jump to navigation

La liberté d’information peut justifier l’enregistrement d’une conversation privée par un journaliste 25 février 2015

Posted by Sylvain Métille in ATF, Droit pénal et procédure pénale, Jurisprudence, Protection des données, Sphère privée, Suisse, Surveillance, Technique, Vidéosurveillance.
add a comment

Dans une Affaire Haldimann et autre contre Suisse du 24 février 2015, la Cour européenne des droits de l’Homme a constaté que la Suisse avait violé la CEDH en condamnant pénalement des journalistes qui avait enregistré au moyen d’une caméra caché des conversations non publiques (Requête no 21830/09). La Cour a retenu que la liberté d’information devait prendre le pas sur le droit à l’image.

La procédure suisse
En 2003, la rédaction de l’émission hebdomadaire de protection des consommateurs de la télévision suisse alémanique Kassensturz a produit et diffusé un reportage sur les pratiques dans le domaine de la vente des produits d’assurance-vie. Dans ce but, ils ont convenu d’un entretien avec un courtier en assurances lors duquel une journaliste s’est faite passer pour une cliente potentielle. Deux caméras cachées ont enregistré la scène. A la fin de l’entretien, le courtier a été informé et la possibilité de donner son avis lui a été donnée, ce qu’il a refusé. Une partie de l’entretien est ensuite diffusée, mais le visage du courtier est «pixélisé» de manière à ce que seule la couleur de ses cheveux et de sa peau soient encore visibles après cette transformation de l’image, ainsi que ses vêtements. Sa voix a aussi été modifiée.

Au terme de la procédure pénale, les quatre journalistes sont condamnés pour avoir enregistré en secret une conversation de l’un d’entre eux avec le courtier d’assurances et pour avoir diffusé certaines parties de cette conversation sous forme «anonymisée» à la télévision. Les journalistes n’ont pas été condamnés pour avoir fait un enregistrement avec une caméra cachée, mais pour avoir utilisé ce procédé pour enregistrer une conversation non publique.

En droit, il s’agit pour la journaliste qui a participé à la conversation d’une violation de l’art. 179ter CP qui sanctionne l’enregistrement d’une conversation non publique par l’un des participants, sans le consentement de son interlocuteur, et pour les autres une violation de l’art. 179bis CP qui sanctionne l’enregistrement d’une conversation non publique entre d’autres personnes, sans leur consentement, et la communication à des tiers d’un fait obtenu au moyen d’un tel enregistrement. Ces articles garantissent en particulier la confidentialité des conversations non publiques. La violation du domaine secret ou du domaine privé au moyen d’un appareil de prise de vues au sens de l’art. 179quater CP n’a pas été retenue.

Droit à l’image contre liberté d’expression
La Cour européenne des droits de l’Homme était saisie d’un recours formé par les journalistes, qui considèrent que les dispositions pénales en question portent atteinte à la liberté d’expression et ne devraient pas leur être applicables. Ils soulignent d’ailleurs qu’ils ont respecté la décision no 51/2007 du Conseil suisse de la presse qui dit que les recherches cachées sont autorisées si les informations sont dans l’intérêt public et si les informations ne peuvent pas être reçues par un autre moyen.

La Cour aborde l’affaire comme un conflit entre deux droits fondamentaux, la liberté d’expression des journalistes d’une part et le droit au respect de la vie privée du courtier d’autre part. La Cour ne conteste pas que les dispositions pénales protègent le droit du courtier à sa propre image, à sa propre parole ainsi que sa réputation, mais elle se demande si les dispositions pénales sont une restriction justifiée de la liberté d’expression.

La Cour passe en revue les différents critères qu’elle utilise habituellement pour analyser la mise en balance du droit à la liberté d’expression et du droit au respect de la vie privée:

  • la contribution à un débat d’intérêt général: la mauvaise qualité du conseil délivré par des courtiers en assurances et la protection du droit des consommateurs en découlant est un débat d’un intérêt public très important auquel les journaliste participent.
  • la notoriété de la personne visée, l’objet du reportage et son comportement antérieur: le courtier filmé à son insu n’était pas un personnage public. Le reportage litigieux n’était pas focalisé sur la personne du courtier mais sur certaines pratiques commerciales mises en œuvre au sein d’une catégorie professionnelle. En outre, l’entretien ne s’était pas déroulé dans les bureaux du courtier ou autre local professionnel. L’atteinte à la vie privée du courtier est moins importante que s’il avait été visé exclusivement et en personne par le reportage.
  • le mode d’obtention des informations et leur véracité: les journalistes ont respectés les règles déontologiques et la véracité des informations n’a jamais été contestée.
  • le contenu, la forme et les répercussions de la publication: l’enregistrement a été diffusé sous forme de reportage, particulièrement péjoratif à l’égard du courtier. Des mesures ont toutefois été prises pour l’«anonymiser». Pour la Cour, l’ingérence dans la vie privée du courtier n’est pas d’une gravité telle qu’elle doive occulter l’intérêt public à l’information des malfaçons alléguées en matière de courtage en assurances.
  • la gravité de la sanction imposée: même si les peines sont très faibles (quatre et douze jours-amendes), cette sanction pénale peut inciter la presse à s’abstenir d’exprimer des critiques.

En conclusion, la Cour estime que la mesure litigieuse n’était pas, en l’espèce, nécessaire dans une société démocratique et que, par conséquent, il y a eu violation de l’art. 10 CEDH. Autrement dit, la Cour considère que dans ce cas précis, la norme pénale de devait pas l’emporter sur la liberté d’expression et qu’il ne faillait pas condamner pénalement les journalistes. La Cour crée d’une certainement manière un motif justificatif pour les journaliste rendant leurs actes licites dans ce cas particulier.

Confidentialité des conversations
Pour le juge Paul Lemmens qui signe une opinion dissidente très intéressante, il ne s’agissait pas simplement de la mise en balance de deux intérêts privés. Les dispositions pénales en question visent à protéger non pas la vie privée (ou la réputation) de certains individus, mais la confidentialité en général des conversations non publiques. Il s’agit alors d’un intérêt général touchant à l’ordre public et concrétisé dans la loi pénale, et non pas à de simples intérêts privés.

La question n’est pas de savoir dans quelle mesure l’utilisation de la caméra cachée est acceptable, mais de savoir dans quelle mesure des accusés peuvent invoquer avec succès une cause de justification contre l’accusation d’enregistrement et de diffusion d’une conversation protégée par la loi. Comme l’avait relevé le Tribunal fédéral, la défense d’intérêts légitimes suppose que l’acte délictuel soit un moyen nécessaire et adéquat pour atteindre un but légitime, voire que ce soit la seule voie possible pour atteindre ce but, et que le bien juridique protégé par l’interdiction légale pèse moins lourd que celui que l’auteur de l’acte cherchait à préserver. Cela n’était probablement pas le cas en l’espèce puisqu’il était possible de montrer les abus en matière d’assurance de manière différente. Et cette interprétation ne rendait pas pour autant illégale le recours à une caméra cachée lorsque c’est le seul moyen d’arriver au but visé, et légitime, pour un journaliste.

Cette décision de la Cour européenne des droit de l’Homme va conduire à la révision de la condamnation des journalistes, mais elle va aussi permettre, de manière plus générale, aux journalistes d’investigation suisses d’utiliser des caméras cachées. Leur utilisation devrait toutefois restée limitée, car la Cour n’a pas indiqué que le droit pénal ne s’appliquait pas aux journalistes mais seulement que dans ce cas particulier, le droit à l’information devrait primer sur la protection de la sphère privée. Si le reportage avait visé une personne en particulier, la conclusion aurait pu être différente.

A noter finalement que la Cour ne s’est pas prononcée sur l’éventuelle utilisation de l’enregistrement par la justice pénale. En l’absence d’infraction pénale, la preuve ne serait vraisemblablement plus illégale. Le journaliste pourrait néanmoins se réfugier derrière la protection des sources pour refuser de la communiquer.

Publications: Infrastructures et données informatiques 10 février 2015

Posted by Sylvain Métille in ATF, Droit pénal et procédure pénale, Informatique, Jurisprudence, Protection des données, Publications, Sphère privée, Suisse, Téléchargement, Technique.
add a comment

L’article écrit avec Joanna Aeschlimann intitulé Infrastructures et données informatiques: quelle protection au regard du code pénal suisse? est paru il y a quelques semaines dans la Revue pénale suisse 03/2014. Nous avons examiné en détail les conditions devant être remplies pour que l’infraction soit réalisée, mais également les mesures à prendre par la victime potentielle pour pouvoir prétendre à la protection pénale. Les infractions envisagées sont :

  • La soustraction de données (143 CP)
  • La soustraction de données personnelles (Art. 179novies)
  • L’accès indu à un système informatique (143bis al. 1 CP)
  • La mise à disposition d’informations en vue d’un accès indu (143bis al. 2 CP)
  • La détérioration de données proprement dite (144bis ch. 1 CP)
  • La mise à disposition d’informations permettant la détérioration de données (144bis ch. 2 CP)
  • L’utilisation frauduleuse d’un ordinateur (147 CP)
  • L’obtention frauduleuse d’une prestation (art. 150 CP)

Le tribunal fédéral fixe les conditions auxquelles les cantons peuvent prévoir des mesures de surveillance préventives 29 décembre 2014

Posted by Sylvain Métille in ATF, Droit pénal et procédure pénale, Informatique, Jurisprudence, Protection des données, Renseignement, Skype, Sphère privée, Suisse, Surveillance, Téléphonie, Technique, Vidéosurveillance.
add a comment

Les mesures de surveillance dites invasives (en principe conduites à l’insu de la personne concernée) sont envisagées dans trois situations précises :

  1. une infraction pénale a été commise ou est en train d’être commise et l’on veut identifier l’auteur ou réunir des preuves (surveillance répressive);
  2. une infraction pénale sera potentiellement commise et l’on veut la prévenir ou la révéler (surveillance préventive);
  3. il existe une menace concrète pour la sûreté intérieure ou extérieure, sans qu’il ne s’agisse d’une infraction pénale (surveillance préventive).

On distingues ces mesures de la surveillance d’observation (qui est utilisée pour surveiller un rayon déterminé accessible au public, afin de constater des mouvements ou des phénomènes objectifs, sans traiter des données personnelles, dont l’exemple classique est le contrôle de la fluidité du trafic routier, et de la surveillance dissuasive) et de la surveillance dissuasive (qui consiste à surveiller ouvertement un lieu pour tenter d’empêcher les personnes qui s’y trouvent de commettre des infractions, dont l’exemple classique est la vidéosurveillance).

Des compétences cantonales et fédérales
La surveillance répressive est une compétence fédérale. Les modalités sont prévues dans le Code de procédure pénale (CPP), qui prévoit les conditions auxquelles ces mesures peuvent être mises en place. Dans ce domaine, les cantons ne peuvent plus adopter des mesures supplémentaires que le droit fédéral ne prévoit pas.

La surveillance préventive est un mélange de compétences cantonales et fédérales. Le parlement doit discuter prochainement du projet de Loi fédérale sur le renseignement qui donnerait à la Confédération de nouveaux pouvoirs, en particulier celui de procéder à des écoutes téléphoniques, des enregistrements audios et vidéos, ainsi que l’exploration radio et du réseau câblé. Cela ne concerne pas le cas où une infraction va être commise, mais celui où l’on craint un risque pour la sécurité intérieure ou extérieure de la Suisse.

Le nouveau CPP a supprimé la surveillance lors de l’enquête préliminaire que connaissaient certains cantons. Ainsi, une mesure de surveillance n’est possible qu’une fois l’enquête ouverte (c’est-à-dire lorsqu’il y a des soupçons suffisants qu’une infraction pénale a été commise). Restait alors la question de savoir si cela interdisait une surveillance avant que l’infraction ne soit commise (le CPP ayant exclu la surveillance préventive, ou si les cantons pouvaient adopter des normes la prévoyant dans leurs lois de police (le CPP ne pouvait ni l’exclure ni la prévoir).

Le Tribunal fédéral a justement dû se pencher sur deux cas, l’un zurichois (1C_653/2012) et l’autre genevois (1C_518/2013). Il est arrivé à la conclusion que les cantons peuvent prévoir des mesures de surveillance secrètes, mais que des conditions similaires à celles prévues par le CPP doivent être mises en place.

La compétence des cantons de veiller sur leur territoire au maintien de la sécurité publique et de l’ordre est réputée compétence originelle des cantons et le législateur fédéral n’’a pas voulu réglementer les investigations secrètes préventives dans le CPP. Les investigations secrètes préventives sont des mesures qui servent à prévenir ou à révéler une infraction potentielle. Elles sont antérieures à la procédure pénale (qui est une compétence fédérale) et doivent s’inscrire dans la législation policière cantonale.

Les garanties lors de la surveillance préventive
La surveillance n’en porte pas moins une atteinte importante à la sphère privée et familiale, protégée par la constitution et la CEDH. Toute atteinte doit être fondée sur une base légale (les restrictions graves devant être prévues par une loi au sens formel), être justifiée par un intérêt public et être proportionnée au but visé.

Le Tribunal fédéral met en parallèle les mesures préventives du droit cantonal et les mesures contenues dans le CPP et exige au moins les mêmes garanties. Ainsi, il doit toujours exister des indices sérieux qu’une infraction pourrait être commise et la mesure doit être subsidiaire (échec avéré ou probable d’autres procédés d’investigation). Elle doit être réservée à des infractions d’une certaine gravité (mais il est possible de se contenter des crimes et délits dans dresser un catalogue). Finalement, la personne concernée devra être informée et avoir la possibilité de faire contrôler la légalité de la mesure devant une autorité judiciaire indépendante.

Selon le type de mesure retenue, une autorisation judiciaire préalable est nécessaire. C’est notamment le cas pour les recherches secrètes, les enquête sous couverture et la surveillance de plateformes de communications fermées sur Internet.

Publications: jurisprudence 2013 8 décembre 2014

Posted by Sylvain Métille in ATF, Jurisprudence, Protection des données, Publications, Sphère privée, Suisse.
add a comment

A l’été 2013, j’ai été invité par l’Université de Fribourg à commenter quelques jurisprudences actuelles en matière de protection des données.

Ces résumés et commentaires ont depuis été publiés sous le titre «Jurisprudence actuelle en matière de protection des données Surveillance, infiltration et transmission de données à un tiers : quelques atteintes à la sphère privée qui ont occupé récemment les tribunaux» dans l’ouvrage Instrumente zur Umsetzung des Rechts auf informationelle Selbstbestimmung/Instruments de mise en œuvre du droit à l’autodétermination informationnelle édité par Astrid Epiney, Tobias Fasnacht et Gaëtan Blaser. Les décisions abordées concernent en particulier la surveillance des employés, la transmission de certificats de prévoyance, le droit d’accès à ses propres données et la cessation de l’atteinte à la personnalité par un des participants.

Rapport 2014 du préposé fédéral à la protection des données 4 août 2014

Posted by Sylvain Métille in Jurisprudence, Liens, Logiciel, Protection des données, Sphère privée, Suisse, Surveillance, Technique, Vidéosurveillance.
add a comment

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a publié son 21e rapport d’activité. Pour rappel, le PFPDT c’est une équipe d’un peu moins de 30 personnes (équivalents plein temps), qui s’occupe principalement de protection des données (et dans une moindre mesure des questions de transparence) et en particulier du conseil et de la surveillance des organes fédéraux et des personnes privées, de la collaboration avec ses homologues étrangers, de la tenue du registre des fichiers ainsi que de la prise de position sur les projets législatifs fédéraux. Chaque canton a un préposé cantonal en charge de surveiller le traitement des données par son administration.

Vu les ressources et surtout les pouvoirs de contrainte limités du PFPDT (il ne peut pas imposer d’amende comme dans d’autres pays ni interdire le traitement de données sans devoir défendre sa recommandation devant un tribunal), l’essentiel de l’activité consiste en l’information des personnes privées et l’adoption de recommandations et conseils aux responsables de traitement de données. Il a ainsi développé un outil d’analyse d’impact relative à la protection des données qui offre un questionnaire qui évolue de manière dynamique en fonction des réponses déjà apportées (1.8.8).

Le numéro AVS à 13 chiffres
L’utilisation du numéro AVS (NAVS13) dans des domaines variés est un risque important pour la protection de la sphère privée. Le PFPDT a ainsi proposé d’utiliser seulement un numéro sectoriel calculé sur la base du NAVS13 (numéro AVS haché) pour la perception de la redevance radio-télé (1.2.8). Cette conversion au moyen d’une fonction unidirectionnelle permettrait de ne plus déterminer le numéro d’origine, ce qui réduirait considérablement le problème de l’interconnexion de différentes banques de données.

Il a également obtenu dans le cadre du projet de loi fédérale sur le dossier électronique du patient (LDEIP), qu’on recourt à l’utilisation comme identifiant du patient d’un numéro aléatoire, généré et géré par la Centrale de compensation (CdC), au lieu du numéro AVS. L’utilisation du numéro AVS dans le cadre du registre du commerce inquiète également le PFPDT (1.8.4).

Clients et secteur du travail
Dans le secteur du travail, le PFPDT a élaboré un feuillet thématique expliquant la démarche à suivre pour les banques souhaitant communiquer des données personnelles dans le cadre du différend fiscal (1.7.1).

Il a également ouvert une procédure d’éclaircissement des faits auprès de la Poste Suisse suite à la plainte d’un syndicat concernant les enregistrements téléphoniques des collaborateurs du service clientèle. Il est arrivé à la conclusion que les prescriptions en matière de protection des données, notamment l’information aux collaborateurs et la proportionnalité des processus de contrôle, étaient respectées. Il semble en revanche que toutes les caisses de pension n’ont pas tiré les conséquences de la décision du TAF qui leur interdit de transmettre les certificats de prévoyance à l’employeur (1.7.4).

Le PFPDT s’est aussi penché sur un système d’accueil destiné au marché hôtelier de luxe, collectant les mouvements et les préférences des clients à l’aide de la technologie RFID. Un tel profilage nécessite une information préalable des personnes concernées ainsi que leur consentement explicite et une alternative doit être proposée (1.8.9). Des contrôles sont encore en cours concernant l’utilisation plus classique de cartes-clients (1.8.2).

S’agissant des cartes de paiement sans contact, le PFPDT regrette une absence de choix du consommateur et appel le secteur bancaire à permettre au client de refuser cette technologie (1.9.2).

Le droit à l’oubli
Bien que l’existence du droit à l’oubli a été rappelé par la Cour de justice de l’Union européenne récemment, le projet de loi sur la modernisation du registre du commerce ne prévoit pas d’interdire la libre consultation des données du registre du commerce sur Internet après une certaine période (1.8.4). Dans ce domaine, il faut relever que le PFPDT est en train d’examiner les différents traitements de données effectués par la société Itonex SA (qui gère le site Moneyhouse) (1.8.5).

L’archivage numérisé d’articles journalistiques constitue un traitement de données personnelles et doit être légitimé par un motif justificatif, en principe par un intérêt public prépondérant. Il s’agit donc essentiellement d’une question de proportionnalité. Le principe de proportionnalité requiert que les données personnelles soient effacées ou rendues anonymes après un certain délai, dans la mesure où leur conservation n’est plus justifiée. Il faut procéder à une pesée d’intérêts et mettre en balance, d’une part, l’intérêt de l’individu à l’effacement de ses données personnelles des archives numériques d’un journal ou de son intérêt au retrait de l’indexation dans les moteurs de recherche, et d’autre part, l’intérêt public à la conservation des données dans les archives numériques ou dans les moteurs de recherche (1.3.5).

Vidéosurveillance
En matière de vidéosurveillance à des fins de recherches (1.2.2), le PFPDT a précisé les conditions d’information préalable. Si une telle information n’est pas envisageable, les images ne devront alors pas être publiées, où seulement d’une manière à ce que les personnes ne soient pas reconnaissables.

Quant à la question de la transmission d’images vidéos à une autorité pénale, le PFPDT considère qu’elle est justifiée et légale lorsqu’elle repose sur une décision (1.2.3). Cet avis, s’il pourra souvent être suivi, n’est pas absolu. Selon le type de vidéosurveillance, l’utilisation des images à des fins pénales pourrait être contraire au but dans lequel les données ont été traitées et les preuves pourraient être illégales. L’autorité fribourgeoise de protection des données a d’ailleurs récemment refusé la transmission des images d’une caméra de surveillance du trafic à une assurance en responsabilité civile.

Le PFPDT s’est encore prononcé sur les possibilités de partage d’informations entre des boîtes de nuits concernant les clients interdits et la manière dont une entreprise qui travaillerait pour plusieurs établissements doit séparer les informations (1.2.4).

Il a par ailleurs obtenu l’ajout dans la loi sur les systèmes d’information de la Confédération dans le domaine du sport de l’exigence du consentement du sportif concerné avant la communication de données et de résultats du diagnostic de performance (1.2.9).

Cookies et webtracking
Comme la plupart du temps les internautes ne se rendent pas compte de la présence de cookies et autres traceurs, il y a en règle générale une violation des droits de la personnalité des personnes concernées.

Un principe fondamental pour l’exploitant du site web lors de l’utilisation du webtracking est le principe de la transparence: cela signifie que l’exploitant du site web doit informer en détail les visiteurs du fait qu’il utilise des outils de webtracking et les possibilités qu’a un visiteur de s’y opposer. Etant donné que le webtracking est généralement utilisé pour créer des profils de la personnalité, ceci requiert le consentement explicite du visiteur du site avant de pouvoir collecter des données. Si le site web intègre des plugins sociaux, il faut utiliser une solution dite «à deux clics».

Les chiffres entre parenthèse font référence aux chapitres du rapport.

Un moteur de recherche est un responsable de traitement (maître de fichier) 20 mai 2014

Posted by Sylvain Métille in Google, Jurisprudence, Liens, Localisation, Protection des données, Sphère privée, Suisse, Technique, USA.
add a comment

Après avoir annulé la directive 2006/24/CE sur la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications le 8 avril 2014, la Cour de justice de l’Union européenne (CJUE) vient de rendre une nouvelle décision importante en matière de protection des données (arrêt de la Cour du 13 mai 2014 dans l’affaire C‑131/12, Google Spain SL et Google Inc. Contre Agencia Española de Protección de Datos (AEPD) et Mario Costeja González).

La Cour devait répondre à des questions soumises par une autorité judiciaire espagnole, qui elle-même avait à traiter de la demande d’un citoyen Espagnol qui exigeait qu’un journal local et Google retirent les liens vers deux pages sur lesquelles figurait une annonce, mentionnant son nom pour une vente aux enchères immobilière liée à une saisie pratiquée en recouvrement de dettes de sécurité sociale. Cette saisie était conforme à la réalité au moment de la parution de l’annonce en 1998, mais elle a maintenant été réglée.

Un moteur de recherche est un responsable de traitement
Pour la Cour, il convient de constater que, en explorant de manière automatisée, constante et systématique Internet à la recherche des informations qui y sont publiées, l’exploitant d’un moteur de recherche collecte de telles données qu’il extrait, enregistre et organise par la suite dans le cadre de ses programmes d’indexation, conserve sur ses serveurs et, le cas échéant, communique à et met à disposition de ses utilisateurs sous forme de listes des résultats de leurs recherches. Il s’agit chaque fois d’un traitement de données au sens de la directive 95/46/CE. La CJUE avait d’ailleurs déjà retenu dans un arrêt Lindqvist (C‑101/01) que l’opération consistant à faire figurer, sur une page Internet, des données à caractère personnel est à considérer comme un traitement de données. Que les données aient déjà fait l’objet d’une publication sur Internet et ne soint pas modifiées par le moteur de recherche n’y change rien. On a donc deux responsables de traitement (ou responsable de fichier pour reprendre la terminologie du droit suisse) étant donné qu’il y a deux traitements différentes: celui effectué dans le cadre de l’activité du moteur de recherche et celui effectué par l’éditeur du site web (où les données sont hébergées la première fois).

La CJUE a également insisté sur le rôle décisif des moteurs de recherche qui rendent accessibles aux internautes des données qu’ils n’auraient pas trouvées autrement. L’aperçu structuré des résultats constitue en outre un profil plus ou moins détaillé de la personne concernée.

Ce raisonnement doit être suivi car un moteur de recherche fait généralement bien plus que reprendre des liens sans aucune maîtrise sur leur contenu (comme cela a pourtant parfois pu être admis). Et quand bien même ce serait le cas, l’agrégation et la mise en structure de ces données constituent un traitement de données, puisque le simple affichage de données personnelles sur une page de résultats d’une recherche est déjà un traitement de telles données.

Le rattachement territorial
Le moteur de recherche est exploité par Google Inc. (USA), la société-mère du groupe. Le groupe Google a recours à sa filiale espagnole pour la promotion des ventes d’espaces publicitaires générés sur le site web www.google.com et elle a désigné auprès de l’AEPD cette filiale comme responsable du traitement de fichiers enregistrés par Google Inc.

Pour la CJUE, Google Spain se livre à l’exercice effectif et réel d’une activité au moyen d’un établissement stable en Espagne. Il n’est pas nécessaire que le traitement de données soit effectué par l’établissement concerné lui-même, mais uniquement qu’il le soit dans le cadre des activités de celui-ci. En l’espèce, le traitement de données est fait pour les besoins du moteur de recherche exploité par une entreprise ayant son siège dans un État tiers mais disposant d’un établissement dans un État membre. Il est donc effectué dans le cadre des activités de cet établissement si celui-ci est destiné à assurer, dans cet État membre, la promotion et la vente des espaces publicitaires proposés par le moteur de recherche. Les activités de l’exploitant du moteur de recherche et celles de son établissement sont indissociablement liées. Cette approche n’est pas nouvelle et le Tribunal fédéral suisse avait déjà appliqué un raisonnement similaire dans l’affaire Google Street View.

Le droit à l’oubli
La Cour n’apporte pas vraiment de réponses sur la question du droit à l’oubli et ses limites. Elle rappelle que chacun peut obtenir du responsable du traitement, selon le cas, la rectification, l’effacement ou le verrouillage des données dont le traitement viole la personnalité en raison du caractère incomplet ou inexact des données.

Même un traitement initialement licite de données exactes peut devenir, avec le temps, illicite lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées. Tel est notamment le cas lorsqu’elles apparaissent inadéquates, qu’elles ne sont pas ou plus pertinentes ou sont excessives au regard de ces finalités et du temps qui s’est écoulé. Le traitement doit évidemment être licite durant toute la période pendant laquelle il est effectué.

Il n’y a toutefois pas de réponse absolue sur la portée du droit à l’oubli et même si en règle générale la protection des données doit prévaloir, il se peut que la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information puisse renverser la balance.

En Suisse, Le Tribunal administratif fédéral (TAF) avait retenu au contraire en 2008 (ATAF208/16) que la fonction du registre du commerce s’opposait au droit à l’oubli, au vu de l’intérêt public prépondérant à la publicité de ces informations, même longtemps après leur parution dans la Feuille officielle suisse du commerce. Le TAF avait également souligné que la limite de temps imposée aux recherches en ligne dans la Feuille officielle ne s’appliquait pas au sites privés. Cet intérêt presque perpétuel retenu par le TAF tranche singulièrement avec l’approche de la CJUE qui considère que des informations liées à une saisie 16 ans auparavant ne sont plus pertinentes au regard des finalités du traitement en cause réalisé par l’exploitant du moteur de recherche et doivent être effacées.

Les motifs justificatifs
Il faut procéder à une pesée d’intérêts entre l’intérêt de la personne à la suppression de ses données et un intérêt légitime du moteur de recherche à les traiter.

La CJUE souligne que l’atteinte se trouve démultipliée en raison du rôle important que jouent Internet et les moteurs de recherche dans la société moderne (caractère ubiquitaire des informations contenues dans une liste de résultats) et que les données peuvent être répliquées facilement sur d’autres sites web (y compris dans des pays n’offrant pas les mêmes garanties légales). Les motifs justificatifs qui profitent à l’éditeur d’une page web ne sont pas forcément valables pour le moteur de recherche. L’inclusion dans la liste de résultats affichés à la suite d’une recherche effectuée à partir du nom d’une personne est susceptible de constituer une atteinte plus grande que la publication par l’éditeur de cette page web.

L’exploitant d’un moteur de recherche peut donc être obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web publiées par des tiers et contenant des informations relatives à cette personne, même si le nom ou ces informations ne sont pas effacés de ces pages web elle-même (y compris lorsque cette publication-là serait licite).

Les conséquences concrètes
La CJUE a affirmé le rôle de responsable de traitement (maître du fichier) du moteur de recherche et son obligation de respecter les normes de protection des données. Il ne peut plus prétendre à un statut d’hébergeur sans maîtrise du contenu, ce qui pourrait le disculper lors de l’application d’autres normes juridiques. Dans le même ordre d’idées, le Tribunal fédéral a rappelé que toute personne qui participe à l’atteinte peut être tenu de la faire cesser (en cessant sa participation), même s’il n’en est pas à l’origine ni n’a commis aucune faute.

Un moteur de recherche ne pourra désormais plus présumer qu’il effectue un traitement licite de données par ce que les données personnelles proviennent d’autres sites. Il devra aussi donner suite aux demandes qui lui sont adressées au-cas par cas et vérifier s’il y a des motifs suffisants pour justifier son traitement ou s’il doit supprimer le contenu.

Reste encore la question la plus intéressante (et celle à laquelle la CJUE n’a que peu répondu), qui est celle de savoir dans quelle mesure le droit à l’oubli peut permettre à chacun de demander la suppression d’informations  (et après combien de temps), voire  si celui qui traite des données doit en tenir compte spontanément et supprimer certaines données (lesquelles ?).

Mises à jour 30 mai et 24 juillet 2014
Google et Bing ont mis en ligne des formulaires de demande de suppression de résultat de recherche au titre de la législation européenne relative à la protection des données. A noter que la Suisse figure parmi les pays concernés.

La directive sur la conservation des données invalidée par la Cour de justice de l’Union européenne 9 avril 2014

Posted by Sylvain Métille in Droit pénal et procédure pénale, Jurisprudence, Localisation, Logiciel, Protection des données, Renseignement, Sphère privée, Surveillance, Téléphonie, Technique.
add a comment

Dans un arrêt du 8 avril 2014 (C-293/12 et C-594/12), la Cour de justice de l’Union européenne (grande chambre) a invalidé la directive 2006/24/CE du Parlement européen et du Conseil du 15 mars 2006 sur la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications.

De quoi parle-t-on ?
La directive 2006/24 prévoyait l’obligation des fournisseurs de services de communications électroniques accessibles au public ou des réseaux publics de communications de conserver les données relatives au trafic et aux données de localisation concernant tant les entités juridiques que les personnes physiques, ainsi qu’aux données connexes nécessaires pour identifier l’abonné ou l’utilisateur enregistré. Elle ne s’applique pas au contenu des communications électroniques, notamment aux informations consultées en utilisant un réseau de communications électroniques.

En imposant la conservation des données énumérées et en permettant l’accès des autorités nationales compétentes, cette directive déroge au régime de protection du droit au respect de la vie privée instauré par les directives 95/46 (directive relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données) et 2002/58 (directive vie privée et communications électroniques), ces deux directives ayant prévu la confidentialité des communications et des données relatives au trafic ainsi que l’obligation d’effacer ou de rendre anonymes ces données lorsqu’elles ne sont plus nécessaires à la transmission d’une communication, à moins qu’elles ne soient nécessaires à la facturation (et uniquement tant que cette nécessité perdure).

Cette directive concerne de manière globale l’ensemble des personnes faisant usage de services de communications électroniques, sans toutefois que les personnes dont les données sont conservées se trouvent, même indirectement, dans une situation susceptible de donner lieu à des poursuites pénales. La Cour rappelle qu’elle s’applique sans aucune exception (y compris à des personnes dont les communications sont soumises au secret professionnel) et donc même à des personnes pour lesquelles il n’existe aucun indice de nature à laisser croire que leur comportement puisse avoir un lien, même indirect ou lointain, avec des infractions graves.

Une atteinte à la sphère privée
La conservation des données aux fins de leur accès éventuel par les autorités nationales compétentes, telle que prévue par la directive 2006/24, concerne de manière directe et spécifique la vie privée et constitue un traitement des données à caractère personnel. Comme le souligne la Cour, ces données, prises dans leur ensemble, sont susceptibles de permettre de tirer des conclusions très précises concernant la vie privée des personnes concernées, telles que les habitudes de la vie quotidienne, les lieux de séjour permanents ou temporaires, les déplacements journaliers ou autres, les activités exercées, les relations sociales de ces personnes et les milieux sociaux fréquentés. Il importe peu que les intéressés aient ou non subi d’éventuels inconvénients en raison de cette ingérence

Une étude récente a d’ailleurs démontré que quatre points spatio-temporels du style de ceux fournis par une antenne auquel se connecte un téléphone GSM permettent d’identifier de manière unique 95% des individus.

L’obligation imposée aux fournisseurs de services de communications de conserver pendant une certaine durée des données relatives à la vie privée d’une personne et à ses communications, constitue en soi une ingérence dans les droits garantis par l’article 7 de la Charte. En outre, l’accès des autorités nationales compétentes aux données constitue une ingérence supplémentaire dans ce droit fondamental.

L’ingérence s’avère d’une vaste ampleur et qu’elle doit être considérée comme particulièrement grave aux yeux de la Cour. Le fait que la conservation des données et l’utilisation ultérieure de celles-ci sont effectuées sans que l’abonné ou l’utilisateur inscrit en soient informés est également susceptible de générer dans l’esprit des personnes concernées, le sentiment que leur vie privée fait l’objet d’une surveillance constante.

Si la Cour a retenu une ingérence particulièrement grave, elle a toutefois estimé que le contenu essentiel du droit fondamental au respect de la vie privée (noyau dur) n’était pas atteint puisque cette directive ne permet pas de prendre connaissance du contenu des communications électroniques en tant que tel.

Un intérêt légitime
L’objectif matériel de la directive est de contribuer à la lutte contre la criminalité grave et, en fin de compte, à la sécurité publique. Pour la Cour, la conservation des données pour permettre aux autorités nationales compétentes d’y accéder éventuellement répond effectivement à un objectif d’intérêt général. La conservation des données est donc un instrument utile pour les enquêtes pénales et elle peut être considérée comme apte à réaliser l’objectif poursuivi.

Des garde-fous insuffisants
Dès lors qu’une atteinte est constatée mais qu’elle correspond à un but légitime, il faut vérifier quelles limites sont posées pour s’assurer que les personnes dont les données ont été conservées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d’abus ainsi que contre tout accès et toute utilisation illicites. Pour la Cour, cela est d’autant plus important que les données à caractère personnel sont soumises à un traitement automatique et qu’il existe un risque important d’accès illicite à ces données

La directive impose la conservation de toutes les données relatives au trafic concernant la téléphonie fixe, la téléphonie mobile, l’accès à Internet, le courrier électronique par Internet ainsi que la téléphonie par Internet, et cela pour tous les abonnés et utilisateurs inscrits. Pour la Cour, elle comporte donc une ingérence dans les droits fondamentaux de la quasi-totalité de la population européenne sans qu’aucune différenciation, limitation ou exception ne soient opérées en fonction de l’objectif de lutte contre les infractions graves. La conservation ne se limite pas à des données afférentes à une période temporelle et/ou une zone géographique déterminée et/ou sur un cercle de personnes données susceptibles d’être mêlées d’une manière ou d’une autre à une infraction grave, soit sur des personnes qui pourraient, pour d’autres motifs, contribuer, par la conservation de leurs données, à la prévention, à la détection ou à la poursuite d’infractions graves.

Il n’y a pas non plus de conditions dans la directive qui limiteraient l’accès des autorités nationales compétentes aux données et leur utilisation ultérieure (par exemple à des fins de prévention et de détection d’infractions graves précisément délimitées ou de poursuites pénales de ces infractions). La Cour s’étonne en particulier, de l’absence de critère objectif permettant de limiter le nombre de personnes disposant de l’autorisation d’accès et d’utilisation ultérieure des données conservées au strict nécessaire au regard de l’objectif poursuivi, ainsi que de l’absence d’exigence d’un contrôle préalable effectué soit par une juridiction, soit par une entité administrative.

La durée de conservation des données est aussi problématique pour la Cour en raison de l’absence de distinction entre les catégories de données en fonction de leur utilité éventuelle ou selon les personnes concernées. La durée de conservation ne devrait pas être fixée de manière uniforme mais doit être fondée sur des critères objectifs afin de garantir que celle-ci est limitée au strict nécessaire.

La directive de contient finalement pas des garanties suffisantes permettant d’assurer une protection efficace des données conservées contre les risques d’abus ainsi que contre tout accès et toute utilisation illicites de ces données. La directive ne garantit notamment pas que soit appliqué par les fournisseurs de télécommunication un niveau particulièrement élevé de protection et de sécurité (mesures techniques et organisationnelles), mais autorise au contraire ces fournisseurs à tenir compte de considérations économiques lors de la détermination du niveau de sécurité qu’ils appliquent. La destruction irrémédiable des données au terme de la durée de conservation n’est pas non plus prévue, pas plus que la conservation des données sur le territoire de l’Union européenne.

En conclusion
La Cour de justice de l’UE a invalidé la directive 2006/24 en particulier parce qu’elle viole le principe de proportionnalité. Si son objectif est légitime, la conservation systématique et sans exception des données accessoires de communications de tous les utilisateurs européens pour une durée déterminée (sans lien avec leur situation particulière, le type de donnée et le but poursuivi) n’est pas proportionnée. L’absence de garanties concernant la sécurité des données, les modalités d’accès et leurs conditions utilisation constituent également une atteinte particulièrement grave.

Le Tribunal fédéral dit non à un logiciel espion pour surveiller un employé 19 février 2014

Posted by Sylvain Métille in ATF, Informatique, Jurisprudence, Logiciel, Protection des données, Publications, Skype, Sphère privée, Suisse, Surveillance, Téléphonie, Technique.
add a comment

Au moment de la publication de l’ouvrage Instrumente zur Umsetzung des Rechts auf informationelle Selbstbestimmung / Instruments de mise en œuvre du droit à l’autodétermination informationnelle dans lequel j’ai commenté les décisions rendues en 2012-2013 en matière de protection des données, je me suis aperçu ne pas avoir parlé ici de l’Arrêt du Tribunal fédéral17 janvier 2013 (ATF 139 II 7, « Consortium de la protection civile »).

Dans cet affaire, un consortium tessinois de la protection civile soupçonnait un de ses employés d’utiliser à des fins personnelles les ressources informatiques mises à sa disposition. Le Consortium a installé pendant plus de trois mois et à l’insu de l’employé un logiciel espion qui a révélé que l’employé avait consacré une part considérable de son temps de travail à des activités privées ou au moins étrangères à son activité professionnelle.

Un espionnage sans limite
Grâce à des copies d’écran, effectuées à intervalles réguliers, le contrôle a également permis de prendre connaissance du contenu des pages Internet consultées et des messages électroniques, y compris des informations privées comme des opérations e-banking en relation avec la fonction de membre du conseil municipal de l’intéressé. En se basant sur les résultats de la surveillance informatique, l’employeur a résilié les rapports de travail avec effet immédiat.

Le Tribunal fédéral a retenu que l’utilisation clandestine d’un logiciel espion était illicite et constituait une mesure prohibée par l’art. 26 al. 1 de l’Ordonnance 3 du 18 août 1993 relative à la loi sur le travail (OLT 3), en tant qu’elle est assimilable à un système de contrôle destiné essentiellement à surveiller le comportement d’un travailleur. Cette mesure était au surplus disproportionnée.

Si l’employeur a un intérêt légitime à lutter contre les abus, il peut y parvenir à l’aide de moyens moins invasifs, comme le blocage à titre préventif de certains sites Internet, ou une analyse conformément aux modalités indiquées par le Préposé fédéral à la protection des données et à la transparence.

Vu la possibilité pour l’employeur de recourir à des moyens légaux pour défendre ses intérêts, le Tribunal fédéral a considéré que la surveillance était illégale et que les preuves recueillies l’étaient également, ce qui ne permettait pas de fonder le licenciement immédiat.

Publications: Reforming Surveillance Law: The Swiss Model 11 février 2014

Posted by Sylvain Métille in Droit pénal et procédure pénale, Jurisprudence, Protection des données, Publications, Sphère privée, Suisse, Surveillance, Téléphonie, Technique, USA, Vidéosurveillance.
1 comment so far

L’article “Reforming Surveillance Law: The Swiss Model”, co-écrit par Sylvain Métille et Susan Freiwald, vient d’être publié dans le réputé Berkeley Technology Law Journal.

Cet article compare principalement la loi américaine «ECPA» (Electronic Communications Privacy Act) qui règle la surveillance électronique par les autorités judiciaires et policières avec le Code suisse de procédure pénale (CPP). Cet article, qui fait suite à un projet de recherche mené depuis 2011, est le premier à analyser le droit suisse applicable à la surveillance avec un regard international. Il montre également les avantages de l’approche suisse qui contient dans le CPP une réglementation claire et uniforme, sur l’approche américaine beaucoup plus divisée et confuse.

Identification du titulaire d’une adresse IP 30 décembre 2013

Posted by Sylvain Métille in ATF, Droit pénal et procédure pénale, Informatique, Jurisprudence, Logiciel, Protection des données, Sphère privée, Suisse, Technique.
4 comments

L’art. 273 du Code de procédure pénale (CPP) permet au ministère public d’obtenir des fournisseurs de services de télécommunications les données indiquant quand et avec quelles personnes ou quels raccordements la personne surveillée a été ou est en liaison par poste ou télécommunication (a) et  les données relatives au trafic et à la facturation (b) lorsque de graves soupçons laissent présumer qu’un crime, un délit ou une contravention au sens de l’art. 179septies CP a été commis. L’ordre de surveillance doit être autorisé par le tribunal des mesures de contrainte et les principes de proportionnalité et de subsidiarité doivent notamment être respectés.

On appelle ces informations «données accessoires» ou encore «données relatives au trafic et à la facturation et identification des usagers». Elles se distinguent des autres mesures de surveillance de la correspondance et des télécommunications par le fait qu’elles ne portent pas sur le contenu. Elles portent donc une atteinte moins grande à la sphère privée et peuvent être autorisées plus facilement que l’accès au contenu (ATF 137 IV 340, consid. 5.5). Ces données peuvent être demandées en temps réel (comme une écoute), mais c’est assez rare. Elles sont le plus souvent demandées avec effet rétroactif. Dans ce cas l’art. 273 al. 3 CPP prévoit une limite à six mois, indépendamment de la durée de la surveillance.

Certains considèrent qu’il s’agit là d’une obligation pour les fournisseurs de conserver les données durant 6 mois et qu’il serait possible d’obtenir des données plus anciennes si elles sont disponibles. Cette interprétation ne devrait pas être suivie. L’obligation de conserver les données découle des art. 12 al. 2 et 15 al. 3 de la Loi sur la surveillance de la correspondance par poste et télécommunication (LSCPT). C’est cette loi qui impose des obligations aux fournisseurs de services, alors que les conditions de surveillance (et d’obtention des données) découlent du CPP. La limite de six mois s’impose donc aux autorités de poursuite et elles ne peuvent pas demander des données antérieures, même si elles sont disponibles. Le projet de révision de la LSCPT prévoit une extension de la durée de conservation des données à 12 mois.

Pas de limite temporelle pour l’adresse IP
Au début de cette année, le Tribunal fédéral (TF) s’est prononcé sur une demande d’identification d’une adresse IP antérieure à plus de 6 mois. Cette décision vient d’être publiée au recueil officiel des ATF (139 IV 98).

L’art. 14 LSCPT dispose que les fournisseurs de services de télécommunication doivent fournir d’une part le nom, l’adresse et, si celle-ci est connue, la profession de l’usager d’un raccordement déterminé, et d’autre part les ressources d’adressage (les paramètres de communication ainsi que les éléments de numérotation tels que les indicatifs, les numéros d’appel et les numéros courts, ce qui inclut l’adresse IP). Ces informations sont fournies sur demande aux autorités fédérales et cantonales qui peuvent ordonner ou autoriser une surveillance de la correspondance par télécommunication, pour déterminer les raccordements et les personnes à surveiller, mais également à l’Office fédéral de la police et aux commandements des polices cantonales et municipales, pour exécuter des tâches de police.

La LSCPT est donc une lex specialis, soit une loi spéciale qui déroge au régime général du CPP selon le TF. On peut aussi considérer simplement que l’identification de l’utilisateur d’une ressource d’adressage (ou dans l’autre sens de la ressource d’adressage d’un utilisateur) est un renseignement sur les raccordements de télécommunication qui ne fait pas partie des mesures de surveillance. Une telle demande n’est pas soumise aux exigences strictes applicables à ces mesures et l’information peut être obtenue facilement, y compris en dehors d’une procédure pénale.

A noter que l’art. 82 de l’Ordonnance sur les services de télécommunication (OST), permet au client d’un service de télécommunication qui reçoit des communications abusives d’obtenir la date et l’heure des messages, les ressources d’adressage ainsi que le nom et l’adresse des titulaires des raccordements ayant servi à établir les communications. Si les messages abusifs sont des emails et non des appels téléphoniques, cette disposition devrait aussi inclure l’adresse IP.

Le TF avait laissé ouverte la question de savoir si des données accessoires (soit d’autres données que le nom et l’adresse du titulaire d’un numéro de téléphone ou d’une adresse IP) qui seraient disponibles au-delà de six mois pouvaient être transmises aux autorités de poursuite. C’est dans une autre affaire (ATF 139 IV 195) que le TF a apporté la réponse à cette question, confirmant que la limite de six mois doit être respectée pour les données accessoires au sens de l’art. 273 al. 3 CPP.

Suivre

Recevez les nouvelles publications par mail.

Rejoignez 755 autres abonnés