|
L’Essentiel : La responsabilité des entreprises en matière de protection des données personnelles est régie par le Règlement (UE) 2016/679. Ce règlement impose aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées. En cas de manquement, la CNIL peut prononcer des sanctions administratives.
|
|
Résumé de l’affaire : Un acheteur a assigné la société Ledger le 28 décembre 2022, soulevant des questions relatives à la protection des données personnelles. Les conclusions de l’acheteur ont été notifiées le 6 septembre 2023, suivies par celles de la société Ledger le 20 novembre 2023. La procédure a été clôturée le 5 décembre 2023, et l’affaire a été examinée lors d’une audience de plaidoiries le 1er octobre 2024, avec une mise en délibéré prévue pour le 4 mars 2025.
Le 5 décembre 2024, l’acheteur a transmis une note en délibéré pour informer le tribunal d’une décision de la Commission nationale de l’informatique et des libertés (CNIL) rendue le 10 octobre 2024. Cette décision a condamné la société Ledger à une amende de 750 000 euros pour des manquements au Règlement général sur la protection des données (RGPD), notamment en ce qui concerne la sécurité des données personnelles de ses clients, ce qui a conduit à des cyberattaques en 2020. L’acheteur a souligné l’importance de cette décision pour le tribunal, bien que la CNIL ait choisi de ne pas la rendre publique. En réponse, la société Ledger a contesté la prise en compte de cette note, arguant qu’elle n’avait pas été autorisée par le tribunal. Ledger a également demandé que toute note en délibéré ne se limite qu’aux informations communiquées par la CNIL et aux articles de presse à partir du 23 octobre 2024, tout en maintenant qu’elle n’avait commis aucune faute. Le tribunal a constaté que la note en délibéré n’avait pas été autorisée, mais a décidé de rouvrir les débats pour permettre à l’acheteur de soumettre une demande de communication de pièce, considérant que la décision de la CNIL était un élément factuel pertinent pour le litige. Le tribunal a donc révoqué l’ordonnance de clôture et a renvoyé l’affaire à une audience ultérieure pour fixer un calendrier concernant la demande de communication de pièce. |
Règle de droit applicableLa responsabilité des entreprises en matière de protection des données personnelles est régie par le Règlement (UE) 2016/679 du 27 avril 2016, connu sous le nom de RGPD. Ce règlement impose aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l’article 32. De plus, l’article 5, paragraphe 1, point e), stipule que les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées. En cas de manquement à ces obligations, la CNIL peut prononcer des sanctions administratives, comme le prévoit l’article 83 du RGPD, qui précise les conditions et les modalités de ces sanctions. Procédure et droit à un procès équitableLe Code de procédure civile, notamment les articles 442, 444 et 445, encadre la possibilité pour les parties de soumettre des observations et des éléments de preuve au tribunal. L’article 442 permet au président et aux juges d’inviter les parties à fournir des explications sur des points obscurs, tandis que les articles 444 et 445 prévoient la réouverture des débats lorsque les parties n’ont pas pu s’expliquer contradictoirement sur des éclaircissements demandés. Ces dispositions garantissent le droit à un procès équitable, en permettant aux parties de présenter leurs arguments et de répondre aux éléments nouveaux qui pourraient influencer la décision du tribunal. Communication des décisions administrativesL’article 77, paragraphe 2, du RGPD précise que la CNIL doit informer les plaignants des manquements retenus et de la sanction prononcée, mais ne rend pas nécessairement publique sa décision. Cela soulève des questions sur la portée de cette communication et sur le droit des parties à accéder à des éléments de preuve pertinents pour leur défense, en particulier lorsque ces éléments proviennent d’une autorité administrative ayant compétence en matière de protection des données. Le tribunal, en ordonnant la réouverture des débats, reconnaît l’importance de ces éléments pour la résolution du litige et assure ainsi un traitement équitable des différentes actions en cours. |
|
Q/R juridiques soulevées :
Quel est le fondement juridique de la demande de note en délibéré par le demandeur ?La demande de note en délibéré par le demandeur repose sur l’article 442 du code de procédure civile, qui stipule : « Le président et les juges peuvent inviter les parties à fournir les explications de droit ou de fait qu’ils estiment nécessaires ou à préciser ce qui paraît obscur. ». Cet article permet au tribunal d’exiger des éclaircissements sur des points de droit ou de fait, ce qui est pertinent dans le cadre de la présente affaire, où des éléments nouveaux ont été portés à la connaissance du tribunal. De plus, l’article 444 du même code précise que « Le président peut ordonner la réouverture des débats. Il doit le faire chaque fois que les parties n’ont pas été à même de s’expliquer contradictoirement sur les éclaircissements de droit ou de fait qui leur avaient été demandés. ». Ainsi, la réouverture des débats est justifiée lorsque des éléments nouveaux, comme la décision de la CNIL, sont introduits dans le dossier. Quel est l’impact de la décision de la CNIL sur la responsabilité de la société Ledger ?La décision de la CNIL, qui a condamné la société Ledger au paiement d’une amende de 750.000 euros pour manquements aux articles 5, paragraphe 1, point e) et 32 du RGPD, a un impact significatif sur la responsabilité de la société. L’article 5 du RGPD stipule que « Les données à caractère personnel doivent être : a) traitées de manière licite, loyale et transparente au regard de la personne concernée ; b) collectées à des fins déterminées, explicites et légitimes et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. ». L’article 32 du RGPD impose aux responsables du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Les manquements constatés par la CNIL, qui ont permis des cyberattaques, peuvent donc engager la responsabilité de la société Ledger, car ils démontrent un défaut de diligence dans la protection des données personnelles. Quel est le rôle du tribunal concernant la communication de la décision de la CNIL ?Le tribunal a un rôle essentiel dans la communication de la décision de la CNIL, car il doit garantir un traitement équitable des parties. L’article 445 du code de procédure civile précise que « Après la clôture des débats, les parties ne peuvent déposer aucune note à l’appui de leurs observations, si ce n’est en vue de répondre aux arguments développés par le ministère public, ou à la demande du président dans les cas prévus aux articles 442 et 444. ». Dans ce contexte, le tribunal a décidé de rouvrir les débats pour permettre au demandeur de soumettre une demande de communication de la décision de la CNIL, considérant que celle-ci constitue un élément factuel utile à la solution du litige. Cette décision vise à assurer que toutes les parties aient la possibilité de se prononcer sur des éléments pertinents pour la résolution du litige, conformément aux principes de contradiction et d’équité. Quel est le principe de la chose jugée en matière de décisions administratives comme celle de la CNIL ?Le principe de la chose jugée en matière de décisions administratives, tel que souligné par la société Ledger, est que ces décisions n’ont pas autorité de chose jugée et ne lient pas les juridictions de l’ordre judiciaire. Cela signifie que le tribunal n’est pas contraint par la décision de la CNIL et peut examiner les faits et les arguments présentés par les parties de manière indépendante. Ce principe est fondamental dans le cadre du droit administratif et judiciaire, permettant aux juridictions de statuer sur la base des éléments de preuve et des arguments présentés dans chaque affaire, sans être influencées par des décisions administratives antérieures. Ainsi, même si la CNIL a constaté des manquements, cela n’exclut pas la possibilité pour la société Ledger de contester ces conclusions devant le tribunal. |
JUDICIAIRE
DE [Localité 6] [1]
[1]
Expéditions
exécutoires
délivrées le:
■
4ème chambre
1ère section
N° RG 23/00362
N° Portalis 352J-W-B7G-CYWW5
N° MINUTE :
Assignation du :
28 Décembre 2022
JUGEMENT DE RÉVOCATION DE CLÔTURE
rendu le 04 Mars 2025
DEMANDEUR
Monsieur [D] [R]
[Adresse 3]
[Adresse 5]
[Localité 2] (MAROC)
représenté par Me Romain CHILLY, avocat au barreau de PARIS, vestiaire #D1496
DÉFENDERESSE
S.A.S. LEDGER
[Adresse 1]
[Localité 4]
représentée par Me Louis DE GAULLE, avocat au barreau de PARIS, vestiaire #K0035
COMPOSITION DU TRIBUNAL
Madame Géraldine DETIENNE, Vice-Présidente
Madame Julie MASMONTEIL, Juge
Monsieur Pierre CHAFFENET, Juge
assistés de Madame Nadia SHAKI, Greffier,
Décision du 04 Mars 2025
4ème chambre 1ère section
N° RG 23/00362 – N° Portalis 352J-W-B7G-CYWW5
DÉBATS
A l’audience du 01 Octobre 2024 tenue en audience publique devant Madame DETIENNE, juge rapporteur, qui, sans opposition des avocats, a tenu seule l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile.
JUGEMENT
Prononcé par mise à disposition au greffe
Contradictoire
Non susceptible d’appel
Vu l’assignation délivrée par M. [D] [R] à la SAS Ledger le 28 décembre 2022 ;
Vu les dernières conclusions de M. [R] notifiées par la voie électronique le 6 septembre 2023 ;
Vu les dernières conclusions de la société Ledger notifiées par la voie électronique le 20 novembre 2023 ;
La clôture de la procédure a été prononcée le 5 décembre 2023. L’affaire a été examinée à l’audience de plaidoiries du 1er octobre 2024 et mise en délibéré au 4 mars 2025.
Le 5 décembre 2024, M. [R] a transmis une note en délibéré aux fins d’informer la juridiction de la décision rendue par la Commission nationale de l’informatique et des libertés (ci-après la CNIL) le 10 octobre 2024 qui a condamné la société Ledger au paiement d’une amende de 750.000 euros pour ne pas avoir mis en place une politique de conservation des données à caractère personnel de ses clients et prospects satisfaisante, ni mis en œuvre des mesures techniques et organisationnelles suffisantes pour s’assurer de la sécurité de ces données, faits constituant des manquements aux articles 5, paragraphe 1, point e) et 32 du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le RGPD) et ayant permis les cyberattaques dont la société a été victime en avril et juin 2020 et la divulgation des données à caractère personnel de ses clients et prospects. Il indique également ne pas disposer de cette décision que la CNIL a choisie de ne pas rendre publique mais qu’il est essentiel que le tribunal puisse en obtenir communication auprès de la CNIL ou de la société Ledger.
Le 11 décembre 2024, la société Ledger a adressé un message électronique aux termes duquel elle s’oppose à la prise en compte de cette note en délibéré non autorisée par le tribunal.
Dans l’hypothèse où M. [R] serait autorisé à produire une note en délibéré, la société Ledger sollicite que celle-ci ne porte que sur les informations communiquées par la CNIL le 23 octobre 2024 et sur les articles de presse en ayant fait état à partir de cette date aux motifs :
– que la délibération de la CNIL n’a pas autorité de chose jugée et ne lie pas les juridictions de l’ordre judiciaire,
– qu’elle est en désaccord avec les manquements au RGPD retenus par la CNIL et maintient l’ensemble de ses moyens concluant à l’absence de toute faute de sa part lors des fuites de données dont elle a été victime,
– que la formation restreinte de la CNIL a considéré que la publicité de sa décision ne se justifiait pas de sorte qu’il s’agit d’une sanction administrative non publique,
– qu’en application de l’article 77 § 2 du RGPD, la CNIL était uniquement tenue d’informer les plaignants l’ayant préalablement saisie de la nature des manquements retenus et de la teneur de la sanction prononcée, ceux-ci étant susceptibles de se prévaloir publiquement de ces seules informations lesquelles ont été reprises dans plusieurs articles de presse à partir du 23 octobre 2024.
Elle demande également à être invitée, le cas échéant, à présenter ses observations en réponse à la note en délibéré qui serait transmise, la réouverture des débats n’étant pas selon elle nécessaire.
Aux termes de l’article 442 du code de procédure civile, « Le président et les juges peuvent inviter les parties à fournir les explications de droit ou de fait qu’ils estiment nécessaires ou à préciser ce qui paraît obscur. ».
Il résulte par ailleurs des articles 444 et 445 du même code que « Le président peut ordonner la réouverture des débats. Il doit le faire chaque fois que les parties n’ont pas été à même de s’expliquer contradictoirement sur les éclaircissements de droit ou de fait qui leur avaient été demandés. » et qu’« Après la clôture des débats, les parties ne peuvent déposer aucune note à l’appui de leurs observations, si ce n’est en vue de répondre aux arguments développés par le ministère public, ou à la demande du président dans les cas prévus aux articles 442 et 444. ».
En l’espèce, il est constant que la note en délibéré transmise par M. [R] n’a pas été autorisée par le tribunal. Il convient toutefois de rappeler que le tribunal a été saisi de plusieurs actions dans lesquelles la responsabilité de la société Ledger est, comme dans la présente espèce, recherchée sur le fondement du RGPD à la suite des cyberattaques dont elle a été victime en avril et juin 2020 et des violations de données consécutives. Dans l’une de ces affaires également mise en délibéré à ce jour, le demandeur a, à la suite de la décision rendue par la CNIL le 10 octobre 2024, régulièrement saisi le tribunal d’une demande de note en délibéré et de réouverture des débats afin que la décision en cause puisse être versée au dossier et faire l’objet d’un débat contradictoire. Considérant que cette décision constituait un élément factuel utile à la solution du litige dès lors que la CNIL, autorité chargée de contrôler l’application du RGPD et de veiller à son respect, avait mené des investigations sur les violations de données en cause et s’était prononcée sur l’un des manquements au RGPD invoqué par le demandeur, le tribunal a décidé de faire droit à la demande de réouverture des débats afin que celui-ci puisse régulièrement former une demande de communication de pièce.
Ces mêmes considérations et la nécessité d’assurer un traitement égal et équitable des différentes actions dans lesquelles le tribunal doit statuer par décision de ce jour conduisent à ordonner la réouverture des débats dans la présente procédure afin que M. [R] puisse régulièrement saisir la juridiction d’une demande de communication de pièce.
Le tribunal, statuant publiquement, par jugement contradictoire rendu avant-dire droit, non susceptible d’appel immédiat,
Ordonne la réouverture des débats ;
Révoque l’ordonnance de clôture prononcée le 5 décembre 2023 ;
Renvoie l’affaire à l’audience de mise en état du mardi 8 avril 2025 à 9 heures 30 avec présence impérative des conseils des parties, pour fixation d’un calendrier relatif à la demande de communication de pièce ;
Réserve toutes les demandes des parties, ainsi que les dépens.
Fait et jugé à [Localité 6] le 04 Mars 2025.
Le Greffier Le Présidente
Nadia SHAKI Géraldine DETIENNE
Votre avis ? Une recommandation ?