L’actualité juridique et internationale selon DS Avocats

Le 12 mars dernier, la CNIL a annoncé avoir prononcé quinze nouvelles sanctions depuis le début de l’année 2024.

Actives Assurances est une société de courtage d’assurances spécialisée dans la distribution de contrats d’assurance automobile en ligne à des particuliers.

Le nouveau Code (belge) des sociétés et des associations (CSA) est entré en vigueur le 1er mai 2019, et contient des dispositions spécifiques à la protection des données personnelles des administrateurs, mandataires et gérants dont l’identité est publiquement divulguée via les registres des sociétés.

Le 21 novembre 2017, la société UBER TECHNOLOGIES INC. a communiqué, via son site internet, un article qui révèle qu’à la fin de l’année 2016, deux pirates ont accédé aux données de 57 millions d’utilisateurs des services UBER dans le monde.

L’association None of Your Business (NOYB) fondée par Maximilian Schrems a déposé 101 recours auprès de diverses autorités de protection des données à caractère personnel visant plusieurs entreprises pour transfert illégal de données à Google et Facebook aux Etats-Unis, sur le fondement du RGPD et de la récente décision « Schrems II » invalidant le Privacy Shield.

L’enseigne notoire de vente de chaussures en ligne s’est vue reprocher plusieurs violations du Règlement Général sur la Protection des Données personnelles (RGPD) et de la Loi Informatique et Libertés de 1978.

La saga judiciaire opposant Maximilian Schrems au géant Facebook prend fin après 8 ans de lutte procédurale.

Dans la lignée des décisions rendues à l’encontre de l’utilisation de nouvelles technologies aux fins de gestion de la crise sanitaire, le Conseil d’État ordonne à la commune de Lisses de cesser l’usage de caméras thermiques déployées dans les écoles.

Loin du Conseil d’Etat l’idée d’interdire la pratique des « cookie walls » énoncé par la CNIL dans ses lignes directrices adoptées le 04 Juillet 2019, contrairement à ce qui a été annoncé par de nombreuses revues journalistiques.

Alors que la loi « Avia » contre la haine en ligne, fortement défendue par le gouvernement, devait entrer en vigueur le 1er Juillet 2020, le Conseil constitutionnel censure ses dispositions essentielles dans une décision très attendue rendue en date du 18 Juin 2020.

La proposition de loi dite « Avia » a définitivement été adopté le Mercredi 13 Mai 2020 devant l’Assemblée Nationale.

Par publication au Journal Officiel du 15 avril 2020 de sa délibération n°2019-160 du 21 novembre 2019, la CNIL a adopté un référentiel relatif aux traitements de données personnelles mis en œuvre aux fins de gestion des ressources humaines (« RH »).

A cet égard, l’anonymisation (largement revendiquée en temps normal par de nombreux développeurs) constitue souvent un leurre.

Une estimation risques / bénéfices qui reste à faire.

Les exigences légales à satisfaire.

Devant ces initiatives dispersées, plus ou moins gravement intrusives, le CEPD invite l’UE à procéder au développement d’une application commune aux états-membres, sécurisée et conforme au RGPD (notamment en termes de privacy by design).

Depuis l’entrée en vigueur du RGPD, les entreprises qui traitent des données personnelles de citoyens sont soumises à certaines obligations.

La protection des données personnelles par les autorités publiques.

La protection des données personnelles des clients de l’entreprise.

La protection des données personnelles dans et par l’entreprise.

Les crises conduisent souvent à relativiser de nombreux impératifs qui, en temps normal, s’imposent sans grande difficulté.

A l’occasion d’une affaire mettant en cause un système de vidéosurveillance, la Cour de Justice de l’Union Européenne (CJUE) apporte plusieurs précisions sur les traitements fondés sur l’intérêt légitime du responsable de traitement.

La Commission nationale de l’informatique et des libertés (CNIL) a publié, le 14 janvier 2020, son nouveau projet de recommandation relative aux cookies et traceurs

« De la loi du 6 janvier 1978 à la Délibération CNIL du 4 juillet 2019 ».

« De la loi du 6 janvier 1978 à la Délibération CNIL du 4 juillet 2019 ».

« De la loi du 6 janvier 1978 à la Délibération CNIL du 4 juillet 2019 ».

« De la loi du 6 janvier 1978 à la Délibération CNIL du 4 juillet 2019 ».

« De la loi du 6 janvier 1978 à la Délibération CNIL du 4 juillet 2019 ».

Le 29 juillet 2019, la Cour de Justice de l’Union Européenne (CJUE) a défini d’une manière nouvelle et peu attendue la qualification ainsi que le régime juridique de la notion de responsabilité conjointe de traitement.

Intel Capital, filiale du Groupe Intel, a récemment investi dans une startup spécialisée dans la sécurisation des données par chiffrement homomorphe.

Le 21 novembre 2019 la CNIL a prononcé une sanction de 500.000 € à l’encontre de la société Futura Internationale pour non-respect des droits des personnes démarchées dans le cadre de campagnes de prospection commerciale.

Le 17 octobre 2019, La CNIL a jugé que l’utilisation de la reconnaissance faciale pour contrôler et sécuriser les accès au sein des lycées français de Nice et de Marseille n’est ni nécessaire, ni proportionnée pour atteindre ces finalités.

Par deux arrêts rendus le 24 septembre 2019, la CJUE a limité la portée territoriale de ce droit aux extensions européennes des moteurs de recherche, tout en explicitant l’interdiction pour eux de traiter de données sensibles.

Deux arrêts ont été rendus à quelques mois d’intervalle par deux cours d’appel en matière de signature électronique ; l’un par la Cour d’appel d’Orléans le 2 mai 2019 et l’autre par la Cour d’appel d’Aix en Provence le 26 septembre 2019.

Le 28 mai 2019, la CNIL a prononcé une amende de 400 000 euros à l’encontre de la société SERGIC, société spécialisée dans la promotion immobilière, l’achat, la vente, la location et la gestion immobilière.

L’ICO (Information Commissioner’s Office), le régulateur britannique de protection des données personnelles, a annoncé dans la même semaine son intention de sanctionner la compagnie aérienne British Airways ainsi que le groupe hôtelier Marriott pour manquement au Règlement Général de l’UE sur la Protection des Données (RGPD).

Impatiemment mais non secrètement attendue en France, la loi n° 2018-670 a transposé la directive 2016/943 du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secret des affaires) contre l’obtention, l’utilisation et la divulgation illicites.

La CNIL a récemment communiqué ses stratégies de contrôle pour l’année 2019.

Le caractère sensible des données personnelles relatives à la santé appelle à des précisions s’agissant de leur traitement.

L’entreprise doit identifier et classifier les risques objectifs.

Le 29 mars 2017, le Royaume-Uni a enclenché la procédure de retrait de l’Union européenne.

Cinq ans après le début de la procédure, le Tribunal de Grande Instance (« TGI ») de Paris a enfin rendu sa décision dans le litige qui opposait Google contre l’UFC – Que Choisir pour des faits relatifs au service Google +.

Comment assurer la stricte conformité du traitement aux exigences réglementaires.

Qui intervient lors de l’AIPD ?

L’analyse d’impact –AIPD- est l’une des pierres fondamentales du RGPD et de la nouvelle réglementation de protection des données personnelles.

Dans sa mise en demeure du 30 octobre 2018, la CNIL reprochait à la société Vectaury, l’absence de recueil du consentement des utilisateurs au traitement de leurs données de géolocalisation à des fins de ciblage publicitaire.

Une défense efficace de la sécurité, qu’elle soit privée, ou étatique et souveraine, passe aujourd’hui irrémédiablement et prioritairement par une protection accrue des systèmes informatiques.

Le Contrôleur européen de la protection des données (« CEPD ») a publié le 22 janvier 2019 son rapport sur le deuxième examen annuel du fonctionnement du bouclier de protection des données : le « Privacy Shield ».

La notion de responsable conjoint de traitement est souvent mal appréhendée par les entreprises, qui se concentrent généralement sur une approche bilatérale Responsable du traitement / Sous-Traitant.

Le jour même de l’entrée en vigueur du Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (« RGPD »), la CNIL a été saisie de nombreuses plaintes collectives contre plusieurs géants du Net, dont Google, Facebook ou encore Amazon.

Les « failles » sont des situations fréquentes et surtout très médiatiques. Que cela soit récemment avec la faille qui a mis en difficulté Facebook avec plus de 50 million de comptes touchés.

Le 26 janvier 2017, le tribunal régional supérieur de Düsseldorf (l’Oberlandesgericht Düsseldorf) a transmis à la CJUE une question préjudicielle sur la qualification à retenir à l’encontre d’un site Internet qui intègre un bouton « j’aime » (« Like ») de Facebook

Le 30 octobre 2018 la CNIL a mis en demeure la société Vectaury de se mettre en conformité avec la réglementation applicable en matière de données personnelles.

L’actualité du droit des données personnelles est très riche en France, mais également en Europe. Il est réducteur de limiter cette actualité au Règlement Général sur le Protection des Données (RGPD).

La décision du TGI sur l’affaire UFC-que choisir contre Twitter est utile pour la place centrale qu’elle donne à l’obligation d’information à la charge du responsable de traitement, à la manière de formaliser et de respecter cette obligation, ainsi qu’aux conséquences de son non-respect.

Demandez à vos enfants de ranger correctement leur chambre après un après-midi pluvieux entre copains à la maison…

Le 25 juin 2018 les sociétés Teemo et Fidzup ont été mises en demeure de mettre leurs traitements de données à caractère personnel en conformité avec la réglementation.

La CNIL vient de publier la liste des traitements de données qui nécessitent une analyse d’impact préalable à la mise en place du traitement.

C’est tombé ! La première sanction au titre du Règlement européen sur la protection des données personnelles (RGPD) concerne le Centre Hospitalier Barreiro au Portugal.

L’arrêt rendu par la Cour d’appel de Paris le 3 octobre 2018 en matière de contrat informatique est l’occasion de faire le point sur le droit des contrats et notamment sur la notion d’indivisibilité et d’interdépendance des contrats.

Une faille de sécurité de grande ampleur compromettant potentiellement les données personnelles de 30 millions d’utilisateurs de Facebook a été rendue publique le vendredi 28 septembre par Facebook.

La mise en demeure de la société Teemo a été clôturée par la CNIL, suite à la constatation par cette dernière du respect des demandes faites à la société en juin dernier.

Une décision attendue depuis près de quatre ans, celle du Tribunal de Grande Instance de Paris dans l’affaire qui oppose UFC-Que Choisir au réseau social Twitter, a finalement été rendue.

Dans un récent arrêt, la Cour de justice de L’Union Européenne énonce que « la mise en ligne sur un site Internet d’une photographie préalablement publiée, sans mesure de restriction empêchant son téléchargement et avec l’autorisation du titulaire du droit d’auteur, sur un autre site Internet » doit être qualifiée de communication au public et donc nécessite un accord préalable de l’auteur de l’œuvre en question.

Par une délibération du 24 juillet 2018, la Commission nationale de l’informatique et des libertés (la « CNIL ») a condamné la société Dailymotion pour manquement à son obligation de sécurité et de confidentialité des données à caractère personnel.

Le 1er août 2018, a été adopté le décret n° 2018-687 en application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (« LIL »).

Le 25 juin 2018, la CNIL a mis en demeure les sociétés TEEMO et FIDZUP de se conformer au Règlement Général de Protection des données (RGPD) ainsi qu’à la Loi Informatique et Liberté (LIL).

Par un arrêt du 10 juillet 2018, la CJUE qualifie de responsables conjoints du traitement la communauté des témoins de Jéhovah et ses prédicateurs dans le cadre de la collecte des données faites porte à porte.

Vendredi 23 mars 2018, le Congrès américain a voté le CLOUD Act.

Dans une décision en date du 6 juin 2018, le Conseil d’Etat a confirmé la position de la CNIL qui avait, par une délibération du 18 mai 2017, prononcé une sanction pécuniaire de 25 000 euros contre l’éditeur du site challenges.fr.

Par une délibération rendue publique le 21 juin 2018, la CNIL a condamné l’Association pour le Développement des Foyers (« ADEF ») à une sanction pécuniaire d’un montant de 75.000 euros.

Par délibération – rendue publique – en date du 7 mai 2018, la CNIL a condamné la société Optical Center à une sanction pécuniaire d’un montant de 250.000 euros.

Après un long processus parlementaire, la loi relative à la protection des données personnelles a été définitivement adoptée par l’Assemblée Nationale le 14 mai 2018.

La réforme du droit des contrats a franchi un nouveau cap.

Le texte proposé par la Commission européenne, le 17 avril 2018, vise à rechercher un équilibre entre efficacité des enquêtes judiciaires, droit des personnes concernées et sécurité juridique pour les fournisseurs de services de communication au public en ligne.

Cambridge Analytica est une société privée de communication stratégique et d’analyse de données liée au Parti républicain américain.

Devenu véritablement populaire à la fin des années 2000, le concept de Smart City signe l’émergence d’une vision technologique et rationnelle de la ville.

L’action de groupe en matière de données personnelles a été introduite en France par la loi de modernisation de la justice du XXIe siècle n° 2016-1547 du 18 novembre 2016.

Dans un arrêt du 22 février 2018 Libert c. France, la Cour européenne des droits de l’homme (« CEDH ») a confirmé qu’un employeur pouvait consulter les fichiers d’un ordinateur professionnel.

De « multiples insuffisances de sécurité » dans un fichier contenant des données sur les assurés sociaux de l’Assurance-maladie ont été découvertes.

A l’approche de l’application du RGPD en mai 2018, le groupe de travail de l’Article 29 sur la protection des données a exprimé ses inquiétudes quant à la conformité de la publication automatique des informations contenues dans les bases Whois.

Dans une décision en date du 16 janvier 2018, un tribunal berlinois a condamné la société Facebook pour utilisation illégale des données personnelles de ses utilisateurs.

La loi portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité transposant la directive européenne 2016/1148 Network Information Security (« NIS ») a été adoptée le 15 février 2018 et promulguée le 26 février 2018.

Par un arrêt en date du 7 décembre 2017, la Cour de Justice de l’Union Européenne (CJUE) a conclu que les logiciels d’aide à la prescription constituaient des dispositifs médicaux au sens du droit de l’UE.

Le 9 janvier 2018, le spécialiste américain de la photo Kodak, annonce le développement d’une plate-forme distribuée s’appuyant sur la technologie Blockchain pour permettre aux photographes de mieux gérer leurs droits d’auteur.

Dans une décision du 15 décembre 2017 (n° 403776), le Conseil d’Etat a approuvé la décision de la CNIL de censurer l’utilisation par la société Odeolis d’un outil de géolocalisation des véhicules de ses salariés à des fins de contrôle de leur temps de travail.

Par délibération – rendue publique – en date du 8 janvier 2018, la CNIL a condamné la société DARTY à une sanction pécuniaire d’un montant de 100.000 euros pour manquement à son obligation de sécurité des données personnelles.

Le 26 octobre 2017, le Parlement européen a présenté ses amendements au projet de règlement européen « vie privée et communications électroniques », dit « ePrivacy ».

Commentaire du jugement rendu le 1er septembre 2017 par le Tribunal de grande instance de Paris.

La CNIL met en demeure le ministère de l’Enseignement Supérieur, de la Recherche et de l’Innovation de cesser de recourir uniquement à des algorithmes pour réaliser les affectations des candidats aux formations supérieures.

L’accord Privacy Shield entre l’Europe et les Etats-Unis est de nouveau remis en cause à la suite d’une mise en garde adressée à la Commission européenne par deux organisations internationales.

En avril 2016, l’Union Européenne a finalement adopté la règlementation spécifiquement consacrée à la protection des données personnelles des Européens.

Alors que le projet de règlement européen « vie privée et communications électroniques », destiné à remplacer l’actuelle Directive 2002/58/CE du même nom, est actuellement en discussion à Bruxelles, les acteurs de la publicité en ligne intensifient leur lobbying contre plusieurs des dispositions présentées.

Dans un communiqué du 29 mai 2017, la Cnil indique avoir autorisé neuf établissements bancaires, dont le crédit du Nord et la BPCE, à mettre en œuvre, à titre expérimental, un dispositif d’authentification des clients à distance par reconnaissance vocale.

A l’issue de deux années de procédure, la Cnil a prononcé, le 16 mai 2017, une sanction de 150.000 euros à l’égard du réseau social.

La numérisation des documents papier originaux et leur destruction est un enjeu majeur pour les entreprises, collectivités et administrations dans le cadre de la transition numérique qu’elles opèrent.

Par un arrêt remarqué et attendu en date du 21 décembre 2016, la Cour de Justice de l’Union Européenne s’est opposée avec force aux réglementations nationales prévoyant une conservation généralisée et indifférenciée des données de trafic et de localisation par les opérateurs de communication électronique.

La réforme de l’accès et de l’utilisation des documents et données des administrations poursuit son chemin avec la parution du décret n° 2017-638 le 27 avril 2017, qui fixe une liste de licences-types pour la réutilisation des informations publiques.

Par une décision du 8 février 2017, le Conseil d’Etat a jugé que la régie publicitaire JCDecaux n’était pas en droit de procéder au tracking des téléphones mobiles des personnes passant à proximité de ses panneaux publicitaires.

Par un arrêt du 1er mars 2017, la Chambre commerciale de la Cour de cassation a jugé que l’usage, dans un article de presse, d’un signe enregistré en tant que marque n’est pas fautif s’il n’est pas susceptible d’être à l’origine d’une dégénérescence de marque.

Fortement attendu par les annonceurs depuis l’adoption de la Loi Macron du 6 août 2015, le décret relatif aux prestations de publicité digitale, dit « décret reporting », a enfin été publié le 9 février 2017.

Le délai de prescription en matière de délits de presse est source de nombreuses interrogations lorsqu’ils sont commis en ligne.

Par un arrêt en date du 6 décembre 2016, la Haute juridiction a considéré que si la marque verbale « vente-privee.com » était dépourvue de caractère distinctif (condition de validité) au moment de son dépôt, elle l’avait cependant et indéniablement acquis par l’usage.

En application de la LOI n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels.

Dans un arrêt du 15 septembre 2016, la Cour de Justice de l’Union Européenne (CJUE) a rendu un arrêt important en matière de mise à disposition d’un réseau wifi ouvert et gratuit.

Considérer ou non l’adresse IP comme une donnée personnelle est une question récurrente qui est à l’origine de positions et de jurisprudence fluctuantes.

Statuant en référé le 10 août dernier, les juges du tribunal de grande instance (TGI) de Meaux ont débouté la demande d’une société souhaitant identifier l’auteur d’emails frauduleux à partir de son adresse IP auprès du fournisseur d’accès à internet (FAI).

Par une ordonnance de référé rendue le 12 août 2016, le Tribunal de grande instance de Paris a attribué 8.000€ de dommages-intérêts à la victime d’usurpation d’identité numérique.

Par un arrêt du 8 septembre 2016, la Cour de Justice de l’Union Européenne (CJUE) a affiné sa jurisprudence sur la notion de communication au public d’une œuvre sur internet.

Dans un arrêt du 7 septembre 2016, la Cour de Justice de l’Union Européenne (CJUE) a rendu une décision très attendue en matière de vente liée.

Pokemon Go, la « chasse aux monstres de poche », a défrayé la chronique ces dernières semaines.

Dans un arrêt du 15 juin 2016, la 1ère Chambre civile de la Cour de cassation a rappelé le principe selon lequel l’œuvre de collaboration est la propriété commune des coauteurs, et qu’ils doivent donc exercer leurs droits d’un commun accord.

Le 13 juillet dernier, le Tribunal correctionnel d’Agen a condamné les sociétés 123-soleil.com et Holding 123 Mediacorp ainsi que leur gérant à une peine lourde pour avoir pratiqué du « spamming vocal ».

Le 27 juillet 2016, la CNIL a publié un communiqué dans lequel elle affirme que désormais, les contrôles de conformité à la loi Informatique et Liberté seront orientés aussi bien vers les éditeurs de site en ligne que toute autre société tierce susceptible de déposer et de collecter des cookies lorsqu’un internaute utilise ou visite le site internet d’un éditeur.

Par deux jugements rendus le 8 juillet 2016, le Tribunal de grande instance de Paris a débouté le Syndicat national de l’édition phonographique (SNEP) dans sa demande.

Début 2016 est entré en vigueur le « Paquet Marques » européen, composé d’un règlement et d’une directive que les Etats membres auront trois ans pour transposer dans leur droit national.

Le 7 juillet 2016, le Secrétaire d’Etat, auprès du ministère de l’économie, de l’industrie et du numérique, chargé du commerce, de l’artisanat, de la consommation et de l’économie sociale et solidaire a donné quelques points de repère face à l’IP tracking.

Par un arrêt du 6 avril dernier, la première chambre civile de la Cour de Cassation a précisé les conditions de mise en œuvre de la vérification de la validité de la signature électronique.

A la suite du référendum du 23 juin 2016, les britanniques se sont exprimés en faveur de la sortie du Royaume-Uni de l’Union européenne (UE).

Par une ordonnance de référé en date du 20 juin 2016, le Tribunal de commerce de Paris a estimé que Google Play Store n’a pas commis de faute en supprimant de sa plateforme l’application PMU Sports Live.

Par un arrêt en date du 22 septembre 2015, la Cour de cassation a rappelé qu’un salarié qui ne définit pas les choix esthétiques de l’entreprise et ne jouit pas d’une liberté de création n’est pas titulaire des droits d’auteur sur les œuvres réalisées.

L’un des sujets qui est le plus souvent associé aux débats sur le Cloud Computing est la sécurité informatique.