Actualités

07/10/2022

Google condamné par le Tribunal Judiciaire de Chambéry à supprimer la fiche « Google My Business » d’une dentiste qui invoquait un traitement non autorisé de ses données personnelles.  

La fiche comportait son nom, son adresse, une note et des avis d’internautes.

Les arguments des sociétés Google France, Google Llc et Google Ireland ltd quant à leur prétendu ‘intérêt légitime’ au traitement du fait du droit du public à l’information ont été rejetés.  

Le Tribunal judiciaire de Chambéry, dans sa décision du 15 septembre 2022, rappelle que l’intérêt légitime pouvant servir de base légale à un traitement de données personnelles doit être déterminé de manière claire et précise. Or, le Tribunal juge ici que le traitement a une finalité commerciale cachée : « si la diffusion de la seule fiche du professionnel poursuit en effet un caractère informatif, la diffusion combinée de la fiche et des avis constitue le moyen pour les sociétés Google d’inciter fortement les professionnels à recourir à ses services, qu’ils soient gratuits ou payants. C’est dès lors de mauvaise foi que les défenderesses prétendent que le traitement réalisé dans le cadre de la publication de la fiche entreprise est décorrélé des actes de prospection commerciale auxquels elles se livrent ».  

En outre, pour que le droit à l’information soit légitimement invoqué, il faut que l’information soit fiable, ce qui n’est pas le cas s’agissant d’avis anonymes non-vérifiés.

Le Tribunal retient que Google France est également responsable, au côté des sociétés irlandaises et américaine du groupe, dès lors qu’il est démontré qu’elle a en France une activité de promotion des ventes d’espaces publicitaires sur la base de l’annuaire des fiches de professionnels référencés dans Google My Business.

06/10/2022

La régulation de l'IA est un sujet qui agite les institutions françaises et européennes.

Après le Conseil d’Etat qui vient de publier une étude sur les apports potentiels de l’intelligence artificielle pour l’action publique et la Cour de cassation associée à l’INRIA qui propose d’utiliser l’IA pour éviter les divergences de jurisprudence entre les juridictions, la Commission européenne s’attèle au chantier de l’harmonisation des règles nationales en matière de responsabilité délictuelle et de responsabilité des produits défectueux.

La première proposition de directive vise à établir des règles uniformes pour l'accès à l'information et l'allègement de la charge de la preuve en ce qui concerne les dommages causés par des systèmes d'IA et d'instaurer une protection plus large pour les victimes (qu'il s'agisse de particuliers ou d'entreprises).

L’objectif est également d’étendre à l’IA certaines règles pour les actions en réparation ne relevant pas du champ d'application de la directive sur la responsabilité du fait des produits, dans les cas où des dommages sont causés par un comportement fautif (ex : atteinte à la vie privée ou discrimination du fait d’une IA).

Enfin, elle simplifiera le processus juridique pour les victimes en instaurant une présomption de causalité lorsque la faute d’une IA semble raisonnablement probable et en leur octroyant un droit d’accès aux éléments de preuve auprès des entreprises.

27/09/2022

Rupture brutale d'une relation commerciale établie : ça ne marche pas à tous les coups rappelle la Cour de cassation ! Une société informe un éditeur de logiciels de la résiliation de deux contrats conclus ensemble, l’un ayant pour objet une licence, le support et la maintenance sur modules existants et standards de l'éditeur, l’autre des prestations de services d’installation et de paramétrage.

Dans son arrêt du 7 septembre 2022, la Cour de cassation reproche à la Cour d’appel de Paris d’avoir condamné la société cliente pour rupture brutale des relations commerciales établies au sens de l’ancien article L.442-6, I, 5° du code de commerce (aujourd'hui L442-1-II).

L’arrêt déduisait de l’ampleur du projet d’implanter 600 licences sur 42 sites du groupe pour une application développée à partir du logiciel de l'éditeur et projetée sur 3 voire 5 années de collaboration, l’existence d’une relation suivie, stable et dont l'éditeur pouvait espérer, en raison de la complexité et de l’étendue du déploiement de son application, la prolongation des contrats au-delà.

La Cour de cassation rappelle que "l'existence d'une relation commerciale établie suppos[e] caractérisée une relation d'affaires régulière, stable et significative, à la date de la rupture, et ne p[eut] se déduire de la durée projetée du contrat résilié ni de la perspective de poursuite des relations entre les parties à l'issue de cette durée".

20/09/2022

Deux fournisseurs de services de télécommunications contestaient la règlementation allemande leur imposant la conservation des données relatives au trafic et des données de localisation afférentes aux télécommunications de leurs clients. A l’occasion d’un renvoi préjudiciel, la Cour administrative fédérale allemande interrogeait la compatibilité d’une telle législation avec la Directive 2002/58/CE du 12 juillet 2002 sur la protection de la vie privée dans le secteur des communications électroniques. La Cour de justice, par un arrêt du 20 septembre 2022, retient que le droit de l’Union s’oppose à toute législation nationale prévoyant, à titre préventif, aux fins de la lutte contre la criminalité grave et de la prévention des menaces graves contre la sécurité publique, une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation.

La Cour de Luxembourg précise son interprétation. Le droit de l’Union ne s’oppose pas à une législation nationale qui prévoit, aux fins de sauvegarde de la sécurité nationale ou de lutte contre la criminalité grave :

● Le recours à une injonction de procéder à une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation, si l’État fait face à une menace grave, réelle et actuelle ou prévisible pour la sécurité nationale et que l’injonction est susceptible de contrôle, pour une période temporellement limitée, mais renouvelable.
● La conservation ciblée des données relatives au trafic et des données de localisation, délimitée sur la base d’éléments objectifs et non discriminatoires, en fonction de catégories de personnes concernées ou au moyen d’un critère géographique, pour une période temporellement limitée au strict nécessaire, mais renouvelable.
● La conservation généralisée et indifférenciée des adresses IP attribuées à la source d’une connexion, pour une période temporellement limitée au strict nécessaire.
● La conservation généralisée et indifférenciée des données relatives à l’identité civile des utilisateurs de moyens de communications électroniques.
● Le recours à une injonction susceptible de contrôle, de procéder, pour une durée déterminée, à la conservation rapide des données relatives au trafic et des données de localisation dont disposent les fournisseurs de services.

20/09/2022

Deux enseignements d’un arrêt de la Cour d’appel de Grenoble du 1er sept. 2022 (n°21/01300) statuant sur un projet de création d’un site internet pour une entreprise du bâtiment :

● Prestataire ou client, ne négligez pas la formalisation contractuelle de votre mécanisme de recette pour tout projet informatique avec, a minima, une VABF et une VSR !

● Et en cours de projet, il faudra toujours s’assurer que factuellement, des opérations de vérification sont menées par le client avant signature du procès verbal de recette…

En effet, par un raisonnement fondé sur une approche très factuelle de la situation, et moins sur le caractère contraignant d’un « procès verbal de conformité » pourtant signé par les parties, la Cour retient que : « Un tel document signé lors de la livraison du site ne saurait valablement décharger le prestataire de ses obligations contractuelles, notamment de délivrance, alors que la mise en place d'un site internet ne peut être considérée comme pleinement exécutée sans un temps de prise en main par le client et de mise au point, compte tenu de la complexité du produit ».

Finalement, la Cour déboute quand même l’entreprise du bâtiment pour n’avoir pas démontré un défaut de conformité du site internet.

14/09/2022

Nouvelle sanction de la CNIL. Le 8 septembre 2022, GIE INFOGREFFE est condamné à une amende de 250 000 euros. Deux manquements au RGPD lui sont reprochés.
● La conservation des données. Bien que sa Charte de confidentialité prévoie la conservation des données personnelles durant 36 mois à compter de la dernière commande, 25% des comptes ont été conservés au-delà sans être anonymisés et aucune procédure de suppression automatique n’a été mise en place.
● La sécurité des données. La CNIL, en référence aux recommandations de l’ANSSI, relève la robustesse insuffisante des mots de passe face à des attaques par « force brute » (8 caractères sans critère de complexité ni mesure de sécurité complémentaire), ainsi que leur conservation et transmission en clair par courriel, présentant un risque de captation par des tiers de données immédiatement utilisables. La CNIL reproche aussi l’absence de notification à l’utilisateur de la modification de son mot de passe, et donc d’une éventuelle tentative d’usurpation de son compte.

09/09/2022

Rapport de la Direction Générale du Trésor sur l'assurance des cyber-risques.  Tous les baromètres désignent une augmentation des cyberattaques. 54% des entreprises françaises ont été attaquées en 2021. Une entreprise qui subit une cyberattaque double son risque de défaillance.

● Le marché de l’assurance du risque cyber demeure limité en France (3,1% des cotisations de l’assurance des dommages aux biens des professionnels en 2021) mais en forte augmentation en 2021 (+52%) avec un durcissement marqué des conditions d’assurance pour les grandes entreprises.

Le rapport constate :

● des incertitudes juridiques fortes sur : l’assurabilité du paiement des cyber-rançons ; l’assurabilité des sanctions administratives (sanctions CNIL par exemple) ; l’applicabilité de l’exclusion légale pour cause de guerre aux cyberguerres ;
● une rédaction déficiente des polices d’assurances avec une insécurité sur les garanties souscrites et les exclusions applicables.

05/09/2022

Le décret n°2022-1212 du 2 septembre 2022 fixe au lundi 5 septembre 2022 l'entrée en vigueur de la loi du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet.

● La loi a introduit un article L.34-9-3 dans le code des postes et des communications électroniques qui impose la mise en place dans les équipements terminaux d’un dispositif permettant de restreindre ou contrôler l’accès aux mineurs à des contenus « susceptibles de nuire à l’épanouissement physique, mental ou moral ».

Les fabricants et distributeurs doivent s’assurer que le dispositif certifié par leurs soins est proposé dès la première mise en service, intégré par les systèmes d’exploitation et que son utilisation n’impose aucun surcoût pour les utilisateurs.

● Les données à caractère personnel des mineurs collectées à l’occasion de l’utilisation de ce dispositif ne peuvent être utilisées à des fins commerciales (marketing direct, profilage et publicité ciblée).

L’obligation ne s’applique pas aux équipements mis sur le marché sans système d’exploitation.

02/09/2022

Pendant l’été 2022, la CNIL a prononcé des sanctions pécuniaires à l’encontre de deux entreprises.

Le 7 juillet : 175 000 euros à l’encontre de Ubeeqo pour :
● Absence de minimisation des données
● Durée de conservation excessive des données
● Manquement à l’obligation d’information des personnes

Le 3 août : 600 000 euros à l’encontre d’Accor pour :
● Défaut de consentement à la prospection commerciale
● Manquement à l’obligation d’information des personnes
● Non respect du droit d’accès et d’opposition
● Défaut de sécurité des données

L’occasion pour NEXT de vous proposer son tableau de bord à jour des sanctions CNIL.