Chaque semaine, nous vous parlerons d’une solution Namebay visant à sécuriser votre présence digitale : certificats SSL, Registry Lock, DnsSec et DNS Premium, protection de marques.
Cette semaine, nous allons vous expliquer pourquoi l’installation d’un certificat SSL est aujourd’hui indispensable pour votre site Internet.
Tout d’abord, un certificat SSL, qu’est-ce que c’est ?
Un certificat SSL est un protocole qui sécurise les données échangées entre un site web et l’internaute. Il est symbolisé par le S de httpS:// dans la barre de navigation et par le cadenas vert selon le certificat mis en place. Le certificat garantie l’identité du site web visité, la confidentialité et l’intégrité des données échangées.
David Lanteri, Chargé de Clientèle, spécialiste des questions techniques indique « Le certificat SSL assure aujourd’hui la sécurité des données des utilisateurs qui visitent votre site web. Avoir votre site en HTTPS a aussi un impact très important pour la réputation et la confiance accordée à votre site. De plus, les géants comme Google pénalisent le référencement des sites qui ne sont pas en HTTPS. »
Le certificat, indispensable ?
Aujourd’hui, ne pas avoir de certificat SSL sur son site est
synonyme de site non sécurisé.
En effet, les navigateurs dont Chrome, Mozilla, n’hésite pas à pointer du doigt
les sites n’ayant pas de certificat installé et les identifie comme « non
sécurisé ». Inutile de vous dire ce que ce type d’indication « en
rouge » peut provoquer chez l’internaute surfant sur votre site… Mozilla Firefox
n’hésite d’ailleurs même plus à remplacer votre page d’accueil par un message
d’alerte avant de pouvoir y accéder… Effet dissuasif garanti !
Quel que soit la taille de votre société, il est aujourd’hui crucial de protéger les échanges et données de vos clients. Les conséquences financières et répercussions en termes de discrédit sur votre marque peuvent être critiques à a vie de votre entreprise. De plus les certificats sont reconnus comme un facteur de référencement, diminuent le taux de rebond et ont un impact positif sur les taux de clic et conversion.
Mais là encore, n’importe quel certificat ne convient pas.
En effet, les certificats gratuits, type Let’s Encrypt, peuvent être la cible
des cybercriminels en raison de leur faible niveau de vérification à l’émission
(voir notre article du 7 avril 2017 sur le sujet).
Bien que Namebay vous permette d’avoir un certificat Let’s Encrypt gratuit sur
ses hébergements, nous recommandons aux professionnels d’investir dans un
certificat qui suscite d’avantage de confiance auprès de la communauté.
Quels sont les différents types de certificats ?
Il existe 3 types de certificats pour vos sites Internet :
David Lanteri aide au quotidien nos clients à choisir le
certificat qui correspond à leurs besoins :
« Le choix se base sur plusieurs critères que nous pouvons synthétiser en
3 points importants : Que dois-je sécuriser ? Dois-je sécuriser
plusieurs domaines ou sous-domaines ? Est-ce que je veux mettre en avant
la sécurité de mon site pour les clients ? » Les questions auxquelles il répond
régulièrement portent sur les différences entre les certificats, les niveaux de
sécurité et les processus de validation…
Namebay a choisi de s’associer à GlobalSign pour ses certificats. Acteur de renommée internationale, GlobalSign est reconnu pour la qualité de ses services d’authentification et le très faible de certificats frauduleux émis. GlobalSign nous permet de vous offirir une gamme complète de certificats. David ajoute : « Les certificats SSL se basent tous sur les mêmes algorithmes de hachage, le niveau de sécurité est donc le même. Namebay choisit Globalsign car il s’agit d’un partenaire historique et que ce dernier est aussi un acteur principal des certificats SSL (1er certificat émis en 1996) ce qui garantit une excellente qualité de service. »
Des questions ?
N’hésitez pas à nous contacter à l’adresse contact@namebay.com pour vos certificats SSL ou à consulter nos offres sur www.namebay.com/certificat-ssl
Fin mars 2018, la Commission Européenne a indiqué que les détenteurs de .EU établis au Royaume Uni ne rempliraient plus les conditions nécessaires à la détention d’un .EU lors de la sortie du Royaume Uni de l’Europe.
L’EURID, registre de l’extension, a présenté deux scénarios possibles sur sa page consacrée au Brexit.
Dans le cas où le Royaume Uni quitte l’Europe en version « no deal » le 30 mars prochain, les mesures suivantes seront appliquées :
Le scenario reste similaire mais les dates changent.
Vous êtes titulaire d’un nom de domaine .EU et vous résidez au Royaume Uni ? Anticipez !
Namebay peut vous fournir une présence locale afin de respecter les futurs règles d’attribution du .EU.
Pour toute information ou question, prenez contact avec notre Équipe d’experts noms de domaine : contact@namebay.com
Le .APP est l’extension idéale pour promouvoir les applications sur Internet : de jeux, news, éducatives, business etc…
Acquis par Google lors d’enchères en 2015 pour la somme record de 25 millions de dollars, le .APP est une extension qui a suscité un fort engouement de la part des internautes dès l’annonce de sa création.
Voici le calendrier d’ouverture de l’extension :
Vous souhaitez enregistrer votre .APP ?
Contactez-nous pour un enregistrement en période de Sunrise ou Early Access Period à l’adresse contact@namebay.com. Pour l’ouverture totale, rendez-vous sur Namebay.com pour effectuer votre demande d’enregistrement. Les demandes d’enregistrement seront soumises dès ouverture des différentes phases par le Registre.
Des questions ? Besoin de conseil ?
Notre Service Clients est à votre écoute à l’adresse contact@namebay.com
Le WIPO a diffusé un résumé de l’activité de propriété intellectuelle en se basant sur la dernière de statistiques complètes disponibles.
Ainsi, il est à noter que les dépôts de brevets et de marque augmentent pour la septième année consécutive, tandis que le design industriel et les modèles d’utilité sont en augmentation pour la seconde année consécutive.
Il existe en vigueur à ce jour :
L’office de propriété Asiatique est largement en tête dans le nombre de dépôts puisqu’il enregistre en pourcentage 64,6% des demandes de brevets mondiaux (voir illustration ci-dessous)
La Chine a notamment reçu plus de demandes de brevets que les 4 pays qui la suivent combinés (Etats-Unis, Japon, République de Corée et Office de brevets Européens) !
La Chine domine également le nombre de demandes de marques avec 37,9% des demandes, contre 5,6% pour les Etats-Unis, 4,6% pour le Japon, 3,8% pour l’Office de propriété intellectuelle de l’Union Européenne et 3,2% pour l’Inde. Ces cinq offices reçoivent plus de la moitié de toutes les demandes.
Les secteurs de l’industrie dans lesquelles les marques sont le plus demandées sont :
A noter que les Etats-Unis et l’Allemagne sont les plus gros utilisateurs du système de Madrid qui permet d’enregistrer sa marque dans plusieurs pays en une fois.
Au niveau des entreprises, c’est une entreprise Française qui a déposé le plus de marque : L’Oréal avec 150 marques en 2016.
Pour retrouver l’analyse complète du WIPO : http://www.wipo.int/publications/en/details.jsp?id=4246
L’Afnic, Registre du .FR, a publié le 30 janvier dernier une nouvelle étude qui dresse le panorama de l’évolution de l’extension .FR.
L’année aura été positive pour le .FR puisqu’il a crû de +5.2% en 2017 ! Cette croissance le replace à son niveau de 2014 et s’inscrit en rupture par rapport au ralentissement constaté de 2012 à 2016.
La croissance du .FR a été en ligne avec celle des 28 ccTLD de l’Union européenne (+5% en moyenne) qui renouent globalement avec une dynamique supérieure à celle des quatre dernières années.
Le .FR a crû plus vite que son marché local dont la hausse est de 3.2%. La part de marché du .FR a donc augmenté en 2017. Cette année a été assez exceptionnelle pour le .FR, en combinant un niveau élevé des créations à une chute des suppressions.
De plus, nous pouvons noter que la proportion de .FR signés au moyen de DNSSEC est passée de 4% en 2013 à 13% en 2017, soit un triplement en volume, de 103 000 noms à 411 000 noms. Cette progression spectaculaire et continue reste malgré tout encore modeste par rapport à celles d’autres registres européens, montrant que l’adoption de cette technique de sécurisation du DNS n’est toujours pas suffisamment déployée en France.
Namebay est bureau d’enregistrement accrédité par l’AFNIC depuis ses débuts. Vous pouvez enregistrer votre .FR directement sur www.namebay.com.
En mars 2018, il deviendra plus facile d’enregistrer un nom de domaine en .IE avec l’assouplissement des règles d’enregistrement par le Registre. En effet, il ne sera plus nécessaire de prouver son droit sur le nom de domaine. En revanche, les détenteurs de noms de domaine devront toujours prouver leur identité et leur lien avec l’Irlande.
Les litiges seront traités par le « IE Dispute Resolution Policy », en s’appuyant sur la charte de nommage du .IE et les conditions générales d’utilisation.
Vous pouvez enregistrer votre .IE sur www.namebay.com au prix de 62 € HT pour l’enregistrement et le renouvellement.
Une question ? Contactez-nous à l’adresse contact@namebay.com
Grâce à un plugin, synchronisez vos calendriers, contacts et tâches entre votre webmail et votre client de messagerie Outlook.
Ainsi, que vous utilisiez votre webmail ou votre client de messagerie Outlook, les informations seront synchronisés.
Cela fonctionne dans les 2 sens. Toute création ou modification depuis le Webmail sera répercuté dans votre Outlook et réciproquement.
Vous pouvez effectuer la synchronisation manuellement ou préciser un délai pour que celle-ci s’effectue régulièrement.
Vous pourrez également partager ces éléments entre collaborateurs. En effet, vous pourrez vous créer des calendriers, contacts et tâches communes !
Après 3 ans d’existence et plus de 20 500 adresses, le .PARIS change de site internet et rafraichit son logo.
Pour rappel, le .PARIS est ouvert à tous, sans condition !
Votre activité à un lien avec la ville de Paris et vous souhaitez le valoriser ?
Mettez Paris en avant pour vous différencier de vos concurrents.
Enregistrez votre .PARIS au tarif de 48 € HT/an sur www.namebay.com
Dans cet article de fond, Maître François Coupez et Maître David-Irving Tayer, du Cabinet ATIPIC Avocat, nous livrent leur analyse sur les implications du Règlement Général sur la Protection des Données ainsi que sur la problématique des bases Whois dans son application.
Le cabinet ATIPIC Avocat est dédié aux droits de l’IT/IP.
Cet article est en deux parties. La première présente le GDPR/RGPD dans ses grandes lignes afin de poser les bases de la discussion qui aura lieu dans la partie 2, GDPR vs. Whois.
GDPR, quatre lettres qui secouent le monde du droit des nouvelles technologies depuis quelques années déjà, mais qui sont maintenant reconnues bien au-delà, faisant trembler les Comex à la hauteur des conséquences de l’application de ce nouveau texte européen.
Le General Data Protection Regulation, ou Règlement Général sur la Protection des Données (RGPD en français), est un règlement européen[2] adopté le 27 avril 2016, mais dont la date d’entrée en application a été repoussée au 25 mai 2018 compte tenu de son impact sur la façon même dont les entreprises traitent les données à caractère personnel. Il remplace la directive 1995/46 du 24 octobre 1995 qui n’a pas réussi à prévoir un cadre véritablement unifié sur le sujet au sein des pays de l’Union européenne et qui n’était plus armée pour encadrer les nouvelles pratiques.
Commençons par quelques éléments de contexte concernant ce RGPD :
– il s’applique aux « données à caractère personnel », définies comme toute donnée permettant, directement ou indirectement, l’identification d’une personne physique. La notion est donc très large et vise des données que beaucoup ont considéré à tort comme non concernées (fichiers d’entreprises clientes à partir du moment où apparaissent les données des personnes physiques qui les représentent, annuaire interne, données de clients, données codées qui n’ont pas été irrémédiablement anonymisées, etc.) ;
– il s’applique à tout type de traitement de données (collecte, classement, stockage, etc.) sauf quelques rares exceptions, telles que les traitements réalisés par une personne physique dans le cadre d’une activité strictement personnelle ou domestique, ou ceux mis en œuvre à des fins de prévention et de détection des infractions pénales, au bénéfice d’enquêtes et de poursuites en la matière, ou de l’exécution de sanctions pénales. Surtout, il s’applique aux traitements papier comme aux traitements numériques, sans distinction ;
– contrairement à certains pays anglo-saxons comme les USA, le choix fait par le droit européen est de ne pas permettre la patrimonialisation des données. Le droit intègre ainsi la protection des données à caractère personnel dans le cadre des droits dits « de la personnalité », inhérents à chaque citoyen : par exemple, même si la personne concernée a donné son contentement (et obtenu une contrepartie !), il peut donc revenir à tout moment dessus, ou demander l’effacement des données à tout tiers amené à les traiter (et qui les aurait obtenues en achetant des bases de données par exemple).
Ce texte s’applique à un grand nombre d’entreprises dans le monde, bien plus que les seules entreprises européennes : il a justement été conçu dans ce but. Trois hypothèses sont ainsi couvertes, outre les cas classiques de traitement en Europe par une entreprise d’un pays de l’UE :
Le RGPD révolutionne en effet les relations avec les sous-traitants, en imposant une sévère mise à niveau de leur conformité avec obligation de résultat : si des données personnelles sont concernées, l’entreprise doit « uniquement » faire « appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée ». En résumé et comme le montrent d’autres articles du texte, les sous-traitants doivent respecter eux-mêmes le RGPD s’ils veulent continuer à faire du business avec leurs entreprises clientes, ce que doivent vérifier leurs entreprises clientes. De plus, ces prestataires deviennent directement responsables juridiquement de leur non-conformité vis-à-vis des régulateurs, alors que jusqu’à présent seul le responsable de traitement – c’est-à-dire leur client – pouvait l’être.
Mais la pression ne va pas que dans un sens : le sous-traitant doit lui-même s’inquiéter de la conformité RGPD de ses clients : « le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation du présent règlement »… Entreprise cliente et entreprise sous-traitante se contrôlent donc mutuellement pour faire progresser ensemble la conformité de la protection des données à caractère personnel.
D’abord parce que les sanctions ne sont plus anecdotiques, comme elles ont pu l’être en matière de protection des données à caractère personnel depuis près de 40 ans. Alors que la loi pour une République numérique[3] a multiplié par vingt l’année dernière les amendes administratives à la disposition de la CNIL (elles sont ainsi passées de 150 000 € à 3 millions €), le RGPD prévoit une augmentation jusqu’à 20 millions € ou « dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ».
De quoi intéresser pour une fois le Comex à la question de la protection des données à caractère personnel, alors que ce problème était en général relégué deux niveaux hiérarchiques en dessous, au minimum.
Surtout parce qu’une fois que le Comex s’intéresse à cette question, il se rend compte que la conformité à ce texte nécessitera pour beaucoup d’entreprises de repenser de fond en comble leur façon de concevoir la gestion de leurs données internes, quand ce n’est pas leur manière de faire du business.
Le RGPD prévoit tout d’abord d’abandonner le principe des formalités préalables aux traitements de données, pour le remplacer par la notion d’accountability, la conformité à tout moment du traitement qu’il va s’agir de prouver notamment du fait d’une traçabilité sans faille de tout ce qui est réalisé sur les données à caractère personnel collectées.
Il prévoit également la notion de Privacy by design imposant de concevoir la protection des données à caractère personnel dès l’origine de la conception d’un projet, d’un logiciel ou d’une fonctionnalité amenés à en traiter. Alliée avec un renforcement notable de l’information transmise aux personnes dont les données sont traitées (indication des informations classiques du type finalités, etc., mais également des destinataires, de la durée de conservation des données, etc.) et surtout avec un renforcement certain des droits de la personne concernée, les traitements deviennent nécessairement plus encadrés au sein de l’entreprise : le fait de prévoir la possibilité d’effacer les données à tout moment (droit à l’oubli) ou de prévoir dans certains cas la portabilité vers un autre fournisseur impose de penser ces processus dès l’origine.
Ce faisant, le RGPD impose la mise en place d’une cartographie non seulement des données à caractère personnel traitées dans l’entreprise, mais également des flux de ces données dans le système d’information élargi de l’entreprise (clients, partenaires, sous-traitants).
Pour y aider, le correspondant internet à la protection des données, appelé CIL en France, devient le Délégué à la Protection des Données (ou DPO) et sa nomination s’impose dans un plus grand nombre de cas (par exemple si le traitement est effectué par une autorité ou un organisme public, si les activités du responsable consistent en des traitements exigeant un suivi régulier et systématique des personnes concernées, etc.)
Si l’on pouvait croire que le Règlement allait imposer un droit unique au sein de tous les pays de l’Union européenne, ce n’est toutefois malheureusement pas le cas : pas moins de 57 domaines (sur les 99 articles que comptent le RGPD) peuvent donner lieu à des règles locales spécifiques, telles que les données liées aux ressources humaines, le traitement de données de mineurs entre 13 et 16 ans, le traitement de données génétiques, biométriques ou de santé, ou encore les systèmes de profilage : il va donc être très intéressant de suivre les différentes propositions de loi locales en cours d’apparition (projet allemand, projet belge, projet français, etc.) pour « transposer » ces nouvelles règles dans le cadre local existant[4] afin d’avoir une vision plus claire du droit/des droits applicable(s) sur le sujet dans les pays européens.
Par ailleurs, dans un grand nombre de cas (profilage, traitement à grande échelle de données sensibles, contrôle des salariés, etc.) le RGPD conduit à imposer à l’entreprise la mise en place d’Études d’impact sur la Vie Privée (ou Privacy Impact Assessments). Ces EIVP/PIA sont des analyses de risques qui ne s’intéressent pas aux risques pour l’entreprise si un tiers accède illicitement aux données, les détruit, etc., mais bien aux risques pour les personnes concernées… et aux solutions palliatives que l’entreprise doit mettre en œuvre.
Insistant sur la sécurité des traitements de données mis en œuvre, il impose la notification de toute atteinte à la confidentialité, mais également à l’intégrité ou encore à la disponibilité des données à caractère personnel traitées, qu’elles le soient sous forme papier ou numérique (c’est ce qu’il appelle « violation de données »). Cette notification se fait à la CNIL sous 72 heures, mais aussi auprès des personnes concernées si la violation de données a entraîné un risque élevé pour celles-ci.
Le RGPD rend tout d’abord possible la prise en compte de la protection des données à caractère personnel et la conformité des traitements les plus actuels tels que le Big Data, ce qui était très difficile avec l’ancienne réglementation.
Surtout :
– il donne un nouvel espoir aux citoyens en leur accordant un véritable empowerment sur leurs données à caractère personnel, grâce à l’information poussée qu’il impose et au consentement qu’il généralise ;
– il les guide vers les sociétés de confiance, en permettant d’une part aux entreprises vertueuses de bénéficier de labels européens sur le sujet, et obligeant d’autre part les entreprises ayant souffert de violations de données à le notifier. Le marché risque donc de s’autoréguler très vite en forçant les acteurs mêmes les plus récalcitrants à se mettre en conformité ;
– il impose une mise en conformité de tous les acteurs de la chaîne, par la responsabilisation des sous-traitants, puisque les sous-traitants qui ne seraient pas en conformité seront de facto exclus des marchés.
Cerise sur le gâteau : la cartographie précise des données traitées par l’entreprise que va entraîner la mise en conformité est un travail long et coûteux, mais nécessaire à tous points de vue et reporté depuis la nuit des temps au sein de la plupart des entreprises. Donnant une vision très précise du patrimoine informationnel de l’entreprise, elle permettra :
– d’optimiser sa protection à l’encontre des pirates comme des concurrents ;
– et surtout de maximiser l’exploitation des données client !
Certains espèrent encore, au vu de l’immensité des travaux restants à accomplir au sein de leur entreprise, que l’application du texte sera repoussée de quelques années. Le report est théoriquement imaginable, mais croire que cela exonérerait de tous risques pendant encore quelques années est une folie dont il convient de se prémunir : si le report de l’application des nouveaux droits (portabilité, etc.) peut en effet faciliter leur mise en œuvre, les règles de base prévues par le RGPD existent en droit français depuis presque… 40 ans (6 janvier 1978). Croire que les régulateurs tels que la CNIL ne sanctionneront pas des manquements à la transparence des traitements ou aux finalités par exemple est tout simplement illusoire.
Un registrar ou bureau d’enregistrement s’engage contractuellement vis-à-vis de l’ICANN[5] à tenir à jour une base de données dite « Whois » qui comporte diverses informations techniques, mais surtout des informations à caractère personnel relatives notamment aux titulaires de noms de domaines, tels que nom, prénom, adresses postale et électronique, ainsi que numéro de téléphone, ce qui permet à n’importe qui de les identifier. La loi française reconnaît d’ailleurs explicitement le rôle de « responsable de traitements » qu’endossent ces registrar au sens de la loi applicable[6].
Le service Whois, qui remonte à 1982, a au fil du temps pris une signification (voire une nécessité) toute particulière : il permet de faciliter la lutte contre de nombreux dommages en communiquant le point de contact auprès de qui il convient d’agir. On pense bien sûr aux titulaires de droits (auteurs, titulaires de marques, sociétés dont le nom commercial a été détourné, etc.), victimes des atteintes, qui peuvent ainsi agir, mais ce peut également être une autorité judiciaire, un groupement qui lutte contre le spam, etc.
L’arrivée du RGPD semble pourtant jeter un pavé dans la mare et troubler les bureaux d’enregistrement. Cette base de données à caractère personnel, librement accessible sur Internet, est en effet une cible de choix pour la réflexion plus globale sur l’application de ce texte. Si le fondement du traitement des données nous apparaît licite au sens de l’art. 6.1 du RGPD), des questions se posent, concernant notamment :
– l’information des personnes sujettes au traitement de données ;
– le rôle exact des chacun des acteurs concernés (responsable de traitements ? Coresponsable ? sous-traitant ?) ;
– les transferts s’opérant hors de l’Union européenne, le Whois étant accessible mondialement ;
– ou encore la durée de conservation des données.
Précisons tout d’abord un point important : que ces données soient en libre accès n’autorise en rien des sociétés à les traiter pour d’autres finalités, notamment commerciales. La publication d’une donnée à caractère personnel ne signifie pas qu’elle soit « disponible pour tout pillage » ou « libre de tout droit ». La décision de sanction de la CNIL dans l’affaire « pages jaunes », confirmée par le Conseil d’Etat le 12 mars 2014[7], l’a montré avec suffisamment de force, en rappelant que faute de « consentement explicite et éclairé des intéressés » la réutilisation de données publiées par eux était constitutive d’une « collecte déloyale et illicite. ». Le Conseil d’Etat a ainsi rappelé que la CNIL pouvait parfaitement sanctionner ce manquement… auparavant d’une amende maximale de 150 000 €, aujourd’hui de 3 millions €, et à partir du 25 mai 2018 jusqu’à 4 % du chiffre d’affaires !
Toutefois, poursuivant ses efforts à limiter la diffusion de telles informations, la CNIL a demandé par courrier à l’AFNIC le 6 avril 2006 de systématiquement protéger les coordonnées des personnes physiques demandeurs à l’enregistrement d’un nom de domaine (il existe une procédure particulière de « levée d’anonymat »). Cela est comparable à ce que la CNIL avait fait quelques années auparavant via une délibération spécifique[8] concernant l’anonymisation des décisions de justice : sans motif légitime de protection des tiers, c’est la légitime protection des personnes physiques parties ou témoins au procès citées dans ces décisions et la volonté́ de prévenir la constitution de véritables fichiers de renseignement sur les personnes citées dans des décisions de justice qui prédominent.
La question pourrait à ce titre être posée de l’équilibre des droits institués à l’époque par la CNIL : ainsi, concernant les données à caractère personnel contenues dans le RCS cette fois-ci, la Cour de Justice de l’Union Européenne a mis en balance de façon différente la protection des associés d’une société et celle des tiers dans le cadre du droit des sociétés. Dans cette décision du 9 mars 2017, la CJUE a pris en compte l’importance pour les tiers justement de connaître les informations concernant les personnes physiques dirigeantes des entreprises. Pour elle, à ce titre, non seulement la publication de ces données n’a pas à être remise en cause, mais surtout le (nouveau) droit à l’oubli serait très limité, car il ne s’appliquerait pas aux données à caractère personnel contenues dans le RCS, sauf disposition légale nationale qui prévoirait que les personnes physiques « peuvent demander à l’autorité chargée de la tenue du registre de vérifier, sur la base d’une appréciation au cas par cas, s’il est exceptionnellement justifié, pour des raisons prépondérantes et légitimes tenant à leur situation particulière, de limiter, à l’expiration d’un délai suffisamment long après la dissolution de la société concernée, l’accès aux données à caractère personnel les concernant, inscrites dans ce registre, aux tiers justifiant d’un intérêt spécifique à la consultation de ces données. »[9]
Il n’en reste pas moins que la profusion des informations publiées et leur exploitation illicite (cf. ci-dessus) a conduit un certain nombre d’offices étrangers à suivre l’exemple français et à proposer des procédures permettant l’anonymisation, ou en tout cas la pseudonymisation comme dirait le RGPD. Car en effet, la possibilité de pouvoir toujours revenir aux données à caractère personnel originelles disqualifie la notion d’anonymisation, qui nécessite qu’il n’y ait aucun retour possible. Les données pseudonymes sont donc des données à caractère personnel et sont protégées par le, RGPD.
Ces offices ont pu agir sur ce terrain, car ils sont en charge d’extensions nationales, et ne sont liés à l’ICANN que par un simple engagement de reconnaissance mutuelle. Pour tous les autres acteurs, les contrats ICANN empêchent encore à notre connaissance une telle pseudonymisation aussi aboutie.
La base Whois, dont l’opposition au principe même de « privacy by design » est si ostensible, pourrait dès lors vivre ses derniers mois en l’état.
Même si l’ICANN tient à faire appliquer ses règles contractuelles, c’est le RGPD qui, comme dans beaucoup d’autres domaines (contrats avec les prestataires de cloud, etc.), risque de faire bouger les lignes. En effet, avec le principe de coresponsabilité des traitements, un opérateur économique qui imposerait à un autre acteur de collecter des données et de les traiter d’une certaine manière (empêchant une pseudonymisation efficace) pourrait peut-être, même sur ce seul fondement, être considéré comme fixant les « finalités et moyens » du traitement et donc être directement responsable des manquements constatés. Notons à ce titre que si la sanction par le chiffre d’affaires n’apparaît pas possible, la seconde option proposée par le RGPD est une sanction de 20 millions € au maximum. Comme on l’a vu, le fait d’être un opérateur étranger ne permet en rien d’échapper à l’application du texte.
Un argument susceptible, d’ici mai 2018, de rouvrir le débat sur les modifications contractuelles nécessaires, mais également de régler la question de l’information claire, complète et transparente des personnes, ou encore de la durée de conservation ?
Pour conclure, le RGPD est une avancée pour la protection des données à caractère personnel et ne doit pas nécessairement être vu comme un frein au développement des activités sur Internet, au contraire.
Il ne doit pas non plus être perçu comme mettant en risque une entreprise et notamment un bureau d’enregistrement, sous réserve bien entendu que les bonnes pratiques soient mises en place et que les évolutions souhaitées puissent se faire dans le bon sens, de la même façon que les contrats proposés par des prestataires de cloud ont pu évoluer parfois de façon drastique ces derniers mois pour permettre à leurs clients entreprises de s’acheminer vers une conformité complète au RGPD.
À ce sujet d’ailleurs, même si les bureaux d’enregistrement ont le regard attiré vers la problématique du Whois, il convient de garder en tête que la conformité RGPD est une trajectoire globale, tous les traitements (RH, clients, prospects, etc.) et tous les prestataires de l’entreprise traitant des données à caractère personnel devant être scrutés : l’arbre, fût-il immense, ne doit pas cacher la forêt…
Par François Coupez,
Avocat à la Cour,
Associé du cabinet ATIPIC Avocat,
Titulaire du certificat de spécialisation en droit des nouvelles technologies
Chargé d’enseignement à l’Université Paris II Panthéon-Assas, au CELSA et à l’Institut Léonard de Vinci
Et
David-Irving Tayer
Avocat à la Cour,
Associé du cabinet ATIPIC Avocat,
Membre de l’IPC de l’ICANN
Chargé d’enseignement à l’EDC Paris business School, au CELSA et à l’Institut Léonard de Vinci
[1] Le lecteur avisé aura reconnu la phrase amicale d’introduction des Borgs issus de l’univers Star Trek
[2] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).
[3] Loi n° 2016-1321 du 7 octobre 2016 pour une République numérique
https://www.legifrance.gouv.fr/affichTexte.do;jsessionid=5D7EBC2C90DE02921F7E0477F9B13A6C.tplgfr33s_3?cidTexte=JORFTEXT000033202746&categorieLien=id
[4] Juridiquement, le règlement européen s’impose tel que et annule et remplace toute règle contraire dès sa mise en application. Il n’a donc pas besoin d’être transposé en droit local comme une directive. Mais les législateurs locaux ont déjà prévu d’ajouter des règles dans les domaines que le règlement ne couvre pas (ex : les données à caractère personnel des personnes décédées en France depuis la loi pour une République numérique) et en même temps de conserver leur loi locale pour des raisons de référence historique. C’est le cas de loi du 6 janvier 1978 en France dont la référence subsistera même si son contenu changera de façon assez importante.
[5] Internet Corporation for Assigned Names and Numbers, Association à but non lucratif de droit américain qui, sous contrat, assure la gestion de la racine de l’internet et la délégation des extensions.
[6] Article L. 45-5 du Code des Postes et Communications Electroniques (CPCE) : « Ils collectent les données nécessaires à l’identification des personnes physiques ou morales titulaires de noms et sont responsables du traitement de ces données au regard de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ».
[7] https://www.legalis.net/actualite/les-pages-jaunes-le-conseil-detat-valide-la-sanction-de-la-cnil/
[8] Cf. Délibération n°01-057 du 29 novembre 2001 portant Recommandation de la Commission nationale de l’informatique et des libertés du 29 novembre 2001 sur la diffusion de données personnelles sur Internet par les banques de données de jurisprudence.
[9] https://www.legalis.net/actualite/pas-de-droit-a-loubli-pour-des-donnees-personnelles-dans-un-registre-des-societes