CNIL et TOTALENERGIES

La CNIL a prononcé, en formation restreinte, une amende de 1 million d’euros contre la société TOTALENERGIES ELECTRICITE E GAZ pour non respect des droits des personnes.

La CNIL avait reçu des plaintes de clients ou anciens clients de la société qui avaient demandé expressément à accéder à leurs données personnelles et souhaitaient s’opposer à tout appel de prospection commerciale, sans succès.

Des controles ont été opérés par la CNIL qui ont conforté le non respect des droits d’accès et d’opposition, justifiant la sanction prononcée.

Il a notamment été constaté un manquement à l’obligation de permettre aux personnes de s’opposer à de la prospection commerciale car le formulaire de souscription du contrat d’énergie ne permettait pas à l’internaute de s’opposer à l’utilisation de ses données personnelles afin de recevoir ultérieurement des offres commerciales.

Par ailleurs le droit à l’information n’était pas non plus respecté car les informations essentielles concernant le traitement de leurs données n’étaient pas communiquées aux personnes contactées. En outre, la société n’a pas tenu compte des demandes des clients en ne répondant pas aux demandes d’accès ou aux demandes d’opposition à prospection commerciale.

Il est pourtant prévu un délai de réponse de 1 mois par le RGPD.

Texte reference

Délibération de la formation restreinte n°SAN-2022-011 du 23 juin 2022 concernant la société TOTALENERGIES ELECTRICITÉ ET GAZ France 

CNIL et FACEBOOK

La CNIL vient de clôturer l’injonction qu’elle avait prononcé contre FACEBOOK depuis le 31/12/2021.

En effet, le 31 décembre dernier, la CNIL condamnait la société FACEBOOK IRELAND LIMITED, devenue META PLATFORMS IRELAND LIMITED à une amende de 60 millions d’euros et lui adresser une injonction de mise en conformité sous astreinte de 100 000 euros par jour de retard.

Cette injonction portait sur la possibilité offerte aux utilistauers du réseau social de refuser les cookies aussi facilement que de les accepter.

Un délai de 3 mois était accordé à FACEBOOK pour se mettre en conformité, sous peine de devoir payer une astreinte de 100 000,00 € par jour de retard, passé ce délai.

La société META PLATFORMS IRELAND LIMITED a mis en place un bouton de refus intitulé « Uniquement autoriser les cookies essentiels » au-dessus du bouton d’acceptation intitulé « Autoriser les cookies essentiels et optionnels », et a ainsi satsifait à l’injonction prononcée, la formation restreinte de la CNIL a donc décidé de clore la procédure le 11 juillet 2022.

DONNEES PERSONNELLES – QUELS DROITS POUR LES PERSONNES CONCERNEES?

En matière de protection des données personnelles, il existe plusieurs droits pour les personnes concernées par la collecte de leurs données.

Il y a d’abord le droit à l’information et le consentement.

Pour être loyale et licite, la collecte de données personnelles doit s’accompagner d’une information préalable à la collecte, claire et précise des personnes sur :

  • l’identité du responsable du fichier ;
  • la finalité du fichier ;
  • le caractère obligatoire ou facultatif des réponses et des conséquences d’un défaut de réponse ;
  • les destinataires des données ;
  • leurs droits (droit d’accès, de rectification, et d’opposition) ;
  • les éventuels transferts de données vers des pays hors UE.

Lorsque le consentement est requis, notamment en cas de collecte de données sensibles, d’utilisation de données à des fins de prospection commerciale par voie électronique ou de réutilisation de données à d’autres fin, mais également pour l’utilisation de cookies, ce consentement doit être préalable, libre et spécifique.

Contrairement à une idée reçue, le consentement n’est pas toujours nécessaire pour la collecte de données personnelles. Le RGPD prévoit plusieurs bases justifiant la collecte de données. C’est notamment le cas d’un contrat. Pour l’application et l’exécution d’un contrat, la collecte de données personnelles peut être nécessaire. L’acceptation du contrat engendre l’acceptation de la collecte de ces données.

Les données collectées doivent être proportionnées au but recherché.

Il y a également les droits d’accès, de rectification, d’opposition.

Une fois que les données personnelles ont été collectées, la personne concernée a droit d’accéder aux informations qui la concerne, à en obtenir copie. Si elle constate des erreurs, elle peut exiger que ses données soient complétées, rectifiées ou mises à jour.

Elle peut également demander que ces données soient supprimées selon les cas, notamment lorsque les données ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées ou lorsque les données sont traitées de manière illégitime.

La personne peut s’opposer à ce que ses données soient réutilisées notamment à des fins commerciales.

Le principe veut que toute personne puisse s’opposer au traitement de ses données personnelles, et ce pour des raisons légitimes, sauf si cette collecte répond à une obligation légale (casier judiciaire, trésor public notamment).

Parfois, l’opposition empêche la signature ou la mise en œuvre d’un contrat

Après avoir exercé son droit d’accès, si la personne concernée le désire et que c’est techniquement possible, elle peut transmettre les données recueillies à un autre responsable de traitement. C’est le droit à la portabilité.

Pour plus de précisions, n’hésitez pas à consulter le site de la CNIL ou à contacter notre cabinet.

Respecter les droits des personnes | CNIL

Déléguée à la Protection des Données – Data Protection officer

Déléguée à la Protection des Données – Data Protection officer

DPO EXTERNALISE

En qualité de Délégué à la Protection des Données, je peux vous apporter un accompagnement afin de mettre en conformité vos traitements avec le RGPD et la Loi Informatique et Libertés.

Je procéderai à un examen attentif de vos traitements de données à caractère personnel, et ce, traitement par traitement.

Nous vérifierons préalablement quels traitements traitent de données à caractère personnel, éventuellement des données particulières (sensibles), puis nous nous attacherons à contrôler que ces traitements répondent à une des bases légales et respectent les principes fixés par le RGPD, à savoir :

– Collecte licite, loyale et transparente des informations

– Finalités déterminées, explicites et légitimes du traitement

– Pertinence et minimisation

– Les données à caractère personnel doivent être exactes et si nécessaire tenues à jour

– Sécurité des données

– Conservation limitée

– Catégories particulières de données interdites par principe, sauf exceptions

Je pourrai sensibiliser vos équipes à l’application du RGPD, à la gestion des données à caractère personnel et des droits des personnes concernées.

Il conviendra de préparer des procédures pour la mise en œuvre des droits des personnes dont les données sont collectées (droit à l’information, droit d’accès, rectification, effacement, limitation, portabilité, opposition, décision individuelle), mais également en cas de violation des données ou en cas de contrôle de la CNIL, le cas échéant prévoir une analyse d’impact.

Il est rappelé, en effet, qu’il appartient à chaque responsable de traitement de prendre des mesures techniques et organisationnelles appropriées afin de respecter le RGPD et être à même de le démontrer.

Nous étudierons les relations contractuelles que vous pouvez avoir avec des responsables de traitements ou avec des sous-traitants.

AVOCAT ET RGPD

Je peux apporter une assistance au DPO interne de votre structure : entreprise, administration, association.

En cas de coresponsabilité avec un autre responsable de traitement ou en cas de sous-traitance, en ma qualité d’avocat, je peux vous proposer la rédaction de contrats adaptés ou le contrôle de vos contrats en cours.

Je peux, bien évidemment, vous assister dans le cadre de procédures contentieuses ou dans un processus amiable (médiation, droit collaboratif, procédure participative).

Cette assistance peut également être apportée aux personnes dont les données ont été collectées, afin de faire respecter leurs droits.

VOTRE CONTACT/

Maggy RICHARD

Avocate au Barreau de NANCY

Angle 23 avenue Paul Déroulède – 8 avenue Sainte Anne 54520 LAXOU

03.57.29.13.61.

contact@cabinitio-avocats.fr

Une nouvelle activité proposée par Maggy RICHARD, associée de CABINITIO : Délégué à la protection des données

Une nouvelle activité proposée par Maggy RICHARD, associée de CABINITIO : Délégué à la protection des données

Depuis 13 années désormais, Maggy RICHARD accompagne ses clients, particuliers et entreprises, principalement dans la gestion de leurs conflits, par le biais de processus amiables ou de procédures judiciaires. Elle intervient dans divers domaines du droit, responsabilité civile contractuelle ou délictuelle, droit des personnes et de la famille, mais également dans des matières plus spécifiques comme la propriété intellectuelle.

Elle est notamment titulaire d’un master 2 en droit du multimédia et des systèmes d’information et récemment elle a souhaité réaliser une formation dédiée à la protection des données personnelles.

Aujourd’hui, elle est en mesure de proposer un accompagnement aux professionnels qui sont responsables de traitements de données à caractère personnel.

Entreprises, associations, administrations, traitent fréquemment de données personnelles que ce soit au sein de fichiers informatisés ou papier pour la gestion de leurs clients, de leurs prospects, la gestion du personnel, du recrutement, la gestion d’adhérents, des études statistiques, de la vidéosurveillance, etc.

Or en tant que responsable de ces traitements ou sous-traitant du responsable, ils doivent respecter l’application du RGPD Règlement européen sur la protection des données.

Il peut être obligatoire ou recommandé de désigner un Délégué à la protection des données ou DPO Data protection officer car le RGPD oblige les entreprises à mettre en œuvre des mécanismes et des procédures internes permettant de démontrer le respect des règles relatives à la protection des données.

Le DPO va s’assurer du respect de cette obligation et piloter la mise en œuvre de l’ensemble des process dédiés à la conformité juridique des traitements. Il doit être associé à chaque projet susceptible d’impacter la vie privée des personnes et la protection de leurs données.

Maggy RICHARD peut être DPO externalisé et apporter un accompagnement aux responsables de traitements de données à caractère personnel et leurs sous-traitants, afin de mettre en conformité leurs traitements avec le RGPD et la Loi Informatique et Libertés.

Elle sera notamment amenée, dans le cadre de cette activité, à :

  • Recenser quels traitements traitent de données à caractère personnel, éventuellement des données particulières (dites sensibles),
  • Contrôler que ces traitements répondent à une des bases légales
  • Vérifier le respect des principes fixés par le RGPD, à savoir :
    • Collecte licite, loyale et transparente des informations
    • Finalités déterminées, explicites et légitimes du traitement
    • Pertinence et minimisation des données
    • Les données à caractère personnel doivent être exactes et si nécessaire tenues à jour
    • Sécurité des données
    • Conservation limitée
    • Catégories particulières de données interdites par principe, sauf exceptions

En sa qualité d’avocate formée au RGPD, elle peut également assister un DPO interne au sein d’une structure (entreprise, administration, association) pour vérifier avec lui la conformité des traitements de données à caractère personnel et apporter des pistes de réflexion en cas de difficultés rencontrées.

Elle peut rédiger des contrats adaptés ou contrôler des contrats déjà en cours d’exécution, notamment en cas de coresponsabilité avec un autre responsable de traitement ou en cas de sous-traitance.

Enfin, cas de litige, elle peut, bien évidemment, assister les responsables de traitements ou les sous-traitants dans le cadre de procédures contentieuses ou dans un processus amiable (médiation, droit collaboratif, procédure participative).

Cette assistance peut également être apportée aux personnes dont les données ont été collectées, afin de faire respecter leurs droits.

Pour plus d’informations, n’hésitez pas à nous contacter par email à contact@cabinitio-avocats.fr ou téléphone au 03 57 29 13 61.