Archive

Posts Tagged ‘CNIL’

Données personnelles et entreprise : quelles obligations ?

10 novembre, 2017 Commentaires fermés

J’ai commencé la rédaction de ce billet il y a dix ans, si j’en crois WordPress. À l’époque, on ne parlait pas encore du RGPD. Voici le billet enfin publié, certes un peu réécrit.

Les entreprises au premier rang desquels on trouve les e-commerçants veulent et doivent recueillir des données personnelles sur leurs visiteurs, prospects et clients. Ce type d’information étant sensible voire très sensible, la réglementation leur impose un certain formalisme pour les recueillir. Par ailleurs, mal protéger ces données peut avoir de lourdes conséquences.

Les obligations d’information sur le recueil de données personnelles

Les obligations relatives aux données personnellesLe recueil des informations sur les visiteurs, prospects et client ne peut pas se faire n’importe comment. Il est nécessaire d’obtenir l’accord de la personne pour recueillir et utiliser des informations sur elle. L’article 32 de la loi du 6 janvier 1978 prévoit d’être informé :

  • De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
  • De la finalité poursuivie par le traitement auquel les données sont destinées ;
  • Du caractère obligatoire ou facultatif des réponses ;
  • Des conséquences éventuelles, à son égard, d’un défaut de réponse ;
  • Des destinataires ou catégories de destinataires des données ;
  • Des droits qu’elle tient des dispositions de la section 2 du présent chapitre ;
  • Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne.

Les cookies permettant de recueillir des données personnelles, il est nécessaire de prévenir les visiteurs de leur utilisation. Ce principe vaut de manière générale pour tous les moyens et toutes les informations recueillies : adresse IP, configuration de l’ordinateur… Ce formalisme est toutefois allégé si les informations sont rapidement anonymisées. Lire la suite…

Publicités

Données personnelles : une infraction peut en cacher une autre

9 novembre, 2017 Commentaires fermés

C’est un arrêt intéressant à plusieurs titres que vient de rendre la cour d’appel de Paris le 15 septembre 2017.

Les faits tels qu’ils ont été rapportés par la cour sont relativement simples. Une société a collecté massivement les données personnelles contenues dans une base de données mise en ligne par l’une de ses concurrentes.

Un tel comportement pose deux questions sur le plan juridique : qu’en est-il de l’infraction d’accès, maintien et extraction frauduleuse des données ? Qu’en est-il de l’infraction de collecte déloyale de données personnelles ?

L’accès et le maintien dans un système de traitement de données

Données personnelles

Dans le cas présent, l’infraction d’accès et de maintien dans un STAD n’a pas été retenue. En effet, il apparait que le site dont les données ont été aspirées avait laissé l’accès ouvert au public n’avait pas mis en place de protection particulière oun’avait pas manifesté sa volonté d’en restreindre l’accès. La cour dit en substance que « Il n’y a pas eu utilisation d’un mode irrégulier de pénétration dans le système de traitement automatisé de données« .

Dans la mesure où les données sont librement accessibles en ligne, l’infraction d’accès et de maintien dans le système ne peut tenir.

En revanche, il y a une infraction connexe, l’extraction frauduleuse de données. Pour la cour, cette infraction est constituée. Ce n’est pas parce que l’accès aux données est libre que l’on peut extraire les données comme on veut. C’est donc bien deux choses différentes.

La cour souligne par ailleurs que les conditions générales du site interdisent l’utilisation et l’exploitation son contenu, c’est à dire les données, sans autorisation. La cour rappelle que l’extraction a été importante : « environ 16% des données du site victime sachant que ces données ne pouvaient être extraites sans autorisation expresse« .

La question des données personnelles

Les données extraites du site ont une qualité particulière : ce sont des données personnelles et à ce titre, elles bénéficient d’un régime juridique particulier. Le RGPD ne s’applique pas encore mais l’utilisation des données personnelles est d’ores et déjà soumis à une réglementation contraignante : la loi du 6 janvier 1978.

Protégez vos données personnellesConcernant les données personnelles, la cour écrit qu »Il s’agit des adresses électroniques avec des données nominatives pouvant être tant des personnes morales que des personnes physiques« .

La cour ajoute « L’utilisation de scripts ou robots visant à collecter et sélectionner les données notamment aux fins de savoir si le client était actif ou non sur le site […] constitue un moyen déloyal et frauduleux pour avoir été recueilli à l’insu des personnes physiques titulaires des adresses électroniques« .

Il n’est pas établi comme le soutient M. X. que le site […] s’adresse à un public exclusivement professionnel pour la réservation de divers évènements à caractère plus ou moins restreint. L’adresse apparente des organisateurs n’implique pas nécessairement l’autorisation explicite de leur part d’utiliser leur adresse s’agissant des personnes physiques n’ayant pas une adresse professionnelle spécifique. Le caractère accessible de ces adresses électroniques et l’absence de plainte n’établissent pas l’acceptation expresse d’utilisation de ces adresses électroniques. Le moteur de recherche utilisé pour accéder au site importe peu« .

La cour a considéré que l’infraction de collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite prévue à l’article 228-1 du code pénal était constituée.

En revanche, il y a une question qui n’a pas été tranchée par la cour parce qu’elle n’en n’a pas été saisie : quid de l’absence de protection des données personnelles qui étaient librement accessibles en ligne ?

En effet, même si le RGPD qui impose une étude d’impact sur la vie privée n’est pas encore en vigueur, laisser librement accessibles des données personnelles n’est pas envisageable.

L’article 226-17 du code pénal prévoit ainsi que « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ». Les mesures prescrites par l’article 34 de la loi du 6 janvier 1978 sont « toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès« .

Il existe une solution pour vous préserver d’un tel risque : mettre les données personnelles au cœur de votre stratégie grâce au Privacy by Design.

L’arrêt de la cour d’appel de Paris est disponible sur le site de Légalis.

Vidéosurveillance au travail : oui mais pas n’importe comment

4 décembre, 2015 Commentaires fermés

Le Conseil d’État a rendu il y a quelques jours un arrêt à propos de l’installation de caméras de surveillance, par un employeur, sur un lieu de travail.

Si l’installation de caméras de surveillance sur un lieu de travail n’est pas en principe interdit, cette installation ne doit pas être faite n’importe comment.

C’est ce que rappelle le Conseil d’État dans son arrêt du 18 novembre 2015 (N° 371196), confirmant une décision de la CNIL intervenue en mai 2013.

Les faits rapportés dans l’arrêt montre que l’employeur avait installé un système de vidéosurveillance.  L’une des « caméra[s] permettait de voir le poste d’une salariée et […] la n° 3 était orientée en direction d’une salle où travaillaient six personnes ; qu’à la suite de deux lettres de rappel adressées les 6 et 23 juillet 2012, le deuxième contrôle de la Commission lui a permis de constater le 15 octobre 2012, soit au-delà de l’échéance fixée par la mise en demeure du 13 avril 2012, que, si les orientations des deux caméras avaient été modifiées, la n° 3 était dirigée désormais vers le poste d’un autre salarié ; que ce n’est que lors du troisième et dernier contrôle, le 11 décembre 2012, qu’il est apparu qu’aucun salarié n’était plus sous la surveillance constante de caméras« .

L’installation de caméras de surveillance pose 3 questions juridiques :

  • la pertinence du recours à ce procédé ;
  • l’information des personnes concernées ;
  • la sécurisation des données personnelles.

Lire la suite…

Catégories :Juridique Étiquettes : , ,

Sécurisez les données personnelles de vos clients !

23 novembre, 2015 3 commentaires

Traditionnellement, l’élément principal du fonds de commerce d’une entreprise est sa clientèle. Ce point de vue est d’autant plus important dans le commerce en ligne.

Les données, des clients en particulier, sont devenues le nerf de la guerre pour les commerçants en ligne.

Outre le risque de perte de données, cruciales, le manque de sécurisation des données personnelles présente pour vous un risque de contentieux.

La sécurisation du stockage des données personnelles

sécurisez vos données clientsLe stockage des données personnelles de vos clients doit être fait de manière sécurisée. En d’autres termes, les données personnelles que vous possèdez sur vos clients doivent être cryptées.

Un stockage en clair des données personnelles n’est pas conforme à l’article 34 de la loi de 1978 qui prévoit que le responsable du traitement des données en assure « la sécurité […], notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès« .

Ainsi, si vos données clients sont stockées en clair, elles peuvent être déformées que ce soit volontairement ou involontairement. De plus, des tiers, non autorisés peuvent y avoir accès sans votre  autorisation.

Les tiers évoqués par le texte peuvent également être des salariés votre entreprise ou des sous-traitants. Ainsi, tous les salariés d’une entreprise ne sont pas censés avoir accès aux données clients.

Ne sont susceptibles d’avoir accès à ces données que les salariés en ayant besoin pour accomplir leurs tâches. Ainsi, par exemple, les salariés du service RH n’ont pas besoin des données clients et donc ne devraient pas y avoir accès.

Il faut dès lors mettre en place une politique de gestion des mots de passe d’accès aux données à protéger.

Quel risque en cas de défaut de sécurisation des données personnelles ?

Le fait de ne pas respecter les dispositions de l’article 34 de la loi de 1978 est une infraction prévue par le code pénal, l’article 226-17 en l’occurrence. La peine maximale encourue ? Cinq ans d’emprisonnement et de 300 000 euros d’amende !

En plus de l’action pénale, vous risquez une procédure diligentée par la CNIL, sur plainte d’un client notamment.Votre entreprise peut alors être condamnée à une sanction pécuniaire.

Vous pensez que ce risque n’est hypothétique et ne concerne que les petites entreprises ? Une grande enseigne a récemment été épinglée par la CNIL [PDF] pour avoir conserver les données de ses clients sans protection suffisante, après reçu une mise en demeure n’ayant pas été entièrement satisfaite.

Bilan ? Une sanction pécuniaire de 50 000 euros et la publication de cette condamnation.

Je pense néanmoins que les risques les plus important dans le défaut de sécurisation n’est pas juridique.

Les deux risques majeurs sont :

  • le risque est la perte irréversible de données mais également
  • l’impact négatif sur l’image de l’entreprise.

Une telle négligence pourrait ternir durablement l’image d’une entreprise aux yeux de ses clients et prospects.

 

L’adresse IP est-elle une donnée personnelle ?

8 janvier, 2008 1 commentaire

Faut-il voir les adresses IP comme des données personnelles ? La question, loin d’être anodine s’est posée au moment où les sociétés d’auteurs ont souhaité relever les adresses IP des internautes pratiquant des téléchargements de fichiers protégés par le droit d’auteur.

La CNIL s’est prononcée favorablement dès la fin 2004. Elle a également rendu 3 décisions le 18 octobre 2005 réaffirmant sa position : les adresses IP sont des données personnelles.

Dans la mesure où les adresses IP sont des données personnelles, les dispositions de la loi du 6 janvier 1978 modifiée sont donc applicables. Il est dès lors nécessaire, aux termes de l’art. 25 de la loi du 6 janvier 1978 modifiée de demander l’autorisation à la CNIL de recueillir ces données. C’est une autorisation et non une simple déclaration qui est nécessaire. Dans le cas présent, le recueil vise en effet des données relatives à des infractions : la procédure est dès lors plus contraignante.

Lire la suite…