Fiche de révision : Droit d’auteur et contrats numériques

Plan du Cours

  1. Périmètre et évolutions du droit numérique
  2. Algorithmes et biais numériques
  3. Construction européenne et équilibres du droit numérique
  4. Acteurs numériques et statut de l’éditeur
  5. Régime juridique de l’hébergeur
  6. Protection des données et champ d’application du RGPD
  7. Acteurs du traitement des données
  8. Conformité et outils de protection
  9. Licéité et durée de conservation
  10. Bases légales des traitements
  11. Finalité des traitements et détournement d’usage
  12. Catégories de données sensibles
  13. Sécurité des données et notification des violations
  14. Exercice des droits des personnes
  15. Information et traceurs numériques
  16. Déréférencement et effacement
  17. Protection des œuvres et droits d’auteur patrimoniaux et moraux
  18. Licences et œuvres dérivées
  19. Contrefaçon et sanctions
  20. Formation du contrat numérique
  21. Protection du consommateur en ligne
  22. Abonnements et résiliation

Repères chronologiques

  1. 6 janvier 1978Le projet SAFARI est abandonné avant l’adoption de la loi Informatique et Libertés, qui crée également la CNIL.
  2. 27 avril 2016Le RGPD est adopté et porte sur le traitement et la protection des données personnelles.
  3. 27 avril 2016Le RGPD est adopté afin d’harmoniser la protection des données dans l’Union européenne et entre en application le 25 mai 2018.
  4. 5 juin 2018La Cour de justice de l’Union européenne a rendu un arrêt relatif à la responsabilité conjointe dans le contexte d’usages de Facebook. - Cour Européenne de Justice, 5 juin 2018
  5. 20 juin 2018La loi Informatique et Libertés est profondément modifiée afin d’être mise en conformité avec le RGPD.
  6. 29 juillet 2019La Cour de justice de l’Union européenne a jugé qu’un commerçant ayant intégré le bouton « J’aime » de Facebook à son site pouvait être co-responsable de la collecte et de la transmission des données des visiteurs. - Cour Européenne de Justice, 29 juillet 2019
  7. 19 octobre 2022Le DSA est adopté pour réguler les plateformes et les contenus.
  8. 27 décembre 2023La formation restreinte de la CNIL a sanctionné Amazon Logistique France pour un dispositif excessif de suivi de la productivité et des pauses des salariés, notamment en raison d’une conservation des données fixée à 31 jours, et lui a infligé une amende de 32 millions d’euros.
  9. 31 janvier 2024La formation restreinte de la CNIL a sanctionné la société Foriou d’une amende administrative de 310 000 euros pour avoir obtenu des données auprès de courtiers dont les formulaires ne garantissaient pas un consentement libre.
  10. 13 mars 2024Un règlement encadrant l’intelligence artificielle est adopté.

1. Périmètre et évolutions du droit numérique

Notions clés & Définitions

  • Droit du numérique : Ensemble des règles qui encadrent les usages et services numériques, les contenus en ligne, les données personnelles, les contrats numériques, la cybersécurité et les technologies comme les algorithmes et l’intelligence artificielle.
  • Plateforme numérique : Service d’hébergement qui stocke, organise et diffuse des contenus et met en relation des utilisateurs.
  • Neutralité technique : Principe consistant à formuler une règle juridique sans viser une technique particulière afin qu’elle puisse s’appliquer malgré les évolutions techniques.

Points essentiels

  • Les plateformes numériques comprennent notamment :

    • les réseaux sociaux
    • les plateformes vidéo
    • les places de marché
    • les moteurs de recherche
    • les services collaboratifs comme Wikipédia
  • La neutralité technique peut être mise en difficulté lorsqu’une technique nouvelle soulève des enjeux entièrement inédits, comme le développement de l’intelligence artificielle.

2. Algorithmes et biais numériques

Notions clés & Définitions

  • Algorithme : Suite d’instructions qui traite des données afin de produire un résultat automatique.
  • Biais algorithmique : Erreur systématique dans un résultat, causée par les données utilisées ou par la manière dont l’algorithme a été conçu ou employé.

★ À maîtriser

📌 Les algorithmes de classement déterminent l’ordre dans lequel les contenus sont présentés, tandis que les algorithmes de recommandation analysent le comportement de l’utilisateur pour lui proposer des contenus, notamment dans la publicité ciblée.

  • Les trois principales sources de biais algorithmiques sont :

    • les données d’entraînement
    • la conception de l’algorithme
    • l’usage qui en est fait
  • Les biais algorithmiques peuvent porter atteinte à la liberté d’expression et conduire à des discriminations, ce qui motive l’encadrement juridique des algorithmes et les obligations de transparence imposées aux grandes plateformes.

Compléments

  • Les banques et les compagnies d’assurance utilisent des algorithmes décisionnels pour évaluer le niveau de risque d’un client ou d’une opération.

  • Un algorithme de reconnaissance faciale entraîné avec davantage de visages d’hommes que de femmes peut être plus performant pour reconnaître les visages d’hommes.

Astuce mémo

Données déséquilibrées → résultats biaisés → risques de discrimination

3. Construction européenne et équilibres du droit numérique

★ À maîtriser

  • L’Union européenne est présentée comme le principal acteur de la construction du droit du numérique et adopte les grands textes structurels applicables dans les États membres.

📌 Un règlement européen entre en vigueur et s’applique dans tous les États membres sans mesure de transposition nationale.

  • Le droit du numérique protège notamment :
    • la vie privée
    • la liberté d’expression
    • la liberté du commerce
    • la non-discrimination
    • la sécurité
    • les mineurs

📌 Le droit du numérique recherche un équilibre entre l’innovation et la protection, entre la liberté et la responsabilité, ainsi qu’entre la création et la sécurité.

Compléments

  • Le DMA, adopté le 14 septembre 2022, régule les marchés numériques.

Astuce mémo

Innovation à concilier avec protection ; liberté avec responsabilité

4. Acteurs numériques et statut de l’éditeur

Notions clés & Définitions

  • Éditeur de contenu : Personne physique ou morale qui choisit ce qui est publié et exerce un pouvoir de décision et de contrôle sur les contenus mis en ligne.
  • Hébergeur : Intermédiaire technique qui stocke des contenus sans exercer de contrôle éditorial sur ceux-ci.
  • Contrôle éditorial : Le contrôle éditorial consiste à choisir et valider les contenus mis en ligne et caractérise l’éditeur, quel que soit son statut juridique.

★ À maîtriser

  • L’ARCOM régule les médias audiovisuels et intervient dans l’encadrement des plateformes, la lutte contre les contenus haineux, violents ou illicites, la transparence des algorithmes, la protection des mineurs et le piratage.

  • La CNIL veille à l’application du droit de la protection des données personnelles, contrôle les organismes qui les traitent et sanctionne les manquements.

  • L’éditeur professionnel exerce son activité dans un cadre économique, tandis que l’éditeur non professionnel est, selon la jurisprudence citée, nécessairement une personne physique qui édite un site personnel sans but lucratif, sous réserve de quelques associations.

  • L’article 6 de la LCEN impose à l’éditeur professionnel de désigner un directeur de la publication juridiquement responsable des contenus publiés ; si l’éditeur est une personne physique, il exerce lui-même cette fonction, et si l’éditeur est une personne morale, le représentant légal l’exerce.

  • L’éditeur non professionnel peut rester anonyme vis-à-vis du public, mais il doit indiquer les coordonnées de son hébergeur et reste responsable des contenus mis en ligne.

Compléments

  • Les créateurs de contenus, comme les blogueurs et les vidéastes, produisent et diffusent des contenus sur des plateformes et doivent faire apparaître leurs partenariats commerciaux.

  • Les fournisseurs d’intelligence artificielle conçoivent et exploitent des systèmes d’intelligence artificielle.

  • La DGCCRF protège les consommateurs et la concurrence, contrôle la loyauté des avis en ligne et la sécurité des produits vendus sur internet, et lutte contre les pratiques douteuses.

  • La Commission européenne initie les grandes réglementations européennes du numérique, contrôle les très grandes plateformes et les transferts de données personnelles vers des États tiers.

  • Un blog générant des revenus par la publicité, les placements de produits ou les articles sponsorisés relève d’une activité économique, même si les revenus sont accessoires.

  • Les mentions légales d’un éditeur professionnel personne physique comprennent : son nom et ses prénoms, son domicile, ses coordonnées téléphoniques ou électroniques, son numéro d’immatriculation au RNE, son numéro d’immatriculation au RCS s’il est commerçant

  • Les mentions légales d’un éditeur professionnel constitué en société comprennent : la dénomination sociale, le siège social, le capital social, les coordonnées téléphoniques ou électroniques, les numéros d’immatriculation au RNE et au RCS

  • Le non-respect des mentions légales de l’article 6 de la LCEN est passible d’un an d’emprisonnement et de 75 000 euros d’amende ; pour une personne morale, l’amende est multipliée par cinq.

Astuce mémo

L’éditeur choisit et contrôle ; l’hébergeur stocke sans contrôle éditorial

5. Régime juridique de l’hébergeur

★ À maîtriser

📌 La LCEN et le DSA posent le principe que l’hébergeur n’est pas responsable des contenus stockés et n’a pas d’obligation générale de surveillance, tant qu’il joue un rôle technique passif.

📌 Lorsqu’il a connaissance effective d’un contenu illicite, l’hébergeur doit le retirer ou en bloquer l’accès dans les plus brefs délais, sous peine d’engager sa responsabilité.

  • La notification prévue par l’article 6 de la LCEN doit indiquer :
    • la date
    • l’identité du notifiant
    • la localisation précise du contenu
    • la description du contenu litigieux
    • le motif juridique de l’illicéité
    • la demande de retrait ou de blocage

📌 Après connaissance d’un contenu illicite, l’hébergeur doit le retirer ou en bloquer l’accès promptement et informer les autorités compétentes lorsqu’il s’agit d’un crime ou d’un délit ; le défaut de réaction peut engager sa responsabilité civile et, en cas de défaut d’information des autorités, entraîner une sanction pénale.

Compléments

  • L’article 16 du DSA impose aux plateformes de mettre en place un mécanisme de signalement des contenus illicites et harmonise la procédure de notification dans l’Union européenne.

📌 Les articles 9 et 10 du DSA font naître la connaissance du contenu illicite chez l’hébergeur lorsqu’il reçoit une injonction de l’autorité compétente.

📌 Selon l’article 22 du DSA, les signaleurs de confiance certifiés par l’ARCOM voient leurs signalements traités en priorité et sans délai, sans devoir suivre la procédure de notification de l’article 6 de la LCEN.

  • Les très grandes plateformes sont des hébergeurs désignés par la Commission européenne qui dépassent 45 millions d’utilisateurs actifs mensuels dans l’Union européenne ; en 2023, la Commission en a établi une liste comprenant 17 plateformes et deux moteurs de recherche.

  • Le défaut d’information des autorités compétentes par l’hébergeur est passible d’un an d’emprisonnement et de 250 000 euros d’amende ; pour une personne morale, l’amende est multipliée par cinq et une interdiction professionnelle pouvant aller jusqu’à cinq ans peut être prononcée.

Astuce mémo

Connaissance du contenu illicite → retrait ou blocage → responsabilité en cas d’inaction

6. Protection des données et champ d’application du RGPD

Notions clés & Définitions

  • Donnée personnelle : RGPD - Toute information relative à une personne physique identifiée ou identifiable directement ou indirectement.
  • Traitement de données personnelles : RGPD - Toute opération portant sur des données personnelles, notamment leur collecte, leur organisation, leur sauvegarde, leur transmission ou leur effacement.

★ À maîtriser

  • La loi Informatique et Libertés du 6 janvier 1978 a créé la CNIL, autorité administrative indépendante chargée de veiller à la bonne application du droit de la protection des données.

  • Le RGPD est un règlement européen directement applicable dans les États membres, obligatoire dans tous ses éléments et ne nécessitant pas de mesure nationale de transposition.

  • Sur le fond, le RGPD s’applique en principe à tous les traitements de données personnelles, sauf exception expressément prévue par un texte.

  • Selon l’article 3 du RGPD, le règlement s’applique lorsque le responsable du traitement ou le sous-traitant est établi dans l’Union européenne, ou lorsque le traitement cible des habitants de l’Union européenne, notamment en leur proposant des biens ou des services.

Compléments

  • La donnée est devenue une ressource économique stratégique, car les organisations qui la maîtrisent sont présentées comme plus efficaces et plus compétitives.

  • La loi Informatique et Libertés définit l’organisation et les pouvoirs de la CNIL et prévoit notamment des régimes spéciaux pour certains traitements relevant de la police et de la justice.

📌 Une donnée peut identifier directement une personne, comme un nom ou une image, ou indirectement lorsque plusieurs données prises ensemble permettent de l’identifier.

  • Les données personnelles comprennent notamment :

    • les noms
    • les prénoms
    • les adresses
    • les numéros d’identification
    • l’image
    • l’ADN
    • la voix
    • les cookies et les adresses IP
  • La liste des opérations de traitement de l’article 4 du RGPD est indicative et non limitative, conformément au principe de neutralité technique.

Astuce mémo

Établissement dans l’UE ou ciblage de l’UE

7. Acteurs du traitement des données

Notions clés & Définitions

  • Personne concernée : RGPD - La personne physique dont les données personnelles font l’objet d’un traitement.
  • Responsable du traitement : RGPD - La personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui détermine les finalités et les moyens du traitement.
  • Sous-traitant : Traite des données personnelles pour le compte du responsable du traitement et conformément à ses instructions, sans disposer du pouvoir de décision sur le traitement.
  • Destinataire : RGPD - Toute personne physique ou morale, autorité publique ou autre organisme habilité à recevoir une communication de données personnelles.
  • Tiers : Toute personne qui n’entre dans aucune des catégories précédentes et ne doit en principe pas accéder aux données personnelles.

★ À maîtriser

  • Le responsable du traitement garantit que le traitement respecte le droit applicable, car il en détient le pouvoir de décision.

  • Deux personnes ou plus qui partagent des données pour une finalité commune sont responsables conjoints si elles disposent toutes d’un pouvoir de décision sur les finalités et les moyens du traitement. - RGPD, 26

  • Dans l’exemple du bouton Facebook, le commerçant est responsable de la collecte et de la transmission des données, tandis que Facebook est seul responsable des traitements ultérieurs.

Compléments

  • Le RGPD reconnaît à la personne concernée des droits lui permettant de conserver la maîtrise de ses données, notamment un droit d’accès et un droit de rectification.

  • La forme juridique du responsable du traitement est indifférente : il peut être une personne publique ou privée, physique ou morale.

📌 Les co-responsables doivent respecter le RGPD, notamment informer les personnes concernées et garantir la sécurité des données, même si leurs responsabilités ne sont pas nécessairement équivalentes.

📌 Le responsable du traitement et le sous-traitant doivent conclure un contrat écrit précisant les droits et obligations de chacun.

  • Le sous-traitant est notamment soumis à une obligation de sécurité des données et à un devoir de conseil envers le responsable du traitement.

📌 Le responsable du traitement définit les destinataires, et seules les personnes pour lesquelles les données sont indispensables peuvent les recevoir.

8. Conformité et outils de protection

Notions clés & Définitions

  • Accountability : Oblige le responsable du traitement à respecter le RGPD et à pouvoir démontrer qu’il le respecte.
  • Analyse d’impact : RGPD, 35 - Un audit préalable des risques imposé pour certains traitements susceptibles de présenter des risques élevés pour les personnes concernées.

★ À maîtriser

  • L’article 24 du RGPD impose au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir et démontrer la conformité du traitement au règlement.

  • La protection des données doit être intégrée dès la conception technique du service ou du logiciel qui traite les données, selon le principe de privacy by design de l’article 25 du RGPD.

  • Le principe de minimisation impose de limiter la collecte aux données strictement nécessaires à la finalité et de retenir les solutions qui protègent le mieux les personnes concernées.

  • Le registre indique notamment (RGPD, 30) :

    • le responsable du traitement
    • le sous-traitant éventuel
    • les finalités
    • les données collectées
    • la durée de conservation
    • les destinataires
  • L’analyse d’impact est obligatoire en cas de (RGPD, 35) : profilage conduisant à des décisions ayant un effet juridique ou important, traitement à grande échelle de données sensibles visées aux articles 9 et 10 du RGPD, surveillance systématique d’un espace public

Compléments

  • Le registre des traitements doit être mis à jour aussi souvent que nécessaire et communiqué à la CNIL si elle le demande.

  • La tenue du registre peut être facultative pour une organisation de moins de 250 salariés si ses traitements n’incluent pas de données sensibles au sens des articles 9 et 10 du RGPD.

  • Lorsque l’analyse d’impact est obligatoire, aucune collecte de données ne peut commencer avant sa réalisation.

  • L’analyse d’impact décrit les opérations envisagées et leurs finalités, évalue les risques pour les droits et libertés, apprécie la nécessité et la proportionnalité du traitement et présente les mesures prévues pour faire face aux risques.

Astuce mémo

Concevoir, minimiser, documenter

9. Licéité et durée de conservation

★ À maîtriser

📌 L’article 5 du RGPD impose que les données soient traitées de manière licite, loyale et transparente, notamment en informant la personne concernée avant toute collecte.

📌 Les données personnelles ne peuvent être conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées. - RGPD, 5

Compléments

  • L’article L. 123-22 du code de commerce impose de conserver les données de facturation et les pièces justificatives pendant 10 ans à compter de la clôture de l’exercice.

  • En l’absence de durée légale, les référentiels publiés par la CNIL fournissent des durées indicatives de conservation sans force contraignante.

  • Pour un candidat non retenu, la CNIL préconise une conservation maximale de deux ans après le dernier contact, sauf opposition du candidat.

📌 À l’issue de la durée de conservation, le responsable doit effacer les données, qui ne peuvent plus faire l’objet d’un traitement.

10. Bases légales des traitements

Notions clés & Définitions

  • Consentement : Une autorisation de la personne concernée qui permet le traitement de ses données et doit être libre, spécifique, éclairée et univoque.

★ À maîtriser

  • L’article 6 du RGPD interdit tout traitement de données dépourvu de base légale, c’est-à-dire de fondement juridique l’autorisant.

  • Le traitement nécessaire pour répondre à une demande de la personne ou exécuter le contrat qu’elle souhaite conclure peut être effectué sans consentement, mais les données ne peuvent être utilisées à d’autres fins, comme la publicité.

  • Un traitement fondé sur une obligation légale peut être réalisé sans consentement, et la personne concernée ne dispose pas d’un droit d’opposition lorsque la collecte est imposée par la loi.

Compléments

  • Le responsable choisit la base légale du traitement en fonction notamment de ses finalités et de ses modalités, et ce choix peut conditionner les droits des personnes concernées.

  • L’article 6 du RGPD énumère six bases légales possibles, dont le consentement, la nécessité de répondre à la demande de la personne ou d’exécuter un contrat, et l’obligation légale.

  • Le consentement est libre si la personne dispose d’un choix réel et peut refuser le traitement sans subir de conséquences excessives.

  • Le consentement doit être spécifique à un traitement et à une finalité précis, éclairé par les informations communiquées au préalable et exprimé par une déclaration ou un acte positif clair.

  • Une case cochée par la personne peut exprimer son consentement, tandis qu’une case précochée à décocher pour refuser ne constitue pas un consentement valable. - CNIL

  • Le modèle « consentir ou payer » n’est pas condamné par principe par la CNIL, qui apprécie au cas par cas la liberté du consentement et le caractère raisonnable du prix de l’alternative payante.

11. Finalité des traitements et détournement d’usage

Notions clés & Définitions

  • Finalité du traitement : L’objectif précis poursuivi par le traitement des données, défini par le responsable et exprimé de manière explicite et intelligible.

★ À maîtriser

📌 La finalité détermine les modalités du traitement : seules les données indispensables à l’objectif peuvent être collectées et la durée de conservation doit être définie en fonction de cet objectif.

📌 L’article 4 du RGPD interdit de réutiliser des données pour une finalité incompatible avec la finalité initiale, et une telle réutilisation nécessite un nouveau consentement des personnes concernées.

  • La CNIL a sanctionné le détournement de finalité commis par le Théâtre national de Bretagne par un avertissement public, dans une délibération du 12 février 2015.

Compléments

📌 La finalité doit être définie dès la conception du traitement et respectée pendant toute sa durée.

  • Le 12 février 2015, la formation restreinte de la CNIL a rendu une délibération concernant la réutilisation à des fins politiques des données d’abonnés du Théâtre national de Bretagne.

  • Les abonnés du Théâtre national de Bretagne avaient consenti à l’utilisation de leur adresse électronique pour gérer leur abonnement ou diffuser des informations culturelles, mais le directeur leur a envoyé un message critiquant la politique culturelle de Rennes.

  • La CNIL a également sanctionné des élus locaux qui utilisaient des offices HLM pour diffuser des avis politiques.

Astuce mémo

Finalité définie → données et durée limitées

12. Catégories de données sensibles

★ À maîtriser

  • L’article 9 protège les données révélant : l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale

  • L’article 9 protège également : les données génétiques, les données biométriques, les données de santé, les données relatives à la vie sexuelle, les données relatives à l’orientation sexuelle

📌 Le principe posé par l’article 9 du RGPD est l’interdiction du traitement des catégories particulières de données, sous réserve des exceptions prévues par le texte.

Compléments

📌 Le traitement de données sensibles est possible avec le consentement explicite de la personne concernée, recueilli après qu’elle a été informée de la collecte de ces données.

  • La CNIL indique que le consentement explicite au traitement de données sensibles peut être donné par une déclaration écrite et signée ou par un courrier exprimant l’acceptation du traitement.

  • Les partis politiques peuvent traiter les données sensibles de leurs membres et de leurs sympathisants.

  • L’article 9, paragraphe 3, du RGPD prévoit un régime particulier pour le traitement des données de santé par les professionnels de santé dans le cadre de leur exercice professionnel.

13. Sécurité des données et notification des violations

Notions clés & Définitions

  • Violation de données : Destruction, perte ou divulgation non autorisée de données, ou accès non autorisé à celles-ci.

★ À maîtriser

📌 L’article 5 du RGPD impose au responsable du traitement de garantir une sécurité appropriée des données et de prendre des mesures techniques et organisationnelles protégeant leur intégrité et leur confidentialité.

📌 Les mesures de sécurité doivent être adaptées aux risques du traitement et évoluer avec ceux-ci, les données médicales nécessitant une protection plus importante.

  • La politique de sécurité doit agir sur les données, les sources de risques, les outils de sécurité et l’anticipation des conséquences d’une violation.

  • Après une violation de données, le responsable du traitement doit agir sans délai pour remédier au défaut de sécurité et en limiter les conséquences.

  • Selon l’article 33 du RGPD, une violation susceptible d’engendrer un risque pour les droits et libertés doit être notifiée à la CNIL dans les 72 heures suivant sa découverte.

  • Selon l’article 34 du RGPD, une violation susceptible d’engendrer un risque élevé pour les droits et libertés impose d’informer individuellement et sans délai chaque personne concernée.

Compléments

  • Les données doivent être protégées contre :

    • la destruction
    • la perte
    • l’altération
    • l’accès non autorisé
    • la divulgation non autorisée
  • En mars 2024, la CNIL a publié une nouvelle version de son guide de sécurité, composée de 25 fiches thématiques, et attend des organismes une politique globale de sécurité.

📌 L’article 33 du RGPD oblige le responsable du traitement à documenter toutes les violations dans un registre tenu à la disposition de la CNIL.

  • Dans une délibération du 19 décembre 2018 concernant Uber, la CNIL a relevé le vol des données de 57 millions d’utilisateurs et l’insuffisance des mesures de sécurité, puis a prononcé une amende de 400 000 euros.

  • Dans l’affaire de l’hôpital privé de la Loire, une attaque survenue en 2025 a permis l’accès aux dossiers de plus de 520 000 personnes, et la CNIL a prononcé une amende de 500 000 euros le 3 septembre 2026.

📌 Si le délai de 72 heures pour notifier la CNIL n’est pas respecté, le responsable du traitement doit justifier son retard.

  • L’information individuelle après une violation doit notamment conseiller aux personnes concernées les mesures à prendre, comme le changement de leur mot de passe.

  • Dans l’affaire de l’hôpital privé de la Loire, la CNIL a reproché à l’établissement de ne pas avoir informé les tiers de confiance dont les données avaient également été dérobées.

Astuce mémo

Risque : CNIL ; risque élevé : chaque personne concernée.

14. Exercice des droits des personnes

Notions clés & Définitions

  • Droit d’accès : Le droit d’accès, prévu par l’article 15 du RGPD, permet de demander si le responsable détient des données personnelles concernant la personne et, le cas échéant, d’en obtenir une copie.
  • Droit d’opposition : Le droit d’opposition, prévu par l’article 21 du RGPD, permet à une personne de demander l’arrêt de certains traitements de ses données.
  • Droit de rectification : Le droit de rectification, prévu par l’article 16 du RGPD, permet de demander la correction d’erreurs ou la mise à jour de données personnelles ; la suppression de données collectées irrégulièrement relève du droit à l’effacement prévu par l’article 17.

★ À maîtriser

📌 Les droits relatifs aux données sont personnels, et le responsable du traitement doit vérifier l’identité du demandeur avant de répondre à sa demande.

  • L’article 12 du RGPD prévoit que l’exercice des droits est gratuit et que le responsable doit répondre dans un délai d’un mois, prolongeable d’un mois en raison notamment de la complexité de la demande.

📌 En matière de prospection commerciale, une personne peut s’opposer sans justification à l’utilisation de ses données à des fins publicitaires, et le responsable doit alors interrompre la prospection.

Compléments

  • Le responsable du traitement doit répondre de manière intelligible et peut répondre par voie électronique à une demande électronique, sauf refus de la personne concernée.

  • L’article 23 du RGPD permet de limiter ou d’écarter certains droits lorsque des textes le prévoient pour protéger l’intérêt général, et le droit d’opposition ne s’applique pas à un traitement fondé sur une obligation légale.

  • Pour un traitement fondé sur l’intérêt public, la personne doit justifier son opposition par les risques que le traitement présente pour sa sécurité et sa vie privée.

  • Le 28 décembre 2012, la CNIL a infligé une amende de 300 000 euros à Free Mobile, qui continuait de prospecter des personnes malgré l’enregistrement de leurs demandes d’opposition.

15. Information et traceurs numériques

Notions clés & Définitions

  • Cookies : Les cookies sont de petits fichiers texte enregistrés sur un appareil lors de la visite d’un site internet afin de mémoriser certaines informations, comme les identifiants de connexion ou la langue choisie.
  • Pixels invisibles : Les pixels invisibles sont de minuscules images transparentes intégrées à une page web ou à un courriel, qui transmettent des informations au serveur lorsqu’elles se chargent.

★ À maîtriser

  • L’information préalable porte notamment sur :
    • l’identité du responsable du traitement
    • la finalité du traitement
    • les catégories de données collectées
    • la durée de conservation
    • les destinataires des données
    • les éventuelles transmissions ultérieures

📌 Selon la CNIL, les pixels invisibles sont des traceurs soumis au même régime que les cookies.

📌 L’utilisation de traceurs nécessite le consentement préalable, actif et spécifique de la personne ; une case précochée ou la simple poursuite de la navigation ne constitue pas un consentement valable.

Compléments

  • Elle précise aussi : le caractère obligatoire ou facultatif de la collecte, les conséquences d’un refus, les droits reconnus par le RGPD, la possibilité de saisir la CNIL

📌 L’information relative aux données doit être facilement accessible et compréhensible, et non simplement disponible après plusieurs opérations complexes.

  • Les pixels invisibles peuvent transmettre l’adresse IP, le type d’appareil, le navigateur ainsi que la date et la durée de consultation, et servir à mesurer l’ouverture des courriels ou à suivre la navigation.

📌 Le refus des traceurs doit être aussi simple que leur acceptation, et la charge de prouver le consentement incombe à celui qui dépose le traceur. - CNIL

  • La CNIL recommande de délivrer l’information sur les traceurs en deux niveaux : un premier niveau présentant les informations principales, puis un second détaillant les finalités, les catégories de traceurs et les tiers destinataires.

  • Le 1er septembre 2025, la CNIL a sanctionné Google de 325 000 euros pour des manquements relatifs à l’information et au consentement concernant les traceurs de Gmail.

  • Le 1er septembre 2025, la CNIL a infligé à SHEIN une amende de 150 millions d’euros pour le dépôt de traceurs sans information suffisante et sans choix réel des utilisateurs.

16. Déréférencement et effacement

Notions clés & Définitions

  • Droit au déréférencement : Le droit au déréférencement permet de faire supprimer certains résultats associés à une recherche effectuée à partir du nom et du prénom d’une personne, sans supprimer le contenu licite lui-même.
  • Droit à l’effacement : Le droit à l’effacement, prévu par l’article 17 du RGPD, permet d’obtenir la suppression des données personnelles dans les hypothèses énumérées par cet article.

★ À maîtriser

  • Le 13 mai 2014, dans l’arrêt Google Spain, la CJUE a reconnu un droit au déréférencement permettant de demander le retrait de certains résultats de recherche.

Compléments

📌 La CJUE considère que le droit au déréférencement peut prévaloir sur l’intérêt économique du moteur de recherche, mais qu’il doit être mis en balance avec la liberté d’information ; des informations excessives, obsolètes ou non pertinentes peuvent être déréférencées.

📌 Le moteur de recherche doit mettre à disposition un formulaire permettant de demander le déréférencement d’un contenu. - CJUE

  • Le 24 septembre 2019, la CJUE a jugé que le droit de l’Union impose le déréférencement sur les versions des moteurs de recherche correspondant aux États membres, mais n’impose pas de l’étendre à toutes les versions mondiales, notamment à Google.com.

📌 L’article 17 du RGPD permet notamment de demander l’effacement de données dont le traitement est illicite ou lorsque l’effacement découle d’une obligation légale.

📌 Une personne devenue majeure peut demander l’effacement des données qu’elle avait communiquées pendant sa minorité dans le cadre de services de la société de l’information fournis en ligne.

Astuce mémo

Déréférencer retire un lien ; effacer supprime les données.

17. Protection des œuvres et droits d’auteur patrimoniaux et moraux

Notions clés & Définitions

  • Œuvre de l’esprit : Une œuvre de l’esprit est une création intellectuelle protégée par le droit d’auteur lorsqu’elle est originale, c’est-à-dire qu’elle exprime la personnalité de son auteur.
  • Droits patrimoniaux : Permettent à l’auteur de contrôler l’exploitation économique de son œuvre et peuvent être cédés.
  • Droit de reproduction : Permet à l’auteur d’autoriser ou d’interdire la copie de son œuvre, quel que soit le procédé utilisé.
  • Droit de représentation : Permet à l’auteur d’autoriser ou d’interdire la communication de son œuvre au public, sans dépendre d’un support particulier.
  • Droits moraux : Incessibles et illimités dans le temps.
  • Droit de retrait : Permet à l’auteur de retirer son œuvre de la production ou d’en modifier l’exploitation après en avoir autorisé la publication.

★ À maîtriser

  • La protection par le droit d’auteur est automatique dès la création de l’œuvre et ne nécessite aucune démarche de l’auteur.

  • La protection par le droit d’auteur exige que l’œuvre reflète la personnalité de son auteur au moyen de choix libres et créatifs.

  • Une idée, comme celle d’une histoire de sorcier dans une école, n’est pas protégée par le droit d’auteur et reste librement appropriable.

  • Pour une œuvre impliquant une intelligence artificielle, la possibilité d’une protection dépend de la part de création humaine et des choix créatifs de l’auteur.

  • Les droits patrimoniaux s’éteignent 70 ans après le décès de l’auteur, puis l’œuvre entre dans le domaine public sous réserve du respect du droit moral.

  • Le droit au respect de l’œuvre permet à l’auteur d’en protéger l’intégrité et d’interdire notamment sa modification ou sa déformation.

Compléments

  • Le Code de la propriété intellectuelle protège les œuvres de l’esprit qu’elles soient physiques ou numériques, notamment les textes, les articles, les images et les vidéos.

  • Une photographie publiée sur Instagram bénéficie de la même protection par le droit d’auteur qu’une photographie exposée dans une galerie.

  • Une photographie peut être originale lorsque son cadrage, son éclairage ou sa mise en scène résulte de choix créatifs.

  • Les actes de reproduction numérique comprennent :

    • le téléchargement
    • la copie
    • la capture d’écran

Astuce mémo

Patrimoniaux cessibles et temporaires, moraux incessibles et perpétuels

18. Licences et œuvres dérivées

Notions clés & Définitions

  • Licence propriétaire : Autorise un ou plusieurs actes de reproduction ou de représentation expressément prévus, et son interprétation est stricte.
  • Licence libre : Accorde à l’avance aux utilisateurs des autorisations générales tout en laissant l’auteur titulaire de ses droits.
  • Œuvre dérivée : Œuvre créée à partir d’une œuvre existante et protégée par le droit d’auteur si elle est originale.

★ À maîtriser

  • La licence définit :
    • la durée de l’exploitation autorisée
    • le territoire d’exploitation
    • les modes d’exploitation

📌 Une œuvre entrée dans le domaine public peut être exploitée sans licence, mais sa paternité et son intégrité doivent toujours être respectées.

Compléments

📌 Le bénéficiaire d’une licence doit respecter les droits moraux de l’auteur, notamment en s’abstenant de modifier l’œuvre lorsque cette modification n’est pas autorisée.

  • La rémunération prévue par une licence propriétaire est généralement proportionnelle à l’usage de l’œuvre.

  • La licence Creative Commons permet notamment, selon les autorisations accordées, de copier, modifier, utiliser sur internet ou exploiter commercialement une œuvre, à condition de citer son auteur.

  • Une photographie strictement technique d’un tableau du domaine public, sans choix créatif, n’est généralement pas considérée comme une œuvre dérivée originale.

  • Les enregistrements musicaux réalisés notamment par des chefs d’orchestre sont souvent considérés comme des œuvres dérivées protégées, dont la diffusion nécessite une licence.

19. Contrefaçon et sanctions

Notions clés & Définitions

  • Contrefaçon : L’article L.335-3 du Code de la propriété intellectuelle qualifie de délit toute reproduction, représentation ou diffusion d’une œuvre en violation des droits de l’auteur.

★ À maîtriser

📌 L’article L.122-4 du Code de la propriété intellectuelle interdit toute représentation ou reproduction totale ou partielle d’une œuvre sans le consentement de l’auteur.

📌 La contrefaçon est une infraction objective constituée par l’utilisation de l’œuvre sans autorisation, sans qu’il soit nécessaire de démontrer la mauvaise foi ou l’intention de nuire.

  • La contrefaçon est en principe punie de trois ans d’emprisonnement et de 300 000 euros d’amende, et le juge peut notamment ordonner la fermeture d’un site internet ou la publicité du jugement.

Compléments

  • Mettre en ligne une photographie sans autorisation constitue une reproduction et une représentation illicites, et utiliser une musique dans une vidéo publiée sur internet constitue une représentation illicite.

📌 Un usage devient illicite lorsqu’il dépasse les limites de l’autorisation accordée, par exemple lorsqu’une autorisation pour une affiche imprimée est utilisée pour publier la photographie sur internet.

  • Les sanctions civiles de la contrefaçon comprennent la cessation de l’atteinte et la réparation du préjudice de l’auteur par des dommages et intérêts.

  • Le juge prend en compte :

    • le manque à gagner subi par l’auteur
    • les bénéfices réalisés par le contrefacteur
    • le préjudice moral subi par l’auteur

Astuce mémo

Usage sans autorisation → contrefaçon et sanctions

20. Formation du contrat numérique

Notions clés & Définitions

  • Conditions générales d’utilisation : Règles fixées par l’exploitant d’un service numérique pour encadrer l’accès et l’utilisation de ce service.
  • Contrat d’adhésion : Les conditions générales d’utilisation sont un contrat d’adhésion lorsque l’exploitant les rédige et que l’utilisateur peut seulement les accepter ou les refuser sans négociation.
  • Clause abusive : Crée un déséquilibre significatif entre les droits et obligations des parties au détriment du consommateur.
  • Dark pattern : Procédé d’interface destiné à orienter le comportement de l’utilisateur en faveur du vendeur ou de la plateforme en jouant sur la présentation des informations.

★ À maîtriser

  • L’article 1127-1 et suivants du Code civil consacrent l’équivalence entre contrat classique et contrat électronique : la dématérialisation ne modifie ni les conditions de validité ni les effets du contrat.

  • Selon l’article 1113 du Code civil, le contrat est formé par la rencontre d’une offre et d’une acceptation par lesquelles les parties manifestent leur volonté de s’engager.

  • L’article 1112-1 du Code civil impose une information précontractuelle sur les informations déterminantes pour le consentement de l’autre partie.

Compléments

  • Les contrats numériques relèvent du droit commun et peuvent aussi être soumis à des règles spécifiques, notamment celles du Code civil et, entre professionnel et consommateur, du Code de la consommation.

  • Lorsque leur acceptation est nécessaire, les conditions générales d’utilisation constituent un contrat entre l’utilisateur et le fournisseur du service.

📌 Les conditions générales d’utilisation doivent respecter l’ordre public et, dans les contrats entre professionnel et consommateur, les règles protectrices du Code de la consommation, notamment l’interdiction des clauses abusives.

  • La première chambre civile de la Cour de cassation a jugé le 6 avril 2016 que le clic vaut acceptation lorsque les conditions générales d’utilisation étaient accessibles.

  • Le professionnel peut établir la preuve du consentement électronique au moyen d’un système d’horodatage ou de logs informatiques retraçant les actions de l’utilisateur.

Astuce mémo

Offre → clic d’acceptation → preuve numérique

21. Protection du consommateur en ligne

Notions clés & Définitions

  • Pratique commerciale trompeuse : Selon les articles L.121-2 et suivants du Code de la consommation, pratique qui induit ou peut induire le consommateur en erreur sur un élément essentiel de l’offre et altère ainsi son comportement économique.

★ À maîtriser

  • L’information précontractuelle porte notamment sur :

    • les caractéristiques du produit
    • le prix
    • les éventuels frais supplémentaires
    • les modalités de livraison
    • le droit de rétractation
  • Une pratique commerciale trompeuse peut entraîner la nullité du contrat, des dommages et intérêts et des sanctions pénales de deux ans d’emprisonnement et 300 000 euros d’amende.

📌 L’article L.221-18 du Code de la consommation prévoit un droit de rétractation pour les contrats conclus à distance, en principe pendant 14 jours à compter de la réception du bien.

  • Le droit de rétractation ne s’applique pas aux biens personnalisés ni aux biens susceptibles de détérioration rapide, et peut être perdu pour un contenu numérique fourni immédiatement lorsque le consommateur demande l’exécution immédiate du contrat.

📌 Le professionnel doit livrer le bien ou fournir le service dans le délai indiqué lors de la conclusion du contrat et, si aucun délai n’est indiqué, en principe dans les 30 jours suivant la commande.

Compléments

📌 L’information précontractuelle destinée au consommateur doit être claire, compréhensible et accessible.

  • Les faux avis positifs en ligne et les fausses promotions destinées à inciter l’achat rapide sont des exemples de pratiques commerciales trompeuses.

📌 Le consommateur peut se rétracter sans motif ni pénalité et obtenir le remboursement du prix, mais les frais de réexpédition peuvent rester à sa charge s’ils ont été clairement annoncés avant la vente.

  • En cas de retard, le consommateur peut : mettre le professionnel en demeure de livrer, attendre l’expiration d’un délai raisonnable, résoudre le contrat et obtenir le remboursement des sommes versées

  • Les garanties légales et les obligations de conformité s’imposent au vendeur sur internet.

22. Abonnements et résiliation

Notions clés & Définitions

  • Reconduction tacite : Renouvellement automatique d’un contrat à son échéance lorsque le consommateur ne manifeste pas la volonté d’y mettre fin.

★ À maîtriser

📌 L’article L.215-1 du Code de la consommation impose au professionnel d’informer le consommateur de l’échéance du contrat et de la possibilité de ne pas le reconduire, par écrit et de manière claire et compréhensible.

  • L’information sur la reconduction doit être communiquée entre trois mois et un mois avant l’échéance du contrat.

📌 Le professionnel qui permet de souscrire un contrat en ligne doit proposer une fonctionnalité de résiliation en ligne facilement accessible, sans obstacles techniques, procédure inutilement complexe ni frais abusifs.

Compléments

📌 Si l’information sur la reconduction n’est pas délivrée, le consommateur peut mettre fin au contrat à tout moment à compter de sa reconduction.

  • Le professionnel qui propose la souscription d’un abonnement en ligne ne peut pas imposer l’envoi d’un courrier recommandé pour résilier l’abonnement.

  • Le non-respect de l’obligation de proposer une résiliation en ligne expose le professionnel à des sanctions administratives prononcées par la DGCCRF.

Astuce mémo

Reconduction tacite : informer avant l’échéance ; résiliation : faciliter la sortie

Tableaux de synthèse

Notification des violations

SituationDestinataireDélai
Risque pour les droits et libertésCNIL72 heures après découverte
Risque élevé pour les droits et libertésChaque personne concernéeSans délai

Teste tes connaissances

Teste tes connaissances sur Droit d’auteur et contrats numériques avec 11 questions à choix multiples et corrections détaillées.

1. Quel ensemble de matières relève du droit du numérique ?

2. Une nouvelle technologie apparaît après l’adoption d’une loi formulée sans référence à un outil particulier. Quel principe permet à cette règle de rester applicable malgré l’évolution technique ?

Faire le QCM →

Révisez avec les flashcards

Mémorisez les concepts clés de Droit d’auteur et contrats numériques avec 10 flashcards interactives.

Quelles règles le droit du numérique regroupe-t-il ?

Les règles encadrant les usages et services numériques, les contenus en ligne, les données personnelles, les contrats numériques, la cybersécurité et les technologies.

Quelles fonctions caractérisent une plateforme numérique ?

Elle stocke, organise et diffuse des contenus, et met en relation des utilisateurs.

Qu’est-ce qu’un algorithme ?

Une suite d’instructions qui traite des données pour produire automatiquement un résultat.

Voir les flashcards →

Cours similaires

Crée tes propres fiches de révision

Importe ton cours et l'IA génère fiches, QCM et flashcards en 30 secondes.

Générateur de fiches