\nLes lois de protection des donn\u00e9es en France sont g\u00e9n\u00e9ralement en avance sur les autres \u00e0 l’international. Comme elles respectent les r\u00e8glements de l’Union europ\u00e9enne, dans le cadre du R\u00e8glement g\u00e9n\u00e9ral de protection des donn\u00e9es<\/a> de l’UE qui a \u00e9t\u00e9 approuv\u00e9 par le Parlement europ\u00e9en le 14 avril 2016 et s’appliquera directement \u00e0 partir du 25 mai 2018, la France d\u00e9bat actuellement d’une loi (la loi Projet pour une R\u00e9publique Num\u00e9rique, NOR: EINI1524250L<\/a>) qui anticipera certaines des dispositions de ce r\u00e8glement et \u00e9tendra la protection \u00e0 plus d’un titre. Cette loi peut entrer en vigueur avant le 25 mai 2018.<\/p>\n
Est-ce que des modifications apport\u00e9es \u00e0 la l\u00e9gislation existante en mati\u00e8re de protection des donn\u00e9es sont propos\u00e9es ou attendues dans un proche avenir ?
\nEn plus du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es, plusieurs lois contenant des dispositions sp\u00e9cifiques en mati\u00e8re de protection des donn\u00e9es (par exemple, le projet de loi pour une r\u00e9publique num\u00e9rique) et des modifications apport\u00e9es \u00e0 la Loi sur la protection des donn\u00e9es sont actuellement en discussion. Ces changements propos\u00e9s couvrent divers sujets (par exemple, les emplacements g\u00e9ographiques des centres de donn\u00e9es).<\/p>\n
Cadre juridique<\/h2>\n
L\u00e9gislation :<\/strong> Quelle loi r\u00e9git la collecte, le stockage et l’utilisation des donn\u00e9es personnelles ? La loi de 1978 sur la protection des donn\u00e9es constitue le cadre juridique interne r\u00e9gissant la collecte, le stockage et l’utilisation des donn\u00e9es<\/a> \u00e0 caract\u00e8re personnel.<\/p>\n Plusieurs autres lois techniques et p\u00e9nales pr\u00e9voient des r\u00e8gles sp\u00e9cifiques concernant la protection des donn\u00e9es (p. Ex., Trust in Digital Economy Law, 2001).<\/p>\n Champ d’application et comp\u00e9tence :<\/strong> Qui entre dans le cadre de la l\u00e9gislation ? Les contr\u00f4leurs de donn\u00e9es personnelles rel\u00e8vent de la Loi sur la protection des donn\u00e9es. Un \u00ab contr\u00f4leur de donn\u00e9es personnelles \u00bb est une personne ou une entreprise qui d\u00e9termine les moyens et le but du traitement des donn\u00e9es personnelles. Cette l\u00e9gislation s’applique au contr\u00f4leur de donn\u00e9es lorsque le traitement de donn\u00e9es personnelles fait partie des activit\u00e9s d’au moins un de ses \u00e9tablissements situ\u00e9s dans un \u00c9tat membre de l’UE ou lorsqu’il traite des donn\u00e9es personnelles par des moyens techniques ou humains situ\u00e9s chez un des membres de l’UE.<\/p>\n D’autres personnes physiques ou morales peuvent \u00e9galement entrer dans le champ d’application de la l\u00e9gislation et dans l’application des dispositions p\u00e9nales (par exemple, lorsque la victime d’une infraction p\u00e9nale est fran\u00e7ais).<\/p>\n Quel genre de donn\u00e9es rel\u00e8ve de la l\u00e9gislation ? Les propri\u00e9taires de donn\u00e9es doivent-ils s’inscrire aupr\u00e8s de l’autorit\u00e9 comp\u00e9tente avant de traiter les donn\u00e9es ? Si la finalit\u00e9 ou les moyens du traitement des donn\u00e9es personnelles \u00e9voluent, le responsable du traitement doit notifier l’autorit\u00e9 de ces changements en modifiant la d\u00e9claration initiale ou en d\u00e9posant une nouvelle.<\/p>\n Cependant, le nouveau R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es de l’UE qui s’appliquera \u00e0 partir du 25 mai 2018 ne n\u00e9cessitera pas de telles d\u00e9clarations. \u00c0 partir de cette date, les contr\u00f4leurs de donn\u00e9es devront documenter eux-m\u00eames leur traitement des donn\u00e9es et devront fournir des preuves de leur conformit\u00e9 aux r\u00e8gles de confidentialit\u00e9 en mati\u00e8re d’enqu\u00eate.<\/p>\n L’information concernant les propri\u00e9taires de donn\u00e9es enregistr\u00e9es est-elle accessible au public ? Est-il n\u00e9cessaire de nommer un agent de protection des donn\u00e9es ? Toutefois, avec l’entr\u00e9e en vigueur du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es, la nomination d’un agent de protection des donn\u00e9es deviendra obligatoire pour toutes les autorit\u00e9s publiques et entit\u00e9s o\u00f9 les activit\u00e9s principales du contr\u00f4leur ou du transformateur de donn\u00e9es impliquent un suivi r\u00e9gulier et syst\u00e9matique des personnes concern\u00e9es \u00e0 l’\u00e9chelle ou lorsque l’entit\u00e9 effectue un traitement \u00e0 grande \u00e9chelle de donn\u00e9es personnelles sensibles (p. Ex., donn\u00e9es r\u00e9v\u00e9lant des origines ethniques ou raciales, opinions politiques, croyances religieuses ou philosophiques et orientation sexuelle).<\/p>\n Application de la loi :<\/strong> Quel organisme est responsable de l’application de la l\u00e9gislation sur la protection des donn\u00e9es et quels sont ses pouvoirs ? La CNIL a de vastes pouvoirs de p\u00e9nalisation, ce qui en fait une autorit\u00e9 juridictionnelle conform\u00e9ment \u00e0 la Convention europ\u00e9enne des droits de l’homme.<\/a> La CNIL peut \u00e9mettre des p\u00e9nalit\u00e9s administratives potentiellement s\u00e9v\u00e8res, qui ne sont per\u00e7ues qu’apr\u00e8s un examen contradictoire et font l’objet d’un recours. Ces pouvoirs p\u00e9nalisants doivent \u00eatre \u00e9largis apr\u00e8s l’adh\u00e9sion du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es.<\/p>\n Le R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es pr\u00e9voit \u00e9galement que les \u00c9tats membres de l’UE seront responsables de l’application des dispositions p\u00e9nales relatives aux donn\u00e9es personnelles. \u00c0 cet \u00e9gard, la CNIL peut notifier \u00e0 d’autres autorit\u00e9s comp\u00e9tentes des violations de la protection des donn\u00e9es et prendre des mesures en justice pour ces violations. Afin de fournir une documentation efficace de ces violations, la CNIL a avanc\u00e9 les pouvoirs d’enqu\u00eate qui suivent diverses proc\u00e9dures, selon que le contr\u00f4leur de donn\u00e9es accepte l’enqu\u00eate, l’urgence de la situation, la gravit\u00e9 de la violation ou si la preuve de la violation est d\u00e9truite.<\/p>\n Collecte et gestion :<\/strong> Dans quelles circonstances les donn\u00e9es personnelles peuvent-elles \u00eatre collect\u00e9es, stock\u00e9es et trait\u00e9es ? La collecte, le stockage et le traitement des donn\u00e9es personnelles doivent suivre un ensemble de r\u00e8gles cumulatives.<\/p>\n Tout d’abord, la collecte et le traitement doivent \u00eatre \u00e9quitables et l\u00e9gaux. Cette obligation est \u00e9valu\u00e9e par les juges et implique que le responsable du traitement doit informer les personnes concern\u00e9es du traitement auquel leurs donn\u00e9es sont soumises.<\/p>\n Les op\u00e9rations de traitement doivent \u00e9galement servir un but pr\u00e9cis, explicite et l\u00e9gitime. Les contr\u00f4leurs de donn\u00e9es doivent pr\u00e9senter la justification de l’objet du traitement \u00e0 l’autorit\u00e9 nationale pour le contr\u00f4le des donn\u00e9es (CNIL) avant de s’engager dans de telles op\u00e9rations. La collecte, l’utilisation, l’entreposage et le traitement des donn\u00e9es ne sont licites que dans la mesure o\u00f9 ils rel\u00e8vent du but d\u00e9clar\u00e9 du traitement; Cette obligation est strictement interpr\u00e9t\u00e9e par les juges.<\/p>\n Les donn\u00e9es recueillies doivent \u00eatre ad\u00e9quates, pertinentes et non excessives par rapport au but d\u00e9clar\u00e9 du traitement. Les donn\u00e9es trait\u00e9es doivent \u00e9galement \u00eatre exactes, compl\u00e8tes et \u00e0 jour.<\/p>\n La dur\u00e9e du stockage des donn\u00e9es doit \u00eatre limit\u00e9e conform\u00e9ment au but du traitement. Dans la plupart des cas, la collecte de donn\u00e9es n\u00e9cessite le consentement de la personne concern\u00e9e.<\/p>\n Existe-t-il des limitations ou des restrictions sur la p\u00e9riode pendant laquelle une organisation peut (ou doit) conserver des documents ? Cependant, des donn\u00e9es sp\u00e9cifiques peuvent et doivent parfois \u00eatre archiv\u00e9es, en fonction des obligations l\u00e9gales pertinentes (par exemple, un bailleur de logements sociaux doit tenir des registres des locataires en cas d’enqu\u00eate minist\u00e9rielle confidentielle) ou lorsque les donn\u00e9es sont toujours int\u00e9ressantes (par exemple, si elles peuvent \u00eatre utilis\u00e9es pour respecter une obligation ou emp\u00eacher un conflit l\u00e9gal). Elles ne peuvent \u00eatre stock\u00e9es que dans la mesure o\u00f9 cet int\u00e9r\u00eat existe encore. Il n’y a pas de limite de temps de stockage si les donn\u00e9es contiennent un int\u00e9r\u00eat historique, scientifique ou statistique.<\/p>\n Le d\u00e9lai de stockage des donn\u00e9es varie \u00e9galement en fonction du type de donn\u00e9es \u00e0 stocker. Par exemple, les cookies peuvent \u00eatre actifs pendant 13 mois seulement. Comme autre exemple, les fournisseurs de services Internet et les h\u00e9bergeurs de l’Union europ\u00e9enne doivent garder l’information personnelle des utilisateurs pendant un an pour des besoins potentiels en mati\u00e8re de police ou d’enqu\u00eate judiciaire.<\/p>\n Les individus ont-ils le droit d’acc\u00e9der \u00e0 des informations personnelles \u00e0 leur sujet qui sont d\u00e9tenues par une organisation? Les personnes ont le droit d’acc\u00e9der \u00e0 des donn\u00e9es personnelles \u00e0 leur sujet qui sont d\u00e9tenues, stock\u00e9es ou autrement trait\u00e9es par une personne physique ou morale. Le contr\u00f4leur de donn\u00e9es doit fournir un acc\u00e8s direct et gratuit aux donn\u00e9es pour l’individu. Cependant, certaines donn\u00e9es – telles que les donn\u00e9es trait\u00e9es par une entit\u00e9 publique qui d\u00e9tient un int\u00e9r\u00eat national (par exemple, les donn\u00e9es importantes pour la conduite d’une enqu\u00eate de police confidentielle) – peuvent \u00eatre consult\u00e9es indirectement par la CNIL.<\/p>\n Les individus ont-ils le droit de demander la suppression de leurs donn\u00e9es ? Les individus ont \u00e9galement le droit d’exiger la suppression de leurs donn\u00e9es si elles sont inexactes, incompl\u00e8tes, obsol\u00e8tes, ambigu\u00ebs ou ill\u00e9galement utilis\u00e9es, transf\u00e9r\u00e9es ou stock\u00e9es. Cela s’applique \u00e9galement lorsque la p\u00e9riode de stockage de donn\u00e9es est excessive par rapport au but d\u00e9clar\u00e9 du traitement.<\/p>\n La suppression n’est pas n\u00e9cessairement garantie. Selon le but du traitement, certaines donn\u00e9es pertinentes peuvent \u00eatre pr\u00e9serv\u00e9es.<\/p>\n Obligations de consentement :<\/strong> Le consentement requis avant le traitement des donn\u00e9es personnelles est-il n\u00e9cessaire ? Si le consentement n’est pas fourni, existe-t-il d’autres circonstances dans lesquelles le traitement des donn\u00e9es est autoris\u00e9 ? Quelles informations doivent \u00eatre fournies aux personnes lorsque des donn\u00e9es personnelles sont collect\u00e9es ? Obligations de s\u00e9curit\u00e9 :<\/strong> Des obligations de s\u00e9curit\u00e9 sp\u00e9cifiques doivent-elles \u00eatre respect\u00e9es ? En ce qui concerne les mesures de s\u00e9curit\u00e9 r\u00e9elles, l’autorit\u00e9 nationale de contr\u00f4le des donn\u00e9es (CNIL) exige que les contr\u00f4leurs de donn\u00e9es entreprennent des \u00e9valuations syst\u00e9matiques des risques avant de traiter les donn\u00e9es et de surveiller la stabilit\u00e9 et l’efficacit\u00e9 de leurs syst\u00e8mes de s\u00e9curit\u00e9.<\/p>\n Avis de violation :<\/strong> Les propri\u00e9taires de donn\u00e9es \/ les transformateurs doivent-ils notifier les personnes en cas de violation ? Les propri\u00e9taires \/ transformateurs de donn\u00e9es doivent-ils notifier l’organisme de r\u00e9glementation en cas de violation ? Web marketing :<\/strong> Existe-t-il des r\u00e8gles r\u00e9gissant sp\u00e9cifiquement le web marketing<\/a> non sollicit\u00e9 (spam) ? Cookies :<\/strong> Existe-t-il des r\u00e8gles r\u00e9gissant l’utilisation de cookies ? L’ordonnance minist\u00e9rielle 2011-1012 (24 ao\u00fbt 2011) pr\u00e9voit que l’utilisation des cookies est permise si le consentement de l’utilisateur est obtenu avant que les donn\u00e9es ne soient prises ou stock\u00e9es sur le terminal de l’utilisateur ou si ces actions sont strictement n\u00e9cessaires pour obtenir un service qui a \u00e9t\u00e9 express\u00e9ment exig\u00e9 par l’utilisateur.<\/p>\n En pratique, cela signifie que les sites Web qui utilisent des cookies doivent informer les utilisateurs de :<\/p>\n Selon la CNIL, les cookies peuvent rester actifs pendant une p\u00e9riode maximale de 13 mois<\/p>\n Transfert transfrontalier de donn\u00e9es :<\/strong> Quelles r\u00e8gles r\u00e9gissent le transfert de donn\u00e9es en dehors de notre juridiction ? Cependant, il existe des exceptions \u00e0 cette r\u00e8gle g\u00e9n\u00e9rale. L’autorit\u00e9 nationale de contr\u00f4le des donn\u00e9es (CNIL) peut reconna\u00eetre officiellement certains \u00e9tats offrant une protection des donn\u00e9es satisfaisante et peuvent n\u00e9gocier avec ces \u00e9tats les r\u00e8gles applicables aux transferts transfrontaliers (les \u00c9tats membres de l’UE sont par d\u00e9faut consid\u00e9r\u00e9s comme ayant un niveau suffisant de protection des donn\u00e9es; La CNIL suit habituellement la reconnaissance par la Commission europ\u00e9enne du niveau de protection des donn\u00e9es des \u00c9tats \u00e9trangers). Une fois qu’un accord est conclu, il peut devenir un cadre pour que les deux parties fournissent un niveau de protection satisfaisant.<\/p>\n Sinon, la Commission europ\u00e9enne \u00e9met des clauses contractuelles standard qui, une fois sign\u00e9es entre un \u00e9metteur priv\u00e9 de donn\u00e9es personnelles et un destinataire, garantissent la conformit\u00e9 aux r\u00e8gles de protection des donn\u00e9es. Dans une soci\u00e9t\u00e9 ou un groupe international bas\u00e9 sur plusieurs \u00e9tats avec des r\u00e8gles de confidentialit\u00e9 diff\u00e9rentes, des r\u00e8gles d’entreprise contraignantes peuvent \u00eatre mises en \u0153uvre pour garantir des transferts de donn\u00e9es transfrontaliers conformes.<\/p>\n Les donn\u00e9es personnelles peuvent \u00e9galement \u00eatre transf\u00e9r\u00e9es vers des \u00e9tats qui ne fournissent pas un niveau suffisant de protection des donn\u00e9es si l’une des conditions suivantes est remplie :<\/p>\n La personne concern\u00e9e a express\u00e9ment accept\u00e9 le transfert (cependant, la CNIL n’accepte pas que cette condition soit remplie si le consentement est donn\u00e9 pour les transferts de donn\u00e9es r\u00e9p\u00e9t\u00e9s ou structurels); Le transfert est n\u00e9cessaire pour :<\/p>\n Existe-t-il des restrictions sur le transfert g\u00e9ographique de donn\u00e9es ? Les tierces parties :<\/strong> Les exigences sp\u00e9cifiques s’appliquent-elles aux propri\u00e9taires de donn\u00e9es o\u00f9 les donn\u00e9es personnelles sont transf\u00e9r\u00e9es \u00e0 un tiers pour traitement ? P\u00e9nalit\u00e9s :<\/strong> Quelles sont les p\u00e9nalit\u00e9s potentielles pour le non-respect des dispositions relatives \u00e0 la protection des donn\u00e9es ? Le Code criminel \u00e9num\u00e8re \u00e9galement un certain nombre d’infractions pour non-respect ou violation de la l\u00e9gislation sur la protection des donn\u00e9es, dont la gravit\u00e9 peut entra\u00eener une peine de prison de cinq ans et une amende de 300 000 \u20ac pour les particuliers (l’amende est cinq fois plus \u00e9lev\u00e9e pour les personnes et entit\u00e9s morales). Ces sanctions sont \u00e9mises par les autorit\u00e9s criminelles nationales.<\/p>\n Compensation :<\/strong> Les personnes ont-elles droit \u00e0 une indemnit\u00e9 pour les pertes subies en raison d’une violation des donn\u00e9es ou du non-respect des dispositions relatives \u00e0 la protection des donn\u00e9es par le propri\u00e9taire des donn\u00e9es ? L\u00e9gislation, r\u00e9glementation et application de la cybers\u00e9curit\u00e9 :<\/strong> Des lois ont-elles \u00e9t\u00e9 introduites dans votre juridiction pour couvrir sp\u00e9cifiquement la cybercriminalit\u00e9 et \/ ou la cybers\u00e9curit\u00e9 ? \u00c0 titre d’exemple, une infraction li\u00e9e au cyberespace qui a \u00e9t\u00e9 introduite dans le droit p\u00e9nal fran\u00e7ais est la violation automatis\u00e9e du syst\u00e8me de traitement des donn\u00e9es, cr\u00e9\u00e9e par la loi 92-685 (22 juillet 1992). Cette loi interdit l’acc\u00e8s frauduleux (c.-\u00e0-d. Volontaire et non autoris\u00e9) \u00e0 un syst\u00e8me automatis\u00e9. Cette infraction est aggrav\u00e9e si les donn\u00e9es du syst\u00e8me sont extraites, modifi\u00e9es ou d\u00e9velopp\u00e9es, ou si les fonctions du syst\u00e8me sont modifi\u00e9es ou corrompues.<\/p>\n De fa\u00e7on similaire, les infractions li\u00e9es aux donn\u00e9es personnelles sont p\u00e9nalis\u00e9es conform\u00e9ment au Code criminel.<\/p>\n Quelles sont les autres consid\u00e9rations r\u00e9glementaires importantes concernant la cybers\u00e9curit\u00e9 dans votre juridiction (y compris les normes internationales qui ont \u00e9t\u00e9 adopt\u00e9es) ? Quelles cyber-activit\u00e9s sont criminalis\u00e9es dans votre juridiction ? Quelles sont les autorit\u00e9s responsables de l‘application des r\u00e8gles de cybers\u00e9curit\u00e9<\/a> ?
\nLe \u00ab traitement des donn\u00e9es \u00bb<\/a> englobe toutes les op\u00e9rations ou les op\u00e9rations concernant les donn\u00e9es personnelles (p. Ex. Collecte de donn\u00e9es personnelles, stockage, utilisation de la modification et suppression).<\/p>\n
\nLa Loi sur la protection des donn\u00e9es ne r\u00e9git que le traitement des donn\u00e9es personnelles. Les \u00ab donn\u00e9es personnelles \u00bb sont consid\u00e9r\u00e9es comme des informations relatives \u00e0 une personne physique identifi\u00e9e ou identifiable. Une \u00ab personne identifiable \u00bb est celle qui peut \u00eatre identifi\u00e9e directement ou indirectement, en particulier par r\u00e9f\u00e9rence \u00e0 un num\u00e9ro d’identification ou \u00e0 un ou plusieurs facteurs sp\u00e9cifiques \u00e0 son identit\u00e9 physique, physiologique, mentale, \u00e9conomique, culturelle ou sociale.<\/p>\n
\nAvant de traiter les donn\u00e9es personnelles, les contr\u00f4leurs de donn\u00e9es personnelles doivent s’inscrire aupr\u00e8s de l’autorit\u00e9 nationale de contr\u00f4le des donn\u00e9es (CNIL). Bien que la plupart des traitements n\u00e9cessitent simplement une d\u00e9claration de traitement des donn\u00e9es personnelles (qui comprend une documentation d\u00e9taill\u00e9e concernant le type de donn\u00e9es trait\u00e9es, la finalit\u00e9 du traitement et la dur\u00e9e de stockage des donn\u00e9es), le traitement de donn\u00e9es personnelles particuli\u00e8rement sensibles (p. Ex. donn\u00e9es m\u00e9dicales et biom\u00e9triques) est soumise \u00e0 l’autorisation pr\u00e9alable formelle de l’autorit\u00e9.<\/p>\n
\nLes d\u00e9clarations et autorisations enregistr\u00e9es par la CNIL sont accessibles au public.<\/p>\n
\nIl n’y a actuellement aucune obligation concernant la nomination d’un agent de protection des donn\u00e9es. La d\u00e9signation d’un agent de protection des donn\u00e9es doit simplement \u00eatre notifi\u00e9e \u00e0 la CNIL.<\/p>\n
\nLa CNIL<\/a> est responsable de l’application des r\u00e8gles de protection des donn\u00e9es en France. Sa mission est d’informer le public et les contr\u00f4leurs de donn\u00e9es personnelles concernant leurs droits et obligations r\u00e9ciproques. Elle joue \u00e9galement un r\u00f4le consultatif pour le gouvernement, ce qui implique \u00e0 la fois la publication des rapports sur les pratiques et les probl\u00e8mes de donn\u00e9es personnelles et la consultation direct des fonctionnaires lors de la pr\u00e9paration de la l\u00e9gislation relative \u00e0 la protection des donn\u00e9es<\/p>\nCollecte et stockage des donn\u00e9es<\/h2>\n
\nLes donn\u00e9es recueillies ne doivent \u00eatre conserv\u00e9es que pendant une dur\u00e9e conforme \u00e0 l’objet de son traitement. Une fois que l’objectif de la collecte des donn\u00e9es a \u00e9t\u00e9 respect\u00e9, les donn\u00e9es doivent \u00eatre supprim\u00e9es.<\/p>\n
\nLes individus ont le droit de s’opposer au traitement de leurs donn\u00e9es pour des raisons l\u00e9gitimes et d\u00e9cisives.<\/p>\n
\nAvant de traiter les donn\u00e9es personnelles, le contr\u00f4leur de donn\u00e9es doit obtenir le consentement explicite, gratuit, sp\u00e9cifique et \u00e9clair\u00e9 de l’individu.<\/p>\n
\nLe consentement au traitement des donn\u00e9es personnelles n’est pas n\u00e9cessaire dans cinq cas. Le contr\u00f4leur de donn\u00e9es doit prouver qu’il remplit toutes les exigences pour l’un de ces cas. En particulier, il n’y a pas besoin de consentement si :<\/p>\n\n
\nLors de la collecte des donn\u00e9es, l’individu doit recevoir des informations sur :<\/p>\n\n
S\u00e9curit\u00e9 des donn\u00e9es et notification de violation<\/h2>\n
\nLe droit fran\u00e7ais et la directive europ\u00e9enne sur la protection des donn\u00e9es indiquent que le responsable du traitement doit assurer la s\u00e9curit\u00e9 et la confidentialit\u00e9 des donn\u00e9es personnelles qu’il traite. Cela inclut l’obligation de ne pas autoriser une personne ou un organisme non autoris\u00e9 \u00e0 acc\u00e9der aux donn\u00e9es. Certaines autorit\u00e9s (par exemple, les juges ou les agents administratifs dans des cas sp\u00e9cifiques) sont consid\u00e9r\u00e9es comme autoris\u00e9es par la loi, ainsi que toute personne sous l’autorit\u00e9 directe du responsable du traitement ou de ses sous-traitants.<\/p>\n
\nSi les fournisseurs de services de communication \u00e9lectronique (par exemple, les fournisseurs de services Internet) subissent une violation des donn\u00e9es personnelles – qui comprend des violations d\u00e9lib\u00e9r\u00e9es de la s\u00e9curit\u00e9 par des tiers et des pertes accidentelles ou la corruption de donn\u00e9es – ils doivent informer les personnes dont les donn\u00e9es personnelles ou la vie priv\u00e9e pourraient \u00eatre viol\u00e9es sans retard inutile. \u00c0 moins que la CNIL ne d\u00e9termine que les mesures de s\u00e9curit\u00e9 prises par la cible de la violation des donn\u00e9es sont satisfaisantes, auquel cas le fournisseur de services de communication n’est pas tenu d’informer les particuliers.<\/p>\n
\nSi un fournisseur de services de communication \u00e9lectronique subit une violation des donn\u00e9es personnelles – qu’il soit menac\u00e9 par les droits d’un particulier -, la CNIL doit \u00eatre inform\u00e9e dans les 24 heures suivant la d\u00e9couverte de la violation. Cette notification doit inclure une description pr\u00e9cise de l’\u00e9tendue et de la nature de la violation, ainsi que des mesures prises ou propos\u00e9es par le responsable du traitement afin de rem\u00e9dier \u00e0 la violation et limiter les dommages subs\u00e9quents.<\/p>\nCommercialisation \u00e9lectronique et utilisation d\u2019Internet<\/h2>\n
\nLe droit Trust in Digital Economy<\/a> pr\u00e9voit que toute prospection commerciale par t\u00e9l\u00e9phone, fax ou communication \u00e9lectronique est interdite sans l’accord pr\u00e9alable de la personne concern\u00e9e. Une telle prospection doit toujours indiquer l’adresse du prospecteur et donner la possibilit\u00e9 de se d\u00e9sabonner de ces communications. La CNIL contr\u00f4le l’application de ces r\u00e8gles et peut infliger des amendes pour un web marketing non sollicit\u00e9 jusqu’\u00e0 3 000 \u20ac pour une personne physique et 15 000 \u20ac pour une personne morale.<\/p>\n\n
Transfert de donn\u00e9es et tiers<\/h2>\n
\nLa l\u00e9gislation fran\u00e7aise (et donc la l\u00e9gislation de l’UE aussi) est consid\u00e9r\u00e9e comme \u00e9tablissant la norme pour le niveau requis de protection des donn\u00e9es personnelles. Ainsi, les transferts de donn\u00e9es personnelles transfrontaliers ne sont normalement possibles que si les donn\u00e9es sont transf\u00e9r\u00e9es dans un \u00e9tat qui offre un niveau de protection comparable \u00e0 celui de la France.<\/p>\n\n
\nLes donn\u00e9es personnelles ne peuvent \u00eatre transf\u00e9r\u00e9es qu’aux \u00e9tats qui fournissent un niveau satisfaisant de protection des donn\u00e9es ou \u00e0 d’autres pays selon les proc\u00e9dures d\u00e9taill\u00e9es ci-dessus.<\/p>\n
\nLe transfert de donn\u00e9es d’un contr\u00f4leur de donn\u00e9es \u00e0 un sous-traitant pour le traitement doit \u00eatre arrang\u00e9 contractuellement et fixer les m\u00eames obligations de s\u00e9curit\u00e9 et de confidentialit\u00e9 pour le r\u00e9cepteur que pour le contr\u00f4leur de donn\u00e9es lui-m\u00eame. Le r\u00e8glement g\u00e9n\u00e9ral de la protection des donn\u00e9es de l’UE devrait \u00e9galement cr\u00e9er de nombreuses possibilit\u00e9s pour le sous-traitant d’h\u00e9riter des obligations du contr\u00f4leur de donn\u00e9es, si son r\u00f4le d\u00e9passe celui d’un interpr\u00e8te simple pour le contr\u00f4leur de donn\u00e9es.<\/p>\nP\u00e9nalit\u00e9s et indemnit\u00e9s<\/h2>\n
\nLes sanctions administratives pour non-respect de la r\u00e9glementation de la protection des donn\u00e9es sont administr\u00e9es par l’autorit\u00e9 nationale pour le contr\u00f4le des donn\u00e9es (CNIL). Elle peut infliger des amendes pour les personnes physiques jusqu’\u00e0 150 000 \u20ac pour une premi\u00e8re infraction et 300 000 \u20ac pour une deuxi\u00e8me infraction qui se produit moins de cinq ans apr\u00e8s la premi\u00e8re infraction.<\/p>\n
\nLes individus peuvent exiger une compensation pour les pertes subies en raison de la violation des donn\u00e9es ou du non-respect des r\u00e8gles de protection des donn\u00e9es en intentant des poursuites devant les autorit\u00e9s nationales. Il est \u00e9galement possible de d\u00e9poser une action en recours collectif pour non-respect des dispositions relatives \u00e0 la protection des donn\u00e9es.<\/p>\nLa cyber-s\u00e9curit\u00e9<\/h2>\n
\nLa France a des lois couvrant des infractions sp\u00e9cifiques qui ne peuvent se produire que num\u00e9riquement, bien que la plupart des infractions et p\u00e9nalit\u00e9s stipul\u00e9es dans ces lois aient simplement \u00e9t\u00e9 adapt\u00e9es de la l\u00e9gislation pr\u00e9c\u00e9dente pour tenir compte de l’environnement num\u00e9rique actuel. A titre d\u2019exemple, certaines infractions peuvent constituer un facteur aggravant lorsque le crime est commis sur Internet (en particulier pour la pornographie infantile).<\/p>\n
\nDe nombreuses directives et meilleures pratiques en mati\u00e8re de cybers\u00e9curit\u00e9 ont \u00e9t\u00e9 \u00e9mises par diverses organisations, y compris l’autorit\u00e9 nationale pour le contr\u00f4le des donn\u00e9es (CNIL), et peuvent \u00eatre utilis\u00e9es comme r\u00e9f\u00e9rence dans les litiges relatifs aux violations de donn\u00e9es.<\/p>\n
\nOutre la violation des syst\u00e8mes automatis\u00e9s de traitement des donn\u00e9es, de nombreuses activit\u00e9s cybern\u00e9tiques sont criminalis\u00e9es, y compris la falsification du protocole Internet, le vol d’identit\u00e9 et les agressions physiques film\u00e9es sur les appareils mobiles et la diffusion en ligne de ces images ou \u00ab happy slapping \u00bb.<\/p>\n
\nLes r\u00e8gles de cybers\u00e9curit\u00e9 sont appliqu\u00e9es \u00e0 la fois par la CNIL et par les autorit\u00e9s nationales.<\/p>\n
![\"Business,](\"https:\/\/academy.visiplus.com\/blog\/wp-content\/uploads\/2017\/08\/Fotolia_137139935_Subscription_Monthly_M.jpg\")
<\/a><\/p>\n