RGPD

La Commission nationale de l’informatique et des libertés (CNIL) vient d’infliger une sanction de 250 000 euros à SPARTOO, une entreprise spécialisée dans la vente en ligne de chaussures. La CNIL lui reproche plusieurs infractions au RGPD, le règlement général sur la protection des données applicable depuis le 25 mai 2018.

Il s’agit de la première décision de sanction adoptée par la CNIL en tant que « chef de file » en coopération avec d’autres autorités de contrôle européennes car les clients de Spartoo dont le siège social est à Grenoble (et leurs données personnelles) dépassent le cadre français.

Le Bouclier de Protection des Données UE-Etats-Unis, dit « Privacy Shield » qui permettait le transfert de données personnelles depuis l’Union européenne aux Etats-Unis en conformité avec le RGPD vient d’être invalidé par la Cour de justice de l’Union européenne le 16 juillet 2020.

Retour sur cette décision et son impact sur les transferts de données vers les Etats-Unis.

Dans le contexte de l’épidémie de COVID-19, et plus particulièrement de la stratégie dite de « déconfinement », le gouvernement français a décidé de mettre en œuvre une application, dénommée « StopCovid », disponible sur smartphones dont l’objectif est d’informer les personnes utilisatrices qu’elles ont été à proximité de personnes diagnostiquées positives à la COVID-19 et disposant de la même application, cette proximité induisant un risque de transmission du virus SARS-CoV-2.

Il s’agit de l’un des dispositifs numériques prévus par le gouvernement dans le cadre de cette stratégie globale de déconfinement progressif.

À l’heure où la France entre dans la première phase de son déconfinement, la stratégie du gouvernement pour lutter contre une reprise de l’épidémie repose désormais sur un suivi des « cas contacts » (ou « contact tracing »). Autrement dit, l’identification rapide de toute personne ayant été proche d’un malade, afin de lui faire passer également un test et, le cas échéant, l’isoler afin qu’elle ne propage pas la maladie.

Les autorités prévoient un « système d’information », reposant sur deux bases de données médicales : Sidep et Contact Covid. La conception de l’application StopCovid étant toujours en cours, son déploiement n’a pas été intégré au plan de déconfinement présenté le 28 avril.

La CNIL a mis en demeure les sociétés EDF et ENGIE en raison du non-respect de certaines des exigences relatives au recueil du consentement à la collecte des données de consommation issues des compteurs communicants LINKY, ainsi que pour une durée de conservation excessive des données de consommation.

Les sociétés ont trois mois pour se mettre en conformité.

Dans le cadre de son plan d’action sur le ciblage publicitaire, la CNIL propose une consultation sur un projet de recommandation concernant des modalités pratiques de recueil du consentement de l’internaute pour les opérateurs utilisant des traceurs.

Suite aux lignes directrices rappelant le droit applicable aux cookies et autres traceurs adoptées le 4 juillet 2019, elle a conduit une concertation pendant l’automne 2019 afin d’élaborer un projet de recommandation proposant des modalités opérationnelles de recueil du consentement. Ce projet est soumis à consultation publique jusqu’au 25 février 2020. À l’issue de cette période, une nouvelle version du projet de recommandation sera présentée pour adoption définitive.