Le Droit de la consommation, troisième tome du Traité de droit économique, expose, dans une perspective comparative, l’ensemble des règles européennes et françaises : publicité, pratiques commerciales déloyales, conditions de validité du contrat, clauses abusives, conformité des produits, vices cachés, sécurité des produits.

Droit de la consommation

Selon la CNIL, qu'ils naviguent sur Internet ou utilisent des applications mobiles, les utilisateurs de services de communications en ligne sont suivis et tracés par différents acteurs (éditeurs de service, régies publicitaires, réseaux sociaux, etc.) qui analysent leur navigation, leurs déplacements et leurs habitudes de consultation ou de consommation, afin notamment de leur proposer des publici …

Publicité ciblée et protection des données personnelles 

ARCELIN, Les méandres de la publicité cachée sur Internet, RLDA 2014, n° 4961, 31 ; AUROUX, La publicité à l'épreuve du droit des données à caractères personnel, in L'entreprise à l'épreuve du droit de l'Internet. Quid novi?, Dalloz, 2014 ; DEBET, MASSOT, METALLINOS, La protection des données à caractère personnel en droit français et européen, Lextenso éditions, 2015 ; DAOUD et PÉRONNE, Le renforcement des droits des personnes sur leurs données : mythe ou réalité ?, RLDA 2016, n° 6026 ; SAURON, Le règlement général sur la protection des données, réglement UE n° 2016/679 du 27 avril 2016 : de quoi est-il le signe? Communic. comm. électr. 2016, études, 16 ; TRACOL, Le règlement et la directive relatifs à la protection des données à caractère personnel, Europe octobre 2016, étude, 8 ; BOURGEOIS et RÉGNIER-PÉCASTAING, Le Règlement général sur la protection des données (RGPD) : Un chantier à démysifier !, JCP G 2017, 914 ; De TERWANGNE, ROSIER, LOSDYCK, Le règlement européen relatif à la protection des données à caractère personnel : quelles nouveautés?, JDE 2017, 302 ; CLARET, Plateformes numériques et protection des données personnelles du consommateur, Contrats Conc. consom. 2018, Etudes 10 ; DEBET, Le consentement dans le RGPD : rôle et définition, Communic. com. électr. avril 2018, dossier 9 ; PAILLER, L'applicabilité spatiale du Règlement général sur la protection des données (RGPD) – Commentaire de l'article 3, JDI juillet 2018, doctr. 9 ; DEPINCÉ, Du consommateur fidèle au consommateur captif : Analyse de droit du marché, RLDA 2019, n° 6766; DUBERN, LILLE, OLIVAN GARCIA, NAFTALSKI, SPYROU, RGPD, un an après : retour d'expérience et défis à venir, RLDA 2019, n° 6808 s ; ALLEAUME, Les données à caractère personnel comme objet des contrats, AJ Contrat 2019, 373; DANIS-FATÔME, Ordre public et protection des données personnelles, AJ Contrat 2019, 366 ; ROGUE, Capacité et consentement au traitement de données à caractère personnel et au contrat, AJ Contrat 2019, 370 ; DARY et GOSSE, Les effets du RGPD sur l'obligation de transparence des professionnels envers le consommateur, RLDA 2020, 7058 ; DESGENS-PASANAU, Droit au déréférencement : nouvelles décisions de la CJUE, de la Cour de cassation et du Conseil d'État, Communic. comm. électr. 2020, étude 3 ; FAVENNEC-HERY, Données personnelles et responsabilité, JCP soc. 2020, Etude, 2030. 

Selon la CNIL, qu'ils naviguent sur Internet ou utilisent des applications mobiles, les utilisateurs de services de communications en ligne sont suivis et tracés par différents acteurs (éditeurs de service, régies publicitaires, réseaux sociaux, etc.) qui analysent leur navigation, leurs déplacements et leurs habitudes de consultation ou de consommation, afin notamment de leur proposer des publicités ciblées ou des services personnalisés. Dans son rapport du 26 mars 2009 sur la publicité ciblée en ligne, la CNIL a recensé trois types de publicité ciblée : la “publicité personnelle”, dite aussi “publicité personnalisée”, la “publicité contextuelle” et la “publicité comportementale”. 

La publicité comportementale procède de l'étude du comportement de l'internaute sur la durée . En fonction des pages consultées, des sites visités, des préférences exprimées sur les réseaux sociaux  ou des requêtes formulées sur les moteurs de recherche, des publicités adaptées à son profil sont proposées à l'internaute.

La publicité contextuelle est choisie en fonction du contenu éditorial des pages dans lesquelles elle s'insère ou des mots clés saisi s'il s'agit d'un moteur de recherche. Elle est de la sorte censée refléter les intérêts de l'internaute (ex : publicités pour des appareils de puériculture sur un site dédié aux jeunes parents).

La publicité personnalisée est “[…] choisie en fonction des caractéristiques connues de l’internaute (âge, sexe, coordonnées, etc.) et qu’il a lui-même renseignées, par exemple en s’inscrivant à un service”. De fait, elle est soumise à la réglementation relative à la protection des données personnelles qui, par essence, requiert une identification. En revanche, les autres formes de publicités ciblées ne requérant pas l'identification d'une personne donnée, mais plutôt la constitution de profils de consommation plus ou moins aboutis selon la méthode utilisée, l'application des dispositions relatives aux données personnelles soulève quelques difficultés.

La protection des données à caractère personnel fait l'objet d'une réglementation assez abondante . 

En droit européen, un règlement général qui vise à renforcer les droits des personnes physiques en matière de protection des données à caractère personnel (en les dotant notamment d'un droit à l'oubli numérique effectif) tout en améliorant les débouchés commerciaux (en facilitant le libre flux des données dans le marché unique numérique), le Règlement 2016-679 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, et à la libre circulation de ces données, dit “RGPD” , a été adopté. Le RGPD s'accompagne de Lignes directrices sur la transparence , sur le consentement  et sur la violation des notifications . 

En droit interne, les textes les plus importants sont la loi Informatique et libertés du 6 janvier 1978 , substantiellement modifiée par la loi 2018-493 , le décret 2018-687  et l'ordonnance 2018-1125  qui mettent notre droit en conformité avec le RGPP et transposent la Directive “police-justice” , la loi LCEN du 21 juin 2004 et l'ordonnance 2001-1012 du 24 août 2011. 

La notion de données personnelles est définie à l'article 4, paragraphe 1, du règlement RGPD :  on entend par “données à caractère personnel”, toute information concernant une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée” ). Le texte retient une conception large de l’identité qui ne se réduit pas au seul nom d’une personne, mais concerne tout moyen d’identification, direct ou indirect, de celle-ci . Ainsi, selon la CNIL, les autorités européennes de protection des données réunies au sein du Groupe G29  , la CJUE  , ou la CNIL , l'adresse IP, qui permet de localiser l'internaute par le biais de son ordinateur, constitue l'un de ces moyens .  Il en va de même, selon le considérant 30 du règlement RGPD, des témoins de connexion technique ou cookies, visés à l'article 5, paragraphe 3, de la directive 2002-58  qui les soumet à un système d'"opt in" obligeant à recueillir l'accord préalable de l'internaute avant l'envoi des cookies . 

En droit français, c'est l'article 82 de la loi 78-17 révisée, qui transpose l’article 5, paragraphe 3 de la directive 2002-58. Cette disposition prévoit que “tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : - de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement  ; - des moyens dont il dispose pour s'y opposer. Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement, qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : 1° soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur”.

Alors même que le règlement e-privacy destiné à remplacer la directive 2002-58 sur la vie privée et communications électroniques n'est toujours pas adopté , la CNIL a adopté, le 17 septembre 2020, des lignes directrices relatives au recueil obligatoire du consentement des personnes  , complétées d'une recommandation portant sur l'utilisation de cookies et autres traceurs   .

Les lignes directrices visent les opérations de lecture et écriture de toute information stockée ou consultée dans un équipement terminal , quels que soient les systèmes d'exploitation ou les logiciels applicatifs utilisés et qu’il s’agisse ou non de données à caractère personnel au sens du règlement RGPD.  Elles portent sur l’utilisation des cookies HTTP, par lesquels les actions de lecture et d'écriture sont le plus souvent réalisées, mais également d’autres technologies telles que les “local shared objects” ou “cookies Flash”, le “local storage” mis en œuvre au sein du standard HTML, les identifications par calcul d’empreinte du terminal ou “fingerprinting”, les identifiants générés par les systèmes d’exploitation, publicitaires ou non, les identifiants matériels (adresse MAC, numéro de série ou tout autre identifiant d’un appareil), etc. Après avoir rappelé que, conformément aux exceptions prévues à l'article 82 de la loi 78-17, l'exigence de consentement ne s'applique pas aux opérations qui auraient pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou seraient strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse des utilisateurs, les lignes directrices dressent une liste de traceurs pouvant être considérés comme exemptés du recueil du consentement : 

- les traceurs qui conservent le choix exprimé par les utilisateurs sur le dépôt de traceurs ; 

- les traceurs destinés à l’authentification auprès d’un service, y compris ceux visant à assurer la sécurité du mécanisme d’authentification, par exemple en limitant les tentatives d’accès robotisées ou inattendues ; 

- les traceurs destinés à garder en mémoire le contenu d’un panier d’achat sur un site marchand ou à facturer à l’utilisateur le ou les produits et/ou services achetés ; 

- les traceurs de personnalisation de l'interface utilisateur (par exemple, pour le choix de la langue ou de la présentation d’un service), lorsqu’une telle personnalisation constitue un élément intrinsèque et attendu du service ; 

- les traceurs qui permettent l'équilibrage de la charge des équipements concourant à un service de communication ; 

- les traceurs qui permettent aux sites payants de limiter l’accès gratuit à un échantillon de contenu demandé par les utilisateurs (quantité prédéfinie et/ou sur une période limitée) ; 

- les traceurs de mesure d’audience, pourvu qu'ils soient indispensables au bon fonctionnement d'un site internet ou d'une application et donc à la fourniture d'un service ; pour relever de cette catégorie, ces traceurs ne doivent pas permettre le suivi global de la navigation de la personne qui utilise différentes applications ou navigue sur différents sites web ; par ailleurs, ils doivent uniquement servir à produire des données statistiques anonymes, les données à caractère personnel collectées ne pouvant être recoupées avec d’autres traitements ni transmises à des tiers. 

Les lignes directrices précisent, en ce qui concerne le consentement, que les utilisateurs doivent consentir au dépôt de traceurs en manifestant à cette fin leur volonté “de manière libre, spécifique, éclairée et univoque, par une déclaration ou un acte positif clair”. La simple navigation sur un site internet ou l'utilisation d'une application mobile ne constituent pas un acte positif clair visant à donner son consentement. De même, le consentement ne peut être valablement recueilli à des opérations de lecture et d'écriture par une acceptation globale de conditions générales d'utilisation. En cas d'opérations de traitement répondant à des finalités distinctes, le consentement de l'utilisateur doit être demandé pour chaque finalité distincte. Pour l'utilisateur, refuser un traceur doit être aussi aisé que de l'accepter, sachant que le refus peut se déduire du silence ou de l'inaction de l'utilisateur. En outre, le retrait de son consentement doit être possible à tout moment. La CNIL considère notamment que le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et ne subit pas d'inconvénients majeurs en cas d'absence ou de retrait du consentement . Le consentement éclairé de l'utilisateur implique non seulement qu'il connaisse l'identité de tous les acteurs qui utilisent des traceurs soumis au consentement mais aussi qu'il soit, avant de consentir, clairement informé des finalités des traceurs, des conséquences qui s'attachent à son refus ou son acceptation et de son droit à retirer son consentement.

La recommandation, qui précise les lignes directrices, s'adresse à tous les organismes qui recourent à des traceurs. Elle indique notamment que les finalités des traceurs (utilisés à des fins de publicité personnalisée, de mesure d'audience, de publicité géolocalisée, de partage sur les réseaux sociaux, etc.) doivent être formulées de manière intelligible, dans un langage adapté et suffisamment clair pour permettre aux utilisateurs de comprendre précisément ce à quoi ils consentent. S'agissant des traceurs exemptés de consentement, la CNIL recommande que les utilisateurs soient tout de même informés de leurs existence et de leurs finalités ; pour les traceurs de mesures d'audience, elle préconise en particulier que la durée de vie de ces derniers soit limitée à une durée qui permette une comparaison pertinente des audiences dans le temps et ne soit pas prorogée automatiquement à chaque visite et que les informations collectées par l'intermédiaire de ces traceurs soient conservées pour une durée maximale de 25 mois . 

2) Traitement de données à caractère personnel et déréférencement

L'article 4, paragraphe 2, du règlement RGPD définit le traitement de données personnelles comme “toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction” . 

Les moteurs de recherche stockant des données personnelles pour accroître leurs performances, la Cour de justice a été saisie de la question de savoir si ce stockage constituait un traitement de données personnelles. Le juge de l'Union y a répondu positivement en consacrant un droit au déréférencement ("droit à l'oubli") de tout internaute qui en fait la demande auprès des moteurs de recherche . Selon la Cour, les résultats affichés par les moteurs de recherche à la suite d’une requête effectuée sur la base d’un nom, sont des traitements de données à caractère personnel, dont ces moteurs sont responsables. Ces traitements sont soumis au droit de l'Union sur la protection des données dans la mesure où le moteur de recherche dispose d’un établissement sur le territoire de l’Union en charge, notamment, d’assurer la promotion et la vente d’espaces publicitaires. La Cour ajoute que l'organisation et l'agrégation des informations publiées sur internet effectuées par les moteurs de recherche dans le but de faciliter à leurs utilisateurs l'accès à celles-ci peut conduire, lorsque la recherche de ces derniers est effectuée à partir du nom d'une personne physique, à ce que ceux-ci obtiennent par la liste de résultats un aperçu structuré des informations relatives à cette personne trouvables sur internet, leur permettant d'établir un profil plus ou moins détaillé de la personne concernée. Il en résulte un droit des personnes à demander le déréférencement d’informations en lien avec leur identité, sous réserve de certaines conditions et en particulier de l’intérêt du public à avoir accès à l’information. En cas de refus du déréférencement sollicité, l'intéressé peut contester cette décision auprès de la CNIL ou de l’autorité judiciaire compétente. Dans la foulée, les autorités européennes de protection des données du G29 ont adopté des lignes directrices pour assurer une application harmonisée de l’arrêt de la Cour . Interprétant strictement cette décision, la CNIL estime que le déréférencement doit être réalisé sur l’ensemble du moteur de recherche, quelle que soit l’extension de celui-ci (.fr ; .uk ; .com ; etc.) . La Cour de justice a finalement énoncé que lorsque l'exploitant d'un moteur de recherche fait droit à une demande de déréférencement, il est tenu d'opérer ce déréférencement sur les versions de celui-ci correspondant à l'ensemble des États membres, et, si nécessaire, de prendre des mesures qui permettent effectivement d'empêcher ou, à tout le moins, de sérieusement décourager les internautes qui effectueraient une recherche sur la base du nom de la personne concernée à partir de l’un des États membres, d’avoir accès, par la liste de résultats affichée à la suite de cette recherche, via une version de ce moteur “ hors UE ”, aux liens qui font l’objet de la demande de déréférencement . Une juridiction d'un État membre peut même enjoindre à un hébergeur de supprimer les informations qu'il stocke et dont le contenu est équivalent à celui d'une information déclarée illicite précédemment ou de bloquer l'accès à celles-ci au niveau mondial, dans le cadre du droit international pertinent . Selon la Cour de cassation, la juridiction saisie d'une demande de déréférencement est tenue de porter une appréciation sur son bien-fondé et de procéder à la mise en balance des intérêts en présence, c'est-à-dire d'une part l'intérêt légitime des internautes potentiellement intéressés à avoir accès à l'information lorsqu'ils effectuent une recherche portant sur le nom du demandeur et d'autre part, les droits au respect de la vie privée et à la protection des données à caractère personnel : une mesure d'injonction d'ordre général conférant un caractère automatique à la suppression de la liste des résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, de liens vers des pages internet contenant des informations relatives à cette personne ne saurait être adoptée . Le Conseil d'État, par treize arrêts rendus le 6 décembre 2019, a précisé les contours du droit à l'oubli .

Selon la Cour de justice, si le simple fait d'utiliser un réseau social tel que Facebook ne rend pas un utilisateur de Facebook coresponsable d'un traitement de données à caractère personnel effectué par ce réseau, l'administrateur d'une page fan hébergée sur Facebook qui crée une telle page, offre à Facebook la possibilité de placer des cookies sur l'ordinateur ou sur tout autre appareil de la personne ayant visité sa page fan, que cette personne dispose ou non d'un compte Facebook ; par son action de paramétrage, en fonction, notamment, de son audience cible ainsi que d'objectifs de gestion ou de promotion de ses activités, il participe ainsi à la détermination des finalités et des moyens du traitement des données personnelles des visiteurs de sa page fan ; en outre, si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il se doit de prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable .

En France, la loi Informatique et libertés révisée pose un certain nombre d'exigences applicables aux données à caractère personnel concernant notamment leur traitement, leur collecte, leur conservation (art. 4)  et détermine les conditions dans lesquelles un traitement de données à caractère personnel peut être considéré comme licite (art. 5) . La mission de contrôle de la mise en oeuvre des traitements dont est investie la CNIL est détaillée à l'article 19 et les sanctions et mesures correctives applicables en cas de violation du règlement RGPD ou de la loi sont énoncées aux articles 20 à 23. Les articles 31 et 32 autorisent certains traitement de données à caractère personnel mis en œuvre pour le compte de l'Etat, autorisés par arrêté du ou des ministres compétents, ou décret en Conseil d'État, pris après avis motivé et publié de la CNIL.

La CNIL  veille attentivement au respect de ces textes , et notamment, à l'application combinée du règlement RGPD et de la loi du 6 janvier 1978. Sur son site Internet, la CNIL précise que “la bonne compréhension du cadre juridique suppose de combiner désormais les deux niveaux, européen et national. Le règlement RGPD s’applique directement en droit français : il remplace sur de nombreux points (droits des personnes, bases légales des traitements, mesures de sécurité à mettre en œuvre, transferts, etc.) la loi nationale”. Le législateur français avait consacré dans le cadre de la loi “pour une République numérique”  un droit des personnes à la portabilité des données personnelles, qui leur permettait d'obtenir les données personnelles enregistrées lorsqu'elles procèdent à des inscriptions ou opérations sur internet, et un droit à la “mort numérique”, sorte de testament numérique, concernant le devenir des données publiées sur internet en cas de décès, ainsi qu'un droit à l'oubli pour les mineurs, qui pourront réclamer la suppression de données publiées à leur sujet avant leur majorité. Le droit à la portabilité “à la française”, en contradiction avec le régime de portabilité prévu par le RGPD est abrogé par l'article 33 de la loi 2018-493, la loi Informatique et libertés qui précise désormais que le droit à la portabilité des données s'exerce dans les conditions prévues à l'article 20 du règlement. La CNIL ajoute : “Sur d’autres points (les “marges de manœuvre nationales"), la loi Informatique et libertés reste en vigueur et vient compléter le règlement RGPD : il s’agit par exemple du traitement des données de santé ou des données d’infraction, de la fixation à 15 ans du seuil d’âge du consentement des mineurs aux services en ligne, des dispositions relatives à la mort numérique, etc. Enfin, la loi nationale reste pleinement applicable pour tous les fichiers "répressifs”, qu’il s’agisse de la sphère pénale ou du domaine du renseignement et de la sûreté de l’Etat. De nombreuses dispositions spéciales sont prévues en ces matières” (art. 3, L. 78-17). 

Pour suivre l'internaute, la publicité comportementale recourt notamment aux "cookies". 

Ordonnance n° 2018-1125 du 12 décembre 2018 prise en application de l'article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel, JO 288 du 13 décembre 2018. L’article 29 de l'ordonnance précise que les modifications ainsi apportées entreront en vigueur concomitamment avec le futur décret, modifiant le décret n° 2005-1309 du 20 octobre 2005, qui sera pris en application de la loi Informatique et Libertés dans sa rédaction résultant de la présente ordonnance, au plus tard le 1er juin 2019. L'ordonnance est soumise à une loi de ratification dont le projet devra être déposé dans un délai de six mois à compter de sa publication ; DEBET et METALLINOS, Ordonnance du 12 décembre 2018. Poursuite de l'adaptation du droit français avec le RGPD (2e partie : Les traitements relevant du RGPD), Communic. comm. électr. 2019,  n° 19.

Directive (UE) 2016-680 du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008-977/JAI du Conseil, dite directive "Politique justice", JO L 119 du 4 mai 2016. 

Selon le Conseil d'État, la notion de personne concernée par un traitement de données à caractère personnel ne saurait s’étendre à ses ayant droits, V. Cons. d'Ét., 8 juin 2016, LawLex201600001736JBJ.

Selon le règlement RGPD, "est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale".

Art. 29, Dir. 95-46, relatif au Groupe de protection des personnes à l'égard du traitement des données à caractère personnel : "1. Il est institué un groupe de protection des personnes à l'égard du traitement des données à caractère personnel, ci-après dénommé «groupe». Le groupe a un caractère consultatif et indépendant. 2. Le groupe se compose d'un représentant de l'autorité ou des autorités de contrôle désignées par chaque État membre, d'un représentant de l'autorité ou des autorités créées pour les institutions et organismes communautaires et d'un représentant de la Commission. Chaque membre du groupe est désigné par l'institution, l'autorité ou les autorités qu'il représente. Lorsqu'un État membre a désigné plusieurs autorités de contrôle, celles-ci procèdent à la nomination d'un représentant commun. Il en va de même pour les autorités créées pour les institutions et organismes communautaires. 3. Le groupe prend ses décisions à la majorité simple des représentants des autorités de contrôle. 4. Le groupe élit son président. La durée du mandat du président est de deux ans. Le mandat est renouvelable. 5. Le secrétariat du groupe est assuré par la Commission. 6. Le groupe établit son règlement intérieur. 7. Le groupe examine les questions mises à l'ordre du jour par son président, soit à l'initiative de celui-ci, soit à la demande d'un représentant des autorités de contrôle ou de la Commission". Le nouveau règlement 2016-679 (art. 68 à 76) instaure en outre un Comité Européen de la Protection des Données (CEPD) chargé d’arbitrer les différends entre les différentes autorités européennes compétentes et d’élaborer une doctrine "européenne" en matière de protection des données personnelles.

CJUE, 19 octobre 2016, Brey c. Bundesrepublik Deutschland, aff. C-582-14, LawLex201600001714JBJ, RJDA 2017, chron., 221, obs. VICHNIEVSKY : une adresse IP dynamique enregistrée par un fournisseur de services de médias en ligne lors de la consultation de son site internet constitue une donnée à caractère personnel, dès lors que des moyens légaux lui permettent de faire identifier son titulaire au moyen des informations supplémentaires que lui procure le fournisseur d'accès à internet de ce dernier.

Dans la délibération n° 2013-378 du 5 décembre 2013, la CNIL retient que les formes d'accès et d'inscriptions visées par l'article 32-II "impliquent généralement le traitement de données à caractère personnel, parfois directement identifiantes (par exemple, une adresse électronique), et souvent indirectement identifiantes (par exemple, l'identifiant unique d'un cookie, une adresse IP, un identifiant du terminal ou d'un composant du terminal de l'utilisateur, le résultat du calcul d'empreinte dans le cas du " fingerprinting ", ou encore l'identifiant généré par un logiciel ou un système d'exploitation").

Au départ hésitante, la jurisprudence française s’est alignée sur la position du juge de l’Union : l'adresse IP constitue une donnée à caractère personnel : V. TGI Saint Brieuc, 6 septembre 2007, LawLex201500001029JBJ ; Rennes, 28 avril 2015, LawLex201500001799JBJ ; Cass. civ. 1re, 3 novembre 2016, LawLex201600001808JBJ, RJDA 2017, chron., 221, obs. VICHNIEVSKY. - Contra: Paris, 12 décembre 2007, LawLex201500001028JBJ : l'adresse IP, si elle constitue une donnée personnelle, ne permet d'identifier qu'un ordinateur et non réellement une personne, dès lors qu'elle ne donne aucune indication sur son identité ou son lieu de résidence.

Dir. 2002-58, art. 5, paragr. 3 : "Les États membres garantissent que l'utilisation des réseaux de communications électroniques en vue de stocker des informations ou d'accéder à des informations stockées dans l'équipement terminal d'un abonné ou d'un utilisateur ne soit permise qu'à condition que l'abonné ou l'utilisateur, soit muni, dans le respect de la directive 95-46-CE, d'une information claire et complète, entre autres sur les finalités du traitement, et que l'abonné ou l'utilisateur ait le droit de refuser un tel traitement par le responsable du traitement des données. Cette disposition ne fait pas obstacle à un stockage ou à un accès techniques visant exclusivement à effectuer ou à faciliter la transmission d'une communication par la voie d'un réseau de communications électroniques, ou strictement nécessaires à la fourniture d'un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur".

Avant l'entrée en vigueur de la directive modificative 2009-136, c'est le système de l'"opt out" qui prévalait, l'internaute ne pouvant s'opposer qu'une fois les cookies implémentés sur sa machine. 

Dir. 95-46 du 24 octobre 1995 relative à la protection des personnes physiques à l'égard des traitement des données à caractère personnelle et à la libre circulation de ces données ; 2002-58 du 12 juillet 2002 dite "Directive Vie privée et communications électroniques" ; 2006-24 du 15 mars 2006, dite "Directive Data-rétention" ; le "Paquet Télécom" du 25 novembre 2009, composé des directives 2009-136 modifiant la directive 2002/22/CE concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques, la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques et le règlement (CE) 2006/2004 relatif à la coopération entre les autorités nationales chargées de veiller à l’application de la législation en matière de protection des consommateurs et 2009-140 modifiant les directives 2002/21/CE relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques, 2002/19/CE relative à l’accès aux réseaux de communications électroniques et aux ressources associées, ainsi qu’à leur interconnexion, et 2002/20/CE relative à l’autorisation des réseaux et services de communications électroniques et du règlement 1211-2009 instituant l’Organe des régulateurs européens des communications électroniques (ORECE) ainsi que l’Office. 

Pour un exemple d'infraction, V. Délibération n° 2016-204 du 7 juillet 2016 prononçant une sanction pécuniaire contre la société Brandalley, LawLex201600001379JBJ.

Cf. Proposition de règlement concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques et abrogeant la directive 2002/58/CE (règlement "vie privée et communications électroniques"), rendu public par la Commission le 10 janvier 2017 (COM(2017) 10 final 2017/0003(COD)).

Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux « cookies et autres traceurs ») et abrogeant la délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d'un utilisateur (notamment aux cookies et autres traceurs), https://www.cnil.fr/sites/default/files/atoms/files/lignes_directrices_de_la_cnil_sur_les_cookies_et_autres_traceurs.pdf : les lignes directrices modifiées du 17 septembre 2020 ont été adoptées pour tenir compte de la décision du Conseil d'État du 19 juin 2020, LawLex202100000147JBJ, validant pour l'essentiel les lignes directrices du 4 juillet 2019, à l'exclusion de la prohibition générale et absolue de la pratique de "cookie walls" qui, selon la Haute juridiction, ne saurait figurer dans un acte de "soft law". - Aj. BATAILLE et BADIANE, Recommandations sur les cookies, recueil du consentement et responsabilité des acteurs : un délicat compromis, JCP E 2020, Etude, 1345.  

Les lignes directrices du 4 juillet 2019 ont abrogé la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978, LawLex201500001030JBJ, désormais remplacée par la délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs », https://www.cnil.fr/sites/default/files/atoms/files/recommandation-cookies-et-autres-traceurs.pdf.

Les lignes directrices renvoient à l'article 1er de la directive 2008/63/CE du 20 juin 2008 relative à la concurrence dans les marchés des équipements terminaux de télécommunications qui définit l’équipement terminal comme « tout équipement qui est connecté directement ou indirectement à l’interface d'un réseau public de télécommunications pour transmettre, traiter ou recevoir des informations ; dans les deux cas, direct ou indirect, la connexion peut être établie par fil, fibre optique ou voie électromagnétique ; une connexion est indirecte si un appareil est interposé entre l’équipement terminal et l’interface du réseau public », cette définition incluant, selon la CNIL, les tablettes, ordiphones (« smartphones »), ordinateurs fixes ou mobiles, consoles de jeux vidéo, télévisions connectées, véhicules connectés, assistants vocaux, ainsi que tout autre équipement terminal connecté à un réseau de télécommunication ouvert au public.

Selon la CNIL, les traceurs dont la finalité se limite à la mesure de l’audience du site ou de l’application, pour répondre à différents besoins (mesure des performances, détection de problèmes de navigation, optimisation des performances techniques ou  de l’ergonomie, estimation de la puissance des serveurs nécessaires, analyse des contenus consultés, etc.) sont strictement nécessaires au fonctionnement et aux opérations d’administration courante d’un site web ou d’une application et ne sont donc pas soumis, en application de l’article 82 de la loi Informatique et libertés, à l’obligation légale de recueil préalable du consentement de l’internaute. 

Dans ses lignes directrices, la CNIL affirme que la validité du consentement est soumise à la condition que la personne concernée ne subisse pas d'inconvénient majeur en cas d'absence ou de retrait de son consentement, « un tel inconvénient majeur pouvant consister dans l'impossibilité d'accéder à un site internet en raison de la pratique des « cookies walls » qui consiste à bloquer l'accès à un site web ou à une application mobile pour qui ne consent pas au dépôt ou à la lecture, sur son terminal, de traceurs de connexion ». Toutefois, selon le Conseil d'État, en déduisant une interdiction générale et absolue de la pratique des cookies walls de la seule exigence d'un consentement libre posée par le RGPD, la CNIL excède ses pouvoirs s'agissant d'un instrument de soft law, Cons. d'Ét., 19 juin 2020, LawLex202000001859JBJ. 

La Cour de justice a précisé que les informations que le fournisseur de services doit donner à l'utilisateur d'un site internet incluent la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d'avoir accès à ces cookies, CJUE, 1er octobre 2019, Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband eV c. Planet49 GmbH, aff. C-673-17, LawLex201900001156JBJ.

Comp. L. 78-17, art. 2 : "[...] constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction".

CJUE, 13 mai 2014, Google Spain SL; Google Inc c. Agencia Española de Protección de Datos ; Costeja González, aff. C-131-12, LawLex201500001018JBJ, D. 1015, 2219, obs. LARRIEU ; CMLR 2015, 1033-1058, obs. SPIECKER.

Le règlement RGPD (JO L 119 du 4 mai 2016, 1–88) abroge la directive 95/46/CE. Il est applicable en vertu de son article 99, paragraphe 2, à partir du 25 mai 2018. 

Lignes directrices accessibles à l'adresse suivante : http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp225_en.pdf. Consécutivement, la CNIL a publié deux synthèses : Droit au déréférencement : Liste des critères d’examens des demandes (http://www.cnil.fr/fileadmin/documents/Vos_libertes/Droit_au_dereferencement-criteres.pdf) et Droit au déréférencement : Interprétation commune de l’arrêt de la CJUE (http://www.cnil.fr/fileadmin/documents/Vos_libertes/Droit_au_dereferencement-Interpretation-Arret.pdf).

Google a fait l'objet en 2015 de deux mises en demeure publiques visant au respect de cette exigence, Communic. com. électr. 2015, n° 61, obs. DEBET. Début 2016, Google a infléchi sa politique concernant le droit à l'oubli et s'est engagé à déréférencer les résultats de recherches sur tous ses sites pourvu que la recherche soit effectuée depuis un pays européen. Cependant, Google n’ayant procédé au déréférencement que sur les extensions géographiques européennes de son moteur de recherche, de sorte que les contenus déréférencés restent accessibles sur le ".com" et les extensions non européennes, la CNIL lui a infligé une amende de 100 000 euro par une délibération du 10 mars 2016, Communic. com. électr. 2016, n° 65, obs. DEBET, V. https://www.cnil.fr/sites/default/files/atoms/files/d2016-054_sanction_google.pdf. - V. égal. Cons. d'Ét., 19 juillet 2017, LawLex201700002121JBJ, interrogeant la Cour de justice, à titre préjudiciel, sur le fait de savoir si le droit au déréférencement suppose que l'exploitant d'un moteur de recherche est tenu, lorsqu'il fait droit à une demande de déréférencement, de procéder sur l'ensemble des noms de domaine de son moteur, de telle sorte que les liens litigieux n'apparaissent plus, quel que soit le lieu à partir duquel la recherche lancée sur le nom du demandeur est effectuée, y compris hors du champ d'application territorial du droit de l'Union. La CNIL a de nouveau infligé une amende de 50 millions d'euro à Google pour cause de manque de transparence de sa politique de protection des données personnelles et absence de consentement valable des utilisateurs concernant le traitement de leurs données aux fins de ciblage publicitaire, V. Délibération de la formation restreinte n° SAN – 2019-001 du 21 janvier 2019 prononçant une sanction pécuniaire à l'encontre de la société GOOGLE LLC, Communic. com. électr. 2019, n° 35 et 43, obs. METALLINOS. 

 CJUE, 14 février 2019, Google LLC;  Wikimedia Foundation Inc.;  Fondation pour la liberté de la presse;  Microsoft Corp.;  Reporters Committee for Freedom of the Press e.a.;  Article 19 e.a.;  Internet Freedom Foundation e.a.;  Défenseur des droits c. Commission nationale de l'informatique et des libertés (CNIL), aff. C-507-17, LawLex201900001117JBJ, ajoutant que, les droits de la personne qui demande le déréférencement prévalent, en principe, non seulement sur l'intérêt économique de l'exploitant du moteur de recherche, mais également sur l'intérêt du public à accéder à ladite information lors d'une recherche portant sur le nom de cette personne, sauf si, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question.

 CJUE, 3 octobre 2019, Eva Glawischnig-Piesczek c. Facebook Ireland Limited, aff. C-18-18, LawLex201900001195JBJ.

Cass. 1re civ., 14 février 2018, LawLex201800000923JBJ.

Cons. d'Ét., 6 déc. 2019, LawLex202000000286JBJ, précisant que le droit à l'oubli suppose en principe pour la CNIL, saisie par une personne d'une demande tendant à ce qu'elle mette l'exploitant d'un moteur de recherche en demeure de procéder au déréférencement de liens renvoyant vers des pages web publiées par des tiers et contenant des données personnelles ne relevant pas de catégories particulières, d'y faire droit, sauf si, compte tenu du droit à la liberté d'information, il existe un intérêt prépondérant du public à avoir accès à une telle information à partir d'une recherche portant sur le nom de cette personne et que, pour procéder à une mise en balance entre la protection des données à caractère personnel et le droit à la liberté d'information et apprécier s'il peut être légalement fait échec au droit au déréférencement, il incombe à la CNIL de tenir compte de la nature des données en cause, de leur contenu, de leur caractère plus ou moins objectif, de leur exactitude, de leur source, des conditions et de la date de leur mise en ligne, des répercussions que leur référencement est susceptible d'avoir pour la personne concernée, mais aussi de la notoriété de cette personne, de son rôle dans la vie publique et de sa fonction dans la société, mais encore de la possibilité d'accéder aux mêmes informations à partir d'une recherche portant sur des mots-clés ne mentionnant pas le nom de la personne concernée ainsi que le rôle qu'a, le cas échéant, joué cette dernière dans la publicité conférée aux données la concernant ;  LawLex202000000287JBJ : estimant que la CNIL doit faire droit à la demande de déréférencement de liens renvoyant à un article citant le requérant à raison des fonctions qu'il exerce au sein de l'Église de scientologie, le maintien de ces liens ne présentant pas un intérêt prépondérant pour le public, lorsque l'intéressé n'exerce plus lesdites fonctions depuis plus de dix ans ni aucune activité en liaison avec cette organisation, que l'affaire rapportée dans l'article de presse s'est conclue par une ordonnance de non-lieu et que, par ailleurs, les internautes intéressés peuvent, dans le cadre d'une recherche effectuée à partir de mots-clés ne mentionnant pas le nom de l'intéressé, continuer à y accéder ; LawLex202000000288JBJ : retenant, en revanche que la CNIL, saisie d'une demande de déréférencement d'un lien renvoyant à un article se bornant à proposer un résumé du roman du requérant, publié en 2009, qui a fait l'objet d'une couverture médiatique, et comportant un certain nombre de données à caractère personnel le concernant, toutes extraites de ce livre, et dont aucune ne relève de catégories particulières, est fondée à retenir que l'intérêt prépondérant du public à avoir accès à ces informations à partir d'une recherche effectuée sur le nom de l'intéressé fait obstacle, en dépit de leur ancienneté et du fait que l'ouvrage n'est désormais plus édité, à ce qu'il soit fait droit à sa demande, eu égard notamment au fait que leur accessibilité procède de l'activité littéraire de cette personne et compte tenu de l'intérêt qui s'attache, pour le public, à pouvoir accéder aux recensions de livres publiés à partir d'une recherche portant sur le nom de leurs auteurs ; LawLex202000000289JBJ : validant le refus de la CNIL de faire droit à une demande de déréférencement de liens renvoyant vers les pages web de deux sites internet qui se bornent, pour l'essentiel, à reprendre les propos que la requérante a elle-même choisi de tenir au cours d'une interview de mai 2018 accordée à un troisième site au sujet de sa condamnation pour des faits de violence conjugale prononcée par le tribunal correctionnel de Versailles, en dépit des répercussions qu'est susceptible d'avoir pour l'intéressée leur maintien, lorsque leur référencement est strictement nécessaire à l'information du public, eu égard à la nature et au contenu de l'information litigieuse, à sa source, aux conditions dans lesquelles elle est traitée par les pages web litigieuse, au caractère récent de l'interview et au fait que l'intéressée a acquis une certaine notoriété en jouant l'un des rôles principaux d'une série qui continue d'être diffusée ;  LawLex202000000290JBJ : estimant que la CNIL, saisie par une personne d'une demande de déréférencement d'un lien renvoyant à une page d'un site web qui fait état de son activité de médecin généraliste, précise les coordonnées de son cabinet et donne la possibilité aux internautes de rédiger des commentaires à la suite d'une consultation, peut refuser d'y faire droit, dès lors qu'à la date de la présente décision, aucun commentaire n'apparait plus sur le site en cause et que, eu égard à la nature et au contenu des données restant accessibles, qui mentionnent seulement l'activité professionnelle de la requérante et rendent publiques ses coordonnées postales et téléphoniques, il est de l'intérêt prépondérant du public d'avoir accès à ces informations à partir d'une recherche effectuée à partir le nom de celle-ci. Adde : VANDERMEEREN, Droit au déréférencement de données personnelles : de récents échanges entre la Cour de Luxembourg et le Conseil d'État font progresser les règles applicables, RJDA 2020, chron., 163.

CJUE, 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein c. Wirtschaftsakademie Schleswig-Holstein GmbH, Facebook Ireland Ltd, Vertreter des Bundesinteresses beim Bundesverwaltungsgericht, aff. C-210-16, LawLex201800000864JBJ.

"Les données à caractère personnel doivent être : 1° Traitées de manière licite, loyale et, pour les traitements relevant du titre II, transparente au regard de la personne concernée ; 2° Collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. Toutefois, un traitement ultérieur de données à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des dispositions du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi, applicables à de tels traitements et s'il n'est pas utilisé pour prendre des décisions à l'égard des personnes concernées "; 3° Adéquates, pertinentes et, au regard des finalités pour lesquelles elles sont traitées, limitées à ce qui est nécessaire ou, pour les traitements relevant des titres III et IV, non excessives ; 4° Exactes et, si nécessaire, tenues à jour. Toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ; 5° Conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Toutefois, les données à caractère personnel peuvent être conservées au-delà de cette durée dans la mesure où elles sont traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques. Le choix des données conservées à des fins archivistiques dans l'intérêt public est opéré dans les conditions prévues à l'article L. 212-3 du code du patrimoine ; 6° Traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, ou l'accès par des personnes non autorisées, à l'aide de mesures techniques ou organisationnelles appropriées".

"Un traitement de données à caractère personnel n'est licite que si, et dans la mesure où, il remplit au moins une des conditions suivantes : 1° Le traitement, lorsqu'il relève du titre II, a reçu le consentement de la personne concernée, dans les conditions mentionnées au 11 de l'article 4 et à l'article 7 du règlement (UE) 2016/679 du 27 avril 2016 précédemment mentionné ; 2° Le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ; 3° Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; 4° Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ; 5° Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ; 6° Sauf pour les traitements effectués par les autorités publiques dans l'exécution de leurs missions, le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant."

L. 78-17 révisé, art. 8. En particulier, la CNIL : - informe toutes les personnes concernées et tous les responsables de traitements de leurs droits et obligations et peut, à cette fin, apporter une information adaptée aux collectivités territoriales, à leurs groupements et aux petites et moyennes entreprises ; - veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France ; - donne un avis sur les traitements mentionnés aux articles 31 et 32 ;- établit et publie des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel (...).

https://www.cnil.fr/sites/default/files/atoms/files/wp260_guidelines-transparence-fr.pdf

A titre illustratif, V. Décision n° 2016-026 du 26 janvier 2016, LawLex201600000267JBJ, Communic. com. électr. 2016, n° 56, obs. DEBET, par laquelle la CNIL a mis en demeure Facebook de respecter la loi informatique et libertés dans un délai de trois mois, notamment en collectant loyalement les données de navigation des internautes qui ne disposent pas de comptes Facebook et en permettant à ses membres de s’opposer à la combinaison de leurs données à des fins de publicité ciblée.

L. 2016-1321 du 7 octobre 2016, JO du 8 octobre 2016. V. GRYNBAUM, Loi "pour une République numérique", Ouverture des données et nouvelles contraintes, JCP G, 2016, 1129 ; BOUNEDJOUM et BOURGEOIS, Les impacts de la loi pour une République numérique sur la loi informatique et libertés, JCP E 2016, étude, 1683.

L. 78-17 révisée, art. 3 : " I. -Sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016-679 du 27 avril 2016, des critères prévus par l'article 3 de ce règlement, l'ensemble des dispositions de la présente loi s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire français, que le traitement ait lieu ou non en France. II. - Les règles nationales prises sur le fondement des dispositions du même règlement renvoyant au droit national le soin d'adapter ou de compléter les droits et obligations prévus par ce règlement s'appliquent dès lors que la personne concernée réside en France, y compris lorsque le responsable de traitement n'est pas établi en France. Toutefois, lorsque est en cause un des traitements mentionnés au 2 de l'article 85 du même règlement, les règles nationales mentionné

https://www.cnil.fr/sites/default/files/atoms/files/ldconsentement_wp259_rev_0.1_fr.pdf.; PENVEN, La transparence des algorithmes et le consommateur, Cah. dr. ent. 2019, 30 ; RAYMOND, Le consentement éclairé du cyberconsommateur, Cah. dr. ent. 2019, 29.

https://www.cnil.fr/sites/default/files/atoms/files/wp250rev01_en-data-breach.pdf

Modifiée notamment par la loi 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

Loi 2018-493 du 20 juin 2018 relative à la protection des données personnelles, JO 141 du 21 juin 2018 : BOURGEOIS et MOINE, la nouvelle loi Informatique et Libertés : des changements substantiels après le RGPD, JCP E 2018, 537 ; DEBET, Libertés et protection des personnes. L. n° 2018-493, 20 juin 2018, JCP G 2018, doctr., 907; MARTIAL, Loi sur la protection des données : quand la French Touch contribue à complexifier l'édifice du droit de l'Union européenne, JCP G 2018, 786 ; MATTATIA, La nouvelle loi Informatique et Libertés « CNIL 3 », JCP Administrations et Collectivités territoriales juillet 2018, 2199 ; DEBET et METALLINOS, Ordonnance du 12 décembre 2018. Poursuite de l'adaptation du droit français avec le RGPD (1re partie : Les dispositions communes), Communic. comm. électr. 2019, comm. 12. 

Décret 2018-687 du 1er août 2018, pris pour l'application de la loi 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi 2018-493 du 20 juin 2018 relative à la protection des données personnelles, JO 177 du 3 août 2018. 