-
- Thème 1 · L'intégration de l'entreprise dans son environnement
Agents économiques et marchés- Le contrat : formation et exécution
- Finalités, parties prenantes, performance
- Thème 2 · La régulation de l'activité économique
- L'État et les politiques économiques
- Concurrence et propriété industrielle
- Environnement, veille et innovation
- Thème 3 · L'organisation de l'activité de l'entreprise
- Facteurs de production et coûts
- Structures juridiques
- Risques et responsabilité de l'entreprise
- Organisation des ressources et management
- Le financement de l'entreprise
- Thème 4 · L'impact du numérique sur la vie de l'entreprise
- Numérique et environnement économique
- Le droit face au numérique et aux données
- Numérique, SI et management
- Thème 5 · Les mutations du travail
- Les évolutions du marché du travail
- Le droit du travail : contrats et ruptures
- Mutations du travail, GPEC et motivation
- Thème 6 · Les choix stratégiques de l'entreprise
- Le diagnostic stratégique
- Les choix stratégiques
- Sujets d'entraînement (format de l'épreuve)
- Sujet E3 n° 1 – Alpine Textile
- Sujet E3 n° 2 – Maison Delorme
- Sujet E3 n° 3 – Bleu Horizon
Cours · BTS MCO et NDRC · CEJM
Dans quelle mesure le droit répond-il aux questions posées par le numérique
Le thème 4 du programme étudie l'impact du numérique sur la vie de l'entreprise. Après les transformations économiques (chapitre 4.1), la question 4.2 demande dans quelle mesure le droit répond aux questions posées par le numérique : comment protéger un logiciel ou une base de données, quelles règles encadrent les données personnelles, ce que l'employeur peut contrôler, comment prouver un contrat conclu en ligne et quelles obligations pèsent sur la vente et les prestations numériques. Le droit n'a pas créé un « droit du numérique » séparé : il adapte le droit des contrats, de la propriété intellectuelle et du travail, et y ajoute des règles spécifiques comme le RGPD.
La protection des actifs immatériels
Une entreprise numérique possède des actifs immatériels : logiciels, bases de données, marques, noms de domaine, contenus. Sans support physique, ils ont une grande valeur et sont faciles à copier. Le droit les protège par plusieurs régimes qui se combinent ; la propriété industrielle (brevet, marque) a été vue au chapitre 2.2, ce chapitre y ajoute le droit d'auteur.
| Actif | Protection | Conditions et durée | Exemple chez Kooma |
|---|---|---|---|
| Logiciel (code source, code objet, documentation) | Droit d'auteur | Œuvre originale, protégée sans formalité dès sa création ; droits patrimoniaux jusqu'à 70 ans après la mort de l'auteur ; le logiciel créé par un salarié dans ses fonctions appartient à l'employeur | Le code de l'application de covoiturage appartient à Kooma, qui peut interdire sa copie |
| Base de données | Droit du producteur de base de données (et droit d'auteur si la structure est originale) | Investissement substantiel dans la constitution ou la vérification des données ; interdit l'extraction d'une partie substantielle | La base des trajets et des utilisateurs ne peut être extraite par un concurrent |
| Nom et logo | Marque (INPI) | Signe distinctif, disponible, déposé pour des classes de produits ou services ; 10 ans renouvelables | « Kooma » déposé pour les services de transport et les logiciels |
| Nom de domaine | Enregistrement auprès d'un bureau d'enregistrement (règle du premier arrivé) | Pas un titre de propriété ; contestable s'il reproduit une marque antérieure (cybersquattage) | kooma.fr et kooma.com réservés dès la création |
| Invention technique | Brevet (INPI), 20 ans | Un logiciel « en tant que tel » n'est pas brevetable ; une invention qui l'intègre peut l'être | Un capteur de détection d'accident développé avec un partenaire |
Défense. La copie d'un logiciel ou l'extraction d'une base sans autorisation est une contrefaçon, sanctionnée civilement (dommages-intérêts, interdiction) et pénalement. Le secret des affaires protège en outre les informations confidentielles (algorithmes, tarifs, fichiers clients) gardées secrètes par des mesures raisonnables.
Les données personnelles et les principes du RGPD
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable (nom, courriel, adresse IP, géolocalisation, historique d'achats). Un traitement est toute opération sur ces données : collecte, enregistrement, conservation, consultation, transmission, effacement. Le responsable du traitement est celui qui en détermine les finalités et les moyens (l'entreprise) ; le sous-traitant traite les données pour son compte (hébergeur, prestataire de paie, éditeur SaaS).
Le règlement général sur la protection des données (RGPD), applicable depuis mai 2018 dans toute l'Union européenne, fixe les principes que tout traitement doit respecter.
| Principe | Signification | Application dans l'entreprise |
|---|---|---|
| Licéité | Le traitement repose sur une base légale : consentement, contrat, obligation légale, intérêt légitime, mission d'intérêt public, sauvegarde des intérêts vitaux | La paie repose sur le contrat et la loi ; la prospection par courriel auprès de prospects sur le consentement |
| Finalité | Les données sont collectées pour un objectif déterminé, explicite et légitime | Un fichier clients ne sert pas à surveiller les salariés |
| Minimisation | Seules les données nécessaires sont collectées | Pas de date de naissance pour une simple commande en ligne |
| Limitation de la conservation | Durée fixée selon la finalité, puis suppression ou archivage | Données de prospects supprimées après une durée définie sans contact |
| Sécurité et confidentialité | Mesures techniques et organisationnelles adaptées | Mots de passe, chiffrement, sauvegardes, habilitations |
Exemple. Les Jardins de Tessier collectent, pour la livraison des végétaux, le nom, l'adresse et le téléphone du client : base légale, le contrat ; finalité, la livraison ; minimisation, aucune autre donnée n'est demandée. Pour envoyer ensuite un catalogue par courriel, l'entreprise informe le client lors de la collecte et lui permet de s'opposer à chaque envoi.
Les droits des personnes, les obligations de l'entreprise et la CNIL
Le RGPD confère des droits aux personnes et impose des obligations au responsable du traitement. L'autorité de contrôle en France est la CNIL (Commission nationale de l'informatique et des libertés), qui conseille, contrôle et sanctionne.
| Droits des personnes | Contenu |
|---|---|
| Information | Savoir qui collecte, pourquoi, pour combien de temps, avec quels droits (mentions lors de la collecte, politique de confidentialité) |
| Accès | Obtenir la copie de ses données ; réponse dans un délai d'un mois |
| Rectification et effacement | Faire corriger ou supprimer ses données (« droit à l'oubli ») lorsque le traitement n'est plus justifié |
| Opposition et limitation | S'opposer au traitement, notamment à la prospection, ou en demander le gel |
| Portabilité | Récupérer ses données dans un format lisible pour les transmettre à un autre prestataire |
| Obligations de l'entreprise | Contenu |
|---|---|
| Registre des traitements | Liste des traitements avec finalité, données, destinataires, durées, mesures de sécurité |
| Protection dès la conception et par défaut | Intégrer la protection des données dans tout nouveau projet (site, application, CRM) |
| Analyse d'impact (AIPD) | Obligatoire avant un traitement à risque élevé (surveillance à grande échelle, données sensibles, profilage) |
| Délégué à la protection des données (DPO) | Obligatoire pour les organismes publics, le suivi régulier et systématique à grande échelle ou les données sensibles à grande échelle ; recommandé ailleurs |
| Notification des violations | À la CNIL dans les 72 heures ; aux personnes concernées si le risque pour elles est élevé |
Sanctions. La CNIL peut prononcer un rappel à l'ordre, une mise en demeure, une injonction sous astreinte et une amende administrative pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, selon la gravité, la durée et la coopération de l'entreprise. S'y ajoutent l'atteinte à la réputation et les actions des personnes lésées.
Identité numérique et usage du numérique au travail
L'identité numérique d'une personne est l'ensemble des traces qu'elle laisse en ligne (profils, publications, données collectées). Celle d'une entreprise, son e-réputation, est protégée contre le dénigrement, la diffamation et l'usurpation ; en retour, l'entreprise doit une publicité loyale (avis vérifiés, contenus sponsorisés identifiés). Au travail, l'employeur peut fixer les règles d'usage du numérique et contrôler l'activité, dans des limites qui protègent la vie privée du salarié.
| Question | Règle |
|---|---|
| Charte informatique | Document, souvent annexé au règlement intérieur, qui fixe les usages autorisés (messagerie, internet, réseaux sociaux, matériel personnel) et les contrôles ; opposable si elle a été portée à la connaissance des salariés et soumise au CSE |
| Contrôle de l'activité | Principes de loyauté (information préalable des salariés), de proportionnalité (justifié par la nature de la tâche) et de transparence ; le CSE est consulté avant la mise en place d'un dispositif de contrôle |
| Fichiers et messages | Les fichiers et courriels créés avec les outils professionnels sont présumés professionnels et consultables par l'employeur, sauf s'ils sont clairement identifiés comme personnels |
| Droit à la déconnexion | Le salarié n'a pas à répondre aux sollicitations numériques hors de son temps de travail ; l'entreprise négocie ou définit dans une charte les modalités de ce droit |
Exemple. Vélocité équipe ses techniciens de tablettes géolocalisées pour organiser les tournées de service après-vente : finalité légitime (planification), information des salariés, pas de suivi en dehors des heures de travail, CSE consulté. Un suivi permanent des déplacements d'un commercial pour contrôler son emploi du temps serait disproportionné.
La preuve et la signature électroniques
Le droit admet l'écrit électronique comme preuve au même titre que l'écrit sur papier, à condition que son auteur soit identifié et que le document soit conservé dans des conditions qui en garantissent l'intégrité. La signature électronique identifie le signataire et manifeste son consentement ; le règlement européen eIDAS distingue trois niveaux.
| Niveau | Caractéristiques | Usage |
|---|---|---|
| Signature simple | Case à cocher, nom tapé, code reçu par SMS ; fiabilité à prouver en cas de litige | Conditions générales, bons de commande courants |
| Signature avancée | Liée au signataire de manière univoque, créée sous son contrôle, détecte toute modification ultérieure | Contrats commerciaux, contrats de travail, devis |
| Signature qualifiée | Signature avancée fondée sur un certificat qualifié délivré par un prestataire certifié ; présumée fiable, équivalente à la signature manuscrite | Actes à fort enjeu, marchés publics |
Exemple. Kooma fait signer ses contrats d'abonnement aux entreprises clientes par signature avancée via un prestataire : l'identité du signataire, la date et le contenu sont garantis ; en cas de contestation, le fichier de preuve produit par le prestataire est opposable.
Le contrat de vente électronique
Le contrat de vente électronique (vente à distance par un site, une application ou une place de marché) obéit au droit commun des contrats vu au chapitre 1.2, complété par un formalisme protecteur, surtout lorsque l'acheteur est un consommateur (B to C).
| Étape | Obligation du vendeur professionnel |
|---|---|
| Information précontractuelle | Identité et coordonnées, caractéristiques essentielles, prix total, frais de livraison, date ou délai de livraison, modalités de paiement, droit de rétractation et ses exceptions, garanties, conditions générales accessibles et conservables |
| Conclusion (« double clic ») | Récapitulatif de la commande, possibilité de corriger les erreurs, confirmation expresse, bouton indiquant clairement l'obligation de payer, accusé de réception électronique |
| Exécution | Livraison à la date convenue ou, à défaut, au plus tard 30 jours après la commande ; le vendeur supporte le risque de perte jusqu'à la remise au consommateur |
| Rétractation | 14 jours à compter de la réception du bien (ou de la conclusion pour un service), sans motif ; remboursement intégral dans les 14 jours ; frais de retour à la charge du consommateur s'il en a été informé ; exceptions : biens personnalisés, périssables, descellés d'hygiène, contenus numériques fournis avec accord exprès, services pleinement exécutés |
| Garanties | Garantie légale de conformité de 2 ans (réparation ou remplacement, puis réduction du prix ou résolution) ; le vendeur en ligne est responsable de plein droit de la bonne exécution, même si un prestataire livre |
Entre professionnels (B to B), le formalisme est allégé et il n'existe pas de droit de rétractation, sauf cas particuliers.
Exemple. Sur le site de Vélocité, un magasin partenaire (B to B) commande dix vélos : pas de rétractation, conditions générales de vente professionnelles, délai de paiement convenu. Un particulier qui commande le même modèle (B to C) bénéficie de l'information renforcée, du double clic, de la rétractation de 14 jours et de la garantie légale de conformité de 2 ans.
Les contrats de prestation numérique : SaaS, hébergement, niveaux de service
Les entreprises n'achètent plus seulement des produits numériques : elles contractent des prestations numériques continues. Le contrat SaaS (logiciel en tant que service) donne un droit d'utilisation d'un logiciel hébergé par l'éditeur, contre un abonnement ; le contrat d'hébergement met à disposition des serveurs et leur maintenance ; le contrat de développement commande un logiciel sur mesure. Ces contrats sont des contrats d'entreprise (prestation de services) et relèvent du droit commun, mais leurs clauses techniques sont décisives.
| Clause | Rôle | Point de vigilance |
|---|---|---|
| Niveaux de service (SLA) | Engagements mesurables : disponibilité, délai de rétablissement, support | Pénalités réelles ou simple avoir ; mode de mesure |
| Propriété intellectuelle | Qui détient le logiciel, les développements spécifiques, les données | Les données restent au client ; cession des développements sur mesure à négocier |
| Données personnelles | Qualité de sous-traitant, lieu d'hébergement, sécurité, notification des violations | Contrat de sous-traitance RGPD obligatoire |
| Réversibilité | Restitution des données dans un format exploitable, assistance à la migration | Sans elle, dépendance au prestataire |
| Responsabilité | Obligation de moyens (hébergement, disponibilité) ou de résultat (livrables définis) ; plafonds | Plafond souvent limité à la redevance : mesurer le risque |
Exemple. Les Jardins de Tessier souscrivent un logiciel de caisse en SaaS : la disponibilité promise de 99 % tolère environ 7 heures d'indisponibilité par mois (730 h × 1 %) ; M. Tessier vérifie que le support est joignable le samedi et que les données de caisse sont exportables à tout moment.
Méthode : répondre à une question de CEJM
Une question de CEJM sur le droit du numérique demande d'appliquer une règle à une situation, pas de réciter le RGPD. La réponse suit quatre temps.
- Identifier et qualifier les faits avec le vocabulaire juridique : donnée personnelle, traitement, responsable du traitement, sous-traitant, consommateur, vente à distance, contrat SaaS.
- Énoncer la règle applicable : principe du RGPD, droit des personnes, formalisme de la vente électronique, régime de la signature électronique.
- Appliquer la règle au cas : les conditions sont-elles remplies ? Quels délais ? Quelles obligations concrètes pour l'entreprise ?
- Conclure par une réponse argumentée et, si la question le demande, une recommandation.
Exemple rédigé. Question : Kooma peut-elle utiliser les trajets enregistrés par ses utilisateurs pour leur proposer des publicités de commerces situés sur leur parcours ?
Qualification : les trajets, associés à un compte, sont des données personnelles ; leur exploitation publicitaire est un nouveau traitement, distinct de la finalité initiale (mise en relation pour le covoiturage). Règle : le RGPD impose une finalité déterminée et une base légale ; une finalité nouvelle non compatible exige une nouvelle base, en pratique le consentement, et une information préalable ; le profilage à des fins publicitaires peut nécessiter une analyse d'impact. Application : Kooma ne peut pas utiliser les trajets à des fins publicitaires sur la seule base du contrat de covoiturage ; elle doit informer les utilisateurs, recueillir un consentement spécifique (case non pré-cochée) et permettre son retrait. Conclusion : le projet est possible à condition de créer un consentement dédié et d'inscrire le traitement au registre ; à défaut, Kooma s'expose à une sanction de la CNIL et à une perte de confiance des utilisateurs.
L'essentiel à retenir
- Les actifs immatériels sont protégés par le droit d'auteur (logiciels, contenus), le droit des bases de données, la marque (10 ans renouvelables) et, pour les inventions, le brevet (20 ans) ; le nom de domaine s'enregistre mais ne vaut pas titre.
- Le RGPD impose à tout traitement de données personnelles une base légale, une finalité, la minimisation, une durée de conservation et la sécurité ; les personnes ont des droits (accès, rectification, effacement, opposition, portabilité) et la CNIL sanctionne jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial.
- Au travail, le contrôle numérique doit être loyal, proportionné et annoncé (charte, CSE) ; le salarié dispose d'un droit à la déconnexion. L'écrit et la signature électroniques ont la même valeur que le papier si l'auteur est identifié et l'intégrité garantie.
- La vente en ligne au consommateur impose l'information précontractuelle, le double clic, un droit de rétractation de 14 jours et la garantie légale de conformité de 2 ans ; un contrat SaaS se juge sur ses niveaux de service, la propriété des données, la sous-traitance RGPD et la réversibilité.