Expertises des Systèmes d'information - Novembre 2019 - n°451 - Le mensuel du droit de l'informatique et du multimédia - 345

M A G A Z I N E

JO :// NIR et INS : déploiement repoussé
Au journal officiel du 10 octobre 2019 a été publié le décret
du 8 octobre 2019 modifiant le décret du 27 mars 2017
relatif à l'utilisation du numéro d'inscription au répertoire
national d'identification des personnes physiques comme
identifiant national de santé et les articles R. 1111-8-1 à R.
1111-8-7 du code de la santé publique. « Le décret modifie
les dispositions relatives à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes
physiques en tant qu'identifiant national de santé pour les
mettre en conformité avec la loi n° 78-17 du 6 janvier 1978
modifiée relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction résultant de l'ordonnance n° 20181125 du 12 décembre 2018. Le décret adapte le calendrier de
mise en œuvre de l'identifiant national de santé et renforce
les règles de sécurité dans la prise en charge et la protection
des données personnelles. »
A compter du 1er janvier 2021, toute donnée de santé devra

être référencée avec l'identifiant national de santé - le
NIR ou le NIA - et les traits d'identité de l'usager, tels que
connus dans l'état civil. Depuis la loi du 26 janvier 2016,
l'article L. 111-8-1 du code de la santé publique, l'utilisation
du NIR « comme identifiant de santé des personnes pour
leur prise en charge à des fins sanitaires et médico-sociales,
dans les conditions prévues à l'article L. 1110-4 ». La Cnil a
indiqué dans son avis du 18 juillet 2019 (JO 10 octobre) la
nécessité de respecter les obligations de sécurité du RGPD,
complétées par celles prévues par le Référentiel général de
sécurité (RGS). Outre une analyse d'impact, la Caisse nationale d'assurance maladie, chargée de son déploiement,
devra réaliser une analyse de risque et homologuer chaque
téléservice mis en œuvre. Il s'agit d'éviter que « l'INS ne soit
diffusé plus que nécessaire et à des fins détournées, et qui
devront être à même de garantir un haut niveau de disponibilité, d'intégrité, de confidentialité et de traçabilité ».

STEAM : INTERDICTION ILLICITE DE REVENTE DE JEUX DÉMATÉRIALISÉS
Le TGI de Paris a déclaré illicites ou
abusives quatorze clauses des conditions générales de la plateforme Steam
de distribution en ligne de contenus
numériques, jeux vidéo, logiciels,
films, séries, etc., suite à une plainte
de la fédération de consommateurs
UFC Que Choisir. Son jugement du
17 septembre 2019 sanctionne trois
types de clauses portant sur les conditions générales d'utilisation de la plateforme, les règles de protection des
données personnelles et celles relatives à la propriété intellectuelle. Sur ce
dernier point, le tribunal a jugé illicite
la clause qui interdit aux utilisateurs de
revendre ou de transférer les droits d'accès et d'utilisation des jeux vidéo qu'ils
ont acquis sur la plateforme. Comme l'a
rappelé la Cour de justice de l'UE dans
son arrêt UsedSoft, l'épuisement des
droits s'applique quel que soit le mode
de distribution du jeu vidéo, comme
en l'espèce le téléchargement. Le tribunal a également invalidé une clause qui
confère à la plateforme un droit non
exclusif, mondial et pendant toute la
durée de validité des droits de propriété
intellectuelle sur les contenus générés
par l'utilisateur, sans que soit précisé le
contenu visé, les droits conférés ainsi
que les exploitations autorisées. Cette
clause est en effet contraire aux articles
L 131-, L 131-2 et L 131-3 du code de la
propriété intellectuelle.
Le tribunal a par ailleurs jugé illicites
cinq clauses relatives à la protection des

données personnelles, inscrites dans la
Privacy Policy de la plateforme. L'UFC
invoquait le fait qu'il était impossible de
comprendre la référence faite aux « lois
applicables sur le marketing par email ».
Le tribunal a estimé que la clause n'était
ni claire ni compréhensible, donc
abusive. Il a également invalidé la clause
qui soumet les contestations à la juridiction et aux procédures américaines, en
vertu des engagements pris par la plateforme au titre du « bouclier de protection des données ». Selon les juges, « la
clause n° 9 de l'"Accord sur la protection
de la vie privée" des conditions générales
d'utilisation de la plate-forme Steam, qui
attribue compétence, dans l'éventualité d'un litige opposant l'utilisateur à la
société Valve, à la "Commission fédérale du commerce" située aux EtatsUnis, dont l'éloignement est de nature
à dissuader l'utilisateur, en raison des
difficultés pratiques et du coût relatifs à
leur accès, d'exercer toute action et de le
priver de fait de tout recours de nature
judiciaire à l'encontre du fournisseur
du service. ». Par ailleurs, le tribunal a
également censuré la clause qui limite
le bénéfice des droits d'accès, de correction, de suppression ou de modification
des données aux seuls utilisateurs du
site, à l'exclusion des utilisateurs passifs
alors que les données de ces derniers
peuvent être collectées via les cookies.
Sept autres clauses des conditions générales ont été invalidées. Est jugée illicite
la clause qui oblige un consommateur

en conflit avec la plateforme à recourir obligatoirement à la médiation
avant toute saisine d'un juge. Le tribunal juge également illicite la clause qui
supprimerait le droit à réparation du
consommateur pour la mise à disposition à titre onéreux de logiciels bêta
non finalisés et bogués, susceptibles
de créer des dysfonctionnements de
l'ordinateur. Sans surprise, la clause
qui prévoit la possibilité de modifier
unilatéralement les conditions de souscription est réputée non écrite. Sur les
règles de comportement qui peuvent
occasionner une résiliation du compte
sans préavis, le tribunal a jugé les termes
employés imprécis et équivoques, qui
ne permettent pas au consommateur de
déterminer sa conduite en ligne. Enfin,
l'UFC remettait en cause les règles de
fonctionnement du porte-monnaie
électronique Steam. La plateforme
s'autorise à ne pas restituer les crédits
restants lorsque le souscripteur refuse
les nouvelles modifications mises en
place par Steam. Pour le tribunal, le
site met en place un « substitut électronique » de la monnaie fiduciaire,
pour une valeur égale à celle des fonds
remis. Cette substitution provisoire fait
naître une créance de remboursement
au profit de l'utilisateur. En prévoyant
que les fonds ne sont ni remboursables
ni transférables, la clause est illicite au
regard du code monétaire et financier.
La plateforme qui conteste le jugement
a fait appel.

LES DÉPUTÉS PROHIBENT LES TESTS ADN « RÉCRÉATIFS »
Le 15 octobre 2019, l'Assemblée nationale a adopté le projet de
loi relatif à la bioéthique. Dans ce cadre, les députés ont voté
contre le recours à des tests génétiques dits « récréatifs », qui
ont fait l'objet de vastes campagnes publicitaires émanant

d'opérateurs étrangers (voir Exp. n° 441, p. 391). Ces tests
devront rester réservés à des usages médicaux. En revanche,
l'intelligence artificielle et le machine learning n'ont pas fait
l'objet de débat.

EXPERTISES Novembre 2019

345

Expertises des Systèmes d'information - Novembre 2019 - n°451 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Novembre 2019 - n°451 - Le mensuel du droit de l'informatique et du multimédia