Dernières actualités : données personnelles

CNIL

Vérification de l’âge en ligne : la CNIL a rendu son avis sur le référentiel de l’Arcom concernant l’accès aux sites pornographiques

Certains sites ou services sur Internet sont réservés aux majeurs, en particulier lorsqu’ils donnent accès à des contenus à caractère pornographique. Pour vérifier l’âge des internautes, la loi visant à sécuriser et à réguler l’espace numérique (SREN) prévoit l’adoption par l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) d’un référentiel. Celui-ci détermine les exigences techniques minimales applicables aux systèmes de vérification de l’âge auxquels doivent recourir les sites diffusant des contenus à caractère pornographique. Les sites internet visés par le référentiel doivent mettre en œuvre un système de contrôle de l’âge conforme aux caractéristiques techniques du référentiel dans un délai de trois mois après sa publication.

La CNIL s’est prononcée, le 26 septembre 2024, sur ce projet de référentiel dont les exigences portent sur la fiabilité du contrôle de l’âge des utilisateurs et sur le respect de leur vie privée. Globalement, la CNIL accueille favorablement la publication par l’Arcom d’un référentiel encadrant les systèmes de vérification de l’âge reprenant une partie importante de ses préconisations relatives à la protection des données personnelles et de la vie privée.

Disponible sur: CNIL.fr

CNIL

« Ils ne l’ont pas vu venir ! » : sanctions de 250 000 et 150 000 euros à l’encontre des sociétés de voyance en ligne COSMOSPACE et TELEMAQUE

Le 26 septembre 2024, la CNIL a sanctionné les sociétés COSMOSPACE et TELEMAQUE (entreprises proposant des services de voyance à distance), notamment pour avoir conservé des données personnelles de manière excessive, collecté des données sensibles sans consentement valable, et pour avoir manqué aux règles encadrant les opérations de prospection commerciale.

Les contrôles réalisés par la CNIL en 2021 ont permis de révéler plusieurs manquements, concernant la collecte de données sensibles sans consentement préalable et explicite (données de santé et données relatives à l’orientation sexuelle notamment), la conservation des données pendant une durée excessive, l’envoi de messages de prospection à des personnes n’ayant pas manifesté leur consentement ainsi que, s’agissant de la société COSMOSPACE, l’enregistrement systématique des appels téléphoniques.

En conséquence, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a prononcé une amende de 250 000 euros à l’encontre de COSMOSPACE et de 150 000 euros à l’encontre de la société TELEMAQUE. Ces amendes ont été adoptées en coopération avec une quinzaine d’homologues européens de la CNIL dans les deux cas. Le montant de ces amendes a notamment été décidé au regard de la gravité des manquements retenus, du nombre de personnes concernées – la base de données commune aux deux sociétés contenant les données de plus d’1,5 million de personnes – ainsi que de la sensibilité des données traitées. La situation financière des sociétés, et leur structure, ont également été prises en compte, pour retenir des amendes dissuasives mais proportionnées.

Disponible sur: CNIL.fr

CNIL

La CNIL a prononcé ces trois derniers mois onze nouvelles sanctions dans le cadre de la procédure simplifiée

Depuis juin 2024, la CNIL a rendu onze nouvelles décisions de sanctions dans le cadre de sa procédure simplifiée pour un montant cumulé d’amendes de 129 000 euros.

Les principaux manquements retenus concernent :
* le non-respect du principe de minimisation des données (vidéosurveillance des salariés et enregistrements de conversations téléphoniques de manière systématique et en intégralité) ;
* l’absence de registre de traitement ;
* l’absence de moyens permettant de refuser les cookies aussi facilement que de les accepter ;
* le défaut de coopération avec la CNIL ;
* le non-respect des droits des personnes (absence de réponse dans les délais prévus) ;
* le manquement à l’information des personnes (clients et salariés).

Depuis janvier 2024, sur 9 mois, la CNIL a prononcé 28 sanctions simplifiées pour un montant total de 290 500 euros. En comparaison, sur la totalité de l’année 2023, 24 sanctions simplifiées ont été prises pour un montant total de 229 500 euros qui se sont ajoutées aux 18 sanctions ordinaires (88 950 000 euros). Au-delà des sanctions pécuniaires, les mises en demeure participent également au respect du RGPD : la CNIL a ainsi prononcé 168 mises en demeure contre des organismes publics et privés en 2023. Ce chiffre est en constante augmentation depuis plusieurs années (135 en 2021, 147 en 2022).

Disponible sur: CNIL.fr

CNIL

Ordre du jour de la séance plénière du 3 octobre 2024

La Commission nationale de l’informatique et des libertés s’est réunie le jeudi 3 octobre 2024 à 9 h 30 avec l’ordre du jour suivant :

Partie I (avec débats) :
* Présentation du bilan de l’observatoire des élections 2024 et impacts du nouveau règlement européen relatif au ciblage de la publicité à caractère politique ;
* Présentation d’un projet d’observatoire des parcours d’exercice d’un droit ;
* Restitution de l’évènement « Recherches sur les enjeux éthiques et la régulation de l’intelligence artificielle ».

Partie II (sans débats) :
* Examen d’un projet de délibération portant approbation des règles d’entreprise contraignantes sous-traitant du groupe TALAN.

Disponible sur: CNIL.fr

CNIL

Cybermoi/s 2024 : un mois pour tous devenir #CyberEngagés

Créé en 2012, le Mois européen de la cybersécurité (European Cybersecurity Month – ECSM) est une initiative conçue par l’Agence de l’Union européenne pour la cybersécurité (ENISA). Elle vise à promouvoir la cybersécurité dans tous les pays de l’UE pour permettre de mieux comprendre les menaces et les appréhender. En France, le Mois européen de la cybersécurité a été décliné en « Cybermoi/s » et est piloté par le dispositif national Cybermalveillance.gouv.fr qui a pour missions la sensibilisation, la prévention et l’assistance aux victimes d’actes de cybermalveillance.

Tout au long du mois d’octobre 2024, des activités vont être organisées en France et en Europe autour des enjeux de cybersécurité : événement de lancement, événements de sensibilisation, campagnes vidéo… Comme chaque année, un panel d’acteurs publics, privés et associatifs se mobiliseront pour proposer un programme de sensibilisation pédagogique à destination de tous les publics et ainsi développer une culture européenne cyber commune.

Disponible sur: CNIL.fr

CNIL

Ordre du jour de la séance plénière du 26 septembre 2024

La Commission nationale de l’informatique et des libertés s’est réunie le jeudi 26 septembre 2024 à 9 h 30 avec l’ordre du jour suivant :

Partie I (avec débats):
* Point d’information sur les conditions d’exercice des délégués à la protection des données (DPO) :
     – Présentation des résultats de l’enquête sur le métier du DPO par des représentants du ministère du Travail (DGEFP) et de l’AFPA ;
     – Bilan des contrôles réalisés dans le cadre du Coordinated Enforcement Framework (CEF) du CEPD portant sur les « moyens du DPO » ;
     – Présentation du plan d’actions du service des délégués et de l’accompagnement pour améliorer les conditions d’exercice des DPO.

* Examen d’un projet de délibération portant avis sur un projet de référentiel de l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM) relatif aux systèmes de vérification de l’âge mis en place pour l’accès à certains services permettant l’accès à des contenus pornographiques ;
* Communication relative à l’actualité du CEPD (juillet à septembre) et aux travaux en cours sur ses lignes directrices relatives à l’article 48 du RGPD.

Partie II (sans débats):
* Examen d’un projet de délibération portant avis sur un projet de décret modifiant le décret n° 2022-603 du 21 avril 2022 fixant la liste des autorités administratives et publiques indépendantes pouvant recourir à l’appui du pôle d’expertise de la régulation numérique et relatif aux méthodes de collecte de données mises en œuvre par ce service dans le cadre de ses activités d’expérimentation.

Disponible sur: CNIL.fr

CNIL

Applications mobiles : la CNIL publie ses recommandations pour mieux protéger la vie privée

Communiquer, se divertir, s’orienter, faire ses achats, se rencontrer, suivre sa santé… les usages numériques quotidiens des Français passent de plus en plus par les applications mobiles. À titre d’exemple, en 2023, les personnes ont téléchargé 30 applications et utilisé leur téléphone mobile 3 h 30 par jour en moyenne (source : data.ai). Or, l’environnement mobile présente plus de risques que le web pour la confidentialité et la sécurité des données.

Les applications mobiles ont en effet accès à des données plus variées et parfois plus sensibles, telles que la localisation en temps réel, les photographies ou encore des données de santé. De plus, les permissions demandées aux utilisateurs pour accéder à des fonctionnalités et des données sur leur appareil sont souvent nombreuses (microphone, carnet de contacts, etc.). Enfin, beaucoup acteurs sont impliqués dans le fonctionnement d’une application et sont ainsi susceptibles de collecter ou de se partager des données personnelles.

À l’issue d’une consultation publique, la CNIL publie la version finale de ses recommandations pour aider les professionnels à concevoir des applications mobiles respectueuses de la vie privée. Elle s’assurera, dès 2025, que celles-ci sont bien prises en compte par une campagne spécifique de contrôles.

Disponible sur: CNIL.fr

CNIL

Accompagnement renforcé : la CNIL guidera quatre entreprises pendant six mois

En mai dernier, la CNIL a lancé un nouvel appel à candidature pour permettre à des entreprises innovantes, engagées dans une évolution rapide de leurs activités et dont le modèle d’affaires repose sur le traitement de données, de bénéficier d’un appui des équipes de la CNIL. Cette année encore, la CNIL a reçu des dossiers couvrant des champs d’activités variés : identité numérique, vidéo augmentée, numérique en santé, sécurité numérique, legal tech, jeux d’argent… témoignant d’une forte demande d’accompagnement en matière de protection des données.

La CNIL a analysé les candidatures reçues sur la base de 5 critères :

  • la mise en œuvre par l’entreprise de produits, services ou procédés innovants ;
  • le fort développement économique de la société ;
  • l’impact des traitements de données personnelles sur les personnes ;
  • l’engagement dans la conformité au RGPD ;
  • l’intérêt des questions juridiques, sociétales ou éthiques soulevées.

La CNIL a sélectionné les entreprises Docaposte, Doctrine, la Française des Jeux et ShareID pour bénéficier d’un accompagnement renforcé sur les six prochains mois. Elle leur apportera des réponses sur mesure afin de les guider vers une bonne prise en compte de la règlementation sur la protection des données.

Disponible sur: CNIL.fr

CNIL

Données de santé : sanction de 800 000 euros à l’encontre de la société CEGEDIM SANTÉ pour des traitements illicites

Ce 12 septembre 2024, la CNIL a annoncé avoir sanctionné la société CEGEDIM SANTÉ (éditeur de logiciels de gestion pour médecins) d’une amende de 800 000 euros, pour avoir notamment traité des données de santé sans autorisation.

Dans son communiqué la CNIL rappelle que la société CEGEDIM SANTÉ équipe, au total, environ 25 000 cabinets médicaux et 500 centres de santé utilisent ces logiciels. La société collectait des données de santé « anonymisées » relatives aux patients dont les médecins ont adhéré à son « observatoire ».  Les contrôles réalisés par la CNIL en 2021 ont notamment permis de révéler que la société avait traité sans autorisation ces données de santé de manière non anonymisée,  celles-ci étant transmises à ses clients en vue de produire des études et des statistiques dans le domaine de la santé. En effet, les agents de la Commission se sont aperçus que les données étaient « seulement » pseudonymisées, et restaient à ce titre des données à caractère personnel (de santé). Partant, elle a constaté que l’entrepôt de données de santé créé par CEGEDIM n’avait pas fait l’objet d’une déclaration de conformité à l’un de ses référentiels et n’avait pas non plus fait l’objet d’une demande d’autorisation.

En conséquence, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a prononcé une amende de 800 000 euros à l’encontre de la société CEGEDIM SANTÉ, au regard des capacités financières de la société, de la gravité des manquements retenus, du caractère massif du traitement et du fait que les données concernées sont des données de santé, donc des données sensibles.

Disponible sur: CNIL.fr. La décision complète est également disponible.

ANSSI

L’ANSSI fait le bilan cyber des Jeux Olympiques et Paralympiques de Paris 2024

Dans un article publié ce jour, l’Agence nationale de sécurité des systèmes d’information fait le bilan sur les JO. Celle-ci a mis en place, en étroite collaboration avec les différentes structures impliquées dans l’organisation des Jeux – dont en particulier la Délégation interministérielle aux Jeux Olympiques et Paralympiques (DIJOP), le ministère de l’Intérieur et des Outre-Mer (MIOM) et le Comité d’Organisation des Jeux Olympiques et Paralympiques (Paris 2024) – s’articulait autour de cinq axes principaux :

  • parfaire la connaissance des menaces cyber pesant sur les Jeux ;
  • sécuriser les systèmes d’information critiques ;
  • protéger les données sensibles ;
  • sensibiliser l’écosystème des Jeux ;
  • se préparer à intervenir en cas d’attaque cyber affectant les Jeux.

L’agence estime qu’il y a eu un nombre limité d’incidents cyber et sans impact sur le déroulement des JOP. Un total de 548 événements de cybersécurité affectant des entités en lien avec l’organisation des Jeux Olympiques et Paralympiques de Paris 2024 a été rapporté à l’ANSSI entre le 8 mai et le 8 septembre 2024. Ces derniers ont été portés à la connaissance de l’Agence et ont donné lieu à un traitement par les équipes opérationnelles.
Sur les types d’événements de cybersécurité rapportés, près de la moitié des événements de cybersécurité correspondent à des indisponibilités dont un quart sont dues à des attaques par DDoS. Le reste des événements de cybersécurité correspondent à des tentatives de compromission ou des compromissions, des divulgations de données ou bien encore des signalements de vulnérabilités. Les secteurs d’activité les plus ciblés sont les entités gouvernementales, le sport, le divertissement (sites de compétitions et Paris 2024) et les télécommunications.

Ces 548 événements de cybersécurité comprennent :

  • 465 signalements (événements de sécurité d’origine cyber avec un impact bas pour le système d’information de la victime, requérant une intervention minimum de l’Agence) ;
  • 83 incidents (événements de sécurité pour lesquels l’ANSSI confirme qu’un acteur malveillant a conduit des actions avec succès sur le système d’information de la victime).

Disponible sur: cyber.gouv.fr

Retour en haut