juin 2021

UE – Sécurisation des transferts hors de l’Union européenne

2021-06-28T19:26:08+00:0028 juin 2021|Actualités Vigier Avocats|

Juin a été riche en actualités pour les transferts de données à caractère personnel en dehors de l’Union européenne.

A trois jours avant la fin de la période transitoire à la suite du Brexit, l’ensemble des Etats membres est parvenu à un accord sur l’adoption d’une décision d’adéquation pour le Royaume-Uni. Dès lors, les transferts de données vers le Royaume-Uni pourront être effectués sans que des garanties supplémentaires ne soient nécessaires au même titre que les transferts réalisés au sein même de l’Union européenne. Cette décision restera applicable jusqu’au 27 juin 2025, sauf si elle fait l’objet d’une prorogation ou, au contraire, d’une abrogation si les conditions de protection ne sont plus assurées par le Royaume-Uni.

Dans le même sens, au début du mois, la Commission a publié un projet de décision d’adéquation pour le transfert des données à caractère personnel vers la Corée du Sud. Reste à attendre la publication officielle de cette décision pour que la Corée du Sud ne soit plus considérée comme un Etat tiers.

En effet, sans décision d’adéquation, les organismes transférant des données à caractère personnel en dehors de l’Union européenne doivent mettre en place des garanties appropriées, notamment des clauses contractuelles types. A ce titre, elles ont été revues à la lumière du RGPD. Les nouvelles clauses contractuelles types (CCT) sont entrées en vigueur le 27 juin 2021.

Ces nouvelles CCT tiennent compte, d’une part, de l’entrée en application du RGPD en 2018 et, d’autre part, du renforcement du niveau de protection attendu de l’importateur. Les CCT introduisent ainsi de nouvelles garanties et formalisent l’analyse d’impact préconisée par le Comité européen à la protection des données. Ainsi, l’exportateur de données devra s’assurer que le pays vers lequel il entend transférer des données à caractère personnel respecte les clauses types et, le cas échéant, mette en œuvre des garanties supplémentaires.

En effet, les exportateurs de données sont invités à compléter les clauses types avec des mesures techniques, organisationnelles ou contractuelles supplémentaires telles que des mesures de pseudonymisation et chiffrement des données, des habilitations strictes…

Les nouvelles CCT couvrent toutes les situations : les relations entre responsable de traitement et sous-traitant et inversement ou encore celles entre sous-traitant et sous-traitant.

Les anciennes clauses CCT seront abrogées le 27 septembre 2021, soit 3 mois après l’entrée en vigueur des nouvelles clauses.

Une période de transition jusqu’au 27 décembre 2022 est accordée aux responsables de traitement et sous-traitants qui utilisent actuellement les anciennes clauses pour se conformer aux nouvelles CCT, sous réserve que les traitements faisant l’objet de leur contrat actuel restent inchangés.

Décision adéquation Royaume-Uni
Nouvelles Clauses Contractuelles Types

CNIL – Intégration de données Covid-19 au SNDS

2021-06-08T15:36:41+00:003 juin 2021|Actualités Vigier Avocats|

La loi n°2021-689 du 31 mai 2021 relative à la gestion de la sortie de crise sanitaire, validée par le Conseil constitutionnel, publiée au Journal officiel le 1er juin 2021, prévoit notamment l’intégration des données recueillies par les systèmes d’information mis en œuvre dans le cadre de la lutte contre l’épidémie de Covid-19 au Système national des données de santé (SNDS). Ces systèmes d’information, SI-DEP et Contact Covid, permettent respectivement de centraliser l’ensemble des résultats des tests effectués et d’assurer le suivi des patients et de leurs cas contacts.

Dans sa décision du 31 mai 2021, le Conseil constitutionnel a validé cette intégration sous réserve que les coordonnées de contact téléphonique ou électronique des personnes concernées ne soient pas intégrées au SNDS.

Jusqu’à cette loi, les données issues de SI-DEP et Contact Covid pouvaient être conservées jusqu’au 31 décembre 2021. Désormais, avec le versement de ces données dans le SNDS, la conservation pourra aller jusqu’à 20 ans après leur transfert.

Consulté sur le projet de loi en avril 2021, le Conseil d’Etat estime que, compte tenu de la pseudonymisation des données, la durée de conservation de 20 ans prévue par le SNDS n’est pas excessive au regard de l’intérêt public qui s’attache à ce que les données de santé puissent être utilisées pour l’amélioration des connaissances sur la Covid-19.

S’agissant de l’information des personnes concernées, les responsables de traitements doivent les informer, sans délai et par tout moyen, que les données les concernant sont rassemblées et mises à disposition via le SNDS, ainsi que de la durée de conservation, des personnes qui y ont accès et des finalités en vue desquelles elles peuvent être traitées. Les personnes concernées disposent d’un droit d’opposition.

Cette information est délivrée individuellement aux personnes dont les données sont collectées à compter du 2 juin 2021, date d’entrée en vigueur de la loi.

mai 2021

CNIL – Rapport d’activités 2020

2021-05-21T18:37:24+00:0021 mai 2021|Actualités Vigier Avocats|

La CNIL vient de publier son rapport d’activités annuel de 2020 et de mettre à jour la liste de ses agents habilités à effectuer des vérifications.

Sur l’année écoulée, 247 contrôles ont été effectués dont 82 contrôles en ligne et 74 sur pièces, 72 sur place et 19 sur audition. Les contrôles sur place représentent habituellement la moitié des contrôles. Du fait de la crise sanitaire, d’autres modalités de contrôle ont été privilégiés.

La CNIL a traité 56 signalements de violations de données, liées à des failles de sécurité rendant accessible des données sur internet sans protection.

Les plaintes sont la principale source de déclenchement des contrôles (+40%) ainsi que l’actualité (32%). 15 % des contrôles concernent les thématiques du programme de contrôle annoncé pour l’année (Cf Actualités en date du 13 mars 2020)

La CNIL a prononcé 14 sanctions : 11 amendes, 2 rappels à l’ordre de la formation restreinte et 1 injonction), 49 mises en demeure, 38 rappels à l’ordre et 2 avertissements de la Présidente.

L’année 2020 a aussi été marquée par un pic des notifications de violations des données avec une hausse de 24%. 17% d’entre elles concernaient des données sensibles. Le secteur de la santé et de l’action sociale a connu une progression de 83% des notifications. La majorité des violations de données a concerné une perte de confidentialité et émanait souvent d’un acte d’origine externe malveillant.

Dans le cadre de la crise sanitaire, la CNIL a mis en place une procédure accélérée d’instruction des demandes d’autorisation de recherches dans la Covid-19, en acceptant des dossiers pour lesquels l’avis du Comité éthique n’avait pas encore été rendu et un accompagnement des déposants.

La CNIL continue son accompagnement dans le domaine de l’innovation avec le lancement, début 2021, du dispositif « bac à sable » visant les projets en santé numérique dans une logique de privacy by design (protection des données dès la conception).

Rapport annuel 2020

mars 2021

CNIL – Programme de contrôle 2021

2021-03-02T23:35:36+00:002 mars 2021|Actualités Vigier Avocats|

Pour la seconde année consécutive, la sécurité des données de santé et l’utilisation des cookies sont parmi les priorités. La cybersécurité des sites web complète ce programme. Une cinquantaine de contrôles devrait y être consacrée.

En 2021, la CNIL poursuivra les contrôles amorcés sur la sécurité des données de santé, dans le contexte de la crise sanitaire et le développement de la e-santé. La fuite massive de données de santé récente illustre cette priorité. Elle vérifiera également l’application des nouvelles recommandations en matière de cookies et traceurs (Actualité de décembre 2020), comme elle l’avait annoncé. Le défaut de sécurité des sites web et l’augmentation des notifications de violation de données ont conduit la CNIL à faire de la cybersécurité des sites web une priorité.

En 2020, 6 500 actes d’investigation ont été réalisées dont 247 procédures formelles de contrôle.

Pour mémoire, les contrôles sont déclenchés suite à des réclamations/plaintes, signalements, programme annuel, en fonction de l’actualité, signalement par une autre autorité, vérification suite à des procédures de contrôle clôturées, de mises en demeure, des sanctions.

Formation Anticiper et gérer un contrôle de la CNIL 27 mai 2021

juillet 2020

Données personnelles – Invalidation du Privacy Shield

2020-07-24T20:01:17+00:0024 juillet 2020|Actualités Vigier Avocats|

Le Comité Européen à la Protection des Données (ou EDPB) a publié un « questions-réponses » relatif à l’invalidation du Privacy Shield par un arrêt de la Cour de Justice de l’Union européenne (C-311/18) rendu la semaine dernière, le 16 juillet 2020. Cet arrêt fait suite à une demande de décision préjudicielle introduite par la Haute Cour irlandaise, dans une affaire opposant Facebook et Maximilien Schrems.

La Cour de Justice de l’Union européenne a jugé que le Privacy Shield n’assurait pas une protection des données personnelles équivalente à celle mise en place au sein de l’Union européenne. Certaines exigences américaines limitent la protection des données personnelles, notamment la loi américaine n’accorde pas aux personnes concernées de droits de recours devant les tribunaux contre les autorités américaines.

Cette décision est d’application immédiate.

Pour les responsables de traitement et les sous-traitants qui transfèrent des données personnelles depuis l’Union européenne vers des organismes situés aux Etats-Unis, il convient de

  •  Identifier les traitements de données concernés par de tels transferts de données,
  •  Vérifier si ces transferts sont réalisés et conformes à l’aide du Privacy Shield,
  •  Dans ce cas, revoir et mettre à jour l’analyse d’impact relative à ces traitements de données pour évaluer les mesures complémentaires de sécurité à mettre en place ainsi que les clauses contractuelles standards ou autres garanties appropriées.
Télécharger le PDF
Télécharger le PDF

juin 2020

LAC – Publication du décret n°2020-730 relatif aux avantages offerts

2020-06-23T22:52:44+00:0017 juin 2020|Actualités Vigier Avocats|

Le décret n° 2020-730 du 15 juin 2020 relatif aux avantages offerts par les personnes fabriquant ou commercialisant des produits ou des prestations de santé est paru au Journal officiel de ce jour.

Le décret précise les modalités de déclarations et d’autorisations des dérogations, notamment les délais et les documents nécessaires.

  • Pour les déclarations : le délai est de 8 jours au plus tard avant l’évènement, en adressant la convention signée.
  • Pour les autorisations, le délai est de 2 mois à compter de la réception du dossier complet. En cas de dossier incomplet, l’instance saisie a 1 mois pour le signaler.

Il est prévu une procédure d’urgence qui ramène le délai à 3 semaines. L’urgence est laissée à la libre appréciation de l’autorité compétente.

En cas de refus, le déclarant a 15 jours à compter de sa notification pour modifier la convention. L’autorité compétente se prononce alors dans les 15 jours.

Le silence de l’autorité compétente à l’issue des délais vaut autorisation de la convention.

L’autorisation de cumul d’activités pour les agents publics devient un élément obligatoire.

Si les dispositions du présent décret entrent en vigueur le 1er octobre 2020, cela ne sera réellement applicable qu’avec la parution des arrêtés fixant les différents seuils ainsi que la plateforme permettant la téléprocédure.

Deux sessions de formation sur la nouvelle loi anti-cadeaux auront lieu les 3 et 9 juillet prochain au cabinet. Le nombre de participants est limité pour favoriser les échanges et respecter les gestes barrières.

Télécharger le PDF

CNIL – Publication du rapport d’activités 2019

2020-06-09T15:04:28+00:009 juin 2020|Actualités Vigier Avocats|

Dans son rapport d’activités pour 2019, paru ce matin, la CNIL constate que de nombreuses plaintes font suite principalement

  • à la réception de prospection,
  • au non-respect des droits des personnes, notamment le droit d’accès à des dossiers personnels dont 42 % sur l’accès au dossier médical,
  • aux défauts de sécurisation des données, avec les mots de passe transmis en clair ou non suffisamment complexe.

La CNIL révèle avoir procédé à 300 contrôles dont :

  • 169 contrôles sur place,
  •  53 contrôles en ligne,
  • 45 contrôles sur pièce,
  • 18 auditions.

Plus du tiers de ces contrôles font suite à des plaintes ou des réclamations. Et presque un quart fait suite à des signalements de violations de données personnelles.

Si la CNIL a noté plusieurs mauvaises pratiques, notamment concernant :

  •  des délais excessifs pour répondre aux demandes d’exercice de droits,
  •  l’absence de lien de désabonnement dans les courriels de prospection commerciale,
  •  le fait qu’un client ne puisse pas supprimer son compte en ligne par lui-même.

Elle souligne plusieurs bonnes pratiques tel que

  • l’élaboration de réponses types à destination du service client pour gérer l’exercice des droits des personnes,
  •  l’utilisation d’une adresse électronique dédiée par un service unique,
  • le traçage des demandes d’exercice des droits dans un outil spécifique.
Télécharger le PDF

mai 2019

Flash Info – CNIL – Stratégie de contrôle pour 2019

2019-05-20T18:42:10+00:0020 mai 2019|Actualités Vigier Avocats|

Parue au Journal officiel, la délibération du 9 mai 2019 a mis à jour la liste des agents habilités à procéder à des missions de vérification sur place. La CNIL va pouvoir mettre en œuvre sa stratégie de contrôle.
La période transitoire, pendant laquelle les organismes ayant initié une démarche de mise en conformité n’ont pas été sanctionnés, est révolue.
La CNIL a annoncé qu’elle sanctionnera les organismes non-conformes à la règlementation. Pour cela, elle tiendra compte de la gravité des manquements, de la bonne foi et de la coopération de l’organisme pour prendre les suites les plus appropriées.
Lors des contrôles, la CNIL veillera au respect des droits des personnes concernées, à la répartition des responsabilités entre le responsable de traitement et ses sous-traitants, ainsi que le traitement des données des mineurs.

Assurez-vous que

  • le registre des traitements mis en place est tenu à jour, ainsi que le registre des violations de données,
  • les analyses d’impact pour les traitements pour lesquels elles sont requises ont été réalisées,
  • les contrats avec les sous-traitants définissent bien les responsabilités de chacune des parties,
  • la procédure pour la gestion de l’exercice des droits des personnes concernées et des réclamations est à jour.
Télécharger le PDF

avril 2019

Flash Info – CNIL – Publication du rapport d’activité 2018

2019-04-15T22:50:38+00:0015 avril 2019|Actualités Vigier Avocats|

La CNIL vient de publier son rapport d’activité annuel, premier rapport depuis l’application du RGPD.
1170 notifications de violation de données, principalement des atteintes à la confidentialité des données. La CNIL annonce d’ores et déjà qu’elle va s’assurer, lors des contrôles, de la mise en place de procédures et un registre des violations.
La CNIL a réalisé 310 contrôles, dont 2/3 de contrôles sur place.
49 mises en demeure ont été adoptées, dont 11 rendues publiques
Sur les 10 sanctions pécuniaires prononcées, 7 concernent des atteintes à la sécurité des données personnelles.
En 2019, dans le cadre du programme de contrôles de la CNIL, ceux-ci porteront
  •  sur les plaintes reçues, avec l’exercice pratique des droits des personnes,
  •  sur la répartition des responsabilités entre sous-traitants et donneurs d’ordre, et ce, quelque soit le secteur d’activité,
  •  sur les données des mineurs.
Télécharger le PDF

mars 2019

Flash Info – CNIL – Publication du 1er règlement type relatif au recours à la biométrie sur les lieux de travail

2019-03-29T00:20:14+00:0029 mars 2019|Actualités Vigier Avocats|

La CNIL a adopté et publié le premier règlement type. Il intervient dans le cadre de la nouvelle mission confiée par la Loi Information et Liberté modifiée.

Ce premier règlement type concerne la mise en œuvre des dispositifs ayant pour finalité le contrôle d’accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur le lieu de travail. Il fixe les exigences spécifiques applicables à ces traitements de données biométriques ainsi qu’aux appareils et applications utilisés.

Le responsable de traitement devra respecter les dispositions du règlement type et réaliser l’analyse d’impact requise par la CNIL. Cette analyse d’impact devra être mise à jour régulièrement, au moins tous les 3 ans.

Télécharger le PDF