Comment YouTube et Uploaded ont encore échappé à leurs responsabilités dans deux affaires de piratage

L’article 17 controversé de la directive « Droit d’auteur et les droits voisins dans le marché unique numérique » n’a pu être appliqué ni à YouTube (Google) ni à Uploaded (Cyando). Et pour cause : l’Allemagne, où deux plaintes pour piratage avaient été déposées, n’a pas encore transposé le texte européen.

Par Rémy Fekete, avocat associé, et Eddy Attouche, juriste, Jones Day

On retient de Beaumarchais son Figaro. On sait moins qu’il fut l’inlassable défenseur des droits d’auteurs : « On dit au foyer des Théâtres qu’il n’est pas noble aux Auteurs de plaider pour le vil intérêt, eux qui se piquent de prétendre à la gloire. On a raison. La gloire est attrayante. Mais on oublie que pour en jouir seulement une année, la nature nous condamne à diner trois cent soixante-cinq fois ».

Deux affaires jointes sous l’ancien régime
Depuis près de 230 ans maintenant, sous l’impulsion de Pierre-Augustin Caron – alias Beaumarchais (1) – les droits d’auteurs sont reconnus comme un gagne-pain après la Révolution française. C’est désormais le combat des défenseurs des droits d’auteurs et des droits voisins qui s’opposent aux plateformes Internet. En cause, la difficulté d’identifier le responsable de la communication au public lorsqu’un internaute indélicat se permet de mettre en ligne sans autorisation une œuvre protégée. « Responsable mais pas coupable ». On entend cette défense depuis les origines de l’Internet, chaque fois qu’une plateforme numérique (2) est assignée en raison de comportements illicites qui s’y tiennent. Mais l’évolution en cours du droit européen pourrait rendre la vie moins facile aux géants du Net. Dans la nouvelle affaire qui occupe la Cour de justice de l’Union européenne (CJUE), Frank Peterson, un producteur de musique, poursuit YouTube et sa maison-mère Google, devant les juridictions allemandes, au sujet de la mise en ligne – par des utilisateurs et sans son autorisation, sur la plateforme YouTube – de plusieurs musiques sur lesquelles il allègue détenir des droits (3). Elsevier, un groupe d’édition néerlandais, poursuit également devant les juridictions allemandes Cyando, l’exploitant de la plateforme numérique Uploaded, du fait de la mise en ligne par des utilisateurs, sans son autorisation, de différents ouvrages dont l’éditeur détient les droits exclusifs (4). La Cour fédérale de justice en Allemagne a soumis plusieurs questions préjudicielles à la CJUE sur l’interprétation du droit de l’Union européenne applicable en la matière. La question principale consiste à savoir si les exploitants de plateformes en ligne, telles que YouTube et Uploaded, sont responsables de la mise en ligne illégale d’œuvres protégées, effectuée par les utilisateurs de ces plateformes. La CJUE n’a toujours pas rendu son arrêt dans les deux affaires jointes, mais les conclusions de l’avocat général, Henrik Saugmandsgaard Øe, ont été publiées en juillet (5). Celui-ci précise le cadre juridique applicable à ces deux litiges : il s’agit de deux directives européennes, respectivement « Ecommerce » de 2000 sur le commerce électronique et « DADVSI » de 2001 sur l’harmonisation de certains aspects du droit d’auteur et des droits voisins dans la société de l’information. La directive « E-commerce » a été modifiée par la directive de 2019 sur le droit d’auteur et les droits voisins dans le marché unique numérique (« DADVMUN »), qui a mis en place, pour les exploitants de plateformes en ligne, un nouveau régime de responsabilité spécifique pour les œuvres illégalement mises en ligne par les utilisateurs de ces plateformes numériques. Cependant, cette nouvelle directive « DADVMUN » ne s’applique pas aux présents litiges étant donné qu’elle n’a toujours pas été transposée en droit allemand. Elle doit l’être dans chaque droit national des Etats membres au plus tard le 7 juin 2021. Pour l’heure, ces deux affaires « allemandes » ne peuvent pas encore s’appuyer sur la directive «DADVMUN» (6). Les conclusions de l’avocat général, qui sont souvent suivies par les juges de la CJUE, ont porté sur la responsabilité directe et la responsabilité indirecte de YouTube et de Uploaded, ainsi que sur la demande d’injonction judiciaire à l’égard de ces deux exploitants de plateformes numérique.

Responsabilité directe
• La responsabilité directe
des exploitants de plateformes en ligne est conditionnée par la réalisation d’actes de communication au public. La juridiction de renvoi demande si les exploitants de plateformes en ligne réalisent un acte de « communication au public », au sens de la directive « DADVSI » (7), lorsqu’un utilisateur de leurs plateformes y met en ligne une œuvre protégée. Pour répondre à cette question, l’avocat général opère une distinction fondamentale entre une simple fourniture d’installations, et la réalisation d’actes de communication au public (8). En réalité, selon lui, les exploitants de plateformes en ligne telles que YouTube et Uploaded jouent simplement un rôle d’intermédiaire par le biais de la fourniture d’installations aux utilisateurs de leurs plateformes. Ces exploitants ne décident pas, de leur propre chef, de communiquer des œuvres à un public. Ils suivent les instructions données par les utilisateurs de leurs services qui, eux, décident de transmettre des contenus déterminés et initient activement leur communication (9). Par conséquent, seuls les utilisateurs qui mettent en ligne des œuvres protégées réalisent un acte de communication au public proprement dite de ces œuvres. La responsabilité directe ou primaire susceptible de résulter de cette communication est alors supportée uniquement par ces utilisateurs. Il en résulte que YouTube et Uploaded ne sont, en principe, pas directement responsables de la mise en ligne illicite d’œuvres protégées, effectuée par les utilisateurs de leurs plateformes.

Responsabilité indirecte
• La responsabilité indirecte
des exploitants de plateformes en ligne est conditionnée par la connaissance du caractère illicite des informations stockées. Malgré l’absence de leur responsabilité directe, YouTube et Uploaded peuvent être indirectement responsables dans la mesure où ils « facilitent la réalisation, par des tiers, d’actes illicites de communication au public » (10). Cependant, l’article 3, paragraphe 1, de la directive «DADVSI » ne régit pas cette question. L’avocat général indique à cet égard que c’est l’article 14, paragraphe 1, de la directive « E-commerce » qui a vocation à s’appliquer. Conformément à cet article, un exploitant d’une plateforme en ligne telle que YouTube ou Uploaded ne peut être indirectement tenu responsable pour des informations qu’il stocke à la demande de ses utilisateurs, à moins que cet exploitant, après avoir pris connaissance du caractère illicite de ces informations, ne les ait pas promptement retirées ou rendus inaccessibles. Autrement dit, l’absence de connaissance du caractère illicite des informations constitue une cause d’exonération de la responsabilité indirecte des exploitants de plateformes en ligne. En l’occurrence, Henrik Saugmandsgaard Øe considère que YouTube et Uploaded peuvent bénéficier, en ce qui concerne leur responsabilité indirecte ou secondaire, de l’exonération prévue à l’article 14, paragraphe 1, de la directive « E-commerce », étant donné qu’ils ne jouent pas un « rôle actif » de nature à leur conférer une connaissance du caractère illicite des informations en question (11). L’avocat général précise néanmoins que l’exonération prévue est, en toute hypothèse, limitée à la responsabilité susceptible de résulter des informations stockées, et ne s’étend pas aux autres aspects de l’activité de l’exploitant en question (12).
• La demande d’injonction judiciaire à l’égard des exploitants de plateformes en ligne : une éventuelle possibilité indépendante de la responsabilité. Enfin, l’avocat général propose à la CJUE de juger que, indépendamment de la question de la responsabilité, les titulaires de droits peuvent obtenir, en vertu du droit de l’Union européenne, des injonctions judiciaires à l’encontre des exploitants de plateformes en ligne, susceptibles de leur imposer des obligations (13). En effet, l’article 8, paragraphe 3, de la directive « DADVSI » oblige les États membres à veiller à ce que les titulaires de droits puissent demander qu’une ordonnance sur requête soit rendue à l’encontre des intermédiaires dont les services sont utilisés par un tiers pour porter atteinte à un droit d’auteur ou à un droit voisin. En ce sens, les titulaires de droits doivent pouvoir demander de telles injonctions dès lors qu’il est établi que des utilisateurs portent atteinte à leurs droits, via les services de YouTube et Uploaded, sans devoir attendre qu’il y ait eu récidive et sans avoir à démontrer un comportement fautif de l’intermédiaire (14). Henrik Saugmandsgaard Øe indique toutefois que les mesures prises à l’encontre de YouTube et Uploaded dans le cadre d’une injonction doivent être proportionnées. A ce titre, ces mesures doivent assurer un juste équilibre entre les différents droits et intérêts en jeu et ne doivent pas créer d’obstacles aux utilisations licites du service de ces exploitants.
Le délai de transposition de la directive « DADVMUN » expire le 7 juin 2021. Une fois applicable, cette nouvelle directive devrait durablement changer le régime de responsabilité des exploitants de plateformes en ligne telles que YouTube et Uploaded, notamment en ce qui s’agit des œuvres illégalement mises en ligne par les utilisateurs. Un fournisseur de services de partage de contenus en ligne sera considéré comme responsable d’un acte de communication au public lorsqu’il permettra au public l’accès à des œuvres protégées par le droit d’auteur, mises en ligne par ses utilisateurs (15). Un tel fournisseur devra lui-même obtenir une autorisation des titulaires de droits, en concluant un accord de licence, par exemple, pour les œuvres mises en ligne par ses utilisateurs (16). Ces nouvelles responsabilités prévues par la directive « DADVMUN » sont inscrites dans le fameux article 17 plus que jamais controversé, comme l’illustre la lettre d’organisations de la société civile adressée le 14 septembre (17) à la Commission européenne qui a esquissé cet été ses lignes directrices sur l’application de cet article 17 (18).
Sous le régime de la future directive, il est probable que l’avocat général de la CJUE aurait conclu différemment en tenant YouTube et Uploaded responsables des actes illicites de communication au public réalisés par l’intermédiaire de leurs plateformes, à défaut d’obtenir une autorisation des titulaires de droits. Cette fois ci sans plus trouver refuge dans l’exonération de responsabilité prévue par la directive « E-commerce ».

Fin des privilèges, fin des impunités
La Révolution française donna raison à Pierre-Augustin Caron de Beaumarchais en mettant un terme au privilège des acteurs de la Comédie-Française qui pouvaient librement jouer les pièces en ne reversant que des rémunérations minimes aux auteurs. C’est à la fiction du « tout gratuit » que la directive « DADVMUN » vient mettre un terme, en appelant justement à la responsabilisation des citoyens et en sonnant la fin de l’impunité des plateformes qui doivent désormais se doter de mesures techniques afin d’identifier les contenus protégés mis en ligne. @

Open data des décisions judiciaires et administratives : des avancées mais encore des zones floues

Le 30 juin a été publié au J.O. le décret de mise à disposition du public des décisions judiciaires et administratives. Soit près de quatre ans après la loi « pour une République numérique » annonçant l’open data de ces décisions. Mais il faudra des arrêtés et des circulaires pour y voir plus clair.

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie

La loi « pour une République numérique » du 16 octobre 2016, en annonçant l’open data des décisions de justice (1), marquait une étape décisive dans le processus de l’accès au droit pour tous. Mais il aura fallu attendre la loi « de programmation 2018-2022 et de réforme pour la justice » du 23 mars 2019 pour rouvrir le dossier de l’open data des décisions judiciaires (2). Et encore une année de plus pour que le décret pour « la mise à la disposition du public des décisions des juridictions judiciaires et administratives » du 29 juin 2020 soit publié.

Occulter les données ou pas, c’est selon
Ce décret de mise à la disposition du public, sur Internet, des décisions judiciaires et administratives apporte quelques précisions complémentaires. Pour autant, dans sa formule « a minima », le dispositif prête à beaucoup d’interrogations et laisse de grandes zones d’ombres. En attendant les arrêtés et circulaires à suivre, un point d’étape s’impose. S’agissant tout d’abord de la responsabilité de la collecte et de la diffusion des décisions de justice sous format électronique, celle-ci est confiée respectivement à la Cour de cassation pour les décisions de l’ordre judiciaire, et au Conseil d’Etat pour les décisions de l’ordre administratif. C’est une bonne chose et cela est conforme au souhait exprimé par le Conseil national des barreaux (CNB) dans une déclaration signée avec la Cour de cassation en juin 2019 et avec le Conseil d’Etat en juin 2020. En effet, cette règle devrait mettre un terme à la délivrance « sauvage » des copies aux tiers qui a permis à certains de constituer un fonds documentaire, dans le cadre d’accords bilatéraux avec certains greffes.
Désormais, la délivrance des copies aux tiers ne pourra concerner que des décisions « précisément identifiées » (3). Pour les décisions de l’ordre judiciaire, le refus de délivrance ou le silence gardé pendant deux mois pourra donner lieu à un recours gracieux devant le président de la juridiction. Enfin, le greffier devra occulter les éléments permettant l’identification des personnes physiques de nature à porter atteinte à leur sécurité ou au respect de la vie privée des personnes ou celles de leur entourage, précision donnée que cette occultation sera automatique lorsqu’elle a été faite pour la mise à disposition du public. Le recours contre cette décision sera possible, par requête présentée par un avocat, devant le président de la juridiction auprès de laquelle le greffier exerce ses fonctions. Le président statuera par ordonnance, le demandeur et les personnes physiques, parties ou tiers, mentionnées dans la décision, si possible entendus ou appelés. En revanche, les questions relatives à l’exhaustivité et l’intégrité de la base de données demeurent entières alors que les résultats d’une recherche peuvent être différents selon la constitution de la base de données. Imaginons un instant que les décisions collectées soient toutes du Nord de la France sans tenir compte des jurisprudences d’autres régions.
S’agissant ensuite de l’occultation des données à caractère personnel, l’objectif consiste à trouver le juste équilibre entre le droit à l’information du public et le droit au respect de la vie privée des personnes concernées par les décisions de justice. La loi du 23 mars 2019 a prévu que les noms et prénoms des personnes physiques, parties ou tiers à l’affaire, seraient systématiquement anonymisés (4). Quant aux autres éléments identifiants, ils devront être occultés par le juge lorsque leur « divulgation est de nature à porter atteinte à la sécurité ou au respect de la vie privée de ces personnes ou de leur entourage ». La décision d’occultation peut également porter sur tout élément de la décision dont la divulgation est susceptible de « porter atteinte aux intérêts fondamentaux de la Nation » (5).

Deux temps d’appréciation sont prévus
Pour la mise en œuvre de ce dispositif, le décret du 29 juin 2020 prévoit deux temps d’appréciation. Le premier temps se situe à la suite du prononcé du délibéré : le juge ou le président de la formation prend la décision d’occulter les informations indirectement identifiantes présentant l’un des deux risques précités (6). Le deuxième temps se situe après la publication en ligne de la décision : tout intéressé peut alors introduire, auprès d’un membre du Conseil d’Etat désigné par le vice-président du Conseil d’Etat (pour les décisions administratives) ou auprès d’un membre de la Cour de cassation désigné par le premier président (pour les décisions judiciaires), une demande d’occultation ou de levée d’occultation des éléments d’identification. Outre le fait qu’il en résulte une charge complémentaire pour les magistrats, ce mécanisme laisse au juge une marge très importante – trop ? – d’appréciation sur les informations dont la divulgation serait de nature à porter atteinte à la sécurité ou au respect de la vie privée des personnes citées dans la décision. Jusqu’à la publication sur Internet, les parties devraient pouvoir disposer d’une fenêtre de tir contrainte pour contester la décision d’occultation ou de non-occultation. Cependant, le décret ne précise rien à cet égard… Après la publication en ligne, le recours est le même pour tout intéressé, qu’il s’agisse d’une partie ou d’un tiers. La demande d’occultation ou de levée d’occultation des éléments d’identification est portée auprès du membre du Conseil d’Etat désigné par le vice-président du Conseil d’Etat ou auprès du membre de la Cour de cassation désigné par le premier président. Leur décision est elle-même susceptible de recours : pour les décisions de l’ordre administratif, il s’agit de « recours de plein contentieux » ; pour les décisions de l’ordre judiciaire d’un « recours devant le premier président de la Cour de cassation dans les deux mois suivant sa notification ».

Garanties et algorithmes : le CNB alerte
Malheureusement, le décret n’apporte aucune précision notamment au regard de mesures provisoires, par exemple la suspension de la publication dans l’attente que soit tranchée la question de l’occultation ou de la non-occultation. Or, nous savons que le temps de communication sur l’Internet n’est pas celui du temps judiciaire, posant là une simple question d’efficacité. Sera-t-il utile de requérir une occultation après que la décision aura été rendue publique et aura circulé sur les réseaux du Net ? Pour ces différentes raisons, le Conseil national des barreaux (CNB) a demandé des garanties en termes d’information des parties, de débat contradictoire et de droit de recours (7). Sur le premier point, le CNB demande que soient précisées les modalités d’information des parties quant à la décision prise concernant l’occultation, pour leur permettre d’initier, le cas échéant, un recours avant la mise en ligne de la décision ou avant la délivrance au tiers, afin de garantir réellement le respect du principe du contradictoire et de leur vie privée. Sur le deuxième point, il demande que les avocats puissent engager une discussion contradictoire sur l’occultation, dès leurs premières écritures et au plus tard, dans leur plaidoirie, pour permettre au juge de rendre une décision éclairée et au plus proche des enjeux du respect de la vie privée et de la sécurité des personnes. Enfin, troisième point, la notification aux parties de la décision d’occultation devrait être faite dans un temps raisonnable pour leur permettre d’initier, le cas échéant, un recours avant la mise en ligne de la décision.
Au-delà de ces garanties qu’il serait souhaitable d’apporter, le cadre juridique de l’open data des décisions judiciaires laisse encore de nombreuses questions sans réponse. L’encadrement du recours aux algorithmes n’est toujours pas d’actualité, ouvrant un large champ d’exploration aux acteurs privés qui s’y sont engouffrés. S’agissant de la justice et donc d’un service public « pas comme les autres », la régulation du marché des algorithmes est une priorité. Le CNB n’a de cesse de rappeler la nécessaire vigilance à avoir quant à l’utilisation qui sera faite des décisions de justice ainsi mises à disposition et la nécessité de garantir la transparence et l’éthique des algorithmes utilisés pour leur exploitation. Dans cet objectif, l’institution représentative des avocats formule une proposition de constitution ou de désignation d’une instance publique chargée de la régulation et du contrôle des algorithmes utilisés pour l’exploitation de la base de données des décisions de justice ainsi que de la réutilisation des informations qu’elle contient (8). Le CNB souhaite en être membre, aux côtés des plus hautes autorités de l’ordre judiciaire et de l’ordre administratif. Il préconise également que les appels d’offres à destination des acteurs privés incluent systématiquement le rappel de principes éthiques, à l’exemple de ceux proposés par le Conseil de l’Europe (9) via sa Commission européenne pour l’efficacité de la justice (CEPEJ), ou encore des sept principes posés par la Commission européenne pour une « IA de confiance » (10), mais aussi, pourquoi pas, de règles co-construites au sein de l’institution à créer ou à désigner. Les prérequis pour la conception des algorithmes pourraient s’inspirer des règles ethic by design ou legal by design.
La question de l’accès aux données intègres pour les avocats n’est pas non plus traitée. En effet, le décret du 29 juin 2020 est muet sur les autorisations d’accès au flux intègres. Les magistrats auront-ils accès aux décisions intègres – c’est-àdire non anonymisées et non occultées – ou auront-ils accès aux décisions anonymisées et occultées ? Dans le premier cas, l’accès différencié pour les magistrats et les avocats conduirait à une inégalité inacceptable. L’avocat, auxiliaire de justice (11), ne peut pas être assimilé au « public » visé par la loi du 29 mars 2019. A ce titre, l’institution représentative des avocats a tenu à rappeler, dans sa résolution du 14 décembre 2019, que « les avocats doivent, à l’instar des magistrats du siège comme du parquet, aussi auxiliaires de justice, avoir accès aux décisions intègres, sans anonymisation ni occultation des éléments indirectement identifiants, au nom de l’égalité des armes consacrée par l’article 6 de la Convention européenne des droits de l’homme ». La seule alternative acceptable serait que nous ayons, avocats et magistrats, accès à l’open data des décisions judiciaires, dans les mêmes conditions.

Groupe de travail « Réutilisation des données »
Le décret du 29 juin 2020 devrait être complété par d’autres textes (arrêtés, circulaires, …). La Chancellerie a annoncé la mise en place d’un groupe de travail dédié à la problématique de la réutilisation des données issues des décisions de justice. La première réunion sur ce thème, organisée par le ministère de la Justice, doit se tenir au cours cette rentrée. En espérant que le Conseil national des barreaux pourra apporter sa pierre à cet édifice qui modifie en profondeur la justice. @

* Christiane Féral-Schuhl, présidente du Conseil
national des barreaux (CNB), est ancien
bâtonnier du Barreau de Paris, et auteure de
« Cyberdroit », paru aux éditions Dalloz.

Affaire « Schrems 2 » : la pérennité des transferts en dehors de l’Union européenne remise en question

Depuis vendredi 16 juillet 2020, les transferts de données à caractère personnel vers les Etats-Unis sur le fondement du « Privacy Shield » sont invalides. Les entreprises souhaitant donc continuer à transférer des données vers les Etats-Unis doivent identifier un autre mécanisme de transfert.

Par Laura Ziegler & Sandra Tubert, avocates associées, BCTG Avocats

La Cour de justice de l’Union européenne (CJUE) a rendu le 16 juillet 2020 un arrêt majeur dans l’affaire dite « Schrems 2 » (1) concernant les mécanismes de transferts de données hors de l’Union Européenne (UE). Elle a ainsi annulé le Privacy Shield qui permettait aux Etats-Unis d’être considérés comme un pays ayant un niveau de « protection adéquate » par la Commission européenne pour les transferts de données à caractère personnel vers des organisations américaines auto-certifiées, tout en considérant que les clauses contractuelles types demeuraient, quant à elles, valides.

Le « Privacy Shield » en question
Les transferts de données vers des pays tiers à l’UE ne peuvent en effet avoir lieu qu’à certaines conditions (2). Au titre de ces conditions figurent le fait que la Commission européenne ait constaté que le pays tiers assure un niveau de protection adéquat (3) ou, faute de décision d’adéquation, que les parties aient mis en place des garanties appropriées comme les « règles d’entreprise contraignantes » (4), ou les « clauses contractuelles types » (5). Le Privacy Shield, lui, reposait sur un système d’auto-certification en vertu duquel les entreprises américaines s’engageaient à respecter une série de principes (6) en matière de protection des données auprès du ministère du commerce américain (FTC). Grâce à ce mécanisme, la Commission européenne avait considéré, en juillet 2016, au moyen d’une décision d’adéquation (7), que les Etats-Unis offraient un niveau de protection adéquate (8), permettant ainsi les transferts de données entre une entreprise de l’UE et des entreprises américaines auto-certifiées. Déjà sujet à de vifs débats au moment de son adoption qui suivait de près l’annulation de son prédécesseur (9), le Privacy Shield avait pour objectif de maintenir au plus vite les accords commerciaux entre l’UE et les Etats-Unis tout en assurant un niveau de protection suffisant des données transférées aux Etats-Unis.
La période de répit pour les transferts de données vers les Etats-Unis aura toutefois été de courte durée puisque l’Autrichien Max Schrems a poursuivi la procédure qui avait conduit à l’invalidation du Safe Harbor dans la désormais célèbre affaire « Schrems 1 ». Ce sont des suites de cette procédure, dans le cadre d’un litige opposant la « Cnil » irlandaise (DPC) à Facebook Ireland Ltd et à Max Schrems au sujet d’une plainte concernant le transfert de ses données par Facebook Ireland à Facebook Inc. aux Etats-Unis que plusieurs questions préjudicielles ont été soumises à la CJUE. Dans l’affaire « Shrems 2 », la CJUE a ainsi été amenée à examiner la validité du Privacy Shield au regard des exigences découlant du RGPD, lues à la lumière des dispositions de la Charte des droits fondamentaux de l’UE garantissant le respect de la vie privée et familiale, de la protection des données personnelles et du droit à une protection juridictionnelle effective (10). La CJUE devait déterminer si les programmes de renseignement et de surveillance mis en place aux Etats-Unis et les garanties prévues dans la réglementation américaine (11) – pouvant concerner des ressortissants européens – étaient mis en œuvre dans le respect des exigences de proportionnalité et de respect des droits des personnes.
Si la CJUE rappelle que les articles 7 (respect de la vie privée) et 8 (protection des données personnelles) de la Charte des droits fondamentaux de l’UE ne sont pas des « prérogatives absolues », elle estime toutefois que l’intervention des autorités publiques américaines constitue une atteinte à ces principes et que les limitations qui en découlent ne sont ni proportionnées, ni nécessaires et ne permettent pas l’exercice de droits effectifs et opposables dont doivent nécessairement bénéficier les personnes concernées.

Atteinte aux droits fondamentaux
La CJUE souligne que, contrairement au niveau de protection offert par l’UE, les programmes de surveillance américains aux fins du renseignement extérieur (12) ne contiennent aucune limitation ni n’offrent aucune garantie pour les personnes concernées de l’UE (non américaines), celles-ci ne pouvant par ailleurs pas opposer leurs droits aux autorités publiques américaines devant les tribunaux. Pour parvenir à cette conclusion, elle précise notamment que le mécanisme de médiation prévu par le Privacy Shield n’est ni indépendant, ni pourvu de force contraignante à l’égard des services de renseignement. La CJUE ajoute que les programmes de surveillance fondées sur les dispositions de la PPD 28 ne sont pas limités au strict nécessaire (contrevenant ainsi au principe de proportionnalité), dans la mesure où ils permettent de procéder à une collecte massive de données et ce sans aucune surveillance judiciaire. Forte de tous ces griefs, la CJUE a donc logiquement considéré que la décision d’adéquation du Privacy Shield était invalide. Les critiques formées à l’encontre des « clauses contractuelles types » étaient un peu différentes, puisque celles-ci peuvent être utilisées pour des transferts vers tout pays tiers à l’UE.

Maintien des « clauses contractuelles types »
La CJUE était, entre autres, interrogée sur le fait de savoir si leur nature contractuelle, ayant ainsi un effet relatif à l’égard des autorités publiques étrangères, n’était pas de nature à remettre en cause leur validité, dans la mesure où elles pourraient ainsi ne pas permettre aux personnes concernées d’empêcher l’accès à leurs données et/ou d’exercer leurs droits. Elle a estimé que le seul fait que les clauses contractuelles types ne soient pas contraignantes vis-à-vis des autorités publiques d’un pays tiers n’était pas de nature à emporter l’invalidation de celles-ci. La CJUE a toutefois rappelé en substance qu’il appartient au responsable de traitement et au destinataire des données de vérifier préalablement à tout transfert si le pays tiers permet en pratique d’assurer un niveau de protection essentiellement équivalent à celui garanti dans l’UE par le RGPD. Le cas échéant, ils sont alors tenus, soit de prendre les mesures nécessaires pour compenser l’insuffisance de garanties du pays destinataire, soit – si le pays tiers destinataire des données dispose d’une réglementation contraire aux principes figurant dans les clauses contractuelles types – de s’interdire un tel transfert ou d’y mettre fin. Concernant la deuxième question sur le fait de savoir si les mécanismes figurant au sein même des clauses contractuelles types étaient de nature à assurer de manière effective la protection adéquate requise par l’article 45 du RGPD, la CJUE apporte une réponse positive sans détours : les différents engagements pris par les parties au titre des clauses contractuelles types (13) sont autant de garanties qui permettent de constituer des mécanismes d’effectivité suffisante.
Cette décision est pourtant bien plus complexe qu’il n’y paraît. Il serait, à notre sens, hâtif d’en déduire que la CJUE donne un blanc-seing à l’utilisation des clauses contractuelles types pour les transferts hors UE. Elle invite, tout au contraire, les responsables de traitement et leurs destinataires à se lancer dans une véritable analyse détaillée de la législation du pays tiers pour vérifier si les garanties qui sont fournies par les clauses contractuelles types peuvent réellement y être respectées en pratique. Dans le cas contraire, ils devront mettre en place, en plus des obligations figurant dans le corps même des clauses, des garanties supplémentaires afin de rendre réellement effectifs les droits des personnes concernées et l’existence d’un recours juridictionnel. La nature de ces garanties ou mesures supplémentaires interroge : le point 132 de la décision de la CJUE semble pointer vers le considérant 109 du RGPD, qui lui-même invite les parties prenantes aux clauses contractuelles types à les compléter par d’autres clauses fournissant des garanties supplémentaires. L’introduction de garanties supplémentaires par voie contractuelle ne se heurtera-telle pas, dans certains cas, à la même suprématie des lois impératives américaines ? Dans l’attente d’orientations plus détaillées, le Comité européen à la protection des données (CEPD), qui réunit les « Cnil » européennes, précise que ce pourrait être des mesures juridiques, techniques ou organisationnelles (14). Ces deux derniers types de mesures étant certainement les plus à même d’assurer de manière plus effective une certaine protection des données.
La décision rendue par la CJUE ne s’arrête pas en réalité à la seule invalidité du Privacy Shield, et ce sont les transferts vers les Etats-Unis dans leur ensemble – quel que soit le mécanisme de transfert utilisé – qui sont en réalité largement questionnés par cet arrêt. Comme le reconnaît le CEPD, les législations américaines qui sont pointées du doigt dans l’arrêt de la CJUE s’appliquent en réalité à tout transfert vers les Etats-Unis quel que soit l’outil de transfert utilisé. De fait, la CJUE estime en réalité que le droit américain ne permet pas d’assurer à lui seul un niveau de protection essentiellement équivalent à celui prévu dans l’UE.
Par ailleurs, au-delà des Etats-Unis, ce sont les transferts en dehors de l’UE vers des pays disposant de lois permettant des programmes de surveillance intrusifs qui sont questionnés. En pratique, il est difficile pour les entreprises d’anticiper pour l’heure toutes les conséquences de cette décision ou l’effectivité des garanties supplémentaires qu’elles pourraient mettre en place, lorsque celles mises en place par la Commission européenne et le département de commerce américain ont échouées.
Les réactions des autorités de contrôle et du CEPD sont fortement attendues dans les prochains mois pour proposer aux entreprises des solutions pragmatiques leur permettant de tirer toutes les conséquences de cet arrêt, tout en pérennisant si possible les transferts hors UE.

Comment pérenniser les transferts ?
Dans l’attente d’orientations plus détaillées, les entreprises sont ainsi invitées à identifier tous leurs transferts en dehors de l’UE (15), le mécanisme de transferts utilisé, et à conduire une analyse de la législation du pays en question pour déterminer si celle-ci permet d’assurer un niveau de protection essentiellement équivalent à celui garanti dans l’UE. Et ce, afin d’envisager au besoin les éventuelles garanties supplémentaires effectives qui pourraient être mises en place. Néanmoins, la pérennité et la sécurité juridique des transferts hors UE pourraient ne trouver un véritable salut que par une réponse politique adaptée et attendue. @

Facebook : l’Allemagne rouvre la voie à une régulation des données par le droit de la concurrence

Pour une surprise, c’est une surprise. La plus haute juridiction d’Allemagne a annulé une décision prise en référé par une cour d’appel du pays. Cette affaire pourrait impacter toute l’Europe puisqu’elle concerne Facebook qui se voir enjoint de cesser la fusion de données issues de plusieurs services.

Par Winston Maxwell*, Telecom Paris, Institut polytechnique de Paris

Le saga « Facebook » en Allemagne rencontre un nouveau rebondissement après la décision surprise de la Cour suprême fédérale d’Allemagne du 23 juin 2020. La « Bundesgerichtshof » (BGH) a en effet validé, au moins temporairement, la décision de l’autorité de concurrence allemande ordonnant à Facebook de cesser le traitement de données provenant de sources-tiers telles que Instagram ou de sites web tiers. La décision inédite du 6 février 2019 de l’autorité de la concurrence – la « Bundeskartellamt » – avait fait l’objet d’une suspension par la cour d’appel fédérale de Düsseldorf le 26 août 2019, suspension que la Cour suprême vient d’annuler.

Fusion des données : Facebook doit cesser
Du coup, le droit de la concurrence redevient une arme qui peut accompagner le règlement général européen sur la protection des données (RGPD) – en vigueur depuis le 25 mai 2018 – dans la lutte contre des pratiques excessives en matière de données personnelles. Cette décision pèsera dans le débat européen sur la régulation des plateformes structurantes. Comment en est-on arrivé là ? Remontons au 6 février 2019, date à laquelle l’autorité de la concurrence allemande a émis une décision inédite sur le plan mondiale : elle a jugé que la collecte excessive de données par Facebook, notamment auprès des services Instagram, WhatsApp et sites web tiers, constituait non seulement une violation du RGPD mais également un abus de position dominante au regard du droit de la concurrence.
La Bundeskartellamt – littéralement Office fédéral de lutte contre les cartels – a ordonné à Facebook de cesser cette collecte de ces données, estimant que le consentement donné par les consommateurs n’était pas valable car ceuxci n’avaient pas de véritable choix : soit on accepte de livrer ses données, soit on n’utilise pas le plus grand réseau social du monde. Dans une décision de 300 pages, l’autorité de concurrence a tenté d’argumenter que l’absence de consentement valait violation du RGPD et que cette violation valait « abus » au sens du droit de la concurrence qui interdit tout abus de position dominante. Elle a donc enjoint à Facebook d’arrêter de collecter les données en question. Cette injonction aurait sérieusement perturbé le modèle d’affaires de Facebook, et a pu créer un précédent dangereux dans d’autres pays, où les autorités de concurrence scrutent les moindres faits et gestes du réseau social. Dans une décision du 26 août 2019, la cour d’appel – l’« Oberlandesgericht » – de Düsseldorf a suspendu l’application de la décision de la Bundeskartellamt dans l’attente d’un jugement au fond. Dans sa décision de suspension, la cour d’appel n’a pas caché son désaccord avec le raisonnement de l’autorité de la concurrence. Selon la cour d’appel, le travail de l’autorité de la concurrence n’était pas d’appliquer le RGPD, mais d’appliquer le droit de la concurrence. Cette dernière a fait un amalgame inacceptable entre les principes de protection des données personnelles et les principes de protection de la concurrence, lesquels ne visent pas les mêmes objectifs. Selon la cour d’appel, l’autorité de la concurrence n’avait pas démontré en quoi la collecte excessive de données par Facebook, et la violation du RGPD, avaient un impact néfaste sur la concurrence.
Beaucoup d’observateurs estimaient que l’histoire se terminerait là, l’Oberlandesgericht Düsseldorf ayant mis définitivement fin à la folle idée que le droit de la concurrence pourrait venir en aide au RGPD. Mais l’histoire ne s’est pas arrêtée là, l’autorité de la concurrence ayant fait appel. La décision de la Cour suprême du 23 juin 2020 fut une surprise, car la BGH – plus haute juridiction allemande – annule rarement les décisions prises en référé (à savoir dans le cadre d’une procédure d’urgence) au niveau de la cour d’appel. Le résultat de cette nouvelle décision – non-encore publiée – est que l’injonction de l’autorité de la concurrence du 6 février 2019 reprend vie et Facebook doit immédiatement cesser de fusionner des données de différentes sources.

Violer le RGPD serait anticoncurrentiel
Sur le plan de la procédure, le match n’est pas terminé. L’affaire sera maintenant traitée au fond par la cour d’appel de Düsseldorf, et un autre appel est possible devant la Cour suprême, ainsi qu’une question préjudicielle devant la Cour de justice de l’Union européenne (CJUE). Mais pour l’instant la voie est de nouveau ouverte pour considérer qu’une violation du RGPD peut constituer un abus de position dominante au regard du droit de la concurrence. Le communiqué (1) de la Cour suprême dévoile son raisonnement, qui diffère du raisonnement de l’autorité de la concurrence. Selon la plus haute juridiction allemande, la liberté de choix des acteurs économiques est un principe essentiel de la concurrence et du bon fonctionnement des marchés. Les consommateurs sont des acteurs économiques comme les autres, et le fait – pour une entreprise en position dominante – de mettre le consommateur devant un choix qui n’en est pas un réduit sa liberté, créant ainsi une distorsion de la concurrence.

Liberté de choix des consommateurs : jusqu’où ?
La Cour suprême ne mentionne pas le RGPD, mais fonde son raisonnement uniquement sur l’effet néfaste des pratiques sur la liberté de choix des consommateurs, créant ainsi un lien solide entre les mauvaises pratiques en matière de données personnelles et le droit de la concurrence, un lien que l’autorité de la concurrence n’avait peut-être pas assez développé. La BGH mentionne également le possible impact sur le marché de la publicité en ligne, créant un autre lien possible entre les pratiques de Facebook et les principes de droit de la concurrence.
La Cour suprême allemande ayant mis l’accent sur la liberté de choix des consommateurs, on peut s’interroger sur les limites de cette liberté. Est-ce que les consommateurs peuvent du coup refuser tout traitement lié à la publicité personnalisée, tout en exigeant de bénéficier des services gratuits, ce qui reviendrait à interdire les « cookie walls » ? Les consommateurs peuvent-ils avoir « le beurre et l’argent du beurre » ? Dans le cas Facebook, la BGH semble considérer normal le traitement de données pour la publicité personnalisée dès lors que les données sont générées à l’intérieur du réseau social lui-même.
Lier l’utilisation du service à l’acceptation de ce traitement de données « intra-muros » ne serait pas abusif, car c’est ce qui se passerait probablement dans un environnement concurrentiel. En revanche, lier l’utilisation du service à l’acceptation de la collecte de données provenant d’autres services et sites web « extra-muros » n’est pas une pratique que l’on s’attendrait à voir dans un marché pleinement concurrentiel. En présence d’une concurrence effective sur le marché des réseaux sociaux, il est probable que d’autres acteurs proposeraient un service gratuit sans ce type de collecte de données tiers.
Comme dans toute affaire de droit de la concurrence, l’impact sur la concurrence s’apprécie par un jeu de comparaison : on compare la situation réelle qui existe en présence d’un acteur dominant à une situation fictive, contrefactuelle, où il existerait une concurrence effective sur le marché. C’est en comparant ces deux scénarios que l’on apprécie l’impact sur la concurrence d’une pratique. Souvent, les autorités de la concurrence mettent l’accent sur l’impact d’une pratique sur les autres acteurs du marché : réseaux sociaux concurrents, annonceurs, prestataires de publicité, ainsi que sur les prix pour le consommateur. Une augmentation des prix est un signe d’une concurrence défaillante. Pour un service gratuit tel que Facebook, l’augmentation du prix n’est pas un critère utile, car le prix officiel reste toujours zéro. En revanche, la diminution de la qualité est également un facteur à prendre en compte, et s’apprécie non seulement par rapport à la qualité des services numériques rendus, mais également par l’imposition de conditions d’utilisation pénalisantes, telles que celles imposées par Facebook en matière de données personnelles (livrer ses données, sinon pas de possibilité d’utiliser le réseau social). Comme le souligne le rapport du Stigler Center de septembre 2019, une baisse de qualité à travers l’imposition de conditions pénalisantes en matière de traitement de données personnelles devient l’équivalent d’une augmentation du prix (2).
Par l’utilisation excessive de ses données, le consommateur paie plus cher que ce qu’il paierait dans un marché pleinement concurrentiel. Selon les universitaires auteurs du rapport Stigler, le droit de la concurrence est ainsi équipé pour sanctionner des pratiques abusives dans le traitement des données, à condition de pouvoir démontrer ce type de baisse de qualité pour le consommateur. Ce raisonnement est maintenant repris par la Cour suprême d’Allemagne. Reste le problème du temps. Les affaires en droit de la concurrence prennent généralement des années, et l’affaire Facebook n’est pas une exception. L’autorité de la concurrence allemande a commencé ses enquêtes en 2016, et l’affaire n’est toujours pas réglée. Le gouvernement allemand envisage de modifier sa loi sur la concurrence pour permettre à l’autorité de la concurrence d’aller plus vite à l’égard de plateformes structurantes.

L’Allemagne pourrait inspirer l’Europe
L’initiative allemande pourrait servir de modèle pour la modernisation des règles de concurrence (« New Competition Tool ») actuellement étudiée au niveau de l’Union européenne (3) et soumise à consultation publique jusqu’au 8 septembre prochain (4). En parallèle, la Commission européenne étudie la possibilité de réguler les plateformes structurantes par une approche ex ante (« Digital Services Act »), comme en matière de télécommunications (5). La décision de la Cour suprême allemande ravive un vieux débat sur la meilleure manière de réguler les opérateurs puissants (ceux exerçant une influence significative sur le marché pertinent considéré), soit à travers une régulation ex post fondée sur le droit de la concurrence, soit à travers une régulation sectorielle ex ante, comme en télécommunications. @

* Winston Maxwell, ancien avocat, est depuis juin 2019
directeur d’études Droit et Numérique à Telecom Paris.

Anonymisation des données personnelles : un enjeu de taille, notamment en matière de santé

Alors qu’une deuxième vague de coronavirus menace, le gouvernement croit en l’utilité des données « pseudonymisées » de son application mobile StopCovid malgré le peu d’utilisateurs. Mais le respect de la vie privée ne suppose-t-il pas une « anonymisation » ? Le dilemme se pose dans la santé.

Par Olivia Roche, avocate, et Prudence Cadio, avocate associée, cabinet LPA-CGR avocats

La crise sanitaire liée au covid-19 et le développement concomitant des outils de surveillance de l’évolution de l’épidémie ont mis en lumière les enjeux liés à l’anonymisation des données à caractère personnel et, en particulier, des données de santé. Souvent présenté par la Commission nationale de l’informatique et des libertés (Cnil) comme un moyen indispensable pour préserver la vie privée des personnes, le procédé d’anonymisation aboutit cependant nécessairement à une perte d’informations, parfois contestée par les professionnels de santé.

Pseudonymisation ou anonymisation ?
Les recommandations publiées le 19 mai dernier par la Cnil (1) à ce sujet et les débats entourant l’application mobile StopCovid – mise à disposition par le gouvernement dans le cadre de sa stratégie globale de « déconfinement progressif » – permettent de mieux appréhender ces problématiques. Si cette application mobile ne dispose d’aucune information directement identifiante comme le nom ou le prénom, elle n’est pas pour autant « anonyme » au sens de la règlementation relative à la protection des données (2). La confusion entre « données pseudonymes » et « données anonymes » demeure répandue, alors que le règlement général européen sur la protection des données (RGPD) – en vigueur depuis le 25 mai 2018 – a entériné la distinction entre ces deux notions en son considérant 26.
Comme le rappelle la Cnil, la pseudonymisation consiste à traiter les données personnelles de façon à ce que celles-ci ne puissent plus être attribuées à une personne concernée sans avoir recours à des informations complémentaires. De manière plus concrète, ce processus consiste par exemple à remplacer des données personnelles directement identifiantes telles que le nom ou le prénom par des données indirectement identifiantes te l les qu’un alias, un numéro ou un code. La pseudonymisation constitue ainsi un outil utile pour conserver des données tout en préservant la vie privée des personnes, puisque celles-ci ne sont plus directement identifiantes. Néanmoins, l’opération de pseudonymisation étant réversible, il est possible de réidentifier ou identifier indirectement les personnes sur la base de ces données. En conséquence, les « données pseudonymes » demeurent des « données personnelles » auxquelles s’applique l’ensemble des exigences de la règlementation sur la protection des données personnelles. Au contraire, les « données anonymisées » au sens du RGPD exclut toute possibilité de réidentification des personnes. Il s’agit d’appliquer un procédé aux données personnelles pour rendre toute individualisation et toute indentification, directe ou indirecte, impossible et ce de manière irréversible et définitive. Cette distinction constitue un enjeu central, puisque les « données anonymes » ou « rendues anonymes », lesquelles, contrairement aux « données pseudonymes », ne sont pas ou plus des « données personnelles », ne sont pas soumises aux exigences du RGPD. Ce règlement européen indique, en effet, expressément qu’il ne s’applique « pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche » (3). A cet égard, il faut veiller à distinguer que, lorsqu’un procédé d’anonymisation est appliqué, c’est bien uniquement le résultat obtenu – les « données anonymisées » – qui peut être exclu du champ d’application matériel du RGPD mais non les données à caractère initialement collectées. De même, le processus d’anonymisation constitue un « traitement » qui, effectué sur des données personnelles, n’échappe pas en tant que tel aux exigences de la règlementation sur la protection des données à caractère personnel. Quelles sont au juste les techniques d’anonymisation ?

Randomisation et généralisation
Dans un avis en date du 10 avril 2014, le groupe dit de l’Article 29 – ce « G29 » ayant été remplacé depuis l’entrée en application du RGPD par le Comité européen de la protection des données (4) – proposait trois critères pour s’assurer que des données personnelles faisaient bien l’objet d’un procédé d’anonymisation et non de pseudonymisation : l’individualisation (il doit être impossible d’isoler un individu dans l’ensemble de données), la corrélation (il ne doit pas être possible de relier deux ensembles distincts de données concernant un même individu) et l’inférence (il doit être impossible de déduire une information sur un individu). Pour éliminer toute possibilité d’identification, la Cnil rappelle que deux grandes techniques d’anonymisation sont possibles. La « randomisation » qui consiste à rendre moins précises les données, par exemple en permutant certaines informations dans l’ensemble de données tout en conservant la répartition globale. La seconde technique dite de « généralisation » consiste quant à elle à modifier l’échelle ou l’ordre de grandeur des données (par exemple en ne conservant que l’année de naissance au lieu de la date précise) afin d’éviter l’individualisation ou la corrélation avec d’autres ensembles de données. Ces méthodes d’anonymisation doivent cependant être réévaluées régulièrement car les techniques et possibilités de ré identification évoluent rapidement, à mesure des avancées technologiques.

Impacts sur la vie privée
A cet égard, dans son avis « Techniques d’anonymisation » (5), le G29 indiquait déjà que « le résultat de l’anonymisation, en tant que technique appliquée aux données à caractère personnel, devrait être, dans l’état actuel de la technologie aussi permanent qu’un effacement, c’est-à-dire qu’il devrait rendre impossible tout traitement de données à caractère personnel ». En effet, des données publiées comme « anonymes » à un instant T peuvent, grâce par exemple à une nouvelle technique développée par un tiers, redevenir indirectement identifiantes. Leur publication à titre de « données anonymes », sans veiller au respect du RGPD, pourrait ainsi constituer une violation de données. Si ces procédés d’anonymisation permettent de conserver et de réutiliser des données pour des durées étendues tout en assurant le respect des droits et libertés des personnelles, reste la question de l’utilité de données anonymes, notamment dans le secteur de la recherche scientifique et médicale. Comme le démontrent les débats entourant les traitements de données personnelles mis en œuvre par le biais de l’application mobile StopCovid, l’intérêt scientifique des données anonymes – qui ont perdu tout caractère individualisant – est plus limité.
Depuis toujours la problématique d’anonymisation est très présente dans le secteur de la santé. En effet, les données relatives à la santé des personnes constituent à la fois des données personnelles particulièrement risquées en termes d’impacts sur la vie privée, mais elles constituent également un enjeu important dans le cadre de la recherche scientifique et médicale. Par exemple, dès 2004, la Cnil s’était prononcée sur la volonté de la Fédération nationale de la mutualité française (FNMF) – regroupant 540 mutuelles adhérentes dont 266 mutuelles santé – d’avoir accès sous un format anonymisé à des données figurant sur des feuilles de soins électroniques. Ce traitement devait être mis en œuvre à des fins statistiques pour étudier l’impact d’un remboursement en fonction du service médical rendu pour les médicaments. La Cnil avait autorisé le traitement en donnant des précisions et recommandations strictes sur les modalités d’anonymisation des données, les mesures de sécurité et le respect des droits des personnes concernées (6).
Dans cette lignée, fin avril 2020, la Cnil s’est prononcée favorablement à l’application mobile StopCovid déployée par le gouvernement dans le cadre de sa stratégie de déconfinement progressif – sous réserve que les données personnelles collectées soient traitées sous un format pseudonymisé, puis supprimées de 15 jours ou 6 mois selon les catégories. « La [Cnil] prend acte de ce que l’article 4 du projet de décret [décret du 29 mai 2020 publié au J.O. du 30 mai dernier (7), ndlr] prévoit une conservation des clés et des identifiants associés aux applications pendant la durée de fonctionnement de l’application StopCovid et au plus tard six mois à compter de la fin de l’état d’urgence sanitaire, et une conservation des historiques de proximité des personnes diagnostiquées ou testées positives pendant quinze jours à compter de leur émission » (8).
Cependant, le 21 juin dernier, le Conseil scientifique covid- 19 a publié un avis afin d’indiquer qu’il considérait essentiel d’appliquer l’option prévue par l’article 2 du projet de loi organisant la sortie de l’état d’urgence sanitaire permettant de conserver les données personnelles collectées par StopCovid pour une durée plus longue. Ce conseil scientifique (9) précise en outre que ces données devraient être conservées « sous une forme pseudonymisée et non simplement anonymisée, de façon à ce que les données d’un même individu, non-identifiantes, puissent tout de même être reliées entre elles (ex : documentation d’une ré-infection), ou chaînées avec des données d’autres bases » (10). Cette position illustre parfaitement les enjeux liés à l’articulation entre exploitation des données, durées de conservation et anonymisation ou pseudonymisation.

Risque de seconde vague
La position de la Cnil et l’arbitrage qui sera opéré entre respect de la vie privée et le nécessaire suivi de l’épidémie de covid-19, en particulier avec le risque d’une seconde vague, permettra d’étayer davantage les critères d’application et la distinction entre pseudonymisation et anonymisation. Au 23 juin 2020, soit en trois semaines d’existence de StopCovid, seuls quatorze cas à risque de contamination ont été détectés par l’application mobile. A cette date de premier bilan, elle a été téléchargée 1,9 million de fois, mais désinstallée 460.000 fois. Le gouvernement se dit néanmoins convaincu de son utilité, surtout en prévision de cette seconde vague. @