données à caractère personnel

Articles, Contentieux informatique, Publication

Le libre accès des données retire-t-il le caractère déloyal de la collecte ?

/

La chambre criminelle de la Cour de cassation reconnait que le libre accès des données à caractère personnel ne retire rien au caractère déloyal de la collecte (1). Dans cette affaire, à la suite de la demande d’une société, un enquêteur privé a effectué des recherches sur des personnes. Celles-ci portaient sur des données à caractère personnel. Par un arrêt du 27 janvier 2023, la cour d’appel de Versailles condamne l’enquêteur privé à un an d’emprisonnement avec sursis et 20 000 euros d’amende. Ce dernier forme alors un pourvoi en cassation. La question posée à la Cour de cassation était donc de savoir si la collecte de données à caractère personnel peut être considérée comme déloyale dès lors que ces données sont en libre accès. Dans son arrêt n° 23-80.962 du 30 avril 2024, la chambre criminelle de la Cour de cassation confirme la position des juges du fond s’agissant du caractère déloyal de la collecte de données personnelles. Lire la suite Le libre accès des données ne retire pas le caractère déloyal de la collecte Le libre accès des données retire-t-il le caractère déloyal de la collecte ? La singularité de cette affaire réside dans le fait que les données collectées étaient en libre accès. Dans sa décision, la Cour de cassation affirme que cela n’enlève en rien le caractère personnel des données collectées. Le libre accès ne rend ainsi pas la collecte licite. En l’espèce, les données concernées étaient « issues de la capture et du recoupement d’informations diffusées sur des sites publics tels que sites web, annuaires, forums de discussion, réseaux sociaux, sites de presse régionale ». La Cour de cassation retient que « le fait que les données à caractère personnel collectées par le prévenu aient été pour partie en accès libre sur internet ne retire rien au caractère déloyal de cette collecte ». L’appréciation du caractère déloyal de la collecte Le libre accès des données retire-t-il le caractère déloyal de la collecte ? Dans son arrêt, la Cour de cassation relève le caractère déloyal de la collecte « dès lors qu’une telle collecte, de surcroît réalisée à des fins dévoyées de profilage des personnes concernées et d’investigation dans leur vie privée, à l’insu de celles-ci, ne pouvait s’effectuer sans qu’elles en soient informées ». Ainsi, la Cour de cassation estime déloyale la collecte de données effectuée sans avertissement des personnes concernées. Elle considère également comme déloyale la collecte réalisée dans un but détourné de sa finalité. Pour conclure, cette décision renforce le droit à l’information des personnes sur l’utilisation de leurs données à caractère personnel, en particulier dans les relations entre employeurs et employés. Cass crim 30-04-2024 n° 23-80962. Avec la collaboration de Manon Juby, stagiaire, étudiante en Master Droit des espaces et des activités maritimes. Created by potrace 1.16, written by Peter Selinger 2001-2019 Virginie Bensoussan-Brulé Avocate, Directrice du pôle Contentieux numérique Virginie Bensoussan-Brulé Avocate, Directrice du pôle Contentieux numérique Avocate à la Cour d’appel de Paris, Virginie Bensoussan-Brulé est titulaire du certificat de spécialisation en droit pénal, avec la qualification spécifique droit de la presse. Elle dirige le pôle Contentieux numérique et intervient dans les domaines du conseil et du contentieux en droit de la presse, en droit pénal du numérique et de l’informatique et en contentieux de l’Internet. Virginie Bensoussan-Brulé est nommée « Best Lawyer » dans la catégorie « Privacy and Data Security Law » en 2024 ainsi qu’en 2023. Phone:+33 (0)6 42 31 85 29 Email:virginie-bensoussan-brule@lexing.law Pour en apprendre davantage ChatGPT dans le monde du droit À l’aube d’une ère où l’intelligence artificielle (IA) est en passe de devenir un compagnon quotidien… Lire plus La Cobotique Juridique : ChatGPT & Droit Les intelligences artificielles génératives telles que ChatGPT constituent une révolution pour les professionnels du droit… Lire plus

Actualités, Articles, Publication, Santé

Parution du nouveau référentiel de certification HDS : quels changements ?

/

Vient d’être publié l’arrêté du 26 avril 2024 modifiant l’arrêté du 11 juin 2018 portant approbation du référentiel d’accréditation des organismes de certification et du référentiel de certification pour l’hébergement de données de santé à caractère personnel. Début 2022, cinq ans après la mise en œuvre de la certification HDS, la Délégation du Numérique en Santé (« DNS ») et l’Agence du Numérique en Santé (« ANS ») ont lancé une démarche de révision du référentiel de certification HDS (ci-après « nouveau référentiel de certification HDS ») (1). Ces instances se sont associées notamment à la Commission nationale de l’informatique et des libertés (« Cnil »), laquelle a rendu un avis favorable sur le projet de référentiel le 13 juillet dernier (2). En décembre 2023, l’ANS a soumis le projet d’arrêté « modifiant l’arrêté du 11 juin 2018 portant approbation du référentiel d’accréditation des organismes de certification et du référentiel de certification pour l’hébergement de données de santé à caractère personnel » à la Commission européenne (3). Nota bene : Seul le référentiel de certification pour l’hébergement de données de santé à caractère personnel (« référentiel de certification HDS ») nous intéressera dans la suite de nos développements. Ce référentiel HDS est à destination des hébergeurs et non des certificateurs comme le référentiel d’accréditation des organismes de certification. Lire la suite Le cadre juridique de ce référentiel Nouveau référentiel de certification HDS L’hébergement des données de santé à caractère personnel est encadré en France par les articles L.1111-8 et R.1111-8 et suivants du Code de la santé publique (« CSP »). Cette règlementation pose l’obligation d’être certifiée HDS pour toute personne qui : héberge sur support numérique des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil de ces données ou pour le compte du patient lui-même. L’objectif de cette règlementation est de garantir aux usagers et aux professionnels de santé que les données de santé à caractère personnel, particulièrement protégées par le RGPD, confiées dans le cadre d’une prise en charge médicale, sont sécurisées. Les modifications apportées Nouveau référentiel de certification HDS Précisions sur l’activité 5 Pour mémoire, le périmètre des activités d’hébergement certifiées couvre la mise à disposition et le maintien en condition opérationnelle : des sites physiques permettant d’héberger l’infrastructure matérielle du système d’information utilisé pour le traitement des données de santé ; de l’infrastructure matérielle du système d’information utilisé pour le traitement de données de santé ; de l’infrastructure virtuelle du système d’information utilisé pour le traitement des données de santé ; de la plateforme d’hébergement d’applications du système d’information ; l’administration et l’exploitation du système d’information contenant les données de santé ; la sauvegarde des données de santé. L’un des objectifs du nouveau référentiel de certification HDS est de clarifier les activités pour lesquelles les hébergeurs ont obtenu la certification, en particulier l’activité 5 correspondant à « l’administration et l’exploitation du système d’information contenant les données de santé ». En effet, à ce jour, l’activité dite « d’administration et d’exploitation d’applications du système d’information (« SI ») de santé », correspondant à l’activité 5 de la certification HDS, n’a toujours pas été supprimée du périmètre de la certification, malgré les questionnements qu’elle suscite du fait notamment de son absence de définition. (4) Or, cette activité, relative à l’application métier, avait conduit de nombreux acteurs (éditeurs de logiciels, fabricants de dispositifs médicaux, etc.) à s’interroger sur la nécessité d’être certifiés. (5) Le nouveau référentiel de certification HDS propose une définition du champ d’application de l’activité 5 correspondant à « l’administration et l’exploitation du système d’information contenant les données de santé ». Selon cette définition, l’activité 5 recouvre : l’encadrement et la gestion des accès occasionnels des tiers mandatés par le client de l’organisation, par exemple, à des fins d’audit, d’expertise, de déploiement ou de maintenance, et qui ont accès via le Socle d’Infrastructure HDS à l’Application métier ; le maintien en condition de sécurité du Socle d’Infrastructure HDS et le centre de support au client ; et la tenue à jour de la documentation assurant la cohérence et la complétude des garanties de sécurité fournies par les différents acteurs participant à la mise en œuvre du service. Ainsi, certaines opérations exercées par des éditeurs de logiciels ou des fabricants de dispositifs médicaux (maintenance par exemple) se retrouveraient exclues du périmètre de l’obligation de certification HDS. A faire : L’hébergeur devra vérifier s’il exerce toujours l’activité d’ « administration et exploitation du système d’information contenant les données de santé » compte tenu de la nouvelle définition et amender le contrat le cas échéant. Nouvelles exigences du contrat HDS Le nouveau référentiel de certification HDS vise à clarifier les obligations contractuelles de l’hébergeur en intégrant les clauses obligatoires déjà prévues par l’article R.1111-11 du Code de la santé publique dans les contrats HDS. A faire : L’hébergeur devra auditer son contrat HDS pour s’assurer qu’il intègre les clauses obligatoires de l’article R.1111-11 du Code de la santé publique et, à défaut, amender le contrat pour qu’il reprenne l’ensemble de ces clauses obligatoires. Le nouveau référentiel de certification HDS vise également à améliorer la lisibilité des garanties apportées par l’hébergeur à chaque client faisant appel à ses services. Il impose à l’hébergeur HDS qu’il reproduise dans le contrat ses garanties et celles de sous-traitants éventuels. L’objectif est d’être transparent sur la participation réelle de chaque acteur à la sécurité des données confiées par le client et de standardiser la présentation des garanties mises en place par l’hébergeur permettant de couvrir toute défaillance éventuelle de sa part. A faire : L’hébergeur devra intégrer le tableau reproduit dans le nouveau référentiel de certification HDS listant les acteurs qui participent au traitement des données dans le cadre de la prestation HDS. Nouvelles exigences de transparence et d’hébergement dans l’EEE S’agissant des exigences de transparence, le nouveau référentiel de certification HDS s’inscrit dans une démarche de protection du client et des données de santé à caractère personnel qui sont confiées à

2024 Intelligence artificielle et données de santé
Actualités, Conférences Lexing, Evénement, Santé

Conférence Lexing 2024 Intelligence artificielle et données de santé

/

Isabelle Chivoret et Anthony Sitbon animent une conférence Lexing le 5 juin 2024 Intelligence artificielle et données de santé, de 9h30 à 11h30 heures en visioconférence. Lire la suite Données de santé et IA Conférence Lexing 2024 Intelligence artificielle et données de santé Le développement de l’IA offre des opportunités notamment dans le domaine de la médecine ou de la recherche en santé.  Or l’entraînement des algorithmes nécessite un grand volume de données, notamment de données personnelles. IA et données de santé Conférence Lexing 2024 Intelligence artificielle et données de santé Les traitements de données de santé impliquant de l’intelligence artificielle (ou IA) doivent ainsi respecter la réglementation sur la protection des données. Comment assurer la conformité de vos traitements de données de santé impliquant de l’IA à la règlementation applicable ? Conférence Lexing à distance Conférence Lexing 2024 Intelligence artificielle et données de santé Faites donc le point grâce à la visioconférence qui aura lieu mercredi 5 juin 2024 entre 9h30 et 11h30. Isabelle Chivoret est avocate et directrice du département Santé numérique de Lexing Alain Bensoussan Avocats. Anthony Sitbon est consultant et dirige le département Sécurité de Lexing Technologies. Il présentera les aspects techniques et organisationnels mais aussi sécuritaires des données de santé auxquels il faut prêter attention. Pour y assister, enregistrez-vous en renseignant les champs marqués d’un (*) : Created by potrace 1.16, written by Peter Selinger 2001-2019 Isabelle Chivoret Avocate, Directrice du département Santé numérique Isabelle Chivoret Avocate, Directrice du département Santé numérique Avocate à la Cour d’appel de Paris, Isabelle Chivoret est directrice du département Droit de la santé numérique. Elle intervient dans les domaines du conseil et du contentieux en Droit de la santé et des Sciences de la vie, tant auprès de laboratoires pharmaceutiques, fabricants de dispositifs médicaux, sociétés de biotechnologie, que d’établissements et professionnels de santé, de groupement de coopération sanitaire et de GHT. Phone:+33 (0)6 79 40 91 20 Email:isabelle-chivoret@lexing.law Anthony Sitbon Consultant, Directeur du département Sécurité de Lexing Technologies Anthony Sitbon Consultant, Directeur du département Sécurité de Lexing Technologies Consultant, Anthony Sitbon dirige le département Sécurité de Lexing Technologies. Il a la certification ISO 27005 en management du risque informatique du Professional Evaluation and Certification Board (PECB) (mars 2023), ainsi que la Certification « cybersécurité des TPE/PME » de l’Institut des Hautes Études de Défense Nationale (IHEDN) (octobre 2020). Anthony Sitbon accompagne ses clients les différents domaines relatifs à la cybersécurité. Phone:+33 (0)6 80 34 08 32 Email:anthony-sitbon@lexing-technologies.com Pour en apprendre davantage À l’aube d’une ère où l’intelligence artificielle (IA) est en passe de devenir un compagnon quotidien… Lire plus La cobotique juridique #2 : L’art de l’invite. Comment réussir les prestations juridiques entre 20 et 80% de la version finale… Lire plus

Droit des données et Cybersécurité : Lexing Avocats Décideurs 2024
Actualités, Vie du Cabinet

Droit des données et Cybersécurité : Lexing Avocats classé incontournable par Décideurs

/

La pratique Droit des données et Cybersécurité du cabinet Lexing Alain Bensoussan Avocats est à l’honneur du classement Innovation, Technologies & Télécoms 2024 du magazine Décideurs (Groupe Leaders league) qui vient  de paraître. Nous tenons à remercier nos clients de leur confiance renouvelée. Ainsi que l’ensemble des avocats du cabinet de leur professionnalisme et implication au quotidien. Lire la suite Innovation, Technologie et Télécoms 2024 Droit des données et Cybersécurité : Lexing Avocats incontournable Le magazine Décideurs vient de publier ses classements  « Innovation, Technologie et Télécoms » 2024. Le cabinet est mis à l’honneur en Droit des données et Cybersécurité : il est en effet classé Incontournable dans cette catégorie, qui regroupe les 5 meilleurs cabinets de France de ces deux pratiques. Le magazine Décideurs souligne à cette occasion : « Précédé par sa réputation, le cabinet accompagne des dossiers majeurs issus de grands groupes, multinationales, ETI, ESN, start-up, mais également d’entreprises publiques, d’administrations et collectivités territoriales ». C’est une grande fierté pour les équipes de cette pratique et des départements concernés du cabinet – Alain Bensoussan, Virginie Bensoussan-Brulé, Jérémy Bensoussan, Chloé Torres, Frédéric Forster, Anne Renard, Céline Avignon, Thomas Cantoni, Isabelle Chivoret, Anthony Sitbon, Emmanuel Walle, Raphaël Liotier, Marion Catier, Alexandra Guermonprez, Hugo Roussel – et, au-delà, pour l’ensemble des avocats du cabinet. Droit des données et Cybersécurité Lexing Avocats classé incontournable par Décideurs 2024 Orienté dès sa création vers le droit de la protection des données à caractère personnel, le cabinet dispose, dans ce domaine, d’une expertise unique pour laquelle on lui reconnaît une compétence de près de 45 ans, qui lui permet d’accompagner ses clients dans l’ensemble des problématiques Informatique et libertés qu’ils rencontrent, en conseil comme en contentieux. Dans le domaine de la cybersécurité, l’expertise et les compétences du cabinet permettent à ses clients d’anticiper, d’analyser et d’évaluer les risques, afin de leur permettre de pérenniser et renforcer leur cyber-stratégie, mais aussi de se défendre contre les conséquences dommageables sur les patrimoines et l’image de leur entreprise, en cas de dommages portés à ses réseaux et systèmes d’information. Nos avocats peuvent vous accompagner, n’hésitez pas à nous contacter : paris@lexing.law   Created by potrace 1.16, written by Peter Selinger 2001-2019   Alain Bensoussan     Alain Bensoussan Avocat, pionnier du droit des technologies avancées, du droit de l’informatique dans les années 80 puis de l’internet et des réseaux sociaux au tournant des années 2000, il aborde le droit des technologies robotiques dès 2014, expert reconnu du droit de la protection des données personnelles dont il a accompagné l’émergence dès 1978, Alain Bensoussan a toujours fait de l’innovation son maître-mot. Phone:+33 (0)1 82 73 05 05 Email:alain-bensoussan@lexing.law     Virginie Bensoussan-Brulé     Virginie Bensoussan-Brulé Avocate à la Cour d’appel de Paris, Virginie Bensoussan-Brulé est titulaire du certificat de spécialisation en droit pénal, avec la qualification spécifique droit de la presse. Elle dirige le pôle Contentieux numérique et intervient dans les domaines du conseil et du contentieux en droit de la presse, en droit pénal du numérique et de l’informatique et en contentieux de l’Internet. Virginie Bensoussan-Brulé est nommée « Best Lawyer » dans la catégorie « Privacy and Data Security Law » en 2024 ainsi qu’en 2023. Phone:+33 (0)6 42 31 85 29 Email:virginie-bensoussan-brule@lexing.law     Jérémy Bensoussan     Jérémy Bensoussan Avocat à la Cour d’appel de Paris et ingénieur, Jérémy Bensoussan dirige le département Droit de l’IA & Contentieux technologiques. Il préside la Commission Vie privée et droits de l’homme numérique (Data Privacy) de l’Union internationale des avocats (UIA). Il est également Directeur adjoint de la stratégie digitale de l’UIA et membre de l’Incubateur du Barreau de Paris. Phone:+33 (0)6 38 17 91 60 Email:jeremy-bensoussan@lexing.law     Chloé Torres     Chloé Torres Avocate à la Cour d’appel de Paris, Chloé Torres dirige le département Informatique et libertés. Elle est également le Délégué à la Protection des Données (DPO) du cabinet. Les activités du département Informatique et libertés couvrent les principaux domaines suivants : Chloé Torres Présentation Présentation vidéo mise en conformité au regard des exigences de la réglementation relative à la protection des données personnelles (RGPD, loi Informatique et libertés, décret d’application, doctrine de la Cnil et du CDPD). Phone:+33 (0)6 13 28 96 76 Email:chloe-torres@lexing.law     Frédéric Forster     Frédéric Forster Avocat à la Cour d’appel de Paris depuis 2006, Frédéric Forster est directeur du pôle Télécoms du cabinet Lexing Alain Bensoussan Avocats depuis 2006. Celui-ci regroupe les départements : Télécoms, Informatique et libertés conseil et Marchés publics. Il est par ailleurs Vice-Président du réseau international d’avocats Lexing, Phone:+33 (0)6 13 28 96 78 Email:frederic-forster@lexing.law     Anne Renard     Anne Renard Avocate à la Cour d’appel de Paris, Anne Renard est directrice du département Conformité et Certification : Conformité en matière de protection des données personnelles et Conseil en matière de conformité des organismes. Elle a été désignée déléguée à la protection des données (DPO) recommandée de la profession d’avocat par le Conseil National des Barreaux. Anne Renard est nommée Best Lawyer dans la catégorie « Information Technology Law » des éditions 2024 et 2023 du classement de la revue américaine « Best Lawyers ». Phone:+33 (0)6 74 10 44 24 Email:anne-renard@lexing.law     Céline Avignon       Céline Avignon Avocate à la Cour d’appel de Paris, Céline Avignon dirige le département Publicité et Marketing électronique du cabinet. Le département est composé d’avocats technologues, passionnés par les nouvelles technologies utilisées dans le commerce, le marketing et la publicité. Céline Avignon est nommée Best Lawyer dans les catégories « Advertising Law » et « Privacy and Data Security Law » des éditions 2024 et 2023 du classement de la revue américaine « Best Lawyers ». Phone:+33 (0)6 74 40 80 33 Email:celine-avignon@lexing.law       Thomas Cantoni     Thomas Cantoni Avocat à la Cour d’appel de Paris, Thomas Cantoni est directeur d’activité au sein du département Conformité & Certification. Il intervient dans le domaine de la conformité en matière de protection des données personnelles. Phone:+33 (0)7 62 49 97 22

Actualités, Conférences, Evénement, Pénal numérique, Réglementation, Robot, Vie du Cabinet

L’usage des drones à des fins de sécurité publique

/

Virginie Bensoussan Brulé s’exprime sur l’usage des drones équipés de caméras par les forces de l’ordre à des fins de prévention des atteintes à la sécurité publique pour les Visiteurs du soir du dimanche 21 mai 2023. Frédéric Taddeï et ses invités débattent des grandes questions du XXIe siècle dans les Visiteurs du soir pour CNews.

la recherche médicale
Actualités, Articles, Informatique et libertés, Publication, Santé

Activité 5 de la certification HDS : un retrait toujours d’actualité ?

/

A ce jour, l’activité dite « d’administration et d’exploitation d’applications du système d’information (« SI ») de santé », correspondant à l’activité 5 de la certification Hébergeur de Données de Santé (« HDS »), n’a toujours pas été supprimée du périmètre de la certification, malgré les questionnements qu’elle suscite du fait notamment de son absence de définition.

Retour en haut