Paroles d’experts

Par un arrêt du 5 juillet 2012 (CJUE, Aff. C-49/11), la Cour de justice de l’Union européenne, saisie d’une question préjudicielle, a précisé le contenu de l’article 5§1 de la Directive 97/7/CE du Parlement européen et du Conseil concernant la protection des consommateurs en matière de contrats à distance.

Cet article énonce que le consommateur doit recevoir, par écrit ou sur un autre support durable à sa disposition et auquel il a accès, un certain nombre d’informations essentielles dont notamment l’existence (ou l’absence) d’un droit de rétractation (informations également énoncées à l’article article L121-19 du code de la consommation).

En l’espèce, ces informations étaient fournies sur le site à travers un lien hypertexte renvoyant aux conditions générales de vente.

Saisie d’une question préjudicielle par la Cour autrichienne, la Cour de justice, a porté son analyse sur deux points :

– Les termes employés par la directive impliquent qu’un comportement passif du consommateur suffise en ce sens qu’il doit « recevoir » les informations directement du professionnel. Le consommateur ne doit donc pas être tenu de cliquer sur un lien hypertexte pour avoir accès aux informations visées par la directive ;

– Un support est durable lorsqu’il permet aux consommateurs de stocker les informations qui lui ont été adressées personnellement, de les reproduire telles quelles, et leur garantit l’absence d’altération de leur contenu, ainsi que leur accessibilité pendant une durée appropriée.

La Cour de justice en a donc déduit que la pratique du professionnel ne satisfaisait pas aux exigences de l’article 5§1 de la directive 97/7/CE.

Cette décision de la CJUE devrait conduire de nombreux sites de vente à distance à vérifier voire à modifier les modalités de communications des conditions essentielles des offres proposées .

• la CNIL s’inquiète du développement du Cloud computing et recommande aux entreprises une plus grande vigilance

L’intérêt du transfert vers  » le nuage Internet  » de données et d’applications qui auparavant étaient situées sur les serveurs et ordinateurs des entreprises n’est plus à démontrer. Néanmoins, cette pratique pose inévitablement la question de la sécurité des données transférées ou encore de la loi applicable à celles-ci, d’autant plus que cette pratique concerne aujourd’hui tant les grandes entreprises que les PME et les TPE.

Les entreprises ayant recours au e-cloud sont-elles suffisamment informées ? Quelles sont les garanties fournies par les prestataires pour assurer la sécurité des données ? La CNIL s’est attachée à répondre aux multiples interrogations que pose le recours au cloud computing. Après avoir lancé une large consultation publique, la CNIL a publié sa recommandation du 25 juin 2012, qui couvre l’ensemble des approches techniques constituant aujourd’hui l’offre de marché  en matière de cloud computing.

Plus précisément, elle se décompose en 7 recommandations ainsi qu’un accompagnement des PME :

1. Identifier clairement les données et les traitements qui passeront dans le Cloud
2. Définir ses propres exigences de sécurité technique et juridique
3. Conduire une analyse de risques afin d’identifier les mesures de sécurité essentielles pour l’entreprise (risque de perte de gouvernance sur le traitement, de dépendance technologique, de failles multiples, de sécurisations de la destruction des données, du contrôle des chaînes de sous-traitants, notamment),
4. Identifier le type de Cloud pertinent pour le traitement envisagé,
5. Choisir un prestataire présentant des garanties suffisantes,
6. Revoir la politique de sécurité interne : la CNIL invite le client à tirer les enseignements des analyses de risques.
7. Surveiller les évolutions dans le temps : la CNIL invite les clients à rendre pérennes les règles de vigilance et les bonnes pratiques en cas de recours à des services de cloud computing.

La CNIL fournit également des modèles indicatifs de clauses contractuelles qui, en cas de contrôle, constitueront le baromètre du niveau de prudence mise en œuvre par le client ou des risques assumés. (Téléchargez le PDF)