Dernières actualités : données personnelles

GPDP (autorité italienne)

Deux fournisseurs d’énergie individuellement condamnés à une amende 100 000 euros pour du « télémarketing sauvage »

Ce 11 avril 2024, l’autorité italienne a imposé une amende de 100 mille euros à un opérateur opérant dans le secteur des contrats de fourniture d’électricité et de gaz pour traitement illicite de données à caractère personnel.
Dans sa newsletter du 21 mai, la Garante explique avoir pris des mesures à la suite de 2 plaintes et de 56 rapports d’utilisateurs se plaignant de recevoir des appels téléphoniques non désirés et de l’activation de contrats d’énergie non sollicités. Les vérifications effectuées par l’Autorité ont révélé que les appels avaient été effectués sans le consentement des personnes concernées et qu’ils s’adressaient principalement à des utilisateurs inscrits au registre public d’opposition (Rpo). Les listes de contacts ont été acquises par le centre d’appel par l’intermédiaire de sociétés tierces et de son propre réseau d’agents ou de mandataires. En outre, à partir d’un contrôle par échantillonnage, l’Autorité a constaté qu’en l’espace d’une semaine, le centre d’appel avait contacté illégalement 106 utilisateurs qui avaient ensuite conclu un contrat de fourniture d’énergie.

Selon ses termes, « Compte tenu de la gravité des violations constatées », l’autorité a donc infligé au centre d’appel du fournisseur Facile.Energy une amende de 100 000 euros, en lui ordonnant de mettre en œuvre des mesures techniques, organisationnelles et de contrôle appropriées afin de garantir que le traitement des données personnelles des utilisateurs est effectué conformément aux règles de confidentialité tout au long de la chaîne.

L’autorité a rendu une seconde sanction de 100 000 euros, cette fois au gestionnaire d’énergie Olimpia, pour des faits similaires. L’enquête a fait suite à 2 plaintes et 18 rapports d’utilisateurs entre janvier 2022 et novembre 2022, concernant pour la plupart des questions de télémarketing. L’autorité a une fois de plus constaté que des appels téléphoniques avaient été effectués sans le consentement des personnes concernées et en utilisant les numéros des utilisateurs inscrits au registre public des oppositions et a en conséquence déclaré illégal le traitement de données à caractère personnel à des fins de télémarketing.

Disponible (en italien) sur: gpdp.it (Olimpia) et sur gpdp.it (Facile.Energy)
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

GPDP (autorité italienne)

L’autorité italienne adresse un avertissement à une mère concernant le traitement des données de sa fille

Ce 11 avril 2024, faisant suite à la plainte par le ‘gestionnaire de tutelle’ d’une mineure  concernant la diffusion, par sa maman de multiples images et informations concernant sa santé et sa vie privée – y compris des détails sur les événements criminels dont elle a été victime – ainsi que des informations relatives à sa procédure judiciaire devant le juge des tutelles sur Facebook et Instagram, l’autorité italienne a adressé un blâme à la maman autrice des publications et lui a enjoint de « communiquer les initiatives qui ont été prises afin de [cesser le traitement des images et tout contenu similaire] » dans un délai de 30 jours.

En effet, la Garante estime que celles-ci sont illégales « dans la mesure où elles sont non essentielles et portent atteinte à la dignité de XXX, en violation des articles 137, paragraphe 3, et 139 du code des données personnelles italien et les articles 6 et 10 des règles de déontologie applicables aux activités journalistisques  – et donc en violation des principes généraux de licéité et de loyauté du traitement des données à caractère personnel conformément à l’article 5, paragraphe 1, point a), du règlement ».
En effet, en application de l’article 10 des règles déontologiques italiennes – que l’autorité estime applicables à ce traitement effectué dans l’exercice de la liberté d’expression – s’agissant de la publication de données de santé dès lors que l’information n’est pas essentielle (sans intérêt public ou social majeur), la maman aurait dû  « respecter la dignité de sa ville, son droit à la vie privée et sa bienséance personnelle, en particulier dans le cas de maladies graves ou terminales ». Dans sa newsletter du 21 mai, elle précise qu’il aurait été licite de diffuser des messages qui ne contenaient pas de contenu “cru” car ils relèvent des formes de libre manifestation de la pensée.

Il est à souligner que le juge des tutelles, lors de l’audience du 8 septembre 2022, avait mis en demeure Mme XXX de « cesser immédiatement ladite activité », car elle était considérée comme « en totale violation de la vie privée de la jeune fille » et a autorisé le gestionnaire de la tutelle à déposer une plainte auprès de la Garante. Cette mise en demeure semble ne pas avoir été suivie d’effets, ce qui a engendré la plainte par le ‘gestionnaire de tutelle’ le 7 décembre 2022. Au regard de ces éléments complémentaires, il est visible que la Garante a été particulièrement clémente avec la maman en ne lui imposant pas le paiement d’une amende. 

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Conseil d’Etat (via Légifrance)

Le Conseil d’Etat confirme la sanction de la commune de Beaucaire pour des systèmes vidéosurveillance 

Le 30 avril 2024, le Conseil d’Etat n’a pas fait droite à la demande de Beaucaire d’annuler la mise en demeure prononcée par la CNIL début 2023 de mettre fin dans un délai ce 6 mois à des manquements constatés lors d’un contrôle en lien avec leur système de vidéosurveillance. Pour rendre sa décision, le Conseil d’Etat a considéré les éléments suivants:

* Sur l’absence de fondement juridique: Si la commune de Beaucaire est une autorité compétente au sens des articles L. 251-2 du code de la sécurité intérieure et 87 de la loi du 6 janvier 1978, elle n’a mis en œuvre les dispositifs litigieux qu’aux seules fins de répondre aux réquisitions des forces de l’ordre en mettant les données ainsi collectées à leur disposition pour l’exercice de leurs missions de police judiciaire. Il s’ensuit que la CNIL, qui n’a au demeurant pas commis d’erreur factuelle quant à l’indétermination des finalités poursuivies, a retenu à bon droit que cette finalité n’est pas au nombre de celles prévues par l’article L. 251-2 du code de la sécurité intérieure et que la mise en œuvre des dispositifs litigieux méconnaît donc l’article 87 de la loi du 6 janvier 1978.

* Sur la nécessité de réaliser une AIPD : Le dispositif de vidéoprotection mis en œuvre par la commune de Beaucaire comportait, à la date de la décision attaquée, 73 caméras implantées dans des zones accessibles au public, notamment à proximité d’axes de passage importants et de plusieurs services et infrastructures publics. Par conséquent, la CNIL, qui a suffisamment motivé sa décision, a exactement qualifié les faits en retenant que la mise en œuvre du dispositif de vidéoprotection litigieux était, eu égard à sa nature et à son ampleur, susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques et nécessitait par conséquent la réalisation d’une analyse d’impact relative à la protection des données à caractère personnel en application des dispositions citées au point 6.

* Sur la sécurité des données : La décision attaquée retient un manquement à l’obligation de sécurité imposée par l’article 32 du RGPD à raison de l’absence de segmentation du réseau de la commune de Beaucaire. Ce faisant, la CNIL a exposé dans la décision attaquée, ainsi qu’elle en la faculté pour l’exercice de ses missions rappelées au point 8, les mesures techniques dont la mise en œuvre est, selon elle, de nature à garantir le respect des dispositions de l’article 32 du RGPD.

Disponible sur: legifrance.gouv.fr

Tietosuoja (autorité finlandaise)

L’autorité finlandaise considère qu’un opérateur de télécommunications a le droit de conserver les données de ses clients mobiles pendant trois ans après la fin de leur abonnement

Suite à une plainte d’un client, l’autorité a enquêté sur la politique de l’opérateur de télécommunications en matière de suppression des données des clients. Le client avait demandé à l’opérateur de télécommunications de supprimer toutes les données personnelles le concernant que l’opérateur avait en sa possession. L’opérateur de télécommunications n’a pas donné suite à cette demande. L’autorité a estimé qu’une période de conservation de trois ans était justifiée parce que les données à caractère personnel peuvent être nécessaires après la fin de la relation avec le client, par exemple en ce qui concerne les dossiers en cours, la facturation ou les réclamations. L’opérateur de télécommunications n’était donc pas obligé de supprimer les données des clients qui avaient été conservées pendant moins de trois ans après la fin de la relation avec le client.

Dans sa décision, l’autorité a également évalué si l’opérateur de télécommunications avait agi illégalement en ne supprimant pas les données datant de plus de trois ans, malgré la demande du client. Les données personnelles en question concernaient une relation client qui avait pris fin plus de dix ans auparavant. Les données n’avaient pas été automatiquement effacées des systèmes informatiques en raison d’une erreur technique et l’opérateur de télécommunications ne les avait pas supprimées, même à la demande du client. Le contrôleur adjoint a adressé un avertissement à l’opérateur de télécommunications pour comportement répréhensible. Selon le règlement général sur la protection des données, les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées.

L’autorité précise néanmoins que cette décision n’est pas encore définitive.

Disponible (en finnois) sur: tietosuoja.fi
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Conseil d’Etat (via Légifrance)

Le Conseil d’Etat confirme la condamnation de VOODOO à payer 3 millions d’euros d’amende

Par une décision du 14 mai 2024, le Conseil d’Etat a confirmé la sanction prononcée par la CNIL le 29 décembre 2022 contre la société VOODOO, qui a été condamnée à payer 3 millions d’euros d’amende pour avoir réalisé du tracking publicitaire dans ses applications de jeux mobile sans consentement de l’utilisateur.

Le Conseil d’Etat estime en effet qu’ « Il résulte de l’instruction et particulièrement du contrôle effectué par la CNIL, le 18 juillet 2022, à partir d’un téléphone mobile de marque Apple, que, lorsque l’utilisateur, après avoir ouvert l’une des onze applications éditées par la société requérante et présentées par celle-ci comme les plus téléchargées, refusait d’autoriser le suivi de ses activités à des fins publicitaires, au titre du dispositif de recueil de consentement mis en place sur ses appareils par la société Apple, appelé  » sollicitation ATT  » ( » App Tracking Transparency « ), il lui était délivré une information, sans dispositif de recueil de son consentement, selon laquelle des données techniques pourraient être collectées, par lecture de l’IDFV, identifiant unique attribué à chaque téléphone mobile par le système d’exploitation de la société Apple, pour lui proposer des  » publicités non personnalisées en fonction de ses habitudes de navigation « . Il n’est pas contesté par la société requérante que les utilisateurs ne disposaient d’aucun moyen pour s’opposer au recueil de ces informations, alors qu’il avait une finalité publicitaire, de sorte qu’il ne pouvait relever des exceptions prévues par l’article 82 de la loi du 6 janvier 1978, autorisant la lecture de données par les cookies ou autres traceurs sans le consentement de l’utilisateur lorsque cette opération a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Par suite, c’est à bon droit que la formation restreinte de la CNIL a considéré que le manquement de la société requérante à l’article 82 de la loi du 6 janvier 1978 était caractérisé, faute de recueil du consentement des utilisateurs à la collecte de leurs données. Il suit de là que doit être écarté le moyen tiré de ce que ce manquement ne serait pas établi. »

Autre point intéressant dans cette affaire: selon le Conseil d’Etat, « il ne résulte d’aucune disposition [selon laquelle la CNIL] devrait procéder à une explicitation du montant des sanctions qu’elle prononce. Par suite, la formation restreinte de la CNIL n’a pas méconnu le principe de légalité des délits et des peines. » En l’espèce, le montant de l’amende était contesté au motif le calcul n’était pas explicité.

Disponible sur: legifrance.gouv.fr

CNIL

Recrutement : la CNIL met en demeure une société de minimiser la collecte de données personnelles de candidats

La CNIL a été saisie d’une plainte à l’encontre d’une société qui collectait de nombreuses données personnelles de candidats à l’embauche (lieu de naissance, nationalité, situation de famille, etc.). Cette collecte est contraire au principe de minimisation qui impose au responsable de traitement de traiter des informations limitées à ce qui est nécessaire à la réalisation des objectifs poursuivis.

Disponible sur: CNIL.fr

CNIL

Prospection commerciale : sanction de 525 000 euros à l’encontre de la société HUBSIDE.STORE

Le 4 avril 2024, la CNIL a sanctionné la société HUBSIDE.STORE d’une amende de 525 000 euros notamment pour avoir utilisé à des fins de prospection commerciale des données fournies par des courtiers en données, sans s’assurer que les personnes concernées avaient valablement consenti à être démarchées. HUBSIDE.STORE est une société qui procède à des campagnes de démarchage par téléphone et par SMS pour promouvoir les produits vendus dans ses boutiques (téléphones portables, ordinateurs, etc.). Les données des prospects démarchés sont achetées auprès de courtiers en données, éditeurs de sites de jeux-concours et de tests de produits.

Sur la base des constatations effectuées lors de contrôles, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a considéré que l’apparence trompeuse des formulaires de collecte mis en œuvre par les courtiers à l’origine de la collecte ne permettait pas de recueillir un consentement valide des personnes concernées. La société HUBSIDE.STORE ne pouvait donc procéder légalement à ses opérations de prospection par SMS (violation des dispositions de l’article L. 34-5 du code des postes et communications électroniques ou CPCE) et par téléphone (violation des dispositions de l’article 6 du règlement général sur la protection des données ou RGPD). En outre, la formation restreinte a considéré que, lors de ses opérations de démarchage téléphonique, la société ne permettait pas aux personnes d’être suffisamment informés, en violation de l’article 14 du RGPD.

Elle a donc prononcé à son encontre une amende de 525 000 euros rendue publique.

Disponible sur: CNIL.fr

GPDP (autorité italienne)

La CNIL italienne adresse un avertissement à la Worldcoin Foundation avant même qu’elle ne commence le déploiement de son traitement de données biométriques via ses ORB en Italie

Alors que la société Worldcoin, dont le traitement consiste à enregistrer l’iris des personnes concernées en vue de leur attribuer un identifiant unique et leur ouvrir l’accès à la cryptomonnaie du même nom, a d’ores et déjà fait l’objet d’une interdiction en Espagne et au Portugal quelques semaines plus tard – celle-ci poursuit son déploiement petit à petit, la CNIL italienne a décidé de prendre les devants en avertissant la société qu’il s’agirait probablement d’un traitement contraire au RGPD :

« Conformément à l’article 58, paragraphe 2, point a), du règlement et à l’article 154, paragraphe 1, point f), du code, avertit la Worldcoin Foundation, dont le siège social est situé Suite 3119, 9 Forum Lane, Camana Bay, PO Box 144, George Town, Grand Cayman KY1-9006, Îles Caïmans, en sa qualité de responsable du traitement des données à caractère personnel, que le traitement des données biométriques qui sera effectué en Italie, par l’intermédiaire des ORB et de la manière décrite ci-dessus, est susceptible d’enfreindre les dispositions du règlement« .

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Tietosuoja (autorité finlandaise)

Verkkokauppa condamné à une amende de 856.000 € par l’autorité finlandaise pour n’avoir pas précisé la durée de conservation des données relatives aux clients et pour les avoir obligés à créer un compte

La CNIL finlandaise a imposé une amende administrative de 856 000 euros à Verkkokauppa pour n’avoir pas précisé la durée de conservation des données des comptes clients du commerce électronique. En outre, la pratique de Verkkokauppa consistant à exiger la création d’un compte client pour effectuer des achats en ligne était contraire aux règles de protection des données, en particulier aux règles en matière de Privacy by design & by default, mais également aux règles liées aux durées de conservation. En particulier, l’autorité considère que  « 44. La pratique du responsable du traitement consistant à exiger l’enregistrement du client pour effectuer un achat individuel dans une boutique en ligne n’était pas conforme à l’article 5, paragraphe 1, point e), et à l’article 25, paragraphe 2, du GDPR. La procédure a également conduit à la conservation des données des acheteurs individuels pendant une période plus longue que celle qui aurait été nécessaire pour effectuer un seul achat. » Selon elle, la création d’un compte client ne doit donc pas être une condition préalable pour effectuer des achats individuels en ligne, pas plus que le stockage de données personnelles que cette pratique entraîne.

Verkkokauppa a annoncé qu’il ferait appel de la décision devant le tribunal administratif.

Disponible (en finnois) sur: tietosuoja.fi
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

HAAS Avocats

Une sanction de 100 000 € contre PAP

Une sanction de 100 000 € contre PAP

Par Haas Avocats

Le 13 février 2024, la CNIL a rendu une délibération sanctionnant la société DE PARTICULIER A PARTICULIER (ci-après : « PAP ») à hauteur de
100 000€ d’amende.

Disponible sur: haas-avocats.com

Retour en haut