La charte informatique constitue aussi bien une mesure de sécurité organisationnelle, au titre du RGPD, qu’un instrument disciplinaire, en droit du travail. Cette dualité n’est pas sans conséquence, pour l’employeur, comme pour le salarié. Ainsi, le droit du travail impose-t-il de permettre un usage personnel – raisonnable et licite – des moyens mis à disposition du salarié. Concrètement, il est ainsi autorisé à envoyer et …
En savoir plus
Dans une décision peut-être un peu trop irréaliste, la « CNIL italienne » a reproché au responsable de traitement de ne pas avoir mis en œuvre les mesures de sécurité logiques adéquates sur les postes de travail de ses salariés. Traditionnellement, les mesures phares dans le domaine sont l’installation, la configuration et le maintien à jour d’un antivirus (CNIL – Guide pratique RGPD – Sécurité des données …
En savoir plus
Voici le résumé le plus bref possible du dernier flash DGSI dédié aux risques associés à l’usurpation d’identité. Evidemment, le document se focalise sur des tentatives d’escroquerie ciblant des entreprises, mais cette règle simple se retrouve également dans la jurisprudence des autorités de protection des données. En matière de télécom, plusieurs condamnations ont ainsi été prononcées par la « CNIL espagnole » à l’encontre d’opérateurs de télécommunication …
En savoir plus
Voici une décision d’une juridiction munichoise qui donne à réfléchir en ce qui concerne l’encadrement des fins de sous-traitance RGPD. Le texte impose aux parties de prévoir la restitution ou l’effacement des données. Mais au cas d’espèce, jugé le 9 février 2023 et rectifié le 14 mars suivant, le client d’un prestataire cloud s’est vu reprocher, alors que le contrat avait été résilié, de n’avoir …
En savoir plus
C’est en tout cas ce que l’on peut se demander, à la lecture d’une décision impliquant un directeur de clinique finlandaise tout aussi embarrassé que la Ville de Paris (Tietosuojavaltuutetun toimisto, 15 novembre 2022, n° 4022/171/22). Il s’est lui aussi fait voler son cartable! A l’intérieur, point de plans secrets, mais un compte-rendu médical d’un patient, un ordinateur et deux disques durs. Au total, 3 …
En savoir plus
Vous l’avez sans doute vu passer. Le décret sur l’e-prescription est paru la semaine dernière. Il revient notamment sur les prescriptions en matière d’IVG. Dans cette situation, les patientes ont le droit au secret, aux fins de préserver leur anonymat. Le décret tente de le transposer. Mais le Gouvernement a-t-il vraiment atteint l’objectif? Le texte se borne en effet à prévoir une restriction d’accès à …
En savoir plus
La personne concernée peut-elle délier le responsable de traitement de son obligation de sécurité? Une comparaison avec un sujet proche, celui du secret professionnel, devrait conduire à une réponse négative (Crim., 8 avril 1998, n° 97-83656). La CADA, dans un avis un chouïa plus récent, avait rappelé que le choix du patient de recevoir par email son dossier médical n’exonérait pas l’hôpital de ses obligations …
En savoir plus
Ne nous mentons pas. Pour bon nombre de ses détracteurs, le RGPD se résume à beaucoup de paperasses et des dépenses – et non des investissements – dans la cybersécurité. Voilà une décision de l’APD belge établissant clairement que la sécurité ne se limite pas au « cyber » et que le pragmatisme peut garder de la « procédurite ». En l’occurrence, le responsable de traitement poursuivi avait de …
En savoir plus
Ils avaient pour certains été désignés OIV, pour d’autres OSE et plus encore sont en passe de devenir des entités sinon essentielles, à tout le moins importantes. Les établissements de santé sont probablement en passe de tous être considérés comme des responsables de « traitements critiques ». Durant l’été, la CNIL a publié un projet de recommandation relative à la sécurité de ces traitements. Sont notamment concernés …
En savoir plus
S’assurer de l’identité de la personne concernée n’est pas une sinécure. Entre le principe de minimisation, qui restreint fortement la possibilité de demander un justificatif d’identité, et l’obligation d’assurer la sécurité des données, tout responsable de traitement peut s’estimer en zone dangereuse. Et l’article 12 du RGPD ne fait qu’accroître l’insécurité, en lui interdisant par exemple d’exiger un écrit (ANSPDCP, 13 mars 2023, Modaone), ou …
En savoir plus