Consultation publique de la CNIL sur des projets de référentiels relatifs à la gestion commerciale et aux impayés

La CNIL a annoncé le 29 novembre 2018 le lancement d’une consultation publique sur deux projets de référentiels destinés à actualiser les normes et autorisations uniques antérieures à l’entrée en vigueur du RGPD pour accompagner les organismes dans leur mise en conformité. Le premier projet "encadre la mise en œuvre de fichiers "clients" et "prospects"" à l’exclusion des "traitements établis par les établissements de santé ou d’éducation, les établissements bancaires ou assimilés, les entreprises d'assurances et les opérateurs soumis à l’agrément de l’Autorité de régulation des jeux en ligne". Le second projet "encadre la mise en œuvre par les organismes de droit privé ou public d’un traitement de gestion d’impayés avérés" à l’exclusion des "traitements visant à détecter un risque d’impayé ou à recenser des manquements autres que pécuniaires". La CNIL invite toute personne concernée à présenter ses observations sur ces sujets avant le 11 janvier 2019 et à "illustrer [ses] réponses avec des exemples concrets".

Pour lire le communiqué de presse de la CNIL

Adoption de la liste des traitements pour lesquels l’analyse d’impact relative à la protection des données est obligatoire

La CNIL a adopté le 11 octobre 2018 la liste définitive prévoyant "quatorze types d’opérations de traitement pour lesquelles elle estime obligatoire de réaliser une analyse d’impact relative à la protection des données " (AIPD). Il ne s’agit pas d’une liste exhaustive puisque "des traitements qui n’y figurent pas peuvent néanmoins devoir faire l’objet d’une AIPD", notamment lorsqu’ils sont "susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques au regard des 9 critères issus des lignes directrices du G29". L’adoption d’une liste prévoyant les traitements pour lesquels aucune AIPD n’est cette fois-ci requise est également attendue.

Pour lire le communiqué de presse de la CNIL et la délibération portant adoption de la liste des types d’opérations nécessitant une AIPD

Mise en demeure d’une société de ciblage publicitaire via des applications mobiles par la Présidente de la CNIL

Le 8 octobre 2018, la Présidente de la CNIL a mis en demeure une société qui a pour activité "d’afficher des publicités pour le compte d’annonceurs, sur les ordiphones de personnes dont le profil est déterminé à partir de leurs données de géolocalisation" et de "mesurer les visites des mobinautes dans les points de vente de ses clients" de se conformer à la loi Informatique et Libertés dans un délai de trois mois. En effet, la Présidente de la CNIL a constaté en particulier que la société manquait à son obligation de disposer d’une base légale pour la mise en œuvre du traitement, puisqu’elle indiquait qu’il s’agissait  du consentement des personnes concernées, or il ressortait du contrôle opéré par la délégation de la CNIL que "les personnes [n’étaient] pas informées de la collecte de leurs données de géolocalisation via le SDK à des fins de profilage des utilisateurs et de ciblage publicitaire" et qu’elles ne fournissaient un consentement ni spécifique puisque seulement global, ni univoque puisqu’il ne leur était pas proposé "clairement de refuser la collecte et le traitement de [leurs] données à caractère personnel".

Pour lire la décision de la Présidente de la CNIL

Le Conseil d’Etat valide le fichier « Titres électroniques sécurisés »

Par un arrêt du 18 octobre 2018, le Conseil d’Etat a rejeté la demande d’annulation pour excès de pouvoir qui avait été introduite à l’encontre du décret du 28 octobre 2016 autorisant la création d’un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d’identité. Le Conseil a considéré que "la collecte des images numérisées du visage et des empreintes digitales des titulaires de passeports ou de cartes nationales d'identité, sans que soit requis le consentement mentionné à l'article 6 de la loi du 6 janvier 1978, et la centralisation de leur traitement informatisé, compte tenu des restrictions et précautions dont ce traitement est assorti, sont en adéquation avec les finalités légitimes du traitement ainsi institué et ne portent pas au droit des individus au respect de leur vie privée une atteinte disproportionnée aux buts de protection de l'ordre public en vue desquels ce traitement a été créé".

Pour lire l’arrêt sur Légifrance

Service de coffre-fort numérique : conditions de récupération des données stockées

Un décret du 5 octobre 2018 pris en application de l’article L. 103 du Code des postes et des communications électroniques qui définit le service de coffre-fort numérique est venu préciser les conditions de récupération des documents et données stockés par un tel service. Il prévoit la possibilité pour l’utilisateur de récupérer ses documents et données "par voie de communication électronique, et par une requête unique, de façon simple et sans manipulation complexe ou répétitive" et "dans un format électronique ouvert, structuré, couramment utilisé, aisément réutilisable et exploitable par un système de traitement automatisé de données, sauf dans le cas des documents initialement déposés dans un format non ouvert qui peuvent être restitués dans leur format d’origine". Le fournisseur du service devra prendre "toutes les mesures nécessaires, notamment en termes de protocoles de communication et d’interfaces de programmation, afin que l’opération de récupération s’effectue de façon complète, intègre et dans un délai raisonnable”. Le texte entrera en vigueur le 1er janvier 2019.

Pour lire le décret sur Légifrance

La graphie en lettres majuscules de la particule d’un patronyme n’entache pas d’inexactitude les données personnelles de son titulaire

Le Conseil d’Etat était saisi d’une demande d’annulation pour excès de pouvoir de décisions par lesquelles la CNIL avait clôturé la plainte d’un particulier qui reprochait à la société éditrice d’un magazine auquel il était abonné de n’avoir pas donné suite à sa demande de rectification consistant à faire apparaître la particule de son nom de famille en minuscule dans ses fichiers. Dans un arrêt du 3 octobre 2018, le Conseil d’Etat, après avoir rappelé que "lorsque l’auteur de la plainte se fonde sur la méconnaissance des droits qu’il tient (…) notamment du droit de rectification de ses données personnelles, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature des droits individuels en cause, sous l’entier contrôle du juge de l’excès de pouvoir", a considéré que la CNIL n’avait pas méconnu les dispositions sur lesquelles était fondée la plainte en décidant "que la graphie en lettres majuscules de la particule du patronyme [du demandeur] n’entachait pas d’inexactitude ses données personnelles et n’entrainait aucun risque de confusion ou d’erreur sur la personne"

Pour lire l’arrêt du Conseil d’Etat

La CNIL rappelle qu’est exclue la mise en œuvre d’un système biométrique destiné à contrôler les horaires de salariés

Une société spécialisée dans la télésurveillance d’ascenseurs et de parkings s’est vue condamnée par la CNIL, le 6 septembre 2018, à la somme de 10 000 euros notamment pour avoir eu recours à un "dispositif de pointage biométrique à des fins de contrôle des horaires de salariés" sans autorisation. La CNIL a ainsi rappelé que les données biométriques ayant la particularité d’être "uniques et permettant donc d’identifier un individu à partir de ses caractéristiques physiques ou biologiques (…), elles bénéficient d’un régime particulièrement protecteur" et qu’elle exclut depuis 2012 l’utilisation de tels dispositifs à des fins de gestion des horaires des salariés. Il a ainsi été considéré que la société avait "procédé à une collecte de données excessives au regard des finalités pour lesquelles elles étaient collectées".

Pour lire la décision de la CNIL

L’accès aux données de connexion n’a pas à être limité aux cas d’infractions graves

A la suite d’une plainte déposée pour vol avec violence, la police espagnole avait “saisi le juge d’instruction d’une demande tendant à ordonner à divers fournisseurs de services de communications électroniques la transmission des numéros de téléphone activés [depuis le vol] avec le code relatif à l’identité internationale d’équipement mobile (…) du téléphone (…) volé ainsi que les données à caractère personnel relatives à l’identité civile des titulaires (…) des numéros de téléphone correspondant aux cartes SIM activées avec ce code”. Sur question préjudicielle de la juridiction de renvoi saisie par le Ministère public espagnol après que le juge d’instruction a refusé d’ordonner cette mesure, la CJUE, dans un arrêt du 2 octobre 2018, a considéré que "l’accès d’autorités publiques [à de telles données à caractère personnel] comporte une ingérence dans les droits fondamentaux [des personnes concernées], consacrés [dans] la charte des droits fondamentaux, qui ne présente pas une gravité telle que cet accès devrait être limité, en matière de prévention, de recherche, de détection et de poursuite d’infractions pénales, à la lutte contre la criminalité grave".

Pour lire l’arrêt sur Legalis.net

Sanction de la CNIL pour manquement à l’obligation d’assurer la sécurité et la confidentialité des données

Une association d’utilité publique dont l’objectif est de contribuer au développement de la langue française s’est vue sanctionnée par la CNIL à hauteur de 30 000 euros le 6 septembre 2018, pour avoir manqué à son obligation en tant que "responsable du traitement (…) de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès". Il lui était reproché un incident de sécurité qui avait permis l’accès à des documents contenant des données à caractère personnel de personnes suivant les cours de français qu’elle dispense, à partir de la seule modification d’adresses URL.

Pour lire la décision de la CNIL

Consultation publique de la CNIL sur le projet relatif au règlement type « Biométrie au travail »

D’après le RGPD entré en vigueur le 25 mai 2018, les traitements portant sur des données biométriques sont prohibés, exception faite, entre autres, des traitements “nécessaires aux fins de l’exécution des obligations et de l’exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale”. Dans ce cas, la nouvelle Loi Informatique et Libertés prévoit que les employeurs devront se conformer à un règlement type élaboré par la CNIL. Cette dernière a ainsi annoncé le 3 septembre 2018 que son projet de règlement type ferait l’objet d’une consultation publique jusqu’au 1er octobre 2018, avant d’être soumis à l’examen de la séance plénière de la CNIL une fois modifié.

Pour lire le communiqué de la CNIL et son projet de règlement type