The UK government has unveiled its much-trailed plans to reform its data protection laws, outlined in a consultation document which is open for public comment until 19 November 2021.

Since Brexit was finalised at the start of 2021, the United Kingdom has retained much of the EU General Data Protection Regulation. The government’s plans, if implemented, would see the UK move away from the EU’s approach in several key ways, which may lead to trouble for the continuation of the adequacy decision granted by the EU in June. If terminated, the adequacy decision, currently permitting free flows of personal data between the EU and the UK, could cause increased costs and bureaucracy for businesses on both sides of the Channel to continue their data transfers. 

Some of the changes to the UK GDPR proposed in the consultation document are:

  • Making the legitimate interests lawful basis easier to use, by publishing a limited, exhaustive list of legitimate interests that organisations can use without having to complete a balancing test.
  • Removal of the right to human review of decisions made on the basis of solely automated data processing.
  • Introducing a fee for responding to subject access requests and allowing organisations to refuse to comply with requests at a lower threshold than “manifestly unfounded”, as allowed in the current legislation.

The proposals also introduce potential changes to the UK’s Privacy and Electronic Communications Regulations, including:

  • Increasing the current maximum penalty of £500,000 for breaches of the direct marketing regulations to the higher of 4% of global turnover or £17.5 million, thereby matching the maximum penalty under UK GDPR.
  • Removing the requirement for websites to obtain consent before serving some analytics cookies.
  • Extending the “soft opt in” for direct marketing to organisations other than businesses, such as charities and political parties.

First publication: Cyber Law Watch with Noirin McFadden

K&L Gates LLP  assiste notamment ses clients dans la structuration de projets technologiques européens ou internationaux et en matière de conformité RGPD. Le cabinet conseille une base de clientèle variée, spécialisée dans de nombreux secteurs industriels, ainsi que des start-ups. Claude-Etienne Armingaud dirige la pratique.

Responsables de la pratique: Claude-Étienne Armingaud

Les références

« Avocats techniques qualifiés avec une excellente connaissance de l’industrie.« 

« Claude-Étienne Armingaud possède d’excellentes compétences techniques juridiques avec une approche commerciale pratique et sensée qui passe par une connaissance inégalée du secteur.« 

« Claude-Étienne Armingaud est le meilleur dans ce qu’il fait, purement et simplement.« 

Principaux clients

  • AR24
  • Arena Racing
  • Bridgestone
  • Carnegie Mellon University
  • Channel Advisor
  • Ergotron
  • Enigma Software
  • Fraudsec Pty Ltd/ Whispli
  • Mister-Auto.com
  • Navico
  • Sloclap
  • Ravel Technologies

Principaux dossiers

  • Aider AR24 à rédiger la documentation contractuelle tant pour les utilisateurs finaux / consommateurs que pour les entreprises partenaires conseiller sur sa conformité au RGPD.
  • Assistance à Enigma Software dans le cadre d’un litige contre un concurrent Malwarebytes, concernant la classification de deux de leurs logiciels comme programmes potentiellement indésirables.
  • Aider Sloclap à sécuriser le financement, l’édition et la distribution de son deuxième jeu vidéo avec une sortie prévue en août 2021.

Source : Legal 500

L’équipe parisienne de K&L Gates LLP dispose d’une forte expertise en matière de conformité RGPD et de protection des données. En prenant appui sur le réseau européen du cabinet, l’équipe peut aisément agir pour une clientèle multinationale, spécialisée dans les secteurs du luxe, du divertissement et des télécoms. A la tête de la pratique,  Claude-Etienne Armingaud assiste fréquemment des fintech dans des contentieux internationaux en matière de protection des données, se rattachant au droit de la propriété intellectuelle ou des nouvelles technologies. A noter, le recrutement en mars 2020 de la collaboratrice  Clara Schmit (ex D’Alverny Demont Associés ).

Responsables de la pratique: Claude-Étienne Armingaud

Autres avocats clés: Clara Schmit

Les références

« Claude-Etienne Armingaud est le meilleur dans ce qu’il fait, purement et simplement. Rapide, fiable et efficace.« 

“Une équipe qui connaît bien l’évolution du cadre réglementaire applicable aux données, et qui a souvent participé aux travaux d’élaboration de nouvelles lignes directrices avec la CNIL.”

« Claude-Etienne Armingaud connaît très bien les enjeux de la protection des données et de la vie privée. Il accompagne une large clientèle dans divers domaines d’intervention.« 

Source : Legal 500 France

(suite…)

Source : Legal 500

Le Cabinet K&L Gates est classé avec « Forte Notoriété – Band 1″ avec Claude-Etienne Armingaud.

SourcesMagazine Décideurs

La Commission Nationale de l’Informatique et des Libertés (CNIL) a clôturé l’année 2020 avec une amende de 20 000 euros à l’encontre la société française NESTOR spécialisée dans la préparation et la livraison de repas sur le lieu de travail (voir la décision complète CNIL, Décision SAN-2020-018, 8 Décembre 2020).

Plusieurs violations du Règlement Général sur la Protection des DonnéesRGPD ») et la Directive Vie privée et Communications électroniques (« Directive ePrivacy ») concernant le traitement des données à caractère personnel des clients et prospects ont été relevés par la CNIL, et notamment :

  • L’absence de consentement préalable des prospects à recevoir une communication électronique à des fins de marketing direct, en violation de l’Article L.34-5 du Code des Postes et des Communications Électroniques (« CPCE ») ;
  • Le manquement à l’obligation d’informer correctement les personnes concernées (Article 12 et 13 RGPD) soit :
    • Lors de la création de leur compte sur la plateforme de la société ;
    • Lors de la collecte indirecte de données via des sources externes.
  • L’incapacité à traiter correctement les demandes d’accès des personnes concernées (Article 15 RGPD).

Si l’amende apparait relativement limitée au regard du montant maximal de 20 millions d’euros ou de 4% du chiffre d’affaires pouvant être prononcé, cette décision reste une opportunité d’examiner de plus près les pratiques de web scraping et de marketing direct qui se développent rapidement.

(suite…)

Le 1er janvier 2021, la période de transition du Brexit (Période de Transition) est enfin arrivée à terme et le Royaume-Uni a officiellement finalisé sa sortie de l’Union européenne (UE). L’accord commercial post Brexit (Accord) négocié à la dernière minute devrait permettre une transition plus douce sur le plan de la protection des données, dans la mesure où le Règlement Général sur la Protection des Données (RGPD) a cessé d’être directement applicable au Royaume-Uni. Il a également été accordé au Royaume-Uni une période de grâce de six mois afin de négocier une décision d’adéquation qui permettrait le libre transfert de données personnelles de l’UE vers le Royaume-Uni.

Si le Comité Européen de la Protection des Données (CEPD) a modifié le 13 janvier 2021 ses Communications sur le Brexit à la suite de l’Accord (Communications), il ne s’est cependant penché que sur:

  • La question des transferts de données de l’UE vers le Royaume-Uni;
  • La fin du mécanisme dit de « guichet unique » pour le Royaume-Uni; et
  • La nécessité pour les entités britanniques qui seraient soumises au RGPD de désigner un représentant conformément à l’article 27 RGPD.
(suite…)

« Derrière cette « décision éminemment politique » se cache un « clash » juridique. « Aux États-Unis, les données à caractère personnel sont des biens commerciaux monétisables; alors que dans l’UE elles font partie intégrante de nos libertés fondamentales », nous explique Claude-Étienne Armingaud, avocat associé au cabinet K&L Gates. »

« Quelle que soit l’option choisie, la priorité doit demeurer d’assainir cet environnement », analyse Claude-Étienne Armingaud, qui ne perd pas espoir. « Il faut être patient, mais on va y arriver ! Les initiatives comme celles de Max Schrems poussent d’un côté à une reprise en main citoyenne et de l’autre, à une responsabilisation des acteurs. Même si l’équilibre est complexe, sa recherche est saine. »

Retrouvez l’intégralité de l’article sur le site 01net.

Le 26 février 2019, le Comité Européen de la Protection des DonnéesCEPD ») publiait un premier rapport (« First overview on the implementation of the GDPR and the roles and means of the national supervisory authorities » (le « Rapport »)) sur l’application du Règlement n°2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (« RGPD »), dans lequel il dressait un bilan au 31 janvier 2019 des amendes prononcées par onze autorités de contrôle, pour un montant total de 55.955.871 euros. Bien qu’une large proportion de cette somme réside dans une seule sanction française de 50 millions d’euros, force est de constater que l’absence de publicité systématique des décisions des autorités de contrôle (quand bien même elles auraient, à l’instar de la CNIL, la qualité de « juridiction ») rend impossible un recensement exhaustif des sanctions prononcées à l’aune du RGPD. Néanmoins, dans le cadre de notre veille juridique, nous avons pu tracer directement (sites officiels des autorités de contrôle et du CEPD) ou indirectement (articles de presse, e.g. à la lecture d’un article de presse allemande interrogeant notamment un commissaire à la protection des données allemand, on apprend par exemple, qu’au moins 41 décisions auraient été rendues par les autorités allemandes alors qu’une seule sanction allemande a été relayée par le CEPD.) une soixantaine de sanctions (sur les 206.326 plaintes recensées par le CEPD dans son Rapport), prononcées par 20 des 28 États Membres de l’Union européenne, pour un montant cumulé de près de 370 millions d’euros (Les annonces d’intentions de sanctions de l’Information Commissionner Office, l’autorité de contrôle britannique (« ICO »), représentant à elles seules 85% de ce montant, restent encore à confirmer). Le présent article s’essaye à une analyse sur cette base aux fins d’esquisser un bilan et les perspectives de cette première année d’application du RGPD.

(suite…)

Entretien avec Atlantico.fr – 18 juillet 2019

Atlantico : Certaines applications qui permettent à une personne de modifier des photos prises sur son portable avec des filtres divertissants disposent de conditions générales d’utilisation particulièrement gênantes. L’une d’entre elles, FaceApp, demande par exemple l’autorisation d’utiliser l’image de l’utilisateur à n’importe quel moment. Faut-il mettre ce problème sur le dos du consommateur imprudent, ou sur celui des services numériques qui rédigent volontairement des clauses de ce type ? Les conditions générales ne sont-elles pas généralement trop complexes, trop nombreuses ou trop longues pour que l’accord de l’utilisateur ait une validité juridique ?

Claude-Etienne Armingaud : On voit ici l’un des effets pervers de la viralité des usages au travers de l’environnement numérique et, dans une certaine mesure, ce que les anglo-saxons appellent le FoMo (« Fear of Missing out ») — tout le monde le fait, et je veux en être.

(suite…)