Les dispositions relatives à la communication des données de connexion aux agents de douanes sont contraires à la Constitution

Par une décision du 15 février 2019, le Conseil constitutionnel a déclaré contraire à la Constitution le i du 1° de l’article 65 du code des douanes. Ses dispositions prévoyaient la possibilité pour certains agents des douanes d’exiger la communication des données de connexion détenues par des opérateurs de communications électroniques, les fournisseurs d’accès ou les hébergeurs de contenu. Pour le Conseil, "le législateur n'a pas entouré la procédure prévue par les dispositions contestées de garanties propres à assurer une conciliation équilibrée entre, d'une part, le droit au respect de la vie privée et, d'autre part, la prévention des atteintes à l'ordre public et la recherche des auteurs d'infractions".

Pour lire la décision du Conseil constitutionnel

La Cour d’appel enjoint au service des greffes de communiquer une décision de justice

Une société éditrice d’un moteur de recherches et d’une plateforme d’information juridique avait demandé au greffe de la Cour d’appel de Douai la communication d’un arrêt. Par un arrêt du 21 janvier 2019, la Cour d’appel de Douai a enjoint au Directeur des services de greffe judiciaire  de communiquer la décision au requérant, sous forme papier ou numérique. Elle a  précisé que "la décision sollicitée a[vait] été rendue publiquement, - que le caractère public du jugement conf[érait] aux tiers le droit de s’en faire délivrer une copie par le greffe de la juridiction, - que le refus [pouvait] être justifié par un souci de bonne administration de la justice et de la protection des données à caractère personnel, s’agissant du traitement de masse". Elle a ensuite constaté l’absence "de raison juridique permettant de s’opposer à la communication de la décision sollicitée".

Arrêt non publié

Licenciement pour faute grave d’un salarié ayant extrait le fichier client situé sur l’espace collaboratif sécurisé de son entreprise vers sa messagerie personnelle

Un salarié du secteur des assurances avait été licencié par son employeur pour faute lourde pour avoir extrait depuis l’espace collaboratif sécurisé de l’entreprise un fichier contenant les données personnelles d’environ 112.000 adhérents avant de le télécharger via un lien Google Drive pour y accéder depuis sa messagerie personnelle. Par un arrêt du 4 février 2019, la Cour d’appel de Limoges a infirmé le jugement ayant déclaré le licenciement sans cause réelle et sérieuse. Elle a jugé le licenciement fondé sur une faute grave aux motifs que "les seuls manquements commis par le salarié aux règles de sécurité (…) justifi[ai]ent la mesure de licenciement prononcée (…), même si en l'absence de justification de toute intention de nuire à l'employeur, il y a[vait] lieu à requalification du licenciement prononcé pour faute lourde en licenciement pour faute grave, la nature de la transgression interdisant le maintien de la relation contractuelle".

 Arrêt non publié

La CNIL et la DGCCRF signent un nouveau protocole de coopération sur les données personnelles

Le 31 janvier 2019, la CNIL et la DGCCRF ont signé un protocole de coopération visant notamment à “sensibiliser les consommateurs aux risques encourus lors de la communication de leurs données personnelles et diffuser les bonnes pratiques mises en œuvre par les professionnels, faciliter l’échange d’informations relatives au non-respect du droit de la consommation et de la protection des données personnelles des consommateurs  [et] réaliser des contrôles communs”. Elles s’engagent en outre “à porter conjointement des propositions d’actions au niveau européen”.

Pour lire le communiqué de presse de la DGCCRF

Des députés déposent une proposition de loi visant à interdire l’usage des données personnelles collectées par les objets connectés dans le domaine des assurances

Le 23 janvier 2019, a été déposée à l’Assemblée nationale une proposition de loi visant à interdire l’usage des données personnelles collectées par les objets connectés dans le domaine des assurances. Cette proposition de loi interdit la segmentation au profit d’un assuré qui accepterait d’acquérir ou d’utiliser un capteur de santé ou de partager les données collectées au moyen de ce capteur. Elle interdit en outre “le traitement de données à caractère personnel récoltées par un capteur de santé, relatives au mode de vie ou à l’état de santé du preneur d’un produit répondant aux définitions contenues dans le code des assurances ou du code de la mutualité” .

Pour lire la proposition de loi sur le site de l’Assemblée nationale

La CNIL prononce à l’encontre de Google une sanction record de 50 millions d’euros

Google s’est vu sanctionner par la CNIL à hauteur de 50 millions d’euros, le 21 janvier 2019, en raison de manquements à ses obligations de transparence, d’information et de recueil d’un consentement valable en matière de publicité ciblée. La CNIL lui reproche notamment "un défaut global d’accessibilité des informations délivrées" ne permettant pas aux utilisateurs d’être en mesure de comprendre l’ampleur des traitements mis en œuvre par Google, "particulièrement massifs et intrusifs". Au regard des finalités des traitements mis en œuvre par Google (notamment la publicité ciblée), la CNIL considère que le consentement recueilli n’est pas "libre, spécifique, éclairé et univoque". La CNIL rappelle que cette décision est notamment motivée par l’"ampleur des traitements déployés", et qu’au vu des "avantages [que Google] retire de ces traitements, la société doit apporter une attention toute particulière à la responsabilité qui lui incombe au titre du RGPD dans leur mise en œuvre".

Pour lire la délibération de la CNIL

La Commission européenne adopte une décision d’adéquation relative au système japonais de protection des données personnelles

Par cette décision adoptée le 23 janvier 2019, la Commission européenne ouvre la voie au transfert sécurisé de données personnelles entre le Japon et l’Union européenne. Le Japon a en effet mis en place des garanties supplémentaires, notamment un ensemble de règles permettant de réduire les différences entre les deux systèmes de protection ainsi qu’un mécanisme de traitement des plaintes des Européens concernant l’accès à leurs données par les autorités japonaises. Cette décision d’adéquation assure aux responsables de traitement "que les données transférées de l'Union vers le Japon bénéficient de garanties de protection conformes aux normes européennes". Tout comme la décision japonaise équivalente, elle est entrée en application ce 23 janvier 2019. Un premier réexamen conjoint aura lieu dans deux ans, afin de s’assurer du fonctionnement de ce cadre.

Pour lire le communiqué de presse de la Commission européenne

La Cour de cassation rappelle les conditions de la géolocalisation des salariés

Dans un arrêt du 19 décembre 2018, la Cour de cassation a rappelé que selon l’article L.1121-1 du code du travail, "nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché". Un syndicat de postiers contestait la licéité d’un système de géolocalisation enregistrant "la localisation des distributeurs toutes les dix secondes au moyen d’un boîtier mobile que les distributeurs portent sur eux lors de leur tournée et qu’ils activent eux-mêmes". La Cour a souligné que l’utilisation d’un tel moyen de contrôle de la durée du travail n’était licite que s’il ne pouvait être opéré par un autre moyen, "fût-il moins efficace que la géolocalisation". Elle a également jugé que le recours à un tel système ne pouvait être justifié "lorsque le salarié dispose d’une liberté dans l’organisation de son travail".

 Pour lire l’arrêt sur Légifrance

Sanction d’une société de VTC pour manquement à son obligation d’assurer la sécurité des données

Une société de VTC s’est vue sanctionner par la CNIL à hauteur de 400 000 euros le 19 décembre 2018, pour avoir manqué à son obligation, en tant que responsable de traitement, "de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès". Il lui était reproché un "manque de précautions généralisé" dès lors qu’elle n’avait pas mis en place "certaines mesures élémentaires de sécurité" telles qu’une "mesure d’authentification multifactorielle" ou un "filtrage des adresses IP" afin d’"éviter toute connexion illicite, en sécurisant les échanges de données".

  Pour lire la décision de la CNIL

Mise à jour de la loi Informatique et Libertés pour conformité au RGPD

Le 13 décembre 2018 a été publiée au Journal Officiel l’ordonnance du 12 décembre 2018 relative à la protection des données personnelles modifiant la loi Informatique et Libertés du 6 janvier 1978. Cela marque la fin de l’étape législative nécessaire à la mise en conformité du droit français avec le RGPD et la directive "police-justice" portant sur les fichiers pénaux. Selon l’avis de la CNIL du 15 novembre 2018, ce texte remplit dans l’ensemble les trois objectifs fixés : apporter "les corrections formelles et les adaptations nécessaires à la simplification et à la cohérence ainsi qu’à la simplicité de la mise en œuvre des dispositions adaptant le droit national au droit de l’Union", "mettre en cohérence avec ces changements l’ensemble de la législation applicable à la protection des données à caractère personnel" et "adapter, étendre ou rendre applicables aux pays et territoires d’outre-mer les nouvelles dispositions de la loi Informatique et Libertés". Le texte de l’ordonnance prévoit qu’elle entrera en vigueur au plus tard le 1er juin 2019.

Pour lire l’ordonnance modifiant la loi de 1978 et l’avis de la CNIL sur ce texte