RGPD

Whois et RGPD : quelle problématique ?

Le RGPD encadre le traitement de données à caractère personnel au regard de l’Union européenne de façon bien plus stricte que par le passé. Dans cette dynamique, le nouveau règlement européen oblige désormais les offices d’enregistrement (registry) et les bureaux d’enregistrement (registrar), ces intermédiaires entre l’ICANN et le réservataire gérant la réservation de noms de domaine, à obtenir le consentement des réservataires pour la collecte de leurs données à caractère personnel et interdit leur divulgation au public. En effet, le WHOIS soulevait un problème pour la protection de la vie privée des personnes. La diffusion publique de l’identité, voire d’autres informations relatives au détenteur d’un nom de domaine, ainsi que celles des contacts administratifs et techniques qui peuvent être des personnes physiques, ouvrait la porte à l’exploitation commerciale de ces données sans consentement préalable. Or, il s’agit précisément d’une des problématiques que le règlement entendait traiter. Des changements relatifs à l’accès aux données à caractère personnel des fiches Whois étaient dès lors essentiels pour une mise en conformité effective.  Le modèle de Whois a également été remis en cause par le registrar allemand EPAG. Ce dernier qui fait une interprétation stricte du règlement a cessé de collecter les données des contacts administratif et technique pour les nouveaux enregistrements. L’ICANN a alors engagé une action judiciaire devant le tribunal régional de Bonn afin de requérir la continuation de la collecte de toutes les données WHOIS, et maintenir ainsi l’intégrité de la base de données WHOIS. Déboutée en première instance, l’ICANN a fait appel, action qui a conduit le tribunal de Bonn à se ressaisir de l’affaire.

La mise en conformité de l’ICANN

L’ICANN a donc été contrainte de faire évoluer sa politique de WHOIS. A cet effet, elle a modifié le 31 juillet 2017 ses contrats avec les registry concernant la collecte de données à caractère personnel (point 2.18 du contrat d’accréditation de Registry). La modification porte sur les relations entre regitry et registrar en imposant à ces derniers, lors de l’enregistrement de nom de domaine, d’obtenir le consentement des réservataires quant à la collecte et au traitementde leurs données pour inscription dans la base WHOIS et leur traitement conformément au contrat d’enregistrement des noms de domaine.  Dans cette optique, l’ICANN a retenu le 28 février 20184un modèle provisoire de WHOIS nommé le « Calzone Model » réduit à son minimum et appliqué à tous les titulaires de noms de domaine, dans et hors de l’Union européenne. Son but est de mettre en conformité à court terme l’exploitation de la base WHOIS avec les dispositions du RGPD, préalablement à une révision totale du système afin de permettre un équilibre optimal entre la lutte contre la cybercriminalité et la protection des données à caractère personnel. Les informations mises à disposition du public seront notamment le nom de domaine lui-même, les informations administratives et techniques (dates, statuts, nom du bureau d’enregistrement, serveurs dns), l’état et le pays du titulaire, le nom de l’organisation s’il s’agit d’une société ainsi qu’un moyen de contacter le titulaire (email anonymisé ou formulaire).  Dans le Calzone Model, les autres informations ne sont pas publiées et seuls des utilisateurs accrédités selon des critères non définis à ce jour pourront y avoir accès. Les utilisateurs accrédités envisagés seraient par exemple les autorités policières et judiciaires… et les titulaires de droits. Les propositions initiales de l’ICANN relatifs aux critères d’accréditation ont été rejetées par le Comité Européen de la Protection des Données (CEPD – anciennement G29). A ce jour, l’accès aux données complètes WHOIS est incertain et soumis à la seule appréciation des registrars.

Une application hétérogène par les registrars

En raison du rejet des propositions de l’ICANN par le CEPD et la mise en place dans la précipitation d’un modèle intérimaire, nous constatons une grande hétérogénéité dans les nouvelles politiques de confidentialité.  Par exemple, certains registrars masquent toutes les données tandis que d’autres n’appliquent pas encore les règles fixées par l’ICANN. Afin de communiquer avec le titulaire du nom de domaine enregistré, il est possible d’utiliser un formulaire en ligne qui permet de contacter directement le déposant (GoDaddy, Etats-Unis). D’autres bureaux ont mis en place un service proxy permettant la confidentialité des données à caractère personnel des réservataires (Namecheap). A l’inverse, certains registrars chinois continuent pour l’instant de divulguer les informations des titulaires européens.

Quelle stratégie adopter ?

L’application des dispositions du RGPD au regard des noms de domaine est aujourd’hui disparate.

Le cabinet Dreyfus suit l’évolution de la situation et élabore de nouvelles stratégies de défense des marques sur Internet pour s’adapter aux dispositions transitoires mises en place parl’ICANN. Il est en effet nécessaire de voir comment avancera le dialogue des différents acteurs afin de finaliser un modèle de Whois conforme aux dispositions du RGPD et garantissant un accès aux données à des tiers autorisés. Pour l’heure, le seul changement notoire à noter est l’impossibilité d’identifier via les données Whois des cybersquatteurs « à répétition » et d’engager des actions visant plusieurs noms de domaine simultanément. Nous vous tiendrons informés des avancées concernant ces problématiques.

A ce stade, notre équipe se tient à votre entière disposition pour toute question ou information complémentaire.

L’acquis communautaire le plus fort en matière de propriété intellectuelle demeure très certainement la territorialité régionale des droits de l’Union issue des règlements n°2017/ 1001 du Parlement européen et du Conseil du 14 juin 2017 sur la marque de l’Union européenne et n°6/2002 du Conseil du 12 décembre 2001 sur les dessins ou modèles communautaires. Etendant une territorialité à l’origine nationale, à une territorialité de l’Union européenne, ces règlements témoignent de la construction progressive, mais de plus en plus manifeste d’un droit « européen » de la propriété intellectuelle à part entière. Ainsi, les titulaires de droits de l’Union pouvaient jusqu’alors prétendre, grâce à l’effet unitaire, à une protection de leur titre élargie aux vingt-huit Etats membres. Cependant, la notification britannique, en date du 29 mars 2017, annonçant l’intention du Royaume-Uni de quitter l’Union européenne, vient mettre à mal cette construction normative. En effet, malgré la potentielle subsistance de certains acquis européens au travers des lois locales de transposition des directives qui, elles, continueront de s’appliquer, l’effet majeur d’un tel retrait sera de mettre fin à l’application directe des règlements européens au sein du Royaume-Uni. On ajoutera que la pérennité des acquis absorbés par le droit britannique doit être relativisée dès lors que ces derniers, désormais encadrés et garantis à l’échelle nationale, seront davantage exposés à de potentiels amendements au nom des intérêts locaux. On tiendra à préciser que les brevets européens, ne seront pas directement touchés par le retrait du Royaume-Uni dans la mesure où la Convention sur le Brevet Européen (CBE) ne relève pas de l’ordre juridique de l’Union européenne. La Commission européenne, dans un avis publié le 1er décembre 2017 confirmait que le droit européen applicable aux Etats membres de l’Union en matière de marques et de dessins et modèles cesserait purement et simplement de s’appliquer au Royaume-Uni à compter du 30 mars 2019, conformément à l’article 50(3) du Traité sur l’Union européenne. On regrettait alors, pour des questions de sécurité juridique, principalement, l’absence d’un accord de retrait permettant une transition organisée et efficace.

La situation a évolué ce lundi 19 mars 2018. L’Union européenne et les Britanniques se sont, en effet, entendus sur les termes d’un accord transitionnel tant attendu.  Celui-ci, sans pour autant modifier de manière substantielle les conséquences juridiques engendrées par le retrait, prévoit de reporter la prise d’effet de celui-ci au 1er janvier 2021.  Un tel report est le bienvenu en ce qu’il permettra aux titulaires de droit de l’Union d’anticiper plus sereinement la restriction du champ de protection afférente à leurs droits. Au titre de ces dispositions transitoires a été envisagé, à l’article 50 du “ Draft Agreement on the withdrawal of the United Kingdom of Great Britain and Northern Ireland from the European Union and the European Atomic Energy Community », publié le 19 mars 2018 par le gouvernement britannique, un mécanisme juridique permettant la transformation automatique des titres de l’Union, effectifs avant le 31 décembre 2020, en droits nationaux britanniques considérés comme équivalents. Un tel système s’avère opportun dans la mesure où, bénéficiant aux titulaires de droits, il permettra de pallier à la restriction du champ de protection unitaire « d’origine ». Attention toutefois, la mise en œuvre d’un tel mécanisme demeure, à l’heure actuelle, encore incertaine. Concernant le droit de priorité, a été prévue à l’article 55 de l’accord de retrait, la possibilité de procéder au dépôt d’une marque dessin ou modèle britannique équivalent à un titre de l’Union dont la demande d’enregistrement est intervenue dans les neuf mois suivant la fin de la période de transition, soit jusqu’au 30 septembre 2021. Aussi, aux termes de l’article 52 les titres de propriété industrielle acquis dans le cadre des systèmes de Madrid et de la Haye désignant l’Union européenne avant la fin de la période de transition, conserveront leur protection au sein du Royaume-Uni.

En conclusion, il est nécessaire de garder à l’esprit que les marques, dessins et modèles de l’Union en cours d’enregistrement au-delà du 31 décembre 2020 ne couvriront que les vingt-sept Etats membres excluant de ce fait le Royaume-Uni. Aussi, au vu de l’incertitude planant autour de la mise en œuvre du mécanisme de transformation automatique des titres de l’Union en titres équivalents britanniques, il est vivement conseillé aux titulaires de marque de l’Union ou de dessins ou modèles communautaires, d’anticiper en effectuant, parallèlement d’un dépôt auprès de EUIPO, un dépôt auprès de l’Office de la propriété intellectuelle britannique (UKIPO) , le risque étant cependant de se retrouver titulaire de deux titres couvrant le Royaume-Uni en 2021.