Introduction

Convention écrite

Déséquilibre significatif

Rupture brutale des relations établies

Enquête de concurrence – Droit français

Action civile de concurrence

Droit français de la concurrence

Enquête de concurrence – Droit européen

Droit européen de la concurrence

Restrictions verticales

Droit de la distribution

Responsabilité du fait des produits défectueux

Droit de la consommation

Prohibition des mesures d’effet équivalent

Droit européen des affaires

Corruption

Compliance

Droit économique

Pacte d’actionnaires

Révocation des dirigeants

Abus du droit de vote

Sociétés

Action en contrefaçon

Droits conférés par la marque

Conditions de la brevetabilité

Propriété industrielle

Révision du loyer commercial

Renouvellement du bail commercial

Déspécialisation

Baux commerciaux

Réforme du droit des contrats

Réforme du droit des contrats spéciaux

Avant-contrat de vente

Obligation de délivrance conforme

Qualification du contrat d’entreprise

Effets du mandat à l’égard des tiers

Contrats d’affaires

Contrats en cours

Revendications

Plan de cession

Procédures collectives

Atteintes aux données personnelles

Droit pénal des affaires

Droit commercial

Le droit des affaires en 500 questions

Des mesures de sécurité protégeant le serveur qui contient des données personnelles, notamment de restriction des accès aux seules personnes qui doivent être autorisées, doivent être mises en place. Une entreprise méconnaît ses obligations en matière de sécurité informatique, dès lors que l’accès au serveur contenant les données personnelles ne fait l'objet d’aucune mesure de restriction d’accès s …

Quelles mesures de sécurité les entreprises doivent-elles mettre en place ?

Les formalités préalables visent un ensemble de formalités déclaratives à effectuer auprès de la CNIL avant la mise en œuvre d’un traitement de données personnelles. En fonction du traitement, il s’agit d’une déclaration ou d’une demande d’autorisation (art. 31 à 36 L. 6 janv. 1978), le responsable de traitement devant être en mesure d’établir à tout moment la conformité aux règles du règlement générale sur la protection des données personnelles (RGPD), notamment en matière de traçabilité des démarches (principe d’accountability).

Le fait, y compris par négligence, de procéder à un traitement de données à caractère personnel sans respecter les formalités préalables prévues par la loi du 6 janvier 1978 est réprimé pénalement, sans que soit exigé le franchissement d’un seuil de données ou de fichiers . Le traitement automatisé peut prendre différentes formes . Dès lors qu’il est susceptible d’exclure des personnes du bénéfice d’un contrat ou d’une prestation, le traitement relève du régime de l’autorisation .

L'article 226-16 du Code pénal ne subordonne pas les formalités préalables à la mise en œuvre de traitement de données à caractère personnel à la réalisation d’opérations d’une technicité spécifique. En effet, même lorsque les opérations ont consisté dans le seul recours à des fonctionnalités simples, limitées à un classement et un archivage, sans mise en œuvre d'un automatisme particulier ou de règles techniques d'extraction ou de diffusion, il peut en résulter une obligation de déclaration préalable . Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d'emprisonnement et de 300 000 euro d'amende. La limitation temporaire ou définitive du traitement, son interdiction ou le retrait d'une autorisation accordée en application du règlement ou de la loi peuvent être, en outre, prononcés par le président de la CNIL, lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du RGPD ou de la loi.

Les juges ne peuvent déduire du fait que le répertoire personnel d'une secrétaire, certes insuffisamment sécurisé, dans lequel des notes concernant un membre du personnel ont été enregistrées n'était pas destiné à accueillir d'autres notes concernant d'autres agents du service qu'il ne peut être considéré qu'un fichier de données personnelles a été créé.

Cass. crim., 8 septembre 2015, LawLex202200002465JBJ.

Le prévenu, qui a bien déclaré par courrier mettre en ligne un site internet mais n’a pas fait retour du formulaire de déclaration que la Cnil lui a fait parvenir, doit être déclaré coupable d'avoir procédé à des traitements d’informations nominatives sans avoir respecté les formalités préalables à leur mise en œuvre.

Lyon, 25 février 2004, LawLex202200005082JBJ.

La mise en place d’un système permettant à chacun des médecins utilisateurs et à leurs secrétaires d’accéder aux informations médicales qui figurent dans les fichiers créés par les autres médecins ne caractérise pas le délit de l’article 226-17 du Code pénal, dès lors que les médecins, tenus au secret professionnel, ne peuvent pas être considérés comme des tiers non autorisés au sens de cet article.

Cass. crim., 30 octobre 2001, LawLex202200002493JBJ.

La mise en œuvre par une société d’une détection automatique et d'un contrôle automatisé de chaque profil lors de l'inscription ou en cours d'utilisation, dans sa base de données, constitue un manquement aux dispositions du 4° de l’article 25-I de la loi du 6 janvier 1978 qui dispose que sont mis en œuvre, après autorisation de la CNIL, les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire alors qu’un tel traitement relève du régime de l’autorisation.

CNIL, 24 juin 2015, LawLex202200003560JBJ.

Les formalités préalables à la mise en oeuvre de traitement de données à caractère personnel ne sont pas subordonnées à la réalisation d'opérations d'une technicité spécifique, au sens de l'article 226-16 du Code pénal.

Cass. crim., 23 mai 2018, LawLex202200003591JBJ.

Quelles ont les formalités préalables à l’utilisation de données personnelles ?

Le responsable d'un traitement de données à caractère personnel est en principe la personne, l'autorité publique, la société ou l'organisme qui détermine les finalités et les moyens du traitement et décide de sa création. En pratique, il s'agit généralement de la personne morale (entreprise, collectivité, etc.) incarnée par son représentant légal (président, maire, etc.).

Toute personne qui ordonne ou effectue un traitement d'informations nominatives s'engage, vis-à-vis des personnes concernées, à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d'empêcher qu'elles soient déformées, endommagées ou communiquées à des tiers non autorisés. Sont concernées non seulement les personnes faisant personnellement l'objet du traitement d'informations nominatives mais encore toutes celles qui peuvent être directement ou indirectement concernées par l'exploitation de ce traitement. Ainsi, constitue un responsable du traitement des données le responsable du traitement des données personnelles d’un établissement financier, soumis au secret bancaire . Ne peuvent être considérés comme des tiers non autorisés les super administrateurs, qui ont accès à des données protégées par le secret professionnel et qui agissent dans le cadre de leur activité de consultant en informatique afin d'assurer le fonctionnement d'un logiciel informatique qui traite de données personnelles et confidentielles et dont le contrat de travail comporte une clause de confidentialité.

Le responsable du traitement des données personnelles d’un établissement financier, soumis au secret bancaire, qui doit s’engager à prendre toutes précautions utiles afin de préserver la sécurité des informations et d’empêcher qu’elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés, ne peut se borner à indiquer qu’il fera parvenir à la CNIL la justification des tests réalisés “ préalablement à la bascule informatique ”.

CNIL, 3 juin 2004, LawLex202200003564JBJ.

Qui est le responsable du traitement de données informatives ?

Des mesures de sécurité protégeant le serveur qui contient des données personnelles, notamment de restriction des accès aux seules personnes qui doivent être autorisées, doivent être mises en place. Une entreprise méconnaît ses obligations en matière de sécurité informatique, dès lors que l’accès au serveur contenant les données personnelles ne fait l'objet d’aucune mesure de restriction d’accès satisfaisante, ni de journalisation, pourtant susceptible de permettre de détecter les actions effectuées sur ce serveur.

Le manquement d’une société à la sécurité informatique peut également résulter de défauts de sécurité dus à des insuffisances répétées, et non pas à une erreur isolée, dès lors que celle-ci aurait dû veiller à assurer la sécurité des données en cause à toutes les étapes, tant lors de la réutilisation des données pour son projet interne, que lors de l'achèvement de son projet de recherche, même s'ils ont été causés par un salarié, dès lors que celui-ci agissait sur les instructions de la société et pour son compte .

Des défauts de sécurité qui résultent, non pas d’une erreur humaine isolée, mais d’insuffisances répétées, caractérisent le manquement d’une société à la sécurité informatique ayant entraîné la violation des données personnelles, dès lors que celle-ci aurait dû veiller à assurer la sécurité des données en cause à toutes les étapes, tant lors de la réutilisation des données pour son projet interne, que lors de l'achèvement de son projet de recherche, même s'ils ont été causés par un salarié, dès lors que celui-ci agissait sur les instructions de la société et pour son compte.

CNIL, 28 décembre 2021, LawLex202200002500JBJ.

Le Code pénal prévoit un ensemble d’hypothèses qui, lorsqu’elles font l’objet d’un traitement automatisé, doivent être portées à la connaissance des personnes concernées, par le responsable du traitement, et réprime le non-respect de cette obligation d’information (art. R. 625-10).

L’information doit, notamment, porter sur :

l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;

la finalité poursuivie par le traitement auquel les données sont destinées ;

ses droits d'opposition, d'interrogation, d'accès et de rectification ;

la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;

les moyens dont elle dispose pour s'y opposer.

L’information délivrée par la société qui met en œuvre le traitement des données doit permettre à l’utilisateur de donner son consentement à ce traitement de manière spécifique, éclairé et univoque . L’information doit être donnée directement à la personne concernée . Elle doit préciser les finalités du traitement, notamment l’installation de cookies, et le droit dont disposent les personnes concernées . L’information doit être visible, mise en évidence et complète afin de ne permettre de définir qu’une finalité déterminée, explicite et légitime du traitement .

Conseil : Ne pas soumettre, en bloc, au consentement de l’utilisateur l’ensemble des traitements.

La fonctionnalité, qui permet à l'utilisateur de consentir de manière mutualisée au traitement de ses données pour différentes finalités proches, ne peut être considérée comme conforme, sauf si les différentes finalités lui sont présentées de manière distincte.

La fonctionnalité, qui permet à l'utilisateur de consentir de manière mutualisée au traitement de ses données pour différentes finalités proches, ne peut être considérée comme conforme que si les différentes finalités de traitement lui ont été présentées de manière distincte au préalable et qu'il a été en mesure de donner un consentement spécifique pour chaque finalité, par un acte positif clair, les cases n'étant pas pré-cochées.

CNIL, 21 janvier 2019, LawLex201900000259JBJ.

Les personnes ayant téléchargé une application mobile avant la mise en place d'un traceur ne sont pas directement informées de l’intégration de celui-ci à l’application et de la finalité poursuivie par ce traitement dès lors que lors de la conclusion d'un nouveau partenariat conclu avec une société, le traceur est intégré au smartphone du mobinaute à l’occasion d’une mise à jour de l’application si celle-ci est déjà téléchargée sans que les nouvelles conditions générales d’utilisation ou politiques de vie privée des applications soient directement portées à la connaissance.

CNIL, 25 juin 2018, LawLex202200003576JBJ.

La personne concernée par la collecte de données à caractère personnel n'est pas en mesure de manifester une volonté libre, spécifique et informée lorsque le formulaire qui permet de s'inscrire aux lettres d'information d’un site lui donne également la possibilité d'accepter, par une case à cocher, de recevoir d'autres lettres d'information sans une information complète de la portée de son consentement, ne sachant pas spécifiquement à combien et à quelles lettres d'information elle s'inscrit, le formulaire ne comprenant aucune mention d'information quant à la mise en œuvre du traitement de données à caractère personnel.

CNIL, 13 octobre 2014, LawLex202200003568JBJ.

La page d’accueil d’un site internet doit informer les internautes de la finalité publicitaire de certains des cookies déposés, de la possibilité de changer les paramètres des cookies et les moyens mis à sa disposition pour refuser leur dépôt et de la nécessité d’une action positive de sa part pour exprimer son accord au dépôt des cookies.

CNIL, 24 juin 2015, LawLex202200003562JBJ.

Quelle est la portée de l’obligation d’informer les personnes ?

Les personnes physiques bénéficient d’un droit de réponse et peuvent demander au responsable du traitement si leurs données personnelles font l’objet d’un traitement, les informations relatives à celui-ci, aux données traitées et à leurs destinataires, la communication des données qui les concernent, ainsi que les informations qui permettent de connaître et de contester la logique du traitement automatisé en cas de décision prise sur son fondement produisant des effets juridiques.

Le respect du droit d’accès suppose qu’une procédure de gestion des demandes soit définie et mise en place afin de rendre leur traitement effectif. Les responsables du traitement doivent ainsi communiquer au demandeur, sous une forme accessible, les données à caractère personnel qui le concernent  et ne peuvent refuser de répondre favorablement à une demande d'accès au compte supprimé d’un site ou pour lequel le membre s’est désinscrit .

Le fait pour la personne morale responsable d’un traitement de ne pas communiquer à la personne, sous une sous forme accessible, dans les conditions prévues à l’article 39 de la loi du 6 janvier 1978 modifiée, des données à caractère personnel qui la concernent est puni d’une peine d’amende pouvant atteindre 7 500 euros.

CNIL 24 juin 2015, LawLex202200003562JBJ.

Une société ne peut refuser de répondre favorablement à une demande d'accès relative à un compte supprimé d’un site ou pour lequel le membre s’est désinscrit depuis plus de 15 jours, au motif que les données sont archivées.

CNIL 24 juin 2015, LawLex202200003570JBJ.

Dans quelles conditions doit-être assuré le droit d’accès aux données personnelles ?

La personne physique dont les données personnelles font l’objet d’un traitement automatisé dispose d’un droit d’information et d’un droit d’accès, mais également d’opposition à cette utilisation. Il n’est pas possible de procéder au traitement automatisé de données malgré l’opposition de la personne physique lorsque ce traitement s’opère à des fins de prospection commerciale ou lorsque l’opposition est fondée sur des motifs légitimes (art. 226-18-1 C. pén.). L’opposition en cas de données exploitées à des fins commerciales peut ne pas reposer sur des motifs légitimes .

L’opposition n’est soumise à aucun formalisme. Il suffit de l’adresser à la CNIL. Dans tous les cas, le responsable du traitement doit mettre à disposition des utilisateurs un mécanisme d’opposition à la transmission de leurs données personnelles .

Conseil : Prévoir un mécanisme d’opposition qui va au-delà de la suppression du compte.

Un mécanisme d’opposition reposant sur la suppression définitive d’un compte ne permet pas d’assurer un juste équilibre entre l’intérêt de la société et l’intérêt des personnes concernées en ce qu’il a pour conséquence de priver la personne de l’utilisation d’un service.

La condition de légitimité des motifs qui fondent l’opposition, est remplie, en matière politique, philosophique ou religieuse, par le seul exercice de la faculté, pour la personne concernée, de s’opposer au traitement de données nominatives.

Cass. crim., 28 septembre 2004, LawLex202200003601JBJ.

La transmission des données des utilisateurs vers un tiers est dépourvue de base légale faute pour le responsable du traitement de respecter, dans la recherche de son intérêt légitime, l’intérêt et les droits et libertés des personnes, en mettant à leur disposition un mécanisme d’opposition à la transmission de leurs données à caractère personnel.

CNIL, 27 novembre 2017, LawLex202200003569JBJ.

Dans quelle mesure une personne physique peut-elle s’opposer à l’utilisation de ses données personnelles ?

Le Code pénal réprime le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée, sans le consentement exprès de l'intéressé, des données à caractère personnel qui, directement ou indirectement, font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, ou les appartenances syndicales des personnes, ou qui sont relatives à la santé ou à l'orientation sexuelle ou à l'identité de genre de celles-ci, mais aussi de mettre ou de conserver en mémoire informatisée des données à caractère personnel concernant des infractions, des condamnations ou des mesures de sûreté (art. 226-19 C. pén.).

Le consentement ne peut être exprès que s’il est donné en toute connaissance de cause . Les utilisateurs doivent pouvoir marquer leur assentiment en cochant une case dédiée à l’approbation de l’usage de leurs données personnelles sensibles.

Le Code pénal punit également le fait de conserver les données au-delà du délai légal, sauf si cette conservation est effectuée à des fins historiques, statistiques ou scientifiques, ou de traiter à des fins autres que ces dernières des données personnelles conservées au-delà de la durée légale . 

Lorsqu’elle est autorisée, la conservation doit être limitée dans le temps et ne pas excéder le délai légal ou fixé, c’est-à-dire une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles les informations sont collectées et traitées.

Conseil : Prévoir une durée de conservation des cookies limitée à 13 mois après le premier dépôt dans l’équipement terminal de l’utilisateur.

Le consentement ne peut être exprès que s’il est donné en toute connaissance de cause c’est-à-dire après la délivrance d’une information adéquate sur l'usage qui sera fait des données personnelles, indépendamment de la possibilité laissée à l’internaute de cocher une case “ je le garde pour moi ” ou de ne pas renseigner ses données.

CNIL, 24 juin 2015, LawLex202200003572JBJ.

La conservation du nom de clients, de numéros de téléphone, de numéros de cartes bleues avec les dates d'expiration, mais aussi des cryptogrammes, dont les données ne peuvent être utilisées et conservées que pour le strict besoin et pendant le temps d'une transaction déterminée et ne doivent pas être stockées, caractérise l'infraction de conservation illégale de données.

Cass. crim., 3 mars 2015, LawLex202200003602JBJ.

Quelles sont les conséquences d’une mise ou conservation en mémoire informatisée de données sensibles sans consentement exprès de l’intéressé ?

L'article 226-22 du Code pénal punit le fait par toute personne qui a recueilli, à l'occasion de leur enregistrement, de leur classement, de leur transmission ou d'une autre forme de traitement, des informations nominatives dont la divulgation aurait pour effet de porter atteinte à la considération de l'intéressé ou à l'intimité de sa vie privée, de porter, sans autorisation de l'intéressé, ces informations à la connaissance d'un tiers qui n'a pas qualité pour les recevoir y compris lorsque la divulgation est commise par imprudence ou négligence.

L'infraction non intentionnelle commise par imprudence ou négligence de l’article 226-22, alinéa 2, est punie, pour les personnes physiques, de trois ans d'emprisonnement et de 100 000 euro d'amende. Pour les personnes morales, en application des articles 226-22 alinéa 2 et 131-38 du Code combinés, la peine peut atteindre 500 000 euro d’amende. Les autres délits sont sanctionnés par cinq ans d'emprisonnement et 300 000 euro d'amende pour les personnes physiques. En application de l’article 226-24 du Code pénal, pour les personnes morales ces délits sont punis d’une peine d’amende pouvant atteindre 1 500 000 euro. En cas de violations multiples, le montant de l'amende administrative ne pouvant excéder le montant fixé pour la violation la plus grave, le montant maximum peut être fixé à 2 % du chiffre d'affaires annuel mondial lorsque le contrevenant a commis un manquement aux articles 28, 32 et 34 du RGPD.

Le droit des affaires en 500 questions

497. Quelles mesures de sécurité les entreprises doivent-elles mettre en place ?

Demandez un accès gratuit
au contenu exclusif Livv – juristes d’entreprise

Les décisions de justice citées dans ce paragraphe :

497. Quelles mesures de sécurité les entreprises doivent-elles mettre en place ?

Demandez un accès gratuit au contenu exclusif Livv – juristes d’entreprise

Les décisions de justice citées dans ce paragraphe :

Demandez un accès gratuit
au contenu exclusif Livv – juristes d’entreprise