2008

LOI DU MOIS BIOMETRIE Le décret n° 2005-1726 relatif au passeport électronique et paru le 30 décembre 2005. Il permet la mise en place en France de passeports électroniques biométriques contenant d’une part les données habituelles contenues par les passeports et d’autre part l’image numérisée de leur titulaire. Ce nouveau passeport biométrique a pour finalité de faciliter l’authentification de son détenteur, de lutter contre la fraude documentaire et de simplifier la vie quotidienne des administrés, ce passeport permettant à toute personne de justifier de son identité. Une puce sans contact sera intégrée au nouveau passeport comportant l’ensemble des données habituelles des passeports (nom de famille, prénoms, couleur des yeux, taille, nationalité, domicile, date de délivrance, numéro de passeport etc.) ainsi que l’image numérisée de son titulaire. Sa durée de validité sera de dix ans et de cinq ans pour les mineurs

Loi du mois Informatique & libertés Levée de l’interdiction des transferts pour deux normes simplifiées Deux délibérations modifiant respectivement la norme simplifiée n°46 sur la gestion du personnel et la norme simplifiée n°48 sur la gestion de la clientèle ont été adoptées par la Cnil (1). Les principales modifications résident dans la levée de l’interdiction des transferts de données vers des pays non-membres de l’Union européenne n’accordant pas une protection suffisante pour des transferts. Les traitements qui ne pouvaient relever de ces normes du fait de tels transferts, pourront désormais en bénéficier, sans autorisation. (1) La délibération n°2005-276 modifiant la norme simplifiée sur la gestion de la clientèle (NS 48) et la délibération n°2005-277 modifiant la norme simplifiée sur la gestion du personnel (NS 46) du 17.11.2005, JO du 20/12/2005. Paru dans la JTIT n°48/2006 p.9

Informatique et libertés Edito La CNIL vient de publier son nouveau rapport annuel Parmi les grands thèmes abordés par la Cnil au cours de l’année 2005, on trouve notamment la biométrie, la géolocalisation, la vidéosurveillance, la lutte contre le terrorisme, l’administration électronique, les alertes professionnelles, la mesure de la diversité des origines ainsi que le peer to peer. Il a été souligné l’importance d’augmenter les effectifs de la Cnil afin de lui permettre d’accomplir ses nouvelles missions. Les priorités de la Cnil au courant de l’année 2005 ont été de faire connaître les droits des personnes concernées sur leurs données à caractère personnel. Le rapport annuel met en exergue l’impact de l’application de la nouvelle loi Informatique et libertés, tout d’abord, en ce qui concerne son décret d’application permettant aux entreprises la désignation d’un Cil. La loi Informatique et libertés a également permis à la Cnil d’adopter des mesures de simplification déclaratives. Des normes d’autorisation unique ont également été prises permettant aux entreprises d’effectuer un simple engagement de conformité à ces normes. La loi Informatique et libertés a permis ainsi la mise en place de contrôles, les secteurs contrôlés étant majoritairement ceux de la grande distribution, le marketing direct, la biométrie, la vidéosurveillance ou encore le courtage d’assurance sur internet. La loi du 6 août 2004, qui permet à la Cnil de prononcer des sanctions pécuniaires a conduit à la modification du règlement intérieur pour assurer le respect des droits de la défense. La Cnil a précisé également les temps forts de l’année 2005. Il s’agit principalement de la lutte contre le terrorisme. Le deuxième temps fort de la Cnil a concerné les échanges de fichiers sur internet. La Cnil a en effet la possibilité de permettre à certains organismes de mettre en œuvre des traitements afin de rechercher et constater les infractions au droit d’auteur. La Cnil s’est vue soumettre cinq demandes d’autorisation dont quatre ont été refusées. Elle a essayé dans le cadre de son analyse de mettre en place un juste équilibre entre la propriété intellectuelle et le respect de la vie privée. Le troisième temps fort de la Cnil a été la mise en place d’un encadrement du dispositif d’alerte professionnelle. La Cnil avait tout d’abord refusé d’autoriser des dispositifs d’alerte professionnelle car elle estimait que cela donnait lieu à un système généralisé de délation professionnelle. Pour concilier le respect des libertés individuelles avec les réglementations applicables telles que la loi Sarbanes Oxley, elle a finalement adopté un document d’orientation qui a débouché sur une norme d’autorisation unique permettant aux entreprises dès lors que les dispositifs sont conformes à cette autorisation d’effectuer un simple engagement de conformité. Le quatrième temps fort de l’année 2005 a consisté en la mise en place de mesures sur le crédit scoring. C’est ainsi que le crédit scoring soumis à autorisation car susceptible d’exclure des personnes du bénéfice d’un droit a bénéficié d’une norme d’autorisation unique en février 2006. Le cinquième et dernier temps fort a consisté en la lutte contre les discriminations dans le secteur de l’emploi. La Cnil apporte par ailleurs des précisions sur ses avancées en matière d’identité électronique, de surveillance des salariés, de spam, de vote électronique, de partage des données médicales personnelles, d’annuaires et services de renseignements universels, de données des passagers aériens, de diffusion et de réutilisation des données publiques. Dans la perspective d’une mise en conformité avec les exigences Informatique et libertés, la Cnil précise par ailleurs ses réflexions en cours qui concernent notamment l’identité électronique, la géolocalisation des véhicules des salariés, une définition européenne de la notion de données à caractère personnel ou encore la généalogie et la protection des données à caractère personnel. La Cnil précise par ailleurs les sujets au programme de l’année 2006. Ils sont relatifs à l’Europe de la sécurité, à l’ère numérique (espace de travail, blog), à la violence dans les stade, à la prospection politique, aux casiers judiciaires parallèles, aux labels de procédure et de produit pour la protection des données, aux principaux décrets d’application devant être soumis pour avis la Cnil en 2006, tels que le décret sur la lutte contre le terrorisme ou le traitement sur la récidive des infractions pénales. Enfin, la Cnil précise dans son rapport annuel les propositions et recommandations au gouvernement et au parlement portant sur les fichiers de police judiciaire pour mieux encadrer leur utilisation, l’accès aux données de santé par les organismes d’assurance maladie complémentaire, la nécessité de définir un cadre pour mesurer la diversité des origines ou encore la nécessité de rédiger un texte légal pour encadrer les fichiers centraux de crédit ou les fichiers positifs. 26ème rapport d’activité 2005 de la Commission nationale de l’informatique et des libertés Chloé Torres Directeur du département Informatique & libertés chloe-torres@lexing.law

Informatique et libertés Jurisprudence du mois Les blogs sont dispensés de déclaration à la Cnil mais restent soumis à l’application de la loi Le développement considérable des blogs et les risques présentés par ce nouvel outil de communication en termes de protection des données à caractère personnel a conduit la Commission nationale de l’informatique et des libertés à mener une réflexion approfondie sur ce sujet. Ainsi, dans une recommandation du 22 novembre 2005 publiée le 30 janvier 2006, la Cnil a précisé que les blogs sont dispensés de déclaration à la Cnil mais restent soumis à l’application de la loi. Les règles applicables aux blogs et, dans le même temps, a décidé de les dispenser de déclaration à la Cnil. Parallèlement à cette dispense de déclaration, la Cnil a lourdement insisté sur le fait que les règles de la loi de 1978 s’appliquent aux blogs diffusant ou collectant des données à caractère personnel. Ainsi, la diffusion sur les blogs d’informations personnelles n’est possible qu’avec le consentement préalable de la personne concernée, qui pourra ultérieurement s’opposer à toute diffusion d’information la concernant. De la même manière, la Cnil attire l’attention sur le fait que les données dites sensibles ( comme par exemple sur les orientations sexuelles, la religion ou la santé ) ne peuvent être diffusées sur les blogs. La Cnil recommande aux auteurs de blogs diffusant des photographies de personnes de restreindre l’accès à ces images à leur seul entourage, compte tenu des risques de captation d’image. Enfin, la Cnil rappelle que la diffusion d’images de mineurs ne peut s’effectuer qu’avec leur accord et l’autorisation express de leurs parents ou représentant. Concernant la collecte de données à caractère personnel qui peut être réalisée au moyen d’un blog, la Cnil considère que les droits des personnes sur leurs données doivent être respectées par les responsables de blog procédant à de telle collecte. En conséquence, les auteurs de blogs n’ont pas à déclarer leurs sites à la Cnil et leur responsabilité ne pourra être engagée du fait de cette non-déclaration. Cependant, les auteurs de blogs devront être particulièrement vigilants quant au respect de la législation Informatique et libertés dans l’utilisation de leur blog. En effet, la Cnil ayant dispensé les blogs de déclaration, il est très probable qu’elle exerce un contrôle a posteriori particulièrement approfondi sur les blogs. Recommandation CNIL du 22 novembre 2005

Informatique et libertés Loi du mois Informatique & libertés La Cnil commente la loi « antiterrorisme » La Commission nationale Informatique et libertés publie un échos des séances le 16 février 2006 dans lequel elle revient sur la loi du 23 janvier 2006 relative à la lutte contre le terrorisme. La Cnil constate que certaines de ses propositions ont été prises en compte lors de l’adoption de cette loi mais que d’autres sont restées lettre morte. La loi « antiterroriste » prévoit ainsi la mise en place de nouveaux traitements de données à caractère personnel permettant la vidéosurveillance et la transmission aux services de police de données sur les passagers se rendant dans des pays situés hors de l’Union européenne ou en provenance de ces pays. Elle prévoit également la lecture des plaques minéralogiques et la photographie des occupants des véhicules, l’accès aux données de connexion internet et téléphonie conservées par les opérateurs de communications électroniques et les cybercafé et la consultation par les services antiterroristes de fichiers administratifs détenus par le Ministère de l’intérieur. Sur recommandation de la Cnil, la loi a été amendée et précise les services de police et de gendarmerie qui pourront accéder aux données collectées. Elle limite également dans le temps certains dispositifs de surveillance et prévoit l’élaboration d’un rapport d’évaluation annuel au Parlement. Cependant la Cnil avait exprimé des réserves, non suivies d’effe,t relatives à la prise systématique de photographies des occupants de l’ensemble des véhicules empruntant certains axes de circulation, à la multiplicité des finalités attachées au dispositif de lutte contre le terrorisme et à la constitution d’un fichier central de contrôle des déplacements en provenance ou à destination d’états hors de l’Union européenne La Cnil devrait être de nouveau saisie pour avis lors de l’élaboration des textes d’applications de la loi « antiterrorisme ». Elle devrait donc avoir l’occasion de repréciser les finalités que devrait avoir chacun des traitements de donnés, la nature des données traitées, leurs durées de connexion et la sécurité qui y est attachée. Loi n°2006-64 du 23 janvier 2006

Flash Info Le projet de loi DADVSI fixe les modalités d’exercice de la copie privée La commission des Lois de l’Assemblée nationale a adopté mercredi 1er mars 2006 des amendements du gouvernement ou du rapporteur UMP modifiant le projet de loi controversé sur les droits d’auteur. La plus grande partie de ces amendements porte sur les modalités d’exercice de la copie privée. Il est notamment prévu qu’il revient à un collège des médiateurs « chargé de réguler les mesures techniques de protection« , de fixer les modalités d’exercice de la copie privée -dont le nombre de copies-, ce qui lui confère un pouvoir élargi. Ce mode de régulation souple doit également permettre de prendre en compte les différents types de contenus, les différents modes d’exploitation et les techniques de protection disponibles. Dans ce cadre, la spécificité du DVD devra être prise en compte. La discussion qui doit reprendre mardi 7 mars à l’Assemblée nationale tiendra probablement compte du dernier arrêt de la Cour de cassation rendu le 28 février 2006 légalisant les protections anticopie installées sur les DVD (ci-après développé dans la jurisprudence du mois). Dossier législatif sur le projet de loi DADVSI Compte-rendu de la commission des Lois de l’Assemblée nationale Liste des amendements au projet de loi DADVSI Isabelle Pottier Avocate isabelle-pottier@lexing.law

Biométrie Les éditos archivés La CNIL adopte trois autorisations uniques relatives aux techniques biométriques (juin 2006) 26ème Rapport d’activité 2005 : La CNIL fait la synthèse de ses décisions en matière de biométrie (mai 2006) Mise en place en France de passeports électroniques biométriques (mars 2006)

Pénal numérique Les éditos archivés Zoom sur le phishing (mars 2006)

Pénal numérique Zoom sur le phishing Le 27 mai 2005, des milliers d’internautes ont reçu un e-mail semblant émaner de quatre grandes banques françaises les invitant, sous prétexte d’une mise à jour, à se connecter sur un faux site bancaire et à communiquer leurs données confidentielles (code d’accès, numéro de compte), dans le but ultime de vider leur compte grâce aux informations ainsi obtenues. Cette escroquerie électronique à grande échelle, bien connue des anglo-saxons, est communément désignée sous le nom de «phishing» ou «hameçonnage», dérivé des termes anglais fishing («pêche») et phreaking («piratage de ligne téléphonique»). La France apparaît de plus en plus touché par ce phénomène qui touche, outre-Atlantique, près de 30% des internautes selon une étude du Cabinet Gartner. L’occasion de rappeler que le phishing a été condamné pour la première fois en France, le 2 septembre 2004, par le Tribunal de grande instance de Paris sur le fondement de tentative d’escroquerie, et d’atteinte à un système de traitement automatisé de données. De tels agissement peuvent recevoir d’autres qualifications comme par exemple celle de contrefaçon, ou de collecte déloyale de données nominatives. Virginie Prat Avocate, Directeur du Département Pénal Numérique virginie-prat@lexing.law

Ressources humaines La chambre sociale redéfinit le licenciement économique. La chambre sociale de la Cour de Cassation vient de juger, dans deux arrêts du 11 janvier 2006, qu’un licenciement économique consécutif à une réorganisation était légitime dès lors que la réorganisation avait été mise en œuvre pour prévenir des difficultés économiques à venir liées à des évolutions technologiques et leurs conséquences sur l’emploi.   Ces deux arrêts marquent incontestablement un tournant dans l’appréciation de la notion de «sauvegarde de la compétitivité de l’entreprise», jusque là admise strictement.   En effet, la réorganisation de l’entreprise pour sauvegarde de la compétitivité peut constituer un motif économique de licenciement même dans l’hypothèse où il n’existerait pas de difficultés économiques à la date du licenciement et ceci n’est pas nouveau. La Cour de cassation, confirme donc ce principe, mais ajoute que la réorganisation peut être utilisée à des fins de gestion prévisionnelle de l’emploi.   Les deux affaires concernent la Société Pages Jaunes du groupe France Télécom.   Le développement des nouvelles technologies de l’information (Internet, mobile, site) ont rendu obsolète (au moins en partie) les produits traditionnels (annuaire papier, minitel). Dans une entreprise spécialiste des annuaires comme la Société Pages Jaunes, ces nouvelles technologies ont conduit à une réorganisation commerciale, intervenue en 2001.   Une modification du contrat de travail a donc été proposée à 930 collaborateurs, ayant le statut de commercial, et 118 ont refusé les nouvelles dispositions du contrat touchant notamment aux modalités de rémunération.   Ces salariés ont été licenciés pour motif économique et ont saisit la juridiction prud’homale afin de contester le bien fondé du licenciement.   La Cour d’appel de Dijon a débouté les salariés, contrairement à celle de Montpellier. Pour cette dernière, «l’employeur ne peut prétendre que sa compétitivité était menacée au point de risquer la survie de l’entreprise, alors qu’il était présenté, non pas une baisse du chiffre d’affaire, mais une modification de sa structure, et qu’en 2003 sa situation était largement bénéficiaire».   La Cour de cassation, quant à elle, valide les arguments de l’entreprise et estime que «la réorganisation de l’entreprise constitue un motif économique de licenciement si elle est effectuée pour en sauvegarder la compétitivité ou celle du secteur d’activité du groupe auquel elle appartient. Répond dès lors à ce critère la réorganisation mise en œuvre pour prévenir des difficultés économiques à venir liées à des évolutions technologiques et leurs conséquences sur l’emploi, sans être subordonnée à l’existence de difficultés économiques à la date du licenciement». Cass, Soc, 11 janvier 2006, n°05-40.977, Société Pages Jaunes c/ M.Philippe D. ; Cass, Soc, 11 janvier 2006, n°04-46.201, M. Joël A. c/ Société Pages Jaunes. Pierre-Yves FAGOT Avocat, directeur du pôle Société et Financement pierre-yves-fagot.@lexing.law

Ressources humaines Contrat de travail Utilisation d’un véhicule de fonction La retenue sur salaire pour le remboursement des contraventions afférentes à un véhicule professionnel mis au service du salarié est illégale, même si elle est prévue par un contrat de travail.   Une salariée de la Société Synergie Est, estimant que son employeur n’avait pas respecté le contrat de travail, a saisit la juridiction prud’homale d’une demande de résiliation du contrat de travail aux torts exclusifs de l’employeur.   De son coté l’employeur a licencié la salariée pour faute grave.   Pour rejeter la demande de la salariée, la Cour d’appel retient notamment qu’il était prévu au contrat de travail que les conséquences pécuniaires des infractions, commises dans la conduite du véhicule mis à la disposition de la salariée, autorisaient irrévocablement la Société à retenir sur son salaire le montant des amendes encourues en tant que conducteur dudit véhicule.   Dans un arrêt du 11 janvier 2006, la chambre sociale de la Cour de cassation a pris le contre-pied de la Cour d’appel de Metz en considérant que «la retenue sur salaire pour le remboursement des contraventions afférentes à un véhicule professionnel mis au service du salarié était illégale, fût-elle prévue par un contrat de travail». Cass, Soc, 11 janvier 2006, n°03-43.587, Mme Laurence B. c/ société Synergie, F-P. Pierre-Yves FAGOT Avocat, directeur du pôle Société et Financement pierre-yves-fagot.@lexing.law Calcul de l’indemnité de licenciement pour motif économique Une salariée d’une société en redressement judiciaire, a été licenciée par lettre du 2 mai 2002, pour motif économique.   La salariée a saisi le Conseil de Prud’hommes d’une demande d’un complément d’indemnité de licenciement en se référant au décret du 3 mai 2002 entré en vigueur le 7 mai qui porte de 1/10ème à 2/10ème de mois de salaire, par année d’ancienneté, l’indemnité de licenciement fondée sur un motif économique.   Les juges du fond ont fait droit à la demande de la salariée considérant que si le droit à l’indemnité de licenciement naît à la date d’effet du licenciement, son montant se calcule à la fin du préavis.   La Cour de cassation (1) n’a pas suivi la décision des juges et a considéré que les dispositions du décret du 3 mai 2002, entrées en vigueur le 7 mai suivant ne pouvaient s’appliquer à l’espèce, celles-ci n’étant pas en vigueur à la date de notification du licenciement. Extrait Attendu que le droit à l’indemnité de licenciement naît à la date où le licenciement est notifié et que ce sont les dispositions légales ou conventionnelles en vigueur à cette date (date de la notification du licenciement qui déterminent les droits du salarié (…). Cass.soc.11 janv.2006,n°03-44.461.   Paru dans la JTIT n°50/2006 p.6  

Santé et Biotechnologies Archives Edito La réforme sur la santé au regard de l’informatique et du numérique (avril 2006) Le dossier médical (mars 2006)

Santé et Biotechnologies Les Editos Le dossier médical Priorité absolue du ministre Philippe Douste-Blazy, le dossier médical personnel adopté par la loi du 13 août 2004 représente un enjeu majeur de la réforme du système de santé dans une perspective à la fois de santé publique et d’économie pour l’assurance maladie. Il dynamise aussi la réflexion concernant la sécurité et la confidentialité des données qu’il contiendra et plusieurs décrets sont à paraître concernant notamment l’hébergement des données (attendu depuis la loi du 4 mars 2002 sur les droits des malades), l’utilisation de la CPS, le choix de l’identifiant et les habilitations d’accès. Le cahier des charges relatif à l’organisation et aux infrastructures devrait être prêt pour le lancement de l’appel d’offres à destination des industriels au début de l’année 2005. Jean-françois Forgeron Avocat, Directeur du pôle Contentieux informatique jean-francois-forgeron@lexing.law

Flash Info (13 mars 2006) L’examen du texte sur les droits d’auteur s’enlise à l’Assemblée nationale Après avoir retiré la veille, l’article premier très controversé, du projet de loi sur les droits d’auteur intégrant le principe de la licence globale, le gouvernement a décidé de le réintroduire dans les débats à l’Assemblée Nationale, le 7 mars 2006 pour ne pas craindre l’inconstitutionnalité du procédé. Retirer un article en cours de discussion en utilisant l’article 84 présente toujours un tel risque même si à ce jour, le Conseil constitutionnel n’a pas eu à se prononcer. Rappelons que l’article premier avait été modifié contre l’avis du gouvernement, par le vote de deux amendements identiques en décembre 2005 autorisant le téléchargement pour usage privé moyennant une rémunération forfaitaire des auteurs. Tout sera donc tranché dans la clarté et la transparence. Dossier législatif sur le projet de loi DADVSI Isabelle Pottier Avocate isabelle-pottier@lexing.law

Biométrie Informatique et libertés La biométrie fait son entrée dans l’entreprise : la Cnil rappelle les règles La Cnil rappelle que son autorisation est obligatoire pour la mise en œuvre de traitements comportant des données biométriques (reconnaissance de la rétine, du contour de la main, de l’empreinte. La sécurité est un marché en plein essor dans lequel de nombreux éditeurs de solutions se sont engouffrés, proposant aux entreprises des dispositifs de reconnaissance des empreintes digitales. Face à ce développement, la Cnil a tenu à effectuer une mise au point : aucun dispositif biométrique n’a fait l’objet d’un « label CNIL » ou d’un agrément a priori. D’une manière générale, la Cnil n’autorise que les dispositifs où les données biométriques comme les empreintes digitales sont enregistrées exclusivement sur un support individuel (carte à puce, clé USB) et non dans une base de données centralisée. Communiqué de la Cnil du 05/1/2007 La CNIL adopte trois autorisations uniques relatives aux techniques biométriques L’article 25 de la loi 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée en 2004 prévoit que les traitements automatisés comportant des données biométriques nécessaires au contrôle de l’identité des personnes doivent être autorisés par la Cnil préalablement à leur mise en œuvre. En application de cet article, la Cnil a d’ores et déjà autorisé plusieurs traitements de données biométriques lorsque les conditions dans lesquelles ils étaient opérés ne présentaient pas de risque particulier au regard de la protection des données à caractère personnel. Ces autorisations portaient sur la mise en place de systèmes de reconnaissance du contour de la main pour permettre les contrôles d’accès, la gestion des horaires et la restauration sur les lieux de travail d’une part et l’accès aux restaurants scolaires d’autre part. Considérant que ce type de traitements ne comporte pas de risque particulier dans la mesure où ces données biométriques ne laissent pas de traces susceptibles d’être collectées à l’insu des personnes concernés, la Cnil a adopté deux autorisations uniques posant les conditions que doivent respecter les responsables de traitement pour pouvoir bénéficier du régime de déclaration de conformité à la Cnil. Ce régime particulier les exonère de l’obligation d’obtenir l’autorisation préalable de la Cnil à la mise en œuvre de traitements de données biométriques similaires à ceux décrits dans les autorisations uniques. La troisième autorisation unique prise par la Cnil vise les systèmes de reconnaissance par empreintes digitales lorsque ces données sont exclusivement enregistrées dans un support individuel (une carte à puce) dont la personne concernée a le contrôle exclusif. Ces trois autorisations uniques définissent les finalités, les caractéristiques techniques, les données traitées, la durée de conservation des données, les moyens de sécurité et les droits des personnes concernées caractérisant la mise en œuvre de ce type de traitements. Les responsables des traitements pourront opérer leur déclaration de conformité en remplissant une déclaration accessible sur le site www.cnil.fr. Autorisation unique n°AU-007 Délibération n°2006-101 de la Cnil du 27 avril 2006 Autorisation unique n°AU-008 Délibération n°2006-102 de la Cnil du 27 avril 2006 Autorisation unique n°AU-009 Délibération n°2006-103 de la Cnil du 27 avril 2006 26ème Rapport d’activité 2005 : La CNIL fait la synthèse de ses décisions en matière de biométrie Dans son dernier rapport d’activité pour l’année 2005, la Cnil revient sur la doctrine qu’elle a établie depuis plusieurs années en matière de biométrie. Elle réaffirme ainsi la grande distinction qu’elle opère entre les traitements de données biométriques portant sur des éléments traçables dits « à trace » et ceux ne portant pas sur ce type d’éléments dits « sans trace ». Ces derniers consistent essentiellement en l’utilisation de techniques de reconnaissance de la rétine ou de reconnaissance par le contour de la main. Ne permettant pas, en eux-mêmes, de reconnaître un individu à son insu en collectant ses données biométriques sans qu’il en ait conscience, la Cnil considère qu’il ne s’agit pas de traitements de données biométriques dangereux et autorise en général leur mise en oeuvre. Concernant les traitements laissant des traces et, en particulier, ceux utilisant la reconnaissance par empreinte digitale, la Cnil considère qu’ils peuvent permettre une collecte de données biométriques des personnes à leur insu, ce qui les rend, de fait, dangereux. La Cnil a donc établi les critères selon lesquels la mise en oeuvre de traitements de données biométriques laissant des traces est susceptible d’être autorisée en déterminant ainsi trois niveaux différents. Le premier niveau correspond à un impératif de sécurité élevée, comme un contrôle aux frontières, par exemple. Dans ce cas, la Cnil autorise la mise en oeuvre d’un traitement de données à caractère biométrique laissant des traces. Le second niveau correspond à un impératif de sécurité moindre comme par exemple l’accès de salariés à des locaux sécurisés (ceux de La Poste ou d’aéroports). Dans ce cas, la Cnil pour autoriser le traitement mis en œuvre demande que les données biométriques laissant des traces soient stockées dans un support individuel et non dans une base de données centralisée. Le troisième niveau correspond à une absence d’impératif de sécurité. Dans ce cas, la Cnil peut autoriser la mise en oeuvre d’un traitement de données biométriques laissant des traces dès lors que les données biométriques sont stockées sur un support individualisé (une carte à puce) et, qu’en outre, l’utilisation de ce système biométrique reste facultatif pour les personnes concernées. Concernant la biométrie de confort, la Cnil a ainsi autorisé la mise en place d’une carte de fidélité permettant à des voyageurs de stocker leurs empreintes digitales sur une puce, de manière facultative, afin d’accéder à des services particuliers. L’ensemble des décisions de la Cnil relatives à la mise en oeuvre de traitements de données biométriques ainsi que son rapport d’activité annuel sont accessibles depuis le site de la Cnil www.cnil.fr. Autorisation de deux dispositifs reposant sur la reconnaissance du contour de la main dans le cadre de contrôles d’accès à des cantines scolaires La Cnil doit être sollicitée pour donner son autorisation à la mise en place de solutions biométriques dans des

Flash Info mars 2006 Projet de loi DADVSI : La conférence des présidents veut accélérer le rythme des débats parlementaires L’examen du projet de loi sur les droits d’auteur dans la société de l’information s’est achevé jeudi soir, à l’Assemblée nationale. Un éventail de sanctions contre le piratage a été adopté : 3 ans d’emprisonnement et 300.000 d’euros d’amende pour l’édition et la mise « sciemment » à disposition du public d’un logiciel permettant le téléchargement illégal, une simple amende de 38 euros pour l’internaute qui télécharge illégalement de la musique ou un film pour son usage personnel, une amende de 150 euros maximum si le téléchargement s’accompagne de la mise à disposition des oeuvres, 6 mois d’emprisonnement et 30.000 euros d’amende pour le pourvoyeur de moyens de contournement des mesures techniques de protection (MTP), 3.750 euros d’amende pour le hacker qui décrypte individuellement la MTP et une contravention de 750 euros pour le détenteur ou l’utilisateur de logiciel mis au point pour le contournement. Les députés se prononceront le 21 mars par un « vote solennel » sur ce projet de loi très controversé. De quoi s’agit-il exactement ? En séance publique, l’Assemblée nationale vote normalement à main levée en toutes matières (article 64 du Règlement). Mais sur des textes importants, la Conférence des présidents (composée de l’Assemblée nationale, des groupes parlementaires et des commissions), peut décider que les députés votent par procédé électronique ou à la tribune. Il s’agit alors d’un scrutin public, ou « vote solennel », qui permet d’enregistrer la position de chacun des membres de l’Assemblée sur des sujets dont l’importance est reconnue. La conférence des présidents veut ainsi accélérer le rythme des débats parlementaires, s’agissant d’un texte sur lequel l’urgence a été déclarée (une seule lecture par assemblée). Après le vote solennel, le texte partira ensuite pour le Sénat. Dossier législatif sur le projet de loi DADVSI Isabelle Pottier, Avocate isabelle-pottier@lexing.law

Informatique Renforcer sa politique de sécurité : une préocupation constante de l’entreprise Intégrer une charte dans sa politique globale de sécurité Les moyens informatiques et les réseaux de télécoms sont devenus des outils de travail indispensables à l’activité quotidienne des entreprises.Or, l’utilisation de systèmes d’information et de communication de plus en plus ouverts avec l’extérieur rend indispensable la mise en œuvre d’une politique de sécurité visant à protéger de risques variés. Face aux nombreuses menaces et compte tenu des obligations imposées notamment par l’article 35 de la loi Informatique et Libertés (1) applicables à la protection des systèmes et des données nominatives, les entreprises doivent définir des politiques globales de sécurité. Les moyens techniques même s’ils sont indispensables ne sont pas suffisants et doivent s’accompagner d’une politique d’information et de sensibilisation des utilisateurs pour éviter que ceux-ci, par un comportement inapproprié, ne compromettent la sécurité de l’entreprise.Ceci explique le succès grandissant des chartes depuis quelques années dont la généralisation répond à ces préoccupations. (1)Loi du 06/01/1978 modifiée par la loi du 06/08/2004. L’enjeu Se protéger de risques variés tels la destruction ou la corruption d’informations, l’altération de données, le vol d’informations, l’usurpation d’identité, l’utilisation de ressources ou le dénie de services. Compléter la charte par des procédures de constats En complément de la charte il apparaît nécessaire de définir des procédures pour la recherche et la conservation de la preuve en cas d’utilisation déviante des systèmes d’information et de télécoms ou encore d’agissement frauduleux avérés. Ces procédures doivent permettre de concilier efficacité et fiabilité des constats pour que ceux-ci soient juridiquement recevables et probants dans le respect des dispositions édictées par le Code du travail et par la loi Informatique et Libertés qui consacrent des exigences de proportionnalité, de transparence et de loyauté. Leur mise en œuvre nécessite par conséquent une bonne connaissance des textes applicables et des jurisprudences rendues en ces matières. Par ailleurs, il ne faudra pas oublier la gestion assurantielle des risques liés à la sécurité résultant notamment de la perte de chiffre d’affaires induite par des actes frauduleux ou encore les coûts engendrés par la reconstitution des données qui seraient altérées ou perdues. Le conseil Encadrer les conditions d’utilisation des systèmes d’information par une charte. Définir des procédures de constats en cas d’utilisation déviante . Prévoir une gestion assurantielle des risques liés à la sécurité. Benoit de Roquefeuil Avocat, Directeur du département « contentieux informatique » benoit-de-roquefeuil@lexing.law Paru dans la JTIT n°50/2006 p.2

Evénement Emissions TV

Flash Info Le projet de loi DADVSI adopté par l’Assemblée Nationale Les députés se sont prononcés le 21 mars par un « vote solennel » sur le projet de loi sur les droits d’auteur dans la société de l’information, par 296 voix pour et 193 voix contre. Selon le ministre Renaud Donnedieu de Vabres, « c’est un texte qui permet l’avènement d’un internet équitable », il crée un droit à l’exception pour copie privée, établit enfin une frontière claire entre ce qui est légal et ce qui ne l’est pas (système de sanctions graduées à l’encontre des internautes qui téléchargent illégalement), réprime les offres illégales (responsabilité pénale des éditeurs de logiciels de peer-to-peer) et garantit l’interopérabilité des mesures techniques de protection. Le gouvernement devra maintenant soutenir son texte au Sénat début mai. Dossier législatif sur le projet de loi DADVSI Isabelle Pottier, Avocate isabelle-pottier@lexing.law

Economie juridique Jurisprudence La difficulté de rapporter la preuve d’un gain qui n’a pas été réalisé Promotion de moyens de fraude à la télévision payante(1) Un site internet a proposé, de juin à décembre 2001, des informations, des logiciels et des cartes permettant d’accéder gratuitement et frauduleusement aux programmes de plusieurs chaînes de télévision à péage et notamment de TPS. L’opérateur de télévision par satellite a poursuivi devant la juridiction pénale le particulier ayant créé et exploité ce site. Celui-ci a été condamné pour promotion publicitaire de moyens de captation frauduleuse de programmes télédiffusés réservés à un public d’abonnés, mais le tribunal a débouté TPS de sa demande de réparation au titre d’un préjudice économique. La décision de première instance a été confirmée par la Cour d’appel de Paris (2), l’arrêt ayant considéré que les préjudices économiques invoqués avaient un caractère purement éventuel et qu’il n’était pas démontré qu’ils découlent de l’infraction. L’enjeu Il est généralement difficile de justifier le montant d’un manque à gagner. Les preuves matérielles sont inexistantes puisqu’il s’agit d’un événement qui ne s’est pas produit (un gain qui n’a pas été réalisé). Le juge du fond qui constate un préjudice doit le réparer TPS avait évalué ce préjudice à partir du nombre, connu, de visites effectuées sur le site frauduleux (80 000). Elle considérait ensuite que 5% de ces visiteurs (soit 4 000 personnes) avaient dû effectivement accéder gratuitement à ses programmes, pendant 6 mois (durée de fonctionnement du site), qu’elle proposait alors pour 25 euros par mois. Elle chiffrait son préjudice à 600 000 euros (4 000 X 25 € X 6 mois). Pour écarter la réparation de ce préjudice, la cour d’appel avait relevé que son évaluation reposait sur une double hypothèse : celle du nombre de visiteurs ayant effectivement mis en œuvre les moyens proposés, fixé arbitrairement à 5% des visiteurs, et le fait que ces fraudeurs auraient souscrit un abonnement à ses programmes. La cour de Cassation souligne que l’arrêt d’appel, en constatant que de nombreuses personnes avaient eu accès au site promouvant les moyens de captation des programmes, avait lui-même reconnu l’existence du préjudice invoqué. Dès lors, rappelant qu’il appartient aux juges du fonds de réparer, dans les limites des conclusions des parties, le préjudice dont ils reconnaissent l’existence, la cour casse l’arrêt en considérant qu’il appartenait à la cour d’appel de rechercher l’étendue de ce préjudice et d’en prononcer la réparation, dans le cadre de son pouvoir souverain d’appréciation. Les conseils La Cour de cassation rappelle régulièrement qu’il découle de l’article 1382 du Code civil que tout préjudice dont l’existence est reconnue doit être réparé. La demande de réparation doit donc d’abord s’attacher à : démontrer que les faits sont nécessairement à l’origine d’un gain manqué, puis fournir à la juridiction les informations permettant d’en estimer l’étendue le plus précisément possible. Notes (1) Cass. crim. 8 mars 2005, TPS c. L.V (2) CA Paris 13eme Ch., 14 mai 2004 Bertrand Thoré Directeur du Département Economie juridique bertrand-thore @lexing.law Paru dans la JTIT n°39/2005 p.7

Economie juridique Jurisprudence Détournement de clientèle et perte de chiffre d’affaires sur internet Une affaire de référencement payant par liens sponsorisés La société Overture et sa maison mère américaine, commercialisent des liens promotionnels sur internet pour des annonceurs : leurs clients les rémunèrent pour qu’apparaissent un lien vers leur site web, en bonne position, dans les pages de résultats fournis par les outils de recherche de leurs partenaires, lorsque les recherches sont effectuées à partir des mots clés qu’ils ont sélectionnés. Le prix des mots clés réservés est fixé aux enchères et Overture est rémunérée en fonction du nombre de « clics » générés par les liens. Le groupe hôtelier Accor a constaté, depuis la fin de l’année 2001, que Overture mettait à la disposition des annonceurs, sur son site web, un outil de suggestion de mots clés qui proposait, comme mots clés pour les recherches relatives aux hôtels, plusieurs de ses marques ou de ses noms commerciaux. Il a donc assigné les deux sociétés pour contrefaçon de marque, atteinte à sa dénomination commerciale, à ses noms commerciaux, et pour parasitisme et publicité trompeuse. L’enjeu La contrefaçon de marque sur internet peut être à l’origine de dommages considérables, notamment lorsque, comme en l’espèce, elle est de nature à causer des détournements de clientèle par des concurrents. Des demandes de réparation très élevées mais peu satisfaites Accor estime ses préjudices à la somme totale de 46 millions d’euros ! Mais ses demandes ne semblent ni précisément chiffrées (chaque demande est arrondie au million d’euros…), ni justifiées. Elle invoque l’affaiblissement de ses marques, la perte de ses investissements publicitaires, des détournements de clientèle, mais semble avoir évalué ses dommages uniquement en se référant aux résultats réalisés par Overture, toutes activités confondues, comme le souligne le Tribunal. Celui-ci considère que les sociétés Overture, en incitant les annonceurs à sélectionner comme mots clés les marques notoires du groupe Accor, pour en tirer profit, ont commis des actes de contrefaçon. Elle rejète cependant les autres demandes d’Accor et ne lui accorde qu’une somme de 200 000 euros pour réparer la contrefaçon, alors que le préjudice invoqué à ce titre s’élevait à 12 millions d’euros. La société Accor n’obtient donc que 1,66 % du montant de sa demande au titre de la contrefaçon, à défaut de justification suffisante du préjudice relatif au détournement de clientèle et à la perte de chiffre d’affaires liée. Les conseils Faire état de tout les éléments permettant de prouver l’existence et l’étendue de ses préjudices. Lorsqu’il s’agit de détournement de clientèle et de perte de chiffre d’affaires, il faut fournir au Tribunal le maximum d’éléments permettant d’en apprécier la gravité. Notes (1) TGI Nanterre, 17/01/2005, Sté Accor c. Stés Overture et Overture Services Inc Bertrand Thoré Directeur du Département Economie juridique bertrand-thore @lexing.law Paru dans la JTIT n°37/2005 p.7

Economie juridique Jurisprudence L’étendue des dommages et le pouvoir d’appréciation des juridictions Un partenariat pour la vente de logiciels et matériels La société Bull, constructeur de matériels informatiques et la société Integro, société d’ingénierie informatique, ont développé des relations de partenariat depuis 1989, dans le cadre d’un ensemble contractuel aux termes duquel Integro fournit des logiciels intégrés à certains matériels commercialisés par Bull. Une charte de coopération commerciale fixe les modalités de promotion et de vente d’une offre logicielle et matérielle commune. Estimant que Bull n’a pas respecté ses engagements contractuels, Integro l’assigne devant le Tribunal de commerce de Paris. Celui-ci, par décision du 5 février 1999, a rejeté la totalité de ses demandes. L’enjeu En principe, en droit civil français, le demandeur doit rapporter la preuve des dommages subis et les réparations accordées sont de nature compensatoire, c’est-à -dire qu’elles ont pour objet de réparer intégralement, mais strictement, les dommages subis et justifiés. Des demandes qui s’élèvent à près de 24 millions d’euros Faisant appel de cette décision, Integro demande à la Cour de Paris de condamner Bull, pour violation de son engagement de priorité de vente, à réparer son manque à gagner, à hauteur de 22 867 353 euros et à lui verser 914 694 euros pour avoir reproduit de façon illicite son logiciel. La Cour d’appel de Paris (1) constate que Bull a respecté ses engagements liés à la promotion de l’offre, qui se limitaient à proposer systématiquement celle-ci, sans exclusivité ni même de priorité, et déboute Integro de sa demande de réparation du manque à gagner. Cependant, la Cour relève que Bull a reconnu, dans différents courriers, avoir dupliqué certains éléments logiciels fournis par la société Integro, sans lui reverser les sommes dues à ce titre, qui s’élèvent à 137 273 euros. Bull est donc condamnée à lui verser cette somme. En outre, la Cour estime à 762 245 euros le préjudice résultant des duplications illicites effectuées par Bull, en considérant leur « gravité », et l’obstruction dont elle a fait preuve en refusant l’examen contradictoire des pièces et en refusant de reconnaître plus de duplications qu’elle n’en avait avoué par courrier. Les conseils Les juridictions de première instance peuvent cependant faire usage de leur pouvoir souverain d’appréciation de l’étendue des dommages, reconnu par la Cour de cassation, pour prononcer une réparation dont le montant ne semble pas étranger à l’importance de la faute commise. Le contrôle de la Cour suprême ne s’exerce en tout état de cause, que selon les moyens de cassation invoqués. Une réparation dont le montant est évalué souverainement La société Bull est donc condamnée à réparer un préjudice évalué, non pas en fonction des preuves produites par les parties, mais, semble t’il, en considérant la « gravité » de ses fautes ainsi que des preuves qu’elle aurait refusé de rapporter. Bien que n’ayant apparemment pas produit les preuves de l’étendue de son préjudice résultant des duplications, Integro obtient la quasi-totalité des sommes demandées à ce titre. La Cour de cassation, saisie par Bull, rejette son pourvoi (2) en estimant que la Cour d’appel a légalement justifié sa décision en constatant des reproductions illicites des logiciels et qu’elle a souverainement évalué le préjudice découlant de cette faute dans l’exécution du contrat. Notes (1) CA Paris, 20/12/2000 (5e ch.), IACS c. Sté Bull (2) Cass. civ. 08/06/2004, 1re Ch. civ., Sté Bull c. IACS Bertrand Thoré Directeur du Département Economie juridique bertrand-thore @lexing.law Paru dans la JTIT n°36/2005 p.7

Informatique L’hébergement de données de santé dans le cadre du dossier médical personnel La réforme sur la santé au regard de l’informatique et du numérique La loi du 13 août 2004 relative à l’assurance maladie organise une réforme substantielle visant à sauvegarder le système d’assurance maladie, tout en préservant ses principes fondamentaux. Si depuis le 1er janvier 2005 chaque assuré doit choisir son médecin traitant, la loi comporte cependant d’autres importantes nouveautés dans le domaine de la santé numérique : La mise en place d’une Haute Autorité de santé dont le décret du 26 octobre 2004 définit les fonctions, notamment la définition des règles de bonne pratique à respecter par les sites informatiques dédiés à la santé et les logiciels d’aide à la prescription médicale ainsi que les certifications correspondantes. Elle est entrée en fonction le 22 décembre 2004. L’instauration à compter du 1er juillet 2007 du dossier médical personnel créé auprès d’un hébergeur de données de santé à caractère personnel, activité désormais strictement encadrée et contrôlée. L’encouragement au développement de la télémédecine, activité qui se trouve aujourd’hui définie par le législateur. L’enjeu Assurer la mise en œuvre de produits et de services électroniques dans le respect des droits des patients. Maîtriser les nouvelles obligations des professions de santé Une des missions de la Haute Autorité est d’établir une procédure de certification des sites informatiques de santé et des logiciels d’aide à la prescription médicale ayant respecté un ensemble de règles de bonnes pratiques. La profession d’hébergeur de données de santé est particulièrement encadrée : Les actuels et futurs hébergeurs seront soumis à une procédure d’agrément prévue à l’article L.111-8 du Code de la santé publique et dont les modalités seront fixées par un décret. La prestation d’hébergement devra faire l’objet d’un contrat entre l’hébergeur et la personne concernée. L’article L.111-8 du Code de la Santé Publique prévoit néanmoins que tout acte de cession à titre onéreux de données de santé identifiantes, directement ou indirectement y compris avec l’accord de la personne concernée, est interdit sous peines de sanctions pénales. Une consécration législative de la télémédecine : Elle permettra d’effectuer des actes médicaux dans le strict respect des règles de déontologie mais à distance, sous le contrôle et la responsabilité d’un médecin en contact avec le patient par des moyens de communication appropriés à la réalisation de l’acte médical. Les schémas régionaux d’organisation sanitaire intègreront la télémédecine. Les conseils Anticiper la constitution du dossier de demande d’agrément d’hébergement de données de santé. Jean-François Forgeron Directeur du Département Informatique jean-françois-forgeron @lexing.law Valérie Séguinot valerie-seguinot @lexing.law Paru dans la JTIT n°36/2005 p.1

Propriété Intellectuelle Edito Vers la remise en cause des conditions de la protection des bases de données ? Il faut expressément interdire l’extraction pour être protégé Le 18 novembre 2004, la Cour d’appel de Versailles (1) a rendu une décision très surprenante qui vient remettre en cause les conditions de la protection juridique des bases de données. La Cour semble en effet considérer que pour faire valoir son droit « sui generis » prévu par le Code de la propriété intellectuelle (2), le producteur doit préalablement avoir manifesté expressément sa volonté d’interdire l’extraction ou la réutilisation du contenu de sa base de données. A défaut, il ne peut bénéficier de la protection légale. Les bases de données font, depuis la loi du 1er juillet 1998, l’objet d’une protection par le droit du producteur des bases de données, encore appelé droit « sui generis », qui permet au producteur d’interdire les extractions du contenu des bases de données lorsque celles-ci ont un caractère « substantiel », lequel peut être apprécié de façon quantitative (volume des extractions par rapport au contenu de la base) ou qualitative (données à caractère stratégique). La seule condition posée par le Code de la propriété intellectuelle pour bénéficier de ce droit est de justifier d’un « investissement substantiel », financier, matériel ou humain, dans la réalisation ou la vérification de la base. Aucune condition de forme, aucune formalité de dépôt ou autre, n’est exigée. Pourtant, après avoir vérifié la condition relative à l’investissement substantiel, la Cour de Versailles a refusé le bénéfice de la protection au producteur d’une base de données mise en ligne sur un site Web, au seul motif qu’il n’avait pas préalablement interdit l’extraction du contenu de sa base de données. L’enjeu Assurer à ses bases de données une protection juridique efficace contre l’extraction de leur contenu, compte tenu des nouvelles exigences posées par la jurisprudence. Les mesures préconisées… Il est difficile pour l’heure d’apprécier la portée qu’il convient de donner à cette décision, contre laquelle un pourvoi en cassation a d’ailleurs été formé. La prudence doit cependant conduire à prendre des mesures de préventions, pour éviter de se trouver démuni face au pillage de sa base de données. Ainsi, il est recommandé d’indiquer clairement sur tout support de diffusion d’une base de données, papier ou électronique, l’interdiction formelle d’en extraire le contenu, en se référant aux dispositions légales. Si la base est diffusée en ligne, cette interdiction doit apparaître de manière obligatoire avant tout accès aux données. Les bases existantes devront être auditées afin de s’assurer de leur protection effective par ces nouvelles mesures d’informations. Les conseils Mettre en place des mesures d’information du public sur l’interdiction d’extraire le contenu de ses bases de données. Auditer les bases de données existantes. Notes (1) CA Versailles 9ème ch. Rojo R. c/ Guy R. (2) Art. L. 341-1 et s. du C. de la propr. intellect. Laurence Tellier-Loniewski Avocat, Directrice du Département Propriété Intellectuelle Laurence-tellier-Loniewski @lexing.law Paru dans la JTIT n°37/2005 p.1