Panorama rapide de l’actualité « Technologies de l’information » de la semaine du 5 février 2024

Données personnelles

Transfert de données fiscales vers les États-Unis avec ou sans décision d’adéquation de la Commission européenne : conformité au RGPD

• L’association des Américains accidentels (AAA) a saisi le Conseil d’État aux fins de voir annuler la décision par laquelle la CNIL a clôturé sa plainte tendant à la suspension des transferts automatiques de données fiscales opérées entre la France et les États-Unis.
  L’association fait valoir que le transfert des données personnelles aux autorités américaines mis en œuvre dans le cadre de l’accord « A » contreviendrait à l’exigence de minimisation des données qui résulte de l’article 5 du RGPD dès lors que d’une part, ces données ne seraient peu ou pas exploitées par ces autorités en raison du manque de ressources disponibles pour y procéder et d’autre part, qu’il existerait un manque de réciprocité entre les autorités américaines et européennes quant à la transmission de ces données.
  Par ailleurs, l’association soutient que l’absence de limite temporelle fixée à la conservation des données méconnaîtrait l’exigence selon laquelle les atteintes portées au droit à la protection des données personnelles doivent être limitées et proportionnées. L’association soutient également que l’accord « A » méconnaîtrait l’article 46 du RGPD prévoyant que le transfert vers un pays tiers de données à caractère personnel ne peut avoir lieu que si ce pays tiers assure un niveau de protection adéquat.
  Toutefois le Conseil d’État estime que même en l’absence de décision d’adéquation de la Commission européenne prise sur le fondement de l’article 45 du RGPD un transfert de données à caractère personnel reste possible, dans les situations particulières mentionnées à l’article 49 du RGPD, notamment pour des motifs importants d’intérêt public.
  Il décide que l’association requérante n’est pas fondée à demander l’annulation de la décision rendue par la CNIL, celle-ci ayant suffisamment motivé sa décision. Elle rejette ainsi la demande de l’association des Américains accidentels. (CE, 30 janv. 2024, n° 466115 C)

Fichier automatisé des empreintes digitales (Faed): le ministère de l’Intérieur se met en conformité avec le RGPD

• Par une décision du 24 septembre 2021, la CNIL avait enjoint au ministère de l’Intérieur de se mettre en conformité dans le cadre du traitement des données qu’il est amené à recueillir et conserver. Il avait notamment été enjoint au ministère de l’Intérieur de veiller à l’effacement des données à caractère personnel, de ne conserver que des données sous une forme permettant l’identification des personnes concernées uniquement pendant la durée nécessaire au regard des finalités poursuivies pour lesquelles elles sont traitées. Il lui avait également été demandé de s’assurer que l’ensemble des décisions juridictionnelles définitives soient répercutées dans le Fichier Automatisé des Empreintes Digitales. Ces injonctions étaient assorties d’un délai de mise en conformité expirant le 31 octobre 2022.
  Le 18 février 2022, le ministère de l’Intérieur a adressé au président de la formation restreinte de la CNIL des éléments en vue de justifier sa mise en conformité. La CNIL a relevé que le ministère de l’Intérieur a mis en place un apurement semi-automatisé hebdomadaire des données dont la date de conservation est dépassée et que ce délai court désormais à compter de l’établissement de chaque fiche de signalisation. Par ailleurs, le ministère de l’Intérieur indique que l’ensemble des signalisations dont la date d’expiration est dépassée seront supprimées à partir de la fin du troisième trimestre 2023.
  La CNIL considère que ces mesures permettent de s’assurer que les données à caractère personnel sont conservées uniquement pendant la durée nécessaire au regard des finalités pour lesquelles elles sont traitées. La CNIL estime qu’il ressort des éléments fournis par le ministère de l’Intérieur qu’un nouveau modèle de « fiche navette » a été mis en place permettant au ministère de l’Intérieur d’être correctement informé des décisions prises par les autorités judiciaires afin de les répercuter dans le FAED et que la création d’un réseau de référents dédiés...