Newsletter MAFR - Law, Compliance, Regulation [28]

Référence complète: Frison-Roche, M.-A., Nouveau rapport de la SEC au Congrès à propos de son programme concernant les lanceurs d'alerte: ce qui est commun entre les conceptions américaine et européenne (New SEC Report to Congress about Whistleblower Program: what is common between American and European conception), Newsletter MAFR - Law, Compliance, Regulation, 1er décembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news

Comme chaque année depuis l'adoption de la loi Dodd-Frank, la SEC (Securities and Exchange Commission) et principalement son "bureau des lanceurs d'alerte" (OWB) a remis au Congrès des Etats-Unis un rapport traitant du succès de son programme concernant les lanceurs d'alerte, principalement estimé à partir de l'ampleur des récompenses financières accordées à ceux-ci au cours de l'année. Ce rapport fait notamment état du montant record versé aux lanceurs d'alerte, de la qualité de l'information récoltée grâce à cela et de l'efficacité de la SEC dans la protection des lanceurs d'alerte. 

Si les américains conditionnent l'efficacité du mécanisme de lanceurs d'alerte à la rémunération de ceux-ci, les européens opposent la figure du "lanceur d'alerte éthique" qui partage des informations par simple amour du droit à celle du "chasseur de primes", uniquement motivé par l'appât du gain financier et privilégient la première, comme peuvent le montrer la loi française Sapin II de 2016 (qui ne propose aucune rétribution financière aux lanceurs d'alerte) ou le Public Interest Disclosure britannique de 1998 (qui admet simplement une compensation financière des pertes liées au lancement de l'alerte).

Cependant, les conceptions américaines et européennes ne sont pas si éloignées. Comme les Etats-Unis, l'Europe a un profond souci pour l'effectivité juridique, bien que, du fait de leurs traditions juridiques différentes, les américains favorisent l'effectivité des droits tandis que les européens privilégient l'effectivité du droit. Si elle place l'effectivité au centre de ses préoccupations, l'Europe devrait donc concevoir avec de moins en moins d'aversion la possibilité d'inciter financièrement les lanceurs d'alerte. D'autre part, les Etats-Unis et l'Europe partagent la volonté commune de protéger aux mieux les lanceurs d'alerte et si la rétribution monétaire devait permettre une meilleure protection, alors l'Europe ne devrait donc pas s'en priver, comme le montrent les récentes déclarations du Défenseur des droits français. Il n'est donc pas exclu que les deux systèmes convergent dans un futur proche. 

Référence complète: Frison-Roche, M.-A., Due Process et Droit de la Compliance sur les données personnelles: mêmes règles car un seul objectif (TUE, Ordonnance du 29 octobre 2020, Facebook Ireland Ltd c / C.E.) (Due process and Personal Data Compliance Law: same rules, one Goal (TEU, Order, October 29, 2020, Facebook Ireland Ltd v/ E.C.)), Newsletter MAFR - Law, Compliance, Regulation, 1er novembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Lire l'interview donné par ailleurs de Marie-Anne Frison-Roche dans Actu-juridiques à propos de cet arrêt

Résumé de la news: 

Dans le cadre d’une procédure ouverte au fond pour comportements anticoncurrentiels, la Commission européenne a entre le 13 mars et le 11 novembre 2019 a requis de Facebook par trois fois des communications d’informations, réitérées dans une décision de mai 2020. 

Facebook le conteste  en allégeant que les documents demandés contiendraient des informations sensibles à caractère très personnels qu’une transmission à la Commission rendrait accessible à un nombre trop élargi d’observateurs, alors que "the documents requested under the contested decision were identified on the basis of wideranging search terms, (...) there is strong likelihood that many of those documents will not be necessary for the purposes of the Commission’s investigation (les documents demandés au titre de la décision attaquée ayant été identifiés sur la base de termes de recherche plus larges (...), il existe une forte probabilité que nombre de ces documents ne soient pas nécessaires aux fins de l’enquête de la Commission (our translation))".

La contestation évoque donc la méconnaissance des principes de nécessité et de proportionnalité, mais aussi de garanties procédurales (due process), puisque ces éléments probatoires sont recueillis sans protection et utilisés par la suite. En outre, Facebook invoque ce qui serait la violation du droit au respect des données personnelles de ses employés dont les courriels sont transférés. 

La Cour rappelle l'office du juge en la matière qui est contraint notamment par la condition d'urgence pour adopter une mesure provisoire, admissible en outre que s'il y a un dommage imminent et irréversible. Elle souligne que les Autorités publiques d'une part bénéficient d'une présomption de légalité lorsqu'elles agissent et que d'autre part elles peuvent obtenir et utiliser des données à caractère personne dès l'instant que cela est nécessaire à leur fonction d'intérêt public. De nombreuses allégations du demandeur sont rejetées comme étant hypothétiques.

Mais la Cour analyse l'ensemble des principes évoqués au regard du cas très concret. Or,  en croisant l'ensemble des principes et droits en cause,  la Cour estime que la Commission européenne n'a pas respecté le principe de nécessité et de proportionnalité en ce qui concerne les données personnelles très sensibles des employés, ses demandes élargissant le cercle des informations sans nécessité et d'une façon disproportionnalité dès l'instant que l'information en cause est très sensible (comme la santé des employés, les opinions politiques des tiers, etc.).  

Il convient donc de distinguer parmi la masse des documents exigés, pour lesquels la même garantie doit être accordée dans une technique de communication que dans une technique d'inspection, ceux qui sont transférables sans précaution supplémentaire et ceux qui, en raison de leur nature de données personnelles très sensibles, doivent faire l'objet d'une "procédure alternative". 

Celle-ci va prendre la forme d'un examen des documents considérés par le demandeur comme très sensibles et qu'il communiquera sur un support électronique distinct, par les agents de la Commission européenne , que l'on ne peut soupçonner à priori de détourner la loi. Cet examen se déroulera dans une "data room virtuelle", en présence des avocats de Facebook. En cas de désaccord entre le demandeur et les enquêtes, le différent pourra être porté devant le directeur de l’information, de la communication et des médias de la DG Concurrence de la Commission européenne.

___

On peut tirer trois leçons de cette ordonnance :

1. Cette décision montre que le Droit processuel et le Droit de la Compliance ne sont pas en opposition,. L'on dit souvent que la Compliance garantit l'efficacité et le Droit processuel garantit les droits fondamentaux, la protection de l'un devant se traduire par la diminution de la garantie de l'autre. C'est faux. Comme le montre cette décision, à travers la notion-clé de protection des données personnelles sensibles (cœur du Droit de la Compliance) et le souci de la procédure (équivalence entre procédure de communication et d'inspection ; organisation contradictoire de l'examen des informations personnelles sensibles), l'on voit une nouvelle fois que les deux branches du Droit expriment le même souci ont le même objectif : protéger les personnes.
2. Le juge est apte à trouver immédiatement une solution opératoire, en proposant une « procédure alternative » axée autour du principe du contradictoire et conciliant les intérêts de la Commission et de Facebook a montré qu’elle était capable d’apporter des solutions alternatives à celles dont elle suspend l'exécution, solution adaptée à la situation et qui fait l'équilibre entre les intérêts des deux parties en présence. 
3. Le meilleur Ex Ante est celui qui anticipe l’Ex Post par la préconstitution des preuves. Ainsi l'entreprise doit être à même de démontrer ultérieurement le souci qu'elle a eu des droits des personnes, ici des employés, pour ne pas être entre dans la main des Autorités publiques de sanction. Cette culture probatoire en Ex Ante est requise non seulement des entreprises mais encore des Autorités publiques qui elles aussi doivent se justifier.  

__________

Référence complète: Frison-Roche, M.-A., Du Droit de la Concurrence au Droit de la Compliance : exemple de la décision de l'Autorité de la concurrence à propos de la centrale d'achat entre grands distributeurs (From Competition Law to Compliance Law: example of French Competition Authority decision on central purchasing body in Mass Distribution), Newsletter MAFR - Law, Compliance, Regulation, 27 octobre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

_____

Résumé de la news : Par sa décision du 22 octobre 2020, l'Autorité de la concurrence a accepté les engagements proposés par les entreprises de grande distribution Casino, Auchan, Metro et Schiever pour que soit admissible au regard des impératifs concurrentiels leur convention par laquelle un organe commun centralise des achats auprès de nombreux détaillants, permettant à chacun de proposer ces produits sous marque de distributeur. 

Dans ce cas précis, l'Autorité s'était auto-saisie en juillet 2018, estimant qu'une telle centrale d'achat pouvait endommager la concurrence, ouvrant immédiatement une large consultation sur les termes du contrat. En octobre 2018, la loi Egalim a permis à l'Autorité de prendre des mesures provisoires pour suspendre un tel contrat, ce que fit l'Autorité dès septembre. 

Les entreprises parties à la convention se sont engagées d'une part à modifier leur contrat en limitant l'emprise sur les fournisseurs, notamment les petits et les très petits, en excluant totalement du champ contractants certains types de produits, notamment alimentaires et en réduisant le pourcentage des volumes de produits achetés destinés à leur transformation en marque de distributeur. 

L'Autorité de la concurrence accepte cette proposition d'engagements, se félicite de la protection ainsi opérée des petits fournisseurs et note la similitude avec le contrat consistant une centrale d'achat entre Carrefour et Tesco, bientôt examiné. 

_____

L'on peut tirer trois leçons de cette décision innovante, qui pourra servir de modèle par la suite :

1. La technique du Droit de la Compliance permet à l'Autorité de concurrence de trouver une solution mesurée pour l'avenir.

• En effet, plutôt de sanctionner beaucoup plus tard par une simple amende ou d'anéantir le mécanisme performant de la centrale d'achat, l'Autorité obtient des modifications du contrat.
• Le contrat est structurel et les modifications obtenues sont elles aussi structurelles.
• Les engagements sont une techniques Ex Ante, imposées aux opérateurs, pour l'avenir, dans un équilibre entre la concurrence, la protection des opérateurs, des consommateurs et l'efficacité de la coordination entre opérateurs puissants. 
• La nomination d'un moniteur permet de construire l'avenir de la filière, grâce à la nature Ex Ante du Droit de la Compliance.

2. La "grande distribution" enfin régulée par les techniques de Compliance.

• Le "Droit de la distribution" a toujours eu du mal à trouver sa place, entre le Droit de la concurrence et le Droit des contrats, notamment parce qu'on ne peut la considérer comme un "secteur". 
• Le Conseil constitutionnel avait annulé un pouvoir d' "injonction structurelle" conféré à l'Autorité, car contraire à la liberté d'entreprendre et sans doute l'éthique des affaires ne suffit pas à l'équilibre de la filière.
• Par des engagements donnés en contrepartie d'un arrêt des poursuites appuyées sur des contrats structurants, c'est par le Droit de la Compliance que peut sortir enfin un Droit de la Régulation délivré de la condition de l'existence d'un secteur. 

3. La nature politique du Droit de la Compliance dans la "Grande Distribution".

• Comme pour l'espace digital, qui n'est pas un sector, le Droit de la Compliance peut directement imposer aux acteurs des impératifs qui leur sont étrangers.
• Dans l'espace digital, le souci de la lutte contre la Haine et la protection de la vie privée ; ici le souci des petits et très petits fournisseurs. 

___________

Voir en contrepoint la poursuite d'une procédure contentieuse contre Sony, dont les propositions d'engagements, faites après consultation publique, n'ont pas été jugées "satisfaisantes".

Pour aller plus loin, sur la question du Droit de la Compliance permettant par voie indirecte la réécriture par le Conseil d'un contrat structurant (liant une plateforme créée par l'Etat pour centraliser des données de santé avec une filiale d'entreprise américaine pour gérer celles-ci).

Référence complète: Frison-Roche, M.-A., Conditions de validité d'un contrat de gestion des données de santé entre une plateforme de droit public français et un entreprise de gestion de données, filiale d'une entreprise américaine : decision du Conseil d'Etat (Conditions for the legality of a platform managed by an American company hosting European health data​: French Conseil d'Etat decision), Newsletter MAFR - Law, Compliance, Regulation, 19 octobre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

_____

Résumé de la news : Dans son ordonnance de référé du 13 octobre 2020, Conseil national du logiciel libre (décision dite Health Data Hub), le Conseil d'Etat a déterminé les règles de droit gouvernant la possibilité de conférer la gestion de données sensible sur une plateforme à une entreprise non-européenne, à travers le cas particulier de l'arrêté et du contrat par lequel la gestion de la plateforme centralisant des données de santé pour lutter contre l'épidémie de Covid-19 a été confiée à la filiale irlandaise d'une entreprise américaine, en l'espèce Microsoft.

Le Conseil d'Etat a utilisé à titre principal la jurisprudence de la CJUE, notamment l'arrêt du 16 juillet 2020, dit Schrems 2, à la lumière duquel il a interprété et le droit français et le contrat liant le GIP et    

Le Conseil d'Etat a conclu qu'il n'était pas possible de transférer ces données aux Etats-Unis, que le contrat ne pouvait que s'interpréter ainsi et que les modifications de l'arrêté et du contrat sécurisé cela. Mais il a observé que le risque d'obtention par les Autorités publiques américain demeurait.

Parce que l'ordre public exige le maintien de cette plateforme et qu'il n'existe pas pour l'instant d'autre solution technique, le Conseil d'Etat a maintenu le principe pour l''instant de sa gestion par Microsoft, le temps qu'un opérateur européen soit trouvé. Pendant ce temps le contrôle de la CNIL, dont les observations ont été prises en considération, sera opéré. 

L'on peut tirer trois leçons de cette décision de grande importante :

• Il existe un parfait continuum entre l'Ex Ante et l'Ex Post, puisque par un référé, le Conseil d'Etat est parvenu à obtenir un modification de l'arrêté, une modification des clauses contractuelles par Microsoft et des propos engageant du Ministre pour que, le plus vite possible, la plateforme soit gérée par un opérateur Européen. Ainsi, parce que c'est du Droit de la Compliance, le temps pertinent du juge est le futur. 

• Le Conseil d'Etat a mis la protection des personnes au cœur de tout le raisonnement, ce qui est conforme à la définition du Droit de la Compliance. Il a réussi à résoudre le dilemme : soit protéger les personnes grâce à la personne pour lutter contre le virus, soit protéger les personne en empêchant la centralisation des données et leur captation par les Autorités politiques américaines. Par une décision "politique", c'est-à-dire une action pour le futur, le Conseil a trouvé une solution d'attente pour protéger les personnes et contre la maladie et contre la dépossession de leurs données, en exigeant d'une solution européenne soit trouvée. 

• Le Conseil d'Etat a mis en exergue la Cour de Justice de l'Union européenne comme l'alpha et l'oméga du Droit de la Compliance. En n'interprétant le contrat passé entre un Groupement d'intérêt public français et une filiale irlandaise d'un groupe américain qu'au regard de la jurisprudence de la Cour de Justice de l'Union européenne, le Conseil d'Etat montre que l'Europe souveraine des données peut se construire. Et que les juridictions sont au centre de cela. 

___________

Lire l'interview donnée à propos de cette Ordonnance Health Data Hub. 

Pour aller plus loin, sur la question du Droit de la Compliance en matière de protection des données de santé, lire la news du 25 août 2020: The always in expansion "Right to be Forgotten"​: a legitimate Oxymore in Compliance Law built on Information. Example of​ Cancer Survivors Protection 

Référence complète : Frison-Roche, M.-A.,Attorney's Professional Secret & Filter mechanism in balance with fighting Money Laundering: constitutional analysis in favor of Attorney's Secret, in Newsletter MAFR - Law, Compliance, Regulation, 9 octobre, 2020.

Résumé de la News :

Par son arrêt du 24 septembre 2020, la Cour constitutionnelle de Belgique a rendu un arrêt essentiel qui considère que :

• le Droit de la Compliance qui impose aux opérateurs des obligations pour lutter contre le blanchiment d'argent et le financement du terrorisme est un Droit qui s'analyse à partir de ces buts ;
• la loi de transposition est plus "large" que les textes européens transposés puisqu'elle s'ancre dans la Constitution;
• les dispositions de la loi imposant la déclaration de soupçon à un employé de l'avocat ou à un Compliance Officer à propos d'une information couverte par le secret professionnel de l'Avocat, socle de la Démocratie, doivent donc être annulées.

Ce raisonnement est remarquable et très solide.
Il n'est pas propre à la Belgique.

Leçons à tirer : 

• l'interprétation constitutionnelle du Droit communautaire de la Compliance est autonome de ce Droit communautaire car il comprend plus fortement la protection de la personne, laquelle est le cœur du secret professionnel de l'avocat" ; en cela la Cour constitutionnelle rejoint par exemple le rapport du Comité économique et social européen du 18 septembre 2020 qui fonde l'Union européenne sur l'État de Droit ; 
• le secret de l'avocat, même s'il est restreint à son activité de défense, dès l'instant que celle-ci est concerné, couvre totalement l'information, même si elle est détenue par une autre personne : c'est le critère de l'activité qui prévaut, à la fois pour la restriction (quant à l'activité) mais aussi pour l'élargissement (quant aux personnes) ; 
• l'avocat n'est pas perçu comme un opposant dans la lutte contre le crime, mais comme un allié, puisque la Cour souligne l'absurdité de le sanctionner en l'obligeant à dénoncer alors qu'il a convaincu son client à renoncer à son projet criminel ; il faut cesser d'opposer protection des personnes et lutte contre la criminalité ;
• le Droit constitutionnel est en train, comme aux États-Unis, de devenir majeur en Droit économique et financier.

_____

Lire par abonnement gratuit les autres News dans la Newsletter MAFR - Law, Compliance, Regulation

Référence générale: Frison-Roche, M.-A., Juge entre plateforme et régulateur: l'exemple actuel de l'affaire Uber au Royaume-Uni (Judge between Platform and Regulator: current example of Uber case in U.K.), Newsletter MAFR - Law, Compliance, Regulation, 29 septembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news:

Le 22 septembre 2017, Transport for London (TFL), régulateur des transports pour la ville de Londres, a refusé de renouveler la licence autorisant le transport de personnes qu'il avait accordé pour une durée de cinq ans, le 31 mai 2012, à l'entreprise Uber sous prétexte d'infractions pénales graves commises par les conducteurs de la plateforme. Le 26 juin 2018, la Westminster Court a prolongé la licence d'Uber pour une durée de quinze mois à condition que la plateforme préviennent les comportements répréhensibles de ses chauffeurs. Au terme de ces quinze mois, la TFL a de nouveau refusé de prolonger la licence d'Uber en raison de la persistance d'actes d'agressions envers les passagers. Uber a, une nouvelle fois, contesté cette décision devant la Westminster Court.

Dans son arrêt du 28 septembre 2020, la Cour constate que durant les quinze mois durant lesquels Uber s'était vu accordé une prolongation de sa licence à titre conditionnel par la Cour, la plateforme a mis en oeuvre de nombreuses mesures de prévention des agressions, que le niveau de maturité de ces mesures s'est même amélioré avec le temps et que le nombre de violations a été réduit sur la période (passant de 55 en 2018 à 4 en 2020). La Cour estime que la mise en oeuvre de ces actions est suffisante pour qu'Uber se voit accorder une nouvelle licence par le TFL. 

Nous pouvons retenir trois leçons de cette décision:

1. L'obligation de Compliance n'est pas une obligation de résultat mais une obligation de moyens, ce qui signifie qu'il est aberrant d'attendre de l'opérateur crucial (ici Uber) qu'il prévienne tous les cas d'agressions mais qu'il est pertinent de le juger sur l'effort qu'il déploie pour tenter de se rapprocher de cet idéal. D'autre part, l'opérateur crucial se doit d'être proactif, c'est à dire de sortir de la figure du sujet de droit passif qui applique les mesures édictées par le régulateur en matière de lutte contre les aggressions mais d'être acteur de la recherche du meilleur moyen de combattre les comportements abusif en intériorisant ce "but monumental".
2. Le juge apprécie la violation commise par ceux dont l'entreprise est responsable "en contexte", c'est-à-dire évalue la situation concrète de manière raisonnable.
3. C'est le juge qui décide en dernier ressort et, par conséquent, comme l'opérateur crucial, il se doit de se montrer "raisonnable". 

Consulter par ailleurs pour aller plus loin: 

• Le rapport de l'Assemblée nationale sur la question
• Frison-Roche, M.-A., Entreprise, Régulateur et Juge: penser la Compliance par ces trois personnages, 2018

Référence complète: Frison-Roche, M.-A., L'impact économique du Droit: un nouveau rapport à ce propos et quid de la Régulation et de la Compliance? Trois leçons (The Economic Impact of Law: a new report about it. And what about Regulation & Compliance? 3 lessons), Newsletter MAFR - Law, Regulation, Compliance, 24 septembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Regulation, Compliance

Résumé de la news: 

Le 18 septembre 2020, le Comité économique et social européen (CESE) a publié un rapport sur l'impact de l'Etat de droit sur la croissance économique.

Le CESE définit l'Etat de droit comme l'obligation pour "all public powers act within the constraints laid down by law, in accordance with the values of democracy and fundamental rights, and under the control of independent and impartial courts". ("Toutes les puissances publiques d'agir dans les limites fixées par la loi, conformément aux valeurs démocratiques et aux droits fondamentaux, et sous le contrôle de tribunaux indépendants et impartiaux"). Selon le Comité, l'Etat de droit ainsi défini est propice et même nécessaire à une croissance économique durable principalement parce que l'instabilité des réglementations, l'absence de garantie des droits de propriété et du travail, la discrimination ou la non-application des contrats favorisent peu voire sont néfastes pour les investissements et les activités productives des agents économiques. Le CESE note d'ailleurs que les pays respectant l'Etat de droit croissent beaucoup plus vite que ceux qui ne le font pas. Le Comité insiste également sur l'effet destructeur de la corruption qui détruit les services publics, l'action publique et les institutions publiques à long terme ainsi que la confiance tout en augmentant les inégalités. 

Bien que le CESE approuve les actions de la Commission européenne pour faire progresser l'Etat de droit dans l'Union, il invite cependant celle-ci à poursuivre ses efforts en donnant notamment une place plus importante encore aux juridictions et en protégeant davantage la liberté des médias dans un contexte de progression des forces autocrates à l'Est de l'Europe. 

On peut tirer trois leçons de ce rapport:

1. L'intérêt commun des Etats membres de l'Union européenne à garantir l'Etat de droit. En effet, non seulement celui-ci est inscrit dans l'article 2 du TFUE et a été consacré par la jurisprudence de la CJUE mais il est également une condition du progrès économique. 
2. La lutte contre corruption doit faire l'objet d'un effort redoublé. Dans cette perspective, le Droit de la Compliance est à même d'offrir des outils juridiques innovants appropriés. 
3. A une définition du Droit de la Régulation et de la Compliance comme simple processus d'application mécanique des règles de droit, il est nécessaire de substituer une définition du Droit de la Régulation et de la Compliance fondée sur les notions de "but monumental" et de protection des personnes. Dans cette perspective, ces branches du droit s'avéreraient des outils puissants au service de la progression de l'Etat de droit dans l'espace européen.  

Référence complète: Frison-Roche, M.-A., Interrégulation: une manière d'établir un "protocole de coopération" entre les régulateurs. L'exemple de l'AMF et de l'AFA, (Interregulation: way of "cooperation protocol"​ between Regulatory Bodies. Example between French Financial Markets Authority and Anticorruption Agency), Newsletter MAFR - Law, Compliance, Regulation, 22 septembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news: 

Bien que le Droit de la Régulation soit né de la notion de "secteur", les interférences permanentes entre les secteurs ainsi que les interactions fréquentes entre certains secteurs et des questions plus générales communes à différents secteurs, rendent l'interrégulation nécessaire. Le Droit de la Compliance n'étant que le prolongement du Droit de la Régulation, ce mécanisme d'interrégulation est aussi nécessaire en Droit de la Compliance qu'en Droit de la Régulation.

Cette interrégulation peut emprunter de nombreuses voies légales telles que l'échange de lettres entre régulateurs, la formation d'un réseau de régulateurs et de superviseurs au niveau mondial ou au sujet de certaines questions spécifiques ou encore l'adoption d'un "protocole de coopération" comme l'ont fait l'AMF et l'AFA le 16 septembre 2020 pour renforcer leurs luttes respectives contre les manquements à la probité, les abus de marché et pour la protection des investisseurs. 

Ce protocole de coopération entre l'AFA et l'AMF s'est doté des objectifs suivants:

• Une méthodologie plus efficace concernant la recherche et l'analyse des manquements à la probité et des abus de marché. 
• Une prévention plus efficiente des manquements à la probité et des abus de marché.
• Une meilleure capacité à formuler des recommendations de nouvelles réglementations auprès du législateur. 
• Un suivi plus rigoureux des travaux internationaux sur le sujet. 
• Une information plus cohérente pour le public. 

Les régulateurs ne sont-ils pas les nouveaux instituteurs? 

Référence complète: Frison-Roche, M.-A., Régulation, Compliance et Cinéma: apprendre à propos de la régulation d'internet grâce à la série "criminels" (​Regulation, Compliance & Cinema: learning about Internet Regulation with the series "Criminals"​), Newsletter MAFR - Law, Compliance, Regulation, 21 septembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news: 

L'épisode 3 de la saison 2 de la version britannique de la série "Criminals" met en scène le personnage de Danielle. Danielle est un mère de famille qui a décidé de partir à la recherche de pédophiles agissant sur les réseaux sociaux en vue de les piéger et de révéler au monde leurs agissements. Danielle met en avant l'efficacité de son action contrairement à celle de la police et de la justice qu'elle juge improductive. Dans l'épisode, Danielle est accusé par la police de diffamation. Alors que les policiers tentent d'expliquer à Danielle l'importance d'utiliser une procédure régulière respectueuse de l'Etat de droit visant à prouver ses accusations, celle-ci fait de l'efficacité son seul principe. Selon elle, ses méthodes obtiennent des résultats (contrairement à celles de la police qui respectent les procédures) et ceux qu'elles accusent d'être des pédophiles ne méritent pas de droits à se défendre.

On peut retenir trois leçons de l'histoire de Danielle:

1. Si le Droit de la Compliance n'était qu'un simple processus d'application mécanique des règles de droit, alors l'Etat de droit n'aurait aucun droit de cité face au principe d'efficacité. Or, si le Droit de la Compliance est défini par ses "buts monumentaux" et que le respect de l'Etat de droit est érigé en "but monumental", alors efficacité et respect de l'Etat de droit deviennent compatibles et congruents. 
2. L'espace numérique se doit d'être discipliné par des entreprises numériques cruciales supervisées par des autorités publiques, comme c'est le cas en France et en Allemagne pour les discours de haine et les fausses informations. 
3. Le Droit de la Compliance, et le Droit en règle générale, doivent se montrer pédagogues envers les individus comme Danielle qui ne comprennent pas en quoi leur comportement peut être répréhensible contrairement à ce qu'ils s'imaginent. 

Référence complète: Frison-Roche, M.-A., Répondre à un email contenant de "sérieuses anomalies", transférant des données personnelles, bloque le remboursement par la banque : décision de la Cour de Cassation, 1er juillet 2020 (Responding to an email with "serious anomalies"​,transferring personal data, blocks reimbursement by the bank: French Cour de cassation, July 1st 2020), Newsletter MAFR - Law, Compliance, Regulation, 10 septembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news

Le "phishing" est une forme de cybercriminalité visant à obtenir, par des courriels frauduleux ressemblant à ceux pouvant provenir d'organismes légitimes, des informations personnelles du destinataire afin d'usurper son identité et/ou de le voler. Comme il est difficile d'en trouver les auteurs et encore plus de prouver leur intentionnalité afin de les punir directement, un des moyens de lutter contre le phishing peut être de confier la charge aux banques de sécuriser leur réseau d'information et, afin d'assortir cette obligation d'une forte incitation, de les condamner à rembourser les victimes en cas de vol de leurs données personnelles. 

En 2015, un client victime de ce type d'escroquerie a demandé à sa banque, le Crédit Mutuel, de lui rembourser la somme dérobée, ce que la banque refuse de faire au motif que le client avait commis une faute en transférant ses informations confidentielles sans vérifier l'e-mail pourtant grossièrement contrefait. Le tribunal de première instance donne raison au client parce que bien qu'ayant commis cette faute, il était de bonne foi. Ce jugement est annulé par la Chambre commerciale de la Cour de cassation par un arrêt du 1ier juillet 2020, qui pose que cette négligence grave, exclusive de toute considération de bonne foi, justifie l'absence de remboursement par la banque.

___

De ce cas particulier, on peut tirer trois leçons: 

1. La Cour de Cassation pose que la bonne foi n'est pas un critère pertinent et que, de la même façon que la banque doit réagir lorsqu'un compte bancaire est objectivement anormal, le client doit réagir face à un email manifestement anormal. 

2. La Cour de Cassation décrit la répartition des charges de preuve. Les obligations probatoires sont alternativement réparties entre la banque et son client. En premier lieu, la banque doit sécuriser son réseau d'information mais en second lieu le client  doit prendre toute mesure raisonnable pour en préserver la sécurité. Il en résulte que, si l'email reçu par le client semble normal, les dommages du phishing sont à la charge de la banque, et plus généralement de l'entreprise, tandis que s'il est manifestement anormal, ils sont à la charge du client, mais la charge de prouver l'anomalie du courriel incombe à l'entreprise et non au client. 

3. Un tel système probatoire montre que Droit de la Compliance inclut une mission pédagogique en éduquant chaque client afin qu'il soit à même de distinguer au sein de ses emails, ceux qui relèvent d'un caractère normal et ceux qui sont "manifestement suspects". Cette dimension pédagogique, avec les conséquences juridiques qui lui sont attachées, ne va cesser de s'accroitre.

______

Référence complète: Frison-Roche, M.-A., Liberté & médias: quand le "but" réel de la régulation italienne des médias n'est pas la protection du pluralisme, la liberté d'établissement prévaut (CJUE, 3 Sept.2020,Vivendi) (Freedom&Media: when Italian Media Regulation's real "goal"​ is not Pluralism Protection, Freedom of Establishment prevails (CJEU, 3 Sept.2020,Vivendi)), Newsletter MAFR - Law, Regulation, Compliance, 9 septembre 2020

Lire par abonnement gratuit les autres news de la Newsletter MAFR - Law, Regulation, Compliance

Résumé de la news

Le secteur des médias est organisé autour d'un équilibre entre le principe de concurrence et d'autres soucis dont fait partie le pluralisme de l'information. Normalement, la loi de la concurrence en rendant accessible le marché à de nombreux concurrents assure le pluralisme de l'information. Mais, tel n'est pas le cas si un opérateur acquiert un pouvoir de marché excessif, faisant courir un risque non seulement pour la concurrence mais aussi pour le pluralisme de l'information. C'est la raison pour laquelle le système juridique italien interdit la constitution d'un opérateur regroupant plus de 40% des revenus totaux générés par le secteur des médias ou plus de 10% des revenus totaux générés par le secteur de la communication italien. 

En 2016, le groupe de médias français Vivendi a acquis plus de 28% des actions du groupe Mediaset et près de 30% de son droit de vote. L'autorité italienne de régulation des communication, saisie par Mediaset a exhorté en 2017 Vivendi à mettre un terme à ses participations au groupe Mediaset. Vivendi a contesté cette décision devant le tribunal administratif régional qui lui-même s'est référé par voie de question préjudicielle à la Cour de Justice de l'Union européenne afin de savoir si la liberté d'établissement pouvait légitimement être écartée au profit du pluralisme de l'information dans ce cas concret. La Cour de justice a répondu, dans un arrêt du 3 septembre 2020, que la restriction de la liberté d'établissement peut en principe être justifiée par un objectif d'intérêt général tel que la protection du pluralisme de l'information mais que dans ce cas concret, cell-ci n'est pas justifiée puisque le fait qu'une entreprise s'engage dans la transmission de contenus ne lui confère pas nécessairement le pouvoir de contrôler la production desdits contenus. 

On peut tirer trois leçons de ce cas: 

1. La Cour précise que bien que le principe est la liberté d'établissement, il est possible que celui-ci soit écarté pour protéger le pluralisme de l'information à condition que l'Etat membre en question ne se serve pas de ce pouvoir légitime pour constituer un monopole politique, la charge de preuve incombant à celui qui attaque la législation nationale et non à l'Etat membre. 
2. La Cour distingue transmission de contenu et production de contenu et explique que si l'Etat membre rejette cette distinction, la charge lui incombe de démontrer les liens concrets entre ces deux activités.
3. Ce cas montre que le pouvoir de répartir les places respectives du "principe" et de "l'exception" revient toujours aux juges. 

Référence complète: Frison-Roche, M.-A., Conflits d'intérêts & "portes tournantes": ce que l'Ombudsman européen a dit en mai 2020, l'autorité bancaire européenne manifestant son accord en août. Trois leçons (Conflict of interests & "revolving doors"​: what the European Ombudsman said in May 2020, the European Banking Authority agreed in August.Three lessons), Newsletter MAFR - Law, Compliance, Regulation, 7 septembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news: 

L'impartialité et l'indépendance des autorités de régulation et de supervision est conditionnée au fait que leurs membres n'aient aucun conflit d'intérêt avec le secteur qu'ils régulent ou supervisent. Une telle absence de conflits d'intérêt est nécessaire pour garantir un climat de confiance entre l'autorité en question et les opérateurs. Celle-ci suppose que les membres des autorités de régulation et de supervision ne cumulent pas des fonctions d'opérateur et de régulateur/superviseur durant mais aussi après leur passage dans les autorités de régulation/supervision car l'anticipation d'une embauche prochaine peut influencer les décisions présentes. 

Le 2 août 2019, le directeur exécutif de l'Autorité Bancaire Européenne (ABE) a informé l'autorité dont il était membre de son souhait de devenir PDG de l'Association pour les marchés financiers en Europe (AFME), lobby du secteur financier. L'ABE a approuvé cette perspective. Cependant, "Change finance", une coalition civile, a saisi le médiateur européen faisant valoir qu'une telle réorientation professionnelle créait un conflit d'intérêt inévitable. Le médiateur européen a réagi le 7 mai 2020 par une recommendation en affirmant que bien que l'ABE ait pris des mesures préventives conséquentes, celles-ci ne s'avéraient cependant pas suffisantes au regard des risques encourus. Au sein de cette recommendation, le médiateur européen a également formulé des propositions générales ayant vocation à gérer les risques de conflits d'intérêt à l'avenir:

• L'interdiction aux cadres supérieurs d'occuper certains postes susceptibles de constituer un conflit d'intérêt avec leur fonction présente, pour une durée de deux ans. 
• L'information des cadres supérieurs et des candidats aux postes de cadres supérieurs des règles en vigueur. 
• La mise en place de procédures internes visant à bloquer immédiatement l'accès aux informations confidentielles au membre de l'autorité de régulation/supervision ayant notifié son souhait d'occuper ultérieurement un poste dont on sait qu'il constitue un conflit d'intérêt avéré avec son poste actuel. 

Dans une lettre du 28 août 2020, le président de l'ABE a répondu au médiateur européen qu'il acceptait les remarques et les propositions du médiateur européen. 

De ce cas particulier, on peut tirer trois leçons:

1. La difficile articulation entre indépendance/impartialité (fondant la confiance) et l'expertise du régulateur/superviseur. Le médiateur européen et l'ABE ont donc convenu qu'une interdiction d'occuper certains postes, si elle devait existait, devait être limitée dans le temps.
2. La nécessité que chacun puisse anticiper correctement les règles.
3. La nécessité de préserver la sécurité juridique.

Référence complète: Frison-Roche, M.-A., Compliance & Droit souple de la régulation, sécurité juridique et coopération: exemple de la nouvelle ligne directrice de U.S. Financial Crimes Enforcement Network sur la lutte contre le blanchiment d'argent et le financement du terrorisme (Compliance & Regulatory Soft Law, legal Certainty and Cooperation: example of the U.S. Financial Crimes Enforcement Network new Guidelines on AML/FT), Newsletter MAFR - Law, Compliance, Regulation, 2 septembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news

Le Financial Crimes Enforcement Network (FinCEN) est un organe, dépendant du Trésor américain, en charge de lutter contre la criminalité financière et particulièrement contre le blanchiment d'argent et le financement du terrorisme. Pour cela, il possède de larges pouvoirs de contrôle et de sanction. 

En août 2020, le FinCEN a publié un document nommé "Statement on Enforcement" ayant vocation a expliciter ces méthodes de contrôle et de sanction. Il y dévoile ce que risquent les entreprises en cas d'infraction (de la simple lettre d'avertissement à la poursuite pénale en passant par l'amende financière) ainsi que les différents critères sur lesquels se fondent le FinCEN pour infliger une sanction plutôt qu'une autre aux entreprises. Parmi ces critères on retrouve par exemples la nature et la gravité des violations commises ou l'ampleur des antécédents de l'entreprise auprès de la FinCEN ou d'autres autorités voisines mais également la mise en place de programmes de compliance ou la qualité et l'étendue de la coopération avec le FinCEN au cours de l'enquête).  

L'un des objectifs de la publication de ce document d'information est d'obtenir la coopération des entreprises en créant une relation de confiance entre régulateur et entreprise régulée. Cependant, il est très difficile de demander aux entreprises de coopérer et de fournir des informations si elles peuvent craindre que ces mêmes informations puissent ultérieurement être utilisées comme preuve contre elles par le FinCEN.

Un autre objectif est de renforcer la sécurité juridique et la transparence. Toutefois, la déclaration de la FinCEN ne paraît pas l'engager, ne se présentant pas comme une charte mais comme une simple déclaration. Effectivement, la liste des sanctions possibles ainsi que celle des critères d'appréciation utilisées par le FinCEN sont loin d'être exhaustives et peuvent être complétées à tout moment par le FinCEN in concreto sans même qu'il ait besoin de se justifier.  

Référence complète: Frison-Roche, M.-A., Pour réguler ou superviser, des compétences techniques sont requises: exemple de la création du "Pôle d'expertise de la régulation numérique" (For regulating or supervising, technical competence is required: example of the French creation of the "Pôle d'expertise de la régulation numérique"​), Newsletter MAFR - Law, Regulation, Compliance, 2 septembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Regulation, Compliance

Résumé de la news

Par un décret du 31 août 2020, le gouvernement a créé un service à compétence nationale dénommé "Pôle d'expertise de la régulation numérique (PEReN)". Celui-ci a pour but de fournir aux services de l'Etat une expertise technique dans les domaines de l'informatique, de la science des données et des processus algorithmiques afin de les assister dans leur rôle de contrôle, d'enquêtes ou d'étude. L'objectif est de favoriser le partage d'information entre représentants de la recherche et les services de l'Etat en charge de réguler le numérique. 

Comme son acronyme l'indique, ce pôle d'expertise a vocation à manifester de la constance dans un monde en perpétuel changement. Par ailleurs, en plus d'être à compétence nationale, cet organisme s'inscrit dans une dimension transversale, son décret de création ayant été signé à la fois par le Premier ministre, le ministre de l'Economie, le ministre de la Culture et le ministre de la Transition Numérique. La création d'un tel pôle témoigne de la prise de conscience du gouvernement de l'importance de la compétence technique dans la régulation du numérique et de la nécessité de centraliser ces expertises en un seul et même organe. 

Toutefois, comme l'indique le décret, ce pôle d'expertise ne pourra être consulté que par les "services de l'Etat", ce qui exclut les régulateurs qui sont des autorités administratives indépendantes de l'Etat et qui pourraient mettre le pôle d'expertise en conflit d'intérêt s'ils venaient à le saisir et les tribunaux alors même que ceux-ci sont appelés à jouer un rôle central dans la régulation du numérique et qu'ils sont habilités à requérir l'avis du régulateur sur certains dossiers. Mais, si les régulateurs ne peuvent saisir le PEReN, à qui bénéficie-t-il mis à part au législateur et à quelques fonctionnaires?

Il aurait donc mieux fallut que ce pôle d'expertise soit placé sous la direction des organes de régulation et de supervision, ce qui lui aurait permis de pouvoir être consulté à la fois par les régulateurs et par les juges, tous deux acteurs de premier plan de la régulation du numérique. 

Référence complète: Frison-Roche, M.-A., Compliance by design, une arme nouvelle? L'opinion de Facebook à propos des nouvelles dispositions techniques d'Apple pour protéger les données personnelles (Compliance by Design, a new weapon? Opinion of Facebook about Apple new technical dispositions on Personal Data protection), Newsletter MAFR - Law, Compliance, Regulation, 31 août 2020

Lire par abonnement gratuit les autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news:

Les données personnelles, en tant qu'elles sont des informations, sont un outil de Compliance. Elle représentent une ressource précieuse pour les entreprises qui doivent mettre en oeuvre un plan de vigilance afin de prévenir la corruption, le blanchiment d'argent ou le financement du terrorisme, par exemples. C'est la raison pour laquelle, les données personnelles sont la pierre angulaire des dispositifs de "Compliance by design". Cependant, l'utilisation de ces données ne peut pas dédouaner l'entreprise de son obligation simultanée de protéger ces mêmes données personnelles, ce qui est également un "but monumental" majeur du Droit de la Compliance. 

Afin de pouvoir exploiter ses données dans un objectif de Compliance tout en les protégeant, l'entreprise numérique Apple a par exemple adopté de nouvelles dispositions telles que l'exploitation de l'IDentifier For Advisers (IDFA) intégré à l'iPad ou à l'iPhone et largement utilisé par les entreprises de publicité ciblée soit conditionnée au consentement du consommateur.  

Facebook a vivement réagi à cette nouvelle disposition d'Apple en expliquant que de telles mesures allaient profondément restreindre l'accès des données aux démarcheurs publicitaires qui verraient ainsi leurs activités limitées. Facebook soupçonne Apple de vouloir bloquer l'accès aux autres entreprises publicitaires dans le but de développer son propre outil publicitaire. Facebook a assuré aux démarcheurs qui travaillaient avec lui qu'ils ne prendraient pas, pour sa part, de telles mesures et qu'il privilégiait toujours la consultation du secteur publicitaire avant ses prises de décisions afin de concilier au mieux les intérêts parfois divergents en présence. 

On peut dors-et-déjà formuler quelques remarques:

• Le RGPD imposant aux entreprises numériques qu'elles garantissent un niveau de protection minimum des données personnelles ne s'applique pas aux Etats-Unis. Il est donc plus plausible qu'Apple ait agit par Responsabilité Sociale des Entreprises (RSE), plus que par obligation légale.
• Le mode de régulation utilisé ici est la "régulation conversationnelle" théorisée par Julia Black. Effectivement, les régulateurs laissent les forces en présence "converser".
• Cette "régulation conversationnelle" ne semble pas très efficace ici et une intervention des autorités administratives ou des juges pourrait se justifier par le biais du Droit de la Concurrence, de la Régulation ou de la Compliance, sachant que le Droit de la Concurrence privilégiera le droit d'accès à l'information et le Droit de la Régulation ou de la Compliance davantage le droit à la vie privée.

Tout le paradoxe du Droit de la Compliance réside donc dans l'équilibre entre circulation de l'information et secret.

Référence complète: Frison-Roche, M.-A., "Interrégulation" entre les systèmes de paiements et la protection des données personnelles: comment organiser cette interaction? ("Interregulation"​ between Payments System and Personal Data Protection: how to organize this "interplay"​?), Newsletter MAFR - Law, Compliance, Regulation, 27 août 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news

Le Droit de la Régulation, afin de reconnaître et de tirer les conséquences de la spécificité de certains objets, a au départ été construit autour de la notion de secteur technique bien que la délimitation de ceux-ci relève en partie d'un choix politique. Mais, dans les faits, il existe de multiples points de contact entre ces secteurs, les acteurs se déplaçant de l'un à l'autre tout comme certains objets. La solution régulatoire est donc d'enjamber certaines frontières techniques par la méthodologie de l'interrégulation qui est par ailleurs la seule à permettre la régulation de certains phénomènes dépassant la notion de secteur et relevant donc du Droit de la Compliance.

Cette news prend l'exemple des entreprises fournissant de nouveaux services de paiement. Afin qu'elles puissent délivrer ces services en question, ces entreprises ont besoin d'accéder aux comptes bancaires des personnes concernées et donc à des données personnelles à caractère très sensibles. La régulation d'une telle configuration nécessite donc une coopération entre le régulateur bancaire et le régulateur des données personnelles. La législation n'étant pas suffisante pour organiser en Ex Ante cette interrégulation, l'European Data Protection Board (EDPB et régulateur européen des données personnelles) a publié des lignes directrices le 17 juillet 2020 sur la manière dont elle concevait l'articulation entre le PSD2 (directive européenne sur les services de paiement) et le RGPD (Règlement Général pour la Protection des Données) et annonçait qu'elle comptait élargir le cercle de ces interlocuteurs pour opérer cette interrégulation. Une telle initiative de la part de l'EDPB se justifie par l'incertitude quant à la manière d'interpréter ces deux textes et de les articuler l'un avec l'autre. 

Référence complète: Frison-Roche, M.-A., Difficulté de la Compliance dans le système d'auto-régulation: exemple des réunions de l'été 2020 de l'OPEP à propos de la "conformité" pour la stabilité des marchés du pétrole (Difficulty of Compliance in Self-Regulation system: example of the Summer 2020 meetings of OPEC about the "conformity"​ for Oil Market Stability​), Newsletter MAFR - Law, Compliance, Regulation, 26 août 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news

La production mondiale de pétrole brut est largement coordonnée par l'Organisation des Pays Exportateurs de Pétrole (OPEP) et en particulier par son Comité Ministériel de Suivi (JMMC). Le 15 juillet 2020, ce Comité s'est réuni une première fois pour décider de la réduction de la production mondiale de pétrole brut afin de maintenir une certaine stabilité des prix dans un contexte de demande réduite en raison de la pandémie de COVID-19.

Cependant, une telle stabilité ne peut être maintenue que si chacun des pays membre de l'OPEP respecte cette décision et baisse effectivement son niveau de production. Cette réunion du 15 juillet 2020 avait donc également pour objectif d'obtenir la "conformité" de ses membres . Afin d'obtenir cette conformité, le JMMC a donc déclaré qu'elle utiliserait un outil de "name and shame", blâmant les pays n'ayant pas respecté la déclaration du Comité et encensant ceux qui l'auront appliqué. Une seconde réunion, le 19 août 2020, a visé à rappeler aux pays n'ayant pas suffisamment baissé leur volume de production leurs obligations et à les exhorter à se conformer avant le 28 août. 

On peut noter deux choses:

• Le terme utilisé par le Comité est "conformité" et non "compliance", ce qui suppose moins une adhésion à des "buts monumentaux que le respect mécanique de règles formelles.
• Dans un système d'auto-régulation où il n'est pas censé y avoir besoin de "conformité", la nécessité de celle-ci est un indice que cette auto-régulation fonctionne mal.

Référence complète: Frison-Roche, M.-A., Le "droit à l'oubli" toujours en expansion: un oxymore légitime dans le Droit de la Compliance construit sur l'information. L'exemple de la protection des survivants du cancer (The always in expansion "Right to be Forgotten"​: a legitimate Oxymore in Compliance Law built on Information. Example of​ Cancer Survivors Protection), Newsletter MAFR - Law, Compliance, Regulation, 25 août 2020 

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news

Le "droit à l'oubli" est une invention de la Cour de Justice de l'Union européenne lors de l'affaire Google Spain en 2014. Il implique que les entreprises numériques bloque l'accès aux données personnelles d'un individu lorsque celui-ci le demande. Ce "droit à l'oubli", qui permet d'imposer le secret au tiers a largement été généralisé par le RGPD adopté en 2016. Ce nouveau droit subjectif fondamental est un droit à la fois très politique et très européen. Les Etats-Unis qui, contrairement à l'Europe, n'ont pas fait l'expérience du nazisme, lie le "droit à l'oubli" à la protection du consommateur, conception qui conduit notamment le California Consumer Privacy Act  adopté en 2018 à lier ce droit à une situation d'absence  de nécessité de ces données pour l'entreprise qui les a obtenues.

En Europe, cette volonté de protéger directement le personnage accroît au contraire la portée d'un tel droit subjectif. Ainsi, en France et au Luxembourg, depuis 2020, une personne ayant été malade d'un cancer peut donc demander à ce qu'une telle information ne soit pas accessibles parmi les données de santé, notamment pas aux compagnies d'assurance qui les manient dans leur  calcul des risques pour fixer le montant des primes. Les Pays-Bas feront de même en 2021 pour lutter contre la discrimination entre les clients des banques et des assureurs.

Le "but monumental" n'est ainsi plus tant ici la protection des libertés individuelles que la protection de la personne vulnérable, qui est par ailleurs la clef de voûte d'un Droit de la Compliance équilibrant tantôt interdiction de faire circuler l'information (comme ici) et tantôt obligation de faire circuler l'information (dans d'autre cas, où l'alerte doit être donnée) suivant que les personnes vulnérables sont protégées soit par l'un soit par l'autre. 

Référence générale: Frison-Roche, M.-A., Le contrôle par le Régulateur des plans d'investissement des gestionnaires d'infrastructures essentielles : l'exemple du réseau électrique et la notion de "doctrine", (The control by regulator of the essential infrastructure manager's investment plan: example of electric network and the notion of "doctrine"), Newsletter MAFR - Law, Compliance, Regulation, 24 août 2020

Lire par abonnement gratuit les autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news

Le 31 juillet 2020, La Commission de Régulation de l'Energie (CRE) a examiné le plan d'investissement du gestionnaire du réseau électrique français RTE comme il le fait chaque année. Ce plan d'investissement est un document économique mais il contient également des finalités sociétales, en particulier d'adapter le réseau d'électricité en vue d'intégrer les énergies renouvelables. 

Le contrôle de la CRE n'est pas qu'un contrôle financier. L'opérateur crucial qu'est RTE est libre de décider la manière dont il souhaite gérer son budget. La CRE ne fait pas que formuler des conseils sur le plan financier en recommandant par exemple d'être davantage flexible dans ses stratégies financières. Le véritable contrôle de la CRE concerne les orientations générales du plan d'investissement, la méthodologie de l'analyse des besoins et les choix d'investissement de l'opérateur crucial devant être alignés sur ceux du régulateur. 

Un tel contrôle donne lieu à l'émergence d'une "doctrine d'investissement" du côté de l'opérateur crucial, mélangeant ses propres choix et les lignes directrices du Régulateur qui le supervise. Au-delà de cela, l'élaboration du plan d'investissement relève d'une véritable corédaction entre le Régulateur et l'entreprise qui discutent ensemble, échangent des points de vue et des méthodes . Une telle méthode de travail, exprimant une sorte de corégulation, pourrait également s'installer dans d'autres secteurs. 

_____

Référence complète: Frison-Roche, M.-A., Etre obligé de déverrouiller son téléphone n'est pas équivalent à s'auto-incriminer: Cour de Cassation, Chambre criminelle, 19 décembre 2019, (Being obliged by Law to unlock telephone is not equivalent to self-incrimination: Cour de cassation, Criminal Chamber, Dec. 19, 2019), Newsletter MAFR - Law, Compliance, Regulation, 21 août 2020

Lire par abonnement gratuit les autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news

La Cour de Cassation a rendu une décision le 19 décembre 2019 à propos d'une affaire concernant le refus de la part d'un citoyen de communiquer le code de déverrouillage de son téléphone portable à la police alors que celle-ci l'avait trouvé en possession d'une quantité significative de drogue et de beaucoup d'argent liquide et qu'il existait une probabilité certaine que ledit téléphone contienne des informations qui aurait pu constituer des preuves de la culpabilité de son propriétaire. L'individu en question a été inculpé non pas pour trafic de drogue mais pour avoir refusé de communiquer son code de déverrouillage et donc pour infraction à l'article 434-15-2 du code pénal, issu de la loi du 3 juin 2018 renforçant la lutte contre la criminalité organisée, et le terrorisme et leur financement.

L'accusé invoque devant la cour son droit à ne pas s'auto-incriminer. Effectivement, la configuration face aux policiers était telle que s'il refusait de communiquer son code de déverrouillage, il serait sanctionné au motif de cette obligation de communiquer son code et que s'il acceptait, il se serait également retrouvé sanctionné au vu des preuves contenues dans le téléphone portable. Une telle configuration ne lui offrait donc pas d'alternative à l'aveu, ce qui est contraire à la Convention Européenne des Droits de l'Homme et à la jurisprudence européenne et nationale.

Face à un tel cas, la Cour de Cassation a choisi de segmenter les différentes informations en présence et a donc proposé la solution suivante: si les informations recherchées ne peuvent être obtenues indépendamment de la volonté du suspect, il n'est pas possible de contraindre cette personne à communiquer la dite information sans violer ses droits procéduraux, mais si les informations peuvent être obtenues indépendamment de la volonté du suspect, alors l'individu est dans l'obligation de communiquer son code. Dans le cas présent, comme il était possible pour les forces de l'ordre d'obtenir les information contenues dans le téléphone par des moyens techniques, certes plus longs mais existants, alors le refus de communication du code de verrouillage par le suspect constitue une obstruction qu'il convient de sanctionner. 

Une telle décision est un exemple de conciliation par le juge des deux "buts monumentaux" fondamentaux mais contradictoires du Droit de la Compliance: la transparence de l'information vis-à-vis des autorités publiques et la protection des données personnelles à caractère sensible. 

___

​Pour aller plus loin, lire le document de travail de Marie-Anne Frison-Roche: Repenser le monde à partir de la notion de donnée

Référence complète: Frison-Roche, M.-A., Existe-t-il un "droit à l'indemnisation" lorsque le Droit de la Compliance est transgressé, et cela doit-il être encouragé? - Le Cas Marriott, (When Compliance Law is violated, does the "right to be (re)compensated"​ exist, and must it be encouraged or not? - The Marriott case), Newsletter MAFR - Law, Compliance, Regulation, 20 août 2020

Lire par abonnement gratuit les autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news

En août 2020, l'entreprise Marriott International, plateforme de réservation de chambres d'hôtel en ligne, a été traduite devant une tribunal britannique par une entreprise de Conseil par une technique de "class action". L'entreprise demande à ce que Marriott International indemnise les clients dont les données personnelles ont été piratées alors même que Marriott International, qui avait la charge de ces données, n'avait pas mis en oeuvre tout ce qu'elle pouvait pour protéger les données en question. Selon l'entreprise demandeuse, rendre l'entreprise responsable en Ex Ante de la sécurité des données de ses clients et la contraindre à indemniser les clients lésés en cas d'échec est une plus grande incitation pour l'entreprise à faire de son mieux pour protéger ces données qu'une simple amende monétaire à payer aux autorités publiques.

De nombreux recours similaires sont en cours, notamment devant des cours britanniques où la pratique de la "class action" est plus développée. La question est par conséquent de savoir s'il y a lieu d'encourager le développement de ce genre de procédures en France. Concrètement, un droit subjectif substantiel (ici le droit à voir ses données protégées) n'existe que s'il est accompagné par un droit procédural à saisir le juge afin qu'il l'active. Le droit à pouvoir demander une indemnisation en cas de violation des obligations de Compliance n'est donc pas simplement une forte incitation pour les entreprises débitrices de ces obligations de Compliance mais également une condition d'effectivité de ces mêmes obligations, sachant que l'effectivité est le soucis majeur du Droit de la Compliance. 

Référence complète: Frison-Roche, M.-A., L'impartialité des régulateurs et le contrôle des contenus: le cas des "Infidèles" (Regulators'​ Impartiality and contents control: "Les infidèles"​ case), Newsletter MAFR - Law, Compliance, Regulation, 19 août 2020

Lire par abonnement gratuit les autres news de la Newsletter MAFR - Law, Compliance, Regulation

​Pour aller plus loin, lire le chapitre de l'ouvrage Les outils de la Compliance: "La prégnance géographique des outils de la Compliance" ouvert par un chapitre introductif de Jean-Baptiste Racine

Résumé de la news

L'impartialité du régulateur est un des principes les plus importants du Droit de la Régulation et de la Compliance. Cependant, cette impartialité peut s'avérer difficile à mettre en oeuvre lorsque l'objet de régulation comporte une forte dimension morale.

En août 2020, diverses associations religieuses ont saisi le Conseil National de Régulation de l'Audiovisuel sénégalais (CNRA) pour demander l'interdiction de la diffusion à la télévision du film "Les infidèles" narrant l'histoire d'une femme mariée aux multiples amants. 

Tout d'abord, le régulateur distingue les séquences pouvant nuire aux identités culturelles et religieuses des séquences choquantes ou pouvant porter atteinte à la dignité de la personne. Ensuite, il demande la suppression des scènes jugées indécentes et obscènes ainsi que les scènes susceptibles de nuire aux différentes identités culturelles et religieuses, interdit la diffusion du film à la télévision avant 22h30, demande la modification de la bande-annonce et enfin requiert l'insertion d'un pictogramme portant l'inscription "interdit au moins de 16 ans" lors de la diffusion. Le CNRA se juge compétent pour réguler le contenu des téléfilms de manière à préserver les identités culturelles au regard de la loi du 4 janvier 2006 fixant sa mission. 

En 2012, une polémique similaire avait entouré, en France, la diffusion d'un film différent mais du même nom. Cependant, l'objet et le contexte étaient très différents puisque le film était diffusé au cinéma et non à la télévision, qu'il présentait des hommes infidèles et non des femmes infidèles, qu'il avait une vocation humoristique et non sociologique, que le régulateur compétent n'était pas un organe administratif mais un organe professionnel et que le pays de diffusion n'était pas le même. Ici, seule l'affiche avait due être modifiée.

Ainsi, une régulation impartiale doit cependant prendre en compte les "identités culturelles locales". 

Référence complète: Frison-Roche, M.-A., La coordination entre les régulateurs locaux peut-elle remplacer un régulateur centralisé? L'exemple de l'organisation européenne du principe de l'Internet libre (Can Coordination between local Regulators replace a unique centralized Regulator? Example of the European organisation of the Open Internet Principle), Newsletter MAFR - Law, Compliance, Regulation, 18 août 2020

Lire, par abonnement gratuit, les autres news de la Newsletter MAFR - Law, Compliance, Regulation

Pour aller plus loin, lire l'article de Marie-Anne Frison-Roche: L'hypothèse de l'interrégulation 

Résumé de la news

Le principe de "l'internet ouvert" consacré par le règlement européen du 30 avril 2016 garantit un accès non discriminatoire aux contenus et aux services d'internet. Cependant, il n'existe pas de régulateur européen pour mettre en oeuvre un tel principe. Est-il possible d'assurer l'effectivité du principe de l'internet ouvert sans un régulateur central associé? 

Le 11 juin 2020, l'ORECE (l'organe des régulateurs européens des communications électroniques) a adopté des lignes directrices concernant l'application du principe de l'Internet ouvert. L'ORECE n'est pas un régulateur européen mais un réseau d'autorités de régulations nationales visant à coordonner leurs actions. Cet organe n'est que consultatif mais ses recommendations sont prises en compte par les autorités nationales qui disposent quant à elles de pouvoirs juridiques approfondis, comme le signale le rapport du cabinet de conseil Osborne-Clarke à propos de la mise en oeuvre technique du principe européen de l'internet ouvert au niveau national.

Il n'est donc pas nécessaire d'avoir un régulateur central pour assurer l'effectivité d'un principe à partir du moment où il existe un réseau de régulateurs locaux capable de coordonner leurs actions par le biais du droit souple.   

Référence complète: Frison-Roche, M.-A., La cartographie des risques: est-elle juridiquement différente lorsqu'elle est faite par les entités de régulation plutôt que par les entreprises régulées? (Risk Mapping: is it legally different when it is made by Regulatory Bodies or by Regulated Enterprises?),  in Newsletter MAFR - Law, Compliance, Regulation, 17 août 2020

Lire par abonnement gratuit d'autres news de la Newsletter, MAFR - Law, Compliance, Regulation

Résumé de la news

Chaque année, l'Autorité des marchés financiers, la Banque centrale européenne ou l'Agence française anti-corruption publient des cartographies des risques. A première vue, les cartographies des risques établies par le régulateur ont vocation à aider à la fois le régulateur et l'entreprise régulée à faire face à ces risques en les anticipant. Ces documents ne seraient donc qu'une aide apportée aux entreprises dans leur mission de compliance et en aucun cas une injonction de la part du régulateur à prendre en compte les risques qu'il met en avant. 

Cependant, la loi oblige les entreprises a constitué leur propre cartographie des risques sous peine de sanction. Dès lors que le régulateur a auparavant publié sa propre cartographie des risques, les entreprises, obligée de rédiger la leur, peuvent-elles s'en écarter? Si l'entreprise suit la cartographie publiée par le régulateur, peut-il s'en prémunir au cas où on l'accuserait de ne pas avoir remplie ses obligations de compliance? Au contraire, si l'opérateur ne suit pas la cartographie des risques du régulateur, cela peut-il lui être reproché? Formellement, les cartographies des risques des régulateurs ne s'accompagnent pas d'une injonction à en tenir compte mais, comme chacun sait, toute recommendation d'un régulateur ou d'un superviseur doit être prise en compte.

La solution juridique pourrait ici être la mise en place d'un système de "comply or explain" qui signifierait que si l'entreprise décide de ne pas suivre la cartographie des risques établie par le régulateur, elle doit être en mesure de pouvoir justifier ce choix. 

Pour aller plus loin, lire:

• Frison-Roche, M.-A., La théorie juridique de la cartographie des risques, centre du Droit de la Compliance, working paper, 2020 (en anglais)

Référence complète: Frison-Roche, M.-A., Est-ce que la régulation des discours de haine et des fausses informations est une obligation légale imposée aux entreprises du numérique ou est-ce l'expression de leur volonté libre de contribuer à la démocratie? (Is Regulating Hate and Infox a legal obligation imposed to the Digital Enterprises or the expression of their free will to contribute to Democracy?), Newsletter MAFR - Law, Compliance, Regulation, 14 août 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news

Internet permet d'accéder à des connaissances élargies mais rend également plus facile la diffusion de fausses informations et de discours de haine. Malheureusement, les pouvoirs publics ne peuvent pas savoir qui diffusent ces fausses informations et ces discours de haine et ne sont donc pas en mesure de lutter efficacement contre cela. Une solution serait d'obtenir des entreprises numériques qu'elles trouvent le moyen d'endiguer ces fausses informations et ces discours de haine qu'elles contribuent structurellement à propager. 

Les entreprises numériques s'appliquent déjà à cela et notamment Facebook qui prévoit de sensibiliser ses utilisateurs américains en vue des élections présidentielles de 2020. Cependant, les entreprises numériques expliquent que si elles luttent contre les fausses informations et les discours de haine, c'est uniquement par responsabilité sociale des entreprises (RSE). Or, même s'il s'agit d'un calcul pour obtenir une bonne réputation et éviter les actions de boycott, cela reste une volonté de l'entreprise qui n'est donc ni contrainte de réussir, ni même d'agir. 

La solution proposée par le Droit de la Compliance est de faire de cet effort une obligation légale en internalisant dans les opérateurs cruciaux que sont les entreprises numériques le "but monumental" de lutter contre les fausses informations et les discours de haine afin que les entreprises numériques soient tenues d'agir et qu'elles soient supervisées par des autorités publiques dans cette tâche. La loi à venir sur les services numériques imposera aux entreprises numériques des obligations Ex Ante tandis que la loi du 22 décembre 2018 relative à la lutte contre la manipulation de l'information impose déjà aux opérateurs de plateformes une obligation légale de "coopérer" dans la lutte contre les fausses informations. 

​Pour aller plus loin, lire: 

• Frison-Roche, M.-A., Lorsque Facebook "invite" chaque internaute à agir contre le COVID-19 en le dirigeant vers le Centre Public d'Information, est-ce par obligation légale (Compliance) ou par RSE? Avec quelles conséquences?, document de travail, 2020
• Frison-Roche, M.-A., Se tenir bien dans l'espace numérique, document de travail, 2020