Dernières actualités : données personnelles

GPDP (autorité italienne)

L’autorité italienne inflige une amende de 5 millions d’euros à un fournisseur d’électricité et de gaz

Dans sa newsletter du 13 septembre, l’autorité italienne est revenue sur une sanction infligée cet été à l’encontre d’un fournisseur d’énergie pour des manquements graves en matière de contractualisation. L’autorité est intervenue à la suite de nombreux rapports et plaintes concernant la conclusion de contrats non sollicités sur le marché libre, établis à partir de données inexactes et périmées concernant les clients de la société. En particulier, les plaignants se sont plaints de n’avoir appris l’établissement du nouveau contrat qu’après avoir reçu de Hera des documents portant une signature apocryphe ou des communications visant à mettre à jour l’état d’activation de la fourniture d’énergie, sans jamais avoir eu de contact avec l’entreprise. Certaines plaintes concernaient également la réponse inexacte ou tardive de Hera aux demandes d’exercice des droits prévus par le règlement sur la protection de la vie privée.

Sur la base des inspections effectuées, l’autorité a constaté que la société n’avait pas adopté de mesures techniques et organisationnelles adéquates pour empêcher l’utilisation illégale des données des clients par les agents de porte-à-porte. Ces derniers acquéraient en effet les données personnelles des personnes concernées en utilisant des dispositifs personnels, par exemple en prenant des photos de leurs documents d’identité, et procédaient ensuite à leur insu à l’activation de l’offre. Dans certains cas, les agents activaient également des polices d’assurance, signées avec de fausses signatures, envoyées avec les contrats. Le système de contrôle utilisé par la société au moyen d’appels téléphoniques visant à vérifier la volonté réelle du client était également insuffisant. Dans la plupart des cas, en effet, l’activation avait eu lieu même lorsque ces appels avaient échoué en raison de l’indisponibilité de la personne contactée.

La Garante a donc prononcé une amende à l’encontre de l’entreprise et lui a ordonné de prendre une série de mesures correctives, dont l’adoption d’un système prévoyant l’interruption du processus de contractualisation en cas de non-réponse à l’appel de contrôle, ainsi que la réalisation de contrôles préventifs et d’audits périodiques afin d’évaluer le travail des agences responsables.

Disponible sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

CNIL

Non-désignation d’un délégué à la protection des données : la commune de KOUROU devra encore payer 6 900 euros

Dans une décision du 12 décembre 2023, la formation restreinte – organe de la CNIL chargé des sanctions – a prononcé une amende de 5 000 euros et enjoint à la commune de désigner un délégué à la protection des données. La formation restreinte a assorti l’injonction d’une astreinte – une somme d’argent à payer en cas de non-respect d’une décision – de 150 euros par jour de retard à l’issue d’un délai de deux mois.

Le 22 juillet 2024, la CNIL a décidé de liquider l’astreinte prononcée à l’encontre de la commune de KOUROU. La commune devra payer la somme de 6 900 euros pour ne s’être toujours pas conformée à son obligation de désigner un délégué à la protection des données malgré l’injonction.

Disponible sur: CNIL.fr

GPDP (autorité italienne)

 Italie : Plus de 6 millions d’euros d’amendes à payer par le fournisseur d’énergie Eni Plenitude pour des pratiques de prospection non conformes

Dans sa newsletter du 26 juin, l’autorité italienne est revenue sur la sanction du fournisseur d’énergie Eni Plenitude, qui a été condamné à une amende de près de 6,5 millions d’euros le 6 juin 2024.  Selon elle, cette mesure fait suite à 108 signalements et 7 plaintes contre la société, de personnes qui se plaignaient de recevoir des appels téléphoniques non désirés. Au cours de l’enquête ouverte en réponse à ces signalements et plaintes, l’autorité indique avoir demandé à Eni Plenitude les données relatives aux propositions d’achat faites par le réseau de vente et conclues avec l’activation de services énergétiques, concernant une « semaine échantillon ». Résultat: sur 747 contrats conclus dans la période identifiée, 657 provenaient d’un contact illégitime. Des chiffres qui, s’ils étaient hypothétiquement projetés sur une année, conduiraient à 32 850 fournitures activées de manière illicite. Ces chiffres expliquet aisément pourquoi ces pratiques continuent quand bien même elles sont constamment dénoncées et régulièrement sanctionnées.

Toujours selon l’autorité, les lacunes concernant le contrôle et la surveillance des agences et sous-agences et le mélange des bases de données sont particulièrement graves. Selon la Garante, pour se conformer à la règle, il ne suffit pas de supprimer l’agent individuel ou d’effectuer des audits en cas d’anomalies, mais des mesures sont nécessaires pour empêcher que des contrats conclus sur la base de contacts téléphoniques illicites ou pour tirer un avantage économique d’un comportement illicite ne pénètrent dans les systèmes de l’entreprise.

Outre le paiement de la sanction, fait suffisamment rare pour le mettre en valeur, la Garante a imposé à Eni Plenitude l’interdiction de tout traitement ultérieur des données des plaignants et des dénonciateurs. L’entreprise devra également informer les 657 personnes contactées illégalement de l’issue de la procédure sur la base d’un texte à convenir avec l’Autorité, mettre en place des contrôles pour s’assurer que les contrats générés par les contacts illégaux n’entrent pas dans les actifs de l’entreprise, et garantir le respect des principes du traitement des données, avec une référence particulière aux obligations de mise à jour, d’effacement et de rectification des données personnelles relatives aux clients.

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée

ICO (autorité anglaise)

Déclaration de l’ICO sur son approche vis à vis du secteur public

Ce jour, l’ICO a publié le communiqué suivant : « En juin 2022, nous avons révisé notre approche de la collaboration avec les organismes du secteur public et lancé un essai de deux ans, comme indiqué dans la lettre ouverte que nous avons publiée à l’époque. Tout en continuant à infliger des amendes aux organismes publics le cas échéant, nous avons également utilisé nos autres outils réglementaires pour veiller à ce que les informations des citoyens soient traitées de manière appropriée et que l’argent ne soit pas détourné des domaines où il est le plus nécessaire. Nous allons maintenant examiner les deux années d’essai avant de prendre une décision sur l’approche du secteur public à l’automne. Dans l’intervalle, nous continuerons à appliquer cette approche à nos activités réglementaires en relation avec les organisations du secteur public. »

Nous aurons probablement plus d’informations dans les semaines ou mois à venir !

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

CNIL

Législatives anticipées : la CNIL poursuit ses actions pour protéger les données des électeurs

La communication et la prospection politiques reposent sur une utilisation croissante de données personnelles et n’échappent pas à la numérisation accélérée de notre société. De nouveaux usages en ligne se développent depuis plusieurs années, notamment au travers des réseaux sociaux. Le respect des règles en matière de protection des données est devenu une question centrale dans le processus électoral et, plus généralement, dans la vie démocratique. De plus en plus de personnes sollicitent la CNIL sur les mauvaises pratiques qu’elles observent et n’hésitent pas à les dénoncer publiquement.

Afin de faire face à ces différents enjeux et de s’assurer que les partis politiques et les candidats prennent en compte la législation sur la protection des données dans leurs pratiques, la CNIL a mis en place un observatoire des élections depuis 2012. Il permet notamment d’assurer le suivi des sollicitations adressées à la CNIL dans le cadre des campagnes électorales telles que les demandes de conseil des candidats ou les signalements des mauvaises pratiques.

Alors qu’elle a enregistré 167 signalements à l’issue du scrutin européen, la CNIL rappelle aux partis les règles à respecter et informe qu’elle procédera à des contrôles en fonction du nombre et de la nature des signalements qui seront reçus dans le cadre des élections législatives anticipées.

Disponible sur: CNIL.fr

CNIL

Modifications des traitements de données soumis à formalités : quelles démarches ?

Certains traitements de données de santé, soumis à des formalités préalables auprès de la CNIL, sont susceptibles d’évoluer avec le temps. Tel est également le cas des arrêtés relatifs à des traitements ayant un objet pénal, ou encore de tout texte de niveau décret ou supérieur prévoyant les caractéristiques essentielles d’un traitement de données à caractère personnel. Si les modifications ont un impact substantiel sur les modalités de mise en œuvre du traitement ou les droits des personnes, elles peuvent nécessiter l’accomplissement de nouvelles démarches auprès de la CNIL. Afin d’aider les responsables de traitement concernés (principalement des administrations centrales) à identifier et à accomplir ces démarches, la CNIL a publié ce jour une fiche pratique.

Disponible sur: CNIL.fr

CNIL

La CNIL et Départements de France renouvellent leur partenariat

La CNIL et Départements de France s’assurent, depuis 2018, de la bonne mise en œuvre du règlement général sur la protection des données (RGPD) par les départements et de la sécurisation de leurs fichiers et systèmes d’information, dans un contexte où la menace cyber est toujours élevée. Cette collaboration se traduit par une centralisation des problématiques, ainsi qu’une mutualisation des analyses et outils, au sein du groupe technique de Départements de France, avec un appui juridique et technique de la CNIL.

Les données personnelles étant un outil indispensable dans l’élaboration, l’application et l’évaluation des politiques publiques, la CNIL souhaite soutenir Départements de France dans ses efforts pour mettre en œuvre une gouvernance de la donnée personnelle respectueuse du RGPD. Les travaux communs initiés ces dernières années se poursuivront pour que le développement de l’intelligence artificielle (IA) permette l’amélioration de la qualité et de l’efficacité du service public, dans le respect des droits des personnes.

Disponible sur: CNIL.fr

ICO (autorité anglaise)

PSNI risque une amende de 750 000 livres sterling à la suite d’une erreur de tableur qui a exposé les informations personnelles de l’ensemble de son personnel.

L’ICO a annoncé son intention d’infliger une amende de 750 000 livres sterling au Service de police d’Irlande du Nord (PSNI) pour n’avoir pas protégé les informations personnelles de l’ensemble de son personnel.
L’amende proposée est liée à un incident au cours duquel des informations personnelles – y compris le nom de famille, les initiales, le grade et le rôle de l’ensemble des 9 483 officiers et employés du PSNI – ont été incluses dans un onglet « caché » d’une feuille de calcul publiée en ligne en réponse à une demande d’accès à l’information. L’enquête menée par l’ICO a révélé que les procédures internes et les protocoles d’approbation du PSNI pour la divulgation sécurisée d’informations étaient inadéquats.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

GPDP (autorité italienne)

L’autorité italienne sanctionne condamne une municipalité réalisant de la vidéosurveillance illégalement à une amende de 3 000 euros

Ce 11 avril 2024, faisant suite au signalement d’un employé qui se plaignait de l’installation d’une caméra vidéo dans le hall de la municipalité, à proximité des appareils de présence des travailleurs, l’autorité a condamné une municipalité [qui n’est pas nommée] à une amende de 3 000 euros pour traitement illégal de données à caractère personnel. Dans sa newsletter du 21 mai, l’autorité réaffirme que « l’installation d’« yeux électroniques » sur les lieux de travail doit respecter les obligations prévues par le statut des travailleurs et les garanties offertes aux employés par la législation sur la protection de la vie privée ».

Dans cette affaire, par l’utilisation des images enregistrées, l’administration avait précédemment accusé l’employé de ne pas avoir respecté ses horaires de travail, ce qui a engendré la plainte. En réponse à la demande d’explication de l’autorité, la municipalité a répondu que la caméra avait été installée pour des raisons de sécurité, suite à des agressions contre un conseiller municipal et un travailleur social. Au cours de l’enquête, le contrôleur a constaté que la municipalité n’avait toutefois pas veillé au respect des procédures de garantie prévues par le règlement sectoriel sur les contrôles à distance et qu’elle avait également utilisé les images de vidéosurveillance pour adopter une mesure disciplinaire à l’encontre de l’employé.

L’autorité a donc sanctionné l’administration et lui a ordonné de fournir à toutes les personnes concernées (travailleurs et visiteurs des locaux municipaux) des informations adéquates sur les données à caractère personnel traitées grâce à l’utilisation de la caméra vidéo en question. En effet, la municipalité n’avait pas fourni toutes les informations requises par le règlement européen et d’autres documents établis par le propriétaire à des fins différentes ne pouvaient pas être considérés comme adéquats.

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

CNIL

Jeux olympiques et paralympiques 2024 : les observations de la CNIL sur le dispositif de laissez-passer

Le 25 avril 2024, la CNIL s’est prononcée sur le texte qui institue un laissez-passer dans les « zones de sécurité » où la circulation sera restreinte en raison de l’organisation des JOP 2024. Elle a admis la légitimité du dispositif mais émis des observations sur l’utilisation de la photographie et les durées de conservation des données.

Disponible sur: CNIL.fr

Retour en haut