La CNIL publie un guide pour les collectivités territoriales

Le 18 septembre 2019, la CNIL a publié un « guide de sensibilisation au RGPD » pour les collectivités territoriales dans le but de les accompagner dans leur mise en conformité à la réglementation en matière de protection des données personnelles. Destiné prioritairement aux communes de petite et moyenne taille, ce guide explique les enjeux du RGPD avant de décrire les piliers d’une politique de conformité et de fournir des conseils pratiques.

  Pour lire le guide de la CNIL

Une fiche “Google My Business” ne peut être supprimée sans motif légitime

Par une ordonnance du 11 juillet 2019, le Tribunal de grande instance de Paris, statuant en référé, a rejeté une demande, formulée par une dentiste, tendant à la suppression des données personnelles la concernant reprise par le moteur de recherche dans une fiche Google My Business. Le Tribunal a notamment relevé que le traitement poursuivait “des finalités légitimes au sens [du RGPD], permettant l’accès rapide des internautes à des informations pratiques sur les professionnels de santé” et était nécessaire à la liberté d’expression et d’information, de sorte que la demanderesse ne pouvait exiger l’effacement des données, sauf à invoquer une raison particulière tenant à sa situation.

  Pour lire la décision sur Legalis.net

Un traitement de données illicite constitue un obstacle légitime au prononcé d’une mesure d’instruction

Par une ordonnance du 2 août 2019, le Tribunal de grande instance de Paris a rejeté la demande d’une société de production tendant à ce que soit ordonné à un fournisseur d’accès de communiquer l’identité des propriétaires des adresses IP collectées à partir d’une plateforme de téléchargement illicite. Il a notamment été reproché au demandeur d’avoir procédé à une collecte de données personnelles, en l’occurrence les adresses IP, en violation de la réglementation applicable en matière de données personnelles. Le Tribunal a jugé que le caractère illicite du traitement constituait un « obstacle légitime » au prononcé de la mesure d’instruction.

  Pour lire l’ordonnance sur Legalis.Net

La Federal Trade Commission (FTC) condamne une plateforme de vidéos en ligne à une amende de 170 millions de dollars

Le 4 septembre 2019, une plateforme de vidéos en ligne a trouvé un accord amiable avec la FTC pour le paiement d’une amende record de 170 millions de dollars, pour avoir enfreint des dispositions de la loi Coppa (Children’s Online Privacy Protection Act, 1998), en exposant les enfants à des vidéos inappropriées ou en collectant des données personnelles les concernant, dans un but de ciblage publicitaire, à l’insu de leurs parents.

  Pour lire le communiqué de la FTC

Un site internet ayant inséré un bouton « j’aime » est responsable conjoint du traitement

Par un arrêt du 29 juillet 2019, la Cour de justice de l’Union européenne a jugé, sur question préjudicielle allemande, que le gestionnaire d’un site internet ayant inséré un bouton « j’aime », était responsable conjointement avec le fournisseur du bouton, la société Facebook Ireland, des opérations de collecte et de communication des données des internautes. La Cour a considéré qu’"en insérant un tel module social sur son site Internet, [le gestionnaire] influ[ait], (…), de manière déterminante sur la collecte et la transmission des données à caractère personnel des visiteurs dudit site au profit du fournisseur dudit module, (…), qui, en l’absence de l’insertion dudit module, n’auraient pas lieu".

  Pour lire la décision de la Cour de justice de l’Union européenne

La CNIL sanctionne une société d’intermédiation en assurance

Par une délibération du 18 juillet 2019, la CNIL a prononcé une sanction de 180 000 euros à l’encontre d’une société d’intermédiation en assurance pour atteinte à la sécurité des données de ses clients. La CNIL a constaté un défaut de sécurité et une violation des données relatives aux clients de la société telles que des copies de permis de conduire, des relevés d’identité bancaire ou des données relatives à des infractions commises par les personnes concernées et a condamné la société en raison de l’absence de mesures techniques et organisationnelles appropriées afin de garantir la sécurité des données personnelles traitées, conformément à l’article 32 du RGPD.

  Pour lire la délibération de la CNIL

Publication d’un décret d’application de la loi Informatique et libertés

Le 30 mai 2019, le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés a été publié. Il complète les dispositions de la loi Informatique et libertés telles que modifiées par l’ordonnance du 12 décembre 2018 en modifiant notamment les règles applicables aux contrôles effectués par la CNIL et en précisant les modalités d’exercice de leurs droits par les personnes concernées. Ce décret est entré en vigueur le 1er juin 2019.

Pour lire le décret sur Légifrance

Publication d’un guide de bonnes pratiques à destination des développeurs

Le 13 mai 2019, la CNIL a publié un ensemble de fiches pratiques à destination des développeurs présentant “les bonnes pratiques à appliquer dès la conception, afin d’améliorer la gestion des données et sécuriser leurs programmes”. Ces fiches pratiques portent sur différentes thématiques telles que: le choix des outils de travail, la sécurité au stade du développement, la gestion des codes source et leur qualité, l’intégration de composants tiers tels que les Bibliothèques ou les SDK ainsi que la gestion de la documentation.

  Pour lire le Kit développeur de la CNIL

Absence de trouble manifestement illicite résultant d’une violation du RGPD par l’exploitation des compteurs communicants

Un distributeur d’énergie avait été assigné par plusieurs centaines consommateurs qui lui reprochaient, notamment, une violation du RGPD par l’exploitation des compteurs électriques communicants. Par une décision du 23 avril 2019, le Tribunal de grande instance de Bordeaux, statuant en référé, a jugé que “les demandeurs n’apport[aient] aucun élément de preuve d’une utilisation par [le distributeur] des données relatives à la consommation d’électricité de leur logement qui ne serait pas licite, loyale ou transparente” et que “c’est sans provoquer un trouble manifestement illicite que [le distributeur] recueill[ait] les informations de consommation d’électricité (…) sans recueillir le consentement de chacun des occupants du ou des locaux desservis”.

Pour lire la décision sur Legalis.net

Une banque française enjointe d’effacer les données de son client transmises par erreur à l’administration fiscale américaine

Une banque française avait transmis, par erreur, les données d’un de ses clients à l’administration fiscale américaine en application de la règlementation américaine FATCA (Foreign Account Tax Compliance Act). Afin de mettre en œuvre cette règlementation, les autorités françaises et américaines ont en effet conclu un accord imposant aux établissement bancaires français de déclarer à l’administration fiscale américaine les informations relatives à leurs clients soumis au droit fiscal américain. Par un arrêt du 12 mars 2019, la Cour d’appel de Grenoble a confirmé l’ordonnance de référé qui avait ordonné à la banque française auteure de cette erreur de procéder à “l’effacement total de toutes informations personnelles [du client] du traitement opéré en France dans le cadre de FATCA” et de “faire toutes diligences à ses frais auprès des autorités fiscales des Etats-Unis afin qu’elles procèdent à l’effacement total de ses déclarations FATCA impliquant à tort” le client.

Pour lire l’arrêt sur Legalis.net