Validation par le Conseil d’Etat d’une sanction prononcée par la CNIL

Par une décision du 6 juin 2018, le Conseil d’Etat a validé la sanction pécuniaire de 25 000 € que la CNIL avait prononcée à l’encontre d’une société notamment pour manquement à son obligation d’information et de mise en œuvre d’un mécanisme d’opposition au dépôt de cookies sur les appareils des utilisateurs. Il a en effet relevé que “les éléments portés à la connaissance des utilisateurs du site (…) ne leur permettaient ni de différencier clairement les catégories de « cookies » susceptibles d’être déposés sur leur terminal, ni de s’opposer seulement à ceux dont le dépôt est soumis à leur consentement préalable, ni de connaître les conséquences, en termes de navigation sur le site, attachées à leur éventuelle opposition”.

Pour lire la décision du Conseil d’Etat

La CNIL prononce une sanction de 250.000 euros pour atteinte à la sécurité des données

Le 7 mai 2018, la CNIL a sanctionné une société sur le site internet de laquelle il était possible de consulter diverses factures contenant des données à caractère personnel en modifiant simplement l’identifiant desdites factures dans les adresses URL affichées dans la barre du navigateur. La CNIL a constaté un manquement à l'article 34 de la loi Informatique et Libertés relatif à l'obligation de sécurité des données personnelles, après avoir relevé que le site internet n’intégrait aucune fonctionnalité permettant de vérifier que le client s'était authentifié avant de pouvoir accéder à ces documents et constate. Elle a également souligné que "les risques liés à la divulgation de données personnelles ne sauraient être limités à une indexation de ces dernières par les moteurs de recherche ou à l’accès à l’espace client et à la modification de documents" mais comprennent aussi des "risques multiples parmi lesquels figure celui de faire l’objet d’un hameçonnage ciblé". Elle a ainsi condamné la société à une sanction pécuniaire de 250.000 euros.

Pour lire la délibération de la CNIL

Rapport d’activité de la CNIL pour l’année 2017

Le 10 avril 2018, la CNIL a présenté le bilan de son activité 2017 et notamment des contrôles menés auprès de divers organismes. Elle est revenue à cette occasion sur l’opération d’audit international coordonnée, menée lors du “Sweep Day” par 24 autorités de protection des données et au cours de laquelle elle s’est concentrée, au niveau national, “sur 49 sites web et applications mobiles dans les domaines du “voyage” et de la “vente en ligne””, faisant apparaitre, pour plus de 80% d’entre eux, une insuffisance de l’information relative à “la nature des données transmises à des tiers”, à “l’identité de ces derniers”, aux “modalités de stockage des données” et aux “mesures prises pour en garantir la sécurité et la confidentialité”.

Pour lire le rapport d’activité de la CNIL

Mise en demeure pour manquement à l’obligation de recueillir le consentement

Par une décision du 5 mars 2018, la CNIL a mis en demeure un fournisseur d’énergie de se conformer à la Loi informatique et libertés, après avoir constaté un manquement à son obligation de recueillir le consentement des consommateurs à la collecte de leurs données de consommation issues de compteurs communicants. La CNIL a constaté l’absence de consentement libre, éclairé et spécifique pour la collecte des données relatives aux consommations au pas de trente minutes, avant de relever que “le consentement exprès des clients et futurs clients n’[était] recueilli à aucun stade” s’agissant des données relatives à leurs consommations quotidiennes. La société dispose d’un délai de 3 mois pour satisfaire à cette mise en demeure.

Pour lire la décision de la CNIL

Examen d’une application mobile de sécurité par la CNIL

La CNIL, réunie en séance plénière, a examiné le 15 mars 2018 un projet de la ville de Nice consistant en la mise en place d’une application permettant aux utilisateurs de signaler à la police municipale des incivilités graves ou des “‘situations critiques’ (…) en transmettant en direct aucentre de supervision urbain’ la localisation géographique (…) accompagnée d’un enregistrement vidéo et sonore”. La Commission a indiqué qu’“au regard des risques élevés de surveillance des personnes et d’atteinte à la vie privée qui pourraient résulter d’un usage non maîtrisé d’un tel dispositif, (…) il était hautement souhaitable qu’un tel dispositif fasse l’objet d’un encadrement législatif spécifique” et a par ailleurs conclu que “la proportionnalité du dispositif (…) n’était en l’état pas garantie”.

Pour lire l’article de la CNIL

Mise en demeure d’un établissement public pour manquement à l’obligation de sécurité des données

Par une décision du 8 février 2018, la CNIL a mis la Caisse Nationale d’Assurance Maladie des Travailleurs Salariés (CNAMTS) en demeure de se conformer à la Loi informatique et libertés, après avoir relevé qu’elle ne respectait pas son article 34 sur la sécurité et la confidentialité des données. La CNIL reproche à la CNAMTS de “multiples insuffisances” à ce titre, en ce qui concerne notamment “la pseudonymisation des données, les procédures de sauvegarde, l’accès aux données par les utilisateurs […] et par des prestataires, la sécurité des postes de travail des utilisateurs”. Elle dispose d’un délai de 3 mois pour satisfaire à cette mise en demeure.

Pour lire la décision de la CNIL

Publication par la CNIL d’un guide sur la sécurité des données personnelles

Le 23 janvier 2018, la CNIL a annoncé avoir publié un guide pour rappeler aux responsables de traitement et sous-traitants "les précautions élémentaires à mettre en œuvre de façon systématique" dans le cadre d’une gestion des risques. À ce titre, la CNIL recommande de "recenser les traitements de données à caractère personnel", "apprécier les risques engendrés par chaque traitement", "mettre en œuvre et vérifier les mesures prévues" et enfin de "faire réaliser des audits de sécurité périodiques".

Pour lire le communiqué et le guide de la CNIL

Sanction par la CNIL d’un responsable de traitement pour manquement à l’obligation de sécurité

Dans une délibération du 8 janvier 2018, la formation restreinte de la CNIL a prononcé à l’encontre d’une société spécialisée dans la vente d’appareils électroménagers une sanction pécuniaire de 100 000 euros et la publicité de sa décision pour manquement à l’obligation d’assurer la sécurité des données de clients, après l’avoir qualifiée de responsable de traitement au motif notamment que si le traitement était mis en œuvre par un sous-traitant, il avait une “finalité unique de suivi des demandes de service après-vente adressées à cette société”.

Pour lire la délibération de la CNIL

Non-conformité de dispositifs de géolocalisation installés dans des véhicules de salariés

Une société sollicitait l’annulation pour excès de pouvoir d’une décision par laquelle la CNIL l’avait mise en demeure de cesser l’usage de données issues des dispositifs de géolocalisation installés sur les véhicules de ses salariés afin de contrôler leurs temps de travail. Dans un arrêt du 15 décembre 2017, le Conseil d’État a rejeté sa demande, considérant que "l’utilisation par un employeur d’un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace que la géolocalisation", et estimant qu’en l’espèce elle disposait bien d’autres moyens pour ce faire.

Pour lire l’arrêt sur Légifrance

Mise en demeure d’une société par la CNIL pour absence de base légale du traitement mis en œuvre

Suite à une décision rendue par sa Présidente en 2016, une délégation de la CNIL a procédé à trois contrôles en ligne d’une société américaine exploitant une application mobile en France. Dans une décision du 27 novembre 2017, elle l’a mise en demeure de se conformer à la loi Informatique et Libertés après avoir constaté plusieurs manquements, notamment une absence de base légale pour la  transmission aux "sociétés de la famille Facebook" des données des utilisateurs, le consentement de ces derniers ne pouvant être considéré comme "valablement recueilli par la société, faute d’être libre et spécifique".

Pour lire la décision de la CNIL