Suite à la décision du Conseil d’État du 19 juin 2020 (voir notre alerte en anglais ici), la Commission nationale de l’informatique et des libertés (la « CNIL »), a publié le 1^er octobre 2020 ses lignes directrices (les «Lignes Directrices »), abrogeant et remplaçant ses précédentes lignes directrices publiées le 4 juillet 2019 (les « Lignes Directrices 2019 ») et a adopté parallèlement ses recommandations proposant des modalités pratiques (« les Recommandations ») sur les cookies et autres traceurs (ensemble les « Cookies »).

Lire la suite sur Le Monde du Droit, avec Lucile Rolinet & Laure Comparet.

Retour sur l’ordonnance de référé du Tribunal de grande instance de Paris du 2 août 2019 rendue dans le contentieux ayant opposé la société Mile High Distribution à la société Orange S.A. Que faut-il en retenir ?

TGI Paris, réf., 2 août 2019

Si, et notamment depuis la publication du Règlement Général sur la Protection des Données nº 2016/679 (« RGPD »), la vie privée occupe toujours une place prépondérante, le considérant 4 du RGPD relativise la portée de ce texte : « le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité ». Ainsi, la protection des données personnelles continue-elle d’être mesurée à ces autres droits fondamentaux, et notamment la liberté d’expression et la liberté d’entreprise.

Par une ordonnance du 2 août 2019 (« l’Ordonnance »), le Tribunal de grande instance (« TGI ») de Paris a dû mettre en balance cette même protection des données à caractère personnel avec la lutte contre la contrefaçon et, en particulier, dans le cadre de données relatives à des infractions et leur transfert en dehors de l’Union européenne (« UE »). Finalement, le Tribunal a tranché en faveur de la vie privée des pirates, au détriment des auteurs et de leurs ayants droit.

Le feuilleton de l’été de la Revue Lamy Droit de l’Immatériel s’apprête à tirer sa révérence après les contributions de ce numéro aoûtien. Après avoir exploré le consentement sous ses différentes facettes¹⁾Voir Armingaud C.-E., Ligot A., « Consentement : Le Faux-Amis des Bases Légales ? » et « Profilage, décisions individuelles automatisées et … Continue reading , les obligations de transparence et leurs interpolations avec le futur règlement ePrivacy²⁾Voir Armingaud C.-E., Selosse V, « En attendant ePrivacy – Les données personnelles sont une tragicomédie en deux actes » et « … Continue reading , nous concluons ce dossier spécial sur des notes prospectives et pourtant, ô combien cruciales pour l’ensemble des personnes affectées par le Règlement Général sur la Protection des Données – qu’elles soient « personnes concernées » ou « responsables du traitement » : les sanctions prononcées à l’aune du RGPD et le revers de cette pièce, la portée géographique du RGPD.

Conclure sur ces points était un choix délibéré. En effet, depuis l’entrée en vigueur du RGPD, les chroniques ne cessent d’être défrayées – les investigations des autorités de contrôle, nationales comme européenne, se succèdent, et nous souhaitions pouvoir offrir un panorama le plus complet possible. Si cette analyse ne manquera pas de devenir rapidement obsolète, elle permet d’ores et déjà de dresser des tendances globales sur la priorisation des risques après quatre trimestres d’application et servir de matrice aux mises à jour qui lui succèderont. De même, si le périmètre d’application géographique du RGPD constitue un point d’inquiétude majeur des acteurs extra-européens, menant souvent à des réactions paranoïaques de ségrégation de marché et de rupture d’accès pour les utilisateurs européens, à l’heure où nous mettons sous presse ce numéro, des lignes directrices modifiées et définitives sur ce sujet sont toujours attendues. Cela souligne à quel point les institutions européennes elles-mêmes ont pu sous-estimer la tâche qui leur incombait.

En quelques mois, la RGPD aura tout de même réussi son plus ambitieux pari : faire de la protection des données à caractère personnel un enjeu mondial de société. Si le Japon a déjà obtenu le précieux sésame d’une reconnaissance d’adéquation de son système interne au RGPD³⁾ Voir la communication de la Commission Européenne du 23 janvier 2019, nombreux sont ceux qui suivent ses traces⁴⁾Notamment la Corée du Sud et, début septembre, l’Inde alors que d’autres s’empressent d’adopter un cadre national⁵⁾Notamment le Brésil et le Panama au total, le nombre de lois de protection des données dans le monde est passé de 120 à 132 entre 2016 et 2018 et … Continue reading. Même aux États-Unis, l’entrée en vigueur du CCPA⁶⁾Le California Consumer Privacy Act of 2018 qui entrera en vigueur le 1er janvier 2020. ouvre aujourd’hui un débat à l’échelle fédérale.

Seule certitude pérenne, en tout État de cause : le RGPD est là, bien là, et continuera d’alimenter les colonnes de la RLDI pour les années à venir…

En espérant que ce dossier spécial, à défaut de certitudes, aura su vous apporter les outils nécessaires à la mise en conformité, toute l’équipe du cabinet K&L Gates vous souhaite une belle rentrée !

Première publication : Revue Lamy Droit de l’Immatériel, 163, 01-10-2019, avec l’aimable autorisation de Lionel Costes

Quels sont les principaux apports des lignes directrices sur la transparence du 29 novembre 2017 révisées le 11 avril 2018 ?

La transparence, plus qu’une simple obligation légale¹⁾Article 5.2 du RGPD et, de plus en plus morale pour les entreprises, matérialise la pierre angulaire du RGPD²⁾Règlement Général sur la Protection des Données nº 2016-679 du 27 avril 2016 (« RGPD »).. Elle est, intrinsèquement, liée tant à l’équité d’un traitement de données personnelles qu’au nouveau principe dit d’« accountability »³⁾A cet égard, si la traduction officielle fait usage de « principe de responsabilité », et que la CNIL utilise le terme anglais, nous estimons que … Continue reading. Du point de vue de la personne concernée, la transparence permet de susciter sa confiance, par la fourniture des éléments de réponses aux grandes questions relatives aux traitements considérés : par qui, pour quoi et comment ses données seront utilisées. Et lorsque qu’il est requis, le consentement verra sa validité conditionnée à cette transparence, faute de quoi il ne saurait être « éclairé »⁴⁾Sur ce point, voir Consentement : Le Faux-Amis des Bases Légales ?, Armingaud C.-E., Ligot A., Revue Lamy Droit de l’Immatériel nº 160 … Continue reading.

Compte tenu de l’importance du sujet, le CEPD a adopté des lignes directrices sur ce sujet le 29 novembre 2017⁵⁾Lignes directrices sur la transparence au sens du règlement (UE) 2016/679 WP260 rev.01 (« Lignes Directrices » – par souci … Continue reading, révisées le 11 avril 2018. Ces lignes directrices visent à détailler et décliner de manière didactique l’obligation de transparence à la pratique des entreprises, et orienter l’approche que les responsables de traitement devraient adopter, en intégrant à leurs mesures de transparence les notions d’équité et de responsabilité.