Dernières actualités : données personnelles

CNIL

« Ils ne l’ont pas vu venir ! » : sanctions de 250 000 et 150 000 euros à l’encontre des sociétés de voyance en ligne COSMOSPACE et TELEMAQUE

Le 26 septembre 2024, la CNIL a sanctionné les sociétés COSMOSPACE et TELEMAQUE (entreprises proposant des services de voyance à distance), notamment pour avoir conservé des données personnelles de manière excessive, collecté des données sensibles sans consentement valable, et pour avoir manqué aux règles encadrant les opérations de prospection commerciale.

Les contrôles réalisés par la CNIL en 2021 ont permis de révéler plusieurs manquements, concernant la collecte de données sensibles sans consentement préalable et explicite (données de santé et données relatives à l’orientation sexuelle notamment), la conservation des données pendant une durée excessive, l’envoi de messages de prospection à des personnes n’ayant pas manifesté leur consentement ainsi que, s’agissant de la société COSMOSPACE, l’enregistrement systématique des appels téléphoniques.

En conséquence, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a prononcé une amende de 250 000 euros à l’encontre de COSMOSPACE et de 150 000 euros à l’encontre de la société TELEMAQUE. Ces amendes ont été adoptées en coopération avec une quinzaine d’homologues européens de la CNIL dans les deux cas. Le montant de ces amendes a notamment été décidé au regard de la gravité des manquements retenus, du nombre de personnes concernées – la base de données commune aux deux sociétés contenant les données de plus d’1,5 million de personnes – ainsi que de la sensibilité des données traitées. La situation financière des sociétés, et leur structure, ont également été prises en compte, pour retenir des amendes dissuasives mais proportionnées.

Disponible sur: CNIL.fr

BfDI (autorité allemande)

En Allemagne, la Cour constitutionnelle fédérale se prononce sur certains traitements de la police criminelle – en sa défaveur

Dans un arrêt publié ce jour, la Cour constitutionnelle fédérale allemande a estime que la loi attributive des pouvoirs à la police criminelle fédérale (BKA) en matière de lutte contre le terrorisme et le crime organisée doit être modifiée, dans la mesure où certaines de ses compétences légales en matière de collecte et de stockage de données sont en partie inconstitutionnelles. Plus précisément, les compétences en question ont été jugées « non compatibles avec le droit fondamental à l’autodétermination en matière d’information ». De manière concrète, le tribunal a notamment critiqué la possibilité de surveiller secrètement les personnes en contact avec des suspects.

En réaction, l’autorité allemande a salué la décision. Le BfDI, M. le professeur Specht-Riemenschneider, a souligné l’importance de la décision prise aujourd’hui par la Cour constitutionnelle fédérale concernant les règles selon lesquelles l’Office fédéral de la police criminelle ne peut traiter ultérieurement des données à caractère personnel dans son système d’information que sous certaines conditions. Selon lui, « l’arrêt contient des déclarations décisives pour le réseau d’information de la police. Il reste garanti que la police soit en mesure d’agir, mais aucune donnée ne peut non plus être enregistrée dans le vide si aucun comportement fautif ne peut être reproché aux personnes. C’est ce que confirme la pratique de contrôle et de conseil de mon autorité jusqu’à présent. »

La BfDI voit en outre un signe pour le législateur : le cercle des personnes ciblées dans le soi-disant paquet de sécurité est trop large. Le législateur peut maintenant réajuster l’association d’informations. L’autorité en profite pour ajouter qu’il serait judicieux d’élaborer maintenant ensemble des solutions conformes à la protection des données.

Disponible (en allemand) sur: bfdi.bund.de
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

DPC (autorité irlandaise)

La Commission irlandaise de protection des données inflige une amende de 91 millions d’euros à Meta Irlande

La Commission de protection des données (DPC) a annoncé aujourd’hui sa décision finale à la suite d’une enquête sur Meta Platforms Ireland Limited (MPIL). Cette enquête a été lancée en avril 2019, après que MPIL a notifié à la DPC qu’elle avait stocké par inadvertance certains mots de passe d’utilisateurs de médias sociaux en « texte clair » sur ses systèmes internes (c’est-à-dire sans protection cryptographique ou chiffrement). la DPC a soumis un projet de décision aux autres autorités de contrôle concernées de l’UE/EEE en juin 2024, conformément à l’article 60 du GDPR. Aucune objection au projet de décision n’a été soulevée par les autres autorités.
La décision, prise par les commissaires à la protection des données, Des Hogan et Dale Sunderland, et notifiée au MPIL hier 26 septembre, comprend un blâme et une amende de 91 millions d’euros.

La décision de la DPC fait état des violations suivantes du GDPR :

  • Article 33, paragraphe 1, du RGPD, car MPIL n’a pas notifié au CPD une violation de données à caractère personnel concernant le stockage de mots de passe d’utilisateurs en clair ;
  • Article 33, paragraphe 5, du RGPD, car la MPIL n’a pas documenté les violations de données à caractère personnel concernant le stockage de mots de passe d’utilisateur en clair ;
  • Article 5, paragraphe 1, point f), du RGPD, car la MPIL n’a pas pris les mesures techniques ou organisationnelles appropriées pour garantir la sécurité des mots de passe des utilisateurs contre tout traitement non autorisé ; et
  • Article 32, paragraphe 1, du RGPD, car la MPIL n’a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, y compris la capacité d’assurer la confidentialité permanente des mots de passe des utilisateurs.

Graham Doyle, commissaire adjoint à la DPC, a déclaré : « Il est largement admis que les mots de passe des utilisateurs ne devraient pas être stockés en clair, compte tenu des risques d’abus qui découlent de l’accès à ces données par des personnes. Il faut garder à l’esprit que les mots de passe examinés dans cette affaire sont particulièrement sensibles, car ils permettraient d’accéder aux comptes de médias sociaux des utilisateurs ».
La DPC publiera la décision complète et d’autres informations connexes en temps voulu.

Disponible (en anglais) sur: dataprotection.ie
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

IMY (autorité suédoise)

IMY donne son avis sur les changements proposés aux règles de surveillance des caméras de police

En suède, à la suite d’une enquête commandée par le Ministère de la Justice, il a été proposé de donner à la police des possibilités accrues d’utiliser la surveillance par caméra et la technologie de reconnaissance faciale automatique (DS 2024:11), notamment s’agissant de la surveillance des routes ou encore s’agissant à des fins de maintien de l’ordre (au moyen d’identification biométrique à distance). L’Autorité suédoise (IMY) a publié ce jour ses commentaires concernant les propositions et souligne qu’une réglementation supplémentaire est nécessaire pour limiter l’atteinte à la vie privée afin que les propositions répondent à l’exigence de proportionnalité.

L’IMY estime qu’il est important de donner à la police de meilleures conditions pour lutter contre le crime organisé, tout en garantissant le droit à la vie privée. Dans son avis, l’IMY souligne que la proposition d’accroître les possibilités de surveillance par caméra risque de permettre une collecte générale de données sur les mouvements des individus dans tout le pays. IMY estime donc qu’une réglementation supplémentaire est nécessaire pour limiter ce risque.

« Nous pensons qu’il est possible de donner à la police de meilleures possibilités de surveillance par caméra, mais des mesures supplémentaires sont nécessaires pour protéger la vie privée. Nous estimons que la proposition actuelle ne répond pas à l’exigence d’un équilibre entre les intérêts des forces de l’ordre et la protection de la vie privée », déclare Jenny Bård, chef d’unité chez IMY.

S’agissant de la reconnaissance faciale automatique dans les lieux publics, l’autorité ajoute être d’accord avec l’évaluation du mémorandum selon laquelle des réglementations supplémentaires sont nécessaires pour protéger la vie privée et d’autres droits et libertés fondamentaux des individus . Ce n’est que lorsqu’il y aura des propositions pour de telles réglementations supplémentaires qu’il sera possible d’évaluer si la proposition remplit l’exigence de proportionnalité.

Disponible (en suédois) sur: imy.se
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

NOYB – None of your business

 Le « règlement » de l’autorité belge de protection des données s’est transformé en ordre juridique sur les bannières de cookies trompeuses

À la suite de plusieurs plaintes déposées par NOYB en 2023, l’autorité belge de protection des données a ordonné à quatre grands sites d’information belges de mettre leurs bannières de cookies en conformité avec le GDPR. Plus précisément, De Standaard, Het Nieuwsblad, Het Belang van Limburg et Gazet van Antwerpen doivent ajouter un bouton « rejeter » à la première couche de leurs bannières de cookies. En outre, les sites d’information ont reçu l’ordre de modifier le schéma de couleurs des boutons utilisés, qui est actuellement trompeur. Si le responsable du traitement (Mediahuis) ne se conforme pas à cette obligation, il s’expose à une amende de 50 000 euros par jour et par site web.

Two people exchaning a cookie for money

Disponible sur: noyb.eu

CNIL

Données de santé : sanction de 800 000 euros à l’encontre de la société CEGEDIM SANTÉ pour des traitements illicites

Ce 12 septembre 2024, la CNIL a annoncé avoir sanctionné la société CEGEDIM SANTÉ (éditeur de logiciels de gestion pour médecins) d’une amende de 800 000 euros, pour avoir notamment traité des données de santé sans autorisation.

Dans son communiqué la CNIL rappelle que la société CEGEDIM SANTÉ équipe, au total, environ 25 000 cabinets médicaux et 500 centres de santé utilisent ces logiciels. La société collectait des données de santé « anonymisées » relatives aux patients dont les médecins ont adhéré à son « observatoire ».  Les contrôles réalisés par la CNIL en 2021 ont notamment permis de révéler que la société avait traité sans autorisation ces données de santé de manière non anonymisée,  celles-ci étant transmises à ses clients en vue de produire des études et des statistiques dans le domaine de la santé. En effet, les agents de la Commission se sont aperçus que les données étaient « seulement » pseudonymisées, et restaient à ce titre des données à caractère personnel (de santé). Partant, elle a constaté que l’entrepôt de données de santé créé par CEGEDIM n’avait pas fait l’objet d’une déclaration de conformité à l’un de ses référentiels et n’avait pas non plus fait l’objet d’une demande d’autorisation.

En conséquence, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a prononcé une amende de 800 000 euros à l’encontre de la société CEGEDIM SANTÉ, au regard des capacités financières de la société, de la gravité des manquements retenus, du caractère massif du traitement et du fait que les données concernées sont des données de santé, donc des données sensibles.

Disponible sur: CNIL.fr. La décision complète est également disponible.

Datatilsynet (autorité norvégienne)

Norvège : réprimande à l’encontre de partis après l’envoi de publicité politique 

En 2023, l’autorité norvégienne de protection des données a reçu des plaintes de plusieurs particuliers qui ont reçu des courriels contenant de la publicité politique des partis majoritaires à Stavanger (Ap, MDG, R, Sp, SV et FP). L’autorité a annoncé avoir pris la décision finale de réprimander le parti travailliste de Stavanger – au nom des partis majoritaires.

Le courriel en question a été envoyé le 20 août 2023 dans le cadre des élections municipales, et les destinataires seraient des parents d’enfants inscrits dans des jardins d’enfants et des écoles de la municipalité de Stavanger. Les coordonnées des parents auraient été divulguées par la municipalité de Stavanger en vertu de la loi sur la liberté d’information. Sur la base des plaintes reçues à propos de ces courriels, l’autorité norvégienne de protection des données a envoyé une demande d’explication au parti travailliste de Stavanger, au nom des partis majoritaires, et a notamment posé des questions sur l’objectif et la base juridique du traitement. Suite a son enquête, l’autorité norvégienne de protection des données a décidé de sanctionner (au moyen d’une réprimande) le parti travailliste de Stavanger, au nom des partis majoritaires, pour les raisons suivantes :

  • ne pas avoir procédé à des évaluations adéquates de la base juridique pertinente pour le traitement, et
  • ne pas avoir fourni d’informations sur le traitement aux personnes concernées.

Enfin, l’autorité norvégienne de protection des données annonce avoir classé l’affaire.

Disponible (en norvégien) sur: datatilsynet.no
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Datatilsynet (autorité norvégienne)

Amende de 12 500 euros pour une université norvégienne qui n’a pas bien sécurisé ses données

Ce jour, l’autorité norvégienne de protection des données a annonce avoir infligé une amende de 150 000 NOK [environ 12500 euros] à l’université d’Agder (UiA) pour avoir enfreint le règlement général sur la protection des données. En particulier, il lui est reproché de ne pas avoir mis en œuvre les mesures appropriées pour garantir la sécurité des données à caractère personnel dans le cadre de son utilisation de Microsoft Teams.

En février 2024, un employé de l’UiA a découvert que des documents contenant des données personnelles avaient été stockés dans des dossiers Teams ouverts, auxquels des employés sans besoin professionnel avaient accès. L’infraction était en cours depuis que l’université avait commencé à utiliser Microsoft Teams en août 2018. Les données personnelles étaient accessibles dans le système, et les employés pouvaient y accéder via des recherches dans des dossiers ouverts. L’infraction concerne des documents contenant des données personnelles sur des employés, des étudiants et des acteurs externes. Environ 16 000 personnes enregistrées sont concernées.

Les données comprennent notamment des noms, des numéros de naissance, des informations sur les examens aménagés, le nombre de tentatives d’examen et des dispositions particulières. De plus, l’infraction incluait une liste des réfugiés d’Ukraine liés à l’université, avec des informations telles que les coordonnées, la formation et le statut de résidence.

Disponible (en norvégien) sur: datatilsynet.no
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

APD (autorité belge)

Belgique : l’APD estime que les pratiques de NOYB en matière de plainte et de représentation constituent un abus de droit

A l’occasion d’une décision rendue le 6 septembre, l’APD a rejetté une affaire … en raison, notamment, d’un abus de droit qui aurait été commis par NOYB.
Cette affaire commence avec une plainte réalisée par NOYB (au moyen d’un mandat) concernant le suivi présumé du plaignant par l’éditeur d’un site web (flair.be). Au cours de ce processus, un code HTML (pour l’outil Google Analytics) aurait été intégré via le site web du premier défendeur, qui pourrait être lié au compte du plaignant auprès du deuxième défendeur. Le plaignant affirme que les données à caractère personnel correspondantes ont été transférées illégalement aux États-Unis d’Amérique dans ce contexte.

L’Inspection (dont l’autorité note qu’il s’agit d’un corps indépendant de la Chambre des Litiges) décide de se pencher sur la légalité du mandat et du modèle d’action de NOYB. Le rapport d’enquête note ainsi « que les demandes traitées par NOYB qui ont été soumises à l’APD en août 2020 ont utilisé une méthode semi-automatique d’envoi “en masse”, mais également que les différentes demandes d’enquête soumises en août 2020 avaient le même format et la même signature. Des documents supplémentaires ont été envoyés à plusieurs reprises dans un courriel lié […] Pour les différentes demandes, la même personne concernée revient sans cesse et a donné un mandat à NOYB […]. L’autorité note également que le contenu du mandat montre également que NOYB n’a pas été correctement mandaté  car plusieurs éléments du mandat n’étaient pas détaillés, ou formulés de manière peu claire ou ambiguë. En outre, le plaignant était en réalité un stagiaire de NOYB au moment où le mandat a été donné.  Enfin, le rapport estime qu’en raison du manque de transparence concernant le modus operandi de NOYB, la perception est donc créée au moins que NOYB utilise ses employés pour servir ses intérêts soumettant des demandes/plaintes plutôt que […] l’intérêt personnel d’un plaignant.  En outre, l’enquête  confirme l’indication selon laquelle il s’agit d’un usage abusif de la procédure en vertu de l’article 80 du RGPD. L’Inspection note que les stagiaires pour les demandes susmentionnées en 2021 ont été systématiquement répertoriés comme « plaignants » dans les activités de NOYB. Cela est l’indice d’un conflit d’intérêts. »

La Chambre des Litiges (dont le rôle est de décider des suites à donner) décide d’analyser la situation, et rejette finalement la plainte pour les raisons suivantes :

1 – Le fait que la plainte ait été déposée sur la base d’un « cas modèle » préétabli par NOYB crée un intérêt artificiel (à agir) et constitue un abus de droit : l’artificialité de la construction est prouvée, selon la Chambre, puisque l’identité des sous-traitants et les griefs soulevés n’ont pas été identifiés par le plaignant en question (mais à l’avance par le représentant), et par les brèves visites du site web par le plaignant en question, observées par l’Inspection et indiquées par les deux défendeurs dans leurs défenses. Le représentant déclare publiquement que cette plainte s’inscrit dans le cadre d’un projet général relatif aux transferts de données.40 Il a été déclaré lors de l’audition que les stagiaires peuvent « devenir » une personne concernée sans aucune obligation.

2 – Un mandat fictif en invoquant des griefs et un contrôleur préétablis dans le cadre d’un stage : les griefs sont préétablis au nom du plaignant, de la même manière que le modus operandi avec les mandats en vertu de l’article 80, paragraphe 1, du GDPR est préétabli. En outre, l’identité du responsable du traitement sollicité est également établie par le représentant avant que le plaignant n’accepte le « cas modèle » et n’accorde un mandat à cet égard.

3 – Une construction artificielle visant à soulever des questions générales et accessoires pour les objectifs politiques d’une association : comme le note à juste titre l’Inspection à cet égard, il existe un conflit d’intérêts potentiel, ou du moins des intérêts différents, en l’occurrence. Dans le cadre d’un mandat de représentation, le représentant doit privilégier les intérêts du plaignant et ne pas poursuivre ses propres objectifs politiques.

Disponible (en anglais) sur : autoriteprotectiondonnees.be
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

APD (autorité belge)

L’APD prend des mesures à l’encontre de Mediahuis pour l’utilisation illicite de bannières de cookies sur des sites de presse

L’APD a reçu des plaintes d’un citoyen néerlandais, représenté par NOYB pour utilisation illicite de bannières de cookies sur 4 sites de presse de Mediahuis. Le plaignant indique, via son représentant mandaté (NOYB), que les sites de presse ne proposent pas de bouton « Tout refuser » au premier niveau d’information de la bannière de cookies et utilisent des boutons de couleurs trompeuses (“deceptive design patterns” ou « interfaces trompeuses »). Le plaignant signale également qu’il n’est pas très facile de retirer son consentement et que des cookies non strictement nécessaires ne peuvent être placés qu’après le recueil du consentement. L’APD a décidé d’initier une procédure de transaction pour ces plaintes mais la proposition de transaction n’ayant pas été entièrement acceptée, elle a procédé à un examen du dossier sur le fond.

Ayant pu confirmer les faits à la suite d’une enquête, l’APD a ordonné à Mediahuis de procéder aux ajustements nécessaires dans les 45 jours suivant la notification de sa décision en 1) adaptant les bannières de cookies (au niveau du bouton de refus) 2) sans utiliser de couleurs de boutons trompeuses. Si les bannières de cookies ne sont toujours pas conformes à partir du 46e jour qui suit la notification de la décision, pour chaque injonction non respectée, une astreinte de 25.000 EUR par jour et par site de presse non conforme sera infligée. L’APD formule en outre également une réprimande à l’encontre de Mediahuis et souligne que la société ne peut placer et lire des cookies strictement nécessaires que sur la base de l’intérêt légitime.

Disponible sur: autoriteprotectiondonnees.be

Retour en haut