Panorama rapide de l’actualité « Technologies de l’information » de la semaine du 23 septembre 2024

Données personnelles

Obligation d’agir de l’autorité de protection des données

• En Allemagne, un client de la Caisse d’épargne a introduit une réclamation auprès du commissaire à la protection des données du Land après s’être rendu compte que ses données à caractère personnel avaient fait l’objet d’une consultation non autorisée par une employée de la banque. Cet incident ne lui avait pas été rapporté par la banque qui avait pris toute mesure pour faire cesser l’atteinte et avait constaté que les faits n’entraînaient pas de risque élevé pour son client.
  Le commissaire à la protection des données l’ayant informé qu’aucune mesure correctrice à l’égard de la Caisse d’épargne n’était nécessaire, le client a introduit un recours devant une juridiction allemande afin que la Caisse d’épargne se voit infliger une amende. Cette dernière a alors posé une question préjudicielle à la CJUE.
  La CJUE a répondu qu’une autorité de contrôle n’est pas obligée de prendre une mesure correctrice dans tous les cas de violation ni, en particulier, d’imposer une amende dès lors qu’une telle mesure n’est pas nécessaire pour remédier à l’insuffisance constatée et pour garantir le respect du RGPD.
  La CJUE laisse ainsi à l’autorité de contrôle une marge d’appréciation quant à la façon dont elle doit remédier à l’insuffisance observée. Cette marge d’appréciation a pour limite la nécessité d’assurer une protection élevée des données à caractère personnel, conformément au RGPD. Les juridictions nationales veillent au bon respect de cette limite. (CJUE, 26 sept. 2024, C-768/21, 26 sept. 2024, Land Hessen)

Aux Etats-Unis, halte à la surveillance de masse par les plateformes : rapport de la Federal Trade Commission

• C’est peut-être une bonne nouvelle pour la protection des droits fondamentaux des internautes : la FTC, l’autorité américaine de la concurrence, dans un rapport qu’elle vient de publier, constate le processus de surveillance de masse d’une part, et surtout, préconise l’adoption d’une loi fédérale sur la surveillance et la protection des données personnelles, et l’engagement des entreprises visées pour des pratiques vertueuses.
  Le rapport est publié à la suite d’une enquête de quatre ans et est fondé sur des demandes envoyées à neuf sociétés. La FTC y « révèle » les risques que représente la collecte abusive de données opérées par Amazon (pour Twitch), Meta (Facebook, Instagram, Whastapp), YouTube, Twitter (X), Snapchat, Twitch, TikTok (ByteDance), Discord et Reddit.
  Les pratiques observées par la FTC sont bien connues :
  Non seulement ces entreprises ont accès à un très grand nombre de données, mais elles peuvent choisir de les conserver pour une date indéterminée, voire de les transmettre à des entités tierces. Ces pratiques mettent ainsi en péril la sécurité en ligne des internautes et la violation de leurs droits fondamentaux. Cette collecte est d’autant plus consternante qu’elle ne concerne pas uniquement les utilisateurs de ces réseaux, mais également des non-utilisateurs.
  Pour ce faire, ces entreprises ont recours à des techniques diverses et variées telles que la technologie de suivi publicitaire, l’information déduite tirée de l’utilisation d’intelligences artificielles (IA) ou d’algorithmes, ou encore la connexion des services de médias sociaux et de diffusion vidéo en continu à d’autres plateformes ou services en ligne.
  Les moyens de protection aux États-Unis sont jugés insuffisants :
  La FTC constate que les moyens offerts par ces sociétés sur leurs aux internautes pour leur permettre de refuser ces traitements de données sont extrêmement complexes voire inexistants, d’autant plus qu’aucune transparence quant au fonctionnement de cette surveillance de masse n’est assurée. Enfin, aucune mesure n’a été prise pour garantir une meilleure protection, en particulier à destination des enfants et adolescents, plus vulnérables que les autres utilisateurs. (Rapp. de la Federal Trade...