements de données personnelles.
1.2 Responsable ou co-responsables du traitement
Cependant, même si le prestataire peut être considéré comme responsable de traitement et non plus comme simple sous-traitant du client, cela ne signifie pas pour autant que le client sera dégagé de toute responsabilité concernant les traitements mis en oeuvre.
Le client reste en effet celui qui collecte les données à caractère personnel et qui les utilisera (par exemple dans le cadre de ses activités de gestion de la relation clients, ou de ses campagnes de marketing, ou encore de gestion des RH). En revanche, le client n’aura plus la maîtrise des moyens mis en oeuvre, de l’accès aux données, ou des mesures de sécurité appliquées auxdits traitements.
En d’autres termes, le fait de déclarer que le prestataire peut également être considéré comme responsable de traitement ne signifie pas que le client perdra ce rôle en contrepartie. Doit-on alors envisager la notion de co-responsables de traitement ?
Comme le relève justement la CNIL, la co-responsabilité est source d’insécurité juridique et de dilution des responsabilités. Ainsi, plutôt que d’être globalement co-responsables de traitement et de diluer les responsabilités, la CNIL recommande aux parties d’identifier les pôles de responsabilité respectifs dans le cadre du contrat de prestation. La CNIL propose un tableau afin d’aider clients et prestataires à identifier, pour chaque étape (formalités déclaratives, information des personnes, obligation de confidentialité et de sécurité, exercice des droits des personnes concernées - droit d’accès et de rectification), qui du client ou du prestataire, sera effectivement responsable. La définition effective des étapes et des partages de responsabilités devra se faire dans le cadre du contrat de prestation de Cloud computing.
Le rôle du sous-traitant, dans le cadre des traitements de données personnelles, n’est pas pour l’instant défini de manière spécifique. Le projet de règlement européen relatif à la protection des données personnelles du 25 janvier 2012 prévoit la création d’un régime légal du sous-traitant, soumis à une liste d’obligations communes avec le responsable de traitement. (4)
2. L’avenir des services en Cloud computing passe par la confiance
Une meilleure redéfinition des rôles et des responsabilités des clients et prestataires est illusoire si, en parallèle, la question de la confiance des clients dans les prestataires et les services fournis reste en deçà des attentes. Les deux piliers de la confiance sont, d’une part les engagements relatifs à la sécurité du service, d’autre part une plus grande transparence des prestataires relative aux procédures en place.
2.1 La question sensible de la sécurité du service
Bien que l’utilisation du Cloud computing se développe, l’un des freins au passage au Cloud reste la sécurité. En effet, de nombreuses entreprises sont encore réticentes à l’idée d’externaliser leurs données, que celles-ci soient de nature commerciale, protégées par le droit d’auteur, à caractère personnel ou autre.
La sécurité recouvre plusieurs questions : celle de l’accès aux données et de la disponibilité du service (les derniers incidents d’interruption de service subis récemment par des prestataires majeurs du Cloud ont encore exacerbé les craintes des utilisateurs), celle de la réversibilité en fin de contrat (question du transfert à un nouveau prestataire et de l’interopérabilité des systèmes), et surtout, celle de la sécurité du système du prestataire (imperméabilité du système aux intrusions de tiers).
Ces différentes questions passent par des contrats intégrant de réels engagements de la part des prestataires, avec SLA (Service level agreement ou engagement de service) et PLA (Privacy level agreement ou engagement de protection des données - ce concept de PLA étant en cours de développement).
La CNIL, dans sa recommandation, inclut une liste d’engagements à prendre en compte dans le contrat (tel que la responsabilité en cas de perte de données).
2.2 Une plus grande transparence dans les procédures mises en place
L’un des avantages, et des problèmes, du Cloud computing est la possibilité pour les prestataires d’utiliser des centres serveurs délocalisés, avec une multiplication des lieux de traitement et de stockage des données. Les procédés actuellement déployés par les prestataires sont rarement décrits de manière claire et précise dans les contrats.
A ce sujet, la CNIL recommande aux prestataires d’intégrer des clauses-types dans leurs contrats de prestation et de mettre en place des règles du type BCR (Binding corporate rules, ou règles d’entreprise contraignantes).
Les clauses contractuelles types proposées par la CNIL, dont l’objet est de mieux encadrer les transferts de données hors Union européenne, diffèrent suivant que : (i) le prestataire Cloud est localisé hors UE et agit en qualité de sous-traitant, (ii) le prestataire Cloud est localisé hors UE et agit en qualité de responsable de traitement, ou (iii) le prestataire Cloud est localisé dans l’UE, agit en qualité de sous-traitant et transfère les données à un sous-traitant (de 2é niveau) situé hors UE.
Par ailleurs, les “BCR sous-traitants” sont un nouvel outil, de nature contractuelle, qui permettrait d’améliorer la transparence et la confiance dans les services proposés.
Les BCR sont des accords intra-groupes (ou codes de conduite), développés et déployés par certaines entreprises multinationales afin de faciliter les transferts de données personnelles entre les sociétés d’un même groupe, en contrepartie d’engagements forts de la part du groupe en matière de respect de la réglementation européenne sur la protection des données personnelles. Pour être appliqués, les BCR doivent avoir été validés par l’une des commissions européennes pour la protection des données. Ce concept, qui a fait ses preuves au niveau des multinationales l’ayant adopté, pourrait effectivement être reproduit pour les prestataires Cloud. Ceux-ci pourraient adopter des BCR sous-traitants applicables aux sociétés de leurs groupes afin de garantir un niveau de protection adéquat aux données personnelles des clients, transférées au sein du groupe du prestataire.
Il n’est pas encore possible de mettre en oeuvre des “BCR sous-traitants”. Cependant, cette notion de BCR sous-traitant est prévue dans le projet de règlement européen du 25 janvier 2012. Ils intégreraient notamment une liste d’engagements techniques de la part des prestataires Cloud (tels que par exemple le recours à des metadonnées, ou le recours au chiffrement).
Les BCR sous-traitant semblent donc être un outil qui permettrait d’apporter les éléments nécessaires à l’amélioration de la confiance dans la prestation de Cloud computing.
Bien que la recommandation de la CNIL se focalise en premier lieu sur les données à caractère personnel, la réflexion vaut autant pour les données personnelles que pour les autres catégories de données transférées par les entreprises sur le Cloud. Le document comprend en fait 5 séries de recommandations, dont l’objet est d’aider les entreprises dans leur prise de décision de passage au Cloud computing : 1) identifier clairement les données et les traitements qui passeront dans le Cloud, 2) définir ses propres exigences de sécurité technique et juridique, 3) conduire une analyse de risques afin d’identifier les mesures de sécurité essentielles pour l’entreprise, 4) identifier le type de Cloud pertinent pour le traitement envisagé et 5) choisir un prestataire présentant des garanties suffisantes. Les aspects juridiques à prendre en compte sont complétés par des clauses contractuelles types.
Le recours à une prestation de Cloud computing nécessite donc, pour le client, de procéder au choix du prestataire et de service adaptés après avoir établi une analyse des besoins et des risques, et identifié les mesures de sécurité nécessaires compte tenu du type de service contracté.
* * * * * * * * * * *
(1) La définition de Cloud computing retenue dans la recommandation de la CNIL comprend le panel des offres de services informatiques fournis en ligne par des prestataires spécialisés : SaaS (Software as a Service, ou accès à des logiciels en ligne), PaaS (Platform as a Service, ou accès à une plateforme de développement d’applications en ligne) et IaaS (Infrastructure as a Service, ou fourniture d’une infrastructure informatique - serveurs, stockage, etc. - en ligne)
(2) La recommandation de la CNIL est consultable à l’URL: http://www.cnil.fr/la-cnil/actualite/article/article/cloud-computing-les-conseils-de-la-cnil-pour-les-entreprises-qui-utilisent-ces-nouveaux-services/ ; A noter également que le Groupe de l’Article 29 (groupe de travail des commissions européennes de protection des données personnelles) a publié ses propres recommandations relatives au Cloud computing le 1er juillet 2012, dans lesquelles on retrouve les grandes thématiques et recommandations émises par la CNIL.
(3) La notion de responsable de traitement est définie à l’article 3 I de la loi du 6 janvier 1978 modifiée, dite loi Informatique et Libertés, comme suit : “Le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens.”
(4) Proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) du 25 janvier 2012
Bénédicte DELEPORTE
Avocat
Deleporte Wentz Avocat
www.dwavocat.com
juillet 2012
vendredi 13 juillet 2012
Les règles juridiques applicables à la constitution de fichiers de clients indésirables et listes noires
De nombreux organismes privés (entreprises, associations, syndicats professionnels) ou publics, quels que soient leurs domaines d’activité, constituent des fichiers recensant les mauvais payeurs, fraudeurs, ou personnes à risques. Ces listes d'exclusions, ou listes négatives, sont communément appelées "listes noires".
La position de la CNIL concernant ces types de fichiers a évolué avec le temps. Alors que la constitution de ces fichiers était quasiment interdite, car interdisant des catégories de personnes d’avoir accès à des produits ou services, la position de la Commission s’est assouplie, de manière assez pragmatique, afin de prendre en compte le développement de la fraude au paiement sur internet par exemple. C'est ainsi que, dans un rapport de 2003, la CNIL a publié plusieurs propositions et principes (information des personnes, proportionnalité, pertinence des informations collectées, durée de conservation raisonnable et sécurité des données) visant à encadrer de façon "plus réaliste" une pratique qui se généralisait dans tous les secteurs d'activité. (1)
Cependant, ces listes ont un impact direct sur la vie privée des personnes concernées, étant susceptibles de les exclure socialement (refus de vente ou de fourniture d’un service). La constitution de ce type de fichiers reste donc très encadrée par la loi.
Une récente délibération de la CNIL, concernant le Syndicat national des maisons de ventes volontaires (SYMEV) qui avait créé une liste noire d'acheteurs défaillants, sans respecter les conditions posées par la loi, nous donne l'occasion de rappeler les obligations légales pesant sur les organismes souhaitant constituer ces types de fichiers et les sanctions applicables en cas de non respect de ces obligations.
1. Quels types de fichiers sont constitutifs de "listes noires" ?
Une liste noire est un fichier rassemblant des données à caractère personnel (nom, adresse, numéro de carte bancaire, etc.) sur des personnes mises sous surveillance par un organisme, ou avec lesquelles l’organisme ne souhaite plus traiter en raison de la survenance antérieure d'incidents (par exemple, fraude ou incident de paiement). Une liste noire peut être interne à un organisme ou mutualisée entre plusieurs entités juridiques.
1.1 Les fichiers concernés
Il existe une grande diversité de finalités et de contenus des listes mises en oeuvre. On retiendra notamment, parmi ces listes de personnes à risques ou indésirables :
- les fichiers de clients douteux ou fichiers d'anomalies : par exemple lorsqu’un même client passe plusieurs commandes sur un site de e-commerce mais saisit plusieurs numéros de cartes bancaires et de téléphone et plusieurs adresses de domicile ;
- les fichiers de fraudeurs : ces fichiers concernent des personnes ayant fourni de fausses informations (telles que fausse adresse ou numéro de carte bancaire, ou faux bulletins de paye), ou les fichiers de lutte contre la fraude au crédit ou à l'assurance ;
- les fichiers d'auteurs de comportements répréhensibles : par exemple, les fichiers de conducteurs de véhicules de location ayant commis des infractions ;
- les fichiers de mauvais payeurs : par exemple, les fichiers d'incidents de paiement ou de locataires mauvais payeurs. Ces fichiers sont courants en matière de vente en ligne ; dans ce cas l'acheteur ayant connu un incident de paiement se voit refuser la possibilité d'acheter ultérieurement sur le site web créditeur.
On peut citer également le fichier Preventel mis en oeuvre par le GIE Prévention Télécommunications. Ce fichier recense notamment les impayés dans le secteur de la téléphonie mobile. Les opérateurs de téléphonie mobile (tels Orange France, SFR, Bouygues Telecom, Auchan Telecom, etc.), membres du GIE, consultent le fichier Preventel chaque fois qu'une personne souhaite s'abonner à leurs services. Si la personne est fichée, l'abonnement peut lui être refusé ou un dépôt de garantie peut lui être demandé. (2)
1.2 Les fichiers ne constituant pas des "listes noires"
Toutes ces listes ne sont cependant pas considérées comme des listes d'exclusion au sens de la loi.
Par exemple, les fichiers internes à une société, mis en oeuvre pour assurer le respect des obligations comptables, le traitement d'impayés, et le recouvrement des créances, peuvent être constitués sans autorisation de la CNIL. De même, un établissement ouvert au public (tel un établissement scolaire) peut constituer une liste de sites web bloqués à la consultation (réseaux sociaux, messageries, sites pour adultes, etc.).
Ces types de fichiers, ne comprenant pas de données à caractère personnel et ne visant pas à empêcher quelqu'un de bénéficier d'un droit, d'une prestation ou d'un contrat, ne sont pas considérés comme des listes noires.
2. Les obligations légales relatives à la constitution de "listes noires"
La constitution de listes de clients indésirables n’est pas illicite, à condition de respecter les dispositions légales que nous rappelons ci-après.
Un organisme privé ou public qui crée un fichier de clients indésirables met en oeuvre un traitement de données à caractère personnel (nom, prénom, adresse, numéro de téléphone, adresse e-mail, etc.). Un traitement de données personnelles consiste dans le fait de collecter, enregistrer, conserver, modifier, diffuser ou détruire des données personnelles.
Si l'organisme en charge du fichier est situé en France, celui-ci est tenu de respecter les obligations relatives aux traitements de données personnelles définies par la loi Informatique et Libertés, en sa qualité de responsable de traitement. (3)
2.1 Les formalités préalables à la constitution d’un fichier de clients indésirables
La mise en oeuvre d’un fichier de clients indésirables (ou à risques) est soumise à l'autorisation préalable de la CNIL (et non à une simple déclaration). Le traitement ne pourra être mis en oeuvre avant d’avoir reçu cette autorisation, sachant que la CNIL peut demander des informations ou des engagements complémentaires à l’organisme demandeur si elle estime que la demande d’autorisation est incomplète ou qu’elle manque de précisions. (4)
Ainsi, l’exploitant d’un site de vente en ligne qui souhaiterait constituer un fichier automatisé de lutte contre la fraude au paiement ou un fichier de mauvais payeurs devra faire une demande d’autorisation préalable à la constitution d’un tel fichier à la CNIL.
Par ailleurs, des entités juridiques distinctes ont la possibilité de faire une demande d’autorisation de constitution de listes mutualisées. Ces organismes pourront ensuite communiquer entre eux des informations ou fichiers. Toutefois, afin d'éviter le risque d'exclusion résultant d'une centralisation d'impayés provenant de plusieurs secteurs d'activités confondus et de garantir la proportionnalité du traitement, la CNIL préconise que l'accès à ces listes soit limité aux professionnels d'un secteur déterminé.
Par exemple, les professionnels de la vente en ligne, tous secteurs confondus ne pourraient pas en principe constituer de telles listes. De même, si les professionnels de l'immobilier peuvent alimenter et consulter une liste commune de locataires mauvais payeurs, les particuliers propriétaires de biens immobiliers (non professionnels) ne peuvent y avoir accès.
2.2 Les conditions de constitution du fichier
Pour qu’un fichier d’indésirables, ou liste noire puisse être accepté par la CNIL, celui-ci devra être régulièrement constitué et respecter les conditions posées par la réglementation.
Le caractère déterminé, explicite et légitime de la finalité du fichier - Tout fichier (ou traitement) doit avoir une finalité définie et précise (ex: lutte contre la fraude à l'assurance). Ainsi, un fichier ne peut porter que sur des données collectées pour des finalités déterminées, explicites et légitimes. Ces données doivent être adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées.
A ce titre, la mise en oeuvre d'une liste noire doit être proportionnée et l'inscription sur une telle liste ne peut se justifier que pour un motif particulièrement grave, motivé et objectif. Ainsi, lorsque le fichier vise à recenser des informations sur des impayés non régularisés, la créance doit être certaine, liquide et exigible. Un seuil d'inscription peut être défini, notamment en cas de liste noire mutualisée à plusieurs organismes. Par exemple, les abonnés aux services de téléphonie mobile, débiteurs, ne peuvent être inscrits sur le fichier Preventel qu’à partir d’un montant impayé de 30€.
La conservation des données pour une durée "raisonnable" - Les données personnelles ne peuvent être conservées que pour une durée raisonnable. Au-delà de cette durée, les données doivent être soit effacées, soit anonymisées. Par durée raisonnable, on entend la durée nécessaire au traitement. Par exemple, en matière d'incidents de paiements, les données doivent être supprimées dès que les sommes dues ont été réglées. A défaut de régularisation, la CNIL préconise une durée de conservation comprise entre 2 et 5 ans (en fonction de la finalité du traitement, de l'identité du responsable de traitement, du caractère mutualisé ou non des informations, etc.).
L’obligation de sécurité des données - Compte tenu de la sensibilité de ce type de fichier, l'organisme qui met en oeuvre le traitement est soumis à une obligation de sécurité très forte pour empêcher que les données traitées soient erronées, modifiées, effacées par erreur, ou que des tiers non autorisés aient accès au traitement. L’organisme est tenu de mettre en oeuvre des mesures de sécurité physique (accès contrôlé aux locaux hébergeant les serveurs) et techniques (serveurs protégés par des firewalls, accès par mot de passe, éventuellement cryptage des données, etc.).
L'information et les droits des personnes concernées - Même en matière de fichiers de clients indésirables ou de fraude, la collecte de données personnelles ne peut être réalisée à l’insu de la personne concernée. Celle-ci doit notamment connaître l'identité du responsable de traitement, la finalité du traitement, l'identité des destinataires des données et des éventuels transferts de données hors Union européenne.
En matière de liste noire, l'information doit en principe se faire à plusieurs moments : (i) lors de la collecte des données (ex: au jour de l'inscription de l'internaute sur le site web ou de la conclusion du bail par l'insertion d'une clause au contrat), (ii) lors de la réalisation de l'incident susceptible de donner lieu à une inscription (information individuelle par courrier) et (iii) lors de l'inscription effective (un délai raisonnable doit être prévu afin de permettre à la personne concernée de faire valoir ses observations).
Enfin, les personnes concernées bénéficient d’un droit d'accès (pour consultation), de rectification (en cas d'homonymie ou de régularisation de créance non prise en compte), de contestation et d'opposition (demande de suppression ou de désinscription en cas d'usurpation d'identité) au traitement de leurs données.
3. Quelles sanctions en cas de non-respect de la réglementation sur les données personnelles ?
Le non-respect par un organisme des règles applicables à la constitution et à la mise en oeuvre d’un traitement de données à caractère personnel est passible de sanctions qui peuvent être prononcées directement par la CNIL, ou par les juridictions pénales après transmission du dossier au procureur de la République.
3.1 Les pouvoirs de contrôle de la CNIL
La CNIL dispose de pouvoirs de contrôle et de sanction à l'encontre des responsables de traitement en cas de non-respect des dispositions légales en matière de traitement de données personnelles.
Des contrôles sur place (dans les locaux de l’entreprise), peuvent être réalisés de façon inopinée ou à la suite de plaintes. Lors de ces contrôle, les agents de la CNIL (pouvant être accompagnés d’agents de la DGCCRF) peuvent demander communication de tout document, recueillir tout renseignement utile et accéder aux serveurs, aux programmes informatiques et aux données afin de vérifier la conformité des traitements à la loi Informatique et Libertés.
3.2 Les sanctions applicables
Les manquements à la loi Informatique et Libertés sont passibles de sanctions pénales. Ainsi, le fait de procéder à un traitement de données personnelles (i) sans respecter les formalités préalables, y compris par négligence ou (ii) malgré l'opposition de la personne concernée, est puni de 5 ans d’emprisonnement et 300.000€ d’amende.
Les sanctions prononcées par la CNIL - Lorsque des manquements à la loi sont relevés, la CNIL peut prononcer un avertissement ou mettre l'organisme en demeure de faire cesser le manquement constaté dans un délai qu’elle fixe. Si l'organisme ne se conforme pas à la mise en demeure, la CNIL peut prononcer une sanction pécuniaire d'un montant maximum de 300.000€, une injonction de cesser le traitement ou un retrait de l’autorisation accordée.
Par exemple, en juin 2006, la CNIL a prononcé une sanction de 45.000€ à l’encontre du Crédit Lyonnais pour entrave à son action et inscription abusive de clients sur le fichier des "retraits de cartes bancaires (CB)", tenu par la Banque de France. En l’espèce, le Crédit Lyonnais avait inscrit des clients dans ce fichier relatif aux seuls incidents liés à l'usage de la carte bancaire, alors que les incidents concernaient l'utilisation de chèques sans provision et le défaut de règlement d'échéances de paiement de crédit. Ces incidents auraient pu justifier l'inscription des clients au fichier central des chèques (FCC) ainsi qu'au fichier des incidents de remboursement des crédits aux particuliers (FICP) mais en aucun cas au fichier des retraits "CB". (5)
Récemment, le 24 mai 2012, la CNIL a prononcé un avertissement rendu public à l'encontre du Syndicat national des Maisons de Ventes Volontaires (SYMEV). Le syndicat avait constitué une "liste noire" mutualisée informant les maisons de ventes volontaires aux enchères publiques de l'identité d'acheteurs (ou adjudicataires) défaillants. Dans cette affaire, la CNIL rappelle que si la constitution de listes noires n'est pas en soi interdite, sa mise en oeuvre doit respecter les principes posés par la loi, dès lors qu'elle est susceptible d'exclure des personnes de la faculté de participer à des ventes aux enchères. Or, la CNIL a constaté que la liste litigieuse avait été constituée sans son autorisation et à l'insu des personnes fichées. (6)
Les sanctions pénales - La Cour d'appel de Bourges a rendu une décision en janvier 2007 à la suite de la transmission du dossier par la CNIL au procureur de la République. Dans cette affaire, la Ligue européenne de défense des victimes de notaires avait publié sur un site internet une liste nominative de 2500 notaires, la page d'accueil du site indiquant que : la profession de notaires faisait courir “les plus grands risques aux clients” et que “le fait d’être inscrit sur la liste de la Ligue européenne de défense des victimes de notaires n’impliqu(ait) aucun préjugé ni pré-jugement ; cela implique que notre association a un dossier concernant un client ou plusieurs clients de l’étude de notaire”.
Or, le traitement de la liste nominative de ces notaires n’avait fait l’objet d’aucune demande d’autorisation préalable auprès de la CNIL. Plusieurs notaires s'étaient opposés, sans succès, à leur mention sur le site web. La Cour en a conclu que “le procédé informatique utilisé aboutissant de fait à la création d’une liste noire des notaires et s’apparentant comme tel à de la délation, est à l’origine d’un préjudice certain pour (les notaires fichés) qui, outre l’opprobre et la suspicion jetée publiquement, ont pu voir des particuliers se détourner (d'eux pour avoir été) injustement mis en cause". La Ligue et sa gérante ont été condamnées respectivement à 3.000€ et 1.500€ d'amende ainsi qu'au versement de 9.700€ aux parties civiles (100€ à chacun des 97 notaires plaignants). (7)
Ainsi, la constitution de fichiers de clients indésirables, à risques, de fraudeurs, etc. n’est pas interdite si la finalité du traitement est déterminée, explicite et légitime (telle la lutte contre la fraude). Il est cependant nécessaire de se conformer aux obligations légales de demande d’autorisation préalable à la CNIL et de constitution et mise en oeuvre dans le respect des dispositions de la loi Informatique et Libertés, sous peine d’être passible de sanctions pénales en cas de non respect de ces dispositions.
Outre les listes noires, les organismes peuvent avoir recours à la technique dite du "profilage" consistant à appliquer un profil à une personne physique et la placer ainsi dans des catégories de groupes prédéfinies, notamment à des fins d'analyse ou de prédiction de ses préférences, comportements et attitudes personnels. Cette pratique, toute aussi sensible dans la mesure où elle peut avoir pour conséquence d'exposer les personnes concernées à des risques de discrimination et d'atteinte à leur dignité, n'est pas soumise aux mêmes règles que celles des listes noires. (8)
* * * * * * * * * * *
(1) Les fichiers de type liste noire étaient admis dans les secteurs de la banque et du crédit (fichier des interdits bancaires par exemple), mais soumis à des conditions de suivi (inscription et radiation) strictes. Voir rapport de la CNIL de novembre 2003 : "Les listes noires : le fichage des "mauvais payeurs" et des "fraudeurs" au regard de la protection des données personnelles" (http://www.ladocumentationfrancaise.fr/var/storage/rapports-publics/034000689/0000.pdf)
(2) Voir site internet du GIE Prévention Télécommunications : http://www.preventel.fr/.
(3) Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée, dite Loi Informatique et Libertés.
(4) En application de l’article 25 I (4e) de la loi Informatique et Libertés : “Tous traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire" est soumis à une demande d’autorisation préalable à la CNIL.
(5) Délibération n°2006-174 du 28 juin 2006 prononçant une sanction pécuniaire à l'encontre du Crédit Lyonnais.
(6) Délibération de la formation restreinte n°2012-079 du 24 mai 2012 portant avertissement public à l'encontre du Syndicat National des Maisons de Ventes Volontaires (SYMEV).
(7) CA Bourges 2e ch., 11 janvier 2007, Gisèle L. et autres c/ Ministère Public.
(8) Exemples de profilage : dans un communiqué du 25/10/2011, la CNIL a dénoncé les techniques dites de " profilage communautaire" consistant à créer des fichiers faisant apparaître, directement ou indirectement, l'appartenance religieuse ou l'origine raciale vraie ou supposée des personnes. A ce titre, l'application pour iPhone dénommée "Juif ou pas juif", retirée de la vente en septembre 2011 est un exemple de ciblage communautaire. Dans un autre registre, la CNIL a souhaité encadrer de façon stricte la technique du "score" (ou instrument d'aide à la décision d'octroi ou de refus de crédit (analyse des risques) utilisé par les établissements de crédit) et a publié plusieurs délibérations à ce sujet (délibérations n°2006-019 du 2/02/2006 et délibération n°2008-198 du 9/07/2008).
Bénédicte DELEPORTE - Avocat
Betty SFEZ - Avocat
Deleporte Wentz Avocat
www.dwavocat.com
Juillet 2012
La position de la CNIL concernant ces types de fichiers a évolué avec le temps. Alors que la constitution de ces fichiers était quasiment interdite, car interdisant des catégories de personnes d’avoir accès à des produits ou services, la position de la Commission s’est assouplie, de manière assez pragmatique, afin de prendre en compte le développement de la fraude au paiement sur internet par exemple. C'est ainsi que, dans un rapport de 2003, la CNIL a publié plusieurs propositions et principes (information des personnes, proportionnalité, pertinence des informations collectées, durée de conservation raisonnable et sécurité des données) visant à encadrer de façon "plus réaliste" une pratique qui se généralisait dans tous les secteurs d'activité. (1)
Cependant, ces listes ont un impact direct sur la vie privée des personnes concernées, étant susceptibles de les exclure socialement (refus de vente ou de fourniture d’un service). La constitution de ce type de fichiers reste donc très encadrée par la loi.
Une récente délibération de la CNIL, concernant le Syndicat national des maisons de ventes volontaires (SYMEV) qui avait créé une liste noire d'acheteurs défaillants, sans respecter les conditions posées par la loi, nous donne l'occasion de rappeler les obligations légales pesant sur les organismes souhaitant constituer ces types de fichiers et les sanctions applicables en cas de non respect de ces obligations.
1. Quels types de fichiers sont constitutifs de "listes noires" ?
Une liste noire est un fichier rassemblant des données à caractère personnel (nom, adresse, numéro de carte bancaire, etc.) sur des personnes mises sous surveillance par un organisme, ou avec lesquelles l’organisme ne souhaite plus traiter en raison de la survenance antérieure d'incidents (par exemple, fraude ou incident de paiement). Une liste noire peut être interne à un organisme ou mutualisée entre plusieurs entités juridiques.
1.1 Les fichiers concernés
Il existe une grande diversité de finalités et de contenus des listes mises en oeuvre. On retiendra notamment, parmi ces listes de personnes à risques ou indésirables :
- les fichiers de clients douteux ou fichiers d'anomalies : par exemple lorsqu’un même client passe plusieurs commandes sur un site de e-commerce mais saisit plusieurs numéros de cartes bancaires et de téléphone et plusieurs adresses de domicile ;
- les fichiers de fraudeurs : ces fichiers concernent des personnes ayant fourni de fausses informations (telles que fausse adresse ou numéro de carte bancaire, ou faux bulletins de paye), ou les fichiers de lutte contre la fraude au crédit ou à l'assurance ;
- les fichiers d'auteurs de comportements répréhensibles : par exemple, les fichiers de conducteurs de véhicules de location ayant commis des infractions ;
- les fichiers de mauvais payeurs : par exemple, les fichiers d'incidents de paiement ou de locataires mauvais payeurs. Ces fichiers sont courants en matière de vente en ligne ; dans ce cas l'acheteur ayant connu un incident de paiement se voit refuser la possibilité d'acheter ultérieurement sur le site web créditeur.
On peut citer également le fichier Preventel mis en oeuvre par le GIE Prévention Télécommunications. Ce fichier recense notamment les impayés dans le secteur de la téléphonie mobile. Les opérateurs de téléphonie mobile (tels Orange France, SFR, Bouygues Telecom, Auchan Telecom, etc.), membres du GIE, consultent le fichier Preventel chaque fois qu'une personne souhaite s'abonner à leurs services. Si la personne est fichée, l'abonnement peut lui être refusé ou un dépôt de garantie peut lui être demandé. (2)
1.2 Les fichiers ne constituant pas des "listes noires"
Toutes ces listes ne sont cependant pas considérées comme des listes d'exclusion au sens de la loi.
Par exemple, les fichiers internes à une société, mis en oeuvre pour assurer le respect des obligations comptables, le traitement d'impayés, et le recouvrement des créances, peuvent être constitués sans autorisation de la CNIL. De même, un établissement ouvert au public (tel un établissement scolaire) peut constituer une liste de sites web bloqués à la consultation (réseaux sociaux, messageries, sites pour adultes, etc.).
Ces types de fichiers, ne comprenant pas de données à caractère personnel et ne visant pas à empêcher quelqu'un de bénéficier d'un droit, d'une prestation ou d'un contrat, ne sont pas considérés comme des listes noires.
2. Les obligations légales relatives à la constitution de "listes noires"
La constitution de listes de clients indésirables n’est pas illicite, à condition de respecter les dispositions légales que nous rappelons ci-après.
Un organisme privé ou public qui crée un fichier de clients indésirables met en oeuvre un traitement de données à caractère personnel (nom, prénom, adresse, numéro de téléphone, adresse e-mail, etc.). Un traitement de données personnelles consiste dans le fait de collecter, enregistrer, conserver, modifier, diffuser ou détruire des données personnelles.
Si l'organisme en charge du fichier est situé en France, celui-ci est tenu de respecter les obligations relatives aux traitements de données personnelles définies par la loi Informatique et Libertés, en sa qualité de responsable de traitement. (3)
2.1 Les formalités préalables à la constitution d’un fichier de clients indésirables
La mise en oeuvre d’un fichier de clients indésirables (ou à risques) est soumise à l'autorisation préalable de la CNIL (et non à une simple déclaration). Le traitement ne pourra être mis en oeuvre avant d’avoir reçu cette autorisation, sachant que la CNIL peut demander des informations ou des engagements complémentaires à l’organisme demandeur si elle estime que la demande d’autorisation est incomplète ou qu’elle manque de précisions. (4)
Ainsi, l’exploitant d’un site de vente en ligne qui souhaiterait constituer un fichier automatisé de lutte contre la fraude au paiement ou un fichier de mauvais payeurs devra faire une demande d’autorisation préalable à la constitution d’un tel fichier à la CNIL.
Par ailleurs, des entités juridiques distinctes ont la possibilité de faire une demande d’autorisation de constitution de listes mutualisées. Ces organismes pourront ensuite communiquer entre eux des informations ou fichiers. Toutefois, afin d'éviter le risque d'exclusion résultant d'une centralisation d'impayés provenant de plusieurs secteurs d'activités confondus et de garantir la proportionnalité du traitement, la CNIL préconise que l'accès à ces listes soit limité aux professionnels d'un secteur déterminé.
Par exemple, les professionnels de la vente en ligne, tous secteurs confondus ne pourraient pas en principe constituer de telles listes. De même, si les professionnels de l'immobilier peuvent alimenter et consulter une liste commune de locataires mauvais payeurs, les particuliers propriétaires de biens immobiliers (non professionnels) ne peuvent y avoir accès.
2.2 Les conditions de constitution du fichier
Pour qu’un fichier d’indésirables, ou liste noire puisse être accepté par la CNIL, celui-ci devra être régulièrement constitué et respecter les conditions posées par la réglementation.
Le caractère déterminé, explicite et légitime de la finalité du fichier - Tout fichier (ou traitement) doit avoir une finalité définie et précise (ex: lutte contre la fraude à l'assurance). Ainsi, un fichier ne peut porter que sur des données collectées pour des finalités déterminées, explicites et légitimes. Ces données doivent être adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées.
A ce titre, la mise en oeuvre d'une liste noire doit être proportionnée et l'inscription sur une telle liste ne peut se justifier que pour un motif particulièrement grave, motivé et objectif. Ainsi, lorsque le fichier vise à recenser des informations sur des impayés non régularisés, la créance doit être certaine, liquide et exigible. Un seuil d'inscription peut être défini, notamment en cas de liste noire mutualisée à plusieurs organismes. Par exemple, les abonnés aux services de téléphonie mobile, débiteurs, ne peuvent être inscrits sur le fichier Preventel qu’à partir d’un montant impayé de 30€.
La conservation des données pour une durée "raisonnable" - Les données personnelles ne peuvent être conservées que pour une durée raisonnable. Au-delà de cette durée, les données doivent être soit effacées, soit anonymisées. Par durée raisonnable, on entend la durée nécessaire au traitement. Par exemple, en matière d'incidents de paiements, les données doivent être supprimées dès que les sommes dues ont été réglées. A défaut de régularisation, la CNIL préconise une durée de conservation comprise entre 2 et 5 ans (en fonction de la finalité du traitement, de l'identité du responsable de traitement, du caractère mutualisé ou non des informations, etc.).
L’obligation de sécurité des données - Compte tenu de la sensibilité de ce type de fichier, l'organisme qui met en oeuvre le traitement est soumis à une obligation de sécurité très forte pour empêcher que les données traitées soient erronées, modifiées, effacées par erreur, ou que des tiers non autorisés aient accès au traitement. L’organisme est tenu de mettre en oeuvre des mesures de sécurité physique (accès contrôlé aux locaux hébergeant les serveurs) et techniques (serveurs protégés par des firewalls, accès par mot de passe, éventuellement cryptage des données, etc.).
L'information et les droits des personnes concernées - Même en matière de fichiers de clients indésirables ou de fraude, la collecte de données personnelles ne peut être réalisée à l’insu de la personne concernée. Celle-ci doit notamment connaître l'identité du responsable de traitement, la finalité du traitement, l'identité des destinataires des données et des éventuels transferts de données hors Union européenne.
En matière de liste noire, l'information doit en principe se faire à plusieurs moments : (i) lors de la collecte des données (ex: au jour de l'inscription de l'internaute sur le site web ou de la conclusion du bail par l'insertion d'une clause au contrat), (ii) lors de la réalisation de l'incident susceptible de donner lieu à une inscription (information individuelle par courrier) et (iii) lors de l'inscription effective (un délai raisonnable doit être prévu afin de permettre à la personne concernée de faire valoir ses observations).
Enfin, les personnes concernées bénéficient d’un droit d'accès (pour consultation), de rectification (en cas d'homonymie ou de régularisation de créance non prise en compte), de contestation et d'opposition (demande de suppression ou de désinscription en cas d'usurpation d'identité) au traitement de leurs données.
3. Quelles sanctions en cas de non-respect de la réglementation sur les données personnelles ?
Le non-respect par un organisme des règles applicables à la constitution et à la mise en oeuvre d’un traitement de données à caractère personnel est passible de sanctions qui peuvent être prononcées directement par la CNIL, ou par les juridictions pénales après transmission du dossier au procureur de la République.
3.1 Les pouvoirs de contrôle de la CNIL
La CNIL dispose de pouvoirs de contrôle et de sanction à l'encontre des responsables de traitement en cas de non-respect des dispositions légales en matière de traitement de données personnelles.
Des contrôles sur place (dans les locaux de l’entreprise), peuvent être réalisés de façon inopinée ou à la suite de plaintes. Lors de ces contrôle, les agents de la CNIL (pouvant être accompagnés d’agents de la DGCCRF) peuvent demander communication de tout document, recueillir tout renseignement utile et accéder aux serveurs, aux programmes informatiques et aux données afin de vérifier la conformité des traitements à la loi Informatique et Libertés.
3.2 Les sanctions applicables
Les manquements à la loi Informatique et Libertés sont passibles de sanctions pénales. Ainsi, le fait de procéder à un traitement de données personnelles (i) sans respecter les formalités préalables, y compris par négligence ou (ii) malgré l'opposition de la personne concernée, est puni de 5 ans d’emprisonnement et 300.000€ d’amende.
Les sanctions prononcées par la CNIL - Lorsque des manquements à la loi sont relevés, la CNIL peut prononcer un avertissement ou mettre l'organisme en demeure de faire cesser le manquement constaté dans un délai qu’elle fixe. Si l'organisme ne se conforme pas à la mise en demeure, la CNIL peut prononcer une sanction pécuniaire d'un montant maximum de 300.000€, une injonction de cesser le traitement ou un retrait de l’autorisation accordée.
Par exemple, en juin 2006, la CNIL a prononcé une sanction de 45.000€ à l’encontre du Crédit Lyonnais pour entrave à son action et inscription abusive de clients sur le fichier des "retraits de cartes bancaires (CB)", tenu par la Banque de France. En l’espèce, le Crédit Lyonnais avait inscrit des clients dans ce fichier relatif aux seuls incidents liés à l'usage de la carte bancaire, alors que les incidents concernaient l'utilisation de chèques sans provision et le défaut de règlement d'échéances de paiement de crédit. Ces incidents auraient pu justifier l'inscription des clients au fichier central des chèques (FCC) ainsi qu'au fichier des incidents de remboursement des crédits aux particuliers (FICP) mais en aucun cas au fichier des retraits "CB". (5)
Récemment, le 24 mai 2012, la CNIL a prononcé un avertissement rendu public à l'encontre du Syndicat national des Maisons de Ventes Volontaires (SYMEV). Le syndicat avait constitué une "liste noire" mutualisée informant les maisons de ventes volontaires aux enchères publiques de l'identité d'acheteurs (ou adjudicataires) défaillants. Dans cette affaire, la CNIL rappelle que si la constitution de listes noires n'est pas en soi interdite, sa mise en oeuvre doit respecter les principes posés par la loi, dès lors qu'elle est susceptible d'exclure des personnes de la faculté de participer à des ventes aux enchères. Or, la CNIL a constaté que la liste litigieuse avait été constituée sans son autorisation et à l'insu des personnes fichées. (6)
Les sanctions pénales - La Cour d'appel de Bourges a rendu une décision en janvier 2007 à la suite de la transmission du dossier par la CNIL au procureur de la République. Dans cette affaire, la Ligue européenne de défense des victimes de notaires avait publié sur un site internet une liste nominative de 2500 notaires, la page d'accueil du site indiquant que : la profession de notaires faisait courir “les plus grands risques aux clients” et que “le fait d’être inscrit sur la liste de la Ligue européenne de défense des victimes de notaires n’impliqu(ait) aucun préjugé ni pré-jugement ; cela implique que notre association a un dossier concernant un client ou plusieurs clients de l’étude de notaire”.
Or, le traitement de la liste nominative de ces notaires n’avait fait l’objet d’aucune demande d’autorisation préalable auprès de la CNIL. Plusieurs notaires s'étaient opposés, sans succès, à leur mention sur le site web. La Cour en a conclu que “le procédé informatique utilisé aboutissant de fait à la création d’une liste noire des notaires et s’apparentant comme tel à de la délation, est à l’origine d’un préjudice certain pour (les notaires fichés) qui, outre l’opprobre et la suspicion jetée publiquement, ont pu voir des particuliers se détourner (d'eux pour avoir été) injustement mis en cause". La Ligue et sa gérante ont été condamnées respectivement à 3.000€ et 1.500€ d'amende ainsi qu'au versement de 9.700€ aux parties civiles (100€ à chacun des 97 notaires plaignants). (7)
Ainsi, la constitution de fichiers de clients indésirables, à risques, de fraudeurs, etc. n’est pas interdite si la finalité du traitement est déterminée, explicite et légitime (telle la lutte contre la fraude). Il est cependant nécessaire de se conformer aux obligations légales de demande d’autorisation préalable à la CNIL et de constitution et mise en oeuvre dans le respect des dispositions de la loi Informatique et Libertés, sous peine d’être passible de sanctions pénales en cas de non respect de ces dispositions.
Outre les listes noires, les organismes peuvent avoir recours à la technique dite du "profilage" consistant à appliquer un profil à une personne physique et la placer ainsi dans des catégories de groupes prédéfinies, notamment à des fins d'analyse ou de prédiction de ses préférences, comportements et attitudes personnels. Cette pratique, toute aussi sensible dans la mesure où elle peut avoir pour conséquence d'exposer les personnes concernées à des risques de discrimination et d'atteinte à leur dignité, n'est pas soumise aux mêmes règles que celles des listes noires. (8)
* * * * * * * * * * *
(1) Les fichiers de type liste noire étaient admis dans les secteurs de la banque et du crédit (fichier des interdits bancaires par exemple), mais soumis à des conditions de suivi (inscription et radiation) strictes. Voir rapport de la CNIL de novembre 2003 : "Les listes noires : le fichage des "mauvais payeurs" et des "fraudeurs" au regard de la protection des données personnelles" (http://www.ladocumentationfrancaise.fr/var/storage/rapports-publics/034000689/0000.pdf)
(2) Voir site internet du GIE Prévention Télécommunications : http://www.preventel.fr/.
(3) Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée, dite Loi Informatique et Libertés.
(4) En application de l’article 25 I (4e) de la loi Informatique et Libertés : “Tous traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire" est soumis à une demande d’autorisation préalable à la CNIL.
(5) Délibération n°2006-174 du 28 juin 2006 prononçant une sanction pécuniaire à l'encontre du Crédit Lyonnais.
(6) Délibération de la formation restreinte n°2012-079 du 24 mai 2012 portant avertissement public à l'encontre du Syndicat National des Maisons de Ventes Volontaires (SYMEV).
(7) CA Bourges 2e ch., 11 janvier 2007, Gisèle L. et autres c/ Ministère Public.
(8) Exemples de profilage : dans un communiqué du 25/10/2011, la CNIL a dénoncé les techniques dites de " profilage communautaire" consistant à créer des fichiers faisant apparaître, directement ou indirectement, l'appartenance religieuse ou l'origine raciale vraie ou supposée des personnes. A ce titre, l'application pour iPhone dénommée "Juif ou pas juif", retirée de la vente en septembre 2011 est un exemple de ciblage communautaire. Dans un autre registre, la CNIL a souhaité encadrer de façon stricte la technique du "score" (ou instrument d'aide à la décision d'octroi ou de refus de crédit (analyse des risques) utilisé par les établissements de crédit) et a publié plusieurs délibérations à ce sujet (délibérations n°2006-019 du 2/02/2006 et délibération n°2008-198 du 9/07/2008).
Bénédicte DELEPORTE - Avocat
Betty SFEZ - Avocat
Deleporte Wentz Avocat
www.dwavocat.com
Juillet 2012
dimanche 24 juin 2012
Développement de site web, contrat et droit d’auteur : un projet informatique à gérer rigoureusement
Le site web est devenu un outil de communication incontournable pour la plupart des entreprises. Afin de concevoir son site, l’entreprise fait généralement appel aux services d’une web agency, prestataire spécialisé dans la conception, la réalisation et le développement de sites web.
L’entreprise peut décider de faire réaliser un site sur mesure, original et personnalisé, ou bien faire réaliser un site conçu à partir d’une maquette préexistante. En tout état de cause, et a fortiori en cas de site original, la réalisation du site web constitue un réel projet pour l’entreprise qui aura, en collaboration avec le web-développeur, pensé et conçu l’architecture, chaque page et chaque élément visuel et graphique du site.
La réalisation d’un tel projet nécessite la rédaction de documents contractuels clairs et complets ainsi que la prise en compte de la propriété intellectuelle du site. A défaut, d’une part, les parties prennent le risque de voir leur projet échouer, avec pour conséquence éventuelle l’engagement de la responsabilité du prestataire et, d’autre part, l’entreprise-cliente risque de ne pouvoir exploiter librement son site web.
Dans deux arrêts récents concernant respectivement un projet ayant échoué et une affaire de contrefaçon des droits du prestataire, les juges rappellent les principes et obligations applicables au projet de développement de site web et aux droits du développeur.
1. La nécessaire formalisation des besoins du client et des engagements du prestataire
La complexité des projets informatiques, y compris pour la réalisation de sites web nécessite non seulement l’élaboration de documents contractuels précis et exhaustifs mais également une réelle collaboration entre web-développeur et client.
1.1 L’obligation de collaboration entre prestataire et client et l’importance des documents contractuels
Chaque projet, du plus simple au plus complexe, est unique.
Même pour les offres de création de sites standard, il conviendra de proposer un cadre juridique adapté, précis et clair. Les CGV devront indiquer clairement les prestations comprises dans la proposition, ainsi que les droits accordés au client (simple licence d’utilisation du site, ou cession des droits de propriété intellectuelle au client, qui aura ensuite la liberté de faire évoluer son site, avec ou sans recours au prestataire).
Les projets de développement de sites sur mesure doivent, pour leur part, être gérés comme de véritables projets informatiques.
Or, pour chaque projet, la collaboration est une obligation qui s’impose aux parties, prestataire et client. Pour le prestataire, cette obligation se traduit, avant même la signature du contrat de développement, par son devoir de conseil et d’information du client. Ainsi, au cas où les compétences techniques du client seraient limitées, le prestataire devra l’informer sur les éventuelles lacunes de la définition de ses besoins et de son cahier des charges, voire même l’avertir si les besoins définis sont particulièrement difficiles à atteindre, onéreux, ou irréalisables, et dans ce cas, proposer un recalibrage du projet. En outre, le prestataire devra tenir compte de la difficulté du projet dans la définition de ses engagements et la détermination du budget.
Parmi les documents indispensables à la bonne conduite du projet, les parties devront agréer un cahier des charges, un cahier de spécifications techniques et fonctionnelles et conclure un contrat de conception de site web. Ces documents formeront le cadre contractuel et le référentiel de travail du prestataire.
Le cahier des charges, document essentiel, doit recenser les besoins du client et présenter les objectifs poursuivis et les fonctionnalités attendues. Sur la base de ce document, le prestataire va définir ses modalités d’intervention et développer le site.
Le cahier de spécifications techniques et fonctionnelles consiste en la traduction, par le prestataire, des besoins du client tels qu’énoncés dans le cahier des charges.
Enfin, le contrat de conception ou de développement de site web devra notamment mentionner les étapes de la création du site, les obligations et les garanties fournies par le prestataire, les conditions relatives à la propriété intellectuelle (et éventuellement la cession au client des droits de propriété intellectuelle sur le site), le prix de la prestation, les délais d’exécution et la procédure de recette (préalable à la livraison définitive du site).
Ces trois documents sont trop souvent négligés par les parties, et source de conflit en cas de dérapage du projet de développement.
1.2 L’exemple de l’échec d’un projet suite à son mauvais calibrage
Dans un arrêt de la Cour d’Appel de Paris du 16 mars 2012, les juges ont condamné un prestataire informatique suite à l’échec du projet de développement de site web sur lequel il était missionné.
En l’espèce, une société avait confié à un prestataire informatique la création d’un site web. Le contrat de développement comprenait deux phases : une première phase de réalisation d’un document de conception, suivie d’une phase de développement du site (plateforme multimédia). Au cours de la réalisation du projet, le prestataire, s’étant aperçu qu’il n’avait pas mesuré l’ampleur de la tâche à accomplir, a notifié au client que le montant du projet serait beaucoup plus élevé que prévu initialement (147.000€ au lieu de 47.000€). A la suite de quoi, les relations entre les parties se sont dégradées, le prestataire a rompu unilatéralement le contrat et le site web n’a pas été mis en ligne.
La Cour a relevé que les termes du cahier des charges et du contrat étaient trop imprécis :
- Concernant le contrat, les parties avaient employé une terminologie inadaptée. Il existait une ambiguïté quant à la nature de la plateforme à concevoir, le contrat mentionnant d’une part la livraison d’une plateforme au format bêta (1ère version non complètement testée ni recettée définitivement) et d’autre part une plateforme commercialisable (donc, validée techniquement) ;
- Concernant le cahier des charges, ce document contenait de nombreuses imprécisions, telles les mentions “à prévoir”, “à finaliser”, ou encore “en cours de construction”. Malgré ces imprécisions, le prestataire a accepté de s’engager contractuellement, a priori sans émettre de réserves particulières quant à la nécessité de calibrer le projet avant la signature du contrat, ou bien au fur et à mesure de l’avancée des développements.
Selon la Cour, le fait que le projet se soit avéré d’un niveau de complexité non anticipé n’autorisait pas le prestataire à résilier ce contrat de manière unilatérale. La simple consultation du cahier des charges devait lui permettre de se convaincre de son incapacité à réaliser le projet pour le montant contractuellement envisagé. Par ailleurs, le projet comportant de nombreux points non définis au moment de la signature du contrat, il aurait été nécessaire d’en définir le périmètre de manière plus formelle. La Cour a estimé que le prestataire avait commis une faute en rompant le contrat suite au refus du client de revoir le montant de la prestation à la hausse, et en étant incapable de proposer ne serait-ce qu’une version simplifiée du projet pour le montant convenu contractuellement.
La Cour a jugé la résiliation anticipée du contrat par le prestataire fautive et a condamné celui-ci à verser 30.000€ de dommages et intérêts à l’entreprise cliente. (1)
En conséquence, le projet de développement de site web doit être traité comme tout autre projet informatique. La réussite du projet passe par la prise en compte contractuelle des besoins techniques, des coûts afférents au développement du site, du calendrier de développement et de mise à disposition du site, des évolutions éventuelles, etc. Les parties devront porter une attention particulière à la rédaction des documents contractuels, et à la portée de leurs engagements respectifs.
2. L’exploitation du site web et la gestion des droits d’auteur
La question de la titularité des droits de propriété intellectuelle sur le site web et ses composantes est un autre aspect que les parties au contrat de développement de site web ont souvent tendance à négliger. Ainsi, le client qui “achète” son site web à un prestataire n’acquière en réalité qu’un droit d’utilisation du site, en l’absence d’une clause de cession des droits de propriété intellectuelle pour le site et ses composants, juridiquement valable.
2.1 En l’absence d’une clause de cession des droits d’auteur, le site web appartient à celui qui l’a développé
Pour rappel, le site web, en tant qu’œuvre de l’esprit, est protégé par le droit d’auteur, sous réserve d’être original, au sens du droit de la propriété intellectuelle.(2)
L’agence de web-développement (ou le prestataire indépendant), développeur du site web, est titulaire des droits d'auteur sur le site, ces droits comprenant les droits patrimoniaux et le droit moral.(3) En sa qualité d’auteur, le prestataire dispose d’un monopole d’exploitation, les créations ne pouvant être utilisées par des tiers qu’avec son accord. Toute atteinte aux droits d'auteur, telle une reproduction non autorisée ou une imitation servile, peut être qualifiée de contrefaçon.
La loi prévoit que “l’existence ou la conclusion d’un contrat de louage d’ouvrages ou de services par l’auteur d’une œuvre de l’esprit n’emporte aucune dérogation à la jouissance (de ses droits)” (article L.111-1 al.3 du CPI). Ainsi, même si un client “commande” le développement d’un site web à un prestataire, les droits d’auteur sur le site appartiennent à ce dernier.
Contrairement aux idées reçues, l’entreprise-cliente, par le simple fait de payer la prestation, ne devient pas automatiquement propriétaire de “son” site.(4) A défaut de contrat prévoyant la cession des droits d’auteur au profit de l’entreprise-cliente, le client ne disposera “que” d’un droit d’utilisation du site, le prestataire conservant les droits de propriété intellectuelle.
En outre, les sites web étant des oeuvres multimédia, intégrant du logiciel, des bases de données, du texte, des dessins et/ou des images ou photographies, voire de la vidéo et de la musique, plusieurs personnes (morales et/ou physiques) peuvent être impliquées dans leur développement informatique, graphique, etc. Ainsi, les sites web sont souvent des oeuvres de collaboration ou des oeuvres collectives.
Compte tenu de la complexité des droits des différents intervenants sur le développement du site (prestataire informatique, graphiste, photographe, et le client souvent l’auteur des contenus éditoriaux du site), il est impératif d’aborder la question des droits de propriété intellectuelle du site et de ses composants, a fortiori si le client-utilisateur souhaite effectivement acquérir les droits de propriété intellectuelle sur l’intégralité du site.
La cession des droits de propriété intellectuelle, pour être effective et opposable juridiquement, doit obligatoirement être constatée par écrit et respecter les conditions prévues par l’article L131-3 al.1 du Code de la propriété intellectuelle, qui dispose que : “La transmission des droits de l'auteur est subordonnée à la condition que chacun des droits cédés fasse l'objet d'une mention distincte dans l'acte de cession et que le domaine d'exploitation des droits cédés soit délimité quant à son étendue et à sa destination, quant au lieu et quant à la durée.”
2.2 L’exemple d’une reproduction de site web non autorisée par le prestataire, censurée par les tribunaux
Une décision récente du Tribunal de grande instance de Paris a rappelé qu’un client faisant réaliser son site par une web agency, n’était pas titulaire des droits d’auteur, puisque l’auteur est le prestataire qui a développé le site.
En l’espèce, le client avait confié la création et l’hébergement du site à un prestataire. Quelque temps après, le prestataire a constaté la reproduction du site qu’il avait créé, sans son consentement, sous un autre nom de domaine. En outre, la mention de son nom avait été supprimée, en bas de la page d’accueil du site web, au profit d’un nouveau prestataire.
Or, les pièces communiquées (bon de commande, photographies, télécopies) ont permis de constater que le site web avait été mis en ligne avec mention du nom du premier prestataire et que celui-ci, et non le client, possédait les compétences requises en matière de création et développement de sites web, avait conçu la présentation des différentes pages et l’agencement des éléments composant le site (graphisme, animation ou arborescence) et enfin disposait toujours des codes sources du site web.
Le Tribunal en a donc conclu que le client n’était pas titulaire des droits sur le site web (aucun accord de cession des droits n’ayant été conclu avec le client). Il ne pouvait donc le faire reproduire sans l’autorisation du premier prestataire. Le client a été condamné à verser 3.000€ au prestataire au titre de la contrefaçon.(5)
En conséquence, il appartient aux parties, prestataire et client, de ne pas négliger l’importance de la gestion des droits de propriété intellectuelle sur le site web à développer. En cas de cession des droits de propriété intellectuelle, celle-ci devra être constatée par écrit et détailler précisément les différents éléments et conditions de la cession, comme rappelé ci-dessus.
* * * * * * * * * * *
(1) Cour d’appel de Paris, Pôle 5, Ch. 11, 16 mars 2012 ; Sté Uzik c/ Sté Moralotop.
(2) Voir les articles L.111-1 et s., L.112-1 et s. et L.113-1 et s. du Code de la propriété intellectuelle. Selon la jurisprudence, l’œuvre est originale lorsqu’elle porte en elle “l’empreinte de la personnalité de son auteur” et traduit “un effort personnel de création”, ce qui distingue cette oeuvre des autres.
(3) Le droit moral correspond notamment au droit de paternité, permettant à l’auteur d’exiger la mention de son nom sur l’œuvre (s’il s’agit d’une personne morale, il s’agira de la dénomination de l’entreprise)
(4) TGI Paris, Ordonnance de référé du 27 septembre 2000 ; Sté Prosodi Corp. / GIE Summits.
(5) TGI Paris, 3ème ch., 4ème section, 10 novembre 2011, Victoriaa, Estelle G. / Linkeo.com, Stéphane C.
Betty SFEZ - Avocat
Deleporte Wentz Avocat
www.dwavocat.com
Juin 2012
L’entreprise peut décider de faire réaliser un site sur mesure, original et personnalisé, ou bien faire réaliser un site conçu à partir d’une maquette préexistante. En tout état de cause, et a fortiori en cas de site original, la réalisation du site web constitue un réel projet pour l’entreprise qui aura, en collaboration avec le web-développeur, pensé et conçu l’architecture, chaque page et chaque élément visuel et graphique du site.
La réalisation d’un tel projet nécessite la rédaction de documents contractuels clairs et complets ainsi que la prise en compte de la propriété intellectuelle du site. A défaut, d’une part, les parties prennent le risque de voir leur projet échouer, avec pour conséquence éventuelle l’engagement de la responsabilité du prestataire et, d’autre part, l’entreprise-cliente risque de ne pouvoir exploiter librement son site web.
Dans deux arrêts récents concernant respectivement un projet ayant échoué et une affaire de contrefaçon des droits du prestataire, les juges rappellent les principes et obligations applicables au projet de développement de site web et aux droits du développeur.
1. La nécessaire formalisation des besoins du client et des engagements du prestataire
La complexité des projets informatiques, y compris pour la réalisation de sites web nécessite non seulement l’élaboration de documents contractuels précis et exhaustifs mais également une réelle collaboration entre web-développeur et client.
1.1 L’obligation de collaboration entre prestataire et client et l’importance des documents contractuels
Chaque projet, du plus simple au plus complexe, est unique.
Même pour les offres de création de sites standard, il conviendra de proposer un cadre juridique adapté, précis et clair. Les CGV devront indiquer clairement les prestations comprises dans la proposition, ainsi que les droits accordés au client (simple licence d’utilisation du site, ou cession des droits de propriété intellectuelle au client, qui aura ensuite la liberté de faire évoluer son site, avec ou sans recours au prestataire).
Les projets de développement de sites sur mesure doivent, pour leur part, être gérés comme de véritables projets informatiques.
Or, pour chaque projet, la collaboration est une obligation qui s’impose aux parties, prestataire et client. Pour le prestataire, cette obligation se traduit, avant même la signature du contrat de développement, par son devoir de conseil et d’information du client. Ainsi, au cas où les compétences techniques du client seraient limitées, le prestataire devra l’informer sur les éventuelles lacunes de la définition de ses besoins et de son cahier des charges, voire même l’avertir si les besoins définis sont particulièrement difficiles à atteindre, onéreux, ou irréalisables, et dans ce cas, proposer un recalibrage du projet. En outre, le prestataire devra tenir compte de la difficulté du projet dans la définition de ses engagements et la détermination du budget.
Parmi les documents indispensables à la bonne conduite du projet, les parties devront agréer un cahier des charges, un cahier de spécifications techniques et fonctionnelles et conclure un contrat de conception de site web. Ces documents formeront le cadre contractuel et le référentiel de travail du prestataire.
Le cahier des charges, document essentiel, doit recenser les besoins du client et présenter les objectifs poursuivis et les fonctionnalités attendues. Sur la base de ce document, le prestataire va définir ses modalités d’intervention et développer le site.
Le cahier de spécifications techniques et fonctionnelles consiste en la traduction, par le prestataire, des besoins du client tels qu’énoncés dans le cahier des charges.
Enfin, le contrat de conception ou de développement de site web devra notamment mentionner les étapes de la création du site, les obligations et les garanties fournies par le prestataire, les conditions relatives à la propriété intellectuelle (et éventuellement la cession au client des droits de propriété intellectuelle sur le site), le prix de la prestation, les délais d’exécution et la procédure de recette (préalable à la livraison définitive du site).
Ces trois documents sont trop souvent négligés par les parties, et source de conflit en cas de dérapage du projet de développement.
1.2 L’exemple de l’échec d’un projet suite à son mauvais calibrage
Dans un arrêt de la Cour d’Appel de Paris du 16 mars 2012, les juges ont condamné un prestataire informatique suite à l’échec du projet de développement de site web sur lequel il était missionné.
En l’espèce, une société avait confié à un prestataire informatique la création d’un site web. Le contrat de développement comprenait deux phases : une première phase de réalisation d’un document de conception, suivie d’une phase de développement du site (plateforme multimédia). Au cours de la réalisation du projet, le prestataire, s’étant aperçu qu’il n’avait pas mesuré l’ampleur de la tâche à accomplir, a notifié au client que le montant du projet serait beaucoup plus élevé que prévu initialement (147.000€ au lieu de 47.000€). A la suite de quoi, les relations entre les parties se sont dégradées, le prestataire a rompu unilatéralement le contrat et le site web n’a pas été mis en ligne.
La Cour a relevé que les termes du cahier des charges et du contrat étaient trop imprécis :
- Concernant le contrat, les parties avaient employé une terminologie inadaptée. Il existait une ambiguïté quant à la nature de la plateforme à concevoir, le contrat mentionnant d’une part la livraison d’une plateforme au format bêta (1ère version non complètement testée ni recettée définitivement) et d’autre part une plateforme commercialisable (donc, validée techniquement) ;
- Concernant le cahier des charges, ce document contenait de nombreuses imprécisions, telles les mentions “à prévoir”, “à finaliser”, ou encore “en cours de construction”. Malgré ces imprécisions, le prestataire a accepté de s’engager contractuellement, a priori sans émettre de réserves particulières quant à la nécessité de calibrer le projet avant la signature du contrat, ou bien au fur et à mesure de l’avancée des développements.
Selon la Cour, le fait que le projet se soit avéré d’un niveau de complexité non anticipé n’autorisait pas le prestataire à résilier ce contrat de manière unilatérale. La simple consultation du cahier des charges devait lui permettre de se convaincre de son incapacité à réaliser le projet pour le montant contractuellement envisagé. Par ailleurs, le projet comportant de nombreux points non définis au moment de la signature du contrat, il aurait été nécessaire d’en définir le périmètre de manière plus formelle. La Cour a estimé que le prestataire avait commis une faute en rompant le contrat suite au refus du client de revoir le montant de la prestation à la hausse, et en étant incapable de proposer ne serait-ce qu’une version simplifiée du projet pour le montant convenu contractuellement.
La Cour a jugé la résiliation anticipée du contrat par le prestataire fautive et a condamné celui-ci à verser 30.000€ de dommages et intérêts à l’entreprise cliente. (1)
En conséquence, le projet de développement de site web doit être traité comme tout autre projet informatique. La réussite du projet passe par la prise en compte contractuelle des besoins techniques, des coûts afférents au développement du site, du calendrier de développement et de mise à disposition du site, des évolutions éventuelles, etc. Les parties devront porter une attention particulière à la rédaction des documents contractuels, et à la portée de leurs engagements respectifs.
2. L’exploitation du site web et la gestion des droits d’auteur
La question de la titularité des droits de propriété intellectuelle sur le site web et ses composantes est un autre aspect que les parties au contrat de développement de site web ont souvent tendance à négliger. Ainsi, le client qui “achète” son site web à un prestataire n’acquière en réalité qu’un droit d’utilisation du site, en l’absence d’une clause de cession des droits de propriété intellectuelle pour le site et ses composants, juridiquement valable.
2.1 En l’absence d’une clause de cession des droits d’auteur, le site web appartient à celui qui l’a développé
Pour rappel, le site web, en tant qu’œuvre de l’esprit, est protégé par le droit d’auteur, sous réserve d’être original, au sens du droit de la propriété intellectuelle.(2)
L’agence de web-développement (ou le prestataire indépendant), développeur du site web, est titulaire des droits d'auteur sur le site, ces droits comprenant les droits patrimoniaux et le droit moral.(3) En sa qualité d’auteur, le prestataire dispose d’un monopole d’exploitation, les créations ne pouvant être utilisées par des tiers qu’avec son accord. Toute atteinte aux droits d'auteur, telle une reproduction non autorisée ou une imitation servile, peut être qualifiée de contrefaçon.
La loi prévoit que “l’existence ou la conclusion d’un contrat de louage d’ouvrages ou de services par l’auteur d’une œuvre de l’esprit n’emporte aucune dérogation à la jouissance (de ses droits)” (article L.111-1 al.3 du CPI). Ainsi, même si un client “commande” le développement d’un site web à un prestataire, les droits d’auteur sur le site appartiennent à ce dernier.
Contrairement aux idées reçues, l’entreprise-cliente, par le simple fait de payer la prestation, ne devient pas automatiquement propriétaire de “son” site.(4) A défaut de contrat prévoyant la cession des droits d’auteur au profit de l’entreprise-cliente, le client ne disposera “que” d’un droit d’utilisation du site, le prestataire conservant les droits de propriété intellectuelle.
En outre, les sites web étant des oeuvres multimédia, intégrant du logiciel, des bases de données, du texte, des dessins et/ou des images ou photographies, voire de la vidéo et de la musique, plusieurs personnes (morales et/ou physiques) peuvent être impliquées dans leur développement informatique, graphique, etc. Ainsi, les sites web sont souvent des oeuvres de collaboration ou des oeuvres collectives.
Compte tenu de la complexité des droits des différents intervenants sur le développement du site (prestataire informatique, graphiste, photographe, et le client souvent l’auteur des contenus éditoriaux du site), il est impératif d’aborder la question des droits de propriété intellectuelle du site et de ses composants, a fortiori si le client-utilisateur souhaite effectivement acquérir les droits de propriété intellectuelle sur l’intégralité du site.
La cession des droits de propriété intellectuelle, pour être effective et opposable juridiquement, doit obligatoirement être constatée par écrit et respecter les conditions prévues par l’article L131-3 al.1 du Code de la propriété intellectuelle, qui dispose que : “La transmission des droits de l'auteur est subordonnée à la condition que chacun des droits cédés fasse l'objet d'une mention distincte dans l'acte de cession et que le domaine d'exploitation des droits cédés soit délimité quant à son étendue et à sa destination, quant au lieu et quant à la durée.”
2.2 L’exemple d’une reproduction de site web non autorisée par le prestataire, censurée par les tribunaux
Une décision récente du Tribunal de grande instance de Paris a rappelé qu’un client faisant réaliser son site par une web agency, n’était pas titulaire des droits d’auteur, puisque l’auteur est le prestataire qui a développé le site.
En l’espèce, le client avait confié la création et l’hébergement du site à un prestataire. Quelque temps après, le prestataire a constaté la reproduction du site qu’il avait créé, sans son consentement, sous un autre nom de domaine. En outre, la mention de son nom avait été supprimée, en bas de la page d’accueil du site web, au profit d’un nouveau prestataire.
Or, les pièces communiquées (bon de commande, photographies, télécopies) ont permis de constater que le site web avait été mis en ligne avec mention du nom du premier prestataire et que celui-ci, et non le client, possédait les compétences requises en matière de création et développement de sites web, avait conçu la présentation des différentes pages et l’agencement des éléments composant le site (graphisme, animation ou arborescence) et enfin disposait toujours des codes sources du site web.
Le Tribunal en a donc conclu que le client n’était pas titulaire des droits sur le site web (aucun accord de cession des droits n’ayant été conclu avec le client). Il ne pouvait donc le faire reproduire sans l’autorisation du premier prestataire. Le client a été condamné à verser 3.000€ au prestataire au titre de la contrefaçon.(5)
En conséquence, il appartient aux parties, prestataire et client, de ne pas négliger l’importance de la gestion des droits de propriété intellectuelle sur le site web à développer. En cas de cession des droits de propriété intellectuelle, celle-ci devra être constatée par écrit et détailler précisément les différents éléments et conditions de la cession, comme rappelé ci-dessus.
* * * * * * * * * * *
(1) Cour d’appel de Paris, Pôle 5, Ch. 11, 16 mars 2012 ; Sté Uzik c/ Sté Moralotop.
(2) Voir les articles L.111-1 et s., L.112-1 et s. et L.113-1 et s. du Code de la propriété intellectuelle. Selon la jurisprudence, l’œuvre est originale lorsqu’elle porte en elle “l’empreinte de la personnalité de son auteur” et traduit “un effort personnel de création”, ce qui distingue cette oeuvre des autres.
(3) Le droit moral correspond notamment au droit de paternité, permettant à l’auteur d’exiger la mention de son nom sur l’œuvre (s’il s’agit d’une personne morale, il s’agira de la dénomination de l’entreprise)
(4) TGI Paris, Ordonnance de référé du 27 septembre 2000 ; Sté Prosodi Corp. / GIE Summits.
(5) TGI Paris, 3ème ch., 4ème section, 10 novembre 2011, Victoriaa, Estelle G. / Linkeo.com, Stéphane C.
Betty SFEZ - Avocat
Deleporte Wentz Avocat
www.dwavocat.com
Juin 2012
Inscription à :
Articles (Atom)