Le Blog du Cabinet CHEMOULI DAUZIER

VIDEOSURVEILLANCE : parution d'un décret

Le décret porte sur la procédure d'autorisation préalable à l'installation d'un système de vidéosurveillance dans un lieu ou un établissement ouvert au public. La demande d'autorisation doit ainsi s'accompagner d'un dossier administratif comprenant notamment un rapport de présentation qui expose les finalités du projet et les techniques mises en œuvre eu égard à la nature de l'activité exercée, aux risques d'agression ou de vol présentés par le lieu ou l'établissement à protéger.
Par ailleurs, la composition de la commission départementale des systèmes de vidéosurveillance est élargie : elle est désormais composée de quatre membres au lieu de trois précédemment. Elle a également l'obligation d'entendre un représentant de la police ou de la gendarmerie nationale avant de rendre un avis.
Enfin, le décret précise que le demandeur doit dorénavant informer l'autorité préfectorale compétente lors de la mise en service de son dispositif de vidéosurveillance.

Décret n° 2009-86 du 22 janvier 2009

VICE CACHE OU DEFAUT DE CONFORMITE ?

Les dysfonctionnements affectant des matériels informatique doivent s'analyser comme des vices cachés et non comme des défauts de conformité.
Une société L a acheté des ordinateurs à une société M. Certains de ces appareils présentaient des dysfonctionnements que M s'est efforcée de réparer.
La cliente a assigné sa cocontractante pour obtenir la résolution de la vente.
Pour déclarer recevable et fondée cette action, la Cour d'appel a retenu que l'obligation de délivrance n'est enfermée dans aucun délai.
La Cour de cassation censure l'arrêt au visa des articles 1604 et 1641 du Code civil :
"En statuant ainsi, alors qu'elle avait relevé que, selon la société L, sur les quarante appareils commandés à la société M, seuls onze d'entre eux étaient en état de fonctionnement, ce dont il résultait qu'ils étaient atteints d'un vice caché, la cour d'appel a violé les textes  susvisés, le premier par fausse application et le second par refus d'application".

Cass. com 24/04/2007 n° 05-17051

CNIL : déclaration préalable de site Internet

Il est important de rappeler que la CNIL a décidé en 2006 de supprimer la déclaration préalable de tout site Internet. « Les responsables des traitements sont invités à ne plus se focaliser sur l’usage d’Internet mais à identifier ce à quoi va servir leurs fichiers afin de déterminer la procédure de déclaration applicable ».
Par conséquent, ce n’est pas la source des informations qui est importante mais bien la finalité de la collecte de celles-ci. L’obligation de déclaration des fichiers contenant des données à caractère personnel (voir note relative au le correspondant à la protection des données à caractère personnel) demeure d’actualité.
Surtout, la suppression de déclaration préalable de site Internet ne dispense pas le créateur de site Internet d’y apposer les mentions légales.

INFORMATIQUE ET LIBERTE : LE CORRESPONDANT A LA PROTECTION DES DONNEES PERSONNELLES, un bon moyen de respecter la règlementation CNIL

La désignation du Correspondant à la Protection des Données à Caractère Personnel ou CPDCP ou encore CIL pour « Correspondant Informatique et Libertés » dispense l’entreprise de l’ensemble des formalités obligatoires liées aux déclarations des fichiers contenant des informations à caractère personnel (article 22 III de la loi n°78-17 du 6 janvier 1978).
Rappelons rapidement ce qu’est un tel fichier. Dès que certaines données permettant d’identifier une personne physique sont réunies dans un fichier, automatisé ou manuel, ce fichier doit être déclaré à la CNIL. Il peut s’agir d’informations directes comme le nom, l’adresse ou encore le numéro de téléphone (les fichiers de gestion des badges d’accès, de gestion de la téléphonie, de gestion du personnel, …). Mais, il peut s’agir également de données indirectes comme l’adresse email ou les données de connexion(les fichiers contenant les informations sur les prospects ou sur les visiteurs de sites Internet, … ).
La CNIL a prévu des dispenses de déclarations (aujourd’hui, on en compte dix) pour des fichiers ne présentant pas de risque au regard de la vie privée et des droits fondamentaux de la personne comme par exemple, les fichiers de fournisseurs comportant des personnes physiques. Tous les autres cas doivent faire l’objet de déclarations, ordinaires ou simplifiées. Les fichiers contenant certaines catégories de données comme celles relatives à la santé ou relatives à des condamnations sont à traiter de manière particulière. Ceux-ci ne doivent être mis en œuvre qu’après autorisation de la CNIL (article 25 de la loi précitée).
En 2005, les contrôles réalisés par la CNIL ont augmenté de 113%. Les principaux secteurs d’activité contrôlés ont été la grande distribution (modalités du contrôle des paiements par chèque, tenue de fichiers de personnes surprises en flagrant délit de vol à l’étalage), le marketing direct (prises en compte des droits d’opposition des clients ou prospects, notamment internautes), la biométrie (contrôles d’accès sur les lieux de travail, à des clubs de sport, des chambres d’hôtel, etc.), la vidéosurveillance implantée dans des lieux privés, le courtage d’assurance sur internet. Pour le secteur bancaire, 2005 fut une année record en matière d’avertissements.
Les sanctions en cas de non-respect de ces dispositions légales peuvent être très lourdes (articles 47 et suivants de la loi précitée). Elles sont de deux types : sanctions administratives et sanctions pénales. En ce qui concerne les sanctions administratives, la CNIL procède dans un premier temps par l’envoi d’une mise en demeure. En cas de 1er manquement, la sanction ne peut excéder 150 000 €. En cas de manquement réitéré dans les 5 ans, elle ne peut excéder 300 000 € ou s’agissant d’une entreprise, 5% du CA dans la limite de 300 000 €. En ce qui concerne les sanctions pénales, dès lors que les obligations de déclaration ne sont pas respectées, y compris par négligence, la non-déclaration est punie de cinq ans d'emprisonnement et de 300 000 Euros d'amende. (art. 226-16 du Code pénal).
Aussi, pour simplifier la gestion de cette réglementation, la CNIL a créé le statut de correspondant à la protection des données à caractère personnel. Les fichiers qui devraient faire l’objet d’une déclaration préalable, sont dispensés de notification à la CNIL. Cette obligation légale est remplacée par la désignation du correspondant. Celui-ci tient à jour la liste des fichiers existant au sein des différents services de l’entreprise. Il vérifie la conformité des traitements avec les dispositions. Il a un devoir d’alerte en cas de non-respect de ces dispositions légales. Il est l’interlocuteur privilégié de la CNIL.
Le correspondant est désigné par l’entreprise. Sa désignation est notifiée auprès des services de la CNIL. Les instances représentatives du personnel sont également informées de cette nomination. Si la loi ne définit pas précisément les qualifications requises, il apparaît que celui-ci doit avoir des connaissances en matière juridique voire informatique. Il doit également connaître le monde de l’entreprise. Le correspondant peut être soit un salarié ou une personne externe à l’entreprise comme un avocat ou un consultant spécialisé en protection des données personnelles. Il rend directement compte à la direction de l’entreprise. Cette fonction, quel que soit le statut interne ou externe du correspondant, devra être détaillée dans une lettre de mission eu égard aux enjeux liés au respect des dispositions de la loi « Informatique et Libertés ».
Concernant la responsabilité du correspondant, sa désignation n’exonère pas l’entreprise. Néanmoins, en cas de désignation d’un correspondant externe, il sera aisé d’engager la responsabilité civile voire pénale de celui-ci ; c’est pourquoi, le choix du correspondant relève d’une décision stratégique de l’entreprise.

QUELQUES CONSEILS PRATIQUES POUR OPTIMISER LA PROSPECTION PAR E-COURRIER EN TOUTE LEGALITE

Après une bataille entre les partisans de l’opt-in et ceux de l’opt-out, la prospection par e-courriers est désormais très encadrée et c’est le principe de l’opt-in qui prévaut, énoncé à l’article  L34-5 du Code des postes et communications électroniques :
« Est interdite la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen ».

L’opt-in, c’est quoi ? C’est le moyen permettant de recueillir le consentement du client ou du prospect, au préalable, avant de lui envoyer un courrier électronique. Via Internet, il est le plus souvent matérialisé par une case à cocher.

Le « spamming » entendu comme l’envoi en masse de courriers électroniques, à caractère commercial, à des personnes n’ayant pas donné leur consentement préalable, est donc interdit. Le principe ne vaut que pour les personnes physiques, dans le cadre de leur vie privée. La CNIL (Commission nationale de l'informatique et des libertés) a reconnu, en effet, la possibilité pour un professionnel de démarcher par l’envoi d’emails à des adresses professionnelles lorsque l’offre a un rapport avec la profession de la personne.
Il ne s’agit pas, par exemple, d’envoyer un programme pour des vacances exotiques sur une adresse professionnelle d’un cabinet d’expertise comptable. En revanche, il est possible de présenter une offre de logiciels comptables à ce même cabinet et ce, sans avoir pris la précaution préalable de recueillir leur consentement.

Pour les autres cas, les personnes physiques contactées par voie électronique doivent donner au préalable leur consentement. De quels moyens le professionnel dispose-t-il pour le recueillir ? Trois moyens principaux peuvent être employés : lors de la conclusion d’un contrat, à l’aide d’un coupon-réponse lors d’une campagne marketing ou encore sur son site Internet. Dans ces trois cas, le prospect pourra trouver une case à cocher ainsi libellée : «  J’accepte que les données personnelles déposées dans le formulaire ci-dessus permettent à une société X de me proposer des offres commerciales ultérieures ». On peut même aller plus loin et ajouter une seconde case à cocher : « J’accepte que les données personnelles déposées dans le formulaire ci-dessus soient transmises à des sociétés partenaires de ladite société X de manière à recevoir leurs offres commerciales ».

Il est préférable de prévoir deux cases à cocher. En effet, une personne souhaitera peut-être ne recevoir que les propositions commerciales de la société qu’elle connaît et ne pas recevoir d’autres offres venant de l’extérieur. De plus, s’ajoute ici la volonté de ne pas voir l’adresse email faire l’objet de transfert de fichiers.

Par ailleurs, le professionnel peut également exploiter les exceptions prévues dans cet article L34-5 du même code :

« Toutefois, la prospection directe par courrier électronique est autorisée si les coordonnées du destinataire ont été recueillies directement auprès de lui, dans le respect des dispositions de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'occasion d'une vente ou d'une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d'ambiguïté, la possibilité de s'opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l'utilisation de ses coordonnées lorsque celles-ci sont recueillies et chaque fois qu'un courrier électronique de prospection lui est adressé ».

Ainsi, en dehors du consentement donné par le client, il est possible de lui envoyer des courriels lui présentant des produits ou services analogues.

Cependant, il est nécessaire de prévoir la possibilité pour la personne démarchée, de s’opposer, à tout moment et sans motifs, à l’acte d’envoi ultérieur d’emails. Ce droit d’opposition est valable dans tous les cas. Ainsi, il conviendra de toujours préciser des coordonnées valables auxquelles le destinataire de l’offre puisse utilement transmettre une demande tendant à obtenir que ces communications cessent sans frais autres que ceux liés à la transmission de celle-ci : « Si vous souhaitez ne plus recevoir nos offres par email, cliquez-ici ».

En cas de non-respect de ces règles, les sanctions peuvent être très sévères. Les articles 226-18 et 226-18-1 du Code pénal prévoient, chacun, des sanctions de 5 ans d’emprisonnement et 300 000 euros d’amende. Le premier punit tout acte permettant de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite et le second sanctionne tout traitement de données à caractère personnel concernant une personne physique malgré l'opposition de cette personne.

Sans oublier l’article R10-1 du Code des postes et communications électroniques qui prévoit une amende de 750 euros par message envoyé.

BLOG ou FORUM DE DISCUSSION ? QUELLES RESPONSABILITES ?

Marie-Pierre BEVIERE, avocat à la Cour, nous fait part d'une question de l'un de ses clients à laquelle elle répond ci-dessous :

Un client m’a posée récemment la question citée en objet. Il souhaitait créer, au sein du site Internet de sa société, un espace de discussion pour animer son site et donc attirer des flux de visiteurs.

« Au-delà du vocabulaire, tout dépend du mode de fonctionnement de cet outil de communication, lui ai-je répondu, voulez-vous en faire un espace privé dans lequel seuls quelques happy few seront seuls autorisés à échanger ou bien souhaitez-vous l’élargir au plus grand nombre ? En effet, juridiquement, blog et forum de discussion sont similaires dès lors qu’ils correspondent à un espace de communication ouvert au public ».

Lorsque le blog est arrivé sur la Toile, il a été présenté comme un journal intime. Mais, aujourd’hui, il s’apparente plus à une tribune comme on peut en lire dans la presse.
C’est un moyen d’exprimer ses impressions sur l’actualité, sur son vécu, … C’est un espace certes personnel mais ouvert aux autres et à leurs réactions. Or, s’il devient un lieu dans lequel chacun et tous peut(vent) échanger, il quitte la sphère de la correspondance privée et relève du régime de la communication au public par voie électronique. Il a ainsi été jugé que le blog www.monputeaux.com « accessible à tous les internautes désireux de le visiter » était un site Internet public. « Aucune inscription préalable n’était exigée sur la base d’un critère susceptible de caractériser une communauté » (TGI Paris 17 mars 2006).

On parle de blogosphère tant les blogs sont variés. On trouve des blogs personnels, des blogs d’entreprise, des blogs politiques mais aussi des blogs de photos, des blogs de musique. Néanmoins, leur nature reste la même. Il s’agit d’un site Internet à part entière. Le blogueur comme l’organisateur d’un forum de discussion est donc considéré comme un éditeur de service de communication en ligne et sa responsabilité est, en principe, celle du directeur de la publication. Quelque soit l’auteur du « post » (message), la responsabilité civile ou pénale du directeur de la publication peut être engagée. Elle s’apprécie à l’aune du respect de la liberté d’expression et de ses limites.

Ce principe de la liberté d’expression et ses limites sont rappelés fermement par l’article 1^er de la LCEN (loi du 21 juin 2004 pour la confiance dans l’économie numérique). Parmi les infractions les plus fréquentes, on trouve la diffamation, l’atteinte à la dignité humaine, l’atteinte à la présomption d’innocence ou encore la provocation à la haine raciale. L’auteur d’un blog a été récemment condamné à 6 mois d’emprisonnement avec sursis et le commentateur à une peine de 6 mois de suspension de son permis de conduire à la suite de la publication de propos agressifs sur un blog (Tribunal correctionnel d’Arras, 20 janvier 2006) principalement pour diffamation et outrage à magistrat[1].

Pourtant, une décision de justice doit être particulièrement remarquée. A la suite de messages diffamatoires et injurieux sur une société, déposés sur un forum de discussion, la responsabilité de l’éditeur du site Internet n’a pas été reconnue comme relevant de celle du directeur de la publication mais de celle de l’hébergeur[2]. Le forum en question n’était modéré qu’a posteriori, de trois à quatre fois par semaine. Alors, quel est le critère permettant d’être qualifié de directeur de la publication ou d’hébergeur ?

Pour reconnaître la responsabilité du directeur de la publication, il convient de montrer qu’il y a eu, de sa part, fixation préalable du message c’est-à-dire capacité à prendre connaissance du message avant sa diffusion au public. L’organisateur intervient véritablement sur les contenus ou se les approprie. C’est le cas lorsque le forum est modéré a priori. Le modérateur filtre les messages avant leur parution dans l’espace public de discussion. Il décide notamment si ceux-ci sont en accord avec la charte du blog ou du forum.

A la lecture de cette dernière décision de justice, on serait tenté de recommander au blogueur et à l’organisateur d’un forum de discussion de ne procéder à aucune modération a priori. En effet, la responsabilité de l’hébergeur est moins sévère que celle du directeur de la publication. Mais, cette décision est encore isolée et la jurisprudence n’est pas encore clairement établie. La prudence incite donc à recommander vivement à tout organisateur de blog ou de forum de contrôler a priori ou à tout le moins très régulièrement, les propos postés.

Imaginons les conséquences pour l’image d’une société, si des propos diffamatoires concernant un concurrent ou encore des informations confidentielles sur une société cotée en bourse, étaient postés sur son blog ou sur son forum de discussion pendant plusieurs jours sans que la direction de la société n’intervienne. Les conséquences seraient sans doute très dommageables. C’est pourquoi, il convient de peser vraiment le pour et le contre sur la présence ou non d’un modérateur. D’autant plus, rappelons-le rapidement ici que le pouvoir du modérateur de ne pas publier ou de retirer un message n’est pas une entrave à la liberté d’expression lorsque le message litigieux n’est pas conforme à la charte du forum ou constitue une infraction (Cour d’appel de Paris, 11 mars 2003). Le contenu de la charte doit donc être rédigé avec mille précautions.

---

[1] Dans l’affaire Père-Noël.fr (TGI Lyon 28 mai 2002), le montant des dommages-intérêts pour diffamation a été établi à 80 000 euros.
[2]la société Groupe Mace « Le responsable d'un forum non modéré ou modéré a posteriori doit être considéré comme un hébergeur au sens de la loi puisqu'il assure le stockage direct des messages diffusés sans porter de regard préalable sur ces derniers ». Il a estimé que « le message considéré comme diffamatoire ayant été supprimé du site par M. D., dans les 24 heures de la demande formulée par le prévenu (avait) ainsi agi promptement dès qu'il (avait) eu connaissance du caractère illicite du message."