Données Personnelles Archives

Fragrance et Propriété Intellectuelle : quelle protection ?

Written by Dreyfus27/07/2021

La fragrance constitue aujourd’hui un intérêt économique plus qu’important que ce soit en matière d’art, ou en matière de luxe et de marketing.

Face à de tels intérêts, comment la propriété intellectuelle tente-t-elle de la protéger ?

L’œuvre olfactive : œuvre de l’esprit ?

Le Code de Propriété Intellectuelle vise, de manière non exhaustive, les formes traditionnelles d’expression artistique (la création littéraire, graphique, musicale…) dès lors que celles-ci remplissent les conditions d’originalité et de forme tangible posées par la loi française.

Au-delà de ces formes traditionnelles , la jurisprudence a étudié un certain nombre de créations pour déterminer si l’on pouvait leur attribuer la qualité « d’œuvres de l’esprit », comme les recettes. Parmi elles, la création olfactive a fait l’objet de nombreux débats. Dans un monde où la matérialité est extrêmement présente, la création olfactive tente, non sans mal, de se forger une place de choix au Panthéon des œuvres d’art.

Pour les parfumeurs et autres afficionados, « le parfum est un art ». Cependant, la Cour de cassation ne partage pas le même avis et reste réticente à l’idée d’ériger la fragrance au rang d’œuvre de l’esprit et, par ricochet, d’accorder au parfumeur le statut d’auteur.

Certes le parfum s’estompe, mais cela ne devrait pas l’exclure systématiquement de la sphère du droit d’auteur. En effet, la fragrance est par nature fluctuante, périssable. Pourtant, la propriété intellectuelle ne soustrait pas, par principe, les œuvres éphémères de la protection de droit d’auteur.

La Cour de Cassation considère que « la fragrance d’un parfum qui procède de la simple mise en œuvre d’un savoir-faire, ne constitue pas au sens des articles L.112-1 et L112-2 du Code de Propriété intellectuelle, la création d’une forme d’expression pouvant bénéficier de la protection des œuvres de l’esprit par le droit d’auteur ».

En d’autres mots, la Cour assimile le processus de création d’un parfum à la « simple mise en œuvre d’un savoir-faire », non protégeable par le droit d’auteur français et rejette l’identification d’une forme de création par le biais de l’odorat.

En prenant cette position, la Cour régulatrice se heurte à la résistance des juges du fond et de la doctrine (TGI Bobigny, 28 nov. 2006 ; CA Paris, 14 fevr. 2007 ; CA Aix-en-Provence, 10 dec. 2010).

Plusieurs jugements ont à l’inverse défini la fragrance d’un parfum comme une création de forme olfactive dont l’originalité ne peut être déniée. Les juges ont d’ailleurs considéré que l’originalité de celle-ci s’appréciait selon la nouveauté de l’odeur, la spécificité de l’association de senteurs. Face à cet engouement, la Cour de Cassation a revu sa position en la matière mais sans pour autant ouvrir la porte à la protection de la création olfactive : « le droit d’auteur ne protège les créations dans leur forme sensible, qu’autant que celle-ci est identifiable avec une précision suffisante pour permettre sa communication » (Cass. Com., 10 déc. 2013, n° 11-19872).

La protection des fragrances par le droit d’auteur reste donc un débat controversé. Seul un revirement de jurisprudence pourrait trancher la question en faveur des parfumeurs ; une position d’autant plus attendue au vu de la difficulté à maintenir le secret de fabrication.

Aujourd’hui, ce n’est que sur le terrain du parasitisme et de la concurrence déloyale que le parfumeur pourra s’appuyer en cas de reproduction de la fragrance, comme en témoigne l’arrêt Lancôme. Cependant, cette voie reste moins avantageuse que celle de l’action en contrefaçon étant noté qu’il reviendra au demandeur de démontrer l’existence d’une faute.

La fragrance : une protection par le droit des marques ?

Dans le volet de la propriété industrielle, la fragrance peut être appréhendée et protégée par le droit des marques.

En effet, une odeur spécifique peut être déposée en tant que marque auprès de l’INPI, précisément en tant que marque olfactive. Les souvenirs olfactifs étant les plus longs, selon la plupart des scientifiques, les entreprises sont de plus en plus nombreuses à vouloir éveiller ce sens chez le consommateur en associant une odeur agréable à leurs produits.

Longtemps, le dépôt d’une marque olfactive posa problème en ce qu’elle ne pouvait être graphiquement représentée. Depuis le 23 mars 2016, le « Paquet Marque » a eu pour effet de supprimer cette exigence au bénéfice de la marque olfactive.

Désormais est donc protégée la marque « représentée sous n’importe quelle forme appropriée au moyen de la technologie communément disponible ». Pour autant, en pratique, les dépôts de marques olfactives restent rares car complexes.

Même si l’obligation de représentation graphique a été retirée, il reste toujours difficile de représenter l’essence même d’une odeur – une simple formule chimique ne pouvant caractériser un parfum. En outre, la marque devra être suffisamment distinctive pour permettre au consommateur d’identifier l’origine commerciale des produits et services visés par l’odeur déposée, distinctivité encore difficile à démontrer.

En parallèle, du droit des marques, le droit des brevets peut également permettre de protéger une odeur, sous réserve que celle-ci soit nouvelle, d’application industrielle et qu’elle apporte une solution à un problème concret ; conditions qui ne sont pas plus faciles à rapporter.

De manière générale, la protection de la fragrance fait l’objet de nombreux débats et de nombreuses difficultés. Elle n’est cependant pas impossible et certains acteurs du droit ne cessent de revendiquer cette protection.

L’importance du souvenir cognitif olfactif, ou encore la complexité et l’originalité du processus de création, tels sont les maîtres mots défendeurs de la fragrance faisant l’objet d’une grande attention juridique.

A CONSULTER SUR LE MÊME SUJET…

♦ Comment protéger l’aménagement de magasins – Visual Merchandising par le droit de la Propriété Industrielle ?

Written by Dreyfus04/05/2021

Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/EC (Règlement général sur la protection des données) affecte la manière dont vous pouvez, en tant que propriétaire de site web, utiliser les cookies et le suivi en ligne des visiteurs de l’Union européenne.

Mercredi 31 mars 2021 était la toute dernière limite fixée par la Commission nationale de l’informatique et des libertés (Cnil), pour que les publicitaires français se mettent en conformité avec les règles européennes relatives aux cookies.

À partir du jeudi 1er avril 2021, le bandeau présent sur les sites Web devra beaucoup plus explicitement permettre aux internautes de « refuser » ces traceurs informatiques.

Il s’agit d’une des mesures votées en 2016 par l’Union européenne dans le Règlement général sur la protection des données (RGPD) et entrée en vigueur en mai 2018 dans l’ensemble des 28 (désormais 27) pays membres.

Lorsqu’ils naviguent sur le web ou utilisent des applications mobiles, les internautes sont de plus en plus suivis par différents acteurs (éditeurs de service, régies publicitaires, réseaux sociaux, etc.) qui analysent leur navigation, leurs déplacements et leurs habitudes de consultation ou de consommation, afin notamment de leur proposer des publicités ciblées ou des services personnalisés.

Ce traçage est réalisé par l’intermédiaire de différents outils techniques, les « traceurs », dont font partie les cookies.

Les cookies sont ces petits morceaux de texte insérés dans votre navigateur pendant que vous naviguez sur le web.

Les cookies sont de différents types et ont de multiples usages : ils peuvent servir à mémoriser votre identifiant client auprès d’un site marchand, le contenu courant de votre panier d’achat, la langue d’affichage de la page web, un identifiant permettant de tracer votre navigation à des fins statistiques ou publicitaires, etc.

Ils représentent une source d’inquiétude pour de nombreux utilisateurs, tandis que d’autres ne sont même pas au courant de leur existence en-dehors des fenêtres pop-up obligatoires sur tous les sites web qui vous demandent de bien vouloir « Accepter les cookies ».

Si vous êtes propriétaire d’un site web, il est important que vous vous assuriez que la gestion des cookies et du consentement sur votre site soit conforme aux exigences très strictes du RGPD.

En France, la Commission nationale de l’informatique et des libertés (CNIL) effectue de nombreux contrôles et délivre des sanctions pour non-respect du RGPD et de la législation française.

Votre site web est tenu, en vertu du règlement général sur la protection des données (RGPD) de l’UE, de permettre aux utilisateurs européens de contrôler l’activation des cookies et des traceurs qui collectent leurs données personnelles.

Il s’agit du point essentiel du consentement à l’utilisation de cookies selon le RGPD – et de l’avenir de nos infrastructures numériques.

La CNIL rappelle que le consentement prévu par ces dispositions renvoie à la définition et aux conditions prévues aux articles 4 et 7 du RGPD.

Il doit donc être libre, spécifique, éclairé, univoque et l’utilisateur doit être en mesure de le retirer, à tout moment, avec la même simplicité qu’il l’a accordé.

Afin de rappeler et d’expliciter le droit applicable au dépôt et à la lecture de traceurs dans le terminal de l’utilisateur, la CNIL a adopté le 17 septembre 2020 des lignes directrices, complétées par une recommandation visant notamment à proposer des exemples de modalités pratiques de recueil du consentement.

Le consentement doit se manifester par une action positive de la personne préalablement informée, notamment, des conséquences de son choix et disposant des moyens d’accepter, de refuser et de retirer son consentement. Des systèmes adaptés doivent donc être mis en place pour recueillir le consentement selon des modalités pratiques qui permettent aux internautes de bénéficier de solutions simples d’usage.

L’acceptation de conditions générales d’utilisation ne peut être une modalité valable de recueil du consentement.

La CNIL va alors désormais réaliser des contrôles pour évaluer la conformité aux règles relatives aux traceurs, en application de l’article 82 de la loi Informatique et Libertés et des articles 4 et 7 du RGPD sur le consentement, telles que synthétisées dans ses lignes directrices.

Par cette action, la CNIL entend répondre aux attentes des internautes de plus en plus sensibles aux problématiques de traçage sur internet, comme en témoignent les plaintes constantes qu’elle reçoit sur ce sujet.

Si des manquements sont constatés à l’issue de contrôles ou de plaintes, la CNIL pourra utiliser l’ensemble des moyens mis à sa disposition dans sa chaîne répressive et prononcer, si nécessaire, des mises en demeure ou des sanctions publiques.

L’évolution des règles applicables, clarifiées par les lignes directrices et la recommandation de la CNIL, marque un tournant et un progrès pour les internautes, qui pourront désormais exercer un meilleur contrôle sur les traceurs en ligne.

Dreyfus peut vous assister dans la gestion de vos portefeuilles de marque dans tous les pays du monde. N’hésitez pas à nous contacter.

Written by Dreyfus13/04/2021

À l’ère du digital, la mise en place d’une stratégie de compliance fiable et efficace mais également la mobilisation des compétences des professionnels sont devenues un élément déterminant de la performance des entreprises, notamment en matière de propriété intellectuelle.

D’emblée, il semble important de rappeler que la compliance regroupe l’ensemble des processus destinés à assurer qu’une entreprise, ses dirigeants et ses salariés respectent les normes juridiques et éthiques qui leur sont applicables.

De la LOI n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique sur les dispositifs de lutte contre la corruption à la mise en application du règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE dit règlement général sur la protection des données (RGPD) du 27 avril 2016 en passant par le devoir de vigilance des sociétés-mères et des entreprises donneuses d’ordre ou encore la prévention du risque cyber (décret d’application du 25 mai 2018 de la directive NIS), un impact opérationnel indéniable sur les entreprises et leurs dirigeants dans le secteur de la propriété intellectuelle peut être observé.

Dans le même sens, les enjeux et les risques de la propriété intellectuelle se sont démultipliés dans le monde virtuel. Les noms de domaine ainsi que les réseaux sociaux sont susceptibles d’être les cibles d’une multiplicité d’atteintes.

Les enjeux incontournables de la compliance en matière de propriété intellectuelle (I) conduisent à s’interroger à la fois sur le rôle du « compliance officer » dans ce cadre (II) mais également sur les conséquences pratiques de la compliance dans l’ensemble des aspects de la propriété intellectuelle (III).

Les enjeux de la compliance en matière de propriété intellectuelle

L’environnement ainsi que les décisions juridiques concernent le développement à long terme de l’entreprise et justifient que soit instaurée une véritable ingénierie juridique au sein des entreprises dont la propriété intellectuelle est déterminante. C’est l’enjeu majeur de la compliance qui est à la fois un cadre de pensée et une méthode de résolution de problèmes, comprenant un grand nombre d’outils et de composants orientés par la stratégie des entreprises.

Les contraintes légales, réglementaires et fiscales sont de plus en plus rigoureuses et font porter aux entreprises une responsabilité accrue en cas de négligence, voire de simple inaction. La réglementation est particulièrement exigeante en matière de protection des données personnelles et de protection des consommateurs.

Dans le champ de la propriété intellectuelle, les noms de domaine sont des actifs clés à prendre en compte lors de l’analyse des risques et de la mise en place d’un plan de compliance. S’ils constituent un actif indéniable et essentiel au fonctionnement de l’entreprise (par exemple pour la messagerie électronique), ils sont aussi vecteurs de risque : phishing, fraude, usurpation d’identité, e-mail forgés…

Les fraudes en ligne sont susceptibles d’engendrer une perte de chiffres d’affaires, de mettre en danger les consommateurs, et le cas échéant, d’engager la responsabilité civile et pénale des dirigeants pour défaillance ou non-respect des lois et règlements en vigueur. En outre, ce type de fraudes nuisent à la réputation de la société et de ses dirigeants, et peuvent potentiellement impacter le cours de bourse engendrant ainsi une perte de clientèle.

Il est donc nécessaire de mettre en place les stratégies appropriées pour anticiper les dangers, réagir efficacement en cas d’atteinte et ainsi protéger l’entreprise.

Les conséquences pratiques de la compliance dans tous les aspects de la propriété intellectuelle et du numérique

La compliance a un impact immédiat sur tous les aspects de la propriété intellectuelle. Aussi, lorsque la législation est de plus en plus contraignante pour les entreprises et les professionnels de la propriété intellectuelle, les exigences de compliance se renforcent. Comment mettre son entreprise en conformité avec les lois ? Quels sont les risques à ne pas intégrer Internet à son plan de conformité ?

Au-delà de son acception juridique de conformité aux exigences voulues par les lois, les règlements, les Codes, les directives, la compliance ambitionne de protéger l’entreprise et les professionnels de la propriété intellectuelle contre tout non-respect des normes internes et externes et de ses valeurs. Elle a pour objectif d’éviter les conséquences défavorables pour l’entreprise et ses dirigeants. Elle s’inscrit finalement dans une volonté de croissance pérenne de l’ensemble des aspects de la propriété intellectuelle tant en France qu’à l’international.

Pour répondre à ces exigences, les entreprises doivent mettre en place une politique de gouvernance à même de minimiser leur exposition au risque vis à-vis de leurs clients, de leurs actionnaires mais aussi des autorités de régulation.

Tout d’abord, il est essentiel de commencer par identifier les risques au moyen d’audits pertinents. Ensuite, il est important de bien évaluer et cartographier ces risques. La politique de gestion des risques sera définie en conséquence.

En particulier, une politique de gestion des risques liés à la propriété intellectuelle nécessite de mettre en place un système de surveillance quasi-systématique des marques parmi les noms de domaine.

Le rôle du « compliance officer »

Le compliance officer doit prémunir l’entreprise de tout risque de non-conformité, et donc s’assurer que l’organisation adopte une bonne conduite dans la pratique des affaires, respecte les règles de déontologie et enfin, soit conforme aux différentes législations, aux règlementations, ou encore aux directives européennes. Il se doit donc de s’inscrire dans une démarche proactive, d’organiser et mettre en œuvre les moyens nécessaires au respect de la règlementation.

De même, il est important d’anticiper les risques : une fois ceux-ci définis et encadrés, la mission du compliance officer étant de protéger le groupe et sa réputation, il devra analyser les règles et les normes selon le contexte, l’activité, et le secteur de l’entreprise.

Selon une étude Qui sont les professionnels de la compliance ? » publiée le 27 mars 2019 et réalisée par le cabinet Fed Legal, 92% des compliance officers ont un cursus de juriste. Ce sont des professionnels opérationnels qui possèdent une vision stratégique ainsi qu’une multiplicité de soft skills, notamment une capacité à persuader ou encore une appétence pour la pédagogie. Par ailleurs, 60% des compliance officers sont rattachés aux services juridiques dans lesquels les recrutements sont nombreux, autant dans les grandes que dans les plus petites entreprises.

Lorsqu’une entreprise est mise en cause, les conséquences sont tout à la fois financières, commerciales et humaines : la société en question va forcément pâtir de la réputation qui lui est faite. Le compliance officer veille ainsi à préserver son entreprise des risques financiers, juridiques et de réputation qu’encourt l’organisation dans le cas où elle ne respecte pas les lois, la règlementation, des conventions, ou tout simplement une certaine éthique ou déontologie.

Dreyfus peut vous assister dans la gestion de vos portefeuilles de marque dans tous les pays du monde. N’hésitez pas à nous contacter.

Written by Dreyfus27/01/2021

Source: LexisNexis, N°1 (January 2021)

Written by Dreyfus20/10/2020

Dans sa décision du 9 juillet 2020 (affaire C-264/19), la Cour de justice de l’Union européenne (CJUE) a indiqué que ni une adresse IP ni une adresse e-mail ne sont des « adresses » au sens de l’article 8 de la directive 2004/48/CE relative au respect des droits de propriété intellectuelle.

Un litige opposant une société de distribution à YouTube

Constantin Film, une société de distribution de films allemande, a remarqué que certains films qu’elle distribuait avaient été mis en ligne, sans son autorisation, sur YouTube. Elle s’est donc adressée à la plateforme en question pour obtenir les adresses e-mail et IP des utilisateurs ayant mis en ligne ce contenu.
YouTube et Google (YouTube appartient à Google) refusant de transmettre les données demandées, l’affaire prit la direction des tribunaux allemands.
L’article 8 de la directive de l’Union européenne relative au respect des droits de propriété intellectuelle prévoit la possibilité pour les titulaires de droits de demander auprès des contrevenants et/ou des personnes leur ayant fourni des services, ici YouTube, des informations sur « l’origine et les réseaux de distribution des marchandises ou des services qui portent atteinte à un droit de propriété intellectuelle » et notamment les « noms et adresses » des personnes impliquées.
La Cour fédérale allemande s’est interrogée sur l’assimilation, des adresses e-mails et IP au terme d’« adresse » figurant dans la directive. Décidant de sursoir à statuer, la Cour allemande a posé une question préjudicielle à la CJUE afin de savoir si de telles informations relevaient de la notion d’ « adresse » au sens de la directive.

Une notion d’adresse n’englobant pas les adresses IP et e-mail

La réponse de la CJUE est claire et s’inscrit dans l’ère du temps, qui vise à mettre au premier plan le respect de la vie privée : le droit de l’UE n’assimile pas à la notion d’adresse les adresses IP et les adresses e-mail.
La notion d’adresse figurant dans l’article précité doit être entendue au sens d’adresse postale.
Dans son communiqué de presse n°88/20 du 9 juillet 2020, elle précise : « s’agissant du sens habituel du terme ‘adresse’, celui-ci ne vise que l’adresse postale, c’est-à-dire le lieu de domicile ou de résidence d’une personne déterminée » dès lors qu’il est utilisé sans autre précision.
Néanmoins, la CJUE vient rappeler que les Etats membres peuvent accorder aux titulaires de droits de propriété intellectuelle, un droit d’information plus étendu.
Dans le communiqué susmentionné, la Cour indique justement, à propos de l’article 8 de la directive 2004/48 que « cette disposition vise à concilier le respect de différents droits, notamment le droit d’information des titulaires et le droit à la protection des données à caractère personnel des utilisateurs ».

Cette décision limite le champ d’action des titulaires de droit, pour lesquels il est de plus en plus ardu d’identifier les personnes portant atteinte à leurs actifs. Outre cette question des adresses IP et e-mails qui n’entrent pas dans le champ de ce qui est entendu par « adresse », rappelons que le Règlement pour la Protection des Données, dit RGPD, du 27 avril 2016, a également compliqué la défense des droits sur Internet, le respect de la vie privée ayant été accru et donc les informations sur les réservataires de noms de domaine, par exemple, largement masquées

Written by Dreyfus12/10/2020

Protégez vos innovations et votre activité grâce au droit des marques et des logiciels !

Entreprises évoluant dans le secteur des énergies renouvelables, des biotechnologies, dans le traitement de l’eau et des déchets ou encore Start – up œuvrant pour la transition énergétique, votre propriété intellectuelle doit être protégée !

Jeudi 22 octobre 2020

de 14h30 à 15h

Prenez les bonnes dispositions et les précautions appropriées pour vous protéger et mettez en place une stratégie de défense !

Dreyfus vous invite à son webinar afin de vous donner des conseils pratiques et de vous aider à mettre en place les stratégies liées à la propriété intellectuelle et plus particulièrement au droit des marques et au droit des logiciels.

Greentech et propriété intellectuelle : quelles sont les spécificités ? Comment obtenir une marque de garantie et quel est l’impact du décret du 9 décembre 2019 ? Que doit contenir un règlement d’usage ? Quelles sont les bonnes pratiques en matière de label ? Comment établir sa stratégie de propriété intellectuelle tant dans le monde réel que dans le monde digital ? Comment se défendre dans un secteur d’activité très concurrentiel et en plein développement ? La protection de votre innovation est cruciale !

Pour recevoir le lien de participation au webinar, merci de vous inscrire par mail : contact@dreyfus.fr.

A très vite !

Written by Dreyfus01/10/2020

Webinar 10 septembre 2020 :

Les questions de propriété intellectuelle à se poser pour réussir sa transition digitale

Comment sécuriser et optimiser son site internet ? Quelles précautions prendre ? Comment défendre ses droits de propriété intellectuelle sur Internet ?

Lorsque l’on veut réussir sa transition digitale, il faut se poser certaines questions.

Que vous songiez à vendre en ligne ou conforter votre e-commerce, la propriété intellectuelle est un élément clé.

Replay du webinar

Written by Dreyfus28/08/2020

Les consommateurs exigent désormais plus de confidentialité et de sécurité quant au traitement de leurs données personnelles.

Quels défis pour le responsable de traitement ?

Plusieurs défis à relever par le responsable de traitement – c’est-à-dire la personne morale ou physique qui détermine les finalités et les moyens d’un traitement – à différentes échelles :

– gestion des informations : réduire les données collectées en établissant un contexte commercial précis, et réduire les risques en soignant les contrats ;

– communication avec les fournisseurs : pouvoir s’apporter des solutions et s’évaluer mutuellement ;

– suivi des traitements des données : mettre en place de mécanismes de signalement de violation des données ou des menaces concernant les fournisseurs (par exemple, si Easyjet a eu une violation de données, le responsable de traitement, intervenant dans le même secteur d’activité que la compagnie aérienne, s’il en est averti, peut réorienter ses décisions.

Quelles méthodes de gestion des risques ?

Une gestion des risques plus efficace passe notamment par une identification précise des fournisseurs, des audits préalables lors de l’intégration de nouveaux fournisseurs, une automatisation des processus d’évaluation et de contrôle, prévention des risques pour protéger les données.

Quid des cookies ?

Ils servent à recueillir des données. Leur présence est matérialisée par les bannières que vous retrouvez sur les sites internet qui vous demandent si vous consentez à la récolte de certaines données.

En résumé, il existe 3 types de cookies :

– cookies strictement nécessaires pour le fonctionnement du site ;

– cookies destinés à améliorer la performance et fonctionnalités du site ;

– cookies publicitaires (qui bientôt disparaîtront, Firefox y a déjà mis fin, et Google a annoncé que Chrome ne les utiliserait plus dès 2021)

Comment récolter du consentement en ligne ?

Rappelons qu’en France, le consentement doit être libre, spécifique, éclairé, univoque (RGPD).

Néanmoins, pour en récolter, il faut que l’utilisateur comprenne à quoi il consent. Il doit recevoir des informations claires (finalité et durée de l’utilisation des cookies, liste des tiers avec lesquels les informations sont partagées etc…) et le responsable de traitement doit être particulièrement attentif à la mise en page de sa bannière.

Quel devrait être le rôle du DPD (délégué à la protection des données– ex CIL (en anglais DPO) dans une entreprise moderne ?

Si l’entreprise promeut l’éthique, l’innovation, la data, alors le DPD présente un rôle clé : il éclaire sur la collecte des données, il apporte sa vision sur les risques du point de vue des individus.

Auparavant, son rôle était purement administratif, mais aujourd’hui cela est différent, le DPD accompagne en permanence l’entreprise, mais il ne peut pas garantir à lui seul la conformité : il doit déployer une sorte de toile d’araignée au sein de l’organisation (auprès des départements digital ou marketing notamment afin de diffuser les principes essentiels.

Quelles évolutions au sein des entreprises, en terme de sensibilisation au RGPD ?

Des programmes ont été lancés pour sensibiliser au RGPD, puis lors de son entrée en vigueur, il a fallu mobiliser les entités et s’assurer de leur bonnes compétences (mises en place de e-learning en interne par exemple).

Bien qu’il semble y avoir des similitudes dans les législations, quelles divergences persistent et quels sont les défis à cet égard pour les entreprises ?

Il existe des différences techniques (en terme de durée de conservation des données, chaque pays à ses obligations) et des différences culturelles très importantes, la façon avec laquelle les interlocuteurs des différents pays prennent en charge ces sujets dépend de son histoire. Par conséquent, il est difficile de trouver des « golden rules » (= règles harmonisées).

Comment les organisations peuvent-ils tirer parti de leurs efforts de conformité ?

Une manière de reconnaitre que les entreprises ont correctement réalisé leur mission est de passer par des certifications, comme la certification HDS.

Dreyfus vous aide à vous mettre en conformité avec les nouvelles régulations.

Written by Dreyfus30/07/2020

Tant que l’Internet n’existait pas, votre entreprise, ou vous-même, demeuriez à l’abri des critiques publiques, à l’exception de celles émanant de la plume de journalistes, ou d’acteurs économiques gravitant autour de votre activité. Pas de médias en ligne, de Twitter, Facebook, Instagram, et encore moins de moteur de recherche, et par conséquent, pas de capacité à rassembler une population autour de réseaux pour discuter de votre activité !

A présent, il est essentiel de savoir comment traiter ces critiques et parfois médisances.

Il y a déjà huit ans, la Cour Européenne des droits de l’Homme (« CEDH ») affirmait que « les sites Internet contribuent grandement à améliorer l’accès du public à l’actualité, et, de manière générale, à faciliter la communication de l’information » (Ahmet Yıldırım c. Turquie, no 3111/10, CEDH 2012).

Toutefois, « dans le même temps, les communications en ligne et leur contenu risquent assurément bien plus que la presse de porter atteinte à l’exercice et à la jouissance des droits et libertés fondamentaux, en particulier du droit au respect de la vie privée » (Pravoye Delo et Shtekel c. Ukraine, no 33014/05 CEDH 2011).

La Cour a récemment rappelé ^[1] que « le droit à la protection de la réputation est un droit qui relève, en tant qu’élément du droit au respect de la vie privée, de l’article 8 de la Convention » faisant écho à de précédentes affaires relatives à des déclarations diffamatoires parues dans la presse (Pfeifer c. Autriche, no 12556/03, 15 novembre 2007, et Polanco Torres et Movilla Polanco c. Espagne, no 34147/06, 21 septembre 2010).

Cependant, bien qu’il existe de nombreuses actions pour se défendre en cas de découverte de contenus « illicites » – diffamation, dénigrement ou toute forme d’abus à la liberté d’expression – quelles actions envisager face à la diffusion de contenus en ligne qui ne sont pas illicites mais qui sont des propos portant tout de même atteinte à votre réputation, comme des avis négatifs où encore des articles de journaux en ligne relatant des faits divers sur vos expériences ?

Précisions sur les données personnelles, au droit d’opposition et au droit à l’oubli

Une donnée à caractère personnel est définie comme « toute information se rapportant à une personne physique identifiée ou identifiable (…)^[2]» selon la Commission Nationale de l’Informatique et des Libertés (CNIL), autorité administrative qui a notamment pour vocation de veiller au respect des données personnelles.

Partant, vos nom et prénom sont des données personnelles, et eu égard au traitement de ces données, vous disposez de certains droits, tel que le droit d’opposition ou le droit à l’effacement (également droit à l’oubli).

Le droit d’opposition

Vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement des données à caractère personnel, en expliquant vos raisons, basées sur des motifs légitimes.

En cas de réponse insatisfaisante ou d’absence de réponse à votre demande, il est possible de saisir la CNIL.

Le droit à l’oubli

Vous avez le droit d’obtenir de la personne, l’autorité publique, la société ou l’organisme qui traite vos données (appelé plus couramment le « responsable de traitement ») l’effacement, dans les meilleurs délais, de données à caractère personnel vous concernant, notamment lorsque qu’il n’existe pas de motif légitime impérieux pour leur traitement[1]. Cela inclut notamment le droit au déréférencement de liens contenus sur les moteurs de recherche.

L’exploitant d’un moteur de recherche est en principe obligé, sous réserve des exceptions prévues, de faire droit aux demandes de déréférencement portant sur des liens menant vers des pages web sur lesquelles figurent des données à caractère personnel relatives à des procédures ou condamnations pénales[2].

Les demandes de déréférencement auprès des moteurs de recherche peuvent se faire directement en ligne, via un outil dédié. Toutefois, il est souvent nécessaire de procéder à l’envoi d’un courrier officiel aux exploitants des sites internet diffusant des articles préjudiciables.

Il faudra alors argumenter, par exemple en démontrant le préjudice que vous subissez à cause de ces articles – l’annulation d’un rendez-vous professionnel suite à la recherche de vos nom et prénom pourrait en être un ! – ou en expliquant qu’une page web fait état d’une étape d’une procédure judiciaire ne correspondant plus à votre situation judiciaire actuelle.

Toutefois, ce droit à l’oubli est mis en balance avec la nécessité du traitement, notamment lorsque celui-ci poursuit un intérêt légitime, tel que l’exercice du droit à la liberté d’expression et d’information[3].

Votre demande peut donc être rejetée si l’accès à une telle information vous concernant est considérée comme strictement nécessaire à l’information du public. En effet, selon l’article 17 du RGPD, certaines situations font obstacles à la mise en œuvre du droit à l’oubli, notamment si le traitement est nécessaire à l’exercice du droit à la liberté d’expression et d’information[4].

Pour cela, le responsable de traitement ou l’autorité saisie doit notamment tenir compte de critères variés, notamment la nature des données en cause, leur contenu, leur exactitude, les répercussions que leur référencement est susceptible d’avoir pour la personne concernée, la notoriété de cette personne, etc.

[1] Article 51 de la loi n°78-17 du 6 janvier 1978, dans les conditions prévues à l’article 17 du Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données

[2] A cet égard, la Cour de Justice de l’Union Européenne a considéré, par son arrêt du 24 septembre 2019 , que les dispositions de l’ancienne Directive 95/46/CE concernant l’interdiction ou les restrictions au traitement de données à caractère personnel relatives à des procédures pénales s’appliquent également, sous réserve des exceptions prévues, à l’exploitant d’un moteur de recherche en tant que responsable du traitement effectué dans le cadre de son activité, à l’occasion d’une vérification opérée par cet exploitant, sous le contrôle des autorités nationales compétentes, à la suite d’une demande introduite par la personne concernée

En cas de refus de déréférencement ou d’absence de réponse de la part du moteur de recherche, des solutions judiciaires sont envisageables.

Il convient donc de maîtriser les fondements juridiques et de bien cimenter vos arguments lors de vos demandes de déréférencement auprès des responsables de traitement.

[1] CEDH, Affaire JEZIOR c. POLOGNE, 4 juin 2020, 31955/11

[2] Article 4 du Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données

[3] Article 17 du Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données

[4] Article 17 du Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données

Written by Dreyfus17/07/2020

A l’occasion d’un litige opposant deux sociétés spécialisées dans le prêt à porter, les juges de la Cour d’appel de Paris, statuant sur renvoi de la Cour de cassation, ont retenu une approche stricte des similarités entre une marque figurative et une marque postérieure semi-figurative[1].

La société Compagnie Financière de Californie (« Compagnie de Californie »), spécialisée dans les vêtements « street wear chic », est titulaire de marques sur le signe, notamment pour des produits vestimentaires.

Elle a constaté, en 2013, qu’International Sport Fashion, également active dans le domaine de la mode, a déposé et exploite une marque qu’elle estime similaire aux siennes :

Les signes en présence comportent une forme de tête d’aigle, sans détail, reproduite en noir et blanc dans un cercle. Pour obtenir réparation du préjudice qu’elle considère avoir subi, Compagnie de Californie introduit une action en contrefaçon.

Après avoir été déboutée en première instance et en appel, la société s’est tournée vers la Cour de cassation, qui a renvoyé l’affaire devant les juges du fond après cassation partielle.

La Cour d’appel de renvoi procède d’abord à la comparaison des marques en cause. Son analyse est rigoureuse, notamment sur le plan conceptuel : elle considère que la marque de Compagnie de Californie renvoie « au côté sombre du rapace tandis que l’autre renvoie à l’image d’un oiseau beaucoup moins agressif » (certainement de par la présence d’un bec fermé).

Sur le plan visuel, elle met entre autres en avant le fait que ces têtes d’oiseaux ne sont pas tournées du même côté et que l’un a le bac fermé et l’autre ouvert.

Au niveau phonétique, elle note, sans surprise, que la marque litigieuse sera prononcée « Eagle Square » en référence à l’élément verbal qu’elle contient, ce qui ne sera pas le cas de la marque antérieure.

Elle estime donc qu’il n’existe pas de risque de confusion entre les marques.

Ensuite, elle se penche sur la question de l’exploitation par International Sport Fashion, de sa marque pour des produits vestimentaires. La Cour prend en compte tous les éléments possibles tels que le packaging qui contient les produits. Le nom « EAGLE SQUARE » est apposé sur les packagings ; elle considère donc qu’il n’existe pas de risque de confusion dans l’esprit des consommateurs.

Elle précise également que le signe contesté qui apparaît seul sur certains des articles est à chaque fois bicolore, « induisant une césure dans le signe », ce qui donne une impression d’ensemble très différente de la marque antérieure.

La cour ne fait donc pas droit aux demandes de Compagnie de Californie.

Ainsi, concernant les marques figuratives, il est nécessaire d’estimer avec rigueur les chances de succès d’une action en contrefaçon, de grandes similarités étant généralement exigées pour reconnaître le risque de confusion.

Cette affaire montre que même des marques au style comparable (présence d’un oiseau, dont seule la tête entièrement peinte en noir est reproduite, dans un cercle) peuvent coexister sur le marché.

On peut se demander si la Cour d’appel aurait retenu une approche différente si International Sport Fashion avait apposé la seule tête d’aigle en noir et blanc sur ses produits. Tout comme se pose la question de savoir si l’issue aurait pu être partiellement différente si Compagnie de Californie avait également déposé, à titre de marque, son aigle en couleurs (que l’on retrouve notamment en rouge sur son site officiel https://www.compagniedecalifornie.com/).

Dès lors, outre l’analyse détaillée des chances de succès avant l’introduction d’une action, il convient également de protéger la marque telle qu’exploitée, en prenant en compte ses variantes, de sorte de bénéficier d’un champ de protection le plus large possible.

[1] Cour d’appel de Paris, Pôle 5 – chambre 2, 20 décembre 2019, n° 19/01056

Written by Dreyfus18/06/2020

Avec le développement des réseaux sociaux, la créativité sur Internet s’est déployée au point qu’il devient presque impossible pour un artiste ou une marquede ne pas avoir sa page Instagram ou Facebook. La présence sur les réseaux sociaux est devenue un prérequis presque essentiel à la réputation d’un artiste.

Les conditions générales d’utilisation du réseau social Instagram, notamment très plébiscité par les photographes pour y exposer leur travail, prévoient que les utilisateurs restent propriétaires du contenu qu’ils postent sur le réseau. Pourtant, dans plusieurs affaires récentes, les photographes ont vu leur travail partagé et reposté, sans pouvoir s’y opposer.

Une question essentielle vient alors à se poser : Garde-t-on la propriété des photographies que l’on poste sur les réseaux sociaux ?Cette question semble faire débat entre différents pays. Si les Etats-Unis semblent répondre par la négative, la France apparaît à ce jour plus protectrice.

Des précédents sur Instagram : l’affaire Richard Prince

En 2015, Richard Prince, styliste, peintre et photographe, a choisi d’exposer des captures d’écran du réseau social Instagram contenant des images postées par des auteurs sans avoir obtenu leur accord. Il a gagné plus de 100 000 dollars pour la vente des œuvres de cette exposition et les auteurs des clichés initiaux n’ont pas touché d’argent pour cette exploitation commerciale.

Aux Etats-Unis, cette pratique tombe dans les exceptions dites du « Fair use »qui autorisent un artiste à travailler à partir d’une image existante et à la transformer sans que cela ne contrevienne au droit d’auteur.

Un contournement du droit : l’affaire Mashable

Plus récemment, le site américain d’actualités et d’informations Mashablesouhaitait publier un article relatif à dix femmes photographes. L’une d’entre elles, Stephanie Sinclair, a refusé à Mashable le droit d’utiliser ses œuvres. Le site a donc contourné ce refus en utilisant la fonction du réseau Instagram « embed », permettant de partager un contenu sans avoir à le télécharger. Ainsi, l’image utilisée n’est stockée que sur le réseau social et non sur le serveur du site Internet de Mashable, directement.

La cour du district sud de New-York, dans un jugement rendu le 13 avril 2020, a déclaré que l’auteur des photographies postées sur un compte Instagram public ne pouvait pas s’opposer à ce qu’un média en ligne les intègre dans ses articles. En outre, le juge a fondé sa décision sur les CGU du réseau social qui prévoient que les utilisateurs accordent pour chaque image postée « un droit non exclusif, libre de droits, transférable, sous-licenciable et mondial ».Selon le juge, l’intégration d’une image sur un site tiers constitue donc un droit de sous-licence.

Il est donc considéré que lorsqu’un utilisateur poste une photographie sur un compte Instagram public, il donne son accord pour toute utilisation via la fonction « embed ».

Suite à cette décision, la photographe Stéphanie Sinclair a fait savoir qu’elle souhaitait faire appel.

Qu’en est-il du droit français sur les réseaux sociaux ?

En France, ce propos peut être nuancé par les articles L.131-1et L.131-3du Code de la propriété intellectuellequi interdisent la « cession globale des œuvres futures »et prévoient que « la transmission des droits de l’auteur est subordonnée à la condition que chacun des droits cédés fasse l’objet d’une mention distincte dans l’acte de cession et que le domaine d’exploitation des droits cédés soit délimité quant à son étendue et à sa destination, quant au lieu et quant à la durée ».

Sur ces fondements, le Tribunal de Grande Instance de Paris a d’ores et déjà jugé abusives, dans les affaires Twitter (2018) et Facebook (2019), des clauses similaires à celle invoquée par le juge américain concernant Instagram.

En somme, alors que les combats engagés aux Etats-Unis par les artistes pour faire valoir leurs droits sur les réseaux sociaux et plus particulièrement sur Instagram, semblent laborieux, il convient de noter que le droit français se montre plus protecteur envers les auteurs et artistes. Une évolution à suivre…

Dreyfus peut vous assister dans la protection de vos droits sur les réseaux sociaux. N’hésitez pas à nous contacter.

Written by Dreyfus12/06/2020

En raison de la situation sanitaire actuelle, la majorité des entreprises ont réduit leur activité. Cette suspension ou réduction d’activité aura un impact sur l’ensemble de la propriété intellectuelle et pourra plus particulièrement entrainer la non-utilisation de la marque par le titulaire entrainant ainsi sa déchéance.

En effet, selon la législation française et plus précisément l’article L714-5 du code de la propriété intellectuelle, si une marque n’est pas utilisée pendant une période ininterrompue de cinq ans pour les produits et services visés dans l’enregistrement, le tribunal pourra prononcer à la demande d’un tiers intéressé la déchéance de la marque et la radiation de son enregistrement.

Le titulaire devra donc veiller à ce qu’il y ait un usage sérieux pendant cette période de cinq ans, c’est-à-dire une réelle exploitation.

Ainsi les titulaires de marques qui n’avaient pas été exploitées avant la crise sanitaire et la mise en quarantaine n’ont pas pu en démarrer ou reprendre l’exploitation. Cette période inédite pourra donc conduire à une période de non-utilisation supérieure à cinq ans.

Cependant le titulaire de la marque pourra invoquer une raison valable justifiant l’absence d’un usage sérieux. Ce juste motif, selon la jurisprudence constante, doit présenter un lien direct avec la marque, être une circonstance extérieure à la volonté du titulaire de la marque qui a rendu l’usage de la marque impossible ou excessivement difficile.

Il semble donc que le tribunal pourra considérer les restrictions imposées par le Gouvernement en raison de la pandémie comme une excuse valable de non-utilisation de la marque par le titulaire. En effet cet obstacle, externe à la volonté du titulaire et qui a rendu l’usage de la marque extrêmement difficile pourra être qualifié de juste motif ce qui empêchera ou dus moins reportera une possible déchéance de la marque.

Written by Dreyfus10/06/2020

En l’honneur de la 22ème journée mondiale anti-contrefaçon, le Cabinet Dreyfus a assisté à un Webinar organisé par l’INDICAM(Istituto di Centromarca per la lotta alla contraffazione) faisant intervenir les directeurs de différents organismes de lutte anti-contrefaçon : le GACG, l’EUIPO, l’UNIFAB, l’INDICAM, l’ANDEMAet l’ACG.

Les enjeux liés à la lutte anti-contrefaçon sont toujours d’une importance capitale. En effet, environ 5% des importations en Union européenne sont des produits contrefaits. Le marché de la contrefaçon est très lucratif pour les contrefacteurs : il nécessite un investissement très bas pour un très grand bénéfice. En outre, les risques qui y sont liés sont moindres.

Durant la crise sanitaire liée au Covid19, la vente de produits contrefaits s’est fortement accrue : masques, gel hydro alcoolique, matériel médical ; et tout cela au détriment de la santé de la population. Ce phénomène s’est observé tout particulièrement sur les plateformes de Marketplace, qui ont été contraintes de déployer des moyens impressionnants pour supprimer les annonces frauduleuses.

La question se pose donc de savoir pourquoi, si les plateformes sont capables en temps de crise de lutter activement contre la vente de produits médicaux contrefaits, il n’en est pas de même à l’encontre des autres actes de contrefaçon? Un travail de coopération avec les plateformes devra donc s’amorcer à cette fin. Les associations européennes suivent de près les avancées du Digital Single Actqui devrait représenter une opportunité supplémentaire dans la protection des droits

En outre, durant la crise sanitaire, la lutte anti-contrefaçon s’est essentiellement concentrée sur les produits et dispositifs médicaux. De nombreuses atteintes n’ont ainsi pas été détectées. Pour exemple, seulement les produits arrivant par avion ont été contrôlés en cette période et non pas les produits importés via des cargos. Pire, en Belgique, par exemple, tous les officiers de police dont la mission était habituellement consacrée à lutter contre la contrefaçon ont été réquisitionnés afin de faire respecter les mesures anti Covid-19.

Avec le coronavirus, la lutte anti-contrefaçon doit donc s’accélérer. Un des défis à relever pour les années à venir est d’informer au mieux les consommateurs. La directrice de UNIFAB (Union des Fabricants), Delphine Safarti-Sobreira a fait savoir que des campagnes de sensibilisation étaient d’ores et déjà lancées via différents supports, notamment les émissions de télévision et YouTube. La prochaine étape sera de convaincre le gouvernement d’instaurer une instruction obligatoire à l’école sur ce sujet.

Pour lutter efficacement contre la contrefaçon, trois éléments sont donc indispensables : undroit efficace, une information davantage relayée auprès des consommateurs et une détermination sans faille à poursuivre le combat.

Dreyfus peut vous assister dans la gestion de vos portefeuilles de marque dans tous les pays du monde. N’hésitez pas à nous contacter.

Written by Dreyfus12/05/2020

Source : OMPI, centre d’arbitrage et de médiation, 22 janv. 2020, n° D2019-2992, Cyberplay Management Ltd c/ WhoisGuard Protected, WhoisGuard, Inc./DIREX NV et Johann Mayer.

La société maltaise Cyberplay Management est titulaire d’une licence de jeu à des fins d’exploitation d’un casino en ligne. Cette dernière est titulaire de la marque européenne Loki, déposée le 10 janvier 2017 et enregistrée le 6 septembre 2017 ainsi que du nom de domaine <loki.com>, enregistré en 1992 et actuellement exploité pour des services de casino en ligne. Le requérant, la société maltaise, a déposé une plainte UDRP devant le centre d’arbitrage et médiation de l’OMPI contre les noms de domaines <lokicasino16.com>, <lokicasino17.com>, <lokicasino18.com>, <lokicasino19.com> et <lokicasino.com>, au motif qu’ils enfreindraient ses droits. En effet, ceux-ci associent la marque Loki au terme « casino », qui fait référence à son activité. Le nom de domaine <lokicasino.com> a été enregistré le 16 mai 2016 et les quatre autres noms de domaine le 11 janvier 2017 (un jour après le dépôt de marque du requérant).

Au moment du dépôt de la plainte, les défendeurs utilisaient ces noms de domaine en relation avec un casino en ligne. Le requérant considère que les défendeurs ont enregistré et utilisé les noms de domaine de mauvaise foi. Les défendeurs, quant à eux, prétendent n’avoir jamais eu connaissance de l’existence du requérant et de sa marque européenne Loki pour des activités de jeux de casino. Par ailleurs, les défendeurs ont fourni au dossier plusieurs captures d’écran, issues des bases de données du site WayBack Machine (archive.org) de l’historique du site web du requérant démontrant que ce dernier n’a jamais utilisé le nom de domaine <loki.com> pour des activités de casino avant la période actuelle. Par exemple, en 2006, il renvoyait vers un site permettant à l’utilisateur de trouver tous types d’événements à proximité de sa localisation.

L’expert se prononçant sur l’affaire, conclut que la plainte doit être rejetée, puisque le requérant ne fournit pas de preuve démontrant qu’il était titulaire d’un droit de marque sur le signe LOKI lors de l’enregistrement des noms de domaine litigieux. La demande d’enregistrement de marque a été déposée bien après l’enregistrement du nom de domaine <lokicasino.com > détenue par les défendeurs. En outre, eu égard au droit des marques non enregistrées (droit d’usage), le requérant ne soumet aucune preuve d’une exploitation du signe LOKI en relation avec les services d’un casino en ligne. Ainsi, il est important de rappeler que pour pouvoir prospérer dans une procédure UDRP, il est impératif que le requérant présente des preuves établissant notamment l’enregistrement et l’utilisation de mauvaise foi d’un nom de domaine. En l’occurrence, le requérant a failli à rapporter ces preuves. Cette décision permet aussi de constater la prégnance de plus en plus forte des archives proposées par WayBack Machine, que les juges tendent dorénavant à accepter comme mode de preuve (sous réserve de justifier d’un constat d’huissier).

Written by Dreyfus11/05/2020

Source : OMPI, centre d’arbitrage et de médiation, 30 janv. 2020, n° D2019-2937, Scalpers Fashion, S.L. c/ Dreamissary Hostmaster

La société espagnole Scalpers Fashion exerce une activité dans la mode. Elle est titulaire de nombreuses marques comprenant le signe Scalpers dont la marque de l’Union européenne Scalpers n° 6748578, enregistrée le 29 septembre 2008. La société a déposé une plainte UDRP devant le centre d’arbitrage et médiation de l’OMPI contre le nom de domaine <scalpers.com>, au motif qu’il enfreindrait ses droits. Ce nom de domaine a été enregistré le 15 septembre 1997 par le défendeur Dreamissary Hostmaster, qui est en fait une personne physique, citoyen américain et titulaire d’un nombre conséquent de noms de domaine comprenant des mots du dictionnaire. Le nom de domaine en cause était exploité pour générer des revenus de paiement au clic (« pay-per-click ») en renvoyant vers des liens sponsorisés faisant référence à la vente de billets. Au moment du dépôt de la plainte, ce nom de domaine renvoyait vers une page parking.

Le requérant soutient que le défendeur entend profiter de façon indue de sa notoriété dans la mode et perturber son activité commerciale. En outre, le requérant fait valoir que les sommes importantes proposées par le défendeur lors des diverses tentatives de négociations attestent de sa mauvaise foi. En effet, le défendeur aurait proposé dans un premier temps 150 000 dollars puis 195 000 dollars. Pour finir, le requérant considère que la mauvaise foi du défendeur se manifeste par l’enregistrement de plus de 100 noms de domaine, afin de pouvoir les revendre par la suite pour en tirer une plus-value. Le défendeur soutient, pour sa part, qu’il a enregistré et utilisé le nom de domaine <scalpers.com> en raison de la définition du mot « scalper » : personne qui achète des tickets au prix normal pour ensuite les revendre à un prix élevé lorsque la demande est forte et les places disponibles raréfiées. En outre, ce dernier requiert auprès de l’expert de conclure à un détournement de nom de domaine inversé. La position du requérant n’est pas suivie par l’expert qui considère que le nom de domaine n’a pas été enregistré ni utilisé de mauvaise foi. En effet, le défendeur a enregistré le nom de domaine plus de 10 ans avant la date présumée de premier usage de la marque Scalpers par le requérant.

Dans de telles circonstances, il n’y a pas lieu de conclure que le défendeur a ciblé la marque du requérant, alors inexistante au moment où le défendeur a enregistré le nom de domaine litigieux. Concernant l’usage, l’expert conclura aussi à une absence de mauvaise foi, le défendeur ayant utilisé ce nom de domaine pour la signification du mot « scalpers ». L’expert se prononçant sur l’affaire, conclut que la plainte doit être rejetée. En outre, il précise que la plainte a été déposée de mauvaise foi par le requérant, et visait à priver le défendeur de la titularité de son nom de domaine. En effet, plusieurs facteurs concourent à cette prise de position par l’expert : le nom de domaine a été enregistré par le défendeur bien avant que le requérant ne soit titulaire d’un droit de marque sur le signe Scalpers ; la plainte UDRP a été déposée après deux tentatives infructueuses d’achat du nom de domaine auprès du défendeur ; la notification des conseils du défendeur à destination du requérant lui enjoignant de retirer la plainte en raison de l’impossibilité manifeste d’établir la mauvaise foi quant à l’enregistrement et à l’utilisation du nom de domaine.

Au regard des faits de l’espèce, le requérant aurait clairement dû savoir que sa plainte ne pouvait pas aboutir puisque le défendeur avait enregistré le nom de domaine de bonne foi. Ainsi, il convient de garder à l’esprit que la procédure UDRP n’est pas un outil à sens unique. Le défendeur qui s’estime lésé peut tenter de renverser la procédure pour obtenir une décision à l’encontre du requérant. Ici, l’absence de chance de succès était particulièrement flagrante, le nom de domaine étant très antérieur à la marque de Scalpers Fashion.

Written by Dreyfus06/05/2020

Source : EURid, registre de l’extension <.eu>

Le Royaume-Uni a quitté l’Union européenne le 31 janvier 2020. Par suite, le Royaume-Uni et l’Union européenne sont entrés dans une période de transition, jusqu’au 31 décembre 2020. Durant cette période, les ressortissants du Royaume-Uni sont encore habilités à enregistrer et renouveler des noms en <.eu>.

En revanche, une fois cette période expirée, il ne leur sera plus possible d’enregistrer des noms de domaine avec l’extension en <.eu> ou de conserver ce qu’ils détiennent déjà, à moins de se conformer avec les exigences posées. À l’origine, l’EURID avait détaillé un plan complet applicable à compterdu1er novembre2019, date à laquelle le Royaume-Uni était censé quitter l’Union européenne. Il s’appliquera finalement à l’issue de la période de transition, sans que des échéances précises n’aient toutefois d’ores et déjà été fixées. Une fois la période de transition achevée, seules les personnes suivantes sont habilitées à enregistrer des noms de domaine en <.eu> : un citoyen de l’Union européenne, indépendamment de son lieu de résidence ; une personne physique qui n’est pas un citoyen de l’Union et qui est un résident d’un État membre ; une entreprise établie dans l’Union ; ou une organisation établie dans l’Union, sans préjudice de l’application du droit national.

Ainsi, pour les noms de domaine déjà enregistrés, les déclarants pourront mettre à jour leurs coordonnées pour tenter de maintenir leurs actifs. Ils devront notamment indiquer un code de pays de citoyenneté correspondant à un État membre de l’Union européenne de 27 indépendamment de leur résidence ou établir une entité légalement établie dans l’un des États membres éligibles de l’Union européenne de 27 ou de l’EEE. Tous les titulaires qui ne se conformeront pas à ces règles d’éligibilités verront leurs noms de domaines retirés, et ces derniers seront alors disponibles à tous pour l’enregistrement. Étant donné que les noms de domaine non conformes seront retirés, il est opportun de procéder à une analyse approfondie des portefeuilles de noms de domaine des titulaires pour voir si certains de leurs enregistrements sont à risque.

Written by Dreyfus05/05/2020

Un certain nombre de registres des noms de domaine de premier niveau nationaux comme le registre anglais Nominet ont commencé à utiliser l’intelligence artificielle pour prévenir les enregistrements abusifs de noms de domaine. Chaque registre utilise son propre système pour suspendre des enregistrements s’ils estiment qu’il y a une activité suspecte sur une adresse IP ou si l’identité du déposant ne peut pas être vérifié.

Une évaluation continue de l’identité du titulaire permet ainsi de réduire les atteintes portées aux noms de domaine.

Written by Dreyfus04/05/2020

Le gTLD <.com> occuperait plus de 40 % des parts de marché des noms de domaine, d’après les statistiques fournies par le site www.domainnamestat.com. Ces résultats confirment qu’il s’agit d’une extension incontournable, notamment parce que le <.com>, s’adressant au monde entier, est un signe fort de ralliement.

Or, les négociations en cours entre l’ICANN et le registre du <.com>, VeriSign, pourraient aboutir à une modification de l’agrément sur cette extension, de telle sorte que le prix du <.com> serait amené à augmenter de possiblement 7 % par an, de 2021 à 2024. En contrepartie de ce droit, VeriSign verserait 4 millions de dollars à l’ICANN.

Cette négociation est notamment permise par un amendement accepté par le ministère du Commerce américain, du 26 octobre 2018, par lequel il était indiqué qu’« au vu du marché plus dynamique des noms de domaine, le Ministère considère opportun de modifier l’agrément de coopération afin de pourvoir à une flexibilité dans les prix afférents à l’enregistrement et au renouvellement des noms de domaine du registre .com ».

Si le prix du <.com> vient à augmenter, il sera pertinent de voir si d’autres extensions récupèrent certaines de ses parts de marché, notamment parmi les nouveaux gTLDs. S’il paraît peu probable que les sociétés abandonnent les noms en <.com> qu’elles détiennent déjà, les nouveaux arrivants sur le marché pourraient éventuellement lui préférer d’autres extensions.

Written by Dreyfus20/04/2020

Avec la publication du Décret n° 2020-15adopté pour l’application de la loi PACTE, il sera possible de déposer des demandes provisoires de brevet à partir de 1^erjuillet 2020.

Qu’est-ce qu’une demande provisoire de brevet ?

Une demande provisoire est une demande de brevet d’invention dont la procédure d’enregistrement est simplifiée car certaines exigences du dépôt peuvent être différées dans le temps. C’est une procédure qui permet de prendre date en terme d’antériorité.

Quel est l’objectif d’une demande provisoire ?

Cette procédure est prévue pour permettre aux entreprises de déposer des demandes de brevet auprès de l’INPId’une façon plus simple et moins couteuse. Donc, elle vise à faciliter l’accès à la protection des droits de propriété intellectuelle, notamment pour les start-ups et les PME. L’objectif principal est de fournir une procédure d’enregistrement plus souple de brevet.

Comment faire une demande Provisoire ?

Avec ce Décret, il est possible de déposer une demande provisoire de brevet et de différer la remise des revendications, du résumé du contenu technique de l’invention et d’une copie des dépôts antérieurs.

En revanche, le déposant est obligé, au moment de déposer la demande, d’indiquer explicitement que celle-ci est une demande provisoire.

Après le dépôt de la demande provisoire

Dans un délai de douze mois à compter de la date de dépôt de la demande provisoire, le déposant peut demander que sa demande provisoire soit mise en conformité pour devenir une demande de brevet « normale » (en complétant les exigences susmentionnées qu’il avait différées) ou bien que sa demande soit transformée en un certificat d’utilité.

A la fin de ce délai, la demande provisoire de brevet est retirée. In fine, cette procédure permet aux déposants d’obtenir un délai supplémentaire avant de se décider sur le futur de leurs dépôts.

Les paiements de redevance

Le déposant doit payer la redevance de dépôt dans un délai d’un mois à compter du dépôt. En revanche, le déposant peut acquitter la redevance de rapport de recherche dans un délai d’un mois à compter de la requête de mise en conformité.

Cette procédure d’enregistrement moins stricte permettra aux déposants de faire des demandes de brevet d’une façon plus souple, sous certaines conditions. Elle permettra de prendre date, lorsqu’une invention est créée, puis de déterminer quelles suites seront données quant à sa protection.

Written by Dreyfus15/04/2020

Webinar 7 avril 2020 : INTERNET et COMPLIANCE (partie 1)

Les règles du jeu ont changé :

les stratégies pour protéger l’entreprise et ses dirigeants.

Les contraintes légales, réglementaires et fiscales (LCEN, Loi Sapin 2, Loi Vigilance, RGPD, Directive NIS) sont de plus en plus rigoureuses et font porter aux entreprises une responsabilité accrue en cas de négligence, voire de simple inaction. Le concept anglo-saxon du « Name and Shame » entre ainsi dans les pratiques françaises et européennes.

Pour faire face à ces nouvelles responsabilités, les entreprises doivent mettre en place une politique de gouvernance à même de minimiser leur exposition au risque vis à-vis de leurs clients, de leurs actionnaires mais aussi des autorités de régulation.

Les noms de domaine jouent un rôle clé dans l’analyse des risques et la mise en place de plans de conformités. S’ils constituent un actif indéniable et essentiel au fonctionnement de l’entreprise (par exemple pour la messagerie électronique), ils sont aussi vecteurs de risque : phishing, fraude au président, faux sites, usurpation d’identité, e-mail forgés…

Les fraudes en ligne peuvent engendrer des pertes financières, nuire à la réputation de la société et de ses dirigeants, impacter le cours de bourse engendrant ainsi une perte de clientèle. Il est donc impératif de mettre en place les stratégies appropriées pour anticiper les dangers, réagir efficacement en cas d’atteinte et in fine protéger l’entreprise.

La situation actuelle liée à l’épidémie de coronavirus a pour effet d’augmenter les risques, le nombre de fraudes augmentant considérablement alors que les entreprises sont désorganisées et vulnérables.

Nous vous proposons d’analyser ces enjeux avec vous, en partageant notre retour d’expérience. Nous pourrons notamment répondre aux questions suivantes :

– Quelles sont les obligations des entreprises au regard de la compliance ?

– Quels sont les risques à anticiper ?

– Quelles stratégies mettre en oeuvre pour ce faire ?

– Quels points de contrôle ?

– Quels leviers mettre en oeuvre pour réagir efficacement en cas d’atteinte avérée ?

Written by Dreyfus14/04/2020

Depuis le 1^eravril 2020, il est possible d’intenter des actions en nullité et des actions en déchéance de marques directement auprès de l’INPI.

Parmi les nouveautés qui découlent de la transposition de la directive européenne 2015/2436 du 16 décembre 2015 rapprochant les législations des États membres sur les marques, dite « Paquet Marques » en droit français, les nouvelles procédures d’annulation et de déchéance de marques sont celles qui, sans aucun doute, viennent bouleverser le paysage du droit de la propriété industrielle en France.

La directive européenne a donc prévu une obligation pour les Etats membres de créer une procédure administrative de nullité et de déchéance, l’objectif étant de faciliter la contestation des titres et ainsi désencombrer les registres.

En France, depuis le 1^eravril 2020, ces actions peuvent être instruites devant l’INPI, le droit français des marques se calquant ainsi de plus en plus sur le droit européen. Jusqu’ici, seul le juge judiciaire pouvait connaitre de ces litiges. Désormais, la compétence est partagée entre les TGI spécialisés et l’INPI.

Comment se répartissent les compétences entre l’INPI et les tribunaux judiciaires ?

La répartition des actions est fixée à l’article L.716-5 du Code de la propriété intellectuelle. Cet article donne compétence exclusive à l’INPI pour les demandes de déchéance lorsqu’elles sont faites à titre principal, les demandes de nullité à titre principal fondées sur un motif absolu ainsi que les demandes de nullité à titre principal fondée sur les motifs relatifs suivants :

– Un droit de marque

– Une dénomination sociale

– Une appellation d’origine ou un indication géographique

– Le nom d’une collectivité territoriale ou d’une entité publique.

Le juge judiciaire est exclusivement compétent, quant à lui, pour les demandes en nullité ou déchéance formées à titre reconventionnel, les demandes de nullité ou de déchéance quel que soit le motif lorsque la demande est connexe à une autre action relevant de sa compétence et enfin les demandes de nullité formées à titre principal sur les motifs relatifs suivants :

– Le droit d’auteur

– Un dessin et modèle

– Le droit de la personnalité.

Pour éviter toutes mesures dilatoires, il est prévu que l’autorité de la chose jugée attachée aux décisions du directeur de l’INPI et du tribunal judiciaire soient rendues entre les mêmes parties et pour les mêmes causes.

Il est important de noter que le législateur français est allé au-delà des dispositions de la directive européenne qui n’impose aux Etats membres d’attribuer une compétence aux offices qu’à l’égard de certains motifs de nullité (nullité fondée sur un des motifs absolus ou sur une marque antérieure similaire ou identique).

Quels sont les titres pouvant être contestés ?

Une demande en nullité ou en déchéance peut être formée à l’encontre d’une marque française enregistrée ou d’un marque internationale enregistrée désignant la France.

Comment se déroule la procédure auprès de l’INPI?

Tout comme la nouvelle procédure d’opposition en matière de marque, la procédure de nullité ou de déchéance respecte le principe du contradictoire. En effet, suite à la phase d’instruction, qui commence à compter du jour où l’action a été formée, et dès lors que l’action est considérée comme recevable, le titulaire dispose d’un délai de 2 mois pour présenter ses observations dans le cadre d’une action en nullité ou des preuves d’usage pour l’action en déchéance.

Le requérant a ensuite un mois pour les contester. Les parties peuvent effectuer jusqu’à trois échanges contradictoires écrits à l’issue desquels, et le cas échéant, une présentation orale des observations peut être demandée par l’une ou l’autre des parties mais également requise par l’INPI.

Selon le nombre d’échanges effectués, cette phase d’instruction peut durer entre deux et six mois. L’INPI dispose ensuite d’un délai maximum de 3 mois pour rendre sa décision.

Ainsi, la durée totale de la procédure devrait donc durer, au maximum, neuf mois à compter de la date de notification de l’action à la partie adverse, ce qui est bien plus rapide que l’action judiciaire jusqu’ici ouverte au requérant.

La suspension de la procédure peut être demandée conjointement par les parties pour une période de quatre mois renouvelable deux fois. Elle peut également être suspendue à l’initiative de l’INPI, notamment dans l’attente d’informations et d’éléments susceptibles d’avoir une incidence sur l’issue du litige ou de la situation des parties.

Enfin, aucun intérêt à agir ne doit être démontré, contrairement à la procédure judiciaire. Cela va donc permettre un plus grand nombre d’actions et donner jour à de nouvelles stratégies de libération des droits.

En conclusion, l’introduction de ces nouvelles procédures administratives par la transposition du « Paquet Marques » en France met à disposition une procédure rapide et peu onéreuse, permettant d’agir contre une marque gênante enregistrée tout en évitant de passer par la voie judiciaire, bien plus contraignante.

Dreyfus peut vous assister pour ces nouvelles actions en annulation et en déchéance devant l’INPI. N’hésitez pas à nous contacter pour toute question ou toute information complémentaire.

Written by Dreyfus09/04/2020

Procédure UDRP : abus de droit ou, quand la plainte est déposée de mauvaise foi

Written by Dreyfus08/04/2020

Lire la veille ici.

Written by Dreyfus07/04/2020

La CJUE a rendu une décision cruciale dans sa récente affaire Intassur le maintien des droits de propriété intellectuelle. Selon la Cour, il n’est pas impératif qu’une marque communautaire soit utilisée dans une partie substantielle de l’Union Européenne (UE) et son usage dans un seul État membre pourrait prouver son usage sérieux.

Dans l’affaire portée devant la CJUE pour la décision susmentionnée, le demandeur a déposé une demande de marque devant l’EUIPO, pour le signe « INTAS » et visant des produits en classes 5 et 10.

Par la suite, la partie en défense a formé opposition contre cette demande de marque en invoquant la similitude de celle-ci avec deux de leurs marques antérieures, comprenant la signe « INDAS » qui couvrent des produits dans ces mêmes classes.

Le demandeur a réclamé une preuve de l’usage de ces marques antérieures, ce que la défense a dûment rapporté. Sur cette base, l’opposition formée a été accueillie par l’EUIPO. Le demandeur a alors formé un recours auprès de l’EUIPO qui a été rejeté. Finalement, l’affaire a été portée devant la CJUE.

L’étendue territoriale de la notion d’usage sérieux

La CJUE a examiné la question de savoir si la preuve de l’usage d’une marque communautaire, dans un État membre, était suffisante pour démontrer son usage sérieux, conformément à l’article 47, paragraphe 2, du Règlement sur les marques communautaires.

Il est intéressant de noter que la CJUE a rejetél’argument selon lequel l’étendue territoriale de l’usage d’une marque communautaire ne peut être limitéeau territoire d’un seul État membre. La Cour a également rejeté l’argument selon lequel l’usage sérieux d’une marque communautaire nécessite que la marque soit utilisée dans une partie substantielle de l’UE.

Cependant, la CJUE admet toujours qu’il est raisonnable qu’une marque communautaire soit utilisée dans un territoire plus vaste que celui d’un État membre, afin de prouver son usage sérieux. Toutefois, la Cour souligne qu’il n’est pas toujours impératifque la marque soit utilisée dans une étendue géographique extensive, car l’usage sérieux est apprécié de manière globale. Cet usage sérieux dépend de toutes les caractéristiques des produits ou services concernés, et pas seulement de la portée géographique de l’usage.

La CJUE accepte que, dans certains cas, le marché des produits ou services couverts par une marque communautaire puisse être limité au territoire d’un seul État membre. Dans ce cas, la preuve d’un usage sérieux de la marque communautaire dans cet État peut satisfaire aux conditions d’un usage sérieux.

Évaluation de l’usage sérieux

La CJUE considère qu’il est impossible de déterminer, a priori, l’étendue territoriale requise afin d’évaluer si l’usage d’une marque communautaire est sérieux ou non. En revanche, une marque est présumée être utilisée de façon sérieuselorsqu’elle est utilisée conformément à :

– sa fonction essentielle de garantir l’origine des produits ou services concernés ;

– et dans le but de maintenir ou de créer des parts de marchédans l’UE.

Lors de l’évaluation de l’usage sérieux, les facteurs suivants doivent être pris en compte : les caractéristiques du marché en cause, la nature des produits ou des services protégés par la marque, l’étendue territoriale et quantitative, la fréquence et la régularité de l’usage.

Influence de la Décision

Il s’agit d’une interprétation importante de la CJUE concernant la charge de la preuve lorsqu’il s’agit de démontrer l’usage sérieux d’une marque communautaire. La Cour indique clairement que la portée territoriale n’est qu’un des nombreux facteurs à prendre en considération pour évaluer si la marque fait l’objet d’un usage sérieux ou non.

Cela ne signifie pas que l’étendue territoriale de l’usage de la marque n’a aucune importance. Toutefois, la CJUE affirme que l’étendue géographique de l’usage de la marque n’est pas le seul facteur à prendre en compte. Cette appréciation dépend de tous les faits et circonstances pertinents pour déterminer si l’usage commercial de la marque crée ou maintient des parts de marchépour les produits ou services concernés.

Par conséquent, la CJUE affirme que l’appréciation du caractère sérieux de l’usage d’une marque fait l’objet d’une appréciation globale. La portée territoriale de l’usage n’est qu’un facteur de cette appréciation, en outre des autres facteurs mentionnés dans cet article. Cette interprétation entraînera certainement des changements dans la vision stricte selon laquelle l’usage sérieuxd’une marque communautaire ne peut être prouvé en démontrant son utilisation dans un seul État membre. Cela devrait alléger la charge de la preuve pour les titulaires de marques.

Written by Dreyfus20/09/2019

La Cour Suprême russe a adopté le 23 avril dernier la Résolution n° 10/2019, clarifiant par la même occasion les dispositions de la Partie 4 du Code civil russe relative aux droits de propriété intellectuelle, et donc aux noms de domaine, objets du présent article.

Parmi les précisions apportées, la Cour Suprême russe a notamment décidé que les tribunaux de commerce étaient compétent pour statuer sur les litiges relatifs aux signes distinctifs (à l’exception toutefois des appellations d’origine), que la partie concernée soit une personne individuelle, un entrepreneur privé ou une société. Auparavant, les tribunaux de commerce et les tribunaux de droit commun étaient compétents en fonction de l’identité des titulaires des droits de propriété intellectuelle.

Par ailleurs, s’agissant de l’obtention des informations relatives à l’identité des réservataires de noms de domaine russes, il est de plus en plus difficile de récupérer ces informations.

En effet, bien qu’effectuer une demande de divulgation de l’identité des réservataires de noms de domaine auprès des bureaux d’enregistrement soit possible, obtenir les informations escomptées est devenu de plus en plus compliqué sans une action judiciaire puisque beaucoup de bureaux d’enregistrement refusent de dévoiler ces informations en se réfugiant derrière la législation applicable ou en demandant des documents supplémentaires.

La Résolution n° 10/2019 précise que ces informations peuvent être obtenues par le biais d’un tribunal en déposant une demande de divulgation des données personnelles lors d’une action judiciaire. Cependant, cela est compliqué quand l’identité des réservataires des noms de domaine est inconnue. Une des solutions serait d’engager une action judiciaire à l’encontre des bureaux d’enregistrement et de déposer par la suite une demande de divulgation des données personnelles. Il serait alors possible de substituer le défendeur.

En outre, en ce qui concerne les violations des droits de marques par la réservation et l’usage d’un nom de domaine, la Cour Suprême russe a déclaré que la violation d’une marque était caractérisée en cas d’utilisation d’un nom de domaine pour des produits et services similaires à ceux désignés par la marque en question, et dans certains cas encore, par la réservation du nom de domaine uniquement. Il faut tenir compte des fins de la réservation du nom de domaine afin de juger si une atteinte à une marque est caractérisée.

Enfin, la Cour Suprême russe apporte diverses précisions supplémentaires. Par exemple, une réclamation pécuniaire peut être déposée contre l’utilisateur actuel d’un nom de domaine. En outre, il est possible de demander des mesures provisoires en matière de noms de domaine. Enfin, elle a aussi affirmé que pour les affaires concernant des noms de domaine, sont recevables les preuves consistant en des captures d’écran imprimées de sites Internet dans lesquelles sont clairement affichées l’adresse des sites Internet en question, l’heure à laquelle les captures d’écran ont été réalisées et si elles ont été vérifiées par les parties à la procédure.

Ces précisions sont les bienvenues. Nous vous informerons de tout développement ultérieur à ce sujet. Dreyfus est spécialiste de la stratégie de protection et de défense des noms de domaines et peut trouver des solutions adaptées à vos besoins. N’hésitez pas à nous contacter.

Written by Dreyfus06/09/2018

Compte tenu de l’importance du sujet des cybercriminalités, le ministère de l’intérieur a publié en mai 2018 un deuxième rapport de réponse dédié aux cybermenaces. Comme le ministre l’affirme, il s’agit d’un panorama riche et approfondi des phénomènes cyber et des réponses actuellement apportées par le ministère. Ce rapport est composé de trois parties principales :

Enjeux stratégiques liés aux cybermenaces
Usages, phénomènes et perception de la menace
Les actions du ministère de l’intérieur pour la gestion des cyber-menaces

Dans la première partie concernant les enjeux stratégiques liés aux cybermenances, trois enjeux sociétaux, économiques et juridiques ont été identifiés. Quant aux enjeux sociétaux, il s’agit de l’emploi d’internet à des fins terroristes (Crowdsourcing des activités de terroristes), l’évolution des usages des technologies de l’information et des communications comme les forums de discussion et les crypto-monnaies, les trafics illicites sur les Darknets (web profond) à travers d’utilisation de plus en plus accrue des outils de chiffrement et d’anonymisation.

Les enjeux économiques concernent entre outres, le développement du marché de la cybersécurité, ainsi que le contre-ingérence économique. A titre d’exemple, pour les organisations, les atteintes motivées par l’appât du gain, le sabotage, l’espionnage ou l’ingérence économique ont des incidences financières et réputationnelles remarquables.

Quant aux enjeux juridiques et normatifs des cybermenaces l’évolution du cadre français, l’impact des directives (NIS) et règlements européens (RGPD) et de la jurisprudence de la CJUE sur la lutte contre les cybermenaces (arrêt 21 décembre 2016), les travaux du Conseil de l’Europe, l’Assemblée générale des Nations Unies et le groupe G7, ainsi que la coopération internationale, compte tenu de la dimension internationale de la cybercriminalité, ont été énumérés dans le rapport.

Dans la deuxième partie concernant usages, phénomènes et perception de la menace, trois facteurs de la vulnérabilité, l’ingénierie sociale et les logiciels malveillants ont été identifié en tant que trois vecteurs principaux de diffusions des attaques telles qu’attaque ciblée et attaques en profondeur, détournement et vol de données, dénis de services, défiguration et les attaques téléphoniques.

L’internet avec un taux de pénétration de 87% en France et 54% dans le monde a été identifié comme le support principal, notamment à travers des smartphones et des tablettes, et désormais les objets connectés et les espaces intelligents, à des fins de terroristes, des escroqueries, d’extorsions de fonds, de fraude à la carte bancaire, des marchés criminels en ligne, des atteintes aux mineurs, de contrefaçon des œuvres de l’esprit et finalement d’atteinte à la démocratie. L’étude menée sur l’ensemble des faits portés à la connaissance de la gendarmerie montre une tendance globale en hausse de 30 % par rapport à 2016 ; plus de 60 % du total de ces infractions sont des escroqueries liées à Internet.

Dans la troisième partie concernant les actions du ministère de l’intérieur, trois actions principales de prévention et protection, d’enquête et d’innovation ont été envisagées. L’actions de prévention vise le grand public, la sensibilisation du monde économique, l’intelligence économique territoriale ainsi que la protection des systèmes d’information du ministère. La protection peut être garantie par le transfert de risque par le biais de l’assurance dont la couverture du risque cyber commence à se développer, même si les actifs intangibles ne peuvent encore être assurés de façon standardisée. Quant à l’action d’enquête au-delà de l’accueil des victimes d’actes de cybercriminalité, des services spécialisés comme investigation si possible sous pseudonyme, formation et coopération ont été envisagés.

En ce qui concerne l’action d’innovation, six axes principaux ont été identifiés : il s’agit de recherche et développement (outils d’investigation et d’analyse numérique (forensics) ainsi que projet de recherche académique), partenariat public-privé (Travaux de la filière industrie de sécurité, Cercles de réflexion), Transformation numérique : mieux signaler, mieux communiquer autour du cyber (Projet Néo PN/GN), Brigade numérique de la Gendarmerie, La mise en place du réseau des référents cybermenaces zonaux, Communication de crise : Système Alerte d’Information des Populations (SAIP) et Médias Sociaux en Gestion d’Urgence (MSGU)), mieux appréhender les phénomènes de masse (Projet Thésée, Projet Perceval), aider à la remédiation à travers des plateformes d’assistance aux victimes de cyber-malveillance, identité numérique.

A l’ère de l’économie numérique et face à la transformation numérique, la cybersécurité constitue un enjeu crucial à la fois pour les consommateurs adoptant davantage des pratiques d’achat et d’usage en ligne notamment les mineurs ainsi que pour les secteurs privé (notamment le secteur bancaire et financier, ainsi que le secteur de la santé) et public. La stratégie de la lutte contre les cybermenaces doit être l’affaire de tous (le secteur public, privé et les individus). Il convient ainsi de renforcer la capacité collective à prévenir et lutter contre le terrorisme…

Written by Dreyfus02/07/2018

Alors que les questionnements fusaient au sujet de la mise en œuvre du RGPD à l’approche de son entrée en application le 25 mai 2018, les premières réactions relatives à sa mise en conformité émergent.

Tandis que beaucoup d’entreprises espéraient une entrée en vigueur du règlement dans des conditions clémentes de la part des autorités de contrôle des Etats membres, les associations de consommateurs étaient, contre toute attente, au pied levé lors de l’entrée en vigueur du texte. Elles ont rapidement profité d’opportunités que leur offraient certains articles du RGPD de reprendre la maitrise de leurs données personnelles. Notamment, l’article 77 qui énonce que « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle (…) si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. ». Les plaintes individuelles ainsi que les actions de groupes abondent.

Dès le 25 mai 2018, jour de l’entrée en application du RGPD, Facebook, Google, Instagram, WhatsApp ont fait l’objet de plaintes pour non-conformité au RGPD déposées auprès de différentes autorités nationales par Maximilian Schrems, avocat autrichien et activiste de la protection des données personnelles. Trois jours après, l’association « La quadrature du Net », disant réunir plus de 12 000 plaignants, a lancé de mêmes plaintes contre Amazon, Google, Facebook, LinkedIn, et Apple. Des plaintes fondées sur la non-conformité aux conditions fixées par le RGPD pour l’obtention du consentement des consommateurs dans la collecte de leurs données personnelles. Selon les attaquants, le consentement à la collecte et l’utilisation des données personnelles n’est pas cédé librement. Il serait plutôt question d’une politique du « tout ou rien », une acceptation forcée à défaut de quoi les consommateurs ne peuvent pas utiliser les services visés. Les grandes entreprises profiteraient ainsi de leur situation de domination. Ces plaintes pourraient coûter cher aux entreprises puisque les amendes pour infraction au RGPD peuvent représenter jusqu’à 4% du chiffre d’affaire mondial de l’entreprise.

La façon dont ces plaintes seront traitées et de quelle manière les peines seront appliquées reste en suspens. Les différentes autorités nationales de protection des données personnelles seront amenées à travailler ensemble pour aboutir à une décision unique concernant chacune des entreprises. Les prochaines décisions seront donc décisives et sont très largement attendues.

Written by Dreyfus07/05/2018

Parallèlement à une législation toujours plus stricte, les nouvelles technologies sollicitent de manière accrue nos données personnelles, souvent à caractère sensible.

La reconnaissance faciale

La reconnaissance faciale est une innovation aujourd’hui largement utilisée par les grands groupes de la Tech, tels que Samsung ou Hauwai. Apple reste néanmoins la société ayant indéniablement reçu le plus grand écho lors de la sortie de son nouvel iPhone X en novembre 2017 en présentant sa technologie de face ID, qui permet de déverrouiller son téléphone portable sans effort. Pour ce faire, cette innovation se base sur des mesures extrêmement précises des dimensions du visage de l’utilisateur. Ces données biométriques permettent ensuite de le détecter en toute circonstance, quelle que soit sa position.

A la fois pratique et ludique, cette technologie permet cependant de se questionner sur la compatibilité d’un tel traitement de données par la firme à la pomme avec les législations en vigueur et à venir et tout particulièrement le Règlement général sur les données personnelles (RGPD) qui entrera en application le 25 mai 2018. Ce dernier tendant en effet à être de plus en plus stricte vis-à-vis des entreprises collectant des données personnelles, il est ainsi intéressant d’analyser si un recueil de telles données biométriques ne puisse pas être remis en question par le règlement.

Le traitement des données sensibles

En effet, contrairement à la directive sur les données personnelles antérieurement applicable, le RGPD spécifie que les données biométriques entrent dans le champ des « données sensibles » (article 9 du règlement). Le considérant n° 51 du RGPD les définit en tant que données « traitées selon un mode technique spécifique permettant l’identification ou l’authentification unique d’une personne physique ». Bien que cette définition reste relativement vague, il est fort à parier que les juges feront rentrer la reconnaissance faciale dans une telle catégorie de données personnelles. Une telle qualification dispose d’une grande importance, dans la mesure où le RGPD interdit en principe une telle collecte, sauf si ce recueil remplit les conditions énoncées à l’article 9-2. Elle est en effet tolérée si « la personne concernée a donné son consentement explicite au traitement de ces données (…) pour une ou plusieurs finalités spécifiques ».

En faisant attention à remplir rigoureusement de telles conditions, Apple pourrait en effet effectuer ces traitements de données, à condition que, tel qu’autorisé par l’article 9-3 dudit règlement, l’Etat européen dans lequel le traitement est effectué ne prévoit pas de dispositions plus contraignantes.

La firme devra en outre s’atteler à répondre aux exigences de l’article 35 dudit règlement. En effet, concernant les données collectées avec le recours à de nouvelles technologies qui représenteraient un risque élevé pour les droits et liberté de personnes physiques, le RGPD exige que les entreprises effectuent une analyse détaillée les concernant. A travers sa collecte de données biométriques via son iPhone X, la firme se trouve de fait confrontée à une telle obligation. L’analyse visée devra notamment comporter une description systématique des opérations de traitement envisagées, une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ainsi qu’une une évaluation des risques pour les droits et libertés des personnes concernées.

Concernant les potentiels risques, Apple avait déjà communiqué sur le degré de sécurisation accrue qu’il accordait à ce type de données : en effet, la firme ne conserve pas les données biométriques de l’utilisateur sur un serveur externe dans la mesure où celles-ci sont chiffrées et verrouillées dans le processeur du smartphone via le Secure Enclave (espace de stockage ultra sécurisé). Cependant un tel degré de sécurité avait été remis en cause par une polémique ayant éclaté il y a quelques mois. L’American Civil Liberties Union (ACLU), équivalent de la CNIL aux Etats-Unis, avait averti sur le fait qu’Apple partagerait ces données biométriques avec des développeurs d’applications tiers. Le partage de données en ce qui concerne la reconnaissance faciale permettrait aux développeurs d’ajouter de nouvelles fonctionnalités sur leurs applications. Même si Apple leur interdisait d’utiliser les données pour faire de la publicité ou du marketing, des experts en sécurité avait soulevé le fait qu’un risque subsistait, quand à une utilisation frauduleuse des données par les développeurs, les détournant de leur utilisation présupposée.

Le face ID, conforme au RGPD ?

Apple devra donc prendre au sérieux les enjeux du RGPD en assurant à la fois un consentement explicite et éclairé des utilisateurs quant aux traitement de leurs données, une haute sécurisation de celles-ci ainsi qu’un usage strictement proportionné au but poursuivi des images collectées. L’innovation de la firme à travers son face ID est en effet un exemple typique de l’usage accru de données de plus en plus sensibles à travers les nouvelles technologies. C’est d’ailleurs bien ce que l’Union européenne avait compris lors de ses réflexions sur le RGPD. Quand bien même à ce stade, de simples suppositions concernant l’alignements des entreprises de la high-tech avec cette législation peuvent être faites, il faudra rester bien attentif à l’interprétation des juges concernant le traitement de ce type de données.

L’innovation de la firme à travers son face ID est en effet un exemple typique de l’usage accru de données de plus en plus sensibles à travers les nouvelles technologies. C’est d’ailleurs bien ce que l’Union européenne avait compris lors de ses réflexions sur le RGPD. Quand bien même à ce stade, de simples suppositions concernant l’alignements des entreprises de la high-tech avec cette législation peuvent être faites, il faudra rester bien attentif à l’interprétation des juges concernant le traitement de ce type de données.

Written by Dreyfus11/04/2018

Si la plupart des responsables ont désormais compris l’enjeu du règlement général sur la protection des données (RGPD) qui entrera en application le 25 mai 2018, la mise en œuvre de ses dispositions reste difficile à appréhender. A deux mois de son application, il est impératif pour les entreprises de sensibiliser leurs équipes sur les objectifs du règlement et surtout, sur la façon de les mettre en pratique.

1.La cartographie des risques

Afin de mettre en œuvre son plan de conformité, l’entreprise doit commencer par recenser les traitements de données personnelles, l’ensemble des flux informatiques et manuels pour déterminer d’où provient chaque traitement, par qui est-il effectué, et enfin, sa finalité. Cette cartographie de la donnée permettra in fine, de définir les enjeux et les risques propres à l’entreprise. Dans ce cadre, la CNIL propose des exemples de fiche de registre afin d’orienter les équipes de travail sur les actions à mener.

Une feuille de route adressée à son équipe de travail

Une fois la cartographie établie, l’équipe doit prioriser ses actions en rédigeant une feuille de route comprenant :

– une méthode assurant la gestion des risques identifiés préalablement par l’équipe de travail

– la sensibilisation des opérationnels au sein de l’entreprise

– la mise en place d’une nouvelle gouvernance

– la création d’un processus de gestion des traitements afin d’assurer la conformité de l’entreprise en continue.

L’information de l’individu en cas de collecte de données personnelles à partir de sources externes

S’il est possible de traiter de données collectées auprès de sources externes telles que les bases de données publiques, les réseaux sociaux, les listes de prospects, les dispositions du règlement doivent être respectées. Cependant, l’entreprise devra faire valoir un intérêt légitime au recueil de ces données au titre de l’article 47 du RGPD. Cet intérêt légitime peut être avancé lorsque :

Le traitement des données a lieu dans le cadre d’une relation client
Le traitement est opéré à des fins marketing
Le traitement prévient la fraude ou assure la sécurité du réseau des systèmes informatiques

Le choix de l’individu relativement à la collecte de ses données personnelles

Afin de pouvoir traiter les données personnelles, l’entreprise doit permettre à l’individu de fournir son consentement et ce, expressément au titre de l’article 7 du RGPD. En pratique, les cases pré-cochées seront exclues au bénéfice d’une disposition exclusivement consacrée au consentement de l’individu et ce, pour chaque donnée personnelle collectée. Cela permet de limiter la sur-collecte de donnée ; par exemple recueillir la date de naissance exacte de l’individu ne sera plus autorisé si l’année de naissance suffit à répondre à la finalité du traitement, tout comme son lieu de résidence exact si le pays suffit. Face à ces exigences, l’entreprise devra s’adapter et ne conserver que les données strictement nécessaires. Par ailleurs, si l’individu souhaite modifier ou même supprimer ses données personnelles, cette manipulation doit être facilement réalisables, ce qui suppose de rendre flexible son système de collecte de données personnelles.

S’assurer de la conformité des sous-traitants

Si les détenteurs directs des données personnelles sont visés par le règlement, ce dernier s’applique aussi aux sous-traitants et vendeurs dès lors qu’ils disposent d’un accès à ces données. En effet, ces derniers doivent attester de leur conformité avec le RGPD. Pour se faire, les entreprises devront insérer dans les contrats, s’ils sous-traitent les données collectées, des clauses types relative à la protection des données attestant de leur conformité au RGPD.

Quels sont les outils de travail des collaborateurs visés par le RGPD ?

Par définition, le RGPD s’applique lorsque

Le traitement est effectué par des « moyens automatisés »
Lorsque les données « font partie d’un système de classement ou sont destinées à faire partie d’un système de classement » bien que le traitement ne soit pas réalisé par des moyens automatisés stricto sensu.

En ce qui concerne le premier cas, les équipes de travail devront seulement procéder aux conversions des documents sous format numérique. En ce qui concerne le second cas, les équipes de travail doivent entendre par système de classement « tout ensemble structuré de données personnelles qui est accessible selon des critères spécifiques ». En pratique, tous les documents papiers non organisés comme les documents en vrac sur une imprimante, sur un bureau ne sont pas soumis au RGPD. A contrario, dès lors que ces documents papiers sont organisés par les collaborateurs de manière à être accessibles selon des critères définis, le RGPD s’appliquera. A titre d’exemple, seront soumis au RGPD les fichiers placés dans un classeur indexé par nom, les rapports de dépenses triés par fonction et triés en interne ou encore les dossiers du département des ressources humaines.

Au regard des changements futurs, nous préconisons d’engager la mise en conformité dès que possible. Doté à présent d’un département dédié aux problématiques des données à caractère personnel et d’un département assorti de compétences techniques, Dreyfus & associés est le partenaire idéal pour vous accompagner dans cette démarche de transition.

Written by Dreyfus10/04/2018

L’adoption du « paquet européen de protection des données » le 27 avril 2016 a lancé au sein des Etats membres un mouvement de réforme des législations nationales sur les données personnelles. C’est notamment l’entrée en vigueur du Règlement Général sur la Protection des Données 2016/679 (http://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:32016R0679&from=FR) (« RGPD ») qui vient marquer une avancée notable en la matière. C’est dans l’optique de l’application de ce règlement que le gouvernement français a rendu public le 13 décembre 2017 le « Projet de loi relatif à la protection des données personnelles » venant adapter la Loi informatique et libertés au RGPD ( http://www.legifrance.gouv.fr/affichLoiPreparation.do?idDocument=JORFDOLE000036195293&type=general&typeLoi=proj&legislature=15).

Ce projet de loi met en avant la volonté, contenue dans le règlement européen, d’accentuer l’influence des autorités de contrôle nationales compétentes en matière de données personnelles. A cet effet, de nombreux changements relatifs aux pouvoirs et à l’organisation de la CNIL (http://www.cnil.fr/) sont prévus. On relève, le renforcement de son rôle, notamment à travers l’extension de ses pouvoirs en matière de « soft law » et de sanction. Certaines modifications concernent également son pouvoir d’investigation et sa coopération avec d’autres autorités de contrôle de l’UE. En ce sens on constate que la CNIL pourra désormais assortir ses conclusions d’une demande de question préjudicielle à la Cour de Justice de l’Union européenne en vue d’apprécier la validité de la décision d’adéquation de la Commission européenne ainsi que de tous les actes pris par la Commissions européenne autorisant ou approuvant les garanties appropriées dans le cadre des transferts de données. En outre, on constate l’élargissement de son champ d’action par le biais de sa capacité à demander au Conseil d’Etat ( http://www.google.fr/search?q=conseil+d%27%C3%A9tat&rlz=1C1CHBD_frFR778FR778&oq=conseil+d%27&aqs=chrome.0.69i59j0j69i57j0l3.1759j1j4&sourceid=chrome&ie=UTF-8) d’ordonner la suspension ou la cessation du transfert de données en cause, le cas échéant sous astreinte.

Par ailleurs, le projet de loi établit une procédure spécifique pour le traitement des données issues du domaine de la santé. Si cette catégorie de traitement inclut la recherche médicale et l’évaluation des soins, elle exclut cependant, dès lors qu’ils relèvent des dispositions sur les données sensibles, les traitements « nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de service de santé ». Aussi, conformément au RGPD, le projet de loi met en place une interdiction de principe de traiter des données dites « sensibles », de traiter des données génétiques et biométriques aux fins d’identifier une personne physique de manière unique. Il va en revanche plus loin que l’article 9.2 du RGPD en prévoyant la possibilité, pour l’administration et les employeurs d’utiliser des données biométriques à des fins de contrôle d’accès aux lieux de travail, appareils et applications. De plus, le projet de loi limite à seulement certaines catégories de personne l’utilisation des données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes à seulement certaines catégories de personnes. Une exception est, en revanche, prévue lorsque ce type de données est utilisé dans le but d’exercer une action en justice en tant que victime, mis en cause, ou pour le compte de ceux-ci et de faire exécution la décision rendue. Enfin, il a été prévu, en matière procédurale, que les personnes concernées pourront être représentées individuellement par toute organisation ou association habilitée à procéder à des actions de groupe dans le cadre de réclamation ou d’action à l’encontre de la CNIL.

Bien que le projet de loi s’inscrive dans la lignée du RGPD, on relève, néanmoins, quelques divergences entre les deux textes. En effet, si le RGPD supprime les formalités préalables auprès des autorités de contrôle, sous réserve de quelques exceptions, le projet de loi, lui, les conserve auprès de la CNIL pour les données de santé dans certains domaines. De surcroît, il conserve également un niveau élevé d’autorisation pour les traitements pour le compte de l’Etat, dont l’utilisation de données biométriques ou génétiques à titre d’indentification et de contrôle d’identité. Les traitements nécessitant l’utilisation du numéro de sécurité sociale (NIR) seront également autorisés dans le cadre d’un décret en Conseil d’Etat, pris après avis motivé et publié de la CNIL qui déterminera les catégories de responsables de traitement et les finalités de ces traitements. L’utilisation des NIR sera également autorisée à titre dérogatoire pour les besoins de statistiques nationales, de relations électroniques avec l’administration française et de recherche scientifique. Par conséquent, le projet de loi s’avère plus inflexible à cet égard.

On regrette l’absence de précisions du projet de loi quant à la nomination du Délégué à la Protection des Données (« DPO ») ou encore quant à l’âge requis concernant le consentement des mineurs, aspects pour lesquels était pourtant prévue une certaine marge de manœuvre aux Etats membres.

En conclusion, au vu de ces quelques décalages, il est certain que, même après l’adoption de la loi, certaines modifications soient encore nécessaires pour rendre la loi française d’autant plus compatible avec le RGPD. On tiendra cependant à mesurer l’impact de ces divergences dans la mesure ou le règlement européen demeure d’application directe.

Written by Dreyfus05/01/2018

Après plusieurs mois de travaux débutés en mars 2016, le pack « véhicules connectés et données personnelles » publié en octobre dernier par la CNIL constitue une véritable « boite à outil » pour les professionnels du secteur automobile.

L’enjeu du pack de conformité

Grâce à ce référentiel, les professionnels du secteur automobile pourront intégrer la protection des données personnelles de leurs usagers, et dans le même temps, se conformer au Règlement général sur la protection des données (RGPD), qui sera applicable dès le 25 mai 2018.

Elaboré par la CNIL en concertation avec les acteurs tant publics que privés du secteur, ce pack s’applique aux véhicules disposant d’un système de communication avec l’extérieur. Si ce système de communication fournit aux usagers une multitude de nouveaux services, leur mise en place imposent une collecte considérable de données sur le conducteur et son interaction avec l’environnement routier.

Par ce référentiel, la CNIL cherche à sensibiliser les professionnels du secteur sur le caractère personnel de certaines données collectées, pour lesquelles une protection particulière est exigée au titre de la Loi Informatique et Libertés du 6 janvier 1978 et du RGPD.

La collecte de données personnelles

Ce pack intervient dans un objectif de protection, puisque ces collectes de données personnelles, définies comme toutes informations permettant d’identifier une personne physique, sont susceptibles de porter atteinte à la vie privée des usagers de ces véhicules connectés. En effet, on peut relever de nombreux risques inhérents à la connectivité des véhicules. A titre d’exemple, les données de géolocalisation recueillies révèlent les habitudes des usagers, et pourraient inciter des personnes malveillantes à s’introduire au sein de leurs domiciles en leurs absences.

Vers une utilisation responsable des données

Afin de responsabiliser l’utilisation des données, la CNIL a différencié dans son pack trois options pour lesquelles des lignes directrices sont proposées aux professionnels bien que la première soit vivement encouragée par la Commission :

Les données collectées dans le véhicule restent dans celui-ci sans transmission au fournisseur de services ;
Les données collectées dans le véhicule sont transmises à l’extérieur pour fournir un service à la personne concernée ;
Les données sont transmises à l’extérieur pour déclencher une action automatique dans le véhicule.

En incitant les industriels à intégrer la protection des données personnelles des usagers des véhicules connectés qui produisent en moyenne 1 milliard d’octets de données par jour, ce guide assure une transparence et la maîtrise par les personnes de leurs données.

L’adaptation future du pack CNIL aux véhicules autonomes

Si ce texte anticipe l’avenir du secteur automobile, il a vocation à être modifié dans le futur afin de s’adapter cette fois, aux voitures autonomes qui produiront 30 000 fois plus d’octets de données par jour selon Le Monde. Cela s’explique puisqu’à terme, le véhicule autonome aura besoin de capter, analyser, comprendre son environnement en permanence, devenant par conséquent véritablement dépendant des données collectées.

Si le pack s’applique aujourd’hui expressément aux véhicules connectés, deux de ses obligations impactent considérablement le développement des véhicules autonomes : la protection des données dès la conception du produit régit par le principe du Privacy by design et la protection des données par défaut, encadrée par le principe du Security by default.

La conception de véhicules « ethics by design » en réponse à l’objectif de protection de vie privée des usagers

En effet, de graves conséquences sur la vie privée des utilisateurs peuvent résulter de l’usage de ces véhicules connectés. Ainsi, afin d’éviter tout manquement au principe de la protection de la vie privée et gagner la confiance des utilisateurs quant à l’usage de ces nouvelles technologies, des questions éthiques se posent et de nouveaux engagements s’imposent. Parmi ces engagements, les constructeurs automobiles et les fournisseurs de plateformes d’intelligence artificielle pourraient être liés par l’obligation de concevoir des véhicules considérés comme « ethics by design ».

Ayant vocation à évoluer selon l’application du RGPD, et selon les progrès de la technologie, nous vous recommandons d’engager la mise en conformité dès que possible. Doté d’un département dédié aux problématiques des données à caractère personnel et d’un département assorti de compétences techniques, Dreyfus & associés est le partenaire idéal pour vous accompagner dans cette démarche de sécurisation des données collectées.

Written by Dreyfus24/10/2017

La loi Lemaire a été promulguée en France le 7 octobre 2016. Elle a pour but de libérer l’innovation et créer un cadre de confiance garantissant les droits des utilisateurs et protégeant leurs données personnelles. Un de ses objectifs est d’assurer en France un service public de la donnée. Ce service public est déjà entré en vigueur et ne cesse de s’améliorer. Cette notion de service public de la donnée arrive à l’ère où l’on parle de la donnée comme l’or noir du 21ème siècle. Il va permettre de mettre en place un cadre juridique à cette donnée.

I. La mise à disposition des données

Désormais il s’agit donc d’un service public comme un autre. Il a une existence physique, une définition et se retrouve sur data.gouv.fr/référence.
Ce service regroupe 4 dimensions que sont :
– Les producteurs de données (administrations) ;
– Les diffuseurs de données ;
– Les utilisateurs de données (personnes privées et publiques/acteurs qui vont réutiliser ces données) ; et
– La mission Etalab qui pilote la mise en place de ce service public.

Actuellement, 9 bases de données sont comprises dans le service public. Elles sont donc désormais publiées et accessibles à tous et sont les suivantes :
– BAN : base adresse nationale ;
– Base Sirene des entreprises et de leurs établissements ;
– COG : code officiel géographique ;
– PCI : plan cadastral informatisé ;
– RPG : registre parcellaire graphique ;
– Référentiel de l’organisation administrative de l’Etat ;
– RGE : référentiel à grande échelle ;
– RNA : répertoire national des associations ; et
– ROME : répertoire opérationnel des métiers et des emplois.

Certains ont pu objecter le fait que ces données étaient déjà disponibles avant la création de ce service public. En revanche, la publication était éparse et peu connue. Grâce à la création d’un service public dédié aux données, la mission française Etalab espère assurer la pérennité de ces données, leur sécurité économique et la sécurité des investissements des producteurs de données. De plus, il devrait ressortir de ce service public une garantie de stabilité et de visibilité de ces bases.
En tant que juriste on ne peut que remarquer l’absence des données juridiques. Cette question a été débattu lors de l’adoption de la loi. Il avait été conclu que ces données n’étaient pas encore prêtes à être publiées, sous-entendant qu’elles le seront un jour et qu’une base juridique n’est pas exclue.

II. Le service public de la donnée et les droits de propriété intellectuelle

Auparavant, la loi du 17 juillet 1978 relative à la liberté d’accès aux documents administratifs et à la réutilisation des informations publiques posait les premières bases de cette donnée publique qui était fondée sur 2 piliers :
– L’accès aux documents administratifs ; et
– L’utilisation des informations qui y figurent.

Désormais, la loi française Lemaire ajoute le principe de réutilisation de ces données qui découle de l’accès à ces données. Sans accès aux données aucune réutilisation n’est possible. A l’opposé de l’accès, l’utilisation et la réutilisation des données, on retrouve les droits de propriété intellectuelle. En effet, qui dit ouverture des données entend liberté. Au contraire, un droit de propriété intellectuelle sous-entend monopole d’exploitation et un accès retreint. Il semble donc que le service public de la donnée et les droits de propriété intellectuelle soient trop différents pour être conciliables.
Cette opposition va encore plus loin avec la loi Lemaire qui impose une publication des données. Jusqu’à présent les données étaient accessibles sur demande de l’administré. Désormais, la logique est inversée puisque l’administration est directement obligée de publier les données.
C’est dans ce contexte que les droits de propriété intellectuelle surgissent. En effet, lorsque les données étaient accessibles sur demande individuelle, le risque de violation d’un droit était moindre. Au contraire, le risque de reproduction et de représentation est beaucoup plus important lorsque les données sont spontanément publiées et accessibles à tous.
La loi a tout de même prévu une limite. L’article 11 de la loi Lemaire prévoit en effet : « Sous réserve de droits de propriété intellectuelle détenus par des tiers, les droits des administrations […] ne peuvent faire obstacle à la réutilisation du contenu des bases de données que ces administrations publient ». Ainsi, la réutilisation des données présentes sur les bases de données dont le service public est responsable n’est pas absolue.
Concernant les droits de propriété intellectuelle, la doctrine est unanime pour dire que seuls les droits d’auteurs sont susceptibles d’être entendus dans la réserve formulée, qui n’inclut donc ni les marques, ni les brevets.

Il s’agit ensuite d’établir quels titulaires de droit d’auteur peut se prévaloir de cette réserve. Dans l’hypothèse où l’administration pourrait s’opposer à la réutilisation sur le fondement de ses propres droits de propriété intellectuelle, le droit de réutilisation serait obsolète et sans intérêt. En toute logique, la jurisprudence considère qu’il s’agit des droits de tiers à l’administration.
Dans le même sens, la loi française précise que les administrations ne peuvent pas non plus se prévaloir de leurs droits de producteur de bases de données pour faire obstacle à la réutilisation des données contenues dans ces bases.

III. Conflit entre le service public et la protection des données personnelles

Lorsque l’on parle d’open data, on fait référence à l’ouverture des données. Il existe donc une opposition naturelle entre l’open data et la protection des données personnelles. Dans le but de concilier les deux, la loi pour l’économie numérique fait une distinction entre vie privée et données à caractère personnel.
– Vie privée : la position primaire du législateur est de favoriser l’open data mais toujours dans le respect de la vie privée. Par principe un document portant atteinte à la vie privée ne peut pas être communicable à tous.
– Donnée à caractère personnel : il n’existe pas de principe d’interdiction et de communication. Le législateur procède autrement. Il dit qu’il est possible de publier des documents qui comportent des données à caractère personnel et les liste. Un décret est attendu pour lister tous les documents qui pourront être publiés sans avoir besoin de faire l’objet d’un traitement avant publication.

Aujourd’hui il existe une harmonisation entre le droit de communication d’un document à une personne et le droit de publication. Dès lors qu’un document est communicable, il peut être publié.

En conclusion, le débat entre la publication des données et la protection des données à caractère personnel est toujours d’actualité. Il est important d’avoir conscience qu’il existe des restrictions de publications des données à caractère personnel, mais également de données portant atteinte à un droit de propriété intellectuelle. Dotée d’un département Nouvelles Technologies, Dreyfus & associés peut vous assister aussi bien sur des questions de droit de propriété intellectuelle, mais aussi de données personnelles et NTIC.

Written by Dreyfus05/10/2017

La protection des données à caractère personnel est un sujet d’inquiétude grandissante pour les consommateurs dont les données sont collectées. Le nouveau Règlement Général sur la Protection des Données (RGPD, Règlement 2016/679 du 27 avril 2016) entre en vigueur le 25 mai 2018. Ses nouvelles dispositions mettent en place de nouvelles obligations assorties de sanctions lourdes pouvant atteindre plusieurs millions d’euros. Le G29 a clarifié certaines de ces obligations. En particulier, il est à présent obligatoire de documenter les démarches mises en place pour se mettre en conformité, de tenir un registre ou encore de désigner un Délégué à la Protection des Données dans certains cas.

Afin de se conformer, un audit permettant d’établir une cartographie précise de l’ensemble des traitements des données au sein de l’entreprise est conseillé.

Tout le monde est concerné, que ce soit les grands comptes ou les start-up. Votre entreprise est concernée : par son site internet, ses réseaux sociaux, ses programmes de fidélités, par les fichiers clients et prospects ou par la gestion des campagnes marketing. En effet, le règlement a vocation à s’appliquer au traitement de toute donnée à caractère personnel d’une personne se trouvant sur le territoire de l’Union Européenne.

Un plan d’action en 3 étapes semble le plus approprié :

1^ère étape : cartographier les traitements des données personnelles

Il s’agit d’identifier les traitements des données collectées au sein de l’entreprise : les catégories de données personnelles traitées, les objectifs poursuivis par les opérations de traitement de données, les acteurs traitant ces données, et enfin les flux en précisant leur origine et leur destination.

2^ème étape : procéder à un audit de conformité

Grâce à la première étape, un bilan et des recommandations personnalisés pourront être établis. À partir de ces informations, vous aurez une vision globale des démarches à effectuer pour que votre entreprise soit conforme aux prescriptions du règlement.

3^ème étape : accountability – mise en conformité

Enfin, il conviendra d’établir un plan d’action basé sur les résultats de la cartographie et de l’audit. Un Conseil en propriété industrielle pourra notamment vous aidez à pallier les éventuelles lacunes de votre protection actuelle : la tenue d’un registre, la désignation d’un Délégué à la Protection des Données, le droit à la portabilité des données etc.

Ce plan d’action pourra également être accompagné d’un audit de sécurité.

Compte tenu de l’importance des changements, nous recommandons d’engager la mise en conformité dès que possible. Doté à présent d’un département dédié aux problématiques des données à caractère personnel et d’un département assorti de compétences techniques, Dreyfus & associés est le partenaire idéal pour vous accompagner dans cette démarche de transition.

Written by Dreyfus07/09/2017

A partir du 25 mai 2018 le Règlement Général sur la Protection des Données (RGPD) entrera en vigueur, et remplacera la Directive Européenne 95/46/CE sur la protection des données qui harmonise les droits relatifs à la protection des données. Les consommateurs sont de plus en plus concernés par la protection de leurs données personnelles. Avec la constante évolution des nouvelles technologies et l’augmentation importante du nombre de données collectées, la Directive de 1995 méritait d’être modernisée. Une des adaptations concerne les bases WHOIS. En effet, le RGPD apporte des éléments nouveaux concernant leur fonctionnement.

La base de données WHOIS permet d’obtenir le nom et les coordonnées d’un titulaire d’un nom de domaine. L’ICANN souhaite remplacer ces bases de données pour un nouveau système dénommé « Registration Directory Service (RDS) ». Ce nouvel outil aura une approche différente concernant le stockage et la publication des données se trouvant habituellement dans le WHOIS. D’un côté les autorités judiciaires et les professionnels du droit désirent obtenir plus d’accès à ces informations dans le but de réduire la cybercriminalité, et d’un autre côté les groupes de protection des données et de la vie privée préfèreraient obtenir plus de restrictions dans la divulgation de ces informations pour protéger l’identité des utilisateurs internet.

Cependant, le RGPD tranchera et établira les normes applicables. Pour ce faire, il impose des obligations qui pèsent sur les entreprises, les bureaux d’enregistrement et les offices d’enregistrement (registres). Un point de préoccupation existe concernant la compatibilité entre le RDS et le RGPD. En effet, si un bureau d’enregistrement ou un office d’enregistrement se conforme aux normes prévues par l’ICANN, il est probable qu’il sera en violation du nouveau règlement RGPD. Les WHOIS vont probablement devoir être gérés de façon différente, mais la question se pose de savoir s’il convient de se conformer aux normes édictées par l’ICANN ou celles prévues par le RGPD ? Les deux textes prévoient des sanctions en cas de violation. Celles envisagées par le RGPD sont toutefois plus importantes que les amendes imposées par l’ICANN. Certains bureaux d’enregistrement et offices d’enregistrement en ont déduit qu’il fallait mieux être en violation du RDS que du RGPD.

Ces problématiques ont été étudiées lors de la Conférence de Johannesburg par l’ICANN. Il a été décidé de mettre en place un groupe de travail ad hoc pour déterminer de quelles manières sont utilisés les WHOIS. Le but est de récolter ce que l’ICANN dénomme « expériences d’utilisateurs » dans le but d’évaluer le degré de conformité des bases WHOIS avec le RGPD. Grâce à ce groupe de travail, l’ICANN pourra harmoniser ses normes RDS et faciliter le travail des bureaux et offices d’enregistrement dans la gestion des bases de données WHOIS.

Une solution devra préférablement être trouvée d’ici mai 2018. Dans le cas contraire, les bureaux et offices d’enregistrement seront en difficultés pour se conformer avec les deux outils que sont le RDS et le RGPD. Dreyfus & associés est spécialisé depuis de nombreuses années dans le droit des noms de domaine. Concernant les bases de données WHOIS, ou désormais RDS, nous pouvons vous aider à déterminer le meilleur moyen d’identifier le titulaire d’un nom de domaine pour vous permettre de faire cesser l’atteinte à vos droits.

Written by Dreyfus31/07/2017

Le cabinet Dreyfus & associés a eu l’honneur d’accueillir le 15 juin 2017 Monsieur Jean-Gabriel Ganascia, professeur à l’Université Pierre-et-Marie-Curie, spécialiste en intelligence artificielle et président du comité d’éthique du CNRS, afin de nous présenter son dernier ouvrage « Le Mythe de la singularité. Faut-il craindre l’intelligence artificielle ? » paru aux éditions du Seuil.

Jean-Gabriel Ganascia s’est penché sur la question de l’utilisation des intelligences artificielles en ligne. Dans ses conclusions, il a expliqué que l’utilisation de robots pour des tâches qui nécessitent l’appréciation subjective d’un être humain ne serait pas un gage parfait d’efficacité. En effet, selon lui, l’intervention de l’Homme sera toujours nécessaire. Certaines tâches ne pourront jamais être exclusivement réalisées par des intelligences artificielles. Par exemple, s’agissant de la modération des propos discriminatoires et des incitations à la haine en ligne, comment un robot pourrait-il différencier un propos sérieux d’un propos ironique ? Sa démonstration entre parfaitement dans sa justification d’un « Mythe de la singularité », qui sous-entend que les intelligences artificielles ne seraient pas un danger pour l’Homme et ne viendront jamais les remplacer.

Une interview très intéressante de Jean-Gabriel Ganascia est disponible à partir de ce lien :

http://www.lemonde.fr/sciences/article/2017/07/04/pour-le-numerique-une-reflexion-ethique-approfondie-est-necessaire_5155371_1650684.html.

C’est dans le cadre de la présentation de l’association Respect Zone (http://www.respectzone.org) qui promeut le respect d’autrui sur Internet et à laquelle il apporte son soutien, que Jean-Gabriel Ganascia est venu nous exposer son ouvrage. En effet, les problématiques sociales traitées par cette association répondent aux questions scientifiques liées aux intelligences artificielles.

Le cabinet Dreyfus & associés, sensibilisé aux questions et aux problématiques soulevées par les NTIC, est ainsi fier d’avoir adopté le label Respect Zone. Respect Zone lutte contre la cyber-violence, le harcèlement, le racisme, l’antisémitisme, le sexisme, l’homophobie, l’apologie du terrorisme et la stigmatisation des handicaps. Elle propose un label éthique, sans frais, accessible pour tous ceux qui souhaitent adhérer au principe du respect sur Internet et à la charte Respect Zone.

Le site de l’association est disponible à cette adresse : http://www.respectzone.org.

Written by Dreyfus08/07/2016

In ou Out ? La majorité des Britanniques (51,9%) s’est prononcée le 23 juin dernier en faveur de la sortie de l’Union Européenne (UE). L’impact du Brexit reste encore flou mais nous savons aujourd’hui qu’il aura des conséquences indéniables sur les droits de propriété intellectuelle en Europe.

Il est important de garder à l’esprit que ce référendum n’a qu’une valeur consultative. Le référendum n’indique ni quand, ni comment le Royaume-Uni devra quitter l’UE. Par conséquent, cette sortie ne sera pas immédiate.

C’est l’article 50 du traité de l’Union Européenne qui donne la possibilité à un Etat membre de sortir de l’UE. Ce dernier prévoit que l’Etat membre souhaitant quitter l’UE devra notifier son intention au Conseil européen. C’est après cette notification que l’UE et le Royaume-Uni négocieront ensemble les modalités de retrait ainsi que le cadre de leurs futures relations. Cet article prévoit également un compte à rebours d’une durée de deux ans suivant la notification au Conseil européen après lequel les traités cesseront d’être applicables. Le Royaume-Uni ne devrait ainsi pas quitter l’UE de façon effective avant la fin de l’année 2018.

« Business as usual » en matière de propriété intellectuelle pour les deux années à venir

Il est important de retenir qu’aucun changement immédiat n’est à prévoir : ni perte de droits, ni action immédiate à engager. En effet, durant toute la période des négociations, les titres de propriété intellectuelle européens (marque européenne, dessin et modèle communautaire et brevet européen) maintiendront le même niveau de protection.

Que faire après la sortie effective du Royaume-Uni ?

Brevets :

L’OEB, qui est en charge de l’examen des demandes et de la délivrance des brevets européens fonctionne indépendamment de l’UE. Il est possible pour des pays non-membres de l’UE (ex : Suisse) de faire partie de l’OEB, ce qui devrait permettre au Royaume-Uni de conserver sa place au sein de l’OEB. Ainsi, des brevets européens désignant le Royaume-Uni pourront continuer à être délivrés.

Par ailleurs, la mise en place de la Juridiction Unifiée du Brevet (JUB), prévue début 2017 devrait encore être retardée. En effet, la mise en place de la JUB nécessite la ratification du règlement par 13 Etats signataires, dont obligatoirement la France, l’Allemagne et le Royaume-Uni. Etant donné qu’être membre de l’UE est l’une des conditions à la participation du brevet Européen à effet unitaire et de la JUB, la sortie du Royaume-Uni de l’UE rend cette mise en place complexe.

Marques européennes et dessins et modèles communautaires (DMC) :

Le règlement CE 40/94 du 20 décembre 1993 instituant la marque européenne (à l’époque « marque communautaire ») ainsi que le règlement CE n° 6/2002 du 12 décembre 2001 instituant les DMC n’ont pas prévu l’hypothèse dans laquelle un Etat membre quitterait l’UE.

Les marques européennes et les DMC en vigueur avant que le Royaume-Uni ne quitte officiellement l’UE continueront à couvrir le Royaume-Uni.

Une fois le Royaume-Uni sorti de l’UE, les marques et dessins et modèles enregistrés par le biais de l’EUIPO seront impactés mais sans que nous ayons connaissance aujourd’hui ni de la teneur exacte de ces mutations ni du moment où celles-ci prendront effet. Les nouvelles marques européennes et DMC déposés auprès de l’EUIPO n’auront plus leur valeur actuelle puisqu’ils ne couvriront plus le Royaume-Uni. Pour bénéficier de la même protection, il faudra être titulaire d’un titre européen (alors hors Royaume-Uni) et d’un titre national britannique. Il faudra pour cela procéder à l’enregistrement d’une marque européenne auprès de l’EUIPO ainsi qu’à l’enregistrement d’une marque britannique (ce dernier pourra se faire soit pas le biais d’un enregistrement national auprès de l’IPO, soit par l’enregistrement d’une marque internationale).

Toujours est-il qu’il est également possible que le Royaume-Uni trouve un accord de façon à ce que les marques européennes et les DMC en vigueur avant le Brexit continuent à être valables sur le territoire du Royaume-Uni.

Droit d’auteur :

Dans la mesure où le droit d’auteur est très peu harmonisé en Europe et qu’aucun enregistrement ne soit nécessaire à la protection, aucun changement n’est à prévoir. Les Britanniques continueront à être liés par la Convention de Berne ainsi que par la Convention Universelle sur le droit d’auteur, mais l’interprétation de la loi conformément au droit européen reste à confirmer.

Par ailleurs, il faudra être vigilant concernant les contrats liés au droit d’auteur lorsque le Royaume-Uni quittera effectivement l’UE (voir ci-dessous).

Contrats :

Il convient dès à présent de revenir sur chaque contrat conclu, en particulier les contrats de licence existants, pour examiner les clauses relatives au territoire et voir si elles mentionnent l’UE. Il faudra alors déterminer s’il s’agit de l’UE telle qu’elle était constituée au jour de la conclusion du contrat ou s’il s’agit de l’UE hors Royaume-Uni afin de s’assurer que ces contrats correspondent toujours à l’intention initiale des co-contractants.

Les accords à venir dans les deux prochaines années devront mentionner clairement ce qui est entendu par « Union européenne ».

Protection des données :

Alors que le Règlement sur la protection des données vient d’être adopté par le Parlement Européen le 27 avril dernier, il pourrait ne pas s’appliquer sur le territoire britannique. Nous ne savons pas à l’heure actuelle de quelle manière le Royaume-Uni décidera d’organiser la circulation des données mais des accords spécifiques entre le Royaume-Uni et les pays membres de l’Union Européenne sur ce sujet sont envisageables.

Les noms de domaine en .eu :

Pour déposer un nom de domaine en .eu, il est nécessaire de justifier d’une adresse sur le territoire de l’Union Européenne (ou en Islande, au Liechtenstein ou en Norvège), ce qui atteste l’assujettissement aux lois et normes commerciales européennes. La sortie du Royaume-Uni de l’Union Européenne pourrait donc avoir un impact pour les titulaires britanniques de noms de domaine en .eu.

Toutefois, l’EURid, le registre en charge de la gestion du .eu et .ею (.eu en alphabet cyrillique) a confirmé dans un communiqué qu’il n’y aurait aucun changement immédiat à prévoir tant que le processus de départ n’était pas lancé. De plus, pour certains, cela ne devrait pas poser de problème particulier dans la mesure où les grandes entités auront la possibilité d’enregistrer des noms de domaines en .eu par le biais de filiales se trouvant sur le territoire de l’UE et des solutions devraient être trouvées dans les mois à venir pour les petites entreprises et les particuliers.

Titres nationaux :

Les titres nationaux britanniques ne seront pas affectés par le Brexit, qu’il s’agisse de l’acquisition ou de l’exercice des droits sur les marques, dessins et modèles et brevets.

Conseils pratiques :

Au vu des conséquences incertaines, il est pour l’heure essentiel de procéder à une analyse du portefeuille de titres de propriété intellectuelle de votre société et d’établir une stratégie concernant les titres existants ainsi que pour les dépôts à venir.

Pour les marques existantes indispensables à votre activité, pensez dès à présent à déposer une marque britannique auprès de l’Intellectual Property Office en plus de votre marque européenne existante. Il en va de même, pour tout nouveau dépôt de marque européenne.

Effectuer un dépôt national n’est ni très couteux, ni très long mais offre un droit de priorité et garantit donc une meilleure protection dans l’hypothèse où le marque européenne ne s’appliquerait plus au Royaume-Uni.

Si dans la cas contraire la marque européenne continuait à s’appliquer au Royaume-Uni, le dépôt national permettrait alors de revendiquer l’ancienneté de façon à ce que la marque européenne inclue la marque antérieure nationale.

Dreyfus & associés se propose de vous assister en considérant la meilleure stratégie de valorisation et de protection de vos droits.

Lisez aussi Les conséquences du Brexit sur les marques et les brevets

Written by Dreyfus09/07/2015

Comme vous le savez, le « BYOD » est un acronyme pour « Bring Your Own Device ». Concrètement il s’agit d’une pratique émergeante en entreprise qui consiste, pour les salariés, à utiliser leurs équipements informatiques personnels de type ordinateur portable, tablette ou encore smartphone, pour des besoins professionnels. Ces appareils peuvent ainsi être utilisés pour avoir accès à certaines informations ou applications professionnelles comme des bases de données client, des messageries.

Ce phénomène récent qui nous vient principalement des Etats-Unis commence à se propager en France. Si la majorité des entreprises restent encore méfiantes face à cette pratique, il faut savoir que la France est tout de même l’un des pays européens le plus tourné vers le BYOD.

Or la méfiance des entreprises n’est pas sans fondement. En effet, accepter qu’un salarié utilise son ordinateur personnel pour avoir accès au système d’informations de l’entreprise peut engendrer des risques importants en termes de sécurité. Il n’est pas rare par exemple que l’équipement personnel du salarié soit dépourvu de protection adaptée de sorte que son utilisation pourra permettre à des virus de s’introduire dans le système informatique de l’entreprise. En outre les risques de divulgation de données confidentielles sont importants.

L’employeur étant seul maître de son système d’information c’est à lui de décider s’il souhaite interdire ou au contraire organiser et contrôler le BYOD. En aucun cas un salarié ne peut imposer l’utilisation de ses appareils personnels dans le cadre de son activité professionnelle.

Dès lors que l’employeur décide d’autoriser cette pratique encore faut-il l’organiser, ce qui implique un minimum de contrôle des terminaux personnels des salariés. Or ce contrôle ne doit pas pour autant porter une atteinte disproportionnée à la vie privée du salarié.

Pour cette raison, la Commission nationale de l’informatique et des libertés française (CNIL) a émis une fiche pratique le 19 février 2015 sur les bonnes pratiques à adopter pour concilier sécurité des données de l’entreprise et protection de la vie privée des salariés.

Tout d’abord la CNIL rappelle que les outils informatiques personnels des salariés pour une utilisation professionnelle ne doivent pas être le seul mode d’accès des salariés au système d’information de l’entreprise. En effet, l’employeur a l’obligation de fournir les moyens nécessaires à l’exécution de leur tâches à ses salariés et cette utilisation ne doit donc être que subsidiaire. Il s’agit davantage d’un plus destiné à faciliter les choses pour le salarié.

La CNIL rappelle ensuite que l’employeur demeure responsable de la sécurité des données personnelles y compris lorsqu’elles sont stockées sur des terminaux personnels dès lors qu’il en a autorisé l’utilisation. C’est donc à lui de se prémunir contre les risques de sécurité, d’abord en les identifiant puis en formalisant les mesures nécessaires dans une politique de sécurité et en sensibilisant les salariés à ces risques.

Enfin et surtout, afin d’assurer la protection de la vie privée du salarié, l’employeur ne peut pas prendre n’importe quelle mesure. Il ne saurait donc accéder à des éléments relevant de la vie privée du salarié stockés sur le terminal.

En termes de formalités, la CNIL précise qu’aucune déclaration spéciale n’est nécessaire en cas de recours au BYOD, la déclaration normale de gestion du personnel ou la désignation d’un correspondant informatique et liberté suffit.

En conclusion, l’employeur qui choisit d’autoriser le BYOD doit à tout prix veiller à assurer la balance entre la sécurité de son système d’information d’un côté et la protection de la vie privée de ses salariés de l’autre par le biais de mesures proportionnées.

Written by Dreyfus02/06/2015

Les réseaux sociaux sont essentiellement encadrés par leurs propres règles juridiques édictées au sein de leurs Conditions Générales d’Utilisation (CGU). Les CGU des réseaux sociaux, dont celles de Facebook en première ligne, sont l’objet de vives critiques. D’une part, elles ont tendance à changer régulièrement, et ce de manière unilatérale, et d’autre part, nombreuses de leurs clauses paraissent abusives. En décembre dernier la Commission des clauses abusives s’est emparée du sujet dans sa recommandation n°2014-02 du 3 décembre 2014 relative aux contrats proposés par les fournisseurs de services de réseaux sociaux.

Cette commission, placée sous l’autorité du ministre chargé de la consommation, émet des recommandations afin de supprimer ou de modifier des clauses qui ont pour objet ou pour effet de créer un déséquilibre significatif entre les droits et obligations des parties au contrat, au détriment du non-professionnel ou du consommateur. Lors de litiges entre des consommateurs et un professionnel il est ainsi de plus en plus courant que les juges du fond s’inspirent de ces recommandations. En effet, certaines recommandations émises à l’égard des clauses contenues dans les contrats de téléphonie mobile ont par exemple été reprises par des juges pour les déclarer abusives. S’agissant des réseaux sociaux, elle a émis une quarantaine de recommandations, dont la majorité concerne la protection de la vie privée et des données personnelles. Ainsi la commission recommande que soient éliminées des contrats proposés par les fournisseurs de service de réseautage social les clauses ayant pour objet ou pour effet :

S’agissant de la lisibilité du contrat : « de ne proposer au consommateur ou au non-professionnel qu’un contrat rédigé dans une langue étrangère au public visé» ou « d’opérer des renvois excessifs entre les différents documents contractuels proposés au consommateur ou au non-professionnel ».

S’agissant de la formation du contrat : « de ne pas prévoir le consentement exprès des représentants légaux des mineurs non émancipés pour le traitement des données à caractère personnel » ou « d’affirmer que les services de réseautage social sont gratuits».

S’agissant des données personnelles : « de prévoir, sans respecter les dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, un consentement implicite au traitement par le professionnel des données à caractère personnel des consommateurs ou des non-professionnels » ou « de prévoir le transfert à l’étranger des données à caractère personnel sans préciser vers quels Etats a lieu ce transfert et sans exiger le consentement exprès du consommateur ou du non-professionnel lorsqu’il est légalement requis, ou en déduisant ce consentement de l’acceptation des conditions générales d’utilisation du service ».

S’agissant des droits de propriété intellectuelle : « de conférer au fournisseur du service un droit d’utilisation portant sur les contenus générés par le consommateur ou le non-professionnel, dès lors que ces contenus sont protégés par le droit d’auteur, sans formuler de précision suffisante concernant les contenus visés, les droits conférés et les exploitations autorisées » ou « de conférer au professionnel un droit d’utilisation à titre gratuit sur le contenu généré par l’utilisateur consommateur ou non-professionnel, sans le préciser de manière claire et apparente».

S’agissant de la modification des CGU : « de conférer au professionnel le droit de modifier unilatéralement le site ou les conditions générales d’utilisation hors les cas prévus par l’article R. 132-2-1, IV et V du code de la consommation».

Parmi ces propositions, non exhaustives, on peut également évoquer celle portant sur l’élimination des clauses élusives de responsabilité. A cet égard, la clause attributive de compétence au profit des tribunaux du comté de Santa Clara en Californie dans les conditions générales de Facebook a été déclarée abusive dans une ordonnance du TGI Paris du 5 mars 2015. Ladite clause, réputée nulle et non écrite, permet alors au juge français de s’emparer du litige opposant le réseau social à un internaute qui avait vu son compte désactivé suite à la mise en ligne de la reproduction du tableau de Courbet « L’origine du monde ». Ainsi, à l’instar des contrats de téléphonie mobile, les juges pourront s’appuyer sur ces recommandations, en cas de litiges à venir sur ces questions. Les titulaires ne peuvent que se réjouir de ces dispositions et de cette jurisprudence qui permet de mieux défendre leurs droits en France.

Written by Dreyfus04/12/2014

L’Etat de Rhode Island a récemment promulgué une nouvelle loi concernant la protection de la vie privée des employés sur les réseaux sociaux. Cette nouvelle loi interdit aux employeurs de demander aux salariés, lors d’entretien d’embauche ou pendant le temps de travail selon le cas, de divulguer le mot de passe de leurs comptes des réseaux sociaux.

L’entrée en vigueur de cette loi était devenue primordiale face aux dérives de plus en plus importantes des employeurs. En effet, de nombreux employeurs exigeaient le mot de passe des comptes des réseaux sociaux des candidats à l’embauche et allaient jusqu’à faire pression pour accéder par exemple à leur profil Facebook. Il est certes désormais courant que les employeurs effectuent des recherches sur les candidats pour obtenir tous types d’informations, mais ils ne peuvent avoir accès qu’à des contenus dits « publics ». En demandant le mot de passe aux candidats, les employeurs souhaitaient en réalité accéder à l’intégralité des contenus dits « privés », paramétrés pour ne pas apparaître aux yeux de tous, et ainsi accéder à des informations très intéressantes comme s’ils étaient proche de l’intéressé. Ces contenus privés peuvent par exemple être des photos, des messages et autres échanges personnels avec d’autres membres du réseau social. De même, la nouvelle loi interdit à l’employeur de contraindre un salarié à l’ajouter en contact, c’est-à-dire en « ami » pour le réseau social Facebook, pour que celui-ci puisse indirectement accéder au compte.

Il existe toutefois une exception qui permet à l’employeur d’accéder à un ou plusieurs compte(s) des réseaux sociaux de son employé en sa présence, sous certaines conditions. En effet, un employé pourra être forcé à fournir ses identifiants ainsi que son mot de passe seulement lorsqu’une enquête l’exige, à savoir en cas de violation des règles du droit du travail. Néanmoins, la loi ne précise pas les circonstances dans lesquelles l’employeur peut raisonnablement déclencher cette exception. On peut toutefois évoquer le cas du harcèlement, un acte répréhensible par le droit du travail, et qui peut justement se matérialiser au travers d’échanges sur les réseaux sociaux.

A ce jour, sept Etats ont déjà édicté des lois similaires aux Etats-Unis, notamment dans l’Illinois et en Louisiane, et le mouvement n’est pas prêt de s’estomper. En effet, de telles lois sont en cours de promulgation dans 28 autres Etats. Doit-on s’attendre à de telles dispositions en Europe ?

Written by Dreyfus04/09/2014

note1 La Commission Nationale de l’Informatique et des Libertés (CNIL) a rendu public son rapport d’activité pour l’année 2013. Au cœur de sa réflexion pour 2014, le « chantier du bien-être » inquiète la Commission qui veut mesurer l’impact sur la vie privée des nouvelles pratiques numériques de santé.

Bracelets, montres, balances connectés : la santé connectée envahit depuis peu les étals des magasins spécialisés. Ces objets permettent de recueillir un maximum de données sur leurs utilisateurs. Par exemple, le rythme cardiaque, le nombre de pas effectués par jour, la qualité du sommeil ou la tension artérielle sont aisément recueillis. Et selon le rapport de la CNIL, cela ne fait que débuter. A l’horizon 2017, un utilisateur de smartphone sur deux aura installé au moins une application dédiée au bien-être et à la santé. Pour ne citer qu’elle, la société Apple devrait présenter dans le courant de l’année l’application Healthbook (littéralement « carnet de santé ») qui sera installée par défaut sur tous les terminaux vendus.

Ce phénomène de bien-être numérique, dit également quantified self, est intéressant à plusieurs égards. Il faut noter que les données sont produites par les utilisateurs. Pourtant, même si ces données touchent à l’intimité, les utilisateurs ont une large tendance à les partager.

Mais la CNIL s’inquiète de la frontière ténue entre le bien-être et la santé. En effet, les données de santé sont considérées comme sensibles et font l’objet d’une réglementation renforcée. L’article 8 de la loi Informatique et Libertés du 6 juillet 1978 pose le principe d’une interdiction de la collecte et du traitement de ces données. Ce principe est néanmoins assorti de nombreuses exceptions, qui ont permis à cette tendance d’émerger.

La Commission s’inquiète par ailleurs de la sécurisation et de l’utilisation des données par les sociétés qui les collectent. Le rapport indique que les utilisateurs ont l’impression d’avoir un rapport direct avec ces données, « puisqu’ils en sont à l’origine », alors que les entreprises pourraient les céder, ou les utiliser à des fins non connues par les utilisateurs.

Le rapport relève enfin que cette pratique du quantified self pourrait s’imposer. Certains assureurs américains considèreraient comme suspects leurs clients qui ne se mesurent pas, et refuseraient de les indemniser en cas de dommage. Pour la CNIL, le chantier de la santé connectée ne fait donc que débuter et les risques sont nombreux. Nul doute pourtant que la Commission, appuyée par le G29 et par la Commissaire européenne Viviane Reding, aura à cœur de protéger ces données très personnelles.

Dreyfus peut vous aider à protéger au mieux vos données et à gérer votre présence sur internet. N’hésitez pas à nous contacter pour tout renseignement.

Written by Dreyfus24/07/2014

En moins d’une décennie, Facebook s’est hissé au sommet des media sociaux et des réseaux, ses actions atteignant un pic en 2012 avec une capitalisation de 104 milliards de dollars. Dans le monde actuel toujours plus numérique, Facebook est bien plus qu’un réseau social, il est une forme d’identité et de communauté au sein de laquelle les individus fondent et racontent leurs expériences hypermodernes.

Facebook, évoluant dans une société qui évolue très vite obsolète et tournée vers la technologie, a contribué à engager une discussion au sujet de laquelle les philosophes, anciens comme modernes, qui vivaient dans un monde bien différent du nôtre, ont lutté pendant des siècles: le croisement des intérêts privés et publics.

Le gouvernement américain est actuellement en conflit avec Facebook au sujet du contenu de centaines de comptes d’utilisateurs. Invoquant le 4ème amendement, qui est le droit constitutionnel d’être libre de toutes recherches déraisonnables, Facebook estime que la confidentialité de données de 381 personnes, incluant des photos qu’ils ont « liké » et des messages privés serait violée.

En première instance, un juge de New-York privilégiait les intérêts publics sur les intérêts privés et décidait que Facebook n’avait aucun droit de contester les mandats de perquisition car elle agit comme un dépositaire de données en ligne, et n’est pas la cible actuelle de l’enquête pénale. S’agissant de l’enquête elle-même, les procureurs américains ont cherché à intenter des poursuites contre certains fonctionnaires accusés d’avoir fraudé le système de sécurité sociale en produisant de faux certificats d’invalidité. Selon Joan Vollero, une porte-parole du bureau du Procureur de Manhattan, près de 1.000 personnes auraient fraudé le gouvernement pour un montant de plus de 400 millions de dollars. Les preuves pour cette plainte provenaient des photos Facebook présentant les fonctionnaires supposés handicapés participant à toute sorte de sport, pêche en haute mer et sports nautiques.

Bien que dans cette affaire particulière, qui en est actuellement en appel, la violation du 4ème amendement et la préférence pour les intérêts publics sur les intérêts privés semble justifiée, particulièrement lorsque l’on considère les pertes financières pour le gouvernement, toutes les affaires concernant les recherches numériques et les saisies n’ont pas reçu la même solution. Dans une décision américaine Riley contre Californie (2014) la question était de savoir si une arrestation pouvait permettre, à elle-seule, à un officier de police de rechercher des données disponibles sur le smartphone d’une personne, pouvant inclure son compte Facebook. La décision, qui s’est elle-même rattachée à l’idée de « nouvelle règle pour un nouveau monde » vise à faire prendre conscience que la police ne devrait pas avoir un accès absolu à toutes les informations sur le téléphone portable d’une personne seulement parce que cette personne est en état d’arrestation.

Néanmoins, les faits de ces deux affaires respectives ne se ressemblent pas et l’analyse juridique peut, par conséquent, varier. Dans le cas de la contestation de Facebook de la saisie d’informations d’un utilisateur, il semble, en revanche, que la vie privée d’un individu puisse surpasser le droit pour le public de bénéficier des dépenses publiques, en particulier à la lumière aux montants financiers qui se trouvaient en jeu.

Cette affaire pose, peut-être, une question plus large: Facebook est-il un univers public ou privé ? Facebook changeant continuellement ses réglages de confidentialité pour les utilisateurs et devenant davantage une agence de publicité qu’une plateforme d’échanges, les indicateurs peuvent laisser penser que ceux qui utilisent Facebook sont en fait davantage utilisateurs d’un domaine public.

Néanmoins, les utilisateurs ont besoin d’avoir confiance en Facebook et de savoir que leurs messages privés resteront privés, ce qui n’a pas toujours été vrai.

Comme certains anciens répondent, une vieille solution toujours applicable à ce problème est simplement d’être prudents sur ce que vous révélez sur vous-même sur Internet. Si vous estimez que vos droits à la vie privée ont été violés par un service de média sociaux et/ou par le gouvernement, ou connaissez quelqu’un qui exploite l’un de ses services, des conseils et solutions fiables peuvent vous être apportés par Dreyfus.

Written by Dreyfus24/07/2014

Une délibération de la Commission Nationale Informatique et Libertés (CNIL) a été publiée le 23 janvier dernier. Celle-ci prévoit l’encadrement de la notion de « coffre-fort numérique » ainsi que la création d’un label de certification dont ces services de stockage feront l’objet.

L’appellation « coffre-fort numérique » est désormais définie par la CNIL comme « un espace de stockage sécurisé, accessible sur internet, permettant de stocker des documents électroniques sous différents types de format (textes, photos, documents papier numérisés ….) ».

L’apparition de ce nouveau système de stockage engendre de nombreuses problématiques, notamment en ce qui concerne la préservation de l’intégrité et de la confidentialité des données personnelles stockées.

La Commission, spécialisée dans la protection des données personnelles, a choisi de créer cet indicateur de confiance pour but d’indiquer le haut niveau de protection des données personnelles des services de stockage de données en ligne par la prise de mesures appropriées.

Deux conditions cumulatives s’imposent à tout fournisseur de ce type de service pour pouvoir bénéficier du label. Il doit être un opérateur technique de service et un fournisseur du service auprès des particuliers.

Dans sa délibération, la CNIL impose aussi un traitement spécial pour les données de santé. Ces données étant considérées comme plus sensibles, leur stockage nécessite donc l’obtention d’un agrément attribué par la Commission.

Ce label de certification représente ainsi le premier label relatif aux produits, suivant les traces des labels de la CNIL, déjà existants, de formation et d’audit.

Written by Dreyfus17/07/2014

Fin mai 2014, la CNIL a publié un Cahier IP sur le thème du corps comme nouvel objet connecté, en se focalisant sur les données personnelles de santé issues des applications et objets de quantified self.

Ce phénomène actuel est défini par la CNIL dans sa publication comme la « quantification de soi. Sous cette expression quelque peu sibylline, sont visées des pratiques variées mais qui ont toutes pour point commun pour leurs adeptes, de mesurer et de comparer avec d’autres des variables relatives à notre mode de vie : nutrition, exercice physique, sommeil, mais aussi pourquoi pas son humeur, etc. »

Les données sont capturées automatiquement par des objets connectés puis traitées en masse. Le développement de cette pratique appelle à la vigilance des utilisateurs vis-à-vis du devenir de leurs données. Ces dernières étant liées à la santé de l’individu, elles ont un caractère sensible. Il n’existe aucune définition de « donnée sensible » mais elles sont énumérées exhaustivement.

La Commission met en avant le décalage entre les politiques de confidentialité présentées et la réalité des pratiques. Il passe trop souvent inaperçu à cause du manque de vigilance et de connaissance des utilisateurs au sujet des données personnelles.

Un mouvement de « client empowerment », donnant ainsi plus de pouvoir et de contrôle au client, permettrait un rééquilibrage de la relation usager/collecteur de données. En effet, la voix des clients est trop souvent négligée par les entreprises. Cet « empowerment » peut aussi permettre la patrimonialisation des données avec le consentement direct du client, ce qui serait très favorable aux courtiers en données.

Bien que la CNIL ne le mentionne pas dans son rapport, une autre solution pour la protection des données des usagers serait d’imposer le concept de « privacy by design » dès la conception des objets connectés. Ce concept propose de faire de la protection de la vie privée de l’utilisateur une caractéristique majeure de l’objet. Ainsi, par défaut, les données recueillies ne seront pas extensivement partagées ou revendues.

Les lois françaises et européennes étant très protectrices des données personnelles, en particulier des données sensibles, la vigilance est de rigueur lors de la collecte de ces données.

Dreyfus vous accompagne en auditant vos collectes de données et vous aide à mettre en place des politiques de confidentialité conformes aux règlementations française et européenne.

Written by Dreyfus17/07/2014

La société Snapchat, qui développe l’application mobile du même nom, et qui permet d’envoyer des messages éphémères, vient de trouver un accord avec la Federal Trade Commission américaine (FTC). Les deux parties ont transigé afin d’éviter un procès qui aurait été largement dommageable pour la société.

Dans un long communiqué, la Commission pointe du doigt de nombreuses fausses déclarations faites par Snapchat aux consommateurs, notamment au sujet du fonctionnement de l’application. La nature éphémère des messages, qui a donné sa popularité à l’application, était largement remise en question. En effet, les messages reçus sont aisément enregistrables par le biais d’une capture d’écran, ce que critique la FTC. Dans les versions précédentes de Snapchat, l’expéditeur était averti lorsque le récepteur enregistrait une capture d’écran, mais ce n’est plus le cas désormais. Il existe en outre selon le communiqué de multiples manières d’enregistrer aisément des messages photos ou vidéos.

La FTC liste un nombre important de griefs adressés à l’égard de Snapchat : géolocalisation et collecte du carnet d’adresse sans l’accord de l’utilisateur, ou encore manque de sécurité dans le chiffrement des messages. Fin 2013, les données personnelles de près de 5 millions d’utilisateurs avaient été récupérées par des pirate du fait de ce manque de sécurité.

C’est donc pour éviter un procès que Snapchat a accepté de signer cet accord. Celui-ci prévoit entre autres l’interdiction pour la société de déformer sa politique de confidentialité, de sécurité ou de vie privée. Surtout l’accord prévoit un contrôle indépendant et pendant 20 ans, de l’activité de la société dans ces domaines.

L’accord entre la société et la Commission est ouvert aux commentaires jusqu’au 9 juin 2014, date à laquelle il devra être signé par les deux parties puis homologué par un juge. L’engagement de la FTC pour une collecte responsable des données personnelles doit être salué. Alors que de plus en plus de données sont recueillies quotidiennement, la vie privée des consommateurs doit rester au cœur des préoccupations des sociétés et des états.

Dreyfus est spécialisé dans la lutte contre les atteintes en ligne. N’hésitez pas à nous contacter pour plus de renseignements.

Written by Dreyfus10/07/2014

Désigné par le prestigieux dictionnaire Oxford comme mot de l’année 2013, le selfie désigne le fait de faire un autoportrait en utilisant un smartphone. Cette pratique est même devenue la spécialité de certains réseaux sociaux tels qu’Instagram ou Snapchat, avec chacun leurs spécificités. Si d’aucuns y voient un passe-temps ou une exacerbation de l’individualisme sociétal, la pratique du selfie pose pourtant de nombreux problèmes juridiques. Du point de vue juridique, le selfie relève du droit à l’image, lui-même dérivé du droit à la vie privée.

Puisque le selfie est une photographie, la première question qui se pose est évidemment celle du droit à l’image. Si la situation ne présente pas de difficulté particulière lorsqu’une personne se photographie seule, il en est nécessairement autrement lorsque le selfie est une photographie de groupe. Cette question est souvent résolue en présumant, à raison, que les personnes présentes sur l’image ont donné leur consentement pour être photographiés.

Mais, et c’est souvent là que le bât blesse, le consentement s’arrête souvent là. A l’heure des réseaux sociaux, l’auteur du selfie aura bien souvent l’envie – sinon le réflexe – de poster l’image sur les plateformes sociales sans avoir obtenu l’accord exprès des individus. Or le consentement à être photographié et celui d’avoir son image postée sur internet, sont bien distincts. Ainsi il est recommandé d’obtenir le consentement exprès des personnes photographiées pour publier et diffuser l’image. Pour information, il faut rappeler que le consentement des personnes situées sur la photographie sans en être l’objet principal (notamment les individus en arrière-plan) n’a pas à être recueilli.

Le selfie peut également soulever la question du droit à l’image des biens. Lorsque la photographie est prise en intérieur, le droit au respect de la vie privée est important et il pourra se révéler nécessaire d’obtenir l’accord de l’occupant des lieux. Plus encore, lorsque le selfie inclue un bien couvert par un droit de propriété littéraire et artistique ou par un droit de propriété industrielle autre, leurs titulaires sont en droit de demander le retrait de la photographie.

Enfin, à l’occasion des dernières élections, on a observé un déferlement de selfies pris dans l’isoloir. En France, rien n’interdit a priori de se prendre en photo dans l’isoloir tant que le secret du vote n’est pas enfreint. Le ministre de l’intérieur a précisé à ce sujet qu’« il convient de noter que le « scrutin est secret » (L. 59 du code électoral). En outre, le président du bureau de peut procéder à toute expulsion en cas de trouble à l’ordre public ». Le fait de se prendre en photo dans l’isoloir n’est pas en soi un trouble à l’ordre public mais peut mettre en doute l’indépendance de l’électeur.

Le selfie présente donc des problématiques particulières qu’il convient de manier avec précaution, notamment pour la publication sur les réseaux sociaux.

Dreyfus est spécialisé peut vous aider dans la gestion de votre présence en ligne. N’hésitez pas à nous contacter pour tout renseignement.

Written by Dreyfus12/06/2014

La Cour de Justice de l’Union Européenne, le 13 mai dernier, a débouté Google en considérant qu’un moteur de recherche est responsable du traitement des données personnelles qui apparaissent sur les pages web (CJUE, Google Spain SL, Google Inc. / Agencia Espanola de Proteccion de Datos, Mario Costeja Gonzalez, 13 mai 2014, C-131/12).
Un internaute espagnol a réclamé auprès de l’Autorité espagnole de protection des données la suppression de deux articles de presse relatifs à son endettement. Il a demandé également à ce que les articles ne soient plus indexés par Google au motif qu’ils n’étaient plus d’actualité.
A cet égard, la Cour européenne fait primer un droit fondamental : le droit à l’oubli. Désormais, les moteurs de recherche sont tenus de supprimer, à la demande de toute personne, les résultats de recherche considérés comme non pertinents et désuets.
Par ailleurs, la Cour considère que Google et les autres moteurs de recherche sont tenus de contrôler les informations à caractère privé puisqu’ils extraient, enregistrent et organisent ces données de manière systématique. Ils sont donc responsables de leur traitement.
Quant aux personnes concernées, elles ont un droit de contrôle sur leurs données personnelles, même si elles ne sont pas des personnalités publiques. Dès lors, si une personne souhaite qu’une information non pertinente ou mensongère la concernant soit supprimée des résultats du moteur de recherche, elle doit en faire la demande quand bien même l’information a été publiée licitement. Elle peut s’adresser directement à l’exploitant du moteur de recherche qui doit en examiner le bien-fondé.
Enfin, la décision de supprimer ou non les données personnelles d’une personne dépend de la « nature de l’information, de sa sensibilité pour sa vie privée et de l’intérêt du public à disposer de cette information, lequel peut varier en fonction du rôle joué par cette personne dans la vie publique ».
En définitive, la Cour européenne est venue consolider le droit à l’oubli. Néanmoins, il ne s’agit pas d’un droit absolu puisqu’un équilibre entre la liberté d’expression et d’information et le droit à la vie privée doit être trouvé. Enfin, des problématiques liées à la mise en œuvre du droit à l’oubli se posent déjà à la suite de cette décision.
En effet, trois jours après la publication de cette décision, Google a reçu des centaines de demandes pour faire retirer des informations personnelles. Google fait part de la complexité de traiter ces demandes en raison des nombreuses langues et de la nécessité d’un examen attentif pour chacune d’elles.
Néanmoins, la décision de la Cour européenne prévoit que l’absence de réponse du moteur de recherche peut conduire à la saisine d’une autorité de contrôle ou d’une autorité judiciaire et à la condamnation à une amende importante.
Afin d’encadrer le droit à l’oubli, le rapport d’activité de la Cnil, présenté le 19 mai dernier, propose des moyens efficaces de maitriser la diffusion des données personnelles. Tout d’abord, la Cnil suggère l’élaboration d’un référentiel standard de durées de conservation des données. L’idée serait de mettre à disposition des responsables de traitement un guide de référence leur permettant de savoir combien de temps ils peuvent conserver des données personnelles. En outre, la Cnil propose des outils offrant aux internautes une meilleure maîtrise de la publication de leurs données. Par exemple, ils pourraient définir une date limite de diffusion de leurs publications ou les modifier ou les supprimer. Enfin, la Cnil préconise que le droit à l’oubli soit complété par une obligation de déréférencement sans délai à la charge des moteurs de recherche dès lors que l’internaute a obtenu l’effacement de l’information initiale.

Written by Dreyfus25/11/2011

Nouvelle forme d’externalisation des ressources informatiques qui permet d’accéder, via l’Internet et à l’aide d’un simple navigateur web, à une pluralité de services informatiques, le Cloud computing représente un enjeu économique majeur mais soulève également de nombreuses questions juridiques, notamment quant à la protection des données personnelles.

La consultation lancée par la CNIL a pour objectif de définir ce que désigne le Cloud computing. A cet égard, la CNIL propose de procéder par faisceau d’indices. S’agissant de la protection des données personnelles, le prestataire, c’est-à-dire l’hébergeur du système du Cloud computing, est considéré en principe comme un sous-traitant agissant conformément aux instructions d’un responsable du traitement des données, le client.

La question peut toutefois s’avérer plus délicate et la CNIL s’interroge sur le point de savoir si le prestataire, présumé sous-traitant, ne pourrait pas dans certains cas partager la responsabilité du traitement. Il pourrait en aller ainsi par exemple lorsque le prestataire propose au client des services supplémentaires lui donnant la faculté de contrôler la façon dont les données personnelles sont traitées.

La détermination de la loi applicable fait également l’objet d’une discussion avec, en particulier, les conséquences de l’application du critère de l’utilisation de moyens de traitements dans un Etat membre de l’Union européenne par une entreprise établie dans un pays extérieur à cette union. En effet, sauf dans l’hypothèse d’opérations de pur transit, ce critère a pour effet de rendre la loi de l’Etat, ou de chacun des Etats sur le territoire du ou desquels ces moyens sont utilisés.

La CNIL s’interroge aussi sur les procédures qui peuvent être utilisées pour protéger les transferts de données personnelles vers des pays n’assurant pas une protestation équivalente à la règlementation européenne. Il s’agit notamment des Binding Corporate Rules ou clauses contractuelles types conformes aux principes du droit européen et approuvées par les autorités européennes. Le dernier jeu de clauses adopté par la Commission en février 2010 ne prend pas en compte le cas des chaines de sous-traitance, élément qui ne manquera pourtant pas de se révéler essentiel dans l’économie du Cloud computing.

Au delà de la problématique des transferts de données personnelles, la CNIL s’attache également à la transcription des principes de sécurité dans les contrats avec les prestataires, notamment en matière de confidentialité et de réversibilité.

Les réponses à la consultation lancée auprès des parties prenantes sont attendues pour le 27 novembre 2011. Il ne fait aucun doute que la CNIL est amenée à jouer un rôle critique dans la combinaison des nouvelles solutions offertes par le Cloud computing et la protection des données personnelles. A suivre !

L’œuvre olfactive : œuvre de l’esprit ?

La fragrance : une protection par le droit des marques ?

A CONSULTER SUR LE MÊME SUJET…

Protégez vos innovations et votre activité grâce au droit des marques et des logiciels !

Jeudi 22 octobre 2020

de 14h30 à 15h

Le face ID, conforme au RGPD ?

Inscrivez-vous à notre newsletter et restez informés sur les enjeux de la propriété intellectuelle et de l’économie numérique !

Actualités du blog Dreyfus

Inscrivez-vous à notre newsletter et restez informés sur les enjeux de la propriété intellectuelle et de l’économie numérique !