Sanction par la CNIL d’un responsable de traitement pour manquement à l’obligation de sécurité

Dans une délibération du 8 janvier 2018, la formation restreinte de la CNIL a prononcé à l’encontre d’une société spécialisée dans la vente d’appareils électroménagers une sanction pécuniaire de 100 000 euros et la publicité de sa décision pour manquement à l’obligation d’assurer la sécurité des données de clients, après l’avoir qualifiée de responsable de traitement au motif notamment que si le traitement était mis en œuvre par un sous-traitant, il avait une “finalité unique de suivi des demandes de service après-vente adressées à cette société”.

Pour lire la délibération de la CNIL

Non-conformité de dispositifs de géolocalisation installés dans des véhicules de salariés

Une société sollicitait l’annulation pour excès de pouvoir d’une décision par laquelle la CNIL l’avait mise en demeure de cesser l’usage de données issues des dispositifs de géolocalisation installés sur les véhicules de ses salariés afin de contrôler leurs temps de travail. Dans un arrêt du 15 décembre 2017, le Conseil d’État a rejeté sa demande, considérant que "l’utilisation par un employeur d’un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace que la géolocalisation", et estimant qu’en l’espèce elle disposait bien d’autres moyens pour ce faire.

Pour lire l’arrêt sur Légifrance

Mise en demeure d’une société par la CNIL pour absence de base légale du traitement mis en œuvre

Suite à une décision rendue par sa Présidente en 2016, une délégation de la CNIL a procédé à trois contrôles en ligne d’une société américaine exploitant une application mobile en France. Dans une décision du 27 novembre 2017, elle l’a mise en demeure de se conformer à la loi Informatique et Libertés après avoir constaté plusieurs manquements, notamment une absence de base légale pour la  transmission aux "sociétés de la famille Facebook" des données des utilisateurs, le consentement de ces derniers ne pouvant être considéré comme "valablement recueilli par la société, faute d’être libre et spécifique".

Pour lire la décision de la CNIL

Avis de la CNIL sur le projet de loi d’adaptation du droit national au droit de l’UE

Après avoir été saisie par la Ministre de la Justice, la CNIL a rendu le 30 novembre 2017 une délibération portant avis sur le projet de loi visant à mettre en conformité le droit national avec le paquet européen de protection des données comprenant le Règlement Général sur la Protection des Données (RGPD) et la directive du 27 avril 2016 relative aux traitements de données personnelles dans la sphère pénale. Ainsi, selon la CNIL, bien que "le projet (…) rempli[sse] globalement [cet] objectif principal" et "semble faire un usage raisonnable [des marges de manœuvre ouvertes aux États par le Règlement]", il y a un "risque réel de non-respect des délais de mise en œuvre du paquet européen".

Pour lire la délibération de la CNIL

Jouets connectés : mise en demeure d’une société pour atteinte d’une particulière gravité à la vie privée

Suite à une plainte d’une association de consommateurs, la CNIL a procédé à des contrôles en ligne de jouets connectés distribués par une société chinoise en France. Dans une décision du 20 novembre 2017, elle a mis cette société en demeure de se conformer à la loi Informatique et Libertés ainsi qu’à la réglementation sur le respect de la vie privée, ayant constaté plusieurs manquements, notamment une absence de sécurisation des données et d’information des personnes. La CNIL a ajouté que "l’atteinte à la vie privée [était] d’une particulière gravité en ce qu’elle concern[ait] un public vulnérable à savoir des enfants".

Pour lire la délibération de la CNIL

Mise en garde de la CNIL sur des messages de « mise en conformité »

Dans un communiqué de presse du 24 novembre 2017, la CNIL a émis une mise en garde suite à la réception, par plusieurs entreprises, par fax et par téléphone, de "messages pour une « mise en conformité » avec le règlement européen sur la protection des données personnelles ( dit « RGPD »)". La CNIL a souligné que ces messages n’émanaient pas d’elle et qu’ils pouvaient avoir pour finalité de "faire appeler un numéro de téléphone surtaxé, de (…) faire signer un engagement frauduleux (…) ou de collecter des informations sur [l’]organisation [des entreprises concernées] pour préparer une escroquerie ou une attaque informatique".

Pour lire le communiqué de presse de la CNIL

Manquement à l’obligation de sécurité d’un éditeur de sites de démarches administratives en ligne

Après avoir "été alertée[s] par l’éditeur d’un site web (…) de la découverte d’un incident de sécurité sur [plusieurs sites de démarches administratives en ligne]", les délégations de la CNIL ont réalisé plusieurs contrôles, à l’issue desquels elles "ont constaté qu’en modifiant les derniers numéros [des adresses URL des sites concernés], correspondant à l’identifiant attribué à une démarche, les informations renseignées par d’autres utilisateurs du site étaient accessibles". Dans une délibération du 16 novembre 2017, la formation restreinte de la CNIL a prononcé à l’encontre de la société éditrice des sites concernés une sanction pécuniaire de 25 000 euros ainsi que la publicité de sa décision.

Pour lire la délibération sur Légifrance

Principes et précautions en matière de fichiers d’exclusion

Par un communiqué du 13 novembre 2017, la CNIL a rappelé aux professionnels les bonnes pratiques et la réglementation relatives aux fichiers d’exclusion qui permettent d’identifier les "mauvais payeurs". Elle énumère les "principes généraux applicables aux fichiers d’exclusion pour motifs d’impayés" ainsi que les précautions à prendre au regard de la loi Informatique et Libertés.

Pour lire le communiqué de la CNIL

Audit international de 455 sites internet et applications mobiles

Le 24 octobre 2017, la CNIL a publié les résultats d’un audit réalisé dans le cadre du "Sweep Day 2017" par les "autorités de protection des données membres du Global Privacy Enforcement Network", et mené sur 455 sites internet et applications mobiles de différents secteurs, afin de vérifier "la qualité de l’information délivrée aux personnes". Au niveau national, la CNIL a concentré son audit sur les domaines du voyage et de la vente en ligne, constatant notamment que "82% des sites et applications inform[ai]ent insuffisamment les personnes sur la nature des données transmises à des tiers et sur l’identité de ces derniers". Il a permis aux autorités "de se préparer aux futures opérations conjointes qui pourront être réalisées (…) une fois le règlement européen sur la protection des données applicable".

 Pour lire le communiqué de presse de la CNIL

RGPD : publication par la CNIL d’un guide relatif à la sous-traitance

Le 29 septembre 2017, la CNIL a publié “un guide pour sensibiliser [les sous-traitants] et les accompagner dans la mise en œuvre concrète de leurs obligations”, notamment leur obligation de conseil auprès des clients pour le compte desquels ils traitent des données. À ce titre, la CNIL a rappelé que les sous-traitants devraient aider leurs clients “dans la mise en œuvre de certaines obligations du règlement (étude d’impact sur la vie privée, notification de violation de données, sécurité, contribution aux audits). Ils devront également “tenir un registre des activités de traitement effectuées pour le compte de leurs clients [et dans] certains cas (…) désigner un délégué à la protection des données (DPD) dans les mêmes conditions qu’un responsable de traitement”.

Pour lire le guide et le communiqué de la CNIL