Source: http://cyberisques.com/en/mots-cles-2
Timestamp: 2017-05-24 17:52:14+00:00
Document Index: 185814224

Matched Legal Cases: ['arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ']

Cyberisques News - COMEX
Droit EUR / Jurisprudence : conservation des données relatives au trafic et des données de localisation des abonnés
Published on Tuesday, 27 December 2016 09:35	Written by Super Utilisateur	Hits: 769	Jurisprudence de la Cour de justice
Le 29 avril 2014, le justitieminister (ministre de la Justice, Suède) a désigné un rapporteur spécial chargé d’analyser la réglementation suédoise en cause au regard de l’arrêt Digital Rights. Dans un rapport du 13 juin 2014, intitulé « Datalagring, EU‑rätten och svensk rätt, n° Ds 2014:23 » (Conservation de données, droit de l’Union et droit suédois, ci-après le « rapport de 2014 »), le rapporteur spécial a conclu que la réglementation nationale relative à la conservation des données, telle que prévue aux articles 16 a à 16 f de la LEK, n’était contraire ni au droit de l’Union ni à la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la « CEDH »). Le rapporteur spécial a souligné que l’arrêt Digital Rights ne pouvait être interprété en ce sens qu’il aurait censuré le principe même d’une conservation généralisée et indifférenciée des données. De son point de vue, l’arrêt Digital Rights ne devait pas non plus être compris en ce sens que la Cour y aurait établi une série de critères devant tous être satisfaits pour qu’une réglementation puisse être considérée comme proportionnée. Il conviendrait d’apprécier toutes les circonstances afin de déterminer la conformité de la réglementation suédoise au droit de l’Union, telle que l’ampleur de la conservation des données au regard des dispositions sur l’accès aux données, sur la durée de leur conservation, sur leur protection ainsi que sur leur sécurité.
L’article 1er, paragraphe 3, de cette directive exclut du champ d’application de celle-ci les « activités de l’État » dans les domaines qui y sont visés, à savoir, notamment, les activités de l’État dans le domaine pénal et celles concernant la sécurité publique, la défense, la sûreté de l’État, y compris la prospérité économique de l’État lorsqu’il s’agit d’activités liées à la sûreté de l’État (voir, par analogie, en ce qui concerne l’article 3, paragraphe 2, premier tiret, de la directive 95/46, arrêts du 6 novembre 2003, Lindqvist, C‑101/01, EU:C:2003:596, point 43, ainsi que du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C‑73/07, EU:C:2008:727, point 41).
Certes, les mesures législatives visées à l’article 15, paragraphe 1, de la directive 2002/58 se rapportent à des activités propres aux États ou aux autorités étatiques, étrangères aux domaines d’activité des particuliers (voir, en ce sens, arrêt du 29 janvier 2008, Promusicae, C‑275/06, EU:C:2008:54, point 51). En outre, les finalités auxquelles, en vertu de cette disposition, de telles mesures doivent répondre, en l’occurrence la sauvegarde de la sécurité nationale, de la défense et de la sécurité publique ainsi que la mise en œuvre de la prévention, de la recherche, de la détection et de la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques, recoupent substantiellement les finalités poursuivies par les activités visées à l’article 1er, paragraphe 3, de cette directive.
Il résulte de ce qui précède qu’une réglementation nationale, telle que celle en cause au principal dans les affaires C-203/15 et C-698/15, relève du champ d’application de la directive 2002/58.
Le principe de confidentialité des communications instauré par la directive 2002/58 implique, entre autres, ainsi qu’il ressort de l’article 5, paragraphe 1, deuxième phrase, de celle-ci, une interdiction faite, en principe, à toute autre personne que les utilisateurs de stocker, sans le consentement de ceux-ci, les données relatives au trafic afférentes aux communications électroniques. Font seuls l’objet d’exceptions les personnes légalement autorisées conformément à l’article 15, paragraphe 1, de cette directive et le stockage technique nécessaire à l’acheminement d’une communication (voir, en ce sens, arrêt du 29 janvier 2008, Promusicae, C‑275/06, EU:C:2008:54, point 47).
Ainsi, et comme le confirment les considérants 22 et 26 de la directive 2002/58, le traitement et le stockage des données relatives au trafic ne sont autorisés, en vertu de l’article 6 de cette directive, que dans la mesure et pour la durée nécessaires à la facturation des services, à la commercialisation de ceux-ci et à la fourniture de services à valeur ajoutée (voir, en ce sens, arrêt du 29 janvier 2008, Promusicae, C‑275/06, EU:C:2008:54, points 47 et 48). S’agissant, en particulier, de la facturation des services, un tel traitement n’est autorisé que jusqu’à la fin de la période au cours de laquelle la facture peut être légalement contestée ou des poursuites engagées pour en obtenir le paiement. Une fois cette durée expirée, les données ayant été traitées et stockées doivent être effacées ou rendues anonymes. S’agissant des données de localisation autres que les données relatives au trafic, l’article 9, paragraphe 1, de ladite directive prévoit que ces données ne peuvent être traitées que sous certaines conditions et après avoir été rendues anonymes ou moyennant le consentement des utilisateurs ou des abonnés.
Certes, l’article 15, paragraphe 1, de la directive 2002/58 permet aux États membres d’introduire des exceptions à l’obligation de principe, énoncée à l’article 5, paragraphe 1, de cette directive, de garantir la confidentialité des données à caractère personnel ainsi qu’aux obligations correspondantes, mentionnées notamment aux articles 6 et 9 de ladite directive (voir, en ce sens, arrêt du 29 janvier 2008, Promusicae, C‑275/06, EU:C:2008:54, point 50).
Néanmoins, en ce que l’article 15, paragraphe 1, de la directive 2002/58 permet aux États membres de limiter la portée de l’obligation de principe d’assurer la confidentialité des communications et des données relatives au trafic y afférentes, il est, conformément à la jurisprudence constante de la Cour, d’interprétation stricte (voir, par analogie, arrêt du 22 novembre 2012, Probst, C‑119/12, EU:C:2012:748, point 23). Une telle disposition ne saurait donc justifier que la dérogation à cette obligation de principe et, en particulier, à l’interdiction de stocker ces données, prévue à l’article 5 de cette directive, devienne la règle, sauf à vider largement cette dernière disposition de sa portée.
Il convient, à cet égard, de relever que l’article 15, paragraphe 1, première phrase, de la directive 2002/58 prévoit que les mesures législatives qu’il vise et qui dérogent au principe de confidentialité des communications et des données relatives au trafic y afférentes doivent avoir pour objectif de « sauvegarder la sécurité nationale – c’est-à-dire la sûreté de l’État – la défense et la sécurité publique, ou [d’]assurer la prévention, la recherche, la détection et la poursuite d’infractions pénales ou d’utilisations non autorisées du système de communications électroniques », ou doivent poursuivre un des autres objectifs visés à l’article 13, paragraphe 1, de la directive 95/46, auquel renvoie l’article 15, paragraphe 1, première phrase, de la directive 2002/58 (voir, en ce sens, arrêt du 29 janvier 2008, Promusicae, C‑275/06, EU:C:2008:54, point 53). Une telle énumération d’objectifs revêt un caractère exhaustif ainsi qu’il ressort de l’article 15, paragraphe 1, deuxième phrase, de cette dernière directive, aux termes duquel les mesures législatives doivent être justifiées par « un des motifs énoncés » à l’article 15, paragraphe 1, première phrase, de ladite directive. Partant, les États membres ne sauraient adopter de telles mesures à d’autres fins que celles énumérées à cette dernière disposition.
En outre, l’article 15, paragraphe 1, troisième phrase, de la directive 2002/58 dispose que « [t]outes les mesures visées [à l’article 15, paragraphe 1, de cette directive] sont prises dans le respect des principes généraux du droit [de l’Union], y compris ceux visés à l’article 6, paragraphes 1 et 2, [UE] », parmi lesquels figurent les principes généraux et les droits fondamentaux qui sont désormais garantis par la Charte. L’article 15, paragraphe 1, de la directive 2002/58 doit ainsi être interprété à la lumière des droits fondamentaux garantis par la Charte (voir, par analogie, en ce qui concerne la directive 95/46, arrêts du 20 mai 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 et C‑139/01, EU:C:2003:294, point 68 ; du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 68, ainsi que du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 38).
Ainsi, l’importance tant du droit au respect de la vie privée, garanti à l’article 7 de la Charte, que du droit à la protection des données à caractère personnel, garanti à l’article 8 de celle‑ci, telle qu’elle ressort de la jurisprudence de la Cour (voir, en ce sens, arrêt du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 39 et jurisprudence citée), doit être prise en compte lors de l’interprétation de l’article 15, paragraphe 1, de la directive 2002/58. Il en va de même du droit à la liberté d’expression eu égard à l’importance particulière que revêt cette liberté dans toute société démocratique. Ce droit fondamental, garanti à l’article 11 de la Charte, constitue l’un des fondements essentiels d’une société démocratique et pluraliste, faisant partie des valeurs sur lesquelles est, conformément à l’article 2 TUE, fondée l’Union (voir, en ce sens, arrêts du 12 juin 2003, Schmidberger, C‑112/00, EU:C:2003:333, point 79, et du 6 septembre 2011, Patriciello, C‑163/10, EU:C:2011:543, point 31).
À cet égard, il convient de rappeler que, conformément à l’article 52, paragraphe 1, de la Charte, toute limitation de l’exercice des droits et des libertés reconnus par celle-ci doit être prévue par la loi et respecter leur contenu essentiel. Dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées à l’exercice de ces droits et de ces libertés que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui (arrêt du 15 février 2016, N., C‑601/15 PPU, EU:C:2016:84, point 50).
Le respect du principe de proportionnalité découle également de la jurisprudence constante de la Cour selon laquelle la protection du droit fondamental au respect de la vie privée au niveau de l’Union exige que les dérogations à la protection des données à caractère personnel et les limitations de celle-ci s’opèrent dans les limites du strict nécessaire (arrêts du 16 décembre 2008, Satakunnan Markkinapörssi et Satamedia, C‑73/07, EU:C:2008:727, point 56 ; du 9 novembre 2010, Volker und Markus Schecke et Eifert, C‑92/09 et C‑93/09, EU:C:2010:662, point 77 ; Digital Rights, point 52, ainsi que du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 92).
De même, il importe que les autorités nationales compétentes auxquelles l’accès aux données conservées a été accordé, en informent les personnes concernées, dans le cadre des procédures nationales applicables, dès le moment où cette communication n’est pas susceptible de compromettre les enquêtes menées par ces autorités. En effet, cette information est, de fait, nécessaire pour permettre à celles-ci d’exercer, notamment, le droit de recours, explicitement prévu à l’article 15, paragraphe 2, de la directive 2002/58, lu en combinaison avec l’article 22 de la directive 95/46, en cas de violation de leurs droits (voir, par analogie, arrêts du 7 mai 2009, Rijkeboer, C‑553/07, EU:C:2009:293, point 52, ainsi que du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 95).
En tout état de cause, les États membres doivent garantir le contrôle, par une autorité indépendante, du respect du niveau de protection garanti par le droit de l’Union en matière de protection des personnes physiques à l’égard du traitement des données à caractère personnel, un tel contrôle étant explicitement exigé à l’article 8, paragraphe 3, de la Charte et constituant, conformément à la jurisprudence constante de la Cour, un élément essentiel du respect de la protection des personnes à l’égard du traitement des données à caractère personnel. S’il en était autrement, les personnes dont les données à caractère personnel ont été conservées seraient privées du droit, garanti à l’article 8, paragraphes 1 et 3, de la Charte, de saisir les autorités nationales de contrôle d’une demande aux fins de la protection de leurs données (voir, en ce sens, arrêts Digital Rights, point 68, ainsi que du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, points 41 et 58).
À titre liminaire, il convient de rappeler que, si, comme le confirme l’article 6, paragraphe 3, TUE, les droits fondamentaux reconnus par la CEDH font partie du droit de l’Union en tant que principes généraux, ladite convention ne constitue pas, tant que l’Union n’y a pas adhéré, un instrument juridique formellement intégré à l’ordre juridique de l’Union (voir, en ce sens, arrêt du 15 février 2016, N., C‑601/15 PPU, EU:C:2016:84, point 45 et jurisprudence citée).
Ainsi, l’interprétation de la directive 2002/58, en cause en l’occurrence, doit être opérée au regard uniquement des droits fondamentaux garantis par la Charte (voir, en ce sens, arrêt du 15 février 2016, N., C‑601/15 PPU, EU:C:2016:84, point 46 et jurisprudence citée).
En outre, il convient de rappeler que les explications afférentes à l’article 52 de la Charte indiquent que l’article 52, paragraphe 3, de celle-ci vise à assurer la cohérence nécessaire entre la Charte et la CEDH, « sans que cela porte atteinte à l’autonomie du droit de l’Union et de la Cour de justice de l’Union européenne » (arrêt du 15 février 2016, N., C‑601/15 PPU, EU:C:2016:84, point 47). En particulier, ainsi que le prévoit expressément l’article 52, paragraphe 3, seconde phrase, de la Charte, l’article 52, paragraphe 3, première phrase, de celle-ci ne fait pas obstacle à ce que le droit de l’Union accorde une protection plus étendue que la CEDH. À cela s’ajoute enfin le fait que l’article 8 de la Charte concerne un droit fondamental distinct de celui consacré à l’article 7 de celle-ci et qui n’a pas d’équivalent dans la CEDH.
Or, selon une jurisprudence constante de la Cour, la justification d’une demande de décision préjudicielle est non pas la formulation d’opinions consultatives sur des questions générales ou hypothétiques, mais le besoin inhérent à la solution effective d’un litige portant sur le droit de l’Union (voir, en ce sens, arrêts du 24 avril 2012, Kamberaj, C‑571/10, EU:C:2012:233, point 41 ; du 26 février 2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, point 42, ainsi que du 27 février 2014, Pohotovosť, C‑470/12, EU:C:2014:101, point 29).
réservé à nos abonné(e)s This email address is being protected from spambots. You need JavaScript enabled to view it.
#Cyberisques Sarenza, Kerviel accusés coupables plaignants aussi ! | Print |	Email	Details
Published on Thursday, 20 March 2014 12:05	Written by Jean Philippe Bichard	Hits: 2467	Sarenza, Kerviel accusés coupables plaignants...aussi ! On se souvient du cas, Sarenza (1). Cette entreprise de E-Commerce cyber-attaquée par un collaborateur a obtenu la condamnation du responsable de la cyber-attaque par le TGI de Paris à une hauteur de 100 000 euros mais le même tribunal a pris une autre décision. Le tribunal a estimé que la société était responsable de son propre préjudice à hauteur de 30% en raison de son « manque de rigueur » dans la gestion des identifiants. Pour rappel, ce site de e-commerce gère un fichier de 4,7 millions d'adresses électroniques de clients et prospects. Bref, le TGI a estimé qu'il manquait à Sarenza un bon niveau de sécurité et de contrôle. L'affaire Kerviel qui vient d'être définitivement jugée le 19 mars 2014 semble également démontrée que les juges tiennent de plus en plus compte de la qualité et du niveau des cyber-protections et de leurs fonctionnement via le respect des procédures internes dans ce type d'affaire. Les 50 milliards d’euros de positions prises par Jérôme Kerviel entre le 3 et 18 janvier ne peuvent pas être passées inaperçues. Comment identifier les défaillance de la banque ? "il est vrai qu'au niveau du système Eliot il n'existe aucun contrôle qui serait de nature à alerter sur une saisie incohérente dans la mesure où les champs obligatoires sont renseignés"; c'est ce que l'on peut lire dans l'arrêt de la Cour deCassation daté du 19 mars 2014 (cf BONUS en fin d'article), On y trouve aussi " l'ensemble de sa hiérarchie et des services de contrôle savaient mais l'avaient laissé faire à raison notamment de leur inertie face aux différents indicateurs d'alertes internes ou extérieures".
Au delà des "affaires" Sarenza et SG, le comportement des utilisateurs des ressources IT au sein des organisations est posé de plus en plus souvent dans des termes de co-responsabilité. Certes il existe toujours des cas "sans bavures" de vols d'informations sensibles comme pour Microsoft et la version Windows 8 "volée et divulguée" par un collaborateur mécontent (cf BONUS) mais désormais ce sont les niveaux de cyber-sécurité des ressources disponibles auprès des utilisateurs qui intéressent les tribunaux. Dans l'affaire Société Générale on évoque la responsabilité pénale de Jérôme Kerviel dans les délits qui lui étaient reprochés mais aussi les défaillances et des négligences constatées dans les contrôles effectués par la Société Générale, qui ont permis la fraude. En clair, si vous laissez votre smartphone
Jurisprudence: Sarenza cité par Gras Savoye Willis Spécialités
Published on Thursday, 21 November 2013 23:47	Written by Super Utilisateur	Hits: 3310	Laure Zicry, Responsable Technique Institutions Financières et Cyber Risks Gras Savoye Willis Spécialités
En tant qu'experte sur le marché des Cyber Rsques, ou situez vous la préoccupation principale des entreprises dans ce domaine ?
Le sujet principal que j'aborde avec les grandes entreprises est double : les atteintes aux données et les atteintes aux systèmes d’informations. Il existe en effet des solutions d’assurance s’agissant des frais de notification. Ces dernières permettent un dédommagement suite aux frais engagés pour notifier à chaque personne concernée et pour certain contrat, la prise en charge des amendes financière lorsqu’elles sont assurables et qui peuvent être très élevées.