Dernières actualités : données personnelles

Exprimez votre intérêt à participer à l’événement EDPB avec les parties prenantes sur les prochaines lignes directrices sur le modèle du « Pay or Okay »

Le Comité européen de la protection des données (EDPB) organise un événement à distance pour les parties prenantes, qui aura lieu le 18 novembre 2024 de 10h00 à 16h00 CET (heure exacte à confirmer), afin de recueillir les commentaires des parties prenantes dans le cadre des lignes directrices à venir sur l’application de la législation relative à la protection des données dans le contexte des modèles « Consent or Pay » (consentement ou paiement).

L’objectif de cet événement est de recueillir les points de vue pertinents des organisations qui ont une expertise dans les modèles « Consent or Pay », qui exigent que les personnes concernées choisissent entre consentir au traitement des données personnelles pour une finalité spécifique ou payer une redevance. Cet événement contribuera aux travaux en cours de l’EDPB sur les lignes directrices relatives aux modèles « Consent or Pay ».Ces lignes directrices s’inscrivent dans le prolongement de l’avis 08/2024 de l’EDPB, qui traitait du modèle « Consentement ou paiement » dans le contexte des grandes plateformes en ligne. Les lignes directrices auront un champ d’application plus large.

Pour plus d’informations rendez-vous ci-dessous !

Disponible (en anglais) sur: edpb.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

L’EDPB va collaborer avec la Commission européenne pour élaborer des orientations sur l’interaction entre le GDPR et le DMA

Les services de la Commission chargés de l’application de la loi sur les marchés numériques (DMA) et le Conseil européen de la protection des données (EDPB) ont convenu de travailler ensemble pour clarifier et donner des orientations sur l’interaction entre la DMA et le GDPR. Ce dialogue renforcé entre les services de la Commission et l’EDPB se concentrera sur les obligations applicables aux contrôleurs numériques en vertu de la DMA, qui présentent une forte interaction avec le GDPR, car il est nécessaire d’assurer l’application cohérente des cadres réglementaires applicables aux contrôleurs numériques.

Selon la communication, il est essentiel de développer une interprétation cohérente de la DMA et du GDPR tout en respectant les compétences de chaque régulateur dans les domaines où le GDPR s’applique et est référencé dans la DMA afin de mettre en œuvre efficacement les deux cadres réglementaires et d’atteindre leurs objectifs respectifs et complémentaires.

Par ailleurs, le DMA a créé un groupe de haut niveau chargé de fournir à la Commission des conseils et une expertise afin de garantir que le DMA et les autres réglementations sectorielles applicables aux responsables du contrôle d’accès sont mis en œuvre de manière cohérente et complémentaire. La Commission et les représentants de l’EDPB et du CEPD se sont déjà engagés sur les obligations liées aux données et à l’interopérabilité au sein du groupe de haut niveau. Ce projet s’appuie sur cet engagement et approfondit la coopération en ce qui concerne les deux cadres réglementaires spécifiques.

Disponible (en anglais) sur: edpb.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Risques liés à l’IA : Reconnaissance optique de caractères et reconnaissance d’entités nommées

L’EDPC a lancé un projet viser à aider les responsables du traitement des données qui utilisent l’IA aux fins de reconnaissance optique de caractères et reconnaissance d’entités nommées à effectuer une évaluation des risques en matière de protection des données et les autorités chargées de la protection des données à évaluer la validité et l’efficacité de cette évaluation dans le cadre de leurs enquêtes. Pour les deux technologies, l’expert externe a identifié les risques spécifiques en matière de protection des données et de la vie privée posés par l’acquisition, le développement et l’utilisation de la technologie en question.

Le projet sur les risques liés à l’IA comprend plusieurs éléments livrables disponibles (en anglais) ci-dessous.

Disponible (en anglais) sur: edpb.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

EU-US Data Privacy Framework (DPF): L’EDPB publie une foire aux questions pour les personnes concernées mais et une autre pour les entreprises

Au cours de sa séance du 16 juillt 2024, l’EDPB a adopté 2 foires aux question afin d’aider les personnes concernées mais également les entreprises à « naviguer » parmi les règles relatives au Data Privacy Framework, qui encadre les transferts de données vers les Etats-Unis.  En guise d’introduction, l’EDPB rappelle que les entreprises qui se sont auto-certifiées dans le cadre du DPF doivent se conformer à ses principes, règles et obligations en matière de traitement des données à caractère personnel des personnes de l’EEE. La Commission européenne a estimé que les transferts de données à caractère personnel de l’EEE vers des entreprises certifiées au titre du DPF bénéficiaient d’un niveau de protection adéquat.

Dans ses FAQs, l’EDPB répond aux questions suivantes:
1- FAQ dédiée aux personnes concernées
Q1. Qu’est-ce que le cadre UE-États-Unis de protection des données personnelles ?
Q2. Comment puis-je bénéficier du cadre UE-États-Unis pour la protection des données personnelles ?
Q3. Comment déposer une plainte ?
Q4. Comment l’autorité nationale de protection des données traitera-t-elle ma plainte ?

2- FAQ dédiée aux entreprises
Q1. Qu’est-ce que le cadre UE-États-Unis de protection des données personnelles ?
Q2. Quelles sont les entreprises américaines éligibles au cadre UE-États-Unis de protection des données personnelles ?
Q3. Que faire avant de transférer des données à caractère personnel à une entreprise américaine qui est ou prétend être
certifiée au titre du cadre UE-États-Unis de protection des données à caractère personnel ?
Q4. Où puis-je trouver des conseils concernant la certification des filiales américaines d’entreprises européennes ?
entreprises européennes ?

Disponible (en anglais) sur: edpb.europa.eu (personnes concernées) et edpb.europa.eu (pour les entreprises)
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

L’EDPB adopte une déclaration sur le rôle des autorités de protection des données dans le cadre de la loi sur l’IA

Lors de sa dernière séance plénière, le Comité européen de la protection des données (CEPD) a adopté une déclaration sur le rôle des autorités de protection des données (APD) dans le cadre de la loi sur l’intelligence artificielle (AI Act). Selon l’EDPB, les autorités de protection des données disposent déjà d’une expérience et d’une expertise en ce qui concerne l’impact de l’IA sur les droits fondamentaux, en particulier le droit à la protection des données à caractère personnel, et devraient donc être désignées comme autorités de surveillance du marché (MSA) dans un certain nombre de cas. Cela permettrait d’assurer une meilleure coordination entre les différentes autorités réglementaires, d’accroître la sécurité juridique pour toutes les parties prenantes et de renforcer la supervision et l’application de la loi sur l’IA et de la législation de l’UE sur la protection des données.

Dans sa déclaration, l’EDPB recommande ce qui suit :
* Comme l’indique déjà la loi sur l’IA, les autorités chargées de la protection des données devraient être désignées comme autorités de surveillance pour les systèmes d’IA à haut risque utilisés pour l’application de la loi, la gestion des frontières, l’administration de la justice et les processus démocratiques ;
* Les États membres devraient envisager de désigner les autorités de protection des données comme autorités de surveillance pour d’autres systèmes d’IA à haut risque, en tenant compte de l’avis de l’autorité nationale de protection des données, en particulier lorsque ces systèmes d’IA à haut risque appartiennent à des secteurs susceptibles d’avoir une incidence sur les droits et libertés des personnes physiques en ce qui concerne le traitement des données à caractère personnel ;
* Les autorités chargées de la protection des données, lorsqu’elles sont nommées en tant qu’autorités de surveillance, devraient être désignées comme points de contact uniques pour le public et les homologues au niveau des États membres et de l’UE ;
* Des procédures claires devraient être établies pour la coopération entre les ASM et les autres autorités de régulation chargées de superviser les systèmes d’IA, y compris les autorités de protection des données. En outre, une coopération appropriée doit être mise en place entre l’Office AI de l’UE et les DPA/EDPB.

Disponible (en anglais) sur: edpb.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

🗓️Demain, l’EDPB se réunit pour sa session plénière. Entre autres, l’EDPB discutera du rôle des « CNIL européennes » dans la mise en oeuvre de l’AI Act.

Demain, le Comité européen sur la protection des données se réunit pour son 95è réunion. Au programme notamment :
* L’adoption d’une déclaration sur le rôle des autorités chargées de la protection des données dans le cadre de la loi sur l’intelligence artificielle
* Des discussions sur la mise à jour des travaux concernant le rapport de la Commission européenne sur les 11 décisions d’adéquation et réaction éventuelle de l’EDPB

L’agenda complet est disponible ci-dessous.

Disponible (en anglais) sur: edpb.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Publication des lignes directrices sur l’article 37 de la directive Police-Justice

Comme annoncé lors de la publication de l’ordre du jour de sa séance plénière, le CEPD vient de publier ses lignes directrices 01/2023 sur l’article 37 de la directive Police-Justice, (cet article étant relatif aux transferts hors UE en l’absence de décision d’adéquation). Selon le résumé exécutif disponible sur le document, ces lignes directrices fournissent des orientations sur l’application de l’article 37 de la directive Police Justice, en particulier sur la norme juridique relative aux garanties appropriées à appliquer par les autorités compétentes en vertu de l’article 37, paragraphe 1, points a) et b), de la directive Police Justice et, par conséquent, sur les facteurs pertinents pour l’évaluation de l’existence de ces garanties. Elles  comprennent donc une indication des attentes de l’EDPB à l’égard des États membres, en tant que parties aux négociations, lorsqu’ils envisagent de conclure ou de modifier un instrument juridiquement contraignant entre le ou les États membres concernés et un pays tiers ou une organisation internationale en vertu de l’article 37, paragraphe 1, point a), de la directive relative à la protection des données.

L’EDPB note que l’article 35(3) LED s’applique aux transferts effectués en vertu de l’article 37 de la directive. Celui-ci devrait donc être appliqué à la lumière du principe selon lequel le niveau de protection des données applicable dans l’Union européenne ne doit pas être compromis par le transfert de données à caractère personnel vers une autre juridiction. L’EDPB conclut que l’article 37 exige un niveau de protection des données essentiellement équivalent dans le pays tiers ou l’organisation internationale destinataire. Toutefois, cette exigence est liée au transfert spécifique de données ou à la catégorie de transferts en question. Conformément à l’article 37, l’équivalence essentielle de la protection garantie par la directive Police-Justice doit être assurée pour ce cas particulier et pas nécessairement au regard de l’ensemble de la législation en vigueur dans le pays tiers ou l’organisation internationale.

Dans ce contexte, l’EDPB rappelle sa déclaration sur les accords internationaux, y compris les transferts, adoptée le 13 avril 2021, invitant les États membres à évaluer et, le cas échéant, à revoir leurs accords internationaux qui impliquent des transferts internationaux de données à caractère personnel. L’EDPB souligne qu’il convient d’envisager de mettre ces accords en conformité avec les exigences de la directive Police-Justice pour les transferts de données, lorsque ce n’est pas encore le cas, afin de s’assurer que le niveau de protection des personnes physiques garanti par la LED n’est pas compromis lorsque des données à caractère personnel sont transférées en dehors de l’Union.

Disponible (en anglais) sur: edpb.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

🗓️ Mardi et mercredi prochains, l’EDPB se réunit pour sa session plénière

Au programme, notamment :
* L’élection d’un nouveau vice-président de l’EDPB
* L’adoption des lignes directrices 01/2023 sur l’article 37 de la directive Police-Justice, cet article étant relatif aux transferts hors UE en l’absence de décision d’adéquation
* L’émission d’un avis au titre de l’article 64, paragraphe 1, point b), sur le projet de décision de la CNIL concernant un « Code de conduite pour les prestataires de services dans le domaine de la recherche clinique »

L’agenda complet est disponible ci-dessous !

Disponible (en anglais) sur: edpb.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Lors de sa dernière session plénière, l’EDPB a adopté une déclaration sur l’accès aux données financières et les services de paiement.

Le 28 juin 2023, la Commission européenne (CE) a publié trois propositions concernant les services de paiement et l’accès aux données financières. Le paquet législatif se compose d’une proposition de cadre pour l’accès aux données financières (FIDA), d’une proposition de règlement sur les services de paiement (PSR) et d’une proposition de directive sur les services de paiement (PSD3). Selon la Commission européenne, ces propositions visent à améliorer la protection des consommateurs et la concurrence dans le domaine des paiements électroniques, et à permettre aux consommateurs de partager leurs données afin d’accéder à une gamme plus large de produits et de services financiers moins chers. À cette fin, ces propositions développent le cadre juridique existant sur les services de paiement (notamment la deuxième directive sur les services de paiement, ou « DSP2 ») et établissent un nouveau cadre pour faciliter l’accès et le partage des données financières en ce qui concerne certains services financiers (FIDA).

Après divers échanges entre l’EDPB, l’EDPS et les autorités européennes ayant permis la prise en compte des premières recommandations formulées par les autorités, le CEPD estime qu’ « étant donné que les travaux du Conseil se concentrent sur la prévention de la fraude, la présente déclaration fournit des recommandations à cet égard, en s’appuyant sur l’expérience pratique des autorités nationales chargées de la protection des données en la matière. En particulier, l’EDPB considère que des garanties supplémentaires devraient être incluses dans la législation concernant le partage des données à des fins de fraude afin de garantir le droit fondamental à la protection des données« .

Disponible (en anglais) sur: edpb.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Rapport sur les travaux entrepris par la Taskforce ChatGPT

Lors de la réunion plénière de l’EDPB du 16 janvier 2024, il a été décidé de préciser le mandat de la task force et de publier un rapport décrivant les résultats intermédiaires de la task force ChatGPT.
Selon ce mandat, la taskforce doit :
– Échanger des informations entre les autorités de protection des données sur l’engagement avec l’OpenAI et les activités d’application en cours concernant ChatGPT.
– Faciliter la coordination de la communication externe par les autorités de protection des données concernant les activités d’application dans dans le contexte de ChatGPT.
– Identifier rapidement une liste de questions pour lesquelles une approche commune est nécessaire dans le contexte de différentes mesures d’exécution concernant ChatGPT prises par les autorités.

Compte tenu de la nature confidentielle des enquêtes, le présent rapport se réfère aux informations accessibles au public comme source supplémentaire pour fournir des informations sur la transparence, l’équité, l’exactitude des données et les droits des personnes concernées à l’égard du public.

Disponible (en anglais) sur: edpb.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.