FÉRAL partage régulièrement sur sa page Linkedin des réactions aux actualités juridiques qui ont marqué nos domaines d’activités. Tous les quinze jours, retrouvez un récap’ des informations qu’il ne fallait pas manquer.
Entrée en application du Data Governance Act le 24 septembre 2023
Le DGA, dont l’objectif affiché est d’améliorer les conditions de partage des données au sein de l’UE, est désormais applicable. Ce texte prévoit notamment :
- La réutilisation de certaines catégories de données détenues par des organismes publics (propriété intellectuelle, données personnelles, etc.) ;
- La régulation de l’activité des services d’intermédiation de données (obligation de garantir la sécurité des données, tenue d’un journal d’activité, etc.) ;
- La possibilité pour les personnes et entreprises de mettre volontairement, et sans contrepartie, à disposition leurs données pour le bien commun ;
- La création du Comité européen de l’innovation dans le domaine des données.
Lire le règlement (UE) 2022/868 du 30 mai 2022
Escroquerie en ligne : la plateforme n’est pas responsable de l’annonce frauduleuse dont elle ne contrôle pas le contenu
Un particulier victime d’une annonce frauduleuse a assigné la plateforme qui l’avait mis en relation avec l’annonceur, sur le fondement des pratiques commerciales trompeuses.
Par un arrêt du 6 septembre 2023, la Cour d’appel d’Aix-en-Provence a jugé que la plateforme, qui n’exerçait pas de rôle actif dans la gestion des données stockées, avait le statut d’hébergeur. Partant, elle n’était pas responsable du contenu litigieux dont elle n’avait pas connaissance.
La plateforme ne disposait d’aucun moyen d’exercer un contrôle a priori du sérieux et de la véracité des informations publiées.
Le particulier escroqué ne rapportait pas la preuve de son échange téléphonique avec le service clients qui l’aurait assuré que l’annonce litigieuse avait été préalablement vérifiée.
Lire l’arrêt de la Cour d’appel d’Aix-en-Provence du 6 septembre 2023 (RG n°22/04980)
Données personnelles de salariés : la CNIL sanctionne un employeur à hauteur de 200 000 €
L’employeur concerné avait collecté via un formulaire des données personnelles de salariés dans le cadre d’un recrutement interne.
Dans sa délibération du 18 septembre 2023, la CNIL a relevé les manquements suivants :
- Manquement au principe de minimisation des données : l’employeur collectait des informations relatives à plusieurs membres de la famille, ce qui n’était pas nécessaire pour atteindre la finalité de contact des proches en cas d’urgence.
- Manquement au principe d’interdiction de traitement des données sensibles : l’employeur ne justifiait pas de pouvoir bénéficier des dérogations pour procéder au traitement de données sensibles. Le consentement des personnes concernées n’était pas correctement recueilli et au demeurant non valide en raison de la situation de dépendance des salariés.
- L’employeur consultait et conservait des données relatives aux infractions (extraits de casiers judiciaires) en dehors des cas prévus par la loi.
- La CNIL a en outre relevé un manquement à l’obligation de coopération : le responsable de traitement lui avait fourni un formulaire incomplet, dissimulant notamment des champs relatifs aux données sensibles.
Lire la délibération de la CNIL, n°SAN-2023-013 du 18 septembre 2023
Paiement sur Internet : quelle responsabilité de l’établissement bancaire en cas de fraude réalisée via la communication, par un client, de son code « 3D secure » ?
Un pirate avait prétendu lors d’un appel à un particulier être employé de banque, et obtenu un code validant un paiement. Le client demandait à sa banque le remboursement du paiement non authentifié.
Le Code monétaire et financier impose aux prestataires de services de paiement un système d’authentification forte au moment d’un paiement sur Internet.
La Cour de cassation, dans un arrêt du 30 août 2023, a considéré qu’un établissement bancaire devait être responsable de l’opération frauduleuse réalisée si aucune authentification forte n’avait été exigée par la banque.
Le payeur n’est tenu de supporter les conséquences financières de l’opération effectuée sans authentification forte qu’en cas d’agissements frauduleux de sa part. Partant, l’argument de la banque selon lequel le client avait commis une négligence grave en communiquant volontairement un code de sécurité était inopérant.
Lire la décision de la Cour de cassation du 30 août 2023 (n°22-11.707)
