ACTUALITÉS RGPD : protection des données et contrôles de la CNIL

Annonce des points de contrôle de la CNIL

La prospection commerciale

Après une longue phase de concertation avec les différents acteurs concernés, la CNIL a publié, en février 2022, un nouveau référentiel « gestion commerciale », encadrant notamment la réalisation d’actions de prospection commerciale et qui était accompagné de nombreuses ressources pour guider les acteurs dans leur mise en conformité.

En s’appuyant sur le référentiel récemment publié, la CNIL vérifiera la conformité au RGPD des professionnels du secteur, en particulier de ceux qui procèdent à la revente de données, y compris, des nombreux intermédiaires de cet écosystème (aussi appelés data brokers).

Les outils de surveillance dans le cadre du télétravail

Dans une volonté constante d’accompagnement, la CNIL a largement communiqué sur les règles et bonnes pratiques à respecter pour assurer un juste équilibre entre vie privée au travail et contrôle légitime de l’activité des travailleurs. Elle considère aujourd'hui nécessaire de vérifier sur le terrain la conformité des pratiques des employeurs.

Utilisation du Cloud

Ces nouveaux mécanismes sont susceptibles de comporter des risques pour la protection des données personnelles notamment de transferts massifs de données hors de l’Union européenne vers des pays n’assurant pas un niveau de protection adéquat ou de violation de données en cas de mauvaise configuration.

Au regard de ces enjeux, la CNIL considère nécessaire que ces technologies, devenues incontournables, fassent l’objet d’une attention particulière. Elle approfondira, tout au long de l’année, les questions relatives aux transferts de données et à l’encadrement des relations contractuelles entre responsables de traitement et sous-traitants fournisseurs de solution cloud.

Un changement dans la manière de faire les contrôles

On attend encore le décret d’application

Décision sur l’utilisation de Google Analytics

Par une décision en date du 10 février 2022, la CNIL en coopération avec ses homologues européens, a analysé les conditions dans lesquelles les données collectées, grâce à l’outil google Analytics, sont transférées vers les États-Unis. La CNIL estime que ces transferts sont illégaux et impose à un gestionnaire du site web français de se conformer au RGPD et, si nécessaire, de ne plus utiliser cet outil dans les conditions actuelles. En effet, Google Analytics permet de disposer de statistiques de fréquentation d’un site web.

Concernant les services de mesure et d’analyse d’audience d’un site web, la CNIL recommande que ces outils servent uniquement à produire des données statistiques anonymes, permettant ainsi une exemption de consentement si le responsable de traitement s’assure qu’il n’y a pas de transfert illégal. La CNIL a d’ailleurs lancé un programme d’évaluation pour déterminer les solutions exemptées de consentement.

Des « instructions » pour prospecter en conformité

https://www.cnil.fr/sites/default/files/atoms/files/referentiel_traitements-donnees-caractere-personnel_gestion-activites-commerciales.pdf

Gestion des impayés dans une transaction commerciale

https://www.cnil.fr/sites/default/files/atoms/files/referentiel_traitements-donnees-caractere-personnel_gestion-impayes_transaction_commerciale.pdf

Le principal apport concerne les exigences de sécurité attendue en la matière.

Le document précise les données personnelles concernées qui peuvent être relatives :

• L’identification de la personne concernée (qui peut être le débiteur ainsi que la ou les personnes physiques ayant la qualité de caution car s’étant engagées à remplir l’obligation du débiteur en cas de défaillance de ce dernier) ;
• Aux moyens de paiement utilisés ;
• A l’incident de paiement : numéro de dossier, date de survenance de l’impayé, montant de l’impayé, objet de l’impayé (descriptif du produit ou du service n’ayant pas fait l’objet de paiement par la personne concernée)

Les durées de conservation proposées sont :

Si l’organisme choisit de conserver les données pour une durée plus longue que celle proposée par le référentiel, il devra s’assurer que cette durée n’excède pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. En cas de régularisation de l’impayé, les informations relatives à la personne concernée devraient être effacées du fichier recensant les personnes en situation d’impayé dans les 48 heures suivant le constat de la régularisation par l’organisme ou à partir du moment où l’impayé a été effectivement soldé.

En cas de non-régularisation, les informations peuvent être conservées dans le fichier recensant les personnes en situation d’impayés et les excluant de ce fait du bénéfice d’une prestation, dans la limite de 5 ans à compter de la survenance de l’impayé. En tout état de cause, elles peuvent être archivées si l’organisme en a l’obligation légale (par exemple, pour répondre à des obligations comptables ou fiscales) ou si l’organisme souhaite se constituer une preuve en cas de contentieux et dans la limite du délai de prescription applicable.