Ce bilan-perspective de première année de mise en œuvre du RGPD établit une synthèse autour de points d'attention que doivent avoir les éditeurs de contenus et de services en ligne, et plus généralement toute entreprise traitant des données à caractère personnel, alors que l'« An II » du RGPD vient de s'ouvrir sur les nouvelles lignes directrices de la CNIL, publiées le 19 juillet 2019. Abrogeant les recommandations « cookies et traceurs » de décembre 2013, ces lignes directrices viennent ouvrir une phase de concertation avec les professionnels jusqu'en novembre 2019, en vue de définir des modalités pratiques et techniques de recueil, d'expression et de preuve du consentement lors du dépôt de cookies et autres traceurs.
Un an… Un an déjà – et un an seulement – qu'une vague de colloques, de publicités, de reportages multiples et d'une coûteuse propagande de la peur, a déferlé sur les entreprises européennes. Comme un tsunami réglementaire qui faisait, aux yeux de certains, passer le RGPD(1) pour le nouveau bug de l'an 2000 et les conduisait à consulter les oracles sur le risque de ne rien faire… Au lieu de faire.
L'irrationnelle agitation précédant le 25 mai 2018 a laissé place à ...
Etienne Drouard
Avocat associé -
Président de la Commission juridique GESTE
Claude-Etienne Armingaud
Avocat associé, Cabinet K&L Gates
29 août 2019 - Légipresse N°373
10750 mots
Veuillez patienter, votre requête est en cours de traitement...
(1) Règl. (UE) 2016/679 du Parlement européen et du Conseil du 27 avr. 2016 abrogeant la dir. 95/46/CE (RGPD).
(2) Dir. ePrivacy (Vie privée et communications électroniques) 2002/58/CE du Parlement européen et du Conseil du 12 juill. 2002.
(3) IAB Europe, Transparency and Consent Framework : https://advertisingconsent.eu/.
(4) V. sur www.cnil.fr les mises en demeure de Fidzup et Teemo le 19 juillet 2018, Singlespot le 23 octobre 2018 et Vectaury le 9 novembre 2018 pour invalidité du consentement au traitement de données de géolocalisation à des fins de ciblage publicitaire.
(5) https://bit.ly/2YdIQFm.
(6) Délib. no 2019-093 du 4 juill. 2019 portant adoption de lignes directrices relatives à l'application de l'art. 82 de la loi du 6 janv. 1978 modifiée aux opérations de lecture ou écriture dans le terminal d'un utilisateur (notamment aux cookies et autres traceurs),JO no 0166 du 19 juill. 2019 (rectificatif), Texte no 92 (NOR : CNIL1920776Z) : https://bit.ly/2SunPkt
(7) Le CEPD est un organe européen indépendant qui contribue à l'application cohérente des règles en matière de protection des données au sein de l'Union européenne et encourage la coopération entre autorités de l'UE chargées de la protection des données. Institué par le RGPD, il remplace le Groupe de travail article 29 (ou G29).
(8) RGPD, art. 37.
(9) RGPD, art. 38 et 39.
(10) CNIL, Rapport d'activité 2018 et des enjeux 2019 du 15 avr. 2019.
(11) RGPD, art. 24 s.
(12) RGPD, art. 28 s.
(13) Pour l'analyse d'impact, v. la section 3 (art. 35 et 36) du RGPD.
(14) Pour la sécurité des données, v. la section 2 (art. 32 s.) du RGPD.
(15) RGPD, art. 30.
(16) Bien que l'art. 30.5 du RGPD prévoie que les entreprises de moins de 250 salariés peuvent, si elles ne traitent pas de données personnelles de façon régulière dans le cadre de leur activité, être dispensées de registre, il n'en constitue pas moins la preuve la plus simple de la conformité d'une société. La CNIL en propose une version simplifiée à destination des TPE/PME.
(17) Pour les informations devant être communiquées aux personnes concernées, v. les art. 13 et 14 du RGPD.
(18) V. le chap. III du RGPD (art. 12 s.).
(19) RGPD, art. 25.
(20) RGPD, art. 5.
(21) RGPD, art. 33 et 34.
(22) Loi no 78-17 du 6 janv. 1978 relative à l'informatique, aux fichiers et aux libertés, version consolidée au 6 mai 2019
(23) Lignes directrices sur le consentement au sens du règl. (UE) 2016/679 adoptées le 28 nov. 2017, version révisée et adoptée le 10 avr. 2018.
(24) RGPD, art. 6.
(25) RGPD, article 5.2.
(26) Lignes directrices sur la transparence au sens du règl. (UE) 2016/679, adoptées le 29 nov. 2017, révisées et adoptées le 11 avr. 2018
(27) Le consid. 39 du RGPD prévoit cependant que « le principe de transparence exige que toute information et communication relatives au traitement de ces données à caractère personnel soient aisément accessibles, faciles à comprendre, et formulées en des termes clairs et simples ».
(28) La liste précise figure aux art. 13 et 14 du RGPD.
(29) Lignes directrices relatives à la prise de décision individuelle automatisée et au profilage aux fins du règl. (UE) 2016/679 adoptés les 3 oct. 2017, révisées et adoptées le 6 févr. 2018.
(30) Ibid., p. 23.
(31) Ibid., p. 9 s.
(32) Art. 5.3 de la dir. ePrivacy pour les cookies et traceurs en ligne et l'art. 6.3 de la dir. ePrivacy pour les données de géolocalisation.
(33) M. Zuckerberg lors de son audition public au Sénat américain le 4 oct. 2018, accessible à l'adresse : accessible sur https://wapo.st/30SOaeL.
(34) Guidelines 3/2018 on the territorial scope of the GDPR, adopted on 16 november 2018.
(35) Le champ d'application territorial du RGPD est prévu à l'art. 3 du RGPD.
(36) RGPD, art. 3 (1).
(37) V. not. l'art. 28 du RGPD.
(38) Les critères de désignation sont définis à l'art. 27du RGPD.
(39) V. Hugo, Actes et paroles - depuis l'exil, vol. 5.
(40) En vertu de l'art. 83(4) du RGPD le fait de ne pas réaliser d'AIPD lorsque cela est nécessaire ou de la réaliser d'une manière incorrecte expose les entreprises à une amende administrative pouvant s'élever jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
(41) Art. 35(3) du RGPD : « L'évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon similaire ; le traitement à grande échelle de catégories particulières de données visées à l'article 9, paragraphe 1 [données dites « sensibles »], ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10 ; ou la surveillance systématique à grande échelle d'une zone accessible au public ».
(42) Lignes directrices concernant l'AIPD et la manière de déterminer si le traitement est « susceptible d'engendrer un risque élevé » aux fins du règl. (UE) 2016/679, adoptées le 4 avr. 2017.
(43) L'établissement de listes par les autorités nationales ressort notamment de l'art. 35(4) du RGPD. Non seulement les 28 autorités de contrôle des États membres de l'UE ont publié de telles listes mais également les autorités des pays de l'EEE que sont la Norvège, le Liechtenstein et l'Islande.
(44) Opinion 24/2018, Denmark SAs DPIA List.
(45) RGPD, art. 35(5).
(46) Verordung der Datenschutzbehörde über die Ausnahmen von der Datenschutz-Folgenabschätzung, publiée le 25. mai 2018 au Bundesgesetzblatt für die Republik Österreich - équivalent du journal officiel français.
(47) Art. 4.12) du RGPD qui définit une violation de données à caractère personnel comme toute « violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données ».
(48) V. note no 57.
(49) A. Weckler, Data protection cases soar : three times as many breaches reported to commissioner as five years ago, accessible à l'adresse : https://bit.ly/2tKIUvx
(50) Autoriteit persoonsgegevens, Rapport d'activités 2018, accessible à l'adresse : https://bit.ly/2LzE3If
(51) RGPD, art. 32.
(52) RGPD, art. 33.1.
(53) V. note no 42.
(54) RGPD, art. 33.1.
(55) Les lignes directrices sur la notification de violations de données à caractère personnel ont précisé sur ce point que la connaissance est acquise lors le responsable de traitement est raisonnablement certain qu'un incident s'est produit.
(56) Rapport annuel DCP Ireland, p. 18 : 30 % des plaintes en Irlande concernent le droit d'accès, suivi de 22 % « Multinational complaint » et 15 % « Unfair Processing of Data ».
(57) CNIL, 15 avr. 2019, Communiqué de presse sur le bilan 2018 et enjeux 2019, accessible à l'adresse : https://bit.ly/2R5dOtg.
(58) Affaires LfDI Baden-Württemberg (Allemagne), 21 nov. 2018, « Knuddels » accessible à l'adresse : https://bit.ly/30UMBNH ; Comissao Nacional de Proteccao de Dados (Portugal), « Centro Hopitalar Barreiro Montijo », information supplémentaire accessible sur https://bit.ly/2FH2zUR ; Information and Data Protection Commissioner (Malte), 18 févr. 2019, « Lands Authority » accessible sur https://bit.ly/30MYLYO.
(59) Communiqué de presse de l'ICO sur la sanction contre Facebook dans l'affaire Cambridge Analytica : https://bit.ly/2OKNuqm.
(60) CNIL, 21 janv. 2019, Google LLC, accessible à l'adresse : https://bit.ly/2S04IRn.
(67) CNIL, 31 janv. 2019, communiqué de presse, accessible à l'adresse : https://bit.ly/2DNJBd0.
(68) Dir. 95/46/CE du Parlement européen et du Conseil, du 24 oct. 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
(69) CJUE 5 juin 2018, aff. C-210/16, Wirtschaftsakademie, accessible à l'adresse : https://bit.ly/30XKI2T ; D. 2018. 1208 ; ibid. 2270, obs. J. Larrieu, C. Le Stanc et P. Tréfigny ; ibid. 2019. 1016, obs. S. Clavel et F. Jault-Seseke.
(73) J. Beaufour et E. Drouard, Bouton Facebook : l'éditeur est-il (co)responsable ? De quoi ?, Legipresse no 369, mars 2019, p. 163.
(74) Délibération de la formation restreinte no SAN-2018-001 du 8 janv. 2018 prononçant une sanction pécuniaire à l'encontre de la société Établissements Darty et Fils, accessible à l'adresse : https://bit.ly/2Fjdz7M.
(75) V. note no 57.
(76) Ibid.
(77) Blog de Noyb accessible à l'adresse : https://noyb.eu/access_streaming/
(78) RGPD no 2016-679 du 27 avr. 2016.
(79) Proposition de règlement du Parlement européen et du Conseil concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques, 2017/0003 (COD), 10 janv. 2017.
(80) https://www.cnil.fr/fr/definition/cookie.
(81) IDentifier For Advertisers : identifiant temporaire d'un terminal mobile Apple, dédié à l'usage publicitaire.
(82) Android Advertising Identifier : identifiant temporaire d'un terminal mobile Android, dédié à l'usage publicitaire.
(83) Software Development Kit : composant logiciel de programmation d'une application mobile. Il existe plusieurs types de SDK dont un dédié à la mesure d'audience et publicitaire pour constater l'utilisation d'une application et y insérer des publicités.
(84) Global System for Mobile Communications.
(85) Au sens de l'art. 3 (k) de la Proposition, on entend par données de communications électroniques, « le contenu de communications électroniques et les métadonnées de communications électroniques ».
(86) Art. 6 de la Proposition.
(87) La Proposition reprend la définition de consentement issue de l'art. 4.11 et 7 du RGPD.
(88) En effet, le consid. 23 de la Proposition dispose que « les utilisateurs finaux devraient disposer d'un éventail de réglages de confidentialité, depuis les plus restrictifs (par ex. « toujours accepter les cookies »), jusqu'aux plus permissifs (par ex., « toujours accepter les cookies »), en passant par des options intermédiaires (par ex., « rejeter les cookies de tiers »).
(89) Lassitude rencontrée par l'utilisateur recevant chaque jour de trop nombreuses demandes de consentement auxquelles il doit répondre par un clic ou en balayant son écran (Lignes directrices G29 – WP260 rev.01, 10 avr. 2018).
(90) La présidence du Conseil de l'Union européenne était alors assurée par l'Autriche.
(91) Consid. 24 de la Proposition
(92) Conseil de l'Europe, ST 6771 2019 INIT, 22 févr. 2019 ; Conseil de l'Europe, ST 7099 2019 INIT, 13 mars 2019.