La CNIL lance une consultation publique sur deux projets de référentiels

Le 11 avril 2019, la CNIL a annoncé le lancement d’une consultation publique sur les projets de référentiels relatifs aux traitements de données personnelles aux fins de gestion du personnel et destinés à la mise en œuvre d’un dispositif d’alerte professionnelle. Elle entend ainsi guider les organismes “dans leurs démarches de conformité” et “constituer une aide à la réalisation d’une analyse d’impact relative à la protection des données (AIPD) dans les cas où celle-ci est nécessaire. La CNIL adoptera le document final sur la base des observations recueillies.

Pour lire le communiqué de presse de la CNIL

Le Conseil d’Etat précise la notion de motif légitime invoqué à l’appui d’une demande d’opposition à l’enregistrement et à la conservation de données

Un inspecteur d’académie avait rejeté l’opposition, formée par la mère de deux élèves, à l’enregistrement et la conservation des données personnelles de ses enfants dans deux bases de données. Par un arrêt du 18 mars 2019, le Conseil d’Etat a rejeté le recours de la requérante, précisant que ce droit d’opposition était “subordonné à l'existence de raisons légitimes tenant de manière prépondérante à sa situation particulière”. Il a ainsi approuvé la Cour administrative d’appel qui avait relevé que “pour faire opposition au traitement des données concernant ses enfants, [la requérante] se bornait à invoquer des craintes d'ordre général (…) sans faire état de considérations qui lui seraient propres ou seraient propres à ses enfants”.

Pour lire l’arrêt sur Légifrance

Une banque française enjointe d’effacer les données de son client transmises par erreur à l’administration fiscale américaine

Une banque française avait transmis, par erreur, les données d’un de ses clients à l’administration fiscale américaine en application de la règlementation américaine FATCA (Foreign Account Tax Compliance Act). Afin de mettre en œuvre cette règlementation, les autorités françaises et américaines ont en effet conclu un accord imposant aux établissement bancaires français de déclarer à l’administration fiscale américaine les informations relatives à leurs clients soumis au droit fiscal américain. Par un arrêt du 12 mars 2019, la Cour d’appel de Grenoble a confirmé l’ordonnance de référé qui avait ordonné à la banque française auteure de cette erreur de procéder à “l’effacement total de toutes informations personnelles [du client] du traitement opéré en France dans le cadre de FATCA” et de “faire toutes diligences à ses frais auprès des autorités fiscales des Etats-Unis afin qu’elles procèdent à l’effacement total de ses déclarations FATCA impliquant à tort” le client.

Pour lire l’arrêt sur Legalis.net

Sweep Day 2018 : la CNIL publie ses observations à l’issue de l’audit réalisé dans le secteur des prestataires de services en informatique

Dans le cadre des travaux d’audit du Global Privacy Enforcement Network, qui rassemble plusieurs autorités de protection des données européennes, et dont le thème 2018 était la "responsabilisation des acteurs en matière de protection données personnelles", la CNIL a audité les pratiques mises en œuvre dans le secteur des prestataires de services en informatique. Le 5 mars 2019, elle a fait part de ses observations, parmi lesquelles les bonnes pratiques mises en œuvre par les entreprises de ce secteur telles que des "actions de sensibilisation de leurs salariés à la protection des données", l’étude de "leur qualité de sous-traitant ou de co-responsable de traitement" ou encore la prise en compte "de la protection des données dès la phase de conception dans leurs méthodologies de projet". La CNIL identifie également "des marges de progression" devant "impérativement être accomplis pour respecter les exigences du nouveau cadre juridique".

Pour lire le communiqué de la CNIL

La CNIL clôture cinq mises en demeure à l’encontre de sociétés d’assurance

Par une décision du 19 février 2019, la CNIL a clôturé cinq mises en demeure prononcées en septembre 2018 à l’encontre de sociétés d’assurances pour détournement de finalités en raison de l’utilisation des données personnelles de leurs assurés. Elles avaient collecté ces données, dans le cadre de leur mission générale de mise en œuvre des régimes de retraite complémentaire, à des fins de prospection commerciale. La CNIL a constaté la mise en conformité avec le RGPD de ces sociétés en relevant que "les sociétés [avaient] modifié leur système informatique afin que les données en lien avec la retraite ne soient plus connues ni utilisées par les services en charge de l’assurance" et avaient "supprimé l’intégralité des données illégalement acquises par ce biais".

Pour lire le communiqué de presse de la CNIL

La CNIL clôture une mise en demeure à l’encontre d’une société de ciblage publicitaire

Par une décision du 25 février 2019, la CNIL a clôturé une mise en demeure prononcée en octobre 2018 à l’encontre d’une société de ciblage publicitaire à laquelle elle reprochait la collecte de données de géolocalisation, sans le consentement des personnes concernées, à des fins de ciblage publicitaire. Selon la CNIL, la société a développé une "nouvelle présentation de la fenêtre contextuelle permettant le recueil du consentement des applications [des] partenaires, intégrant désormais une présentation de chaque finalité en premier niveau d’information, accompagnée d’un bouton activable par l’utilisateur pour exprimer son consentement". Elle a ainsi relevé que "les modèles de fenêtre contextuelle permett[aient] de recueillir un consentement informé, spécifique et univoque des personnes à des fins de publicité géolocalisée" conformément au RGPD.

Pour lire la décision de la CNIL

La CNIL précise les conséquences d’un éventuel “Brexit sans accord” sur les transferts de données personnelles vers le Royaume-Uni

Le 20 février 2019, la CNIL a publié une série de questions-réponses précisant les recommandations à suivre en cas de sortie du Royaume-Uni de l’Union Européenne (UE) sans accord encadrant ce retrait. La CNIL précise que, dans cette hypothèse, à partir du 30 mars 2019, date de sortie prévue, le Royaume-Uni sera alors considéré comme un pays tiers, de sorte que les flux de données vers ce territoire devront être qualifiés de “transfert[s] de données hors de l’UE et de l’Espace Économique Européen (EEE)” au sens des articles 44 et suivants du RGPD. En conséquence, la CNIL invite les organismes concernés à envisager la mise en œuvre des mécanismes de conformité appropriées pour de tels transferts.

Pour lire les questions-réponses de la CNIL

La CNIL prononce à l’encontre de Google une sanction record de 50 millions d’euros

Google s’est vu sanctionner par la CNIL à hauteur de 50 millions d’euros, le 21 janvier 2019, en raison de manquements à ses obligations de transparence, d’information et de recueil d’un consentement valable en matière de publicité ciblée. La CNIL lui reproche notamment "un défaut global d’accessibilité des informations délivrées" ne permettant pas aux utilisateurs d’être en mesure de comprendre l’ampleur des traitements mis en œuvre par Google, "particulièrement massifs et intrusifs". Au regard des finalités des traitements mis en œuvre par Google (notamment la publicité ciblée), la CNIL considère que le consentement recueilli n’est pas "libre, spécifique, éclairé et univoque". La CNIL rappelle que cette décision est notamment motivée par l’"ampleur des traitements déployés", et qu’au vu des "avantages [que Google] retire de ces traitements, la société doit apporter une attention toute particulière à la responsabilité qui lui incombe au titre du RGPD dans leur mise en œuvre".

Pour lire la délibération de la CNIL

La Commission européenne adopte une décision d’adéquation relative au système japonais de protection des données personnelles

Par cette décision adoptée le 23 janvier 2019, la Commission européenne ouvre la voie au transfert sécurisé de données personnelles entre le Japon et l’Union européenne. Le Japon a en effet mis en place des garanties supplémentaires, notamment un ensemble de règles permettant de réduire les différences entre les deux systèmes de protection ainsi qu’un mécanisme de traitement des plaintes des Européens concernant l’accès à leurs données par les autorités japonaises. Cette décision d’adéquation assure aux responsables de traitement "que les données transférées de l'Union vers le Japon bénéficient de garanties de protection conformes aux normes européennes". Tout comme la décision japonaise équivalente, elle est entrée en application ce 23 janvier 2019. Un premier réexamen conjoint aura lieu dans deux ans, afin de s’assurer du fonctionnement de ce cadre.

Pour lire le communiqué de presse de la Commission européenne

Sanction d’une société de VTC pour manquement à son obligation d’assurer la sécurité des données

Une société de VTC s’est vue sanctionner par la CNIL à hauteur de 400 000 euros le 19 décembre 2018, pour avoir manqué à son obligation, en tant que responsable de traitement, "de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès". Il lui était reproché un "manque de précautions généralisé" dès lors qu’elle n’avait pas mis en place "certaines mesures élémentaires de sécurité" telles qu’une "mesure d’authentification multifactorielle" ou un "filtrage des adresses IP" afin d’"éviter toute connexion illicite, en sécurisant les échanges de données".

  Pour lire la décision de la CNIL