Mais qu'entendons nous par données ? Il s'agit de la collecte, de l'enregistrement, du stockage, de la recherche, de la transmission, du blocage ou de l'effacement de données gérés par des personnes morales, en provenance de personnes physiques.
Pour les entreprises, ces nouvelles dispositions s'accompageront d'une simplification des formalités. Mais aussi de la possibilité de s'adresser à un interlocuteur unique pour toutes les autorités de protection des données européennes. Afin de se conformer aux obligations, elles disposeront d'une boîte à outils (ex : code de conduite, certification). Ces outils pourront être modulés en fonction du risque sur les droits et libertés des personnes. (ex : tenue d'un registre, consultation des autorités de protection, notification des failles de sécurité).

Le règlement concerne toutes les entreprises qui traitent des données personnelles pour le compte de particuliers, dans le cadre d'un service ou d'une prestation. Une plus grande vigilance sera aussi exercée sur :

• les prestataires de services informatiques,
• les intégrateurs de logiciels,
• les sociétés de sécurité informatique,
• les entreprises de service du numérique ou anciennement sociétés de services et d'ingénierie en informatique (SSII) qui ont accès aux données,
• les agences de marketing ou de communication qui traitent des données personnelles pour le compte de leurs clients
• Les sous-traitants des structures citées précédemment.

Les entreprises concernées ne doivent pas négliger ce Règlement européen. Les utilisateurs doivent être informés de l'usage de leurs données et doivent en principe donner leur accord pour le traitement de leurs données, ou pouvoir s'y opposer. En cas de litige, la charge de la preuve du consentement incombera au responsable de traitement dans l'entreprise. Et la loi est claire : la matérialisation de ce consentement doit être non ambigüe. En cas de violation des droits de la personne physique, l'entreprise responsable pourra encourir une sanction pouvant s'élever à 4% de son chiffre d'affaires mondial. Des sanctions pénales peuvent être prononcées allant jusqu'à 5 ans d'emprisonnement et 300 000 € d'amende en cas de négligence ou non-respect des dispositions légales.

Les recours ne seront plus seulement individuels. Les associations actives dans le domaine de la protection des droits et libertés des personnes auront la possibilité d'introduire des recours collectifs en cas de manquement à la protection des données personnelles. Enfin, un droit à réparation des dommages matériel ou moral a été introduit. Toute personne ayant subi un dommage matériel ou moral du fait d'une violation du Règlement aura le droit d'obtenir du responsable du traitement ou du sous-traitant, réparation du préjudice subi.

Citoyens et entreprises auront comme seul interlocuteur, l'autorité de protection des donnés de l'Etat membre où ils se trouvent. Pour la France, il s'agit de la Commission Nationale Informatique et Libertés (CNIL) ; cette dernière assurant la présidence jusqu'en 2018 du G29, organisation qui réunit l'ensemble des CNIL européennes. D'ici là, les entreprises peuvent se préparer et anticiper le Règlement sur www.cnil.fr.

A propos de l'auteur : Jérôme Tarting est P-DG de Clic Formalités.

Le juge relève que l'application de la clause litigieuse a pour effet de dissuader les internautes français d'exercer toute action judiciaire eu égard d'une part aux difficultés pratiques du fait de la distance qui sépare la France et la Californie, et d'autre part au coût d'accès aux juridictions de cet Etat qui a été considéré comme disproportionné au regard des enjeux économiques dans ce type d'affaires. Or, selon l'article R 132-2 du Code de la consommation, les clauses ayant pour objet ou pour effet « de supprimer ou d'entraver l'exercice d'actions en justice ou des voies de recours par le consommateur » sont présumées abusives. D'où il résulte, qu'après avoir qualifié les conditions générales en cause de contrat d'adhésion, le juge déclare la clause nulle et non-écrite. Ce faisant même si Facebook choisit de ne pas retirer cette clause de ses conditions générales, elle est désormais inopposable aux internautes devant les juridictions françaises et est réputée ne jamais avoir existé.

La Cour d'appel de Paris fait ainsi preuve de pragmatisme face au nombre considérable d'affaires opposant Facebook et les internautes, qui sont soumises aux tribunaux français. Elle conforte également la décision de la Cour d'appel de Pau qui dans un arrêt du 23 mars 2012 avait déjà déclaré inapplicable ladite clause. La compétence du juge français acquise, reste à savoir quelle entité du groupe Facebook convient-il d'assigner. En effet, il existe actuellement un débat sur la nature de l'entité Facebook France. Dans un arrêt du 17 octobre 2014, la Cour d'appel de Paris avait accueilli la fin de non-recevoir de Facebook France, dans laquelle cette dernière soutenait qu'elle n'avait pas vocation à représenter le groupe en France, dans la mesure où elle n'a qu'une activité d'agence publicitaire.

Facebook Inc. et Facebook Ireland Limited semblent donc être les deux seules entités susceptibles d'être poursuivies devant les juridictions françaises. Toutefois, l'ordonnance du 5 mars 2015 précitée, laisse sous-entendre qu'un pouvoir de représentation pourrait être à terme reconnu à Facebook France puisque pour déclarer abusive la clause litigieuse, le juge de la mise en état relève que « cette dernière (...) dispose de ressources financières et humaines qui lui permettent d'assurer sans difficulté sa représentation et sa défense devant les juridictions françaises ».

Par ailleurs, cette décision fait suite à deux mises en demeure prononcées début 2016, l'une adressée par la Cnil et l'autre par la DGCCRF à Facebook. Dans la première, la Cnil fait état du non-respect par le groupe de la loi Informatique et Libertés du 6 janvier 1978. Le réseau social a trois mois pour s'y conformer. Dans la seconde, il est surprenant que l'autorité de répression des fraudes n'ait pas déclaré abusive la clause attributive de compétence alors qu'elle avait relevé le caractère abusif de plusieurs autres clauses figurant dans les conditions d'utilisation du site internet. Peut-être était-ce pour ne pas déborder sur l'office du juge qui s'était déjà prononcé sur cette clause et ne pas laisser la possibilité à Facebook de contester par la voie administrative une telle décision. La société Facebook Inc. dispose d'un délai de 4 mois pour former un pourvoi en cassation.

A propos de l'auteur : Antoine Chéron est avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM

Elle n’est pas novice en la matière puisqu’elle surveille de près les traitements de données générées par les sites de rencontre. Ainsi, en 2015 la CNIL avait mis en demeure ces sites de se conformer à la loi informatique et libertés du 6 janvier 1978. Elle a également édité sur son site un guide pratique intitulé « sites de rencontre en ligne : comment protéger votre intimité ? », lequel démontre par son existence même, les nombreuses dérives que l’utilisation de tels sites peut engendrer. La situation d’Happn est néanmoins quelque peu différente. Une étude menée par l’organisme de défense des consommateurs norvégien a révélé « de possibles transferts de données réalisés par la société Happn vers des entreprises tierces, d’origine américaine ».

Or, le Safe Harbour adopté par la Commission européenne le 26 juillet 2000, a été annulé par la CJUE le 6 octobre 2015. Ce mécanisme d’adéquation permettait le transfert des données de l’Union européenne vers les Etats-Unis. Depuis lors, tout transfert de données transatlantique est interdit sauf dans le cadre des clauses contractuelles types adoptées par la Commission européenne ou dans celui de la mise en place de Binding Corporate Rules (BCR) au sein d’un Groupe. Les entreprises se sont alors précipitées en vue de bénéficier des clauses contractuelles types. Cependant, l’application de ces clauses entre deux entreprises nécessite une validation préalable de la CNIL laquelle était, dans la plupart des cas, négative ou peinait à intervenir rapidement dans les autres cas. Parallèlement, le G29 constitué par l’ensemble des CNIL européennes appelait les institutions et les gouvernements européens à adopter un nouvel accord avant le 31 janvier 2016.

Le 2 février dernier, l’Union européenne et les Etats-Unis ont conclu un accord dénommé « EU-US Privacy Shield » (ou « bouclier de l’Union européenne et des Etats-Unis pour la protection de la vie privée ») encadrant les flux de données transatlantiques. Les CNIL européennes ont salué ce nouvel accord, mais rendront leur avis définitif fin mars. Il appartiendra ensuite à la Commission européenne de déclarer si les engagements américains présentent ou non un niveau adéquat de protection aux citoyens européens.

Si les faits allégués à l’encontre d’Happn sont avérés, cette dernière encourt 300 000 euros d’amende portée au quintuple (articles 226-16, 226-16 A et 226-22-1 du Code pénal) pour les transferts qu’elle aurait réalisé entre la date à laquelle le Safe Harbour a été invalidé et l’entrée en vigueur de l’« EU-US Privacy Shield ».

UFC Que Choisir reproche également à Happn d’avoir incorporé des outils d’analyse de la société américaine UpSight. Ces outils permettraient de laisser subsister un cookie continuant à communiquer avec les serveurs de la société Happn, postérieurement à la suppression de l’application. L’association de défense des consommateurs s’inquiète de « l’impossibilité de déterminer l’étendue des données personnelles collectées, ainsi que leur destination ». Ce cookie peut concerner tant l’affichage publicitaire que la géolocalisation qui est une fonction essentielle de l’application Happn.

L’utilisation de cookies nécessite de recueillir au préalable le consentement de la personne concernée avant que ceux-ci soient déposés ou lus sur son terminal (article 32-II de la loi informatique et libertés). De plus, il doit être donné à chaque fois qu’une nouvelle finalité s’ajoute aux finalités initialement prévues. Dès lors l’utilisation d’un tel cookie par Happn apparait comme étant contraire à la loi informatique et libertés.

A propos de l'auteur : Antoine Chéron est avocat associé, docteur en droit de la propriété intellectuelle et chargé d’enseignement en Master de droit à l’Université de Assas (Paris II).