Le 26 février 2019, le Comité Européen de la Protection des DonnéesCEPD ») publiait un premier rapport (« First overview on the implementation of the GDPR and the roles and means of the national supervisory authorities » (le « Rapport »)) sur l’application du Règlement n°2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (« RGPD »), dans lequel il dressait un bilan au 31 janvier 2019 des amendes prononcées par onze autorités de contrôle, pour un montant total de 55.955.871 euros. Bien qu’une large proportion de cette somme réside dans une seule sanction française de 50 millions d’euros, force est de constater que l’absence de publicité systématique des décisions des autorités de contrôle (quand bien même elles auraient, à l’instar de la CNIL, la qualité de « juridiction ») rend impossible un recensement exhaustif des sanctions prononcées à l’aune du RGPD. Néanmoins, dans le cadre de notre veille juridique, nous avons pu tracer directement (sites officiels des autorités de contrôle et du CEPD) ou indirectement (articles de presse, e.g. à la lecture d’un article de presse allemande interrogeant notamment un commissaire à la protection des données allemand, on apprend par exemple, qu’au moins 41 décisions auraient été rendues par les autorités allemandes alors qu’une seule sanction allemande a été relayée par le CEPD.) une soixantaine de sanctions (sur les 206.326 plaintes recensées par le CEPD dans son Rapport), prononcées par 20 des 28 États Membres de l’Union européenne, pour un montant cumulé de près de 370 millions d’euros (Les annonces d’intentions de sanctions de l’Information Commissionner Office, l’autorité de contrôle britannique (« ICO »), représentant à elles seules 85% de ce montant, restent encore à confirmer). Le présent article s’essaye à une analyse sur cette base aux fins d’esquisser un bilan et les perspectives de cette première année d’application du RGPD.

(suite…)

Entretien avec Atlantico.fr – 18 juillet 2019

Atlantico : Certaines applications qui permettent à une personne de modifier des photos prises sur son portable avec des filtres divertissants disposent de conditions générales d’utilisation particulièrement gênantes. L’une d’entre elles, FaceApp, demande par exemple l’autorisation d’utiliser l’image de l’utilisateur à n’importe quel moment. Faut-il mettre ce problème sur le dos du consommateur imprudent, ou sur celui des services numériques qui rédigent volontairement des clauses de ce type ? Les conditions générales ne sont-elles pas généralement trop complexes, trop nombreuses ou trop longues pour que l’accord de l’utilisateur ait une validité juridique ?

Claude-Etienne Armingaud : On voit ici l’un des effets pervers de la viralité des usages au travers de l’environnement numérique et, dans une certaine mesure, ce que les anglo-saxons appellent le FoMo (« Fear of Missing out ») — tout le monde le fait, et je veux en être.

(suite…)

Si l’année écoulée a été marquée par l’engouement (voire l’affolement) suscité par l’entrée en vigueur du Règlement Général sur la Protection des Données n°2016-679 du 27 avril 2016 (« RGPD »), le cadre posé par ce nouveau règlement ne couvre qu’une partie de la politique européenne pour encadrer le développement d’une confiance en ligne mise à jour. En effet, et comme son nom l’indique, le RGPD a une vocation générale, susceptible d’être complété par des dispositions spécifiques, notamment à certains secteurs. Peut-être trop optimiste, le RGPD prévoyait l’adoption concomitante d’une révision du cadre sectoriel de la protection des données applicable aux communication électroniques le 25 mai 2018. Un an après, et six présidences du Conseil de l’Union européenne après la soumission d’une première proposition de ce règlement « ePrivacy »[1], les débats entre les États membres de l’Union Européenne, et le lobbying des acteurs, privés comme publics, continuent de faire rage. 2019 sera-t-elle seulement la bonne année ?


(suite…)

Depuis plus d’un an, nous assistons à une génération spontanée de demandes d’acceptation à la mise en œuvre de traitement de données à caractère personnel (« Données Personnelles »). Trop nombreux sont ceux qui pensent encore qu’elles ne peuvent être traitées que sous réserve du consentement des personnes concernées.

(suite…)

Le 25 mai 2018 – il y a un an déjà, mais pourtant, il n’y a qu’un an seulement. Les deux années de préparation à l’entrée en vigueur du Règlement Général sur la Protection des Données n°2016-679 du 27 avril 2016 (« RGPD ») ont donné lieu à une abondance de communications sur les sanctions substantielles d’un manque de conformité, et pourtant…Force est de constater que cette préparation fut plutôt timorée. Sans doute les réminiscences d’un bug de l’an 2000 et de son « pschitt » retentissant, mais surtout l’absence de cadre réglementaire complet, ont-elles suscité une approche attentiste au regard des investissements, humains, opérationnels et financiers, conséquents d’une mise en conformité potentiellement temporaire.

Le temps de l’attente a très rapidement fait place à celui de l’action.

Action interprétative, tout d’abord, avec les publications successives de lignes directrices didactiques par le régulateur européen, les consultations ouvertes aux acteurs de la donnée à caractère personnel, et surtout, les autorités de supervisions nationales. Les premières sanctions nationales continuent de tomber dans chaque État-Membre et soulignent les disparités persistantes malgré l’ambition harmonisatrice du RGPD.

Action opérationnelle, également, avec la prise de conscience globale des responsables de traitements et, surtout des sous-traitants, à travers le monde. Si ces derniers semblent avoir opportunément saisi l’excuse du RGPD pour renégocier à leur avantage les termes de leurs contrats de services, invoquant la nécessaire mise en conformité réglementaire, face à des clients parfois peu au fait des tenants et aboutissant de ce texte, le marché dans son ensemble a rapidement gagné en maturité.

Action préventive, aussi, et parfois à l’extrême, avec la fermeture par des acteurs non-Européens des accès à des services fournis aux utilisateurs européens.

Action internationale, enfin, avec les prémices d’un effet collatéral attendu d’une réglementation européenne au périmètre extraterritorial. Le Japon a pu obtenir la première décision d’adéquation d’une législation étrangère au RGPD. La République de Corée, le Brésil, le Maroc, le Qatar, le Panama et d’autres s’activent à mettre à jour leur droit interne en raison du RGPD et de ce sésame européen qui libéraliserait les transferts de données dans une économie intrinsèquement numérique et irrémédiablement globale.

Dans le même temps, les questions continuent de s’accumuler : la portée extraterritoriale du RGPD a-t-elle une quelconque matérialité sans point d’attache pour exécuter une éventuelle sanction ? Quel partage de responsabilité entre les différents acteurs d’une même chaîne de valeur ? Les principes généraux du RGPD peuvent-ils réellement trouver à s’appliquer à des cas de marges ?

La « saga » du RGPD ne fait que commencer. Nous avons conçu ce dossier à la manière d’un feuilleton. À défaut d’être en mesure de proposer toutes les vérités absolues, nous nous sommes penchés sur les questions immuables qu’il convient de se poser.

Les Shadoks préféraient pomper d’arrache-pied, même s’il ne se passe rien, que de risquer qu’il ne se passe quelque chose de pire en ne pompant pas. Cette philosophie n’est pas sans rappeler parfois les données à caractère personnel. Pompier… bon œil ?

Première publication : Revue Lamy Droit de l’Immatériel n°160 – Juin 2019

Le Cabinet K&L Gates est classé « Excellent » avec Etienne Drouard & Claude-Etienne Armingaud.

Source : Magazine Décideurs

Si la confiance n’exclut pas le contrôle, le contrôle ne saurait non plus outrepasser certains principes essentiels aux droits des salariés et caractériser la défiance de l’employeur à l’égard de ces derniers. 

Les systèmes de géolocalisation peuvent apparaître, a priori, comme une mesure utile et nécessaire de contrôle du temps de travail, par l’employeur, de ses salariés pour vérifier le respect des dispositions légales et conventionnelles et identifier les dépassements. 

Pourtant, derrière l’intérêt certain de tels dispositifs, un régime juridique protéiforme encadre leur utilisation, comme autant de garde-fous pour la vie privée des salariés. Un arrêt de la Cour de cassation du 19 décembre 2018 (pourvoi n°17-14.631, « l’Arrêt ») , à l’encontre de la société Médiapost, filiale du Groupe La Poste, est venu préciser ces limites.

(suite…)

Voiture autonome : suit sa route
La loi d’orientation des mobilités , dont le site en ligne Contexte a publié l’avant-projet la semaine dernière, permettrait au gouvernement de légiférer, via ordonnance, en ce qui concerne les véhicules autonomes sur des sujets tels que la formation ainsi que la circulation de données entre les voitures, les infrastructures et les autorités. Le gouvernement présente la loi Pacte comme autorisant le test de véhicules autonomes avec un conducteur à l’extérieur de l’habitacle, mais c’est déjà le cas. « [Un] décret de mars 2018 le prévoyait en termes relativement vagues et peu à même de permettre aux acteurs d’anticiper les véritables risques auxquels ils pouvaient s’exposer », analyse l’avocat Claude-Etienne Armingaud.
(suite…)

While Capitol Hill is inundated with proposed privacy legislations from the Data Breach Prevention and Compensation Act (DBPCA), the CLOUD Act and the ENCRYPT Act, organizations the world over are trying to understand how to get their own regulations deemed adequate enough to ensure the flow of business in the EU, now that GDPR is a reality.
(suite…)

K&L Gates LLP conseille Ipsos dans le cadre de l’acquisition auprès de GfK de 4 divisions globales de GfK Research.

Les avocats du bureau de Paris du cabinet d’avocats K&L Gates sont intervenus en tant que conseil de Ipsos dans le cadre de l’acquisition 100% en cash des 4 divisions globales de GfK Research auprès du groupe GfK.

Relevant d’une importance stratégique pour le groupe Ipsos, cette acquisition lui permet de renforcer le cœur de son expertise et de ses activités tout en offrant des opportunités significatives pour les clients, le management ainsi que les employés de GfK concernés par cette opération.

Ainsi, plus de 1000 experts de Gfk rejoindront Ipsos à la clôture de la transaction dans 25 pays. En 2018, le chiffre d’affaires des 4 divisions globales rachetées a été estimé à plus de 200 millions d’euros, dont une majeure partie est réalisée en Europe (55%).

K&L Gates assistait Ipsos avec une équipe dirigée à Paris par Jean-Patrice Labautière (Associé, Corporate) et à Francfort par Klaus Banke (Associé, Corporate). Ils ont été assistés par Hala Nehmé et Rodolphe Amaudric Du Chaffaut (Collaborateurs, Corporate, Paris), Claude-Etienne Armingaud (Associé, IP/IT, Paris), Patricia Milch, Kerstin Hanke (Collaboratrices, Corporate, Francfort), Nils Neumann, Leonie Meissner (Collaborateurs, Droit social, Berlin), Olaf Fiss (Collaborateur, IP/IT, Berlin). Les questions relatives au contrôle des concentrations sont gérées par les associés Annette Mutschler-Siebert (Concurrence, Berlin) et Francesco Carloni (Concurrence, Bruxelles) avec le support de Marion Baumann (Concurrence, Counsel, Berlin). Les questions fiscales ont été coordonnées par Rainer Schmitt (Associé, Francfort) et Michael Kreft (Counsel, Munich). L’équipe internationale des associés de K&L Gates compte entre autres Kevin Stichter (Corporate, États-Unis), Tom Wallace (Corporate, Londres), Jeroen Smets (Corporate, Bruxelles), Simon Poh (Corporate, Shanghai) et Felipe Creazzo (Corporate, Sao Paolo). Le conseil principal de GfK ainsi que de son actionnaire KKR est Hengeler Mueller.

Source: Le Monde du Droit.