La mmoire des machines un flau social Enjeux

La mémoire des machines, un fléau social ? Enjeux relatifs à la loi “informatique et libertés” et au droit de la preuve électronique G. Desgens-Pasanau – Colloque du 10 juin 2010 Member of the Ernst & Young Global Limited network

Plan 1. Eléments de contexte 2. L’archivage électronique et la loi « informatique et libertés » 3. L’archivage électronique et le droit de la preuve Page 1 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

1. Quelques éléments de contexte ► Loi “informatique et libertés” et droit à l’oubli ► Archivage et devoir de mémoire ► Obligation d’archiver et obligation d’effacer contradictoires à l’attention des professionnels ? Page 2 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it. : injonctions

2. L’archivage électronique et la loi « informatique et libertés » ► L’obligation de définir une durée de conservation des données ► Glissement de la problématique : si la conservation de données sur de longues durées devient possible, les modalités de cette conservation doivent être strictement encadrées ► Risque de non-conformité pour les professionnels qui n’intègrent pas la dimension “informatique et libertés” dans leur politique d’archivage de données ► Pour autant la loi “informatique et libertés” n’interdit (presque) rien ► Actions de nature juridique, technique ou organisationnelle à engager ► Degré de complexité de la réglementation à intégrer Page 3 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

A. Les constats effectués et les actions engagées par la CNIL ► Contrôles sur place qui révèlent de nombreux manquements (pas de durée de conservation définie, “dilution” des archives dans les systèmes d’information, etc. ) : exemple de l’affaire ACADOMIA ► Participation à de nombreux groupes de travail (AFNOR, Forum des droits sur l’internet, etc. ) ► Adoption de la délibération n° 2005 -213 du 11 octobre 2005 portant adoption d'une recommandation concernant les modalités d’archivage électronique, dans le secteur privé, de données à caractère personnel - Objectifs de la recommandation : Inviter les professionnels à définir des procédures d’archivage Intégrer la dimension protection des données dans ces procédures Page 4 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

B. Transposition d’une recommandation de la CNIL de 1988 ► À l'égard des archives privées, il est possible de transposer, dans une certaine mesure, la distinction opérée pour les fichiers publics. Dans le cadre de l'instruction des déclarations qui lui sont adressées par les entreprises, la CNIL distingue ainsi dans certains dossiers trois étapes successives dans la mise en œuvre, par une entreprise, d'un traitement automatisé de données nominatives : ► ► ► le fichier courant le stockage intermédiaire les archives définitives Page 5 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

C. Les préconisations de la CNIL (exemples) ► durée(s) de conservation à définir, à déclarer à la CNIL et à configurer dans les systèmes d’information (règles de purge ou de destruction sélective de données) ► définir une politique de restriction d’accès de plus en plus importante à mesure que l’information archivée est ancienne. Cette politique de restriction d’accès se définit tant au regard des personnes habilitées à avoir accès à l’information qu’au regard des supports utilisés pour conserver cette information. ► Conservation de moyen terme : a minima, isolement des données au moyen d’une séparation logique ► Conservation de long terme : conservation sur un support indépendant, non accessible par les systèmes de production, n’autorisant qu’un accès distinct, ponctuel et précisément motivé auprès d’un service spécifique seul habilité à consulter ce type d’archives Page 6 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

D. Les normes AFNOR / ISO ► ► ► Norme AFNOR 43 -400 (2005) et ISO 11 -506 (2009) : archivage “statique” / “dual enregistrement” (COM/COLD) Norme AFNOR 42 -013 (2009) : archivage “dynamique” (pas d’ISO) Le rôle de la CNIL : de la neutralité technologique vers la labellisation de technologies (loi du 12 mai 2009) Page 7 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

E. Les enjeux internationaux : exemple des procédures “discovery” ► Conflits de loi et rapports de force : extra-territorialité du droit américain ► Document du G 29 (février 2009) ► Délibération n° 2009 -474 du 23 juillet 2009 portant recommandation en matière de transfert de données à caractère personnel dans le cadre de procédures judiciaires américaines dite de « Discovery » ► La dimension internationale renforce la problématique de l’archivage et du droit à l’oubli Page 8 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

Archivage et conformité CNIL ► Un exercice possible mais complexe Page 9 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

3. L’archivage électronique et le droit de la preuve ► Au-delà des aspects CNIL, l’attention des professionnels devrait aussi porter sur les aspects de preuve ► Existence d’un cadre juridique incomplet et peu explicite (loi du 13 mars 2000) ► Difficultés concernant le principe d’imputabilité (signature électronique) ► Difficultés concernant le principe d’intégrité (archivage électronique) ► Peu de jurisprudence (et des jurisprudences récentes qui incitent à la prudence) ► La problématique de la durabilité des supports d’archivage électronique ► Les risques encourus par les professionnels Page 10 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

Quelques idées reçues à dissiper ► L’archivage légal n’existe pas ► Confusion entre archivage et gestion électronique de documents (GED) ► La réforme de 2008 n’a pas réglé le problème de la durabilité Page 11 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

Quelle démarche engager ? ► Identifier le référentiel juridique à utiliser ► Réaliser une analyse du risque juridique ► Déterminer les critères essentiels en matière de force probante d’un document ou d’une donnée archivé ► Adopter certaines bonnes pratiques en matière d’archivage ► Prendre des précautions particulières concernant documents ou de données sur support numérique Page 12 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it. l’archivage de

Archivage électronique et droit de la preuve ► Neutralité technologique et neutralité juridique ► Archivage « statique » vs. archivage « dynamique » ► Nécessité de trouver des solutions à la fois prudentes sur le plan juridique mais également opérationnelles, qui permettent de tirer profit des avantages du numérique Page 13 © 2008 Property of Ernst & Young Société d’Avocats – Confidential, in compliance with the principles stated in the “Disclaimers”. This presentation, reserved for your internal use, is indissociable from the contextual elements used as a basis for its elaboration and from the spoken comments accompanying it.

Merci ! Ernst & Young Société d’Avocats Fabrice Naftalski – Avocat Associé - Responsable de l’activité droit des technologies de l’information et propriété intellectuelle - Correspondant Informatique et Libertés d’Ernst & Young France - Expert legal homologué Euro. Prise (ULD – Euro. Prise – 102 -2009 e) pour certifier la conformité de produits IT et services aux directives européennes 95/46 et 2002/58 33 1 55 6110 05 fabrice. naftalski@ey-avocats. com Guillaume Desgens-Pasanau – Avocat Senior Manager – expert protection des données / privacy Ancien chef du service contentieux et du service des affaires juridiques de la Commission nationale de l’informatique et des libertés (CNIL) 33 1 55 6113 89 guillaume. desgens. pasanau@ey-avocats. com Page 14 © 2008 Propriété d’Ernst & Young Société d’Avocats – Confidentiel et ce dans le respect des principes énoncés dans les « Réserves/Disclaimers » . Cette présentation, à votre seul usage interne, est indissociable des éléments de contexte qui ont permis de l’établir et des commentaires oraux qui l’accompagnent.