Cnil - le pronunce recenti in sede semplificata

Le violazioni rilevate sono:

•     Un mancato rispetto dei trattamenti illeciti (diffusione di un video promozionale contenente dati sensibili; pubblicazione su un sito web dei nomi e cognomi di persone espulse da un'associazione);
•     Un mancato rispetto alla minimizzazione dei dati (commenti eccessivi; registrazione sistematica e completa delle conversazioni telefoniche in un centro d'appello);
•     Un mancato rispetto all'uso dei cookie (assenza di mezzi che consentano di rifiutare i cookie con la stessa facilità con cui vengono accettati);
•     Una mancanza di cooperazione con la CNIL;
•     Una mancanza di sicurezza dei dati (password non sufficientemente robuste, memorizzazione delle Password in chiaro, mancanza di una politica di abilitazione);
•     Un mancato rispetto dei diritti delle persone (esercizio del diritto di accesso a un dossier medico);
•     Un mancato rispetto all'informazione delle persone.

Un manquement au principe de minimisation

Dans le cadre de la gestion d’un centre d’appel pour assurer le secrétariat de professionnels, une société a procédé à l’enregistrement systématique de la totalité des conversations des appels entrants et sortants entre les télésecrétaires, les patients et les professionnels à des fins de formation, d’évaluation et en cas de litige éventuel.

Or, la mise en place d’un enregistrement ponctuel et aléatoire permet de disposer des éléments nécessaires pour la formation des salariés. Un enregistrement systématique et en totalité des conservations n’apparaît pas davantage nécessaire pour la bonne exécution du service ni en vue d’éventuelles réquisitions juridiciaires.

La Cnil a donc  prononcé une amende contre cette société.

Un manquement relatif à un traitement illicite

Une société exerçant dans le cadre de la programmation informatique et de l’intelligence artificielle a diffusé sur son site web et sur les réseaux sociaux une vidéo promotionnelle utilisant des images de dossiers de patients d’un de ses clients. Ces images, qui comportaient les nom, prénom, genre et parfois l’adresse et le numéro de téléphone des patients, ont été utilisées sans le consentement des personnes concernées.

La diffusion de l’identité des patients révélant des informations médicales nécessite le consentement explicite de la personne concernée, en application de l’article 9 du RGPD.

Or, la société n’avait pas recueilli le consentement explicite des personnes. En outre, en vertu de l’article L. 1110-4 du code de la santé publique, la société était soumise au secret professionnel sans pouvoir y déroger.

Il s’agit d’un traitement illicite de données au regard de l’article 5.1 a) du RGPD.

La Cnil a donc prononcé une amende contre cette société.

Un manquement relatif aux cookies

À l’occasion d’un contrôle en ligne, la Cnil a constaté que le site web d’une société ne proposait pas de moyen permettant à l’utilisateur de refuser les Cookies avec le même degré de simplicité que celui pour en accepter l’usage. Le site permettait, par la présence d’un bouton, d’accepter tous les Cookies immédiatement. Mais pour les refuser, il fallait cliquer sur les paramètres puis accéder à une interface pour activer ou désactiver les cookies.

Le site ne présentait donc aucun moyen analogue pour refuser facilement en un seul clic le dépôt des cookies.

Un tel mécanisme est contraire aux exigences légales du consentement requises à l’article 82 de la loi Informatique et Libertés.

La Cnil a prononcé une amende contre cette société.