Pensez-vous vraiment possible de contourner le RGPD sans risque ? Pour y « échapper », certains acteurs n’hésitent pas à mettre en place des organisations ou des systèmes compliqués. Le plus classique – et qui est régulièrement contrecarré par l’analyse juridique – consiste à s’interdire de collecter des données directement, voire indirectement, identifiantes pour revendiquer l’anonymat. Une autre solution, fréquemment rencontrée, consiste à alléguer une absence de …
En savoir plus
Considérée comme une règle essentielle à la démocratie, à telle point qu’elle fut érigée en devoir pour le Gouvernement, en 2012, la transparence cède du terrain, en pratique, et ce dans un objectif de conciliation avec les droits des tiers et les impératifs de l’action publique. Le Conseil d’Etat autrichien a ainsi limité la portée de l’obligation, pour le responsable de traitement, d’expliquer la logique …
En savoir plus
La personne concernée peut-elle délier le responsable de traitement de son obligation de sécurité? Une comparaison avec un sujet proche, celui du secret professionnel, devrait conduire à une réponse négative (Crim., 8 avril 1998, n° 97-83656). La CADA, dans un avis un chouïa plus récent, avait rappelé que le choix du patient de recevoir par email son dossier médical n’exonérait pas l’hôpital de ses obligations …
En savoir plus
Ne nous mentons pas. Pour bon nombre de ses détracteurs, le RGPD se résume à beaucoup de paperasses et des dépenses – et non des investissements – dans la cybersécurité. Voilà une décision de l’APD belge établissant clairement que la sécurité ne se limite pas au « cyber » et que le pragmatisme peut garder de la « procédurite ». En l’occurrence, le responsable de traitement poursuivi avait de …
En savoir plus
Alors que la CNIL a récemment indiqué que sa doctrine en termes de cookies n’avait pas induit de « fatigue du consentement« , l’autorité de protection des données italienne a admis, dans une décision du 2 mars 2023, que le recueil du consentement, en matière de recherche dans le domaine de la santé, introduisait nécessairement et systématiquement un biais scientifique (GPDP, 2 mars 2023, CHU Città della …
En savoir plus
En cas de manquement RGPD, le responsable peut-il s’exonérer de sa responsabilité? Difficilement, voire quasiment pas, au regard du principe de responsabilité. Conséquence directe, le caractère non-intentionnel, involontaire de la violation est sans effet (AEPD, Free Energy, n° PS-00099-2022 ; Délibération de la formation restreinte n° SAN-2022-023 du 19 décembre 2022). De la même façon, les faits commis par un membre du personnel, sans instruction …
En savoir plus
Si la messagerie électronique professionnelle est utilisée à des fins personnelles, l’employeur n’est pas responsable de traitement des données ainsi traitées par le salarié. C’est la conclusion de la « CNIL islandaise », le 19 octobre 2022, comme le rapporte GDPRHub. Cette conclusion – de bon sens – s’inscrit dans la droite ligne de la position du CEPD (Guidelines 07/2020 on the concepts of controller and processor …
En savoir plus
Cet article, co-écrit avec Cédric Cartau, a été publié dans le 22ème numéro de DSIH, paru en octobre 2017. Je profite donc de la publication sur le blog pour remercier DSIH et Cédric Cartau. « La loi Touraine a introduit dans le Code de la santé publique un nouvel outil de coopération sanitaire : le groupement hospitalier de territoire. Ce que ne révèle pas expressément la loi, nous …
En savoir plus
La loi Informatique et Libertés avait posé, dès 1978, le principe selon lequel le responsable de traitement devait contrôler et encadrer l’action de ses sous-traitants. Gageons qu’en 1978, le principe pouvait technologiquement être suivi d’effet. Près de 40 ans plus tard, force est de constater que ce principe relève de l’illusion parfaite. L’informatisation est devenue tellement importante que les clés des traitements de données sont …
En savoir plus
Et voilà. Il n’y avait qu’à attendre. Il est paru au Bulletin Officiel des Annonces des Marchés Publics (BOAMP), le 19 octobre 2015 : le premier marché tendant à la mise en œuvre d’une plateforme intégrant des objets connectés destinée aux médecins et à leurs patients. Lancé par l’URPS Rhône Alpes et divisé en deux lots – fourniture et services associés (hébergement, interface SI, etc.) – …
En savoir plus