CJUE : le gérant d'un site a des obligations d'information s'il utilise des plugins comme le bouton "j'aime" de Facebook

[Mise à jour du 29 juillet 2019 : la CJUE a confirmé l’avis de l’avocat général ci-dessous. Liens vers le communiqué de presse et l’arrêt.]

[Mise à jour du 30 juillet 2019 : ma réaction au micro de la RTS, à partir de 1 minute 03.]

Avant-hier, l’avocat général de la Cour de justice de l’Union européenne (CJUE) a rendu ses conclusions dans le cadre de l’affaire C-40/17 opposant Fashion ID (une société de vente en ligne) et Verbraucherzentrale NRW (une association allemande de protection des consommateurs).

CEPD : lignes directrices pour l'application territoriale du RGPD

[Mise à jour du 16 novembre 2019 : la version définitive des lignes directrices a été publiée le 12 novembre 2019 et peut être consultée ici.]

Le Comité Européen de la Protection des Données (CEPD, ou EDPB en anglais) a lancé une consultation publique sur de nouvelles lignes directrices relatives à l’application territoriale du RGPD, adoptées le 16 novembre 2018. Voici en substance la vision du CEPD sur cette question hautement importante pour un pays tiers comme la Suisse.

RGPD : la CNIL publie une liste des traitements pour lesquels une analyse d'impact est requise

Conformément à l’art. 35 al. 4 RGPD, dans une délibération n° 2018-327 du 11 octobre 2018, publiée au journal officiel du 6 novembre 2018, la CNIL a publié la liste des traitements de données personnelles qui nécessitent une analyse d’impact relative à la protection des données.

L’art. 35 RGPD impose au responsable de traitement d’effectuer avant la mise en œuvre ou la modification d’un traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données. Cette analyse d’impact doit être effectuée lorsque le traitement envisagé est susceptible, compte tenu de la nature, de la portée, du contexte et des finalités du traitement, d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

Swiss Data Forum : la protection des données est-elle un frein à l’innovation ?

Le Swiss Data Forum est une journée d’échanges organisée par Trivadis SA et qui a pour objectif de présenter des exemples de valorisation des données, de parler des bonnes pratiques et de partager les questionnements sur les données et leur exploitation.

Ce forum propose des keynotes, des tables thématiques sur des sujets divers en lien avec les données, et une table ronde à laquelle je participerai. Il se déroulera le 27 novembre 2018 toute la journée à l’hôtel Aquatis à Lausanne.

Why do you trust Facebook with your data ?

Facebook has had its third security issue since June 2018 and no one besides privacy professionals seems to care. Last Friday Facebook announced that hackers were able to access the personal data stored in 50 million Facebook accounts.

According to Facebook’s statement, the attackers

exploited a vulnerability in Facebook’s code that impacted ‘View As’, a feature that lets people see what their own profile looks like to someone else. This allowed them to steal Facebook access tokens which they could then use to take over people’s accounts. Access tokens are the equivalent of digital keys that keep people logged in to Facebook so they don’t need to re-enter their password every time they use the app.

continuer la lecture

RGPD, entreprise suisse et obligation de notifier une autorité en cas de violation de données

L’article 33 du Règlement général sur la protection des données (RGPD) prévoit notamment qu’en cas de violation de données personnelles (c’est-à-dire s’il se produit une violation de la sécurité entrainant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données ; art. 4 ch. 12 RGPD), le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55.

Les chiffres de la collecte invisible de données par Google

Evidemment, me direz-vous, étant donné le modèle économique de Google qui consiste à fournir des services gratuits en échange de données personnelles utiles au ciblage publicitaire, on pouvait se douter qu’Android, le système d’exploitation pour smartphones de Google, soit une pompe à données. Mais on n’imaginait pas forcément à quel point Android est glouton.

Etude de l’université de Vanderbilt (USA)

Un professeur d’informatique à l’université de Vanderbilt (Nashville, Tennessee, USA) et son équipe ont mené une étude sur la collecte de données par Google. L’étude de 55 pages a été publiée en août dernier et rappelle que Google collecte des informations de deux manières.

Republier sur son site web une photo publiée ailleurs peut constituer une violation du droit d'auteur

Dans un arrêt C-161/17 rendu le 7 août 2018, la Cour de justice de l’Union européenne (CJUE) a considéré que la mise en ligne, sur un site web, d’une photographie qui a été préalablement publiée sur un autre site web sans restriction empêchant son téléchargement et avec l’autorisation du titulaire du droit d’auteur peut constituer une violation du droit d’auteur si l’ayant droit de la photographie n’a pas donné son accord.

TF : rappel des principes relatifs au droit d'accès aux données personnelles

Dans un arrêt du 28 mai 2018 (1C_642/2017), le Tribunal fédéral a rappelé les principes applicables en matière de droit d’accès aux données personnelles.

Faits

Le 12 août 2015, se fondant sur les dispositions de la loi genevoise sur l’information du public, l’accès aux documents et la protection des données personnelles (LIPAD), X a demandé au Département des finances l’accès à l’ensemble des directives et instructions relatives à la pratique et aux conditions applicables aux abandons de créances, à son dossier personnel en mains de la Commission des finances et du service du contentieux de l’Etat, ainsi qu’à l’ensemble des conventions conclues entre 2003 et 2013. X a ensuite saisi le Préposé cantonal à la protection des données et à la transparence.

Le RGPD et les travailleurs frontaliers

Il semble y avoir beaucoup de confusion quant au champ d’application extraterritorial du Règlement européen sur la protection des données (RGPD), particulièrement en ce qui concerne les frontaliers. Reprenons depuis le début.

Application extraterritoriale

Selon son article 3, le RGPD s’applique non seulement aux responsables de traitement ou sous-traitants établis dans l’Union européenne (UE), mais il s’applique aussi à certaines conditions s’ils ne sont pas établis dans l’UE. L’art. 3 al. 2 RGPD prévoit ceci :