Blog

Dans un arrêt 6B_1207/2018 du 17 mai 2019, destiné la publication au recueil des ATF, le Tribunal fédéral (TF) a dû analyser la question de savoir si le fait de trouver par hasard le mot de passe permettant d’accéder à un compte e-mail puis d’utiliser ledit mot de passe pour accéder au compte en question est punissable en vertu de l’article 143bis du Code pénal (CP). Quiconque s’introduit sans droit, au moyen d’un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part est, sur plainte, puni d’une peine privative de liberté de trois ans au plus ou d’une peine pécuniaire. ...

Deux cas de voyeurisme ont été tranchés en ce début d’année 2019 par la justice canadienne, l’un par la Cour Suprême, l’autre par la Cour d’appel de l’Ontario. Au Canada, le “voyeurisme” est une infraction pénale (art. 162 par. 1 du Code criminel) passible d’une peine privative de liberté de 5 ans au maximum. Commet une infraction quiconque, subrepticement, observe, notamment par des moyens mécaniques ou électroniques, une personne — ou produit un enregistrement visuel d’une personne — se trouvant dans des circonstances pour lesquelles il existe une attente raisonnable de protection en matière de vie privée, dans l’un des cas suivants : a) la personne est dans un lieu où il est raisonnable de s’attendre à ce qu’une personne soit nue, expose ses seins, ses organes génitaux ou sa région anale ou se livre à une activité sexuelle explicite ; b) la personne est nue, expose ses seins, ses organes génitaux ou sa région anale ou se livre à une activité sexuelle explicite, et l’observation ou l’enregistrement est fait dans le dessein d’ainsi observer ou enregistrer une personne ; c) l’observation ou l’enregistrement est fait dans un but sexuel. ...

La Cour européenne des droits de l’homme (CourEDH) a rendu un arrêt (en anglais) le 24 janvier 2019 dans la cause CATT v. UNITED-KINGDOM n° 43514/15 sur la compatibilité du traitement de données personnelles par un organisme étatique avec l’article 8 de la Convention européenne des droits de l’homme (CEDH). Faits Le requérant milite activement pour la paix depuis 1948. En 2005, il commença à participer à des manifestations organisées par un groupe protestataire violent, qui donnaient lieu à une forte présence policière. Il n’avait lui-même jamais été condamné pour une quelconque infraction et le risque qu’il commît des violences était faible. ...

L’autorité de protection des données des Pays-Bas a indiqué il y a quelques semaines, après avoir reçu de nombreuses plaintes, que les cookie walls n’étaient pas conformes au RGPD. Un cookie wall est un dispositif qui empêche un internaute d’accéder à un service (par ex. un site web) s’il n’a pas accepté que des cookies de tracking soient installés sur son périphérique. Un tel cookie wall n’est donc pas admissible au sens du RGPD car l’internaute n’est pas libre de donner son consentement à un traitement de données visant à analyser son comportement. En effet, l’internaute est confronté à un choix qui exerce sur lui une pression non négligeable : soit il renonce à un peu de vie privée pour accéder au service, soit il n’y accède pas. Le choix n’est donc ni libre, ni réel, puisque l’internaute s’expose à des conséquences en cas de refus. ...

2018 a été un tournant en Europe et dans le monde dans le domaine de la sphère privée et de la protection des données. L’application du RGPD en mai a provoqué un vent de panique dans les milieux économiques, similaire à un krack boursier (toutes proportions gardées). Tout le monde ne parlait que de ça. Un temps entretenu par des experts, des articles et autres allocutions qui rappelaient à qui voulait l’entendre les importants risques financiers encourus en cas de violation, le soufflé a fini par retomber. Désormais, ce sont les autorités de protection des données des États membres de l’UE et la CJUE qui tiennent le monde en haleine respectivement avec les sanctions (comme celle de Google) et les interprétations des textes de loi. ...

Le communiqué de presse de la CNIL a fait l’effet d’une petite bombe et a rapidement fait le tour du monde lundi 21 janvier 2019. En raison de son manque de transparence, d’informations lacunaires et de la validité défaillante du consentement des internautes pour la personnalisation de la publicité, la CNIL française a infligé une amende de 50 millions d’euros à Google. Cette décision fait suite aux plaintes déposées par l’association NOYB de Max Schrems dont j’avais parlé ici et par La Quadrature du Net (LQDN). ...

En septembre 2014, McKinsey estimait que chaque voiture générait 25 gigaoctets de données par heure. Sans aller aussi loin que Tesla avec ses voitures ultra connectées, les voitures sont de plus en plus bardées d’électroniques et de capteurs qui récolent une grande quantité de données. Il n’est ainsi pas rare que les contrats de service, de vente ou de leasing de voitures relativement récentes incluent des clauses concernant la collecte de données concernant le véhicule… mais aussi son détenteur. ...

[Mise à jour du 29 juillet 2019 : la CJUE a confirmé l’avis de l’avocat général ci-dessous. Liens vers le communiqué de presse et l’arrêt.] [Mise à jour du 30 juillet 2019 : ma réaction au micro de la RTS, à partir de 1 minute 03.] Avant-hier, l’avocat général de la Cour de justice de l’Union européenne (CJUE) a rendu ses conclusions dans le cadre de l’affaire C-40/17 opposant Fashion ID (une société de vente en ligne) et Verbraucherzentrale NRW (une association allemande de protection des consommateurs). ...

[Mise à jour du 16 novembre 2019 : la version définitive des lignes directrices a été publiée le 12 novembre 2019 et peut être consultée ici.] Le Comité Européen de la Protection des Données (CEPD, ou EDPB en anglais) a lancé une consultation publique sur de nouvelles lignes directrices relatives à l’application territoriale du RGPD, adoptées le 16 novembre 2018. Voici en substance la vision du CEPD sur cette question hautement importante pour un pays tiers comme la Suisse. ...

Conformément à l’art. 35 al. 4 RGPD, dans une délibération n° 2018-327 du 11 octobre 2018, publiée au journal officiel du 6 novembre 2018, la CNIL a publié la liste des traitements de données personnelles qui nécessitent une analyse d’impact relative à la protection des données. L’art. 35 RGPD impose au responsable de traitement d’effectuer avant la mise en œuvre ou la modification d’un traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données. Cette analyse d’impact doit être effectuée lorsque le traitement envisagé est susceptible, compte tenu de la nature, de la portée, du contexte et des finalités du traitement, d’engendrer un risque élevé pour les droits et libertés des personnes physiques. ...