Lignes directrices relatives au traitement de données personnelles par les institutions de l’Union européenne

Le 7 novembre 2019, le Contrôleur européen de la protection des données a publié des lignes directrices portant sur l’interprétation du règlement du 23 octobre 2018 relatif au traitement des données personnelles par les institutions et organes de l’Union européenne. Ces lignes directrices visent notamment à clarifier les notions de responsable de traitement, responsable conjoint et sous-traitant au sens de ce texte.

Pour lire les lignes directrices du CEPD

Le secret des correspondances s’applique à une messagerie instantanée installée sur un ordinateur professionnel

Une salariée avait échangé avec une collègue des messages électroniques via une messagerie instantanée installée sur son ordinateur professionnel au moyen d’une adresse électronique personnelle. Par un arrêt du 23 octobre 2019, la Cour de cassation a jugé que la correspondance litigieuse provenait d’une boîte mail personnelle distincte de la messagerie professionnelle et était, par conséquent, couverte par le secret des correspondances.

  Pour lire l’arrêt sur Légifrance

Droit d’accès : Le ministre de l’intérieur n’est pas tenu de délivrer une copie des données

Par une décision du 24 octobre 2019, le Conseil d’État a jugé que "dans le cadre du droit d’accès indirect aux données personnelles contenues dans l’un des fichiers intéressant la sûreté de l’État, la défense ou la sécurité publique, le responsable du traitement communique les informations à la personne concernée selon les modalités qu’il définit". Le ministre de l’Intérieur n’était donc pas tenu de délivrer une copie des données sollicitées et a ainsi valablement exécuté son obligation en s’assurant que le requérant puisse les consulter sur place.

  Pour lire la décision du Conseil d’État

La CNIL rend un avis défavorable sur l’expérimentation de la reconnaissance faciale à l’entrée de deux lycées

Le 29 octobre 2019, la CNIL a annoncé avoir rendu un avis défavorable sur l’expérimentation de la reconnaissance faciale à l’entrée de deux lycées menée par la région PACA. La CNIL a considéré que le dispositif n’apparaissait ni nécessaire, ni proportionné pour atteindre les objectifs de sécurisation et de fluidification des entrées, relevant notamment que ces finalités pouvaient être atteintes “par des moyens bien moins intrusifs en termes de vie privée et de libertés individuelles, comme par exemple un contrôle par badge”.

  Pour lire la publication de la CNIL

Le Conseil fédéral de la Suisse signe la Convention du Conseil de l’Europe sur la protection des données personnelles

Le 30 octobre 2019, le Conseil fédéral de la Suisse a signé un protocole d’amendement à la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données personnelles. Ce texte “renforce la protection dont jouissent les Suisses lorsque leurs données personnelles sont traitées dans un Etat partie”. Son adoption devrait être prise en compte par l’Union européenne dans la future décision d'adéquation concernant le niveau de protection des données en Suisse.

 Pour lire le communiqué du Conseil fédéral de la Suisse

La CNIL publie une liste des traitements qui ne requièrent pas d’analyse d’impact

Par une délibération du 12 septembre 2019, la CNIL a publié une liste non exhaustive d'opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données n’est pas requise. Sont notamment concernés, les traitements mis en œuvre à des fins de ressources humaines pour la gestion du personnel des organismes qui emploient moins de 250 personnes ou encore des traitements ayant pour finalité la gestion des relations fournisseurs.

  Pour lire la délibération de la CNIL

La vidéosurveillance secrète des salariés est justifiée en cas de soupçons raisonnables d’irrégularités graves

Par un arrêt du 17 octobre 2019, la Cour européenne des droits de l’Homme a jugé que l’atteinte au droit à la vie privée résultant de la mise en place, par l’employeur, d’une vidéosurveillance secrète des salariés était justifiée par "l’existence de soupçons raisonnables que des irrégularités graves avaient été commises et [par] l’ampleur des manques constatés en l’espèce".

  Pour lire l'arrêt de la Cour européenne des droits de l’Homme

Le Conseil d’État valide les lignes directrices de la CNIL en matière de cookies

Par un arrêt du 16 octobre 2019, le Conseil d’État a rejeté le recours formé contre la délibération de la CNIL valant adoption de nouvelles lignes directrices en matière de cookies qui soumet à une concertation les modalités pratiques d’expression du consentement en matière de publicité ciblée et octroie une période d’adaptation de douze mois pour s’y conformer. Il a ainsi été jugé que ces mesures permettaient un respect effectif de la réglementation applicable en matière de protection des données personnelles.

 Pour lire la décision du Conseil d’État

Une case cochée par défaut ne suffit pas à recueillir le consentement des internautes au placement de cookies

Par un arrêt du 1er octobre 2019, la Cour de justice de l’Union européenne a jugé que le consentement de l’utilisateur d’un site internet au placement de cookies publicitaires ne pouvait être valablement donné au moyen d’une case cochée par défaut que l’utilisateur doit décocher pour refuser de donner son consentement. La Cour a également rappelé que “les informations que le fournisseur de services [devait] donner à l’utilisateur d’un site Internet inclu[aient] la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies”.

Pour lire la décision de la Cour de justice de l’Union européenne

Précisions sur les conditions du droit au déréférencement en matière de données sensibles

Par un arrêt du 24 septembre 2019, la Cour de justice de l’Union européenne a jugé que “lorsque l’exploitant d’un moteur de recherche est saisi d’une demande de déréférencement portant sur un lien vers une page web sur laquelle des données à caractère personnel [dites sensibles] sont publiées, cet exploitant doit, sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, (…) vérifier (…), si l’inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche”.

  Pour lire la décision de la Cour de justice de l’Union européenne