La CNIL a mis en demeure une société de minimiser la collecte de données personnelles de candidats effectuée lors de ses recrutements.
Cette injonction fait suite à une plainte visant la société quant au nombre de données personnelles collectées sur les candidats à l’embauche (entre autres lieu de naissance, nationalité, situation de famille).
La CNIL rappelle donc le principe de minimisation en matière de recrutement qui impose au responsable de traitement de traiter des informations limitées à ce qui est nécessaire à la réalisation de l’objectif poursuivi, en précisant :
Ainsi, le recruteur ne doit collecter que les données présentant « un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles » (article L. 1221-6 du Code du travail). Par ailleurs, il ne doit procéder à aucune discrimination illicite des candidats (notamment en raison de son âge ou de sa situation de famille).
Les informations demandées doivent permettre d’identifier le candidat le plus adapté au poste à pourvoir, de vérifier ses compétences (les connaissances, le savoir-faire et le savoir-être) et les qualifications requises pour le poste concerné (diplômes, titres et expériences). Elles doivent avoir pour seul objectif de pouvoir valider ou non une candidature.
Ce n’est qu’au stade de l’embauche, c’est-à-dire une fois qu’une candidature a été définitivement retenue, que l’employeur peut collecter des données supplémentaires (état civil complet, adresse postale, numéro de sécurité sociale, copies des justificatifs).
En effet, seules les données des candidats retenus sont nécessaires pour l’accomplissement des formalités obligatoires de l’employeur (déclaration préalable à l’embauche, déclaration sociale nominative, etc.). La CNIL rappelle par ailleurs que pour aider les employeurs, elle a publié en janvier 2023 un guide dédié au recrutement.
Après avoir constaté le non-respect de ce principe et avoir rappelé à la société concernée quels types de collecte de données effectuée par ladite société n’étaient pas justifiés (à savoir lieu de naissance du candidat, nom et prénom du conjoint, ses date et lieu de naissance, sa profession, le nombre d’enfants et leur âge, l’ensemble des salaires perçus par le candidat), l’Autorité a alors précisé que cette collecte ne présente « pas d’utilité pour apprécier la capacité à occuper l’emploi proposé ou les aptitudes du candidat, et ne sont de ce fait pas compatibles avec les dispositions du code du travail » et a donc mis en demeure l’intéressée d’y remédier.
La société mise en cause ayant fait diligence, la CNIL a clôturé la procédure de mise en demeure à son encontre.
→ Il n’en demeure pas moins que la procédure initiée à l’encontre de cette entreprise est une bonne piqûre de rappel quant aux bonnes pratiques de recrutement !
Consultez ici l’intégralité des conseils de la CNIL : CNIL, Recrutement : la CNIL met en demeure une société de minimiser la collecte de données personnelles de candidats, 25 avril 2024
Comme chaque année, la CNIL a publié son rapport annuel d’activité. Ce rapport met en avant son activité particulièrement intense au cours de l’année 2023 d’une part et présente d’autre part, sa stratégie d’action pour les années à venir.
Ainsi, concernant son activité pour l’année 2023, la Commission rend compte de ses actions au regard de ses 4 grandes missions : Informer et protéger le grand public, accompagner et conseiller les professionnels et les pouvoirs publics, anticiper et innover pour construire le numérique de demain et enfin contrôler et sanctionner les manquements au RGPD et à la loi.
La Commission a également mis l’accent sur la cybersécurité au travers de la prise en compte de la sécurité informatique. Dans ce cadre, elle a reçu 4 668 notifications de violations de données (+ 14 % par rapport à 2022), dont plus de la moitié trouvent leur origine dans du piratage (hameçonnage, rançongiciels). La CNIL a ainsi mis à jour son guide relatif à la sécurité des données, a multiplié les campagnes de sensibilisation et a republié des fiches pratiques (API : les recommandations de la CNIL sur le partage des données, fiche pratique durée de conservation dans le secteur social et médico-social).
Cette année marque par ailleurs le réel essor de la procédure simplifiée (24 sanctions sur les 42 prononcées).
Régulièrement saisie de plaintes au sujet des cookies et traceurs, la CNIL a mené en 2023 une série de contrôles visant des applications mobiles (20 missions portant sur 22 applications) et a constaté un recours systématique au suivi publicitaire des utilisateurs, souvent sans recueil de leur consentement et a relevé des manquements liés à un défaut de transparence ou à l’absence de base légale.
Par ailleurs, la CNIL a sanctionné des organismes qui ne recueillaient pas le consentement des personnes pour traiter des données de santé, qui sont des données dites « sensibles ». Elle a rappelé que le simple fait pour une personne de livrer spontanément de telles informations ne peut pas être considéré comme un consentement explicite.
En résumé, la CNIL renouvelle sa politique d’accompagnement, sa mobilisation accrue sur la cybersécurité et les enjeux de l’IA et poursuit son action répressive.
Consultez ici l’intégralité du document : CNIL, Rapport annuel 2023 – « Je n’ai rien à cacher Mais vous n’avez pas à tout savoir sur moi, 23 avril 2024
Ce guide a pour but de rappeler les précautions de sécurité à mettre en œuvre. La version 2024 le restructure et introduit de nouvelles fiches, notamment sur l’intelligence artificielle (IA), les applications mobiles, le cloud et les interfaces de programmation applicative (API).
Nouveautés :
Enfin, un journal des modifications a été créé afin d’identifier les nouveautés du guide plus aisément.
Ce guide constitue une référence dont les DPO, les responsables de la sécurité des systèmes d’information (RSSI), les informaticiens et les juristes de vos entités pourront se saisir dans le cadre de leurs activités liées à la sécurité des données. Il est également le guide de référence utilisé par la CNIL pour son appréciation de la sécurité des traitements de données personnelles.
En sus de ce guide, la CNIL a publié une plaquette cybersécurité 2024 dans laquelle elle rappelle le rôle du RGPD dans la prévention contre les risques cyber au travers de l’obligation de sécurité, principe fondamental inscrit depuis 45 ans dans la Loi Informatique et Libertés de 1978 et renforcé par le RGPD, « premier texte à imposer des obligations de cybersécurité précises de façon transversale et soumises au pouvoir de contrôle et de sanction d’une autorité administrative ».
La plaquette rappelle ce qu’est une violation de données et quelles sont la nature et les causes de ces violations mais aussi et surtout, au travers de la protection des données, le rôle du RGPD et de la CNIL en matière de cybersécurité, comme :
Cette plaquette accompagne le guide de sécurité des données personnelles et rappelle le contrôle systématique et les sanctions régulières prononcées par l’Autorité en matière de manquements à la sécurité tels que la transmission de données par une connexion non chiffrée, une politique de mots de passe non conforme, le défaut de verrouillage automatique des sessions des postes de travail (pourtant programmable) ou encore l’absence de test de vulnérabilité avant le développement d’un outil traitant des données personnelles.
Il n’est donc pas inutile de le consulter afin de se remémorer le b-a.-ba des sécurités à mettre en place et à vérifier par des audits flash au sein de vos structures.
Consultez ici les documents de la CNIL : CNIL, Guide pratique RGPD, Sécurité des données personnelles, Édition 2024 (mars 2024) ; CNIL, Plaquette cybersécurité 2024, 26 mars 2024
Fin février, l’ANSSI a publié sa 3ème édition du panorama de la cybermenace qui décrit les principales tendances constatées en 2023 en se concentrant sur les intentions des attaquants, leurs capacités et les opportunités exploitées pour compromettre des SI.
Dans un contexte de fortes tensions géopolitique et dans la perspective de la tenue des Jeux Olympiques sur le territoire national, la menace informatique est en constante augmentation et l’ANSSI appelle plus que jamais à une meilleure application des recommandations de première nécessité.
Ce panorama :
Face à ces constats, l’ANSSI poursuit ses actions pour élever le niveau de cybersécurité et appelle à une meilleure application des recommandations primordiales que sont le développement des capacités de détection, la mise en place d’une stratégie de sauvegarde des SI, l’élaboration de PCA-PRA.
Par ailleurs, même si l’ANSSI souhaite poursuivre ses actions notamment en collaborant davantage avec des partenaires nationaux et internationaux, son partenaire principal cybermalveillance.gouv.fr corrobore ses dires et renforce ces recommandations.
En effet, le site a également publié son rapport d’activité pour 2023, lequel dresse un court bilan de la fréquentation de son site tant par les particuliers que par les professionnels. Les tendances de consultations et de demandes d’assistances en ligne convergent vers les menaces principales décrites par l’ANSSI :
À noter que le virus fait son grand retour en atteignant la 4e place des demandes d’assistance.
Consultez ici l’intégralité des documents : Panorama de la cybermenace 2023 (ANSSI, 23 février 2023) ; Rapport d’activité 2023 (Cybermalveillance.gouv.fr, 5 mars 2024)
