Pensez-vous que le piratage effectif d’un tiers non identifié ou un cas de force majeure peut exonérer le photographe de sa responsabilité dans la mesure où il est tenu d’une obligation de sécurité (art.52)?

Mr SIGNAN Essowèdeou

En droit, la responsabilité d’un individu peut être engagée si certaines conditions sont remplies, notamment la présence d’une faute, d’un dommage et d’un lien de causalité entre les deux. Cependant, il existe des cas d’exonération de responsabilité, comme la force majeure, qui est caractérisée par son imprévisibilité, son irrésistibilité et son extériorité. Dans le contexte du piratage informatique, si un photographe peut démontrer que le piratage constitue un cas de force majeure, il pourrait potentiellement s’exonérer de sa responsabilité, à condition que les trois critères soient remplis et que le lien de causalité avec le dommage soit rompu.

ALLONS PLUS LOIN

Selon l’article 52 de la Loi n° 2019-014 du 29 octobre 2019 : “De l’obligation de sécurité”, le responsable du traitement doit prendre toutes les précautions nécessaires compte tenu de la nature des données afin d’empêcher leur déformation, leur endommagement ou leur accès par des tiers non autorisés. Cela inclut la mise en œuvre de mesures telles que :

  1. Limiter l’accès aux données personnelles uniquement aux personnes autorisées.
  2. Vérifier et enregistrer l’identité des destinataires des données personnelles.
  3. Contrôler et enregistrer l’identité des personnes accédant au système d’information, les données consultées et les opérations effectuées.
  4. Empêcher l’accès non autorisé aux locaux et aux équipements de traitement des données.
  5. Empêcher la lecture, la copie, la modification, la destruction ou le déplacement non autorisés de supports de données.
  6. Empêcher l’introduction non autorisée de données dans le système d’information ou la modification, la consultation ou la suppression non autorisées des données enregistrées.
  7. Empêcher l’utilisation non autorisée de systèmes de traitement de données par des installations de transmission de données.
  8. Protéger les données contre la lecture, la copie, la modification ou la suppression non autorisées lors de la communication ou du transport des supports de données.
  9. Mettre en place des sauvegardes des données en créant des copies de sécurité.
  10. Rafraîchir et, si nécessaire, convertir les données pour un stockage pérenne.

Au regard de cette loi, relative à la protection des données à caractère personnel, la responsabilité du photographe concernant la sécurité des données peut être engagée en cas de piratage par un tiers non identifié.

Cependant, si le piratage est qualifié de force majeure, c’est-à-dire un événement imprévisible, irrésistible et extérieur, cela pourrait potentiellement exonérer le photographe de sa responsabilité, à condition que toutes les mesures de sécurité nécessaires aient été prises.

Imaginons un photographe qui possède des photos de nu dans son portfolio. Il stocke ces photos sur un serveur sécurisé, avec des mesures de sécurité avancées telles que le chiffrement des données et l’authentification à plusieurs facteurs. Toutefois, si une catastrophe naturelle comme une inondation, un incendie ou un tremblement de terre endommage son serveur et rend ses photos accessibles à des tiers, cela pourrait être considéré comme un événement de force majeure.

Dans ce cas, bien que la situation soit indépendante de sa volonté et imprévisible, le photographe doit tout de même démontrer qu’il a pris les précautions nécessaires pour protéger les données sensibles de ses clients. Il doit démontrer qu’il n’a pas agit contrairement à l’article 52. Puisque la loi stipule que tout traitement des données à caractère personnel doit être effectué sans porter atteinte aux libertés et droits fondamentaux des personnes physiques1.  Ainsi, il incombe au photographe de démontrer qu’il a respecté les obligations de sécurité des données et que le piratage était un événement de force majeure indépendant de sa volonté. Ad impossibilia nemo tenetur!2

  1. Article premier (de la Loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractères personnel) : « La présente loi a pour objet de réglementer la collecte, le traitement, la transmission, le stockage, l’usage et la protection des données à caractère personnel. Elle garantit que tout traitement des données à caractère personnel, sous quelque forme que ce soit, ne porte atteinte aux libertés et aux droits fondamentaux des personnes physiques ». ↩︎
  2. « A l’impossible nul n’est tenu » est un proverbe français qui signifie qu’on ne peut pas attendre de quelqu’un qu’il accomplisse l’impossible. C’est une expression qui encourage la compréhension des limites humaines et rappelle que certaines choses sont au-delà de notre contrôle ou de nos capacités. ↩︎
3