Obligation d’information et de conseil : une responsabilité clé pour les prestataires informatiques en matière de cybersécurité – Cour d’appel de Rennes,19 novembre 2024
Dans un contexte où la menace cyber est une réalité incontournable pour les entreprises, la Cour d’appel de Rennes a appliqué avec fermeté les exigences en matière d’information et de conseil qui pèsent sur les prestataires informatiques en matière de cybersécurité.
Cette décision s’inscrit dans la jurisprudence constante suivant laquelle le prestataire informatique ne saurait se contenter d’exécuter à la lettre les demandes de son client, sans exercer pleinement son devoir de conseil et d’accompagnement.
Les faits : un renouvellement d’infrastructure aux conséquences lourdes
Une entreprise avait sollicité un prestataire spécialisé en cybersécurité pour moderniser son infrastructure informatique.
Le contrat prévoyait l’installation du matériel informatique en quatre phases.
Le matériel a été livré et installé par le prestataire en novembre 2019.
Quelques mois plus tard, en juin 2020, l’entreprise a été victime d’une cyberattaque par rançongiciel.
L’ensemble de son système d’information ayant été chiffré par les responsables de l’attaque, l’activité de l’entreprise a été intégralement à l’arrêt pendant une semaine, puis a repris progressivement.
L’attaque a généré des coûts importants pour la récupération et la réorganisation des données du client (intervention de prestataires extérieurs, mobilisation de ses salariés).
Deux rapports réalisés par deux prestataires intervenus en réponse à l’incident, ont mis en lumière les constats suivants :
- une absence de mécanisme de sauvegardes déconnectées du réseau de production ;
- une mauvaise configuration du contrôleur de domaine ;
- une multitude de comptes a forts privilèges sans besoin apparent ;
- des paramétrages non compatibles avec les exigences de sécurité.
L’entreprise a donc assigné le prestataire informatique aux fins de le voir condamné à lui indemniser la somme de 482.463,03 euros au titre de son préjudice, en raison des manquements à son obligation d’information, de conseil et de délivrance.
En première instance, le tribunal rejette l’ensemble des demandes, au motif que la demanderesse ne rapporte pas la preuve que le prestataire aurait commis une faute susceptible d’engager sa responsabilité.
Le jugement est cassé par les juges de la Cour d’appel de Rennes.
La décision de la Cour d’appel de Rennes
Le prestataire soutient que le contrat ne consistait qu’en la fourniture de matériels et de logiciels pour remplacer les équivalents obsolètes et produit une note technique indiquant que la mission de sauvegarde des données ne relevait pas de la mission contractuellement dévolue au prestataire.
Cependant, la cour juge qu’ « en matière de prestations informatiques comprenant l’installation d’une nouvelle architecture, considérées comme un produit complexe, le fournisseur a l’obligation de s’assurer que ses prestations répondent aux besoins de son client, qu’il aura analysés » et ajoute que « pour y parvenir il doit s’informer sur ses besoins pour lui présenter une proposition commerciale adaptée ».
La cour relève tout d’abord que l’entreprise cliente n’était pas un professionnel de l’informatique.
Elle relève en outre, dans les conditions générales du prestataire, que celui-ci s’engageait « à mettre en œuvre les mesures de sécurité techniques et d’organisation de systèmes de services se conformant aux normes standards et aux usages internationaux applicables dans son secteur d’activités, notamment afin d’empêcher l’accès accidentel ou non autorisé aux infrastructures et données supportant l’application et/ou la solution logicielle et/ou le site internet objet(s) du Contrat ».
Ainsi, si le prestataire, pour se dispenser de son obligation d’information et de conseil en matière de sécurité, a soutenu que l’entreprise cliente disposait d’un service informatique composé de trois personnes, la cour estime que ces dernières « ne peuvent se voir attribuer les mêmes compétences expertales que celles qui sont revendiquées par [le prestataire] qui s’affiche spécialiste en matière de cybersécurité. »
La cour constate qu’ « à aucun moment [le prestataire] ne démontre qu'[il] a informé sa cliente de ce risque et donc qu'[il] a respecté son devoir de mise en garde alors que sa proposition commerciale prévoyait l’accompagnement au changement pour les utilisateurs. »
Elle conclut donc que :
- si la demande de l’entreprise cliente n’était pas assez précise, le prestataire aurait dû solliciter sa cliente pour faire préciser sa commande ;
- au besoin, il devait la conseiller sur l’architecture nécessaire à la sécurisation de ses données et lui signaler que ses travaux ne comportaient pas l’installation de sauvegardes déconnectées.
Un devoir d’expertise proactive
Autrement dit, le simple respect des besoins exprimés par le client et/ou du cahier des charges ne suffit pas à dégager le prestataire de sa responsabilité.
En tant qu’expert informatique, il doit être proactif, formuler des recommandations éclairées et s’assurer que la solution proposée est réellement adaptée, même si cela implique de remettre en question les demandes initiales du client.
En matière de cyberattaques : l’indemnisation de la perte de chance
Bien entendu, les juges rappellent que le prestataire n’est pas responsable de la cyberattaque elle-même.
Toutefois, le manquement à ses obligations contractuelles a privé la cliente de la possibilité de limiter les conséquences de l’attaque ou de mieux y résister.
La cour d’appel condamne donc le prestataire à indemniser son client du préjudice fondé sur la perte de chance (soit à la somme de 50 000 euros en l’espèce).
Une jurisprudence constante
La décision de la Cour d’appel de Rennes s’inscrit dans la jurisprudence constante de la Cour de cassation qui impose un devoir de conseil au fournisseur d’un produit complexe en matière informatique :
Conseils pratiques pour les entreprises et leurs partenaires
Cette affaire rappelle aux entreprises comme à leurs prestataires quelques principes clés :
- Pour les prestataires informatiques
- Être proactif dans l’analyse des besoins réels des clients.
- Fournir et documenter des préconisations détaillées, y compris en matière de risques, coûts et alternatives techniques.
- S’assurer que le client est accompagné dans la maîtrise opérationnelle de la solution installée.
- Pour les clients
- Formaliser dans les contrats les obligations précises du prestataire : information, conseil, suivi.
- Former les équipes aux pratiques de cybersécurité, car aucun système technique n’offre une sécurité absolue.
En somme, cette décision confirme que le contrat ne se limite pas à la simple livraison et installation de matériel informatique : le prestataire informatique est attendu sur sa capacité à guider, alerter et accompagner son client, y compris au-delà de la lettre du cahier des charges.
Cour d’appel de Rennes, 19 novembre 2024
Pour toute question ou demande, vous pouvez contacter nous ici.
- Published in blog, Nouvelles technologies
NIS2: suivez le guide
Etes-vous concernés par NIS2?
- Published in blog, Nouvelles technologies
Violation de licence de logiciel open source : Orange condamnée pour contrefaçon de logiciel
La Cour d’appel de Paris (CA Paris, 14 février 2024 nº 22/18071) a condamné Orange pour contrefaçon de logiciel à raison de la violation de la licence GNU GPL v.2.
- Rappel des faits
La société Entr’Ouvert a développé le logiciel LASSO (Liberty Alliance Single Sign On) qu’elle exploite depuis mars 2004.
Le logiciel LASSO permet la mise en place d’un système d’authentification unique, afin que l’internaute ne s’identifie qu’une seule fois pour accéder à plusieurs services ou sites en ligne, évitant ainsi d’avoir autant d’identifiants que de services en ligne.
La société Entr’Ouvert a fait le choix de diffuser le logiciel LASSO sous la licence libre GNU GPL version 2, ou sous licence commerciale en contrepartie du paiement de redevances si l’utilisation du logiciel LASSO est incompatible avec la licence GNU GPL.
En 2005, Orange a remporté un appel d’offre en vu de la conception et la réalisation d’une partie du portail « Mon Service Public » : Orange devait fournir une solution informatique de gestion d’identités et des moyens d’interface à destination des fournisseurs de services.
La plateforme logicielle dite Identité Management Plateform (« IDMP ») développée par Orange intégrait le logiciel LASSO dans sa version GNU GPL v.2 sous licence libre.
La société Entr’Ouvert, estimant que la mise à disposition du logiciel LASSO par Orange dans le cadre du projet « Mon Service Public » n’était pas conforme aux dispositions de la licence libre, a fait assigner Orange en contrefaçon de droits d’auteur et parasitisme.
- Contexte : la licence libre GNU GPL version 2
La licence GNU General Public License (GPL) est l’une des licences les plus célèbres dans le domaine du logiciel libre et open source. Elle vise à permettre à l’auteur d’un logiciel de garantir la liberté de l’utiliser, le modifier et le distribuer.
Dans le cadre de ce litige, la version 2 de cette licence était applicable. Depuis le 29 juin 2007, la version 3 est communément utilisée.
Contrairement aux licences commerciales classiques qui imposent souvent des restrictions sur l’utilisation et la redistribution du logiciel, la licence GNU GPL favorise la liberté en exigeant notamment que toute distribution du logiciel sous cette licence soit accompagnée du code source et que les œuvres dérivées soient également distribuées sous licence GNU GPL.
- Contrefaçon à raison de la violation de la licence GNU GPL
3.1. La contrefaçon comme fondement
Dans le cadre de cette affaire, la Cour d’Appel de Paris (CA Paris, 19 mars 2021 2024 nº 11/07081) avait préalablement considéré qu’en fondant sa demande sur la violation de dispositions contractuelles, la société Entr’Ouvert était irrecevable à agir sur le fondement délictuel de la contrefaçon. Elle avait cependant condamné Orange au titre du parasitisme, considérant que Orange « a, sans bourse délier, utilisé le savoir-faire, le travail et les investissements de la société Entr’Ouvert ».
Mais la Cour de cassation a partiellement cassé cet arrêt, considérant que la violation d’un contrat de licence pouvait être attaqué sur le terrain de la contrefaçon (Cour de cassation, civile, Chambre civile 1, 5 octobre 2022, 21-15.386).
Reprenant la décision de la Cour de cassation et citant l’arrêt de la CJUE C-666/18 du 18 décembre 2019 IT Development c/ Free Mobile, la Cour d’appel rappelle ainsi que « la violation d’une clause d’un contrat de licence d’un programme d’ordinateur, portant sur des droits de propriété intellectuelle du titulaire des droits d’auteur de ce programme, relève de la notion d’« atteinte aux droits de propriété intellectuelle », au sens de la directive 2004/48, et que, par conséquent, ledit titulaire doit pouvoir bénéficier des garanties prévues par cette directive, indépendamment du régime de responsabilité applicable selon le droit national ».
En d’autres termes, en cas d’atteinte portée à ses droits d’auteur par la violation des termes de la licence de son logiciel, le titulaire est fondé à agir en contrefaçon.
Il appartient alors au titulaire d’apporter les preuves nécessaires à une action en contrefaçon de droit d’auteur, à savoir l’originalité de son logiciel et la violation de ses droits de propriété intellectuelle.
3.2. Les actes constitutifs de la violation de la licence
En l’espèce, après avoir apporté la preuve de l’originalité de son logiciel LASSO, la société Entr’Ouvert a invoqué la violation des articles 2, 3, 4 et 10 du contrat de licence GNU GPL v.2, qu’il est possible de résumer ainsi :
- Article 2 : autorise les modifications du logiciel et la distribution de ces modifications à condition de respecter certaines exigences, notamment de munir les fichiers modifiés d’un avis de modification bien visible et que tout logiciel dérivé contenant le logiciel d’origine soit concédé comme un tout, à titre gratuit, sous licence GNU GPL ;
- Article 3 : autorise la distribution du logiciel sous forme de code objet ou exécutable à condition de l’accompagner de la distribution de l’intégralité du code source ou d’une proposition écrite de fournir le code source ;
- Article 4 : interdit de copier, modifier, concéder en sous-licence ou distribuer le logiciel sauf selon les conditions expressément prévues par la licence GNU GPL ;
- Article 10 : l’intégration du logiciel sous licence GNU GPL dans d’autres logiciels libres dont les conditions de distribution sont différentes nécessite l’autorisation de l’auteur.
Dans cette affaire, la Cour d’Appel de Paris a retenu que Orange avait bien violé ces 4 dispositions de la licence GNU GPL v.2 :
- En ayant procédé à des modifications du logiciel LASSO sur lequel est fondé IDMP et en ne concédant pas IDMP comme un tout gratuit auprès de l’Etat, Orange a violé l’article 2 de la licence ;
- En n’ayant pas communiqué le code source de LASSO alors que Orange a bien « distribué » la bibliothèque LASSO en ayant vendu, livré et transféré à l’Etat l’ouvrage IDMP fondé sur LASSO, Orange a violé l’article 3 de la licence ;
- En copiant, modifiant et distribuant LASSO sans respecter l’ensemble des conditions du contrat de licence GNU GPL, Orange a violé l’article 4 de la licence ;
- En incorporant LASSO dans la plateforme IDMP, dont les conditions de distribution sont différentes de la licence GNU GPL, et sans obtenir l’autorisation de la société Entr’Ouvert, Orange a violé l’article 10 de la licence.
Par ailleurs, l’examen du code source a permis de démontrer que la distribution d’IDMP s’est faite uniquement sous le nom de « France Telecom » alors que deux versions de LASSO ont été utilisés. La Cour d’Appel a donc également retenu une violation du droit moral de la société Entr’Ouvert.
Partant, la Cour d’Appel de paris, complétant la condamnation pour parasitisme devenue définitive, a considéré que Orange a commis des actes de contrefaçon du logiciel LASSO par violation du contrat de licence GNU GPL v2 en ses articles 2, 3, 4 et 10 et non-respect de son droit moral.
Pour exploiter le logiciel LASSO comme elle l’a fait, Orange aurait dû conclure un contrat de licence commerciale avec la société Entr’Ouvert.
- Published in blog, Nouvelles technologies
Espace numérique : que prévoit le projet de loi ?
En l’espace de plusieurs décennies, l’environnement numérique, initialement conçu comme un espace ouvert propice au progrès, au développement et au partage inconditionnel de connaissances, a fait face à la multiplication de contenus illicites et préjudiciables.
La nécessité d’une régulation plus rigoureuse de cet espace numérique s’est alors imposée.
Dans ce contexte, le 17 octobre 2023, l’Assemblée nationale a adopté, après proposition du Sénat, un projet de loi visant à sécuriser et réguler l’espace numérique.
Ce projet doit encore être soumis à l’examen d’une Commission Mixte Paritaire, chargée d’affiner les dispositions encore en discussion.
Parmi les multiples thématiques abordées par ce projet de loi, on peut citer la protection des citoyens dans l’environnement numérique, les Jonum ainsi que les nouveaux pouvoirs envisagés pour les autorités nationales.
Ce projet de loi témoigne ainsi d’une prise de conscience quant à la nécessité d’adapter la régulation de l’espace numérique.
- La protection des citoyens dans l’environnement numérique
Le projet de loi propose, dans son article 6, l’instauration d’un filtre de cybersécurité destiné au grand public, visant à restreindre les pratiques d’hameçonnage en ligne considérées comme constitutives d’escroquerie.
L’hameçonnage en ligne est précisément défini dans le projet de loi comme « le fait de mettre en ligne ou de diriger l’utilisateur vers une interface dont les caractéristiques sont de nature à créer une confusion avec l’interface en ligne d’un service existant et d’inciter ainsi l’utilisateur de cette interface, à son préjudice ou au préjudice d’un tiers, à fournir des données personnelles ou à verser une somme d’argent. »
Pour atteindre cet objectif, le gouvernement prévoit la mise en place d’un système d’alerte qui sera activé lorsque les utilisateurs s’apprêtent à accéder à un site malveillant suite à la réception d’un message frauduleux.
Cette mesure vise à protéger les citoyens contre toute tentative d’accès frauduleux à leurs données personnelles ou bancaires, en recueillant les signalements des victimes dans une base de données consultable par les autorités administratives.
De surcroît, le texte renforce les sanctions pour les infractions graves en ligne telles que le cyber-harcèlement, la pédopornographie ou encore le proxénétisme.
Ainsi, de tels agissements peuvent entraîner la suspension ou le bannissement de l’auteur sur les plateformes en ligne. Les fournisseurs qui ne bloqueront pas le compte faisant l’objet d’une suspension seront également passibles d’une amende de 75 000 euros,.
L’accent est également mis sur la protection des mineurs en ligne, avec des mesures renforcées, notamment de l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM), pour lutter contre l’accès des enfants aux sites pornographiques.
Enfin, le projet de loi prévoit des sanctions plus sévères pour contrer la désinformation provenant de médias étrangers soumis à des sanctions européennes, notamment visées par l’article 215 du Traité sur le fonctionnement de l’Union européenne.
Le projet de loi prévoit que l’ARCOM sera compétente pour mettre en demeure, dans un délai de 72 heures, les personnes, dont l’activité est d’éditer un service de communication au public en ligne et les fournisseurs de services d’hébergement, de retirer les contenus ou de faire cesser la diffusion des contenus provenant de médias étrangers soumis à des sanctions européennes.
En cas de non-respect de la mise en demeure, l’ARCOM pourrait ordonner le blocage du site concerné et imposer une amende pouvant atteindre 4% du chiffre d’affaires de l’opérateur.
- Les Jonum
Les Jonum, une convergence inédite entre les jeux vidéo et les jeux d’argent et de hasard, font actuellement face à un vide juridique et à une absence de régulation dans le cadre législatif français.
Dans ce contexte, et afin de pouvoir les encadrer, le projet de loi envisage dès lors d’autoriser, à titre expérimental et pour une durée de trois ans à compter de la promulgation de la présente loi, les jeux à objets numériques monétisables.
Les Jonum, également désignés comme des jeux à objets numériques monétisables, consistent essentiellement en des jeux en ligne proposant l’achat d’objets numériques nécessaires à la participation et à la progression dans le jeu.
La particularité de ces objets numériques réside dans leur identification par un certificat garantissant leur authenticité, ainsi que leur monétisation, permettant leur revente sur la plateforme de l’éditeur du jeu ou sur une place de marché secondaire.
L’Assemblée nationale, lors de sa première lecture, a envisagé un nouveau cadre de régulation spécifique à ces jeux, distinct de celui régissant les jeux d’argent et de hasard, ainsi que celui des jeux vidéo.
Elle procède également à une première définition juridique des Jonum, les décrivant comme des » jeux proposés par l’intermédiaire d’un service de communication au public en ligne qui permettent l’obtention, reposant sur un mécanisme faisant appel au hasard, par les joueurs majeurs ayant consenti un sacrifice financier, d’objets numériques monétisables, à l’exclusion de l’obtention de tout gain en monnaie ayant cours légal, sous réserve que ces objets ne puissent être cédés à titre onéreux, directement ou indirectement par l’intermédiaire de toute personne physique ou morale, ni à l’entreprise de jeux qui les a émis, ni à une personne physique ou morale agissant de concert avec elle. »
Par conséquent, toute entité morale souhaitant proposer au public ce type de jeux doit obligatoirement déclarer son offre à l’Autorité nationale des jeux, conformément à l’article 15 du projet de loi.
En outre, les entreprises opérant dans le secteur des jeux à objets numériques monétisables doivent prendre toutes les mesures nécessaires pour prévenir le jeu excessif ou pathologique, assurer l’intégrité, la fiabilité et la transparence des opérations de jeu, prévenir les activités frauduleuses et criminelles, ainsi que le blanchiment de capitaux et le financement du terrorisme.
Enfin, un rapport rendant compte des résultats de cette expérimentation et évaluant la pertinence de sa poursuite devra être présenté au Parlement six mois avant la fin de l’expérimentation.
- Les nouveaux pouvoirs des autorités nationales
Le projet de loi vise à ajuster le cadre juridique français pour incorporer les dispositions du règlement sur les services numériques (Digital Services Act – DSA) et du règlement sur les marchés numériques (Digital Markets Act – DMA), deux textes européens imposant de nouvelles obligations aux grandes entreprises du secteur numérique.
En vertu du DSA, l’ARCOM est désignée comme le « coordinateur des services numériques » en France.
La Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) est chargée de surveiller le respect des obligations des fournisseurs de places de marché.
Parallèlement, la Commission nationale de l’informatique et des libertés (CNIL) aura pour mission de vérifier la conformité des plateformes par rapport aux limitations en matière de profilage publicitaire, notamment en ce qui concerne l’interdiction pour les mineurs ou l’utilisation de données sensibles.
Concernant le DMA, l’Autorité de la concurrence et le ministère de l’Economie seront habilités à mener des enquêtes, recueillir des informations et collaborer avec la Commission européenne sur les pratiques des contrôleurs d’accès, notamment dans le cadre du « réseau européen de concurrence ».
Reste à voir si la Commission Mixte Paritaire valide les propositions de l’Assemblée nationale !
Source : Projet de loi visant à sécuriser et réguler l’espace numérique
https://www.assemblee-nationale.fr/dyn/16/textes/l16t0175_texte-adopte-seance#
nement concurrentiel équitable.
- Published in blog, Nouvelles technologies
Adoption au Sénat du Projet de loi visant à sécuriser et réguler l’espace numérique
Le 5 juillet 2023, le Sénat a adopté en première lecture le projet de loi modifié visant à sécuriser et réguler l’espace numérique. Il sera présenté devant l’Assemblée nationale en septembre 2023.
Le projet de loi s’inscrit dans l’évolution rapide au niveau européen des dispositions visant à réguler les activités en ligne (avec, notamment, l’entrée en vigueur du Digitale Services Act (DSA) et du Digital Market Act (DMA)). Il intègre également certaine des recommandations formées dans les rapports sur la souveraineté numérique et la protection des mineurs face à la pornographie et aux fins de régulation des activités des influenceurs.
Les conditions de signalement de contenus illicites sont ainsi renforcées, ainsi que les obligations des éditeurs et hébergeurs en cas de saisine. Les sanctions en l’absence de traitement des notifications de contenus illicites sont également développées, conformément aux dispositions du DSA.
Le projet de loi vise également à limiter la possibilité pour les principaux acteurs du numérique de privilégier leurs propres services sur les plateformes qu’ils éditent, conformément aux principes du DMA.
Le projet de loi inclut par exemple des dispositions restreignant les frais de transfert pouvant être imposés par un hébergeur Cloud à ses clients lorsque ceux-ci souhaitent changer de fournisseur de services d’hébergement. Les frais pouvant être demandés devront se limiter aux frais de migration liés au changement de fournisseur et ne pourront donc plus atteindre les montants importants connus aujourd’hui.
Le projet de loi aborde également la question de l’absence de régulation des Jeux utilisant des Objets Numériques Monétisables (JONUM), dont le statut a fait l’objet de nombreux débats. La qualification des objets concernés, entre jeux d’argent et actifs numériques, ne semble pas encore totalement tranchée.
Le projet de loi prévoit cependant la possibilité pour le Gouvernement de prendre par ordonnance, dans un délai de quatre mois à compter de la publication de la loi, les mesures nécessaires pour réguler ces jeux.
Le projet de loi constitue donc un ensemble complexe, complémentant l’intégration au droit national de plusieurs des dispositions du DSA et du DMA.
L’Arcom devrait ainsi devenir le Coordinateur des services numériques en France. Il sera accompagné dans ses missions par l’Autorité de la concurrence et la Cnil, qui devraient également être désignées comme autorités compétentes responsables de la surveillance des fournisseurs de services intermédiaires et de l’exécution du DSA en France.
Source :
- Published in blog, Nouvelles technologies
Paquet numérique : ce qui vous attend !
Dire que l’on est désormais entré dans une économie basée sur la data, est devenu un lieu commun.
Avec l’arrivée de nouveaux acteurs, on assiste à l’émergence de nouvelles problématiques et à la survenance de nouveaux risques :
- le risque cyber et celui d’atteinte à la vie privée ;
- la généralisation des fake news ;
- les risques de manipulation via des commentaires mensongers ; ou encore
- la prise en compte de l’IA qui vient poser des questions qui relevaient jusque là du domaine de la science-fiction.
Le législateur européen s’est emparé de ces questions et a voté une série de textes regroupés sous l’appellation « Paquet numérique ».
Le cabinet Leben-Avocats a le plaisir de vous présenter une synthèse de ces différents textes. (Digital Service Act, Digital Governance Act, Digital Market Act, Data Act, IA Act, Cyber Resilience Act, NIS2…)
La synthèse, c’est par ici.
- Published in blog, Nouvelles technologies
Le point sur : le Digital Market Act
Par Eolia BUSATA et Henri LEBEN, avocats à la Cour
Le Digital Market Act (Règlement UE n°2022/1925 – DMA) a vocation à permettre de réguler le pouvoir des acteurs économiques en capacité de verrouiller l’accès aux marchés numériques dans l’Union européenne.
Le Règlement s’applique ainsi aux acteurs disposant de capacités de verrouillage ou de contrôle de leurs marchés, car ils constituent un point d’accès important des entreprises utilisatrices pour toucher leur clientèle, et qui sont alors qualifiés de « contrôleur d’accès » ou « gatekeepers ».
La qualification de contrôleurs d’accès sera appliquée automatiquement à toute entreprise qui, au cours des 3 dernières années, a :
• Réalisé 7,5 milliards d’euros au moins de CA annuel dans l’UE ou 75 milliards, d’euros ou plus de capitalisation boursière durant la dernière année ;
• Eté utilisée par au moins 45 millions d’utilisateurs finaux par mois et 10.000 professionnels par an ;
• Fourni un ou plusieurs services de plateforme essentiels dans au moins trois pays de l’UE, parmi lesquels : services d’intermédiation (comme les places de marché, les boutiques d’applications), moteurs de recherche, réseaux sociaux, messagerie en ligne, etc.
Une fois ces seuils atteints, les entreprises concernées devront s’identifier auprès de la Commission européenne dans le 2 mois de l’entrée en vigueur du DMA. Celle-ci étudiera alors la déclaration et procédera, si applicable, à la désignation de l’entreprise déclarante en tant que « contrôleur de marché ».
Les premières désignations sont donc attendues début septembre 2023.
La Commission pourra, dans tous les cas, désigner unilatéralement les entreprises qui remplissent les critères mais ne se signalent pas comme telles.
Par ailleurs, les entreprises dont l’activité est susceptible de les placer en position de domination de leur marché sans que cette position soit encore durable se verront attribuer le statut de « contrôleurs d’accès émergents ». Certaines des obligations applicables aux contrôleurs d’accès leur seront immédiatement applicables.
Parmi les mesures prévues par le règlement pour encadrer le pouvoir de marché des contrôleurs d’accès, beaucoup vont affecter l’organisation même des plateformes.
Les entreprises concernées devront notamment :
• Rendre également faciles l’abonnement et le désabonnement au services de plateforme essentielle qu’ils fournissent ;
• Permettre de désinstaller facilement leurs applications préinstallées (tels que des suites logicielles ou un navigateur) ;
• Rendre interopérables les fonctionnalités de base de leurs services de messagerie instantanée avec ceux de leurs concurrents ;
• Autoriser les vendeurs à promouvoir leurs offres et à conclure des contrats avec leurs clients en dehors des plateformes ;
• Donner aux vendeurs l’accès à leurs données de performance marketing ou publicitaire sur leur plateforme.
Les plateformes seront également tenues d’informer la Commission européenne de l’évolution de leur organisation, en lui notifiant notamment les acquisitions et fusions qu’elles réalisent.
Ces obligations s’accompagnent de la restriction de pratiques ayant pour objet de favoriser les services annexes proposés par les contrôleurs d’accès (auto préférence de leurs produits, installation automatique de leurs logiciels sur un appareil, exploitation des données des vendeurs sur la plateforme pour les concurrencer, obligation d’utiliser le système de paiement du contrôleur, etc.).
Une entité lésée par un contrôleur d’accès pourra s’appuyer sur la liste de ces obligations et interdictions pour demander des dommages et intérêts devant les juges nationaux. La liste prévue par le règlement pourra être complétée par la Commission, en fonction de l’évolution des pratiques des plateformes.
Les sanctions prévues portent sur des montants relativement élevés, et peuvent aller jusqu’à la mise en œuvre de mesures correctives comportementales ou structurelle par la Commission.
Pour nous contacter, c’est ici. (https://www.leben-avocats.com/contact/)
- Published in blog, Nouvelles technologies
Le point sur : le Digital Services Act
Par Eolia BUSATA et Henri LEBEN, avocats à la Cour
Le Digital Services Act (Règlement UE n°2022/2065 – DSA) a vocation à réguler les services en ligne au sein de l’Union européenne, en luttant contre les contenus illicites et en renforçant les obligations de contrôle interne des plateformes.
Le calendrier d’application du règlement est étendu, les premières mesures sont entrées en vigueur en novembre et d’autres suivront, jusqu’au 17 février 2024, date à laquelle l’ensemble des dispositions du Règlement seront applicables.
Le Règlement s’applique à tout intermédiaire ou fournisseur de services en ligne offrant ses services et produits sur le marché de l’UE, indépendamment de sa localisation géographique. Les entités concernées sont, notamment, les fournisseurs de services d’informatique en Cloud et d’accès à un Internet et la plupart des lieux d’achat et de vente en ligne (places de marché, boutiques d’application, réseaux sociaux, plateformes de voyage et d’hébergement, etc.).
Un statut particulier est conféré aux très grands opérateurs ayant un nombre mensuel moyen de destinataires actifs dans l’UE égal ou supérieur à 45 millions. Ce nombre pourra être réévalué en cas d’évolution de la population de l’Union de 5%.
Les très petites et petites entreprises (moins de 50 salariés et moins de 10 millions de CA annuel) qui n’atteignent pas 45 millions d’utilisateurs mensuels seront exemptées de certaines obligations.
Toutes les entreprises concernées devront désigner un point de contact unique (et un représentant légal pour les entités établies hors UE).
Le Règlement contient plusieurs obligations dont les principales sont :
• La lutte contre les contenus illicites : plusieurs mesures doivent être prévues dont la mise en place d’un outil permettant de signaler facilement les contenus illicites, mais également l’obligation pour les marketplaces de mieux s’informer sur leurs vendeurs (vérification de leur fiabilité, de leur identité, etc.),
Le règlement prévoit à ce titre la création du statut de « signaleurs de confiance » / « Trusted flaggers », c’est-à-dire, des entités reconnues pour leur expertise dans la détection et l’identification de contenus illicites, et leur indépendance. Elles seront désignées dans chaque Etat et leurs signalements devront être traités en priorité.
Un rapport annuel récapitulant leurs actions est à adresser au coordinateur national les ayant désignés.
• Transparence : les plateformes devront mettre en place un système interne de traitement des réclamations des utilisateurs (notamment dans les cas de suspension ou de résiliation des comptes sur les plateformes) et clarifier le fonctionnement des algorithmes utilisés pour recommander les contenus publicitaires.
Ce second point s’accompagne d’interdictions spécifiques : interdiction de la publicité ciblée à destination des mineurs, ou de celle basée sur des données sensibles, sauf consentement exprès des personnes.
Les très grandes plateformes, et les très grands moteurs de recherche, sont soumis à des obligations supplémentaires, y compris :
• La mise en place d’un système de recommandation de contenus non-fondé sur le profilage et d’un registre des publicités contenant diverses informations (qui a parrainé l’annonce, comment et pourquoi celle-ci cible tels individus…) ;
• Une obligation d’analyser annuellement les risques systémiques qu’elles créent (sur la haine et la violence en ligne, les droits fondamentaux, les processus électoraux, la santé publique…) et de prendre les mesures nécessaires pour atténuer ces risques (respect de codes de conduite, suppression des faux comptes, etc.) ;
• La réalisation d’audits annuels indépendants de réduction des risques, sous le contrôle de la Commission européenne.
Le contrôle de l’application du Règlement est confié, dans chaque Etat, à un « coordinateur des services numériques », rassemblés au niveau de l’UE dans un Comité européen des services numériques. Ces coordinateurs devront être déclarés au plus tard le 17 février 2024.
En France, cette mission est confiée à l’Arcom.
En cas de violation du règlement, les coordinateurs des services numériques et la Commission pourront prononcer des astreintes et des sanctions. Pour les très grandes plateformes et les très grands moteurs de recherche, la Commission pourra infliger des amendes pouvant aller jusqu’à 6% de leur chiffre d’affaires mondial.
En cas de violations graves et répétées au règlement, des interdictions d’activités sur le marché de l’UE pourront être prononcées.
De manière générale, le règlement a vocation à s’adapter à la taille et aux conséquences éventuelles de l’activité de l’entreprise sur le marché de l’UE.
En fonction de votre activité, une analyse au cas par cas des mesures qui vous sont applicables est donc nécessaire.
Pour faire le point avec nos équipes sur les obligations applicables à votre entreprise, c’est ici. (https://www.leben-avocats.com/contact/)
- Published in blog, Nouvelles technologies
Garantie légale de conformités des services et biens numériques
Contenus numériques : mettez-vous en conformité avant le 1er octobre 2022
Publication du décret relatif aux garanties légales applicables aux contenus et services numériques
Issue de la transposition de deux directives, l’ordonnance n°2021-1247 relative à la garantie légale de conformité pour les biens, les contenus numériques et les services numériques créait les bases de l’application aux contenus et services numériques des garanties légales de conformité et des vices cachées.
Afin de compléter les dispositions déjà détaillées au sein de l’ordonnance, le décret n°2022-946 du 29 juin 2022 apporte des précisions quant à l’application pratique de ces règes et à leur formalisme.
Le décret précise ainsi les modalités d’exécution par les différents acteurs de leurs obligations, et notamment :
- Les informations obligatoires s’agissant de l’identité du professionnel ;
- Les informations obligatoires s’agissant de la portée des mises à jour des contenus numériques ;
- Le formalisme de l’encadré à intégrer aux conditions générales qui récapitule les engagements en matière de garanties du vendeur.
Le décret entre en vigueur au 1er octobre 2022.
- L’identification du professionnel :
Conformément à ce qui s’appliquait déjà en matière de garanties légales, les professionnels fournissant des contenus et services numériques sont tenus d’informer les consommateurs, dans leurs conditions générales, des éléments nécessaires à l’identification du professionnel répondant des garanties légales : raison sociale, adresse, informations de contact (téléphonique et email), modalités de traitement des réclamations, etc.
- Mise à jour des contenus numériques :
Les contenus et services numériques pouvant faire l’objet de mises à jour, le producteur de biens contenant des éléments numériques, et le vendeur, sont tenus de :
• Pour le producteur, informer :
o Le vendeur professionnel de la durée au cours de laquelle les mises à jour logicielles fournies par lui restent compatibles avec les fonctionnalités du bien ; et
o Le consommateur, de façon lisible et compréhensible, des caractéristiques essentielles de chaque mise à jour des éléments numériques du bien, notamment de l’espace de stockage qu’elle requiert, de son impact sur les performances du bien et de l’évolution des fonctionnalités qu’elle comporte.
• Pour le vendeur, mettre les informations communiquées par le producteur à dispositions du consommateur. Le vendeur met ces informations à la disposition du consommateur.
Afin de leur permettre de répondre à ces obligations, le décret précise notamment que le producteur de biens contenant des éléments numériques est tenu d’informer le vendeur, sans frais :
• Des logiciels du bien faisant l’objet des mises à jour, y compris les mises à jour de sécurité ;
• De la durée de fourniture de ces mises à jour ou la date à laquelle cette fourniture prend fin.
En cas de modification de ces informations, le producteur en informe le vendeur, et lui communique les conséquences éventuelles.
Ces informations doivent être communiquées par le vendeur au consommateur. Le cas échéant, il peut communiquer au consommateur la référence d’un site ou d’une application éditée par le producteur et détaillant les informations ainsi fournies.
Le producteur doit en effet communiquer au consommateur les caractéristiques essentielles des mises à jour du produit ou service numérique (notamment : objet de la mise à jour – répond-elle à une exigence de sécurité ou sert-elle à faire évoluer les fonctionnalités du bien -, versions du logiciel/ système d’exploitation ou pilote concerné par la mise à jour, l’espace de stockage requis par la mise à jour ainsi que les conséquences de la mise à jour sur les performances du bien).
Ces informations doivent être communiquées avant la mise à jour, et devraient rester disponibles postérieurement.
- Information des consommateurs quant à l’exercice des garanties légales de conformité s’agissant de contenus numériques :
L’article D.211-2 du code la consommation impose au professionnel d’insérer dans ses conditions générales de vente de biens un encadré détaillant les garanties fournies ainsi que leurs modalités d’exercice et leurs caractéristiques. Cette disposition est similaire à celle déjà en vigueur s’agissant de la vente de biens.
Les modèles d’encadrés figurent aux annexes des articles D. 211-3 et D. 211-4 du code de la consommation et doivent être choisis selon que les biens et services numériques sont fournis de manière ponctuelle ou continue, ou bien en complément d’un contrat de vente de biens.
Les principales différences entre ces modèles sont décrites dans le tableau suivant :
Vente de biens comportant des éléments numériques | Fourniture ponctuelle de contenus ou services numériques / Opérations de fourniture distinctes | Fourniture continue de contenus ou services numériques | |
Garantie légale de conformité | |||
Durée d’exercice | 2 ans A compter de la délivrance du bien | 2 ans A compter de la fourniture du contenu | Durée de la fourniture prévue au contrat |
Preuve à fournir | Existence du défaut de conformité | Existence du défaut de conformité pour la 1ère année Existence du défaut de conformité + date d’apparition de celui-ci pour la 2nde année | Existence du défaut de conformité |
Mises à jour | Obligation de fourniture de toutes les mises à jour nécessaires au maintien de la conformité du bien. | Idem | Idem Pour la durée de fourniture prévue au contrat |
Délai de réparation ou de remplacement | Trente jours suivant sa demande, sans frais et sans inconvénient majeur pour lui. | Sans retard injustifié suivant sa demande, sans frais et sans inconvénient majeur pour lui. | Idem |
Prolongation de la garantie légale de conformité en cas de réparation | 6 mois en sus de la garantie initiale | N/A | N/A |
Prolongation de la garantie légale de conformité en cas de remplacement du bien imposé par le vendeur | Deux ans à compter de la date de remplacement du bien. | N/A | N/A |
Réduction du prix d’achat ou remboursement contre restitution si le professionnel : | 1° refuse de réparer / remplacer le bien; 2° La réparation ou le remplacement du bien intervient après un délai de 30 jours; 3° La réparation ou le remplacement du bien occasionne un inconvénient majeur pour le consommateur; 4° La non-conformité du bien persiste en dépit de la tentative de mise en conformité du vendeur. | N/A | N/A |
Réduction du prix d’achat sans restitution ou remboursement contre restitution intégrale si le professionnel : | N/A | 1° refuse de mettre l’élément numérique en conformité; 2° La mise en conformité est retardée de manière injustifiée; 3° La mise en conformité ne peut intervenir sans frais imposés au consommateur; 4° La mise en conformité occasionne un inconvénient majeur pour le consommateur; 5° La non-conformité persiste en dépit de la tentative de mise en conformité du professionnel. | Idem |
Réduction du prix d’achat ou remboursement immédiat contre restitution si le défaut de conformité est particulièrement grave ? | Oui Le consommateur n'est alors pas tenu de demander la réparation ou le remplacement du bien au préalable. | N/A | N/A |
Réduction du prix d’achat sans restitution ou remboursement immédiat contre restitution si le défaut de conformité est particulièrement grave ? | N/A | Oui Le consommateur n'est alors pas tenu de demander la réparation ou le remplacement du bien au préalable. | Idem |
Suspension de la durée de garantie | Pour toute période d'immobilisation du bien en vue de sa réparation ou de son remplacement. Jusqu'à la délivrance du bien remis en état. | En cas d’intervention, suspension pour la durée nécessaire à la fourniture d’un élément de nouveau conforme. | Idem |
Garantie des vices cachés | |||
Durée d’exercice | 2 ans à compter de la découverte du défaut. | Idem | Idem |
Indemnisation | Réduction de prix si le bien est conservé OU Remboursement intégral contre renonciation au bien. | Idem | Idem |
Par ailleurs, lorsque le contrat de vente du bien prévoit la fourniture d’éléments numériques de manière continue pendant une durée supérieure à deux ans, la garantie légale est applicable à ce contenu numérique ou ce service numérique tout au long de la période de fourniture prévue.
Enfin, tout vendeur qui fait obstacle de mauvaise foi à la mise en œuvre de la garantie légale de conformité encourt une amende civile d’un montant maximal de 300 000 euros, qui peut être porté jusqu’à 10 % du chiffre d’affaires moyen annuel.
Contrairement aux modèles précédents, cet encadré tient compte de la durée de fourniture des services et doit être adapté en conséquence.
Points restant à clarifier :
L’ordonnance n° 2021-1247 relative à la garantie légale de conformité a créé à la charge des professionnels une obligation d’information spécifique lorsque le consommateur fournit un avantage en contrepartie de la fourniture du contenu numérique, en complément ou en remplacement d’un prix.
Cette obligation impose au professionnel de détailler dans ses conditions générales la nature de l’avantage reçu en lieu et place du prix. Il doit notamment préciser dans des termes « clairs et compréhensibles, le modèle économique faisant apparaitre l’incidence pour lui de cet avantage sur ses revenus ou son bénéfice économique » (article R. 211-5 du Code de la consommation).
Le décret n’apporte cependant pas d’éléments spécifiques sur la nature des informations à communiquer.
S’agissant des données personnelles, il se limite à préciser que le professionnel qui conduirait un traitement de données personnelles dans le cadre de la fourniture de cet avantage est tenu d’expliciter dans ses conditions générales les modalités d’exploitation de ces données à des fins publicitaires ou commerciales.
Au vu du développement des modèles dits « gratuits » où la fourniture du service ou du contenu numérique n’entraine pas de contrepartie financière immédiate de la part du consommateur, la nature exacte des informations à communiquer aux consommateurs devra faire l’objet de la plus vive attention.
Source : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000045978303
- Published in blog, Nouvelles technologies
Leben Avocats est fier d’avoir été sélectionné par la EDHEC BUSINESS SCHOOL pour participer à l’élaboration de son référentiel de compétences du juriste augmenté 2.0.
Leben Avocats est fier d’avoir été sélectionné par la EDHEC BUSINESS SCHOOL pour participer à l’élaboration de son référentiel de compétences du juriste augmenté 2.0.
- Published in Nouvelles technologies
Leben-Avocats participe au lancement d’une nouvelle plateforme de Dropshipping
Leben-Avocats participe au lancement d’une nouvelle plateforme de Dropshipping
- Published in Nouvelles technologies
Leben Avocats participe au Virtual Games Meetup et présente les principaux dispositifs de la loi Avia
Leben Avocats participe au Virtual Games Meetup et présente les principaux dispositifs de la loi Avia
- Published in Nouvelles technologies
Nos avocats sont interviewés par l’IHED et cités dans le rapport de la 55eme session « Armement et économie de défense » autour du thème « Comment participer au développement de l’intelligence artificielle dans le cadre de l’innovation duale, au bénéfice de la Défense? De la révolution technologique à la révolution culturelle pour la Défense ».
- Published in Nouvelles technologies
Nos avocats interviennent dans la défense d’un éditeur d’antivirus contre un revendeur de clés d’activation. Près de 300.000 € de dommages et intérêts obtenus.
Nos avocats interviennent dans la défense d’un éditeur d’antivirus contre un revendeur de clés d’activation. Près de 300.000 € de dommages et intérêts obtenus.
- Published in Nouvelles technologies