Newsletters

Référence complète: Frison-Roche, M.-A., Le « droit à l'oubli » toujours en expansion: un oxymore légitime dans le Droit de la Compliance construit sur l'information. L'exemple de la protection des survivants du cancer (The always in expansion "Right to be Forgotten"​: a legitimate Oxymore in Compliance Law built on Information. Example of​ Cancer Survivors Protection), Newsletter MAFR – Law, Compliance, Regulation, 25 août 2020  Lire par abonnement gratuit d'autres news de la Newsletter MAFR – Law, Compliance, Regulation   Résumé de la news Le « droit à l'oubli » est une invention de la Cour de Justice de l'Union européenne lors de l'affaire Google Spain en 2014. Il implique que les entreprises numériques bloque l'accès aux données personnelles d'un individu lorsque celui-ci le demande. Ce « droit à l'oubli », qui permet d'imposer le secret au tiers a largement été généralisé par le RGPD adopté en 2016. Ce nouveau droit subjectif fondamental est un droit à la fois très politique et très européen. Les Etats-Unis qui, contrairement à l'Europe, n'ont pas fait l'expérience du nazisme, lie le « droit à l'oubli » à la protection du consommateur, conception qui conduit notamment le California Consumer Privacy Act  adopté en 2018 à lier ce droit à une situation d'absence  de nécessité de ces données pour l'entreprise qui les a obtenues. En Europe, cette volonté de protéger directement le personnage accroît au contraire la portée d'un tel droit subjectif. Ainsi, en France et au Luxembourg, depuis 2020, une personne ayant été malade d'un cancer peut donc demander à ce qu'une telle information ne soit pas accessibles parmi les données de santé, notamment pas aux compagnies d'assurance qui les manient dans leur  calcul des risques pour fixer le montant des primes. Les Pays-Bas feront de même en 2021 pour lutter contre la discrimination entre les clients des banques et des assureurs. Le « but monumental » n'est ainsi plus tant ici la protection des libertés individuelles que la protection de la personne vulnérable, qui est par ailleurs la clef de voûte d'un Droit de la Compliance équilibrant tantôt interdiction de faire circuler l'information (comme ici) et tantôt obligation de faire circuler l'information (dans d'autre cas, où l'alerte doit être donnée) suivant que les personnes vulnérables sont protégées soit par l'un soit par l'autre. 

Référence générale: Frison-Roche, M.-A., Le contrôle par le Régulateur des plans d'investissement des gestionnaires d'infrastructures essentielles : l'exemple du réseau électrique et la notion de « doctrine », (The control by regulator of the essential infrastructure manager's investment plan: example of electric network and the notion of « doctrine »), Newsletter MAFR – Law, Compliance, Regulation, 24 août 2020 Lire par abonnement gratuit les autres news de la Newsletter MAFR – Law, Compliance, Regulation   Résumé de la news Le 31 juillet 2020, La Commission de Régulation de l'Energie (CRE) a examiné le plan d'investissement du gestionnaire du réseau électrique français RTE comme il le fait chaque année. Ce plan d'investissement est un document économique mais il contient également des finalités sociétales, en particulier d'adapter le réseau d'électricité en vue d'intégrer les énergies renouvelables.  Le contrôle de la CRE n'est pas qu'un contrôle financier. L'opérateur crucial qu'est RTE est libre de décider la manière dont il souhaite gérer son budget. La CRE ne fait pas que formuler des conseils sur le plan financier en recommandant par exemple d'être davantage flexible dans ses stratégies financières. Le véritable contrôle de la CRE concerne les orientations générales du plan d'investissement, la méthodologie de l'analyse des besoins et les choix d'investissement de l'opérateur crucial devant être alignés sur ceux du régulateur.  Un tel contrôle donne lieu à l'émergence d'une « doctrine d'investissement » du côté de l'opérateur crucial, mélangeant ses propres choix et les lignes directrices du Régulateur qui le supervise. Au-delà de cela, l'élaboration du plan d'investissement relève d'une véritable corédaction entre le Régulateur et l'entreprise qui discutent ensemble, échangent des points de vue et des méthodes . Une telle méthode de travail, exprimant une sorte de corégulation, pourrait également s'installer dans d'autres secteurs.  -      

Référence complète: Frison-Roche, M.-A., Etre obligé de déverrouiller son téléphone n'est pas équivalent à s'auto-incriminer: Cour de Cassation, Chambre criminelle, 19 décembre 2019, (Being obliged by Law to unlock telephone is not equivalent to self-incrimination: Cour de cassation, Criminal Chamber, Dec. 19, 2019), Newsletter MAFR – Law, Compliance, Regulation, 21 août 2020 Lire par abonnement gratuit les autres news de la Newsletter MAFR – Law, Compliance, Regulation   Résumé de la news La Cour de Cassation a rendu une décision le 19 décembre 2019 à propos d'une affaire concernant le refus de la part d'un citoyen de communiquer le code de déverrouillage de son téléphone portable à la police alors que celle-ci l'avait trouvé en possession d'une quantité significative de drogue et de beaucoup d'argent liquide et qu'il existait une probabilité certaine que ledit téléphone contienne des informations qui aurait pu constituer des preuves de la culpabilité de son propriétaire. L'individu en question a été inculpé non pas pour trafic de drogue mais pour avoir refusé de communiquer son code de déverrouillage et donc pour infraction à l'article 434-15-2 du code pénal, issu de la loi du 3 juin 2018 renforçant la lutte contre la criminalité organisée, et le terrorisme et leur financement. L'accusé invoque devant la cour son droit à ne pas s'auto-incriminer. Effectivement, la configuration face aux policiers était telle que s'il refusait de communiquer son code de déverrouillage, il serait sanctionné au motif de cette obligation de communiquer son code et que s'il acceptait, il se serait également retrouvé sanctionné au vu des preuves contenues dans le téléphone portable. Une telle configuration ne lui offrait donc pas d'alternative à l'aveu, ce qui est contraire à la Convention Européenne des Droits de l'Homme et à la jurisprudence européenne et nationale. Face à un tel cas, la Cour de Cassation a choisi de segmenter les différentes informations en présence et a donc proposé la solution suivante: si les informations recherchées ne peuvent être obtenues indépendamment de la volonté du suspect, il n'est pas possible de contraindre cette personne à communiquer la dite information sans violer ses droits procéduraux, mais si les informations peuvent être obtenues indépendamment de la volonté du suspect, alors l'individu est dans l'obligation de communiquer son code. Dans le cas présent, comme il était possible pour les forces de l'ordre d'obtenir les information contenues dans le téléphone par des moyens techniques, certes plus longs mais existants, alors le refus de communication du code de verrouillage par le suspect constitue une obstruction qu'il convient de sanctionner.  Une telle décision est un exemple de conciliation par le juge des deux « buts monumentaux » fondamentaux mais contradictoires du Droit de la Compliance: la transparence de l'information vis-à-vis des autorités publiques et la protection des données personnelles à caractère sensible.  - ​Pour aller plus loin, lire le document de travail de Marie-Anne Frison-Roche: Repenser le monde à partir de la notion de donnée

Référence complète: Frison-Roche, M.-A., Existe-t-il un « droit à l'indemnisation » lorsque le Droit de la Compliance est transgressé, et cela doit-il être encouragé? – Le Cas Marriott, (When Compliance Law is violated, does the "right to be (re)compensated"​ exist, and must it be encouraged or not? – The Marriott case), Newsletter MAFR – Law, Compliance, Regulation, 20 août 2020 Lire par abonnement gratuit les autres news de la Newsletter MAFR – Law, Compliance, Regulation   Résumé de la news En août 2020, l'entreprise Marriott International, plateforme de réservation de chambres d'hôtel en ligne, a été traduite devant une tribunal britannique par une entreprise de Conseil par une technique de « class action ». L'entreprise demande à ce que Marriott International indemnise les clients dont les données personnelles ont été piratées alors même que Marriott International, qui avait la charge de ces données, n'avait pas mis en oeuvre tout ce qu'elle pouvait pour protéger les données en question. Selon l'entreprise demandeuse, rendre l'entreprise responsable en Ex Ante de la sécurité des données de ses clients et la contraindre à indemniser les clients lésés en cas d'échec est une plus grande incitation pour l'entreprise à faire de son mieux pour protéger ces données qu'une simple amende monétaire à payer aux autorités publiques. De nombreux recours similaires sont en cours, notamment devant des cours britanniques où la pratique de la « class action » est plus développée. La question est par conséquent de savoir s'il y a lieu d'encourager le développement de ce genre de procédures en France. Concrètement, un droit subjectif substantiel (ici le droit à voir ses données protégées) n'existe que s'il est accompagné par un droit procédural à saisir le juge afin qu'il l'active. Le droit à pouvoir demander une indemnisation en cas de violation des obligations de Compliance n'est donc pas simplement une forte incitation pour les entreprises débitrices de ces obligations de Compliance mais également une condition d'effectivité de ces mêmes obligations, sachant que l'effectivité est le soucis majeur du Droit de la Compliance. 

Référence complète: Frison-Roche, M.-A., L'impartialité des régulateurs et le contrôle des contenus: le cas des « Infidèles » (Regulators'​ Impartiality and contents control: "Les infidèles"​ case), Newsletter MAFR – Law, Compliance, Regulation, 19 août 2020 Lire par abonnement gratuit les autres news de la Newsletter MAFR – Law, Compliance, Regulation ​Pour aller plus loin, lire le chapitre de l'ouvrage Les outils de la Compliance: « La prégnance géographique des outils de la Compliance » ouvert par un chapitre introductif de Jean-Baptiste Racine   Résumé de la news L'impartialité du régulateur est un des principes les plus importants du Droit de la Régulation et de la Compliance. Cependant, cette impartialité peut s'avérer difficile à mettre en oeuvre lorsque l'objet de régulation comporte une forte dimension morale. En août 2020, diverses associations religieuses ont saisi le Conseil National de Régulation de l'Audiovisuel sénégalais (CNRA) pour demander l'interdiction de la diffusion à la télévision du film "Les infidèles" narrant l'histoire d'une femme mariée aux multiples amants.  Tout d'abord, le régulateur distingue les séquences pouvant nuire aux identités culturelles et religieuses des séquences choquantes ou pouvant porter atteinte à la dignité de la personne. Ensuite, il demande la suppression des scènes jugées indécentes et obscènes ainsi que les scènes susceptibles de nuire aux différentes identités culturelles et religieuses, interdit la diffusion du film à la télévision avant 22h30, demande la modification de la bande-annonce et enfin requiert l'insertion d'un pictogramme portant l'inscription « interdit au moins de 16 ans » lors de la diffusion. Le CNRA se juge compétent pour réguler le contenu des téléfilms de manière à préserver les identités culturelles au regard de la loi du 4 janvier 2006 fixant sa mission.  En 2012, une polémique similaire avait entouré, en France, la diffusion d'un film différent mais du même nom. Cependant, l'objet et le contexte étaient très différents puisque le film était diffusé au cinéma et non à la télévision, qu'il présentait des hommes infidèles et non des femmes infidèles, qu'il avait une vocation humoristique et non sociologique, que le régulateur compétent n'était pas un organe administratif mais un organe professionnel et que le pays de diffusion n'était pas le même. Ici, seule l'affiche avait due être modifiée. Ainsi, une régulation impartiale doit cependant prendre en compte les « identités culturelles locales ». 

Référence complète: Frison-Roche, M.-A., La coordination entre les régulateurs locaux peut-elle remplacer un régulateur centralisé? L'exemple de l'organisation européenne du principe de l'Internet libre (Can Coordination between local Regulators replace a unique centralized Regulator? Example of the European organisation of the Open Internet Principle), Newsletter MAFR – Law, Compliance, Regulation, 18 août 2020 Lire, par abonnement gratuit, les autres news de la Newsletter MAFR – Law, Compliance, Regulation Pour aller plus loin, lire l'article de Marie-Anne Frison-Roche: L'hypothèse de l'interrégulation    Résumé de la news Le principe de « l'internet ouvert » consacré par le règlement européen du 30 avril 2016 garantit un accès non discriminatoire aux contenus et aux services d'internet. Cependant, il n'existe pas de régulateur européen pour mettre en oeuvre un tel principe. Est-il possible d'assurer l'effectivité du principe de l'internet ouvert sans un régulateur central associé?  Le 11 juin 2020, l'ORECE (l'organe des régulateurs européens des communications électroniques) a adopté des lignes directrices concernant l'application du principe de l'Internet ouvert. L'ORECE n'est pas un régulateur européen mais un réseau d'autorités de régulations nationales visant à coordonner leurs actions. Cet organe n'est que consultatif mais ses recommendations sont prises en compte par les autorités nationales qui disposent quant à elles de pouvoirs juridiques approfondis, comme le signale le rapport du cabinet de conseil Osborne-Clarke à propos de la mise en oeuvre technique du principe européen de l'internet ouvert au niveau national. Il n'est donc pas nécessaire d'avoir un régulateur central pour assurer l'effectivité d'un principe à partir du moment où il existe un réseau de régulateurs locaux capable de coordonner leurs actions par le biais du droit souple.   

Référence complète: Frison-Roche, M.-A., La cartographie des risques: est-elle juridiquement différente lorsqu'elle est faite par les entités de régulation plutôt que par les entreprises régulées? (Risk Mapping: is it legally different when it is made by Regulatory Bodies or by Regulated Enterprises?),  in Newsletter MAFR – Law, Compliance, Regulation, 17 août 2020 Lire par abonnement gratuit d'autres news de la Newsletter, MAFR – Law, Compliance, Regulation   Résumé de la news Chaque année, l'Autorité des marchés financiers, la Banque centrale européenne ou l'Agence française anti-corruption publient des cartographies des risques. A première vue, les cartographies des risques établies par le régulateur ont vocation à aider à la fois le régulateur et l'entreprise régulée à faire face à ces risques en les anticipant. Ces documents ne seraient donc qu'une aide apportée aux entreprises dans leur mission de compliance et en aucun cas une injonction de la part du régulateur à prendre en compte les risques qu'il met en avant.  Cependant, la loi oblige les entreprises a constitué leur propre cartographie des risques sous peine de sanction. Dès lors que le régulateur a auparavant publié sa propre cartographie des risques, les entreprises, obligée de rédiger la leur, peuvent-elles s'en écarter? Si l'entreprise suit la cartographie publiée par le régulateur, peut-il s'en prémunir au cas où on l'accuserait de ne pas avoir remplie ses obligations de compliance? Au contraire, si l'opérateur ne suit pas la cartographie des risques du régulateur, cela peut-il lui être reproché? Formellement, les cartographies des risques des régulateurs ne s'accompagnent pas d'une injonction à en tenir compte mais, comme chacun sait, toute recommendation d'un régulateur ou d'un superviseur doit être prise en compte. La solution juridique pourrait ici être la mise en place d'un système de "comply or explain" qui signifierait que si l'entreprise décide de ne pas suivre la cartographie des risques établie par le régulateur, elle doit être en mesure de pouvoir justifier ce choix.    Pour aller plus loin, lire: Frison-Roche, M.-A., La théorie juridique de la cartographie des risques, centre du Droit de la Compliance, working paper, 2020 (en anglais)  

Référence complète: Frison-Roche, M.-A., Est-ce que la régulation des discours de haine et des fausses informations est une obligation légale imposée aux entreprises du numérique ou est-ce l'expression de leur volonté libre de contribuer à la démocratie? (Is Regulating Hate and Infox a legal obligation imposed to the Digital Enterprises or the expression of their free will to contribute to Democracy?), Newsletter MAFR – Law, Compliance, Regulation, 14 août 2020 Lire par abonnement gratuit d'autres news de la Newsletter MAFR – Law, Compliance, Regulation   Résumé de la news Internet permet d'accéder à des connaissances élargies mais rend également plus facile la diffusion de fausses informations et de discours de haine. Malheureusement, les pouvoirs publics ne peuvent pas savoir qui diffusent ces fausses informations et ces discours de haine et ne sont donc pas en mesure de lutter efficacement contre cela. Une solution serait d'obtenir des entreprises numériques qu'elles trouvent le moyen d'endiguer ces fausses informations et ces discours de haine qu'elles contribuent structurellement à propager.  Les entreprises numériques s'appliquent déjà à cela et notamment Facebook qui prévoit de sensibiliser ses utilisateurs américains en vue des élections présidentielles de 2020. Cependant, les entreprises numériques expliquent que si elles luttent contre les fausses informations et les discours de haine, c'est uniquement par responsabilité sociale des entreprises (RSE). Or, même s'il s'agit d'un calcul pour obtenir une bonne réputation et éviter les actions de boycott, cela reste une volonté de l'entreprise qui n'est donc ni contrainte de réussir, ni même d'agir.  La solution proposée par le Droit de la Compliance est de faire de cet effort une obligation légale en internalisant dans les opérateurs cruciaux que sont les entreprises numériques le « but monumental » de lutter contre les fausses informations et les discours de haine afin que les entreprises numériques soient tenues d'agir et qu'elles soient supervisées par des autorités publiques dans cette tâche. La loi à venir sur les services numériques imposera aux entreprises numériques des obligations Ex Ante tandis que la loi du 22 décembre 2018 relative à la lutte contre la manipulation de l'information impose déjà aux opérateurs de plateformes une obligation légale de « coopérer » dans la lutte contre les fausses informations.    ​Pour aller plus loin, lire:  Frison-Roche, M.-A., Lorsque Facebook « invite » chaque internaute à agir contre le COVID-19 en le dirigeant vers le Centre Public d'Information, est-ce par obligation légale (Compliance) ou par RSE? Avec quelles conséquences?, document de travail, 2020 Frison-Roche, M.-A., Se tenir bien dans l'espace numérique, document de travail, 2020

Référence complète: Frison-Roche, M.-A., Pourquoi la décision du conseil constitutionnel français du 7 août 2020 à propos des auteurs d'actes terroristes est si intéressante pour le Droit pénal et le Droit de la Compliance? (Why the decision of the French Constitutional Council of 7.08.2020 about authors of terrorist offences is so informative for Compliance & Criminal Law), Newsletter MAFR – Law, Compliance, Regulation, 13 août 2020 Lire par abonnement gratuit les autres news dans la Newsletter MAFR – Law, Compliance, Regulation    Résumé de la news Le 7 août 2020, le Conseil Constitutionnel a rendu sa décision concernant la constitutionnalité de la loi instaurant des mesures de sûreté contre des auteurs d'infractions terroristes à l'issue de leur peine. La loi permet d'imposer, par acte administratif, divers contrôles ou l'interdiction de communiquer avec certaines personnes pour les auteurs d'infractions terroristes après qu'ils ont purgé leur peine.  Bien que le Conseil Constitutionnel ait estimé que de telles dispositions étaient disproportionnées au regard de l'objectif, ce qui le poussait à censurer le texte, il reconnait que, le terrorisme perturbant gravement l'ordre public par l'intimidation et la terreur, la lutte contre le terrorisme contribue à l'objectif de valeur constitutionnelle consistant à prévenir les atteintes à l'ordre public. Ainsi, ce n'est pas la nature mais le degré des mesures proposées qui ont poussé le Conseil Constitutionnel à déclarer le texte inconstitutionnel. D'ailleurs, le Conseil affirme que si le législateur lui soumet une loi dont les dispositions sont plus proportionnées à l'objectif, celles-ci, bien qu'Ex Ante et justifiées uniquement par l'existence d'un risque, seront déclarées conformes à la Constitution.  Le Conseil Constitutionnel confirme donc ici que la lutte contre le financement du terrorisme est bien un « but monumental » du Droit de la Compliance.

Référence complète: Frison-Roche, M.-A., Face au blanchiment d'argent, quelle temporalité est-elle la plus efficace? L'Ex Ante ou l'Ex Post? (Le cas BIL), Against money laundering, what time matters? Does it work, between ExAnte and ExPost? (BIL case), Newsletter MAFR – Law, Compliance, Regulation, 11 août 2020 Lire par abonnement gratuit les autres news dans la Newsletter MAFR – Law, Compliance, Regulation   Résumé de la news L'activité de blanchiment d'argent est néfaste non seulement en elle-même mais aussi parce qu'elle permet le déploiement et la pérennité d'autres activités criminelles telles que le trafic de drogue, le trafic d'armes ou la vente d'être humains. Lutter contre le blanchiment d'argent pourrait permettre de lutter indirectement contre ces activités sous-jacentes, par ailleurs très difficiles à combattre. Ainsi, la lutte contre le blanchiment d'argent est devenu un « but monumental », ce qui permet de justifier l'adoption d'outils parfois beaucoup plus puissants que ceux utilisés par le Droit pénal classique. Par soucis d'efficacité, l'obligation légale de prévenir le blanchiment d'argent est donné à toute entité en position de le faire, comme les banques, les agents immobiliers ou les sociétés de jeux, sous peine de sanction. Le 10 août 2020, l'autorité de supervision des marchés financiers luxembourgeoise a condamné le Banque Internationale du Luxembourg (BIL) à verser une amende de 4,5 millions d'euros en raison de faiblesses détectées dans son processus de lutte contre le blanchiment d'argent. Cependant, au moment où la sanction a été prononcé, la banque avait déjà remédié aux faiblesses identifiées. Il est important de noter ici que ce qui importe le Droit de la Compliance, ce n'est pas qu'un comportement de non conformité soit sanctionné mais plutôt que l'entreprise cruciale modifie son comportement en vue d'être plus efficace dans la réalisation du « but monumental », seule préoccupation de l'autorité publique. Ainsi, une sanction Ex Post contre l'opérateur crucial, n'est pas une fin en soi et se justifie uniquement si elle permet d'inciter l'opérateur crucial à agir ou plutôt de le désinciter à ne rien faire. Le Droit de la Compliance est un système juridique Ex Ante.    Pour aller plus loin, lire:  Frison-Roche, M.-A., Le couple Ex Ante – Ex Post, justificatif d'un droit spécifique de la régulation, 2006

Référence complète : Frison-Roche, M.-A., L'utilité pratique d'avoir une définition ferme de la « Compliance » (The practical utility to have a firm definition of « Compliance »), Newsletter MAFR – Law, Compliance, Regulation, 10 août 2020. Lire par abonnement gratuit les autres news dans la Newsletter MAFR – Law, Compliance, Regulation   Résumé de la news Certains disent que définir la Compliance est un exercice théorique inutile qu'il convient de laisser de côté pour s'atteler à l'étude de cas techniques concrets. Cependant, pour pouvoir manipuler les outils de la Compliance, il est au préalable nécessaire d'avoir une idée claire, ferme et simple de ce qu'est la Compliance. D'autre part, l'avenir de cette nouvelle branche du Droit dépend intensément de la définition que nous décidons de lui donner.  Le Droit de la Compliance donnent à certaines entreprises cruciales privées de nouvelles responsabilités comme celle de lutter contre des dangers globaux ou de sauver la planète. En cela, le Droit de la Compliance peut être perçu comme une sorte de New Deal entre le secteur privé et les autorités publiques, à la seule différence que cette fois-ci le consentement du secteur privé n'est pas requis.  Certains diront que la concrétisation de tels projets est le devoir de l'Etat et que les entreprises privées, si elle doivent respecter les règles n'a pas à trouver un moyen de concrétiser un « but monumental ». Cependant, le monde fait face à des dangers nouveaux et systémiques face auxquels l'Etat seul est impuissant, techniquement ou géographiquement, et contre lesquels les entreprises cruciales peuvent agir. Il ne s'agit pas, comme certains le préconisent de mettre l'être humain à l'écart du Droit de la Compliance en laissant les machines décider. Il s'agit de placer l'être humain et sa protection au coeur du Droit de la Compliance. En cela, le Droit de la Compliance peut devenir un nouvel humanisme.    ​Pour aller plus loin, lire le document de travail de Marie-Anne Frison-Roche, Le Droit rêvé de la Compliance