Article L111-7-3 of the French Consumer Code

The operators of online platforms referred to in Article L. 111-7 of this code and persons providing non-number-based interpersonal communications services within the meaning of 6° quater of Article L. 32 of the French Post and Electronic Communications Code, whose activity exceeds one or more thresholds defined by decree, shall carry out a cybersecurity audit, the results of which shall be presented to the consumer under the conditions laid down in the last paragraph of this article, covering the security and location of the data they host, directly or via a third party, and their own security, under the conditions laid down in this article.

The audit referred to in the first paragraph shall be carried out by audit service providers qualified by the Agence nationale de la sécurité des systèmes d’information.

A joint order of the ministers responsible for digital technology and consumer affairs, issued after consultation with the Commission nationale de l’informatique et des libertés, sets the criteria to be taken into account by the audit provided for in the same first paragraph, the conditions governing its period of validity and the procedures for its presentation.

The result of the audit shall be presented to the consumer in a legible, clear and comprehensible manner and shall be accompanied by a complementary presentation or expression, by means of a colour information system.

Original in French

Article L111-7-3

Les opérateurs de plateformes en ligne mentionnés à l’article L. 111-7 du présent code et les personnes qui fournissent des services de communications interpersonnelles non fondés sur la numérotation, au sens du 6° quater de l’article L. 32 du code des postes et des communications électroniques, dont l’activité dépasse un ou plusieurs seuils définis par décret réalisent un audit de cybersécurité, dont les résultats sont présentés au consommateur dans les conditions prévues au dernier alinéa du présent article, portant sur la sécurisation et la localisation des données qu’ils hébergent, directement ou par l’intermédiaire d’un tiers, et sur leur propre sécurisation, dans les conditions prévues au présent article.

L’audit mentionné au premier alinéa est effectué par des prestataires d’audit qualifiés par l’Agence nationale de la sécurité des systèmes d’information.

Un arrêté conjoint des ministres chargés du numérique et de la consommation, pris après avis de la Commission nationale de l’informatique et des libertés, fixe les critères qui sont pris en compte par l’audit prévu au même premier alinéa et ses conditions en matière de durée de validité ainsi que les modalités de sa présentation.

Le résultat de l’audit est présenté au consommateur de façon lisible, claire et compréhensible et est accompagné d’une présentation ou d’une expression complémentaire, au moyen d’un système d’information coloriel.