La protection des données personnelles
AHMED BALADI (*)
Publié le : 14 avril 2008
|
Face au nombre croissant de litiges dont font l'objet les sociétés françaises à l'étranger, la vigilance est de rigueur quant au transfert des données personnelles associé.
Un nombre de plus en plus important de sociétés françaises fait l'objet de demandes émanant de l'étranger dans le cadre de procédures judiciaires les enjoignant de communiquer certaines informations et documents. Cette communication n'est pas sans risque tant au regard de la loi pénale n° 68-678 du 26 juillet 1968 que de la loi 78-17 du 6 janvier 1978 dite « loi informatique et libertés ». Les sociétés françaises sont appelées à respecter les procédures prévues par les textes susmentionnés sous peine d'engager leur responsabilité pénale.
Les demandes de communication de pièces résultent souvent de l'application des règles de procédure dites « pre-trial discovery » dans les Etats de Common Law, tels que les Etats-Unis. Ces règles contraignent les parties à un litige à s'échanger des informations et des documents de nature diverse avant même le début du procès. Si ces demandes visent des documents contenant des données à caractère personnel, telles que des e-mails d'employés ou des fichiers de clients, les sociétés françaises visées devront s'entourer d'un minimum de précautions.
En effet, le simple fait de photocopier un classeur contenant des données relatives aux employés d'une société, à ses dirigeants ou encore à ses clients afin de le remettre au conseil de cette société dans le cadre d'une procédure judiciaire ou de « pre-trial discovery » constitue un traitement de données personnelles nécessitant une déclaration préalable auprès de la CNIL.
Convention de La Haye
Quant au transfert de ces données vers les Etats-Unis, la CNIL refusera tout transfert pour défaut de fondement légal si ce dernier est réalisé en violation de la loi pénale du 26 juillet 1968 modifiée par la loi n° 80-538 du 16 juillet 1980. Ce texte interdit tout transfert de documents ou de renseignements dans le cadre d'un litige transnational réalisé en dehors du cadre de la convention de La Haye du 18 mars 1970 relative à l'obtention de preuves à l'étranger en matière civile ou commerciale.
Dès réception de la demande de communication de pièces, la société française sollicitée doit informer le ministère des Affaires étrangères et inviter le requérant américain à respecter la procédure régie par la convention de La Haye. Avant d'entamer toute collecte de données (par exemple copie des e-mails ou disques durs des employés) et transfert vers les Etats-Unis, la société française devra soumettre une déclaration à la CNIL. Il appartiendra à la CNIL d'apprécier si les conditions d'application de l'article 69 de la loi informatique et libertés permettant le transfert en dehors de l'Union européenne pour exercer un droit en justice sont réunies en s'assurant notamment qu'il s'opère dans le cadre de la convention de La Haye.
La CNIL avait déjà eu l'occasion en mars 2005 d'attirer l'attention du garde des Sceaux sur les pratiques de certaines autorités judiciaires étrangères qui exigeaient de sociétés françaises la communication de données à caractère personnel protégées par la loi informatique et libertés. Le garde des Sceaux avait à l'époque répondu que la transmission de données devait se faire en application de la convention de La Haye afin de la rendre légitime et légale.
Face à l'ampleur des sollicitations dont font l'objet les sociétés françaises, la CNIL indique avoir attiré l'attention du gouvernement qui devrait engager une réflexion interministérielle prochainement. Au niveau européen, le groupe dit de « l'article 29 », qui réunit l'ensemble des autorités de contrôle en matière de protection des données personnelles, s'est également mobilisé. La CNIL n'exclut pas le lancement de négociations entre la Commission et les autorités américaines à ce sujet.
En attendant, les sociétés françaises faisant l'objet d'un litige à l'étranger en particulier dans les Etats de Common Law sont appelées à la plus grande prudence en respectant les procédures prescrites sous peine de voir leur responsabilité pénale engagée.
(*) Avocat à la cour,Allen & Overy LLP
Tous droits réservés (2007) LES ECHOS
Toutes les infos
Management
Accueil
