Le déréférencement au-delà du territoire de l’Union européenne n’est pas automatique

Le 27 mars 2020, le Conseil d’État a annulé la sanction imposée par la CNIL à Google pour refus de procéder à un déréférencement de portée mondiale. Le Conseil d’État a relevé qu’aucune disposition légale ne permettait d’ordonner un déréférencement en dehors de l’Union européenne, et qu’une telle injonction aurait nécessité "une mise en balance entre (…) le droit de la personne concernée au respect de sa vie privée et à la protection des données à caractère personnel la concernant et (…) le droit à la liberté d’information".

Pour lire l’arrêt du Conseil d’État

La CNIL publie des bonnes pratiques sur le « Bring Your Own Device » (BYOD)

Le 24 mars 2020, la CNIL a rappelé que l’utilisation d’outils personnels par des employés relevait d’un choix de l’employeur et que ce dernier restait "responsable de la sécurité des données personnelles de son entreprise, y compris lorsqu’elles sont stockées sur des terminaux dont il n’a pas la maîtrise physique ou juridique". La CNIL a proposé des mesures visant à sécuriser les appareils et à garantir le respect de la vie privée de leur utilisateur.

Pour lire les recommandations de la CNIL

La CNIL publie des fiches explicatives relatives à des outils de mise en conformité

Le 7 février 2020, la CNIL a publié des guides dédiés aux codes de conduite et aux règles d’entreprise contraignantes (BCR). Ces guides décrivent la finalité, le contenu et le processus de mise en place de ces outils de conformité. La CNIL a par ailleurs ouvert un téléservice permettant aux organismes de lui soumettre leurs projets de BCR.

Pour lire le communiqué de la CNIL

Publication de deux mises en demeure concernant les compteurs communicants

Le 11 février 2020, la CNIL a publié deux délibérations mettant en demeure des sociétés de fourniture d’énergie pour non-respect de la réglementation applicable en matière de protection des données personnelles concernant les compteurs communicants. La CNIL a relevé des manquements relatifs aux modalités de recueil du consentement et aux durées de conservation des données. Les sociétés ont trois mois pour se mettre en conformité.

Pour lire le communiqué de la CNIL

Le RGPD s’applique au Royaume-Uni jusqu’au 31 décembre 2020

Le 31 janvier 2020, la CNIL a indiqué, à l’occasion du Brexit, qu’“en application de l’accord de retrait, les dispositions du Règlement Général sur la Protection des Données continueront d’être applicables au Royaume-Uni jusqu’au 31 décembre 2020”. Jusqu’à cette date, aucune formalité additionnelle n’est donc requise pour les organismes établis en France ou au Royaume-Uni.

 Pour lire le communiqué de la CNIL

La CNIL surveille la création d’un fichier sur les impayés

Le 24 janvier 2020, la CNIL a publié un communiqué relatif au projet de création d’un fichier des incidents de paiement dans le secteur du logement locatif par la Fédération Nationale de l’Immobilier (FNAIM).  La CNIL indique ainsi avoir adressé à la FNAIM un courrier afin “d’être en mesure d’apprécier si les garanties concrètement apportées aux locataires sont suffisantes au regard des exigences” de la réglementation applicable en matière de protection des données personnelles.

Pour lire le communiqué de la CNIL

La CNIL rend un avis défavorable sur l’expérimentation de la reconnaissance faciale à l’entrée de deux lycées

Le 29 octobre 2019, la CNIL a annoncé avoir rendu un avis défavorable sur l’expérimentation de la reconnaissance faciale à l’entrée de deux lycées menée par la région PACA. La CNIL a considéré que le dispositif n’apparaissait ni nécessaire, ni proportionné pour atteindre les objectifs de sécurisation et de fluidification des entrées, relevant notamment que ces finalités pouvaient être atteintes “par des moyens bien moins intrusifs en termes de vie privée et de libertés individuelles, comme par exemple un contrôle par badge”.

  Pour lire la publication de la CNIL

La CNIL publie une liste des traitements qui ne requièrent pas d’analyse d’impact

Par une délibération du 12 septembre 2019, la CNIL a publié une liste non exhaustive d'opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données n’est pas requise. Sont notamment concernés, les traitements mis en œuvre à des fins de ressources humaines pour la gestion du personnel des organismes qui emploient moins de 250 personnes ou encore des traitements ayant pour finalité la gestion des relations fournisseurs.

  Pour lire la délibération de la CNIL

Le Conseil d’État valide les lignes directrices de la CNIL en matière de cookies

Par un arrêt du 16 octobre 2019, le Conseil d’État a rejeté le recours formé contre la délibération de la CNIL valant adoption de nouvelles lignes directrices en matière de cookies qui soumet à une concertation les modalités pratiques d’expression du consentement en matière de publicité ciblée et octroie une période d’adaptation de douze mois pour s’y conformer. Il a ainsi été jugé que ces mesures permettaient un respect effectif de la réglementation applicable en matière de protection des données personnelles.

 Pour lire la décision du Conseil d’État

La CNIL publie un guide pour les collectivités territoriales

Le 18 septembre 2019, la CNIL a publié un « guide de sensibilisation au RGPD » pour les collectivités territoriales dans le but de les accompagner dans leur mise en conformité à la réglementation en matière de protection des données personnelles. Destiné prioritairement aux communes de petite et moyenne taille, ce guide explique les enjeux du RGPD avant de décrire les piliers d’une politique de conformité et de fournir des conseils pratiques.

  Pour lire le guide de la CNIL