Le 10 juillet dernier, la Commission européenne a pris une décision cruciale concernant les transferts de données vers les États-Unis. Cette décision d’adéquation déclare que les États-Unis assurent désormais un niveau de protection des données personnelles substantiellement équivalent à celui de l’Union européenne. Cela signifie que, sous certaines conditions, les transferts de données personnelles depuis l’UE vers les États-Unis peuvent se faire sans exigences supplémentaires.
Pour rappel, la précédente décision d’adéquation pour les États-Unis avait été invalidée en 2020 par la Cour de justice de l’Union européenne dans l’affaire Schrems II. La Cour avait estimé que les protections existantes n’étaient pas suffisantes, notamment en ce qui concerne l’accès des autorités américaines aux données personnelles.
En réponse, le gouvernement américain a renforcé les garanties concernant la collecte et l’utilisation des données personnelles par les services de renseignement. Ce nouveau cadre a été soumis à l’évaluation de la Commission européenne.
Ce nouveau cadre pour les transferts de données UE-États-Unis repose sur des règles strictes visant à limiter l’accès aux données personnelles par les autorités de renseignement américaines. Il inclut un système d’auto-certification pour les entités américaines qui s’engagent à respecter ces règles.
Avec cette décision d’adéquation, les organismes soumis au RGPD peuvent désormais transférer des données vers des organismes certifiés aux États-Unis sans devoir mettre en place des outils de transfert spécifiques. Cependant, ils doivent s’assurer que l’organisme destinataire figure sur la liste des entités certifiées sur la Liste du Département du Commerce.
Si l’organisme destinataire aux États-Unis n’est pas certifié, des garanties appropriées supplémentaires doivent être mises en place. Cela peut se faire en utilisant des clauses contractuelles types ou d’autres outils prévus par le RGPD.
Les administrations et les collectivités locales peuvent également se baser sur cette décision d’adéquation pour leurs transferts de données vers des prestataires américains certifiés. Cependant, elles doivent respecter les mêmes règles de protection des données qu’explicitées ci-dessus.
La décision d’adéquation est entrée en vigueur le 10 juillet 2023. Elle restera en place jusqu’à ce qu’une modification, un remplacement ou une abrogation soit décidé par la Commission européenne, si le niveau de protection des données n’est plus jugé adéquat. Une première révision aura lieu dans un an, suivie de révisions périodiques.
Cette nouvelle décision d’adéquation ouvre la voie à des transferts de données plus fluides entre l’UE et les États-Unis en légalisant ce contexte transatlantique complexe. Cependant, malgré ces adaptations apportées au système américain de protection des données, beaucoup estiment ces nouvelles mesures inadaptées, permettant aux entreprises de contourner les exigences européennes de protection des données personnelles.
C’est pourquoi plusieurs associations et collectifs de protection des données s’attaquent déjà à cette décision afin de la faire invalider par la Cour de Justice de l’Union Européenne. Affaire à suivre …
Consultez ici le communiqué de presse de la CNIL : Adéquation des États-Unis : les premières questions-réponses
Le 10 juillet dernier, et après de longs mois de négociations après l’invalidation par la CJUE de la précédente décision, la Commission européenne a enfin adopté une nouvelle décision d’adéquation concernant le niveau de protection et de sécurité qu’offre les Etats-Unis en cas de transfert de données personnelles vers ce pays.
Par cette décision, la Commission européenne constate en effet que les modifications apportées par ces derniers assurent désormais un niveau de protection des données personnelles équivalent à celui de l’Union européenne (UE).
Il ressort néanmoins que les transferts de données personnelles depuis l’UE ne pourront librement être réalisés, sans encadrement spécifique, que vers certains organismes américains qui auront fait le choix de se soumettre au nouveau « Privacy Shield » et à ce titre auront fait la démarche de s’inscrire sur la liste mise en place et gérée par le ministère américain du commerce.
Cette liste sera prochainement rendue publique.
Consultez ici l’intégralité du document (en anglais) : Décision d’adéquation de la Commission européenne du 10 juillet 2023
La société CRITEO, spécialisée dans la publicité en ligne et le « reciblage » publicitaire, a été sanctionnée par la CNIL (Commission nationale de l’informatique et des libertés) d’une amende de 40 millions d’euros pour ne pas avoir vérifié le consentement des personnes dont elle traite les données. Cette décision fait suite à des plaintes déposées par les associations Privacy International et None of Your Business.
CRITEO utilise le « reciblage » publicitaire pour suivre la navigation des internautes et leur afficher des publicités personnalisées. Cependant, la CNIL a constaté plusieurs manquements lors de ses contrôles, notamment l’absence de preuve du consentement des utilisateurs, le manque d’information et de transparence, ainsi que le non-respect des droits des personnes.
La CNIL a pris en compte plusieurs facteurs pour déterminer le montant de l’amende. CRITEO traite un très grand nombre de données et collecte une quantité importante d’informations sur les habitudes de consommation des internautes. La société a également un modèle économique qui repose sur la collecte et le traitement massif de données. En traitant les données sans preuve de consentement valable, CRITEO a pu augmenter indûment le nombre de personnes concernées par ses traitements et ainsi accroître ses revenus publicitaires.
La CNIL a relevé cinq manquements au RGPD (Règlement général sur la protection des données) de la part de CRITEO, en effet elle n’a pas :
Suite à cette décision, transmise aux autorités de contrôle européennes, la société CRITEO a modifié ses contrats avec les partenaires pour inclure une clause sur la preuve du consentement des utilisateurs. Sa politique de confidentialité a été complétée et simplifiée, et des mesures ont été prises pour permettre aux personnes d’exercer leurs droits plus facilement.
Consultez ici l’intégralité de la décision de la CNIL : Délibération SAN-2023-009 du 15 juin 2023
Récemment un litige s’est ouvert entre les plateformes Google, Meta, Tik Tok et les autorités autrichiennes, après que l’autorité autrichienne de régulation des communications, ait déclaré que la loi autrichienne de 2020 sur la protection des utilisateurs des plateformes de communication leur était applicable, quand bien même celles-ci sont établies en Irlande.
La loi autrichienne en question vise en effet à renforcer la responsabilité des plateformes de communication, en exigeant des fournisseurs, qu’ils soient basés en Autriche ou à l’étranger, de mettre en place un système de notification et de vérification des contenus potentiellement illicites, ainsi que de publier régulièrement des rapports sur le traitement de ces signalements.
Cependant, Google, Meta Platforms et Tik Tok soutiennent que cette loi est incompatible avec la directive sur le commerce électronique, en particulier eu égard au principe du pays d’origine.
La question préjudicielle a donc été posée à la CJUE.
Dans cet avis récent, l’avocat général Maciej Szpunar souligne ainsi que la directive sur le commerce électronique interdit en principe aux États membres de restreindre la libre circulation des services de la société de l’information provenant d’autres États membres.
Selon lui, les dérogations à ce principe ne peuvent être appliquées que de manière spécifique, au cas par cas, après notification préalable à la Commission européenne et demande à l’État membre d’origine d’intervenir. Il estime également qu’une disposition générale et abstraite qui s’applique à tous les prestataires de services de la société de l’information serait contraire à l’objectif de suppression des obstacles juridiques au bon fonctionnement du marché intérieur.
En conclusion, l’avocat général affirme que la directive sur le commerce électronique s’oppose à la restriction de la libre circulation des services de la société de l’information d’un autre État membre dans de telles circonstances et de cette manière. Ses conclusions sont susceptibles d’influencer le litige en cours entre les plateformes susmentionnées et les juridictions autrichiennes, jetant ainsi une lumière critique sur les restrictions nationales potentiellement préjudiciables au marché intérieur de l’Union européenne.
Consultez ici le communiqué de presse de la CJUE : COMMUNIQUE DE PRESSE n° 98/23
Depuis 2020, Cybermalveillance.gouv.fr constate une forte croissance de l’hameçonnage par SMS et cette tendance ne fait que s’accentuer. L’hameçonnage ou phishing par SMS, également appelé « smishing » (contraction de « SMS » et « phishing » en anglais), est une méthode utilisée par les cybercriminels pour tromper leurs victimes en usurpant l’identité d’un tiers connu, comme des administrations, des banques, des services de livraison ou des services en ligne.
Sous cette fausse identité et avec un faux prétexte, l’hameçonnage par SMS consiste à émettre un message court qui incite les victimes à communiquer des informations personnelles, des données bancaires ou même des identifiants de connexion. Les cybercriminels peuvent également tenter d’infecter le téléphone mobile de la victime avec une application malveillante ou l’inciter à rappeler un numéro pour l’escroquer.
Les cybercriminels profitent en effet, du développement des services d’information par SMS adoptés par les administrations, les banques, les sociétés de livraison et d’autres organismes pour usurper leur identité via ce canal de communication plus aisés pour eux :
Concrètement, les victimes reçoivent un SMS qui semble provenir d’une administration, d’une entreprise de livraison, d’une banque, d’un opérateur, etc. Le message incite systématiquement la victime à réaliser une action. Les messages sont souvent alarmants et créent un sentiment d’urgence.
Les SMS d’hameçonnage peuvent avoir différentes finalités. Certains visent à voler des informations personnelles, des données bancaires ou des identifiants de connexion. D’autres tentent d’infecter le téléphone de la victime avec un virus en incitant à l’installation d’une application malveillante. Certains messages incitent simplement la victime à rappeler un numéro, qui peut être surtaxé, pour mener une escroquerie supplémentaire.
Et si vous êtes victime d’hameçonnage par SMS :
En conclusion, l’hameçonnage par SMS représente une menace croissante pour les utilisateurs de téléphones mobiles. Restez vigilant face aux SMS suspects, ne communiquez jamais vos informations personnelles ou bancaires à moins d’être certain de l’authenticité du message et suivez les conseils de sécurité pour vous protéger contre ces attaques.
NB : si vous êtes un particulier vous pouvez être accompagné gratuitement par l’association de France Victimes au 116 006 (appels et services gratuits) numéro d’aide aux victimes du ministère de la Justice. Vous pouvez également être accompagnez par la plateforme Info Escroquerie du ministère de l’Intérieur ay 0 805 805 817 (appels et services gratuits).
Consultez ici l‘article de cybermalveillance.gouv.fr : Le « Smishing » ou hameçonnage par sms
Par une délibération du 11 mai 2023, la CNIL a prononcé une sanction de 380 000 euros à l’encontre de la société DOCTISSIMO pour avoir manqué à des obligations du RGPD, notamment celle de recueillir le consentement des personnes à la collecte et l’utilisation de leurs données de santé, et pour ne pas avoir respecté les règles sur les cookies.
A noter que l’amende a été prise en coopération avec l’ensemble de ses homologues européens compte tenu du fait que le site web de la société a des utilisateurs dans toute l’Europe.
Au titre des manquements reprochés, la CNIL a en effet relevé que :
A titre « accessoire », la CNIL a également relevé des manquements de la société à ses obligations liées à l’utilisation des cookies.
Parce que les données de santé sont des données personnelles particulières, considérées comme sensibles, elles font à ce titre l’objet d’une protection particulière par le RGPD, mais aussi par la Loi Informatique et Libertés et le Code de la santé publique, ceci de garantir le respect de la vie privée des personnes. Aussi, la présente sanction n’est donc pas surprenante.
Le rapport annuel d’activité de la CNIL pour 2022 récemment publié montre d’ailleurs toute l’attention particulière que la Commission apporte au traitement de ce type de données personnelles.
Consultez ici l’intégralité des documents : Délibération de la formation restreinte n° SAN-2023-006 du 11 mai 2023 concernant la société Doctissimo ; Rapport annuel d’activité de la CNIL pour 2022
