Dernières actualités : données personnelles

Plan de contrôle de l’UODO pour l’année 2025

Dans le plan de contrôle sectoriel de l’UODO pour 2025, publié ce vendredi par l’autorité, plusieurs secteurs où les violations des règles de protection des données personnelles apparaissent de plus en plus souvent ont été identifiés et ont ainsi été priorisés. L’UODO a également pris en compte les domaines qui suscitent un grand intérêt social. Le plan de contrôle sectoriel de l’UODO pour 2025 se présente comme suit :

1. Organes qui traitent des données personnelles dans de grands systèmes de l’Union européenne, y compris le traitement des données personnelles SIS/VIS sur la base des dispositions de la loi du 24 août 2007 sur la participation de la République de Pologne au système d’information Schengen et au système d’information sur les visas (Journal officiel de 2023, pos. 1355 avec modifications), des actes d’exécution et des règlements de l’Union européenne.

2. Entités qui traitent des données sur la santé – méthode d’assurance de la sécurité des données personnelles.

3. Entités qui traitent des données des enfants – traitement de l’image des enfants, lorsque le consentement exprimé par les parents ou tuteurs légaux est requis.

4. Mise en œuvre de l’obligation résultant de l’article 33, paragraphe 5, du RGPD, consistant à documenter toutes les violations de la protection des données personnelles, y compris les circonstances de la violation de la protection des données personnelles, ses conséquences et les mesures correctives prises.

Disponible (en polonais) sur: uodo.gov.pl
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Le Conseil d’Etat polonais estime que la banque ne peut pas traiter des données à des fins de prévention du contentieux en se fondant sur l’intérêt légitime

« Les éventuelles réclamations futures d’un ancien client ne justifient pas le traitement de données personnelles par une banque lorsque les parties ne sont pas liées par un accord », a décidé la Cour administrative suprême de Varsovie. La Cour confirme ainsi la position du Président de l’UODO et rejette le pourvoi en cassation de la Banque Millennium contre l’arrêt de l’ASM de Varsovie. La Cour administrative suprême, dans son arrêt du 8 janvier 2025 (affaire n° III OSK 4868/21) (après le tribunal administratif de la voïvodie de Varsovie (II SA/Wa 607/20)), a estimé qu’une banque ne peut pas traiter des données personnelles sur la base de l’article 6 paragraphe 1 point f) du RGPD afin de se défendre contre d’éventuelles réclamations d’anciens clients.

Telle était également la position de l’autorité de contrôle dans une décision administrative ordonnant à la banque Millennium de supprimer les données d’un couple marié qui avait porté plainte contre le responsable du traitement auprès du président de l’UODO. Le président de l’UODO a constaté que ladite banque traitait les données de ses anciens clients alors que leurs comptes avaient été clôturés et qu’ils s’étaient en outre opposés au traitement de leurs données à caractère personnel à des fins de marketing. Il s’est avéré que la banque a continué à traiter leurs données, ce qui s’est révélé lorsqu’elle leur a envoyé de la correspondance commerciale.

Le responsable du traitement a justifié la poursuite du traitement des données par d’éventuelles réclamations futures des clients et a invoqué son intérêt légitime (article 6 paragraphe 1 point f) du RGPD). Cependant, le Président de l’UODO a estimé que le motif invoqué par la banque concernait une situation déjà existante, dont le but, selon les intérêts légitimement justifiés poursuivis par l’administrateur, est la nécessité de prouver, le besoin de rechercher ou de se défendre contre une revendication existante, et non une situation dans laquelle les données sont traitées pour se protéger contre une éventuelle revendication. L’autorité de contrôle a donc estimé que la banque ne traitait les données des plaignants qu’« à titre de sauvegarde » pour se prémunir contre d’éventuelles réclamations futures et incertaines.

Dans le raisonnement de la décision, le Président de l’UODO a également souligné que le traitement des données personnelles pour échapper à des conséquences négatives en cas de dépôt, dans le futur, d’une éventuelle revendication indéterminée pourrait conduire à un traitement permanent de ces données, sans nécessité de leur suppression. Le Président de l’UODO a considéré que la banque n’avait pas prouvé qu’il existait un quelconque litige entre elle et les personnes dont elle traitait les données, qui justifierait la finalité du traitement de ces données au sens de l’article 6 paragraphe 1 point f) du RGPD.

Ces arguments de l’autorité de contrôle ont été confirmés par la Cour, qui a déclaré en examinant le recours que le traitement sur la base de l’intérêt légitime est justifié lorsque trois conditions sont remplies :
1) le responsable du traitement poursuit des finalités pour lesquelles le traitement des données à caractère personnel est nécessaire ;
2) ces finalités découlent des « intérêts légitimes » poursuivis par le responsable du traitement
3) les « intérêts légitimes » poursuivis par le responsable du traitement prévalent sur les intérêts ou les libertés et droits fondamentaux de la personne concernée.

Dans ses conclusions, la Cour a constaté qu’en l’espèce, la banque a indiqué comme base du traitement des données personnelles la protection de ses intérêts en cas de revendications éventuelles des demandeurs, alors qu’il n’a pas été prouvé que les demandeurs avaient formulé une quelconque demande à l’encontre de la partie requérante. [En conséquence, la première condition n’aurait pas été respectée.]

[Ajout contextuel Portail RGPD: C’est une décision qui paraît assez curieuse dans la mesure où il est classique de conserver les données jusqu’à l’écoulement du délai de prescription de l’action dont dispose le client (sans quoi l’entreprise se trouverait totalement démunie le cas échéant) et de fonder ce traitement sur « les intérêts légitimes » du responsable de traitement. Il est toutefois possible que cela soit justifié par le droit polonais, qui est susceptible de fonctionner différent du nôtre et aboutirait, comme le souligne la Cour, à une conservation illimitée (?). ]

Disponible (en polonais) sur: uodo.gov.pl
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Mediahuis condamné pour avoir mal transmis des données personnelles à un nouveau responsable de traitement à l’occasion d’une cession d’actifs

L’autorité belge a aujourd’hui annoncé la condamnation de la chaine de mediaas Mediahuis pour avoir incorrectement traité des données dans le cadre d’une cession d’actifs. Mediahuis NV, dans le cadre de ses activités liées au service de recherche d’emploi Jobat, a en effet vendu une partie de ses actifs à House of Recruitment Services BV (HORS), en ce compris des données personnelles d’utilisateurs ayant interagi avec Jobat. Un plaignant a constaté que ses données personnelles avaient été transférées à HORS sans son consentement ou notification préalable, et a ainsi formulé une réclamation auprès de l’autorité.

Lors de son enquête, l’autorité a considéré que le transfert des données personnelles lors d’une transaction commerciale constitue une activité de traitement distincte. qui nécessitait donc une base légale spécifique. Elle a ainsi relevé les manquements suivants:
* Absence de base légale (article 6 du RGPD) : malgré une tentative d’utiliser le contrat comme base, une obligation légale ou un intérêt légitime, les arguments n’ont pas convaincu l’autorité belge
* Manquements à l’obligation de transparence (articles 12 et 13 du RGPD) : L’entreprise n’a pas informé les utilisateurs de manière adéquate et transparente sur les raisons et les finalités du transfert, les droits des utilisateurs, ou encore l’identité du nouveau responsable de traitement.

Pas d’amende pour cette fois : l’autorité belge a seulement adressé une réprimande à la société Mediahuis, mais a exigé de la société qu’elle revoie sa copie.
La société devra justifier des actions réalisées pour se mettre en conformité auprès de l’APD.

Disponible sur: autoriteprotectiondonnees.be
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Lancement d’un nouveau spot de l’autorité italienne pour la protection des mineurs

« Votre vie privée vaut plus qu’un like », telle est la devise de la nouvelle campagne de communication institutionnelle lancée par le Garante Privacy contre le “sharenting”, c’est-à-dire le partage constant et obsessionnel, par les parents, de photos et de vidéos de leurs enfants sur les réseaux sociaux. Le spot est diffusé à partir d’aujourd’hui sur les chaînes de radio et de télévision de la RAI et sera également diffusé sur les médias sociaux de la Garante.

Le sharenting, qui dérive des mots anglais « share » et « parenting », est un phénomène qui retient depuis longtemps l’attention de l’autorité, notamment en raison des risques qu’il comporte pour l’identité numérique de l’enfant et la bonne formation de sa personnalité. La diffusion d’images dès le plus jeune âge (souvent poussée jusqu’à la diffusion d’échographies) risque également de créer des tensions, même importantes, dans la relation entre parents et enfants, qui se voient construire une image publique qu’ils ne souhaitent peut-être pas.

Dans le spot, un professeur, interprété par l’acteur Luca Angeletti, met ironiquement en garde une classe de parents contre les risques d’une exposition excessive de leurs enfants sur Internet. Ce qui est publié sur les réseaux sociaux ou partagé dans les chats peut en effet être capturé et réutilisé par n’importe qui à des fins inappropriées, pour des activités illicites, ou même se retrouver sur des sites de pornographie enfantine. La campagne de communication « Votre vie privée vaut bien plus qu’un like » invite les parents à réfléchir et à prendre conscience de la protection des données personnelles avant de poster une énième photo de leur enfant mineur.

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.