Le CEPD sanctionne le Parlement européen pour des transferts de données illégaux entre l’UE et les États-Unis – entre autres violations
Le Contrôleur européen de la protection des données (CEPD) a rendu une décision suite à une plainte déposée par nob confirmant que le Parlement européen a violé la loi sur la protection des données sur son site Web de test COVID. Le CEPD souligne que l’utilisation de Google Analytics et du fournisseur de paiement Stripe (les deux sociétés américaines) a violé la décision de la Cour de justice (CJUE) « Schrem II » décision sur les transferts de données UE-États-Unis. La décision est l’une des premières décisions mettant en œuvre « Schrem II » sur le terrain et pourrait ouvrir la voie à des centaines d’autres affaires en instance devant les régulateurs.
Plainte déposée il y a un an. En janvier 2021, nob a déposé une plainte contre le Parlement européen au nom de six membres du Parlement européen sur un site Web interne de test corona. Les problèmes soulevés étaient les bannières de cookies trompeuses, les avis de protection des données vagues et peu clairs et le transfert illégal de données aux États-Unis. Le CEPD a enquêté sur l’affaire et adressé un blâme au Parlement pour violation du « RGPD pour les institutions de l’UE » (Règlement (UE) 2018/1725 applicable uniquement aux institutions de l’UE).
Transferts de données illégaux vers les États-Unis. Dans le soi-disant « Schrems II« , la CJUE a précisé que le transfert de données personnelles de l’UE vers les États-Unis est soumis à des conditions très strictes. Les sites Web doivent s’abstenir de transférer des données personnelles vers les États-Unis lorsqu’un niveau adéquat de protection des données personnelles ne peut être assuré. Le CEPD a confirmé que le site Web transférait effectivement des données vers les États-Unis sans garantir un niveau de protection adéquat des données et a souligné : « le Parlement n’a fourni aucune documentation, preuve ou autre information concernant les mesures contractuelles, techniques ou organisationnelles mises en place pour assurer un niveau de protection essentiellement équivalent aux données personnelles transférées aux États-Unis dans le cadre de l’utilisation de cookies sur le site. »
En août 2020nob a déposé 101 plaintes contre des entreprises de l’UE qui incluaient les fonctions Google et Facebook sur leurs sites Web. Après la constitution d’une « task force » par les autorités compétentes en matière de protection des données, noyb s’attend bientôt à ce qu’une décision concernant les sites Web privés suive la décision du CEPD.
« Le CEPD a clairement indiqué que même le placement d’un cookie par un fournisseur américain viole les lois européennes sur la protection de la vie privée. Aucune protection adéquate contre la surveillance américaine n’était en place, malgré le fait que les politiciens européens sont une cible connue pour la surveillance. Nous nous attendons à d’autres décisions de ce type sur l’utilisation de fournisseurs américains dans les prochains mois, car d’autres affaires doivent également faire l’objet d’une décision. Max Schrems, président d’honneur de noyb.eu
Bannière de cookie déroutante. leLa plainte a également soulevé queles bannières de cookies du site étaient peu claires et trompeuses. Par exemple, tous les cookies n’étaient pas répertoriés par les bannières et il y avait des divergences entre les versions linguistiques. Par conséquent, les utilisateurs n’ont pas été en mesure de donner un consentement valable. Au cours de l’enquête, le Parlement a supprimé tous les cookies de son site Web. noyb travaille actuellement sur plaintes similaires sur les bannières de cookies, qui est soutenue par cette décision.
Informations peu claires et non pertinentes. En outre, la plainte a noté que la politique de confidentialité n’était pas claire et transparente car elle faisait référence aux tests COVID de l’aéroport de Bruxelles ou à une base juridique erronée. Au cours de l’enquête, le Parlement a changé sa politique mais l’a en partie aggravée. nob soulevé les différentes incohérences dans la nouvelle politique de confidentialité du PE. Le CEPD a convenu que les informations fournies par le Parlement violaient l’obligation de transparence, qui est une exigence légale fondamentale en vertu de la législation sur la protection des données. Enfin, le CEPD a également estimé que le Parlement n’avait pas répondu de manière adéquate à la demande d’accès des plaignants.
Pas d’amende, mais une réprimande et un ordre de se conformer. Le CEPD a adressé un blâme au Parlement pour les différentes violations de la Règlement sur la protection des données applicable aux institutions de l’UE. Contrairement aux APD nationales dans le cadre du RGPD, le CEPD ne peut infliger une amende que dans des circonstances limitées qui n’ont pas été remplies dans ce cas. En outre, le CEPD a donné au Parlement un mois pour mettre à jour sa communication sur la protection des données et résoudre les problèmes restants en matière de transparence.
