Source: http://www.thierryvallatavocat.com/tag/ntic/4
Timestamp: 2017-03-01 20:11:37+00:00

Document:
ntic - Le blog de Thierry Vallat, avocat au Barreau de Paris (et sur Twitter: @MeThierryVallat)
Développement du Esport: une mission parlementaire mise en place pour proposer un cadre règlementaire
Décidemment une actualité chargée pour le droit de l'Esport en ce début d'année 2016 !Parallèlement au vote à partir d'aujourd'hui à l'Assemblée nationale du projet de loi numérique dont l'article 42 amendé devrait après son adoption enfin mettre en place un premier cadre juridique pour le sport électronique, on apprend que le Premier ministre Manuel Valls a confié à Rudy Salles, député et Jérôme Durain, sénateur, la mission de proposer un cadre législatif et réglementaire favorisant le développement des compétitions de jeux vidéo en France.Les deux décrets du 18 janvier de nomination de ces parlementaires ont été publiés le 19 janvier 2016 au JORF:Décret du 18 janvier 2016 chargeant un député d'une mission temporaire et Décret du 18 janvier 2016 chargeant un sénateur d'une mission temporaire
Accés à l'Internet en prison: la CEDH condamne l'Estonie dans l'affaire Kalda
L'Estonie a été condamnée ce 19 janvier par la Cour européeenne de droits de l'homme dans une décision Kalda c/ Estonie n° 17/42910 qui repose la question de l'accès à Internet pour les prisonniers.Dans cette affaire, Roméo Kalda, détenu à la prison estonienne de Tartu s'était plaint du refus des autorités de lui donner accès à certains sites internet, ce qui l’aurait empêché d’effectuer des recherches juridiques.Ce ressortissant estonien né en 1974, qui purge actuellement une peine de réclusion à perpétuité, allèguait qu’en octobre 2007 les autorités de la prison de Tartu refusèrent sa demande d’accès au site internet du bureau d’information du Conseil de l’Europe à Tallinn et à deux bases de données publiques, à savoir les sites internet du Garde des Sceaux et du Parlement estoniens, où l’on peut trouver des instruments législatifs et des décisions judiciaires. Il se plaignit au ministère de la Justice, qui rejeta sa plainte en novembre 2007.À l’issue de la procédure qui s’ensuivit devant les tribunaux nationaux, la Cour suprême rejeta finalement – en décembre 2009 – le recours de M. Kalda, concluant que l’interdiction pour les détenus d’accéder aux trois sites internet en question se justifiait par des raisons de sécurité et des considérations économiques.La haute juridiction estonienne estima notamment que l’accès à des sites internet additionnels pouvait augmenter le risque que les détenus s’engagent dans des communications interdites, ce qui nécessiterait une surveillance accrue et donc une augmentation des coûts. Invoquant l’article 10 (liberté d’expression),M. Kalda a soutenu que l’interdiction qui lui a été faite d’avoir accès aux sites internet en question a emporté violation de son droit de recevoir des informations via Internet et explique qu’il souhaitait pouvoir mener des recherches juridiques en vue de plusieurs procédures judiciaires qu’il a engagées pour contester le système pénitentiaire estonienLa CEDH a suivi son raisonnement et a condamné l'Estonie dans son arrêt de chambre du 19 janvier 2016 (http://hudoc.echr.coe.int/app/conversion/pdf/?library=ECHR&id=003-5274809-6556598&filename=Judgment%20Kalda%20v.%20Estonia%20-%20prisoner%E2%80%99s%20access%20to%20Internet%20websites%20containing%20legal%20information.pdf …)Cet arrêt repose une nouvelle fois la question brûlante de l'accès internet pour les détenus incarcérés.La CEDH prends toutd 'abord le soin de rappeler que le refus d'accès à Internet lui parait parfaitement envisageable: l'article 10 de la Convention ne peut être interprété comme obligeant des pays à accorder un accès.Dès lors, certains pays comme la France peuvent continuer de prohiber toute possibilité de connection, alors que d'autres, comme l'Estonie autorise un accès limité.C'est en revanche dans ce dernier cas que le refus d'accès à certains sites d'information doit être motivé selon la Cour, ce que l'Estonie n'avait pas fait, à tort.Depuis de nombreuses années, le contrôleur général des lieux de privation de liberté recommande un assouplissement des règles d'accès des détenus à l'informatique. Seuls quelques établissements ont par aileurs ouvert des connections à titre exprimental. /ob_23c6f1_case-of-kalda-v-estonia.pdf
Le ministère de l'Intérieur met en place un téléservice de traitement automatisé de données à caractère personnel dénommé Saisine par voie électronique de l'administration (SVE) La loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment ses articles 26, 27 et 29, la loi n° 2000-321 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec l'administration, l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives et le décret n° 2015-1404 du 5 novembre 2015 relatif au droit des usagers de saisir l'administration par voie électronique organisent le droit pour les usagers de saisir une administration.La loi du 12 novembre 2013 susvisée a autorisé le Gouvernement à adopter par ordonnance des mesures législatives destinées notamment à définir les conditions d'exercice d'un droit de saisir l'administration par voie électronique et de lui répondre par la même voie.
Sur ce fondement, a été prise l'ordonnance n° 2014-1330 du 6 novembre 2014 relative au droit des usagers de saisir l'administration par voie électronique, qui modifie l'ordonnance du 8 décembre 2005 susvisée.Ainsi, le nouvel article 2 de cette dernière ordonnance prévoit que « tout usager, dès lors qu'il s'est identifié auprès d'une autorité administrative, peut adresser par voie électronique à celle-ci une demande, une déclaration, un document ou une information, ou lui répondre par la même voie. Cette autorité administrative est régulièrement saisie et traite la demande, la déclaration, le document ou l'information sans demander à l'usager la confirmation ou la répétition de son envoi sous une autre forme ».
Le ministère de l'intérieur a donc développé un téléservice qui permettra l'enregistrement et la transmission des saisines dématérialisées des usagers aux services compétents de l'Etat.Pour exercer son droit de saisir une administration par voie électronique, tout usager s'identifie auprès de cette administration dans le respect des modalités d'utilisation des téléservices définies par les autorités administratives en application du deuxième alinéa de l'article 3 de l'ordonnance du 8 décembre 2005 susvisée.A cet effet, l'usager indique dans son envoi, s'il s'agit d'une entreprise, son numéro d'inscription au répertoire des entreprises et de leurs établissements ; s'il s'agit d'une association, son numéro d'inscription au répertoire national des associations et, dans les autres cas, ses nom et prénom, adresses postale et électronique.
Ces modalités peuvent en outre également prévoir l'utilisation d'un identifiant propre à l'usager qui s'adresse à l'administration ou celle d'autres moyens d'identification électronique dès lors que ceux-ci sont acceptés par l'administration.L'Arrêté du 23 décembre 2015 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé « Saisine par voie électronique de l'administration » (SVE) est donc créé au ministère de l'intérieur, ayant pour finalité la mise à disposition d'un ou plusieurs téléservices.
Ce traitement automatisé permet aux usagers d'effectuer des démarches administratives dématérialisées en renseignant un formulaire de dépôt de demande d'information ou d'envoi de dossier lié à une démarche administrative, d'y joindre des pièces justificatives le cas échéant et de le transmettre aux services compétents de l'administration territoriale (préfectures, directions départementales interministérielles), de l'administration centrale du ministère de l'intérieur ainsi qu'aux préfectures des collectivités d'outre-mer et hauts commissariats de la République suivants : Nouvelle-Calédonie, Polynésie française, Wallis et Futuna, Saint-Pierre-et-Miquelon, Saint-Barthélemy et Saint-Martin.
Cette saisine de l'administration par voie électronique est facultative.Les données à caractère personnel et informations enregistrées dans le traitement prévu à l'article 1er sont les suivantes :
I. - Pour les usagers individuels :
1° Etat civil : civilité, nom de naissance, nom d'usage, prénoms ;
2° Adresse ;
3° Adresse électronique ;
4° Numéro de téléphone fixe et/ou de portable ;
5° Objet de la demande : département pour lequel la demande est déposée, type de demande (information ou dépôt d'un dossier), message et complément de dossier ;
II. - Pour les usagers professionnels :
1° Identification de l'entreprise : numéro SIRET, libellé d'activité, forme juridique, dénomination, nom commercial/enseigne ;
2° Références de l'établissement qui dépose une demande : adresse du siège social, code NAF;
3° Information sur le dirigeant de l'entreprise : civilité, nom, prénom;
4° Information sur le demandeur : nom, prénom, adresse électronique ; numéro de téléphone fixe et/ou de portable ;
III. - Pour les associations :
1° Identification de l'association : nom, objet, téléphone, adresse site internet, numéro SIRET, numéro RNA, union ou fédération ou réseau auquel elle est affiliée ;
2° Adresse du siège social et adresse de correspondance (si différente) ;
3° Renseignements administratifs et juridiques : date de déclaration en préfecture, date de publication de la création au Journal officiel, détention d'agrément(s), reconnaissance d'utilité publique ;
4° Identification du représentant légal : civilité, nom, prénom, fonction au sein de l'association, profession, téléphone, adresse électronique ;
5° Informations sur le demandeur : civilité, nom, prénom, fonction au sein de l'association, profession, adresse électronique, numéro de téléphone fixe et/ou de portable ;
6° Objet de la demande : département pour lequel la demande est déposée, type de demande (information ou dépôt d'un dossier), message et complément de dossier ;
IV. - Pour tous les usagers : le numéro national d'enregistrement.
Le système SVE génère automatiquement un numéro national d'enregistrement pour chaque premier dépôt d'une demande validée par les différents usagers.A noter que le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée n'est pas applicable au présent traitement.Retrouvez l'arrêté du 23 décembre 2015: http://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000031692298&dateTexte=&categorieLien=idet l'avis de la CNIL: http://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000031693009&dateTexte=&categorieLien=id
Un cadre juridique pour l'Esport: le sport électronique se dote enfin d'un statut légal
Notre article "Le droit de l’e-sport dans le projet de loi numérique : vers la définition d’un cadre juridique pour le sport électronique" a été publié le 23 novembre par le Village de la Justice.Le droit des compétitions de jeux video ou Esport est en effet en marche avec l'article 38 du projet de loi numérique qui sera prochainement présenté par la secrétaire d'Etat au numérique Axelle Lemaire devant le conseil des ministres.Il s'agit là d'une première pierre très attendue à l'édifice légal du sport électronique, jusqu'à présent évoluant dans un vide juridique.Retrouvez l'intégralité de notre article : Le droit de l'e-sport dans le projet de loi numérique : vers la ...
Défaut de sécurité de données clients: la CNIL sanctionne Optical Center
La formation restreinte de la CNIL a prononcé une sanction de 50000€ à l’encontre de la société OPTICAL CENTER qui n’a pas suffisamment assuré la sécurité et la confidentialité des données de ses clients.En décembre 2014, la société OPTICAL CENTER a été mise en demeure par la Présidente de la CNIL de se mettre en conformité avec la loi « Informatique et Libertés », notamment concernant les traitements de données personnelles de ses clients. Celle-ci faisait suite à une plainte reçue qui avait donné lieu à un contrôle.La société ayant apporté des éléments de réponse attestant d’une mise en conformité partielle, la CNIL a procédé à un nouveau contrôle sur place et à une audition de la société, en février et juin 2015. Ils ont permis de constater la persistance de certains manquements.La mise en demeure n’ayant pas été entièrement satisfaite, la formation restreinte de la CNIL a prononcé une sanction pécuniaire de 50.000 euros à l'encontre de la société OPTICAL CENTER, qu’elle a décidé de rendre publique.La formation restreinte a considéré que la société ne s’était pas mise en conformité sur deux points :La société n’a pas mis en place les mesures adaptées pour assurer la sécurité et la confidentialité des données de ses clients (170 000 comptes utilisateurs sur le site www.optical-center.fr) ;Le contrat signé par la société avec l’un de ses prestataires ne contenait pas de clause précisant les obligations de ce prestataire en matière de protection de la sécurité et de la confidentialité des données des clients.Dans sa Délibération n° 2015-379 du 5 novembre 2015 prononçant une sanction pécuniaire à l’encontre de la société OPTICAL CENTER, la CNIL inflige donc à cette dernière une amende de 50.000 €.(Source: CNIL)Mise à jour: La société OPTICAL CENTER nous a contacté ce jour afin de préciser qu'elle s'était depuis lors mise en conformité avec les demandes de la CNIL. Repost
Données personnelles: invalidation du controversé accord "Safe Harbor" par la Cour de Justice européenne dans son arrêt Schrems du 6 octobre 2015
La Cour de justice de l'Union européenne (CJUE) a décidé dans sa très attendue décision du 6 octobre 2015, de suspendre l’acccord « Safe Harbor » qui encadre l’utilisation des données des internautes européens par de nombreuses sociétés américaines, dont les principales entreprises du Web.Dans cet arrêt n°C-362/14 "Maximillian Schrems / Data Protection Commissioner", la Cour a donc invalidé la décision de la Commission qui permettait depuis 2000 l'exportation de données personnelles vers les Etats-Unis, constatant que ce pays assure un niveau de protection adéquat aux données à caractère personnel transféréesLa Cour est en effet seule compétente pour déclarer l’invalidité d’un acte de l’Union, et les autorités nationales de contrôle, saisies d’une demande, peuvent, même en présence d’une décision de la Commission constatant qu’un pays tiers offre un niveau de protection adéquat des données personnelles, examiner si le transfert des données d’une personne vers ce pays respecte les exigences de la législation de l’Union relative à la protection de ces données ainsi que saisir les juridictions nationales, au même titre que la personne concernée, afin qu’elles procèdent à un renvoi préjudiciel aux fins de l’examen de la validité de cette décisionLa directive sur le traitement des données à caractère personnel (Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995) dispose que le transfert de telles données vers un pays tiers ne peut, en principe, avoir lieu que si le pays tiers en question assure un niveau de protection adéquat à ces données.Toujours selon la directive, la Commission peut constater qu’un pays tiers assure, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection adéquat. Enfin, la directive prévoit que chaque État membre désigne une ou plusieurs autorités publiques chargées de surveiller l’application, sur son territoire, des dispositions nationales adoptées sur le fondement de la directive (« autorités nationales de contrôle »).M. Maximillian Schrems, un activiste autrichien bien connu, utilise Facebook depuis 2008. Comme pour les autres abonnés résidant dans l’Union, les données fournies par M. Schrems à Facebook sont transférées, en tout ou partie, à partir de la filiale irlandaise de Facebook sur des serveurs situés sur le territoire des États-Unis, où elles font l’objet d’un traitement. M. Schrems a déposé une plainte auprès de l’autorité irlandaise de contrôle, considérant qu’au vu des révélations faites en 2013 par M. Edward Snowden au sujet des activités des services de renseignement des ÉtatsUnis (en particulier la National Security Agency ou « NSA »), le droit et les pratiques des ÉtatsUnis n’offrent pas de protection suffisante contre la surveillance, par les autorités publiques, des données transférées vers ce pays. L’autorité irlandaise a rejeté la plainte, au motif notamment que, dans sa décision du 26 juillet 20002 , la Commission a considéré que, dans le cadre du régime dit de la « sphère de sécurité » , les États-Unis assurent un niveau adéquat de protection aux données à caractère personnel transférées.Saisie de l’affaire, la High Court of Ireland (Haute Cour de justice irlandaise) souhaite savoir si cette décision de la Commission a pour effet d’empêcher une autorité nationale de contrôle d’enquêter sur une plainte alléguant qu’un pays tiers n’assure pas un niveau de protection adéquat et, le cas échéant, de suspendre le transfert de données contesté.Dans son arrêt de ce jour, la Cour estime que l’existence d’une décision de la Commission constatant qu’un pays tiers assure un niveau de protection adéquat aux données à caractère personnel transférées ne saurait annihiler ni même réduire les pouvoirs dont disposent les autorités nationales de contrôle en vertu de la Charte des droits fondamentaux de l’Union européenne et de la directive. La Cour souligne à cet égard le droit à la protection des données à caractère personnel garanti par la Charte ainsi que la mission dont sont investies les autorités nationales de contrôle en vertu de cette même Charte.La Cour considère tout d’abord qu’aucune disposition de la directive n’empêche les autorités nationales de contrôler les transferts de données personnelles vers des pays tiers ayant fait l’objet d’une décision de la Commission. Ainsi, même en présence d’une décision de la Commission, les autorités nationales de contrôle, saisies d’une demande, doivent pouvoir examiner en toute indépendance si le transfert des données d’une personne vers un pays tiers respecte les exigences posées par la directive. Néanmoins, la Cour rappelle qu’elle est seule compétente pour constater l’invalidité d’un acte de l’Union, tel qu’une décision de la Commission. Par conséquent, lorsqu’une autorité nationale ou bien la personne ayant saisi l’autorité nationale estime qu’une décision de la Commission est invalide, cette autorité ou cette personne doit pouvoir saisir les juridictions nationales pour que, dans le cas où elles douteraient elles aussi de la validité de la décision de la Commission, elles puissent renvoyer l’affaire devant la Cour de justice. C’est donc en dernier lieu à la Cour que revient la tâche de décider si une décision de la Commission est valide ou non.La Cour vérifie alors la validité de la décision de la Commission du 26 juillet 2000. À cet égard, la Cour rappelle que la Commission était tenue de constater que les États-Unis assurent effectivement, en raison de leur législation interne ou de leurs engagements internationaux, un niveau de protection des droits fondamentaux substantiellement équivalent à celui garanti au sein de l’Union en vertu de la directive lue à la lumière de la Charte. La Cour relève que la Commission n’a pas opéré un tel constat, mais qu’elle s’est bornée à examiner le régime de la sphère de sécurité.Or, sans qu’il y ait besoin, pour la Cour, de vérifier si ce régime assure un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union, la Cour relève que celui-ci est uniquement applicable aux entreprises américaines qui y souscrivent, sans que les autorités publiques des États-Unis y soient elles-mêmes soumises. En outre, les exigences relatives à la sécurité nationale, à l’intérêt public et au respect des lois des États-Unis l’emportent sur le régime de la sphère de sécurité, si bien que les entreprises américaines sont tenues d’écarter, sans limitation, les règles de protection prévues par ce régime, lorsqu’elles entrent en conflit avec de telles exigences. Le régime américain de la sphère de sécurité rend ainsi possible des ingérences, par les autorités publiques américaines, dans les droits fondamentaux des personnes, la décision de la Commission ne faisant état ni de l’existence, aux États-Unis, de règles destinées à limiter ces éventuelles ingérences ni de l’existence d’une protection juridique efficace contre ces ingérences.La Cour considère que cette analyse du régime est corroborée par deux communications de la Commission, d’où il ressort notamment que les autorités des États-Unis pouvaient accéder aux données à caractère personnel transférées à partir des États membres vers ce pays et traiter celles-ci d’une manière incompatible, notamment, avec les finalités de leur transfert et au-delà de ce qui était strictement nécessaire et proportionné à la protection de la sécurité nationale. De même, la Commission a constaté qu’il n’existait pas, pour les personnes concernées, de voies de droit administratives ou judiciaires permettant, notamment, d’accéder aux données les concernant et, le cas échéant, d’obtenir leur rectification ou leur suppression.S’agissant du niveau de protection substantiellement équivalent avec les libertés et droits fondamentaux garanti au sein de l’Union, la Cour constate que, en droit de l’Union, une réglementation n’est pas limitée au strict nécessaire, dès lors qu’elle autorise de manière généralisée la conservation de toutes les données à caractère personnel de toutes les personnes dont les données sont transférées depuis l’Union vers les États-Unis sans qu’aucune différenciation, limitation ou exception ne soient opérées en fonction de l’objectif poursuivi et sans que des critères objectifs ne soient prévus en vue de délimiter l’accès des autorités publiques aux données et leur utilisation ultérieure. La Cour ajoute qu’une règlementation permettant aux autorités publiques d’accéder de manière généralisée au contenu de communications électroniques doit être considérée comme portant atteinte au contenu essentiel du droit fondamental au respect de la vie privé.De même, la Cour relève qu’une règlementation ne prévoyant aucune possibilité pour le justiciable d’exercer des voies de droit afin d’avoir accès à des données à caractère personnel le concernant, ou d’obtenir la rectification ou la suppression de telles données, porte atteinte au contenu essentiel du droit fondamental à une protection juridictionnelle effective, une telle possibilité étant inhérente à l’existence d’un État de droit.Enfin, la Cour constate que la décision de la Commission du 26 juillet 2000 prive les autorités nationales de contrôle de leurs pouvoirs, dans le cas où une personne remet en cause la compatibilité de la décision avec la protection de la vie privée et des libertés et droits fondamentaux des personnes. La Cour considère que la Commission n’avait pas la compétence de restreindre ainsi les pouvoirs des autorités nationales de contrôle.Pour toutes ces raisons, la Cour déclare la décision de la Commission du 26 juillet 2000 invalide. Cet arrêt a pour conséquence que l’autorité irlandaise de contrôle est tenue d’examiner la plainte de M. Schrems avec toute la diligence requise et qu’il lui appartient, au terme de son enquête, de décider s’il convient, en vertu de la directive, de suspendre le transfert des données des abonnés européens de Facebook vers les États-Unis au motif que ce pays n’offre pas un niveau de protection adéquat des données personnelles.Dans un communiqué, Maximilian Schrems s'est félicité d'un "coup sérieux porté à la surveillance mondiale des Etats-Unis".http://www.europe-v-facebook.org/CJEU_IR.pdfPour sa part la CNIL française a précisé dans un communiqué (cnil.fr/linstitution/actualite/article/article/invalidation-du-safe-harbor-par-la-cour-de-justice-de-lunion-europeenne-une-decision-cl/ …) que "l’invalidation de la décision de la Commission européenne qui reconnaissait l’adéquation du « safe harbor » pose donc la question du niveau de protection des données personnelles transférées aux Etats-Unis. Les autorités de protection des données devront examiner la validité des transferts qui leur sont soumis, en tenant compte du fait que la situation américaine n’est pas « adéquate ».La CNIL annonce également qu'elle va prochainement rencontrer ses homologues au sein du G29 afin de déterminer précisément les conséquences juridiques et opérationnelles de cet arrêt sur l’ensemble des transferts intervenus dans le cadre du « safe harbor ».L’annulation du « Safe Harbor » devrait donc contraindre Google et les autres géants de l'internet à davantage conserver en Europe les données de leurs utilisateurs européens et donc à limiter leurs marges de manœuvre en matière d’exploitation de ces données. Cependant, malgré cette invalidation, Facebook et Consorts pourront toujours continuer à exporter des données, mais avec de plus lourdes formalités !Mais l'une des conséquences de cette invalidation pourrait également consister en la création de datacenters en Europe.(Source: Cour de Justice de l'Union européenne)
/ob_65fe83_arret-schrems-cjue-6-octobre-2015.pdf
Attaquée devant la CEDH par 180 journalistes, la loi sur le renseignement est entrée en vigueur samedi 3 octobre 2015 avec la publication du décret nommant le président de la CNCTR
Le décret du 1er octobre relatif à la composition de la Commission nationale de contrôle des techniques de renseignement (CNCTR), publié vendredi dernier a confirmé la nomination du premier président de la CNCTR.Francis Delon a ainsi été officiellement désigné comme président de cette nouvelle Commission chargée de contrôler les demandes des services de renseignement français en matière de surveillance numérique.Cette CNCTR remplace l'instance actuelle (la CNCIS) et rendra des avis consultatifs pour chaque demande de surveillance émise par les services de renseignement auprès du premier ministre, qui garde la haute main sur toutes les opérations.Dès hier 3 octobre, l'autorisation de mettre en oeuvre des dispositifs de géolocalisation, des IMSI catchers, des micros, des caméras, des spywares, des collectes de données sur les réseaux électroniques, et autres boîtes noires riches en algorithmes de détection de terroristes potentiels, peuvent être sollicitées auprès de Matignon.En effet, conformément à l'article 26 de la LOI n° 2015-912 du 24 juillet 2015 relative au renseignement (1) l'essentiel des dispositions de ce textel entrent en vigueur "au lendemain de la publication au Journal officiel du décret nommant le président de la Commission nationale de contrôle des techniques de renseignement".Cette loi renseignement a fait couler beaucoup d'encre (voir notamment notre article Loi relative au renseignement - Le blog de Thierry Vallat ... )et est toujours l'objet de bien des controverses, mais a globalement été déclarée conforme à la constitution par le Conseil constitutionnel dans sa décision du 23 juillet 2015.Rappelons aussi que le gouvernement devra également prendre des décrets d'application, en particulier pour les conditions de mise en oeuvre des boîtes noires, mais que ces décrets resteront classés secret-défense et ne seront donc pas publiés, faisant craindre des dérives.C'est d'ailleurs notamment pour cette raison que la loi sur le renseignement vient d'être attaquée par plus de 180 journalistes devant la CEDH, estimant qu'elle porte atteinte au secret des sources. Selon le communique publié ce 3 octobre sur le site de l’association de la presse judiciaire (APJ) , "cette loi porte atteinte aux droits et libertés des journalistes, dont le sacro-saint secret des sources. Le but moral de la presse judiciaire est de défendre les intérêts professionnels des journalistes judiciaires sur tout le territoire. L’ingérence secrète que prépare le gouvernement, par le biais d’écoutes téléphoniques ou de recueil en masse de données, aura pour conséquence d’affecter le droit à l’information de notre société démocratique. Les journalistes pourront être victimes de ces violations sans même qu'ils en soient informés puisque par nature cette surveillance et ces captations sont secrètes. Malgré l’aval constitutionnel de la loi, l’APJ ne peut et ne doit rester inerte devant un tel projet gouvernemental, quels que soient les objectifs affichés." (http://pressejudiciaire.fr/2.html)
Nécessité d'une information préalable à la personne concernée de la transmission et du traitement de ses données à caractère personnel entre 2 administrations publiques
Les personnes dont les données à caractère personnel font l’objet d’une transmission et d’un traitement entre deux administrations publiques d’un État membre de l'Union européenne doivent en être préalablement informées.Telle est la décision rendue ce jour par la Cour de justice de l’Union européenne de Luxembourg, (arrêt du 1 er octobre 2015 dans l'affaire C-201/14 Smaranda Bara e.a./Președintele Casei Naționale de Asigurări de Sănătate)La directive sur le traitement des données à caractère personnel (Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31)) réglemente le traitement des données à caractère personnel lorsque celles-ci sont contenues ou appelées à figurer dans un fichier.Mme Smaranda Bara et plusieurs autres citoyens roumains sont des travailleurs indépendants. L’administration fiscale roumaine a transmis leurs revenus déclarés à la Caisse nationale de sécurité sociale, qui a alors exigé le paiement d’arriérés de contributions au régime de l’assurance maladie.Les personnes concernées ont contesté devant la Curtea de Apel Cluj (Cour d’appel de Cluj, Roumanie) la légalité de ce transfert au regard de la directive. Elles considèrent que leurs données ont été utilisées à des fins autres que celles pour lesquelles elles avaient été initialement communiquées à l’administration fiscale, sans leur information préalable.Le droit roumain permet aux entités publiques de transmettre des données à caractère personnel aux caisses d’assurance maladie afin de leur permettre d’établir la qualité d’assuré des personnes concernées. Ces données concernent l’identification des personnes (nom, prénom et adresse), mais ne comprennent pas celles relatives aux revenus perçus.Dans ce contexte, la Cour d’appel de Cluj a demandé, en substance, à la Cour de justice si le droit de l’Union s’oppose à ce qu’une administration publique d’un État membre transmette des données à caractère personnel à une autre administration publique en vue de leur traitement subséquent, sans que les personnes concernées n’aient été informées de cette transmission et de ce traitement.Dans son arrêt d’aujourd’hui, la Cour de justice considère que l’exigence de traitement loyal des données personnelles oblige une administration publique à informer les personnes concernées du fait que leurs données vont être transmises à une autre administration publique en vue de leur traitement par cette dernière en sa qualité de destinataire des données. La directive exige expressément que toute limitation éventuelle à l’obligation d’information soit prise au moyen de mesures législatives.La loi roumaine qui prévoit la transmission gratuite des données personnelles aux caisses d’assurance maladie ne constitue pas une information préalable qui permettrait de dispenser le responsable du traitement de son obligation d’informer les personnes auprès desquelles il collecte les données. En effet, cette loi ne définit ni les informations transmissibles ni les modalités de transmission, celles-ci figurant uniquement dans un protocole bilatéral conclu entre l’administration fiscale et la caisse de maladie.S’agissant du traitement subséquent des données transmises, la directive prévoit que le responsable de ce traitement doit informer les personnes concernées de sa propre identité, des finalités du traitement ainsi que de toute information supplémentaire nécessaire pour assurer un traitement loyal des données. Parmi ces informations supplémentaires figurent les catégories de données concernées ainsi que l’existence d’un droit d’accès et de rectification.La Cour observe que le traitement par la Caisse nationale de sécurité sociale des données transmises par l’administration fiscale impliquait d’informer les personnes concernées des finalités de ce traitement ainsi que des catégories de données concernées. En l’espèce, la caisse d’assurance maladie n’a pas fourni ces informations.La Cour conclut donc que le droit de l’Union s’oppose à la transmission et au traitement de données personnelles entre deux administrations publiques d’un État membre sans que les personnes concernées n’en aient été informées au préalableRetrouvez l'arrêt de la CJUE du 1er octobre 2015: http://curia.europa.eu/juris/document/document.jsf?text=&docid=168943&pageIndex=0&doclang=FR&mode=req&dir=&occ=first∂=1&cid=103463
La neutralité de l'internet et des plateformes numériques dans le projet de loi Lemaire mis en ligne le 26 septembre 2015
Le projet de loi numérique a été présenté et mis en ligne par le Premier ministre et la secrétaire d'Etat au numérique Axelle Lemaire, samedi 26 septembre dernier comme il l'avait été annoncé.Le texte inscrit notamment dans la loi le principe de neutralité du net, qui empêcherait les opérateurs de réduire le débit accordé à certains contenus par rapport à d'autres. Le texte se propose également de rendre accessibles les données publiques librement en ligne par défaut. Enfin, il entend aussi favoriser l'accès à internet des personnes handicapées et des foyers modestes (voir à ce sujet notre article Droit au maintien de la connexion internet pour les plus ...)Concernant plus parriculièrement la neutralité du net, rappelons que les opérateurs jouent un rôle central dans l’accès à l’information et le développement du numérique. Ils contrôlent notamment l’accès à internet de chaque abonné et mettent en place les technologies nécessaires pour garantir la disponibilité, la qualité et la rapidité des flux. L’usage de ces technologies ne doit pas notamment conduire à favoriser certains services, ou à restreindre l'accès des abonnés, en bridant ou en bloquant l'accès à certains contenus, services ou applications en ligne (protocoles, sites web, etc.), en dehors de leurs obligations légales (voir pour plus de détails notre article du 11 juin 2015 Neutralité et loyauté des plateformes numérique: notre ...)Dorénavant, les pratiques des fournisseurs d’accès seront précisément encadrées : il sera notamment interdit de détériorer la qualité de diffusion d’un site au profit d’un autre, et plus largement de limiter de manière injustifiée l’accès des consommateurs à l’internet ouvert. L’ARCEP (Autorité de Régulation des Communications Electroniques et des Postes) sera l’autorité compétente pour veiller au respect du principe de neutralité de l’interet.Un opérateur ne pourrait ainsi pas décider de réduire la bande passante accordée à certains sites de partages de vidéos et augmenter cette bande passante auprès d’autres sites moyennant paiement.Ce principe est acté dans l'article 11 du projet de loi qui est pour le moment libelé comme suit:"Article 11 - Neutralité de l’internetI. L’article L. 33-1 du code des postes et des communications électroniques est modifié comme suit :1° Après le o), il est ajouté l’alinéa suivant :« p) la neutralité de l'Internet, garantie par le traitement égal et non discriminatoire du trafic par les opérateurs dans la fourniture des services d’accès à Internet ainsi que par le droit des utilisateurs finals, y compris les personnes fournissant des services de communication au public en ligne d'accéder et de contribuer à Internet, conformément au règlement du Parlement européen et du Conseil n° …. du … établissant des mesures relatives au marché unique européen des communications électroniques et visant à faire de l’Europe un continent connecté. » ;2° Au dernier alinéa, les mots : « a à o » sont remplacés par les mots : « a à p ».II. - Au 2° du I de l’article L. 32-4 du code des postes et des communications électroniques, après les mots : « les conditions techniques et tarifaires d’acheminement » sont ajoutés les mots : « et de gestion ».III. - Le 5° du II de l’article L. 36-8 du code des postes et des communications électroniques est ainsi modifié :1° Après les mots : « d’acheminement » sont insérés les mots : « , notamment de gestion, »2° Le mot « réciproques » est supprimé.IV. - Au 3° de l’article L. 36-7 du code des postes et des communications électroniques, après les mots : « à l'intérieur de l'Union » sont insérés les mots : « et du règlement n° …. du Parlement européen et du Conseil, du …, établissant des mesures relatives au marché unique européen des communications électroniques et visant à faire de l’Europe un continent connecté ».V. - L’article L. 36-11 du code des postes et des communications électroniques est ainsi modifié :1° Au premier alinéa, après les mots : « des personnes fournissant de services de communications électroniques », sont insérés les mots : « ou des personnes fournissant des services de communication au public en ligne » ;2° Au premier alinéa du I, le mot : « ou » est remplacé par le mot : «, par » et après les mots : « personnes fournissant des services de communications électroniques » sont insérés les mots «, ou par une personne fournissant de services de communication au public en ligne » ;3° Après le troisième alinéa du I est inséré un alinéa ainsi rédigé :« aux dispositions du règlement n° …. du Parlement européen et du Conseil, du … établissant des mesures relatives au marché unique européen des communications électroniques et visant à faire de l’Europe un continent connecté ; »4° Après le sixième alinéa du I, il est ajouté un alinéa ainsi rédigé :« Lorsque l'Autorité estime qu'il existe un risque caractérisé qu'un exploitant de réseau ou une personne fournissant des services de communications électroniques ne respecte pas ses obligations, résultant des dispositions et prescriptions mentionnées au I, à l'échéance prévue initialement, elle peut mettre en demeure l'exploitant ou le fournisseur de s’y conformer à cette échéance. »L'élaboration du texte est participative avec la mise en place avec "La Répubique en actes", d'une plateforme numérique ouverte pendant trois semaines.La synthèse de la consultation sera présentée à partir du 26 octobre prochain et l'examen du texte final prévu début 2016 devant le Parlement.
Le conseil d'Etat annule partiellement le fichier "Stade " du PSG
Plusieurs associations dont l'Association de défense et d'assistance juridique des intérêts des supporters, la Ligue des droits de l'homme, l'association Lutte pour un football populaire, l'Association nationale des supporters et l'association La voix de l'enfant avaient saisi le Conseil d'Etat contre un arrêté du ministre de l'intérieur, en date du 15 avril 2015, par lequel ce dernier avait autorisé le préfet de police à mettre en oeuvre un traitement de données à caractère personnel dénommé " fichier STADE ".Ces demandes d'annulation, jointes par le Conseil d'Etat, sont partiellement reçues sur le fondement de l'article 6 de la loi du 6 janvier 1978 qui prévoit qu’ « Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : (...) / 2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités (...) » ; qu'il résulte de ces dispositions que, pour être compatible avec les finalités d'un traitement, la transmission des données à caractère personnel doit être strictement limitée à celles qui permettent aux destinataires de poursuivre les finalités du traitement ».
Par ailleurs, la Haute Juridiction considère: « qu'aux termes de l'article 5 de l'arrêté attaqué : " peuvent être destinataires de tout ou partie des données et des informations mentionnées à l'article 2 : (...) / 5° Les associations et sociétés sportives, ainsi que les fédérations sportives agréées " ; qu'il est constant que tous ces destinataires n'exercent pas une mission relative aux finalités poursuivies par le " fichier STADE " et qu'au demeurant, en leur sein, tous les personnels ne sont pas chargés de les mettre en oeuvre ; que, par suite, la transmission de données ainsi prévue méconnaît les dispositions de la loi du 6 janvier 1978 citées au point précédent ».Deux dispositions de l'arrêté du 15 avril 2015 " fichier STADE " sont donc annulées :
- le point 10 de l'article 2, en ce qu'il autorise l'enregistrement, dans ce traitement, des données à caractère personnel issues du traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique ;
- le point 5° du II. de l'article 5, en ce qu'il autorise la transmission de tout ou partie des données et informations enregistrées dans le traitement intitulé " fichier STADE " aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées.Le Conseil d'Etat a en effet considéré que « les associations requérantes sont fondées à demander l'annulation, d'une part, du point 10 de l'article 2, en tant seulement qu'il autorise l'enregistrement dans le traitement dénommé " fichier STADE " des données à caractère personnel issues du traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique, d'autre part, et sans qu'il soit besoin d'examiner les moyens tirés de la méconnaissance par ces dispositions du droit d'information et d'opposition, du 5° du II de l'article 5 de l'arrêté attaqué ; que ces dispositions sont divisibles des autres dispositions de cet arrêté »..Retrouvez la décision du Conseil d'État, 10ème et 9ème sous-sections réunies, 21/09/2015, 389815, Inédit au recueil Lebon
Droit à l'oubli numérique et déréférencement: rejet par la CNIL du recours de Google
Dans un communiqué du 21 septembre 2015, la Présidente de la CNIL annonce avoir rejeté le recours gracieux formé par Google à l’encontre de la mise en demeure lui demandant de procéder au déréférencement sur toutes les extensions du moteur de recherche.Depuis la reconnaissance du droit au déréférencement par l’arrêt de la Cour de justice de l’Union européenne du 13 mai 2014, toute personne peut en effet demander à un moteur de recherche d’effacer les résultats apparaissant en cas de recherche à partir de son nom.La société Google a reçu plusieurs dizaines de milliers de demandes de citoyens français. Elle a procédé au déréférencement de certains résultats sur les extensions européennes du moteur de recherches (.fr ; .es ; .co.uk ; etc.). En revanche, elle n’a pas procédé au déréférencement sur les autres terminaisons géographiques ou sur google.com, extensions que tout internaute peut consulter alternativement.En mai 2015, la Présidente de la CNIL a donc mis en demeure la société Google de procéder au déréférencement sur tous les noms de domaine de son moteur de recherche (voir notre article du 12 juin 2015: Droit à l'oubli numérique:la CNIL met en demeure Google ...)Fin juillet, Google a formé un recours gracieux demandant à la Présidente de procéder au retrait de cette mise en demeure publique. La société Google faisait valoir notamment que cette injonction entraverait le droit à l’information du public et qu’il s’agirait d’une forme de censure.A la lumière du cadre juridique applicable, la présidente a décidé de rejeter ce recours gracieux, notamment au regard des raisons suivantes :Les extensions géographiques ne sont qu’un chemin d’accès au traitement. Dès lors que le déréférencement est accepté par le moteur de recherche, il doit s’opérer sur toutes les extensions conformément à l’arrêt de la CJUE.Si le droit au déréférencement était limité à certaines extensions, il pourrait être facilement contourné : il suffirait de changer d’extension (ex : de faire une recherche en France sur google.com), c’est-à-dire de mode d’accès au traitement, pour retrouver le résultat du déréférencement. Cela reviendrait donc à priver d’effectivité ce droit, et à faire varier les droits reconnus aux personnes en fonction de l’internaute qui interroge le moteur et non en fonction de la personne concernée.En tout état de cause, le droit au déréférencement n’entraîne jamais la suppression de l’information d’internet mais empêche uniquement l’affichage de certains résultats sur le moteur en cas de recherche effectuée sur la seule base du nom de la personne. L’information reste donc accessible directement sur le site source ou par la recherche d’autres termes. Il n’est pas possible de déréférencer un évènement, par exemple.Par ailleurs, ce droit n’est pas absolu : il doit être concilié avec le droit à l’information du public, notamment lorsque la personne concernée est une personne publique, sous le double contrôle de la CNIL et du juge.Enfin, contrairement à ce qui a pu être indiqué par la société Google, cette décision ne traduit pas une volonté d’application extraterritoriale du droit français par la CNIL. Elle se borne à demander le plein respect du droit européen par des acteurs non européens offrant leurs services en Europe.Le recours gracieux étant rejeté, la société doit dès à présent se conformer à la mise en demeure. A défaut, la Présidente de la CNIL pourra désigner un rapporteur qui pourra saisir la formation restreinte de la CNIL afin qu’elle se prononce sur ce dossier.(source CNIL: Droit au déréférencement : rejet du recours gracieux formé par Google à l’encontre de la mise en demeure)
Interdits de stade : clôture par la CNIL de la mise en demeure du PSG La Présidente de la CNIL avait adopté une mise en demeure à l’encontre du club de football du PSG le 21 mai 2015. Cette mise en demeure faisait suite aux contrôles réalisés au mois d’octobre et novembre 2014.La société PARIS SAINT-GERMAIN FOOTBALL a répondu à la décision de mise en demeure de la Présidente de la CNIL le 15 juillet 2015.Concernant les interdictions de stade, le PSG FOOTBALL indique que seules les données des personnes frappées d’une mesure d’interdiction toujours en cours sont désormais conservées dans la base. Il précise également que la levée de cette interdiction est désormais automatisée et mise en œuvre dès l’expiration de cette mesure.La Présidente de la CNIL prend acte des éléments communiqués par le PSG FOOTBALL et clôt la procédure en rappelant que :les personnes ne peuvent pas être exclues de la billetterie pour d’autres motifs que ceux expressément énumérés dans la délibération de la Commission.DELIBERATION n°2014-043 du 30 janvier 2014 | Legifranceune personne dont la mesure d’interdiction a été levée légalement ne saurait être exclue pour les mêmes motifs sur la base des conditions générales de vente.Retrouvez le courrier du 11 septembre 2015 de cloture de la mise en demeure: http://www.cnil.fr/fileadmin/documents/approfondir/deliberations/courrier/Cloture_MED_PSG_11-09-2015.pdf(source: CNIL)
Notre article sur le droit d'accès à internet publié dans le Village de la Justice !
Une très récente interview dans le magazine L'Express. du directeur général de la Fédération Française des Télécoms (FFT), pour s'opposer à l'élargissement de l'article L115-3 du code de l'action sociale et des familles afin que le service internet, devenu "service essentiel" aux yeux de la loi, ne puisse être coupé, nous a interpellé.La prochaine consultation publique du projet de loi numérique permettra de débattre largement de ce droit fondamental, reconnu comme tel par le conseil des droits de l'homme de l'ONU en 2012.C'était donc l'occasion de réfléchir au droit d'accès à internet dans un article qui vient d'être publié aujourd'hui dans le Village de la JusticeRetrouvez l'article publié dans Village de la Justice du 14 septembre 2015: http://www.village-justice.com/articles/Vers-reconnaissence-droit-maintien,20399.html
Notre article "Neutralité et loyauté des plateformes numériques" à découvrir dans Archimag de septembre 2015
Le tant attendu projet de loi porté par Axelle Lemaire qui sera dénommé «Loi pour une République numérique» sera axé autour de trois pivots: l'open data, la protection des données personnelles et l'accès pour tous au numérique.Ce texte sera dévoilé le 21 septembre prochain pour une consultation publique et sera débattu par les parlementaires début 2016 Consulter l’avant-projet de loi Lemaire, en date du 1er septembre (PDF)Le concept de neutralité et de loyauté des plateformes numériques qui a été conservé dans ce projet devrait en constituer une des mesures phares.L'occasion de se familiariser avec ce principe dans notre article publié dans le dernier numéro 287 de septembre 2015 du magazine Archimag Numéro 287 : Démat des factures : passage à l'acteNous y reviendrons tout au long des débats qui ne manqueront pas d'être fort animés sur la question.

References: l'article 42
 l'article 10
 l'article 3
 l'article 1
 l'article 38
 l'article 38
 l'article 26
 l'article 11
 l'article 6
 l'article 5
 l'article 2
 l'article 2
 l'article 5
 l'article 2
 l'article 5