RGPD – Bilan 2018 – Sanctions
Petit bilan des sanctions financières prononcées par la CNIL depuis l’entrée en vigueur du RGPD le 25 mai 2018. Pour rappel, ceci n’est qu’un volet des mesures répressives à disposition de l’autorité de contrôle française.
En effet, la CNIL peut également avoir recours à des mises en demeure, des rappels à l’ordre ou des injonctions de cesser un traitement. Les sanctions peuvent être publiques, ce qui risque d’être encore plus dommageable pour une entreprise que l’amende éventuelle.
07 juin 2018
Sanction de 250 000 euros à l’encontre de la société OPTICAL CENTER pour avoir insuffisamment sécurisé les données de ses clients effectuant une commande en ligne à partir de son site internet.
28 juin 2018
Sanction de 75 000 euros à l’encontre de l’Association pour le Développement des Foyers (ADEF) pour avoir insuffisamment protégé les données des utilisateurs de son site internet.
31 juillet 2018
Sanction de 30 000 euros à l’encontre de l’OPH de Rennes Métropole ARCHIPEL HABITAT pour avoir utilisé le fichier de ses locataires à d’autres fins que celles de gestion de l’habitat social.
2 août 2018
Sanction de 50 000 euros à l’encontre de la société DAILYMOTION pour avoir insuffisamment sécurisé les données des utilisateurs inscrits sur sa plateforme d’hébergement de contenus vidéo.
20 septembre 2018
Sanction de 10 000 euros à l’encontre de la société ASSISTANCE CENTRE D’APPELS pour avoir notamment mis en œuvre illégalement un système biométrique à des fins de contrôle des horaires des salariés.
27 septembre 2018
Sanction de 30 000 euros à l’encontre de l’association ALLIANCE FRANÇAISE PARIS ÎLE-DE-FRANCE pour avoir insuffisamment sécurisé les données des personnes suivant les cours de français qu’elle dispense.
20 décembre 2018
Sanction de 400 000 euros à l’encontre de la société UBER pour une atteinte à la sécurité des données des utilisateurs de son service de VTC ayant entrainé la compromission des données de 57 millions d’utilisateurs.
27 décembre 2018
Sanction de 250 000 euros à l’encontre de la société BOUYGUES TELECOM pour manquement à la sécurité des données clients.
Ces sanctions ne concernent que des faits antérieurs à l’entrée en vigueur du RGPD, cependant certains montants sont déjà significatifs. En France, les dossiers en cours d’instruction devraient déboucher sur les premières sanctions financières de la CNIL durant le premier semestre 2019.
En Europe, une sanction notable sous l’ère RGPD est tombée au Portugal. Un hôpital a été sanctionné pour défaut de minimisation et de sécurisation des données par une amende d’un montant de 450 000€.
Pour le moment, la majeure partie des sanctions financières a été prononcée pour des problèmes liés à la sécurité des données et à la vue du nombre de violations de données déclarées à la CNIL (près de 750 violations concernant plus de 33 millions de personnes) depuis mai 2018, ce sera probablement encore un axe majeur en 2019.
Il est primordial pour les entités gérant des données personnelles de s’assurer de la sécurité des données détenues et d’avoir mis en place des procédures en cas de violation. Pour rappel, la CNIL a indiqué vouloir réprimer tout manquement à l’obligation de déclaration sous 72H (attention aux clauses de délai des contrats avec les sous-traitants).
