La généralisation des services numériques facilite la vie de leurs utilisateurs en leur offrant la possibilité d’accéder aux informations, aux démarches, ou aux loisirs, de n’importe quel endroit, à n’importe quelle heure. Cette évolution s’accompagne d’une augmentation de la collecte de données personnelles, en vue d’une part de proposer à l’utilisateur le service le plus adapté à ses besoins, et d’autre part de financer les services gratuits par de la publicité ciblée. Il en résulte corrélativement un risque croissant de détournement de finalité ou de divulgation de ces données, que ce soit le fait d’entreprises cherchant à maximiser leurs profits, ou de cybercriminels désireux d’exploiter ces données pour commettre des infractions. Les principes européens de protection des données personnelles sont repris en France dans la loi Informatique et Libertés. L’étude de la jurisprudence montre que la protection de ces principes par l’ordre judiciaire est relativement inadaptée, les préjudices étant souvent insuffisants pour motiver une action, et la justice n’ayant pas les moyens d’investigation proportionnés à des délits très nombreux et dont l’auteur peut agir depuis l’étranger. Une telle situation appelle le recours à un régulateur spécialisé comme la CNIL, qui jouit de la faculté d’accumuler une expertise dont l’administration centrale est dépourvue, et de pouvoir s’adapter rapidement aux évolutions de son secteur. Une implication des différents acteurs, dans le cadre d’une régulation participative, est également souhaitable pour permettre une diffusion maximale des bonnes pratiques, et prévenir en amont les atteintes aux données personnelles. Le dialogue entre prestataires et utilisateurs constitue également un nouveau mode de régulation. / The widespread digital services give the user the possibility to access to information, procedures or entertainment, anywhere, at any time. This evolution is accompanied by an increase in the collection of personal data, in order, on the one hand, to offer the user the service most suited to its needs, and on the other hand, to fund the free services by behavioral marketing. This results in an ever-increasing risk of misuse or disclosure of such data, whether made by firms seeking to maximize their profits, or by cybercriminals seeking to exploit these data to commit frauds. The study of case law shows that the protection of the European data protection principles, as transposed in the French Data Protection Act, by the judiciary is relatively inadequate: prejudice is often insufficient to motivate action, offenses are too numerous, and the fraudster can act from abroad. Such a situation requires the use of a specialized regulator as the CNIL (French data protection authority), which has the ability to accumulate expertise and to adapt quickly to changes in its sector. Moreover, the involvement of the different actors in the frame of co-regulation or of self-regulation, is also desirable, to allow for a maximum dissemination of good practices and to prevent protection breaches. Digital services can also deal directly with their users.

Le régime juridique applicable à la collecte et à l’exploitation par les fournisseurs de services de cloud computing des données à caractère personnel de leurs utilisateurs constitue une source d’interrogation pour ces derniers. De fait, aucun régime juridique organisé ne permet aujourd’hui de réguler de manière globale, au niveau de l’Union européenne, le phénomène de circulation des données à caractère personnel dans le cloud, que ce soit de manière directe ou indirecte. Il apparaît, dès lors, nécessaire de s’interroger sur la manière dont le droit s’est organisé en conséquence et d’analyser les traitements complémentaires et/ou alternatifs actuellement offerts par le droit, certes moins structurellement organisés et mosaïques, mais plus pragmatiques, réalistes et politiquement viables. Historiquement, le phénomène de circulation a été presque exclusivement traité via le droit spécifique à la protection des données à caractère personnel découlant de l’Union européenne. Ce droit, souvent considéré par opposition au droit à la libre circulation des données, constituait initialement une émanation du droit à la protection de la vie privée avant d’être consacré en tant que droit fondamental de l’Union européenne. Le traitement offert par le droit à la protection des données, s’il cible directement les données au cœur du phénomène de circulation dans le cloud, ne couvre que partiellement ledit phénomène. De surcroît, malgré l’entrée en vigueur du Règlement 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, il possède une efficacité contestable, ne proposant pas de solution harmonisée au sein de l’Union européenne et étant dépendant de la bonne volonté et des moyens financiers, organisationnels et humains des Etats Membres. Les traitements alternatifs ou complémentaires au droit à la protection des données qui existent au sein de l’Union européenne, qui peuvent être répartis entre outils techniques, contractuels et législatifs, n’offrent qu’une appréhension indirecte du phénomène de circulation via un encadrement de son environnement cloud. Individuellement, ils ne permettent d’appréhender qu’un aspect très réduit du phénomène de circulation, de surcroît avec une efficacité plus ou moins grande. En outre, les outils techniques et contractuels n’ont pas la légitimité attachée aux outils législatifs. Néanmoins, associés les uns aux autres, ils permettent de cibler le phénomène de circulation des données de manière plus globale et efficace. / The legal framework applicable to the gathering and processing by cloud service providers of the personal data of their users raises questions for such users. De facto, there does not now exist an organized legal framework allowing for the regulation, at the European Union level and as a whole, of the flow of personal data in the cloud, whether directly or indirectly. It thus seems necessary to question the way law organized itself consequently and analyze the complementary and/or alternative treatments offered by law, which are less structurally organized and are mosaical, but are more pragmatic, realistic and politically sustainable. Historically, the flow of personal data has been dealt almost exclusively via the specific right to the protection of personal data, which derives from the European Union. Such right, often considered in opposition to the right to the free circulation of data, was initially an emanation of the right to privacy before being established as a fundamental right of the European Union. The treatment provided by the right to the protection of personal data, if it targets directly the data within the flow phenomena, only partly covers such phenomena. In addition, despite the entry into force of the Regulation 2016/679 on the protection of individuals with regard to the processing of personal data and on the free movement of such data, its effectiveness is questionable, not offering any harmonized solution within the European Union and being highly dependent on the goodwill and the financial, organizational and human means of the Member States. The complementary and/or alternative treatments to the right to the protection of personal data that exist within the European Union, which may be allocated among technical, contractual and regulatory tools, only approach the data flow phenomena indirectly by providing a framework to its environment. Individually, they only target one very limited aspect of the data flow phenomena, with more or less effectiveness. Furthermore, technical and contractual tools have not the legitimacy attached to the regulatory tools. However, associated one with another, they allow a more global and efficient targeting of the data flow phenomena.

Cette thèse de doctorat porte sur la dimension externe de la protection des données à caractère personnel dans le droit de l’Union Européenne, c’est-à-dire sur l’analyse des mécanismes à travers lesquels le droit de l’Union assure aux données qui sont transférées vers les Pays tiers, un haut degré de protection. Le travail se propose, donc, de mettre en évidence les résultats obtenus grâce à cette véritable politique étrangère législative de l’Union européenne. / This doctoral thesis deals with the external dimension of the protection of personal data, thus of the mechanisms by which the law of the European Union ensures an adequate level of protection to the personal data that are transferred to third countries. Under this perspective, the aim of the thesis is to underline the achievements of what amounts to a “legislative foreign policy” of the European Union aimed at the protection of personal data as a fundamental right of the individuals.

Rares sont les internautes qui peuvent encore affirmer ne jamais avoir reçu de spams, ces courriers électroniques non sollicités qui envahissent les boîtes aux lettres électroniques, jusqu'à, parfois, les saturer. À l'instar de tout échange de correspondance – sous forme papier ou numérique –, sa réception est subordonnée à la connaissance des coordonnées des futurs destinataires. Pour réaliser son opération, le « spammeur » doit donc nécessairement disposer de données nominatives telles que notamment, l'adresse électronique. Les enjeux économiques attachés à ces données à caractère personnel les exposent, de façon inévitable, à des risques accrus de collectes illicites. Engager une réflexion sur les moyens de protéger les « spammés » invite dès lors à raisonner à deux niveaux : lors de la collecte, pour empêcher la capture « sauvage » de telles données et lors de l'envoi proprement dit, afin de prémunir les destinataires contre la réception de ces messages indésirables. Face à des techniques anti-spam qui ont rapidement révélé leurs limites, la lutte contre le spamming s'est orientée vers l'outil législatif lequel sera également mis à rude épreuve. Au niveau national, les réponses offertes par les lois spéciales se révèlent incomplètes, voire inefficaces. Par ailleurs, la dimension intrinsèquement internationale du spamming ne permet pas d'ignorer les droits étrangers. En l'absence de consensus international, les profondes divergences entre législations nationales, en particulier entre la France et les États-Unis, premier pays émetteur de spams, risquent de compromettre leur effectivité à protéger les « spammés ». L'échec partiel des lois spéciales conduira ainsi à recourir aux solutions offertes par le droit commun en vue d'engager la responsabilité civile et pénale des « spammeurs ». Si d'un point de vue national, ces propositions démontreront leur capacité à pallier certaines insuffisances de la législation spéciale, la lutte anti-spam impliquera nécessairement d'engager une réflexion à l'échelle internationale. / Internet users who can still claim that they have never received spam are rare. These unexpected emails fill up, and sometimes blow up your mailbox. The reception of spam follows the same manner as other correspondence exchange, whether in paper or digital format. It is dependant on the knowledge of future recipients' contact information. In order to realize their operation, spammers must possess some private information, in particular email addresses. The economic issue attached to this private information puts them inevitably at increased risk of illegal collection. To think about the means of protection against spam invites us to reason at two levels : at the time of information collection to prevent illegal capture of private information and at the time of “sending” itself to protect recipients from receiving these undesirable messages. Antispam technology has quickly shown its limits. In light of this situation, the fight against spamming has turned towards legislative tools, which will be put to severe tests as well. At the national level, the answers provided by special laws seem to be incomplete, and even inefficient. In addition, the intrinsically international nature of spamming requires knowledge of foreign laws. Having no international consensus, the deep divergences between national legislations, in particular between France and United States, which is the first Spam-relaying country, risk jeopardizing their efficiency to protect spam victims. Thus, the partial failure of special laws leads us to seek recourse using the solutions provided by common law in preparation of engaging civil and criminal liability of spammers. If seen from a national point of view, the suggestions can demonstrate that they are capable of making up for some of insufficiency of special legislation, the antiSpam fight will necessarily involve a study at international scale.

L’impact des technologies d'information et de communication est essentiel sur lesdroits de la personne, et en particulier la liberté d'expression et la protection de la vie privée. Les tensions relatives à l’établissement de la frontière entre l’espace public et l’espace privé en ligne se sont exacerbées avec la diffusion de l'informatique et la démocratisation des usages d'Internet, de la téléphonie mobile et, plus récemment, d'autres objets communicants et services numériques. De même, les libertés de s’exprimer, de communiquer et de s’informer sont mises en danger dans la mesure où, sous prétexte de la lutte contre la cybercriminalité et le cyberterrorisme, et dans un but général de maintien de l’ordre public, les autorités publiques interviennent dans les contenus publiés pour les contrôler, surveiller, restreindre ou interdire. Ceci d’autant plus que les capacités - tant des Etats que des acteurs privés - à constituer les bases de données extrêmement précises répertoriant les informations sur les habitudes de consommation, les itinéraires de déplacements ou encore sur les opinions ou pensées des personnes, augmentent progressivement. Ainsi, le besoin de la redéfinition de la manière dont est pris en compte le volet relatif au respect des droits fondamentaux des personnes face à l’environnement numérique devient pressant. / The impact of today’s information and communication technologies is essential forthe exercice of human rights, particularly concerning freedom of expression and privacyprotection. With the massive use of Internet, mobile phones and – more recently – other smart objects and digital services, the tension mounts with respect to establishing the limit between public and private space online. Likewise, the freedom of expression, communication and information are at risk as - under the pretext of fighting cybercrime and cyber terrorism, as well as maintaining public order - public authorities interfere with online contents by controlling, monitoring, restraining or prohibiting it. Especially as both States’ and private companies’ capacities in creating extremely precise databases identifying information on persons’ consumption habits, itineraries, thoughts and opinions gradually increase. Therefore, the need to redefine the way in which the respect of fundamental freedoms is taken into consideration in the context of digital environment becomes urgent.

Rares sont les internautes qui peuvent encore affirmer ne jamais avoir reçu de spams, ces courriers électroniques non sollicités qui envahissent les boîtes aux lettres électroniques, jusqu'à, parfois, les saturer. À l'instar de tout échange de correspondance - sous forme papier ou numérique -, sa réception est subordonnée à la connaissance des coordonnées des futurs destinataires. Pour réaliser son opération, le " spammeur " doit donc nécessairement disposer de données nominatives telles que notamment, l'adresse électronique. Les enjeux économiques attachés à ces données à caractère personnel les exposent, de façon inévitable, à des risques accrus de collectes illicites. Engager une réflexion sur les moyens de protéger les " spammés " invite dès lors à raisonner à deux niveaux : lors de la collecte, pour empêcher la capture " sauvage " de telles données et lors de l'envoi proprement dit, afin de prémunir les destinataires contre la réception de ces messages indésirables. Face à des techniques anti-spam qui ont rapidement révélé leurs limites, la lutte contre le spamming s'est orientée vers l'outil législatif lequel sera également mis à rude épreuve. Au niveau national, les réponses offertes par les lois spéciales se révèlent incomplètes, voire inefficaces. Par ailleurs, la dimension intrinsèquement internationale du spamming ne permet pas d'ignorer les droits étrangers. En l'absence de consensus international, les profondes divergences entre législations nationales, en particulier entre la France et les États-Unis, premier pays émetteur de spams, risquent de compromettre leur effectivité à protéger les " spammés ". L'échec partiel des lois spéciales conduira ainsi à recourir aux solutions offertes par le droit commun en vue d'engager la responsabilité civile et pénale des " spammeurs ". Si d'un point de vue national, ces propositions démontreront leur capacité à pallier certaines insuffisances de la législation spéciale, la lutte anti-spam impliquera nécessairement d'engager une réflexion à l'échelle internationale.

Alors que l'objet de l'information légale a été élargi à plusieurs reprises, le consommateur n'est pas à même d'élaborer une décision en connaissance de cause lors de la conclusion d'un contrat en ligne. Les nouvelles pratiques induites par le numérique sont à l'origine d'un désordre informationnel inédit. De nombreuses sources produisent de multiples informations. Il est ainsi difficile de distinguer le contenu informationnel des autres éléments. L'information authentique, voire pertinente, n'est par ailleurs pas facile à repérer. Face à de telles transformations, il est nécessaire de s'interroger sur l'effectivité de l'obligation d'information et sur la cohérence du régime en vigueur. L'hypothèse d'une adaptation de l'obligation d'information nécessite un rapprochement entre les principes légaux et les conséquences engendrées par la profusion d'informations en ligne. L'évolution rapide des pratiques en ligne et le déséquilibre structurel existant entre le professionnel et le consommateur, permettent de relever un certain nombre de décalages rendant nécessaire de réviser les fondements de l'obligation d'information. Tenant compte du pouvoir renforcé du professionnel et de la collecte massive des données personnelles, il s'avère que la politique d'information doit être pensée dans une nouvelle perspective. Une nouvelle fonction de l'obligation d'information se dessine alors, qui appelle à repenser son régime et sa mise en œuvre. Le régime renouvelé de l'obligation d'information repose sur une extension de l’obligation et sur une participation effective du consommateur à sa propre information. Sa mise en œuvre se traduit par une obligation d'information permanente et une information affinée. / With the current significant expansion in the concept of legal information, consumers may face some major difficulties when deciding to explore the online market. Numerous sources can provide multiple information, and buyers must conform to some chaotic practices that making it difficult to distinguish between relevant and irrelevant content. However, a well informed online consumer must rely on an authentic source with a relevant content. Therefore, it is clear that regulations related to the obligation for providing information to the consumer need to be examined closely. The recent evolution of the online market and the structural imbalance between the professional and the consumer revealed a number of significant discrepancies highlighting the need to revise the bases for consumer’s information obligation. At present, such a new concept of online information is emerging, with an extended “obligation to inform” and a permanent engagement with a reactive consumer.

Le commerce électronique B to C se popularise de plus en plus et le nombre de ses adeptes ne cesse de croître d'année en année. Ses avantages, pour les consommateurs, en termes de rapidité, de commodité et de proximité ne sont plus à prouver. Néanmoins, la particularité du medium utilisé pour effectuer des transactions en ligne et les spécificités de l'environnement électronique, notamment l'immatérialité, l'interactivité et l'internationalité influent considérablement sur la confiance des cyberconsommateurs en même temps qu'elles accroissent leur vulnérabilité, d'où la nécessité d'un cadre juridique adapté afin que l'essor du commerce électronique B to C ne néglige pas la protection des cyberconsommateurs. Conscients de cet impératif, les législateurs communautaire, français et tunisien, ont mis en place un certain nombre de mesures de nature à rassurer ces derniers et leur permettre de s'engager dans des transactions de commerce en ligne en toute confiance. Ces mesures sont de deux ordres : les unes sont destinées à assurer au cyberconsommateur une protection intrinsèque au processus de la transaction en ligne ; cette protection se manifeste en amont de la transaction, lors de la phase précontractuelle, mais également pendant la période contractuelle, c'est-à-dire au moment de la finalisation de la transaction en ligne et de son exécution. Les autres ont pour objectif de garantir au consommateur une protection extrinsèque au processus de la transaction du commerce électronique. Deux aspects sont, à cet égard, pris en compte : la protection des données à caractère personnel traitées dans le cadre d'une transaction en ligne et les aspects du droit international privé de la protection du cyberconsommateur. / B to C e-commerce is increasingly gaining popularity. The number of its followers has seen a drastic surge throughout the few recent years. Its advantages in terms of speed, convenience and proximity are not any more questionable by consumers. Nevertheless, the characteristic of this medium used to carry out online transactions as well as the specificities of the electronic environment - in particular the immateriality, the interactivity and internationality - influence considerably cyber-consumers confidence. Simultaneously, they increase their vulnerability. Thus, the need for an appropriate legal framework to regulate the rise of B to C e-commerce and protect cyber-consumers. Taking into account these requirement, community, French and Tunisian legislators set up a number of measures to reassure the latter and allow them to engage confidently in online commerce transactions. These measures have two targets: some of them were intended to grant cyber-consumers an intrinsic protection in the process of the online transaction. This protection is set to be an upstream transaction protection at the pre-contractual phase as well as during the contractual period; i.e. at the level of on line transaction finalization and execution. The others aim to guarantee the consumer an extrinsic protection throughout the process of e-commerce transaction. In this respect, two aspects are taken into account, namely: personal data processed during transactions and the aspects of private international law of cyber-consumer protection.

L'identité des personnes dans l'espace numérique n'est pas définissable d'une seule manière, et son mode d'expression est multiple. En effet, un individu peut disposer de plusieurs identités dans le numérique et jouer des rôles sociaux différents suivant les contextes sociaux auxquels il est confronté. Mais quels peuvent être les effets de l'usage de ces masques identitaires ? L'identité des personnes dans le cadre des réseaux sociaux renvoie au questionnement de soi, et des autres. Le versant individualiste et le versant communautaire de cette identité constituent la trame de la construction identitaire de l'utilisateur. Aussi, il apparaît que la richesse mais aussi la complexité des réseaux tiennent au fait que le droit confond individu et identité. Le droit repose en effet sur une conception essentialiste de l'identité, par laquelle chacun est acteur de sa propre trajectoire. Mais l'individu ne vit pas seul, il vit en groupe et il est saisi dans un réseau de relations sociales. Aussi, concevoir une identité personnelle en marge de la réalité numérique revient à distinguer la personne de la notion de présence en ligne qui est éminemment déclarative et performative. Cela amène à reconsidérer la place de l'identité dans l'espace numérique. Pour appréhender la question de la construction de l'identité personnelle dans les réseaux sociaux, il faudra aborder les différentes approches qui visent à assurer à chacun une identité qui soit conforme à ses désirs. Il sera également nécessaire d'adapter les mesures existantes à la réalité virtuelle, afin d'établir un régime de l'identité personnelle plus sécurisé et respectueux des droits de la personnalité de chaque utilisateur. / The identity of people in the digital space cannot be defined in one way. Its mode of expression is multiple. In fact, an individual can have several identities in the digital environment. It can also play different social roles according to social contexts that it faces. But what are effects of using identity masks ? The individual's identity within the social networks refers to the self-questioning, and others. The individualistic side and the community side of this identity are the foundation of the building of user's identity. Moreover, it appears that the wealth and the complexity of networks are the result of the confusion made by the law between individual and identity. In fact, the law is based on an essentialist conception of identity, by which each player has its own trajectory. But the individual does not live alone, he lives in a group and it is part of a network of social relations. The identity is made in the interaction of a claimed identity for oneself and assigned by others. Also, develop a personal identity on the fringes of the digital reality is to distinguish the person of the concept of online presence which is eminently declarative and performative.All this leads to reconsider the place of identity in the digital space. To understand the question of the construction of personal identity in social network, different approaches will be detailed. Those approaches are aimed to ensure everyone an identity according his wishes. Also, it will be necessary to adapt the existing measures to the virtual reality, in order to establish a more secure regime of personal identity, in respect of the rights of each user's personnality.

L'acronyme anglais RFID « Radio Frequency Identification » désigne en français l'identification par radiofréquence, une technologie qui permet d'identifier et de localiser sans contact des objets ou des personnes grâce à une micro-puce qui dialogue par ondes radio avec un lecteur, sur des distances allant de quelques centimètres à une dizaine de mètres. Déjà présente dans notre quotidien, via les cartes d'accès à certains bâtiments notamment, la RFID est appelée à se développer de manière exponentielle dans les années à venir pour concrétiser à terme le futur Internet des objets.À l'instar de toute innovation technologique, la RFID nécessite un environnement juridique pour pouvoir s'épanouir à la fois économiquement et socialement. C'est pourquoi la présente étude se propose d'exposer les diverses problématiques juridiques afférentes à la RFID. Pour assurer le succès d'une technologie émergente, il est nécessaire que les individus aient confiance en elle, sans quoi le marché ne pourra pas démarrer. Afin de générer cette confiance, la sécurité est primordiale, avant tout d'un point de vue technique mais également sur le plan juridique.L'objectif de cette thèse sera d'étudier le cadre juridique applicable à la technologie RFID, à la fois du point de vue de son contenant, le système, et de son contenu, les données. Quels sont les défis juridiques soulevés par cette technologie ? Existe-t-il des textes applicables à la RFID, et quels sont-ils ? Comment le juriste intègre-t-il cette technologie émergente au cadre juridique existant ? La réflexion est menée afin d'apprécier la nature des rapports entretenus entre la RFID et le droit, et leur éventuelle perfectibilité. / The acronym RFID stands for Radio Frequency Identification, a wireless technology that provides the ability to automatically identify and locate tags attached to objects, as well as the person who is actually carrying them. The technology relies on storing and retrieving data, through radio waves by using devices called RFID tags. Those tags are already prevalent in our everyday lives to grant building access control for example. And this is only the beginning, as RFID technology is expected to be one of the main brick of the Internet of things. Like any other new technology, RFID needs a suitable legal framework to get benefits to both consumers and businesses. This work is thus intended to bring up RFID from a legal perspective. Indeed, one of the new technology key successes lies on the way the consumers will grasp it. When looking for economic profits, it is then essential to focus on public perception and consumer confidence related to this technology. And this would not come along without security concern which represents actually the main challenge to face, most of all from a technical perspective, but also from a legal one.For this reason, the proposed work aims at exposing the legal framework which could be applied both to its container (the RFID system) and its content (the RFID data). It is worth analysing the way the legal practitioner can deal with this technology and all its related issues. Are there any specifics legislations on this subject? And if so, what are they? A critical assessment is undertaken to appreciate the substance of the relationships existing between RFID and law, and potential improvement that come along.