Dernières actualités : données personnelles

GPDP (autorité italienne)

Superviseurs de la protection de la vie privée du G7 : des déclarations sur l’IA et les mineurs, la circulation des données et la coopération internationale ont été approuvées

La quatrième réunion des autorités de protection des données du G7, coordonnée cette année par l’autorité italienne, s’est achevée aujourd’hui à Rome. La réunion, qui s’est déroulée du 9 au 11 octobre, a rassemblé le Collège de la Garante italienne et les autorités compétentes du Canada, de la France, de l’Allemagne, du Japon, du Royaume-Uni et des États-Unis d’Amérique, ainsi que le Conseil européen de la protection des données (CEPD) et le Contrôleur européen de la protection des données (CEPD).

Différents sujets ont été abordés, tous très pertinents et d’actualité, et d’importantes déclarations ont été approuvées, et notamment :

  • L’importance d’adopter des garanties appropriées pour les enfants dans le cadre du développement et de l’utilisation de l’intelligence artificielle, une technologie qui doit être conçue pour assurer leur croissance libre et harmonieuse.  La nécessité d’adopter des politiques d’innovation qui incluent également une éducation numérique adéquate, fondamentale pour l’éducation des mineurs en particulier, a également été soulignée au cours du débat.
  • Le rôle des Autorités dans la régulation de l’IA, qui a été jugé crucial justement pour en assurer la fiabilité. En effet, il a été souligné qu’elles disposent des compétences et de l’indépendance nécessaires pour assurer les garanties indispensables à la gestion d’un phénomène aussi complexe. Il a donc été convenu qu’il serait souhaitable d’exprimer aux gouvernements l’espoir que les autorités de protection des données se voient attribuer un rôle adéquat dans le système global de gouvernance de l’IA. Le suivi de l »évolution de la législation en matière d’IA et le rôle des autorités chargées de la protection des données dans les juridictions concernées est également un point important.
  • La comparaison entre les systèmes juridiques des différents pays sur le thème de la libre circulation des données, qui représente un élément important du développement et du progrès, y compris du progrès économique et social, a également été très utile.

A l’issue de l’événement, les autorités ont convenu de se rencontrer lors du G7 Privacy 2025, qui sera accueilli par l’Autorité canadienne.

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Tietosuoja (autorité finlandaise)

A partir de novembre, l’autorité finlandaise n’acceptera plus les emails en ce qui concerne l’envoi d’informations confidentielles

Dans un communiqué publié ce jour, l’autorité finlandaise à annonce qu’à partir du 1.11.2024, et pour des raisons de sécurité elle ne pourra recevoir des messages de sécurité que par l’intermédiaire du service Safe Messaging fourni par Valtor. Les documents confidentiels ou sensibles peuvent également être envoyés via nos formulaires de notification électronique dans le service « Security Form » de Valtor. Cette approche permettra de renforcer la sécurité et d’harmoniser les pratiques de l’Autorité.

L’autorité précise qu’il est recommandé d’utiliser le service SMS s’il n’y a pas de formulaire en ligne disponible. En utilisant les formulaires électroniques prévus à cet effet, les organisations peuvent signaler des violations de données à caractère personnel, envoyer une demande de consultation préalable ou les coordonnées de leur délégué à la protection des données. Les personnes peuvent envoyer des demandes d’exercice de leurs droits en tant que personnes concernées et signaler des cas de mauvaise administration dans le traitement des données à caractère personnel.

Disponible (en finlandais) sur: tietosuoja.fi
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

DPA (autorité grecque)

L’autorité prononce une ordonnance de mise en conformité pour l’installation illégale d’un système de vidéosurveillance dans une maison

Dans un communiqué de la semaine dernière et publié ce jour sur leur flux d’actualité, l’autorité annonce avoir examiné une plainte concernant l’installation d’un système de vidéosurveillance dans une maison en train de surveiller des espaces non privés. En l’occurrence, le plaignant faisait valoir que 2 des 8 caméras installées par ses voisins capturaient en continu des images de son balcon et de sa terrasse, ainsi que la voie publique. Le plaignant a exprimé son opposition au système de vidéosurveillance via un e-mail daté du 24 mars 2023, demandant des informations sur le dispositif ainsi que la restitution des enregistrements le concernant. Il a également accusé ses voisins d’avoir utilisé des captures vidéo et des photos le montrant dans des litiges judiciaires les opposant.

L’enquête menée par l’autorité grecque a confirmé les faits reprochés aux voisins, qui ont tenté de les justifier par les éléments suivants:
* L’installation est nécessaire du fait d’antécédents de cambriolage.
* Les intérêts du voisin priment sur les droits du plaignant.

Néanmoins, ces arguments n’ont pas convaincu l’autorité qui a jugé que les personnes concernées maintenaient le système de vidéosurveillance installé en violation des dispositions du RGPD et a ordonné l’arrêt de l’utilisation des caméras qui surveillent la voie publique et la maison du plaignant dans un délai de 15 jours. Elle a également demandé aux voisins de fournir la preuve de l’exécution de cette décision. Si les voisins souhaitent réactiver les caméras, ils doivent limiter la zone surveillée à ce qui est strictement nécessaire et obtenir une autorisation préalable en prouvant la légalité du système.
En revanche, pas d’amende pour cette fois !

Disponible (en grec) sur: dpa.gr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

GPDP (autorité italienne)

Les résultats du Sweep, réalisé par le Global Privacy Enforcement Network (GPEN) et  dont la Garante italienne est membre, ont été publiés

Dans sa newsletter du 13 septembre, l’autorité italienne revient sur les résultats de l’enquête du GPEN. Globalement, il est estimé que les utilisateurs de sites web et d’applications rencontrent encore trop d’obstacles lorsqu’ils doivent gérer les cookies ou supprimer leur compte. Les politiques de confidentialité, en revanche, sont faciles à lire et facilement accessibles. En effet, 26 autorités de protection des données du GPEN ont passé au crible, entre le 29 janvier et le 2 février, 899 sites web et 111 applications et ont identifié, dans 97 % des cas, la présence d’au moins un type de conception trompeuse. Parmi les indicateurs pris en considération, citons : l’utilisation d’un langage complexe et déroutant dans les divulgations, l’inclusion d’étapes supplémentaires et inutiles, l’introduction d’éléments de conception pour influencer la perception des options de confidentialité, et la demande d’informations personnelles excessives pour accéder à un service.

L’attention du garant italien de la protection de la vie privée s’est portée sur 50 sites web de « comparateurs » de services et de produits et concernait les bannières de cookies et la manière dont les comptes d’utilisateurs peuvent être supprimés. Dans plus de 60 % des cas, les bannières affichaient avec plus d’insistance l’option la moins favorable à la vie privée des utilisateurs ; dans près de 40 % des cas, l’utilisateur était contraint de suivre plusieurs étapes pour rejeter cette option ; dans un plus petit nombre de cas (environ 30 %), aucune autre option n’était présentée, hormis l’acceptation de tous les cookies. En outre, la  suppression d’un compte d’utilisateur présentait aussi souvent des difficultés en raison de l’absence d’une fonctionnalité de suppression spécifique, du nombre excessif de clics pour y parvenir, de la demande d’informations personnelles excessives et de l’utilisation d’un langage visant à dissuader l’utilisateur.

Disponible sur: privacyenforcement.net
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

NOYB – None of your business

8 ans de GDPR : La carte de fidélité des supermarchés grecs n’est toujours pas conforme

La chaîne de supermarchés grecque Alfa Vita (AB) gère un programme de cartes de fidélité qui permet de collecter les données personnelles des clients. Pourtant, l’entreprise n’est même pas en mesure de respecter les droits de base du GDPR. Lorsque la plaignante a demandé l’accès à ses données, AB a omis la plupart des données personnelles qu’elle traitait. noyb a déposé une plainte auprès de l’autorité grecque de protection des données.

Disponible sur: noyb.eu

NOYB – None of your business

Xandr de Microsoft ne permet pas aux personnes d’exercer leurs droits : NOYB dépose plainte

Le courtier en publicité Xandr (une filiale de Microsoft) collecte et partage les données personnelles de millions d’Européens à des fins de publicité ciblée détaillée. Cela permet à Xandr de vendre aux enchères des espaces publicitaires à des milliers d’annonceurs. Mais, bien qu’une seule publicité soit finalement montrée aux utilisateurs, tous les annonceurs reçoivent leurs données. Il peut s’agir de données personnelles concernant leur santé, leur sexualité ou leurs opinions politiques. De plus, bien qu’elle vende son service comme étant « ciblé », l’entreprise détient des informations plutôt aléatoires : le plaignant est apparemment à la fois un homme et une femme, employé et chômeur. Cela pourrait permettre à Xandr de vendre des espaces publicitaires à de multiples entreprises qui pensent cibler un groupe spécifique.

NOYB admet que certains détails restent inconnus, car Xandr a également refusé de donner suite à la demande d’accès et d’effacement du plaignant : au total, 1294 demandes d’accès réalisées via le « Privacy Center » de Xandr qui est visible sur un site caché ont été refusées (soit 100% des demandes), de même de 660 demandes de suppression (également 100% des demandes), au motif que Xandr  ne serait pas en capacité d’identifier les personnes concernées. Pas convaincu par l’argument au regard de la masse de données concernées, NOYB a déposé une plainte au titre du RGPD, en l’espèce auprès de l’autorité italienne.

Disponible sur: noyb.eu

GPDP (autorité italienne)

L’autorité italienne publie son rapport annuel 2023

L’autorité pour la protection des données personnelles – composée de Pasquale Stanzione, Ginevra Cerrina Feroni, Agostino Ghiglia, Guido Scorza – présente aujourd’hui le rapport sur les activités menées au cours de la quatrième année de son mandat. Le rapport illustre les différents fronts sur lesquels l’Autorité s’est engagée au cours d’une année caractérisée par des interventions dans des domaines très innovants : numérisation, intelligence artificielle, PNRR, et par certaines constantes : la lutte contre le télémarketing agressif, l’attention particulière aux personnes vulnérables et la protection des données de santé. Des deux côtés, qui sont mutuellement liés, la Garante a toujours cherché le règlement difficile, parfois ardu, des intérêts et des droits en jeu, poursuivant sa tâche de protection des droits qui sont vraiment fondamentaux pour la liberté personnelle et sociale.

Après être revenue sur les interventions qu’elle estime être les plus pertinentes (notamment dans des dossiers à enjeux tels que des dossiers IA), l’autorité nous donne ses chiffres pour 2023:
* 9281 plaintes et signalements concernant notamment le marketing et les réseaux télématiques ; les données en ligne des administrations publiques ; la santé ; la justice ; le cyberharcèlement et le revenge porn ; la sécurité informatique ; la banque et la finance ; le travail ;
* 144 contrôles, ainsi que 394 mesures correctives et sanctions pour un montant total de 8 millions d’euros (perçus) ;
* 2037 notifications de violation de données ;
* 59 avis sur des actes réglementaires et administratifs ;
* 19 200 questions traitées ;

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

GPDP (autorité italienne)

La vérification d’un vaccin non obligatoire ne justifie pas le traitement de données de santé

Dans un communiqué de presse publié ce 28 mai 2024, l’autorité italienne annonce avoir envoyé une demande d’information à la région des Pouilles sur le projet de loi introduisant l’obligation pour les élèves des collèges, lycées et universités de présenter un certificat de vaccination contre le virus du papillome (HPV) pour s’inscrire aux cours de formation correspondants, rappelant au passage que le règlement européen établit une interdiction générale de traitement des données de santé, sauf dérogations spécifiques.  L’autorité souligne également que, sur la base de la législation sectorielle, le certificat de vaccination ne peut être demandé par le personnel de l’école que dans les cas de vaccinations obligatoires.

L’autorité annonce enfin que « compte tenu de la sensibilité particulière de l’initiative, qui concerne également des élèves mineurs, la Garante a donc invité la Région à fournir, dans un délai de 30 jours, toute information utile à l’appréciation du dossier ».

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduire de manière automatisée

CNPD (autorité luxembourgeoise)

La CNPD (autorité de protection des données du Luxembourg) a mis en ligne un « bac à sable » (sandbox) réglementaire sur l’intelligence artificielle. 

Dans le cadre de sa mission de guidance la CNPD propose un « bac à sable règlementaire » ou « regulatory Sandbox ».
Le programme SandKëscht est un environnement dédié à la mise à l’essai et à la compréhension des implications légales des nouvelles technologies et / ou de nouveaux usages de la donnée, notamment dans le domaine de l’intelligence artificielle, en collaboration avec les acteurs luxembourgeois. Axée sur la protection des données personnelles, cette initiative suit un plan spécifique sur une période définie, encourageant l’innovation tout en consolidant la confiance du public dans les nouvelles technologies.

En rassemblant une diversité d’acteurs du secteur public et privé, grands et petits, le programme vise à encourager une approche collaborative et proactive dans la gestion des défis émergents liés à la confidentialité des données et à l’utilisation de l’IA. Dans cet environnement, les principes directeurs ( »proactivité, collaboration, expérimentation, agilité, orienté résultat ») conduisent la démarche et guide les participants à travers un processus structuré, garantissant une définition claire des objectifs, une évaluation rigoureuse des alternatives, une mise en œuvre efficace des actions et un suivi attentif pour assurer l’atteinte des objectifs fixés.

Disponible (en anglais) sur: cnpd.public.lu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Tietosuoja (autorité finlandaise)

Helsinki visée par une cyberattaque d’ampleur

La ville d’Helsinki a informé le bureau du délégué à la protection des données d’une violation de données dans le domaine de l’éducation et de la formation 30.4. Selon les informations fournies par la ville d’Helsinki, la violation de données a été consultée par 38 000 employés de la ville d’Helsinki et, dans le pire des cas, la violation de données affecte plus de 80 000 étudiants et leurs tuteurs. Le bureau du délégué à la protection des données a immédiatement pris des mesures lorsque l’affaire a été révélée.  Dans la première phase, il a été ordonné à la ville d’informer de la violation de la sécurité. Le bureau du délégué à la protection des données continuera d’enquêter sur l’affaire. La ville a été invitée à des éclaircissements par 5.6.” « Selon les informations actuelles, il s’agit d’un incident grave. Dans de tels cas, il est important que les personnes soient informées de la violation de données dès que possible afin qu’elles puissent se protéger des conséquences », a déclaré la commissaire adjointe à la protection des données, Annina Hautala.

Disponible (en finnois) sur: tietosuoja.fi
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Retour en haut