Dégagé dans les années 60 / 70, le principe de sécurité juridique est désormais une constante. Récemment, la Cour Européenne des Droits de l’Homme a considéré comme y portant atteinte l’absence de prescription des fautes disciplinaires (Volkov c/ Ukraine, 2013). Qu’est-ce qui distingue les manquements au RGPD d’une faute disciplinaire? Pas grand chose, surtout pour les manquements les plus sévèrement sanctionnés qui relèvent de la …
En savoir plus
La Cour de Cassation vient de revenir sur la notion de « préjudice d’anxiété ». Elle couvre l’exposition à un risque élevé de développer une pathologie grave (Civ. 1ère, 18 décembre 2024, n° 24-14750). Deux éléments importants : le sérieux du risque et la gravité de la conséquence. À l’inverse, le régime d’indemnisation posé par le RGPD se montre bien plus favorable aux victimes. Contre l’avis de …
En savoir plus
Avec l’utilisateur lui-même (le récent enchainement des violations de données chez de grandes enseignes tient essentiellement à la réutilisation d’un mot de passe compromis), la chaîne de soustraitance est l’un des canaux les plus empruntés pour mener une cyber attaque. Comment s’en prémunir? Analyse de risques, vérifications des « garanties essentielles » et audit sont les mesures phares, évidemment. Mais insuffisantes, en droit comme en pratique. Dans …
En savoir plus
Le mieux est l’ennemi du bien… et de la sécurité juridique. Voilà un employeur qui pensait bien faire en transmettant à l’équivalent bulgare de la DDTEP le projet de contrat proposé à un salarié. Malheureusement pour lui, la législation locale imposait la transmission du seul contrat signé, et non du projet. Saisie par la personne concernée, l’autorité de protection des données a rappelé à l’ordre …
En savoir plus
Voici une décision à double tranchant de la CNIL espagnole. Dans les faits, un escroc met en place une fausse annonce d’emploi, récoltant ainsi photo d’identité et copie de justificatif d’identité. Ces éléments en main, il usurpe l’identité de sa victime et obtient un prêt. Le prêteur se voit alors accuser d’un manquement à l’obligation de sécurité (des mesures antifraude auraient dû être mises en …
En savoir plus
Le RGPD contraint-il les détenteurs de données à l’auto-incrimination?Cela fait très série policière, mais le droit de ne pas contribuer à sa propre incrimination est protégé, en France, au travers de l’article 6 de la CEDH. L’objectif est clair : ne pas être contraint à fournir aux autorités des éléments qui pourraient être retournés contre la personne. Ce droit n’est toutefois pas absolu. Il est …
En savoir plus
La certification ISO, c’est un peu la réponse tarte à la crème, en matière d’audit des garanties essentielles des sous-traitants et prestataires. A tel point que dans les dossiers de candidature qui peuvent m’être confiés pour certains jurys, nous sont régulièrement pointés des certifications : Le référentiel HDS donne du poids à la certification ISO27001Bon, s’il y a un domaine où la certification a un …
En savoir plus
Il innerve la totalité du RGPD, sans que ses implications opérationnelles ne soient jamais décrites. Vous l’aurez deviné, je songe au principe de responsabilité. A moins que ce ne soit le titre 😉 Les sanctions prises au regard de l’article 5§2 du RGPD, suggérant que ce principe peut être décliné :➡️ techniquement : un dispositif technique doit ainsi permettre de confirmer ou d’infirmer l’effacement d’une …
En savoir plus
Malgré Pro Santé Connect, la Carte de Professionnel de Santé (CPS), ses variantes administratives et leur version dématérialisée, voire un simple couple identifiant / mot de passe restent souvent utilisées comme moyen d’identification électronique (MIE). Verrouillez systématiquement votre sessionEspérer que systématiquement, les utilisateurs récupèrent leur carte lorsqu’ils s’absentent, reviendrait à se voiler la face. Mais y a-t-il vraiment un risque? Un professionnel de santé italien …
En savoir plus
A partir de quand traite-t-on des données?Car l’examen de la jurisprudence en témoigne: tout est traitement, rien n’est traitement, c’est la dose qui fait le traitement! Illustration avec quelques cas récents, et parfois mal interprétés. Le 28 mars 2023, le Conseil d’Etat autrichien a ainsi considéré que des suppositions émises par des personnes – en l’absence de toute donnée – ne constituaient pas un traitement. …
En savoir plus