Une case cochée par défaut ne suffit pas à recueillir le consentement des internautes au placement de cookies

Par un arrêt du 1er octobre 2019, la Cour de justice de l’Union européenne a jugé que le consentement de l’utilisateur d’un site internet au placement de cookies publicitaires ne pouvait être valablement donné au moyen d’une case cochée par défaut que l’utilisateur doit décocher pour refuser de donner son consentement. La Cour a également rappelé que “les informations que le fournisseur de services [devait] donner à l’utilisateur d’un site Internet inclu[aient] la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies”.

Pour lire la décision de la Cour de justice de l’Union européenne

Précisions sur les conditions du droit au déréférencement en matière de données sensibles

Par un arrêt du 24 septembre 2019, la Cour de justice de l’Union européenne a jugé que “lorsque l’exploitant d’un moteur de recherche est saisi d’une demande de déréférencement portant sur un lien vers une page web sur laquelle des données à caractère personnel [dites sensibles] sont publiées, cet exploitant doit, sur la base de tous les éléments pertinents du cas d’espèce et compte tenu de la gravité de l’ingérence dans les droits fondamentaux de la personne concernée au respect de la vie privée et à la protection des données à caractère personnel, (…) vérifier (…), si l’inclusion de ce lien dans la liste de résultats, qui est affichée à la suite d’une recherche effectuée à partir du nom de cette personne, s’avère strictement nécessaire pour protéger la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche”.

  Pour lire la décision de la Cour de justice de l’Union européenne

Le déréférencement opéré par un moteur de recherche doit couvrir l’ensemble du territoire de l’Union européenne

Par un arrêt du 24 septembre 2019, la Cour de justice de l’Union européenne a jugé que  “lorsque l’exploitant d’un moteur de recherche fait droit à une demande de déréférencement (…), il est tenu d’opérer ce déréférencement non pas sur l’ensemble des versions de son moteur, mais sur les versions de celui-ci correspondant à l’ensemble des États membres, et ce, si nécessaire, en combinaison avec des mesures qui, tout en satisfaisant aux exigences légales, permettent effectivement d’empêcher ou, à tout le moins, de sérieusement décourager les internautes effectuant une recherche sur la base du nom de la personne concernée à partir de l’un des États membres  d’avoir accès (…) aux liens qui font l’objet de cette demande”

  Pour lire la décision de la Cour de justice de l’Union européenne

La CNIL publie un guide pour les collectivités territoriales

Le 18 septembre 2019, la CNIL a publié un « guide de sensibilisation au RGPD » pour les collectivités territoriales dans le but de les accompagner dans leur mise en conformité à la réglementation en matière de protection des données personnelles. Destiné prioritairement aux communes de petite et moyenne taille, ce guide explique les enjeux du RGPD avant de décrire les piliers d’une politique de conformité et de fournir des conseils pratiques.

  Pour lire le guide de la CNIL

Un traitement de données illicite constitue un obstacle légitime au prononcé d’une mesure d’instruction

Par une ordonnance du 2 août 2019, le Tribunal de grande instance de Paris a rejeté la demande d’une société de production tendant à ce que soit ordonné à un fournisseur d’accès de communiquer l’identité des propriétaires des adresses IP collectées à partir d’une plateforme de téléchargement illicite. Il a notamment été reproché au demandeur d’avoir procédé à une collecte de données personnelles, en l’occurrence les adresses IP, en violation de la réglementation applicable en matière de données personnelles. Le Tribunal a jugé que le caractère illicite du traitement constituait un « obstacle légitime » au prononcé de la mesure d’instruction.

  Pour lire l’ordonnance sur Legalis.Net

La CNIL sanctionne une société d’intermédiation en assurance

Par une délibération du 18 juillet 2019, la CNIL a prononcé une sanction de 180 000 euros à l’encontre d’une société d’intermédiation en assurance pour atteinte à la sécurité des données de ses clients. La CNIL a constaté un défaut de sécurité et une violation des données relatives aux clients de la société telles que des copies de permis de conduire, des relevés d’identité bancaire ou des données relatives à des infractions commises par les personnes concernées et a condamné la société en raison de l’absence de mesures techniques et organisationnelles appropriées afin de garantir la sécurité des données personnelles traitées, conformément à l’article 32 du RGPD.

  Pour lire la délibération de la CNIL

La CNIL délivre son premier agrément pour la certification des compétences du délégué à la protection des données (DPO)

Par une délibération du 4 juillet 2019, la CNIL a délivré un agrément à une société en application de son référentiel d’agrément en matière de certification des compétences du DPO de septembre 2018. Cet agrément a été délivré pour une durée de 5 ans. A cette occasion, la CNIL a annoncé que ses prochains travaux en matière de certification "concerneront la formation en matière de protection des données personnelles".

  Pour lire le communiqué et la délibération de la CNIL

L’Information Commissioner’s Office (ICO) annonce son intention de sanctionner deux multinationales

Par deux déclarations publiées les 8 et 9 juillet 2019, l’autorité de contrôle pour la protection des données britannique a annoncé son intention de condamner une compagnie aérienne et une chaîne hôtelière pour manquements aux obligations de sécurité issues du RGPD. Ces amendes font suite à des incidents de sécurité ayant conduit à la fuite de centaines de millions de données personnelles concernant les clients des sociétés concernées. Le montant des amendes s’élève à plus de 183 millions et 99 millions de livres.

 Pour lire les déclarations sur le site de l’ICO (en anglais)

La CNIL publie son plan d’action pour l’année 2019-2020

Par un communiqué du 28 juin 2019, la CNIL a détaillé son plan d’action pour l’année 2019-2020 et a notamment exprimé sa volonté de réformer sa politique en matière de ciblage publicitaire pour l’adapter aux nouvelles exigences du RGPD. Elle a ainsi annoncé l’abrogation de sa recommandation sur les cookies de 2013 et la publication, pour la fin de l’année, d’une “nouvelle recommandation proposant des modalités opérationnelles de recueil du consentement”.

  Pour lire le communiqué sur le site de la CNIL

Création d’un traitement automatisé de données personnelles relatif à la gestion des ressources humaines des agents de l’Etat

Par un décret du 19 juin 2019, a été créé un traitement de données ayant pour finalité “d'assurer la gestion administrative, financière et opérationnelle des ressources humaines de chaque administration de l'Etat, établissement public de l'Etat, autorité administrative indépendante, autorité publique indépendante et groupement d'intérêt public (…) ayant décidé d'y recourir”. Ce décret précise également les données traitées, leurs durées de conservation, les catégories de destinataires de ces données ainsi que les modalités d’exercice de leurs droits par les agents.

Pour lire le décret sur Légifrance.