Procédure disciplinaire : l’entretien préalable en confinement

entretien préalable en confinement

Comment mettre en place un entretien préalable en confinement ? Face au Coronavirus, la procédure disciplinaire et notamment l’entretien préalable en face-à-face peut-il continuer à se tenir ?

Au-delà de cette simple question quels sont les réflexes à adopter pour continuer à bien fonctionner dans les entreprises. Dans le cadre d’une procédure disciplinaire à partir de la connaissance des faits reprochés, le délai pour engager la procédure est court : 2 mois. Un délai d’un mois est requis une fois qu’a eu lieu l’entretien préalable pour notifier une décision.

L’entretien préalable dans la procédure disciplinaire

L’entretien préalable implique communément une rencontre en face-à-face. Les restrictions de déplacement ne semblent pas néanmoins être un obstacle insurmontable. Le Code du travail et la nécessité de trouver un nouveau point d’équilibre au regard de la situation de crise, permettent une flexibilité et une continuité des procédures disciplinaires.

Par un décret n° 2020-260 du 16 mars 2020 portant réglementation des déplacements dans le cadre de la lutte contre la propagation du virus covid-19, le gouvernement restreint les déplacements des Français et les incite à rester à leur domicile.

Par l’interdiction de déplacement ainsi instaurée de toute personne hors de son domicile à l’exception des déplacements professionnels dûment justifiés, les procédures disciplinaires en cours ou sur le point d’être déclenchées se trouvent-elles impactées par cette situation ? Un entretien préalable peut-il se tenir à distance ? Doit-il être reporté ?

Bien entendu, la crise sanitaire et économique incite à la clémence. Les entreprises doivent trouver un équilibre et adapter leur organisation afin d’assurer la continuité de leurs activités. Les DRH s’interrogent sur les effets que les limitations de circulation, les interdictions de regroupement, les mesures barrières sont susceptibles d’impliquer dans les procédures en cours.

En effet, deux mois est le délai de l’action disciplinaire de l’employeur à partir de la connaissance des faits fautifs. Le prononcé de la sanction doit aussi se situer dans un délai d’un mois, à compter de la tenue de l’entretien préalable. Sous réserve de modification, notamment par ordonnance du gouvernement, qui viendrait modifier le Code du travail, le décret n° 2020-260 du 16 mars 2020 n’interrompt pas la prescription de l’action disciplinaire de l’employeur.

Report de l’entretien préalable en confinement

Il est dès lors souhaitable de déclencher une procédure disciplinaire dans le délai légal de 2 mois et d’accorder un report de l’entretien préalable ou permettre avec l’accord des deux parties, que l’entretien puisse se tenir à distance notamment en visioconférence.

Dans cette crise, les entreprises doivent pouvoir continuer à fonctionner. Le Code du travail et sa jurisprudence admettent une flexibilité souvent soumise à interprétation souveraine des conseillers prud’homaux en cas de contestation. Il est certain ainsi que si certaines dispositions non obligatoires comme les demandes de report, sont refusées sans discernement dans cette période troublée, ces refus pourraient être jugés comme une sorte de passage en force.

Si nous sommes en présence de restrictions importantes qui se durcissent, elles demeurent temporaires. Dès lors dans ces circonstances exceptionnelles une demande de report de l’entretien préalable qui le plus souvent se déroule en présentiel doit pouvoir être accordée.

Il est important juridiquement dans cette situation de permettre que le salarié puisse organiser utilement sa défense.

Le télé-entretien préalable en confinement

Et si la crise perdure, l’employeur pourra proposer l’entretien préalable par voie de visioconférence. Ce dispositif paraît acceptable s’il recueille l’accord du salarié pour lequel cette disposition protectrice a été prévue. Pour sécuriser le recours à la visioconférence, l’employeur aura pris soin d’établir un écrit qui permettra au salarié de signifier son accord sur cette procédure dérogatoire.

Ce dispositif de communication à distance devrait permettre au salarié également de se faire assister dans les conditions inscrites au Code du travail. S’il cela n’était pas possible, il conviendrait de s’en accorder par écrit.

En cette matière, la jurisprudence sociale a déjà eu à décider que le recours à de la visioconférence ne contrevenait pas à l’obligation d’exécution loyale du contrat de travail de la part de l’employeur .

Avant de refuser tout report, il conviendra d’opérer une analyse précise de chaque situation en prenant soin d’interroger en cas de doute de la médecine du travail.

  • D’une part, le contexte actuel incite à répondre favorablement.
  • D’autre part, lorsque le report découle d’une demande faite à l’initiative du salarié et non de l’employeur, un nouveau délai d’un mois cours à compter de ce deuxième entretien préalable.

Les impacts de cette crise sur le droit du travail vont être nombreux. Le Code du travail est d’ailleurs sur le point d’être momentanément assoupli, afin d’aider les entreprises et les salariés à traverser la crise.

La loi d’urgence promulguée le 23 mars 2020 pour faire face à l’épidémie de Covid-19 habilite ainsi le gouvernement à prendre des ordonnances pour aménager le droit du travail. La loi proroge de manière générale de quatre mois tous les délais pour prendre des ordonnances prévues dans des lois déjà votées.

Le gouvernement a d’ores et déjà pris 26 ordonnances pour la sauvegarde de l’activité économique. Certaines concernent le recours au chômage partiel, la prise de congés et de RTT sur lesquelles nous aurons l’occasion de revenir dans les prochains jours.

Emmanuel Walle Lexing Alain Bensoussan AvocatsEmmanuel Walle
Lexing Département Social Numérique

Voir notre vidéo « Entretien préalable face aux restrictions de déplacement » sur la chaîne YouTube Lexing Alain Bensoussan – Avocats.




Quelles sont les sanctions Cnil à l’encontre des entreprises

Quelles sont les sanctions Cnil à l’encontre des entreprisesEn cas de violation de la loi Informatique et libertés, sont prévues des sanctions Cnil à l’encontre des entreprises.

La loi Informatique et libertés organise les sanctions Cnil à l’encontre des entreprises

Les détails de ce pouvoir de sanction se trouvent aux articles 45 et suivants de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, récemment modifiée par la loi pour une République numérique du 7 octobre 2016, déjà en vigueur. Certains précisions relatives à la procédure sont, par ailleurs, contenues dans le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 (art. 70 à 82), utile à consulter.

Ces pouvoirs de la Cnil peuvent être exercés à l’égard des traitements dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d’un autre Etat membre de la Union européenne (L. 78-17, art 48).

En outre, le président de la Cnil ou sa formation restreinte peuvent, à la demande d’une autorité exerçant des compétences analogues aux leurs dans un autre Etat membre de l’Union européenne, prononcer ces sanctions (L. 78-17, art. 49), dans les conditions prévues par la loi, sauf s’il s’agit de traitements spécifiques, id est des traitements mis en œuvre pour le compte de l’Etat dont le contenu impose qu’ils soient autorisés par arrêté ministériel ou décret en Conseil d’Etat (Traitements mentionnés aux I et II de l’article 26 de la loi 78-17).

Sanctions Cnil à l’encontre des entreprises en cas de non-respect de leurs obligations

Le premier paragraphe de l’article 45 de la loi de 1978 prévoit que la Cnil peut prononcer plusieurs types de sanction dans le cas où le responsable d’un traitement ne respecterait par les obligations procédant de cette même loi.

Mesures préalables aux sanctions Cnil à l’encontre des entreprises

Dans un premier temps, le président de la Cnil peut mettre ce responsable en demeure (1) de faire cesser le manquement constaté dans un délai qu’il fixe, pouvant, dans un cas d’extrême urgence, être de 24h. Ce délai raccourci, qui remplace celui de 5 jours, est un des apports de la réforme opérée par la loi pour une République numérique. Si le responsable du traitement se conforme à la mise en demeure, le président de la Cnil prononce la clôture de la procédure.

Dans le cas contraire, c’est un autre organe de la Cnil, sa formation restreinte (2), qui prendra le relai et pourra, après une procédure contradictoire, prononcer différentes sanctions.

La Cnil pourra, d’abord, prononcer un avertissement.

Les sanctions Cnil à l’encontre des entreprises peuvent être pécuniaires

La Cnil pourra ensuite choisir de sanctionner pécuniairement le responsable du traitement, à l’exception des cas ou le traitement est mis en œuvre par l’Etat. Quant au montant de cette sanction pécuniaire, les règles entourant sa fixation ont été, elles aussi, modifiées par la loi pour une République numérique. Le nouvel article 47 de la loi du 6 janvier 1978 dispose désormais que le montant de l’amende ne peut excéder 3 millions d’euros (3), ce qui représente une multiplication par dix du plafond antérieur. Cette nouvelle version de l’article détaille également plus précisément qu’auparavant les critères pouvant être pris en compte dans l’évaluation de ce montant (4). Rappelons que lorsque la formation restreinte a prononcé une sanction pécuniaire devenue définitive avant que le juge pénal ait statué définitivement sur les mêmes faits ou des faits connexes, celui-ci peut ordonner que la sanction pécuniaire s’impute sur l’amende qu’il prononce.

Les sanctions Cnil à l’encontre des entreprises peuvent remettre en cause le traitement

La formation restreinte de la Cnil pourra, enfin, si le responsable d’un traitement ne respecte pas les obligations découlant de la loi de 1978, prononcer à son encontre une injonction de cesser le traitement ou retirer son autorisation au traitement, selon le type de traitement en cause (nécessitant, préalablement à sa mise en œuvre, une simple déclaration ou une autorisation).

Ces différentes sanctions peuvent être prononcées par la formation restreinte de la Cnil indépendamment d’une procédure de mise en demeure «lorsque le manquement constaté ne peut pas faire l’objet d’une mise en conformité dans le cadre d’une mise en demeure», par exemple dans des cas où la mise en conformité serait impossible puisque les données traitées auraient disparu. Avant la loi pour une République numérique du 7 octobre 2016, seul un avertissement pouvait être prononcé par la formation restreinte hors procédure de mise en demeure.

Les sanctions Cnil à l’encontre des entreprises en cas de violation des droits et libertés individuels et publics

Le second paragraphe de l’article 45 vise les cas où la mise en œuvre d’un traitement ou l’exploitation des données traitées entraine une violation des droits et libertés mentionnées à l’article 1er de la loi de 1978 (identité humaine, droits de l’homme, vie privée, libertés individuelles et publiques). La formation restreinte, saisie par le président de la Cnil, peut, dans le cadre d’une procédure d’urgence définie par décret en Conseil d’Etat que l’on retrouve dans l’article 79 du décret du 20 octobre 2005, et après une procédure contradictoire, prononcer plusieurs types de sanctions.

Elle peut prononcer un avertissement. Elle peut, d’autre part, décider de l’interruption de la mise en œuvre du traitement ou le verrouillage de certaines des données à caractère personnel traitées, pour un durée maximale de trois mois, ces deux sanctions n’étant possibles que si le traitement en cause n’est pas au nombre de ceux mentionnés aux I et II de l’article 26 ou de l’article 27 de la loi de 1978 (traitements qui, au regard de leur contenu, doivent être autorisés par arrêtés ministériels, décret en Conseil d’Etat ou décision d’un établissement public ou d’une personne morale de droit privé gérant un service public chargé de l’organisation du traitement, pris après avis motivé et publié de la Cnil).

Pour les traitements qui relèvent précisément de ces articles, la formation restreinte peut informer le Premier ministre pour qu’il prenne, le cas échéant, les mesures permettant de faire cesser la violation constatée.

Les sanctions Cnil à l’encontre des entreprises en cas d’atteinte grave et immédiate à ces droits et libertés

Enfin, le dernier paragraphe de l’article 45 permet au président de la Cnil de demander, en cas d’atteinte grave et immédiate aux droits et libertés mentionnés à l’article 1er, par la voie du référé (5), à la juridiction compétente d’ordonner (le cas échéant sous astreinte) toute mesure nécessaire à la sauvegarde de ces droits et libertés.

Le prononcé de ces sanctions suit des règles procédurales contenues dans le décret du 20 octobre 2005 et dans le premier alinéa de l’article 46 de la loi de 1978 (6). Ce qui fait leur force est aussi leur impact sur la réputation des entreprises concernées ; aussi la loi de 1978 organise un système de publicité des sanctions Cnil (L. 78-17, art. 46 al. 2). La formation restreinte peut les rendre publique, ordonner que les personnes sanctionnées informent individuellement de cette sanction, à leur frais, chacune des personnes concernées (encore une nouveauté de la loi pour une République numérique du 7 octobre 2016 !), et peut ordonner leur insertion dans des publications journaux et supports qu’elle désigne. Par ailleurs, le président de la Cnil peut demander au bureau de rendre publique la mise en demeure ou sa clôture. Ces sanctions sont motivées, notifiées au responsable du traitement et peuvent faire l’objet d’un recours en pleine juridiction devant le Conseil d’Etat (L. 78-17, art. 46 al. 3).

Virginie Bensoussan-Brulé
Lexing Contentieux numérique

(1) Pour plus de détails sur la procédure de mise en demeure, voir l’article 73 du décret 2005-1309 du 20 octobre 2005.
(2) Pour plus de détails sur la composition et le fonctionnement de la formation restreinte de la Cnil, voir l’article 70 du décret du 20 octobre 2005.
(3) L’ancien article 47 de la loi du 6 janvier 1978 disposait que, lors du premier manquement, le montant de la sanction pécuniaire ne pouvait excéder 150 000 euros. En cas de manquement réitéré dans les cinq années à compter de la date à laquelle la sanction pécuniaire précédemment prononcée était devenue définitive, il ne pouvait excéder 300 000 euros ou, s’agissant d’une entreprise, 5% du chiffre d’affaires hors taxes du dernier exercice clos dans la limite de 300 000 euros.
(4) « Le montant de la sanction (…) est proportionnée à la gravité du manquement commis et aux avantages tirés de ce manquement. La formation restreinte de la Cnil prend notamment en compte le caractère intentionnel ou de négligence du manquement, les mesures prises par le responsable du traitement pour atténuer les dommages subis par les personnes concernées, le degré de coopération avec la commission afin de remédier au manquement et d’atténuer ses effets négatifs éventuels, les catégories de données à caractère personnel concernées et la manière dont le manquement a été porté à la connaissance de la commission ».
(5) Des détails à ce propos se trouvent dans l’article 81 du décret du 20 octobre 2005.
(6) « Les sanctions (…) sont prononcées sur la base d’un rapport établi par l’un des membres de la Cnil, désigné par le président de celle-ci parmi les membres n’appartenant pas à la formation restreinte. Ce rapport est notifié au responsable du traitement, qui peut déposer des observations et se faire représenter ou assister. Le rapporteur peut présenter des observations orales à la formation restreinte mais ne prend pas part à ses délibérations. La formation restreinte peut entendre toute personne dont l’audition lui paraît susceptible de contribuer utilement à son information, y compris, à la demande du secrétaire général, les agents de service».

 




Les sanctions Cnil après la loi pour une République numérique

Les sanctions Cnil après la loi pour une République numériqueLa loi pour une République numérique modifie la loi Informatique et libertés concernant les sanctions de la Cnil. La loi pour une République numérique du 7 octobre 2016 (1) modifie la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment quant à la question des sanctions que la Cnil peut prononcer et la procédure qu’elle doit suivre, le cas échéant. D’une manière générale, il ressort de l’examen de ces nouvelles dispositions que la Cnil a vu ses pouvoirs de sanction renforcés.

Lorsque le responsable du traitement ne respecte pas les obligations découlant de la réglementation relative à la protection des données à caractère personnel, le président de la Cnil peut le mettre en demeure de faire cesser le manquement en question dans un délai qu’il fixe, qui peut, en cas d’extrême urgence, être de 24 heures (2). Là réside une première modification opérée par la loi pour une République numérique, puisque le délai d’extrême urgence s’élevait auparavant à 5 jours.

La Cnil, dans sa délibération portant avis sur le projet de loi qui préconisait déjà ce délai de 24 heures se félicite de cette modification, considérant « que le délai de cinq jours ne peut plus être considéré comme pertinent au regard de l’immédiateté des conséquences pour les personnes des manquements (…)» (3).

Si le responsable du traitement se conforme à la mise en demeure, le président de la Commission prononce la clôture de la procédure. Dans le cas contraire, la formation restreinte de la Cnil peut prononcer, après une procédure contradictoire, différentes sanctions : un avertissement, une sanction pécuniaire (à l’exception des cas où le traitement est mis en œuvre par l’Etat), une injonction de cesser le traitement, quand ce dernier fait partie de ceux nécessitant une simple déclaration ou un retrait de l’autorisation accordée dans les cas où celle-ci est prescrite.

Si la mise en conformité, dans le cadre d’une mise en demeure, est impossible –c’est-à-dire que le responsable du traitement ne pourra pas, dans tous les cas, rendre sa situation conforme aux prescriptions légales- la formation restreinte peut prononcer toutes ces sanctions directement et sans mesure préalable, id est sans passer par le pouvoir propre du président de mettre en demeure. En effet cette mise en demeure, qui ne peut qu’échouer, est inutile.

Auparavant, la formation restreinte ne pouvait, hors procédure de mise en demeure, ne prononcer qu’un avertissement. La loi pour une République numérique permet ainsi une meilleure réactivité et efficacité de la procédure de sanction, grâce à une nouvelle distribution des rôles entre organes compétents.

Par ailleurs, elle renforce le rôle de dissuasion des pouvoirs de la Cnil, puisque les montants maximum des sanctions pécuniaires, sur le fondement de l’article 45 I 2° de la loi du 6 janvier 1978, ont été significativement revus à la hausse. En effet, l’amende peut désormais s’élever jusqu’à 3 millions d’euros (4), ce qui représente une multiplication par dix du plafond antérieur (5).

Les critères d’appréciation pouvant être pris en compte pour évaluer le montant de cette amende, qui doit être« proportionné à la gravité du manquement commis et aux avantages tirés de ce manquement » ont, en outre, été détaillé pour permettre à la Cnil de prononcer une sanction plus juste et éclairée.

La formation restreinte prend ainsi notamment en compte le caractère intentionnel ou de négligence du manquement, les mesures prises par le responsable du traitement pour atténuer les dommages subis par les personnes concernées, le degré de coopération avec la commission afin de remédier au manquement et d’atténuer ses effets négatifs éventuels, les catégories de données à caractère personnel concernées et la manière dont le manquement a été porté à la connaissance de la commission.

Ces nouvelles règles restent cependant très en-deçà de ce que prévoit le nouveau règlement européen sur la protection des données à caractère personnel du 27 avril 2016, qui entrera en vigueur le 25 mai 2018. A titre d’exemple, ce dernier prévoit que les amendes administratives peuvent s’élever jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4% du chiffre d’affaires annuels mondial total de l’exercice précédent, le montant le plus élevé étant retenu (6).

Des difficultés d’articulation entre la loi et le règlement pourraient apparaître et certains déplorent que les nouveaux montants français ne soient toujours pas assez dissuasifs puisqu’il resterait, par exemple pour les multinationales, plus facile de s’acquitter de l’amende plutôt que d’appliquer la réglementation. Affaire à suivre.

Des modifications sont aussi apportées par la loi pour une République numérique dans les cas où la mise en œuvre d’un traitement ou l’exploitation des données traitées entraîne une violation des droits et libertés mentionnés à l’article premier (soit l’identité humaine, les droits de l’homme, la vie privée et les libertés individuelles ou publiques), visés à l’article 45 II de la loi de 1978.

La formation restreinte peut, si elle constate cette violation, dans le cadre d’une procédure d’urgence définie par décret en Conseil d’Etat (7) et après une procédure contradictoire, prononcer différentes sanctions.

Elle doit pour cela être saisie par le président de la Cnil alors qu’elle avait auparavant la charge d’engager la procédure d’urgence.

La version finale de la loi a ainsi tenu compte de l’avis de la Cnil du 19 novembre 2015 relatif au projet de la loi pour une République numérique, qui ne prévoyait pas cette saisine de la formation restreinte par le président. La Cnil l’avait recommandé notamment pour prendre en compte le principe de séparation des fonctions d’instruction et de jugement.

Les sanctions de ce type de violation demeurent, elles, inchangées et sont les suivantes : la Cnil peut prononcer un avertissement. Elle peut, en outre, décider de l’interruption du traitement ou du verrouillage de certaines des données à caractère personnel traitées, pour une durée maximale de trois mois (sauf pour certains traitements spécifiques qui, au regard de leur contenu, ont dû être autorisés par arrêté ministériel, décret en Conseil d’Etat ou décision d’un établissement public ou d’une personne morale de droit privé gérant un service public chargé de l’organisation du traitement, pris après avis motivé et publié de la Cnil (8)).

S’il s’agit de ces traitements spécifiques, la Cnil peut informer le Premier ministre pour qu’il prenne, le cas échéant, les mesures permettant de faire cesser la violation.

La loi pour une République numérique ne modifie pas, par ailleurs, la possibilité pour le président de la Cnil de demander, par la voie du référé, à la juridiction compétente d’ordonner, le cas échéant sous astreinte, toute mesure nécessaire à la sauvegarde des droits et libertés mentionnés à l’article 1premier en cas d’atteinte grave à ces derniers (9), pas plus qu’elle ne modifie les règles de compétence dans le cadre desquels la Cnil peut prononcer toutes les sanctions vues précédemment (ces pouvoirs peuvent être exercés à l’égard des traitements dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d’une autre Etat membre de l’Union européenne (10)).

Ces sanctions peuvent toujours être prises par la Cnil à la demande d’une autorité exerçant des compétences analogues aux siennes dans un autre Etat membre de l’Union européenne, sauf pour certains traitements spécifiques (11).

Pour finir, la loi pour une République numérique modifie l’article 46 de la loi de 1978 relativement à la publicité des sanctions prononcées par la Cnil. En effet, la formation restreinte peut désormais ordonner que les personnes sanctionnées informent individuellement de cette sanction, à leur frais, chacune des personnes concernées.

Cela complète le dispositif déjà existant, permettant à la formation restreinte de rendre publiques les sanctions qu’elle prononce, d’ordonner leur insertion dans des publications, journaux et supports qu’elle désigne aux frais des personnes sanctionnées. Le président peut, également, demander au bureau de rendre publique la mise en demeure ou sa clôture. Une publicité efficace des décisions de la Cnil ne peut que renforcer le rôle dissuasif de ses pouvoirs de sanction, faisant craindre aux entreprises –outre des mesures correctives ou pécuniaires- une atteinte à leur réputation.

En ce qui concerne le reste de l’article 46, les détails de procédure (rapport, rôle du rapporteur, personnes pouvant être entendus par la Cnil, décisions motivées et notifiées au responsable susceptibles de recours en pleine juridiction devant le Conseil d’Etat) restent inchangés.

Virginie Bensoussan-Brulé
Lexing Contentieux numérique

(1) Loi 2016-1321 pour une République numérique du 7-10-2016
(2) Loi 78-17 du 6-1-1978, nouvel art. 45 I
(3) Cnil, Délibération 2015-414 du 9-11-2016
(4) Loi 78-17 du 6-1-1978, art. 47
(5) L’ancien article 47 de la loi du 6 janvier 1978 disposait que, lors du premier manquement, le montant de la sanction pécuniaire ne pouvait excéder 150 000 euros. En cas de manquement réitéré dans les cinq ans à compter de la date à laquelle la sanction pécuniaire précédemment prononcée était devenue définitive, il ne pouvait excéder 300 000 euros ou, s’agissant d’une entreprise, 5% du chiffre d’affaire hors taxes du dernier exercice clos dans la limite de 300 000 euros.
(6) Règlement (UE) 2016/679 du 27-4-2016, art. 83
(7) Décret 2005-1309 du 20-10-2005, art. 79 et s.
(8) Traitements mentionnés aux I et II de l’article 26 et à l’article 27 de la loi du 6 janvier 1978
(9) Loi 78-17 du 6-1-1978, art. 45 III
(10) Loi 78-17 du 6-1-1978, art. 48
(11) Loi 78-17 du 6-1-1978, art. 49




Un site de vente en ligne sanctionné par la Cnil

site de vente en ligne sanctionné par la CnilUne société de déstockage de mode a été sanctionnée par la Cnil à 30 000 € d’amende pour divers manquements. 

Un site de vente en ligne sanctionné suite à la plainte d’une utilisatrice

Lorsque la Cnil a procédé en janvier 2015 à un contrôle dans les locaux et sur le site internet de la société, des manquements ont été constatés. Quelques semaines plus tard, c’est une cliente du site qui s’adresse à la Cnil pour dénoncer les difficultés qu’elle rencontrait dans l’exercice de son droit d’accès.

Malgré une injonction réitérée de faire droit à la demande de cette cliente et de se mettre en conformité avec la réglementation, sous peine de sanction, la société n’a pas réagi. La Cnil a alors mis en demeure la société de se conformer à la législation. La société, après s’être vu octroyer un délai supplémentaire, a indiqué à la Cnil s’être conformée à la mise en demeure.

La Cnil a alors procédé à un nouveau contrôle pour vérifier l’effectivité de la mise en conformité. Lors de ce contrôle, des manquements ont de nouveau été constatés par la Cnil ; ce qui explique que la Cnil a prononcé une sanction pécuniaire à l’issue d’une procédure contradictoire.

Un site de vente en ligne sanctionné pour manquements répétés

D’une part, la société a manqué de réaliser des formalités préalables nécessaires. D’autre part, elle n’a pas défini de durée maximale de conservation des données.

Il a également été reproché à la société de ne pas s’être mise en conformité avec les dispositions de l’article 32-II relatives aux cookies, en particulier sur l’obligation de recueillir le consentement préalable des visiteurs, avant toute installation de cookies.

La sécurité des données personnelles étaient aussi en cause. Les communications de ces données se faisaient sans protocole sécurisé « https », même sur les pages les plus sensibles du site.

Enfin, les données collectées étaient transférées vers un pays n’offrant pas un niveau de protection suffisant de la vie privée et sans avoir obtenu l’autorisation préalable de la Cnil.

Un site de vente en ligne sanctionné publiquement

Au regard de l’importance des manquements et du volume d’utilisateurs concernés, la Cnil a rendu publique la sanction de 30 000€ contre la société. La Cnil veut ainsi rappeler les obligations des professionnels et sensibiliser les internautes à leurs droits.

La société dispose d’une voie de recours contre la décision.

Lexing Alain Bensoussan Selas
Lexing Publicité et marketing électronique

Délib. Cnil n° 2016-204 du 7-7-2016 prononçant une sanction pécuniaire à l’encontre de la société de vente en ligne.




Service Universel : lourde condamnation pour Lycamobile

service universelPar une décision en date du 14 avril 2016, l’Arcep a lourdement condamné la société Lycamobile (1).

La société a été condamnée en raison du non-paiement de ses contributions au financement du fonds de service universel.

Les opérateurs de communications électroniques ont, parmi les obligations qui pèsent sur eux, celle de contribuer au financement du fonds de service universel chargé de compenser les coûts nets encourus par l’opérateur chargé du service universel.

Le montant de ces contributions est déterminé par rapport au chiffre d’affaires réalisé par les opérateurs de communications électroniques, selon un mécanisme en deux temps : une première contribution au fonds de service universel est versée sous la forme d’une provision au titre de l’exercice en cours, cette provision étant ensuite imputée sur le montant définitif, calculé par l’Arcep avec un décalage d’au moins un an.

Ce décalage est dû au fait que l’assiette de calcul de la contribution définitive est le chiffre d’affaires effectivement réalisé, qui nécessite, pour le déterminer, que l’exercice comptable de chaque opérateur ait été clôturé.

Lycamobile a dû faire face à des difficultés de trésorerie qui l’ont empêchée de verser les sommes que la Caisse des dépôts et consignations, gestionnaire du fonds de service universel, lui réclamait.

Des mises en demeure ont donc été adressées à Lycamobile, tant pas la Caisse des dépôts et consignations que par l’Arcep, sans succès.

Sur le fondement des dispositions de l’article L.36-11 du Code des postes et communications électroniques (2), l’Arcep a donc ouvert une procédure de règlement des différends, dans la mesure où Lycamobile manquait à l’une des obligations mises à sa charge en vertu des dispositions des articles L.33-1 et L.35-4 dudit code (3).

Bien que Lycamobile ait partiellement régularisé sa situation, en procédant, pendant le cours de l’instruction de cette procédure, au règlement de la somme de 133 255 euros au profit du fonds de service universel, elle restait encore débitrice de la somme de 27 229 euros, en ce compris les intérêts de retard.

Aussi, la formation restreinte de l’Arcep a-t-elle décidé d’entrer en voie de condamnation pour sanctionner le caractère tardif, incomplet et non contesté par Lycamobile des versements effectués par cette dernière au bénéfice du fonds de service universel.

Cette condamnation a été fixée à la somme de 100 000 euros, soit environ 0,5% du chiffre d’affaires du dernier exercice clos de Lycamobile.

Rappelons que l’Arcep dispose d’un certain nombre de sanctions possibles, parmi lesquelles figure la possibilité de prononcer des sanctions pécuniaires dont « le montant est proportionné à la gravité du manquement et aux avantages qui en sont tirés, sans pouvoir excéder 3% du chiffre d’affaires hors taxes du dernier exercice clos, taux porté à 5% en cas de nouvelle violation de la même obligation » (article L.36-11 précité).

Frédéric Forster
Lexing Droit Télécoms

(1) Arcep, 14-4-2016, n° 2016-0504-FR, Lycamobile.
(2) CPCE, art. L.36-11.
(3) CPCE, art. L.33-1 et L.35-4.




Sanction des opérateurs télécoms par l’Arcep

ArcepLe feuilleton de la mise en conformité des modalités d’accès aux fourreaux de France Télécom pour le déploiement du réseau en fibre optique de Numéricâble vient de connaître un nouveau rebondissement ! Les pouvoirs de l’Arcep sont inconstitutionnels sur un point de droit qui pourrait constituer, pour les opérateurs télécoms, une voie salutaire de contestation des procédures en cours et instances non définitivement jugées à ce jour.

Saisi par le Conseil d’État (1) d’une question prioritaire de constitutionnalité (QPC) posée par les sociétés Numéricâble SAS et NC Numéricâble à propos d’une décision de l’Arcep, le Conseil constitutionnel s’est prononcé sur la conformité aux droits et libertés que la Constitution garantit de plusieurs dispositions de l’article L 36-11 du code des postes et des communications électroniques (CPCE).

Pour l’essentiel, les requérants invoquaient le défaut d’impartialité des décisions de sanction prononcées par l’Arcep, en méconnaissance de l’article 16 de la Déclaration des droits de l’Homme et du citoyen. Le Conseil constitutionnel a déclaré le 5 juillet 2013 (2) les dispositions contestées inconstitutionnelles, dans la mesure où la séparation des fonctions d’instruction et de jugement de l’Arcep n’est pas assurée.

Les conditions dans lesquelles elle peut le faire, prévues par l’article L 36-11 du CPCE avaient pourtant été validées en 1996 par le Conseil constitutionnel (3). L’intervention de la procédure de la QPC après la révision du 23 juillet 2008 a toutefois relancé le débat.

Une sanction espérée et longtemps attendue !

Le cumul du pouvoir d’engager une procédure et de juger n’est, certes, pas contraire aux principes généraux du droit français (4) et à la jurisprudence européenne (5). Mais, l’article L 132 du CPCE (précisant que l’Arcep « dispose de services qui sont placés sous l’autorité de son président ») révèle le pouvoir hiérarchique du président de l’Arcep sur l’ensemble des services, ce qui implique un pouvoir d’instruction sur les services, un pouvoir de réformation et, enfin, un pouvoir de substitution.

Si ce pouvoir hiérarchique ne trouve en principe pas à s’appliquer s’agissant des poursuites en matière de sanction, il n’en reste pas moins que cet article L 132 conduit à une impression fâcheuse de confusion des rôles en matière de sanction. A cet égard, les opérateurs de communications électroniques se prévalent depuis plusieurs années (et les neuf sages de la rue Montpensier leur ont finalement donné raison !) de la « théorie des apparences » pour constater que le directeur général est largement soumis au pouvoir hiérarchique du président, ce qui faisait naître des doutes objectifs sur son indépendance en matière de poursuites.

Au plan de l’apparence, il existe donc une situation de partialité pour l’Arcep à apparaître comme un organe où les différentes fonctions d’accusation, de poursuite et de jugement ne sont pas strictement distinguées.

Un fondement juridique spécifique et autonome ?

Le Conseil constitutionnel ne mentionne pas expressément dans sa décision 2013-331 QPC le « droit au procès équitable », alors que la question s’y rapportait et que ce dernier droit est là encore rattaché depuis 2005 à l’article 16 de la Déclaration de 1789 (6).

Sans doute, le Conseil considère que l’atteinte avérée à l’impartialité le dispense de se prononcer sur celui tiré d’une atteinte à l’équité du procès (7). Cela permet, par ailleurs, au droit constitutionnel français d’apparaître comme un droit spécifique, autonome et propre (malgré une indiscutable convergence des interprétations constitutionnelle et conventionnelle).

L’absence d’annulation fondée expressément sur une atteinte à l’équité du procès serait-elle à mettre en perspective avec le caractère subsidiaire de ce droit en France ?

En tout état de cause, elle rend malaisée l’identification du fondement constitutionnel de l’ensemble des droits procéduraux et garanties des justiciables devant l’Arcep et les autres autorités de régulation. En effet, alors que les dispositions de l’article 6 §1 de la Convention européenne des droits de l’homme (CEDH) ont connu une très large postérité dans les secteurs régulés, le droit constitutionnel français à l’impartialité y reste quant à lui un droit encore méconnu : faut-il distinguer le droit à l’impartialité du droit à un procès équitable ? Faut-il présenter le droit à l’impartialité comme une exigence autonome ?

Si beaucoup d’encre a coulé sur la question de la compatibilité de la procédure des autorités de régulation avec les exigences du procès équitable, celle de l’apport potentiel du « principe d’indépendance et d’impartialité » (8) à la garantie des droits des opérateurs de communications électroniques a en revanche largement été passée sous silence.

Si d’une manière générale, il existe bien une interprétation convergente du Conseil constitutionnel et de la Cour européenne des droits de l’homme dans l’interprétation des droits, des divergences peuvent subsister.

Il conviendra alors de mettre l’accent sur les différents problèmes pouvant survenir en la matière, principalement au regard de la jurisprudence constitutionnelle. C’est ainsi que devront être discutée :

  • les difficultés éventuelles concernant le respect du contradictoire et l’égalité des armes ;
  • l’impartialité des membres de l’Arcep dans l’hypothèse où l’un d’entre eux aurait eu à connaître d’un éventuel manquement à une réglementation à un stade ou à un autre de l’élaboration de cette même réglementation ;
  • le respect du droit d’accès à un tribunal dans l’hypothèse d’un refus de transmission d’un document administratif aux opérateurs de communications électroniques par l’Arcep ;
  • le respect du délai raisonnable de jugement du simple fait de l’instauration d’une nouvelle réglementation en cours de procédure de sanction ou de règlement de différend, etc.

Alain Bensoussan Avocats
Lexing Droit Télécoms.

(1) CE 29-4-2013 n° 356976 demandant l’annulation de la décision Arcep n° 2011-1469 du 20-12-2011.
(2) CC décis. 2013-331 QPC du 5-7-2013 sur le pouvoir de sanction de l’Arcep.
(3) CC décis. 96-378 DC du 23-7-1996 sur le pouvoir réglementaire et de sanction de l’Arcep.
(4) CE Ass. 3-12-1999, Didier, concl. Seban : « aucun principe général du droit n’interdit que siège au sein de l’instance disciplinaire la personne qui a engagé les poursuites disciplinaires » (en matière de contentieux de la fonction publique : CE 11-7-1958, Tordo ; CE 11-5-1960, Ministre de l’agriculture c/ Laniez ; CE 12-7-1969 n° 72648, Le Bris).
(5) De jurisprudence constante, le moment du procès équitable peut être retardé pour des impératifs de souplesse et d’efficacité, pour faciliter le travail des organes qui ne sont pas intégrés aux structures judiciaires ordinaires mais qui peuvent néanmoins être amenés à prendre des sanctions relevant de la matière civile (suspension ou retrait du droit d’exercice d’une profession) ou pénale (sanctions pécuniaires). La Cour européenne des droits de l’homme (CEDH) considère, à propos des organes administratifs ou disciplinaires, que 2 situations également acceptables peuvent se présenter : « ou bien lesdites juridictions remplissent elles-mêmes les exigences de l’article 6 § 1, ou bien elles n’y répondent pas mais subissent le contrôle ultérieur de pleine juridiction présentant, lui, les garanties de cet article » (CEDH 20-5-1998, Gautrin et a. c/ France ; 10-2-1983, Albert et Le Compte c/ Belgique ; 27-8-2002 n° 58188/00, Didier c/ France).
(6) Bien que le Conseil constitutionnel y fasse référence dès 2003 (CC 20-11-2003 n° 2003-484 DC), ce n’est qu’en 2005 (CC 20-1-2005 n° 2004-510 DC) que le droit au procès équitable a véritablement été reconnu comme principe à valeur constitutionnelle, fondé sur l’article 16 de la Déclaration des droits de l’Homme de 1789.
(7) En ce sens, voir CC 2-7-2010 n° 2010-10 QPC, sur la composition des tribunaux maritimes commerciaux pour atteinte au principe d’indépendance et d’impartialité du juge.
(8) En 2003, le Conseil rattache l’indépendance des juges non professionnels à l’article 16 (CC 20-2-2003 n° 2003-466 DC), contrairement à l’indépendance des magistrats professionnels garantie de longue date par l’article 64 de la Constitution pour les juridictions judiciaires (CC 9-7-1970 n° 70-40 DC) et comme constituant un principe fondamental reconnu par les lois de la République, issu de la loi du 24 mai 1872, pour les juridictions administratives (CC 22-7-1980 n° 80-119 DC).




Activités privées de sécurité : premier rapport d’activité du CNAPS

Activités privées de sécuritéLe Conseil national des activités privées de sécurité (CNAPS) a publié son premier rapport d’activité 2012 (1). Rappelons que le CNAPS, présidé par Alain Bauer, est l’organisme régulateur de l’ensemble des acteurs de la sécurité privée depuis 2011 (2).

A ce titre, il est compétent à l’égard de l’ensemble des activités privées de sécurité à savoir, surveillance et gardiennage, surveillance par des systèmes électroniques de sécurité, transports de fonds et de valeurs, protection physique des personnes, sécurité cynophile, sûreté aéroportuaire) (3) ainsi que de celles des agences de recherches privées (4).

Il est principalement chargé de l’instruction, de la délivrance et du retrait des différents agréments, autorisations et cartes professionnelles prévus par le livre VI du Code de la sécurité intérieure (CSI). Il a également une fonction disciplinaire puisqu’il sanctionne les manquements aux lois et règlements constatés lors des contrôles effectués par ses agents.

Parmi les indicateurs qui rendent compte de l’activité du CNAPS en 2012, il convient de signaler que 826 contrôles ont été réalisés auprès de 684 entreprises de toute taille, couvrant l’ensemble des métiers de la sécurité privée et la totalité des départements de métropole. 712 contrôles ont porté sur des activités de surveillance et de gardiennage, soit un taux de 86 % légèrement supérieur au poids relatif de ce secteur.

Au total, 3 612 manquements de différentes natures ont été relevés en 2012. Les manquements relevés ont concerné en majorité des infractions au Code de la sécurité intérieure (2 229 cas soit 62 % du total). 38 % des manquements relevaient du Code de déontologie et des infractions aux autres législations (Infractions à la législation sur les étrangers et / ou au Code du travail).

Les infractions au Code de déontologie ont principalement concerné des défauts d’affichage de ce code publié le 12 juillet 2012 (5). Ils n’ont donné lieu qu’à de simples rappels destinés à faciliter l’appropriation par les acteurs de la sécurité privée des dispositions de ce nouveau texte.

Sur 114 dossiers de contrôle dont l’instruction a été achevée en 2012, et qui ont été présentés au Directeur par les services du contrôle, 58 dossiers ont été transmis aux CIAC (commissions interrégionales d’agrément et de contrôle) pour poursuites disciplinaires et 56 autres procédures ont fait l’objet d’un classement sans suite pour absence ou régularisation des manquements constatés.

En 2012, 12 sanctions ont été prononcées :

  • – 4 avertissements,
  • – 4 interdictions d’exercice pour une personne physique (prononcées pour une durée de deux ans à chaque fois),
  • – 1 interdiction de fonctionnement pour une entreprise (prononcée pour une durée d’un an),
  • – 4 pénalités financières (une de 80 000 euros, deux de 40 000 euros et une de 10 000 euros).

Le Conseil national des activités privées de sécurité indique que les premières sanctions disciplinaires décidées par les CIAC datant d’octobre 2012, un seul recours administratif obligatoire préalable (RAOP) a été jugé par la CNAC (Commission nationale d’agrément et de contrôle) en décembre. Cette dernière a confirmé la décision de la CIAC.

L’année 2013 s’annonce également riche en activité avec la refonte du système d’information qui doit permettre notamment l’accès en ligne du demandeur au suivi du traitement de son dossier.

Isabelle pottier
Lexing Droit Informatique

(1) Téléchargeable sur le site du Conseil national des activités privées de sécurité.
(2) Loi 2011-267 du 14-3-2011 (dite LOPPSI 2).
(3) Activités privées de sécurité mentionnées au titre I du livre VI du Code de la sécurité intérieure (CSI).
(4) Décret 2012-870 du 10-7-2012, voir Alain Bensoussan, interview parue dans Vidéosurveillance Infos, Sept_Oct 2012.




Impact du bilan d’activité de la Cnil sur les entreprises

cnilPetit-déjeuner Informatique et libertés du 31 mai 2013 – Alain Bensoussan, a animé un petit-déjeuner débat consacré au 33e rapport de la Cnil et aux plans de mise en conformité qui s’imposent aux entreprises pour anticiper la réforme du cadre légal européen en matière de protection des données.

L’année 2012 a été marquée par une forte activité pour la Cnil. Elle a en effet reçu un nombre record de plaintes (6017 : soit + 4,9 % par rapport à 2011) dont on peut relever la répartition suivante :

  • 31 % dans le secteur de l’internet et des télécoms en grande partie sur le « droit à l’oubli numérique » (1 050 plaintes ont concernées la suppression de textes, photographies, vidéos, coordonnées ou commentaires)
  • 15 % dans le secteur du travail (vidéosurveillance, géolocalisation, accès au fichier professionnel)
  • 10 % dans le secteur bancaire (inscription au FICP, FCC, etc.)

Elle a réalisé 458 contrôles (soit + 19 % par rapport à 2011) qui ont abouti à 43 mises en demeure, 4 sanctions pécuniaires, 9 avertissements, 1 injonction de cesser le traitement. Les contrôles ont surtout portés sur :

  • les dispositifs de vidéoprotection : 173 contrôles
  • les données personnelles et la vie quotidienne : des contrôles de grande ampleur ont été effectués notamment auprès des fournisseurs d’énergie, de services de communications électroniques et de sociétés d’autoroute
  • la sécurité des données de santé : une vingtaine de contrôles ont été effectués auprès d’hébergeurs agréés, pharmaciens, groupe hospitalier, laboratoires d’analyse médicale, prestataires développant des logiciels ou produits destinés à traiter des données de santé
  • les failles de sécurité : de nombreux contrôles ont été réalisés dans le cadre d’alertes reçues par la Cnil

L’activité s’annonce également riche en actions pour l’année 2013-2014, au vu du programme des contrôles annoncés par la Cnil.

Nous vous avons proposé à l’occasion de ce petit-déjeuner d’aborder les d’actions qui s’imposent aux entreprises au vu du bilan d’activité de la Cnil et du projet de Règlement européen sur la protection des données personnelles qui sera très prochainement adopté.

La conférence a eu lieu dans nos locaux, 29 rue du Colonel Pierre Avia, 75015 Paris.




Une Canadienne de 12 ans privée de Facebook

Canadienne Alain Bensoussan a été interviewé, le 28 mars sur « RTL-Midi », à propos de la jeune Canadienne de 12 ans qu’un juge a privée de réseau social pour avoir menacé ses camarades.

Etre au ban de Facebook, est-ce que c’est proportionné à ce qu’elle voulait dire ? Il faut être vigilant : Facebook c’est, pour les enfants, une partie de la vie émotionnelle.

Ce qui se disait hier dans la cour d’école, se dit aujourd’hui sur Facebook. C’est un élément extrêmement important d’identité.

Ecouter l’interview >




Droit d’auteur et téléchargement : quelles sont les règles ?

téléchargement Droit d’auteur et téléchargement : quelles sont les règles ? Au cours d’un entretien accordé à Microactuel, Alain Bensoussan a abordé les droits d’auteurs en expliquant les règles en ce qui concerne la mise en ligne de fichiers musicaux sur un blog ou une page Facebook.

Quelles est la différence entre le téléchargement et le streaming ? Quelles sont les sanctions associées ? L’Hadopi opère des contrôles.

Alain Bensoussan pour Microactuel, Août 2012.