TECHNOLOGIES DE L’INFORMATION : NOUVELLES LIGNES DIRECTRICES DE LA CNIL RELATIVE AUX COOKIES ET AUTRES TRACEURS (Délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l’application de l’art. 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux cookies et autres traceurs), publiée au JORF du 18 juillet 2019)

Comme annoncé dans son communiqué en date du 28 juin 2019 (v. notre précédent Flash Actu), la CNIL a publié ses nouvelles lignes directrices relatives aux cookies et autres traceurs, sous la forme d’une Délibération parue au JORF du 18 juillet dernier. Cette délibération abroge (et remplace) la recommandation de la CNIL du 5 décembre 2013 qui préconisait le fameux « bandeau cookies ».

Elle rappelle utilement que les règles relatives aux traceurs, figurant actuellement à l’article 82 de la loi « Informatique et libertés », ont une source (la directive 2002/58/CE du 12 juillet 2002 modifiée par la directive 2009/136/CE du 25 novembre 2009, dite « vie privée et communication électronique », en cours de révision, ci-après « la Directive ») distincte du RGPD. Les deux textes ont d’ailleurs un champ d’application différent : en effet, les règles issues de la Directive régissent l’utilisation d’un traceur pour lire ou inscrire des informations sur le terminal d’un utilisateur, que les données en cause soient personnelles ou non. Mais, si un traitement de données personnelles est effectué au moyen de ce traceur, alors ce traitement devra respecter également le RGPD.

Les nouvelles lignes directrices s’appliquent quels que soient les traceurs en cause (cookies http, cookies flash, identifiants par calcul d’empreinte d’un terminal, identifiants générés par le système d’exploitation ou identifiants du terminal lui-même…), les terminaux utilisés (ordinateurs, smartphones, tablettes, consoles, télévisions ou véhicules connectés, etc.), les systèmes d’exploitation et la nature de la connexion.

On sait que la Directive subordonne l’utilisation d’un traceur au consentement préalable de l’utilisateur du terminal concerné (sous réserve de quelques exceptions). S’appuyant notamment sur la position du Comité Européen à la protection des données (« CEPD ») quant à la révision de la Directive et à son articulation avec le RGPD, la CNIL considère que ce consentement doit répondre aux mêmes exigences que celui défini par ce dernier texte.

Par suite, l’utilisation d’un traceur est subordonnée à un accord de l’utilisateur qui doit s’exprimer « de manière libre, éclairée et univoque par une déclaration ou un acte positif clair ».

La liberté du consentement implique que l’utilisateur ne subisse pas d’inconvénients majeurs s’il refuse le traceur ou retire son consentement à l’utilisation de ce dernier. Par suite, le blocage, dans une telle hypothèse, du site Web ou de l’application est considéré par la CNIL comme non conforme aux textes.

Le consentement est éclairé si l’utilisateur est informé (en termes simples et clairs) (i) de l’identité de l’opérateur, (ii) de la ou des finalités des opérations de lecture ou d’écriture des données, (iii) de l’existence du droit de retirer son consentement.

Et si l’opération de lecture ou d’écriture implique ou est suivie d’un traitement de données personnelles fondé juridiquement sur le consentement, l’information doit être complétée pour respecter les exigences du RGPD en la matière. La CNIL précise que l’utilisateur doit pouvoir identifier l’ensemble des entités ayant recours à des traceurs, ce qui implique que soit affichée, au moment du recueil de son consentement, la liste exhaustive et à jour de ces entités.

Le consentement doit encore être spécifique, c’est-à-dire que si le traceur est utilisé pour plusieurs finalités, l’utilisateur doit en être informé et être en mesure d’accepter ou refuser chaque utilisation distinctement.

Enfin, le consentement doit être univoque et se manifester par un acte positif, en sorte la poursuite de la navigation sur un site ou de l’utilisation d’une application, comme le recours à des cases pré-cochées ou encore l’acceptation globale de conditions générales d’utilisation, ne sont pas, ou plus, des modalités valables de recueil du consentement.

La CNIL estime encore que le recours au paramétrage du navigateur ou du terminal ne permet pas, en l’état de la technique, de recueillir valablement le consentement, mais aussi qu’une évolution de ces outils de manière à ce qu’ils répondent aux exigences légales est possible.

La délibération souligne également que le consentement doit pouvoir être retiré par l’utilisateur à tout moment et de manière simple, au moyen de solutions « conviviales ».

In fine, elle rappelle qu’en vertu de la Directive, les traceurs ayant pour finalité exclusive de permettre ou faciliter la communication électronique, ou strictement nécessaires à la fourniture d’un service à la demande de l’utilisateur, échappent à l’exigence du consentement, et précise les conditions auxquelles les traceurs de mesure d’audience peuvent être exonérés de cette exigence.

Ces nouvelles lignes directrices signent la fin des « bandeaux cookies » et les acteurs du numérique vont avoir fort à faire pour s’y conformer.

DROIT D’AUTEUR ET LIBERTÉ D’EXPRESSION : LA BALANCE DES INTÉRÊTS SELON LA CJUE (CJUE Grande Chambre, 29 juillet 2019, Aff. C-469/17 « Funke Medien », C-476/17 « Pelham » et C-516/17 « Spiegel Online »)

Par ces trois arrêts rendus en Grande Chambre au cœur de l’été, sur questions préjudicielles de la Cour Fédérale allemande (le Bundesgerichtshof), la Cour de Justice de l’Union Européenne (« Cour de Justice ») énonce sa doctrine au sujet du conflit qui oppose parfois le droit d’auteur et la liberté d’expression, dont on sait qu’ils sont l’un et l’autre des droits fondamentaux, protégés à ce titre à la fois par la Convention européenne de sauvegarde des droits de l’Homme et des libertés fondamentales, dont le respect est assuré par la Cour Européenne des droits de l’homme (« CEDH »), et par la Charte des droits fondamentaux de l’Union européenne, appliquée par la Cour de Justice.

La position de cette dernière peut se résumer de la manière suivante : l’harmonisation opérée par la directive 2001/29/CE du 22 mai 2001 relative au droit d’auteur et aux droits voisins dans la société de l’information vise notamment, selon ses Considérants (3) et (31), à assurer un juste équilibre entre le droit d’auteur et les droits voisins d’une part, et la liberté d’expression d’autre part, en définissant les prérogatives qui les composent et les exceptions auxdites prérogatives.

La liste de ces exceptions étant par ailleurs exhaustive, la nécessité de préserver l’effectivité de cette harmonisation exclut que la liberté d’expression justifie des exceptions ou dérogations aux droits exclusifs en dehors de celles prévues par la directive.

Il en résulte que la balance des intérêts doit être réalisée exclusivement au sein des dispositions de la directive (et donc, des règles des droits nationaux qui en sont issues).

D’une part, cela peut conduire à interpréter la portée d’une prérogative du droit d’auteur ou d’un droit voisin de manière moins large qu’il n’est traditionnellement admis dans la jurisprudence de la Cour, dès lors que sa finalité essentielle (ou, pourrait-on dire, son « objet spécifique ») est préservée (Aff. « Pelham », à propos du droit de reproduction du producteur de phonogrammes).

D’autre part et réciproquement, les exceptions au droit d’auteur et aux droits voisins doivent être interprétées de manière à sauvegarder leur « effet utile » et à respecter leur finalité, une telle exigence « revêtant une importance particulière » lorsqu’elles contribuent, comme l’exception à fin d’information et l’exception de citation, à garantir la liberté d’expression.

C’est admettre sans l’avouer que la liberté d’expression justifie de déroger au principe d’interprétation stricte des exceptions lorsque celles-ci visent à assurer le jeu de cette liberté.

En synthèse, selon ces trois arrêts, qui comportent aussi des développements intéressants sur les deux exceptions précitées, sur les liens hypertextes et sur l’originalité, les dispositions de la directive 2001/29 ont tracé un équilibre entre droit d’auteur et liberté d’expression dont le juge a charge d’assurer la pleine efficacité lorsqu’il les interprète, en opérant alors la balance des intérêts, mais dont il ne saurait s’affranchir pour créer de nouvelles limitations au droit d’auteur ou aux droits voisins.

On peut douter de la compatibilité complète entre cette solution et la position de la CEDH, mais c’est alors, au fond, la coexistence de deux ordres juridiques et juridictionnels indépendants qui est en cause.

DONNÉES PERSONNELLES : L’INTRODUCTION DU BOUTON  « j’aime » DU RÉSEAU FACEBOOK SUR UN SITE WEB, SOURCE DE RESPONSABILITÉ CONJOINTE (CJUE deuxième chambre, 29 juillet 2019, Aff. C-40/17 « Fashion ID »).

Par l’arrêt rapporté, la Cour de Justice de l’Union Européenne (ci-après « la Cour de justice ») a eu à se prononcer sur un ensemble de questions d’une grande importance pratique en matière de données personnelles à l’aune de la directive 95/46/CE alors applicable au litige (aujourd’hui abrogée et remplacée par le Règlement (UE) 2016/679 du 27 avril 2016, le « RGPD »), relatives à l’insertion sur un site Web d’un bouton « J’aime » du réseau social Facebook.

Précisons, au préalable, que les réponses apportées par la Cour de justice, bien que fondées sur un texte aujourd’hui abrogé, valent toujours, à notre sens, dans le cadre du RGPD aujourd’hui en vigueur, les notions en jeu n’ayant pas été remises en cause par ce texte qui, au contraire, les conforte.

Il s’agissait de déterminer, en substance, si l’opérateur du site au sein duquel est inséré le bouton « J’aime » peut être responsable du traitement de données personnelles des internautes transmises à Facebook du fait de cette opération, alors qu’il n’a pas d’incidence sur ce traitement ; corrélativement, il s’agissait de déterminer auquel des deux acteurs en présence, opérateur du site ou Facebook, incombe (i) l’obligation d’information des internautes, (ii) l’obligation de recueil de leur consentement, si celui-ci fonde le traitement et, (iii) dans l’hypothèse où ledit traitement serait fondé sur l’intérêt légitime du responsable de traitement, si cet intérêt légitime est celui de l’opérateur du site ou du réseau social.

Au plan factuel, la Cour de justice relève que l’insertion du bouton « J’aime » sur un site Web a pour effet la collecte, par le navigateur du visiteur du site, de ses données de navigation et leur transmission au fournisseur dudit bouton, en l’occurrence Facebook, sans que l’opérateur du site ait connaissance des données ainsi transmises, et indépendamment (i) du fait que l’internaute soit membre du réseau social et (ii) qu’il ait cliqué sur ledit bouton, ou non.

Dans la mesure où la notion de « responsable » de traitement s’entend, dans la directive interprétée par la Cour de justice comme dans le RGPD, de la personne qui détermine la « finalité et les moyens » dudit traitement, on comprend l’hésitation de la juridiction de renvoi à qualifier ainsi l’opérateur qui insère le fameux bouton « J’aime » sur son site.

Toutefois, partant de la prémisse que plusieurs acteurs peuvent être conjointement responsables d’un même traitement, à des stades et selon des degrés d’implication différents, la Cour décide que l’opérateur du site est responsable conjoint, avec Facebook, du traitement des données en cause.

Pour cela, elle relève notamment que la transmission des données à Facebook via le bouton « J’aime » est l’une des étapes du traitement et que l’opérateur du site était conscient de l’incidence de l’insertion d’un tel bouton sur son site, sans laquelle la collecte et transmission des données à Facebook n’auraient pu avoir lieu. Autrement dit, en décidant d’insérer un tel bouton sur son site Web, l’opérateur a déterminé, dans cette mesure, les moyens du traitement.

Et, cet outil lui permettant d’optimiser la publicité pour ses produits sur Facebook (lorsque le visiteur clique sur le bouton « J’aime »), moyennant la possibilité, pour cette dernière, d’exploiter les données transmises à des fins commerciales, l’opérateur du site, en recourant à cet outil, a déterminé la finalité commerciale du traitement conjointement avec Facebook.

La responsabilité de l’opérateur est néanmoins limitée aux étapes du traitement dont il a effectivement déterminé les moyens et les finalités, ce qui n’inclut pas le traitement des données réalisé par Facebook postérieurement à leur transmission via le bouton « J’aime ».

Logiquement, il incombe à l’opérateur du site de délivrer aux internautes l’information requise par les textes (aujourd’hui, le RGPD) s’agissant de l’étape du traitement dont il est responsable (en l’occurrence, la transmission de données à Facebook via le bouton « J’aime »), et de recueillir leur consentement pour cette étape du traitement si elle est fondée sur ce consentement. Si en revanche cette étape du traitement était fondée sur l’intérêt légitime, c’est celui de l’opérateur qu’il conviendrait de prendre en compte.

Où l’on voit que le contrat entre co-responsables de traitement exigé par l’article 26 du RGPD pour définir leurs obligations respectives à l’égard du ou des traitements en cause se révèle d’une grande utilité pratique !

DROITS VOISINS : LE NOUVEAU DROIT VOISIN DES AGENCES ET ÉDITEURS DE PRESSE (Loi n°2019-775 du 24 juillet 2019 tendant à créer un nouveau droit voisin au profit des agences de presse et des éditeurs de presse)

La loi du 24 juillet 2019 instaure un nouveau droit voisin au profit des éditeurs et agences de presse, transposant ainsi, avec une rapidité rare, l’article 15 de la Directive 2019/790 du 17 avril 2019 sur le droit d’auteur et les droits voisins dans le marché économique numérique.

Pour cela, elle ajoute au Livre II de la première partie du Code de la Propriété Intellectuelle, consacré aux droits voisins, un Chapitre VIII intitulé « Droits des éditeurs de presse et agences de presse ».

Le nouvel article L.218-1 qui ouvre ce chapitre définit en premier lieu l’objet du droit, qui est la « publication de presse », entendue comme une collection d’œuvres « principalement » littéraires et journalistiques, mais aussi d’images fixes ou animées, constituant « une unité au sein d’une publication périodique ou régulièrement actualisée portant un titre unique », quel que soit son support, destinée à fournir des informations sur l’actualité (ou d’autres sujets). Elle doit être publiée à l’initiative, sous la responsabilité éditoriale et le contrôle d’une agence ou d’un éditeur de presse.

En second lieu, il définit les titulaires de ce droit, qui sont donc les agences de presse (par référence à l’ordonnance n°45-2646 du 2 novembre 1945), et les éditeurs de presse (« les personnes physiques ou morales qui éditent… une publication de presse » !).

L’article L.218-2 du nouveau chapitre VIII définit le droit lui-même, qui confère à son titulaire le pouvoir d’autoriser « toute reproduction ou communication au public totale ou partielle de ses publications de presse sous une forme numérique et par un service de communication au public en ligne ».

La finalité très ciblée du nouveau droit voisin apparaît ainsi clairement : il s’agit, on le sait, de conférer aux agences et éditeurs de presse la faculté de monnayer la réutilisation de leur publication par les opérateurs du Web tels que les moteurs de recherche et les agrégateurs de contenus en ligne.

Le nouveau Chapitre VIII régit enfin la rémunération espérée en contrepartie de ce nouveau droit voisin, qui devra être en principe assise sur les recettes d’exploitation, directes ou indirectes, des services de communication au public en ligne, et devra profiter également aux auteurs des œuvres intégrées dans les publications de presse de manière « appropriée et équitable ». Dans l’hypothèse où auteurs et titulaires du droit ne parviendraient pas à s’entendre sur ce partage, est prévu le recours à une commission ad hoc, dont le législateur français use volontiers en la matière.

Toutes les dispositions régissant le nouveau droit ne figurent cependant pas dans le nouveau Chapitre VIII.

Ainsi, sa durée, limitée à « deux ans à compter du 1er janvier de l’année civile suivant celle de la première publication d’une publication de presse », est énoncée à l’article L.211-4 du Code, qui régit déjà celles des autres droits voisins.

Et les exceptions à ce droit figurent, pour celles communes aux autres droits voisins, à l’article L.211-3 du Code, et pour les autres, dans un nouvel article L.211-3-1. Selon ce nouveau texte, les bénéficiaires du droit voisin ne pourront interdire (i) la création de liens hypertextes vers leurs publications de presse et (ii) l’utilisation de mots isolés ou de très courts extraits de ces publications, à condition que l’efficacité du droit ne soit pas affectée, ce qui serait le cas si l’extrait se substituait à la publication ou dispenserait l’internaute de s’y référer.

On se doute que l’efficacité du nouveau droit voisin dépendra d’une part de l’interprétation qui sera donnée de cette dernière exception et, d’autre part, de la bonne volonté des grands opérateurs du Web à le respecter.

Legal notice – website Passa Varet Avocats

The website www.passa-varet.legal is published by:
Passa Varet Avocats
Publication director: Vincent Varet
SELARL (limited liability company formed by persons carrying on a professional activity) with share capital of 15 015 €
RCS : 802 395 301
Registred office : 12 rue Tronchet – 75008 PARIS
Tél. : + 33 1 44 701 710
Fax. : + 33 1 44 701 711

Hosting provider:
OVH
SAS (simplified joint-stock company) with share capital of 10 069 020 €
RCS Lille Métropole 424 761 419 00045
Registred office: 2 rue Kellermann - 59100 Roubaix - France

Copyright

The Website, its structure and content are and remain the exclusive property of Passa Varet Avocats.
TAny reproduction, communication to the public or distribution, in whole or in part, of any kind whatsoever, is prohibited.

Limitation of liability

Passa Varet Avocats reserves the right to modify, update or delete the information and other content published on the Site at any time and without prior notice; it makes no warranty, express or implied, regarding information and content.
The user is solely responsible for the use he or she makes of the Site, as well as for this information and content.
Passa Varet Avocats cannot be held liable for any damage whatsoever, resulting directly or indirectly from the use of the Site. Passa Varet Avocats also assumes no responsibility for the hypertext links included in the Site and referring to external resources, as well as for these external resources themselves.
Any hypertext link to the Site is subject to the prior and express agreement of Passa Varet Avocats.

Creation and webdesign

Design and production :MakeitPro
Photographs : Théo Delhaste (http://www.theodelhaste.photo)
Texts : Passa Varet Avocats

Legal notice – website Passa Varet Avocats

The website www.passa-varet.legal is published by:
Passa Varet Avocats
Publication director: Vincent Varet
SELARL (limited liability company formed by persons carrying on a professional activity) with share capital of 15 015 €
RCS : 802 395 301
Registred office : 12 rue Tronchet – 75008 PARIS
Tél. : + 33 1 44 701 710
Fax. : + 33 1 44 701 711

Hosting provider:
OVH
SAS (simplified joint-stock company) with share capital of 10 069 020 €
RCS Lille Métropole 424 761 419 00045
Registred office: 2 rue Kellermann - 59100 Roubaix - France

Copyright

The Website, its structure and content are and remain the exclusive property of Passa Varet Avocats.
TAny reproduction, communication to the public or distribution, in whole or in part, of any kind whatsoever, is prohibited.

Limitation of liability

Passa Varet Avocats reserves the right to modify, update or delete the information and other content published on the Site at any time and without prior notice; it makes no warranty, express or implied, regarding information and content.
The user is solely responsible for the use he or she makes of the Site, as well as for this information and content.
Passa Varet Avocats cannot be held liable for any damage whatsoever, resulting directly or indirectly from the use of the Site. Passa Varet Avocats also assumes no responsibility for the hypertext links included in the Site and referring to external resources, as well as for these external resources themselves.
Any hypertext link to the Site is subject to the prior and express agreement of Passa Varet Avocats.

Creation and webdesign

Design and production :MakeitPro
Photographs : Théo Delhaste (http://www.theodelhaste.photo)
Texts : Passa Varet Avocats