GuiGui's Show

In the judgment C-416/23, the Austrian Data Protection Authority (DSB) received a slap in the face from the CJEU. The authority has – arbitrarily – set the number of complaints that data subjects can file at a maximum of two per month, even if one is affected by GDPR violations almost daily. The CJEU has now made it clear: as long as you do not file abusive complaints, all users have the right to have any GDPR violation remedied by the DSB. Unfortunately, DPAs trying to get rid of complaints isn't just an Austrian problem. Our figures show an EU-wide problem with DPA inactivity.

Dismissing and discontinuing en masse. For years, the DSB has developed various ‘techniques’ to discontinue proceedings against companies as much as possible. For example, data subjects are often threatened with the discontinuation of proceedings after each statement made by a company, if they do not object within two weeks. The DSB also discontinues proceedings on a large scale if a company (after years of dispute) complies with the GDPR at the last minute. […]

La CNIL ne ferait jamais ça, bien évidemment. :)))) Si, en fait.

Only 1.36% of all proceedings result in a fine. The DSB currently states that in 2023 it conducted 4,030 proceedings (2,389 national complaints, 876 cross-border complaints and 765 ex officio proceedings). However, only 55 fines were imposed in the entire year. This means that statistically, only 1.36% of all proceedings end with a fine. By way of comparison: 8.34 million traffic fines were issued in Austria in 2021. At peak times in 2023, more than 7,000 fines for incorrectly parked e-scooters were issued per month in Vienna. Statistically, it would take the DSB 127 years to issue these 7,000 penalties. However, many GDPR violations are as trivial as parking offences. User requests are simply not processed, consent is not obtained, or data is not deleted.

Alors que la CNIL… Ho, wait. :))))

Not only an Austrian problem. This problem isn't unique to Austria, but concerns data protection authorities across Europe. In 2022 (the last year with EU-wide numbers), all European DPAs had a combined number of 140,106 proceedings – but only issued 1819 fines against companies. This means that in only 1.3% of cases there was a serious consequence. This clearly shows that there is an EU-wide problem with DPA inactivity and authorities dragging out proceedings.

La branlette générale se constate dans les chiffres remontés au CEPD (ceux de la France).

Procedures take years – instead of months. According to § 73 AVG, the DSB must decide within 6 months. In reality, procedures almost always take significantly longer. For example, 3 years for a decision on an illegal cookie banner is no exception. The noyb statistics for Austria show many cases that wait well over 6 months for a decision. Further appeals to the Federal Administrative Court also take several years instead of the 6 months provided by law. As a result, law enforcement in Austria is in no way compliant with EU law.

Alors que la CNIL… Ho… :))))

Budget problems? […] A single penalty imposed on Google could amount to as much as €6 billion […]

Tout ne se résume pas à la thune. Il y a aussi la volonté, les priorités, la compétence, l'organisation, les méthodes et outils de travail, etc. Tu peux filer des centaines de milliards d'euros à un âne qui chie, il n'avancera pas. Pas vrai, la CNIL ? :)))) Pour ça qu'Aeris avait proposé à la Cour des comptes d'étudier le budget de la CNIL.

Quelques mois plus tard, noyb publiait que l'APD autrichienne est exsangue : Budget cuts paralyse Austrian DPA: NGO complaint to the EU Commission. Baisse de budget, recours à des travailleurs temporaires (12 mois), etc.

Conclusions de l'avocat général :

Point 74 :

Il s’ensuit que ces ressources doivent être adaptées à l’utilisation que les personnes concernées font de leur droit d’introduire des réclamations auprès des autorités de contrôle. Il serait paradoxal que, alors même que le législateur de l’Union a souhaité, comme cela ressort de l’article 57, paragraphe 2, de ce règlement, faciliter l’introduction de ces réclamations, ce qui revient à les encourager, il ait, dans le même temps, permis à ces autorités de refuser de donner suite auxdites réclamations lorsqu’elles estiment que leur nombre est trop important.

Point 89 :

Cela étant, au vu du contexte dans lequel s’inscrit l’article 57, paragraphe 4, du RGPD et des objectifs que poursuit ce règlement, une autorité de contrôle ne saurait exercer ce choix de façon discrétionnaire et non motivée. En effet, compte tenu de l’importance que revêt le droit d’introduire des réclamations au regard de l’objectif visant à garantir un niveau élevé de protection des données à caractère personnel, de la place essentielle que le traitement de ces réclamations occupe parmi les missions qui sont attribuées aux autorités de contrôle et de l’obligation qui incombe à ces autorités de procéder au traitement desdites réclamations avec toute la diligence requise, il incombe auxdites autorités de prendre en compte toutes les circonstances pertinentes et de s’assurer du caractère approprié et proportionné de l’option choisie. Ces éléments d’appréciation doivent figurer dans la motivation de la décision de l’autorité de contrôle saisie.

Arrêt C-416/23 :

Points 51 et 52 :

À cet égard, il convient encore de rappeler que les États membres sont tenus, en vertu de l’article 52, paragraphe 4, du RGPD, de veiller à ce que chaque autorité de contrôle dispose des ressources humaines, techniques et financières ainsi que des locaux et de l’infrastructure nécessaires à l’exercice effectif de ses missions et de ses pouvoirs. Il s’ensuit que ces ressources doivent être adaptées à l’utilisation que les personnes concernées font de leur droit d’introduire des réclamations auprès des autorités de contrôle.

Ainsi, il incombe aux États membres de fournir aux autorités de contrôle les moyens adaptés au traitement de toutes les réclamations dont elles sont saisies, le cas échéant en augmentant ces moyens en vue de les adapter à l’utilisation que les personnes concernées font de leur droit d’introduire des réclamations au titre de l’article 77, paragraphe 1, du RGPD. […]

Point 70 :

Compte tenu des considérations qui précèdent, il y a lieu de répondre à la troisième question que l’article 57, paragraphe 4, du RGPD doit être interprété en ce sens que, lorsqu’elle est confrontée à des demandes excessives, une autorité de contrôle peut choisir, par une décision motivée, entre exiger le paiement de frais raisonnables basés sur les coûts administratifs ou refuser de donner suite à ces demandes, en tenant compte de l’ensemble des circonstances pertinentes et en s’assurant du caractère approprié, nécessaire et proportionné de l’option choisie.

La CJUE est frileuse, mais on a un début d'exigence de motivation, très localisée sur l'acceptation / rejet de réclamations. On retrouve aussi cela dans l'Internal EDPB Document 02/2021 on SAs duties in relation to alleged GDPR infringements du CEPD (notamment points 47-49, 62, 68) et dans des décisions plus récentes de la CJUE.

Le reste est sans surprise : une autorité de protection des données doit être mise en capacité de rejeter les réclamations visant à entraver au lieu de faire protéger ces droits. En droit administratif français, le volume d'une demande formulée à une administration, par exemple de communication de documents, ne suffit pas à lui seul à caractériser une demande abusive. Dommage que l'article 57(4) du RGPD ne prévoit pas cela de base.

#Autriche #52(4) RGPD

En septembre dernier, la Cour de justice de l’Union européenne (CJUE) a rendu une décision [C‑792/22 Energotehnica (CP)] qui a fait couler beaucoup d’encre. En jugeant que les citoyens de l’UE ont le droit de saisir un juge de leur pays, elle énonce que le juge d’un État membre peut appliquer le droit de l’Union européenne, même s’il est contraire aux décisions des Cours constitutionnelles nationales.

[…]

Le principe de la primauté du droit de l’Union européenne sur les droits nationaux est posé par l’arrêt Costa contre ENEL (CJCE, 1964) : « À la différence des traités internationaux ordinaires, le traité de la CEE a institué un ordre juridique propre, intégré au système juridique des États membres […] et qui s’impose à leurs juridictions. »

En raison de sa « nature spécifique originale », le droit de l’Union, « issu d’une source autonome, ne pourrait […] se voir opposer un texte interne quel qu’il soit, sans perdre son caractère communautaire et sans que soit mise en cause la base juridique de la Communauté elle-même ».

M. K., le requérant, estime que son licenciement entraîne une violation de son droit à la liberté d'expression. En l'espèce, il a été licencié pour faute lourde à l'issue d'une procédure disciplinaire. Depuis sept ans, il exerçait les fonctions de business unit manager dans l'entreprise, et était même devenu l'un des conseillers écoutés de son employeurs. Mais les relations entre le salarié et l'entreprise se sont détériorées après l'arrivée d'une nouvelle équipe dirigeante. M. K. n'a alors pas hésité à dénigrer l'entreprise et à traiter le patron de "PD" dans des SMS envoyés à différents salariés.

[…]

La jurisprudence considère en effet que l'article L 1121-1 permet au salarié de bénéficier de la liberté d'expression dans l'entreprise. Dans une décision du 11 octobre 2023, la chambre sociale avait même estimé que les courriels d'une salariée à son employeur, témoignant d'un désaccord sur les conditions de report des congés ne pouvaient être considérés comme abusifs, alors même que l'intéressée avait refusé d'appliquer l'accord d'entreprise et avait écrit à son patron que "s'il refusait le report des congés, c'était certainement car sa femme ne travaillait pas". Auparavant, dans un arrêt du 16 février 2022, la Cour avait déjà annulé le licenciement pour insuffisance professionnelle du directeur fiscal d'une entreprise qui s'était élevé contre une opération de fusion-acquisition. Il est vrai qu'en l'espèce, l'intéressé pouvait être considéré comme un lanceur d'alerte, car l'opération en question avait pour but principal la fraude fiscale.

La liberté d'expression, qu'elle s'exerce dans l'entreprise ou ailleurs n'est cependant pas sans limites. Le caractère injurieux des propos tenus constitue ainsi une cause réelle et sérieuse de licenciement. La chambre sociale, dans une décision de 2011, admet ainsi la régularité du licenciement du gardien d'une propriété viticole révélant des informations pour le moins désobligeantes sur la vie privée d'un mandataire social. Le caractère à la fois injurieux et diffamatoire des propos est d'autant mieux caractérisé qu'ils portent sur des éléments qui n'ont rien à voir avec la vie professionnelle.

[…]

La situation de M. K. est aggravée par l'usage de son téléphone professionnel. Sur le plan strictement juridique, les propos sont alors présumés professionnels et perdent donc leur caractère privé. L'arrêt du 11 décembre 2024 écarte ainsi le moyen selon lequel les propos injurieux relèveraient d'une expression purement privée, car ils n'étaient pas destinés à être largement diffusés. Dès lors qu'ils s'expriment par le vecteur d'un téléphone professionnel, ils relèvent de la vie de l'entreprise, et sont donc susceptibles de donner lieu à des poursuites disciplinaires.

#LLC

Le droit au silence devient, au fil des décisions de justice, un principe général du droit processuel, applicable aussi bien en matière pénale que disciplinaire, et à toutes les étapes des procédures. Par un arrêt du 19 décembre 2024, la section du contentieux du Conseil d'État franchit un pas supplémentaire dans le mouvement d'intégration de ce droit au silence.

[…]

Dans sa décision [2023-1074] QPC du 8 décembre 2023, M. Renaud N., le Conseil constitutionnel sanctionne en effet l’ordonnance du 28 juin 1945 relative à ladiscipline des notaires, précisément parce qu’elle ne prévoit pas le droit au silence. Dans une seconde QPC Hervé A. du 26 juin 2024, il fait du droit au silence un principe de droit processuel. A propos du droit au silence des magistrats devant le Conseil supérieur de la magistrature (CSM), il déclare que cette exigence s’impose « non seulement aux peines prononcées par les juridictions répressives mais aussi à toute sanction ayant le caractère d’une punition".

Droit au silence / de se taire dans les procédures disciplinaires.

+ Décision 2025-1171 QPC : notification du droit de se taire durant une procédure de sanction, y compris écrite, d'une autorité administrative (CNIL, ARCEP, ARCOM, etc.). Pour la formation restreinte de la CNIL, c'est la décision 2025-1154 QPC. A priori, pour le Conseil d'État, ça ne concerne pas les contrôles / vérifications menées par la CNIL.

#LLC

Délibération SAN-2024-020.

C'est magique :

122 Ainsi, tout le modèle d’affaires de la société repose sur la violation de dispositions majeures du RGPD, en ce que la base de données à partir de laquelle fonctionne son extension a été constituée pour partie illicitement.

Mais seulement 240 k€. Un business illégal, ça se torpille, point.

Agrégation de données publiques (annuaire des noms de domaine, github, etc.) et du siphonnage de données privées (import depuis LinkedIn à partir des gens qui ont installé l'extension…).

Point 40 : une adresse email (courriel) professionnelle est une donnée à caractère personnelle si elle désigne une personne.

Point 80 : les informations légales au titre des articles 13 et 14 du RGPD ne doivent pas être noyées dans les CGV. Une personne n'a pas à faire une recherche active parmi d'autres infos comme les CGV.

Point 105 : « La formation restreinte rappelle que le droit d'accès a pour objectif de permettre à la personne concernée de prendre connaissance du traitement de ses données et d’en vérifier la licéité. L’exercice de ce droit suppose donc que les informations fournies soient les plus précises possibles »

Dans une décision du 3 décembre 2024, M. S. D. c. Roumanie, la CEDH sanctionne comme une atteinte au droit au respect de la vie privée, l'absence de cadre juridique permettant de lutter efficacement contre les violences en ligne. En l'espèce, la violence dont il s'agit est communément appelée Revenge Porn.

[…]

La question s'est posée dans les mêmes termes en France. La Cour de cassation, dans un arrêt du 16 mars 2016, avait estimé que le Revenge Porn ne pouvait être sanctionné sur le fondement de l'article 226-1 du code pénal. Celui-ci sanctionne en effet la captation, la conservation et/ou la diffusion de données personnelles sans le consentement de la personne. Or, dans le cas du Revenge Porn, le consentement est établi pour la captation et la conservation. De fait, la jurisprudence de 2016 considérait que le consentement était présumé en matière de diffusion.

Pour permettre de réprimer le Revenge Porn, la loi Lemaire du 7 octobre 2016 pour une République numérique vient combler cette lacune du droit. Elle ajoute au code pénal un nouvel article 226-2-1 qui punit d'une peine d'emprisonnement de deux ans et d'une amende de 60 000 € le fait de diffuser sur le net, sans le consentement de l'intéressé, des images "présentant un caractère sexuel". Le droit français est donc parfaitement conforme aux exigences de la CEDH.

#LLC

La chambre criminelle de la Cour de cassation a rendu, le 26 novembre 2024, une décision qui va certainement faciliter les poursuites pour esclavage domestique. La Cour décide en effet que le délit de traite des êtres humains peut être constitué, sans qu'il soit besoin d'établir que son auteur a agi contre rémunération. Autrement dit, la traite ne consiste pas seulement à organiser des réseaux de prostitution ou d'esclavage. Le fait de faire venir une personne pour exploiter sa force de travail suffit à la caractériser.

[…]

Le deuxième obstacle réside dans le système juridique lui-même qui ne parvenait à sortir l'esclavage domestique du cadre du droit du travail pour le faire pénétrer dans celui des traitements inhumains ou dégradants. Traditionnellement, il était poursuivi pour défaut de contrat de travail ou pour exploitation du travail d’une personne, au mieux pour abus de vulnérabilité et de dépendance, infractions qui ne donnaient lieu qu’à des peines légères.

Cette mansuétude a été sanctionnée par la CEDH. Dans son arrêt Siliadin c. France du 25 juillet 2005 rendu à propos d’une jeune togolaise de quinze ans, contrainte de travailler dans une famille sans aucun jour de congé, elle fait une distinction entre l'esclavage et l'asservissement. Il n'y a pas esclavage quand les employeurs n’exercent pas sur la personne un véritable droit de propriété, et c'était le cas en l'espèce. En revanche, ne relation de « servitude » lui était imposée, et la Cour a estimé que la législation française n’était pas suffisamment protectrice au regard de la gravité de cette atteinte aux droits de la personne. […] La criminalisation de l'esclavage domestique est désormais imposée par la CEDH, depuis son arrêt Chowdury c. Grèce du 30 mars 2017. »

[…]

Le dernier obstacle, enfin, doit être recherché dans la définition des infractions. C'est ainsi que l'article 212-1 du code pénal mentionne la réduction en esclavage dans la liste des crimes contre l'humanité. Mais le crime contre l’humanité implique « un plan concerté à l’encontre d’un groupe de population » et les victimes des nouvelles formes d’esclavage sont essentiellement individuelles. Pour combler cette lacune, la loi du 5 août 2013 punit désormais de vingt ans d'emprisonnement la réduction en esclavage, définie comme le fait d’exercer à l’encontre d’une seule personne l’un des attributs du droit de propriété.

[…]

Mais la Cour de cassation écarte ce moyen. Elle rappelle que l'infraction est constituée par le seul fait de recruter, transporter, héberger une personne à des fins d'exploitation. Le fait que l'auteur ait agi sans percevoir de rémunération est donc sans influence.

#LLC

La sécurité informatique en France, c'est une « startup d'État » (quoi que ça veuille dire) et du travail bénévole. Fabuleux. 🤡️

X est aussi sous la menace de devoir payer 30 000 euros par jour à plusieurs journaux (dont Le Monde et Le Figaro) s’il ne remplit pas cette obligation à l’avenir, selon une décision distincte également consultée par l’AFP.

Persévérant, les loulous… La non-application de la directive UE dure depuis 2019 (historique). Alors que les journaux ne redistribuent que des miettes aux journalistes.

#presse

Lien direct vers le dessin

Retour vers le passé
− C'est pas vrai, qu'est-ce que tu as foutu ? T'es vraiment trop con Marty Muskfly !

🤣️