Obligation de suppression de données à caractère personnel par Google

Dans un arrêt du 13 mai 2014, la CJUE s’est prononcée à titre préjudiciel sur la question de savoir si l'activité d'un moteur de recherche doit être qualifiée de "traitement de données à caractère personnel" au sens de l'article 2 de la directive du 24 octobre 1995 sur les données personnelles. En l'espèce, un internaute demandait à ce qu'il soit ordonné à Google "de supprimer ou d'occulter" ses informations personnelles, liées à une saisie pratiquée en recouvrement de dettes dont il avait fait l'objet seize ans plus tôt. La Cour y a répondu par l'affirmative en soulignant d'une part, que l'activité d'un moteur de recherche consiste à indexer de manière automatique et à stocker temporairement des informations publiées ou placées sur internet par des tiers, ainsi qu'à les mettre à disposition des internautes selon un ordre de préférence donné. Elle considère d'autre part Google comme "responsable" dudit traitement. La Cour en conclut que, dans un tel cas, celui-ci "est obligé de supprimer de la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom d'une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne" et ce, "même lorsque leur publication en elle-même sur lesdites pages est licite".

Pour lire l'arrêt de la CJUE

Données personnelles et vidéo-protection dans les établissements de l’administration pénitentiaire

Un arrêté du 13 mai 2013 a autorisé la mise en œuvre de traitements de données à caractère personnel relatifs à la vidéo-protection au sein des locaux et aux abords d'établissements de la direction de l'administration pénitentiaire. Aux termes de l’arrêté, « ces traitements ont pour finalité d'assurer la sécurité de ces locaux et établissements, ainsi que des personnes qui s'y trouvent ». Le texte liste les lieux dans lesquels les caméras placées à l'intérieur des locaux de l'administration pénitentiaire peuvent enregistrer les images captées. Il précise également que les images enregistrées faisant l'objet de ces traitements peuvent être conservées sur support numérique pendant un délai ne pouvant en principe excéder un mois.

Pour lire l’arrêté sur Légifrance.

Pas de nouvelle déclaration CNIL pour une simple mise à jour de logiciel

Dans un arrêt du 23 avril 2013, la Cour de cassation a jugé que « seule une modification substantielle portant sur les informations ayant été préalablement déclarées doit être portée à la connaissance de la CNIL » et « qu’une simple mise à jour d’un logiciel de traitement de données à caractère personnel n’entraîne pas l’obligation pour le responsable du traitement de procéder à une nouvelle déclaration ». Dans cette affaire, un salarié avait refusé de saisir des données à caractère personnel dans un logiciel considérant que le traitement n’était pas conforme à la réglementation suite au changement de version du logiciel. Le salarié avait alors été licencié pour faute grave en raison de son insubordination. La Cour de cassation a cassé, pour défaut de base légale, l’arrêt de la Cour d’appel d’Aix-en-Provence ayant retenu que le licenciement était sans cause réelle et sérieuse. La Cour d’appel aurait dû rechercher si le changement de version du logiciel concerné consistait en une simple mise à jour qui ne nécessitait pas une nouvelle déclaration auprès de la CNIL.

Pour lire l’arrêt sur Legalis.net.

La CJUE rappelle la nécessaire indépendance des autorités de protection des données personnelles

La CJUE, dans un arrêt du 9 mars 2010, a considéré que les autorités de protection des données des Länder allemands exerçant le contrôle des fichiers du secteur privé n’agissaient pas en totale indépendance, ceci en violation des dispositions de la Directive européenne de 1995 sur la protection des données. Cette indépendance constitue en effet un élément fondamental qui permet aux États membres de garantir un niveau de protection élevé des personnes et de contribuer à la libre circulation des données. La base de données des décisions de la CJUE