Source: http://www.ip-talk.com/accueil/rgpd/
Timestamp: 2019-03-22 10:53:44+00:00
Document Index: 51788839

Matched Legal Cases: ['arrêt ', 'arrêt ', 'art=1', 'arrêt ', 'arrêt ', 'art=1']

21/01/19 – CNIL – Condamnation de la société Google LLC, 1ère amende française au titre du RGPD >> 50 Millions €
Faits : La société américaine Google LLC traite des données personnelles dans le cadre du système d’exploitation Android et des services fournis en lien avec la création d’un compte utilisateur Google lors de la configuration d’un téléphone mobile.
Les 25 et 28 mai 2018, dans la foulée de l’entrée en vigueur du RGPD, les associations autrichienne None Of Your Business (« NOYB ») et française La Quadrature du Net (« LQDN ») ont engagé des plaintes collectives auprès de la CNIL, reprochant à Google de ne pas disposer d’une base juridique valable pour traiter les données personnelles des utilisateurs de ses services, notamment à des fins de personnalisation de la publicité.
Compétence de la CNIL : Le mécanisme du « guichet unique » mis en place par le RGPD prévoit qu’un organisme établi dans l’Union européenne doit avoir pour seule interlocutrice l’autorité « chef de file » du pays où est situé son « établissement principal » qui doit alors se coordonner avec les autres autorités nationales de protection des données.
Ici, dans la mesure où au moment des plaintes, Google Ireland n’avait pas de pouvoir de décision sur les traitements concernés (avec le système d’exploitation Android, la création d’un compte utilisateur Google lors de la configuration d’un téléphone mobile) les autorités européennes ont considéré que Google LLC ne disposait pas d’un établissement principal dans l’Union européenne, la CNIL, comme les autres autorités européennes étant alors compétentes.
Mode de contrôle : En septembre 2018, La CNIL a procédé à un contrôle et une analyse en ligne du parcours d’un utilisateur et des documents/informations auxquels il peut accéder en créant un compte Google en configurant son appareil mobile sous Android.
Obligation de transparence et d’information des personnes concernées : La CNIL a retenu la difficulté d’accès aux informations destinées au personnes concernées, notamment du fait que des informations majeures (finalités, durée de conservation, catégories de données) apparaissent sur plusieurs documents différents et nécessitent plusieurs (5 ou 6) actions de l’utilisateur pour y parvenir (de quoi décourager les utilisateurs…). La CNIL a par ailleurs considéré que l’information donnée
– n’était pas suffisamment compréhensible par l’utilisateur qui ne pouvait pas être averti que la base légale du traitement était son consentement (qu’il n’était donc pas obligé de donner) ni prendre la mesure de l’ampleur et des conséquences possibles du traitement effectué par Google (quantité et type de données traitées, combinaison des données par Google),
– était trop vague, notamment pour ce qui concerne les finalités et la nature des données concernées
– n’était pas complète puisque la durée de conservation n’était pas systématiquement indiquée.
Obligation d’un consentement éclairé, spécifique et univoque : Google précisait fonder son traitement de données sur la base légale du consentement. Cependant, la CNIL a considéré que ce traitement était illicite dans la mesure où le consentement n’était pas obtenu de manière conforme à la réglementation en se basant sur 3 critères :
– le consentement n’était pas éclairé : cette condition est directement liée au défaut d’information ci-dessus : si la personne concernée n’a pas facilement accès aux informations sur le traitement et que celles-ci sont trop vagues ou incomplètes, la personne ne peut évidemment pas consentir en toute conscience.
– le consentement n’était pas univoque : cela présuppose que l’utilisateur consente par un acte positif, or le choix de l’affichage d’annonces personnalisées était coché par défaut (avec donc uniquement une possibilité d’opt-out).
– le consentement n’était pas spécifique : cela nécessite que les finalités soient clairement définies (or elles étaient trop vagues) et que l’utilisateur consente de manière séparée à chacune et non de manière globale comme c’était le cas avec une mention d’acceptation générale, de la même manière que l’acceptation des CGU de Google.
Sanction : Une amende de 50 millions d’euros (destinée donc au Trésor public) avec la première application des plafonds prévus par le RGPD et la publication de la décision.
A cette occasion, la CNIL rappelle qu’elle est en mesure de décider de fixer une amende sans nécessairement avoir préalablement mis en demeure le responsable de traitement en lui laissant un timing de mise en conformité. D’ailleurs la CNIL précise que les traitements litigieux sont toujours en cours et que Google n’a pas profité de la période d’instruction de l’affaire pour modifier son comportement.
Cette décision est fondée en particulier sur
– la gravité des faits qui impactent directement les principes essentiels de la protection de la vie privée,
– le fait que l’activité de Google est principalement tournée vers le traitement de données personnelles (avec le ciblage publicitaire) ce qui le rend d’autant plus responsable et nécessite de sa part d’autant plus de prudence pour garantir le respect de la vie privée,
– le volume des données concernées et leur combinaison quasi-infinie,
Le montant de l’amende peut paraître élevé mais est en fait assez faible étant donné le Chiffre d’affaire annuel de Google qui dépasse les 110 milliards d’euros. En effet, les faits reprochés à Google portent sur les principes fondamentaux de la protection de la vie privée et sont passibles d’une amende allant jusque 4% du chiffre d’affaire mondial du responsable de traitement.
Ce qu’il faut en tirer : Il est essentiel :
– d’identifier au sein d’un groupe international quelle est l’entité qui a le pouvoir de décision sur les traitements de données personnelles, cet élément étant déterminant à la fois pour la qualification du responsable de traitement mais également pour la détermination de la compétence des autorités européennes,
– de fournir une information complète, claire, compréhensible et facilement accessible à l’utilisateur : 1 clic devrait suffire !
– de prévoir, pour que le consentement soit valable, un acte positif de la personne… on voit encore beaucoup de cases pré-cochées ou d’acceptation présumée (par exemple via une simple poursuite de navigation de l’utilisateur, notamment dans les paramétrages de cookies),
– de permettre que le consentement soit donné de manière séparée pour chaque finalité, qui doit être définie de manière suffisamment précise,
– de réagir rapidement et modifier les conditions de son traitement de données pour le mettre en conformité à la moindre alerte de la CNIL.
https://www.laquadrature.net/2019/01/21/premiere-sanction-contre-google-suite-a-nos-plaintes-collectives/
https://noyb.eu/exclusivite-la-cnil-sanctionne-google-a-hauteur-de-50-millions-deuros-suite-a-une-plainte-deposee-par-noyb/?lang=fr
29/12/2018 – International / Brésil – Mesure provisoire sur l’application de la LGPD
Le 29 décembre a été adoptée une mesure provisoire (n°869/18) créant l’autorité brésilienne de protection des données personnelles : l’ANPD.
Cette mesure repousse également de 6 mois l’entrée en vigueur de la nouvelle loi de protection de la vie privée : initialement prévue pour le 15 février 2020, celle-ci a été décalée au 15 août 2020.
Pour mémoire, cette nouvelle réglementation s’imposera également à des sociétés non brésiliennes puisqu’elle s’appliquera :
– aux traitements réalisés au Brésil
– et à ceux réalisés à l’étranger lorsque les activités liées aux traitements consistent en l’offre de produits ou services destinés à des personnes situées au Brésil ou lorsque les données auront été collectées au Brésil.
NB. Compte tenu de la date des faits, le RGPD n’était pas encore applicable.
28/12/2018 – CNIL – Principes à respecter avant de transmettre des données à des partenaires
Consentement, informations à communiquer aux personnes concernées, la CNIL rappelle les étapes à suivre, sans compter qu’i convient de cadrer juridiquement la relation avec le partenaire et ce qu’il est en droit de faire avec les données concernées.
https://www.cnil.fr/fr/transmission-des-donnees-des-partenaires-commerciaux-ou-des-courtiers-de-donnees-quels-sont-les
19/12/18 – CNIL – Condamnation de la société Uber France SAS : 400K€
Faits : Mediapost est une filiale du groupe La Poste qui distribue des publicités ciblées en boite aux lettres. Elle a mis en place un système « Distrio » qui enregistre toutes les 10 secondes la localisation des distributeurs de courriers, avec le temps de distribution et leur immobilité éventuelle. Ce système fonctionne par le biais d’un boîtier mobile qu’ils portent sur eux pendant leur tournée et qu’ils activent eux-mêmes. La finalité ici recherchée par Mediapost est le contrôle de la durée du travail des postiers. Le syndicat Sud PTT considérant ce système de contrôle illicite assigne Mediapost. La Cour d’appel de Lyon juge ce système de localisation en vue du contrôle du temps de travail des postiers licite puisque justifié par le travail à accomplir et proportionné à la finalité recherchée par Mediapost.
Décision : Le 19 décembre 2018, la Cour de cassation casse l’arrêt de la cour d’appel de Lyon et renvoi les parties devant cette même Cour pour que l’affaire soit réexaminée. La Cour de cassation lui reproche en effet d’avoir pris sa décision sans « caractériser que le système de géolocalisation mis en œuvre par l’employeur était le seul moyen permettant d’assurer le contrôle de la durée du travail de ses salariés ».
L’article L 1121-1 du code du travail prévoit deux conditions cumulatives dans lesquelles des restrictions peuvent être apportées au droit des salariés notamment sur leur vie privée, incluant le fait de les géolocaliser :
– ces restrictions doivent être justifiées par la nature de la tâche à accomplir par l’employé
– elles doivent aussi être proportionnées à la finalité recherchée par l’employeur
La Cour de cassation affirme ici que le système de géolocalisation mis en place comme moyen de contrôle de la durée du travail doit pour être licite être le seul moyen permettant ce contrôle. Elle précise aussi que ce type de système ne peut être justifié dès lors que l’employé dispose d’une certaine liberté dans l’organisation de son travail.
Ce qu’il faut en tirer : Avant de mettre en place un système de géolocalisation de ses employés (qui porte par nature atteinte aux libertés de la personne), en vue de contrôler leurs horaires de travail, une entreprise doit impérativement rechercher si d’autres moyens pourraient être utilisés (même si ces moyens sont moins efficaces) et s’assurer qu’il est justifié d’appliquer un contrôle aux employés concernés en fonction de leur latitude dans l’organisation de leurs tâches.
https://www.courdecassation.fr/jurisprudence_2/arrets_publies_2986/chambre_sociale_3168/2018_8506/decembre_9075/1844_19_41017.html
19/12/18 – CJUE – Conclusion de l’avocat général dans l’affaire Fashion ID – Responsabilité conjointe du traitement entre un réseau social et l’entreprise qui propose sur son site un bouton de partage vers ce réseau ?
Faits : la société de vente en ligne d’article de mode Fashion ID GmbH & Co. KG a intégré un « plug‑in » sur son site Web : le bouton « j’aime » de Facebook. Ainsi lorsqu’un internaute se rend sur le site Web de Fashion ID, des informations sur son adresse IP et la chaîne de caractères de son navigateur sont transmises à Facebook. Cette transmission s’opère automatiquement lorsque le site Web de Fashion ID est chargé, indépendamment du fait que l’utilisateur ait cliqué ou non sur le bouton « j’aime » de Facebook et qu’il dispose ou non d’un compte Facebook.
Une association allemande de protection des consommateurs a intenté une action en cessation à l’encontre de Fashion ID au motif que l’utilisation de ce plug-in était contraire aux lois sur la protection des données à caractère personnel.
Plusieurs questions préjudicielles sont posées à la Cour par le tribunal allemand, dont en substance :
– Lorsqu’une entreprise insère dans son site web un code programme permettant au navigateur de l’utilisateur de solliciter des contenus d’un tiers et ainsi de transmettre au tiers des données à caractère personnel, l’entreprise soit-elle être considérée comme « responsable du traitement » ?
– si dans ce contexte un consentement de l’internaute est requis, à qui doit-il être donné (l’entreprise ou le tiers) ?
– Sur qui repose l’obligation d’informer la personne concernée notamment du traitement des données et de sa finalité (l’entreprise gestionnaire du site ou le tiers) ?
Position de l’avocat général : Elle n’est pas vraiment en faveur des éditeurs de site web qui proposent des plug-in de tiers.
En effet l’avocat général propose de conclure que toute personne qui insère sur son site Web plug-in de tiers qui collecte et transmet des données à caractère personnel doit être considéré comme un responsable conjoint du traitement, cette responsabilité étant limitée aux seules opérations pour lesquelles il est effectivement codécideur des moyens et des finalités du traitement des données à caractère personnel. Il s’agirait ici pour Fashion ID du stade de la collecte et de la transmission des données à caractère personnel à Facebook. Même si la finalité pour Fashion ID et pour Facebook n’est pas identique, elle est unitaire : commerciale et publicitaire dans les deux cas, puisque le choix de Fashion ID d’insérer le plug-in de Facebook sur son site Internet est fondé sur une volonté d’améliorer la visibilité de ses produits via Facebook.
En conséquence, le consentement de l’internaute doit être donné au gestionnaire du site Web qui y a inséré le contenu d’un tiers et ce avant la collecte et le transfert des données.
En conclusion : On se souvient de l’arrêt de la CJUE du 5 juin 2018 confirmant que l’administrateur d’une page fan est responsable conjoint du traitement avec le réseau social, Facebook en l’occurrence. (Voir plus bas notre commentaire à ce sujet). Ces nouvelles questions, si la position de l’avocat général est suivie par la Cour risquent de charger encore davantage la responsabilité des entreprises agissant sur le web qui devront modifier leur politique de confidentialité et les informations fournies aux internautes.
http://curia.europa.eu/juris/document/document.jsf?text=&docid=209357&pageIndex=0&doclang=FR&mode=req&dir=&occ=first&part=1&cid=4701752
18/12/2018 – Polémique et controverse sur l’ouverture par Facebook d’un accès à certaines données de ses utilisateurs pour des géants du web (GAFAMS / NATU)
https://www.solutions-numeriques.com/facebook-a-laisse-des-geants-du-web-acceder-aux-donnees-de-ses-utilisateurs/
https://www.solutions-numeriques.com/divulgation-de-messages-prives-facebook-ce-nest-pas-vrai-se-defend-le-reseau-social/
https://www.blogdumoderateur.com/facebook-lire-supprimer-messages-prives/?utm_source=blogdumoderateur&utm_medium=email&utm_campaign=newsletter_hebdomadaire
14/12/2018 – Nouvelle faille de sécurité annoncée par Facebook
Le réseau social vient d’annoncer une faille de sécurité dans les fonctions de partage de profil Facebook avec 1500 applications, concernant les photos téléchargées (et publiées ou non) par 6,8 millions d’utilisateurs sur la plateforme, du 13 au 25 septembre dernier.
L’autorité irlandaise de protection des données personnelles enquête sur la conformité des traitements opérés par Facebook.
29/11/2018 – CNIL – Clôture des mises en demeure contre Fidzup et Singlespot
Faits : Mises en demeure du 25 juin 2018 et du 8 octobre 2018 par la CNIL avec délai de mise en conformité de 3 mois
Mesures prises pour faire cesser le manquement : les deux sociétés ont pris les mesures suivantes :
– Affichage de bannières lors de l’installation des applications mobiles, permettant aux personnes de recevoir communication préalable des informations obligatoires sur le traitement
– Possibilité pour les personnes concernées d’accepter ou de refuser que leurs données de géolocalisation soient traitées à des fins de publicité ciblée, préalablement à la collecte, sans que le refus entraîne l’altération de la qualité du service,
Singlespot a également pris les mesures suivantes :
– Mise en place d’un système de purge automatique des données à l’expiration du délai de conservation
– Mise en place d’une politique de mots de passe contraignants pour l’accès à la base de données
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037661296&fastReqId=2113517222&fastPos=1
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037661430&fastReqId=1031394638&fastPos=1
En complément, consultez dans cette rubrique nos brèves des 25/06/18 sur l’affaire Fidzup et 8 &30/10/18 sur l’affaire Singlespot
26/11/18 – UK – ICO (Information Commissioner’s Office) / Condamnation solidaire des sociétés Uber BV et des établissements Uber au UK (Uber London Ltd, Uber Britannia Ltd, Uber Scot Ltd, Uber NIR Ltd) : £385 000
Faits : En novembre 2017, la société américaine Uber Technologies Inc. (ci-après Uber Inc.) a révélé dans la presse … avec un an de retard… que deux individus avaient piraté fin 2016 les données personnelles de 57 millions d’utilisateurs de ses services. Avaient ainsi été volés notamment les noms et prénoms des utilisateurs ainsi que leurs adresses électroniques, ville, pays de résidence, numéros de téléphone mobile et statut (chauffeur / passager). Les données de 82 000 chauffeurs et 2,7 millions de clients britanniques ont été concernées.
Responsabilité :  L’ICO considère qu’Uber B.V. est co-responsable de traitement avec les établissements britanniques, dans la mesure où ces sociétés affiliées sont établies au Royaume-Uni, exercent leurs activités (ventes et opérations marketing) à destination du public britannique et que Uber B.V. exerce une activité véritable et stable au Royaume-Uni via ces établissements, qui donne lieu au traitement de données objet de l’affaire. En revanche l’ICO ne remet pas en question le statut de sous-traitant de Uber Technologies Inc. aux Etats-Unis.
Obligation d’assurer la sécurité et la confidentialité : L’ICO considère qu’Uber n’a pas mis en place des mesures de sécurité adéquates :
– Accès des ingénieurs d’Uber à la plateforme collaborative de développement « Github », simplement avec leur adresse e-mail personnelle et un mot de passe configuré par eux-mêmes ;
– Aucune procédure de retrait d’habilitation prévue en cas de départ d’un ingénieur de la société ;
– Stockage en clair au sein du code source de la plateforme « Github » des identifiants permettant d’accéder au serveur.
L’ICO reproche également à Uber d’avoir traité la violation comme un « bug bounty » (récompense accordée à une personne ayant détecté et signalé une faille) alors qu’il s’agissait visiblement d’un piratage, les pirates ayant subtilisé des données personnelles.
La loi britannique en vigueur (contrairement au RGPD applicable depuis mai 2018) ne prévoyait pas d’obligation de notifier l’autorité ou les personnes concernées d’une faille de sécurité mais l’ICO reproche malgré tout à Uber ce manque d’information et le considère comme aggravant la violation.
Sanction : Une amende de £385 000 (434 341€) à régler au plus tard le 03/01/2019, réduite à £385 000 en cas de paiement reçu le 02/01/2019, à moins d’un appel de la décision.
uber-monetary-penalty-notice-26-november-2018
22/11/2018 – Amazon, des noms et emails de ses clients divulgués par erreur
Amazon a révélé un bug informatique qui a accidentellement divulgué sur son site internet les noms et adresses de certains de ses clients. Le géant du commerce en ligne a assuré avoir réglé le problème et informé les clients affectés.
https://www.solutions-numeriques.com/amazon-des-noms-et-emails-de-ses-clients-divulgues-par-erreur/
21/11/2018 – ALLEMAGNE – Baden-Württemberg Data Protection Authority (BWDPA) – Nouvelle amende au titre du RGPD – Condamnation du réseau social Knuddels.de >> 20K€
Faits : Le 8 septembre 2018, le réseau social Knuddels.de adresse à l’équivalent de la CNIL dans le land Baden-Württemberg une notification de violations de données. La société avait découvert qu’une attaque informatique datant du mois de juillet 2018 avait permis le vol des données personnelles d’utilisateurs de son réseau social : plus de 800 000 adresses emails et près de 2 millions de noms d’utilisateurs et de mots de passe. Dans une volonté de transparence parfaite vis-à-vis de l’autorité de protection des données, la société révèle que les mots de passes des utilisateurs étaient stockés en clair (c’est-à-dire non chiffrés ni modifiés).
Violation des principes en matière de données personnelles : Manquement à l’obligation d’assurer la sécurité et la confidentialité des données. Le chiffrement des données sur un site web est l’une des exigences minimales en matière de sécurité.
Sanction : Une amende de 20K€ pour avoir stocké les mots de passe de ses utilisateurs en clair. Cette sanction peut paraître faible au regard des amendes maximales prévues par le RGPD (jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires). Cette clémence s’explique par la coopération et la transparence dont a fait preuve Knuddels.de, qui a signalé la violation immédiatement après en avoir pris connaissance, avec force de précisions et n’a pas hésité à révéler elle-même qu’elle ne chiffrait pas les mots de passe. L’autorité de protection des données a également retenu la grande diligence de la société dans la mise en place de mesures correctrices.
06/11/18 – NL – AP (Autoriteit Persoonsgegevens) – Condamnation solidaire des sociétés Uber BV et Uber Technologies, Inc : 600K€
Faits : En novembre 2017, la société américaine Uber Technologies Inc. (ci-après Uber Inc.) a révélé dans la presse … avec un an de retard… que deux individus avaient piraté fin 2016 les données personnelles de 57 millions d’utilisateurs de ses services. Avaient ainsi été volés notamment les noms et prénoms des utilisateurs ainsi que leurs adresses électroniques, ville, pays de résidence, numéros de téléphone mobile et statut (chauffeur / passager). Les données d’environ 174 000 Néerlandais ont été concernées.
Responsabilité :  La responsabilité de Uber B.V. n’a pas été contestée. En revanche Uber Inc. invoquait sa position de simple sous-traitant sur la base d’un contrat signé avec Uber B.V. le 31/03/2016 définissant les rôles de chacun : Uber B.V. responsable de traitement et Uber Inc. sous-traitant. L’AP n’a pas retenu cet argument considérant que Uber Inc. et Uber B.V. déterminaient conjointement les éléments essentiels des moyens du traitement de données, la politique de sécurité des données, les décisions sur le stockage des données, le développement de l’offre et de l’application Uber et que Uber Inc. était le fournisseur de l’application à l’Apple App Store et au Google Play Store. Une responsabilité conjointe a été retenue par l’AP.
Obligation de notifier les violations de données : L’AP reproche à Uber de ne pas l’avoir informée ni les personnes concernées, dans les 72 heures suivant la découverte de la fuite, mais seulement le 21/11/2017, alors que le piratage avait eu lieu fin 2016 et que Uber en a eu connaissance par les pirates eux-mêmes le 14/11/2016.
Sanction : Une amende de 600K€ (sachant que l’amende maximum sous la loi néerlandaise en vigueur était de 800K€), payable sous 6 semaines, à moins d’un appel de la décision.
boetebesluit_uber
06/11/2018 – Microsoft certifié hébergeur de données de santé en France
Microsoft a annoncé lors des Microsoft Expériences 2018 au Palais des Congrès de Paris, avoir obtenu la certification Hébergeur de données de santé (attribué par l’organisme spécialisé BSI)
Cette certification s’applique à l’ensemble des services cloud de l’éditeur proposés en France : Azure et Office 365.
Si Microsoft est le premier parmi les grands fournisseurs de cloud public à bénéficier de cette certification c’est notamment pour récompenser sa capacité à gérer efficacement et rapidement les incidents de sécurité.
En effet, parmi les conditions pour obtenir une telle certification, il est nécessaire de respecter certaines normes :
ISO 27001 sur la sécurité des systèmes d’information,
ISO 27018 autour du respect de la vie privée,
ISO 20000, qui définit les exigences organisationnelles requises pour assurer la qualité des services de traitement de l’information.
Concrètement, cette certification va permettre le développement de solutions de santé personnalisée, permettant un décloisonnement du parcours de soins (partage de données de manière sécurisée) ouvrant la porte à la télémédecine.
Microsoft peut ainsi développer des solutions collaboratives avec des Etablissements de santé.
https://www.lemondeinformatique.fr/actualites/lire-microsoft-certifie-hebergeur-de-donnees-de-sante-en-france-73347.html?utm_source=ActiveCampaign&utm_medium=email&utm_campaign=NL+LMI+Quoti+07112018&ep_ee=141403a097bed23379fe40773267bf6537742427
06/11/2018 – Les systèmes informatiques de la FIFA piratés
Après un nouveau piratage de leurs systèmes informatiques, les dirigeants de la FIFA affirment mettre progressivement en place des mesures préventives telles que la sensibilisation du personnel à une vigilance critique contre le phishing en l’informant des différentes techniques d’hameçonnage, et modes opératoires.
Ceci étant, il est clair que les procédures de cybersécurité doivent être revues en plus d’actions de sensibilisation pour éviter ce genre de piratage.
L’application stricte des règles du RGPD aurait pu permettre de détecter plus rapidement la fuite de données et inciter la FIFA à une vigilance plus poussée.
https://www.lemondeinformatique.fr/actualites/lire-les-systemes-informatiques-de-la-fifa-encore-pirates-73344.html?utm_source=ActiveCampaign&utm_medium=email&utm_campaign=NL+LMI+Quoti+07112018&ep_ee=141403a097bed23379fe40773267bf6537742427
06/11/18 CNIL– Publication d’une liste (non exhaustive) des traitements pour lesquels une analyse d’impact est requise
– les critères utilisés pour déterminer si une étude d’impact est requise : collecte de données sensibles, personnes concernées dites « vulnérables » (employés, enfants, personnes âgées, patients, demandeurs d’asile, etc.), évaluation ou notation, surveillance systématique, croisement ou combinaison d’ensembles de données, prise de décision automatisée avec effet juridique ou effet similaire significatif, usage innovant ou application de nouvelles solutions technologiques, données traitées à grande échelle.
– certains exemples de traitements concernés : traitement de lutte contre la fraude aux moyens de paiement (qui sont utilisés par nombreux sites web marchands), combinaison de données opérée par des courtiers en données, traitement visant à personnaliser les publicités en ligne, application mobile permettant de collecter les données de géolocalisation des utilisateurs à grande échelle.
https://www.cnil.fr/fr/analyse-dimpact-relative-la-protection-des-donnees-publication-dune-liste-des-traitements-pour
30/10/18 CNIL– Application du RGPD – Mise en demeure de la société Vectaury
Faits : La CNIL a contrôlé la société VECTAURY qui a recours à des technologies permettant de collecter des données personnelles via les mobiles multifonctions et de réaliser des campagnes publicitaires sur les mobiles.
Cette société a recours à des outils techniques dénommés « SDK » intégrés dans le code d’applications mobiles de ses partenaires. Ils lui permettent de collecter les données (identifiant publicitaire des mobiles et données de géolocalisation) des personnes des utilisateurs des mobiles même lorsque ces applications ne fonctionnent pas.
Ces données sont ensuite croisées avec des points d’intérêts déterminés par les partenaires (enseignes de magasins) afin d’afficher de la publicité ciblée sur les terminaux des personnes à partir des lieux qu’elles ont visités.
La société VECTAURY traite également, à des fins de profilage et de ciblage publicitaire, des données de géolocalisation qu’elle reçoit via des offres d’enchères en temps réel initialement transmises dans le but de permettre à la société d’acheter un espace publicitaire. La société VECTAURY est mise en demeure de recueillir le consentement effectif de tous les utilisateurs concernés et de supprimer les données qu’elle avait indûment collectées.
Base légale et obligation d’information :
# Manquement à l’obligation de recueil du consentement sur les données provenant des SDK :
– les personnes ne sont pas systématiquement informées, lors du téléchargement des applications mobiles, qu’un « SDK » collecte leurs données de localisation
– au moment de l’installation, l’utilisateur n’est informé ni de la finalité de ciblage publicitaire, ni de l’identité du responsable de ce traitement
– l’information dans les CGU des applications n’est pas préalable au traitement des données
– il n’est pas toujours possible, pour l’utilisateur, de télécharger l’application mobile sans activer le « SDK » et dans ce cas, l’utilisation des applications entraîne la transmission automatique de données à la société VECTAURY.
– le système de recueil du consentement (Consent Management Provider – CMP) mis en place pour renforcer l’information n’est pas systématiquement implanté dans les applications et l’information qui y est donnée à l’utilisateur est insuffisante
– la collecte des données de géolocalisation est activée par défaut.
# Manquement à l’obligation de recueil du consentement sur les données provenant des offres d’enchère en temps réel d’espace publicitaire
– le consentement n’est pas recueilli avant le traitement des données pour du profilage publicitaire
– les informations données à l’utilisateur n’expliquent pas les finalités de traitement (système d’enchères en temps réel, puis conservation pour définir un profil commercial.
– la collecte des données est activée par défaut.
Risque pour les personnes : Risque particulier pour la vie privée puisque les données sont révélatrices des déplacements des personnes et de leurs habitudes de vie.
Exercice des droits : les traitements sont opérés sans que les personnes concernées n’en soient conscientes, et sans qu’elles puissent exercer les droits prévus par le RGPD.
Délai de mise en conformité : 3 mois
Publication de la décision : compte-tenu de la nature des manquements, du nombre de personnes concernées (plus de 5 millions via les SDK et plus de 42 millions via le système d’enchères) et de la nécessité de sensibiliser les professionnels du secteur sur les enjeux liés au recours à ce type de technologie
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037594451&fastReqId=974682228&fastPos=2
24/10/18 CNIL– Clôture de la mise en demeure contre Direct Energie
Faits : Mise en demeure du 5 mars 2018 par la CNIL avec délai de mise en conformité de 3 mois
Mesures prises pour faire cesser le manquement :
– Offres commerciales laissant au consommateur le choix des données qu’il veut partager (suivi détaillé, suivi standard, pas de suivi)
– Pas de collecte des données par défaut
– Information aux personnes claire et non équivoque : possibilité d’accepter le relevé de la consommation d’électricité journalière ou à la demi-heure sans penser qu’il s’agit d’une conséquence obligatoire de la pose du compteur connecté ; possibilité de retirer le consentement à tout moment, via l’espace client ; mise en place d’une méthode d’information spécifique à la passation d’un contrat par téléphone : communication orale des mentions d’information puis avec un SMS ou un courriel envoyé pendant l’échange avec le téléopérateur.
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037523308&fastReqId=1830596627&fastPos=1
16/10/2018 – International / Turquie – Communications marketing par e-mail, sms ou appel téléphonique
Le 15 août 2018, la Cour turque de protection des données personnelles (Kişisel Verileri Koruma Kurulu) a rendu une décision concernant les communications marketing via e-mail, sms ou appels téléphoniques, décidant que les responsables de traitement et leurs sous-traitants arrêtent immédiatement ce type de communication à moins d’avoir obtenu le consentement explicite des personnes destinataires ou de pouvoir justifier que le traitement concerné est exempt de l’obligation légale de recueillir le consentement préalable. Elle rappelle également que les responsables de traitement doivent prendre toute mesure technique et organisationnelle pour assurer un niveau de sécurité adéquat des données et garantir leur protection et que les sous-traitants sont conjointement responsables s’agissant de s’assurer que ces mesures sont bien mises en place.
11/10/2018 – CNIL – Adoption de deux référentiels de certification des compétences du DPO
La certification n’est pas obligatoire pour exercer les fonctions de délégué à la protection des données (DPO) et inversement, ni pour être déclaré comme tel auprès de la CNIL. Elle permet simplement de justifier de compétences et de savoir-faire.
La CNIL a ainsi adopté :
– un référentiel de certification qui fixe les conditions de recevabilité des candidatures et la liste des compétences / savoir-faire attendus pour être certifié en tant que DPO,
– un référentiel d’agrément qui fixe les critères applicables aux organismes qui souhaitent être habilités par la CNIL à certifier les compétences du DPO : en effet, la CNIL ne délivrera pas elle-même de certification.
Pour le moment, la CNIL n’a pas encore délivré d’agrément à des organismes certificateurs.
https://www.solutions-numeriques.com/certification-des-dpo-la-cnil-pose-les-regles/
11/10/2018 – PORTUGAL – CNPD (Comissão Nacional de Proteção de Dados) – 1ère amende en Europe au titre du RGPD– Condamnation du centre hospitalier de Barreiro-Montijo >> 400K€
Faits : Au mois de juin 2018, suite à une alerte émise par l’ordre des médecins, la CNPD (équivalent de la CNIL au Portugal), effectue un contrôle auprès du centre hospitalier de Barreiro-Montijo. A cette occasion la CNPD relève d’abord que 9 membres des personnels administratifs du centre ont accès aux dossiers cliniques des patients, accès qui devrait être réservé aux médecins. Puis la CNPD constate que 985 médecins disposent d’un compte leur donnant accès aux dossiers cliniques des patients, alors que le personnel de l’hôpital ne compte que 296 médecins. L’écart s’explique par la création d’un compte pour chaque vacataire de l’établissement, sachant que ces comptes ne sont pas supprimés ou désactivés à la fin de leur mission (datant parfois de 2 ans). Plusieurs autres lacunes dans la politique de création et de gestion des comptes sont également constatées. En particulier, en créant un simple compte test, les experts du CNPD ont eu accès à des données sensibles de patients qui n’étaient plus traités dans l’établissement de Barreiro-Montijo.
Violation des principes en matière de données personnelles : la CNPD retient 3 violations du RGPD :
– non-respect des principes d’intégrité et de confidentialité des données,
– manquement à l’obligation de limiter l’accès aux données (pas de prise en compte des profils des employés)
– incapacité pour le responsable du traitement des données à garantir l’intégrité des données.
Défense de l’établissement de santé : le centre invoquait notamment le fait que c’est le ministère de la santé portugais qui gère les habilitations pour accéder aux données des patients et son insuffisance de moyens informatiques pour assurer la bonne gestion des données. Les arguments du centre hospitalier sont balayés par la CNPD qui retient la responsabilité de l’établissement dans les manquements constatés.
Sanction : Le centre est condamné à une amende de 400K€, soit 150K€ pour chacun des deux premiers manquements relevés et 100K€ pour la 3ème violation constatée.
Rappelons toutefois que les amendes maximales prévues par le RGPD peuvent grimper jusqu’à 20 millions d’euros pour ce type de manquement, de sorte que l’amende prononcée semble relativement clémente en comparaison, d’autant plus vue la nature sensible des données concernées, liées au domaine médical.
http://exameinformatica.sapo.pt/noticias/mercados/2018-10-19-CNPD-Hospital-do-Barreiro-multado-em-400-mil-euros-por-permitir-acessos-indevidos-a-processos-clinicos
09/10/2018- L’autorité belge souhaite un droit à l’oubli à portée mondiale
La Commission pour la Protection de la Vie privée Belge (CPVP) a reçu une plainte en juillet 2016 concernant des URLs disponibles sur un moteur de recherche et reprenant des informations calomnieuses et diffamantes qui associaient les plaignants à des faits graves dans lesquels ils n’étaient pas impliqués et pour lesquels ils n’ont jamais été inquiétés.
Les plaignants ont donc adressé des demandes de déréférencement auprès du moteur de recherche en question mais en vain car de nouveaux liens réapparaissaient sans cesse renvoyant vers un contenu identique mais avec des URLs légèrement modifiées.
Par ailleurs, le déréférencement s’était avéré partiel et inefficace car il :
ne portait pas sur l’ensemble des extensions du moteur de recherche depuis l’ensemble des territoires où il est accessible.
se limitait aux seules clés de recherche contenant le nom et le prénom des plaignants ; ainsi, dès l’ajout d’un terme spécifique associé aux nom et prénom, les résultats préalablement déréférencés réapparaissaient.
Les plaignants demandent donc à la CPVP que le déréférencement porte sur l’ensemble des versions du moteur de recherche et qu’il ne soit plus limité géographiquement, et que les modalités d’exercice de leur droit au déréférencement soient adaptées via, par exemple, la mise en place d’un système de filtrage.
Cette plainte a été accueillie favorablement par la CPVP qui estime notamment que les différentes extensions d’un moteur de recherche ne peuvent être considérées autrement que comme autant de chemins d’accès techniques à un seul et même moteur de recherche, permettant un seul et même traitement. Les URLs du moteur de recherche ne peuvent dès lors faire l’objet de décisions de blocages différenciées selon les origines de localisation territoriale artificielles.
La limitation territoriale aboutit ainsi selon la CPVP, à priver d’effets utiles l’exercice du droit à la protection de la vie privée.
Une affaire semblable portant sur la portée territoriale du droit au déréférencement consacré par l’arrêt « Google Spain» du 13 mai 2014 au détour de trois questions préjudicielles est actuellement pendante devant la CJUE pour laquelle la décision de la Cour devrait être rendue dans les mois à venir.
L’avocat général a d’ailleurs présenté ses conclusions le 10 janvier dernier dans lesquelles il précise ne pas être favorable à une interprétation si large des dispositions du droit de l’Union qu’elles auraient des effets au-delà de frontières territoriales des 28 Etats membres.
Ceci étant, il n’écarte pas la possibilité dans des cas spécifiques d’imposer à un moteur de recherche d’entreprendre des actions de déréférencement au niveau mondial.
https://www.droit-technologie.org/actualites/lautorite-belge-souhaite-droit-a-loubli-a-portee-mondiale/
https://www.juridiconline.com/actualites-juridiques/propriete-intellectuelle-a-nouvelles-technologies/108-internet/25427-cjue-portee-territoriale-du-droit-au-dereferencement.html
08/10/2018 – Faille de sécurité du réseau social Google +
Le Wall Street Journal a révélé le 8 octobre dernier qu’une faille de sécurité dans l’interface de programmation de Google + avait mis en danger les données personnelles des utilisateurs pendant 3 ans de 2015 à 2018 avant que Google ne s’en aperçoive lors d’un audit interne. Google aurait hésité à rendre publique la découverte de cette faille mais l’a finalement confirmée peu de temps après.
Google estime que 500 000 comptes étaient concernés par cette vulnérabilité et 438 applications tierces (API) avaient potentiellement accès à ces données.
Parmi les données concernées : le nom, l’adresse de messagerie, l’emploi, l’âge et le genre des utilisateurs.
Google a annoncé dans la foulée la fermeture de Google + pour le grand public très prochainement en grande partie en raison de ce problème.
Malgré tout, Google affirme qu’aucune collecte ou mauvaise utilisation de ces données n’a été constatée.
Google a depuis corrigé cette faille et rendu plus limité l’accès aux informations personnelles depuis les API.
https://www.lemonde.fr/pixels/article/2018/10/08/google-va-fermer-google-apres-la-decouverte-d-une-faille-de-securite-ayant-affecte-les-donnees-d-au-moins-500-000-utilisateurs_5366530_4408996.html#xtor=AL-32280270
8 & 30/10/2018 – Premières mises en demeure de la CNIL en application du RGPD, quels enseignements peut-on en tirer ?
Focus sur les affaires SingleSpot et Vectaury
Depuis l’entrée en vigueur du RGPD en mai 2018, plusieurs décisions ont été rendues par la CNIL sous l’empire de l’ancienne loi.
Leur analyse met en particulier en avant le fait que les manquements les plus fréquents concernent :
la licéité des traitements de données personnelles illicites (données non minimisées, finalités détournées, défaut de consentement de la personne concernées),
l’obligation d’information des personnes et l’obligation de sécurité (confidentialité des données).
Dans ces affaires, la CNIL a porté le montant des amendes entre 10 et 50K€ et accordé des délais de mise en conformité entre 1 et 3 mois. D’une manière générale, la CNIL décide de rendre publiques ses décisions en fonction de la gravité de l’atteinte, du nombre de personnes concernées et dans une volonté pédagogique de sensibiliser les acteurs du traitement de données personnelles.
Ceci étant, les premières décisions rendues sous l’empire du RGPD étaient attendues. Des amendes rendues publiques, qui permettraient d’apprécier la façon dont la CNIL va appliquer les montants prévus de 10 à 20 millions d’€ ou 2 à 4% du Chiffre d’affaires, n’ont pas encore été prononcées. En revanche, la CNIL a fait paraître deux mises en demeure déjà riches d’enseignements pratiques et concrets pour la mise en application du RGPD par les entreprises.
Les deux affaires portant sur le même type de traitements et ayant en commun plusieurs manquements, il est intéressant de les analyser conjointement.
28/09/2018 – 50 millions de comptes Facebook piratés
Le réseau social vient d’annoncer le piratage, détecté 3 jours plus tôt, de 50 millions de comptes de Facebook en réseau d’une faille dans le code informatique de la fonction « aperçu de mon profil ». Facebook indique ne pas savoir si les pirates ont extrait les informations de ces comptes ou ont pris le contrôle des comptes.
Facebook a corrigé cette faille sous 2 jours et, par précaution, déconnecté environ 90 millions de comptes de ses utilisateurs (y-compris européens).
Facebook a présenté ses excuses publiquement et a d’ores et déjà notifié cette violation de données auprès de l’autorité irlandaise de protection des données personnelles
25/09/18 CNIL– Mises en demeure de société d’assurance Grand Est Mutuelle, Humanis Assurances, Mutuelle Humanis Nationale, Auxia, Malakoff Médéric Mutuelle
Faits : Au titre du programme annuel des contrôles défini par la CNIL au en 2017, des contrôles ont été réalisés en février et mars 2018 dans les locaux des groupes Humanis et Malakoff-Médéric qui interviennent dans tous les domaines de la protection sociale, pour les entreprises et les particuliers. Parmi leurs activités, ces groupes et les sociétés qui les composent sont chargés de mettre en œuvre les régimes de retraite complémentaire en réalisant des opérations de gestion. À ce titre, ils ont accès à des données personnelles mises à disposition par les fédérations AGIRC-ARRCO aux fins de recouvrer les cotisations et payer les allocations retraite.
Ces groupes et les sociétés qui les composent sont mis en demeure par la CNIL de cesser certains traitements de données celles-ci étant détenues pour d’autres finalités.
Responsabilité : En utilisant à des fins commerciales des données à caractère personnel détenues dans le cadre de leurs missions d’intérêt général, les sociétés ont déterminé de nouvelles finalités et de nouveaux moyens de traitement, elles se sont ainsi comportées comme responsables de traitement et doivent donc être considérées comme tels.
Interdiction d’utiliser les données pour des finalités non initialement prévues : Les sociétés des groupes Humanis et Malakoff-Médéric utilisent les données personnelles qu’elles détiennent dans le cadre de leur mission d’intérêt général de mise en œuvre des régimes de retraite complémentaire afin de faire de la prospection commerciale pour des produits et services de ces groupes (campagnes de démarchage téléphonique). Or, ni les institutions de retraite complémentaire ni les groupes de protection sociale n’ont été autorisés par l’AGIRC-ARRCO à réutiliser les données à caractère personnel issues du système d’information de la retraite complémentaire (les instructions sur le traitement sont claires sur ce point et rappelées à plusieurs reprises). Il s’agit donc d’un détournement de finalité.
Délai de mise en conformité : 1 mois
Publication des décisions : compte-tenu du grand nombre de personnes concernées (plusieurs centaines de milliers de personnes) et de la gravité du manquement relevé.
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037503232&fastReqId=1952933718&fastPos=2
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037503275&fastReqId=2026075249&fastPos=3
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037503313&fastReqId=1180780234&fastPos=2
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037503353&fastReqId=1150226650&fastPos=2
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037503159&fastReqId=32363101&fastPos=2
08/10/2018 – UK – ICO (Information Commissioner’s Office) / Violation des données chez Heathrow Airport Limited (HAL) : £120,000
Faits : Le 16 Octobre 2017, une clef USB perdue par un employé du HAL a été retrouvée par un membre du public, qui a regardé son contenu (76 dossiers et plus de 1000 fichiers contenant des données personnelles d’employés, non encryptés ou protégés par un mot de passe). Cette clef a été vue et transmise à un journal national qui en fit une copie. L‘ICO a été informé par les médias.
Sécurité des données : Les entreprises doivent veiller à ce que des normes, formations et procédures adéquates soient mises en place afin de minimiser la vulnérabilité des données personnelles. A HAL, seulement 2% des employés étaient formés en protection des données et les employés utilisent des supports médias amovibles en violation du règlement d’HAL. Les contrôles et règles étaient insuffisants. Des mesures organisationnelles et techniques appropriées doivent être prises contre des traitements non-autorisés/illicites et pertes.
Sanction : Le cas n’a pas été examiné selon les dispositions et seuils maximum de pénalités du RGPD en raison du moment où les faits ont eu lieu. Ceci étant, le HAL a été condamné à une amende de £120000 (environ 136K€) conformément au Data Protection Act 1998, compte tenu de la gravité des faits (données sensibles, mesures inappropriées et taille du HAL) et pour promouvoir le respect de la règlementation en matière de vie privée.
https://ico.org.uk/action-weve-taken/enforcement/heathrow-airport/
28/09/2018 – UK – ICO (Information Commissioner’s Office) / Violation de données chez Bupa Insurance Services Limited (Bupa) : £ 175000
Faits : Un employé a pu extraire les informations (tel que le nom, date de naissance, adresse email, nationalité) de 547 000 clients et par la suite les a vendues sur le dark web. L’ICO a été mis au courant par des plaintes des clients de la société Bupa.
Sécurité des données : Bupa a manqué à ses obligations d’évaluer le risque et de mettre en place des mesures effectives de sécurité afin de protéger les informations de ses consommateurs. Le contrôleur des données doit prendre des mesures organisationnelles et techniques appropriées contre des traitements non-autorisés et illicites.
Sanction : Le cas n’a pas été examiné selon les provisions et seuils maximum de pénalités du RGPD en raison du moment où les faits ont eu lieu (en 2017). Ceci étant, Bupa a été condamné à une amende de £175000 (environ 197K€) conformément au Data Protection Act 1998, compte tenu de la gravité des faits et pour promouvoir le respect de la règlementation en matière de vie privée.
https://ico.org.uk/action-weve-taken/enforcement/bupa-insurance-services-ltd/
20/09/2018 – UK – ICO (Information Commissioner’s Office) / Violation des données chez Equifax Ltd : £500000
Faits : La branche américaine de l’entreprise Equifax Ltd a subi une cyberattaque en 2017, affectant 146 millions de clients dans le monde, dont 15 millions de britanniques.
Sécurité des données : La branche britannique d’Equifax Ltd était responsable des données personnelles de ses clients britanniques, et a manqué à ses obligations de prendre des mesures appropriées afin d’assurer que le sous-traitant, la branche américaine, protègerait ces données (noms, dates de naissance, adresses, mots de passes, permis de conduire, informations financières).
Violation des principes en matière de données personnelles : manquement à son obligation d’assurer la sécurité des données personnelles, médiocrité des pratiques de rétention des données (les données ayant été conservées pour une durée plus longue que nécessaire), absence de but légitime, absence de base légale pour le transfert international des données de citoyens britanniques.
Sanction : Ce cas n’a pas été examiné selon les provisions et seuils maximum de pénalités du RGPD en raison du moment où les faits ont eu lieu (en 2017). Ceci étant, Equifax Ltd a été condamné à une amende de £500000 (environ 562K€) conformément au Data Protection Act 1998, ce qui représente le niveau maximum de sanction financière sous cette loi (compte tenu du nombre de victimes, du type de données exposées aux risques, et de l’attitude inexcusable d’Equifax Ltd), en vue de promouvoir le respect de la règlementation en matière de vie privée.
https://ico.org.uk/action-weve-taken/enforcement/equifax-ltd/
17/09/2018 – Enquête d’Amazon sur la possible revente de données par ses employés
https://www.lemonde.fr/entreprises/article/2018/09/17/des-employes-d-amazon-auraient-revendu-des-donnees-confidentielles_5355969_1656994.html?xtref=https://news.google.com/
08/09/2018 – Violation de données chez le groupe hôtelier Marriot
Faits : Les hôtels Starwood (groupe Marriot) révèlent dans un communiqué de presse avoir été victimes d’un gigantesque piratage : les données de 500 millions de clients seraient concernées et porteraient sur les informations des clients telles que nom, adresse postale, numéro de téléphone portable, adresse mail, numéro de passeport, information de compte, date de naissance, genre, informations d’arrivée et de départ de l’hôtel, voir même des données de cartes bancaires chiffrées (mais dont les clés de chiffrement auraient été volées). La faille pourrait exister depuis 2014. Des investigations sont en cours pour identifier l’auteur des faits et fixer l’ampleur exacte de la faille.
Le groupe a informé les personnes concernées par email et publié un communiqué officiel, pour répondre à l’obligation de notification de faille de sécurité aux personnes concernées. Marriott a également mis en place un site web et un centre d’appel. Quelques heures après de premières plaintes sont déposées, en Oregon et dans l’Etat du Maryland, visant le statut de recours collectif.
06/09/2018 – Vol de données chez British Airways
British Airways vient d’annoncer que des données personnelles et financières de clients utilisateurs de son site web et de son application de réservation en ligne ont été piratées entre le 21 août et le 5 septembre. Les informations volées portent sur le nom, l’adresse, l’adresse email des clients et surtout toutes leurs données de cartes bancaires, à savoir le numéro, la date d’expiration et le code sécurisé à trois chiffres : 380.000 cartes de paiement pourraient être concernées.
La compagnie a confirmé que la faille était réparée et que l’utilisation de son site et de son application était revenue à la normale. Elle a présenté ses excuses et prévoit d’indemniser ses utilisateurs pour tout dommage financier qu’ils auraient pu subir.
https://www.britishairways.com/fr-fr/information/incident/data-theft/latest-information
04/09/2018 – UK – ICO (Information Commissioner’s Office) / Injonction signifiée au London Borough of Lewisham.
Faits : Les demandes d’accès aux données personnelles par les personnes concernées faites au London Borough of Lewisham n’ont pas été traitées en temps utiles en raison de l’inefficacité des systèmes internes, des procédures et politiques de traitement de ce genre de demandes.
Exercice du droit d’accès : Dès lors qu’une demande d’accès aux données personnelles est faite par la personne concernée, le contrôleur des données doit y répondre sans retard excessif. De plus, les moyens employés pour répondre à ces demandes doivent être adéquats.
Injonction : L’ICO a donné un délai au 15 octobre pour que le London Borough of Lewisham réponde aux 19 personnes ayant fait une demande d’accès à leurs données personnelles avant le 25 Mai dernier, avec un reporting hebdomadaire des actions engagées.
https://ico.org.uk/action-weve-taken/enforcement/london-borough-of-lewisham-en-sep/
31/08/2018 – Violation de données chez Abbyy
Faits : Défaillance d’un serveur ayant rendu accessible près de 200.000 documents scannés d’un seul client de la société russe.
Information par le biais d’un communiqué (sans doute pour éviter le bad buzz possible et rassurer).
28/08/2018 – Violation de données chez Système U (site de location de voitures)
Faits : Piratage ayant entrainé une violation de données (identification, coordonnées, informations sur les réservations, pas de données de paiement)
Notification de la violation à la CNIL et par le biais d’un communiqué.
27/08/2018 – Violation de données chez T-Mobile US
Faits : Faille de sécurité potentielle détectée et rapidement corrigée, ayant pu entrainer la violation de données de probablement plus de 2 millions de victimes potentielles (nom, code postal de facturation, numéro de téléphone, adresse e-mail, numéro de compte et type de compte, pas de données de paiement)
Notification par le biais d’un communiqué.
15/08/2018 – International / Brésil – Adoption de la LGPD
Le 15 août 2018 a été adoptée la 1ère loi brésilienne sur la protection des données personnelles (LGPD), inspirée du système européen et qui entrera en vigueur le 15 février 2020. Une période transitoire de 18 mois a donc été prévue pour mettre en place les différentes mesures assurant la des traitements de données personnelles. Cette nouvelle réglementation s’imposera à des sociétés non brésiliennes puisqu’elle s’appliquera :
03/08/2018 – Publication du décret n°2005-1309 venant compléter la LIL
Fixation des délais et procédures applicables aux missions de la CNIL et précision sur certaines dispositions de la loi (données médicales, moyens d’information des personnes concernées, etc.)
31/07/2018 – CNIL – Lancement d’une enquête concernant la durée de conservation des images de vidéosurveillance par la Préfecture de police de Paris
Dans le cadre de l’affaire Benalla, la CNIL a déclenché une procédure de contrôle afin de vérifier les modalités de conservation des vidéos par la Préfecture de police de Paris. Il semble en effet que la durée de conservation de maximum 30 jours ne soit pas respectée par la Préfecture.
https://www.solutions-numeriques.com/affaire-benalla-la-cnil-reproche-a-la-pp-de-paris-de-conserver-plus-de-30-jours-les-videos/
27/07/2018 – USA – Réflexion sur l’adoption d’un cadre juridique fédéral pour la protection des données personnelles
Quelques mois après l’entrée en application du RGPD, l’administration américaine engage des discussions avec les géants du web, les acteurs du secteur des nouvelles technologies et des télécoms sur ce qu’il pourrait et devrait faire en matière de protection de la vie privée. Certains évoquent la possible adoption d’un texte fédéral fixant un cadre juridique unifié pour la protection des données personnelles, à la fois proche du RGPD et moins stricte que ce dernier.
https://www.washingtonpost.com/gdpr-consent/?destination=%2ftechnology%2f2018%2f07%2f27%2ftrump-administration-is-working-new-proposal-protect-online-privacy%2f%3fnoredirect%3don%26utm_term%3d.4e150b8266f5&noredirect=on&utm_term=.43c8396bfa86
24/07/2018 CNIL – Sanction pour Dailymotion : 50K€
Faits : Violation de données chiffrées lors d’une attaque par l’accès aux identifiants d’un compte administrateur stockés en clair sur la plateforme collaborative de développement « Github » et exploitation d’une vulnérabilité dans le code de la plateforme Dailymotion sur « Github » : 82,5 millions d’adresses e-mails et 18,3 millions de mots de passe concernés.
Obligation de sécurité des données personnelles : des mesures élémentaires auraient pu éviter la violation : ne pas stocker en clair dans le code source des identifiants relatifs à un compte administrateur ; mettre en place des systèmes de filtrage des adresses IP ou un VPN (réseau virtuel privé) lorsque des personnes extérieures à la société peuvent se connecter à distance à un réseau informatique interne.
Sanction : elle aurait certainement été plus élevée si les données violées n’avaient pas été chiffrées.
Publication de la décision : Pour responsabiliser les responsables de traitement et vu le nombre très important de données en cause
24/07/2018 CNIL – Sanction pour l’Office Public de l’Habitat de Rennes Métropole Archipel Habitat : 30K€
Faits : Plainte reçue concernant l’utilisation par la Présidente de l’OPH (aussi Maire de Rennes) du fichier des locataires de logements sociaux pour leur transmettre un courrier politisé au sujet des APL et de la position du gouvernement.
Traitement licite : les données personnelles collectées ne peuvent être traitées pour d’autres finalités que celles qui ont justifié la collecte (ici la gestion des demandes de logement social et du parc immobilier). Si une finalité de communication externe était possible, il ne s’agissait pas ici d’une lettre d’information vu le contenu polémique du courrier (critique d’une annonce gouvernementale).
Publication de la décision : Pour rappeler à tous les acteurs du secteur social l’interdiction d’utiliser les données hors de la finalité initiale et en raison de la méconnaissance par l’OPH d’un principe fondamental de la LIL.
A la suite de la mise en demeure de la CNIL, les réponses apportées par Genesis et les contrôles ultérieurs de la CNIL ont permis de vérifier que la reconnaissance vocale, nécessaire pour que les jouets répondent aux questions posées par les enfants, n’est plus utilisée. Les discussions avec les jouets ne sont plus transférées vers les serveurs d’une société tierce hors UE et l’utilisation des jouets ne conduit plus à mettre en œuvre un traitement de données personnelles.
16/07/2018 – CNIL- Adoption de nouvelles mesures de simplification pour les recherches dans le domaine de la santé
De nouvelles méthodologies de référence sont mises en place par la CNIL et permettent d’éviter la soumission à la CNIL d’une demande d’autorisation préalable au traitement de données personnelles
https://www.cnil.fr/fr/recherches-dans-le-domaine-de-la-sante-la-cnil-adopte-de-nouvelles-mesures-de-simplification
Les contrôles de la CNIL en 2018 suivront les mêmes grandes lignes que précédemment avec des investigations sur la base des réclamations et signalements adressés à la CNIL, des vérifications effectuées à la suite de clôtures, mises en demeure ou sanctions, des missions réalisées en fonction des sujets d’actualité et du programme annuel des contrôles sur les thématiques spécifiques retenues. Pour 2018, il s’agit des traitements de données personnelles liées au recrutement (notamment les outils d’évaluation), à l’immobilier locatif (sur les pièces justificatives demandées par les agences) et au stationnement payant réalisés avec des outils connectés.
Après 8 ans de travail et inspirée de la Directive européenne de 1995, la 1ère loi brésilienne sur la protection des données personnelles (LGPD) va entrer en vigueur. Elle crée et uniformise un système global de protection avec 10 bases légales permettant de justifier un traitement de données personnelles (dont le consentement), une protection renforcée pour les données dites sensibles (ex. origine ethnique, opinions politiques et religieuses, préférences sexuelles et données génétiques), la création d’une autorité dédiée (ANPD), la mise en place d’une fonction de responsable de la vie privée au sein des entités publiques et privées, des obligations de notification de violation des données, des amendes pouvant grimper jusque 50 millions de real brésiliens (environ 10 millions d’euros) avec une possible interdiction des traitements incriminés.
Les écueils assez faciles à éviter et pourtant les plus souvent rencontrés concernant la sécurité des sites web sont en particulier : une authentification par un mot de passe trop souple, l’absence de règles d’authentification à un compte (la seule url incrémentale suffisant à y accéder), l’absence de chiffrement des données, l’indexation des données dans un moteur de recherche.
25/06/2018 – CNIL – Mise en demeure des sociétés Fidzup et Teemo
Faits : la CNIL a contrôlé les sociétés Fidzup et Teemo, qui ont recours à des technologies permettant de collecter des données personnelles via les smartphones et de réaliser des campagnes publicitaires géolocalisées sur les mobiles.
Ces deux sociétés ont recours à des outils dits « SDK », qui sont intégrés dans le code d’applications mobiles de leurs partenaires, et qui leur permettent de collecter des données des personnes des utilisateurs des smartphones, même lorsque ces applications ne fonctionnent pas.
Ces outils « SDK » permettent à la société Teemo de collecter l’identifiant publicitaire des smartphones et les données de géolocalisation des personnes, environ toutes les cinq minutes. Ces données sont croisées avec des points d’intérêt déterminés par les partenaires (enseignes de magasins), ce qui permet d’afficher de la publicité ciblée sur les smartphones des personnes à partir des lieux qu’elles ont visités.
Quant à Fidzup, les SDK lui permettent de collecter les identifiants publicitaires et adresses MAC des smartphones. Les points de vente de ses partenaires sont équipés de dispositifs particuliers qui permettent de collecter des données relatives à l’adresse MAC et à la puissance du signal WIFI des smartphones. Ces données sont croisées, ce qui permet d’effectuer de la prospection publicitaire sur les smartphones des personnes lors de leur passage à proximité d’un point de vente client de la société Fidzup.
Manquement aux obligations de recueil du consentement et d’information préalable :
– s’agissant de la société Teemo, les personnes ne sont pas informées, lorsqu’elles téléchargent des applications mobiles partenaires, qu’un SDK permettant de collecter leurs données y est intégré,
– s’agissant de la société Fidzup, au moment de l’installation des applications partenaires, l’utilisateur n’est pas informé que ses données seront traitées à des fins de ciblage publicitaire, ni de l’identité du responsable de traitement. Par ailleurs, les personnes concernées ne reçoivent d’information sur le traitement de leurs données qu’après leur collecte, alors que le consentement suppose une information préalable,
– concernant les deux sociétés, l’utilisateur ne peut pas télécharger les applications partenaires sans le SDK, donc il n’est pas possible d’utiliser l’application sans transmettre ses données à Teemo et Fidzup,
– enfin il est demandé aux personnes de consentir aux traitement de leurs données de géolocalisation lors de l’installation des applications mobiles des partenaires de Teemo et Fidzup. Ceci étant, cela ne concerne que l’utilisation des données par l’application en question. En conséquence, le consentement ne vaut pas pour la collecte des données à des fins publicitaires via les SDK.
Manquement à l’obligation concernant la durée de conservation : la durée de conservation des données de localisation appliquée par Teemo, de 13 mois, est considérée comme disproportionnée par rapport à la finalité du traitement qui a justifié la géolocalisation, notamment concernant les données collectées qui ne concernent pas des zones géographiques où la société effectue des campagnes marketing.
Manquement à l’obligation d’assurer la sécurité et la confidentialité des données / de conclure un contrat écrit avec le sous-traitant prévoyant des obligations en matière de sécurité et confidentialité : les données collectées par Teemo étaient intégrées dans la base de données Matcher2, hébergée via les services de Google Cloud. Or, le contrat conclu entre Teemo et Google ne prévoyait pas de clauses relatives aux obligations du sous-traitant en matière de sécurité et de confidentialité des données.
Risque pour les personnes : la géolocalisation est particulièrement intrusive car elle permet de suivre des personnes en temps réel.
Publication des décisions : compte tenu de la nature des manquements, du nombre de personnes concernées par ces traitements et de la nécessité de sensibiliser les professionnels du secteur sur les enjeux liés au recours à ce type de technologie.
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037217051
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000037217124&fastReqId=1928029948&fastPos=4
Mise à jour de certaines dispositions vis-à-vis du RGPD, exercice des manœuvres nationales prévues au RGPD (ex. âge de la majorité numérique) et transposition de la Directive 2016/680 « Police Justice ».
D’après la CNIL, une ordonnance de réécriture complète de la loi « Informatique et Libertés » est prévue, dans un délai de six mois, afin de permettre une lisibilité du cadre juridique actuel (La LIL actuelle comporte encore des dispositions qui, d’après le RGPD, ne sont plus applicables ou ne mentionne pas certains nouveaux droits et obligations prévus par le RGPD.
https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32016L0680&from=FR
21/06/2018 CNIL – Sanction pour l’association pour le développement des foyers : 75K€
CJUE 10/07/2018 – Le RGPD s’applique aux communautés religieuses
Co-responsabilité d’une communauté religieuse (témoins de Jéhovah) et de ses membres prédicateurs : la prédication par le porte-à-porte n’est pas une activité exclusivement personnelle et domestique de chaque prédicateur, qui permettrait d’échapper à la règlementation, puisqu’elle dépasse leur sphère privée. La responsabilité conjointe ne présuppose pas nécessairement que chaque acteur ait accès aux données personnelles : la communauté organisant, coordonnant et encourageant la prédication par ses membres participe à la détermination de la finalité et des moyens du traitement.
Référé TGI Grenoble 04/07/18 – Transfert de données personnelles hors UE, mieux vaut ne pas se tromper de destinataire !
Est excessif tout système qui revient à surveiller en permanence des salariés ou des étudiants, c’est-à-dire de filmer à la fois les accès à l’établissement, les lieux de circulation et les lieux de vie pendant les heures d’ouverture de l’établissement, sauf circonstances exceptionnelles.
L’obligation d’information des personnes filmées peut être remplie par des mentions dans les conditions générales d’inscription, un affichage et la diffusion aux salariés (note d’information/contrat de travail).
Lorsque la finalité du traitement est de protéger des biens et des personnes (vols, agressions, dégradations) et éviter les débordements des étudiants, une durée de conservation adéquate serait d’un mois.
Conformité : le logiciel de suivi de l’activité des pilotes est conforme à la LIL (hors quelques manquements mineurs signalés) : collecte loyale des données (information des personnes concernées de l’existence du traitement, de ses finalités, des destinataires et de leurs droits par le biais d’un mémo papier et sur l’intranet dédié), pas de détournement de la finalité du traitement (les données contenues dans ce logiciel ne sont pas croisées avec celles prises en compte pour le suivi de la carrière des pilotes).
Nature des données : Les informations concernant les arrêts maladie ne sont pas des données sensibles car le motif de l’arrêt n’est pas indiqué et il ne s’agit donc pas de données de santé.
Pour déterminer si le droit à l’oubli doit être mise en œuvre, il faut rechercher l’équilibre entre le respect de la vie privée et les libertés d’expression et d’information du public.
Base légale du traitement : Les cookies publicitaires même s’ils seraient nécessaires à la viabilité économique du site web nécessitent un consentement de l’internaute préalable à leur dépôt.
Obligation d’information : Il est essentiel d’informer l’internaute des cookies qui peuvent être déposés en précisant ceux qui sont obligatoires ou soumis à son consentement, ainsi que les conséquences d’une éventuelle opposition de sa part. La seule proposition à l’internaute de paramétrer son navigateur n’est pas un mode valable d’opposition.
Durée de conservation : Cookies / 13 mois
Obligation de coopérer avec la CNIL : il appartient à la société ayant fait l’objet d’une mise en demeure de la CNIL de lui démontrer qu’elle a fait le nécessaire pour remédier à ses manquements.
05/06/18 – CJUE – Arrêt Wirtschaftsakademie Schleswig-Holstein GmbH – Responsabilité conjointe du traitement >> Désactivation d’une page fan sur le réseau social Facebook
Responsabilité : Lorsqu’une entreprise établie en dehors de l’Union dispose de plusieurs établissements dans différents Etats membres, l’autorité de contrôle d’un Etat membre est habilitée à exercer les pouvoirs que lui confère l’article 28, paragraphe 3, de la directive à l’égard d’un établissement de cette entreprise situé sur le territoire de cet Etat membre alors même que, en vertu de la répartition des missions au sein du groupe, d’une part, cet établissement est chargé uniquement de la vente d’espaces publicitaires et d’autres activités de marketing sur le territoire dudit Etat membre et, d’autre part, la responsabilité exclusive de la collecte et du traitement des données à caractère personnel incombe, pour l’ensemble du territoire de l’Union, à un établissement situé dans un autre Etat membre.
Même si le Réseau social est responsable à titre principal, l’administrateur d’une page fan est responsable conjoint du traitement :
Il apporte une contribution active et volontaire (action de paramétrage) à la collecte par le RS des données personnelles des visiteurs de sa page et bénéficie de statistiques en résultant, à des fins de gestion de la promotion de son activité (connaissance du profil des visiteurs qui apprécient la page fan ou utilisent ses applications, afin de pouvoir leur proposer un contenu plus pertinent et développer des fonctionnalités susceptibles de les intéresser davantage…).
Même si ces statistiques sont reçues par l’administrateur sous une forme anonymisée, le traitement lui-même ne l’est pas et il n’est en pratique pas nécessaire que l’internaute ait un compte sur le RS pour que ses données soient traitées.
http://curia.europa.eu/juris/celex.jsf?celex=62016CJ0210&lang1=fr&type=TXT&ancre=
25/05/2018- L’entrée en application du RGPD tant attendue…. et tant redoutée
La semaine d’entrée en application du nouveau règlement européen sur les données personnelles aura vu nombre d’entreprises se précipiter autour de cette date butoir pour assaillir d’e-mails leurs clients et contacts.
» Plusieurs constats : la majorité de ces e-mails visait demander un (nouveau) consentement aux personnes ; la majorité des personnes n’a pas lu ces mails reçus en pagaille et encore moins confirmé un consentement.
» Plusieurs réflexions : il semble que dans la plupart des cas, la base légale du traitement des données n’avait pas à être le consentement (rappelons qu’une entreprise peut sur la base d’un intérêt légitime adresser des offres à ses clients naturellement intéressés par ses produits et services) ; en adressant en masse cette demande les entreprises se sont elles-mêmes obligées à obtenir un consentement ; quand bien même un consentement était nécessaire, il est loin d’être certain qu’il le fallait réellement pour le 25 mai ; le résultat de cette précipitation est très certainement une perte massive des données d’entreprise et de la valeur qui l’accompagne.
La CNIL a annoncé qu’elle resterait assez souple dans le cadre de ses contrôles jusque fin 2018. Il est donc encore temps de poser sa réflexion juridique en amont et de vérifier au cas par cas quelles sont les obligations de l’entreprise et les démarches de mise en conformité à mettre en œuvre en fonction de sa situation.
Contrôle en ligne puis sur place
Obligation de sécurité : Défaut lors des commandes en ligne sur son site web : accès possible à des centaines de factures de clients contenant des données personnelles (nom, prénom, adresse postale, données de santé et parfois date de naissance et numéros de sécurité sociale).
Sanction : 250K€ malgré la collaboration active d’Optical Center pour résoudre la faille, car : la restriction d’accès aux documents présents sur les espaces personnelles est une précaution d’usage essentielle ; la société connaissait les risques de sécurité informatique, ayant déjà été condamnée en 2015 (à 50K€).
Publication de la décision : car les données rendues accessibles étaient particulièrement sensibles et nombreuses (334.769 documents) et le nombre de clients touchés important.
L’information des clients d’un établissement bancaire sur le risque financier qu’ils prennent en contractant un emprunt de relève pas des devoirs du CIL qui n’a donc pas manqué à ses obligations.
05/03/18 CNIL– Mise en demeure contre Direct Energie
Contrôles de la CNIL en octobre 2016 et février 2018
Base légale : Consentement : absence de consentement libre, éclairé et spécifique à la collecte des données de consommation issues du compteur communicant LINKY.
La société DIRECT ENERGIE est un fournisseur d’électricité. Dans le cadre de cette mission et afin de rendre possible la facturation, la société dispose des données mensuelles de consommation : A l’occasion de l’installation du compteur communicant LINKY, la société a demandé au gestionnaire du réseau de distribution, la société ENEDIS, de lui transmettre les données de ses clients correspondant à leur consommation journalière d’électricité ainsi que les données de consommation à la demi-heure.
Or, lors de l’information sur la mise en place du compteur Linky, DIRECT ENERGIE demande à ses clients leur accord simultanément sur deux points :
et sur la collecte des données de consommation horaires (à la demi-heure), qui est présentée comme le corollaire de l’activation du compteur et comme permettant au client de bénéficier d’une facturation au plus juste.
Et, si l’installation d’un compteur LINKY revêt un caractère obligatoire, sa mise en service ne dépend pas de la société DIRECT ENERGIE : le client a donc l’impression, erronée, qu’il choisit d’activer le compteur alors qu’il ne consent, en réalité, qu’à la collecte de ses données de consommation.
Pas d’intérêt légitime : cette collecte de données n’est pas une conséquence nécessaire de l’activation du compteur et la finalité de « facturation au plus juste », affichée lors du recueil du consentement, n’est pas exacte puisque Direct Energie ne propose pas d’offres basées sur la consommation horaire.
Enfin, la cadence précise de la remontée des données de consommation, par demi-heure, n’est pas indiquée au client.
Publication de la décision : Vu le nombre de clients concernés (plusieurs centaines de milliers en février 2018), pour sensibiliser les personnes quant à leurs droits et leur capacité de maîtrise sur leurs données de consommation énergétique (informations relatives à la vie privée : heures de lever et de coucher, périodes d’absence ou nombre d’occupants du logement).
https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000036742604&fastReqId=1245816250&fastPos=2
26/02/2018 – Publication du Décret n° 2018-137 relatif à l’hébergement de données de santé à caractère personnel
Le décret précise le champ des activités d’hébergement de données de santé à caractère personnel qui sont soumises à un agrément délivré par le ministre chargé de la santé ou à une certification.
Il détermine les conditions d’application de l’obligation, pour toute personne physique ou morale à l’origine de la production ou du recueil de ces données de santé, de recourir à un hébergeur certifié ou agréé lorsqu’il externalise la conservation des données dont il est responsable.
https://www.legifrance.gouv.fr/affichTexte.do;jsessionid=C59DBA171D17FA75087498F2C0697A68.tplgfr27s_3?cidTexte=JORFTEXT000036650041&dateTexte=&oldAction=rechJO&categorieLien=id&idJO=JORFCONT000036649859&t=1&cn=ZmxleGlibGVfcmVjc18y&refsrc=email&iid=28ca2557cf80403d909db096b4abc99f&fl=4&uid=529644646&nid=244+272699400
Plusieurs syndicats étudiants demandaient la suspension d’un arrêté autorisant la mise en œuvre d’un traitement automatisé de données personnelles « Parcoursup » considéré comme illégal. Après une mise en balance des intérêts en cause, le Conseil d’Etat a estimé que la suspension de « Parcoursup » engendrerait une atteinte à l’intérêt général (bon déroulement de la procédure de préinscription pour l’enseignement supérieur) excédant les inconvénients invoqués par les syndicats requérants vu notamment le caractère limité du traitement. La gravité et la condition d’urgence n’ont pas été retenues.
Si les décisions de justice sont publiées en intégralité, les bases de données librement accessibles qui les reproduisent doivent les anonymiser.
Identifier sur une page web une personne condamnée (pour exercice illégal de la pharmacie, commercialisation de médicaments sans AMM, non-respect des règles de publicité sur les médicaments et fraude fiscale) en publiant les décisions de justice anonymisées, en mettant en avant des faits très anciens et sans alimenter le débat par des éléments nouveaux est une levée d’anonymat malveillante et répréhensible.
Mise en demeure de procéder dans un délai de 2 mois à la sécurisation de jouets connectés la poupée « My Friend Cayla » et le robot « I-QUE », qui répondent aux questions posées par les enfants, sont équipés d’un microphone et d’un haut-parleur et associés à une application mobile, de sorte que la société collecte de nombreuses informations personnelles sur les enfants et leur entourage (voix, contenu des conversations, informations renseignées dans l’application « My Friend Cayla App ).
Défaut de sécurité : toute personne située à 9 mètres des jouets avec un système de communication Bluetooth peut se connecter à la poupée, sans avoir à s’authentifier et ainsi entendre et enregistrer les paroles échangées entre l’enfant et le jouet ou toute conversation à proximité du jouet et également communiquer avec l’enfant.
Défaut d’information des utilisateurs des jouets : Alors que des informations personnelles sont traitées par la société, les utilisateurs des jouets ne sont pas informés des traitements de données mis en œuvre par la société ni informés du fait que la société transfère des contenus de conversations auprès d’un prestataire de service situé hors de l’Union européenne
09/03/2017- CJUE – Le droit à l’oubli n’est pas absolu
La Corte Suprema di Cassazione (Cour de Cassation italienne) a posé plusieurs questions préjudicielles à la CJUE dans le cadre d’une affaire où le Tribunale di Lecce (tribunal de Lecce, Italie) avait ordonné à la chambre de commerce de Lecce de rendre anonymes les données personnelles reliant une personne physique à la faillite d’une société et l’avait condamnée à réparer le préjudice ainsi causé à cette personne :
La Corte demande en effet si la directive sur la protection des données des personnes physiques ainsi que la directive sur la publicité des actes des sociétés s’opposent à ce que toute personne puisse, sans limite de temps, accéder aux données relatives aux personnes physiques figurant dans le registre des sociétés.
Dans son arrêt, la CJUE rappelle que l’intérêt de la publicité des registres des sociétés est d’assurer notamment la sécurité juridique dans les rapports entre les sociétés et les tiers ainsi qu’à protéger notamment les intérêts des tiers par rapport aux sociétés par actions et aux sociétés à responsabilité limitée, dès lors qu’elles n’offrent comme garantie à l’égard des tiers que leur patrimoine social.
La Cour constate que des données à caractère personnel peuvent perdurer dans les registres de sociétés même de nombreuses années après qu’une société cesse d’exister compte tenu :
de la multitude de droits et de relations juridiques pouvant impliquer une société avec des acteurs dans plusieurs États membres (et ce, même après sa dissolution) et,
de l’hétérogénéité des délais de prescription prévus par les différents droits nationaux, il paraît ainsi impossible d’identifier un délai unique à l’expiration duquel l’inscription des données dans le registre et leur publicité ne serait plus nécessaire,
La Cour juge que cette ingérence dans les droits fondamentaux des personnes concernées est justifiée dans la mesure où :
seul un nombre limité de données à caractère personnel est inscrit dans le registre des sociétés et
il est justifié que les personnes physiques, qui choisissent de participer aux échanges économiques par l’intermédiaire d’une société par actions ou d’une société à responsabilité limitée et qui n’offrent comme garantie à l’égard des tiers que le patrimoine de cette société, soient obligées de rendre publiques les données tenant à leur identité et à leurs fonctions au sein de celle-ci.
Ceci étant, la Cour précise que les situations doivent être évaluées au cas par cas.
http://curia.europa.eu/juris/document/document.jsf?text=&docid=188750&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=9141729
13/05/14 – CJUE – Arrêt Costeja c/ Google Spain SL et Google Inc.
L’activité d’un moteur de recherche consistant à trouver des informations publiées ou placées sur Internet par des tiers, à les indexer de manière automatique, à les stocker temporairement et, enfin, à les mettre à la disposition des internautes selon un ordre de préférence donné doit être qualifiée de « traitement de données à caractère personnel » lorsque ces informations contiennent des données à caractère personnel.
L’exploitant de ce moteur de recherche doit être considéré comme le responsable du traitement.
Un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement situé dans un état membre de l’UE, lorsque son activité vise les habitants de cet état membre et qu’il est destiné à assurer l’activité de promotion et de vente des espaces publicitaires pour les besoins du responsable de traitement situé hors UE.
L’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne, également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite.
Il convient notamment d’examiner si la personne concernée a un droit à ce que l’information en question relative à sa personne ne soit plus liée à son nom par une liste de résultats affichée à la suite d’une recherche effectuée à partir de son nom, sans présupposer qu’il y ait préjudice pour cette personne. La personne concernée peut demander que l’information en question ne soit plus mise à la disposition du grand public dans une la liste de résultats du moteur de recherche. Ce droit prévaut en principe sur l’intérêt économique de l’exploitant du moteur de recherche et également sur l’intérêt du public à accéder à l’information. Cependant, tel ne serait pas le cas s’il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l’ingérence dans ses droits fondamentaux est justifiée par l’intérêt prépondérant du public à avoir, par cette liste de résultats, accès à l’information en question.
https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:62012CJ0131&from=FR