Contrôles de la CNIL en 2020, quelle stratégie ?

Contrôles de la CNIL en 2020, quelle stratégie ?

Le 12 mars 2020, la CNIL a publié sa stratégie de contrôle pour l’année 2020. La CNIL indique qu’en complément des contrôles faisant suite à des plaintes, à l’actualité ou à des mesures correctrices, elle va axer son action autour de trois thèmes principaux : (i) les données de santé, (ii) la géolocalisation pour les services de proximité et (iii) les cookies et autres traceurs.

La CNIL précise que plus d’une cinquantaine de contrôles seront réalisés autour de ces trois thèmes.

L’autorité de contrôle française annonce qu’elle va également poursuivre la coopération avec les autres autorités de protection des données européennes pour les traitements transfrontaliers.

(i) Les données de santé

Les données de santé sont des données sensibles au sens de l’article 9 du RGPD et font régulièrement la une de l’actualité. La CNIL cite ainsi le développement constant des nouvelles technologies (télémédecine, objets connectés) ainsi que les incidents de sécurité.

La CNIL annonce donc qu’une attention particulière sera portée sur les traitements concernant ce type de données, et notamment au regard des mesures de sécurité mises en œuvre par les professionnels de santé qui agissent en tant que responsable de traitement ou sous-traitant.

(ii) La géolocalisation pour les services de proximité

Actuellement, de nombreuses solutions se développent afin de faciliter la vie quotidienne des personnes. La CNIL prend pour exemple les applications relatives au transport permettant de connaître le meilleur moyen de transport ou itinéraire, lesquelles sont souvent associées à de la géolocalisation.

Or, la géolocalisation pose la question des risques d’atteinte à la vie privée des utilisateurs de ces applications.

La CNIL annonce ainsi que, lors de ses contrôles, elle portera une attention particulière à la proportionnalité des données collectées, leur durée de conservation, l’information délivrée aux personnes et les mesures de sécurité mises en œuvre.

(iii) Les cookies et autres traceurs

Le 4 juillet 2019, la CNIL a publié de nouvelles lignes directrices concernant les cookies et autres traceurs en application de l’article 82 de la loi n°78-17 du 6 janvier 1978 dite « Loi Informatique et Libertés » (délibération n°2019-093 du 4 juillet 2019).

Ces lignes directrices devaient être complétées par la publication, début avril 2020, de nouvelles recommandations.

Cependant, en raison de la crise du Covid-19, la CNIL a reporté sine die l’adoption de la version définitive des recommandations (cf. notre article sur le sujet).

La CNIL a précisé que les utilisateurs de cookies disposeront d’un délai de 6 mois pour adapter leur pratique de cookies et se mettre en conformité avec la nouvelle règlementation.

Le contrat du coursier, travailleur indépendant, avec une plateforme de livraison requalifié en contrat de travail

Le contrat du coursier, travailleur indépendant, avec une plateforme de livraison requalifié en contrat de travail

La cour de cassation, dans un arrêt du 28 novembre 2018, a considéré qu’un coursier d’une plateforme de livraison de plats à domicile, travailleur indépendant, est un salarié de ladite plateforme.

La Cour de cassation retient notamment, pour caractériser l’existence effective d’un pouvoir de direction et de contrôle de l’exécution de la prestation caractérisant un lien de subordination, le fait que « l’application était dotée d’un système de géolocalisation permettant le suivi en temps réel par la société de la position du coursier et la comptabilisation du nombre total de kilomètres parcourus par celui-ci et, d’autre part, que la société Take Eat Easy disposait d’un pouvoir de sanction à l’égard du coursier ».

La Cour de cassation rappelle par ailleurs que « l’existence d’une relation de travail ne dépend ni de la volonté exprimée par les parties ni de la dénomination qu’elles ont donnée à leur convention mais des conditions de fait dans lesquelles est exercée l’activité des travailleurs ».

Cass.Soc. 28 novembre 2018, N° de pourvoi: 17-20079[:en]La cour de cassation, dans un arrêt du 28 novembre 2018, a considéré qu’un coursier d’une plateforme de livraison de plats à domicile, travailleur indépendant, est un salarié de ladite plateforme.

La Cour de cassation retient notamment, pour caractériser l’existence effective d’un pouvoir de direction et de contrôle de l’exécution de la prestation caractérisant un lien de subordination, le fait que « l’application était dotée d’un système de géolocalisation permettant le suivi en temps réel par la société de la position du coursier et la comptabilisation du nombre total de kilomètres parcourus par celui-ci et, d’autre part, que la société Take Eat Easy disposait d’un pouvoir de sanction à l’égard du coursier ».

La Cour de cassation rappelle par ailleurs que « l’existence d’une relation de travail ne dépend ni de la volonté exprimée par les parties ni de la dénomination qu’elles ont donnée à leur convention mais des conditions de fait dans lesquelles est exercée l’activité des travailleurs ».

Cass.Soc. 28 novembre 2018, N° de pourvoi: 17-20079

La Cour de cassation précise les conditions de mise en place d’un système de géolocalisation des salariés

La Cour de cassation précise les conditions de mise en place d’un système de géolocalisation des salariés

Le 19 décembre 2018, la Chambre sociale de la Cour de cassation a rendu un arrêt intéressant sur la licéité des systèmes de géolocalisation des salariés. L’arrêt a été publié au Bulletin.

La société Médiapost (une filiale du groupe La Poste qui distribue des publicités ciblées en boîtes aux lettres) avait mis en place un système permettant d’enregistrer la localisation des distributeurs de courriers toutes les 10 secondes au moyen d’un boîtier mobile qu’ils portaient lors de leur tournée et qu’ils activaient eux-mêmes. La Fédération Sud PPT considérant que ce système de contrôle était illicite a assigné la société Médiapost.

Dans l’arrêt du 19 décembre 2018, la Cour de cassation casse l’arrêt de la Cour d’appel de Lyon qui s’est prononcée « sans caractériser que le système de géolocalisation mis en œuvre par l’employeur était le seul moyen permettant d’assurer le contrôle de la durée du travail de ses salariés ».

La Cour de cassation rappelle que conformément à l’article L.1121-1 du Code du travail, « nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché », et précise que :

(i) l’utilisation d’un tel système de géolocalisation pour contrôler la durée du travail n’est licite que si ce contrôle ne peut être opéré par un autre moyen, fût-il moins efficace que la géolocalisation ;

(ii) la géolocalisation n’est pas justifiée lorsque le salarié dispose d’une liberté dans l’organisation de son travail.

Cet arrêt de la Cour de cassation confirme l’attention portée par les juridictions sur les systèmes de géolocalisation des salariés.

Il convient en pratique, avant toute mise en place, de considérer les alternatives aux systèmes de géolocalisation pour répondre aux finalités envisagées par ces derniers. À défaut, un tel système serait susceptible d’être considéré comme portant atteinte de manière disproportionnée aux libertés individuelles des salariés.

https://www.legifrance.gouv.fr/affichJuriJudi.do?oldAction=rechJuriJudi&idTexte=JURITEXT000037851013&fastReqId=817130270&fastPos=1

Par Yvan Jamois et Maëliss Vincent-Moreau

RGPD : La CNIL explique sa ligne de conduite dans les prochains mois

RGPD : La CNIL explique sa ligne de conduite dans les prochains mois

[:fr]Le 19 février 2018, la CNIL a publié sur son site des lignes explicitant la façon dont elle va intervenir dans les prochains mois à l’approche puis après l’entrée en application du RGPD.

Il convient de retenir, notamment, que:

– La CNIL travaille à l’élaboration d’une liste des traitements obligatoirement soumis à analyse d’impact et une liste des traitements pour lesquels, au contraire, aucune analyse n’est requise. Ces listes permettront aux responsables de traitement de savoir plus aisément s’ils sont ou non soumis à cette obligation.

– S’agissant de sa politique de contrôle, la CNIL indique qu’elle continuera à vérifier le respect des dispositions déjà en vigueur (notamment information et consentement) et qu’elle accompagnera les acteurs dans la compréhension des nouvelles obligations (analyse d’impact…).

– La CNIL n’exigera pas des responsables de traitement qu’ils effectuent immédiatement des analyses d’impact pour leurs traitements en cours à la date d’entrée en application du RGPD. En revanche, les responsables devront se mettre en conformité dans un délai maximal de trois ans pour les traitements présentant un risque élevé.

Le communiqué est à retrouver dans son intégralité ici: https://www.cnil.fr/fr/rgpd-comment-la-cnil-vous-accompagne-dans-cette-periode-transitoire[:en]Le 19 février 2018, la CNIL a publié sur son site des lignes explicitant la façon dont elle va intervenir dans les prochains mois à l’approche puis après l’entrée en application du RGPD.

Il convient de retenir, notamment, que:

– La CNIL travaille à l’élaboration d’une liste des traitements obligatoirement soumis à analyse d’impact et une liste des traitements pour lesquels, au contraire, aucune analyse n’est requise. Ces listes permettront aux responsables de traitement de savoir plus aisément s’ils sont ou non soumis à cette obligation.

– S’agissant de sa politique de contrôle, la CNIL indique qu’elle continuera à vérifier le respect des dispositions déjà en vigueur (notamment information et consentement) et qu’elle accompagnera les acteurs dans la compréhension des nouvelles obligations (analyse d’impact…).

– La CNIL n’exigera pas des responsables de traitement qu’ils effectuent immédiatement des analyses d’impact pour leurs traitements en cours à la date d’entrée en application du RGPD. En revanche, les responsables devront se mettre en conformité dans un délai maximal de trois ans pour les traitements présentant un risque élevé.

Le communiqué est à retrouver dans son intégralité ici: https://www.cnil.fr/fr/rgpd-comment-la-cnil-vous-accompagne-dans-cette-periode-transitoire[:]