avril 2008

Flash Info 2006 Droit d’auteur : un projet de loi enrichi et clarifié Le Ministre de la culture et de la communication annonce qu’il présentera à l’Assemblée nationale, dès la reprise de la discussion du texte courant février, un projet de loi sur le droit d’auteur dans la société de l’information «considérablement enrichi et clarifié». Il proposera aux députés cinq amendements. Le premier de ces amendements viendra renforcer et consacrer l’exception pour copie privée, en permettant, en fonction du type de support, un nombre suffisant de copies à ce titre. Le second amendement limitera précisément la notion de contournement des mesures techniques de protection, afin de permettre l’interopérabilité nécessaire à la lecture des œuvres sur tout type de matériels. Le troisième instaurera un régime gradué et proportionné de sanctions, avec le souci que cette réponse graduée permette de différencier le simple téléchargement illégal de la mise à disposition massive d’œuvres protégées. Le quatrième assurera la répression de l’édition de ceux des logiciels d’échanges «pair à pair» destinés à l’échange illégal d’œuvres protégées. Enfin, le dernier amendement instaurera dans la loi, la remise d’un rapport au Parlement dès le terme de sa première année d’application. L’observatoire pour les usages numériques récemment créé, se réunira pour étudier les nouveaux modèles économiques des offres légales et leur accessibilité aux jeunes Communiqué de presse du ministère de la culture sur le projet de loi DADVSI Isabelle Pottier Avocate isabelle-pottier@lexing.law

Flash Info (janvier 2006) Le Conseil Constitutionnel valide la loi sur la lutte contre le terrorisme Le Conseil a rendu sa décision sur le projet de loi relatif à la lutte contre le terrorisme (loi Sarkozy). Sur l’ensemble des articles visés par la saisine (articles 6, 8 et 19) seuls l’article 19 (dépourvu de tout lien avec le projet de loi) et certains mots de l’article 6 ont été déclarés contraires à la Constitution. Le I de cet article institue, «afin de prévenir et de réprimer les actes de terrorisme», une procédure de réquisition administrative de données techniques de connexion. Le II de ce même article étend cette procédure aux fournisseurs d’accès et d’hébergement avec le même objectif de prévention et de répression des actes visés. Le Conseil a considéré qu ‘en indiquant que les réquisitions de données visent également à réprimer les actes de terrorisme, le législateur a méconnu le principe de la séparation des pouvoirs. Il a donc déclaré contraires à la Constitution les mots : «et de réprimer» figurant aux deuxièmes alinéas du I et du II de l’article 6 de la loi. Il a rejeté l’argumentation présentée contre l’article 8 qui permet la mise en oeuvre des radars fixes ou mobiles de contrôle automatisé des données signalétiques de véhicules, dès lors que sont conciliés le respect de la vie privée et la sauvegarde de l’ordre public. La loi est donc définitivement adoptée. Loi n°2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers Décision du Conseil constitutionnel n°2005-532 du 19 janvier 2006 (partiellement conforme) Isabelle Pottier Avocate isabelle-pottier@lexing.law

Flash Info 2006 Mise en oeuvre effective de la portabilité des numéros Dans le cadre de la portabilité des numéros, tout abonné qui change d’opérateur sans changer d’implantation géographique peut garder le même numéro (Art. L. 44 du Code des postes et des communications électroniques). Le décret du 27 janvier 2006 vient fixer les modalités de conservation du numéro rendant ainsi effectif le principe de la portabilité des numéros. La demande de conservation du numéro doit être adressée par l’abonné à l’opérateur « receveur » (opérateur auprès duquel il souscrit un nouveau contrat et vers lequel le numéro est porté). Elle vaut demande de résiliation du contrat de l’abonné auprès de l’opérateur « donneur » (opérateur à partir duquel le numéro est porté). Dans ce cadre, l’abonné donne mandat à l’opérateur receveur pour effectuer les opérations de portage de son numéro et résilier le contrat auprès de l’opérateur donneur (Art. D.406-18 CPCE). L’opérateur donneur ne peut facturer les coûts de portage à l’abonné (Art. D.406-19 CPCE). Décret n°2006-82 du 27 janvier 2006 relatif à la conservation du numéro prévue par l’article L.44 du code des postes et des communications électroniques Avis n°2005-1054 de l’Arcep du 8 décembre 2005 concernant le projet de décret Isabelle Pottier Avocate isabelle-pottier@lexing.law

Cyberterrorisme, de nouvelles obligations pour les entreprises Paru dans l’Usine nouvelle n°2992 du 12 janvier 2006. Nathalie Biltz(*) Enjeu : Une nouvelle définition du statut d’opérateur de communications électroniques. Mise en œuvre : Mettre en place un système fiable garantissant la conservation des données techniques sur une année. Prévenir le terrorisme Le dispositif légal déjà en vigueur prévoit en substance que les prestataires techniques de l’internet (fournisseur d’accès et hébergeur) doivent détenir et conserver des données permettant d’identifier leurs clients. Il est également prévu que le juge peut, dans le cadre d’une procédure judiciaire, requérir leurs communications. Le projet de loi antiterroriste élargit ce dispositif. Il prévoit, que les services spécialisés dans la lutte contre le terrorisme pourront, dans le cadre d’une enquête administrative, c’est-à-dire en dehors de toute procédure judiciaire, obtenir communication par les opérateurs (fournisseur d’accès et hébergeur) des données techniques générées par les communications électroniques de leurs clients dans le cas où ces derniers seraient susceptibles de se livrer à des activités terroristes. Les implications concrètes Ce projet de loi vise à faire en sorte que puissent être identifiés tous les abonnements dont une personne est titulaire. En outre, la connaissance des différentes données techniques telles que SIM, IMEI, adresse IP va leur permettre de connaître l’emplacement géographique d’une personne et ce, grâce au signalement de son téléphone portable auprès des antennes-relais. Pourra être connu les personnes auxquelles l’intéressé aura téléphoné ou envoyé des messages électroniques ou enfin les services internet qu’elle a consultés. Les entreprises concernées L’autre élément important de ce projet de loi est qu’il précise la notion d’opérateur de communications électroniques. Il ajoute en effet les dispositions suivantes «les personnes qui, au titre d’une activité professionnelle principale ou accessoire, offrent au public une connexion en ligne par l’intermédiaire d’un accès au réseau, y compris à titre gratuit, sont soumises au respect des dispositions applicables aux opérateurs de communications électroniques». Sont désormais soumis à ces dispositions tous les espaces publics offrant un accès à internet tels que les cybercafés ou les espaces d’accès sans fil dit «Wi-Fi». En revanche, sont clairement exclues les entreprises fournissant un accès à internet à leurs employés. La direction prise par le projet de loi diffère ainsi de celle adoptée par la Cour d’appel de Paris(1) qui avait qualifié une entreprise de «prestataire technique» (de l’internet) et l’avait soumise à l’obligation de conservation de données techniques. Une indemnisation nécessairement limitée La durée de conservation des données techniques ne fait pas l’objet de dispositions précises dans ce projet de loi. Il est prévu qu’elle sera déterminée par un décret d’application. Il est rappelé qu’une proposition de directive(2) prévoit d’harmoniser en Europe la durée de conservation des données techniques (un an pour les données de trafic relatives à la téléphonie fixe et mobile et de six mois pour internet). Le projet de loi est assez laconique sur le sujet de la compensation financière. Il prévoit le principe d’une compensation financière pour les «surcoûts identifiables et spécifiques» pour répondre aux demandes des services spécialisés dans la lutte contre le terrorisme. Les modalités de cette compensation seront, là encore, prévues par un décret d’application. Cette indemnisation sera nécessairement limitée au regard des investissements substantiels que devront faire les cybercafés et les espaces dits «Wi-Fi». Il est important de noter que cette compensation ne vise que les coûts liés aux demandes des services d’enquête. Les surcoûts liés au stockage des données techniques, n’étant pas explicitement prévues par ce projet de loi, leur prise en charge fera sûrement l’objet de débats entre les acteurs concernés. Les entreprises vont donc devoir anticiper la mise en œuvre de cette obligation légale et trouver une solution fiable et sécuritaire de conservation des données. Cela relance le débat de l’intégrité des données et celui de l’archivage électronique. Notes (1) CA Paris, 14ème ch, 4 février 2005, BNP Paribas c/ Société World Press Online. (2) Proposition de directive relative à la conservation des données du 21 septembre 2005. (*) Avocat, du Pôle Télécom et internet nathalie-biltz@lexing.law

Informatique La « tierce recette applicative » : une tendance s’inscrivant dans une démarche qualité Pourquoi externaliser la fonction de recette ? Nouveau-né issu de la tendance grandissante à l’externalisation, le recours à la Tierce Recette Applicative (TRA) consiste à faire appel à une entreprise tierce, en vue de la réalisation des tests des logiciels spécifiques réalisés en interne comme en externe, à l’aide d’une société extérieure. Habituellement pratiqués par la maîtrise d’ouvrage ou la maîtrise d’œuvre, les tests (en particulier fonctionnels), les problématiques d’interface et de sécurité sont de plus en plus souvent confiés à un homme de l’art. Cette tendance est apparue tout particulièrement dans les secteurs les plus habitués aux processus de contrôle qualité. Elle s’inscrit dans une démarche qualité qui va de paire avec une meilleure utilisation des applications informatiques par le public. L’autre raison d’externaliser cette fonction est de mieux la structurer par une normalisation des procédures de recette. L’enjeu S’assurer de la qualité de ses applications, avant leur mise en production en délégant la fonction recette à une entreprise tierce. Le contrat de tierce recette applicative Le contrat de TRA doit refléter les objectifs poursuivis, à savoir disposer de l’approche d’un spécialiste et d’une vision objective de la qualité des développements. C’est en effet la recette qui doit s’adapter aux objectifs. Les engagements du prestataire de TRA doivent être articulés autour des éléments majeurs suivants :        l’indispensable indépendance à l’égard des développeurs ;        une méthodologie éprouvée ;        des moyens techniques adéquats ;        les niveaux de service précis en relation avec les enjeux et le calendrier du projet. Assorti d’une obligation de résultat, le contrat peut aussi, au travers du taux d’anomalies apparues à l’usage après les tests, sanctionner les performances de la TRA. Un prix forfaitaire, le cas échéant, calculé à l’aide d’unité d’œuvre, permet à l’évidence d’éviter certaines dérives. Les conseils        Adapter la recette aux objectifs poursuivis par le projet ;        Normaliser les procédures de recette en faisant intervenir les tests à toutes les phases du projet. Jean-François Forgeron Avocat, Directeur le département Grands Projets. jean-francois-forgeron@lexing.law Paru dans la JTIT n°48/2006 p.2

Energie Référentiels techniques des gestionnaires de réseaux publics de transport et de distribution d’électricité Bien que dépourvus de valeur normative, les référentiels techniques sont soit impactés par la réglementation applicable, soit créés par la réglementation. Ces référentiels sont des documents d’information destinés à être publiés par les différents gestionnaires de réseaux. Ils doivent, notammen, préciser les principes généraux de gestion et d’utilisation du réseau public de transport. La constitution de tels référentiels s’impose naturellement, afin de permettre aux utilisateurs des différents réseaux publics d’électricité de disposer d’outils méthodologiques d’appréciation des règles mises en oeuvre par les gestionnaires de réseaux, tels que les règles techniques, les méthodes de calculs, les schémas, et de permettre un accès et/ou une utilisation par l’utilisateur dans des conditions objectives, transparentes et non discriminatoires. Ils sont également destinés à pallier l’impossibilité de couverture par la réglementation en vigueur de l’ensemble des domaines techniques concernés par les relations contractuelles entre gestionnaires de réseaux et utilisateurs de réseaux publics d’électricité. L’utilisateur, quel que soit son projet, doit avoir à l’esprit que la consultation de ces référentiels techniques lui permettra d’identifier les dispositions, dont il pourra se prévaloir auprès des différents gestionnaires de réseaux. Didier Gazagne Avocat, directeur du département Energies et Environnement didier-gazagne@lexing.law

Energie Editos archivés La mise en place d’un système de management environnemental (SME) en entreprise (avril 2006) Comment avoir une démarche de management environnemental dans votre entreprise ? (février 2006) Référentiels techniques des gestionnaires de réseaux publics de transports et de distribution d’électricité

Jurisprudence du mois (Février 2006) TVA communautaire et acquisition de logiciel : quelles règles ? Adapter un logiciel aux besoins spécifiques d’un acquéreur CE La Cour de Justice des Communautés Européennes (CJCE) a jugé qu’une opération par laquelle un assujetti fournit à un consommateur un logiciel standard précédemment développé et commercialisé, enregistré sur un support, ainsi que l’adaptation subséquente de ce logiciel aux besoins spécifiques de cet acquéreur, même moyennant paiement de prix distincts constitue aux fins de la TVA, une prestation unique qualifiée de «prestation de services»(1). Une société établie aux Pays-Bas et exerçant une activité d’assurance a conclu un contrat avec une société établie aux Etats-Unis aux termes duquel, la société américaine s’est engagée à fournir un programme informatique qu’elle commercialise auprès des compagnies d’assurances aux Etats-Unis. Ce contrat prévoit également une adaptation du logiciel de base aux besoins spécifiques du client (transposition du programme en langue néerlandaise et adaptation nécessaire à la réglementation des Pays-Bas), ainsi que des jours de formation du personnel du client. Chacune de ces prestations a fait l’objet d’un prix distinct. L’enjeu Localiser le lieu des opérations taxables pour l’application du taux de taxation ainsi que les dispositions relatives à l’exonération prévues par la sixième directive 77/388/CEE relative au système commun de taxe sur la valeur ajoutée. Les critères de territorialité de la TVA en matière de prestation Lorsque deux ou plusieurs actes fournis par un assujetti à un consommateur sont si étroitement liés qu’ils forment objectivement, sur un plan économique, un tout dont la dissociation revêtirait un caractère artificiel, l’ensemble de ces actes constitue une prestation unique aux fins de l’application de la TVA. Tel est le cas de : – la cession d’un logiciel standard développé et commercialisé, adapté de façon subséquente aux besoins spécifiques de l’acquéreur, même moyennant paiement de prix distinct ; – lorsqu’il apparaît que l’adaptation en cause n’est ni mineure, ni accessoire, mais qu’elle revêt, au contraire, un caractère prédominant, cette prestation unique doit être qualifiée de « prestation de services » ; – de même lorsqu’au vu d’éléments tels que son ampleur, son coût ou sa durée, cette adaptation revêt une importance décisive aux fins de permettre l’utilisation d’un logiciel sur mesure par l’acquéreur. En matière de territorialité de la TVA, une prestation telle que l’adaptation d’un logiciel informatique aux besoins spécifiques d’un consommateur relève des prestations immatérielles de l’article 259 B du Code général des impôts. La directive CE L’article 9 de la 6e directive 77/388/CEE contient les règles qui déterminent le lieu de rattachement fiscal afin d’éviter des conflits de compétence susceptibles de conduire à des doubles impositions et la non-imposition de recettes. Notes (1) CJCE, 27.10.2005, Aff. C-41/04, 1er Ch., Levob Verzekeringen BV, OV Bank NV. Pierre-Yves Fagot Avocat, Directeur du Pôle Société et Financement pierre-yves-fagot@lexing.law Paru dans la JTIT n°49/2006 p.8

Droit social Les éditos   De nouvelles règles en matière de dépôt des accords collectifs (juin 2006)     La CNIL encadre la géolocalisation des véhicules des salariés (juin 2006)     Le Phénomène du « JOBDUMPING » rapidement enrayé (mai 2006)     Le phenomène du « JOBDUMPING » débarque en France (avril 2006)     La chambre sociale redéfinit le licenciement économique (mars 2006)     Harcèlement moral : les apparences peuvent être trompeuses (janvier 2006)  

Droit social Harcèlement moral : les apparences peuvent être trompeuses Une salariée, engagée en qualité de surveillante générale dans un service de maternité a saisi le Conseil de Prud’hommes d’une demande de dommages-intérêt en réparation du harcèlement moral dont elle affirme avoir été victime de la part de son employeur.. Elle prétend avoir été contrainte de changer de bureau, dépossédée de certaines de ses attributions, chargée puis déchargée d’autres missions ou astreintes et avoir été substituée par une autre salariée qualifiée de surveillante générale dans une liste de personnel. Selon la salariée, le cumul de ces circonstances établit qu’une entreprise de déstabilisation a été menée à son encontre en violation de l’article L.122-49 du Code du travail. La Cour d’appel d’Aix en Provence et la Haute cour l’ont déboutée, répondant point par point, à chacun des arguments soulevés. Ainsi, contre toute apparence, le changement de bureau a été motivé par le souci de la direction de rapprocher la surveillante générale de ses propres bureaux, la salariée a conservé sa qualification et ses fonctions nonobstant un allègement de tâches consécutif à ses plaintes sur ses charges de travail, les astreintes, dont la rémunération ont été maintenue, ont été rétablies après une diminution d’un mois et enfin, la mention dans un document, d’une autre surveillante générale était une simple erreur matérielle. L’essentiel Selon l’article L.122-49 du Code du travail, le harcèlement moral suppose qu’aucun salarié ne doit subir des agissements répétés qui ont pour objet ou pour effet une dégradation des conditions de travail susceptible de porter atteinte à ses droits et à sa dignité, d’altérer sa santé physique ou mentale ou de compromettre son avenir professionnel. Cass. soc. 23/11/2005, n°04-46.152. Pierre-Yves FAGOT Avocat, directeur du pôle Société et Financement pierre-yves-fagot@lexing.law Céline ATTAL-MAMOU Juriste, collaboratrice du département de Droit social celine-attal-mamou@lexing.law Paru dans la JTIT n°48/2006 p.6

Flash Info (février 2006) Echanges électroniques avec l’administration : les téléservices sont en marche La direction générale de la modernisation de l’Etat met en oeuvre un traitement automatisé de données à caractère personnel dénommé « téléservice de demande d’actes d’état civil » dans lequel seront identifiés les usagers qui effectuent par internet, des demandes d’actes de naissance auprès des mairies dépositaires des registres d’état civil référencées par le téléservice. Ce traitement s’inscrit dans le cadre de la généralisation des échanges électroniques entre les usagers et l’administration. Destiné à faciliter leurs démarches, ce téléservice de demande d’actes est néanmoins facultatif. Pour éviter les collectes excessives de données, l’usager n’a pas à justifier sa demande, le motif étant une mention facultative du formulaire électronique. Les informations enregistrées (tant celles relatives à l’acte lui-même, qu’à l’usager et à l’agent habilité à traiter les demandes) sont conservées pendant une durée maximale d’un mois, au-delà de laquelle elles sont détruites sans délai. Enfin, les traitements mis en oeuvre par les communes pour assurer la réception et l’intégration des informations transmises par le téléservice sont déclarés auprès de la Commission nationale de l’informatique et des libertés (CNIL) par un simple engagement de conformité à l’arrêté du 6 février 2006. Arrêté du 6 février 2006 portant création par la direction générale de la modernisation de l’Etat d’un traitement automatisé de données à caractère personnel dénommé «télé-service de demande d’actes d’état civil» Délibération n°2005-183 de la Cnil du 5 juillet 2005 portant avis sur le projet d’arrêté du Premier ministre créant un traitement de données à caractère personnel mettant en place le télé-service «demande d’acte de naissance» Isabelle Pottier Avocate isabelle-pottier@lexing.law

LOI DU MOIS BIOMETRIE Le décret n° 2005-1726 relatif au passeport électronique et paru le 30 décembre 2005. Il permet la mise en place en France de passeports électroniques biométriques contenant d’une part les données habituelles contenues par les passeports et d’autre part l’image numérisée de leur titulaire. Ce nouveau passeport biométrique a pour finalité de faciliter l’authentification de son détenteur, de lutter contre la fraude documentaire et de simplifier la vie quotidienne des administrés, ce passeport permettant à toute personne de justifier de son identité. Une puce sans contact sera intégrée au nouveau passeport comportant l’ensemble des données habituelles des passeports (nom de famille, prénoms, couleur des yeux, taille, nationalité, domicile, date de délivrance, numéro de passeport etc.) ainsi que l’image numérisée de son titulaire. Sa durée de validité sera de dix ans et de cinq ans pour les mineurs

Loi du mois Informatique & libertés Levée de l’interdiction des transferts pour deux normes simplifiées Deux délibérations modifiant respectivement la norme simplifiée n°46 sur la gestion du personnel et la norme simplifiée n°48 sur la gestion de la clientèle ont été adoptées par la Cnil (1). Les principales modifications résident dans la levée de l’interdiction des transferts de données vers des pays non-membres de l’Union européenne n’accordant pas une protection suffisante pour des transferts. Les traitements qui ne pouvaient relever de ces normes du fait de tels transferts, pourront désormais en bénéficier, sans autorisation. (1) La délibération n°2005-276 modifiant la norme simplifiée sur la gestion de la clientèle (NS 48) et la délibération n°2005-277 modifiant la norme simplifiée sur la gestion du personnel (NS 46) du 17.11.2005, JO du 20/12/2005. Paru dans la JTIT n°48/2006 p.9

Informatique et libertés Edito La CNIL vient de publier son nouveau rapport annuel Parmi les grands thèmes abordés par la Cnil au cours de l’année 2005, on trouve notamment la biométrie, la géolocalisation, la vidéosurveillance, la lutte contre le terrorisme, l’administration électronique, les alertes professionnelles, la mesure de la diversité des origines ainsi que le peer to peer. Il a été souligné l’importance d’augmenter les effectifs de la Cnil afin de lui permettre d’accomplir ses nouvelles missions. Les priorités de la Cnil au courant de l’année 2005 ont été de faire connaître les droits des personnes concernées sur leurs données à caractère personnel. Le rapport annuel met en exergue l’impact de l’application de la nouvelle loi Informatique et libertés, tout d’abord, en ce qui concerne son décret d’application permettant aux entreprises la désignation d’un Cil. La loi Informatique et libertés a également permis à la Cnil d’adopter des mesures de simplification déclaratives. Des normes d’autorisation unique ont également été prises permettant aux entreprises d’effectuer un simple engagement de conformité à ces normes. La loi Informatique et libertés a permis ainsi la mise en place de contrôles, les secteurs contrôlés étant majoritairement ceux de la grande distribution, le marketing direct, la biométrie, la vidéosurveillance ou encore le courtage d’assurance sur internet. La loi du 6 août 2004, qui permet à la Cnil de prononcer des sanctions pécuniaires a conduit à la modification du règlement intérieur pour assurer le respect des droits de la défense. La Cnil a précisé également les temps forts de l’année 2005. Il s’agit principalement de la lutte contre le terrorisme. Le deuxième temps fort de la Cnil a concerné les échanges de fichiers sur internet. La Cnil a en effet la possibilité de permettre à certains organismes de mettre en œuvre des traitements afin de rechercher et constater les infractions au droit d’auteur. La Cnil s’est vue soumettre cinq demandes d’autorisation dont quatre ont été refusées. Elle a essayé dans le cadre de son analyse de mettre en place un juste équilibre entre la propriété intellectuelle et le respect de la vie privée. Le troisième temps fort de la Cnil a été la mise en place d’un encadrement du dispositif d’alerte professionnelle. La Cnil avait tout d’abord refusé d’autoriser des dispositifs d’alerte professionnelle car elle estimait que cela donnait lieu à un système généralisé de délation professionnelle. Pour concilier le respect des libertés individuelles avec les réglementations applicables telles que la loi Sarbanes Oxley, elle a finalement adopté un document d’orientation qui a débouché sur une norme d’autorisation unique permettant aux entreprises dès lors que les dispositifs sont conformes à cette autorisation d’effectuer un simple engagement de conformité. Le quatrième temps fort de l’année 2005 a consisté en la mise en place de mesures sur le crédit scoring. C’est ainsi que le crédit scoring soumis à autorisation car susceptible d’exclure des personnes du bénéfice d’un droit a bénéficié d’une norme d’autorisation unique en février 2006. Le cinquième et dernier temps fort a consisté en la lutte contre les discriminations dans le secteur de l’emploi. La Cnil apporte par ailleurs des précisions sur ses avancées en matière d’identité électronique, de surveillance des salariés, de spam, de vote électronique, de partage des données médicales personnelles, d’annuaires et services de renseignements universels, de données des passagers aériens, de diffusion et de réutilisation des données publiques. Dans la perspective d’une mise en conformité avec les exigences Informatique et libertés, la Cnil précise par ailleurs ses réflexions en cours qui concernent notamment l’identité électronique, la géolocalisation des véhicules des salariés, une définition européenne de la notion de données à caractère personnel ou encore la généalogie et la protection des données à caractère personnel. La Cnil précise par ailleurs les sujets au programme de l’année 2006. Ils sont relatifs à l’Europe de la sécurité, à l’ère numérique (espace de travail, blog), à la violence dans les stade, à la prospection politique, aux casiers judiciaires parallèles, aux labels de procédure et de produit pour la protection des données, aux principaux décrets d’application devant être soumis pour avis la Cnil en 2006, tels que le décret sur la lutte contre le terrorisme ou le traitement sur la récidive des infractions pénales. Enfin, la Cnil précise dans son rapport annuel les propositions et recommandations au gouvernement et au parlement portant sur les fichiers de police judiciaire pour mieux encadrer leur utilisation, l’accès aux données de santé par les organismes d’assurance maladie complémentaire, la nécessité de définir un cadre pour mesurer la diversité des origines ou encore la nécessité de rédiger un texte légal pour encadrer les fichiers centraux de crédit ou les fichiers positifs. 26ème rapport d’activité 2005 de la Commission nationale de l’informatique et des libertés Chloé Torres Directeur du département Informatique & libertés chloe-torres@lexing.law

Informatique et libertés Jurisprudence du mois Les blogs sont dispensés de déclaration à la Cnil mais restent soumis à l’application de la loi Le développement considérable des blogs et les risques présentés par ce nouvel outil de communication en termes de protection des données à caractère personnel a conduit la Commission nationale de l’informatique et des libertés à mener une réflexion approfondie sur ce sujet. Ainsi, dans une recommandation du 22 novembre 2005 publiée le 30 janvier 2006, la Cnil a précisé que les blogs sont dispensés de déclaration à la Cnil mais restent soumis à l’application de la loi. Les règles applicables aux blogs et, dans le même temps, a décidé de les dispenser de déclaration à la Cnil. Parallèlement à cette dispense de déclaration, la Cnil a lourdement insisté sur le fait que les règles de la loi de 1978 s’appliquent aux blogs diffusant ou collectant des données à caractère personnel. Ainsi, la diffusion sur les blogs d’informations personnelles n’est possible qu’avec le consentement préalable de la personne concernée, qui pourra ultérieurement s’opposer à toute diffusion d’information la concernant. De la même manière, la Cnil attire l’attention sur le fait que les données dites sensibles ( comme par exemple sur les orientations sexuelles, la religion ou la santé ) ne peuvent être diffusées sur les blogs. La Cnil recommande aux auteurs de blogs diffusant des photographies de personnes de restreindre l’accès à ces images à leur seul entourage, compte tenu des risques de captation d’image. Enfin, la Cnil rappelle que la diffusion d’images de mineurs ne peut s’effectuer qu’avec leur accord et l’autorisation express de leurs parents ou représentant. Concernant la collecte de données à caractère personnel qui peut être réalisée au moyen d’un blog, la Cnil considère que les droits des personnes sur leurs données doivent être respectées par les responsables de blog procédant à de telle collecte. En conséquence, les auteurs de blogs n’ont pas à déclarer leurs sites à la Cnil et leur responsabilité ne pourra être engagée du fait de cette non-déclaration. Cependant, les auteurs de blogs devront être particulièrement vigilants quant au respect de la législation Informatique et libertés dans l’utilisation de leur blog. En effet, la Cnil ayant dispensé les blogs de déclaration, il est très probable qu’elle exerce un contrôle a posteriori particulièrement approfondi sur les blogs. Recommandation CNIL du 22 novembre 2005

Informatique et libertés Loi du mois Informatique & libertés La Cnil commente la loi « antiterrorisme » La Commission nationale Informatique et libertés publie un échos des séances le 16 février 2006 dans lequel elle revient sur la loi du 23 janvier 2006 relative à la lutte contre le terrorisme. La Cnil constate que certaines de ses propositions ont été prises en compte lors de l’adoption de cette loi mais que d’autres sont restées lettre morte. La loi « antiterroriste » prévoit ainsi la mise en place de nouveaux traitements de données à caractère personnel permettant la vidéosurveillance et la transmission aux services de police de données sur les passagers se rendant dans des pays situés hors de l’Union européenne ou en provenance de ces pays. Elle prévoit également la lecture des plaques minéralogiques et la photographie des occupants des véhicules, l’accès aux données de connexion internet et téléphonie conservées par les opérateurs de communications électroniques et les cybercafé et la consultation par les services antiterroristes de fichiers administratifs détenus par le Ministère de l’intérieur. Sur recommandation de la Cnil, la loi a été amendée et précise les services de police et de gendarmerie qui pourront accéder aux données collectées. Elle limite également dans le temps certains dispositifs de surveillance et prévoit l’élaboration d’un rapport d’évaluation annuel au Parlement. Cependant la Cnil avait exprimé des réserves, non suivies d’effe,t relatives à la prise systématique de photographies des occupants de l’ensemble des véhicules empruntant certains axes de circulation, à la multiplicité des finalités attachées au dispositif de lutte contre le terrorisme et à la constitution d’un fichier central de contrôle des déplacements en provenance ou à destination d’états hors de l’Union européenne La Cnil devrait être de nouveau saisie pour avis lors de l’élaboration des textes d’applications de la loi « antiterrorisme ». Elle devrait donc avoir l’occasion de repréciser les finalités que devrait avoir chacun des traitements de donnés, la nature des données traitées, leurs durées de connexion et la sécurité qui y est attachée. Loi n°2006-64 du 23 janvier 2006

Flash Info Le projet de loi DADVSI fixe les modalités d’exercice de la copie privée La commission des Lois de l’Assemblée nationale a adopté mercredi 1er mars 2006 des amendements du gouvernement ou du rapporteur UMP modifiant le projet de loi controversé sur les droits d’auteur. La plus grande partie de ces amendements porte sur les modalités d’exercice de la copie privée. Il est notamment prévu qu’il revient à un collège des médiateurs « chargé de réguler les mesures techniques de protection« , de fixer les modalités d’exercice de la copie privée -dont le nombre de copies-, ce qui lui confère un pouvoir élargi. Ce mode de régulation souple doit également permettre de prendre en compte les différents types de contenus, les différents modes d’exploitation et les techniques de protection disponibles. Dans ce cadre, la spécificité du DVD devra être prise en compte. La discussion qui doit reprendre mardi 7 mars à l’Assemblée nationale tiendra probablement compte du dernier arrêt de la Cour de cassation rendu le 28 février 2006 légalisant les protections anticopie installées sur les DVD (ci-après développé dans la jurisprudence du mois). Dossier législatif sur le projet de loi DADVSI Compte-rendu de la commission des Lois de l’Assemblée nationale Liste des amendements au projet de loi DADVSI Isabelle Pottier Avocate isabelle-pottier@lexing.law

Biométrie Les éditos archivés La CNIL adopte trois autorisations uniques relatives aux techniques biométriques (juin 2006) 26ème Rapport d’activité 2005 : La CNIL fait la synthèse de ses décisions en matière de biométrie (mai 2006) Mise en place en France de passeports électroniques biométriques (mars 2006)

Pénal numérique Les éditos archivés Zoom sur le phishing (mars 2006)

Pénal numérique Zoom sur le phishing Le 27 mai 2005, des milliers d’internautes ont reçu un e-mail semblant émaner de quatre grandes banques françaises les invitant, sous prétexte d’une mise à jour, à se connecter sur un faux site bancaire et à communiquer leurs données confidentielles (code d’accès, numéro de compte), dans le but ultime de vider leur compte grâce aux informations ainsi obtenues. Cette escroquerie électronique à grande échelle, bien connue des anglo-saxons, est communément désignée sous le nom de «phishing» ou «hameçonnage», dérivé des termes anglais fishing («pêche») et phreaking («piratage de ligne téléphonique»). La France apparaît de plus en plus touché par ce phénomène qui touche, outre-Atlantique, près de 30% des internautes selon une étude du Cabinet Gartner. L’occasion de rappeler que le phishing a été condamné pour la première fois en France, le 2 septembre 2004, par le Tribunal de grande instance de Paris sur le fondement de tentative d’escroquerie, et d’atteinte à un système de traitement automatisé de données. De tels agissement peuvent recevoir d’autres qualifications comme par exemple celle de contrefaçon, ou de collecte déloyale de données nominatives. Virginie Prat Avocate, Directeur du Département Pénal Numérique virginie-prat@lexing.law