La graphie en lettres majuscules de la particule d’un patronyme n’entache pas d’inexactitude les données personnelles de son titulaire

Le Conseil d’Etat était saisi d’une demande d’annulation pour excès de pouvoir de décisions par lesquelles la CNIL avait clôturé la plainte d’un particulier qui reprochait à la société éditrice d’un magazine auquel il était abonné de n’avoir pas donné suite à sa demande de rectification consistant à faire apparaître la particule de son nom de famille en minuscule dans ses fichiers. Dans un arrêt du 3 octobre 2018, le Conseil d’Etat, après avoir rappelé que "lorsque l’auteur de la plainte se fonde sur la méconnaissance des droits qu’il tient (…) notamment du droit de rectification de ses données personnelles, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature des droits individuels en cause, sous l’entier contrôle du juge de l’excès de pouvoir", a considéré que la CNIL n’avait pas méconnu les dispositions sur lesquelles était fondée la plainte en décidant "que la graphie en lettres majuscules de la particule du patronyme [du demandeur] n’entachait pas d’inexactitude ses données personnelles et n’entrainait aucun risque de confusion ou d’erreur sur la personne"

Pour lire l’arrêt du Conseil d’Etat

La CNIL rappelle qu’est exclue la mise en œuvre d’un système biométrique destiné à contrôler les horaires de salariés

Une société spécialisée dans la télésurveillance d’ascenseurs et de parkings s’est vue condamnée par la CNIL, le 6 septembre 2018, à la somme de 10 000 euros notamment pour avoir eu recours à un "dispositif de pointage biométrique à des fins de contrôle des horaires de salariés" sans autorisation. La CNIL a ainsi rappelé que les données biométriques ayant la particularité d’être "uniques et permettant donc d’identifier un individu à partir de ses caractéristiques physiques ou biologiques (…), elles bénéficient d’un régime particulièrement protecteur" et qu’elle exclut depuis 2012 l’utilisation de tels dispositifs à des fins de gestion des horaires des salariés. Il a ainsi été considéré que la société avait "procédé à une collecte de données excessives au regard des finalités pour lesquelles elles étaient collectées".

Pour lire la décision de la CNIL

L’accès aux données de connexion n’a pas à être limité aux cas d’infractions graves

A la suite d’une plainte déposée pour vol avec violence, la police espagnole avait “saisi le juge d’instruction d’une demande tendant à ordonner à divers fournisseurs de services de communications électroniques la transmission des numéros de téléphone activés [depuis le vol] avec le code relatif à l’identité internationale d’équipement mobile (…) du téléphone (…) volé ainsi que les données à caractère personnel relatives à l’identité civile des titulaires (…) des numéros de téléphone correspondant aux cartes SIM activées avec ce code”. Sur question préjudicielle de la juridiction de renvoi saisie par le Ministère public espagnol après que le juge d’instruction a refusé d’ordonner cette mesure, la CJUE, dans un arrêt du 2 octobre 2018, a considéré que "l’accès d’autorités publiques [à de telles données à caractère personnel] comporte une ingérence dans les droits fondamentaux [des personnes concernées], consacrés [dans] la charte des droits fondamentaux, qui ne présente pas une gravité telle que cet accès devrait être limité, en matière de prévention, de recherche, de détection et de poursuite d’infractions pénales, à la lutte contre la criminalité grave".

Pour lire l’arrêt sur Legalis.net

Sanction de la CNIL pour manquement à l’obligation d’assurer la sécurité et la confidentialité des données

Une association d’utilité publique dont l’objectif est de contribuer au développement de la langue française s’est vue sanctionnée par la CNIL à hauteur de 30 000 euros le 6 septembre 2018, pour avoir manqué à son obligation en tant que "responsable du traitement (…) de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès". Il lui était reproché un incident de sécurité qui avait permis l’accès à des documents contenant des données à caractère personnel de personnes suivant les cours de français qu’elle dispense, à partir de la seule modification d’adresses URL.

Pour lire la décision de la CNIL

Consultation publique de la CNIL sur le projet relatif au règlement type « Biométrie au travail »

D’après le RGPD entré en vigueur le 25 mai 2018, les traitements portant sur des données biométriques sont prohibés, exception faite, entre autres, des traitements “nécessaires aux fins de l’exécution des obligations et de l’exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale”. Dans ce cas, la nouvelle Loi Informatique et Libertés prévoit que les employeurs devront se conformer à un règlement type élaboré par la CNIL. Cette dernière a ainsi annoncé le 3 septembre 2018 que son projet de règlement type ferait l’objet d’une consultation publique jusqu’au 1er octobre 2018, avant d’être soumis à l’examen de la séance plénière de la CNIL une fois modifié.

Pour lire le communiqué de la CNIL et son projet de règlement type

Prédication de porte-à-porte : la communauté religieuse est responsable du traitement des données des personnes démarchées

Sur saisine de la Cour administrative suprême finlandaise, la CJUE a eu l’occasion, dans un arrêt du 10 juillet 2018, de juger que la notion de “fichier” au sens de la Directive de 1995 sur les données à caractère personnel couvrait bien un “ensemble de données à caractère personnel collectées dans le cadre d’une activité de prédication de porte-à-porte, comportant des noms et des adresses ainsi que d’autres informations concernant les personnes démarchées” et que la communauté religieuse devait être considérée comme responsable de ce traitement conjointement avec ses membres prédicateurs, “sans qu’il soit nécessaire que ladite communauté ait accès aux données ni qu’il doive être établi qu’elle a donné à ses membres des lignes directrices écrites ou des consignes relativement à ces traitements”.

Pour lire l’arrêt sur Legalis.net

Ciblage publicitaire : mise en demeure par la CNIL de deux sociétés du secteur

Suite à des missions de contrôle, la CNIL a, le 25 juin 2018, mis deux sociétés proposant à leurs partenaires des technologies de ciblage publicitaire en demeure, sous un délai de trois mois, de se conformer à la Loi Informatique et Libertés. Elle avait en effet noté qu’aucune d’entre elles ne proposait “aux utilisateurs ayant téléchargé les applications [de leurs] partenaires (…) de mécanisme pour consentir préalablement aux traitements opérés” de sorte qu’elles ne disposaient pas d’une base légale pour la mise en œuvre du traitement. S’agissant en outre de l’une des deux sociétés, la CNIL a relevé qu’elle avait également manqué à son obligation de définir et respecter une durée de conservation proportionnée à la finalité du traitement en conservant les données de géolocalisation des personnes pendant 13 mois, ainsi qu’à son obligation d’assurer la sécurité et la confidentialité des données gérées par Google, hébergeur de la base de données dans laquelle les données collectées étaient stockées.

Pour lire la première et la seconde mises en demeure de la CNIL

Publication du décret d’application de la loi relative à la protection des données personnelles

Le 3 août 2018 a été publié le décret n°2018-687 du 1er août pris en application de la Loi Informatique et Libertés du 6 janvier 1978 telle que modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles. Il achève la mise en conformité au RGPD du droit national en encadrant sa mise en œuvre concrète, précise certaines dispositions de la loi et fixe les délais et procédures applicables aux missions de la CNIL.

Pour lire le décret sur Légifrance

Inscription par erreur d’un client d’une banque dans les fichiers traités dans le cadre de la réglementation FATCA

Dans le cadre du FATCA, qui impose aux banques de déclarer aux autorités fiscales américaines tout client considéré comme contribuable américain, une banque avait déclaré le compte d’un de ses client français né à Ottawa, au Canada. Malgré la demande de rectification formulée par le client sur le fondement de son absence de lien avec les Etats-Unis, la banque s’est limitée à une absence de déclaration pour 2017, refusant de rectifier les informations pour les années antérieures. Par une ordonnance de référé du 4 juillet 2018, le Président du TGI de Grenoble a ordonné l’effacement total des données de son client traitées par erreur dans le cadre de FATCA antérieurement à 2017, estimant que cette erreur lui causait un trouble manifestement illicite et que l’absence de déclaration pour 2017 n’apportait “pas l’assurance que les autorités fiscales des Etats-Unis ne [le] recherchent pas (…) pour les années antérieures”.

Pour lire l’ordonnance de référé sur Legalis.net

Absence d’atteinte à la vie privée par la mise en ligne d’archives de presse

Deux requérants allemands avaient saisi la CEDH pour atteinte à leur vie privée résultant de l’accès via le site internet de trois médias à d’anciens reportages relatifs à leur condamnation pour assassinat en 1993. Par un arrêt du 28 juin 2018, la CEDH a jugé qu’il n’y avait pas eu violation du droit au respect de leur vie privée après avoir relevé que "la disponibilité des reportages litigieux sur les sites web des médias au moment de l’introduction des demandes des requérants contribuait toujours à un débat d’intérêt général que l’écoulement d’un laps de temps de quelques années n’a[vait] pas fait disparaître" et que "l’inclusion dans un reportage d’éléments individualisés, tel le nom complet de la personne visée, constitue un aspect important du travail de la presse (…), et ce d’autant plus lorsqu’il s’agit de reportages sur des procédures pénales ayant suscité un intérêt considérable".

Pour lire l’arrêt de la Cour européenne des droits de l’homme