Données à caractère personnel & conformité

Critères d’application du droit national & protection des données à caractère personnel

Dans un arrêt du 1er octobre dernier, la Cour de justice de l’Union européenne s’est prononcée sur la loi applicable au responsable de traitement de données à caractère personnel en adoptant une conception élargie de la notion d’établissement.

Pour mémoire, le responsable de traitement est la personne physique ou morale qui décide de la finalité du traitement c’est-à-dire de l’objectif pour lequel les données à caractère personnel sont collectées et traitées. Être responsable de traitement dans un État membre de l’UE implique le respect des obligations légales mises en œuvre par le droit national de chaque État membre. Ces obligations peuvent notamment être relatives :

  • aux droits des personnes concernées,
  • aux formalités déclaratives auprès des autorités de contrôle nationales (en France la CNIL)
  • au transfert hors UE des données traitées.

Comment déterminer le droit national applicable à un responsable de traitement ?

La directive 95/46/CE dispose que la loi applicable est celle :

  • du territoire sur lequel est établi le responsable de traitement,
  • si le responsable de traitement n’est pas établi sur le territoire d’un État membre, du territoire via lequel il a recours à des moyens de traitement de données à caractère personnel (sauf moyens à seule fin de transit sur le territoire).

Quels sont les critères qui permettent de déterminer qu’un responsable de traitement dispose d’un établissement sur le territoire d’un État membre ?

La notion d’établissement est déterminée en droit européen par l’exercice d’une activité effective et réelle, même minime, au moyen d’une installation stable sur le territoire d’un État membre.

Dans son arrêt du 1er octobre 2015, la Cour de justice, tout en précisant que la nationalité des personnes concernées par un traitement est « dénuée de pertinence » pour déterminer la loi applicable au responsable de traitement, a considéré que :

  • l’activité effective et réelle du responsable dudit traitement peut être caractérisée par l’exploitation d’un site internet dans la langue d’un État membre « principalement, voire entièrement, tournée vers ledit État membre »
  • l’installation stable sur le territoire de l’État membre peut être caractérisée par le fait que « ce responsable dispose d’un représentant dans ledit État membre, qui est chargé de recouvrer les créances résultant de cette activité ainsi que de le représenter dans des procédures administrative et judiciaire relatives au traitement des données concernées ».

Quelles sont les conséquences de l’inapplicabilité de la loi locale pour l’autorité de contrôle nationale ?

La Cour de justice s’est prononcée sur l’étendue des prérogatives de l’autorité de contrôle nationale (en France, la CNIL) dont la loi ne serait pas applicable :

  • l’autorité de contrôle pourra procéder à des investigations mais sans pouvoir de sanction en dehors du territoire de son État
  • l’autorité de contrôle devra coopérer avec son homologue de l’État membre dont la loi est applicable et lui demander « de constater une éventuelle infraction et d’imposer des sanctions […] en s’appuyant, le cas échéant, sur les informations […]».

Voir l’arrêt

Contrats et gestion des projets informatiques

CGV & devoir de conseil du prestataire informatique

Lire la suite

Droit de la presse

Le blog, espace de contribution personnelle

Lire la suite

Présentation par le Premier Ministre de la stratégie nationale pour la sécurité du numérique

le 16/10/2015 à la Maison de la Chimie

Le gouvernement a présenté ce matin sa stratégie nationale pour la sécurité du numérique en présence du Premier ministre Manuel Valls et de la Secrétaire d’Etat chargée du numérique Axelle Lemaire à la Maison de la Chimie.

Elaborée en collaboration avec l’ensemble des ministères et plus particulièrement entre l’ANSSI (Agence Nationale pour la sécurité des systèmes d’information) et le SGDSN (Secrétariat général de la défense et de la sécurité nationale), cette stratégie a été établie en 5 objectifs :
Lire la suite

IBA – Congrès annuel 2015

Anne-Sophie POGGI est modérateur de la table ronde sur les licences de logiciels libres « Open and closed source licensing ; share and share alike » lors du congrès annuel de l’International Bar Association (lien vers Réseaux) qui se déroule à Vienne du 4 au 9 octobre 2015.

Marketing et données à caractère personnel

Un reportage de France 2 sur l’utilisation de nos données par la grande distribution

« Noms, prénoms, adresses, âges, mais aussi passions et habitudes de consommation : certaines entreprises récoltent une foule d’informations sur les clients qui achètent, sur Internet ou encore par le biais de leurs cartes de fidélité. A longueur de transactions, ces sociétés enregistrent, compilent et analysent les données personnelles recueillies de manière à mieux cerner leurs cibles potentielles. Pendant un an, Cash Investigation a enquêté sur les techniques marketing des grands groupes, comme Apple ou Danone, et leurs stratégies commerciales tenues secrètes. Comment imposent-ils leur diktat sur le marché ? »
http://pluzz.francetv.fr/videos/cash_investigation.html