La CNIL a mis en demeure plusieurs entreprises pour utilisation de badgeuses photographiques

Dans un communiqué du 27 août 2020, la CNIL a annoncé avoir mis en demeure plusieurs organismes du secteur privé et du secteur public pour collecte excessive de données en raison de leur utilisation de badgeuses intégrant "une prise de photographie systématique à chaque pointage". La CNIL a notamment indiqué que l’usage de badgeuses photo afin de contrôler les horaires de travail des salariés est contraire au principe de minimisation prévu par le RGPD et n’est pas nécessaire au regard de cette finalité.

Pour lire le communiqué de la CNIL

La CNIL rappelle la législation concernant la « verbalisation par lecture automatisée des plaques d’immatriculation »

Le 25 août 2020, la CNIL a rappelé aux communes qu’en vertu de l’arrêté du 14 avril 2009, le recours à la "verbalisation automatisée reposant sur la photographie du véhicule et de sa plaque d’immatriculation pour la recherche et la constatation d’infractions" est interdit. La CNIL indique qu’un tel dispositif peut être mis en place par les communes dans le cadre du "contrôle du forfait de post-stationnement" mais non pour "l’exercice du pouvoir de police judiciaire par les communes". Les communes ne respectant ce cadre légal ont été mises en demeure.

Pour lire le communiqué de la CNIL

La CNIL adopte un référentiel relatif à l’agrément des organismes de contrôle des codes de conduite

Le 24 juillet 2020, la CNIL a publié un référentiel concernant les organismes chargés du contrôle des codes de conduite. Afin qu’ils puissent obtenir l’agrément leur permettant d’effectuer de tels contrôles, la CNIL indique qu’ils doivent notamment satisfaire à des exigences relatives à l’indépendance, à l’absence de conflit d’intérêts, au niveau d’expertise requis ou au traitement des plaintes. La durée de cet agrément est fixée à cinq ans, renouvelables après "un réexamen de l’éligibilité de l’organisme" par la CNIL.

Pour lire la délibération de la CNIL

Application « StopCovid » : la CNIL met en demeure le Ministère des Solidarités et de la Santé

Le 16 juillet 2020, à la suite de trois contrôles portant sur le traitement des données personnelles dans le cadre de l’application "StopCovid", la CNIL a mis en demeure le Ministère des Solidarités et de la Santé de se conformer au RGPD. La CNIL a notamment constaté des manquements aux obligations "de traiter les données conformément au décret du 29 mai 2020", "d’informer les personnes concernées et d’obtenir [leur consentement]" et "d’encadrer par un acte juridique formalisé les traitements effectués par les sous-traitants".

Pour lire la décision de la CNIL

L’obligation de dépôt des comptes annuels d’une SASU ne porte pas une atteinte disproportionnée aux données personnelles de son président

Le 24 juin 2020, la Cour de cassation a jugé que l’injonction faite au président-associé d’une société de déposer les comptes annuels de celle-ci ne porte pas une atteinte disproportionnée à ses données personnelles dans la mesure où le patrimoine de l’associé, au demeurant distinct de celui de la société, "n’est qu’indirectement et partiellement révélé". La Cour a donc considéré que l’atteinte était "proportionnée au but légitime de détection et de prévention des difficultés des entreprises".

Pour lire l'arrêt sur Légifrance

La CNIL publie un guide « tiers autorisés »

Le 10 juillet 2020, la CNIL a publié un guide pratique à destination des professionnels faisant l’objet de demandes de renseignements ou de documents de la part d’autorités. Afin qu’ils respectent les obligations de sécurité et de confidentialité des données qui leur incombent en tant que responsables de traitement, la CNIL leur recommande de vérifier le fondement légal et le périmètre des demandes ainsi que la qualité de leur émetteur, et d’y répondre de manière sécurisée.

Pour lire le guide et le recueil de procédures

La Cour de justice de l’Union européenne (CJUE) invalide le Privacy Shield

Par arrêt préjudiciel du 16 juillet 2020, la CJUE a invalidé la décision de la Commission européenne ayant constaté l’adéquation de la protection des données personnelles offerte par le Privacy Shield. La CJUE a considéré que les Etats-Unis n’encadraient pas suffisamment l’accès par les autorités américaines aux données transférées et ne conféraient pas aux personnes concernées de droits opposables devant les tribunaux américains. Elle a toutefois considéré que les clauses contractuelles types demeuraient valides.

Pour lire l'arrêt de la CJUE

Une commune enjointe de cesser d’utiliser des caméras thermiques

Par ordonnance du 26 juin 2020, le Conseil d’État a considéré que les données recueillies par caméras thermiques, dès lors qu’elles concernent des personnes identifiables et qu’elles permettent d’apprécier leur état de santé, constituent des données personnelles. Il a donc ordonné à une commune, qui ne démontrait pas l’existence d’un intérêt public important et n’avait pas recueilli le consentement libre, spécifique et éclairé de ses administrés, de mettre fin à leur utilisation.

Pour lire la décision du Conseil d’État

Autorisation d’un traitement de données personnelles pour faciliter la dématérialisation de la procédure pénale

Le décret n°2020-767 du 23 juin 2020 porte création d'un traitement automatisé de données personnelles dénommé "Dossier Pénal Numérique" auquel auront accès les magistrats, agents de greffe, assistants spécialisés et avocats. Il vise à rassembler les données et informations collectées au cours des procédures pénales et doit permettre la numérisation des procédures initialement créées au format papier ainsi que leur dématérialisation native.

Pour lire le décret sur Légifrance

Le fonctionnement du Health Data Hub validé par le Conseil d’État

Le 19 juin 2020, le Conseil d’État, saisi en référé, a jugé que l’arrêté autorisant la Plateforme des données de Santé à recevoir des données relatives à la santé des personnes concernées pour faire face à l’épidémie de Covid-19 dans le cadre de l’état d’urgence sanitaire ne porte pas d’atteinte grave et manifestement illégale au droit au respect de la vie privée et au droit à la protection des données personnelles. Néanmoins, le Health Data Hub devra fournir à la CNIL tous éléments relatifs aux procédés de pseudonymisation utilisés.

Pour lire la décision du Conseil d’État