Dernières actualités : données personnelles

CNIL

« Ils ne l’ont pas vu venir ! » : sanctions de 250 000 et 150 000 euros à l’encontre des sociétés de voyance en ligne COSMOSPACE et TELEMAQUE

Le 26 septembre 2024, la CNIL a sanctionné les sociétés COSMOSPACE et TELEMAQUE (entreprises proposant des services de voyance à distance), notamment pour avoir conservé des données personnelles de manière excessive, collecté des données sensibles sans consentement valable, et pour avoir manqué aux règles encadrant les opérations de prospection commerciale.

Les contrôles réalisés par la CNIL en 2021 ont permis de révéler plusieurs manquements, concernant la collecte de données sensibles sans consentement préalable et explicite (données de santé et données relatives à l’orientation sexuelle notamment), la conservation des données pendant une durée excessive, l’envoi de messages de prospection à des personnes n’ayant pas manifesté leur consentement ainsi que, s’agissant de la société COSMOSPACE, l’enregistrement systématique des appels téléphoniques.

En conséquence, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a prononcé une amende de 250 000 euros à l’encontre de COSMOSPACE et de 150 000 euros à l’encontre de la société TELEMAQUE. Ces amendes ont été adoptées en coopération avec une quinzaine d’homologues européens de la CNIL dans les deux cas. Le montant de ces amendes a notamment été décidé au regard de la gravité des manquements retenus, du nombre de personnes concernées – la base de données commune aux deux sociétés contenant les données de plus d’1,5 million de personnes – ainsi que de la sensibilité des données traitées. La situation financière des sociétés, et leur structure, ont également été prises en compte, pour retenir des amendes dissuasives mais proportionnées.

Disponible sur: CNIL.fr

UODO (autorité polonaise)

La loi sur la protection des mineurs Kamilka nécessite des corrections. Intervention de l’UODO auprès du ministre de la Justice polonais

Le président de l’UODO a demandé à Adam Bodnar, le ministre de la justice, d’initier des amendements aux dispositions de la loi sur la protection des mineurs (connue sous le nom de loi Kamilka) afin de les adapter aux principes de la protection des données personnelles.

La nouvelle loi – qui modifie les dispositions antérieures de la loi sur la protection des mineurs – renforce la protection des droits de l’enfant en améliorant la collecte de signaux auprès des enfants et en vérifiant les compétences des personnes travaillant avec des enfants, ce qui était plus que nécessaire. Toutefois, une clarification de la loi semble nécessaire car la collecte et le traitement des données – y compris les données sensibles et les données soumises à un régime de traitement spécifique – que la loi prescrit aux éducateurs et aux personnes en contact avec les enfants peuvent constituer une ingérence grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne.

Le président de l’APD fournit une analyse précise la manière d’appliquer les principes du RODO pour améliorer et compléter la loi. Il demande au Ministre de la Justice de répondre à cette soumission par écrit dans les 30 jours suivant sa réception. En particulier :
* La loi ne fournit pas une base juridique adéquate pour les normes de protection des mineurs
* Les dispositions relatives à la sphère des droits des personnes concernées et aux obligations des responsables du traitement sont vagues
* Le champ d’application des dispositions est imprécis, il n’y a pas de réglementation des principes du traitement des données
* L’obligation d’information doit être mise en œuvre dans les mêmes conditions à l’égard des personnes affectées par des actions négatives qu’à l’égard de l’auteur de l’événement négatif, ce qui suscite de nombreux doutes de la part des responsables du traitement
* D’importants doutes d’interprétation concernent la disposition relative à l’obligation des employeurs et autres organisateurs de vérifier le casier judiciaire des personnes effectuant un travail ou des activités liées au travail avec des enfants
* Le fait de demander des informations plus générales, « pour l’avenir », entraîne un traitement injustifié et redondant des données à caractère personnel des personnes
* Les dispositions de la loi n’indiquent pas la durée de conservation des données traitées par les responsables du traitement

Disponible (en polonais) sur: uodo.gov.pl
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Datatilsynet (auorité danoise)

Respect des durées de conservation : le ministère de l’immigration et de l’intégration danois rappelé à l’ordre

Lors d’une inspection du ministère de l’immigration et de l’intégration, l’agence danoise de protection des données a constaté que le ministère avait mis en place une pratique de suppression dans le système national d’information sur les visas, où les dossiers de visa sont automatiquement supprimés à partir de cinq ans après, par exemple, l’expiration d’un visa, la date d’un refus, etc. Toutefois, il a également été constaté qu’il n’existe aucun contrôle permettant de s’assurer que la pratique de suppression automatique fonctionne comme prévu. L’autorité a également constaté que le ministère de l’immigration et de l’intégration ne supprime pas immédiatement les données lorsqu’un demandeur de visa enregistré obtient la citoyenneté d’un État membre de l’UE avant l’expiration de la période de cinq ans.

Conformément à l’article 25, paragraphe 1, du règlement relatif au VIS [système d’information sur les visas], si le demandeur de visa acquiert la nationalité d’un État membre avant l’expiration de la période de suppression, les données figurant dans un dossier de demande de visa sont immédiatement supprimées du VIS. Toutefois, le ministère de l’immigration et de l’intégration a pour pratique de conseiller à la personne concernée de contacter elle-même le service danois de l’immigration pour que ses données soient supprimées du système, au lieu que le ministère supprime les données de sa propre initiative. L’agence danoise de protection des données estime que cette procédure ne satisfait pas à l’exigence d’effacement prématuré prévue à l’article 25, paragraphe 1, du règlement VIS.

Sur cette base, l’Agence danoise de protection des données a dressé un blâme au ministère danois.

Disponible (en danois) sur: datatilsynet.dk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Tietosuoja (autorité finlandaise)

L’autorité finlandaise considère qu’un opérateur de télécommunications a le droit de conserver les données de ses clients mobiles pendant trois ans après la fin de leur abonnement

Suite à une plainte d’un client, l’autorité a enquêté sur la politique de l’opérateur de télécommunications en matière de suppression des données des clients. Le client avait demandé à l’opérateur de télécommunications de supprimer toutes les données personnelles le concernant que l’opérateur avait en sa possession. L’opérateur de télécommunications n’a pas donné suite à cette demande. L’autorité a estimé qu’une période de conservation de trois ans était justifiée parce que les données à caractère personnel peuvent être nécessaires après la fin de la relation avec le client, par exemple en ce qui concerne les dossiers en cours, la facturation ou les réclamations. L’opérateur de télécommunications n’était donc pas obligé de supprimer les données des clients qui avaient été conservées pendant moins de trois ans après la fin de la relation avec le client.

Dans sa décision, l’autorité a également évalué si l’opérateur de télécommunications avait agi illégalement en ne supprimant pas les données datant de plus de trois ans, malgré la demande du client. Les données personnelles en question concernaient une relation client qui avait pris fin plus de dix ans auparavant. Les données n’avaient pas été automatiquement effacées des systèmes informatiques en raison d’une erreur technique et l’opérateur de télécommunications ne les avait pas supprimées, même à la demande du client. Le contrôleur adjoint a adressé un avertissement à l’opérateur de télécommunications pour comportement répréhensible. Selon le règlement général sur la protection des données, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées.

L’autorité précise néanmoins que cette décision n’est pas encore définitive.

Disponible (en finnois) sur: tietosuoja.fi
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Tietosuoja (autorité finlandaise)

Verkkokauppa condamné à une amende de 856.000 € par l’autorité finlandaise pour n’avoir pas précisé la durée de conservation des données relatives aux clients et pour les avoir obligés à créer un compte

La CNIL finlandaise a imposé une amende administrative de 856 000 euros à Verkkokauppa pour n’avoir pas précisé la durée de conservation des données des comptes clients du commerce électronique. En outre, la pratique de Verkkokauppa consistant à exiger la création d’un compte client pour effectuer des achats en ligne était contraire aux règles de protection des données, en particulier aux règles en matière de Privacy by design & by default, mais également aux règles liées aux durées de conservation. En particulier, l’autorité considère que  « 44. La pratique du responsable du traitement consistant à exiger l’enregistrement du client pour effectuer un achat individuel dans une boutique en ligne n’était pas conforme à l’article 5, paragraphe 1, point e), et à l’article 25, paragraphe 2, du GDPR. La procédure a également conduit à la conservation des données des acheteurs individuels pendant une période plus longue que celle qui aurait été nécessaire pour effectuer un seul achat. » Selon elle, la création d’un compte client ne doit donc pas être une condition préalable pour effectuer des achats individuels en ligne, pas plus que le stockage de données personnelles que cette pratique entraîne.

Verkkokauppa a annoncé qu’il ferait appel de la décision devant le tribunal administratif.

Disponible (en finnois) sur: tietosuoja.fi
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

HAAS Avocats

Une sanction de 100 000 € contre PAP

Une sanction de 100 000 € contre PAP

Par Haas Avocats

Le 13 février 2024, la CNIL a rendu une délibération sanctionnant la société DE PARTICULIER A PARTICULIER (ci-après : « PAP ») à hauteur de
100 000€ d’amende.

Disponible sur: haas-avocats.com

Retour en haut