fbpx

Actu RGPD

Une rentrée sans arnaque

Une rentrée sans arnaque 1260 840 jeremy

L’Agence Nationale de la Sécurité des Systèmes d’Informations – ANSSI – fait état d’une recrudescence de fraudes et d’escroqueries, particulièrement en ligne depuis l’épidémie de COVID-19. L’Etat et les autorités de contrôle ont donc créé un groupe de travail national appelé TASK-FORCE de lutte contre les fraudes et les escroqueries.

Afin de limiter et de se prémunir contre la recrudescence de ces fraudes et escroqueries, la TASK-FORCE propose un guide complet afin de faciliter la reprise d’activité des entreprises et des particuliers post-confinement. Il contient notamment des recommandations en matière de phishing, de vol de coordonnées bancaires ou de rançongiciels.

Très récemment, la CNIL a d’ailleurs été informée d’une violation de données concernant plusieurs versions non mises à jour des outils Pulse Secure, utilisés par de nombreuses structures pour la sécurisation des connexions au réseau via la création d’un réseau privé virtuel – VPN. En effet, une personne ayant exploité une vulnérabilité sur des versions non mises à jour des produits Pulse Secure, aurait publié des informations confidentielles sur plus de 900 entreprises – adresses IP de serveurs, clefs privées, liste d’utilisateurs, identifiants et mots de passe notamment – au début du mois d’août sur un forum spécialisé. Les détails de la vulnérabilité ainsi que les mises à jour logicielles ont été publiées par l’ANSSI et l’éditeur Pulse Secure.

Il est donc fortement recommandé par la CNIL mais aussi de manière plus générale de :

  • régulièrement mettre à jour ses logiciels
  • d’utiliser des mots de passe robustes et de les changer régulièrement
  • de réaliser des audits de ses systèmes d’informations.

A ce titre, OPTIMEX DATA a mis en place, dans le cadre de ses missions DPO, des nouveaux outils permettant de vérifier la sécurité de vos systèmes d’informations avec l’aide de ses partenaires, telles que des campagnes de phishing et des scans de vulnérabilité notamment. Ces outils permettent notamment de simuler les attaques de robot et d’analyser les différentes failles de votre système et les risques y afférant. Ils permettent également de sensibiliser le personnel aux risques et plus particulièrement en matière de violation de données.

Attention au PV automatiques …

Attention au PV automatiques … 1260 841 jeremy

Actuellement, de nombreuses collectivités ont mis en place ou souhaiteraient mettre en place un processus automatisé de verbalisation des infractions. Pour cela, certaines Communes ont recours à un dispositif de lecture automatisée des plaques d’immatriculation des véhicules, dit « LAPI ». Il consiste à équiper les véhicules de police municipale de caméras permettant notamment de photographier, en vue rapprochée la plaque d’immatriculation des véhicules en infraction.

La CNIL rappelle que le recours à ce dispositif n’est autorisé que dans le cadre d’un contrôle de stationnement, en cas de non-paiement du forfait de stationnement. En effet, l’arrêté du 14 avril 2009 autorisant la mise en œuvre de traitements automatisés dans les communes ayant pour objet la recherche et la constatation des infractions pénales, ne prévoit pas la collecte et le traitement de « fichiers photographiques ». Les Communes ont donc l’interdiction de recourir à des dispositifs de verbalisation automatisée, consistant à photographier le véhicule et sa plaque d’immatriculation en vue de constater une infraction.

La CNIL a, à ce sujet, déjà prononcé 4 mises en demeure à l’encontre de Communes utilisant ce dispositif et invitent les collectivités à utiliser d’autres outils, en l’absence d’une modification de cet arrêté.

Pour plus d’informations concernant les recommandations de la CNIL sur le sujet, vous pouvez consulter directement le site de la CNIL en cliquant ici.

Les Nouvelles Sanctions de la CNIL

Les Nouvelles Sanctions de la CNIL 1260 840 jeremy

La CNIL a prononcé récemment de nouvelles sanctions dans le courant du mois d’août, à l’encontre d’entités diverses.

Ce mois d’août est marqué par une toute nouvelle décision de la CNIL, réalisée en coopération avec d’autres autorités de contrôle européennes et par un durcissement de la règlementation en matière de contrôle des horaires des employés.

SPARTOO : Sanction de 250 000 euros d’amende et injonction sous astreinte de se conformer au RGPD

La société SPARTOO, société de vente de chaussures en ligne, disposant d’un site web accessible dans 13 pays de l’UE a été sanctionnée par la CNIL, dans une décision du 28 juillet 2020, pour différents manquements au RGPD concernant les données des clients, prospects et salariés en raison notamment du nombre de manquements et du nombre de personnes concernées :

  • Un manquement au principe de minimisation des données 

La CNIL a considéré que l’enregistrement intégral et permanent de l’ensemble des appels téléphoniques reçus était « excessif » par rapport à la finalité du traitement, tout comme l’enregistrement et la conservation des coordonnées bancaires des clients, lors de commandes réalisées par téléphone. Elle estime donc que les données collectées ne sont pas nécessaires à la finalité du traitement réalisé.

  • Un manquement à l’obligation de limitation de la durée de conservation des données

Aucune durée de conservation des données clients et prospects n’était mise en place par la Société SPARTOO qui conservait un nombre important de données d’anciens clients selon la CNIL.

  • Un manquement à l’obligation d’information des personnes

Selon la CNIL, les informations fournies par la Politique de confidentialité des données, en ligne sur le site internet n’était pas conforme avec les obligations du RGPD notamment concernant la base légale. En effet, SPARTOO avait indiqué comme seule base légale, le consentement alors que certains traitements étaient nécessaires à l’exécution d’un contrat ou relevaient de l’intérêt légitime de la Société.

De même, la CNIL considère que les salariés n’étaient pas suffisamment informés de l’enregistrement des appels téléphoniques passés par les clients.

  • Un manquement à l’obligation de sécurité des données

La CNIL relève que les mots de passe d’accès aux comptes clients n’étaient pas suffisamment robustes et que la conservation « en clair » des numérisations de carte bancaire, ne permettait « pas de garantir la sécurité des données bancaires des clients ».

Badgeuses photo : mise en demeure de plusieurs employeurs

La CNIL a réalisé 4 contrôles suite aux plaintes de plusieurs agents publics et salariés concernant le système de badgeuse mise en place sur leur lieu de travail par leur employeur. En effet, ce dispositif de contrôle d’accès par badge réalise une prise de photo systématique de l’employé à chaque pointage de celui-ci.

Selon la Commission, l’utilisation de ce type de dispositif est excessive au regard de la finalité du traitement visée. Elle considère donc qu’il contrevient au principe de minimisation et met en demeure les organismes concernés de se conformer aux exigences du RGPD en matière de dispositif de contrôle des horaires, dans un délai de 3 mois.

Pour en savoir plus concernant les mises en demeure prononcées par la CNIL, vous pouvez consulter le site de la CNIL en cliquant ici

Privacy Shield … la suite ?

Privacy Shield … la suite ? 1260 840 jeremy

À la suite de l’invalidation du Privacy Shield par la Cour de justice de l’Union Européenne – affaire « Schrems II » – dans une décision du 16 juillet 2020, de nombreuses questions se posent quant aux conséquences de cette décision. En effet, la CJUE a considéré que la législation américaine, permettant aux autorités publiques d’avoir accès sans limitation aux données personnelles transférées de l’UE vers les Etats-Unis, à des fins de sécurité nationale, portait atteinte aux « droits fondamentaux » des personnes.

De ce fait, de nombreuses interrogations se posent en cas de transfert direct de données vers les Etats-Unis ou lorsqu’un de nos sous-traitants transfère les données dont nous sommes responsables, en tant que Responsable de traitement, vers les Etats-Unis. Le Comité Européen de la Protection des Données – CEPD – à répondu à certaines de ces interrogations le 23 juillet 2020.

Y a-t-il un délai pendant lequel les transferts restent possibles ?

NON, les transferts de données réalisés sur la base du Privacy Shield sont considérés comme illégaux à compter du 16 juillet 2020 et doivent être arrêtés sans délais. A ce titre, Max SCHREMS a récemment déposé plainte contre 101 sites web appartenant à des entreprises dans 30 Etats membres dont la France, tels que Le Huffigton Post, Leroy Merlin, Decathlon, Free Mobile, Auchan ou encore Sephora qui continueraient à transférer des données vers les Etats-Unis, via Google et Facebook depuis l’arrêt de la CJUE – source : https://www.zataz.com/six-societes-francaises-poursuivi-en-justice-pour-envoyer-des-donnees-aux-usa/ ).

Peut-on utiliser d’autres outils de transferts, prévus par le RGPD pour transférer des données vers les Etats-Unis ?

L’article 46 du RGPD prévoit d’autres bases légales que le Privacy Shield permettant de réaliser des transferts de données en dehors de l’UE. C’est notamment le cas des Clauses Contractuelles Types – CCT – ou des Règles d’Entreprise Contraignantes – dites « BCR ».

Le CEPD considère que, les CCT ou les BCR, en tant qu’outil conçu pour apporter des garanties en matière de protection des données, verront primer la loi américaine sur elles, au même titre que le Privacy Shield. Selon lui, les CCT ou les BCR ne peuvent donc, à elles seules, suffirent pour réaliser des transferts de données vers les Etats-Unis.  En effet, le Comité estime qu’il conviendra d’analyser « au cas par cas » les circonstances du transfert ainsi que d’éventuelles mesures supplémentaires afin d’évaluer si la législation américaine ne compromet pas le niveau de protection garantit par les clauses – CCT ou BCR – et les mesures supplémentaires.

Existe-il des dérogations permettant de transférer des données aux Etats-Unis, en l’absence des garanties prévues par l’article 45 et 46 du RGPD ?

OUI, un certain nombre de dérogations à la réalisation de transferts de données en dehors de l’UE sont prévus par l’article 49 du RGPD. C’est le cas lorsque :

  • la personne a expressément consenti à ce transfert
  • le transfert est nécessaire à l’exécution d’un contrat et est occasionnel
  • le transfert est nécessaire pour des raisons d’intérêt public selon la législation de l’UE ou d’un Etat-membre.

Le CEPD a considéré que ces dérogations étaient toujours applicables en cas de transfert de données vers les Etats-Unis.

Le Comité complétera au fur et à mesure son analyse et mettra à jour ces recommandations en la matière.

Une nouvelle version de l’outil de PIA pour la réalisation des analyses d’impact

Une nouvelle version de l’outil de PIA pour la réalisation des analyses d’impact 960 640 jeremy

Deux ans après l’entrée en application du RGPD, les analyses d’impact sur la vie privée se sont multipliées au sein des organismes.

A titre de rappel, l’analyse d’impact est obligatoire à partir du moment où le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées ». En effet, soit le traitement envisagé figure dans la liste des types d’opérations de traitement pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données (ex. traitement de données de localisation à large échelle) soit le traitement remplit au moins deux des neuf critères issus des lignes directrices du G29 tels que : la surveillance automatique, la collecte de données sensibles, la collecte de données concernant des personnes vulnérables, etc…

En revanche, la PIA n’est pas nécessaire lorsque le traitement figure dans la liste des exceptions adoptée par la CNIL (ex. traitement mis en œuvre uniquement à des fins de ressources humaines), lorsque le traitement ne présente pas de risque élevé pour les droits et libertés des personnes ou encore lorsque le traitement répond à une obligation légale ou est nécessaire à l’exercice d’une mission de service public.

La CNIL a mis à la disposition des responsables de traitement et leur délégué à la protection des données, un logiciel de PIA pour faciliter la conduite et la formalisation des analyses d’impact telles que prévues par le RGPD.

Cet outil, dans sa version 2.3, s’est enrichi de nouvelles fonctionnalités afin de faciliter la gestion des analyses d’impact et ainsi permettre au responsable de traitement un suivi de l’évolution d’une analyse. Quelques nouveautés :

  • Possibilité de faire des recherches par mots clés pour filtrer les analyses d’impact
  • Possibilité d’archiver les analyses d’impact
  • Possibilité de créer plusieurs versions d’analyse d’impact
  • Possibilité de catégoriser les analyses d’impact
  • Amélioration du pourcentage d’avancement au niveau des analyses d’impact
  • Elargissement des langues notamment avec 20 langues disponibles : allemand, espagnol, anglais, etc…
  • Harmonisation de l’interface graphique
  • Mise à jour des bibliothèques de développement

Rapport d’activité 2019 : rappel des temps forts et enjeux à venir

Rapport d’activité 2019 : rappel des temps forts et enjeux à venir 960 640 jeremy

Cette année encore, la CNIL revient sur les temps forts de 2019 et les grands enjeux à venir. Avec ce nouveau rapport d’activité, la CNIL constate des chiffres inédits preuve d’une grande mobilisation des citoyens face aux enjeux de la protection des données.

Cette année aura également été marquée par une sanction record à l’encontre du géant américain Google (50 millions d’euros, sanction confirmée par le Conseil d’Etat) traduisant la mise en place effective des nouveaux plafonds de sanctions prévus par le Règlement.

Le bilan d’activité en quelques chiffres :

8 sanctions ont été prononcées en 2019, dont :

  • 7 amendes d’un montant total de 51 370 000 euros comprenant la plus forte amende prononcée à ce jour par une autorité de protection des données en Europe ;
  • 5 injonctions sous astreinte
  • 42 mises en demeure

Les sanctions concernaient les points suivants : atteintes à la sécurité des données personnelles ; manquements à l’obligation d’information des personnes ; manquements liés aux durées de conservations des données.

A côté de ces chiffres, la CNIL rappelle les enjeux 2020 :

Une recommandation sur les cookies et autres traceurs

La CNIL a proposé un plan d’action le 28 juin 2019 qui se poursuit en 2020. Ce plan d’action a deux objectifs : répondre aux plaintes individuelles et collectives et accompagner les professionnels du secteur du marketing dans leur mise en conformité par rapport aux obligations du RGPD.

Participer aux expérimentations sur la reconnaissance faciale

La reconnaissance faciale est devenue, depuis quelques années, une inquiétude pour les citoyens. Face au développement des portiques de reconnaissances faciale (Nice, Marseille), la CNIL a publié ses objectifs :

  • Présenter techniquement la reconnaissance faciale, et surtout, la diversité des usages possibles ;
  • Mettre en lumière les risques ;
  • Rappeler le cadre s’imposant aux dispositifs pour respecter les droits des personnes ;
  • Préciser le rôle de la CNIL dans les futurs expérimentations ou déploiements de dispositifs de reconnaissance faciale.
Mobiliser face au Coronavirus (COVID-19) :

La CNIL reste également mobilisée face à la pandémie puisqu’elle a publié de nombreux contenus à destination des professionnels mais également des particuliers. Elle s’est mobilisée pour instruire en priorité, dans des délais brefs, les demandes d’autorisation de projets de recherche portant sur le COVID-19, lorsque les traitements ne sont pas conformes aux méthodologies et référence déjà adoptées.

La position du Conseil d’État concernant les lignes directrices de la CNIL en matière de cookies et autres traceurs

La position du Conseil d’État concernant les lignes directrices de la CNIL en matière de cookies et autres traceurs 960 640 jeremy

Lors de notre dernière newsletter, nous vous avions fait part des nouvelles recommandations de la CNIL en matière de cookies et autres traceurs.  En effet, la CNIL avait publié ses lignes directrices début juillet pour encadrer le dépôt et la lecture des cookies et autres traceurs lorsque l’internaute se rend sur un site internet.

Le 19 juin 2020, le Conseil d’Etat a validé pour l’essentiel les lignes directrices relatives aux cookies et traceurs adoptées par la CNIL le 4 juillet 2019. L’objectif de ces lignes directrices était d’encadrer juridiquement l’utilisation des cookies et traceurs afin de garantir aux utilisateurs la maitrise de leurs données personnelles.

Toutefois, une pratique a été formellement annulée par le Conseil d’Etat, à savoir le « Cookies Walls ». Les cookie walls sont utilisés par les sites web pour refuser l’accès aux utilisateurs s’ils ne consentent pas à tous les cookies et traceurs présents sur ce site.

Les lignes directrices validées par le Conseil d’Etat

Lors de sa décision, le Conseil d’Etat a validé l’essentiel des interprétations ou recommandations contenues dans les lignes directrices à savoir :

  • Toute personne doit pouvoir refuser de donner son consentement aussi facilement que de l’accorder;
  • Toute personne doit pouvoir retirer son consentement aussi facilement qu’elle ne l’a donné ;
  • Tout consentement doit être donné pour une finalité déterminée ce qui implique une information spécifique pour chaque finalité envisagée ;
  • Toute personne doit être informée de l’identité du/des responsable(s) de traitement qui effectue(nt) le dépôt des cookies
  • Tout responsable de traitement doit être en mesure de démontrer que le consentement recueillis est valide

La censure du Conseil d’Etat

Le Conseil d’Etat a pris la décision de censurer un alinéa par lequel la CNIL estimait qu’un internaute ne devait pas subir d’inconvénients majeurs en cas d’absence ou de retrait du consentement. La CNIL avait précisé dans ses recommandations que l’accès au site internet ne pouvait jamais être interdit si l’utilisateur n’accepte pas les cookies.

Pour prendre une telle décision, la CNIL s’était basée sur la position du CEPD (Comité Européen de Protection des Données personnelles).

Le Conseil d’Etat estime qu’en déduisant cette interdiction générale du RGPD, la CNIL a été au-delà de ce qu’il est légalement possible de faire dans le cadre de lignes directrices.

Et maintenant ?

Pour conclure, et suite à la décision du Conseil d’Etat, les lignes directrices seront ajustées afin de prendre en considération les différents points apportés par le Conseil d’Etat et ainsi être conforme.

Pour rappel, les modalités de recueil du consentement aux cookies seront précisées dans une future recommandation de la CNIL, qui a fait l’objet d’une consultation publique.

L’ajustement des lignes directrices et l’adoption de cette recommandation doit intervenir après la rentrée de septembre 2020.

Focus sur la plateforme des données de santé – PDS ou Health Data Hub

Focus sur la plateforme des données de santé – PDS ou Health Data Hub 960 640 jeremy

La CNIL fait un rappel des enjeux pour les libertés individuelles et les règles à suivre concernant la Plateforme des Données de Santé – PDS ayant pour objectif de faciliter le partage des données de santé issues de sources variées afin de favoriser la recherche.

Les missions de la PDS sont prévues par l’article L.1462-1 du Code de la santé publique et consiste par exemple à :

  • Réunir, organiser et mettre à disposition des données, issues notamment du SNDS (Système National des Données de Santé)
  • Informer les patients, promouvoir et faciliter l’exercice des droits ;
  • Contribuer à l’élaboration des référentiels de la CNIL

La CNIL a par ailleurs eu l’occasion de se prononcer à deux reprises et notamment en avril 2020 concernant sa mise en œuvre anticipée pour les besoins de la gestion de l’urgence sanitaire. Dans son avis, la CNIL a attiré l’attention sur les risques liés aux conditions de démarrage anticipé de la solution et les éventuels risques matériels et juridiques en matière d’accès direct par les autorités de pays tiers. Ainsi, la CNIL fait part de ses recommandations et règles à suivre :

Sur la constitution d’un entrepôt de données au sein de la PDS

La constitution de cette base, ne saurait être encadrée que pour la période d’urgence sanitaire déclaré à l’article 4 de la loi du 23 mars 2020. Au-delà, ce traitement ne disposerait plus de base légale.

La centralisation de données au sein du « catalogue » de la PDS, qui constitue un entrepôt de données, devra être soumis à autorisation préalable de la CNIL.

Sur la sécurité globale de la PDS

Sous réserve de la mise en œuvre des mesures prévues dans le plan d’action défini dans l’homologation de la PDS, la CNIL considère que la sécurité des données mises à disposition par la PDS est assurée. Il faut toutefois garder à l’esprit que les mesures de sécurité devront être réévaluées régulièrement pour prendre en compte les évolutions de la plateforme.

La CNIL recommande notamment au niveau des imports/exports, qu’une vigilance particulière soit de mise afin de garantir l’anonymat effectif des exports et qu’une vision plus globale de sécurité soit donnée aux responsables de traitement pour les informer des conditions de sécurité.

Pour tout démarrage anticipé, la CNIL exige que la PDS s’assure que cette mise en œuvre n’engendre pas de risque supplémentaire pour les personnes concernées.

Sur les transferts de données hors Union Européenne (UE)

La CNIL estime que des données personnelles pourront être transférées hors de l’UE et prend acte de la mise en place de clauses contractuelles types pour encadrer ces transferts, conformément aux dispositions du RGPD.

Au regard du caractère sensible et du volume des données ayant vocation à être hébergées au sein de la PDS, la CNIL demande qu’une vigilance particulière soit accordée aux conditions de conservation et aux modalités d’accès aux données.

La CNIL souhaite que son hébergement ainsi que les services liés à sa gestion soient réservés à des entités relevant exclusivement des juridictions de l’Union Européenne.

Et après ?

La CNIL devrait être saisie prochainement pour avis d’un projet de décret modifiant le décret n°2016-1871 du 26 décembre 2016 relatif au traitement de données personnelles dénommé « système national des données de santé ». Ce décret doit préciser la répartition des responsabilités entre PDS et porteurs de projets et les modalités d’information des personnes concernées par le SNDS et d’exercice de leurs droits.

Le nouvel avis de la CNIL sur l’application mobile STOPCOVID

Le nouvel avis de la CNIL sur l’application mobile STOPCOVID 1260 839 jeremy

La mise en place par le Gouvernement d’une application mobile intitulé « STOPCOVID » permettant aux utilisateurs d’être informée qu’ils ont été à proximité d’une personne diagnostiquée positive au Covid-19, par le biais d’un système de reconstruction de l’historique des contacts d’une personne contaminée via un traçage des données mobiles, pose de nombreuses interrogations en matière de protection des données personnelles. Après un premier avis rendu par la CNIL le 24 avril 2020, dont nous vous avions parlé en détail lors de notre actualité d’avril 2020, la CNIL vient de rendre un second avis, le 25 mai 2020, après avoir eu plus d’informations sur la mise en application concrète de cette application mobile.

Les principales recommandations émises par la CNIL dans son avis du 24 avril 2020, ont été suivi par le Gouvernement et notamment l’utilisation de l’application sur la base du volontariat, l’absence de conséquence juridique négative en cas de refus de recourir à l’application, l’absence de création d’une liste de personnes contaminées mais seulement d’une liste de contacts ou encore la mise en place de mesures de sécurité afin de garantir la protection des données.

Dans son second avis du 25 mai 2020, la CNIL rappelle que la crise sanitaire actuelle est « de nature à justifier, dans certaines conditions, des atteintes transitoires au droit à la protection de la vie privée et des données à caractère personnel. » Elle considère donc que l’application peut être déployée sous certaines conditions et sous réserve d’une évaluation de la nécessité et/ou utilité de cette application après son lancement.

La CNIL ajoute donc à ces précédentes recommandations, les préconisations suivantes :

  • une meilleure information des utilisateurs notamment quant aux traitements de leurs données personnelles et aux possibilités d’effacement de celles-ci ;
  • la mise en place d’une information particulière pour les mineurs et leurs responsables légaux;
  • l’intégration dans le décret instituant l’application, du droit d’opposition et d’effacement pour les utilisateurs ;
  • l’accès libre des utilisateurs à la structure de programmation de l’application.

La CNIL a rappelé qu’elle opèrera un contrôle régulier de la mise en œuvre pratique de cette application. Nous vous tiendrons informé de ces recommandations et des points d’alerte à observer en cas d’utilisation de cette application.

Déconfinement : l’avis de la CNIL sur le projet de décret encadrant la politique nationale de dépistage

Déconfinement : l’avis de la CNIL sur le projet de décret encadrant la politique nationale de dépistage 1260 840 jeremy

À la suite de la crise sanitaire inédite qui nous touche, le Gouvernement a mis en place, à compter du 11 mai, une Politique de déconfinement progressif. Cette Politique s’accompagne de mesures permettant de dépister les malades du Covid-19 et de réaliser des enquêtes sanitaires.

Pour ce faire,  la loi n°2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire a permis la création temporaire de deux fichiers nationaux permettant d’identifier les personnes infectées (« patients 0 »), les personnes susceptibles d’être contaminées par ce patient 0 (« cas contact ») et les chaînes de contamination : le fichier SI-DEP et le fichier Contact Covid.

Afin de garantir la protection des données personnelles des personnes enregistrées dans ces fichiers, la CNIL a émis un avis le 8 mai 2020, avant même l’adoption de la loi prorogeant l’état d’urgence sanitaire, sur le projet de décret encadrant les conditions de mise en œuvre de ces fichiers.

Des fichiers sensibles en matière de protection des données personnelles

Les fichiers SI-DEP et Contact Covid contiennent des données personnelles et de vie personnelle (identité, hébergement, déplacement, participation à des rassemblements, etc.) ainsi que des données sensibles telles que des données de santé. De plus, ces fichiers pourront être consultées par un grand nombre d’acteurs, tels que les enquêteurs sanitaires.

La CNIL a estimé que le dispositif mis en place était « globalement » conforme au RGPD, notamment en raison du caractère nécessaire du traitement de données pour la réalisation de la politique sanitaire de déconfinement. Elle a également relevé que des moyens permettant de garantir la protection des données personnelles étaient mis en œuvre, tels que :

  • le caractère volontaire de la participation aux enquêtes
  • la limitation des données de santé traitée
  • le caractère temporaire du dispositif.
 Les recommandations de la CNIL

Cependant, aux vues du grand nombre de données personnelles collectées et enregistrées, dont sensibles ainsi que de leur grande accessibilité, la CNIL a recommandé que soit mis en œuvre un certain nombre d’éléments permettant de garantir la protection des données personnelles tels que :

  • la limitation des accès des utilisateurs des fichiers en fonction du poste occupé au sein du dispositif sanitaire ;
  • la formation des personnes ayant accès aux fichiers et la mise en place de mesures de traçabilité des consultations ;
  • la limitation des durées de conservation des données dans le système à 3 mois à compter de la collecte ;
  • la garantie des droits d’accès, d’information, de rectification et d’opposition.

Le Gouvernement a pris en compte l’avis de la CNIL puisque le décret, paru le 12 mai a suivi ses recommandations. La CNIL a toutefois précisé qu’elle opérerait des contrôles dans les semaines suivant la mise de place du dispositif, afin de vérifier son application pratique et que la nécessité de réaliser un tel traitement de données serait « régulièrement réévalué ».