Les fiches récentes

Référence complète: Frison-Roche, M.-A., Due Process et Droit de la Compliance sur les données personnelles: mêmes règles car un seul objectif (TUE, Ordonnance du 29 octobre 2020, Facebook Ireland Ltd c / C.E.) (Due process and Personal Data Compliance Law: same rules, one Goal (TEU, Order, October 29, 2020, Facebook Ireland Ltd v/ E.C.)), Newsletter MAFR - Law, Compliance, Regulation, 1er novembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Lire l'interview donné par ailleurs de Marie-Anne Frison-Roche dans Actu-juridiques à propos de cet arrêt

Résumé de la news: 

Dans le cadre d’une procédure ouverte au fond pour comportements anticoncurrentiels, la Commission européenne a entre le 13 mars et le 11 novembre 2019 a requis de Facebook par trois fois des communications d’informations, réitérées dans une décision de mai 2020. 

Facebook le conteste  en allégeant que les documents demandés contiendraient des informations sensibles à caractère très personnels qu’une transmission à la Commission rendrait accessible à un nombre trop élargi d’observateurs, alors que "the documents requested under the contested decision were identified on the basis of wideranging search terms, (...) there is strong likelihood that many of those documents will not be necessary for the purposes of the Commission’s investigation (les documents demandés au titre de la décision attaquée ayant été identifiés sur la base de termes de recherche plus larges (...), il existe une forte probabilité que nombre de ces documents ne soient pas nécessaires aux fins de l’enquête de la Commission (our translation))".

La contestation évoque donc la méconnaissance des principes de nécessité et de proportionnalité, mais aussi de garanties procédurales (due process), puisque ces éléments probatoires sont recueillis sans protection et utilisés par la suite. En outre, Facebook invoque ce qui serait la violation du droit au respect des données personnelles de ses employés dont les courriels sont transférés. 

La Cour rappelle l'office du juge en la matière qui est contraint notamment par la condition d'urgence pour adopter une mesure provisoire, admissible en outre que s'il y a un dommage imminent et irréversible. Elle souligne que les Autorités publiques d'une part bénéficient d'une présomption de légalité lorsqu'elles agissent et que d'autre part elles peuvent obtenir et utiliser des données à caractère personne dès l'instant que cela est nécessaire à leur fonction d'intérêt public. De nombreuses allégations du demandeur sont rejetées comme étant hypothétiques.

Mais la Cour analyse l'ensemble des principes évoqués au regard du cas très concret. Or,  en croisant l'ensemble des principes et droits en cause,  la Cour estime que la Commission européenne n'a pas respecté le principe de nécessité et de proportionnalité en ce qui concerne les données personnelles très sensibles des employés, ses demandes élargissant le cercle des informations sans nécessité et d'une façon disproportionnalité dès l'instant que l'information en cause est très sensible (comme la santé des employés, les opinions politiques des tiers, etc.).  

Il convient donc de distinguer parmi la masse des documents exigés, pour lesquels la même garantie doit être accordée dans une technique de communication que dans une technique d'inspection, ceux qui sont transférables sans précaution supplémentaire et ceux qui, en raison de leur nature de données personnelles très sensibles, doivent faire l'objet d'une "procédure alternative". 

Celle-ci va prendre la forme d'un examen des documents considérés par le demandeur comme très sensibles et qu'il communiquera sur un support électronique distinct, par les agents de la Commission européenne , que l'on ne peut soupçonner à priori de détourner la loi. Cet examen se déroulera dans une "data room virtuelle", en présence des avocats de Facebook. En cas de désaccord entre le demandeur et les enquêtes, le différent pourra être porté devant le directeur de l’information, de la communication et des médias de la DG Concurrence de la Commission européenne.

___

On peut tirer trois leçons de cette ordonnance :

1. Cette décision montre que le Droit processuel et le Droit de la Compliance ne sont pas en opposition,. L'on dit souvent que la Compliance garantit l'efficacité et le Droit processuel garantit les droits fondamentaux, la protection de l'un devant se traduire par la diminution de la garantie de l'autre. C'est faux. Comme le montre cette décision, à travers la notion-clé de protection des données personnelles sensibles (cœur du Droit de la Compliance) et le souci de la procédure (équivalence entre procédure de communication et d'inspection ; organisation contradictoire de l'examen des informations personnelles sensibles), l'on voit une nouvelle fois que les deux branches du Droit expriment le même souci ont le même objectif : protéger les personnes.
2. Le juge est apte à trouver immédiatement une solution opératoire, en proposant une « procédure alternative » axée autour du principe du contradictoire et conciliant les intérêts de la Commission et de Facebook a montré qu’elle était capable d’apporter des solutions alternatives à celles dont elle suspend l'exécution, solution adaptée à la situation et qui fait l'équilibre entre les intérêts des deux parties en présence. 
3. Le meilleur Ex Ante est celui qui anticipe l’Ex Post par la préconstitution des preuves. Ainsi l'entreprise doit être à même de démontrer ultérieurement le souci qu'elle a eu des droits des personnes, ici des employés, pour ne pas être entre dans la main des Autorités publiques de sanction. Cette culture probatoire en Ex Ante est requise non seulement des entreprises mais encore des Autorités publiques qui elles aussi doivent se justifier.  

__________

Référence complète: Frison-Roche, M.-A., Du Droit de la Concurrence au Droit de la Compliance : exemple de la décision de l'Autorité de la concurrence à propos de la centrale d'achat entre grands distributeurs (From Competition Law to Compliance Law: example of French Competition Authority decision on central purchasing body in Mass Distribution), Newsletter MAFR - Law, Compliance, Regulation, 27 octobre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

_____

Résumé de la news : Par sa décision du 22 octobre 2020, l'Autorité de la concurrence a accepté les engagements proposés par les entreprises de grande distribution Casino, Auchan, Metro et Schiever pour que soit admissible au regard des impératifs concurrentiels leur convention par laquelle un organe commun centralise des achats auprès de nombreux détaillants, permettant à chacun de proposer ces produits sous marque de distributeur. 

Dans ce cas précis, l'Autorité s'était auto-saisie en juillet 2018, estimant qu'une telle centrale d'achat pouvait endommager la concurrence, ouvrant immédiatement une large consultation sur les termes du contrat. En octobre 2018, la loi Egalim a permis à l'Autorité de prendre des mesures provisoires pour suspendre un tel contrat, ce que fit l'Autorité dès septembre. 

Les entreprises parties à la convention se sont engagées d'une part à modifier leur contrat en limitant l'emprise sur les fournisseurs, notamment les petits et les très petits, en excluant totalement du champ contractants certains types de produits, notamment alimentaires et en réduisant le pourcentage des volumes de produits achetés destinés à leur transformation en marque de distributeur. 

L'Autorité de la concurrence accepte cette proposition d'engagements, se félicite de la protection ainsi opérée des petits fournisseurs et note la similitude avec le contrat consistant une centrale d'achat entre Carrefour et Tesco, bientôt examiné. 

_____

L'on peut tirer trois leçons de cette décision innovante, qui pourra servir de modèle par la suite :

1. La technique du Droit de la Compliance permet à l'Autorité de concurrence de trouver une solution mesurée pour l'avenir.

• En effet, plutôt de sanctionner beaucoup plus tard par une simple amende ou d'anéantir le mécanisme performant de la centrale d'achat, l'Autorité obtient des modifications du contrat.
• Le contrat est structurel et les modifications obtenues sont elles aussi structurelles.
• Les engagements sont une techniques Ex Ante, imposées aux opérateurs, pour l'avenir, dans un équilibre entre la concurrence, la protection des opérateurs, des consommateurs et l'efficacité de la coordination entre opérateurs puissants. 
• La nomination d'un moniteur permet de construire l'avenir de la filière, grâce à la nature Ex Ante du Droit de la Compliance.

2. La "grande distribution" enfin régulée par les techniques de Compliance.

• Le "Droit de la distribution" a toujours eu du mal à trouver sa place, entre le Droit de la concurrence et le Droit des contrats, notamment parce qu'on ne peut la considérer comme un "secteur". 
• Le Conseil constitutionnel avait annulé un pouvoir d' "injonction structurelle" conféré à l'Autorité, car contraire à la liberté d'entreprendre et sans doute l'éthique des affaires ne suffit pas à l'équilibre de la filière.
• Par des engagements donnés en contrepartie d'un arrêt des poursuites appuyées sur des contrats structurants, c'est par le Droit de la Compliance que peut sortir enfin un Droit de la Régulation délivré de la condition de l'existence d'un secteur. 

3. La nature politique du Droit de la Compliance dans la "Grande Distribution".

• Comme pour l'espace digital, qui n'est pas un sector, le Droit de la Compliance peut directement imposer aux acteurs des impératifs qui leur sont étrangers.
• Dans l'espace digital, le souci de la lutte contre la Haine et la protection de la vie privée ; ici le souci des petits et très petits fournisseurs. 

___________

Voir en contrepoint la poursuite d'une procédure contentieuse contre Sony, dont les propositions d'engagements, faites après consultation publique, n'ont pas été jugées "satisfaisantes".

Pour aller plus loin, sur la question du Droit de la Compliance permettant par voie indirecte la réécriture par le Conseil d'un contrat structurant (liant une plateforme créée par l'Etat pour centraliser des données de santé avec une filiale d'entreprise américaine pour gérer celles-ci).

Comme les précédents cycles consacrés au thème général de la Compliance et visant à construire un "Droit de la Compliance", ayant vocation comme eux à être publiés dans la collection Régulations & Compliance, ce cycle appréhende un aspect particulier de cette branche du Droit en train de s'élaborer. Les "outils de la Compliance" ont fait l'objet du cycle précédent de colloques, bases aux ouvrages aujourd'hui publiés, ce nouveau cycle aborde un phénomène nouveau dans la Compliance : La juridictionnalisation  de la Compliance.

Il se déroulera en parallèle du cycle de colloques portant sur le thème : Les "Buts Monumentaux" de la Compliance. 

Il y eut toujours des juges et des avocats en Droit de la Compliance, notamment parce que celui-ci est le prolongement du Droit de la Régulation dans lequel ils ont pleine place. Cela résulte du fait que les décisions qui sont prises au titre de la Compliance sont contestables en justice, celles émises par l'entreprise, comme celles des États ou des Autorités. La nouveauté tient davantage dans le phénomène de "juridictionnalisation", c'est-à-dire que le modèle juridictionnel pénètre tout le Droit de la Compliance, et non pas seulement la part Ex Post que celui-ci comprend. Plus encore, il semble que cette juridictionnalisation influence la dimension pourtant non juridique de la Compliance. Ce mouvement a des effets qu'il faut mesurer et des causes qu'il faut comprendre. Des avantages et des inconvénients qu'il faut mettre en balance. Ne serait-ce que pour se former une opinion sur cette "juridictionnalisation de la Compliance": pour l'encourager, la combattre, l'infléchir peut-être ; en tout cas pour la comprendre. 

Ces divers colloques se tiendront dans plusieurs lieux, selon la part prise par les différentes structures universitaires qui  apportent leur concours au Journal of Regulation & Compliance (JoRC) pour la réalisation du cycle. Il en résultera deux ouvrages, l'un en langue française : La juridictionnalisation de la Compliance, l'autre en langue anglaise : Compliance Juridictionnalisation. 

Ce cycle de conférences La juridictionnalisation de la Compliance débutera en janvier 2021 et se prolongera jusqu'en novembre 2021.

📅 colloques singuliers :  La juridictionnalisation de la Compliance : Pourquoi ? Qui ? Comment ? Où ? Vers quoi ? , organisé par le JoRC sous la direction scientifique de Marie-Anne Frison-Roche : consulter des éléments d'information sur cette manifestation

📅 colloque du 31 mars 2021 :  Arbitrage et Compliance, co-organisé par le JoRC et l'Université Paris II, sous la direction scientifique par Marie-Anne Frison-Roche et Jean-Baptiste Racine : consulter des éléments d'information sur cette manifestation

📅 colloque du 23 juin 2021 : L'entreprise instituée Tribunal par le Droit de la Compliance, co-organisé par le JoRC et l'équipe de recherche Louis Josserand de l'Université Jean Moulin Lyon 3, sous la direction de Marie-Anne Frison-Roche et Jean-Christophe Roda : consulter des éléments d'information sur cette manifestation

📅 colloque du 23 septembre 2021 :  Quel rôle pour le juge dans le Droit de la Compliance ?, co-organisé par le JoRC et le CR2D de l'Université Paris-Dauphine, sous la direction scientifique de Marie-Anne Frison-Roche, Juliette Morel Morager et Sophie Schiller : consulter des éléments d'information sur cette manifestation

📅 colloque d'octobre 2021 :  Le Droit de la Compliance, creuset entre Droit processuel américain et Droit processuel, co-organisé par le JoRC et l'Université libre de Bruxelles, sous la direction scientifique d'Arnaud van Waeyenberge: consulter des éléments d'information sur cette manifestation

Les modalités techniques d'inscription sont spécifiques à chaque colloque. 

Le Journal of Regulation & Compliance (JoRC) remercie pour leur très précieuse  collaboration : 

🏫 L’École d’Affaires Publiques de Sciences Po,

🏫 Le Département d’Économie de Sciences Po,

🏫 L' École de Droit de l'Université Panthéon-Sorbonne (Paris I),

🏫 L’École doctorale de Droit privé de l'Université Panthéon-Assas (Paris 2),

🏫 La Faculté de droit et de sciences politiques de l'Université de Montpellier

🏫 Le Centre Perelman de l'Université Libre de Bruxelles,

🏫 Le GREDEG de l'Université de Nice,

🏫 La Fédération de recherche "L'Europe en mutation" de l'Université de Strasbourg

🏫 Le Centre Louis Josserand de la Faculté de Droit de Lyon III.

🏫 La Faculté de droit et de sciences politiques de l'Université de Toulouse-I-Capitole,

🏫 L'école de droit de l'Université de Clermont-Ferrand.

🏫 Le Centre de recherche Droit-Dauphine de l'Université Paris-Dauphine

🏫 L'École des hautes études commerciales de Paris (HEC Paris)

Le cycle est soutenu par :

• L'Ecole Nationale de la Magistrature (ENM)
• Le Conseil national des barreaux (CNB)
• La Chambre de Commerce et d'Industrie de Paris.
• L'Ecole de Formation du Barreau de Paris. 

L'assistance à ces manifestations peut être validée au titre de la formation continue.

Référence complète: Frison-Roche, M.-A., Conditions de validité d'un contrat de gestion des données de santé entre une plateforme de droit public français et un entreprise de gestion de données, filiale d'une entreprise américaine : decision du Conseil d'Etat (Conditions for the legality of a platform managed by an American company hosting European health data​: French Conseil d'Etat decision), Newsletter MAFR - Law, Compliance, Regulation, 19 octobre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

_____

Résumé de la news : Dans son ordonnance de référé du 13 octobre 2020, Conseil national du logiciel libre (décision dite Health Data Hub), le Conseil d'Etat a déterminé les règles de droit gouvernant la possibilité de conférer la gestion de données sensible sur une plateforme à une entreprise non-européenne, à travers le cas particulier de l'arrêté et du contrat par lequel la gestion de la plateforme centralisant des données de santé pour lutter contre l'épidémie de Covid-19 a été confiée à la filiale irlandaise d'une entreprise américaine, en l'espèce Microsoft.

Le Conseil d'Etat a utilisé à titre principal la jurisprudence de la CJUE, notamment l'arrêt du 16 juillet 2020, dit Schrems 2, à la lumière duquel il a interprété et le droit français et le contrat liant le GIP et    

Le Conseil d'Etat a conclu qu'il n'était pas possible de transférer ces données aux Etats-Unis, que le contrat ne pouvait que s'interpréter ainsi et que les modifications de l'arrêté et du contrat sécurisé cela. Mais il a observé que le risque d'obtention par les Autorités publiques américain demeurait.

Parce que l'ordre public exige le maintien de cette plateforme et qu'il n'existe pas pour l'instant d'autre solution technique, le Conseil d'Etat a maintenu le principe pour l''instant de sa gestion par Microsoft, le temps qu'un opérateur européen soit trouvé. Pendant ce temps le contrôle de la CNIL, dont les observations ont été prises en considération, sera opéré. 

L'on peut tirer trois leçons de cette décision de grande importante :

• Il existe un parfait continuum entre l'Ex Ante et l'Ex Post, puisque par un référé, le Conseil d'Etat est parvenu à obtenir un modification de l'arrêté, une modification des clauses contractuelles par Microsoft et des propos engageant du Ministre pour que, le plus vite possible, la plateforme soit gérée par un opérateur Européen. Ainsi, parce que c'est du Droit de la Compliance, le temps pertinent du juge est le futur. 

• Le Conseil d'Etat a mis la protection des personnes au cœur de tout le raisonnement, ce qui est conforme à la définition du Droit de la Compliance. Il a réussi à résoudre le dilemme : soit protéger les personnes grâce à la personne pour lutter contre le virus, soit protéger les personne en empêchant la centralisation des données et leur captation par les Autorités politiques américaines. Par une décision "politique", c'est-à-dire une action pour le futur, le Conseil a trouvé une solution d'attente pour protéger les personnes et contre la maladie et contre la dépossession de leurs données, en exigeant d'une solution européenne soit trouvée. 

• Le Conseil d'Etat a mis en exergue la Cour de Justice de l'Union européenne comme l'alpha et l'oméga du Droit de la Compliance. En n'interprétant le contrat passé entre un Groupement d'intérêt public français et une filiale irlandaise d'un groupe américain qu'au regard de la jurisprudence de la Cour de Justice de l'Union européenne, le Conseil d'Etat montre que l'Europe souveraine des données peut se construire. Et que les juridictions sont au centre de cela. 

___________

Lire l'interview donnée à propos de cette Ordonnance Health Data Hub. 

Pour aller plus loin, sur la question du Droit de la Compliance en matière de protection des données de santé, lire la news du 25 août 2020: The always in expansion "Right to be Forgotten"​: a legitimate Oxymore in Compliance Law built on Information. Example of​ Cancer Survivors Protection 

Comme les précédents cycles consacrés au thème général de la Compliance et visant à construire un "Droit de la Compliance", ayant vocation comme eux à être publiés dans la collection Régulations & Compliance, ce cycle appréhende un aspect particulier de cette branche du Droit en train de s'élaborer, qui s'est appliqué avant même d'avoir été conçu. Les mécanismes de Compliance ayant précédés la conceptualisation de cette façon de faire, les "outils de la Compliance" ayant fait l'objet du cycle de colloques précédent, ce nouveau cycle aborde ce qui caractérise la Compliance : Les buts monumentaux de la Compliance.

Il se déroulera en parallèle du cycle de colloques portant sur le thème de La juridictionnalisation de la Compliance. 

La notion de "buts monumentaux" a été proposée en 2016!footnote-139. Elle est centrale dans les mécanismes de Compliance en ce que ceux-ci ne peuvent prétendre contraindre et coûter à ceux dans lesquels ils sont insérés qu'en ce qu'ils tendent à concrétiser des buts dont la qualité substantielle est d'être "monumentaux". Cette notion n'allant pas de soi, devant être justifiée, détaillée, mise en perspective et illustrée concrètement, une série de colloques organisés par de nombreuses Universités lui est donc consacrée.

Ces diverses conférences se tiendront dans plusieurs lieux, selon la part prise par les différentes structures universitaires qui  apportent leur concours au Journal of Regulation & Compliance (JoRC) pour la réalisation du cycle. Il en résultera deux ouvrages, l'un en langue française : Les buts monumentaux de la Compliance, l'autre en langue anglaise : Monumental Goals of Compliance. 

Ce cycle de conférences Les buts monumentaux de la Compliance a débuté en avril 2021 et se prolongera jusqu'en novembre 2021.

📅 colloque du 17 mai 2021:  Normes publiques et Compliance en temps de crise : les buts monumentaux à l’épreuve, coorganisé par le Journal of Regulation & Compliance (JoRC) et la Faculté de Droit de l'Université de Montpellier, sous la direction scientifique de Marie-Anne Frison-Roche, Pascale Idoux, Antoine Oumedjkane et Adrien Tehrani: consulter des éléments d'information sur cette manifestation

📅 colloque pivot du 16 septembre 2021 , Radioscopie d'une notion : les "buts monumentaux" de la Compliance, coorganisé par le Journal of Regulation & Compliance (JoRC) et l'Université Versailles - Saint-Quentin, sous la direction scientifique des professeurs Christophe André, Marie-Anne Frison-Roche, Marie Malaurie et Benoît Petit  : consulter des éléments d'information sur cette manifestation

📅 colloque du 14 octobre 2021 :  Compliance et Proportionnalité , coorganisé par le Journal of Regulation & Compliance (JoRC) et l'IDETCOM de l'Université de Toulouse, sous la direction scientifique de Marie-Anne Frison-Roche et Lucien Rapp: consulter des éléments d'information sur cette manifestation

📅 colloque du 4 novembre 2021: Effectivité de la Compliance et compétitivité internationale, coorganisé par le Journal of Regulation & Compliance (JoRC) et le Centre de recherches en Economie et Droit de l'Université Paris II, sous la direction scientifique de Laurent Benzoni, Bruno Deffains et Marie-Anne Frison-Roche: consulter des éléments d'information sur cette manifestation

Les modalités techniques d'inscription varient et sont indiquées colloque par colloque.

Le Journal of Regulation & Compliance (JoRC) bénéficie de la collaboration de : 

🏫 L’École d’Affaires Publiques de Sciences Po,

🏫 Le Département d’Économie de Sciences Po,

🏫 L' École de Droit de l'Université Panthéon-Sorbonne (Paris I),

🏫 L’École doctorale de Droit privé de l'Université Panthéon-Assas (Paris 2),

🏫 La Faculté de droit et de sciences politiques de l'Université de Montpellier

🏫 Le Centre Perelman de l'Université Libre de Bruxelles,

🏫 Le GREDEG de l'Université de Nice,

🏫 La Fédération de recherche "L'Europe en mutation" de l'Université de Strasbourg

🏫 Le Centre Louis Josserand de la Faculté de Droit de Lyon III.

🏫 La Faculté de droit et de sciences politiques de l'Université Toulouse-I-Capitole,

🏫 L'école de Droit de l'Université de Clermont-Ferrand.

🏫 Le Centre de recherche Droit-Dauphine de l'Université Paris-Dauphine

🏫 L'École des hautes études commerciales de Paris (HEC Paris)