Lutte contre le cybersquatting & données personnelles

Les entreprises gérant d'importants portefeuilles de marques font aussi face à un important contentieux, qu'elles gèrent de manière industrielle : outils de veille, notifications automatiques, tableaux de suivi, reporting, etc. La lutte contre la fraude passe aussi (passe d'abord ?) par la collecte et le traitement d'informations.

Parmi ces informations, certaines peuvent relever des données personnelles. Quand c'est le cas, leur traitement suppose le respect de règles protectrices des individus. C'est pourquoi la société Chanel a demandé à la CNIL s'il lui était possible de mettre en oeuvre un "traitement de données à caractère personnel ayant pour finalité la lutte contre la contrefaçon (base de données « Diams/HyperMark »)".

La CNIL lui en a récemment donné l'autorisation (Délibération).

La demande de la société Chanel avait pour but de pouvoir assurer la gestion et le suivi, par elle ou ses licenciés ou revendeurs :
- des procédures relatives aux demandes d'enregistrement, à la publication, à l'enregistrement et au renouvellement des marques et noms de domaines de chacune de ces sociétés, en France et à l'étranger,
- des oppositions relatives aux marques et noms de domaines formées à l'égard des tiers ou formées par des tiers à l'égard de ces sociétés, et ce en France ou à l'étranger,
- des procédures contentieuses en cours relatives aux marques et noms de domaines engagées à l'encontre de tiers ou engagées par des tiers à l'encontre de ces sociétés,
- du précontentieux (collecte des informations relatives aux violations des droits des marques et noms de domaines de Chanel ainsi qu'aux atteintes à son réseau de distribution ou à son image, identifiées en France ou à l'étranger ; consultation des informations relatives à ces violations ; suivi et coordination des actes précontentieux initiés).

La demande portait aussi sur la gestion et l'analyse des coûts, frais, dépenses, et de façon plus générale, de toutes les sommes engagées ou obtenues par Chanel dans le cadre de ces procédures, ainsi que la production de ces données à des fins de comptabilité et de justificatifs fiscaux.

Il était précisé que la base de données Diams/HyperMark permettant ces traitement est susceptible de faire l'objet d'une interconnexion avec la base de données TPS, laquelle a pour finalité la lutte contre la contrefaçon des droits d'auteur, des dessins et modèles, et des brevets.

Quelles sont les données que Chanel est susceptible d'intégrer à cette base ?
Dans son dossier à la CNIL, elle a indiqué qu'il pourrait s'agir :
- des données d'identification (nom, prénom, sexe, date et lieu de naissance),
- des données relatives à l'adresse postale,
- des données relatives à l'utilisation des médias et aux moyens de communication (informations relatives aux sites Internet utilisés, adresses électronique, fournisseurs d'accès),
- des données relatives aux infractions, condamnations et mesures de sûreté : décisions de justice résultant des procédures engagées, décisions des organismes en charge du dépôt et de la gestion des marques et noms de domaines.

S'agissant des durées de conservation de ces données, Chanel précise :

- dans le cas où la société CHANEL SAS décide de ne pas poursuivre : les données seront conservées pendant un an à compter de la décision définitive de clôture du dossier ;
- dans le cas où la société CHANEL SAS décide de poursuivre : les données seront conservées en base active pendant toute la durée de la procédure judiciaire ou jusqu'au règlement amiable du dossier, puis en archives pendant une période de dix ans ;
- dans le cas où la société CHANEL SAS décide de ne pas poursuivre immédiatement : les données seront conservées en base active pendant une durée de cinq ans à compter de la dernière violation constatée ou du dernier acte effectué par les Sociétés CHANEL (acte de recherche, d'enquête, d'investigation ou de poursuite), puis en archives pendant 10 ans.

Cette base ne sera pas ouverte à tous les employés de Chanel et de ses filiales ou revendeurs, mais aux "agents des services juridiques et comptables de la société CHANEL SAS, et [aux] conseils chargés d'assister cette société dans la protection de ses droits de marques et noms de domaines".

En matière de données personnelles, il est prévu un droit d'information des personnes concernées par le traitement. Chanel propose de le faire de cette manière : "L'information des personnes concernées relative à l'existence de la base de données Diams/HyperMark se fera notamment par une mention insérée dans les mentions légales des différents sites Internet de la société CHANEL SAS. La société informera également les personnes concernées de la mise en place de traitements automatisés de données à caractère personnel mis en œuvre pour lutter contre la contrefaçon dans les mises en demeure qu'elle adressera à ces personnes".

Cela peut-il suffire ? La CNIL estime que oui, "compte-tenu des circonstances particulières" de la lutte contre la contrefaçon que doit mener Chanel : "imposer à la société CHANEL SAS d'informer les personnes concernées dans la lettre de mise en demeure qui leur est adressée, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, serait contraire à l'objectif de protection des droits de propriété intellectuelle de la société CHANEL SAS et limiterait l'effectivité du droit de cette dernière à exercer un recours juridictionnel".

La CNIL autorise en outre le transfert encadrés de données à l'étranger, "vers les services juridiques et comptables des sociétés CUPFSA (Panama), CHANEL KK (Japon), CHANEL Inc. (USA) et The CHANEL Company Ltd (USA)".

Accès aux données anonymisées d'un nom en .fr

La propriété est un droit fondamental, la vie privée également. La propriété intellectuelle se rattache au premier, la protection des données personnelles au second. Et si les titulaires de droits se frottent à des whois anonymisés, c'est parce qu'ils veulent protéger leur propriété dans un espace où l'on peut protéger son anonymat.
Pour concilier les intérêts respectifs dans la zone .fr, l'A.F.N.I.C. a défini une politique de publication et d'accès à l'information sur les enregistrements de noms de domaine en .fr. En application de celle-ci, une demande individuelle de divulgation de données peut lui être présentée à l’AFNIC "par le biais d’un formulaire accessible sur son site internet. Dans ce formulaire, le demandeur doit motiver sa requête et s’engager à ne pas utiliser les informations divulguées à des fins autres que celles indiquées dans sa requête". Il y a donc lieu à examen de la demande, laquelle ne se traduit pas automatiquement par une acceptation : "La levée de l’anonymat n’est cependant pas automatique, l’AFNIC se réserve notamment le droit de ne pas accéder à cette demande au regard du statut du demandeur ou de la finalité recherchée".

Or, qu'apprend-on en lisant une récente décision PARL (DFR2009-0034) ? Que "Suite à une demande de divulgation d’informations personnelles réalisée auprès de AMEN, le Requérant a obtenu l’identité du réservataire des noms de domaine objets de la présente décision. Il s’agit de Monsieur (...)". Les conditions de l'obtention des coordonnées ne sont pas connues (il se peut que le registrar ait invité son client à répondre à un message adressé par le demandeur, suite à quoi le client a révélé lui-même ses coordonnées). Mais il serait fâcheux qu'il existe de fait deux pratiques différentes dans la conservation des données !

(copinage)

A lire sur le blog de Stéphane Bortzmeyer, un regard d'expert sur une récente décision de justice qui condamne l'expéditeur d'e-mails anonymes pour les propos qu'il y tenait. La justice a pu remonter à cet expéditeur grâce à l'adresse IP de son ordinateur, nécessairement unique selon le tribunal.
S. Bortzmeyer relativise cette unicité. Nous autres juristes devons toujours rester humbles face aux spécialistes des réseaux !

Vers un droit à la conservation d'une adresse e-mail

Quand les associations de consommateurs critiquent devant les tribunaux francais les conditions générales des FAI, cela présente aussi de l'intér^t pour le droit du nommage.
Après avoir dit que sont abusives des clauses permettant à un opérateur internet de supprimer les identifiants de ses clients, voilà que les juges estiment qu'ils ne peuvent détruire des adresses e-mail inutilisées - ce qui pourrait aussi signifier obligation de maintenir le nom de domaine auquel elles se rattachent :

Attendu que le fournisseur d’accès ne précise pas en quoi l’absence d’utilisation d’adresses e-mail justifierait leur suppression, alors même que le client paie un abonnement ouvrant droit à la création de plusieurs adresses ; que le consommateur peut, s’il le souhaite, n’utiliser que de façon sporadique ses diverses adresses, le professionnel n’étant pas habilité à lui imposer un rythme de consommation ; qu’au surplus, une telle suppression pourrait être particulièrement préjudiciable au consommateur, dès lors qu’elle entraînerait la perte de données, sans contrepartie ; qu’un simple avertissement, quinze jours à l’avance, outre qu’il est illicite au regard des dispositions de l’article L. 121-84 du code de la consommation, risque par ailleurs de ne pas être reçu par le client, lequel peut ne pas consulter son courrier ou son adresse e-mail pendant une période aussi courte ; que le déséquilibre ainsi créé entre les droits et obligations des parties est significatif et injustifié

TGI Paris, 15 septembre 2009, UFC Que Choisir c/ Numericable

Peut-on donner le vrai nom d'une célébrité ?

L'humoriste Jean-Yves L. a obtenu la condamnation de MySpace suite à la création sur ce site d'un profil myspace.com/lafesse, sur le fondement de l'article 9 du code civil français :

La mention, sans l'autorisation de Monsieur L., de sa véritable identité dans le cadre d'un "profil" dont il n'a pas eu l'initiative constitue une atteinte aux droits de la personnalité de Monsieur Jean-Yves L.

La décision peut rappeler celle remontant à fin juillet 2000, qui avait sanctionné la création d'une page à l'adresse geocities.com/bertranddelanoe.
Néanmoins, s'il y a sanction ici (10.000 € de dommages-intérêts), ce n'est pas pour utilisation du pseudonyme de l'artiste dans l'URL, ou pour l'usage de son nom et de photos sur le profil créé à son insu : le tribunal a sanctionné la révélation de l'identité véritable du comique.


Voilà qui paraît très sévère. Car cette information est très aisément disponible par ailleurs, que ce soit à la première ligne de sa notice Wikipedia, sur des sites spécialisés.... ou plus simplement dans les nombreux articles (exemple) évoquant les décisions de justice rendues ces derniers mois à l'initiative de ce même plaideur !
On peut légitimement se demander si, s'agissant du pseudonyme d'une star, le droit à l'information du public ne doit pas prévaloir sur le respect à la vie privée d'une personne publique.

[Paris, 25 mars 2009]

1er anniversaire de la délibération CNIL "AFNIC"

Par une délibération 2007-246 du 13 septembre 2007, la CNIL autorisait la mise en oeuvre par l’A.F.N.I.C. d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’une liste d’exclusion afin de lutter contre les violations de la charte de nommage du .fr.
Rappelons que pour lutter contre certaines pratiques illicites, l’A.F.N.I.C. a mis en place un dispositif permettant de tenir à jour une liste des personnes physiques qui recourent à des méthodes contraires à sa charte de nommage.
Les personnes inscrites sur cette liste ne peuvent plus procéder à de nouveaux enregistrements de noms en .fr pendant un an. En cas de nouveau manquement pendant la période de sept ans, l’interdiction sera portée à trois ans. En cas de détournement d’identification pour l’enregistrement des noms de domaine en .fr en violation de la décision d’exclusion, l’interdiction sera portée à cinq ans.
La CNIL avait autorisé la mise en place de cette liste après avoir pris acte des garanties apportées notamment en ce qui concerne l’information des internautes concernés sur les modalités de mise en oeuvre de cette procédure.

When Google starts indexing of the physical world

CNET writes in an article on Google Street View that "drivers who are hired to collect the images are disregarding private property signs and driving up private roads." Should there be, for the Googlebots on wheels that are the Google Cars, a robots.txt tag instead of a regular "private property" sign?

.tel launch raises questions

There are many common features in the Telnic Sunrise Policy and the old .eu Sunrise Policy (examples: right to register the transliteration of a trademark with special characters, or the nominal part of a logo when the word element is predominant), though it will be slightly easier to provide the validation agent with the documentary evidence in .tel applications.
Among the "new" things, there will be "Sunrise Reconsideration Proceedings", by which the validation agent will be invited to review an application again, when the applicant thinks it should have been accepted. Third parties may also initiate such proceedings, when they have tracked that the applicant or its trademark are not eligible under the Sunrise Policy. Interesting: These proceedings will not involve a mediation center, or the registrar itself, but the very person who took the criticized decision. The existence of this procedure is obviously a lesson from the weakest part of the .eu launch (the inconsistency of the validation agent), but I wonder whether it can be effective: Will the validation agent accept to reconsider its own previous assessments?

On a completely different note: As readers know, .tel names allow the holder to host personal contact information (e-mail, phone number, address, IM, etc.) directly in the DNS. On the website, one can find information on how to protect private data... but I have found no information regarding the status of personal data, or a clause regarding the consent of individuals. Does anyone know more on this?

UPDATE [8/14] Thanks to Justin Hayward, a spokesperson for Telnic Ltd, here is more on data protection in the .tel space:

UK/EU Data Protection* laws place a duty of care on organisations holding Personal Data: any data which identifies a living person, irrespective of the nationality of that person or their country of residence. This duty of care extends to anyone with a contractual relationship with that organisation if that third party handles Personal Data.
Telnic is holding Personal Data for every registrant. This means that registrars and others who do business with Telnic and handle Personal Data on its behalf will be obliged to meet UK/EU Data Protection obligations.
These requirements are written into their contracts with Telnic. The Data Protection responsibilities on registrars with respect to Personal Data include fair use of that data, reasonable safeguards on the storage and processing of that data, etc, etc.
For registrants, information published to the DNS is done so directly by the registrant through a management console and not on behalf of the registrant by any other party. Appropriate authorities have indicated that they see no data protection issues with this solution.
Registrars and Name Service Providers will be contractually required to comply with their Data Protection obligations. Legally, they are Data Processors handling Personal Data on behalf of Telnic, the Data Controller.
In simple terms, this just means a registrar has to use any Personal Data fairly, store and process it responsibly, allow end users to correct or update their Personal Data and so on.
This applies even if the registrant or registrar are outside the EU.
For registrars and resellers who are in the EU and other countries that have Data Protection laws, this should mean they register with the appropriate Data Protection Authority in their country. Which they should already have done anyway because they're handling Personal Data such as a registrant's contact details, either for .tel or for some other TLD.

* The legislation here is the UK Data Protection Act 1998, which is the UK implementation of the EU Directives on Data Protection and Privacy (primarily 95/46/EC but also parts of 97/66/EC and 2002/58/EC)

Open access whois

During the last public ICANN meeting (LA, Oct. 29 - Nov. 2), there has been a discussion on a proposal to restrict the public display of information that registrants provide when registering domain names (aka whois).
The Generic Names Supporting Organization brought a formal end to the whois policy development process by adopting a proposal brought by the International Trademark Association. Following this proposal, the current Whois system will remain intact (at least temporarily). The INTA also recommended that "ICANN initiate an objective study on the legitimate uses and abuses of Whois data before proceeding with further policy development work on the subject".

The GNSO Council also voted to launch a policy development process on domain name tasting

[Source: INTA Bulletin, December 15, 2007, Vol. 62, No. 23]

It's sometimes good to remind, like this Washington Post article does, that companies with large trademarks portfolios, which usually criticize anonymous registrations, are themselves massive users of services such as "Domains by Proxy".
The article also mentions the preventive practice which consists of registering names in which the trademark is used negatively (but does not mention its possible counter effect, which the "Verizon story" highlighted).

Enregistrements anonymes de noms en .fr : des changements

Rapport Olivennes, Whois, vendeurs de produits contrefaisants sur des plateformes, etc. : l'articulation entre protection des données personnelles et protection droits de propriété intellectuelle est la toile de fond des débats juridiques liés aux usages d'internet.

Les lecteurs réguliers savent à quel point la question de "l'enregistrement anonyme" des noms en .fr chiffonne les ayants droits. Ce matin, on apprend qu'un candidat aux élections municipales prochaines aurait obtenu l'identité d'un blogueur le dénigrant : "Au terme d’une démarche juridique auprès de l’Afnic, l’organisme qui attribue les noms de domaine, le maire a obtenu lundi la levée de l’anonymat du titulaire de cette adresse" (20 Minutes ; tuyau : Frédéric). Il semble qu'il s'agisse d'un raccourci, la requête par voie judiciaire ou le référé semblant seuls pouvoir aboutir à la communication de l'identité du titulaire d'un nom en .fr.

A ce jour. Car dans le même temps, l'A.F.N.I.C. annonce "un nouvel encadrement pour l'accès aux données relatives aux noms de domaine .fr". Désormais, "[t]out en continuant à protéger les données personnelles des particuliers, il sera désormais possible d'adresser directement à l'AFNIC une demande de divulgation de l'identité et des coordonnées déclarées par un particulier ayant enregistré un .fr".
Il existe deux conditions de fond, et une de forme : les demandes devront être présentées par les ayants droits, et être motivées. Elles devront se faire au moyen d'un formulaire spécifique. Le respect de ces conditions ne donnera pas automatiquement accès aux coordonnées recherchées : chacune des demandes sera examinée, "notamment en termes de légitimité".

A propos de la nature juridique de l'adresse IP

Le sujet n'a encore jamais été abordé ici, mais le débat fait rage dans "l'arrière-salle" du système de nommage, à propos de la nature juridique des adresses IP.
Au cours du premier semestre, on a vu des positions opposées être adoptées par des autorités judiciaires et/ou administratives : pour les unes, il peut s'agir d'une donnée personnelle, pour les autres, l'adresse IP n'a pas cette nature.
Le débat a une importance considérable, notamment en matière de moyens de lutte contre la contrefaçon (sous les multiples formes qu'elle revêt sur internet). Le rapport Olivennes qui paraît ce jour dit que seule une "disposition législative circonstanciée" pourrait venir confirmer l'approche selon laquelle il ne s'agit pas de données nominatives... et considère que cela peut relever de la compétence du législateur (p. 23). Il n'est pourtant pas certain que cela soit compatible avec les normes européennes...

WhoIs & Privacy

is definitely the flavour of the month:
- it was debated during ICANN 30th meeting in Los Angeles, and the subject of an Herald Tribune article
- DomainTools users are angry at the company which now offers a Registrant Search service (for low fees)
- a registrar is sued for refusing to disclose the identity of a client (TM Blog)...
and the topic is not limited to domain names: In the US, Google recently resisted to reveal who purchased keyword ads.

Problématiques liées à l'enregistrement anonyme de noms de domaine

CSC organise un petit déjeuner débat sur les problématiques liées à l’enregistrement de noms de domaine de manière anonyme - et notamment les noms en .fr.
Seront abordés les thèmes suivants :

• Les difficultés rencontrées en pratique en raison de l’anonymat ; conséquences dans le cadre de la stratégie de défense d’une marque sur l’Internet. Aspects Juridiques et Position des autres registres. Développement auprès de l’ICANN [Nathalie Dreyfus, CPI]
• Expérience et point de vue de la société L’OREAL [José Monteiro, Directeur département International des marques]
• Compte rendu d’étude et position de CSC en tant que Registrar pour les sociétés Grands Comptes
• Débat et discussion

Cette manifestation aura lieu au, 72 rue du faubourg Saint Honoré, 75 008 Paris le vendredi 23 novembre à 9h30.
Inscription gratuite auprès de justin.hartland [at] cscinfo.com.

Much ado about nothing?

GNR, the .name registry, charges 2$ to access to the whois (Wired).