- La CCPD recommande des allègements pour les informations quotidiennes (informations échelonnées, “uniquement sur demande” pour les traitements de données attendus).
- des obligations renforcées pour les fabricants (privacy by design) et un cadre juridique plus strict pour le profilage, ainsi que des clarifications sur la limitation des finalités et le droit d’accès.
La Conférence des autorités indépendantes de contrôle de la protection des données de l’État fédéral et des Länder (Datenschutzkonferenz, DSK) a organisé le 6 novembre 2019 un Rapport sur l’expérience acquise dans l’application de la RGPD a été adoptée. Le site DSK a fait les expériences et recommandations suivantes, qui ne sont pas exhaustives :
- Le site RGPD a fait ses preuves sur le fond. Toutefois, des questions se posent dans certains domaines en matière de Aptitude à la vie quotidienne (p. ex. pour l’obligation d’information). Dans ce domaine, les autorités sont favorables à quelques allégements dans le secteur hors ligne, surtout lors de contacts oraux ou téléphoniques ou lors de la réception d’une commande ou d’une carte de visite ou de l’enregistrement d’un rendez-vous. Dans ce cas, une information échelonnée doit suffire. Les autorités proposent d’ajouter un nouvel alinéa à l’art. 13 RGPD avec un libellé qui rappelle fortement la “reconnaissabilité” au sens de la loi suisse sur la protection des données :
Les informations visées aux paragraphes 1 et 2 sont uniquement sur demande à la personne concernée, dans la mesure où le responsable procède à des traitements de données que la personne concernée n’est pas en mesure d’effectuer en raison des circonstances concrètes. attend ou doit attendre et
- la divulgation de données à d’autres organismes ainsi que le transfert vers des pays tiers sont exclus,
- qu’aucune donnée relevant de l’art. 9 RGPD tombent,
- les données ne sont pas traitées à des fins de publicité directe et 4. il n’est procédé à aucun profilage ni à aucune prise de décision automatisée.
La personne concernée doit être informée de cette possibilité.
- Le principe de Protection des données dès la conception n’est guère appliquée dans la pratique : “Les RGPD devrait donc également obliger les fabricants de logiciels à respecter ce principe de conception favorable à la protection des données. Dans la pratique, cela s’applique en particulier aux fabricants de logiciels complexes tels que les systèmes d’exploitation, les systèmes de gestion de base de données, les progiciels Office standard ou les applications spécialisées très spécifiques”. Le site DSK propose donc d’ajouter une définition légale du “producteur” et de la placer à l’art. 24 RGPD de les soumettre expressément à des obligations correspondantes, par un nouvel art. 24 al. 4 :
4) Le Le fabricant développe et conçoit ses produits, services et applications en tenant compte du droit à la protection des données et de l’état de la technique, de manière à ce que il veille à ce que les responsables du traitement et les sous-traitants soient en mesure de s’acquitter de leurs obligations en matière de protection des données sans devoir apporter de modifications déraisonnables à ces produits, services et applications. Il soutient les aider à établir le registre des activités de traitement (article 30), à notifier une violation des données à caractère personnel (article 33) et à notifier les personnes concernées (article 34), en leur fournissant, sur demande, toutes les informations nécessaires à cet effet.
En conséquence, le fabricant doit également pouvoir être le destinataire de mesures d’exécution et de prétentions en responsabilité (modifications des articles 79 et 82). - La Conférence sur la protection des données demande un renforcement du cadre juridique de la Profilageparce que le “processus de profilage en tant que tel par la plupart des normes de la RGPDL’article 6, paragraphe 1, de la directive sur la protection des données ne couvre pas la protection des données à caractère personnel, comme la prise de décision automatisée, de sorte qu’une évaluation n’est généralement possible que sur la base des conditions générales de l’article 6, paragraphe 1, de la directive sur la protection des données. RGPD se fait”.
- En ce qui concerne le droit d’accès, il serait souhaitable de préciser si et dans quelle mesure un “Droit à la copie” existe.
- Lors de la Notification des violations de la protection des données une obligation de notification correspondante aux autorités devrait également pouvoir s’appliquer lorsqu’une violation de la sécurité des données est constatée, mais seulement présumée, et qu’il n’est pas établi si elle entraîne également une violation au sens de l’article 12, point 4. RGPD (par exemple un accès non autorisé). Dans ce cas, l’obligation de notification ne s’applique que si la violation de la sécurité entraîne un risque “élevé” pour les personnes concernées.
- Lors de la Affectation des fonds la question se pose de savoir si une autre finalité compatible avec la finalité initiale nécessite une base juridique propre ou – en raison de la compatibilité – peut être directement fondée sur la base juridique de la finalité initiale. Sur ce point, la DSK une clarification selon laquelle le second objectif doit avoir une base juridique propre. Pour cela, la deuxième phrase du considérant 50 devrait être supprimée (“Dans ce cas, aucune base juridique distincte de celle de la collecte des données à caractère personnel n’est requise”.).
- Pour les Publicité directe devrait être dans la RGPD une base juridique spécifique ou une mise en balance des intérêts doit être incluse.
- Sur le site Profilage il faut renforcer le cadre juridique : “cette fin, l’interdiction de la prise de décision individuelle automatisée prévue à l’article 22 de la directive sur la protection des données devrait être supprimée. RGPD être étendu au traitement des données à des fins de profilage. Seuls le consentement ou un contrat doivent entrer en ligne de compte comme bases juridiques pour le profilage – outre une base légale spéciale. Cela garantira qu’un profilage n’aura lieu que si la personne concernée en est consciente et y consent”.
Le document contient une liste d’autres propositions de modification.