Dernières actualités : données personnelles

Contrôleur européen de la protection de données (EDPS)

L’EDPS dévoile un nouveau modèle pour des transferts plus sûrs de données à caractère personnel entre les institutions de l’UE et les organisations internationales

transfers of data

Le contrôleur européen a publié aujourd’hui son modèle d’arrangement administratif (modèle) pour les transferts de données à caractère personnel des institutions, organes et organismes de l’UE (IUE) vers les organisations internationales. Le modèle vise à aider les institutions européennes à se conformer à la législation européenne applicable en matière de protection des données, le règlement (UE) 2018/1725, lorsqu’elles doivent transférer des données à caractère personnel à des organisations internationales, dans le cadre de leur rôle.

Wojciech Wiewiórowski, EDPS, a déclaré : « En fonction de la nature de leur travail, les IUE peuvent être amenées à transférer des données à caractère personnel à des organisations internationales pour atteindre des objectifs importants, tels que la fourniture d’une assistance alimentaire ou la défense des droits des personnes, par exemple. Dans ce contexte, l’une des priorités de mon institution est de veiller à ce que les données personnelles des individus soient protégées conformément aux normes de l’UE, tant à l’intérieur qu’à l’extérieur de l’UE/Espace économique européen. Le nouveau modèle d’arrangement administratif permet aux institutions européennes de se préparer efficacement à d’éventuels transferts de données à caractère personnel vers des organisations internationales, et ce de manière globale ».

Pour assurer son application pratique par les IUE, le modèle met l’accent sur les principes fondamentaux de la protection des données et met en place les garanties nécessaires, afin d’assurer un niveau de protection essentiellement équivalent à celui garanti par la législation de l’UE. En tant que tels, les arrangements administratifs conclus par les IUE avec les organisations internationales en utilisant le modèle publié aujourd’hui continueront à nécessiter l’approbation du CEPD. Toutefois, son utilisation par les IUE facilitera grandement la procédure d’approbation, dans l’intérêt des deux parties et des personnes concernées.

Disponible (en anglais) sur: edps.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Contrôleur européen de la protection de données (EDPS)

L’EDPS a publié aujourd’hui ses lignes directrices sur l’intelligence artificielle générative et les données à caractère personnel pour les institutions, organes et organismes de l’UE (IUE)

AI

Les lignes directrices visent à aider les IUE à se conformer aux obligations en matière de protection des données énoncées dans le règlement (UE) 2018/1725, lors de l’utilisation ou du développement d’outils d’IA générative.

Wojciech Wiewiórowski, EDPS, a déclaré : « Les lignes directrices que j’ai publiées aujourd’hui sur l’IA générative sont une première étape vers des recommandations plus étendues en réponse au paysage évolutif des outils d’IA générative, que mon équipe et moi-même continuons à suivre et à analyser de près. Nos conseils publiés aujourd’hui ont été rédigés dans le but de couvrir le plus grand nombre possible de scénarios impliquant l’utilisation de l’IA générative, afin de fournir des conseils durables aux IUE pour qu’elles puissent protéger les informations personnelles et la vie privée des individus ».

Pour garantir leur application pratique par les institutions européennes, les lignes directrices mettent l’accent sur les principes fondamentaux de la protection des données, combinés à des exemples concrets, afin d’aider à anticiper les risques, les défis et les opportunités des systèmes et outils d’IA générative. Ainsi, les lignes directrices se concentrent sur une série de sujets importants, y compris des conseils sur la façon dont les IUE peuvent déterminer si l’utilisation de tels outils implique le traitement de données individuelles ; quand effectuer une évaluation de l’impact sur la protection des données ; et d’autres recommandations essentielles.

Disponible (en anglais) sur: edps.europa.eu Les lignes directrices sont également disponibles ici.
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée. Disponible sur:

Contrôleur européen de la protection de données (EDPS)

Notre plan pour l’intelligence artificielle dans les institutions de l’UE

secretary-general and secretaries - general of the EU institutions

C’est en train de se produire : la loi européenne sur l’intelligence artificielle entrera en vigueur dans les prochaines semaines.

Les outils d’IA ont du potentiel, car ils offrent de nouvelles possibilités et améliorent la productivité dans toute une série de secteurs et de domaines, tels que les soins de santé, le développement durable, la recherche scientifique, les entreprises privées et les organisations publiques, y compris les institutions de l’UE. Cependant, les outils d’IA présentent également des risques ; s’ils sont mal utilisés, les personnes vulnérables peuvent être exploitées, par exemple.

En assumant le rôle de superviseur des institutions de l’UE en matière d’IA, le CEPD doit veiller à ce qu’elles soient préparées.
Chaque institution de l’UE, ses développeurs et ses utilisateurs doivent connaître les limites de ces outils. En d’autres termes, quand les utiliser et quand ne pas les utiliser.

Alors que la loi sur l’IA désormais adoptée se concentre sur la définition des grands principes de l’IA, offrant un certain degré de flexibilité pour que la réglementation soit réalisable à la lumière des défis et des développements à venir, dont certains restent inconnus, la mise en pratique de cette loi reste à définir. Le CEPD a élaboré un plan pour l’IA. Il se concentre sur trois éléments clés : la gouvernance, la gestion des risques et la supervision.

Disponible (en anglais) sur: edps.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée. Disponible sur:

Contrôleur européen de la protection de données (EDPS)

Médias sociaux décentralisés « pilotes » de l’EDPS : la fin d’une histoire à succès

computer and phone

Il y a deux ans, le CEPD s’est lancé dans une aventure pionnière en lançant deux plateformes de médias sociaux, EU Voice et EU Video. Le projet pilote s’est avéré fructueux en proposant des plateformes de médias sociaux alternatives, respectueuses de la vie privée et axées sur l’utilisateur. Il est temps d’examiner les résultats.
Le 28 avril 2022, le Contrôleur européen de la protection des données a lancé un projet pilote portant sur deux plateformes de médias sociaux : EU Voice et EU Video. Ces deux plateformes font partie des réseaux de médias sociaux gratuits, open-source et décentralisés, basés sur Mastodon et PeerTube. Au cours des deux dernières années, les institutions, organes et organismes de l’UE (IUE) ont eu la possibilité de créer des comptes sur les plateformes et de se connecter avec des utilisateurs enregistrés dans Fediverse, un réseau en ligne de plateformes et de services interconnectés les uns avec les autres, y compris les plateformes de médias sociaux. Initialement prévu pour une durée d’un an, le projet pilote d’EU Voice et d’EU Video a été prolongé d’une deuxième année, en raison de son succès auprès des institutions européennes et de ses utilisateurs. À la fin du projet pilote, EU Voice hébergeait 40 comptes institutionnels, dont des commissaires européens et des membres du Parlement européen, et EU Video 6 comptes, ce qui fait des institutions européennes le plus grand groupe d’organismes publics présents sur Fediverse à l’échelle mondiale.

Disponible (en anglais) sur: edps.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée. Disponible sur:

Contrôleur européen de la protection de données (EDPS)

Rapport annuel de l’EDPS : la capacité d’adaptation dans un monde en mutation

people working

Présentant aujourd’hui son rapport annuel 2023, le Contrôleur européen de la protection des données (CEPD ou EDPS) Wojciech Wiewiórowski a souligné la capacité d’adaptation de son institution face à un paysage numérique et réglementaire en pleine évolution. Wojciech Wiewiórowski a déclaré : « L’année 2023 a été une année d’adaptabilité à la lumière des avancées numériques et réglementaires. Plus que jamais, la collaboration multilatérale et transfrontalière s’est avérée cruciale pour atteindre et élever les normes de protection des données dans l’UE et au-delà. En 2024, année qui coïncide avec le 20e anniversaire du CEPD, le rôle de mon institution est d’anticiper et de préparer les défis de la protection des données pour les deux prochaines décennies« .

S’exprimant devant la Commission des libertés civiles, de la justice et des affaires intérieures du Parlement européen et lors de sa conférence de presse d’aujourd’hui, le Contrôleur Wojciech Wiewiórowski a détaillé ses actions démontrant cette importante compétence. Pour en savoir plus, consultez l’article ci-dessous !

Disponible (en anglais) sur: edps.europa.eu Le rapport complet est également disponible .
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée. Disponible sur:

Contrôleur européen de la protection de données (EDPS)

Le texte complet de la décision du Contrôleur européen concernant l’utilisation de Microsoft 365 par la Commission européenne est désormais disponible sur le site de l’EDPS (au total, 180 pages).

Selon un article sur LinkedIn de Thomas Zerdick (attention, lien tracké), chef de service à l’EDPS, les points d’attention du contrôleur ont été les suivants :
* La limitation des finalités : Évaluer l’adhésion de la Commission européenne au principe de limitation de la finalité tel qu’il est inscrit dans le « RGPD des institutions de l’UE » (Règlement 2018/1725) garantissant que les données ne sont traitées que pour des finalités déterminées, explicites et légitimes.
* L’encadrement des transferts internationaux : Évaluer la conformité du traitement avec les exigences du Règlement en matière de transferts internationaux de données, en particulier dans le contexte de l’arrêt Schrems II. Cet aspect est crucial, étant donné la surveillance accrue des transferts de données en dehors de l’UE/EEE.
* Divulgations non autorisées : Enquêter sur les garanties contractuelles contre les divulgations non autorisées de données à caractère personnel.

Toujours selon l’auteur, dans sa décision, le CEPD impose des mesures correctives à la Commission. Notez que le #EUDPR ne permet pas au CEPD d’imposer immédiatement une amende administrative, mais seulement lorsqu’une institution, un organe, un bureau ou une agence de l’UE ne se conforme pas à un ordre du CEPD.

Disponible (en anglais) sur: edps.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Contrôleur européen de la protection de données (EDPS)

20 Exposés – Koen Lenaerts : Président de la Cour de justice de l’Union européenne

Koen Lenaerts, President of the Court of Justice of the European Union

Dans cet épisode, l’invité est Koen Lenaerts, président de la Cour de justice de l’Union européenne. Cette interview d’une vingtaine de minutes est notamment l’occasion de passer en revue certaines décisions importantes, ou encore d’évoquer les problématiques futures liées à l’IA.

Disponible (en anglais) sur: edps.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Contrôleur européen de la protection de données (EDPS)

L’utilisation de Microsoft 365 par la Commission européenne enfreint la législation sur la protection des données pour les institutions et organes de l’UE

computer with people sitting on it. Vectorial image.

Le Contrôleur a constaté que la Commission européenne a enfreint plusieurs dispositions du règlement (UE) 2018/1725, la loi de l’UE sur la protection des données pour les institutions, organes et organismes de l’UE (IUE), y compris celles relatives aux transferts de données à caractère personnel en dehors de l’UE/de l’Espace économique européen (EEE). En particulier, la Commission n’a pas prévu de garanties appropriées pour assurer que les données à caractère personnel transférées en dehors de l’UE/EEE bénéficient d’un niveau de protection essentiellement équivalent à celui garanti dans l’UE/EEE. En outre, dans son contrat avec Microsoft, la Commission n’a pas suffisamment précisé quels types de données à caractère personnel doivent être collectés et pour quelles finalités explicites et spécifiées dans le cadre de l’utilisation de Microsoft 365. Les infractions commises par la Commission en tant que responsable du traitement des données concernent également le traitement des données, y compris les transferts de données à caractère personnel, effectué en son nom.

En conséquence, le Contrôleur a décidé d’ordonner à la Commission, avec effet au 9 décembre 2024:
* de suspendre tous les flux de données résultant de son utilisation de Microsoft 365 vers Microsoft et vers ses filiales et sous-traitants situés dans des pays en dehors de l’UE/EEE qui ne sont pas couverts par une décision d’adéquation.
*de mettre les opérations de traitement résultant de son utilisation de Microsoft 365 en conformité avec le règlement (UE) 2018/1725.

La Commission doit démontrer qu’elle s’est conformée aux deux ordonnances d’ici le 9 décembre 2024. Le CEPD considère que les mesures correctives qu’il impose (voir l’annexe pour un extrait détaillé) sont appropriées, nécessaires et proportionnées à la lumière de la gravité et de la durée des infractions constatées.

Disponible (en anglais) sur: edps.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Silicon.fr

Microsoft 365 : la « Cnil européenne » épingle la Commission pour une mauvaise protection des données

La Commission européenne ne respecte les règles de protection des données dans le cadre de son utilisation de Microsoft 365. Le contrôleur européen de la protection des données (CEPD) lui laisse jusqu’au 9 décembre 2024 pour se mettre en conformité.

Disponible sur: Silicon.fr

Contrôleur européen de la protection de données

Action coordonnée pour l’application de la législation: le droit d’accès aux données à caractère personnel

phone, lock, password to symbolise the right of access

Le Contrôleur européen participe à l’action coordonnée d’exécution du Comité européen de la protection des données (CEPD) sur la manière dont le droit d’accès des personnes est abordé spécifiquement dans les institutions, organes et organismes de l’UE, aux côtés des 27 autres autorités de protection des données (APD) dans l’ensemble de l’Espace économique européen (EEE).

Le droit d’accès est au cœur de la protection des données, permettant aux particuliers de vérifier si leurs données à caractère personnel sont traitées de manière conforme par des organisations ou des IUE, ce qui permet souvent l’exercice de leurs autres droits, tels que le droit de rectification ou d’effacement des données. Il s’agit donc de l’un des droits les plus fréquemment exercés en matière de protection des données et pour lequel les APD reçoivent de nombreuses plaintes chaque année.

Disponible (en anglais) sur: edps.europa.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Retour en haut