Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia - 264

M

A

G

A

Z

I

N

E

JO :// Publication de la loi Avia
Le 25 juin 2020, a été publiée au JO, la loi du
24 juin 2020 visant à lutter contre les contenus
haineux sur internet, tronquée de ses dispositions
phares sur le retrait des contenus haineux

par les plateformes numériques. Ces dispositions
avaient été invalidées par une décision du Conseil
constitutionnel du 18 juin 2020, également publiée
dans ce numéro du Journal officiel.

LE CONSEIL D'ETAT CONFIRME LA SANCTION
DE 50 MILLIONS D'EUROS CONTRE GOOGLE
Le Conseil d'Etat a confirmé la
sanction de 50 millions d'euros
prononcée par la Cnil contre Google
pour manque de transparence,
information insatisfaisante et absence
de consentement valable pour la
personnalisation de la publicité. Dans
sa décision du 19 juin 2020, le Conseil
d'Etat approuve l'analyse juridique
de la Cnil ainsi que le montant de la
sanction et conclut que « eu égard à la
gravité particulière des manquements
commis, qui tient à la nature des
exigences méconnues et à leurs effets
sur les utilisateurs, au caractère continu
de ces manquements et à la durée de la
période durant laquelle ils ont perduré,
aux plafonds prévus par le 4 de l'article
83 du RGPD, et à la situation financière
de la société, la sanction pécuniaire
de 50 000 000 d'euros prononcée à
l'encontre de la société Google ne revêt
pas un caractère disproportionné ».
En mai 2018, la Cnil avait reçu des
plaintes collectives de None Of Your
Business (NOYB) et de La Quadrature
du Net (LQDN) dans lesquelles ces
associations reprochaient à Google de
ne pas disposer d'une base juridique
valable pour traiter les données
personnelles des utilisateurs de ses
services, notamment à des fins de
personnalisation de la publicité.

La formation restreinte de la Cnil leur
avait donné gain de cause dans une
décision du 21 janvier 2019. Google a
intenté un recours en annulation de la
délibération devant le Conseil d'Etat.
Sur les manquements constatés par
la Cnil aux obligations d'information
et de transparence, Google défendait
l'architecture à plusieurs niveaux
qu'elle avait adoptée pour informer
les utilisateurs «  de façon claire et
intelligible  ». Or, l'instruction par la
Cnil avait fait apparaître une grande
complexité pour obtenir l'ensemble des
informations pertinentes relatives au
traitement personnalisé des annonces.
Par exemple, la mention de la durée
de conservation des données est
accessible à partir d'un lien disponible
à la 68ème page du document « règles
de confidentialité  ». «  Dans ces
conditions, l'arborescence choisie
par Google apparaît de nature, par
l'éparpillement de l'information qu'elle
organise, à nuire à l'accessibilité et à la
clarté de celle-ci pour les utilisateurs,
alors même que les traitements en
cause sont particulièrement intrusifs
eu égard au nombre et à la nature
des données collectées. Il s'ensuit
que c'est à bon droit que la formation
restreinte de la CNIL, qui n'a pas,
contrairement à ce qui est soutenu,

exigé qu'une information exhaustive
soit livrée dès le premier niveau
d'information, a caractérisé une
violation des obligations d'information
et de transparence définies par les
articles 12 et 13 du RGPD précités.  »,
juge le Conseil d'Etat.
Sur les manquements aux règles du
consentement pour les traitements
aux fins de personnalisation de la
publicité, la même complexité apparaît.
Le RGPD impose un consentement
libre, spécifique et éclairé. Certes,
indique le Conseil d'Etat, l'utilisateur
est invité à accepter le paramétrage
par défaut de son compte Androïd,
mais l'information sur les finalités est
générale et diluée au milieu de finalités
ne nécessitant pas de consentement.
L'information manque donc de clarté
et d'accessibilité, et le consentement
ne peut donc pas être regardé comme
valide. Par ailleurs, le recueil de ce
consentement se fait au moyen d'une
case précochée. « Dans ces conditions,
c'est à bon droit que la formation
restreinte de la CNIL a considéré que les
modalités du recueil du consentement
ne répondent pas aux exigences du
RGPD qui requièrent un acte positif
clair, sans qu'ait d'incidence sur ce
point la circonstance alléguée que ce
règlement n'impose pas de recueillir
le consentement de manière distincte
pour la finalité de ciblage publicitaire. »,
conclut le Conseil d'Etat.

JO :// Création d'un dossier pénal numérique
Un décret du 23 juin 2020, publié au JO du 25 juin, crée un
traitement automatisé de données à caractère personnel
dénommé « dossier pénal numérique » qui vise à rassembler les données et informations collectées tout au long du
processus judiciaire pénal et à mener à bien la mission d'intérêt public de rendre la justice. Dans la notice du décret, on
peut lire que ce DPN « doit ainsi permettre de rendre la justice
pénale plus efficace en la modernisant et en la simplifiant. Il
s'agit de rendre plus effectives les décisions des magistrats,
donner plus de sens à leur mission et de rétablir la confiance
des citoyens en la justice  ». Plus techniquement, «  ce

264

traitement qui englobe, entre autres, une refonte du traitement « numérisation des procédures pénales » (NPP), encadré par l'arrêté en date du 16 janvier 2008, doit permettre,
tant la numérisation des procédures judiciaires pénales
initialement créées au format papier que leur dématérialisation native, première étape de la future procédure pénale
numérique. Renforçant les moyens permettant une exploitation numérique des dossiers pénaux, la consultation du
dossier par les personnes autorisées, tout comme sa transmission, sa conservation ou son archivage seront facilités
tout en étant sécurisés ».

EXPERTISES juillet/août 2020
Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia
