BULLETIN D ACTUALITES JURIDIQUES

Transcription

1 BULLETIN D ACTUALITES JURIDIQUES N 30, 22 avril 2014 Promulgation de la loi relative à la géolocalisation Conseil constitutionnel, déc. n DC du 25 mars 2014 sur la loi relative à la géolocalisation Loi n du 28 mars 2014 relative à la géolocalisation Suite à plusieurs arrêts de la Cour de cassation, le législateur devait légiférer en matière d opérations de géolocalisation réalisées dans le cadre des enquêtes judiciaires et de l instruction. C est chose faite avec la loi sur la géolocalisation du 28 mars Cette loi crée un nouveau chapitre au sein du Code de procédure pénale (CPP), consacré à la géolocalisation en temps réel (articles et suivants du CPP). Ces opérations peuvent être réalisées dans le cadre d une enquête ou d une instruction relative à un crime ou un délit puni de 5 ans d emprisonnement (ou 3 ans pour les délits d entrave à la justice et d évasion), à la recherche des causes de la mort ou de la disparition, ou encore à la recherche d une personne en fuite. Au cours des enquêtes préliminaires, de flagrance ou sui generis, ces mesures doivent être autorisées par le procureur de la République pour une durée maximale de 15 jours. Elles peuvent être renouvelées sur autorisation du juge des libertés et de la détention pour une durée d un mois renouvelable. Dans le cadre d une information, la géolocalisation doit être autorisée par le juge d instruction, pour une durée maximale de 4 mois renouvelable. Les décisions de mise en œuvre ou de refus sont écrites et ne sont susceptibles d aucun recours. La géolocalisation est mise en place par un officier de police judiciaire ou, sous sa responsabilité, par un agent de police judiciaire. Afin d installer un dispositif de géolocalisation, le procureur ou le juge d instruction peut autoriser l introduction dans un lieu privé. Pour autant, si ce lieu est une habitation, l opération nécessite une décision écrite de l autorité judiciaire (juge des libertés et de la détention, ou juge d instruction). En cas d urgence, les mesures de géolocalisation peuvent être mises en place par un officier de police judiciaire, qui en informe immédiatement le procureur de la République ou le juge d instruction. Ces derniers disposent alors de 24 heures pour prescrire, ou non, la poursuite des opérations. Chaque opération doit faire l objet d un procès-verbal. Les enregistrements sont placés sous scellés. Les données utiles à la manifestation de la vérité sont transcrites dans un procès-verbal versé au dossier de procédure. Par sa décision du 25 mars dernier, le Conseil Constitutionnel, saisi par 62 députés afin d exercer un contrôle de constitutionnalité avant la promulgation de la loi, a validé l ensemble du texte. Il a cependant émis trois réserves d interprétation, concernant la procédure dérogatoire organisée aux articles et suivants du CPP. Cette procédure permet au juge d instruction d omettre, dans le dossier de procédure, certaines informations relatives à la mesure de géolocalisation ordonnée, dès lors qu elles pourraient mettre en danger une personne et qu elles ne sont pas utiles à la manifestation de la vérité. La décision des sages interdit notamment que les données de géolocalisation soient utilisées comme des éléments de preuve devant le juge dès lors que la personne mise en cause n a pas été en mesure de contester le recours à la procédure dérogatoire. Outre la géolocalisation judiciaire, cette loi encadre, dans des conditions similaires, les opérations de géolocalisation en temps réel dans le cadre d enquêtes douanières relative à la recherche et à la constatation d'un délit douanier puni d'une peine d'emprisonnement d'une durée égale ou supérieure à 5 ans. La CJUE se prononce sur le blocage de l accès aux sites Internet CJUE, 27 mars 2014, C-314/12, UPC Telekabel c. Constantin Film et Wega Le 27 mars dernier, la Cour de justice de l Union européenne (CJUE) s est prononcée sur le blocage des sites Internet dont le contenu porte atteinte aux droits d auteur et aux droits voisins. Ces dispositions sont

2 issues de la directive européenne n 2001/29/CE du 22 mai 2001, que chaque État membre de l Union a dû transposer en droit interne. La CJUE considère qu un fournisseur d accès à Internet (FAI) est un intermédiaire technique, dont les services peuvent être utilisés pour porter atteinte à un droit d auteur ou à un droit voisin. Cette qualité n est pas conditionnée à l existence d un lien contractuel entre le FAI et la personne ayant commis l atteinte aux droits d auteur ou droits voisins. Les titulaires des droits n ont pas à démontrer que certains des clients dudit fournisseur consultent effectivement, sur le site Internet en cause, les contenus litigieux. En effet, la directive vise non seulement à faire cesser mais aussi à prévenir les atteintes aux droits d auteur et droits voisins. S agissant des mesures de blocage, la CJUE rappelle que les États doivent veiller à ce que l équilibre soit préservé entre, d une part, les droits d auteur et les droits voisins et, d autre part, la liberté d entreprise des FAI et la liberté d information des utilisateurs d Internet. Les mesures de blocage doivent ainsi remplir deux conditions : ne pas priver inutilement les utilisateurs d un accès à des informations licites disponibles, et avoir pour effet d empêcher ou de rendre difficilement réalisables les consultations non autorisées des objets protégés, ou de décourager sérieusement les utilisateurs d Internet de consulter ces objets. En revanche, l injonction de blocage émise par le juge n a pas à préciser quelles mesures le FAI doit prendre pour empêcher l accès aux sites Internet. La CJUE invalide la directive relative à la conservation des journaux de connexion CJUE 8 avril 2014, C-293/12 et C-594/12, Digital Rights & Kärtner Landerregierung La CJUE a invalidé la directive sur la conservation des données de mars 2006 par sa décision Digital Rights du 8 avril Dans le cadre d une procédure nationale, les juridictions irlandaises et autrichiennes avaient posé une question préjudicielle de conventionalité. Elles demandaient à la CJUE d examiner la validité de la directive à la lumière de deux droits garantis par la Charte des droits fondamentaux de l Union européenne : le droit au respect de la vie privée et le droit à la protection des données à caractère personnel. La CJUE considère que la directive organise une ingérence «d une vaste ampleur» et «particulièrement grave» dans ces droits fondamentaux. Une telle ingérence doit être justifiée et proportionnée à l objectif poursuivi. À ce titre, la Cour estime que la conservation des données répond à un objectif d intérêt général : la lutte contre la criminalité grave et la préservation de la sécurité publique. Mais, la Cour ajoute que la conservation des données telle qu encadrée par la directive n est ni limitée au strict nécessaire, ni proportionnée, et qu elle doit donc être invalidée. Se pose alors la question des conséquences de cette décision sur notre droit interne. La France a transposé ses dispositions par le décret du 24 mars 2006, insérant les articles R à R au sein du Code des postes et des communications électroniques (CPCE). La décision de la CJUE n affecte pas directement les dispositions nationales. Seul le législateur français, ou en l occurrence le pouvoir exécutif, peut décider de revoir notre droit interne. Pour autant, cette décision risque d entraîner plusieurs questions préjudicielles de conventionalité dans les contentieux nationaux à venir, et d encourager la réforme de l obligation légale de conservation des logs mis à la charge des opérateurs et de toute personne fournissant au public un accès Internet, même à titre gratuit. La procédure de sanction de la CNIL doit respecter les principes du procès équitable CE 12 mars 2014, n , Pages Jaunes groupe Par sa décision du 12 mars 2014, le Conseil d État rappelle (dans le même sens, CE réf. 19 février 2008) que «la formation restreinte de la CNIL, lorsqu elle est saisie d agissements pouvant donner lieu à l exercice de son pouvoir de sanction, doit être regardée comme décidant du bien-fondé d accusations en matière pénale au sens de la Convention européenne de sauvegarde des droits de l homme». «Il s ensuit, et alors même

3 qu elle n est pas une juridiction au regard du droit interne» que cette formation doit statuer dans le respect du principe d impartialité rappelé à l article 6 de la Convention, notamment au regard de sa composition. Ce principe implique que les fonctions d instruction et de sanction soient séparées au sein de la CNIL. Ainsi, le rapporteur désigné par la Commission pour établir un rapport en vue d une éventuelle mise en œuvre d une procédure de sanction ne peut pas faire partie de la formation restreinte, qui décidera du prononcé ou non d une sanction. Cette séparation des fonctions n a été prévue par le législateur qu en 2011, en modifiant l article 17 de la loi «informatique et libertés». Défaut de sécurisation du matériel et manquement à l obligation de conseil du professionnel CA Versailles, 12 ème ch., 25 mars 2014, Films de la croisade c. Normaction et autres En 2008, la société Les Films de la croisade a conclu un contrat de fourniture d accès au réseau téléphonique, incluant notamment un contrat de maintenance avec la société UTT. En 2012, la société a été alertée par son opérateur du caractère anormalement élevé de ses consommations téléphoniques, notamment à destination du Timor oriental. Son opérateur l a alors avisée d un piratage probable de sa ligne téléphonique et l a invitée à contacter la société de maintenance, afin de modifier le code d accès au matériel téléphonique. En effet, depuis l installation du matériel, le code «0000», attribué par défaut, n avait pas été modifié. Cette opération a été réalisée dans un délai de 10 jours. La société Les Films de la croisade a alors informé son opérateur qu elle s opposait au paiement des factures relatives aux appels passés vers le Timor oriental, représentant un montant de ,78. Face au refus de l opérateur, elle l a l assigné, ainsi que la société UTT, devant le tribunal de commerce, aux fins de voir prononcer l annulation des facturations contestées et d ordonner la poursuite des contrats. Les juges de première instance l ont déboutée de sa demande, et elle a fait appel. Par un arrêt du 25 mars dernier, la Cour d appel de Versailles a rejeté la demande d annulation de la facturation. Selon elle, l allégation d un piratage, à la supposer avérée, ne permet pas à la cliente de se prétendre déchargée de son obligation de payer les factures dont le montant correspond au coût des appels passés à partir de sa ligne téléphonique, conformément aux dispositions contractuelles. Les juges notent notamment qu aucune clause du contrat ne permet au client d être déchargé du paiement des appels passés à partir de sa ligne au motif qu ils auraient été passés par des tiers. En revanche, au regard du contrat de maintenance, prévoyant, d une part, que la société UTT doit fournir à son client une information sur les évolutions techniques en matière de télécommunication pouvant intéresser l exercice de son activité, et, d autre part, qu elle est tenue à une visite préventive par an, les juges ont estimé que ce prestataire avait manqué à ses obligations contractuelles d information et de conseil en matière de sécurisation du matériel téléphonique. Ainsi, la société Les Films de la croisade est fondée à rechercher la responsabilité de la société UTT. Cette dernière a ainsi été condamnée au versement de à titre de dommages-intérêts, ainsi qu aux dépens. Annuaires en ligne : condamnation du responsable du site Internet CA Bordeaux, 3 e ch. corr., 18 décembre 201, n 13/00130 En 2011, la CNIL recevait plus d une centaine de plaintes et signalements concernant plusieurs annuaires en ligne, comportant les noms des habitants de différentes villes, ainsi que leurs coordonnées, parmi lesquelles figuraient des numéros de téléphone inscrits en «liste rouge». Le responsable de ces sites avait développé un logiciel lui permettant de collecter les données à partir de diverses sources (journal des associations, Google, annuaire, etc.), de les ordonner, puis de les rediffuser sans avoir recueilli le consentement préalable des personnes concernées. Certaines informations étaient susceptibles d avoir des conséquences jugées «irrémédiables» par la CNIL : coordonnées d une victime de violences conjugales, de fonctionnaires de police, d avocats, etc. La Commission a alors initié plusieurs démarches auprès des sites, afin de faire cesser ces diffusions. En l absence de réponse, la Commission a décidé de saisir le procureur de la République. Le dossier a été confié à la police judiciaire de Bordeaux.

4 Par un arrêt du 18 décembre 2013, la Cour d appel de Bordeaux vient confirmer le jugement du tribunal correctionnel ordonnant la suppression des données litigieuses et condamnant le responsable du site à une amende de euros avec sursis, et à la publication de l arrêt sur le site de la CNIL, pour collecte de données personnelles par un moyen frauduleux, déloyal ou illicite (art du Code Pénal - CP), traitement de données personnelles malgré l opposition légitime de la personne concernée (art CP), traitement automatisé de données personnelles sans déclaration préalable à la CNIL (art CP), divulgation illégale volontaire de données personnelles susceptible de porter atteinte à la considération de l intéressé ou à l intimité de sa vie privée (art CP) et abus de confiance (art CP). Google est hébergeur pour son service Adwords CA Paris pôle 5, ch. 1, 9 avril 2014, Google France, Inc. et Ireland c. Voyageurs du monde, Terres d aventures Dans son arrêt du 9 avril 2014, la Cour d appel de Paris considère que Google est hébergeur pour son offre Adwords (dans le même sens, CA Paris, 11 décembre 2013). Le géant américain est ainsi soumis à l article 6-I-2 de la loi pour la confiance dans l économie numérique, en application duquel la société peut voir sa responsabilité engagée dès lors que, ayant eu connaissance de contenus manifestement illicites sur son service, elle ne les a pas retirés promptement. En l espèce, les juges ont estimé que Google avait retiré les contenus litigieux dans les temps. Sa responsabilité a donc été écartée. Commissaire à la protection des données démis de ses fonctions : la Hongrie a violé la directive sur la protection des données personnelles CJUE 8 avril 2014, C-288/12, Commission c. Hongrie En Hongrie, deux ans avant l expiration du mandat du Commissaire à la protection des données, le Parlement a décidé de réformer le système de protection des données, et d établir une autorité nationale chargée de cette question, en lieu et place de la fonction de commissaire. En conséquence, ce commissaire a dû quitter ses fonctions avant le terme de son mandat, en dehors des conditions légales de fin anticipée de ses fonctions. Dès lors, la Commission ainsi créée a estimé que cette fin anticipée du mandat contrevenait aux exigences de la directive sur la protection des données à caractère personnel : le commissaire aurait dû être intégré à la Commission pour la durée restante de son mandat. Par sa décision du 8 avril 2014, la CJUE rappelle que les autorités de contrôle de la protection des données personnelles doivent pouvoir exercer leurs missions sans aucune influence extérieure. Cette exigence implique qu elles ne soient liées par aucune instruction dans l exercice de leurs fonctions et que leurs décisions soient prises sans aucune ingérence politique. Or, la décision d un État de mettre fin au mandat d une autorité de contrôle avant son expiration, sans respecter les règles et les garanties préétablies à cette fin par la législation applicable, pourrait conduire cette autorité à obéir à la volonté du pouvoir politique. Ainsi, en mettant fin de manière anticipée au mandat de l autorité de contrôle de la protection des données à caractère personnel, la Hongrie a manqué à ses obligations découlant de la directive. L équipe juridique HSC juridique@hsc.fr,

5 Formations principalement juridiques * : Formation certifiante Les prochaines formations juridiques HSC Correspondant informatique et libertés Rennes, juin Paris, juin Paris, sept. Toulouse, 1-3 oct. Essentiels juridiques pour gérer la SSI Paris, juin Marseille, sept. Essentiels Informatiques et libertés Formations comportant une partie juridique RSSI Sécurité du cloud computing Principes et mise en œuvre des PKI RGS : la sécurité des systèmes d information pour le secteur public Tests d intrusion avancés, exploits, hacking éthique (SANS SEC560)* Paris, 12 nov. Paris, 6-10 oct. Paris, oct. Paris, mai Paris 30 oct. Paris, oct. Paris, oct. formations@hsc.fr, Ce bulletin d actualités juridiques est édité par la société Hervé Schauer Consultants, EURL au capital de euros, inscrite au RCS Nanterre B , sise 4 bis, rue de la Gare, Levallois-Perret. Son directeur de publication est Hervé Schauer, gérant. Contact : juridique@hsc.fr ou INFORMATIQUE ET LIBERTES Conformément à l article 32 de la loi n du 6 janvier 1978, nous vous informons que les données à caractère personnel recueillies lors de votre abonnement font l objet d un traitement. Le responsable du traitement est la société Hervé Schauer Consultants. La finalité poursuivie par ce traitement est la constitution d un fichier d adresses de courrier électronique à des fins d envoi périodique du bulletin d actualités juridiques HSC. En application des articles 38 et suivants de la loi susmentionnée, vous disposez de droits d opposition, d accès et de rectification. Pour faire valoir ces droits, vous pouvez contacter le correspondant informatique et libertés d HSC à l adresse cil@hsc.fr.