Le Décret n° 2021-1823 du 24 décembre 2021 encadre le traitement automatisé de données personnelles mis en oeuvre par l’ARCOM dans le cadre du mécanisme de réponse graduée (lutte contre la contrefaçon en ligne).
A l’origine, la loi n° 2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur Internet a abouti à la création de la Haute Autorité pour la diffusion des œuvres et la protection des droits sur Internet (HADOPI).
La commission de protection des droits, au sein de la HADOPI mettait en œuvre la procédure dite de la réponse graduée : elle était chargée d’envoyer aux abonnés à Internet concernés une recommandation lorsqu’elle est saisie de faits susceptibles de constituer un manquement à l’obligation faite à tout abonné de veiller à l’usage licite de son accès à Internet. En cas de récidive dans les six mois, une nouvelle recommandation était envoyée.
A cette fin, la HADOPI était autorisée, aux termes de l’article L. 331-29 du code de la propriété intellectuelle, à créer un traitement automatisé de données à caractère personnel portant sur les personnes faisant l’objet de la procédure de la réponse graduée.
Le décret n° 2010-236 du 5 mars 2010 mis à jour fixe ainsi les modalités d’application de ce traitement automatisé dénommé Système de gestion des mesures pour la protection des œuvres sur Internet et prévoit sa mise en œuvre par la commission de protection des droits.
La disparition de la HADOPI et la création de l’ARCOM à compter du 1er janvier 2022 emporte notamment des conséquences quant à la mise en œuvre de la procédure de la réponse graduée.
Le décret prévoit que les données à caractère personnel et informations provenant des constats d’huissier pourront désormais être enregistrées (en sus des données provenant des organismes de défense professionnelle régulièrement constitués, des organismes de gestion collective, du Centre national du cinéma et de l’image animée ainsi que celles provenant du procureur de la République). Le nouveau texte allonge de six mois le délai de saisine de l’ARCOM par le procureur de la République et prolonge également les délais d’effacement des données qui passent de :
– quatorze à vingt mois, après la date de l’envoi d’une recommandation prévue au premier alinéa de l’article L. 331-25 du code de la propriété intellectuelle dans le cas où n’est pas intervenue, dans ce délai, la présentation au même abonné d’une nouvelle recommandation prévue au deuxième alinéa du même article ;
– vingt et un à vingt-sept mois, après la date de présentation de la lettre remise contre signature ou de tout autre moyen propre à établir la preuve de la date de présentation de la recommandation prévue au deuxième alinéa de l’article L. 331-25 du code de la propriété intellectuelle si la commission de protection des droits n’a pas transmis au parquet territorialement compétent une procédure en application de l’article R. 331-43 du code de la propriété intellectuelle.
Est aussi prolongé d’un le délai d’effacement des données après la transmission des dossiers par l’ARCOM au procureur de la République, en raison du temps de traitement des procédures par l’autorité judiciaire.
Le nouveau décret ajoute le port source parmi les données pouvant être enregistrées par l’ARCOM dans le traitement Système de gestion des mesures pour la protection des œuvres sur Internet. Est supprimé la possibilité d’enregistrer les données relatives à l’abonné recueillies auprès des prestataires mentionnés par la LCEN.