RGPD | Vigier Avocats

Flash Info – CNIL – Stratégie de contrôle pour 2019

Yann Pagès2019-05-20T18:42:10+00:0020 mai 2019|Actualités|

Parue au Journal officiel, la délibération du 9 mai 2019 a mis à jour la liste des agents habilités à procéder à des missions de vérification sur place. La CNIL va pouvoir mettre en œuvre sa stratégie de contrôle.

La période transitoire, pendant laquelle les organismes ayant initié une démarche de mise en conformité n’ont pas été sanctionnés, est révolue.

La CNIL a annoncé qu’elle sanctionnera les organismes non-conformes à la règlementation. Pour cela, elle tiendra compte de la gravité des manquements, de la bonne foi et de la coopération de l’organisme pour prendre les suites les plus appropriées.

Lors des contrôles, la CNIL veillera au respect des droits des personnes concernées, à la répartition des responsabilités entre le responsable de traitement et ses sous-traitants, ainsi que le traitement des données des mineurs.

Assurez-vous que

le registre des traitements mis en place est tenu à jour, ainsi que le registre des violations de données,
les analyses d’impact pour les traitements pour lesquels elles sont requises ont été réalisées,
les contrats avec les sous-traitants définissent bien les responsabilités de chacune des parties,
la procédure pour la gestion de l’exercice des droits des personnes concernées et des réclamations est à jour.

Télécharger le PDF

Flash Info – CNIL – Publication du rapport d’activité 2018

Vigier Avocats2019-04-15T22:50:38+00:0015 avril 2019|Actualités|

La CNIL vient de publier son rapport d’activité annuel, premier rapport depuis l’application du RGPD.

1170 notifications de violation de données, principalement des atteintes à la confidentialité des données. La CNIL annonce d’ores et déjà qu’elle va s’assurer, lors des contrôles, de la mise en place de procédures et un registre des violations.

La CNIL a réalisé 310 contrôles, dont 2/3 de contrôles sur place.

49 mises en demeure ont été adoptées, dont 11 rendues publiques

Sur les 10 sanctions pécuniaires prononcées, 7 concernent des atteintes à la sécurité des données personnelles.

En 2019, dans le cadre du programme de contrôles de la CNIL, ceux-ci porteront

sur les plaintes reçues, avec l’exercice pratique des droits des personnes,
sur la répartition des responsabilités entre sous-traitants et donneurs d’ordre, et ce, quelque soit le secteur d’activité,
sur les données des mineurs.

Télécharger le PDF

Flash Info – CNIL – Publication du 1er règlement type relatif au recours à la biométrie sur les lieux de travail

Vigier Avocats2019-03-29T00:20:14+00:0029 mars 2019|Actualités|

La CNIL a adopté et publié le premier règlement type. Il intervient dans le cadre de la nouvelle mission confiée par la Loi Information et Liberté modifiée.

Ce premier règlement type concerne la mise en œuvre des dispositifs ayant pour finalité le contrôle d’accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur le lieu de travail. Il fixe les exigences spécifiques applicables à ces traitements de données biométriques ainsi qu’aux appareils et applications utilisés.

Le responsable de traitement devra respecter les dispositions du règlement type et réaliser l’analyse d’impact requise par la CNIL. Cette analyse d’impact devra être mise à jour régulièrement, au moins tous les 3 ans.

Télécharger le PDF

Flash Info – RGPD – Désignation du délégué à la protection des données

Vigier Avocats2018-03-28T23:43:54+00:0028 mars 2018|Actualités|

La CNIL vient de mettre en ligne le télé-service permettant de désigner le délégué à la protection des données auprès de ses services.

C’est une étape importante dans la démarche de conformité au règlement européen sur la protection des données.

A cette occasion, la CNIL rappelle les 3 conditions requises pour devenir délégué à la protection des données. Il convient de s’assurer que le délégué à la protection des données ait les compétences requises. Il devra disposer des moyens suffisants pour remplir ses missions. Et il devra avoir la capacité d’agir en toute indépendance.

La désignation devra intervenir au plus tard le 24 mai 2018 et sera effective à compter du 25 mai 2018.

Flash Info – Données de santé – Décret 2018-137 relatif à l’hébergement de données de santé

Vigier Avocats2018-02-28T14:25:26+00:0028 février 2018|Actualités|

Est paru au Journal Officiel du 28 février 2018 le décret 2018-137 du 26 février 2018 relatif à l’hébergement de données de santé à caractère personnel.

Si le décret entre en vigueur au 1er mars 2018, toutes les dispositions n’entreront pas en vigueur à cette date.

– au 1 er avril 2018 : l’entrée en vigueur de l’ordonnance du 12 janvier 2017 ainsi que l’article 2 du décret relatif aux dispositions générales liées à l’hébergement de données de santé & celles relatives à l’hébergement sur support numérique soumis à certification, à l’exception du 4° du R.1111-11 du Code de la santé publique.

– au 25 mai 2018 : le 4° du R.1111-11 du Code de la santé publique concernant les droits des personnes concernées liés au droit à la portabilité des données, signalement de la violation de données, à la conduite des audits par le Délégué à la Protection des Données (DPO).

Les agréments pour les hébergements de données sur support numérique délivrés avant le 31 mars 2018 ou à la suite de demandes déposées avant cette date restent régis jusqu’à leur terme par les dispositions antérieures.

La durée de l’agrément pour l’hébergement de données de santé sur support informatique arrivant à échéance avant le 31 mars 2019 est prolongée de 6 mois pour permettre à l’hébergeur d’effectuer les démarches de certification dans le cadre de la poursuite de son activité.

https://www.legifrance.gouv.fr/eli/decret/2018/2/26/SSAZ1733293D/jo/texte

Flash Info – RGPD – Accompagnement de la CNIL pendant la période transitoire

Vigier Avocats2018-02-19T23:48:30+00:0019 février 2018|Actualités|

A 3 mois de l’application du Règlement Général sur la Protection des Données (RGPD), la Commission Nationale Informatique et Liberté (CNIL) rappelle l’existence d’outils disponibles depuis son site : un modèle de registre des activités de traitement, le logiciel PIA pour faciliter la réalisation d’analyse d’impact. Elle annonce la rédaction de référentiels pour aider les organismes dans la mise en conformité de leurs traitements. Comme le prévoit le RGPD, elle devrait publier prochainement deux listes concernant les analyses d’impact : la première liste des traitements pour lesquels une analyse d’impact est requise, une seconde liste de traitements ne nécessitant pas d’analyse d’impact.

Quant à sa politique de contrôle, la CNIL annonce qu’elle continuera de vérifier de façon rigoureuse les principes fondamentaux de la protection des données qui sont, pour l’essentiel, inchangés. Concernant les nouvelles obligations ou les nouveaux droits issus du RGPD, si les organismes font preuve de bonne foi, sont engagés dans une démarche de conformité et coopèrent avec la CNIL, alors ces contrôles ne devraient, normalement, pas déboucher dans les premiers mois sur des procédures de sanction sur ces points.

Pour les formalités préalable en cours d’instruction, le 25 mai prochain, la CNIL annonce qu’elle ne sera pas en mesure de les traiter. Elle recommande donc aux responsables de traitement de privilégier les actions de mise en conformité au RGDP, le cas échéant, en réalisant une analyse d’impact, qui facilite la démarche de mise en conformité au RGPD. Pour les traitements déjà en cours et ayant fait l’objet de formalités ou consignés dans le registre du Correspondant Informatique et Liberté (CIL), l’analyse d’impact n’est pas nécessaire dans l’immédiat. Néanmoins, pour les traitements susceptible de présenter un risque élevé, l’analyse d’impact devra être menée dans un délai raisonnable, que la CNIL estime à 3 ans à compter du 25 mai 2018.

Flash Info – CNIL – Protection des données personnelles

Vigier Avocats2018-01-29T12:56:10+00:0029 janvier 2018|Actualités|

Le projet de loi relatif à la protection des données personnelles en cours de discussion a fait, à ce jour, l’objet de près de 250 amendements. L’avis de la Commission des Affaires Sociales, présenté par Albane Gaillot, revient sur le régime du traitement des données sensibles et des données relatives au NIR. Il conviendra d’être attentif sur le sujet dans les semaines à venir.

Dans le même temps, la CNIL a publié un nouveau guide de la sécurité des données personnelles. Elle présente ce guide comme « les précautions élémentaires à mettre en œuvre de façon systématique ». A lire attentivement !

La CNIL a créé une rubrique dédiée à la santé. La télémédecine et les Groupements Hospitaliers de Territoire (GHT) inaugurent cette nouvelle rubrique, avec la parution de fiches pratiques.

Télécharger le PDF

Flash Info – CNIL – Projet de loi relatif à la protection des données personnelles

Vigier Avocats2017-12-18T14:47:22+00:0018 décembre 2017|Actualités|

L’application, le 25 mai 2018, du Règlement Général sur la Protection des Données (Règlement (UE) 2016/679), nécessite d’adapter la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Un projet de loi relatif à la protection des données personnelles a donc été déposé à la Présidence de l’Assemblée Nationale le 13 décembre 2017. Les auditions des représentants de la CNIL, de l’INSEE, de l’INRIA, de l’INDS, de l’AFCPD, de la CNCDH et du SGAE par la Commission des lois ont débuté depuis lundi. Ces auditions s’inscrivent dans le cadre de la procédure accélérée engagée par le Gouvernement.

Le projet de loi prévoit d’habiliter le Gouvernement à prendre par ordonnance les mesures pour améliorer l’intelligibilité de la législation applicable à la protection des données, notamment par la réécriture de l’ensemble de la loi n° 78-17 du 6 janvier 1978. Cette ordonnance devra être prise dans les 6 mois de la promulgation de la loi, et sa ratification devra intervenir dans les 6 mois suivant la publication de ladite ordonnance.

Pour les traitements de données de santé non conformes à un référentiel ou règlement type établi par la CNIL, et pour ceux qui ne font pas l’objet d’une décision unique, les demandes d’autorisations persistent. Dans ce cas, le projet de loi prévoit que le défaut de réponse de la CNIL sur la demande d’autorisation dans les délais impartis et si le traitement a fait l’objet d’un avis favorable du comité d’expert compétent, alors la demande d’autorisation sera réputée acceptée.

Télécharger le PDF

Flash Info – CNIL – Publication d’un guide du sous-traitant

Vigier Avocats2017-10-03T00:50:48+00:003 octobre 2017|Actualités|

La CNIL a mis en ligne un guide du sous-traitant, poursuivant ainsi la mise en place du Règlement Général sur la Protection des Données personnelles (« RGPD »).

A compter du 25 mai 2018, les sous-traitants devront offrir aux responsables de traitement des garanties quant au respect des exigences du RGPD et à la protection des droits des personnes concernées. Ils devront assister et conseiller les responsables de traitement dans le cadre de leur conformité à certaines obligations, notamment les analyses d’impact, la notification de violation, la sécurité, la destruction des données, la contribution aux audits. En cas de manquement à ces obligations, la responsabilité du sous-traitant pourrait être engagée.

Ces obligations devront être précisées sous une forme écrite : contrat ou autre acte juridique. Le guide fournit un exemple de clauses contractuelles de sous-traitance.

Télécharger le PDF