Info Séance

Société de garde d'enfants et de soutien scolaire

Collecte de données excessives

Une société de garde d'enfants et de cours à domicile enregistre des commentaires excessifs voire insultants sur ses clients et enseignants, tels que "sale conne", "ongles hyper long de sorcière + sent mauvais", "vieille chiante", ainsi que des données de santé telles que "opéré au cerveau", "dépression".

Les sanctions adoptées par la formation contentieuse feront l'objet d'une communication sur le site après notification de la décision à l'organisme concerné.

Travail

Collecte de données excessives

La société utilise un système de cybersurveillance qui conduit à placer ses salariés sous une surveillance constante et permanente.
La société met également en œuvre des traitements relatifs aux mains courantes et à la gestion des horaires de travail qui n’ont fait l’objet d’aucune formalité préalable auprès de la CNIL. Les mesures prises pour assurer la sécurité des postes informatiques sont insuffisantes.

Mise en demeure

La CNIL enjoint la société, sous un délai de quinze jours, de déclarer les traitements relatifs aux mains courantes et à la gestion des horaires de travail, d’informer les personnes,  de veiller à ne plus porter atteinte à leur vie privée et au secret de leurs correspondances, et de prendre les mesures de sécurité adéquates.

Social

Traitement comportant des appréciations sur les difficultés sociales des personnes

Une association, spécialisée dans la protection de l’enfance, assure des mesures d’assistance éducative. Elle met en œuvre un traitement automatisé comportant des appréciations sur les difficultés sociales des personnes (rapports établis par les travailleurs sociaux à l’issue de la mesure de suivi éducatif) qui n’a pas été préalablement autorisé par la CNIL (art. 25-7°).

Aucune durée de conservation et aucune politique de purge ou d’archivage n’ont été définies. Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données a pu être constaté, lié notamment à l’absence de broyeur de documents. 

Mise en demeure

La CNIL enjoint l’association, sous un délai de trois mois, de procéder à une demande d’autorisation concernant le traitement relatif au suivi éducatif des jeunes et à une déclaration concernant le traitement relatif à la facturation, de déterminer une durée de conservation des données, de procéder à l’information des personnes et de prendre des mesures pour assurer la sécurité des traitements et la confidentialité des données.

Santé

Traitement de gestion des signalements de type vigilance sanitaire et de type qualité (hors vigilances sanitaires) dans un établissement de soins.

Le traitement mis en œuvre a fait l’objet d’une déclaration normale auprès de la CNIL. Ce dispositif a pour finalité la collecte de données relevant de vigilances sanitaires, mais aussi d’alertes de type qualité (hors domaine des vigilances) susceptibles d’être signalées par tous agents. Ce traitement répondant à une finalité d’intérêt public, il relève du régime d’autorisation.

Le contrôle a permis de mettre en évidence une durée de conservation excessive des données, une absence d’information relative aux droits des personnes et une politique de sécurité des données insuffisante.

Mise en demeure

La CNIL enjoint notamment l’hôpital, sous un délai de trois mois, d’effectuer une demande d’autorisation, de recueillir le consentement des personnes et de les informer, ainsi que de mettre en œuvre une politique de sécurité tant dans la gestion et le renouvellement des mots de passe que dans les connexions d’accès à l’application.

Travail

Vidéosurveillance

Une société a mis en œuvre un système de vidéosurveillance qui conduit à placer les salariés sous une surveillance constante et permanente. La finalité déclarée de ce dispositif est illégitime ("surveillance des locaux et du personnel") et les salariés n’ont pas été informés de leurs droits dans les conditions de l’article 32 de la loi.

Mise en demeure

La CNIL enjoint la société, sous un délai d’un mois, de déterminer une finalité légitime au dispositif de vidéosurveillance en modifiant la déclaration faite auprès de la CNIL, d’informer les personnes tout en veillant à ce que le dispositif mis en œuvre soit strictement limité à l’objectif de sécurisation des biens et des personnes sans atteinte à la vie privée.

Travail

Vidéosurveillance

Une société a mis en œuvre un système de vidéosurveillance qui conduit à placer les salariés sous une surveillance constante et permanente. La finalité déclarée de ce dispositif est illégitime (« surveillance des locaux et du personnel") et les salariés n’ont pas été informés de leurs droits dans les conditions de l’article 32 de la loi.

Mise en demeure

La CNIL enjoint la société, sous un délai d’un mois, de déterminer une finalité légitime au dispositif de vidéosurveillance en modifiant la déclaration faite auprès de la CNIL, d’informer les personnes tout en veillant à ce que le dispositif mis en œuvre soit strictement limité à l’objectif de sécurisation des biens et des personnes sans atteinte à la vie privée.

Immobilière

Prospection commerciale

Une société qui effectue de la prospection commerciale par voie postale a refusé de prendre en compte le droit d’opposition d’un plaignant. La société n’a pas répondu aux demandes de la CNIL tendant à obtenir la suppression des coordonnées du plaignant.

Mise en demeure

La CNIL enjoint la société, sous un délai de quinze jours, de prendre en compte la demande du plaignant de ne plus recevoir de courriers publicitaires et d’indiquer à la Commission les raisons pour lesquelles le droit d’opposition de l’intéressé n’a pas été pris en compte, ainsi que celles pour lesquelles aucune réponse n’a été apportée aux courriers de la CNIL.

Collectivité territoriale

Traitements relatifs à la gestion du personnel communal

La commune a constitué un tableau destiné à évaluer ses agents, qui précise notamment les absences pour congés de maladie. La quasi-intégralité des traitements mis en œuvre (badgeuse, vidéosurveillance, gestion des administrés, etc.) n’ont pas fait l’objet de formalités préalables et n’ont pas de durée de conservation déterminée. Enfin, les personnes ne sont pas informées de leurs droits.

Mise en demeure

La CNIL enjoint la commune sous un délai de deux mois de procéder à l’accomplissement des formalités préalables, de ne plus collecter de données excessives (notamment l’information sur l’état de santé de ses agents), d’informer les personnes concernées et de définir des durées de conservation proportionnées.

Immobilier

Copropriété en "time share"

La société conserve des informations relatives à des clients avec lesquels elle n’a plus de relation commerciale depuis plus de 20 ans et ses contrats ne comportent pas les mentions d’information prévues par la loi "informatique et libertés".

Mise en demeure

La CNIL enjoint notamment à la société, sous un délai de deux mois, de se conformer à l’engagement de conformité à la norme simplifiée n°21, de procéder à l’information des personnes auprès desquelles elle collecte des données et de mettre en place une politique de durée de conservation des données.