Avis de la Commission nationale pour la protection des données relatif au projet de loi n° 7818 portant modification du Code de la consommation aux fins de transposition de
- la directive (UE) 2019/770 du Parlement européen et du Conseil du 20 mai 2019 relative à certains aspects concernant les contrats de fourniture de contenus numériques et de services numériques ;
- la directive (UE) 2019/771 du Parlement européen et du Conseil du 20 mai 2019 relative à certains aspects concernant les contrats de vente de biens, modifiant le règlement (UE) 2017/2394 et la directive 2009/22/CE et abrogeant la directive 1999/44/CE. Délibération n°30/AV25/2021 du ler octobre 2021 Conformément à l'article 57, paragraphe l er, lettre (c) du règlement (UE) n°2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du l er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale )) ou la « CNPD ») « conseille, conformément au droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». Par courrier en date du 13 avril 2021, Madame la Ministre de la Protection des consommateurs a invité la Commission nationale à se prononcer sur le projet de loi n° 7818 portant modification du Code de la consommation aux fins de transposition de
- la directive (UE) 2019/770 du Parlement européen et du Conseil du 20 mai 2019 relative à certains aspects concernant les contrats de fourniture de contenus numériques et de services numériques ;
- la directive (UE) 2019/771 du Parlement européen et du Conseil du 20 mai 2019 relative à certains aspects concernant les contrats de vente de biens, modifiant le règlement (UE) 2017/2394 et la directive 2009/22/CE et abrogeant la directive 1999/44/CE (ci-après le « projet de loi »). D'après les auteurs du projet de loi, « principal objectif de ces directives est de favoriser la création d'un véritable marché numérique dans l'intérêt à la fois des consommateurs et des entreprises en éliminant les principaux obstacles liés au droit des contrats qui entravent le commerce transfrontière ». Les auteurs du projet de loi indiquent que les directives « prévoient des règles d'harmonisation maximale ». Les deux directives à transposer « se basent sur l'article 114 du Traité sur le fonctionnement de l'Union européenne, dont le principal objectif est CNP1 CONMIUdOM NAT rmw, VL1e ,<5 WKI.e.E3 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
- 1/8 d'améliorer l'établissement et le fonctionnement du marché intérieur » et s'insèrent dans la « stratégie [de l'Union européenne] pour un marché unique numérique ». Suivant l'exposé des motifs, le projet de loi « réforme, d'une part, en profondeur les règles relatives à la conformité des biens meubles corporels du Chapitre relatif à la garantie légale de conformité du Code de la consommation » et « porte, d'autre part, introduction de dispositions nouvelles concernant les contrats de fourniture de contenus numériques ou de services numériques ». Les auteurs du projet de loi expliquent encore que le projet de loi introduit « des dispositions spécifiques pour les biens comportant des éléments numériques (les 'smart goods' tels que les smartphones, les montres connectées, les tablettes numériques, les liseuses etc.) notamment en ce qui concerne leurs mises à jour ». Ensuite, d'après les auteurs du projet de loi, les « dispositions nouvelles concernant les contrats de fourniture de contenus numériques ou de services numériques [...] répondent à la particularité inédite que la fourniture du contenu numérique ou du service numérique peut avoir lieu [...] en l'échange [...] de la fourniture par [le consommateur] de données à caractère personnel ». Finalement, le projet de loi « met subséquemment en place les recours, et leurs modalités, en cas de défaut de fourniture, de nonconformité ou encore de modifications des contenus numériques ou des services numériques ». Dans la mesure où le présent projet de loi transpose en droit national la directive (UE) 2019/770 et de la directive (UE) 2019/771 précitées, la Commission nationale renvoie en ce qui concerne le cadre légal de cette directive à l'avis 4/2017 du 14 mars 2017 du Contrôleur européen de la protection des données (ci-après le « CEPD ») sur la proposition de directive concernant certains aspects des contrats de fourniture de contenu numérique' et limitera ses observations aux dispositions légales concernant la mise en œuvre concrète de cette directive en droit national ayant un impact potentiel en matière de protection des données à caractère personnel. I. Mise à jour de « smart goods » D'après l'exposé des motifs, le projet de loi introduit « des dispositions spécifiques pour les biens comportant des éléments numériques (les 'smart goods' tels que les smartphones, les montres connectées, les tablettes numériques, les liseuses etc.) notamment en ce qui concerne leurs mises à jour ». Ainsi, le nouvel article L.212-16, paragraphe 2, du Code de la consommation prévoit que « [I]e professionnel veille à ce que le consommateur soit informé des mises à jour, y compris des mises à ]our de sécurité, qui sont nécessaires au maintien de la conformité du contenu numérique ou du service numérique, et les reçoive au cours de la période [...] 1 https://edps.europa.eu/sites/edp/files/publication/17-03-14 opinion digital content fr.pdf Voir également : Résumé de l'avis sur la proposition de directive concemant certains aspects des contrats de fourniture de contenu numérique. Journal officiel de l'Union européenne, 2017/C 200/07, 23 juin
- otfi 1...... DES FEI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
- 2/8 De même, les nouveaux articles L-212-3, alinéa premier, lettre d), L-212-4, paragraphe 3, et L212-16, paragraphe 2, du Code de la consommation prévoient des obligations et notions similaires concernant les mises à jour et les mises à jour de sécurité. La CNPD salue l'introduction de telles dispositions qui permettent une utilisation optimale de ces biens comportant des éléments numériques. Ces dispositions clarifient, indépendamment d'autres règles telles que découlant notamment du RGPD, les obligations du professionnel en relation avec la fourniture d'un tel bien. La Commission nationale tient toutefois à rappeler que de manière complémentaire à cette obligation, lorsque l'utilisation du bien en question implique des traitements de données à caractère personnel, l'article 32 du RGPD prévoit des obligations autonomes en matière de mesures de sécurité, notamment que le « responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». À cet égard, il y a lieu de relever que le considérant 30 de la directive 2019/771 précise in fine que « fila présente directive ne devrait pas avoir d'incidence sur les obligations de fournir des mises à jour de sécurité prévues par ailleurs dans le droit de l'Union ou dans le droit national ». Le considérant 48 de la directive 2019/770 explique par ailleurs que « [...] un manquement aux obligations découlant du règlement (UE) 2016/679 pourrait, en même temps, rendre le contenu numérique ou le service numérique impropre à la finalité visée et, en conséquence, constituer un défaut de conformité au critère objectif de conformité qui veut que le contenu numérique ou le service numérique soit adapté aux finalités auxquelles servirait normalement un contenu numérique ou un service numérique de même type. [...] Dans le même ordre d'idées, le considérant 50 de la directive 2019/770 explique que « Lorsqu'ils appliquent les règles de la présente directive, les professionnels devraient utiliser des normes, des spécifications techniques ouvertes, des bonnes pratiques et des codes de conduite, y compris en ce qui concerne les formats de données couramment utilisés et lisibles par machine pour extraire le contenu autre que les données à caractère personnel, qui a été fourni ou créé par le consommateur lors de l'utilisation du contenu numérique ou du service numérique, et y compris ceux relatifs à la sécurité des systèmes informatiques et des environnements numériques, qu'ils soient établis au niveau international, au niveau de l'Union ou au niveau sectoriel. » Ainsi, dans le contexte de la mise à disposition de biens et services impliquant des traitements de données, le défaut de mise en place de mesures de sécurité adéquates (compte tenu de l'état de l'art) par le responsable de traitement ou par le sous-traitant au titre de leurs obligations découlant du RGPD pourrait le cas échéant constituer un défaut de conformité au critère objectif CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
- 3/8 de conformité d'un bien comportant des éléments numériques, et ce même si le contrat avec le consommateur reste muet sur la mise à jour des éléments numériques. II. La fourniture de contenus numériques ou de services numériques en échange de la fourniture de données à caractère personnel Les auteurs du projet de loi précisent dans l'exposé des motifs que « le projet de loi porte introduction de dispositions nouvelles concernant les contrats de fourniture de contenus numériques ou de services numériques. Ces contrats répondent à la particularité inédite que la fourniture du contenu numérique ou du service numérique peut avoir lieu non seulement en l'échange du paiement d'un prix par le consommateur, mais également de la fourniture par ce dernier de données à caractère personnel ». Ainsi, le nouvel article L-212-12, paragraphe ler, alinéa 3 du Code de la consommation prévoit que : « La présente sous-section s'applique également lorsque le professionnel fournit ou s'engage à fournir un contenu numérique ou un service numérique au consommateur, et le consommateur fournit ou s'engage à fournir des données à caractère personnel au professionnel, sauf lorsque les données à caractère personnel fournies par le consommateur sont exclusivement traitées par le professionnel pour fournir le contenu numérique ou le service numérique conformément à la présente sous-section ou encore pour permettre au professionnel de remplir les obligations légales qui lui incombent, pour autant que le professionnel ne traite pas ces données à une autre fin. » Dans le commentaire des articles, les auteurs présentent ce passage comme « &kande nouveauté et disposition inédite de la directive 2019/770, les contrats par lesquels au lieu de payer un prix, le consommateur fournit des données à caractère personnel entre dans le champ d'application de la présente sous-section. » Néanmoins, le nouvel article L.212-12, paragraphe 8 du Code de la consommation indique que : « Le droit de l'Union européenne en matière de protection des données à caractère personnel s'applique à toutes les données à caractère personnel traitées en lien avec les contrats visés au paragraphe
(1). En particulier, la présente sous-section est sans préjudice du [RGPD] et de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques. En cas de conflit entre les dispositions de la présente sous-section et celles du droit de l'Union en matière de protection des données à caractère personnel, ces dernières prévalent. » CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
- 4/8 En ce qui concerne plus particulièrement la fourniture de contenus numériques ou services numériques, les auteurs du projet de loi précisent dans l'exposé des motifs que « cette variété de contrats se traduit notamment par une nouveauté notable du texte qui vise à prendre en considération comme contrepartie non pécuniaire de la fourniture du contenu ou du service numérique, la fourniture par le consommateur de données à caractère personnel. La directive tente ainsi de trouver un équilibre entre la protection des données à caractère personnel qui est un droit fondamental et la nécessité de protéger le consommateur dans des transactions s'inscrivant dans un modèle commercial fondé sur la revente de données personnelles ». En se basant sur les normes européennes en matière de droit fondamental au respect de la vie privée et du droit fondamental à la protection des données à caractère personnel, le CEPD relève qu'il est « fort possible qu'il existe un marché des données à caractère personnel mais cela ne signifie pas que nous puissions ou devions conférer à ce marché l'onction de la loi ». Ainsi, il est regrettable que la directive 2017/770, et partant le projet de loi, suggère que la fourniture de données à caractère personnel puisse constituer une réelle contrepartie à une prestation de services ou de bien, en particulier un contenu ou un service numérique. En effet, tel qu'il découle par ailleurs explicitement du nouvel article L.212-12, paragraphe 8 du Code de la consommation précitée, le traitement des données à caractère personnel du consommateur par le professionnel doit se conformer en tous points aux règles découlant du RGPD et de la législation relative à la vie privée et aux communications électroniques, en particulier les droits des personnes concernées tels que le droit à l'effacement et le droit d'opposition. À cet égard, la CNPD se rallie à l'avis du CEPD qui considère dans son avis que « les données à caractère personnel ne peuvent pas être comparées à un prix ou à de l'argent » et « que le terme 'les données comme contrepartie' devrait être évité » pour éviter la confusion avec les obligations découlant en particulier du RGPD. À cet égard, il y a lieu de relever que le considérant 38 de la directive 2019/770 précise que « la présente directive ne devrait pas réglementer les conditions applicables au traitement licite des données à caractère personnel, cette question étant réglementée, en particulier, par le [RGPD]. Dès lors, un traitement de données à caractère personnel en lien avec un contrat relevant du champ d'application de la présente directive n'est licite que s'il est conforme aux dispositions du [RGPD] concernant les fondements juridiques du traitement des données à caractère personnel ». En tout état de cause, la CNPD salue néanmoins le fait que le consommateur puisse bénéficier des mêmes garanties prévues par le Code de la consommation en relation avec des contrats soidisant « gratuits », c'est-à-dire sans contrepartie pécuniaire, portant sur des biens et services numériques, y compris la fourniture de contenu numérique. Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
- DES Jel.nSES 5/8 Ill. Les moyens de recours D'après l'exposé des motifs, le projet de loi « met subséquemment en place les recours, et leurs modalités, en cas de défaut de fourniture, de non-conformité ou encore de modifications des contenus numériques ou des services numériques ». Ainsi, le nouvel article L. 212-6, paragraphe l er, du Code de la Consommation prévoit que : « En cas de défaut de conformité, le consommateur a droit, dans les conditions prévues au présent article, à la mise en conformité des biens, à une réduction proportionnelle du prix, ou à la résolution du contrat. » Le nouvel article L. 212-21, paragraphe 1er, du Code de la Consommation prévoit une disposition similaire pour les contrats visant la fourniture de contenu numérique ou d'un service numérique. Les auteurs du projet de loi précisent dans le commentaire de cet article que « lorsque le contenu ou le service numérique a été fourni en échange de la fourniture par le consommateur de données à caractère personnel, le consommateur a droit à la résolution du contrat (il ne peut pas assez logiquement bénéficier d'une réduction du prix) ». Comme évoqué plus haut, le considérant 48 de la directive 2019/770 explique que : « [...] un manquement aux obligations découlant du règlement (UE) 2016/679 pourrait, en même temps, rendre le contenu numérique ou le service numérique impropre à la finalité visée et, en conséquence, constituer un défaut de conformité au critère objectif de conformité qui veut que le contenu numérique ou le service numérique soit adapté aux finalités auxquelles servirait normalement un contenu numérique ou un service numérique de même type. Tel serait le cas, par exemple, si le professionnel de logiciels de cryptage de données ne mettait pas en œuvre les mesures appropriées requises par le règlement (UE) 2016/679 pour garantir que les données à caractère personnel dès la conception ne sont pas divulguées à des destinataires non autorisés, ce qui rendrait le logiciel de cryptage impropre à sa finalité, à savoir le transfert sécurisé de données par le consommateur à leurs destinataires voulus. Enfin, il pourrait exister des cas où le non-respect, par le professionnel, des obligations qui lui incombent en vertu du règlement (UE) 2016/679 peut également constituer un défaut de conformité du contenu numérique ou du service numérique au critère objectif de conformité qui veut que le contenu numérique ou le service numérique présente les caractéristiques qui sont normales pour des contenus numériques ou des services numériques de même type et auxquelles le consommateur peut raisonnablement s'attendre. Par exemple, si un professionnel proposant une application de vente en ligne ne prend pas les mesures prévues par le règlement (UE) 2016/679 pour assurer le traitement sécurisé des données à caractère personnel du consommateur et que, par conséquent, les informations liées à la carte de crédit du YOLN DEE DOM1KUS Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
- 6/8 consommateur sont exposées à des logiciels malveillants ou à des logiciels espions, ce manquement pourrait également constituer un défaut de conformité du contenu numérique ou du service numérique au sens de la présente directive, étant donné que le consommateur pourrait raisonnablement s'attendre à ce qu'une application de ce type possède normalement des caractéristiques empêchant la divulgation de ses coordonnées bancaires. » Les faits qui mènent à un non-respect des exigences prévues par le règlement (UE) 2016/679, y compris de ses principes de base tels que les exigences en matière de minimisation des données, de protection des données dès la conception et de protection des données par défaut, peuvent également, selon les circonstances, être considérés comme des défauts de conformité du contenu numérique ou du service numérique aux critères subjectifs ou objectifs de conformité prévus par la présente directive. Un exemple pourrait être celui d'un professionnel qui s'engage explicitement dans le contrat à respecter une obligation, ou celui où le contrat peut être interprété comme tel, et où cette obligation est également liée aux obligations du professionnel prévues par le règlement (UE) 2016/
- Dans ce cas, un tel engagement contractuel peut devenir partie intégrante des critères subjectifs de conformité. [...] Lorsque les faits à l'origine du non-respect des exigences prévues par le règlement (UE) 2016/679 constituent également un défaut de conformité du contenu numérique ou du service numérique aux critères subjectifs ou objectifs de conformité tels qu'ils sont prévus par la présente directive, le consommateur devrait avoir droit aux recours pour défaut de conformité prévus par la présente directive, à moins que le contrat ne soit déjà nul ou susceptible d'être annulé en vertu du droit national. » Il est ainsi à saluer que, pour des violations du RGPD en lien avec la fourniture d'un contenu numérique, d'un service numérique ou d'un bien comportant des éléments numériques, le consommateur bénéficie des voies de recours susmentionnés, en plus des recours normalement disponibles pour des violations des dispositions en matière de la protection des données à caractère personnel et d'atteintes à la vie privée, notamment à l'article 82 du RGPD. A cet égard, il y a lieu de rappeler le considérant 48 de la directive 2019/770 qui précise que « file règlement (UE) 2016/679 ou toute autre disposition du droit de l'Union en matière de protection des données devrait s'appliquer pleinement au traitement des données à caractère personnel en lien avec tout contrat relevant du champ d'application de la présente directive. En outre, la présente directive devrait s'appliquer sans préjudice des droits, des obligations et des recours non contractuels prévus par le règlement (UE) 2016/679 ». Toutefois, il n'est pas aisé de déterminer à partir de quels éléments le consommateur pourra effectivement prouver la non-conformité du contrat sur la base d'une violation des dispositions applicables en matière de protection des données. D'une part, la simple allégation d'une telle violation portée à l'encontre d'un professionnel ne semble pas suffisante afin de démontrer une telle non-conformité. D'autre part, l'exigence pour le consommateur d'une décision définitive à CNPCI Avis de la Commission nationale pour la protection des données relatif au projet de loi n°
- 7/8 l'encontre du responsable du traitement ou d'un sous-traitant de la part de l'autorité de contrôle (en l'occurrence la CNPD) ou dans le cadre d'un recours juridictionnel semble placer une charge de la preuve excessive sur le consommateur, notamment en conditionnant l'exercice de son recours — notamment la résiliation d'un contrat — à des procédures potentiellement longues et éventuellement dépendant d'une marge d'appréciation d'une autorité disposant de l'opportunité d'action. Ainsi, la CNPD se demande s'il ne serait pas utile de détailler de quelle manière le consommateur peut apporter la preuve d'une telle non-conformité. Au-delà des recours de droit civil disponibles pour le consommateur, il se pose la question de la mise en œuvre de la responsabilité du professionnel, en particulier lorsque la résolution du contrat découle d'un défaut de conformité aux critères subjectifs ou objectifs basés sur une violation des obligations découlant du RGPD. Bien que le droit à un recours collectif ne soit pas visé par les deux directives, la CNPD profite du présent avis pour soutenir l'introduction d'un tel dispositif en droit luxembourgeois. Ainsi, elle avait déjà appelé de ces vœux l'introduction d'une disposition prévoyant cette possibilité de recours collectif ou « class action » pour des questions de protection des données, dans la loi du ier août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données. L'article 80, paragraphe
(2)du RGPD indique d'ailleurs explicitement que les États membres peuvent prévoir cette possibilité conformément à leur droit national, ce qui n'est toutefois pas le cas à ce jour au Luxembourg. Une telle possibilité pourrait encore être introduite le cas échéant par le biais du projet de loi n° 7650 portant introduction du recours collectif en droit de la consommation, en y incluant la réparation de préjudices découlant d'une atteinte à la protection des données à caractère personnel ou de la vie privée. Ainsi décidé à Belvaux en date du ier octobre 2021. La Commission nationale pour la protection des données Cr 0 Tine A. Larsen Présidente CNPD Thierry Lallemang Commissaire • arc Lemmer Commissaire Alain Herrmann Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7818. 8/8