jump to navigation

Le séquestre de courriers électroniques chez le fournisseurs de télécommunications 25 août 2015

Posted by Sylvain Métille in ATF, Droit pénal et procédure pénale, Informatique, Jurisprudence, Logiciel, Protection des données, Sphère privée, Suisse, Surveillance, Téléchargement, Téléphonie, Technique, USA.
1 comment so far

Pour le tribunal fédéral (ATF 140 IV 181), les courriels qu’un prévenu a relevés sur le serveur du fournisseur de service de télécommunication peuvent être séquestrés chez le fournisseur, alors que ceux qui n’ont pas encore été relevés peuvent faire l’objet d’une surveillance en temps réel. Le secret de la correspondance disparaît dès que les courriels sont relevés, même s’ils restent accessibles sur le serveur et qu’ils n’ont pas été lus.

Séquestre ou surveillance de la correspondance ?
Un homme est accusé de meurtre et sa correspondance électronique contient des éléments nécessaires à l’enquête. La question qui se pose est de savoir quelle mesure (et donc quelles conditions) s’applique dans ce cas. De manière générale, lorsqu’une autorité pénale souhaite accéder à la correspondance électronique d’un prévenu, trois possibilités s’offrent à elle :

  • Le séquestre (263 CPP), qui permet de saisir les objets et valeurs patrimoniales appartenant au prévenu ou à des tiers lorsqu’il est probable qu’ils seront utilisés comme moyens de preuves. S’ils sont détenus par un tiers, ce dernier est soumis à une obligation de dépôt. Le prévenu est informé du séquestre par une ordonnance du ministère public.
  • La surveillance en temps réel (269 CPP) des télécommunications qui peut être ordonnée par le ministère public lorsque de graves soupçons laissent présumer qu’une infraction contenue dans la liste de l’art. 269. al. 2 CPP a été commise et que cette mesure est proportionnée. Elle doit être autorisée par le tribunal des mesures de contraintes. Cette mesure est secrète mais le prévenu peut ensuite la contester dans les 10 jours suivant son information. La surveillance porte sur le contenu et les données accessoires.
  • La surveillance rétroactive (273 CPP) qui se limite aux données relatives au trafic et à la facturation et identification des usagers (données accessoires). Elle peut être ordonnée par le ministère public lorsque de graves soupçons laissent présumer qu’un crime, un délit ou une contravention au sens de l’art. 179septies CP a été commis et que cette mesure est proportionnée. Elle doit être autorisée par le tribunal des mesures de contraintes. Cette mesure est secrète mais le prévenu peut ensuite la contester dans les 10 jours suivant son information. Il n’y a pas de surveillance rétroactive du contenu des courriels et les données accessoires peuvent être demandées avec effet rétroactif sur une période de six mois au plus.

Les limites du secret des télécommunications
La sphère privée de l’utilisateur est protégée par le secret des télécommunications qui s’applique durant le processus de communication. Ainsi un courrier postal est protégé pendant l’envoi, mais plus une fois qu’il est remis à son destinataire. On considère qu’il y a remise également lors du dépôt dans la boîte aux lettres du destinataire puisque l’on est dans sa sphère de maîtrise et que le fournisseur n’y a plus accès. Dans le cas d’une case postale, la maîtrise est partagée et le secret se prolonge jusqu’à ce que le destinataire accède à la case. Pour que l’autorité puisse obtenir le courrier qui est dans la boîte aux lettres (ou dans la case postale si le destinataire l’a ouverte et a choisi de l’y laisser), on appliquera les règles du séquestre, alors que pour le courrier dans la case non ouverte, ce sera celles de la surveillance de la correspondance (en temps réel).

Critique
L’analogie avec la case postale a ses limites en raison de l’ubiquité des données électroniques. Premièrement, relever un courriel ne signifie pas, selon le protocole utilisé, qu’il n’est plus sur le serveur. Le protocole POP3 généralement se connecte au serveur de messagerie, récupère le message et l’efface du serveur. En revanche, le protocole IMAP laisse les courriels sur le serveur dans le but de pouvoir les consulter de différents clients de messagerie. Pour le TF, celui qui utilise le protocole IMAP, pourtant très répandu car il permet d’accéder à sa messagerie depuis un téléphone et un ordinateur par exemple, renonce de fait à la protection du secret de la correspondance pour tous les messages qu’il a reçu.

Deuxièmement, lorsqu’un message est partiellement téléchargé, par exemple lorsqu’il est automatiquement poussé («push») sur un téléphone portable mais que seuls l’expéditeur et l’objet sont affichés (le corps du message étant encore exclusivement sur le serveur), le TF considérera-t-il qu’il est déjà entièrement dans la sphère du destinataire ?

Troisièmement, le TF retient que la consultation des messages déposés (mais pas encore relevés) dans la boîte électronique est une surveillance en temps réel et non rétroactive (ce qui permet l’accès au contenu). Sachant que les messages peuvent avoir été déposés plusieurs semaines auparavant, on peut se demander si l’on n’aurait pas déjà dû considérer que ce qui est arrivé dans la boîte est soumis à une surveillance rétroactive.

A mon avis, il aurait certainement été plus simple de considérer que toute acquisition directement chez le fournisseur est une surveillance des télécommunications, par opposition à l’acquisition chez le prévenu qui serait un séquestre. Cela éviterait aussi au ministère public de devoir savoir à l’avance si le prévenu a déjà relevé ou non un message qu’il souhaite obtenir et au fournisseur de séparer les messages sur le serveur qui ont déjà été relevés de ceux qui ne l’ont pas été (ce qui est une question indépendante de savoir s’ils sont marqués comme lus ou non lus!). Aux Etats-Unis, le Stored Communications Act prévoit un régime différent selon que les messages ont plus ou moins 180 jours, ce qui offre au moins un critère objectif.

Un portail d’actualités jugé responsable pour les commentaires des Internautes 6 août 2015

Posted by Sylvain Métille in Informatique, Jurisprudence, Médias, Protection des données, Sphère privée, Technique.
add a comment

Dans un arrêt rendu le 16 juin 2015 (Delfi AS c. Estonie, Requête no 64569/09), la Grande chambre de la Cour européenne des droits de l’Homme a retenu que la société responsable d’un grand portail d’actualités pouvait être tenue responsable de contenus illicites publiés par les internautes. Elle a considéré que son rôle dépassait celui d’un prestataire passif de services purement techniques qui pouvait se contenter de réagir si on les lui signalait. Elle a abordé ce cas comme un examen des devoirs et responsabilités d’un journaliste et la recherche d’un juste équilibre entre la liberté d’expression protégée et le droit au respect de la vie privée. Il est néanmoins difficile de comprendre pourquoi la Cour a traité Delfi comme un responsable de publication pour les commentaires plutôt que comme un hébergeur.

Les faits
La société anonyme estonienne Delfi AS exploite à titre professionnel et à des fins commerciales un grand portail d’actualités sur Internet, qui publie des articles sur l’actualité rédigés par ses services et qui invite les lecteurs à les commenter. En janvier 2006, Delfi a publié sur son site web un article concernant une société de ferries qui avait pris la décision de modifier l’itinéraire emprunté par ses navires pour rallier certaines îles. Cette modification avait engendré la rupture de la glace dans certains endroits où des routes de glace auraient pu être tracées plus tard dans l’année, retardant ainsi de plusieurs semaines l’ouverture de telles routes, moyen moins onéreux et plus rapide que les ferries pour rallier les îles. L’article était équilibré et exempt de termes injurieux, mais de nature à provoquer des débats.

Chaque lecteur de cet article était à même d’accéder aux messages des autres utilisateurs du site publiés sous l’article. Ce dernier a généré 185 commentaires dont une vingtaine extrêmement grossiers ou menaçants à l’égard de la compagnie de ferries, respectivement de son propriétaire. Leur illicéité apparaissait au premier coup d’œil. Delfi a retiré les commentaires illicites six semaines après leur publication mais dès qu’elle a reçu une notification à cet effet des avocats de la compagnie.

En avril 2006, le propriétaire de la compagnie de ferries a engagé des poursuites contre la société Delfi qui a été jugée responsable en vertu de la loi sur les obligations au motif qu’elle aurait dû empêcher la publication de commentaires clairement illicites. Le propriétaire de la compagnie de ferries s’est vu accorder 5000 couronnes estoniennes à titre de dommages et intérêts (env. EUR 320.-). Il est reproché à Delfi de ne pas avoir empêché la publication des commentaires.

En résumé, le droit local prévoit un régime similaire à celui de la directive sur le commerce électronique 2000/31/CE, à savoir une absence de responsabilité du simple fournisseur d’accès et une responsabilité limitée de l’hébergeur. Ce dernier n’a en effet pas de responsabilité s’il n’a pas connaissance des informations litigieuses et qu’il prend toutes les mesures pour les retirer dès qu’il en prend connaissance.

La Jurisprudence de la CJUE
La CourEDH a largement cité la jurisprudence de la Cour de justice de l’Union européenne (CJUE), et plus particulièrement:

  • un arrêt du 23 mars 2010 (affaires jointes C-236/08 à C-238/08, Google France et Google), dans lequel la CJUE a dit que, pour vérifier si la responsabilité du prestataire d’un service de référencement pouvait être limitée au titre de l’art. 14 de la directive 2000/31/CE, il convenait d’examiner si le rôle exercé par ledit prestataire était neutre, c’est-à-dire si son comportement était purement technique, automatique et passif, impliquant une absence de connaissance ou de contrôle des données stockées par lui;
  • un arrêt du 12 juillet 2011 (affaire C-324/09, L’Oréal e.a.), où la CJUE a jugé que l’art. 14 par. 1 de la directive 2000/31/CE devait être interprété comme s’appliquant à l’exploitant d’une place de marché en ligne lorsque celui-ci n’avait pas joué un rôle actif qui lui permette d’avoir une connaissance ou un contrôle des données stockées, et que ledit exploitant jouait un tel rôle actif quand il prêtait une assistance qui consistait notamment à optimiser la présentation des offres à la vente en cause ou à les promouvoir;
  • un arrêt du 24 novembre 2011 (affaire C-70/10, Scarlet Extended), où la CJUE a jugé qu’un fournisseur d’accès à Internet ne pouvait faire l’objet d’une injonction lui ordonnant de mettre en place un système de filtrage de toutes les communications électroniques transitant par ses services, qui s’applique indistinctement à l’égard de toute sa clientèle, à titre préventif, à ses frais exclusifs et sans limitation dans le temps, et qui soit capable d’identifier sur le réseau de ce fournisseur la circulation de fichiers électroniques contenant l’œuvre violant prétendument des droits de propriété intellectuelle;
  • un arrêt du 16 février 2012 (affaire C-360/10, SABAM) où la CJUE a tenu un raisonnement similaire s’agissant d’un prestataire de services d’hébergement;
  • un arrêt du 13 mai 2014 (affaire C-131/12 Google Spain et Google), où la CJUE a dit que l’activité d’un moteur de recherche sur Internet devait être qualifiée de « traitement de données à caractère personnel » au sens de la directive 95/46/CE, et que ce traitement de données à caractère personnel était susceptible d’affecter significativement les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel; et
  • un arrêt du 11 septembre 2014 (affaire C-291/13, Papasavvas), où la CJUE a dit que, dès lors qu’une société d’édition de presse qui publiait sur son site Internet la version électronique d’un journal avait, en principe, connaissance des informations qu’elle publiait et exerçait un contrôle sur celles-ci, elle ne pouvait être considérée comme un « prestataire intermédiaire » au sens des art. 12 à 14 de la directive 2000/31/CE, et ce que l’accès au site fût payant ou gratuit.

Un difficile équilibre
La Cour souligne d’abord que la possibilité pour les individus de s’exprimer sur Internet constitue un outil sans précédent d’exercice de la liberté d’expression. Elle met ensuite en balance ces propos en poursuivant que les avantages de ce média s’accompagnent d’un certain nombre de risques. Des propos clairement illicites, notamment des propos diffamatoires, haineux ou appelant à la violence, peuvent être diffusés comme jamais auparavant dans le monde entier, en quelques secondes, et parfois demeurer en ligne pendant fort longtemps. Ce sont ces deux réalités contradictoires qui sont au cœur de la présente affaire.

Compte tenu de la nécessité de protéger les valeurs qui sous-tendent la Convention et considérant que les droits qu’elle protège respectivement en ses art. 10 et 8 méritent un égal respect, il y a lieu de ménager un équilibre qui préserve l’essence de l’un et l’autre de ces droits. Ainsi, tout en reconnaissant les avantages importants qu’Internet présente pour l’exercice de la liberté d’expression, la Cour considère qu’il faut en principe conserver la possibilité pour les personnes lésées par des propos diffamatoires ou par d’autres types de contenu illicite d’engager une action en responsabilité de nature à constituer un recours effectif contre les violations des droits de la personnalité. Pour la Cour, il s’agit d’une question de devoirs et responsabilités au sens de l’art. 10 § 2 CEDH, qui incombent aux portails d’actualités sur Internet lorsqu’ils fournissent à des fins commerciales une plateforme destinée à la publication de commentaires émanant d’internautes sur des informations précédemment publiées et que certains internautes y déposent des propos clairement illicites portant atteinte aux droits de la personnalité de tiers.

Un portail professionnel n’est pas forum ou un média social
La Cour relève ensuite, comme pour restreindre la portée de son arrêt que c’est la première fois qu’elle est appelée à examiner un grief s’inscrivant dans ce domaine d’innovation technologique en évolution et qu’il est nécessaire de délimiter la portée de son examen à la lumière des faits cette cause qui concerne un grand portail d’actualités sur Internet exploité à titre professionnel et non pas d’autres forums sur Internet susceptibles de publier des commentaires provenant d’internautes, par exemple les forums de discussion ou les sites de diffusion électronique, où les internautes peuvent exposer librement leurs idées sur n’importe quel sujet sans que la discussion ne soit canalisée par des interventions du responsable du forum, ou encore les plateformes de médias sociaux où le fournisseur de la plateforme ne produit aucun contenu et où le fournisseur de contenu peut être un particulier administrant un site ou un blog dans le cadre de ses loisirs.

La Cour estime que la reconnaissance des différences entre un exploitant de portail et un éditeur traditionnel est conforme aux instruments internationaux adoptés dans ce domaine, instruments dans lesquels on perçoit une certaine évolution en faveur de l’établissement d’une distinction entre les principes juridiques régissant les activités des médias imprimés et audiovisuels classiques, d’une part, et les activités des médias sur Internet, d’autre part. Elle considère qu’en raison de la nature particulière de l’Internet, les devoirs et responsabilités que doit assumer un portail d’actualités sur Internet peuvent dans une certaine mesure différer de ceux d’un éditeur traditionnel en ce qui concerne le contenu fourni par des tiers.

L’exploitant d’un portail Internet traité comme un éditeur de publications imprimées
L’autorité inférieure avait considéré qu’en raison de l’intérêt économique que représente pour eux la publication de commentaires, aussi bien l’éditeur de publications imprimées que l’exploitant d’un portail Internet sont les publicateurs/révélateurs de ces commentaires en qualité de professionnels.

S’il est possible de suivre différentes approches dans la législation pour tenir compte de la nature des nouveaux médias, dit la Cour, il était ici suffisamment prévisible, à partir des dispositions de la Constitution, de la loi sur les principes généraux du code civil et de la loi sur les obligations, qu’un éditeur de médias exploitant un portail d’actualités sur Internet à des fins commerciales pût, en principe, voir sa responsabilité engagée en droit interne pour la mise en ligne sur son portail de commentaires clairement illicites tels que ceux en cause en l’espèce.

Ne pas avoir empêché la publication des commentaires
Delfi avait intégré dans son site la zone de commentaires sur la page où les articles d’actualités étaient publiés et elle y invitait les internautes à enrichir les actualités de leurs propres jugements et opinions (commentaires). Ces commentaires représentaient un intérêt économique pour Delfi. Elle interdisait le dépôt de commentaires sans fondement et/ou hors sujet, contraires aux bonnes pratiques, contenant des menaces, des insultes, des obscénités ou des grossièretés, ou incitant à l’hostilité, à la violence ou à la commission d’actes illégaux. Ces commentaires pouvaient être supprimés et la possibilité pour leurs auteurs d’en laisser d’autres pouvait être restreinte par Delfi. De plus, les auteurs des commentaires ne pouvaient pas les modifier ou les supprimer une fois qu’ils les avaient déposés sur le portail: seule la société requérante avait les moyens techniques de le faire.

Pour la Cour, le rôle joué par Delfi dépasse celui d’un prestataire passif de services purement techniques. Il n’était pas nécessaire d’empêcher la publication, mais un retrait des commentaires sans délai après leur publication aurait été suffisant pour permettre à Delfi de ne pas être tenue pour responsable.

La Cour justifie ce raisonnement par le fait qu’il est plus difficile pour une victime potentielle de surveiller continuellement l’Internet que pour un grand portail d’actualités commercial en ligne d’empêcher la publication de propos illicites ou de retirer rapidement ceux déjà publiés. Elle souligne encore que le dommage moral est limité (EUR 320.-) et que Delfi exploite le site à titre professionnel et commercial.

Une décision insatisfaisante
La Cour ne paraît pas très à l’aise avec cette décision. Comme le relèvent les juges Sajó et Tsotsoria dans leur opinion dissidente, ni les autorités internes ni la Cour n’ont expliqué pourquoi la disposition du droit contraignant de l’Union européenne est dénuée de pertinence en l’espèce, sauf à dire que la présente affaire porte sur la publication et non le stockage de données.

Alors que l’éditeur de presse publie, un intermédiaire actif comme Delfi n’a normalement aucun contrôle personnel sur l’individu qui dépose le message. Le commentateur n’est pas l’employé de celui qui publie et, dans la plupart des cas, n’est pas connu de ce dernier. La publication intervient en dehors de toute décision de celui qui publie. Ainsi donc, le niveau de connaissance et de contrôle diffère sensiblement.

Pour ces juges finalement, l’obligation de retirer des commentaires injurieux sans connaissance effective de leur existence et immédiatement après leur publication suppose que l’intermédiaire actif exerce une surveillance constante…

La jurisprudence de la CJUE exclut pourtant surveillance préventive, ce que la Cour ne remet pas en cause, alors que cela semble bien être le seul moyen de s’assurer d’une suppression immédiatement après la publication d’un commentaire. Pour le titulaire d’un site permettant des commentaires, le risque augmente sensiblement depuis cette décision. La Cour a néanmoins pris soin de relever à de nombreuses reprises le caractère commercial du site de Delfi, l’activité professionnelle de ce site d’actualités et le très faible montant de du dommage.

Les contrôles de sécurité (background check) 11 mai 2015

Posted by Sylvain Métille in Jurisprudence, Protection des données, Sphère privée, Suisse, Surveillance, Technique.
add a comment

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) vient de publier des «Explications relatives aux contrôles de sécurité (employés du secteur privé)» .

Les contrôles de sécurité (background check en anglais) ne sont pas des mesures de surveillance qui visent à contrôler l’activité du travailleur pendant son temps de travail, mais que l’employé ne représente pas un danger pour la sécurité de l’entreprise. Ces contrôles ont souvent lieu avant le début de l’activité et comme condition à l’embauche. Le degré de risque ne dépend pas tellement du niveau hiérarchique mais plutôt des possibilités d’accès et de la confidentialité des données traitées. Le personnel d’entretien aura généralement un accès très vaste aux locaux et documents qu’ils renferment, de même que les personnes en charge de l’infrastructure informatique jouissent souvent de privilèges d’accès dépassant ceux de certains dirigeants.

Au sein de l’administration, les contrôles sont notamment régis par l’Ordonnance sur les contrôles de sécurité relatifs aux personnes (OCSP). Pour le secteur privé, ce sera principalement l’art. 328b CO et la LPD: l’employeur ne peut traiter des données concernant le travailleur que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail.

Information écrite préalable et interdiction des vérifications secrètes
Le contrôle devrait idéalement avoir lieu avant ou au début des rapports de travail. Si les rapports de travail sont en cours, l’employeur doit annoncer la mesure assez tôt et laisser au travailleur un temps de réflexion suffisant. Le collaborateur qui travaille dans un secteur présentant des risques importants doit accepter un contrôle de sécurité proportionné et adéquat. S’il s’oppose, il risque de faire face à un licenciement.

L’employeur doit informer le personnel par écrit avant que n’ait lieu le contrôle de sécurité. Le PFPDT souligne qu’une mention orale suffit dans un premier temps dans le cas d’un entretien avec un candidat postulant pour un emploi nécessitant un contrôle, mais que le principe de la transparence veut que les personnes concernées soient informées sur l’objectif de la collecte d’informations, sur leur durée de conservation, et sur la personne qui va effectuer cette tâche, spécialement dans la situation où une société externe est mandatée. L’employeur doit en outre motiver auprès de chaque salarié la raison qui impose un contrôle dans son cas.

L’ensemble des vérifications doit être proportionné, y compris s’il est réalisé par un tiers. Selon le PFPDT, l’employeur ne peut réaliser un contrôle de sécurité qu’avec le concours des personnes concernées et les vérifications secrètes sont interdites.

Les données recueillies ne peuvent être réutilisées à d’autres fins et celles qui ne sont plus nécessaires doivent être détruites. L’accès aux données doit en outre être limité. Le travailleur jouit lui en revanche en tout temps d’un droit d’accès à ses données (art. 8 LPD), même si elles ont été recueillies par un tiers.

Publications: La surveillance électronique des employés 23 mars 2015

Posted by Sylvain Métille in ATF, Droit pénal et procédure pénale, Informatique, Jurisprudence, Liens, Localisation, Logiciel, Protection des données, Publications, Sphère privée, Suisse, Surveillance, Téléphonie, Technique, Vidéosurveillance.
1 comment so far

Dans l’ouvrage Internet au travail édité par Jean-Philippe Dunand et Pascal Mahon, j’ai abordé la question de «La surveillance électronique des employés». Cette contribution est complétée par la présentation faite lors d’un séminaire organisé par l’Université de Neuchâtel.

Après avoir fait le point sur les exigences légales (Loi fédérale sur la protection des données et recommandations du Préposé fédéral à la protection des données et à la transparence, art. 28ss du Code civil, Loi et Ordonnance 3 sur le travail, ainsi que les articles 179ss du Code pénal), on passe en revue les jurisprudences déterminantes sur le sujet. Les points principaux sont ensuite regroupés en deux principes essentiels, l’information et la proportionnalité.

Différents cas d’applications sont finalement examinés: la surveillance téléphonique, la surveillance de l’Internet, la surveillance du courrier électronique, et la surveillance de l’activité. L’article se conclut par les conséquences d’une surveillance illégale et quelques recommandations pratiques.

Le droit d’accès est aussi celui de recevoir une copie écrite 10 mars 2015

Posted by Sylvain Métille in ATF, Jurisprudence, Protection des données, Sphère privée, Suisse.
add a comment

Dans le cadre du litige fiscal avec les Etats-Unis, le Tribunal fédéral a confirmé le droit des ex-employés d’obtenir une copie de documents les concernant que la banque a communiqués aux autorités judiciaires américaines (arrêt 4A_406/2014 du 12 janvier 2015 publié aux ATF 141 III 119).

Les faits
En 2012, la banque genevoise a transmis, comme d’autres instituts financiers suisses, les noms ainsi que d’autres données sur des employés, actuels et anciens, qui se sont occupés de clients de la banque sur le territoire américain. Les employés concernés n’avaient pas été avertis. Suite à plusieurs procédures, la banque a finalement autorisé les deux anciens employés à prendre connaissance des documents au siège de l’entreprise, mais elle a refusé de leur en remettre une copie, invoquant notamment les dispositions pénales réprimant la violation du secret bancaire. Les documents demandés contiennent pourtant bien des données personnelles et les anciens employés ont en principe le droit d’en obtenir une copie gratuitement. Le Tribunal fédéral devait examiner si la banque pouvait valablement opposer une exception à ce principe.

Un droit à une communication écrite
La communication écrite des données constitue la règle. A titre exceptionnel, une consultation sur place ou une communication orale des pièces du dossier peut remplacer une communication écrite dans le cas où la personne intéressée est d’accord avec ce mode de faire.

L’inconvénient résultant de la communication systématique des dossiers aux personnes qui le demandent et en particulier le surcroît de travail qui en résulte est propre à tous les détenteurs de fichiers. Ce n’est pas pour autant une cause de refus de la communication écrite. Le législateur en a néanmoins tenu compte, puisqu’il permet dans certains cas que cette surcharge fasse exception à la gratuité de la communication.

On ne peut pas renoncer par avance au droit d’accès garanti par l’article 8 de la Loi fédérale sur la protection des données (LPD) et toute disposition dans ce sens d’un règlement interne est nulle. Une renonciation (non anticipée) au droit d’accès n’est envisageable que si la personne concernée connaît déjà l’essentiel de l’information à laquelle elle pourrait avoir accès.

Lors de la conclusion du contrat de travail, les employés ne connaissaient évidemment pas les informations qu’ils réclament aujourd’hui, et encore moins le fait que leur employeur transmettrait des informations à une autorité étrangère, ce dont il ne les a d’ailleurs pas informés spontanément. La banque ne peut donc pas invoquer valablement une règlement interne qui prévoit que les employés renoncent à leur droit.

Il ne s’agit de plus pas d’une démarche abusive. Les employés, qui n’ont pas à justifier leur demande, ont pour but éventuellement d’agir contre la banque et d’être armés en vue d’une possible action du Département américain de la justice à leur encontre.

Le secret bancaire
La banque considère qu’elle a une interdiction légale de communiquer les renseignements demandés en raisons du secret bancaire (art. 47 LB et 162 CP).

La communication aux ex-employés des informations sur les clients de la banque équivaut aujourd’hui à une remise à des tiers (et ce, même si, après la fin des relations contractuelles, ils sont encore soumis au secret bancaire), ce qui constitue en soi, dans la perspective de la banque, un comportement punissable au sens de l’article 47 LB (ce qui est d’ailleurs également le cas pour la simple consultation, sur place, des données).

Conformément à l’interdiction formulée par le Conseil fédéral, dans sa décision du 4 avril 2012, les banques n’ont pas transmis d’informations permettant d’identifier les clients. Ces documents ne violent donc pas le secret bancaire. Quant au fait que les employés ont pu prendre connaissance des documents intégraux et qu’ils pourraient de mémoire reconstituer les éléments caviardés, cet argument ne convainc pas. Ce ne serait en effet pas la remise des documents écrits qui leur permettrait d’identifier des clients qu’ils connaissent déjà.

Pas d’intérêt prépondérant de la banque
La banque ne peut pas non plus faire valoir son intérêt propre dans la mesure où elle a antérieurement volontairement remis les documents litigieux à un tiers (autorités américaines), alors qu’elle n’y était pas contrainte par une obligation légale. Les données ayant déjà été communiquées à un tiers, il est difficile pour la banque de prétendre que son intérêt prime sur celui des employés, d’autant plus que ces derniers ont déjà pu prendre connaissance du contenu des documents, aussi bien au cours de leur ancienne activité professionnelle que par le biais de leur consultation respective sur place. Les éventuelles informations confidentielles leur sont donc déjà connues. Les documents ne contiennent en outre pas de noms de clients.

Comme les anciens employés continuent à être liés par le secret bancaire ainsi que par le secret professionnel, la crainte de la banque que des données sensibles soient rendues publiques doit être relativisée.

Pas d’intérêt prépondérant de tiers
Les documents transmis aux autorités américaines ne devaient pas contenir d’informations permettant d’identifier les clients. L’autorité judiciaire précédente a au surplus déjà autorisé la banque à anonymiser les éléments permettant d’identifier les (ex-)collaborateurs et les tiers. Ces mesures sont suffisantes pour protéger les tiers et ne permettent pas de s’opposer à l’exercice du droit d’accès.

Aux yeux du Tribunal fédéral, la situation n’est pas si particulière qu’elle nécessiterait d’envisager une exception non prévue par le Conseil fédéral dans son Ordonnance complétant la LPD. En tous les cas le Tribunal a systématique écarté tous les arguments soulevés par la banque.

Cette décision ne révolutionne pas la notion de droit d’accès mais elle en rappelle les contours, parfois méconnus. Elle confirme de plus que le droit d’accès n’a pas à être motivé, qu’il implique le droit de recevoir copie, en principe gratuitement, et que les exceptions sont limitées.

La liberté d’information peut justifier l’enregistrement d’une conversation privée par un journaliste 25 février 2015

Posted by Sylvain Métille in ATF, Droit pénal et procédure pénale, Jurisprudence, Protection des données, Sphère privée, Suisse, Surveillance, Technique, Vidéosurveillance.
add a comment

Dans une Affaire Haldimann et autres contre Suisse du 24 février 2015, la Cour européenne des droits de l’Homme a constaté que la Suisse avait violé la CEDH en condamnant pénalement des journalistes qui avait enregistré au moyen d’une caméra caché des conversations non publiques (Requête no 21830/09). La Cour a retenu que la liberté d’information devait prendre le pas sur le droit à l’image.

La procédure suisse
En 2003, la rédaction de l’émission hebdomadaire de protection des consommateurs de la télévision suisse alémanique Kassensturz a produit et diffusé un reportage sur les pratiques dans le domaine de la vente des produits d’assurance-vie. Dans ce but, ils ont convenu d’un entretien avec un courtier en assurances lors duquel une journaliste s’est faite passer pour une cliente potentielle. Deux caméras cachées ont enregistré la scène. A la fin de l’entretien, le courtier a été informé et la possibilité de donner son avis lui a été donnée, ce qu’il a refusé. Une partie de l’entretien est ensuite diffusée, mais le visage du courtier est «pixélisé» de manière à ce que seule la couleur de ses cheveux et de sa peau soient encore visibles après cette transformation de l’image, ainsi que ses vêtements. Sa voix a aussi été modifiée.

Au terme de la procédure pénale, les quatre journalistes sont condamnés pour avoir enregistré en secret une conversation de l’un d’entre eux avec le courtier d’assurances et pour avoir diffusé certaines parties de cette conversation sous forme «anonymisée» à la télévision. Les journalistes n’ont pas été condamnés pour avoir fait un enregistrement avec une caméra cachée, mais pour avoir utilisé ce procédé pour enregistrer une conversation non publique.

En droit, il s’agit pour la journaliste qui a participé à la conversation d’une violation de l’art. 179ter CP qui sanctionne l’enregistrement d’une conversation non publique par l’un des participants, sans le consentement de son interlocuteur, et pour les autres une violation de l’art. 179bis CP qui sanctionne l’enregistrement d’une conversation non publique entre d’autres personnes, sans leur consentement, et la communication à des tiers d’un fait obtenu au moyen d’un tel enregistrement. Ces articles garantissent en particulier la confidentialité des conversations non publiques. La violation du domaine secret ou du domaine privé au moyen d’un appareil de prise de vues au sens de l’art. 179quater CP n’a pas été retenue.

Droit à l’image contre liberté d’expression
La Cour européenne des droits de l’Homme était saisie d’un recours formé par les journalistes, qui considèrent que les dispositions pénales en question portent atteinte à la liberté d’expression et ne devraient pas leur être applicables. Ils soulignent d’ailleurs qu’ils ont respecté la décision no 51/2007 du Conseil suisse de la presse qui dit que les recherches cachées sont autorisées si les informations sont dans l’intérêt public et si les informations ne peuvent pas être reçues par un autre moyen.

La Cour aborde l’affaire comme un conflit entre deux droits fondamentaux, la liberté d’expression des journalistes d’une part et le droit au respect de la vie privée du courtier d’autre part. La Cour ne conteste pas que les dispositions pénales protègent le droit du courtier à sa propre image, à sa propre parole ainsi que sa réputation, mais elle se demande si les dispositions pénales sont une restriction justifiée de la liberté d’expression.

La Cour passe en revue les différents critères qu’elle utilise habituellement pour analyser la mise en balance du droit à la liberté d’expression et du droit au respect de la vie privée:

  • la contribution à un débat d’intérêt général: la mauvaise qualité du conseil délivré par des courtiers en assurances et la protection du droit des consommateurs en découlant est un débat d’un intérêt public très important auquel les journalistes participent.
  • la notoriété de la personne visée, l’objet du reportage et son comportement antérieur: le courtier filmé à son insu n’était pas un personnage public. Le reportage litigieux n’était pas focalisé sur la personne du courtier mais sur certaines pratiques commerciales mises en œuvre au sein d’une catégorie professionnelle. En outre, l’entretien ne s’était pas déroulé dans les bureaux du courtier ou autre local professionnel. L’atteinte à la vie privée du courtier est moins importante que s’il avait été visé exclusivement et en personne par le reportage.
  • le mode d’obtention des informations et leur véracité: les journalistes ont respectés les règles déontologiques et la véracité des informations n’a jamais été contestée.
  • le contenu, la forme et les répercussions de la publication: l’enregistrement a été diffusé sous forme de reportage, particulièrement péjoratif à l’égard du courtier. Des mesures ont toutefois été prises pour l’«anonymiser». Pour la Cour, l’ingérence dans la vie privée du courtier n’est pas d’une gravité telle qu’elle doive occulter l’intérêt public à l’information des malfaçons alléguées en matière de courtage en assurances.
  • la gravité de la sanction imposée: même si les peines sont très faibles (quatre et douze jours-amendes), cette sanction pénale peut inciter la presse à s’abstenir d’exprimer des critiques.

En conclusion, la Cour estime que la mesure litigieuse n’était pas, en l’espèce, nécessaire dans une société démocratique et que, par conséquent, il y a eu violation de l’art. 10 CEDH. Autrement dit, la Cour considère que dans ce cas précis, la norme pénale ne devait pas l’emporter sur la liberté d’expression et qu’il ne fallait pas condamner pénalement les journalistes. La Cour crée d’une certaine manière un motif justificatif pour les journalistes rendant leurs actes licites dans ce cas particulier.

Confidentialité des conversations
Pour le juge Paul Lemmens qui signe une opinion dissidente très intéressante, il ne s’agissait pas simplement de la mise en balance de deux intérêts privés. Les dispositions pénales en question visent à protéger non pas la vie privée (ou la réputation) de certains individus, mais la confidentialité en général des conversations non publiques. Il s’agit alors d’un intérêt général touchant à l’ordre public et concrétisé dans la loi pénale, et non pas à de simples intérêts privés.

La question n’est pas de savoir dans quelle mesure l’utilisation de la caméra cachée est acceptable, mais de savoir dans quelle mesure des accusés peuvent invoquer avec succès une cause de justification contre l’accusation d’enregistrement et de diffusion d’une conversation protégée par la loi. Comme l’avait relevé le Tribunal fédéral, la défense d’intérêts légitimes suppose que l’acte délictuel soit un moyen nécessaire et adéquat pour atteindre un but légitime, voire que ce soit la seule voie possible pour atteindre ce but, et que le bien juridique protégé par l’interdiction légale pèse moins lourd que celui que l’auteur de l’acte cherchait à préserver. Cela n’était probablement pas le cas en l’espèce puisqu’il était possible de montrer les abus en matière d’assurance de manière différente. Et cette interprétation ne rendait pas pour autant illégale le recours à une caméra cachée lorsque c’est le seul moyen d’arriver au but visé, et légitime, pour un journaliste.

Cette décision de la Cour européenne des droits de l’Homme va conduire à la révision de la condamnation des journalistes, mais elle va aussi permettre, de manière plus générale, aux journalistes d’investigation suisses d’utiliser des caméras cachées. Leur utilisation devrait toutefois restée limitée, car la Cour n’a pas indiqué que le droit pénal ne s’appliquait pas aux journalistes mais seulement que dans ce cas particulier, le droit à l’information devrait primer sur la protection de la sphère privée. Si le reportage avait visé une personne en particulier, la conclusion aurait pu être différente.

A noter finalement que la Cour ne s’est pas prononcée sur l’éventuelle utilisation de l’enregistrement par la justice pénale. En l’absence d’infraction pénale, la preuve ne serait vraisemblablement plus illégale. Le journaliste pourrait néanmoins se réfugier derrière la protection des sources pour refuser de la communiquer.

Publications: Infrastructures et données informatiques 10 février 2015

Posted by Sylvain Métille in ATF, Droit pénal et procédure pénale, Informatique, Jurisprudence, Protection des données, Publications, Sphère privée, Suisse, Téléchargement, Technique.
add a comment

L’article écrit avec Joanna Aeschlimann intitulé Infrastructures et données informatiques: quelle protection au regard du code pénal suisse? est paru il y a quelques semaines dans la Revue pénale suisse 03/2014. Nous avons examiné en détail les conditions devant être remplies pour que l’infraction soit réalisée, mais également les mesures à prendre par la victime potentielle pour pouvoir prétendre à la protection pénale. Les infractions envisagées sont :

  • La soustraction de données (143 CP)
  • La soustraction de données personnelles (Art. 179novies)
  • L’accès indu à un système informatique (143bis al. 1 CP)
  • La mise à disposition d’informations en vue d’un accès indu (143bis al. 2 CP)
  • La détérioration de données proprement dite (144bis ch. 1 CP)
  • La mise à disposition d’informations permettant la détérioration de données (144bis ch. 2 CP)
  • L’utilisation frauduleuse d’un ordinateur (147 CP)
  • L’obtention frauduleuse d’une prestation (art. 150 CP)

Le tribunal fédéral fixe les conditions auxquelles les cantons peuvent prévoir des mesures de surveillance préventives 29 décembre 2014

Posted by Sylvain Métille in ATF, Droit pénal et procédure pénale, Informatique, Jurisprudence, Protection des données, Renseignement, Skype, Sphère privée, Suisse, Surveillance, Téléphonie, Technique, Vidéosurveillance.
add a comment

Les mesures de surveillance dites invasives (en principe conduites à l’insu de la personne concernée) sont envisagées dans trois situations précises :

  1. une infraction pénale a été commise ou est en train d’être commise et l’on veut identifier l’auteur ou réunir des preuves (surveillance répressive);
  2. une infraction pénale sera potentiellement commise et l’on veut la prévenir ou la révéler (surveillance préventive);
  3. il existe une menace concrète pour la sûreté intérieure ou extérieure, sans qu’il ne s’agisse d’une infraction pénale (surveillance préventive).

On distingues ces mesures de la surveillance d’observation (qui est utilisée pour surveiller un rayon déterminé accessible au public, afin de constater des mouvements ou des phénomènes objectifs, sans traiter des données personnelles, dont l’exemple classique est le contrôle de la fluidité du trafic routier, et de la surveillance dissuasive) et de la surveillance dissuasive (qui consiste à surveiller ouvertement un lieu pour tenter d’empêcher les personnes qui s’y trouvent de commettre des infractions, dont l’exemple classique est la vidéosurveillance).

Des compétences cantonales et fédérales
La surveillance répressive est une compétence fédérale. Les modalités sont prévues dans le Code de procédure pénale (CPP), qui prévoit les conditions auxquelles ces mesures peuvent être mises en place. Dans ce domaine, les cantons ne peuvent plus adopter des mesures supplémentaires que le droit fédéral ne prévoit pas.

La surveillance préventive est un mélange de compétences cantonales et fédérales. Le parlement doit discuter prochainement du projet de Loi fédérale sur le renseignement qui donnerait à la Confédération de nouveaux pouvoirs, en particulier celui de procéder à des écoutes téléphoniques, des enregistrements audios et vidéos, ainsi que l’exploration radio et du réseau câblé. Cela ne concerne pas le cas où une infraction va être commise, mais celui où l’on craint un risque pour la sécurité intérieure ou extérieure de la Suisse.

Le nouveau CPP a supprimé la surveillance lors de l’enquête préliminaire que connaissaient certains cantons. Ainsi, une mesure de surveillance n’est possible qu’une fois l’enquête ouverte (c’est-à-dire lorsqu’il y a des soupçons suffisants qu’une infraction pénale a été commise). Restait alors la question de savoir si cela interdisait une surveillance avant que l’infraction ne soit commise (le CPP ayant exclu la surveillance préventive, ou si les cantons pouvaient adopter des normes la prévoyant dans leurs lois de police (le CPP ne pouvait ni l’exclure ni la prévoir).

Le Tribunal fédéral a justement dû se pencher sur deux cas, l’un zurichois (1C_653/2012) et l’autre genevois (1C_518/2013). Il est arrivé à la conclusion que les cantons peuvent prévoir des mesures de surveillance secrètes, mais que des conditions similaires à celles prévues par le CPP doivent être mises en place.

La compétence des cantons de veiller sur leur territoire au maintien de la sécurité publique et de l’ordre est réputée compétence originelle des cantons et le législateur fédéral n’’a pas voulu réglementer les investigations secrètes préventives dans le CPP. Les investigations secrètes préventives sont des mesures qui servent à prévenir ou à révéler une infraction potentielle. Elles sont antérieures à la procédure pénale (qui est une compétence fédérale) et doivent s’inscrire dans la législation policière cantonale.

Les garanties lors de la surveillance préventive
La surveillance n’en porte pas moins une atteinte importante à la sphère privée et familiale, protégée par la constitution et la CEDH. Toute atteinte doit être fondée sur une base légale (les restrictions graves devant être prévues par une loi au sens formel), être justifiée par un intérêt public et être proportionnée au but visé.

Le Tribunal fédéral met en parallèle les mesures préventives du droit cantonal et les mesures contenues dans le CPP et exige au moins les mêmes garanties. Ainsi, il doit toujours exister des indices sérieux qu’une infraction pourrait être commise et la mesure doit être subsidiaire (échec avéré ou probable d’autres procédés d’investigation). Elle doit être réservée à des infractions d’une certaine gravité (mais il est possible de se contenter des crimes et délits dans dresser un catalogue). Finalement, la personne concernée devra être informée et avoir la possibilité de faire contrôler la légalité de la mesure devant une autorité judiciaire indépendante.

Selon le type de mesure retenue, une autorisation judiciaire préalable est nécessaire. C’est notamment le cas pour les recherches secrètes, les enquête sous couverture et la surveillance de plateformes de communications fermées sur Internet.

Publications: jurisprudence 2013 8 décembre 2014

Posted by Sylvain Métille in ATF, Jurisprudence, Protection des données, Publications, Sphère privée, Suisse.
add a comment

A l’été 2013, j’ai été invité par l’Université de Fribourg à commenter quelques jurisprudences actuelles en matière de protection des données.

Ces résumés et commentaires ont depuis été publiés sous le titre «Jurisprudence actuelle en matière de protection des données Surveillance, infiltration et transmission de données à un tiers : quelques atteintes à la sphère privée qui ont occupé récemment les tribunaux» dans l’ouvrage Instrumente zur Umsetzung des Rechts auf informationelle Selbstbestimmung/Instruments de mise en œuvre du droit à l’autodétermination informationnelle édité par Astrid Epiney, Tobias Fasnacht et Gaëtan Blaser. Les décisions abordées concernent en particulier la surveillance des employés, la transmission de certificats de prévoyance, le droit d’accès à ses propres données et la cessation de l’atteinte à la personnalité par un des participants.

Rapport 2014 du préposé fédéral à la protection des données 4 août 2014

Posted by Sylvain Métille in Jurisprudence, Liens, Logiciel, Protection des données, Sphère privée, Suisse, Surveillance, Technique, Vidéosurveillance.
add a comment

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a publié son 21e rapport d’activité. Pour rappel, le PFPDT c’est une équipe d’un peu moins de 30 personnes (équivalents plein temps), qui s’occupe principalement de protection des données (et dans une moindre mesure des questions de transparence) et en particulier du conseil et de la surveillance des organes fédéraux et des personnes privées, de la collaboration avec ses homologues étrangers, de la tenue du registre des fichiers ainsi que de la prise de position sur les projets législatifs fédéraux. Chaque canton a un préposé cantonal en charge de surveiller le traitement des données par son administration.

Vu les ressources et surtout les pouvoirs de contrainte limités du PFPDT (il ne peut pas imposer d’amende comme dans d’autres pays ni interdire le traitement de données sans devoir défendre sa recommandation devant un tribunal), l’essentiel de l’activité consiste en l’information des personnes privées et l’adoption de recommandations et conseils aux responsables de traitement de données. Il a ainsi développé un outil d’analyse d’impact relative à la protection des données qui offre un questionnaire qui évolue de manière dynamique en fonction des réponses déjà apportées (1.8.8).

Le numéro AVS à 13 chiffres
L’utilisation du numéro AVS (NAVS13) dans des domaines variés est un risque important pour la protection de la sphère privée. Le PFPDT a ainsi proposé d’utiliser seulement un numéro sectoriel calculé sur la base du NAVS13 (numéro AVS haché) pour la perception de la redevance radio-télé (1.2.8). Cette conversion au moyen d’une fonction unidirectionnelle permettrait de ne plus déterminer le numéro d’origine, ce qui réduirait considérablement le problème de l’interconnexion de différentes banques de données.

Il a également obtenu dans le cadre du projet de loi fédérale sur le dossier électronique du patient (LDEIP), qu’on recourt à l’utilisation comme identifiant du patient d’un numéro aléatoire, généré et géré par la Centrale de compensation (CdC), au lieu du numéro AVS. L’utilisation du numéro AVS dans le cadre du registre du commerce inquiète également le PFPDT (1.8.4).

Clients et secteur du travail
Dans le secteur du travail, le PFPDT a élaboré un feuillet thématique expliquant la démarche à suivre pour les banques souhaitant communiquer des données personnelles dans le cadre du différend fiscal (1.7.1).

Il a également ouvert une procédure d’éclaircissement des faits auprès de la Poste Suisse suite à la plainte d’un syndicat concernant les enregistrements téléphoniques des collaborateurs du service clientèle. Il est arrivé à la conclusion que les prescriptions en matière de protection des données, notamment l’information aux collaborateurs et la proportionnalité des processus de contrôle, étaient respectées. Il semble en revanche que toutes les caisses de pension n’ont pas tiré les conséquences de la décision du TAF qui leur interdit de transmettre les certificats de prévoyance à l’employeur (1.7.4).

Le PFPDT s’est aussi penché sur un système d’accueil destiné au marché hôtelier de luxe, collectant les mouvements et les préférences des clients à l’aide de la technologie RFID. Un tel profilage nécessite une information préalable des personnes concernées ainsi que leur consentement explicite et une alternative doit être proposée (1.8.9). Des contrôles sont encore en cours concernant l’utilisation plus classique de cartes-clients (1.8.2).

S’agissant des cartes de paiement sans contact, le PFPDT regrette une absence de choix du consommateur et appel le secteur bancaire à permettre au client de refuser cette technologie (1.9.2).

Le droit à l’oubli
Bien que l’existence du droit à l’oubli a été rappelé par la Cour de justice de l’Union européenne récemment, le projet de loi sur la modernisation du registre du commerce ne prévoit pas d’interdire la libre consultation des données du registre du commerce sur Internet après une certaine période (1.8.4). Dans ce domaine, il faut relever que le PFPDT est en train d’examiner les différents traitements de données effectués par la société Itonex SA (qui gère le site Moneyhouse) (1.8.5).

L’archivage numérisé d’articles journalistiques constitue un traitement de données personnelles et doit être légitimé par un motif justificatif, en principe par un intérêt public prépondérant. Il s’agit donc essentiellement d’une question de proportionnalité. Le principe de proportionnalité requiert que les données personnelles soient effacées ou rendues anonymes après un certain délai, dans la mesure où leur conservation n’est plus justifiée. Il faut procéder à une pesée d’intérêts et mettre en balance, d’une part, l’intérêt de l’individu à l’effacement de ses données personnelles des archives numériques d’un journal ou de son intérêt au retrait de l’indexation dans les moteurs de recherche, et d’autre part, l’intérêt public à la conservation des données dans les archives numériques ou dans les moteurs de recherche (1.3.5).

Vidéosurveillance
En matière de vidéosurveillance à des fins de recherches (1.2.2), le PFPDT a précisé les conditions d’information préalable. Si une telle information n’est pas envisageable, les images ne devront alors pas être publiées, où seulement d’une manière à ce que les personnes ne soient pas reconnaissables.

Quant à la question de la transmission d’images vidéos à une autorité pénale, le PFPDT considère qu’elle est justifiée et légale lorsqu’elle repose sur une décision (1.2.3). Cet avis, s’il pourra souvent être suivi, n’est pas absolu. Selon le type de vidéosurveillance, l’utilisation des images à des fins pénales pourrait être contraire au but dans lequel les données ont été traitées et les preuves pourraient être illégales. L’autorité fribourgeoise de protection des données a d’ailleurs récemment refusé la transmission des images d’une caméra de surveillance du trafic à une assurance en responsabilité civile.

Le PFPDT s’est encore prononcé sur les possibilités de partage d’informations entre des boîtes de nuits concernant les clients interdits et la manière dont une entreprise qui travaillerait pour plusieurs établissements doit séparer les informations (1.2.4).

Il a par ailleurs obtenu l’ajout dans la loi sur les systèmes d’information de la Confédération dans le domaine du sport de l’exigence du consentement du sportif concerné avant la communication de données et de résultats du diagnostic de performance (1.2.9).

Cookies et webtracking
Comme la plupart du temps les internautes ne se rendent pas compte de la présence de cookies et autres traceurs, il y a en règle générale une violation des droits de la personnalité des personnes concernées.

Un principe fondamental pour l’exploitant du site web lors de l’utilisation du webtracking est le principe de la transparence: cela signifie que l’exploitant du site web doit informer en détail les visiteurs du fait qu’il utilise des outils de webtracking et les possibilités qu’a un visiteur de s’y opposer. Etant donné que le webtracking est généralement utilisé pour créer des profils de la personnalité, ceci requiert le consentement explicite du visiteur du site avant de pouvoir collecter des données. Si le site web intègre des plugins sociaux, il faut utiliser une solution dite «à deux clics».

Les chiffres entre parenthèse font référence aux chapitres du rapport.

Suivre

Recevez les nouvelles publications par mail.

Rejoignez 833 autres abonnés