Source: http://www.thierryvallatavocat.com/tag/droit%20numerique/5
Timestamp: 2017-06-24 17:19:28+00:00

Document:
Sous le pseudonyme de "Gossip Girl Lorient", une adolescente lançait de vilaines rumeurs sur Twitter, pour s'amuser a-t-elle tenté d'expliquer, sans réaliser qu'il s'agit d'un véritable délit: le cyber-harcèlement !L'occasion de revenir sur ce fléau, car colporter des ragots via un réseau social n'est nullement anodin, mais constitue des faits pénalement répréhensibles.La jeune fille à l'origine du compte invitait les internautes à envoyer par message privé des informations compromettantes sur une personne qu'ils connaissaient, puis les publiait sur Twitter sans aucun filtre: allusions sexuelles, photos intimes, rumeurs dégradantes, rien n'aura été épargné à de nombreux adolescents de Lorient qui se sont donc vus harcelés publiquement sans retenue !C'est alors qu'une adolescente, accusée par ces infâmes ragots de se prostituer, a porté plainte le 9 novembre 2016. Une enquête est en cours auprès du parquet de Lorient. Le compte litigieux a été heureusement aussitôt supprimé.Que risque l'inconsciente cyber- harceleuse ?Ces faits particulièrement graves sont désormais poursuivis et réprimés, depuis la loi du 4 août 2014, par les dispositions de l’article 222-33-2-2 du Code pénal qui précise que:"Le fait de harceler une personne par des propos ou comportements répétés ayant pour objet ou pour effet une dégradation de ses conditions de vie se traduisant par une altération de sa santé physique ou mentale est puni d’un an d’emprisonnement et de 15 000 € d’amende lorsque ces faits ont causé une incapacité totale de travail inférieure ou égale à huit jours ou n’ont entraîné aucune incapacité de travail.Les faits mentionnés au premier alinéa sont punis de deux ans d’emprisonnement et de 30 000 € d’amende :1° Lorsqu’ils ont causé une incapacité totale de travail supérieure à huit jours ;2° Lorsqu’ils ont été commis sur un mineur de quinze ans ;3° Lorsqu’ils ont été commis sur une personne dont la particulière vulnérabilité, due à son âge, à une maladie, à une infirmité, à une déficience physique ou psychique ou à un état de grossesse, est apparente ou connue de leur auteur ;4° Lorsqu’ils ont été commis par l’utilisation d’un service de communication au public en ligne.Les faits mentionnés au premier alinéa sont punis de trois ans d’emprisonnement et de 45 000 € d’amende lorsqu’ils sont commis dans deux des circonstances mentionnées aux 1° à 4°"Les violences morales incriminées par l'article 222-33-2 du Code pénal trouvent également à s'appliquer.C'est ainsi qu'n jeune homme a été condamné le 24 octobre 2016 par le tribunal correctionnel de Mulhouse à trois mois de prison avec sursis et 3.000 euros de dommages et intérêts pour avoir harcelé un camarade de lycéeRetrouvez également nos articles sur le cyber-harcèlement: Cyber-harcèlement: la proposition de loi pour protéger les ... et Cyber Harcèlement: l'appli Gossip revient...sans modération ...ainsi que sur le revenge porn La lutte contre le revenge porn s'invite au menu du projet de ...Retrouvez enfin notre intervention sur le cyber harcèlement dans l'émission ''seul contre tous'' de Sud Radio du 4 juin 2015 (podcast à partir de 23'40):http://www.sudradio.fr/Podcasts/Seul-contre-tous/Gossip-il-faut-interdire-le-portable-avant-la-fin-du-lycee etet celle sur Europe 1 le 2 juin 2015:http://www.europe1.fr/societe/gossip-lapplication-dans-le-viseur-des-associations-1350076#utm_source=dlvr.it&utm_medium=twitte
La Cour de cassation vient enfin de poser le principe que l'adresse IP est une donnée personnelle de l'utilisateur d'un ordinateur,Elle s'aligne ainsi avec la jurisprudence la plus récente de la Cour de Justice de l'Union Européenne (arrêt Breyer du 19 octobre 2016 Un site Internet peut conserver certaines données personnelles)Dans un arrêt remarquable de la 1ère chambre civile du 3 novembre 2016, elle précise que:"les adresses IP, qui permettent d'identifier indirectement une personne physique, sont des données à caractère personnel, de sorte que leur collecte constitue un traitement de données à caractère personnel et doit faire l'objet d'une déclaration préalable auprès de la CNIL"Il n'était que temps que la Cour de cassation se positionne clairement sur cette question primordiale qui faisait l'objet d'hésitations jurisprudentielles jusqu'à présent.On rappelera en effet à cet égard la réponse ministérielle du 10 novembre 2015 (question n°21517 http://questions.assemblee-nationale.fr/q14/14-21517QE.htm) qui faisait le point sur cet épineux débat, car la question de savoir si l'adresse IP est une donnée à caractère personnel n'est pas nouvelle.Elle recouvre des situations d'une grande diversité qui pouvaient, chacune, susceptibles d'être qualifiées juridiquement de manière diamétralement opposée en fonction du contexte et des faits portés devant le juge. Pour cette raison, la jurisprudence française fluctuait et les juges répondaient de manière différente en fonction des faits qui leur sont soumis à interprétation.Dans certains cas, les juges ont considèré que l'adresse IP est une donnée personnelle (TGI Saint-Brieuc 6 sept. 2007, Ministère public, SCPP, SACEM c/ J. -P. ; TGI Paris, 3e Ch. 24 juin 2009, Jean-Yves L. c/ Google ; CA Rennes, 23 juin 2008, n° 07/0121) mais dans d'autres, ils lui ont refusé la qualification de donnée à caractère personnel (Paris, 13e ch. A, 15 mai 2007, H. S. c/ SCPP ; Crim. 13 janv. 2009, n° 08-84.088).Dans cet arrêt de la chambre criminelle du 13 janvier 2009 (n°08-84.088), la Cour de cassation avait en effet par exemple considéré que l'’adresse IP ne serait pas une donnée personnelle dont la collecte nécessiterait l’information de la CNIL . Cette décision venait donc contredire non seulement la position communautaire, mais aussi celle de la Commission nationale de l’informatique et des libertés (CNIL), qui estiment que l’adresse IP « permet d’identifier tout ordinateur connecté au réseau (et donc la personne physique titulaire de la ligne) et ses heures de connexions » et doit, en conséquence, être considérée comme une donnée à caractère personnel .Un récent arrêt de la Cour d'appel de Rennes du 28 avril 2015, avait rajouté à la cacophonie nationale puisque les magistrats bretons se sont prononcés en défaveur de cette qualification en considérant que " (….) le simple relevé d’une adresse IP aux fins de localiser un fournisseur d’accès ne constitue pas un traitement automatisé de données à caractère personnel au sens des articles 2, 9 et 25 de la loi « informatique et libertés » du 6 janvier 1978. L’adresse IP est constituée d’une série de chiffres, n’est pas une donnée, même indirectement nominative alors qu’elle ne se rapporte qu’à un ordinateur et non à l’utilisateur"Si l'adresse IP en tant que telle n'était pas qualifiée de donnée à caractère personnel, elle pouvait constituer toutefois un élément dans le faisceau d'indices qui permettrait d'établir l'identité de l'internaute, lorsque d'autres éléments la corroborent et la complètent. La jurisprudence française la plus récente allait ainsi dans ce sens (Crim. 13 janv. 2009, n° 08-84.088 ; TGI Paris 30 janv. 2013 ; D. 2013, p. 637 ; T. com. 1 févr. 2013, n° 2012075972 ; CA Paris, Ch. 5, 12 juin 2013).Désormais, nous avons la confirmation au plus haut niveau jurisprudentiel, tant européen que français, que l'adresse IP est bel et bien une donnée personnelle.Retrouvez l'arrêt n°1184 (pourvoi n°15-22.595) du 3 novembre 2016: https://www.courdecassation.fr/jurisprudence_2/premiere_chambre_civile_568/1184_3_35424.htmlainsi que notre article Pour l'avocat général de la CJUE, l'adresse IP dynamique est une donnée personnelle
Nous voilà désormais tous fichés dans une métabase de données personnelles digne de "1984".Le Décret n° 2016-1460 du 28 octobre 2016 autorise en effet la mise en œuvre d'un traitement commun aux cartes nationales d'identité et aux passeports des données à caractère personnel Ce texte, publié en catimini le dimanche 30 octobre 2016, avant veille de la Toussaint, modifie en conséquence le décret n° 55-1397 du 22 octobre 1955 modifié instituant une carte nationale d'identité ainsi que le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports.Pour procéder à l'établissement, à la délivrance, au renouvellement et à l'invalidation des cartes nationales d'identité mentionnées à l'article 7 du décret du 22 octobre 1955 susvisé et des passeports mentionnés aux articles 1er et 17-1 du décret du 30 décembre 2005 susvisé, ainsi que prévenir et détecter leur falsification et contrefaçon, le ministre de l'intérieur met en œuvre un traitement de données à caractère personnel dénommé "titres électroniques sécurisés" (TES).Ainsi, les données personnelles et biométriques de tous les détenteurs d’une carte d’identité ou d’un passeport sont désormais compilées dans une base de données unique se substituant à terme au TES actuel dédié aux passeports et au Fichier national de gestion des cartes d’identité.Les données à caractère personnel et informations enregistrées dans le traitement mentionné à l'article 1er sont :1° Les données relatives au demandeur ou au titulaire du titre :a) Le nom de famille, le nom d'usage, les prénoms ;b) La date et le lieu de naissance ;c) Le sexe ;d) La couleur des yeux ;e) La taille ;f) Le domicile ou la résidence ou, le cas échéant, la commune de rattachement de l'intéressé ou l'adresse de l'organisme d'accueil auprès duquel la personne est domiciliée ;g) Les données relatives à sa filiation : les noms, prénoms, dates et lieux de naissance de ses parents, leur nationalité ;h) Le cas échéant, le document attestant de la qualité du représentant légal lorsque le titulaire du titre est un mineur ou un majeur placé sous tutelle ;i) L'image numérisée du visage et celle des empreintes digitales qui peuvent être légalement recueillies ;j) L'image numérisée de la signature du demandeur de la carte nationale d'identité ;k) L'adresse de messagerie électronique et les coordonnées téléphoniques du demandeur, lorsque celui-ci a choisi d'effectuer une pré-demande de titre en ligne ou a demandé à bénéficier de l'envoi postal sécurisé, ou sur déclaration de l'usager lorsqu'il souhaite être informé par ce moyen de la disponibilité de son titre ;l) Le cas échéant, le code de connexion délivré par l'administration au demandeur pour lui permettre de déclarer la réception de son passeport lorsque ce titre lui a été adressé par courrier sécurisé ;2° Les informations relatives au titre :a) Numéro du titre ;b) Type de titre ;c) Tarif du droit de timbre ;d) Date et lieu de délivrance ;e) Autorité de délivrance ;f) Date d'expiration ;g) Mention, avec la date, de l'invalidation du titre et de son motif (perte, vol, retrait, interdiction de sortie du territoire, autre motif), de la restitution du titre à l'administration, de sa destruction;h) Mentions des justificatifs présentés à l'appui de la demande de titre ;i) Informations à caractère technique relatives à l'établissement du titre ;j) Informations relatives à la demande de titre : numéro de demande et, le cas échéant, de pré-demande, lieu de dépôt, date de réception de la demande, date de l'envoi du titre au guichet de dépôt, motif de non-délivrance ;k) La date et le mode de remise du titre ainsi que, le cas échéant, les nom, prénoms et identifiant du consul honoraire chargé de sa remise ou le nom, l'adresse du site internet de suivi et l'identifiant du transporteur chargé de son acheminement lorsque le titre est adressé à l'usager par courrier sécurisé ;l) Les informations relatives à la réception du passeport par le demandeur lorsque le titre lui est adressé par courrier sécurisé : la date d'envoi du passeport, le numéro de suivi du courrier sécurisé, la date de la déclaration de réception, de non-réception ou de refus de réception du passeport, la mention des justificatifs produits à l'appui de la déclaration ;3° Les données relatives au fabricant du titre et aux agents chargés de la délivrance du titre :a) Nom, prénom et références de l'agent qui enregistre la demande de titre ;b) Noms, prénoms et références des agents mentionnés à l'article 3 ;c) Identifiant du fabricant du titre ;4° L'image numérisée des pièces du dossier de demande de titre.Excusez du peu, puisque seront donc ainsi disponibles données biométriques et analogiques ! Le traitement ne comporte en revanche pas de dispositif de recherche permettant l'identification à partir de l'image numérisée du visage ou de l'image numérisée des empreintes digitales enregistrées dans ce traitement.De très nombreux services auront accès aux données du TES (ministère de l'intérieur, Préfecture, police, gendarmerie, Interpol etc.)Ces données seront conservées pendant quinze ans pour les passeports et vingt ans s'il s'agit d'une carte nationale d'identité (respectivement dix ans et quinze ans lorsque le titulaire du titre est mineur) Le décret supprime également le principe de territorialisation des demandes de cartes nationales d'identité.Les demandes de cartes nationales d'identité pourront ainsi être déposées, à l'instar des demandes de passeports ordinaires, auprès de n'importe quelle mairie équipée d'un dispositif de recueil.Autant dire que la CNIL a émis des réserves sur ce traitement dans sa délbération du 29 septembre également publiée au JO et s'inquiète du fichage de 60 millions de personnes, soit "la quasi-totalité de la population française".A noter que le 22 mars 2012, le Conseil Constitutionnel avait rendu une décision qui retoquait un projet analogue dénonçant des atteintes disproportionnées susceptibles d'être portées aux libertés individuelles.On peut donc légitimement s'interroger sur le timing et la méthode d'arrivée brutale de ce texte dans notre Droit par la voie réglementaire, en dehors de tout débat parlementaire.Dans son avis du 23 février dernier qui a été rendu public le 4 novembre, le Conseil d'Etat s'avoue très circonspect sur cette mesure.Le Conseil d’État a surtout constaté que, contrairement au traitement ayant fait l’objet de la décision du Conseil constitutionnel, le TES permettait seulement de vérifier l’identité avancée par le demandeur d’un titre et non de rechercher l’identité d’une personne à son insu grâce à sa photographie ou à ses empreintes. En effet, l’entrée dans le fichier ne peut s’opérer qu’à partir des données nominatives, qui permettent ensuite d'accéder aux empreintes ou à la photographie afin de vérifier l’identité du demandeur. Mais cela ne fonctionne pas en sens inverse : il est impossible d’effectuer une recherche à partir des données biométriques ! Compte tenu de l’ampleur du fichier envisagé et de la sensibilité des données qu’il contiendrait, le Conseil d'Etat a conclu qu'il n’était pas interdit au Gouvernement, s’il le croit opportun, d’emprunter la voie législative: il n'en a rien été et l'exécutif a fait fi de cette recommandation de bon sens.En 1974, le projet Safari était de la même eau, il a été heureusement enterré car créant une véritable "chasse aux français" et a permis de déboucher dans la foulée sur la création de la CNIL.Espérons que la publication de ce texte scélérat suscitera la même vague d'indignation !Lire l'avis du Conseil d’État du 23 février 2016 sur le traitement informatique relatif aux cartes nationales d’identité et aux passeportsMise à jour du 5 novembre 2016:Un Arrêté du 2 novembre 2016 porte application dans le département des Yvelines du décret n° 2016-1460 du 28 octobre 2016 qui va s'appliquer dans le département 78 dès le 8 novembre 2016 ! Repost
Agression sexuelle dans le monde virtuel: quelles conséquences juridiques pour un crime ou délit commis dans une réalité alternative ? Il fallait malheureusement que ça arrive: les agressions sexuelles ne sont plus réservées au monde réel, mais affectent désormais également la réalité virtuelle.Une américaine vient de vivre une traumatisante expérience lorsque, testant un casque de réalité virtuelle, son avatar a été agressé sexuellement par celui de son beau-frère lors d'une partie en mode multijoueurs du jeu de Zombies QuiVR.Elle a expliqué dans un article paru dans Medium que le malotru a décidé de lui toucher la poitrine par avatar interposé, malgré ses vives protestations (https://mic.com/articles/157415/my-first-virtual-reality-groping-sexual-assault-in-vr-harassment-in-tech-jordan-belamire#.ESt5bzhkr)L'agresseur virtuel l'a alors poursuivie dans le jeu en la molestant jusqu’à mettre sa main entre les cuisses de l’avatar pour commencer à mimer un geste de frottement.Très curieusement, les réactions semblent avoir été fort divisées sur le sujet, puisque nombreuses sont les personnes estimant que cette expérience, aussi violente soit-elle, ne peut pas être comparée à une véritable agression sexuelle car s'étant déroulée dans un environnement virtuel.Se pose donc le problème de la pénalisation des délits dans un monde virtuel, comme Second Life, ou de réalité augmentée tel Pokemon Go.C'est le vol d'objets virtuels qui a donné lieu aux premières décisions en la matière, la Cour Suprême néerlandaise ayant eu à qualifier pénalement le vol virtuel.Deux adolescents avaient obligé un camarade de classe à transférer des objets virtuels de son compte Runescape sur le leur, en le menaçant, dans la vraie vie, avec une arme blanche. En première instance, les deux jeunes gens furent condamnés à des travaux d'intérêt général et à une peine d'emprisonnement avec sursis, le tribunal ayant qualifié le transfert des objets virtuels de "vol" eu égard à la violence physique employée.Ce jugement fut confirmé en appel et donc également par une décision du 31 janvier 2012 de la Cour Suprême néerlandaise qui a confirmé que les objets virtuels sont effectivement des biens susceptibles d’être volés au sens du Code pénal néerlandais (Dutch Suprem Court, J. 10/00101, Criminal Chamber, January 31, 2012)Les Pays-Bas restent encore néanmoins précurseurs en Europe, une tentative anglaise de 2014 pour légiférer sur un possible encadrement du vol d’objets virtuels dans les jeux vidéo en ligne n'ayant pas abouti.Le jeu de réalité augmentée Pokemon Go a plus récemment conduit à s'interroger sur la notion de propriété dans la 4ème dimension que constitue le jeu.L’existence d’un véritable "droit de propriété virtuel" au profit de l'éditeur Niantic semble en effet se dégager. Rappelons que Niantic a instauré un "espace virtuel" empiétant sur le réel et que le véritable propriétaire doit par exemple faire parvenir un formulaire avec l'option opt-out pour demander l'interdiction d'un pokestop ou l'apparition intempestive de créatures dans son jardin réel.De même, sont allègrement reproduites dans le jeu des oeuvres normalement protégées par des droits d'auteur ou de propriété intellectuelle.Plusieurs procédures sont en cours sur le sujet.Reste le cas épineux des délits commis par et sur des avatars, lesquels constituent la représentation graphique de leur utilisateur au sein de l’univers virtuel.Le Conseil d’Etat avait déjà évoqué dans un rapport du 2 juillet 1998 "Internet et les réseaux numériques" ,la notion de "personnalité virtuelle" qu'il serait sans doute opportun de définir dans l’optique d’une définition du citoyen numérique.Mais presque vingt ans plus tard, et bien qu'il existe une informelle "Déclaration des droits des Avatars" du 27 août 2000, (Raphaël Koster Déclaration du 27-8-2000), il n'y a pas encore de droit des avatars.En effet, au travers de ces derniers, c’est bien l’utilisateur qui agit et communique, sans que l'avatar n'ait une quelconque responsabilité, étant pour le moment totalement dépourvu d'autonomie.Cette absence de responsabilité propre à l'avatar ne signifie pas, cependant, que les actes illicites commis dans ces mondes virtuels ne peuvent être sanctionnés, car l'avatar constitue le prolongement du joueur: si l'avatar virtuel est agressé, l'utilisateur réel l'est également.Pour revenir sur le cas de l'agression sexuelle perpétrée virtuellement sur la malheureuse californienne, certains ont cru pouvoir exclure tout délit en raison de l'absence de contact physique avec la victime réelle.Cette tentative pour disculper l'agresseur nous semble vaine et la législation française nous parait pouvoir permettre, sous réserve de la délicate constitution de la preuve de l'agression, d'envisager des poursuites pénales.L'article 222-22 de notre code pénal prévoit en effet dans son premier alinéa que "Constitue une agression sexuelle toute atteinte sexuelle commise avec violence, contrainte, menace ou surprise...". Depuis 2013, constitue également une agression sexuelle "le fait de contraindre une personne par la violence, la menace ou la surprise à se livrer à des activités sexuelles avec un tiers" (Article 222-22-2 du code pénal). La peine encourue est de 5 ans et de 75 000 € d’amende. Elle est augmentée jusqu’à 7 ou 10 ans lorsque l’agression est commise avec une ou plusieurs circonstances aggravantes.Rien ne nous parait donc exclure que l'agresseur ne puisse se retrouver dans les liens, bien réels, de la prévention !Chez nos amis canadiens, les choses sont encore plus claires: "Une agression sexuelle est un geste à caractère sexuel, avec ou sans contact physique, commis par un individu sans le consentement de la personne visée ou, dans certains cas, notamment dans celui des enfants, par une manipulation affective ou par du chantage. Il s’agit d’un acte visant à assujettir une autre personne à ses propres désirs par un abus de pouvoir, par l’utilisation de la force ou de la contrainte, ou sous la menace implicite ou explicite. Une agression sexuelle porte atteinte aux droits fondamentaux, notamment à l’intégrité physique et psychologique, et à la sécurité de la personne". La définition est donc plus adaptée à l'agression dans le monde virtuelle. Il existe même aux Etats-Unis la notion de IIED ou « intentional infliction of emotional distress » qui permet à des personnes victimes de grave détresse émotionnelle suite à une agression de poursuivre le responsable de cet état, comme par exemple suite à des tripotages virtuels inappropriés.En attendant une responsabilité directe des avatars, tenez vous à carreau dans le monde virtuel et n'agressez personne sans son consentement, hormis les zombies et autres créatures ou avatars qui le veulent bien.
Le site de microblogging Twitter ne sert pas uniquement à envoyer des messages de 140 caractères ou à partager des photos de petits chats mignons.Un juge américain vient en effet d'autoriser un plaignant à assigner un ressortissant koweiti devant un tribunal californien via un message sur Twitter !Une des personnes visées par l'assignation ne pouvait être précisément localisée, mais disposait en revanche d'un compte twitter actif gràce auquel il levait des fonds pour Daesch et qui était suivi par de nombreux followers.Le tribunal a donc autorisé le demandeur à utiliser la délivrance via Twitter de son action, en vertu de l'article 4(f) des règles fédérales de procédure civile américaine régissant la notification aux défendeurs étrangers.Les juridictions américaines avaient jusqu'à présent été très réticentes à permettre l'utilisation des réseaux sociaux, et notamment Facebook, pour une telle délivrance (Another Federal Court Rejects Service of Process via Facebook – Joe Hand Promotions v. Shepard)Tout laisse néanmoins à penser qu'il ne s'agit que d'une autorisation exceptionnelle qui n'aurait pas été accordée si le défendeur avait été un ressortissant domestique. En revanche, l'assignation par voie d'e-mail est déjà possible dans certains états.Mais via Twitter, c'est une première et le cap est donc cependant désormais franchi.A quand en France une e-assignation ? Impossible à ce jour. Si la signification des actes par voie électronique existe depuis le Décret n° 2012-366 du 15 mars 2012, la notification d'une action en justice doit impérativement passer par un huissier de justice avec un luxe de précautions procédurales afin que le destinataire soit bien touché et que le respect du contradictoire et des droits de la défense soit assuré.Les huissiers ne sont donc pas prêts d'être supplantés par les réseaux sociaux !(Source: Technology & Marketing Law http://blog.ericgoldman.org/archives/2016/10/federal-court-authorizes-service-of-process-via-twitter.htmRetrouvez la décision originale (en anglais): https://cases.justia.com/federal/district-courts/california/candce/4:2016cv03240/299714/25/0.pdf?ts=1475315276
Avertissement public de la CNIL pour le Parti Socialiste: grave manquement informatique de sécurité de données sensibles en ligne La CNIL annonce le 27 octobre 2016 engager une procédure pour sanctionner le Parti socialiste pour ne pas avoir détecté un grave manquement en matière de sécurité informatique sur son site,.Cette faille a permis une fuite de données personnelles de plus de 10.000 de ses adhérents.Le 26 mai 2016, la CNIL a été informée de l’existence d’une faille de sécurité entraînant une fuite de données sur le site du Parti Socialiste. Lors d’un contrôle en ligne réalisé dès le lendemain, la CNIL a constaté que les mesures garantissant la sécurité et la confidentialité des données des primo-adhérents du PS étaient insuffisantes.Les contrôleurs de la CNIL ont en effet pu accéder librement, par la saisie d’une URL, à la plateforme de suivi des primo-adhésions au Parti Socialiste effectuées en ligne. Ils ont notamment pu prendre connaissance des éléments suivants : nom, prénom, adresses électronique et postale, numéros de téléphone fixe et mobile, date de naissance, adresse IP, moyen de paiement et montant de la cotisation de certains adhérents.Cette faille avait été rendue possible par l’utilisation d’une technique non sécurisée d’authentification à la plateforme. Elle a concerné plusieurs dizaines de milliers de primo-adhérents.Alerté le même jour par la CNIL de cette faille, le PS a immédiatement pris les mesures nécessaires pour y mettre fin.Un second contrôle réalisé cette fois dans les locaux du PS le 15 juin 2016, destiné à comprendre les raisons de la faille, a permis de constater que les mesures élémentaires de sécurité n’avaient pas été mises en œuvre initialement. En effet, il n’existait pas de procédure d’authentification forte au site ni de système de traçabilité permettant notamment d’identifier l’éventuelle exploitation malveillante de la faille.Le contrôle a aussi permis de constater que le PS conservait sans limitation de durée les données personnelles de la plateforme, ce qui avait accru la portée de la fuite de données. La base active contenait des demandes d’adhésion effectuées depuis 2010 qui auraient dû a minima être stockées en archive.En conséquence, la Présidente de la CNIL a décidé d’engager une procédure de sanction en désignant un rapporteur. La formation restreinte de la CNIL a prononcé le 13 octobre 2016 un avertissement public car elle a estimé que le Parti Socialiste avait manqué à ses obligations :de veiller à la sécurité des données à caractère personnel des primo-adhérents, en méconnaissance de l’article 34 de la loi Informatique et Libertés ;de fixer une durée de conservation des données proportionnelle aux finalités du traitement en méconnaissance de l’article 6-5 de la loi Informatique et Libertés.Enfin, la formation restreinte a décidé de rendre publique sa décision le 27 octobre 2016 en raison de la gravité des manquements constatés, du nombre de personnes concernées par la faille et du caractère particulièrement sensible des données en cause qui permettaient notamment d’avoir connaissance de leurs opinions politiques.Retrouvez la Délibération de la formation restreinte n°2016-315 du 13 octobre 2016 prononçant un avertissement à l'encontre du PARTI SOCIALISTE
Un site Internet peut conserver certaines données personnelles des visiteurs pour se défendre contre les cyber-attaques: CJUE arrêt Breyer du 19 octobre 2016 L’exploitant d’un site Internet peut avoir un intérêt légitime à conserver certaines données à caractère personnel des visiteurs afin de se défendre contre les attaques cybernétiques: tel est le sens de l'Arrêt de la Cour de Justice de l'Union européeenne du 19 octobre 2016 dans l'affaire n°C-582/14 Patrick Breyer contre Bundesrepublik Deutschland Et autre point intéressant dans cette décision, nous savons désormais que pour la CJUE l’adresse de protocole internet dynamique d’un visiteur constitue, pour l’exploitant du site, une donnée à caractère personnel, lorsque cet exploitant dispose de moyens légaux lui permettant de faire identifier le visiteur concerné grâce aux informations supplémentaires dont dispose le fournisseur d’accès à Internet du visiteur.M. Patrick Breyer s’opposait devant les juridictions allemandes à ce que les sites Internet des services fédéraux allemands qu’il consulte enregistrent et conservent ses adresses de protocole Internet (« adresses IP ») . Ces services enregistrent et conservent, outre la date et l’heure de la consultation, les adresses IP des visiteurs afin de se prémunir contre des attaques cybernétiques et de rendre possibles les poursuites pénales.Le Bundesgerichtshof (Cour fédérale de justice, Allemagne) avait alors saisi la Cour de justice pour savoir si, dans ce contexte, les adresses IP « dynamiques » constituent elles aussi, à l’égard de l’exploitant du site Internet, une donnée à caractère personnel et bénéficient ainsi de la protection prévue pour de telles données. Une adresse IP dynamique est une adresse IP qui change lors de chaque nouvelle connexion à Internet. À la différence des adresses IP statiques, les adresses IP dynamiques ne permettent pas de faire le lien, au moyen de fichiers accessibles au public, entre un ordinateur donné et le branchement physique au réseau utilisé par le fournisseur d’accès à Internet. Ainsi, seul le fournisseur d’accès à Internet de M. Breyer dispose des informations supplémentaires nécessaires pour l’identifier.Par ailleurs, le Bundesgerichtshof cherchait à savoir si l’exploitant d’un site Internet doit, au moins en principe, avoir la possibilité de collecter et d’utiliser ultérieurement les données à caractère personnel des visiteurs afin de garantir la capacité générale de fonctionnement de son site. Il observe à cet égard que la majorité de la doctrine allemande interprète la réglementation allemande en la matière en ce sens que ces données doivent être effacées à la fin de la session de consultation à moins qu’elles ne soient requises à des fins de facturation.Par son arrêt du 19 octobre 2016 la Cour répond tout d’abord qu’une adresse IP dynamique enregistrée par un « fournisseur de services de médias en ligne » (c’est-à-dire par l’exploitant d’un site Internet, en l’occurrence les services fédéraux allemands) lors de la consultation de son site Internet accessible au public constitue, à l’égard de l’exploitant, une donnée à caractère personnel ( Au sens de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31) , lorsqu’il dispose de moyens légaux lui permettant de faire identifier le visiteur grâce aux informations supplémentaires dont dispose le fournisseur d’accès à Internet de ce dernier.La Cour relève à cet égard qu’il semble exister en Allemagne des voies légales permettant au fournisseur de services de médias en ligne de s’adresser, notamment en cas d’attaques cybernétiques, à l’autorité compétente afin que celle-ci entreprenne les démarches nécessaires pour obtenir ces informations auprès du fournisseur d’accès à Internet et déclencher par la suite des poursuites pénales.En second lieu, la Cour répond que le droit de l’Union s’oppose à une réglementation d’un État membre en vertu de laquelle, en l’absence du consentement du visiteur, un fournisseur de services de médias en ligne ne peut collecter et utiliser les données à caractère personnel du visiteur que dans la mesure où cette collecte et cette utilisation sont nécessaires pour permettre et facturer l’utilisation concrète des services par ce visiteur, sans que l’objectif visant à garantir la capacité générale de fonctionnement de ces services puisse justifier l’utilisation des données après une session de consultation de ceux-ci.La Cour rappelle que, selon le droit de l’Union, le traitement de données à caractère personnel est licite, entre autres, s’il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée.La réglementation allemande, telle qu’interprétée majoritairement par la doctrine, réduit la portée de ce principe, en excluant que l’objectif de garantir la capacité générale de fonctionnement du média en ligne puisse faire l’objet d’une pondération avec l’intérêt ou les droits et libertés fondamentaux des visiteurs.Dans ce contexte, la Cour souligne que les services fédéraux allemands qui fournissent des services de médias en ligne pourraient avoir un intérêt légitime à garantir, au-delà de chaque utilisation concrète de leurs sites Internet accessibles au public, la continuité du fonctionnement de leurs sites. En résumé, pour cette décision du 19 octobre 2016:- L’article 2, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’une adresse de protocole Internet dynamique enregistrée par un fournisseur de services de médias en ligne à l’occasion de la consultation par une personne d’un site Internet que ce fournisseur rend accessible au public constitue, à l’égard dudit fournisseur, une donnée à caractère personnel au sens de cette disposition, lorsqu’il dispose de moyens légaux lui permettant de faire identifier la personne concernée grâce aux informations supplémentaires dont dispose le fournisseur d’accès à Internet de cette personne.- L’article 7, sous f), de la directive 95/46 doit être interprété en ce sens qu’il s’oppose à une réglementation d’un État membre en vertu de laquelle un fournisseur de services de médias en ligne ne peut collecter et utiliser des données à caractère personnel afférentes à un utilisateur de ces services, en l’absence du consentement de celui-ci, que dans la mesure où cette collecte et cette utilisation sont nécessaires pour permettre et facturer l’utilisation concrète desdits services par cet utilisateur, sans que l’objectif visant à garantir la capacité générale de fonctionnement des mêmes services puisse justifier l’utilisation desdites données après une session de consultation de ceux-ci.Retrouvez l'arrêt Breyer de la CJUE du 19 octobre 2016: http://curia.europa.eu/juris/document/document.jsf;jsessionid=9ea7d2dc30d58e5f40beca054bb0ae2fe5de75dd6a02.e34KaxiLc3qMb40Rch0SaxyKax50?text=&docid=184668&pageIndex=0&doclang=FR&mode=req&dir=&occ=first&part=1&cid=1404507 Repost
Déjà au coeur du scandale au mois de juin 2015, la vénéneuse application de cyber-harcèlement Gossip fait à nouveau défavorablement parler d'elle. La Présidente de la CNIL a en effet annoncé ce 14 octobre 2016 avoir adopté une mise en demeure à l’encontre de la société W.M.G qui met en œuvre l’application « Gossip, les potins anonymes ».Elle lui demande de se conformer à la loi dans un délai d’un mois.Elle a, dans le même temps, procédé à une dénonciation au procureur de la République sur le fondement de l’article 40 du code de procédure pénale.« Gossip, les potins anonymes » est une application mise en œuvre par la société W.M.G, disponible depuis mai 2015 sur les téléphones mobiles utilisant les systèmes d’exploitation Android et iOS.Elle permet à ses utilisateurs de mettre en ligne anonymement un ou plusieurs contenus (rumeurs, photos, vidéos) portant sur une personne faisant partie de son « Réseau », c’est-à-dire de la liste de ses contacts.Les « gossips » sont ainsi associés à un numéro de téléphone (fixe ou mobile) présent dans le répertoire téléphonique de l’utilisateur ou renseigné parmi les données de l’un de ses contacts sur Facebook. Le « gossip » transmis peut prendre la forme d’un texte, d’une photographie ou encore d’une vidéo. Tous les utilisateurs de l’application ayant la personne ciblée par la rumeur dans leur carnet de contacts ou dans leurs contacts Facebook sont destinataires du « gossip », sans connaître son émetteur.L’attention de la CNIL a été appelée par voie de presse sur l’utilisation de cette application.C’est dans ce contexte que la CNIL a effectué deux contrôles sur place en juin 2016 afin de vérifier la conformité du traitement de données personnelles réalisé dans le cadre du fonctionnement de l’application « Gossip, les potins anonymes », aux dispositions de la loi Informatique et Libertés. Dans le cadre de la procédure de contrôle, la société a fait parvenir plusieurs observations en indiquant envisager certaines modifications quant au fonctionnement de l’application. Les contrôles ont relevé des manquements particulièrement graves à la loi Informatique et Libertés :- Le non-respect de la vie privée et des libertés individuellesLa CNIL a constaté que l’application « Gossip, les potins anonymes » était utilisée pour diffuser des commérages ou des accusations à l’encontre notamment de personnes mineures. Elle a ainsi pu relever la présence de « gossips » du type :« [prénom] a 10 ans mais a déjà le VIH », « [prénom et nom de famille] 14 ans alcoolique (…) » ou encore « (…) au tribunal pour acte de pedophilie #meufde14ans ».Elle a également relevé que les « gossips » sont diffusés au réseau de la personne visée, c’est-à-dire à tous les utilisateurs de l’application qui ont dans le répertoire de leur téléphone portable le numéro de la personne faisant l’objet du commérage. Au jour des contrôles, cette diffusion s’effectuait à l’insu de la personne directement concernée si elle-même n’était pas utilisatrice de l’application. Concrètement, cela signifie qu’une personne n’ayant pas l’application, y compris mineure, peut faire l’objet de calomnies susceptibles de déstabiliser son entourage et de lui porter un grave préjudice, sans en être informée et sans réel moyen d’action vis-à-vis de l’émetteur comme des récepteurs de la rumeur.La CNIL a considéré qu’en organisant la diffusion des rumeurs anonymes, sans information et sans limites ni dans l’espace, ni dans le temps, la société W.M.G a méconnu l’article 1er de la loi Informatique et Libertés, qui dispose que l’informatique « ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».- Une absence de base légaleLa CNIL a constaté que l’application « Gossip, les potins anonymes » repose sur la collecte et le traitement de l’ensemble des numéros de téléphone figurant dans le répertoire téléphonique des utilisateurs de l’application ou parmi les données renseignées par ses contacts Facebook, y compris lorsque ces numéros se rapportent à des personnes n’ayant pas téléchargé l’application.Or, ce traitement ne repose sur aucune base légale dans la mesure où il ne répond à aucun des critères définis à l’article 7 de la loi Informatique et Libertés à savoir :°le consentement de la personne concernée ;°le respect d’une obligation légale incombant au responsable de traitement ;°la sauvegarde de la vie de la personne concernée ;°l’exécution d’une mission de service public dont est investi le responsable ou le destinataire du traitement ;°l’exécution, soit d’un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;°la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.La Présidente de la CNIL a donc décidé de mettre en demeure la société W.M.G de se conformer à la loi dans un délai d’un mois.Au regard du nombre d’utilisateurs de cette application (téléchargée 637 816 fois au 5 juin 2016) et de l’âge des personnes qui peuvent être concernées par les « gossips » (personnes mineures), la Présidente de la CNIL a décidé de rendre publique cette mise en demeure.La CNIL rappelle que cette mise en demeure n’est pas une sanction. En effet, aucune suite ne sera donnée à cette procédure si la société se conforme à la loi dans le délai imparti. Dans ce cas, la clôture de la procédure fera également l’objet d’une publicité.Si la société W.M.G ne se conforme pas à cette mise en demeure dans le délai imparti, la Présidente pourra désigner un rapporteur qui, le cas échéant, établira un rapport proposant à la formation restreinte de la CNIL de prononcer une sanction à l’égard de la société.Enfin, compte tenu de la nature des manquements constatés, mais aussi des risques pour les personnes concernées, notamment les mineurs, comme nous l'évoquions déjà lors de son lancement en France, la Présidente de la CNIL a transmis l’ensemble des constats opérés et la mise en demeure au Procureur de la République, sur le fondement de l’article 40 du code de procédure pénale, afin que celui-ci puisse, le cas échéant, procéder à des investigations complémentaires.Retrouvez la Décision n°2016-079 du 26 septembre 2016 mettant en demeure la société W.M.G(Source: CNIL)Retrouvez également notre article du 1er juin 2015:http://www.thierryvallatavocat.com/2015/06/cyber-harcelement-l-appli-polemique-gossip-suspendue-pour-renforcement-de-la-moderation.htmlainsi que notre intervention à ce sujet dans l'émission ''seul contre tous'' de Sud Radio du 4 juin 2015 (podcast à partir de 23'40):http://www.sudradio.fr/Podcasts/Seul-contre-tous/Gossip-il-faut-interdire-le-portable-avant-la-fin-du-lycee et sur Europe 1 le 2 juin 2015:http://www.europe1.fr/societe/gossip-lapplication-dans-le-viseur-des-associations-1350076#utm_source=dlvr.it&utm_medium=twitter FranceInfo ThierryVallat Video 2015 06 10 121625Faut-il interdire l'application Gossip ? L'analyse de Me Thierry Vallat sur France Info le 10 juin 2015https://www.youtube.com/watch?v=o14NjTYrVVk&feature=youtu.be Repost
On les appelle "white hats" ou "hackers blancs": ce sont des lanceurs d’alerte informatique qui veillent à avertir les responsables de traitement des failles dans leurs systèmes.Ces hackers éthiques sont désormais protégés par la LOI n° 2016-1321 du 7 octobre 2016 pour une République numérique portée par Axelle Lemaire.Tout est parti d'un amendement "Bluetouff" adopté en janvier 2016 par l’Assemblée nationale.En effet, en l’état de la jurisprudence de la Cour de cassation, et notamment de son arrêt du 9 septembre 2009, tout accès non autorisé à un système constitue un trouble manifestement illicite alors même que cela peut permettre d’éviter des atteintes ultérieures aux données ou au fonctionnement du systèmeC'est ainsi que le hacker Bluetouff avait fait l'objet d'une condamnation par la Cour d’appel de Paris le 5 février 2014, la Cour de cassation n’ayant fait que confirmer cette position le 20 mai 2015. Son sort avait donc ému les députés qui avaient envisagé en conséquence une exemption de la peine prévue par l'article 323-1 du code pénal.La commission des lois du Sénat a ensuite modifié cette protection en permettant le signalement de failles de sécurité sans inciter à la cyber-délinquance. Elle a donc proposé de substituer au dispositif général d’exemption de peine adopté à l’Assemblée nationale la possibilité pour l’autorité avertie de la faille de ne pas saisir la justice par la prise en compte de la bonne foi, attestée en particulier par l’absence de publicité.C'est donc l'article 47 de la loi du 7 octobre 2016 qui prévoit que le code de la défense soit complété par un article L. 2321-4 ainsi rédigé :« Art. L. 2321-4.-Pour les besoins de la sécurité des systèmes d'information, l'obligation prévue à l'article 40 du code de procédure pénale n'est pas applicable à l'égard d'une personne de bonne foi qui transmet à la seule autorité nationale de sécurité des systèmes d'information une information sur l'existence d'une vulnérabilité concernant la sécurité d'un système de traitement automatisé de données. « L'autorité préserve la confidentialité de l'identité de la personne à l'origine de la transmission ainsi que des conditions dans lesquelles celle-ci a été effectuée. « L'autorité peut procéder aux opérations techniques strictement nécessaires à la caractérisation du risque ou de la menace mentionnés au premier alinéa du présent article aux fins d'avertir l'hébergeur, l'opérateur ou le responsable du système d'information. »La protection des citoyens détecteurs de faille informatique, est donc assurée par cette nouvelle disposition, afin de les inciter à révéler ces failles à l’Agence nationale pour la sécurité des systèmes d’information, sans encourir de risque pénal pour cette action.Il est donc possible d'adresser un message à l'ANSSI(cert-fr.cossi@ssi.gouv.fr) en transmettant tous les éléments techniques nous permettant de procéder aux opérations nécessaires. Il est également possible d’opérer votre signalement par voie postale à :Agence nationale de la sécurité des systèmes d’informationSecrétariat général de la défense et de la sécurité nationale51, boulevard de La Tour-Maubourg75700 Paris 07 SPIl s'agit cependant d'une protection a minima, puisque le responsable du traitement pourra toujours attaquer le dénonciateur s'étant rendu coupable d'une intrusion informatique, sans que celui-ci puisse s'abriter derrière une immunité de l'article 323-1 du code pénal.
A peine publiée la foisonnante LOI n° 2016-1321 du 7 octobre 2016 pour une République numérique (lire notre article http://www.thierryvallatavocat.com/2016/10/la-loi-pour-une-republique-numerique-du-7-octobre-2016.html), se pose déjà le problème de son application.Elle comprend des mesures d’application immédiate qui sont entrées en vigueur ce 9 octobre 2016- Le libre accès aux publications scientifiques de la recherche publique, grâce au droit dévolu aux chercheurs de diffuser leurs articles après une courte période d’embargo de 6 à 12 mois, et ce quel que soit le contrat entre le chercheur et l’éditeur de la revue publiant l’article- La multiplication par 20 du plafond des sanctions que peut prononcer la Commission nationale informatique et libertés, qui passe de 150.000 euros à 3 millions d’euros- La pénalisation accrue du délit dit de « revanche pornographique », dé-sormais puni jusqu’à 2 ans de prison et 60.000 euros d’amende- Les pouvoirs de contrôle et de sanctions accordés à l’ARCEP pour garantir la neutralité de l’internet, et garantir un accès non discriminé au ré-seau pour l’ensemble des acteurs économiques- La protection des citoyens détecteurs de faille informatique, connus aussi sous le nom de « hackers blancs », afin de les inciter à révéler ces failles à l’Agence nationale pour la sécurité des systèmes d’information, sans encourir de risque pénal pour cette action- Les mesures d’accélération du déploiement du très haut débit dans nos territoires : facilitation de déploiement de fibre sur les façades d’immeubles, droit à la fibre effectif pour tout locatore, incitations financières (suramortissement) aux entreprises pour le déploiement des matériels, aides aux communes (FCTVA) pour l’installation de pylônes de télé- phonie mobile en zone rurale, possibilités de créer des syndicats mixtes de syndicats mixte pour couvrir de plus grandes zones de déploiement- Le don par sms : en vigueur dès la promulgation, les travaux de mise en œuvre démarrent dès maintenant pour permettre, dès les fêtes de fin d’année, d’effectuer des dons par sms aux premières grandes associations partenaires- Le maintien de la connexion à internet : dès la fin du mois, deux premières conventions seront signées entre opérateurs, Etat, et les départements de Seine Saint Denis et Haute Saône, afin de permettre aux plus démunis de bénéficier de la continuité de leur connexion, grâce à une prose en charge allant jusqu’à 100 euros par an et par ménage.Concernant les décrets à venir leur calendrier serait le suivant:Open data • Mention explicite de l’utilisation d’un traitement algorithmique dans le cadre d’une décision administrative et possibilité pour l’usager d’en demander les principales règles: le décret d’application est pré-vu pour fin 2016• Ouverture et gratuité des données de l’INSEE : un hackathon autour de la base SIRENE va être organisé en novembre, et les données seront disponibles gratuitement au 1er janvier 2017: au travers de leur association à d’autres données comme le cadastre, il sera possible par exemple de réaliser des cartographies interactives concernant les entreprises, leur activité, leurs coordonnées, et leurs caractéristiques ;• La gratuité des échanges de données entre administrations de l’Etat sera instaurée au 1er janvier 2017: le Ministère de l’environnement pourra par exemple accéder gratuitement aux données des marées produites par le SHOM1 , et dont la diffusion est aujourd’hui payante.• Ouverture par défaut des données des administrations publiques. Les décrets d’application seront publiés d’ici début 2017. L’objectif fixé par la loi est une publication progressive, sur une période de deux ans, des principaux documents administratifs, puis de tous les documents qui revètent un intérêt économique, social, sanitaire ou environnemental.• Open data des contrats de subventions publiques : le décret sera publié à la fin 2016• Service public de la donnée : le décret est prévu pour le 1er janvier 2017. L’Etat devra fournir sous forme d’API des données clés comme les adresses, certains fonds cartographiques ou encore les codes INSEE des communes pour que les entreprises puissent les réutiliser pour leurs services.• Ouverture des données de jurisprudence: le processus de mise en œuvre est lancé dans le cadre d’un groupe de travail réunissant les parties prenantes : services judiciaires, Legifrance, Cour de cassation, conseil constitutionnel / Conseil d’Etat, CNIL. La publication des textes d’application doit intervenir début 2017 au plus tard.• Ouverture des données de consommation énergétique : le décret d’application est prévu pour la fin de l’année 2016. Des travaux ont été lancés avec les différents acteurs concernés (CRE, ERDF, GRDF et la CNIL).• Fouille de recherche et de données: le décret d’application sera publié en janvier 2017.• Reconnaissance des MOOC : les décrets seront publiés fin 2016.• Bourses pour les apprenants de la Grande école du numérique. Dans le cadre de la loi pour une République numérique, il est prévu que les apprenants pourront percevoir des bourses par le CNOUS. Le décret sera prêt d’ici la fin 2016Plateformes:• La portabilité des données entrera en vigueur en 2018. Une consultation sur les modalités de mise en œuvre de cette mesure a été lancée avec les différents acteurs économiques. La publication des décrets est prévue en mars 2017.• Loyauté des plateformes : les travaux ont été également lancés, en vue de la publication des décrets en mars 2017.Protection des internautes:• Mort numérique : le décret organisant notamment le répertoire des directives sera publié pour mars 2017 ;• Secret des correspondances privées : le décret d’application sera publié fin 2016.Usages: • Les décrets sur l’identité numérique, le coffre-fort numérique et le recommandé électronique sont prévus pour mars 2017.• Reconnaissance des compétitions de jeux vidéo (e-sport) : les décrets sont prévus pour janvier/février 2017.Accessibilité:En ce qui concerne l’accessibilité téléphonique, des travaux ont été lancés avec les opérateurs afin de prévoir des décrets pour janvier 2017.(Source: http://www.economie.gouv.fr/republique-numerique) Repost
La LOI n° 2016-1321 du 7 octobre 2016 pour une République numérique portée la secrétaire d'Etat chargée du numérique et de l'innovation par Axelle Lemaire été publiée le 8 octobre dernier.Parmi ses 113 articles, 15 points essentiels peuvent être retenus::1. Ouverture par défaut des données publiques et d’intérêt généralLa Loi Numérique crée l’obligation pour les organisations publiques de publier sur internet leurs bases de données, sous réserve notamment d’anonymisation et de protection de la propriété intellectuelle et du secret industriel et commercial. Ces données pourront ainsi être exploitées et réutilisées facilement par chacun, particulier comme entreprise. Certains acteurs privés (entreprises titulaires des marchés publics, bénéficiaires de subventions publiques…) seront également tenues de communiquer des données d’intérêt général, qui pourront concerner l’exploitation des services publics de l’énergie ou de l’eau, les transactions immobilières, ou encore la gestion et le recyclage des déchets.2. Accès sécurisé aux données pour les chercheurs et statisticiens publicsLes données produites par la sphère publique sont souvent très riches, mais tout aussi souvent très confidentielles car du niveau de chaque individu. Leur accès était jusqu’ici dans les faits quasiment impossible, même pour les besoins de la recherche. Grâce à la #LoiNumérique, un système d’accès sécurisé permettra aux seuls chercheurs et statisticiens publics habilités, dans le cadre d’un projet donné, de pouvoir étudier ces données pour mieux comprendre l’efficacité de nos politiques publiques et évaluer l’effet de futures réformes. Ainsi la compréhension fine de l’impact de la mise en place d’un revenu universel est-t-elle désormais rendue possible.3. Libre accès aux résultats des travaux de recherche publique et autorisation de la fouille de textes et de donnéesLes résultats de travaux de recherche financés à plus de 50 % par des fonds publics pourront être mis en ligne en libre accès par leurs auteurs, après une période d’embargo de 6 à 12 mois. Cette mesure facilitera la libre diffusion de résultats de recherche dont la diffusion était auparavant souvent restreinte et concentrée par les éditeurs. La loi autorise également la fouille de textes et de données en ligne, une pratique essentielle dans le cadre notamment de recherches en sciences humaines et sociales, pratique jusqu’ici interdite et qui doit nous permettre de rattraper notre retard sur la scène internationale sur ce sujet.4. Neutralité du netLa #LoiNumérique inscrit dans la législation française le principe de neutralité du net, garantissant la non-discrimination d’accès au réseau en fonction des services par les fournisseurs d’accès. Concrètement, les opérateurs ne pourront pas, par exemple, offrir un internet plus lent à certains clients, et un débit plus rapide à d’autres, pour accéder à un même service à partir d’une même offre. L’Autorité de régulation des communications électroniques et des postes (ARCEP) sera chargée de veiller au respect de ce principe et se voit doter des moyens juridiques nécessaires à son action (pouvoir de sanction notamment).5. Portabilité des donnéesLa #LoiNumérique crée l’obligation pour les services en ligne de permettre la récupération de ses données d’usage d’un internaute, afin de faciliter le changement de fournisseur, qu’il s’agisse d’un compte utilisateur d’une banque en ligne, d’un service de e-commerce ou encore les préférences sur un site d’écoute musicale en ligne. Ces données devront être fournies dans un format ouvert et aisément réutilisable.6. Loyauté de l’information à destination des consommateursLa #LoiNumérique prévoit « une régulation des avis en ligne, qui constituent aujourd’hui une des principales sources d’information des utilisateurs ». L’objectif ? Permettre au consommateur de vérifier le degré de crédibilité des avis disponibles sur internet. Par exemple, il s’agira de veiller à ce qu’un restaurateur ne publie pas une pluie d’avis favorables sur son établissement afin de le faire grimper mécaniquement dans les classements des sites de conseils touristiques fondés sur des recommandations.7. Protection des données personnellesLe principe du droit à la libre disposition de ses données personnelles est établi. Ce principe s'illustrera par plus plusieurs mesures concrètes, telles que la confidentialité des correspondances électroniques. Les courriels et autres services de correspondance privée électronique seront aussi confidentiels qu’une lettre postale, sauf si l’usager a donné son consentement pour des traitements automatisés statistiques ou visant à améliorer le service qui lui est rendu. Ce consentement devra en outre être régulièrement renouvelé.8. Revanche pornographique (Revenge Porn)La pénalisation des revanches pornographiques, pratique qui consiste à publier contre son consentement des images érotiques ou pornographique d’une personne a été durcie à deux ans de prison et 60 000 euros d’amendes.9. Mort numériqueComme pour un testament, une personne aura le droit de faire respecter sa volonté sur le devenir de ses informations personnelles publiées en ligne après son décès, auprès des fournisseurs de service en ligne ou d’un tiers de confiance.10. Droit au maintien de la connexion à InternetLa #LoiNumérique instaure le droit au maintien de la connexion pour les personnes les plus démunies en cas de défaut de paiement. Leur connexion internet sera ainsi maintenue par leur fournisseur d’accès le temps de l’instruction de leur demande d’aide auprès des services départementaux.11. Facilitation des campagnes de dons par SMSAvec la #LoiNumérique, les associations faisant appel public à la générosité pourront désormais recevoir des dons par sms. Chaque donateur pourra donner jusqu'à 50 €, dans une limite de 300 € par mois, par le simple envoi d'un sms depuis son téléphone mobile. Cette mesure, réclamée par de nombreuses associations, afin notamment d'élargir et de rajeunir leurs communautés de donateurs, doit entrer en application à la fin de l’automne.12. Accélération de la couverture numérique tu territoireLa France a engagé depuis 2013 un vaste plan d'équipement du territoire en réseaux à très haut débit (THD). Un effort massif d'investissement public et privé, d'un montant global de 20 Md€, doit permettre à l’horizon 2022 l'équipement en réseaux à fibre optique de tout le territoire français. Dans le cadre de la #LoiNumérique, plusieurs mesures sont prévues afin d'accélérer son déploiement, de facilitations réglementaires ou soutien financier aux collectivités pour le déploiement de pylônes pour la téléphonie mobile. Le droit à la fibre, notamment, permettra à n'importe quel résident d'un immeuble, propriétaire ou locataire, d'obtenir le raccordement de son logement au réseau de fibre optique, sans avoir à solliciter l'autorisation de sa copropriété, dès lors que les accès physiques le permettent.13. Accessibilité du numériqueLa #LoiNumérique exigera de l’ensemble des sites des administrations publiques d’afficher, sous peine de sanctions financières, leur niveau de conformité aux règles d’accessibilité pour les personnes en situation de handicap. Les grandes entreprises telles que les enseignes de distribution ou les constructeurs de téléphones sont également concernées par une obligation d’accessibilité puisqu’elles devront proposer des services après-vente téléphoniques, accessibles aux personnes malentendantes.14. Une stratégie de développement des usages et services numériques à l’échelle territorialeLes conseils départementaux et régionaux pourront établir une stratégie de développement des usages et services numériques. Afin de favoriser un maillage équilibré des services sur l’ensemble des territoires, cette stratégie permettra d’assurer une offre de services de médiation numérique de nature à répondre aux besoins identifiés d’accompagnement de la population dans l’utilisation des technologies et services numériques.15. Une reconnaissance officielle de l’e-sport en tant que pratique professionnelle compétitive des jeux vidéoLa Loi prévoit la reconnaissance de l’e-sport, notamment en légalisant les compétitions physiques de jeux vidéo et en dotant les joueurs professionnels d’un statut social. Les joueurs et spectateurs mineurs devront détenir une autorisation parentale pour participer à des rencontres e-sport.Nous avons déjà commenté plusieurs de ces dispositions qui sont entrées en vigueur dès le 9 octobre pour certaines et au fur et à mesure de la publication des décrets d'application pour les autres selon le calendrier prévisionnel, objet de notre prochain article.
Testament numérique: la vie des données après la mort avec la loi votée le 28 septembre 2016
Avec le développement de l’Internet et des réseaux sociaux, les données mises en ligne par les internautes connaissent un fort développement, mais chaque site ou réseau social disposait jusqu'alors d'une totale liberté de traitement de la mort numérique.La gestion de ces données après la mort soulève en effet des difficultés, les héritiers n’en ayant pas nécessairement connaissance et ne pouvant y avoir accès. S’agissant de données à caractère personnel, celles-ci sont attachées à la personne du défunt et ne peuvent être transmises par voie de succession aux héritiers.La Cnil a identifié par exemple qu'un profil sur 100 sur Facebook est celui d'une personne décédée.La loi pour une République numérique votée le 28 septembre 2016 permet désormais à toute personne, de son vivant, d’organiser les conditions de conservation et de communication de ses données à caractère personnel après son décès: un véritable testament numériqueLa personne pourra transmettre des directives sur le sort de ses données à caractère personnel à la CNIL ou à un responsable de traitement et pourra désigner une personne chargée de leur exécution.Par ailleurs, les fournisseurs de services sur Internet devront informer l’utilisateur du sort de ces données à son décès et lui permettre de choisir de les transmettre ou non à un tiers qu’il désigne.C'est donc l'article 63 de la loi numérique qui dispose:" Article 63:I. – La loi n° 78-17 du 6 janvier 1978 précitée est ainsi modifiée :1° L’article 40 est ainsi modifié :a) Au début du premier alinéa, est ajoutée la mention : « I. – » ;b) Après le cinquième alinéa, il est inséré un II ainsi rédigé :« II. – Sur demande de la personne concernée, le responsable du traitement est tenu d’effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne concernée était mineure au moment de la collecte. Lorsqu’il a transmis les données en cause à un tiers lui-même responsable de traitement, il prend des mesures raisonnables, y compris d’ordre technique, compte tenu des technologies disponibles et des coûts de mise en œuvre, pour informer le tiers qui traite ces données que la personne concernée a demandé l’effacement de tout lien vers celles-ci, ou de toute copie ou de toute reproduction de celles-ci.« En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation.« Les deux premiers alinéas du présent II ne s’appliquent pas lorsque le traitement de données à caractère personnel est nécessaire :« 1° Pour exercer le droit à la liberté d’expression et d’information ;« 2° Pour respecter une obligation légale qui requiert le traitement de ces données ou pour exercer une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;« 3° Pour des motifs d’intérêt public dans le domaine de la santé publique ;« 4° À des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où le droit mentionné au présent II est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement ;« 5° À la constatation, à l’exercice ou à la défense de droits en justice. » ;c) Les deux derniers alinéas sont supprimés ;2° Après l’article 40, il est inséré un article 40-1 ainsi rédigé :« Art. 40-1. – I. – Les droits ouverts à la présente section s’éteignent au décès de leur titulaire. Toutefois, ils peuvent être provisoirement maintenus conformément aux II et III suivants.« II. – Toute personne peut définir des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès. Ces directives sont générales ou particulières.« Les directives générales concernent l’ensemble des données à caractère personnel se rapportant à la personne concernée et peuvent être enregistrées auprès d’un tiers de confiance numérique certifié par la Commission nationale de l’informatique et des libertés.« Les références des directives générales et le tiers de confiance auprès duquel elles sont enregistrées sont inscrites dans un registre unique dont les modalités et l’accès sont fixés par décret en Conseil d’État, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.« Les directives particulières concernent les traitements de données à caractère personnel mentionnées par ces directives. Elles sont enregistrées auprès des responsables de traitement concernés. Elles font l’objet du consentement spécifique de la personne concernée et ne peuvent résulter de la seule approbation par celle-ci des conditions générales d’utilisation.« Les directives générales et particulières définissent la manière dont la personne entend que soient exercés, après son décès, les droits mentionnés à la présente section. Le respect de ces directives est sans préjudice des dispositions applicables aux archives publiques comportant des données à caractère personnel.« Lorsque les directives prévoient la communication de données qui comportent également des données à caractère personnel relatives à des tiers, cette communication s’effectue dans le respect de la présente loi.« La personne peut modifier ou révoquer ses directives à tout moment.« Les directives mentionnées au premier alinéa du présent II peuvent désigner une personne chargée de leur exécution. Celle-ci a alors qualité, lorsque la personne est décédée, pour prendre connaissance des directives et demander leur mise en œuvre aux responsables de traitement concernés. À défaut de désignation ou, sauf directive contraire, en cas de décès de la personne désignée, ses héritiers ont qualité pour prendre connaissance des directives au décès de leur auteur et demander leur mise en œuvre aux responsables de traitement concernés.« Toute clause contractuelle des conditions générales d’utilisation d’un traitement portant sur des données à caractère personnel limitant les prérogatives reconnues à la personne en vertu du présent article est réputée non écrite.« III. – En l’absence de directives ou de mention contraire dans lesdites directives, les héritiers de la personne concernée peuvent exercer après son décès les droits mentionnés à la présente section dans la mesure nécessaire :« – à l’organisation et au règlement de la succession du défunt. À ce titre, les héritiers peuvent accéder aux traitements de données à caractère personnel qui le concernent afin d’identifier et d’obtenir communication des informations utiles à la liquidation et au partage de la succession. Ils peuvent aussi recevoir communication des biens numériques ou des données s’apparentant à des souvenirs de famille, transmissibles aux héritiers ;« – à la prise en compte, par les responsables de traitement, de son décès. À ce titre, les héritiers peuvent faire procéder à la clôture des comptes utilisateurs du défunt, s’opposer à la poursuite des traitements de données à caractère personnel le concernant ou faire procéder à leur mise à jour.« Lorsque les héritiers en font la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en application du troisième alinéa du présent III.« Les désaccords entre héritiers sur l’exercice des droits prévus au présent III sont portés devant le tribunal de grande instance compétent.« IV. – Tout prestataire d’un service de communication au public en ligne informe l’utilisateur du sort des données qui le concernent à son décès et lui permet de choisir de communiquer ou non ses données à un tiers qu’il désigne. » ;3° Le 6° du I de l’article 32 est complété par les mots : « dont celui de définir des directives relatives au sort de ses données à caractère personnel après sa mort » ;4° Au premier alinéa de l’article 67, les références : « 39, 40 et » sont remplacées par les mots : « et 39, le I de l’article 40 et les articles »."Retrouvez la loi pour une République numérique, adoptée par le Sénat le 28 septembre 2016 , TA n° 185Pour plus de détails sur le testament numérique , n'hésitez pas à prendre contact avec notre Cabinet
Cyber harcèlement: comment se défendre contre le harcèlement scolaire ?
Ce soir mardi 27 septembre 2016 France 3 diffusera Marion, 13 ans pour toujours, de Bourlem Guerdjou directement adapté du livre éponyme sur le drame de Marion Fraisse, 13 ans, qui s'est donné la mort en février 2013 après avoir été harcelée à l'école et en ligne par des élèves de son collègeL'occasion de rappeler que ce drame du cyber-harcèlement est une réalité qui touche malheureusement en France plusieurs centaines de milliers d’enfants et de jeunes qui sont concernés.La lutte contre ce phénomène est une priorité car il va à l’encontre des valeurs défendues par l’école : le respect de chacun, l’apprentissage de la citoyenneté.700 600 ÉLÈVES FRANÇAIS, DE L'ÉCOLE AU LYCÉE, SONT VICTIMES DE HARCÈLEMENT*Parmi eux, 383 830 élèves sont victimes d'une forme sévère de harcèlement*. Plus précisément:12% des écoliers (CE2, CM1, CM2) souffrent de harcèlement, soit 295 600 élèves sur 2 463 065. Et 5 % des élèves subissent un harcèlement sévère, soit 123 000 écoliers de cycle 3. (Enquête réalisée par l’Unicef et l’Observatoire).10% des collégiens subissent un harcèlement, soit 332 000 élèves sur 3 332 000 collégiens. Et 7% des collégiens sont confrontés à un harcèlement sévère, soit 233 000 élèves. (Enquêtes de la Depp 2011, 2013).3,4% des lycéens souffrent de harcèlement, soit 73 000 lycéens sur 2 140 900. Et 1,3% des lycéens de harcèlement sévère, soit 27 830 lycéens.Ces chiffres montrent que les risques de harcèlement sont plus grands en fin d’école primaire et au collège. Au lycée, ils diminuent fortement1 ÉLÈVE SUR 5 EST CONFRONTÉ AU CYBER-HARCÈLEMENT4,5 % des collégiens sont victimes du cyber-harcèlement. L’utilisation d’internet, des téléphones portables ou encore des réseaux sociaux fait que le harcèlement entre élèves se poursuit en dehors de l’enceinte des établissements scolaires. Le ministère de l’Éducation nationale et l’association e-Enfance ont élaboré un guide pour prévenir et traiter le cyber-harcèlement. Un numéro vert national "Net Ecoute", 0800 200 000, propose des solutions juridiques et psychologiques adaptées à la victime de cyber-harcèlement, à sa famille et au personnel éducatif.Une journée nationale "Non au harcèlement" avait été lancée le 5 novembre 2015, pour sensibiliser les plus jeunes, en appui des autres axes de la lutte contre le harcèlement que sont les plans de prévention et de formation des professionnels. Concernant la prévention des situations de harcèlement, le ministère a inscrit le harcèlement dans les programmes d’enseignement moral et civique.UN NUMÉRO GRATUIT : LE 3020Le numéro vert 3020 "Non au harcèlement", ouvert du lundi ou vendredi de 9h à 18h (sauf les jours fériés), est animé par un réseau de 250 "référents harcèlement" qui est chargé de la prise en charge de situations de harcèlement dont ils ont eu connaissance. Ils aident et conseillent également les écoles et les établissements pour la résolution des situations de harcèlement.UN NOUVEAU SITE INTERNET ET UNE PAGE FACEBOOK POUR AGIR CONTRE LE HARCÈLEMENTwww.nonauharcelement.education.gouv.fr oriente et donne des conseils selon le profil de l’utilisateur (victime, témoin, parent ou professionnel). Un ensemble de ressources pédagogiques est mis à la disposition des professionnels et des parents (guides, cahiers d’activités pour le primaire et grille de repérages du harcèlement).
La page Facebook, qui compte plus de 72 000 abonnés, est fréquentée majoritairement par des jeunes de 13 à 17 ans, mais ce sont essentiellement des femmes de 25 à 44 ans, le plus souvent des parents d’élèves qui y interagissent. De nombreux partenaires institutionnels concernés par la lutte contre le harcèlement suivent également cette page tout comme certaines fédérations de parents du public et du privé.1 500 FORMATEURS POUR SENSIBILISER 300 000 PERSONNESL’année scolaire 2015/2016 est marquée par le renforcement de la formation du personnel : d’ici à la fin 2016, 1 500 formateurs seront opérationnels pour sensibiliser 300 000 personnes aux situations de harcèlement. Pour aider la mise en place des formations, un parcours M@gistère (travail à distance et en groupe) de 9 heures a été créé pour le 1er degré. Par ailleurs, la réserve citoyenne lancée le 12 mai 2015, donne la possibilité de s’engager contre le harcèlement et d’intervenir en milieu scolaire.Rappelons également sur un plan plus juridique qu'Il n'existait pas en France d'outil juridique spécifique, comme en matière de harcèlement au travail ou dans le couple. La loi du 17 juin 1998 sur le bizutage ne correspondait pas exactement au harcèlement scolaire et c'étaient donc plutôt les violences morales incriminées par l'article 222-33-2 du Code pénal qui trouvent à s'appliquer.La création d'un délit particulier est intervenue en août 2014 avec la création de l’article 222-33-2-2 du Code pénal qui dispose que:"Le fait de harceler une personne par des propos ou comportements répétés ayant pour objet ou pour effet une dégradation de ses conditions de vie se traduisant par une altération de sa santé physique ou mentale est puni d’un an d’emprisonnement et de 15 000 € d’amende lorsque ces faits ont causé une incapacité totale de travail inférieure ou égale à huit jours ou n’ont entraîné aucune incapacité de travail.Les faits mentionnés au premier alinéa sont punis de deux ans d’emprisonnement et de 30 000 € d’amende :1° Lorsqu’ils ont causé une incapacité totale de travail supérieure à huit jours ;2° Lorsqu’ils ont été commis sur un mineur de quinze ans ;3° Lorsqu’ils ont été commis sur une personne dont la particulière vulnérabilité, due à son âge, à une maladie, à une infirmité, à une déficience physique ou psychique ou à un état de grossesse, est apparente ou connue de leur auteur ;4° Lorsqu’ils ont été commis par l’utilisation d’un service de communication au public en ligne.Les faits mentionnés au premier alinéa sont punis de trois ans d’emprisonnement et de 45 000 € d’amende lorsqu’ils sont commis dans deux des circonstances mentionnées aux 1° à 4°"Retrouvez également nos articles sur le cyber-harcèlement: Cyber-harcèlement: la proposition de loi pour protéger les ... et Cyber Harcèlement: l'appli Gossip revient...sans modération ...ainsi que sur le revenge porn La lutte contre le revenge porn s'invite au menu du projet de ...Retrouvez notre intervention sur le cyber harcèlement dans l'émission ''seul contre tous'' de Sud Radio du 4 juin 2015 (podcast à partir de 23'40):http://www.sudradio.fr/Podcasts/Seul-contre-tous/Gossip-il-faut-interdire-le-portable-avant-la-fin-du-lycee et sur Europe 1 le 2 juin 2015:http://www.europe1.fr/societe/gossip-lapplication-dans-le-viseur-des-associations-1350076#utm_source=dlvr.it&utm_medium=twitter

References: l'article 222
 l'article 7
 l'article 1
 l'article 3
 l'article 4
 l'article 323
 l'article 47
 l'article 40
 l'article 323
 l'article 63
 Art. 40
 l'article 222