Source: http://www.nxtbook.fr/newpress/celog/celog-expertises-1603_411/index.php?startid=89
Timestamp: 2019-03-25 02:15:00+00:00
Document Index: 173219519

Matched Legal Cases: ["l'article 34", "l'article 34", "l'article 46", 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ']

Obligation de sécurité : Orange
responsable de ses sous-traitants
Dans une décision du 30 décembre 2015 (voir p. 108),
le Conseil d'Etat a confirmé la délibération de la Cnil
du 7 août 2014 qui avait sanctionné Orange pour ne pas
s'être assuré des mesures de sécurité prises par ses
sous-traitants pour protéger les données personnelles
confiées. Le Conseil d'Etat rappelle qu'« il résulte de
l'article 34 de la loi du 6 janvier 1978 que la circonstance
que des opérations de traitement de données soient
confiées à des sous-traitants ne décharge pas le
responsable du traitement de la responsabilité qui lui
incombe de préserver la sécurité des données ». Et le
fait pour Orange d'avoir introduit une obligation de
sécurité dans le contrat à la charge de son prestataire
et de ses sous-traitants ne le dispensait pas de prendre
des mesures positives destinées à assurer lui-même
que la sécurité de ses données soit préservée.
Le 18 avril 2014, une intrusion illicite sur le serveur
d'un sous-traitant de Gutenberg, le prestataire
d'emailing d'Orange, avait permis une fuite de
1,3 million de données personnelles d'abonnés ou de
prospects d'Orange. Ce dernier avait notifié l'incident
à la Cnil, comme l'article 34 bis l'y oblige. A la suite
de cette notification, l'autorité de contrôle avait opéré
une mission de contrôle auprès des trois sociétés
concernées, ce qui lui avait permis d'identifier
plusieurs lacunes en termes de sécurité des données.
Il était d'abord reproché à Orange de ne pas avoir
procédé à un audit de sécurité avant d'utiliser la
solution technique de son prestataire pour l'envoi de
campagnes d'emailing alors que cette mesure lui
aurait permis d'identifier la faille de sécurité. La Cnil
avait également retenu qu'Orange avait envoyé de
manière non sécurisée à ses prestataires les mises à
jour de ses fichiers clients et n'avait pas veillé à ce que
les consignes de sécurité prévues dans le contrat avec
Gutenberg soient portées à la connaissance de son
Du fait du caractère personnel des données et du
très grand nombre de personnes concernées, le
Conseil d'Etat a estimé que la Cnil avait prononcé
à bon droit une sanction contre Orange pour avoir
méconnu ses obligations de sécurité. Sur la sanction
elle-même, le Conseil d'Etat a considéré « d'une part,
que l'avertissement prononcé par la délibération
attaquée est proportionné à la nature et à la gravité
des manquements constatés, alors même qu'il n'en
est résulté qu'une atteinte à des données identifiantes
non sensibles ; d'autre part, qu'eu égard à la nature
des violations constatées et aux moyens humains
et financiers dont disposait la société Orange pour
les prévenir, la formation restreinte a pu à bon droit
décider, en application du deuxième alinéa de
l'article 46 de la loi du 6 janvier 1978, à titre de sanction
complémentaire, que l'avertissement prononcé serait
rendu public ».
LE CONSEIL D'ETAT VALIDE L'ACCÈS
ADMINISTRATIF AUX DONNÉES DE CONNEXION
Par une décision du 12 février 2016
(voir p. 112), le Conseil d'Etat a rejeté la
demande d'annulation pour excès de
pouvoir du décret du 24 décembre 2014
relatif à l'accès administratif aux
données de connexion de Reporters
sans frontières et autres. Pour la
cour suprême, le décret attaqué
disproportionnées aux droits et
libertés garantis par la convention
européenne de sauvegarde des
fondamentales. Le Conseil commence
par affirmer que les finalités de cet
accès administratif, notamment
pour la lutte anti-terrorisme, relèvent
de l'intérêt général. Par ailleurs,
il rappelle que l'obligation qui
incombe aux fournisseurs d'accès
à internet de conserver ces données
est fondée sur des règles précises
et contraignantes. Le décret définit
avec une précision suffisante les
conditions dans lesquelles les agents
sont susceptibles de solliciter les FAI,
estime le Conseil. Il pointe également
les garanties suffisantes de nature
à permettre un contrôle effectif des
VIE PRIVÉE : LA MESSAGERIE PERSONNELLE DU SALARIÉ AU TRAVAIL PROTÉGÉ.
« Ayant constaté que les messages électroniques
litigieux provenaient de la messagerie personnelle de
la salariée distincte de la messagerie professionnelle
dont celle-ci disposait pour les besoins de son activité, la
cour d'appel en a exactement déduit que ces messages
électroniques devaient être écartés des débats en ce
que leur production en justice portait atteinte au secret
des correspondances ». Selon cet arrêt du 26 janvier 2016
de la chambre sociale de la Cour de cassation, tous les
messages de la messagerie électronique d'un salarié
consultés depuis le poste de travail professionnel de ce
dernier sont considérés comme privés, même s'ils ne sont
pas identifiés comme personnels. Ils ne sont donc pas
présumés professionnels.
Dans un arrêt du 19 juin 2013, la Cour avait pourtant
considéré que les emails envoyés depuis l'ordinateur
personnel d'un salarié, avec son adresse personnelle,
puis transférés sur son ordinateur professionnel, sans
qu'ils soient identifiés comme « personnels » étaient
présumés professionnels. Bien que les faits se rapportant
à l'arrêt du 26 janvier 2016 ne soient pas très précis, on peut
déduire que la différence entre les deux affaires réside
dans le transfert ou non des messages dans les fichiers
de l'ordinateur professionnel. Or, dans le dernier arrêt,
il semble que les documents n'aient pas été enregistrés
sur le poste de travail de la salariée en cause. Dans le
cas contraire, il n'aurait probablement pas été possible
de distinguer les messages professionnels des messages
personnels. On ne peut qu'attendre un autre arrêt de la
Cour de cassation pour dissiper tous nos doutes.