30
le cas échéant sélectionné à ses obligations, ou encore toute attaque informatique ciblant ces
dispositifs pourrait entraîner la perte totale ou partielle des Bitcoins détenus par la Société.
3.2.2 Risques liés à la protection des données personnelles
Dans le cadre de ses activités, la Société collecte, reçoit, stocke, traite, utilise, transmet et
conserve diverses informations sensibles, incluant notamment des données personnelles
(relatives aux abonnés, clients, partenaires et salariés), des informations commerciales
confidentielles, des secrets d’affaires, des éléments de propriété intellectuelle, ainsi que des
données recueillies sur les participants dans le cadre des abonnements et des services proposés.
Ces opérations de traitement soumettent la Société à de nombreuses obligations en matière de
confidentialité, de sécurité et de protection des données, issues notamment des lois et
règlements applicables, des normes professionnelles, de ses politiques internes et des
engagements contractuels conclus avec ses partenaires.
En particulier, le règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données
personnelles (règlement général sur la protection des données – « RGPD »), tel que mis en
œuvre au sein de l’Union européenne et, le cas échéant, au Royaume‑Uni, s’applique aux
traitements de données personnelles effectués par la Société lorsque des personnes concernées
se situent dans l’Espace économique européen ou au Royaume‑Uni. Ces textes imposent des
exigences strictes. Il s'agit notamment de plusieurs exigences relatives à (1) la limitation du
traitement des données à caractère personnel à ce qui est nécessaire pour une finalité
déterminée, explicite et légitime, (2) l'obtention d'une base légale pour le traitement des
données à caractère personnel, (3) obtenir, dans certaines situations, le consentement des
personnes concernées par les données personnelles, (4) les informations fournies aux personnes
sur la manière dont leurs données personnelles sont utilisées, (5) assurer la sécurité et la
confidentialité des données personnelles en mettant en œuvre et en maintenant des garanties
techniques et organisationnelles appropriées, (6) l'obligation de notifier, en certaines
circonstances, les autorités réglementaires et les personnes concernées par des violations de
données personnelles, (7) des obligations internes étendues en matière de gouvernance de la
confidentialité et (8) des obligations de respecter les droits des individus en relation avec leurs
données personnelles (par exemple, le droit d'accès, de correction et de suppression de leurs
données).
Le non‑respect par la Société de ces obligations, ou la perception d’un tel non‑respect (y
compris du fait de prestataires intervenant pour son compte), pourrait engager sa responsabilité
et exposer la Société à des sanctions administratives, civiles et pénales, ainsi qu’à des
réclamations ou actions de la part de personnes concernées ou de partenaires. À titre
d’illustration, en cas de manquement aux dispositions du RGPD, la Société pourrait se voir
infliger une amende pouvant atteindre le montant le plus élevé entre 20 millions d’euros et 4 %
de son chiffre d’affaires annuel mondial, et les autorités de contrôle disposent par ailleurs de
pouvoirs étendus (audits, injonctions, limitations ou interdictions de traitement, etc.). Ces
événements pourraient également entraîner une dégradation de l’image de marque de la
Société, la perte de confiance de ses clients et partenaires, ainsi que des coûts significatifs de
mise en conformité ou de remédiation, et, de manière générale, avoir un effet défavorable
significatif sur ses activités, ses résultats, sa situation financière et ses perspectives de
développement.