Que s’est-il passé en un an de RGPD, la loi censée protéger vos données ?

Il y a un an, le 25 mai 2018, entrait en application le règlement général sur la protection des données (RGPD), un texte redéfinissant les droits des citoyens et les obligations des entreprises en matière de données personnelles dans toute l’Union européenne (UE). Il a été présenté comme une révolution, un changement d’ère dans un monde numérique dopé à la donnée personnelle. Un an plus tard, quel bilan peut-on tirer de ce texte ambitieux ?

• Explosion du nombre de plaintes

D’abord, ce nouveau cadre juridique n’est pas passé inaperçu des citoyens européens – médiatisation du texte et importance croissante de la question des données personnelles aidant. De nombreuses autorités nationales de protection des données personnelles ont fait état d’une forte augmentation du nombre de plaintes.

En France, la Commission nationale de l’informatique et des libertés (CNIL) expliquait il y a peu avoir observé une augmentation de 32 % des plaintes reçues en 2018, largement imputable au RGPD. Les derniers chiffres publiés cette semaine par l’institution confirment cette tendance : la CNIL a reçu plus de 11 900 plaintes depuis mai 2018. Même constat au sein de son homologue irlandaise – la plupart des géants du numérique ont leurs quartiers généraux européens à Dublin – qui a reçu lors de la première année d’application du RGPD deux fois plus de plaintes (6 624) que pour l’année 2017 tout entière.

Lire aussi RGPD : ce qui change pour les particuliers

Selon un décompte de l’European Data Protection Board (EDPB), l’organisme qui chapeaute les autorités européennes, ces dernières ont planché sur plus de 280 000 dossiers (issus de plaintes notamment) lors des neuf premiers mois du RGPD. Une bonne partie est issue de plaintes (144 376).

De nombreux dossiers ont également été ouverts à la suite des notifications de violation de données. Cette nouveauté introduite par le RGPD impose aux entreprises victimes d’un piratage ou d’une faille de sécurité d’avertir leur autorité de contrôle. Plus de 89 000 notifications ont été adressées à travers l’Europe – dont 2 044 en France. L’une d’entre elles concerne par exemple Facebook, qui a reconnu, fin septembre 2018, qu’une faille de sécurité avait permis à des pirates de mettre la main sur les données personnelles de millions d’utilisateurs. Sur ces 280 000 dossiers, 62 % ont été clôturés.

Article réservé à nos abonnés Lire aussi « Le RGPD risque de renforcer le pouvoir des Gafam »

 

 

• Des plaintes contre les géants du Net

Parmi toutes ces plaintes, certaines sortent du lot. Le secteur de la publicité en ligne, encore relativement épargné par les autorités de protection des données depuis l’entrée en vigueur du RGPD, a fait l’objet d’une série de plaintes, en Irlande mais aussi au Royaume-Uni, en Espagne et en Pologne.

Certaines, notamment celles visant Google ou le géant Quantcast, ont déclenché des enquêtes de l’autorité irlandaise de protection des données. Une association française a opté pour une autre stratégie, en contournant la CNIL : elle compte porter le combat contre Facebook, pour manquement au RGPD, directement devant la justice.

(...)

 

Source : Le Monde, 25/05/2019.

Article intégral en ligne : https://www.lemonde.fr

 

La protection des données de santé après le RGPD

Le règlement européen et sa transposition dans la loi Informatique et libertés rendent les opérateurs responsables du traitement des données de santé sous le contrôle de la Cnil. La tenue d’un registre interne, la désignation d’un délégué spécifique et une sécurisation juridique, technique et organisationnelle s’ajoutent aux obligations existantes sur les incidents informatiques graves et aux règles en matière d’hébergement externalisé ou de pratiques de télémédecine.

Le 25 mai 2018 est entré en vigueur le règlement général sur la protection des données (RGPD) européen.
La loi du 20 juin 2018 relative à la protection des données personnelles le transpose dans notre corpus juridique en modifiant la loi Informatique et libertés (LIL) du 6 janvier 1978.
Le décret du 1^er août pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles apporte différentes précisions.
C’est donc un nouveau cadre réglementaire qui s’applique au traitement de données à caractère personnel, c’est-à-dire, quel que soit le procédé utilisé, à la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, à l’extraction, la consultation, l’utilisation, la communication par transmission, à la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi qu’au verrouillage, à l’effacement ou la destruction de telles données (LIL, art. 2).
Ce nouveau cadre s’applique sous le contrôle de la Commission nationale de l’informatique et des libertés (Cnil), autorité administrative indépendante. Sa formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations du RGPD (LIL, art. 11 et 17).

Protection renforcée

Le RGPD définit une nouvelle notion de « privacy by design ». Considérées comme sensibles, les données de santé bénéficient d’un régime de protection renforcée.
Le principe est celui de l’interdiction du traitement des données de santé relatives à une personne identifiée ou identifiable et de leur commercialisation (RGPD, art. 9 ; LIL, art. 8).
Toutefois, leur exploitation est possible si la personne concernée, bien informée de la finalité du cadre dans lequel ses données seront utilisées, donne son consentement « clair et explicite » (RGPD, art. 7).
Elle est également autorisée si elle est rendue nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d’une profession de santé, ou par une autre personne soumise à l’obligation de secret professionnel.
Elle est enfin permise si elle est conforme à la loi Informatique et libertés et justifiée par l’intérêt public, pour éviter notamment la propagation des maladies, ou dans le cadre d’une recherche publique, après avis motivé et publié de la Cnil, ou encore s’il s’agit de données rendues anonymes.
Si la déclaration préalable des fichiers auprès de la Cnil et la délivrance d’une autorisation sont d’une manière générale supprimées, sauf, notamment, pour la recherche, l’instance doit être consultée préalablement à toute opération de traitement sur les données de santé. Ce qui est précisé dans le décret du 1er août.

(...)

Source : Gazette Santé Social, 02/10/2018.
Article intégral en ligne : http://www.gazette-sante-social.fr

Le Parlement européen vote pour la protection des auteurs et de la presse

La députée européenne Karine Gloanec Maurin (S etD) analyse le résultat et les conséquences du vote de la directive sur les droits d'auteurs adoptée ce mercredi par la Parlement européen.

 

Source : L'Humanité.fr, 13/09/2018.