La loi n°2016-1321 du 7 octobre 2016 pour une République numérique avait, en son article 68, posé le principe selon lequel « les opérateurs, ainsi que les membres de leur personnel, sont tenus de respecter le secret des correspondances.

Le secret couvre le contenu de la correspondance, l’identité des correspondants ainsi que, le cas échéant, l’intitulé du message et les documents joints à la correspondance » (article L.32-3 I du Code des postes et des communications électroniques).

Cette disposition était une nouveauté puisque, si le secret des correspondances électroniques était déjà reconnu dans son principe, son étendue n’était jusqu’alors pas expressément encadrée. C’est désormais chose faite : le contenu de la correspondance mais également l’identité des correspondants, l’intitulé du message et les documents joints sont expressément couverts par le secret des correspondances.

La loi pour une République numérique avait également introduit à l’article L.32-3 IV du Code des postes et des communications électroniques un principe d’interdiction des traitements automatisés d’analyse, à des fins publicitaires, statistiques ou d’amélioration du service apporté à l’utilisateur des éléments protégés par le secret des correspondances électroniques, sauf consentement exprès et spécifique de l’utilisateur, consentement qui doit périodiquement être renouvelé.

L’analyse du contenu des boîtes de messageries électroniques par les fournisseurs de ces services est en effet chose courante, notamment à des fins de publicité ciblée. La publication de la loi laissait donc entrevoir la nécessité de changements de pratiques importants.

C’est dans ce contexte qu’intervient le décret n°2017-428 du 28 mars 2017, qui modifie l’article D.98-5 du Code des postes et des communications électroniques.

Désormais, pour les traitements d’éléments protégés par le secret des correspondances électroniques, la périodicité du consentement exprès de l’utilisateur est fixée à un an. Le décret précise par ailleurs, en son article 2, que pour les traitements mis en place avant la parution du décret, le premier consentement doit être recueilli au plus tard six mois après son entrée en vigueur, c’est-à-dire avant le 1er octobre 2017.

Anne-Laure Villedieu, avocat associée en droit de la propriété industrielle, droit de l’informatique, des communications électroniques et protection des données personnelles.

Thomas Livenais, avocat en droit de la propriété intellectuelle