Claude-Etienne Armingaud, avocat associé du cabinet K&L Gates spécialisé dans la protection de la vie privée et le droit des technologies, a identifié quatre points de défaillance potentiels dans la réaction du Parlement. S’ils devaient être confirmés, ils pourraient justifier une action éventuelle de l’autorité de protection des données.

Il s’agit d’une défaillance dans la sécurité, d’une quantité injustifiée de données collectées ou pendant une durée injustifiée, ou encore d’une communication incomplète de la violation aux personnes concernées.

Comme il s’agit d’un dossier très important, il est probable qu’il soit suivi par le CEPD, a ajouté M. Armingaud.

Lire l’article complet sur Euractiv

Six ans après l’entrée en vigueur du Règlement Européen 2016/679 sur la protection des données à caractère personnel (RGPD), l’Union Européenne vient d’adopter un nouveau règlement visant une meilleure répartition de la valeur générée par l’utilisation des données entre les acteurs de l’économie numérique.

(suite…)

Six ans déjà…

Nouvelle bougie pour le RGPD… et une table ronde en compagnie d’Aurélie Banck d’Europcar Mobility Group et de Noshin Khan, de OneTrust pour fêter ça – venez célébrer et dresser le bilan avec nous !

Spoiler : il n’y aura clairement pas de PowerPoint…

En détail :
🗓️ 30 mai
🕰️ 18h30
📍 Morning rue d’Amsterdam
🔗 Inscription Ici

Post-Brexit EU businesses have needed to rethink how they approach showing compliance with a host of regulations, managing international data transfers and building trust with data subjects. Having to comply with the GDPR, prepare for other data protection bills, all while continuing to comply with the EU-GDPR as well as a host of global regulations means businesses might look to certification as a common system for adequacy as a one-stop shop, when addressing the overlaps and more crucially closing the gaps on their privacy compliance programs.

Featured speakers:

  • Noshin Khan, Senior Compliance Counsel, Ethics Center of Excellence, OneTrust 
  • Claude-Étienne Armingaud, Partner, K&L Gates

Register here.

Un grand merci à BSMART et Delphine Sabattier de donner de l’écho à la Journée Mondiale de la Protection des Données qui aura lieu ce samedi !

La réglementation (RGPD, Loi Informatique et Libertés) est-elle parfaite ? Non — mais avec ce double anniversaire (45è bougie de la CNIL – Commission Nationale de l’Informatique et des Libertés et 5è de l’entrée en vigueur du #RGPD), focalisons-nous surtout sur les succès de ces normes — entre prise de conscience des entreprises et prise de pouvoir des personnes concernées.

Pour voir toute l’émission >> https://lnkd.in/eQwC3CkM

Pour fêter avec un peu d’anticipation dès ce soir avec IAPP – International Association of Privacy Professionals >> https://lnkd.in/gUN9ivtJ

(et merci à Jean LARROUMETS et Alain Staron, PhD pour nos échanges hors antenne — à poursuivre!)

#DPD23#DataPrivacyDay#DataProtectionDay#MaTeteDansLePoste

« D’après le règlement européen sur la protection des données (RGPD), les entreprises doivent ne collecter que les données nécessaires », a pointé Claude Étienne-Armingaud. Rappelant la réglementation actuelle, l’avocat associé chez K&L Gates a ensuite présenté différents scénarios possibles de collecte de données.

« Les informations collectées dans la voiture peuvent rester sous la maîtrise unique de l’usager et ne sont pas transmises en dehors du véhicule : c’est le  » in-in « . Ou alors, être transmises au fournisseur de service, tel que Geotab (in-out). Enfin, elles peuvent être transmises au fournisseur de service pour déclencher à distance une action automatique dans le véhicule (in-out-in). Le responsable du traitement des données doit se montrer transparent et documenter la finalité de l’enregistrement de ces données », a argumenté Claude Étienne-Armingaud.

Autre point important rappelé par Claude Étienne-Armingaud, avocat associé chez K&L Gates : « il est indispensable de fixer des durées de conservation des données et de les sécuriser. »

Lire l’intégralité de l’article de Julie Vénier sur le site Flottes Automobiles

« Le pétrole de la nouvelle économie… » C’est souvent par cette expression surannée que sont décrites les données qui résultent de notre utilisation des technologies. Dans le même temps, les géants américains du numérique enchainent les amendes pour non-respect du RGPD[1] (voir notamment la récente amende record prononcée à l’encontre d’Instagram par l’autorité de protection des données irlandaise[2]), et poussent ainsi la Commission européenne à développer de nouveaux outils afin de toujours plus encadrer les utilisations de ces données.

Cette initiative, le « Paquet Numérique », se compose respectivement des DMA[3], DSA[4] et DA[5] et ses objectifs sont clairs – suppléer le RGPD pour les autres données qui seraient issues des utilisateurs, peu important qu’elles fussent personnelles, et instaurer un partage visant une meilleur distribution d’une valeur aujourd’hui accaparée par des acteurs en position quasi-monopolistiques.

(suite…)

Le 1er janvier 2021, la période de transition du Brexit (Période de Transition) est enfin arrivée à terme et le Royaume-Uni a officiellement finalisé sa sortie de l’Union européenne (UE). L’accord commercial post Brexit (Accord) négocié à la dernière minute devrait permettre une transition plus douce sur le plan de la protection des données, dans la mesure où le Règlement Général sur la Protection des Données (RGPD) a cessé d’être directement applicable au Royaume-Uni. Il a également été accordé au Royaume-Uni une période de grâce de six mois afin de négocier une décision d’adéquation qui permettrait le libre transfert de données personnelles de l’UE vers le Royaume-Uni.

Si le Comité Européen de la Protection des Données (CEPD) a modifié le 13 janvier 2021 ses Communications sur le Brexit à la suite de l’Accord (Communications), il ne s’est cependant penché que sur:

  • La question des transferts de données de l’UE vers le Royaume-Uni;
  • La fin du mécanisme dit de « guichet unique » pour le Royaume-Uni; et
  • La nécessité pour les entités britanniques qui seraient soumises au RGPD de désigner un représentant conformément à l’article 27 RGPD.
(suite…)
  1. Consistency mechanism, Guidelines and EDPB RoP
    1. Art. 64 GDPR Opinion on the guarantees to be included in contractual clauses for transfers by a processor toa controller outside the EEA that is subject to GDPR in accordance with its Art. 3.2 (Art. 46.3 (a) GDPR)
  2. Adoption of the minutes and of the agenda, Information given by the Chair
    1. Minutes of the 38th EDPB meeting
    2. Draft agenda of the 39th EDPB meeting
    3. Update on the EDPB Secretariat
    4. Date of (remote) November plenary meeting
  3. Current Focus of the EDPB Members
    1. Pending Art. 65 procedure
    2. International cooperation – GPA – Application Executive Committee
  4. Consistency mechanism, Guidelines and EDPB RoP
    1. Guidelines 09/2020 on the concept of relevant and reasoned objection
    2. EDPB RoP: Amendment to Art. 11.2 RoP
  5. FOR DISCUSSION AND/OR ADOPTION – Expert Subgroups and Secretariat
    1. Cooperation ESG Working group on Brexit-related matters
  6. Any other business

Le 26 février 2019, le Comité Européen de la Protection des DonnéesCEPD ») publiait un premier rapport (« First overview on the implementation of the GDPR and the roles and means of the national supervisory authorities » (le « Rapport »)) sur l’application du Règlement n°2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (« RGPD »), dans lequel il dressait un bilan au 31 janvier 2019 des amendes prononcées par onze autorités de contrôle, pour un montant total de 55.955.871 euros. Bien qu’une large proportion de cette somme réside dans une seule sanction française de 50 millions d’euros, force est de constater que l’absence de publicité systématique des décisions des autorités de contrôle (quand bien même elles auraient, à l’instar de la CNIL, la qualité de « juridiction ») rend impossible un recensement exhaustif des sanctions prononcées à l’aune du RGPD. Néanmoins, dans le cadre de notre veille juridique, nous avons pu tracer directement (sites officiels des autorités de contrôle et du CEPD) ou indirectement (articles de presse, e.g. à la lecture d’un article de presse allemande interrogeant notamment un commissaire à la protection des données allemand, on apprend par exemple, qu’au moins 41 décisions auraient été rendues par les autorités allemandes alors qu’une seule sanction allemande a été relayée par le CEPD.) une soixantaine de sanctions (sur les 206.326 plaintes recensées par le CEPD dans son Rapport), prononcées par 20 des 28 États Membres de l’Union européenne, pour un montant cumulé de près de 370 millions d’euros (Les annonces d’intentions de sanctions de l’Information Commissionner Office, l’autorité de contrôle britannique (« ICO »), représentant à elles seules 85% de ce montant, restent encore à confirmer). Le présent article s’essaye à une analyse sur cette base aux fins d’esquisser un bilan et les perspectives de cette première année d’application du RGPD.

(suite…)