Sous traitant et responsable de traitement : les clarifications du CEPD

Sous traitant et responsable du traitement : les clarifications du CEPD. Une vidéo de Gaétan Dufoulon, Avocat du Cabinet Derriennic & Associés

N'hésitez pas à partager votre avis en commentaire !

Pour nous soutenir et nous aider à créer toujours plus de contenus, abonnez-vous à notre chaîne :    / @ledroitpourmoi  

LE DROIT POUR MOI décrypte pour vous l'actualité juridique et les différentes réformes législatives en vidéo. Notre équipe de juristes, experts des médias, vous proposent des contenus impactants concernant le droit des affaires, le droit du travail, la compliance, le droit du numérique, le droit immobilier et le droit public.

Retrouvez tous nos contenus sur http://bit.ly/2sh3tSR

--------------------------------------------------------------

Pourquoi la CJUE a été saisie de cette problématique ?

Plusieurs Etats membres, dont la France, imposent aux fournisseurs de services de communications électroniques des traitements « massifs » des données relatives au trafic, et à la localisation de personnes physiques, ce à des fins judiciaires et de renseignement.

La balance entre la protection de la vie privée d’un côté, et la lutte contre la criminalité, de l’autre, est épineuse !

Ce n’est d’ailleurs pas la première fois que la Cour a été interrogée sur le sujet pour savoir où placer « justement » le curseur.

Quelle est la récente position de la CJUE ?

Dans plusieurs arrêts « fleuves » rendus le 6 octobre dernier, la CJUE s’est plus particulièrement, prononcée sur la validité de ces règlementations nationales au regard du droit de l’Union.

Non sans surprise, les juges européens ont considéré, par principe, qu’imposer une transmission ou une conservation généralisée et indifférenciée de données de connexion, à des fins de lutte contre les infractions en général ou de sauvegarde de la sécurité nationale, n’est pas compatible avec le droit de l’Union.

La Cour a toutefois tempéré ce principe, en précisant des situations particulières dans lesquelles ce type de traitements pourrait être mis en place.

Prenons un exemple : les mesures visant à enjoindre aux fournisseurs de services une conservation généralisée et indifférenciée des données de connexion sont admises mais, sous réserve :

o d’être prises dans les situations de menace grave pour la sécurité nationale réelle et actuelle ou prévisible,
o d’être soumises à un contrôle effectif (par une juridiction ou une entité administrative indépendante – par exemple la CNIL) ;
o d’être limitées dans le temps au strict nécessaire.

Dans ces mêmes conditions, une analyse automatisée des données des utilisateurs de moyens de communications électroniques est possible.

Autre illustration : le recours à une conservation ciblée des données de connexion est autorisé :
o si elle est temporellement réduite au strict nécessaire,
o si elle est délimitée, sur la base d’éléments objectifs, non discriminatoires, en fonction de catégories de personnes concernées ou au moyen d’un critère géographique ;

Dernier exemple : le recueil en temps réel des données de connexion est permis, sous conditions :
o d’être limité aux personnes pour lesquelles il existe une raison valable de soupçonner qu’elles sont impliquées dans des activités terroristes ;
o d’un contrôle préalable pour s’assurer que cela est, là encore, limité à ce qui est nécessaire.

Quelles sont les conséquences ?

La France doit revoir sa règlementation sur le sujet.

En attendant, la France va devoir gérer le sort d’actes, de procédures pénales basés sur une règlementation considérée désormais comme contraires au droit de l’Union et dont la nullité pourrait être envisagée.