Dernières actualités : données personnelles

Contrôleur européen de la protection de données (EDPS)

L’utilisation de Microsoft 365 par la Commission européenne enfreint la législation sur la protection des données pour les institutions et organes de l’UE

computer with people sitting on it. Vectorial image.
–

Le Contrôleur a constaté que la Commission européenne a enfreint plusieurs dispositions du règlement (UE) 2018/1725, la loi de l’UE sur la protection des données pour les institutions, organes et organismes de l’UE (IUE), y compris celles relatives aux transferts de données à caractère personnel en dehors de l’UE/de l’Espace économique européen (EEE). En particulier, la Commission n’a pas prévu de garanties appropriées pour assurer que les données à caractère personnel transférées en dehors de l’UE/EEE bénéficient d’un niveau de protection essentiellement équivalent à celui garanti dans l’UE/EEE. En outre, dans son contrat avec Microsoft, la Commission n’a pas suffisamment précisé quels types de données à caractère personnel doivent être collectés et pour quelles finalités explicites et spécifiées dans le cadre de l’utilisation de Microsoft 365. Les infractions commises par la Commission en tant que responsable du traitement des données concernent également le traitement des données, y compris les transferts de données à caractère personnel, effectué en son nom.

En conséquence, le Contrôleur a décidé d’ordonner à la Commission, avec effet au 9 décembre 2024:
* de suspendre tous les flux de données résultant de son utilisation de Microsoft 365 vers Microsoft et vers ses filiales et sous-traitants situés dans des pays en dehors de l’UE/EEE qui ne sont pas couverts par une décision d’adéquation.
*de mettre les opérations de traitement résultant de son utilisation de Microsoft 365 en conformité avec le règlement (UE) 2018/1725.

La Commission doit démontrer qu’elle s’est conformée aux deux ordonnances d’ici le 9 décembre 2024. Le CEPD considère que les mesures correctives qu’il impose (voir l’annexe pour un extrait détaillé) sont appropriées, nécessaires et proportionnées à la lumière de la gravité et de la durée des infractions constatées.

Disponible (en anglais) sur: edps.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Silicon.fr

Microsoft 365 : la « Cnil européenne » épingle la Commission pour une mauvaise protection des données

La Commission européenne ne respecte les règles de protection des données dans le cadre de son utilisation de Microsoft 365. Le contrôleur européen de la protection des données (CEPD) lui laisse jusqu’au 9 décembre 2024 pour se mettre en conformité.

Disponible sur: Silicon.fr

Global News

La police a besoin de mandats pour obtenir les adresses IP des Canadiens

Dans le cadre d’une enquête menée en 2017 par la police de Calgary sur des achats en ligne frauduleux auprès d’un magasin de spiritueux et au cours de laquelle la police avait demandé au magasin la fourniture des adresses IP sans mandat, la Cour suprême du Canada a statué vendredi que la police doit obtenir un mandat avant de demander l’adresse de protocole Internet d’un Canadien, ce qui constitue une victoire importante pour les défenseurs de la vie privée. La Cour suprême a affirmé que les Canadiens ont des droits à la vie privée protégés par la Charte lorsqu’il s’agit pour les policiers de demander des informations sur leurs activités en ligne.

« La vie privée est essentielle à la dignité, à l’autonomie et à l’épanouissement de l’individu. Sa protection est une condition préalable à l’épanouissement d’une démocratie libre et saine », peut-on lire dans la décision majoritaire.  L’Internet exige que les utilisateurs révèlent des informations sur leurs abonnés à leur fournisseur d’accès pour participer à cette nouvelle place publique, et les Canadiens ne sont pas obligés de devenir des reclus numériques pour maintenir un semblant de vie privée dans leur vie ».

Disponible (en anglais) sur: globalnews.ca
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

eWatchers

Les États-Unis ont publié le décret présidentiel pour empêcher l’export des données personnelles des Américains vers certains pays jugés « préoccupants ».

Comme annoncé hier sur le Portail RGPD, les États-Unis ont publié le décret présidentiel pour empêcher l’export des données personnelles des Américains vers certains pays jugés « préoccupants ». D’après eWatchers, le décret donnera le pouvoir à l’Administration états-unienne de s’opposer aux transferts de gros volumes de données personnelles vers certains pays jugés « préoccupants », la Chine (dont Hong Kong et Macao), la Russie, l’Iran, la Corée du Nord, Cuba et le Venezuela, lorsque le transfert « présente un risque inacceptable pour la sécurité nationale des États-Unis ». Les États-Unis jugent, en effet, que « les gouvernements de ces pays peuvent chercher à accéder à des données personnelles sensibles et à les utiliser d’une manière qui n’est pas conforme aux valeurs démocratiques, à la protection de la vie privée et aux autres droits et libertés de l’homme ».

Plus d’informations sont disponibles ci-dessous.

Disponible sur: ewatchers.org Le texte complet de l’Executive Order est également disponible (en anglais)
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Cour de cassation

Arrêt: La géolocalisation en temps réel des véhicules et des téléphones portables, au cours d’une enquête pénale.

Selon la Cour de cassation dans un arrêt de la chambre criminelle rendu hier (n°23-81.061) , au cours d’une enquête pénale, la géolocalisation en temps réel d’un téléphone portable est une mesure d’investigation qui doit faire l’objet d’un contrôle préalable par un juge ou par une entité administrative indépendante. Cette exigence ne pèse pas sur la géolocalisation d’un véhicule, qui peut être ordonnée, pour une durée limitée, par le procureur de la République.

Selon le communiqué de presse,  « en matière de géolocalisation en temps réel, la CJUE a défini ses exigences sur la base d’une directive qui porte uniquement sur les services de communication électronique accessibles au public. Or, la géolocalisation d’un véhicule ne mobilise pas ces services. La Cour de cassation en déduit qu’une telle mesure de géolocalisation en temps réel d’un véhicule n’a pas à faire l’objet d’un contrôle préalable par un juge ou une entité administrative indépendante. Elle peut être autorisée directement par un procureur de la République, pour une durée limitée, conformément aux règles du droit français. Par conséquent, la décision de la cour d’appel est confirmée en ce qu’elle rejetait la demande d’annulation des mesures de géolocalisation des véhicules. »

En revanche, « la géolocalisation d’un téléphone portable implique l’accès à des données de localisation via les opérateurs de téléphonie mobile, c’est-à-dire des services de communication électronique accessibles au public. Les règles qui l’encadrent doivent donc respecter le droit de l’Union européenne. Le code de procédure pénale autorise le procureur de la République à ordonner la géolocalisation d’un téléphone et permet aux enquêteurs d’accéder en temps réel aux données de localisation de l’appareil, sans prévoir de contrôle préalable de ces mesures par une juridiction ou une entité administrative indépendante. La Cour de cassation constate que cette règle de droit français est contraire au droit de l’Union européenne.  » Précision non anodine: l’irrégularité n’entraine pas l’annulation automatique de la mesure de géolocalisation de téléphone, la personne mise en examen doit pour cela avoir subi un préjudice (les critères d’établissement de ce préjudice étant définis dans l’arrêt).

Disponible sur: courdecassation.fr La décision complète est également disponible.

Maison Blanche (via @GChampeau)

Le président Biden publie un décret (« Executive Order ») visant à protéger les données personnelles sensibles des Américains

Aujourd’hui, le président Biden publiera un décret visant à protéger les données personnelles sensibles des Américains contre l’exploitation par des pays dits « préoccupants ». Ce décret, qui constitue la mesure la plus importante jamais prise par un président pour protéger la sécurité des données des Américains, autorise le procureur général à empêcher le transfert à grande échelle de données personnelles d’Américains vers des pays préoccupants et prévoit des garanties pour d’autres activités susceptibles de permettre à ces pays d’accéder à des données sensibles d’Américains.

Selon la Maison Blanche, le décret se concentre sur les informations les plus personnelles et les plus sensibles des Américains, notamment les données génomiques, les données biométriques, les données de santé personnelle, les données de géolocalisation, les données financières et certains types d’informations personnelles identifiables. Les acteurs malveillants peuvent utiliser ces données pour suivre les Américains (y compris les militaires), s’immiscer dans leur vie privée et transmettre ces données à d’autres courtiers en données et à des services de renseignement étrangers. Ces données peuvent permettre une surveillance intrusive, des escroqueries, du chantage et d’autres violations de la vie privée.

Disponible sur: whitehouse.gov
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée..

Contrôleur européen de la protection de données

Action coordonnée pour l’application de la législation: le droit d’accès aux données à caractère personnel

phone, lock, password to symbolise the right of access

Le Contrôleur européen participe à l’action coordonnée d’exécution du Comité européen de la protection des données (CEPD) sur la manière dont le droit d’accès des personnes est abordé spécifiquement dans les institutions, organes et organismes de l’UE, aux côtés des 27 autres autorités de protection des données (APD) dans l’ensemble de l’Espace économique européen (EEE).

Le droit d’accès est au cœur de la protection des données, permettant aux particuliers de vérifier si leurs données à caractère personnel sont traitées de manière conforme par des organisations ou des IUE, ce qui permet souvent l’exercice de leurs autres droits, tels que le droit de rectification ou d’effacement des données. Il s’agit donc de l’un des droits les plus fréquemment exercés en matière de protection des données et pour lequel les APD reçoivent de nombreuses plaintes chaque année.

Disponible (en anglais) sur: edps.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

HAAS Avocats

Conseil d’Etat : La protection des données personnelles à l’épreuve du fichage des intervenants audiovisuels

Conseil d’Etat : La protection des données personnelles à l’épreuve du fichage des intervenants audiovisuels

Par Haas Avocats

Saisi par Reporter Sans Frontières, le Conseil d’Etat a rendu, le 13 février 2024, une décision qualifiée « d’historique » en matière de communication audiovisuelle1.

Disponible sur: haas-avocats.com

Retour en haut