Catégorie : Protection des données

La CNIL sanctionne Google pour €50 millions sous le RGPD

Ce 21 janvier 2019, la Commission Nationale de l’Informatique et des Libertés (CNIL) a infligé à Google LLC une amende de 50 millions d’euros pour violation du Règlement Général sur la Protection des Données (le “RGPD“).

Dans sa communication du 21 janvier 2019, l’autorité française a infligé à Google l’amende la plus élevée depuis le 25 mai 2018, considérant que Google avait commis des infractions graves au RGPD. Ces violations concernent la mauvaise information des utilisateurs, et la violation du consentement pour les services publicitaires ciblés. La décision complète de 31 pages est disponible ici.

UNE DECISION PARTIELLE ! Il est important de noter que cette décision est limitée à l’enquête de la CNIL relative à la configuration d’un nouvel appareil Android qu’un utilisateur utilise pour la première fois. Les investigations ne concernent uniquement les notices d’informations fournies aux utilisateurs lors de la création d’un compte utilisateur lors de configuration de leur nouveau téléphone Android et non pour les autres services. Par conséquent, vu que la plainte complète n’a pas encore été examinée par la CNIL, cette affaire est loin d’être terminée. La portée de l’affaire n’est donc que partielle, et les investigations complètes sont plus largement liées à la publicité ciblée sur les plateformes Youtube, Gmail et Google Search vont se poursuivre. Nous verrons quelles seront les conclusions de la CNIL sur la manière avec laquelle Google pourrait “forcer” les utilisateurs à consentir au partage de leurs données via les services de publicité ciblée.

On peut donc s’attendre à d’autres rebondissements la part de la CNIL dans les prochains mois à venir. Cette affaire n’est que le début d’une longue série. Les deux organisations ont également déposé (comme expliqué ci-dessous) des plaintes similaires contre d’autres GAFAM et ce, dans plusieurs juridictions.

________________________________

CONSTATATIONS DE LA CNIL

Après investigations, la CNIL a considéré que Google n’avait pas respecté ses obligations sous le RGPD pour trois raisons principales : (1) manque de transparence (art. 5 du RGPD), (2) information insuffisante (art. 12 et 13 du RGPD) ; et (3) collecte non valide du consentement (art. 7 du RGPD).

Les deux plaintes ont été déposées par l’organisation à but non lucratif “None Of Your Business” (NOYB) créée par Max Schrems et l’association La Quadrature du Net, une association française qui regroupe les plaintes de 9’974 personnes. Ces deux organisations reprochaient aux services de Google, dont les services de publicité ciblée sous Android OS, de violer le principe de transparence, de traiter les données sur la base d’un fondement juridique valable (art. 6 RGPD) tel que le consentement. Selon les plaignants, en ne respectant pas ses obligations, Google aurait contraint les utilisateurs à partager une quantité massive de données personnelles sans leur consentement et compromettant ainsi leur vie privée.

Les plaintes déposées auprès de la CNIL et les griefs émis contre Google viennent d’être acceptées et confirmées par la CNIL dans ses conclusions du 21 janvier 2019. Il est intéressant de lire sur le blog de NOYB que Google vient de déménager son siège européen en Irlande à compter du 22 janvier 2019, et aura pour autorité principale de référence (lead supervisory authority) l’autorité irlandaise (Irish Data Protection Commision) de protection des données.

Considérations intéressantes de la CNIL. Dans ses considérants, l’autorité française explique qu’avec les services actuels de Google, vu notamment la manière avec laquelle les données des utilisateurs sont collectées, le volume des traitements et le type de données collectées

il résulte que ces données collectées via les services de publicité ciblée révèlent des pans entiers de la vie d’une personne

Ces traitements étant considérés comme très intrusifs pour les individus, le risqué pour la sphère privée est élevé. La CNIL a également noté dans ses considérants que le modèle économique de Google reposait en partie sur ces services de publicité ciblée.

Enfin, la CNIL nous explique que, pour l’essentiel, malgré les efforts de Google pour modifier ses processus, l’entreprise n’est toujours pas conforme au RGPD. Cela signifie que tant que Google ne se conformera pas au Règlement, elle pourra être confrontée à d’autres plaintes et, éventuellement, à d’autres amendes, à moins de changer radicalement toutes ses notices d’informations et la manière de collecter le consentement.

________________________________

BREF RETOUR SUR L’HISTOIRE DE CETTE AFFAIRE

Deux plaintes massives les 25 et 28 mai 2018 pour 7,6 milliards d’euros

25 mai 2018. Max Schrems – l’étudiant autrichien militant de la protection de la vie privée qui a causé l’annulation du Safe Harbor par la Cour de justice européenne – a fondé une organisation à but non lucratif appelée “None Of Your Business” (NOYB) pour aider les consommateurs à déposer plainte et faire valoir leurs droits contre les grandes entreprises, telles que les GAFAM, et leurs permettre de saisir les autorités pour faire respecter et protéger leur vie privée. Le jour où le Règlement Général sur la Protection des Données est devenu exécutoire au 25 mai 2018, Max Schrems a poursuivi Instagram (Belgique), WhatsApp (Hambourg), Facebook (Autriche) et Android (France) avec des plaintes massives totalisant quelques € 7,6 milliards via l’ONG NOYB pour violation du RGPD.

28 mai 2018. Le 28 mai 2018, le groupe français de défense des droits numériques “La Quadrature du Net” a déposé une plainte respectivement contre Google, Apple, Facebook, Amazon et LinkedIn devant la CNIL au nom de 12.000 personnes pour traitement illicite de leurs données personnelles.

La sanction de 50 millions d’euros infligée aujourd’hui par la CNIL n’est qu’une sanction contre une seule entreprise – Google LLC – et dans une seule juridiction. D’autres sanctions sont très probablement à venir si d’autres autorités suivent les arguments et considérations de la CNIL, de plus comme nous l’avons mentionné, cette sanction n’est qu’une décision partielle de toute l’affaire liées à la publicité ciblée et au consentement forcé des utilisateurs.

En termes de procédure, Google peut faire appel contre cette sanction et contester l’amende (edit 24-janv-2019) ce que l’entreprise vient d’annoncer publiquement. Même si l’amende reste faible par rapport aux €4mia qu’elle peut encourir en cas d’amende maximale, le montant est élevé pour cette affaire. En faisant appel contre cette décision, Google va initier ce qui sera un premier précédent dans l’interprétation des exigences du RGPD sur l’information et sur comment recueillir valablement le consentement, en particulier dans le domaine de la publicité ciblée.

L’appel de Google est par conséquent, hautement stratégique. Ne pas contester cette amende laisserait la place à d’autres sanctions plus sévères, vu que l’affaire n’est encore que partielle. De plus, cela pourrait être perçu comme une manière indirecte de reconnaître sa responsabilité et la mise en place de pratiques non-conformes. Enfin, Google se défend en arguant qu’elle a travaillé dur pour mettre en place une collecte de données afin de respecter la transparence. Nous verrons si son travail aura été suffisant ou non.

________________________________

L’AFFAIRE VUE D’UN PEU PLUS PRES

La CNIL fournit les explications suivantes pour justifier la sanction contre Google :

  • Violation du principe de transparence : le principe de transparence concerne la manière d’informer les individus sur les activités de traitement des données opérés par le responsable de traitement. Ceci prend généralement la forme de politiques de confidentialité ou de notices d’informations (selon les termes utilisés). L’information contenue dans ces notices se doit d’être concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant (art. 12 al. 1 GDPR).

Google conforme ? Mmh, pas vraiment. Google a disséminé ces informations un peu partout dans sa plate-forme et dans ses pages liées à la confidentialité, lesquelles ne sont accessibles que par des liens ou des boutons sur lesquels il faut cliquer pour aller plus loin et en savoir plus. Cette méthode chronophage décourage la plupart des utilisateurs de trouver les options pour désactiver ou configurer le niveau de protection de la sphère privée. Cette manière de faire rend l’accès et la compréhension à ces pages et options difficile. Au final, toutes ces informations n’étaient accessibles qu’après 5 ou 6 actions, et après plusieurs étapes pour obtenir une liste des données collectées. Ainsi, l’information fournie par Google n’était pas claire, trop vague et décrite de façon trop générique. Si personne ne prend le temps de lire ces informations, elles ne sont pas fournies correctement et sont contraires au RGPD et au principe de transparence. De plus, Google n’avait pas informé les utilisateurs sur la durée de conservation de certaines données personnelles.

  • Consentement invalide : Pour rappel, le consentement n’est pas toujours nécessaire. Mais lorsqu’il est utilisé comme fondement juridique pour traiter des données personnelles, il se doit d’être recueilli de manière particulière. Selon la CNIL, Google a clairement, et de manière plutôt crasse, manqué à ses obligations de requérir valablement le consentement des utilisateurs pour traiter leurs données personnelles. En l’espèce, la CNIL a constaté une telle violation pour les options de publicité personnalisée, selon les deux motifs suivants :

Le consentement n’était pas éclairé. Cela signifie que les utilisateurs ne sont pas en mesure de comprendre effectivement la portée de l’utilisation de leurs données pour les activités de traitement. Par exemple, dans la section “publicité personnalisée“, il n’est pas possible de voir combien de services sont utilisés, ni combien de sites et applications sont liées au traitement de ces données. En somme a aucune information n’est disponible de manière claire sur le volume de données personnelles que ces services traitent ou pourront traiter ou combiner avec d’autres services.

Le consentement n’était ni spécifique, ni univoque (pas ambigu) malgré le fait que les utilisateurs pouvaient sélectionner des options dans les paramètres de configuration.

Pour rappel, l’article 7 du RGPD prescrit que pour être valide :

la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples

Avec les services et options de publicité ciblée de Google, les utilisateurs ne pouvaient accéder à ces paramètres qu’en cliquant sur “plus d’options” et n’avaient pas accès immédiatement à ces options. Une étape supplémentaire était donc nécessaire et plus il y a d’étapes, plus l’on décourage l’utilisateur de passer du temps à configurer ces options. De plus, la case à cocher pour l’option de “publicité ciblée” était pré-cochée par défaut, ce qui oblige l’utilisateur à la désactiver manuellement. L’option reste active si l’utilisateur ne fait rien, à moins qu’il y ait une action de sa part pour désactiver l’option. L’utilisation de cases pré-cochées est contraire au principe de protection des données par défaut (Privacy-by-default) selon l’art. 25 RGPD. Cette disposition exige de désactiver tous les réglages ou paramètres par défaut afin d’appliquer une protection maximale de la confidentialité à l’utilisateur. Il appartient dès lors à celui-ci de décider s’il souhaite augmenter le niveau “d’intrusion” dans sa vie privée pour accepter de partager ses données personn

Enfin, Google n’a fourni qu’une seule case à cocher pour plusieurs finalités ce qui apparaît comme suit :

“J’accepte les conditions générales de Google” et “J’accepte que mes données soient utilisées comme décrit ci-dessus et comme indiqué dans la politique de confidentialité“

Pour la finalité du traitement, on appelle cela un consentement groupé (bundled consent), qui n’est pas spécifique à chaque finalité (but du traitement) et ne fournit aucun détail afin de permettre à l’utilisateur de choisir quels buts du traitement il accepte pour le traitement de ses données. Une telle pratique n’est pas conforme aux exigences du RGPD et viole les articles 7, 12 et 13 du RGPD sur le consentement valable et l’information complète.  Lorsque plusieurs finalités de traitement existent, les utilisateurs doivent avoir la possibilité de ne consentir qu’aux finalités qu’ils souhaitent. Le fait d’avoir plusieurs finalités (purpose) incluses et cumulées, ne permet pas de les découpler et de les sélectionner au cas par cas.

________________________________

CES EXIGENCES SONT-ELLES NOUVELLES AVEC LE RGPD?

Oui et non.

Oui, les exigences relatives à la collecte d’un consentement valide ont été considérablement renforcées. Il n’est pas aussi facile qu’auparavant de recueillir un consentement valide et, comme ce cas le démontre, il y a des personnes et des autorités qui peuvent avoir un mot à dire et imposer une amende à votre organisation.

Non, les principes du consentement, de la base juridique valable (legal basis for processing) et de l’information des personnes concernées par une déclaration de confidentialité ne sont pas nouveaux en Europe ni en Suisse ou dans les pays ayant adoptés une législiation complète sur la protection des données. L’obligation de traiter les données à caractère personnel selon un motif légitime existait déjà sous l’empire de la directive 95/46/CE et s’applique aussi sous la loi fédérale sur la protection des données en Suisse (LPD). Une entreprise responsable de la collecte et du traitement de données personnelles (data controller) doit justifier le traitement sur la base d’un motif valable.

Pour rappel, le RGPD propose 6 bases légales différentes pour justifier le traitement des données personnelles (article 6 du RGPD), lesquelles sont :

  • le consentement ;
  • l’exécution d’un contrat ;
  • le respect d’une obligation légale ;
  • protéger les intérêts vitaux des personnes physiques ;
  • l’exécution d’une mission effectuée dans l’intérêt public ou dans l’exercice de l’autorité publique ; et
  • l’intérêt légitime.

En l’absence de base juridique valable, le traitement devient illicite et le traitement des données doit être arrêté. Chacune de ces bases légales a ses avantages et ses inconvénients, mais lorsque vous utilisez le consentement, vous devez veiller à le recueillir selon les prescriptions strictes du RGPD (voir ci-dessus). Avec le RGPD, le consentement est devenu plus difficile à obtenir et lorsqu’il n’est pas obtenu valablement le traitement devient illégal.

Voilà ce qui est arrivé à Google LLC dans cette affaire liée à la publicité ciblée, mais qui n’est à ce jour que la première partie d’une longue série de péripéties des GAFAM en 2019. Affaires à suivre !

________________________________

Par Gabriel Avigdor | NTIC.ch | Digital Lawyer

RGPD: un hôpital portugais écope de €400’000 d’amende

Le Portugal inaugure les amendes sous le RGPD par une sanction de €400’000 contre un hôpital pour trois infractions au RGPD. Cet article est l’occasion de rappeler quelques affaires récentes en matière de protection des données datant d’avant le 25 mai 2018 , ainsi que la situation des hôpitaux en Suisse.

_____________________

MAUVAISE GESTION DES ACCÈS AUX BASES DE DONNÉES PATIENTS

Selon le site CIO-online, l’établissement hospitalier “Hospitalar Barreiro-Montijo” au Portugal écope de 3 amendes pour violation du RGPD:

  1. Violation des principes d’intégrité et de confidentialité des données : € 150 000.- ;
  2. Violation du principe de limitation d’accès aux données : € 150 000.- ; et
  3. Incapacité pour le responsable du traitement des données à garantir l’intégrité des données. € 100’000.-

L’autorité de contrôle de protection des données portugaise, la CNPD (Commission nationale pour la protection des données) a constaté que plusieurs membres du personnel administratif de l’hôpital avaient des accès réservés aux médecins au travers de faux profils! En parallèle, 985 médecins avaient des habilitations pour accéder au dossier médical des patients, alors que l’établissement ne comprend que 296 médecins. De plus, du personnel non-médecin avait accès aux dossiers patients.

Cette affaire fait suite à enquête menée par la CNPD sur dénonciation d’une association de médecins au mois de juin 2018. Référence de cette décision dans un article local et ici (en portugais).

_____________________

RAPPEL : LES DECISIONS RENDUES APRÈS LE 25 MAI 2018, NE SONT PAS TOUTES ANALYSÉES SELON LE RGPD

Alors que plusieurs décisions sont tombées en Europe depuis  le 25 mai 2018, elles concernaient, pour la grande majorité des cas, des faits antérieurs à l’application du Règlement (UE) 2016/679 (RGPD).

Le Règlement Général sur la Protection des Données (en anglais “GDPR“) s’applique partout dans le monde. En particulier, il s’applique aux traitements de données opérés sur les données de personnes situées dans l’UE. La citoyenneté n’a, à cet égard, aucune pertinence pour connaître du champs d’application territorial du Règlement, c’est-à-dire où il s’applique.

Le RGPD n’étant applicable que depuis le 25 mai 2018, le principe de non rétroactivité implique que toutes les enquêtes ou faits antérieurs sont réglés selon l’ancien droit. Il n’est donc pas possible d’infliger des amendes calculées les fameux 2% -€10M / 4% – €20M, mais uniquement selon les législations nationales des 28 pays de l’UE. Dans ce cas, ce sera la Directive UE 95/46/CE sur le traitement des données personnelles qui s’appliquera, tout comme les lois nationales de chaque pays de l’UE. La portée extra-territoriale du RGPD n’était, avant mai 2018, pas encore applicable.

Attention. On lit de nombreux articles sur Internet mentionnant des amendes infligées en 2018, et faussement rendues “sous le RGPD”. Vérifiez bien que les faits soient postérieurs au 25 mai 2018 avant de parler de sanctions sous le RGPD !

_____________________

DEUX DECISIONS IMPORTANTES RENDUES APRÈS LE 25 MAI, MAIS PAS SOUS LE RGPD

A titre d’exemples, voici deux décisions importantes rendues après le 25 mai 2018 sous la Directive 95/46/CE auxquelles je compare le montant des amendes sous l’ancien et le nouveau droit. Il ne s’agit ici que d’une estimation fondée sur deux législations différentes et dont le montant est extrapolé. Ces chiffres ne sont fournis qu’à titre indicatif.

Affaire Equifax

Le 20 septembre 2018, c’est le scandale des données de cartes de crédit volées à Equifax Inc. lors d’une cyber attaque. L’attaque visait les USA, mais près de 15 millions de données de citoyens britanniques furent volées. Le Bureau du Commissaire pour l’Information au Royaume-Uni (Information Commission Office “ICO”) a rendu une décision sanctionnant Equifax Ltd à l’amende la plus lourde, soit £500’000.-, selon la loi britannique sur la protection des données. Cette décision intervenue en septembre 2018, concernait des faits datant de 2017.

Dans cette affaire, il était question des manquements d’Equifax à ses obligations de mettre en place des mesures organisationnelles et techniques pour empêcher les accès indus (équivalent de l’art. 32 RGPD) aux données de ses clients, en particulier vu le caractère sensible des données de cartes de crédit. De plus, l’ICO a considéré que la durée de conservation (principe fondamental de la protection des données) des données de ses clients avait dépassé ce qui était nécessaire, ce qui a contribué à exposer plus de données à la cyberattaque.

Sous le RGPD, une infraction à l’article 32 (obligation de mettre en place des mesures organisationnelles et techniques appropriées pour protéger les données) peut conduire à une amende allant jusqu’à une amende de 2% du chiffre annuel mondial du groupe (art. 83 al. 4 let. a RGPD). Il en va de même pour le montant de l’amende en cas de non-respect de l’obligation de traiter les données selon le principe de protection des données dès la conception (Privacy-by-Design) et par défaut (Privacy-by-default). Ce dernier principe, inclut la notion de durée de conservation, soit l’obligation de ne conserver que les données personnelles “qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées” (art. 25 al. 2 RGPD). Ainsi, et pour autant que l’ICO eût utilisé les mêmes critères et arrivé à la même évaluation sous la Directive 95/46 que sous le RGPD, l’amende aurait pu avoisiner les quelques £20.87 millions, contre  £500,000 sous l’ancien droit.

Affaire Cambridge Analytica

Le 24 octobre 2018, Facebook Ireland Ltd a aussi été condamnée à la plus lourde amende possible selon le droit anglais par l’ICO britannique. Cette décision bien qu’intervenue en octobre 2018, concernait des faits antérieurs au 25 mai 2018.

Dans cette décision, Facebook a reçu une amende de £500’000.- pour avoir négligé la sécurité des données de ses utilisateurs. Dans ce scandale, l’entreprise Cambridge Analytica avait trompé les utilisateurs de Facebook en collectant des données de sondage pour analyser le comportement d’utilisateurs et influencer leurs intentions de vote pour les élections aux Etats-Unis lors de la campagne de Donald Trump. Il est par ailleurs probable que de pareilles méthodes aient été utilisées lors de précédentes campagnes aux USA, y compris pour l’élection de Barack Obama.

Facebook avait ainsi omis de protéger ses utilisateurs en ne mettant pas en place les mesures de sécurité appropriées. Cambridge Analitica, par ses sondages, avait pu obtenir un accès au profil des utilisateurs, mais également aux profils des “amis Facebook” des personnes participant au sondage, alors que ces personnes ne le savaient pas et n’avaient pas pu consentir ni être informées de cela.

Si la sanction avait été rendue sous le RGPD, et pour autant que les mêmes critères d’application eussent été utilisés, l’amende maximale de 4% aurait été d’une autre envergure. En effet, si l’on prend le chiffre d’affaire annuel net du groupe Facebook en 2017 (2018 pas encore connu), soit hors impôts, et en comparant le taux de change au 31 décembre 2017 entre EUR et GBP, l’amende aurait pu se monter à quelques £471,64 millions. Cela constituerait une hausse de +943% par rapport à l’amende rendue par l’ICO au Royaume-Uni.

_____________________

LA PREMIERE DECISION SOUS LE RGPD ?

Le 29 mai 2018, une décision importante allemande ICANN vs EPAG, traitait du cas des “données Whois”, soit les données personnelles des détenteurs de noms de domaines, données collectées et rendues publiquement accessibles. La société “Registrar EPAG Domainservices GmbH”, une société allemande accreditée par l’ICANN pour les enregistrements des noms de domaine (Registrars) était en litige contre l’ICANN. Dans cette affaire, il était question de savoir si les données de contact lors de l’enregistrement des noms de domaines (Admin-C et Technical-C) devaient être nécessairement collectées.

Au regard de l’art 5 (1) let. c) RGPD, la court allemande a considéré qu’il n’était pas obligatoire de collecter ces données. L’EPAG n’avait donc aucune obligation de collecter ces données et que personne ne pouvait le lui imposer.

La conséquence de cette décision est assez importante. De nombreux fournisseurs en ligne ont offert pendant des années de payer pour ne pas apparaître comme détenteur du site web, et ce afin de rester anonyme (service “whoisguard” par exemple). Vu qu’il n’y a aucune obligation de collecter ces données, les services payants n’auraient aujourd’hui plus de raison d’être, rendant ce service désuet, voir illégal. On voit maintenant des agences offrir “gratuitement” le service d’anonymisation des données de contact du détenteur d’un site à leurs clients. Certaines agences en font même un argument marketing, alors que les données n’ont plus à être publiées.

_____________________

QU’EN EST-IL DES HÔPITAUX SUISSES ?

La très vaste majorité des hôpitaux publics et cliniques privées suisses ne sont pas soumis au RGPD. Pourquoi ?

Pour la simple et bonne raison que ces établissements ne sont pas situés dans l’Union européenne. A cela s’ajoute qu’ils  n’offrent pas de biens et de services à des personnes situées dans l’UE. Ils ne surveillent pas non plus le comportement de personnes situées dans l’UE.

Mais attention, ce n’est pas parce que les amendes européennes ne peuvent pas toucher les établissements hospitaliers suisses que les risques n’existent pas. Au contraire.

Comme je l’écrivais dans mon article sur les données de 800’000 clients volées à Swisscom, l’absence de législation sérieuse sur la protection des données (avec des sanctions ayant un effet préventif et dissuasif) n’encourage pas les responsables de traitement à protéger les données des citoyens et des patients suisses. De nombreux cas récents ont démontrés que les hôpitaux sont devenus une cible de choix pour les cyber attaques, notamment pour la valeur des données de santé et par le fait que les mesures de sécurité adéquates coûtent chers et prennent du temps à mettre en place.

On peut voir dans ce rapport en anglais que les données médicales permettent d’accéder à de nombreuses informations pour des utilisations frauduleuses diverses:

  • Document de l’American Hospital Association sur les attaques des hôpitaux
  • Anthem – record historique de vol de données concernant plus de 80 millions de patients et employés

Les demandes de ranson (ransomware) sont devenues monnaie courante, et les erreurs humaines sont la plus grande cause des failles de sécurité. Dans un environnement avec tant de passages, de changement de personnel, avec des activités 24h/24h, les accès aux données patients et données confidentielles requièrent un contrôle strict au niveau des accès et des formations constantes des collaborateurs à tous les niveaux hiérarchiques. Il n’est d’ailleurs pas étonnant que de nombreux hôpitaux fassent l’objet d’enquêtes et de sanctions par les autorités de protection des données.

Et le droit suisse dans tout cela ?

Le projet de révision de la LPD, qui reste toujours en suspens au Parlement fédéral, sera tôt ou tard finalisé et entrera en vigueur avec un très large alignement au RGPD. Les amendes seront plus lourdes qu’aujourd’hui, même si elles resteront modérées (CHF 250’000 demain VS CHF 10’000 aujourd’hui), les incidents devront être notifiés, des études d’impact devront être menées pour les traitements à risque, les traitements devront être documentés de manière précises, les exigences relatives au consentement seront ré-haussées, etc.

Il reste donc essentiel pour les hôpitaux suisses, comme pour toutes les entreprises suisses, de se préparer à la révision de la LPD en tirant enseignement de ce qu’il se passe en Europe.

—

Par Gabriel Avigdor | NTIC.ch

Nous conseillons les entreprises en protection des données (RGPD et droit suisse), en matière de technologies et santé connectée en Suisse et sur le plan international. Pour plus d’informations, contactez-moi ou visitez datalex.ch.

Vidéoconférence : Logiciels de santé et dispositifs médicaux

En matière de santé connectée et dispositifs médicaux, l’une des questions importante d’ordre juridique et réglementaire concerne les conditions légales, et la procédure à suivre, pour tout fabricant ou éditeur de logiciel de santé pour le développement de logiciel de santé qui peut être considéré comme un dispositif médical. Cela inclut les hôpitaux qui peuvent être considérés comme fabricants de dispositifs médicaux.

Le 4 juin 2018, j’ai eu l’honneur de présenter cette problématique au Centre de Recherche Clinique (CRC) des Hôpitaux Universitaires de Genève (HUG), présentation qui a été filmée et que vous trouverez ci-dessous. Cette présentation de 35 minutes n’est pas exhaustive et vise à apporter les bases élémentaires pour comprendre pourquoi un logiciel peut devoir être annoncé, obtenir une autorisation de Swissmedic, voire procéder à des essais cliniques après approbation d’une commission d’éthique.

Bon visionnage !

________________________________

POURQUOI CETTE CONFERENCE SUR LES LOGICIELS DE SANTE ?

L’innovation et les profonds bouleversements dans le domaine de la santé sont accélérés par la numérisation des données patients. L’essor phénoménal des nouvelles technologies de l’information et de la communication (NTIC) appliquées au domaine de la santé et les technologies avancées (intelligence artificielle, blockchain, etc.) nécessite une certaine prudence et vigilence tant pour les patients, que les professionnels de la santé et des précautions pour les acteurs de l’innovation et des assureurs.

De nombreuses et épineuses questions juridiques, éthiques, sociétales et assécurologiques se posent et requièrent une attention particulière de la part des professionnels de la santé et des experts en matière de technologies dès la conception des technologies de santé connectée (digital health et eHealth). Ainsi, l’accès au marché des applications de santé est réglementé, non seulement par les règles de droit médical, de la protection des données (LPD et RGPD), mais doit parfois passer par une procédure de certification, notamment le marquage CE et faire l’objet d’une annonce ou validation pour être distribué ou utilisé en hôpital.

J’en parlais déjà en 2016, dans mon article intitulé “La réglementation des applications médicales mobiles“, publié au sein du recueil édité par l’institut suisse de droit de la santé de Neuchâtel (IDS) et dans mon analyse de l’affaire européenne Philips et SNITEM de décembre 2017. Dans ce dernier article, j’y analyse les conséquences de la décision de la CJUE sur les logiciels d’aide à la prescription et dispensation médicale (LAP et LAD), mais également pour tous les autres logiciels de santé en Europe et en Suisse suite au procès gagné par Philips.

Pour toute question complémentaire, vous pouvez me contacter directement par e-mail.

—

Pour aller plus loin:

Certifié Professionnel de la Protection des Données/Europe (CIPP/E)

Après plusieurs années de pratique et quelques mois de préparation, je suis très heureux de me voir certifié “Certified Information Privacy Professional/Europe“, abrégé (CIPP/E) pour l’Europe par l’IAPP – l’Association internationale des professionnels de la protection des données.

Par cette certification, je valide mes compétences en protection des données et de l’information rejoignant ainsi la famille de plus en plus nombreuse des professionnels de ce secteur en expansion. Cette certification démontre “des connaissances complètes du Règlement Général sur la Protection des Données (RGPD), ainsi que les perspectives et compréhension pour garantir le succès de la conformité et de la protection des données en Europe” (traduction libre de l’anglais).

Ainsi, je continuerai à traiter sur ce blog de sujets liés aux technologies émergentes et à la santé, mais aussi avec la question de la protection des données personnelles. Ce domaine est devenu aujourd’hui incontournable pour tout juriste ou avocat conseillant des entreprises actives, ou ayant des activités, avec la société de l’information. Toute entreprise qui traite des informations pour son propre compte ou en qualité de sous-traitant, en Europe, en Suisse ou ailleurs dans le monde, notamment avec une activité déployée en Europe est impactée de manière significative par les récents développements en matière de protection des données. Ce domaine est passé d’un sujet théorique à un domaine de spécialisation à part entière, nécessitant des connaissances spécialisées tant juridiques que techniques. 

Un grand merci à tous ceux qui m’ont soutenu pour accomplir cela, directement, ou indirectement par le nombre grandissant de ressources de qualité par les professionnels de la protection des données et de l’information par du support gratuits, conseils et blogs. 

Bonne chance d’ici au 25 mai et au-delà. L’aventure ne fait que de commencer.

Merci pour votre soutien, au plaisir de continuer à rédiger des articles et à lire vos commentaires.

—

Gabriel Avigdor

30 jours avant le RGPD – même les Etats membres ne sont pas prêts

Si vous avez le sentiment de vous trouver, en tant qu’organisation, seuls perdus dans l’obscurité moins de 30 jours avant l’entrée en force du RGPD et ses implications globales et mondiales, n’ayez pas peur. Vous n’êtes pas seuls.

Sans surprise, dans un article paru sur le  site de l’IAPP, il est rappelé que si toutes les entreprises et organisations sont loins d’être prêtes pour la date butoir du 25 mai 2018, une vaste majorité d’Etats membres de l’Union Européenne n’est pas prête pour l’entrée en force du RGPD. Ces personnes morales publiques ou privées qui tombent champs d’application du RGPD, investissent de nombreuses ressources pour se préparer à être conformes au Réglememt 2016/679 ( ou ‘GDPR‘), chacune différentes approche et priorités.

La situation est similaire pour les Etats membres de l’UE. Il leur incombe, non pas de transposer le Règlement, mais d’intégrer et mettre en oeuvre dans leurs lois nationales sur la protection des données certaines dispositions essentielles. En Somme, il s’agit pour les pays européens de mettre en oeuvre leur propre implémentation du RGPD, dont plusieurs articles de ce Règlement imposent ou offrent aux pays européens la possibilité d’avoir des dispositions nationales particulières sur certains sujets. Ces pays doivent mettre en oeuvre ce processus législatif interne et décider d’adapter différemment ou non leurs lois en fonction de leur propre culture et système législatif spécifique. Comme les responsables de traitement et sous-traitants, les pays ont jusqu’au 25 mai 2018 pour le faire.

Tous les pays européens ne sont pas de bons élèves en la matière. A ce jour, seuls l’Allemagne, l’Autriche, la Belgique et la Slovaquie ont procédé à ces changements pour adapter leurs lois pour une entrée en vigueur avant ou synchronisée avec le 25 mai 2018. En janvier 2018, Věra Jourová, la Commissaire européenne pour la justice, indiquait que, malgré 2 pays (Allemagne et Autriche), 26 n’étaient pas prêt pour le RGPD. Dans une étude menée par le cabinet BakerMckenzie en 2018, datant de janvier 2018, 20 pays avaient soit publié ou planifié leur projet de modification de lois et soumis à leur Parlement, tandis que 5 pays (Bulgarie, Grèce, Malte, Portugal et Roumanie) n’avaient pas manifesté d’intention particulière d’implémenter le RGPD.

[edit 20.05.2018:] Le 18 mai 2018, une semaine seulement avant le RGPD, le quotidien en ligne “EU Observer” faisait état que ‘8 pays de l’UE ne seront pas prêts le jour J‘. Dans cet article, on apprend que certains le sont, ou on annoncé l’être, prêt dans à temps (Autriche, Allemagne, France, Croatie, les Pays-Bas, Suède et la Slovakie). D’autres devraient devraient adapter leur législation d’ici à la fin du mois de mai ou juin (Espagne, Italie, Portugal, Roumanie et la Lettonie),  alors que les suivants ne le seront pas:

  • Belgique ;
  • Bulgarie ;
  • Chypre ;
  • République Tchèque ;
  • Grèce ;
  • Hongrie ;
  • Lituanie ; et la
  • Slovénie.

________________________________

Le RGPD: un Règlement  harmonisé ?

Le RGPD, est un Règlement, ce qui signifie qu’il s’applique avec force exécutoire dès son entrée en vigueur à une même date dans tous les pays européens. Dans le cas du RGPD, il s’applique également au-delà de part sa composante extra-territoriale afin d’éviter que des entreprises avec une implantation en Europe ne sortent leurs entités pour éviter d’y être soumises. Le texte du RGPD fut approuvé par le Parlement européen le 14 avril 2016 et est entrée en vigueur le 24 mai 2016. Vu les changements et leurs impacts sur l’industrie et les organisation au niveau mondial, une sorte de  délai de grâce de 2 ans a été accordé avant que les autorités ne puissent la mettre en oeuvre. L’application et entrée en force de ce Règlement a été fixé au 25 mai 2018, date que tous le monde retient en général. Bien que le RGPD a été édicté sous la forme d’un Règlement qui s’applique partout, et au même moment, sans besoin de le transposer au niveau national, il existe de nombreuses dispositions qui offrent la possibilité pour les Etats membres de prévoir des exceptions et variations au texte dans leur droit national.

Malgré tout on est loi d’une loi harmonisée. Le mécanisme appelé ‘One-Stop-Shop‘, permet de n’utiliser qu’une seule autorité de contrôle de référence. Certes, il s’agit d’un Règlement, certes, mais il faut bien dire que création, au sein de l’Union, d’un marché unique pour les données, et la volonté de créer des règles identiques dans l’UE et au delà est un peu loin de la réalité et du but poursuivi, même si on doit lui laisser que la prise de conscience mondiale sur le respect de la vie privée a été considérablement augmentée.

Dans les faits, le RGPD contient plus de 70 dispositions appelées “clauses ouvertes” (en anglais “opening clauses“). Soit elles imposent une modifications au niveau national, soit elles offrent la possibilités aux pays européens de le faire (avec dès règles plus strictes, moins strictes ou plus détaillées) et adopter ainsi des exceptions. Les règles qui imposent une modification nationale traitent notamment des thèmes suivants: données personnelles et liberté d’expression ou sanctions et pénalités, tandis que les autres règles permettant de déroger au RGPD ont trait aux aspects suivants:

  • consentement des mineurs ;
  • données des employés ;
  • notification des violations de données (data breach) ;
  • designation d’un délégué à la protection des données (art- 38 ‘DPO’):
  • (non-) reconnaissance des amendes administratives ;
  • secret professionnel ;
  • traitement de données à des fins scientifcques, historiques ou statistiques ;
  • données de personnes décédées ;
  • règles sur les catégories spéciales de données (ex. : données sensibles) ;
  • règles pour les données génétiques, biométriques ou liées à la santé ;
  • numéro d’identification nationale ou tout autre identifiant s’appliquant globalement ;
  • etc.

Selon Christian Gemmin, de l’Université de Kassel en Allemagne, ces clauses ouvertes “risquent d’abaisser le niveau de protection des données” (run the risk of lowering the level of data protection“. Et il convient de noter, qu’en conséquence, le mécanisme de sanction prévu par le RGPD, que beaucoup utilisent à tort et à travers, ne s’appliquera pas de manière égale selon les pays européens. Cela sera vrai tant d’un point de vue de la manière de l’appliquer, de porter des affaires devant les autorités, de les faire exécuter que leur montant.

A titre d’exemple, en République Tchèque, les amendes administratives contre les autorités publiques ne seraient imposables qu’à hauteur de CZK 10 million, (environ EUR 358’000.-). Idem pour l’Estonie. La loi estonienne ne reconnaît pas le concept d’amende administrative et de telles amendes ne peuvent pas être imposées tel que prévu par le texte du RGPD, mais au travers d’autorités de protection des données (Data Protection Authority ‘DPA’). Pour l’Irelande, les entités puliques pourraient ne pas être sanctionnées par des amendes administrative pour violation du Règlement, sauf si elles agissent en tant qu’entreprises ! En janvier 2018, seules l’Allemagne et l’Autriche étaient conformes au RGPD.

Sur ce site, vous trouverez un tableau, apparemment mis à jour régulièrement, qui tient compte de l’évolution des droits nationaux européens en matière de protection des données en fonction du RGPD.

________________________________

Que peut-on tirer de ce retard des pays membres de l’UE ?

  1. cela démontre un retard global, non seulement les entreprises, mais aussi les Etats qui peinent à suivre les exigences de mise en conformité. Il s’agit simplement d’une réalité pratique.
  2. cela crée un incertitude et insécurité juridique pour le traitement des données personnelles sous le RGPD dans les pays qui ne sont pas prêts. Les organisations présentes ou qui sont actives dans ces pays non-conformes ne peuvent pas se préparer totalement au RGPD et doivent attendre.
  3. cela crée une insécurité juridique pour les personnes dont les données sont traitées. Certes, il existe, dans certains cas, des mécanismes permettant d’agir devant d’autres autorités que dans son propre pays. Mais les procédures judiciaires devant les tribunaux ou autorités de contrôles devront opérer des ajustements pour que les personnes concernées agissent selon les prescriptions du RGPD et puissent exercer leurs droits, voire soumettre des plaintes selon les droits conférés par le RGPD. Tant que cela n’est pas fait, leurs droits ne pourront pas être exercés convenablement.
  4. cela peut “ralentir l’application harmonieuse et cohérente pour la protection des données au sein de l’UE” (tel que l’explique cet article).
  5. la Commission européenne pourrait saisir la justice contre un Etat membre de l’UE qui n’est pas prêt (à ce stade, tous les pays sauf l’Allemagne, l’Autriche, la Belgique et la Slovaquie) pour leur mettre la pression (déclaration de Věra Jourová en janvier 2018).

________________________________

Comment suivre les changements législatifs dans tous ces pays ?

Certains cabinets et études ont entrepris ce gros travail de veille législative globale pour l’implementation du RGPD dans les lois nationales pour chacun des Etats membres de l’UE. Voici une sélection des sites qui me paraissent utiles et intéressants à ce sujet :

  • Latham and Watkins: ils offrent un document ainsi qu’une plateforme gratuite pour suivre cet avancée en ligne ici, qui a l’avantage d’apparaître dans une seule fenêtre de navigateur. Franchement, leur site est vraiment top.
  • Bird&Bird: ils ne sont plus à découvrir. Depuis longtemps, ils ont mis une espace de suivi législatif pays par pays.
  • ReedSmith: dans leur article, on trouve un tableau contenant les changements en cours pour chaque pays ainsi qu’une liste des différences par pays.
  • Nymity Inc.: cette organisation européenne, fameuse pour offrir des outils, logiciels pour protéger la vie privée et des supports et cadre pour l’implémentation au RGPD. Ils ont développé un outil de suivi, lequel apparaît être payant.
  • Un blog sympathique irlandais du Prof. Eoin O’Dell: mis à jour le 25 avril 2018, avec l’avancée pour chaque pays et d’autres liens.

__

Par Gabriel Avigdor | Ntic.ch

Helsana+ et rabais de primes : traitement illégal des données

Dans l’affaire des rabais de primes proposés par Helsana grâce à son App “Helsana+“, le Préposé a émis une recommandation le 27 avril 2018 (text d’origine en allemand) enjoignant l’assurance complémentaire de cesser tout traitement de données permettant aux assurés de base d’obtenir des rabais de primes en adoptant un style de vie sain et sportif. Le Préposé accorde un délai de 30 jours à la société d’assurance complémentaire pour cesser “tout traitement de données visant à calculer et à effectuer des remboursements sous forme pécuniaire pour les clients qui ne disposent que de l’assurance de base auprès d’Helsana“. Les recommandations du Préposé ont une portée limitée puisqu’elle n’ont pas d’effet contraignant. Toutefois, si la recommandation n’est pas suivie dans le délai imparti, l’affaire peut être portée devant le Tribunal administratif fédéral pour obtenir une décision judiciaire, définitive et exécutoire (art. 29 al. 3 et 4 LPD). Helsana a apparemment indiqué vouloir suivre la recommandation du Préposé et cesser le traiter de ces données.

__________________

De quoi parle-t-on exactement avec cette application mobile ?

Lorsqu’on se connecte à Helsana+, l’application demande à l’utilisateur s’il est aussi client de l’assurance de base. Par conséquent, il peut bénéficier jusqu’à CHF 75.- de rabais par année qu’il soit assuré à titre complémentaire ou non. Or selon le Préposé, il n’existe pas de base légale pour traiter ces données liées à l’assurance de base, et le traitement opéré par Helsana Assurances complémentaires SA est illicite. De plus, la loi fédérale sur l’assurance maladie (LAMal) interdit d’accorder des rabais aux assurés de base, ce qui serait contraire au principe d’une assurance sociale ayant pour but de rembourser les assurés sans discrimination, dans notre cas, sans distinguer les bons (personnes en bonne santé) des mauvais risques (personnes malades, avec antécédents ou avec des risques plus élevés que la moyenne, notamment par le style de vie).

Dans son communiqué, le Préposé a précisé ce qui suit:

en s’enregistrant sur l’application Helsana+, les assurés d’Helsana Assurances complémentaires SA donnent leur accord à ce qu’on vérifie qu’ils sont assurés auprès du groupe Helsana pour l’assurance de base. Faute de base légale, la récolte de ces données relatives à l’assurance de base par l’assurance complémentaire et leur traitement subséquent par l’assurance complémentaire sont illégaux du point de vue de la protection des données et le consentement recueilli par l’application n’a aucun effet juridique. Le PFPDT recommande donc à Helsana Assurances complémentaires SA de mettre un terme à ce traitement de données de l’assurance de base. 

Pas de rabais pour les assurés de base grâce à Helsana+. En fin d’année 2017, le Préposé avait mené une enquête suite à la mise sur le marché de l’application mobile d’Helsana qui pousse les assurés à opter pour une meilleur style de vie, sain et sportif. Le système de bonus ou de points “Plus” peuvent être récolté si l’utilisateur renseigne l’assurance d’une activité physique, de mesures de prévention, d’une fidélité ou de son adhésion à un centre de fitness. Ces activités encourageant une meilleure santé, et par conséquent de plus faibles risques de tomber malade, sont ensuite converties en points, que l’assuré peut encaisser en liquide ou auprès de partenaires d’Helsana, soit en avantage pécuniaire.

__________________

 Enjeux juridiques, économiques et sociaux

Les enjeux concernent:

  • d’une part l’interaction entre l’assurance de base et l’assurance complémentaire et la manière avec laquelle une assurance complémentaire peut traiter des données de l’assurance de base ; et
  • d’autre part, l’un des thèmes souvent décrié dans la presse concerne la “sélection des risques“, le fait de privilégier ou récompenser financièrement les personnes qui ont un train, mode et style de vie favorisant une meilleure santé des autres  personnes qui sont ont été, sont ou ont un plus grand risque de tomber malades.

L’assurance-maladie de base (LAMal) est une assurance sociale qui doit rembourser un catalogue de prestations listées par le Conseil fédéral (OPAS) sans distinction entre les individus, toute personne étant égale face à la maladie indépendamment de son mode de vie ou de ses revenus.

L’article 84a LAMal traite du transfert de données dans le cadre de l’assurance-maladie, mais ne prévoit pas la communication de données de l’assurance de base à l’assurance complémentaire, cela même si ces données traitées au sein du même groupe. En l’absence de base légale permettant ce transfert, le consentement recueilli par les utilisateurs pour le traitement de leur données n’est pas valable et le traitement devient par conséquent illicite.

—

Par Gabriel Avigdor | NTIC.ch

3 mois avant le RGPD – que va-t-il arriver si vous n’êtes pas prêt?

 

Conformité au RGDP… ces mots résonnent dans nos têtes comme s’ils n’en existaient pas d’autres.

En effet, la protection des données personnelles est devenue un thème non seulement à la mode, mais tout le monde en parle parce que cette nouvelle réglementation bouleverse au delà du paysage légal. En 2017, le RGPD est vite devenu l’un des sujets réglementaires et juridiques probablement le plus discuté actuellement et cela va encore augmenter dans les prochains mois. La date de conformité approche et nous ne sommes qu’à un peu plus de 3 mois du 25 mai 2018, cette fameuse date butoir après laquelle le Règlement (UE) 2016/679  (RGPD ou GPDR) s’appliquera à tous les organismes publics et privés qui tomberont dans le champs d’application matériel (art. 2) et territorial (art. 3) de ce Règlement.

La protection des données et la cybersécurité vont gagner en importance avec les compagnes de sensibilisation massives, l’importance de penser à la protection des données dès le début ou dès la conception avant tout traitement des données (privacy by design), et l’incroyable augmentation du nombre de professionnels de la protection des données apparaissant au niveau mondial, prônant ce domaine qui n’est pourtant pas si nouveau.

Dans cette course historique pour la conformité en matière de protection des données, la Commission européenne a publié son nouveau site internet contenant des lignes directrices très complètes au sujet du RGPD. Cette plateforme est conçue de manière très intuitive, intelligible, simple et de facile d’accès. Le contenu comporte plusieurs sections couvrant les principaux thèmes traités par le RGPD, dont notamment:

ainsi qu’une section infographique contenant un résumé des domaines clés liés au nouveau Règlement comme les droits et obligations, les règles organisationnelles, la gouvernance, et les conséquences en cas de non-conformité. Et il ne reste plus beaucoup de temps. Au peu moins de 3 mois avant que les organisations traitant des données personnelles aient à démontrer aux autorités de quelle manière elles sont conformes avec la loi (principe de ”responsabilité” ou “accountability” en anglais – art. 5 § 2 RGPD).

__________________

A QUOI S’ATTENDRE SI VOUS N’ÊTES PAS “RGDP-CONFORME” EN MAI 2018?

Sur son nouveau site, la Commission rappelle les 4 étapes clés avant qu’une autorité de contrôle (“supervisory authority”) puisse prononcer une amende administrative (art. 83 RGPD) aux entreprises et organisations qui seraient en violation de leurs obligations:

(1) AVERTISSEMENT ⇨ (2) RAPPEL A L’ORDRE ⇨ (3) SUSPENSION DU TRAITEMENT DE DONNEES ⇨ (4) AMENDE

Le Règlement (UE) 679/2016, les sanctions doivent être prononcées de sorte qu’elle soient “dans chaque cas effectives, proportionnées et dissuasives” (art. 83 § 1 in fine RGPD). De plus, le régime de sanctions permet à une autorité de contrôle de prononcer une amende en sus d’une autre mesure telle que notamment:

  • avertissement (art. 58 (2) (a) et considérant 150 RGPD);
  • retrait d’une certification (art. 58 (2) (h) RGPD); ou
  • suspension du traitement de données (art. 58 (2) (j) et 83 (5) (e) RGPD).

__________________

LES AUTORITES NE VONT PAS SANCTIONNER TOUT LE MONDE DES LE 26 MAI 2018 

Il est devenu courant d’entendre et de lire de nombreuses personnes et cabinets de conseils sortant de nul part, criant sur les réseaux sociaux et sur internet que la fin du monde est prévue pour mai 2018 en cas de non-conformité. La réalité est un peu plus complexe que cela et de telles assertions ne correspondent pas à la réalité. Il est vrai qu’après le 25 mai 2018, la protection des données aura effectué un saut de géant en avant, et que le délai pour les responsables de traitement de se mettre en conformité sera échu. Des sanctions pourraient dès lors s’abattre sur les organisations qui ne seraient pas conformes. Ok, cela est théoriquement vrai avec des amendes très salées.

Toutefois, cela ne devrait arriver qu’après une analyse de la situation par une autorité de contrôle, includant des échanges de communications, des audits, dans le cas où une personne concernée dépose une plainte pour violation ou non respect de ses droits, ou en cas de saisie de la justice par un individu pour violation de la loi.

Si une chose est certaine, si vous n’y êtes pas encore et que vous pensez êtes soumis au RGPD, vous feriez mieux de vous y mettre tout de suite ou alors préparer votre ligne de défense pour indiquer en quoi votre entreprise n’est pas soumise au RGPD. Cependant, il semble utile de rappeler quelques considérations un peu moins alarmistes sur le régime de sanctions selon le RGPD et la mise en conformité. En voici quelques unes:

  • Il ne va pas pleuvoir des amendes dès le 26 mai 2018. Il s’agit d’un mythe créé par des entreprises qui pratiquent le marketing par la peur et qui se réjouiront de vous offrir toute une panoplie de de services, solutions informatiques et cocktail pack de mise en conformité au RGPD. Les entreprises déjà alertes sur cette problématique ne sont font pas avoir, mais les plus petites structures qui sont nouvelles dans le monde du numérique peuvent tomber dans le piège.
  • Question de preuve et d’interprétation. Une autorité ne va pas prononcer une amende avant d’avoir pu considérer que le responsable de traitement a concrètement manqué à ses obligations, probablement après l’avoir interpellé, puis probablement averti (cela concerne les responsables, mais aussi leurs sous-traitants) d’un violation de la loi. Des délais de mise en conformité seront accordés et, en fonction de la gravité des manquements, une certaine flexibilité sera accordée. Cela implique de mener des investigations, par exemple en demandant des explications documentées, en menant des audits auprès des responsables de traitement, des sous-traitants, des détaillants, des fournisseurs, des partenaires commerciaux, mais également par une interprétation du Règlement. Et ce n’est pas chose aisée.
  • Cela va prendre du temps d’examiner les plaintes. Selon Steve Eckersley, du Bureau du commissaire à l’information anglais (ICO UK), certaines enquêtes prennent de 8 à 12 mois”. Cela prend donc du temps qui permet au responsable de corriger le tir. Steve Echersley cite comme exemples que “le bureau du Commissaire à l’information est en train de recruter entre 100-150 personnes pour travailler sur les aspects liés au RGPD et à la cybersécurité” et prédit qu’ils s’attendent à recevoir quelques “30’000 notifications d’incident par année“. Ce n’est pas un nombre à prendre à la légère.
  • Les autorités ont aussi leurs obligations. Les autorités sont, et resteront, très occupées à mettre en place leur propres équipes afin de renseigner, aider, guider les responsables de traitement dans l’applicabilité, l’interprétation, mais aussi la mise en place des mesures nécessaires à être conforme au Règlement. Elles doivent aussi réfléchir à intégrer ou non des exceptions au RGPD dans leur droit national, examiner comment traiter et gérer les notifications d’incidents, travailler sur la soumission d’analyses d’impact (DPIA), etc.
  • Sanctionner n’est pas une priorité. La priorité n’est pas de sanction tout le monde dès mai 2018, mais plus de pouvoir démontrer que votre organisation met la protection des données en haut de la liste des tâches à accomplir et que des mesures concrètes sont prises pour y remédier, que les bonnes personnes sont en place, que la gouvernance a été pensée, qu’un budget a été alloué, etc. La conformité au RGPD, est pour la plupart des responsables de traitement, un énorme projet qui se prolongera au moins sur les 5 ans à venir, et qui continuera d’être, pour toutes les parties prenantes. Les autorités de contrôle sont d’ailleurs elles-mêmes mises sous pression par la Commission européenne pour leur propre mise en conformité! Le fait qu’elles soient très occupées, ne signifie pas pour autant qu’aucune sanction ne sera prononcée. Ces amendes arriveront, il y aura des exemples auprès des grands, moyens et petits. Mais simplement pas tout de suite.
  • Le Règlement (UE) 2016/679 n’indique pas les amendes comme première mesure en cas de non-conformité. Lorsque un audit RGPD sera mené, il y aura place au dialogue et échanges entre les autorités, juristes, avocats, conseillers internes à la protection des données (DPO), sous-traitants et autres acteurs de cet écosystème. Il sera également intéressant d’observer si le niveau de plaintes par des individus va augmenter dans le futur ou si le RGPD va instaurer une confiance accrue auprès du public. On oublie parfois que le le RGPD est formidable opportunité pour les organisations de rester compétitives. Une attitude responsable, une volonté de mettre les clients et les individus au centre de leurs intérêts en respectant au mieux leurs droits peut être un grand coup de marketing permettant d’indiquer un haut niveau de standard en la matière, le cas échéant en se démarquant de la concurrence.
  • Maintient de la conformité au cours du temps. La conformité doit être maintenue et surveillée dans le temps. La conformité au RGPD n’est pas un projet unique. Elle s’intègre au sein d’une entreprise comme nouveau comportement vis-à-vis de leurs clients, partenaires d’affaires, employés, etc. et les processus internes en seront modifiés en conséquence. Cela devrait continuer aussi longtemps que ce Règlement sera en vigueur, ce qui implique qu’une amende pourrait arriver bien plus tard. Une entreprise peut être prête pour mai 2018, et ne plus l’être dans le futur si le programme de protection des données n’est pas maintenu.
  • Interprétation de la loi et droit nationaux.  Plus de 60 articles du RGPD permettent aux Etats Membres de l’UE de déroger au Règlement dans leur droit national. Cela veut dire que de connaître le RGPD sur le bout des doigts maintenant, n’est pas suffisant. Il y aura probablement 28 RGPD différents (ou 27 dès le Brexit). Il y aura de nombreuses différences selon les pays, avec un exemple déjà très aboutit en Allemagne, premier pays à avoir adopté et adapté sa loi interne au RGPD. Enfin, beaucoup d’articles du RGPD ne sont pas clairs et sont déjà sujets à interprétation par de nombreux commentateurs. La conformité reste une analyse au cas par cas et il n’est pas possible d’avoir une solution clé-en-main applicable à tous, même si beaucoup de principes sont communs. Dans cet article, il est également mentionné qu’il “faudra probablement environ 10 ans avant qu’on puisse considérer le RGPD comme un texte législatif mature et qui est compris correctement”.

Tout cela permet de tempérer quelque peu les ardeurs et se rendre compte de l’ampleur de cette réglementation.

__________________

D’AUTRES MENACES ET RISQUES QUE LES AMENDES

Les entreprises et organisations traitant des données personnelles et qui sont soumises au RGPD (responsables et sous-traitants) ne devraient pas se focaliser sur les amendes. Une amende risque de n’être qu’un mauvais goût supplémentaire à un menu déjà trop salé.

Lors d’un traitement de données personelles, il s’agit de prendre également en considération les autres risques et menaces à l’activité et aux affaires en cas de non-conformité. Voici quelques exemples:

  • atteinte à la réputation, pertes financières, pertes de cliens après un incident. Les notifications en matière de cybersecurité, tant aux autorités en cas de risque (art. 33 RGPD), qu’aux personnes concernées en cas de risque élevé (art. 34 RGPD), les atteintes à la réputation peuvent causer parexemple des dommages considérables à la réputation, engendrant des opportunités d’affaires perdues, perte de clientèle, responsabilités contractuelles et violation de contrats. Ces événements peuvent être bien plus dommageables qu’une amende. L’affaire désastreuse de Talk-Talk, a été causée par un porte-parole qui s’est exprimé devant la presse sans préparation suffisante, donna le pire des signaux causant la panique des clients après le communiqué de presse lié à l’incident.
  • discontinuité des affaires et coûts de remise en service suite à un incident. Non seuelement les incidents en matière de cybersécurité peuvent causer un arrêt de l’activité et impact sur la réputation, mais cela impliquera des dépenses qui peuvent être considérables. Dans le cas de Talk-Talk, alors que l’amende s’est élevées à GBP 400,000, les dommages totaux se sont chiffrés à environ GBP 60 millions… Les dépenses peuvent concerner les enquêtes et investigations, correction des erreurs, prévention des nouvelles, et mise en place de nouvelles mesures et processus, etc. Avec l’augmentation des systèmes informatiques et du numérique, le traitement des données par des réseaux connectés, il est probable que des données personnelles soient concernées. Si tel n’est pas le cas, la réglementation ne s’applique pas. C’est là que la mise en place de mesures techniques et organisationnelles adéquates joue un rôle clef. Dans le cas le plus optimiste, une organisation bien équipée et préparée pourrait même ne pas avoir à notifier les individus, ni même les autorités. En effet, si les données ne sont pas personnelles, ou si l’incident n’est “pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques“, alors aucune notification n’est requise. Quoi qu’il en soit, la réflexion et l’intégration d’une politique en matière de cybersécurité pour se préparer et savoir notifier de manière adéquate et dans les délais un incident est absolument cruciale. Cela nécessite d’impliquer les personnes au plus haut niveau hiérarchique.
  • suspension du traitement des données. Un incident en matière de cybersecurité peut causer une cessation temporaire de l’activité, mais autorité peut aussi l’ordonner. Cela pose encore des questions pratiques pour savoir comment une autorité peut mettre en exécution une telle mesure (probablement par les forces de police), cela pourrait être très dommageable en particulier si le traitement de ces données est essentiel à la poursuite de l’activité et des affaires.
  • prise de parts du marché par des concurrents. Il s’agit d’un élément auquel les responsables de traitement devraient aussi songer.  Et c’est aussi là que le RGPD constitue une réelle opportunité pour certains acteurs. Mettre en avant sa conformité un réel gage d’excellence en matière de gestion de la protection des données personnelles.
  • activité péjorée sur le long terme.
  • perte de confiance par le public.
  • pertes d’employés et démission de cadre dirigeants.
  • budget supplémentaire et non planifié en matière de sécurité, protection des données, restructuration interne, établissement de nouvelles positions, audits internes.
  • etc.

Il est certains que toutes les entreprises et organisations dans le monde et qui sont soumises au RGPD ne seront pas prêt pour le 25 mai 2018. Les responsables traitant de grosses quantité de données, sensibles qui plus est, et créant un risque pour les individus, seront dans le collimateur des autorités. Cela est évident. Cette soit-disant “Loi Facebook” va peut-être motiver les autorités à se concenter sur les GAFAM, BATX et leurs partenaires contractuels, mais cela concerne tous les acteurs.

Par cet article, j’espère avoir pu donner quelques pistes indiquant que l’alarmisme n’est pas la bonne approche et n’est pas conforme à la réalité. Tant qu’une entreprise est capable de démontrer son avancement vers la conformité, qu’il s’agit d’une priorité, qu’elle a pris les mesures en vue d’aboutir à une conformité le plus rapidement possible, cette entreprise se trouve sur la bonne voie.

Soyez prêts et non effrayés. Faites du RGPD, une opportunité pour votre entprise ou organisation et non un point bloquant. Ne craignez pas les amendes, mais préparez-vous pour démontrer que vous êtes ou allez être conformes.

__________________

Par Gabriel Avigdor | NTIC.ch