Données Personnelles

La loi Lemaire a été promulguée en France le 7 octobre 2016. Elle a pour but de libérer l’innovation et créer un cadre de confiance garantissant les droits des utilisateurs et protégeant leurs données personnelles. Un de ses objectifs est d’assurer en France un service public de la donnée. Ce service public est déjà entré en vigueur et ne cesse de s’améliorer. Cette notion de service public de la donnée arrive à l’ère où l’on parle de la donnée comme l’or noir du 21ème siècle. Il va permettre de mettre en place un cadre juridique à cette donnée.

I. La mise à disposition des données

Désormais il s’agit donc d’un service public comme un autre. Il a une existence physique, une définition et se retrouve sur data.gouv.fr/référence.
Ce service regroupe 4 dimensions que sont :
– Les producteurs de données (administrations) ;
– Les diffuseurs de données ;
– Les utilisateurs de données (personnes privées et publiques/acteurs qui vont réutiliser ces données) ; et
– La mission Etalab qui pilote la mise en place de ce service public.

Actuellement, 9 bases de données sont comprises dans le service public. Elles sont donc désormais publiées et accessibles à tous et sont les suivantes :
– BAN : base adresse nationale ;
– Base Sirene des entreprises et de leurs établissements ;
– COG : code officiel géographique ;
– PCI : plan cadastral informatisé ;
– RPG : registre parcellaire graphique ;
– Référentiel de l’organisation administrative de l’Etat ;
– RGE : référentiel à grande échelle ;
– RNA : répertoire national des associations ; et
– ROME : répertoire opérationnel des métiers et des emplois.

Certains ont pu objecter le fait que ces données étaient déjà disponibles avant la création de ce service public. En revanche, la publication était éparse et peu connue. Grâce à la création d’un service public dédié aux données, la mission française Etalab espère assurer la pérennité de ces données, leur sécurité économique et la sécurité des investissements des producteurs de données. De plus, il devrait ressortir de ce service public une garantie de stabilité et de visibilité de ces bases.
En tant que juriste on ne peut que remarquer l’absence des données juridiques. Cette question a été débattu lors de l’adoption de la loi. Il avait été conclu que ces données n’étaient pas encore prêtes à être publiées, sous-entendant qu’elles le seront un jour et qu’une base juridique n’est pas exclue.

II. Le service public de la donnée et les droits de propriété intellectuelle

Auparavant, la loi du 17 juillet 1978 relative à la liberté d’accès aux documents administratifs et à la réutilisation des informations publiques posait les premières bases de cette donnée publique qui était fondée sur 2 piliers :
– L’accès aux documents administratifs ; et
– L’utilisation des informations qui y figurent.

Désormais, la loi française Lemaire ajoute le principe de réutilisation de ces données qui découle de l’accès à ces données. Sans accès aux données aucune réutilisation n’est possible. A l’opposé de l’accès, l’utilisation et la réutilisation des données, on retrouve les droits de propriété intellectuelle. En effet, qui dit ouverture des données entend liberté. Au contraire, un droit de propriété intellectuelle sous-entend monopole d’exploitation et un accès retreint. Il semble donc que le service public de la donnée et les droits de propriété intellectuelle soient trop différents pour être conciliables.
Cette opposition va encore plus loin avec la loi Lemaire qui impose une publication des données. Jusqu’à présent les données étaient accessibles sur demande de l’administré. Désormais, la logique est inversée puisque l’administration est directement obligée de publier les données.
C’est dans ce contexte que les droits de propriété intellectuelle surgissent. En effet, lorsque les données étaient accessibles sur demande individuelle, le risque de violation d’un droit était moindre. Au contraire, le risque de reproduction et de représentation est beaucoup plus important lorsque les données sont spontanément publiées et accessibles à tous.
La loi a tout de même prévu une limite. L’article 11 de la loi Lemaire prévoit en effet : « Sous réserve de droits de propriété intellectuelle détenus par des tiers, les droits des administrations […] ne peuvent faire obstacle à la réutilisation du contenu des bases de données que ces administrations publient ». Ainsi, la réutilisation des données présentes sur les bases de données dont le service public est responsable n’est pas absolue.
Concernant les droits de propriété intellectuelle, la doctrine est unanime pour dire que seuls les droits d’auteurs sont susceptibles d’être entendus dans la réserve formulée, qui n’inclut donc ni les marques, ni les brevets.

Il s’agit ensuite d’établir quels titulaires de droit d’auteur peut se prévaloir de cette réserve. Dans l’hypothèse où l’administration pourrait s’opposer à la réutilisation sur le fondement de ses propres droits de propriété intellectuelle, le droit de réutilisation serait obsolète et sans intérêt. En toute logique, la jurisprudence considère qu’il s’agit des droits de tiers à l’administration.
Dans le même sens, la loi française précise que les administrations ne peuvent pas non plus se prévaloir de leurs droits de producteur de bases de données pour faire obstacle à la réutilisation des données contenues dans ces bases.

III. Conflit entre le service public et la protection des données personnelles

Lorsque l’on parle d’open data, on fait référence à l’ouverture des données. Il existe donc une opposition naturelle entre l’open data et la protection des données personnelles. Dans le but de concilier les deux, la loi pour l’économie numérique fait une distinction entre vie privée et données à caractère personnel.
– Vie privée : la position primaire du législateur est de favoriser l’open data mais toujours dans le respect de la vie privée. Par principe un document portant atteinte à la vie privée ne peut pas être communicable à tous.
– Donnée à caractère personnel : il n’existe pas de principe d’interdiction et de communication. Le législateur procède autrement. Il dit qu’il est possible de publier des documents qui comportent des données à caractère personnel et les liste. Un décret est attendu pour lister tous les documents qui pourront être publiés sans avoir besoin de faire l’objet d’un traitement avant publication.

Aujourd’hui il existe une harmonisation entre le droit de communication d’un document à une personne et le droit de publication. Dès lors qu’un document est communicable, il peut être publié.

En conclusion, le débat entre la publication des données et la protection des données à caractère personnel est toujours d’actualité. Il est important d’avoir conscience qu’il existe des restrictions de publications des données à caractère personnel, mais également de données portant atteinte à un droit de propriété intellectuelle. Dotée d’un département Nouvelles Technologies, Dreyfus & associés peut vous assister aussi bien sur des questions de droit de propriété intellectuelle, mais aussi de données personnelles et NTIC.

La protection des données à caractère personnel est un sujet d’inquiétude grandissante pour les consommateurs dont les données sont collectées. Le nouveau Règlement Général sur la Protection des Données (RGPD, Règlement 2016/679 du 27 avril 2016) entre en vigueur le 25 mai 2018. Ses nouvelles dispositions mettent en place de nouvelles obligations assorties de sanctions lourdes pouvant atteindre plusieurs millions d’euros. Le G29 a clarifié certaines de ces obligations. En particulier, il est à présent obligatoire de documenter les démarches mises en place pour se mettre en conformité, de tenir un registre ou encore de désigner un Délégué à la Protection des Données dans certains cas.

Afin de se conformer, un audit permettant d’établir une cartographie précise de l’ensemble des traitements des données au sein de l’entreprise est conseillé.

Tout le monde est concerné, que ce soit les grands comptes ou les start-up. Votre entreprise est concernée : par son site internet, ses réseaux sociaux, ses programmes de fidélités, par les fichiers clients et prospects ou par la gestion des campagnes marketing. En effet, le règlement a vocation à s’appliquer au traitement de toute donnée à caractère personnel d’une personne se trouvant sur le territoire de l’Union Européenne.

Un plan d’action en 3 étapes semble le plus approprié :

• 1^ère étape : cartographier les traitements des données personnelles

Il s’agit d’identifier les traitements des données collectées au sein de l’entreprise : les catégories de données personnelles traitées, les objectifs poursuivis par les opérations de traitement de données, les acteurs traitant ces données, et enfin les flux en précisant leur origine et leur destination.

• 2^ème étape : procéder à un audit de conformité

Grâce à la première étape, un bilan et des recommandations personnalisés pourront être établis. À partir de ces informations, vous aurez une vision globale des démarches à effectuer pour que votre entreprise soit conforme aux prescriptions du règlement.

• 3^ème étape : accountability – mise en conformité

Enfin, il conviendra d’établir un plan d’action basé sur les résultats de la cartographie et de l’audit. Un Conseil en propriété industrielle pourra notamment vous aidez à pallier les éventuelles lacunes de votre protection actuelle : la tenue d’un registre, la désignation d’un Délégué à la Protection des Données, le droit à la portabilité des données etc.

Ce plan d’action pourra également être accompagné d’un audit de sécurité.

Compte tenu de l’importance des changements, nous recommandons d’engager la mise en conformité dès que possible. Doté à présent d’un département dédié aux problématiques des données à caractère personnel et d’un département assorti de compétences techniques, Dreyfus & associés est le partenaire idéal pour vous accompagner dans cette démarche de transition.