Dernières actualités : données personnelles

CNIL

Ordre du jour de la séance plénière du 3 octobre 2024

La Commission nationale de l’informatique et des libertés s’est réunie le jeudi 3 octobre 2024 à 9 h 30 avec l’ordre du jour suivant :

Partie I (avec débats) :
* Présentation du bilan de l’observatoire des élections 2024 et impacts du nouveau règlement européen relatif au ciblage de la publicité à caractère politique ;
* Présentation d’un projet d’observatoire des parcours d’exercice d’un droit ;
* Restitution de l’évènement « Recherches sur les enjeux éthiques et la régulation de l’intelligence artificielle ».

Partie II (sans débats) :
* Examen d’un projet de délibération portant approbation des règles d’entreprise contraignantes sous-traitant du groupe TALAN.

Disponible sur: CNIL.fr

CNIL

Ordre du jour de la séance plénière du 26 septembre 2024

La Commission nationale de l’informatique et des libertés s’est réunie le jeudi 26 septembre 2024 à 9 h 30 avec l’ordre du jour suivant :

Partie I (avec débats):
* Point d’information sur les conditions d’exercice des délégués à la protection des données (DPO) :
     – Présentation des résultats de l’enquête sur le métier du DPO par des représentants du ministère du Travail (DGEFP) et de l’AFPA ;
     – Bilan des contrôles réalisés dans le cadre du Coordinated Enforcement Framework (CEF) du CEPD portant sur les « moyens du DPO » ;
     – Présentation du plan d’actions du service des délégués et de l’accompagnement pour améliorer les conditions d’exercice des DPO.

* Examen d’un projet de délibération portant avis sur un projet de référentiel de l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM) relatif aux systèmes de vérification de l’âge mis en place pour l’accès à certains services permettant l’accès à des contenus pornographiques ;
* Communication relative à l’actualité du CEPD (juillet à septembre) et aux travaux en cours sur ses lignes directrices relatives à l’article 48 du RGPD.

Partie II (sans débats):
* Examen d’un projet de délibération portant avis sur un projet de décret modifiant le décret n° 2022-603 du 21 avril 2022 fixant la liste des autorités administratives et publiques indépendantes pouvant recourir à l’appui du pôle d’expertise de la régulation numérique et relatif aux méthodes de collecte de données mises en œuvre par ce service dans le cadre de ses activités d’expérimentation.

Disponible sur: CNIL.fr

CNIL

Applications mobiles : la CNIL publie ses recommandations pour mieux protéger la vie privée

Communiquer, se divertir, s’orienter, faire ses achats, se rencontrer, suivre sa santé… les usages numériques quotidiens des Français passent de plus en plus par les applications mobiles. À titre d’exemple, en 2023, les personnes ont téléchargé 30 applications et utilisé leur téléphone mobile 3 h 30 par jour en moyenne (source : data.ai). Or, l’environnement mobile présente plus de risques que le web pour la confidentialité et la sécurité des données.

Les applications mobiles ont en effet accès à des données plus variées et parfois plus sensibles, telles que la localisation en temps réel, les photographies ou encore des données de santé. De plus, les permissions demandées aux utilisateurs pour accéder à des fonctionnalités et des données sur leur appareil sont souvent nombreuses (microphone, carnet de contacts, etc.). Enfin, beaucoup acteurs sont impliqués dans le fonctionnement d’une application et sont ainsi susceptibles de collecter ou de se partager des données personnelles.

À l’issue d’une consultation publique, la CNIL publie la version finale de ses recommandations pour aider les professionnels à concevoir des applications mobiles respectueuses de la vie privée. Elle s’assurera, dès 2025, que celles-ci sont bien prises en compte par une campagne spécifique de contrôles.

Disponible sur: CNIL.fr

CNIL

Accompagnement renforcé : la CNIL guidera quatre entreprises pendant six mois

En mai dernier, la CNIL a lancé un nouvel appel à candidature pour permettre à des entreprises innovantes, engagées dans une évolution rapide de leurs activités et dont le modèle d’affaires repose sur le traitement de données, de bénéficier d’un appui des équipes de la CNIL. Cette année encore, la CNIL a reçu des dossiers couvrant des champs d’activités variés : identité numérique, vidéo augmentée, numérique en santé, sécurité numérique, legal tech, jeux d’argent… témoignant d’une forte demande d’accompagnement en matière de protection des données.

La CNIL a analysé les candidatures reçues sur la base de 5 critères :

  • la mise en œuvre par l’entreprise de produits, services ou procédés innovants ;
  • le fort développement économique de la société ;
  • l’impact des traitements de données personnelles sur les personnes ;
  • l’engagement dans la conformité au RGPD ;
  • l’intérêt des questions juridiques, sociétales ou éthiques soulevées.

La CNIL a sélectionné les entreprises Docaposte, Doctrine, la Française des Jeux et ShareID pour bénéficier d’un accompagnement renforcé sur les six prochains mois. Elle leur apportera des réponses sur mesure afin de les guider vers une bonne prise en compte de la règlementation sur la protection des données.

Disponible sur: CNIL.fr

ANSSI

L’ANSSI fait le bilan cyber des Jeux Olympiques et Paralympiques de Paris 2024

Dans un article publié ce jour, l’Agence nationale de sécurité des systèmes d’information fait le bilan sur les JO. Celle-ci a mis en place, en étroite collaboration avec les différentes structures impliquées dans l’organisation des Jeux – dont en particulier la Délégation interministérielle aux Jeux Olympiques et Paralympiques (DIJOP), le ministère de l’Intérieur et des Outre-Mer (MIOM) et le Comité d’Organisation des Jeux Olympiques et Paralympiques (Paris 2024) – s’articulait autour de cinq axes principaux :

  • parfaire la connaissance des menaces cyber pesant sur les Jeux ;
  • sécuriser les systèmes d’information critiques ;
  • protéger les données sensibles ;
  • sensibiliser l’écosystème des Jeux ;
  • se préparer à intervenir en cas d’attaque cyber affectant les Jeux.

L’agence estime qu’il y a eu un nombre limité d’incidents cyber et sans impact sur le déroulement des JOP. Un total de 548 événements de cybersécurité affectant des entités en lien avec l’organisation des Jeux Olympiques et Paralympiques de Paris 2024 a été rapporté à l’ANSSI entre le 8 mai et le 8 septembre 2024. Ces derniers ont été portés à la connaissance de l’Agence et ont donné lieu à un traitement par les équipes opérationnelles.
Sur les types d’événements de cybersécurité rapportés, près de la moitié des événements de cybersécurité correspondent à des indisponibilités dont un quart sont dues à des attaques par DDoS. Le reste des événements de cybersécurité correspondent à des tentatives de compromission ou des compromissions, des divulgations de données ou bien encore des signalements de vulnérabilités. Les secteurs d’activité les plus ciblés sont les entités gouvernementales, le sport, le divertissement (sites de compétitions et Paris 2024) et les télécommunications.

Ces 548 événements de cybersécurité comprennent :

  • 465 signalements (événements de sécurité d’origine cyber avec un impact bas pour le système d’information de la victime, requérant une intervention minimum de l’Agence) ;
  • 83 incidents (événements de sécurité pour lesquels l’ANSSI confirme qu’un acteur malveillant a conduit des actions avec succès sur le système d’information de la victime).

Disponible sur: cyber.gouv.fr

HAAS Avocats

Doctolib : L’IA transforme le secteur de la santé, mais à quel prix ?

Doctolib : L'IA transforme le secteur de la santé, mais à quel prix ?

Par Haas Avocats

L’intelligence artificielle (IA) est en train de redéfinir le secteur de la santé, en apportant des solutions novatrices qui améliorent la qualité des soins et la relation entre les patients et les professionnels de santé. Doctolib, à la pointe de cette révolution, développe des outils IA prometteurs qui pourraient redéfinir la pratique médicale.

Disponible sur: haas-avocats.com

CNIL

Télésurveillance des examens en ligne : quels sont vos droits en tant qu’étudiant ?

Un établissement doit mettre en place des outils de télésurveillance d’examen adaptés au contexte et à l’enjeu de l’épreuve. Il doit toujours vous en informer, vous permettre d’accéder aux informations collectées dans le cadre de cette télésurveillance d’examen en ligne et, en règle générale, de vous y opposer. En tant qu’étudiant, la surveillance des examens en ligne peut vous concerner et peut avoir des conséquences sur votre vie privée : comme pour toute collecte et utilisation de données personnelles, vous avez des droits. De manière générale, la CNIL recommande aux établissements de proposer systématiquement des alternatives moins intrusives, comme le passage de l’examen en présentiel.

Disponible sur: CNIL.fr

CNIL

Règles d’entreprise contraignantes (BCR) : la CNIL publie un outil de suivi

Les règles d’entreprise contraignantes (binding corporate rules ou BCR en anglais) désignent une politique de protection des données intra-groupe. Elles permettent aux entités liées de transférer des données personnelles hors de l’Union européenne. Il s’agit de l’un des outils de conformité prévus par le règlement général sur la protection des données (RGPD). L’approbation des règles d’entreprise contraignantes s’inscrit dans le cadre d’une démarche d’accompagnement mise en œuvre par la CNIL. Les groupes détenteurs ont la charge de mettre en place de manière effective les obligations issues des BCR. Les entreprises concernées sont des entreprises privées multinationales, implantées dans plusieurs pays de l’Union européenne et en dehors de celle-ci (voir la liste des groupes détenteurs de BCR approuvées par la CNIL).

Afin d’accompagner les groupes détenteurs de BCR à vérifier leur mise en œuvre, la CNIL met à leur disposition un outil et décrit les étapes pour son déploiement.

Disponible sur: CNIL.fr

Cour d’appel de Francfort

Selon la Cour d’appel de Francfort (Allemagne), Microsoft est responsable du stockage de cookies sans consentement via des sites web tiers

Dans une décision publiée le 23 juillet 2024, la Cour d’appel de Francfort estime que si les utilisateurs finaux ne consentent pas à l’enregistrement de cookies sur leurs terminaux vis-à-vis des exploitants de sites web qui utilisent des cookies, la filiale de Microsoft, mise en cause en l’espèce, est responsable de l’infraction commise avec son logiciel d’entreprise. Elle n’est pas déchargée par le fait que, selon ses conditions générales de vente, les exploitants de sites web sont responsables de l’obtention du consentement. Dans une décision publiée aujourd’hui, le tribunal régional supérieur de Francfort-sur-le-Main (OLG) a obligé Microsoft à s’abstenir d’utiliser des cookies sur les équipements terminaux de la requérante sans son consentement. La Cour d’appel de Francfort ajoute que « la filiale reste tenue de démontrer et de prouver que les utilisateurs finaux ont donné leur consentement avant le stockage des cookies sur leurs terminaux. C’est à elle qu’il appartient d’apporter cette preuve. Elle devrait toutefois s’assurer de l’existence de ce consentement. La loi part à juste titre du principe que cette preuve est techniquement – et juridiquement – possible pour la défenderesse. »

Dans cette affaire, la requérante a visité des sites web de tiers à Microsoft et fait valoir de manière circonstanciée que des cookies ont été placés sur son appareil sans son consentement et demande à la défenderesse de cesser d’utiliser des cookies sur ses terminaux sans son consentement. La défenderesse fait partie de Microsoft Corporation et propose le service « Microsoft Advertising », qui permet aux exploitants de sites web de placer des annonces dans les résultats de recherche du « Microsoft Search Network » et de mesurer le succès de leurs campagnes publicitaires en collectant des informations sur les visiteurs d’un site web et de diffuser des annonces ciblées pour ces visiteurs. 

Disponible (en allemand) sur: ordentliche-gerichtsbarkeit.hessen.de
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

CNIL

Ordre du jour de la séance plénière du 18 juillet 2024

La Commission nationale de l’informatique et des libertés s’est réunie le jeudi 18 juillet 2024 à 9 h 30 avec l’ordre du jour suivant :

Partie I (avec débats):
* Examen d’un projet de délibération portant avis sur un projet de décret en Conseil d’État pris en application de l’article L. 2241-2-1 du code des transports ;
* Examen d’un projet de recommandation relative aux applications mobiles.

Partie II (sans débats):
* Examen d’un projet de délibération portant avis sur un projet de décret relatif au fichier national du permis de chasser ;
* Examen d’un projet de délibération portant avis sur un projet de convention de mise à disposition des données du système intégré de gestion et de contrôle de la politique agricole commune ;
* Examen d’un projet de délibération portant avis sur un projet de décret en Conseil d’État relatif aux inspections des officiers publics et ministériels ;
* Examen d’un projet de délibération portant agrément d’AFNOR CERTIFICATION pour la certification des compétences du délégué à la protection des données ;
* Examen d’un projet de délibération habilitant des agents de la Commission nationale de l’informatique et des libertés à établir un rapport en application du cinquième alinéa de l’article 22-1 de la loi n°78-17 du 6 janvier 1978 modifiée.

Disponible sur: CNIL.fr

Retour en haut