Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2017 - n°424 - 190

Doctrine

Données personnelles
Le RGPD et la nécessaire 
adaptation des contrats
Les adaptations de la relation contractuelle pour se
conformer aux obligations renforcées pesant sur
les professionnels et aux nouveaux droits concédés
aux utilisateurs du règlement général relatif à
la protection des données à caractère personnel.
"Le futur est déjà là. Simplement, il n'est pas réparti de
manière uniforme1."

A

lors que la transition économique vers une Troisième
révolution industrielle2 est
déjà bien avancée, le droit
semble enfin prêt à se confronter aux
enjeux et aux risques de l'économie
digitale.

Le Parlement européen via son
Règlement 2016/679 adopté le 27 avril
dernier, a réformé en profondeur la
directive de 1995 relative à la protection des personnes physiques à l'égard
du traitement des données à caractère
personnel. Cette réforme est particulièrement bienvenue puisque la doctrine
était unanime sur l'inadéquation du
régime défini en 1995 avec l'économie
de la donnée dans laquelle évoluent
aujourd'hui les acteurs du numérique.
En substance, les règles relativement
peu contraignantes fixées par le législateur européen et la large marge d'appréciation laissée aux Etats membres
étaient vecteurs d'insécurité juridique
et d'une grande disparité de protections
accordées aux citoyens de l'Union selon
leur pays de résidence. Cette fragmentation des régimes de protection des
données personnelles était d'autant
peu concevable que les accords internationaux en matière de protection et
de transfert des données personnelles,
tels le Privacy Shield, sont aujourd'hui
négociés à l'échelle de l'Union.
Selon une récente étude réalisée
par Cisco3, d'ici 2020 près de 50
milliards d'objets connectés seront mis

190

en circulation à l'échelle mondiale
soit une moyenne d'environ 6,5 objets
connectés par personne. Les données
collectées par ces objets sont diverses
et peuvent particulièrement relever de
la catégorie particulière des données
sensibles, notamment sur le marché
des technologies du quantified self.
L'esprit de la réforme entreprise par
le législateur européen consiste donc
à faire évoluer le régime légal de la
protection des données personnelles
afin de l'adapter à la modernité et à
la diversité de la réalité contractuelle
établie par les acteurs du marché du
numérique.
L'ampleur de cette réforme est telle que
l'ensemble de la relation contractuelle
que nous décomposerons en phase
de pourparlers, phase de rédaction
et phase post-contractuelle devra
être adaptée aux obligations renforcées pesant sur les professionnels et
aux nouveaux droits concédés aux
utilisateurs.

La période précontractuelle :
l'indispensable information
des parties.
A l'heure où les obligations imposées
au responsable du traitement par le
législateur se multiplient, la phase de
négociation et de découverte de l'environnement contractuel devient, plus
que jamais, une phase clef de la vie du
contrat.

EXPERTISES MAI 2017

L'attention des futures parties au contrat
devra porter tant sur les qualités intrinsèques de chacune d'entre elles que
sur les qualités des produits concernés

La sécurisation des produits
Cette obligation est déclinée en deux
mécanismes de protection : la protection des données dès la conception (1)
et la protection par défaut (2).

1. Privacy by design
L'objectif du législateur, lorsqu'il intègre
l'obligation de protection des données
dès la conception au Règlement européen, est de contraindre les acteurs du
marché du numérique à intégrer dans
leur business model la sécurisation des
données de leurs utilisateurs afin de
limiter in fine les risques de piratage et
de Data Breach. Ainsi, le responsable
du traitement pourra voir sa responsabilité engagée s'il n'a pas mis en place
les mesures techniques et organisationnelles appropriées pour garantir
la protection des données personnelles
qu'il collecte, compte tenu de l'état de la
technique et de la nature du risque que
représente ce traitement. Cette responsabilité lui incombe depuis le moment
où il détermine les moyens de traitement qu'il convient de mettre en Suvre
jusqu'à ce que le traitement soit finalisé.

2. Security by Default
Le responsable du traitement est
également tenu d'une obligation de
protection des données par défaut,
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2017 - n°424
