Droit des technologies, de l'intelligence artificielle et de la protection des données

Les questions que nous traitons dans le cadre de la loi turque n° 6698 sur la protection des données personnelles (KVKK), de la loi n° 5651 sur la réglementation des publications sur Internet et des dispositions relatives à la cybercriminalité du Code pénal turc n° 5237 (TCK) :

• Travaux de mise en conformité au droit turc de la protection des données et au RGPD, inventaires de données et rédaction de politiques
• Notices d'information, processus de consentement explicite et politiques en matière de cookies
• Contrats entre responsable du traitement et sous-traitant et obligations relatives au registre des responsables du traitement
• Transferts de données personnelles à l'étranger et mécanismes juridiques disponibles pour ces transferts
• Données des salariés, dossiers du personnel et enregistrements des caméras sur le lieu de travail
• Données de santé, données biométriques et catégories particulières de données personnelles
• Notification des violations de données, gestion des violations et actions en annulation des décisions du Conseil de protection des données personnelles
• Demandes d'indemnisation résultant du traitement illicite de données personnelles
• Accès non autorisé aux systèmes d'information, obtention illicite de données et infractions relatives aux cartes bancaires
• Infractions d'injure, de menace et de chantage commises via Internet
• Demandes de retrait de contenus, de blocage d'accès et de droit à l'oubli
• Comptes de réseaux sociaux compromis et procédures relatives aux preuves numériques
• Contrats de développement de logiciels, de maintenance, d'informatique en nuage et accords de niveau de service
• Responsabilité, utilisation des données et obligations de transparence dans les applications d'intelligence artificielle
• Litiges en matière de commerce électronique, de signature électronique et de contrats électroniques
• Obligations en matière de cybersécurité et gestion des incidents à la suite d'une cyberattaque
• Responsabilité des plateformes numériques et relations entre plateformes et utilisateurs
• Droit du jeu vidéo et de l'e-sport ; litiges relatifs aux contenus numériques et aux objets virtuels
• Marketing direct, messages électroniques commerciaux et obligations y afférentes
• Responsabilité dans la prise de décision algorithmique et le traitement exclusivement automatisé
• Appréciation juridique des crypto-actifs et des applications fondées sur la chaîne de blocs

Dans nos travaux en ce domaine, la loi n° 6698 sur la protection des données personnelles est prise en compte avant tout, avec les règles relatives aux publications sur Internet, au commerce électronique, aux signatures électroniques, à la cybercriminalité, à la cybersécurité, au droit de la consommation et à la propriété intellectuelle. Le risque juridique dans ce domaine naît souvent de l'écart entre les politiques écrites et la pratique réelle ; c'est pourquoi les processus sont appréciés non seulement à travers les contrats et les textes de politiques, mais aussi à travers le modèle d'activité, l'infrastructure technique, les parcours des utilisateurs et les flux de données réels.

Dans le cadre de la mise en conformité à la protection des données, les processus relatifs aux ressources humaines, aux ventes, au marketing, à la comptabilité, au centre d'appels, aux caméras, aux applications mobiles, au site Internet, à la gestion des fournisseurs et à l'informatique sont examinés séparément. Les données personnelles traitées, la base juridique du traitement, les durées de conservation, les autorisations d'accès, les catégories de destinataires et les canaux de transfert à l'étranger sont identifiés et, pour les responsables du traitement soumis à l'obligation d'enregistrement, la cohérence entre la déclaration au Registre turc des responsables du traitement (VERBİS) et les activités de traitement réelles est vérifiée.

Les notices d'information et les processus de consentement explicite sont préparés spécifiquement pour les salariés, les candidats à un emploi, les clients, les visiteurs, les caméras, les cookies, les applications mobiles, les campagnes et les fournisseurs. Le devoir d'information et le consentement explicite ne constituent pas un seul et même acte ; le consentement explicite n'entre en considération que lorsqu'aucune autre condition de traitement prévue par la loi n'existe. Les demandes d'accès, de rectification ou d'effacement émanant des personnes concernées sont examinées au cas par cas afin de pouvoir y répondre dans les délais et de manière documentée.

Dans le traitement des données des salariés, la messagerie électronique professionnelle, l'utilisation d'Internet, la localisation, la performance, les enregistrements d'entrée et de sortie, les données biométriques et les enregistrements des caméras sont appréciés au regard de la finalité, de la nécessité, de la proportionnalité et de l'information préalable. Lorsque des services d'informatique en nuage, de CRM, de ressources humaines, d'analyse ou d'intelligence artificielle sont utilisés, il est déterminé si des données personnelles sont transférées à l'étranger et sur quel mécanisme juridique repose ce transfert, et les contrats avec les fournisseurs sont examinés en ce qui concerne la notification des violations, les sous-traitants ultérieurs, les droits d'audit, la suppression et la répartition des responsabilités.

Les contrats de développement de logiciels, de licence, de SaaS, de maintenance, d'hébergement, d'API et de plateformes numériques, les politiques d'entreprise en matière d'utilisation de l'intelligence artificielle, l'appréciation juridique des projets fondés sur les crypto-actifs et la chaîne de blocs, les messages électroniques commerciaux, ainsi que les questions de retrait de contenus, de blocage d'accès, de prise de contrôle de comptes et de cybercriminalité relèvent également de notre domaine d'intervention.

Parmi les questions les plus fréquemment rencontrées dans la pratique figurent une mise en conformité à la protection des données limitée à une notice d'information sur un site Internet, un consentement explicite recueilli inutilement ou regroupé dans une seule case d'approbation, des services d'informatique en nuage qui transfèrent des données à l'étranger contrairement à ce qu'énonce la politique de l'entreprise, et des systèmes de caméras installés à des fins de sécurité mais utilisés pour la surveillance continue des salariés.

Les violations de données peuvent résulter d'un courriel envoyé à la mauvaise personne, d'un appareil perdu, d'un compte utilisateur compromis, d'un rançongiciel, d'une base de données laissée ouverte sur Internet ou de l'accès au système dont continue de disposer un ancien salarié. Tout incident technique n'a pas la même conséquence juridique ; toutefois, conclure sans investigation qu'aucune donnée n'a fuité est tout aussi erroné. Les journaux d'événements doivent être préservés, les systèmes et les groupes de données affectés identifiés et la date à laquelle l'incident a été découvert consignée.

Dans l'utilisation de l'intelligence artificielle, le fait qu'un outil soit acquis auprès d'un tiers ou exploité par l'intermédiaire d'un service accessible au public ne décharge pas de sa responsabilité l'entreprise qui l'utilise. Les systèmes utilisés dans le recrutement, la notation des clients, la publicité, la génération de contenus ou l'aide à la décision sont appréciés conjointement au regard des données personnelles, de la discrimination, du droit de la consommation, de la propriété intellectuelle, des secrets d'affaires et de la responsabilité contractuelle.

Dans les contrats technologiques, le fait de ne pas régler les tests de réception, les niveaux de service, la responsabilité en cas d'interruption de service, la perte de données, le code source, les droits de propriété intellectuelle et l'accès aux données après la résiliation peut conduire à des litiges graves. Dans les affaires de prise de contrôle de comptes, de faux profils, d'utilisation non autorisée d'images, de fraude en ligne ou de réputation commerciale, la priorité est la préservation des preuves, car les contenus peuvent être supprimés et les enregistrements des plateformes peuvent devenir plus difficiles à obtenir avec le temps.

La procédure commence par la compréhension du fonctionnement réel de l'incident ou du système avant de se tourner vers les textes juridiques. Les logiciels utilisés, les sources de données, les fournisseurs, les contrats, les captures d'écran, les enregistrements d'accès, les journaux, la correspondance relative aux demandes et les dates des événements sont examinés conjointement.

La législation applicable, les délais critiques, les preuves disponibles et les responsabilités des parties sont ensuite déterminés. Dans les projets de mise en conformité, un plan de travail applicable couvrant l'inventaire des données, les notices d'information, les règles de conservation et d'accès, les contrats avec les fournisseurs et les mécanismes de transfert est préparé, de sorte que la conformité soit gérée dans la pratique plutôt que sur le papier.

En cas de violation de données ou de cyberincident, une coordination est établie avec l'équipe technique, l'expert en criminalistique numérique, l'assureur et le service de communication. La préservation des preuves, la préparation des textes de notification, l'information des personnes concernées et la consignation des mesures correctives prises après l'incident sont menées dans ce cadre.

Dans les litiges, les recours administratifs, les actions en justice, les plaintes pénales, les demandes de retrait de contenus et de blocage d'accès, les mises en demeure, la constatation des preuves et les demandes d'indemnisation sont appréciés séparément, chaque voie de droit étant soumise à des conditions différentes et servant une finalité différente. Le client est régulièrement informé des étapes de la procédure, des risques éventuels et des voies de droit pouvant être exercées.