Archives par mot-clé : Juridique

ChatGPT, Midjourney, Flow Machines, … : quel droit d’auteur sur les créations des IA génératives ?

Publié le par

Face à la déferlante des IA créatives et génératives, le droit d’auteurs est quelque peu déstabilisé sur ses bases traditionnelles. La qualification d’« œuvre de l’esprit » bute sur ces robots déshumanisés. Le code de la propriété intellectuelle risque d’en perdre son latin, sauf à le réécrire.

Par Véronique Dahan, avocate associée, et Jérémie Leroy-Ringuet, avocat, Joffe & Associés

L’utilisation de l’intelligence artificielle (IA) par les entreprises, notamment en communication, est de plus en plus répandue. Des logiciels tels que Stable Diffusion, Midjourney, Craiyon, ou encore Dall·E 2 permettent de créer des images à partir d’instructions en langage naturel (le « text-to-image »). Il est également possible de créer du texte avec des outils tels que le robot conversationnel ChatGPT lancé en novembre 2022 par OpenAI (1), voire de la musique avec Flow Machines de Sony (2).

Flou artistique sur le droit d’auteur
Les usages sont assez variés : illustration d’un journal, création d’une marque, textes pour un site Internet, un support publicitaire ou pour un post sur les réseaux sociaux, création musicale, publication d’une œuvre littéraire complexe, …, et bientôt produire des films. Les artistes s’en sont emparés pour développer une forme d’art appelé « art IA », « prompt art » ou encore « GANisme » (3). Et, parfois, les artistes transforment les résultats obtenus en NFT (4), ces jetons non-fongibles authentifiant sur une blockchain (chaîne de blocs) un actif numérique unique. Pour produire un texte, une image ou une musique sur commande, le logiciel a besoin d’être nourri en textes, images ou musiques préexistantes et en métadonnées sur ces contenus (« deep learning »). Plus le logiciel dispose d’informations fiables, plus le résultat sera probant. Comme toute nouveauté technologique, l’utilisation de ces logiciels soulève de nombreuses questions juridiques. La question centrale en matière de propriété intellectuelle est de savoir à qui appartiennent les droits – s’ils existent – sur les contenus générés par l’IA ?
En droit français, une œuvre est protégeable si elle est originale. L’originalité est définie comme révélant l’empreinte de la personnalité de l’auteur, qui ne peut être qu’un être humain. Il faut donc déterminer qui est l’auteur, ou qui sont les auteurs d’une image, d’un texte ou d’une musique créés via une instruction donnée à un logiciel. Il faut aussi déterminer qui peut en être titulaire des droits. Il pourrait s’agir des auteurs des œuvres préexistantes, de nous-mêmes lorsque nous avons donné une instruction au logiciel, ou encore de l’auteur du logiciel (par exemple la société Stability AI qui développe Stable Diffusion). Les entités exploitant ces logiciels contribuent au processus permettant d’obtenir des textes, images ou des musiques inédites, dans la mesure où ce sont ces générateurs de contenus qui proposent un résultat comprenant un ensemble de choix plutôt qu’un autre. Ainsi, c’est la part d’« autonomie » des logiciels d’IA qui jette le trouble dans la conception traditionnelle du droit d’auteur. Un tribunal de Shenzhen (Chine) avait jugé en 2019 qu’un article financier écrit par Dreamwriter (IA mise au point par Tencent en 2015) avait été reproduit sans autorisation, reconnaissant ainsi que la création d’une IA pouvait bénéficier du droit d’auteur. Néanmoins, la contribution du logiciel se fait de manière automatisée et, à notre sens, l’usage technique d’un logiciel pour créer une image, un texte ou une musique ne donne pas au propriétaire du logiciel de droits sur l’image, sur le texte ou la musique : en l’absence d’une intervention humaine sur le choix des couleurs, des formes ou des sons, aucun droit d’auteur ou de coauteur ne peut être revendiqué au nom du logiciel. Le 21 février 2023, aux Etats-Unis, l’Office du Copyright a décidé que des images de bande dessinée créées par l’IA Midjourney ne pouvaient pas être protégées par le droit d’auteur (5).
Les conditions d’utilisation de ces générateurs de textes, d’images ou de musiques peuvent le confirmer. Dans le cas de Dall·E 2, les « Terms of use » prévoient expressément que OpenAI transfère à l’utilisateur tous les droits sur les textes et les images obtenus, et demande même que le contenu ainsi généré soit attribué à la personne qui l’a « créé » ou à sa société. Stability AI octroie une licence de droits d’auteur perpétuelle, mondiale, non exclusive, gratuite, libre de redevances et irrévocable pour tous types d’usage de Stable Diffusion, y compris commercial. Mais en l’absence, selon nous, de tout droit transférable, ces dispositions semblent constituer de simples précautions.

Droits de la personne utilisant le logiciel
Il est donc essentiel, pour toute personne qui souhaite utiliser, à titre commercial ou non, les contenus créés via des outils d’IA, générative ou créative, de vérifier si la société exploitant le site en ligne où il les crée lui en donne les droits et à quelles conditions. Dès lors que l’apport créatif de la personne qui donne les instructions au générateur d’images, de textes ou de musique est limité à la production d’une idée mise en œuvre par le logiciel, et que les idées ne sont pas protégeables par le droit d’auteur, il est douteux qu’un tribunal reconnaisse la qualité d’auteur à cette personne. Puisque l’utilisateur du logiciel ne conçoit pas mentalement, à l’avance, le contenu obtenu, il est difficile d’avancer que ce contenu porte « l’empreinte de sa personnalité ». Mais surtout, on pourrait aller jusqu’à dénier la qualification d’œuvre de l’esprit aux images, textes ou musiques créés par l’IA. En effet, le code de la propriété intellectuelle (CPI) n’accorde la protection du droit d’auteur qu’à des « œuvres de l’esprit » créées par des humains.

« Œuvre de l’esprit » inhérente à l’humain
Faute d’action positive créatrice de la part d’un humain, on pourrait avancer qu’aucun « esprit » n’est mobilisé, donc qu’aucune « œuvre de l’esprit »protégeable par le droit d’auteur n’est créée. S’ils ne sont pas des « œuvres de l’esprit », les contenus ainsi créés seraient alors des biens immatériels de droit commun. Ils sont appropriables non pas par le droit d’auteur (6) mais par la possession (7) ou par le contrat (conditions générales octroyant la propriété à l’utilisateur). Il s’agit alors de créations libres de droit, appartenant au domaine public. Cela fait écho à d’autres types d’« œuvres » sans auteur comme les peintures du chimpanzé Congo ou les célèbres selfies pris en 2008 par un singe macaque. Sur ce dernier exemple, les juridictions américaines avaient décidé que l’autoportrait réalisé par un singe n’était pas une œuvre protégeable puisqu’il n’a pas été créé par un humain, sujet de droits. En revanche, dès lors que le résultat obtenu est retravaillé et qu’un apport personnel formel transforme ce résultat, la qualification d’« œuvre de l’esprit » peut être retenue, mais uniquement en raison de la modification originale apportée au résultat produit par le logiciel. Ce cas de figure est d’ailleurs prévu dans la « Sharing & Publication Policy » de Dall·E 2 qui demande à ses utilisateurs modifiant les résultats obtenus de ne pas les présenter comme ayant été entièrement produits par le logiciel ou entièrement produits par un être humain, ce qui est davantage une règle éthique, de transparence, qu’une exigence juridique.
En droit français, une œuvre nouvelle qui incorpore une œuvre préexistante sans la participation de son auteur est dite « composite » (8). Si les œuvres préexistantes sont dans le domaine public, leur libre utilisation est permise (sous réserve de l’éventuelle opposition du droit moral par les ayants droit). En revanche, incorporer sans autorisation une œuvre préexistante toujours protégée constitue un acte de contrefaçon. Si, par exemple, on donne l’instruction « Guernica de Picasso en couleurs », on obtiendra une image qui intègre et modifie une œuvre préexistante. Or les œuvres de Picasso ne sont pas dans le domaine public et les ayants droit doivent pouvoir autoriser ou interdire non seulement l’exploitation de l’image obtenue et en demander la destruction, mais peutêtre aussi interdire ou autoriser l’usage des œuvres de Picasso par le logiciel. La production et la publication par un utilisateur d’un « Guernica en couleurs » pourraient donc constituer une contrefaçon ; mais l’intégration de Guernica dans la base de données du logiciel (deep learning) pourrait à elle seule constituer également un acte contrefaisant (9). En effet, le CPI sanctionne le fait « d’éditer, de mettre à la disposition du public ou de communiquer au public, sciemment et sous quelque forme que ce soit, un logiciel manifestement destiné à la mise à disposition du public non autorisée d’œuvres ou d’objets protégés » (10). Le caractère « manifeste » de la mise à disposition, et la qualification de « mise à disposition » elle-même pourraient être discutés.
Mais c’est surtout la directive européenne « Copyright » de 2019 (11) qui pourrait venir en aide aux exploitants d’IA génératrices de contenus en offrant une sécurisation de leur usage d’œuvres préexistantes protégées. Elle encadre l’exploitation à toutes fins, y compris commerciales, d’œuvres protégées pour en extraire des informations, notamment dans le cas des générateurs de textes, d’images ou de musiques. Elle prévoit également une possibilité pour les titulaires de droits sur ces œuvres d’en autoriser ou interdire l’usage, hors finalités académiques. Une telle autorisation peut difficilement être préalable et les exploitants, OpenAI par exemple, mettent donc en place des procédures de signalement de création de contenu contrefaisant (12). Le site Haveibeentrained.com propose, quant à lui, de vérifier si une image a été fournie comme input à des générateurs d’images et de signaler son souhait de retirer l’œuvre de la base de données. Mais les artistes se plaignent déjà de la complexité qu’il y a à obtenir un tel retrait (13).
On le voit, l’irruption des créations de l’IA perturbe le droit de la propriété intellectuelle, dont les outils actuels sont insuffisants pour répondre aux questionnements suscités. On peut imaginer que l’IA permettra un jour de produire de « fausses » sculptures de Camille Claudel, en s’adjoignant la technologie de l’impression 3D, ou encore de faire écrire à Rimbaud ou à Mozart des poèmes et des symphonies d’un niveau artistique équivalent – voire supérieur ! – qu’ils auraient pu écrire et jouer s’ils n’étaient pas morts si jeunes. La question de l’imitation du style d’auteurs encore vivant n’est d’ailleurs pas sans soulever d’autres débats.

Risque de déshumanisation de la création
Un avenir possible de l’art pourrait être dans la déshumanisation de la création, ce qui non seulement rendrait indispensable une refonte du premier livre du CPI, sous l’impulsion du règlement européen « AI Act » en discussion (14), mais susciterait en outre des questionnements éthiques. Si le public prend autant de plaisir à lire un roman écrit par une machine ou à admirer une exposition d’œuvres picturales créées par un logiciel, voire à écouter une musique composée et jouée par l’IA, les professions artistiques survivront-elles à cette concurrence ? @

Saisie de crypto-actifs et autres actifs numériques : plus de réactivité pour contrecarrer leur volatilité

Publié le par

La France est à l’avant-garde de la saisie de crypto-actifs, comme celle réalisée il y a dix ans maintenant, à l’occasion de la célèbre affaire « Silk Road » (achat-vente de drogues sur le darweb). Le législateur français a étendu la procédure « rapide et efficace » à tous les actifs numériques.

Par Richard Willemant*, avocat associé, cabinet Féral

La France fait figure de pays précurseur en matière de régulation des crypto-actifs, alors que le futur règlement européen MiCA (1) sur les marchés de crypto-actifs est encore un projet qui pourrait être adopté par le Parlement européen au mois d’avril 2023, sur une proposition de la Commission européenne datant de 2020. La loi française de 2019 sur la croissance et la transformation des entreprises, loi dite « Pacte » (2), a directement inspiré l’Union européenne (UE). Elle a instauré une réglementation des actifs numériques et une régulation de la profession de prestataires de services sur actifs numériques (PSAN).

Nécessité d’avoir recours à un PSAN
En France, les PSAN sont soumis à un régime d’enregistrement auprès de l’Autorité des marchés financiers (AMF). Ce dispositif vient en outre d’être renforcé par la loi « DDADUE » du 9 mars 2023 (3). La loi PACTE, elle, a introduit dans le code monétaire et financier (article L. 54-10-1) une définition des actifs numériques dont il existe deux catégories :
• Les jetons (tokens) sont des biens incorporels représentant, sous forme numérique, un ou plusieurs droits pouvant être émis, inscrits, conservés ou transférés au moyen d’un dispositif d’enregistrement électronique partagé permettant d’identifier, directement ou indirectement, le propriétaire dudit bien (4) ;
• Les crypto-actifs utilisés à des fins de paiement sont définis comme « toute représentation numérique d’une valeur qui n’est pas émise ou garantie par une banque centrale ou par une autorité publique, qui n’est pas nécessairement attachée à une monnaie ayant cours légal et qui ne possède pas le statut juridique d’une monnaie, mais qui est acceptée par des personnes physiques ou morales comme un moyen d’échange et qui peut être transférée, stockée ou échangée électroniquement ».
Concrètement, les actifs numériques – dont les cryptomonnaies les plus connues bitcoin, ethereum et autres altcoins, ainsi que les jetons non fongibles NFT (Non-Fungible Token) – sont émis, stockés et échangés en utilisant la technologie blockchain (chaîne de blocs) et un réseau de communications électroniques, sans intermédiation par un tiers de confiance étatique ou institutionnel, sachant qu’il est quand même nécessaire d’avoir recours à un PSAN. Pour autant, les actifs numériques sont des biens incorporels saisissables et ils sont saisis ! La France s’est placée à l’avantgarde de ce type de saisie réalisée, dès l’année 2013, à l’occasion de la célèbre affaire d’achat-vente de drogues « Silk Road ». Les autorités françaises avaient alors saisi plus de 24.000 bitcoins, qui ont ensuite été vendus aux enchères, tandis que la justice américaine avait saisi 144.000 autres bitcoins, qui valaient environ 28 millions de dollars à l’époque et plus de 1 milliard de dollars aujourd’hui (5). En France, en une dizaine d’années, ce type de saisie en matière pénale s’est banalisé et leur occurrence a ainsi été multipliée de manière exponentielle, puisque l’Agence de gestion et de recouvrement des avoirs saisis et confisqués (AGRASC) procède désormais à plusieurs saisies pénales par semaine (6) La saisie des avoirs numériques criminels est devenue un outil essentiel de lutte et de sanction des infractions de droit commun et de cybercriminalité, relevant notamment de la criminalité astucieuse, en matière d’escroquerie, de blanchiment et de fraude fiscale, mais également de la grande criminalité en matière de trafic de stupéfiants et de financement du terrorisme.
Les exemples de saisie sont innombrables. En septembre 2020, les autorités françaises ont ainsi saisi près de 27 millions d’euros en crypto-actifs dans le cadre d’une enquête sur un réseau de financement du terrorisme (7). En janvier 2021, la justice française a procédé à la saisie de 600 bitcoins pour une valeur d’environ 25 millions d’euros dans le cadre d’une enquête sur un réseau de blanchiment (8). A l’étranger, les saisies se comptent souvent en centaines de millions, voire en milliards de dollars. La plus grande saisie de crypto-actifs de l’histoire à ce jour a certainement été réalisée par la justice américaine qui a annoncé en février 2022 être parvenue à saisir l’équivalent de 3,6 milliards de dollars dans le cadre de l’affaire « Bitfinex » relative à des détournements d’avoirs en cryptomonnaies (9).

Contrecarrer la volatilité des actifs numériques
Tous les actifs numériques présentent une même caractéristique : ils peuvent être dissipés, par un transfert, aussi rapidement, mais plus discrètement qu’une somme d’argent détenue sur un compte bancaire. Cette grande volatilité les rend plus difficile à appréhender, et ce d’autant que leur existence n’est pas toujours connue au début de l’enquête pénale. Leur découverte intervient plus souvent au cours des investigations (garde à vue, audition, perquisition, exploitation de matériels informatiques et téléphoniques saisis). Il existe alors un risque élevé de dissipation de ces avoirs criminels, car souvent les actifs numériques sont contrôlés par plusieurs personnes, ce qui permet à un tiers non mis en cause, mais connaissant l’existence de l’enquête de transférer ces actifs ou de procéder à des modifications de mots de passe des wallets (portes-monnaies numériques).

Maintien ou mainlevée : délai de dix jours
L’intervention des enquêteurs sur ces portefeuilles électroniques peut même déclencher des alertes et mécanismes automatiques de dissipation des actifs numériques. Le législateur français a pris conscience de l’urgence à agir dans une telle situation et a adapté le dispositif pénal français. Et ce, afin de rendre la saisie des actifs numériques aussi rapide et efficace, d’un point de vue juridique, que celles des fonds détenus sur un compte bancaire. Avant toute condamnation en manière pénale, le code de procédure pénale (articles 142 et suivants) autorisent le procureur de la République, le juge d’instruction ou, avec leur autorisation, l’officier de police judiciaire (OPJ) à faire procéder à la saisie d’un bien afin de garantir que la peine complémentaire de confiscation puisse être mise à exécution. Classiquement, celle saisie pénale peut porter sur des biens immobiliers ou des biens mobiliers, incluant des biens incorporels sur autorisation du juge de la liberté et de la détention (JLD) en cours d’enquête ou du juge d’instruction en cours d’information judiciaire – selon l’article 706-153 du code de procédure pénale.
Une procédure dérogatoire et allégée avait été introduite à l’article 706-154 du même code concernant la saisie de sommes d’argent en permettant à un OPJ de procéder à une telle saisie, sur autorisation du procureur ou du juge d’instruction, en instance un contrôle seulement a posteriori du JLD, à des fins de plus grande rapidité et efficacité, compte tenu de la volatilité des créances de sommes d’argent. Le JLD doit se prononcer dans les 10 jours de la saisie, sur son maintien ou sa mainlevée. Ce dispositif dérogatoire a été validé par le Conseil constitutionnel qui l’estime nécessaire et proportionné (10).
Le législateur français a récemment décidé d’étendre ce dispositif à la saisie des actifs numériques, afin de contrecarrer leur grande volatilité et donc la facilité pour les autres infractions de transférer ces crypto-actifs dans le but de les faire échapper à toute appréhension. En effet, l’article 3 de la loi d’orientation et de programmation du ministère de l’intérieur (LOPMI) du 24 janvier 2023 (n° 2023-22) a modifié l’article 706-154 du code de procédure pénale qui dispose désormais : « Par dérogation à l’article 706-153, l’officier de police judiciaire peut être autorisé, par tout moyen, par le procureur de la République ou par le juge d’instruction à procéder, aux frais avancés du Trésor, à la saisie d’une somme d’argent versée sur un compte ouvert auprès d’un établissement habilité par la loi à tenir des comptes de dépôts ou d’actifs numériques mentionnés à l’article L. 54-10-1 du code monétaire et financier. Le juge des libertés et de la détention, saisi par le procureur de la République, ou le juge d’instruction se prononce par ordonnance motivée sur le maintien ou la mainlevée de la saisie dans un délai de dix jours à compter de sa réalisation ».
Ce nouveau fondement juridique a été très positivement accueilli par les autorités d’enquête et de poursuite en France. S’il facilite la saisie des actifs numériques sur le plan procédural, ce nouveau texte n’apporte cependant pas de solution à la plus grande complexité de ce type de saisie en pratique. Les opérations de saisie de crypto-actifs doivent en effet être réalisées sur des portefeuilles que l’AGRASC a ouverts auprès de PSAN pour chacune des cryptomonnaies correspondantes.
Lorsque la saisie porte sur des actifs numériques détenus à l’étranger, les opérations supposent d’avoir recours au dispositif d’entraide judiciaire international, ce qui entraîne de longs délais et ne permet pas réellement d’atteindre l’objectif d’efficacité. Ceci n’empêche pas l’AGRASC de réaliser de plus en plus de saisie de crypto-actifs en matière pénale, étant précisé qu’une telle saisie est également possible en matière civile sur le fondement des articles R. 231-1 et suivants du code de procédure civile d’exécution.
L’ensemble de ces dispositifs est tout à fait conforme aux droits fondamentaux. En effet, s’agissant de la procédure de saisie spéciale précitée, la Cour de cassation a, par un arrêt du 3 février 2021, refusé de soumettre à l’appréciation du Conseil constitutionnel une question prioritaire de constitutionnalité (QPC).

Respect de la présomption d’innocence
La Cour de cassation considère en effet que ce type de saisie spéciale et urgente n’entraîne « aucune dépossession des fonds qu’elle a pour seul effet de rendre indisponibles et doit être maintenue ou levée dans les dix jours » par un juge. La haute juridiction juge que « les dispositions législatives contestées concilient, avant toute déclaration de culpabilité, l’efficacité de la lutte contre la fraude, objectif à valeur constitutionnelle, avec le droit de propriété, la présomption d’innocence et les droits de la défense constitutionnellement garantis » (11). @

* Richard Willemant, avocat associé directeur
du cabinet Féral, est avocat aux barreaux de Paris
et du Québec (agent de marques – mandataire
d’artistes et d’auteurs), délégué à la protection des
données (DPO), médiateur accrédité par le barreau
du Québec, responsable du Japan Desk de Féral,
et cofondateur de la Compliance League.

Le paquet « connectivité » de la Commission européenne veut rebattre les cartes des télécoms

Publié le par

Projet de règlement « Infrastructure Gigabit Act », projet de recommandation « Gigabit », consultation « exploratoire » : retour sur les trois composantes du paquet « connectivité » présenté par la Commission européenne pour tenter d’atteindre en 2030 les objectifs de la « Décennie numérique ».

Par Marta Lahuerta Escolano*, avocate of-counsel, Jones Day

La connectivité au sein des Etats membres de l’Union européenne (UE) est marquée par des changements technologiques de rupture avec le développement rapide de l’intelligence artificielle, le métavers, la diffusion en continu de films et séries, l’informatique en nuage, les interfaces de programmation d’applications (« API »), etc. Les nouvelles infrastructures vont devoir être en mesure de supporter un volume toujours plus élevé de données transitant sur leurs réseaux chaque seconde.

Un « Infrastructure Gigabit Act » en vue
Le programme d’action pour la décennie numérique (1) de la Commission européenne, dont le but est de guider la transformation numérique d’ici 2030, a pour objectif de permettre à toutes les personnes physiques et morales situées dans l’UE de bénéficier à cette échéance d’une connectivité dite « gigabit », à savoir 30 Mbits/s. Dans ce contexte, elle a dévoilé le 23 février 2023 trois initiatives en vue de transformer le secteur de la connectivité.
• La première initiative consiste en l’adoption d’une proposition de règlement sur les infrastructures « gigabit » – « Infrastructure Gigabit Act » (2) – qui comprend des mesures visant à stimuler le déploiement de réseaux « à très haute capacité » moins coûteux et plus efficaces. Il a vocation à remplacer la directive européenne « Réseaux haut débit » de 2014 visant à réduire le coût de déploiement (3). La proposition coexiste avec d’autres instruments juridiques soutenant les objectifs de connectivité fixés par l’UE, notamment le code européen des communications électroniques établi en 2018 (4) et la recommandation « Régulation des marchés pertinents » de 2020 (5).
Le projet de règlement propose un ensemble de moyens visant à surmonter les barrières associées au déploiement lent et très coûteux des infrastructures qui affectent les réseaux « gigabit ». Compte tenu du développement rapide des fournisseurs d’infrastructures physiques sans fil, la définition d’opérateur de réseau – initialement comprise comme les entreprises fournissant ou autorisées à fournir des réseaux de communications électroniques et des entreprises mettant à disposition une infrastructure physique destinée à fournir d’autres types de réseaux, tels que les transports, le gaz ou l’électricité – est élargie aux entreprises fournissant des ressources associées tels que définis dans la directive « Code européen des communications électroniques » (6). Il ressort également que les « towerco » (détenteurs d’infrastructures réseaux tels que pylônes pour 4G/5G ou TNT) rentrent dans le champ d’application du projet de règlement « Infrastructure Gigabit Act ». Ce dernier étend aussi l’obligation d’accès aux infrastructures physiques qui ne font pas partie d’un réseau, mais qui sont détenues ou contrôlées par des organismes du secteur public. Il introduit également l’obligation – pour les opérateurs de réseaux de communications électroniques ou l’organisme du secteur public propriétaire ou contrôlant l’infrastructure physique refusant de faire droit à une demande d’accès – d’indiquer par écrit au demandeur les raisons spécifiques et détaillées de leur refus dans un délai d’un mois à compter de la date de réception de la demande d’accès. Il clarifie en outre les motifs de refus d’accès. Ce projet du « Infrastructure Gigabit Act » prévoit également une dérogation aux obligations de transparence lorsque l’obligation de fournir des informations sur certaines infrastructures physiques existantes serait jugée disproportionnée sur la base d’une analyse coûts avantages détaillée, réalisée par les Etats membres et fondée sur une consultation des parties prenantes (7).
Concernant la coordination des travaux de génie civil, le projet « Infrastructure Gigabit Act » porte à deux mois le délai dans lequel la demande de coordination des travaux de génie civil doit être introduite et supprime la possibilité pour les Etats membres de prévoir des règles de répartition des coûts liées à la coordination des travaux de génie civil (8). De plus, il prévoit le droit d’accès à un minimum d’informations concernant tous les travaux de génie civil planifiés publics et privés réalisés par l’opérateur de réseau. Cet accès pourrait être limité, pour des raisons de sécurité nationale, de sécurité des réseaux, ou de secrets d’affaires (9).

Des procédures plus simples et digitales
Les mesures proposées répondent aux objectifs de simplification des règles et des procédures en les rendant plus claires, plus rapides et en promouvant leur numérisation. Le projet « Infrastructure Gigabit Act » simplifie la procédure de délivrance des autorisations en interdisant aux autorités compétentes de restreindre indûment le déploiement de tout élément des réseaux à très grande capacité et en obligeant les Etats membres à veiller à ce que toute règle régissant les conditions et procédures applicables à l’octroi des autorisations, y compris les droits de passage, soit cohérente sur l’ensemble du territoire national (10). Est aussi introduite une autorisation tacite, réputée accordée en l’absence de réponse de l’autorité compétente dans le délai de quatre mois requis pour délivrer l’autorisation, sauf prolongation de ce délai. Les Etats membres devront donc veiller à la compatibilité de cette autorisation tacite avec le régime prévu dans leur droit national.

Financement des infrastructures « gigabit »
En matière d’infrastructure physique à l’intérieur des immeubles, la proposition de règlement introduit l’obligation, pour les bâtiments nouvellement construits ou faisant l’objet de travaux de rénovation importants, d’être équipés d’une connexion fibre optique (11). Enfin, le projet « Infrastructure Gigabit Act » accorde le droit à toute partie de saisir d’un litige l’autorité nationale compétente de règlement des litiges lorsqu’un accord sur l’accès aux infrastructures physiques à l’intérieur des bâtiments n’a pas été conclu dans un délai d’un mois à compter de la date de réception de la demande officielle d’accès, et non plus deux mois (12) – comme le prévoyait la directive « Réseaux haut débit ». De son côté, l’autorité nationale compétente de règlement des litiges disposerait d’un délai d’un mois ou quatre mois, selon la nature du litige, à compter de la réception de la demande de règlement du litige, afin de prendre une décision pour résoudre le litige.
• La deuxième initiative porte sur le lancement d’une consultation publique dont l’objectif est de recueillir des avis sur l’évolution des technologies et des besoins commerciaux et son impact sur le secteur des communications électroniques. Il aborde également le type d’infrastructure et le montant des investissements dont l’Europe aura besoin pour mener la transformation numérique dans les années à venir. Compte tenu des investissements très élevés requis pour la connectivité à très haut débit, la Commission européenne sollicite l’expression d’avis sur les infrastructures nécessaires pour atteindre la connectivité « gigabit » ainsi que le financement de celles-ci.
Selon Thierry Breton, commissaire européen en charge du Marché intérieur, « la charge de ces investissements est de plus en plus lourde, en raison entre autres du faible retour sur investissement dans le secteur des télécommunications, de l’augmentation du coût des matières premières et du contexte géopolitique mondial, qui exige une sécurité accrue de nos technologies-clés pour protéger notre souveraineté » (13). Une partie de la consultation exploratoire porte sur le sujet sensible de la contribution de tous les acteurs numériques au financement des infrastructures de haute connectivité – le fair share. Sur le fondement de la Déclaration européenne sur les droits et principes numériques (14), la consultation exploratoire interroge les acteurs concernés sur l’opportunité d’introduire un mécanisme consistant en une contribution ou un fond numérique européen/national (15). La consultation lance un dialogue ouvert avec toutes les parties prenantes qui prendra fin le 19 mai 2023 (lire p. 6 et 7 de ce numéro).
• La troisième initiative consiste en un projet de recommandation sur le « gigabit » visant à fournir des orientations aux autorités de régulation nationales sur les conditions d’accès aux réseaux de communications électroniques des opérateurs ayant un pouvoir de marché significatif. Ce projet de recommandation (16) a été transmis à l’Organe des régulateurs européens des télécoms (Orece ou Berec) pour une consultation d’une durée de deux mois. Une fois l’avis de l’Orece pris en compte, la Commission européenne adoptera sa recommandation finale. La recommandation « gigabit » remplacera la recommandation « Réseaux d’accès de nouvelle génération (NGA) » de 2010 (17) ainsi que la recommandation « Non-discrimination dans le haut débit » de 2013 (18).
Le projet de recommandation « Gigabit » vise à établir un environnement réglementaire adéquat, qui incite à l’abandon des technologies traditionnelles comme le réseau cuivre, et encourage l’accès et l’utilisation des réseaux à très haute capacité. Il a également pour objectif de contribuer au développement du marché unique des réseaux et services de communications électroniques, de promouvoir une concurrence effective, et de renforcer la sécurité juridique compte tenu des investissements à long terme dans ces réseaux « gigabit ». Il appartient maintenant au Parlement et au Conseil européens d’examiner et de modifier ce texte, par une série de lectures.

De nouvelles règles directement applicables
Les règlements sont des actes législatifs d’applicabilité directe dès leur entrée en vigueur, de manière automatique et uniforme dans tous les Etats membres, à la différence des directives qui nécessitent d’être transposées dans les législations nationales. Si les deux institutions approuvent ces nouvelles règles, celles-ci seront donc directement applicables dans tous les Etats membres. Il appartiendra aux Vingt-sept d’unifier leurs droits nationaux et d’en assurer la cohérence, dans la mesure où de potentielles contradictions pourraient survenir entre les mesures adoptées par chacun de ces pays dans le cadre de la transposition de la directive « Réseaux haut débit » en droit national et celles prévues par le projet de règlement « Gigabit », une fois adopté, qui seront directement applicables et obligatoires. @

* Tous les points de vue ou opinions exprimés dans cet article
sont personnels et n’appartiennent qu’à l’auteur

Cookies et consentement des internautes : les leçons à tirer des récentes sanctions de la Cnil

Publié le par

En décembre 2021 et en décembre 2022, la Cnil a sanctionné Google, Facebook, TikTok, Apple, Microsoft et Voodoo d’une amende allant de 3 millions à 90 millions d’euros. Il leur est reproché de ne pas faciliter aux internautes le refus des cookies publicitaires aussi facilement que leur acceptation.

Par Vanessa Bouchara et Florian Viel, cabinet Bouchara Avocats

Pour la seconde année consécutive, le mois de décembre aura été riche en décisions rendues par la Commission nationale de l’informatique et des libertés (Cnil) sur la thématique de la gestion des cookies. Alors que le mois de décembre 2021 voyait le gendarme de la protection des données personnelles et de la vie privée prononcer des sanctions administratives contre Google (1) et Facebook (2), ce sont en décembre 2022 les sociétés TikTok (3), Apple (4), Microsoft (5) et Voodoo (6) qui ont fait à leur tour l’objet de sanctions pour des manquements à loi française « Informatique et Libertés » dans le cadre de la gestion de leurs cookies.

Pas de consentement, pas de cookies
Google a eu une amende de 90 millions d’euros, Facebook de 60 millions d’euros, TikTok de 5 millions d’euros, Apple de 8 millions d’euros, Microsoft de 60 millions d’euros et Voodoo de 3 millions d’euros. Il ressort de toutes ces décisions deux principaux manquements récurrents que tout éditeur de site Internet ou d’application mobile devrait appréhender afin de les éviter.
Comme le rappelle la Cnil dans l’ensemble de ces décisions, « tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 1° de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° des moyens dont il dispose pour s’y opposer » (7). Se faisant, ces accès ou inscriptions – via l’utilisation de traceurs – ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement. Par exception à ce qui précède, il est prévu deux cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque ceux-ci ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit lorsqu’ils sont strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur (8). Ainsi, afin de déterminer si l’utilisation de cookies nécessite le recueil préalable du consentement de l’abonné ou de l’utilisateur, l’éditeur du site en ligne ou de l’application mobile doit déterminer si l’ensemble des finalités associées à ces cookies sont exemptées ou non de consentement. Comme le souligne expressément la Cnil dans ses décisions à l’encontre de respectivement Apple et de Microsoft, à l’appui de ses lignes directrices du 17 septembre 2020 (9), l’utilisation d’un même traceur pour plusieurs finalités, dont certaines n’entrent pas dans le cadre de ces exemptions, nécessite de recueillir préalablement le consentement des personnes concernées. Sans consentement, l’éditeur du service en ligne devra alors s’abstenir d’utiliser ce cookie pour la finalité non exemptée de consentement.
En effet, en considérant que les éventuelles différentes finalités fonctionnelles et non fonctionnelles d’un même cookie sont indissociables les unes des autres, l’utilisation de cette catégorie de traceurs reviendrait alors à détourner les dispositions de la loi « Informatique et Libertés » puisque le consentement de l’utilisateur ne serait plus jamais sollicité préalablement au dépôt de cookies. Par extension à ce qui précède et comme le remarque la Cnil dans sa décision à l’encontre de la société Voodoo, le refus exprès d’un utilisateur à l’utilisation de cookies pour des finalités non exemptées de consentement se doit d’être respecté par l’éditeur du service concerné, à défaut de quoi ce dernier prive d’effectivité le choix exprimé par l’utilisateur.

Aussi facile d’accepter que de refuser
Depuis l’entrée en application du RGPD, le « consentement » prévu à l’article 82 de la loi « Informatique et Libertés » précité doit s’entendre au sens du règlement général européen sur la protection des données (RGPD), c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque, et se manifester par un acte positif clair. Dans ses décisions prononcées à l’encontre des sociétés Google, Facebook, TikTok et Microsoft, la Cnil rappelle que le considérant 42 du RGPD : « Le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ». La Cnil précise par ailleurs que, comme mentionné dans ses lignes directrices et ses recommandations (10) datées du même jour, et confirmées par un arrêt du Conseil d’Etat du 19 juin 2020 (11), il doit être aussi aisé de refuser ou retirer son consentement aux traceurs que de le donner.

Inventivité des éditeurs et « dark pattern »
Le caractère « libre » du consentement implique en effet un choix et un contrôle réel pour les personnes concernées (12). Or, dès lors qu’un éditeur rend le refus d’utilisation de cookies non fonctionnels plus complexe que son acceptation, celui-ci incite l’internaute qui souhaite pouvoir visualiser le site Internet ou utiliser l’application rapidement, à accepter ces cookies en le décourageant à les refuser – viciant ainsi son consentement qui n’est plus libre. Les modalités proposées à l’utilisateur pour manifester son choix ne doivent donc pas être biaisées en faveur du consentement, comme l’indique la Cnil dans sa décision à l’encontre de Microsoft.
Par ailleurs, si le refus de l’utilisateur de consentir aux cookies peut potentiellement se déduire de son silence, c’est à la stricte condition que l’utilisateur en soit pleinement informé, et que l’équilibre entre les modalités d’acceptation et de refus soit respecté. Ainsi, si l’utilisation d’un bouton « tout accepter » est commune sur les bandeaux cookies, cette modalité de recueil du consentement de l’utilisateur ne sera licite que si l’utilisateur dispose d’un bouton « tout refuser » présent au même niveau et sur le même format, afin de ne pas altérer la liberté de son choix. La pratique encore commune des éditeurs de sites web ou d’applications mobiles d’opposer un bouton « tout accepter » à un bouton « paramétrer » ou « personnaliser » (ou équivalent), n’est donc pas licite et constitue un « dark pattern », comme l’indique la Cnil dans ses décisions à l’encontre des sociétés Facebook et Google.
A propos de ces « dark pattern », la délégation de la Cnil – qui a effectué un contrôle en ligne sur le site web « facebook.com » – mentionne d’ailleurs une étude universitaire de 2020 intitulée « Les “dark patterns” au temps du RGPD : récupération des fenêtres de consentement et démonstration de leur influence » (13). Les chercheurs – provenant notamment des universités de Cambridge et du MIT – ont démontré que 93,1 % du panel des internautes confrontés à des bandeaux cookies s’arrêtent au premier niveau et que seule une faible minorité d’entre eux vont au second niveau pour personnaliser ou refuser. Cette étude démontrait également que le fait de reléguer le bouton du refus au second niveau augmentait en moyenne de 23,1 points de pourcentage le taux de consentement aux cookies. Enfin, pour que le consentement de l’internaute soit libre, l’éditeur du site ou de l’application doit également veiller à ce que l’information relative à ses cookies et transmise à l’internaute – avant le recueil de son éventuel consentement – soit complète, visible et mise en évidence. Cette information doit en particulier porter sur les finalités poursuivies par les opérations de dépôt et de lecture des cookies, et sur les moyens dont l’utilisateur dispose pour s’y opposer. Une description générale et approximative des finalités de l’ensemble cookies non fonctionnels déposés, par l’utilisation de termes généraux tels que « améliorer votre expérience sur nos sites web » et « à des fins d’analyse et de marketing », est imprécise et constitue un manquement à la loi « Informatique et Libertés » (14), comme le mentionne la Cnil dans sa décision à l’encontre de TikTok.
Il résulte ainsi de ces six décisions, rendues par la Cnil sur les seuls mois de décembre 2021 et 2022, des rappels de règles bien établies ou en phase de l’être depuis l’entrée en vigueur du RGPD (15) – à savoir depuis le 25 mai 2018. Si ces règles sont claires, leur application n’est toutefois pas toujours l’objectif des éditeurs de sites et d’applications qui font preuve d’inventivité pour limiter la chute du taux de consentement de leur utilisateurs ou abonnés (16) à l’utilisation de cookies non fonctionnels, comme le démontre le Comité européen de la protection des données (CEPD) dans son rapport « Cookie Banner » publié le 18 janvier 2023 (17). Ces éditeurs considèrent en effet que leur intérêt à utiliser des cookies non fonctionnels, en particulier à des fins de publicités ciblées ou analytiques, prévaut sur le respect du consentement de leurs utilisateurs ou abonnés, et par extension acceptent le risque de sanctions administratives et d’actions judiciaires qui en résulte.

Sanctions plus rapides et solutions alternatives
Les modifications de la loi « Informatique et Libertés » et de son décret d’application, intervenues le 24 janvier puis le 8 avril 2022, ont pour ambition de permettre une plus grande souplesse dans le recours aux mises en demeure ou aux sanctions. Si la réforme des procédures correctrices de la Cnil (18) – permettant à celle-ci de prononcer des sanctions plus rapidement – ne sera probablement pas suffisante pour convaincre toutes les entreprises et organisations de changer leurs pratiques, le développement de solutions alternatives aux cookies non exemptés de consentement pourrait l’être. @

* Vanessa Bouchara, avocate et spécialiste en droit
de la propriété intellectuelle, a fondé
le cabinet Bouchara Avocats (www.cabinetbouchara.com).

Protection des données en Europe : pour le CEPD, le groupe Meta ne peut imposer sa loi

Publié le par

Facebook, Instagram et WhatsApp (réseaux sociaux du groupe Meta) ont été épinglés par la « Cnil » irlandaise, la DPC, pour ne pas avoir respecté le règlement européen sur la protection des données (RGPD). Mais faute de consensus avec ses homologues des Vingt-sept, le CEPD a eu le dernier mot.

Par Jade Griffaton et Emma Hanoun, avocates, DJS Avocats

Après cinq ans de procédure, deux sanctions ont été annoncées respectivement les 4 et 19 janvier 2023 pour un total de 395,5 millions d’euros pour le non-respect des mesure imposées par le règlement européen sur la protection des données personnelles (RGPD). Il s’agit de trois amendes infligées à Meta en Irlande par la DPC, la commission de protection des données, à savoir la « Cnil » irlandaise (1). Au coeur du débat : la publicité ciblée pour les utilisateurs des réseaux sociaux du groupe : Facebook (210 millions d’euros d’amende), Instagram (180 millions) et WhatsApp (5,5 millions). Des enquêtes avaient été entreprises après des plaintes de l’organisation autrichienne Noyb (2) pour la protection de la vie privée, fondée par Max Schrems.

Un contexte procédural complexe
La société Meta Ireland est au coeur des discussions depuis plusieurs années. Dès 2021, Facebook fait l’objet d’une fuite de données personnelles de plusieurs millions de ses utilisateurs menant à l’ouverture d’une enquête par l’autorité irlandaise de protection des données. A la suite de l’enquête, Meta a été condamnée le 25 novembre 2022 à une amende de 265 millions d’euros pour avoir violé ses obligations de sécurisation des données (3). En mars 2022, l’autorité irlandaise avait déjà infligé une amende de 17 millions d’euros à Meta (4), qui n’avait pas pu démontrer la mise en place « de mesures techniques et organisationnelles appropriées […] pour protéger les données des utilisateurs » de l’Union européenne (UE). En parallèle, en France, la Cnil a condamné en janvier 2022 l’entreprise Meta à une amende de 60 millions d’euros en raison de l’impossibilité pour les utilisateurs de refuser simplement les cookies (5). En plus de cette amende, la Cnil avait ordonné une injonction sous astreinte de mettre à disposition des internautes français, dans un délai de 3 mois à compter de la notification de la décision, un moyen permettant de refuser les cookies aussi simplement que celui pour les accepter afin de respecter le consentement de chaque utilisateur. Et par deux décisions – respectivement en date du 31 décembre 2022 concernant Facebook et Instagram pour 390 millions d’amendes (6) et du 12 janvier 2023 concernant WhatsApp pour 5,5 millions d’amende (7) –, l’autorité irlandaise a infligé à Meta ces trois amendes totalisant près de 400 millions d’euros pour manquement à plusieurs principes imposés par le RGPD (8) dont le principe de transparence et le principe de licéité des traitements de données à caractère personnel. Ces dernières décisions font suite à de nombreux débats entre les différentes autorités de contrôle européennes que sont les différentes « Cnil » dans les Vingt-sept.
En effet, dans le cadre de la procédure de consultation des autorités de contrôle concernées par l’autorité de contrôle « chef de file » mise en place par l’article 60 du RGPD, en l’occurrence la DPC dans ces procédures « Meta », les projets de décisions préparés en 2021 par l’autorité irlandaise ont été soumis aux régulateurs homologues de l’UE qui ont soulevé un certain nombre d’objections. Face à l’absence de consensus, l’autorité irlandaise a alors saisi le Comité européen de la protection des données (CEPD) – ou, en anglais, EDPB (9) – pour consultation sur les points litigieux, en vertu de l’article 65 du RGPD. Ce dernier a alors rendu trois décisions contraignantes le 5 décembre 2022 relatives aux activités de traitement de données à caractère personnel par Facebook, Instagram et WhatsApp (10). L’autorité irlandaise a alors intégré ces conclusions dans ses trois décisions – celles datées du 31 décembre 2022 à l’encontre de Facebook (210 millions euros d’amende) et d’Instagram (180 millions euros), ainsi que dans celle du 12 janvier 2023 à l’encontre de WhatsApp (5,5 millions d’euros d’amende). Dans le cadre de ses projets de décisions d’octobre 2021, l’autorité irlandaise relevait, de la part des sociétés Facebook, Instagram et WhatsApp, un manquement à leur obligation de transparence édictée par le RGPD (11). En effet, l’autorité irlandaise considère que les utilisateurs des services Meta ne disposent pas d’une clarté suffisante quant aux opérations de traitement effectuées sur les données à caractère personnel, à quelle(s) finalité(s) et quelle(s) base(s) légale(s) parmi celles identifiées à l’article 6 du RGPD.

L’absence de consensus européen
Les décisions contraignantes rendues par le CEPD le 5 décembre 2022 confirme cette position en ce qui concerne la violation par Facebook, Instagram et WhatsApp de leur obligation de transparence, sous réserve de l’insertion d’une violation supplémentaire, celle du principe de loyauté édicté par le RGPD (12). Alors que la « Cnil » irlandaise considère, dans ses projets de décisions soumis au CEPD, que le recours de Meta Ireland au contrat constituait une base juridique pour certains traitements des données personnelles, ses homologues européens ont soulevé des objections sur ce point. En cause : le rejet par la DPC de la notion de « consentement forcé », s’appuyant sur le contrat entre les utilisateurs et Meta pour légitimer les traitements concernés. Dans les cas Facebook et Instagram, la question était de savoir si la diffusion de publicité personnalisée ou comportementale constituait, ou non, un des services personnalisés inclus dans les services plus largement fournis par Facebook et Instagram au titre du contrat conclu avec ses utilisateurs.

Impact important sur les plateformes
En effet, dans l’affirmative, ce service pourrait être considéré comme licite au sens de l’article 6 du RGPD, sans nécessité de solliciter le consentement des personnes concernées – systématiquement requis pour les traitements ayant pour finalité la publicité – en se fondant sur la base juridique de « l’exécution d’un contrat auquel la personne concernée est partie ». Selon l’autorité irlandaise, ce service personnalisé fait partie intégrante du contrat conclu entre le fournisseur de services et ses utilisateurs, et a été accepté par ces derniers au moment où ils acceptent les conditions d’utilisation des services. Ainsi, le consentement de l’utilisateur au traitement serait implicitement déduit de l’acceptation d’utiliser le service Meta. Cette réalité est au coeur du modèle économique de la firme de Mark Zuckerberg, dont la rentabilité se fonde sur les revenus publicitaires nécessitant la collecte massive et la réutilisation gratuite des données personnelles de ses utilisateurs à des fins de publicité comportementale. Andrea Jelinek, présidente du CEPD, a d’ailleurs déclaré que les décisions du comité pouvaient « avoir un impact important sur d’autres plateformes qui ont des publicités comportementales au centre de leur modèle d’affaires » (13).
Dans le cas WhatsApp, l’enjeu consistait à déterminer si le fait de subordonner l’accès des services WhatsApp à l’acceptation par les utilisateurs des conditions générales mises à jour (les services ne seraient alors pas accessibles si les utilisateurs refusaient de le faire), revenait ou non à « forcer » les utilisateurs à consentir au traitement de leurs données personnelles à des fins d’amélioration et de sécurité du service. Selon le point de vue de la « Cnil » irlandaise, le service fourni par WhatsApp comprend l’amélioration du service et la sécurité, nécessaire à l’exécution du contrat conclu avec les utilisateurs, de sorte que de telles opérations de traitement étaient licites au regard de l’article 6 du RGPD. Les autres « Cnil » européennes concernées par ces traitements ont soulevé – tant pour les cas Facebook et Instagram que pour le cas WhatsApp – des objections et ont estimé que les finalités de publicité personnalisée et d’amélioration du service et de sécurité ne sont pas considérées comme nécessaires pour exécuter les éléments essentiels du contrat conclu avec les utilisateurs. Face à l’absence de consensus sur ces points, le CEPD a par conséquent été consulté par l’autorité irlandaise, dans le cadre de la procédure issue de l’article 65 du RGPD, afin qu’il tranche sur les questions litigieuses.
Dans ses décisions rendues le 5 décembre 2022, le CEPD adopte, sur le fondement de l’article 6 du RGPD, la position selon laquelle Meta Ireland ne peut par principe invoquer le contrat comme constituant une base juridique pour traiter les données à caractère personnel à des fins de publicité comportementale (cas Facebook et Instagram) et d’amélioration et de sécurité. Le CEPD se distingue alors des autorités européennes qui soulevaient qu’un tel traitement ne satisfait pas à la condition de nécessité (en d’autres termes, la publicité personnalisée n’est pas nécessaire à l’exécution d’un contrat avec les utilisateurs de Facebook et Instagram), et rend des décisions de principe par application stricto sensu du RGPD.
Reflet du pouvoir contraignant du CEPD, l’autorité irlandaise a donc intégré cette solution dans les deux décisions rendues le 31 décembre 2022 à l’encontre de Facebook et Instagram. Il est exigé une mise en conformité avec le RGPD dans un délai de trois mois à compter de la décision – autrement dit d’ici au 31 mars prochain. De même, le 12 janvier 2023, l’autorité irlandaise a accueilli cette solution dans sa décision à l’encontre de WhatsApp, en lui ordonnant de se mettre en conformité dans un délai de six mois – soit d’ici le 12 juillet prochain.
A l’heure où il est indéniable que la donnée est le nouvel « or noir » du XXIe siècle, les entreprises doivent adopter des méthodes et techniques, et ce dès la conception de leur modèle économique, afin de protéger convenablement les données personnelles, comme l’exige le RGPD. Il apparaît désormais vital pour les entreprises d’anticiper les implications de leur conformité dès la conception de leurs projets impliquant des traitements de données personnelles (« Privacy by Design »).

Les internautes reprennent la main
On constate aujourd’hui que les internautes, surtout ceux résidant dans l’UE, cherchent, dans le cadre d’une approche « Privacy First », à utiliser des services respectueux de leur vie privée et prennent en compte la question de la protection des données personnelles les concernant comme condition à l’utilisation de tels services. Les entreprises traitant massivement les données personnelles, et notamment les GAFAM, se trouvent alors confrontées à cette problématique qui tend à modifier considérablement leur modèle économique. Il est aujourd’hui indispensable de se demander de quelle manière et à quel moment il est opportun d’appréhender la question de la protection de la donnée. @