Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 329

JOUE :// Règles de réception des véhicules complètement automatisés
Le 26 août 2022 a été publié au Journal officiel de l'UE le
règlement d'exécution (UE) 2022/1426 de la Commission
du 5 août 2022 établissant des règles relatives à l'application
du règlement (UE) 2019/2144 du Parlement européen
et du Conseil en ce qui concerne les procédures uniformes
et les spécifications techniques pour la réception par type
des systèmes de conduite automatisée (ADS) des véhicules
entièrement automatisés (texte présentant de l'intérêt pour
l'EEE). Il s'agit de la réception par type de véhicules entièrement
automatisés des catégories M et N, en ce qui concerne
leur système de conduite automatisée, pour les cas d'utilisation
suivants. Cela concerne d'une part les véhicules
entièrement automatisés, y compris les véhicules bimodes,
conçus et construits pour le transport de passagers ou de
marchandises sur une zone prédéfinie. Le texte inclut
d'autre part les « Hub-to-Hub » (de point à point) : des véhicules
entièrement automatisés, y compris des véhicules
bimodes, conçus et construits pour le transport de passagers
ou de marchandises sur un parcours prédéfini avec
des points de départ et d'arrivée fixés d'un voyage/déplacement.
Enfin, le règlement s'applique aussi aux « Automated
valet parking » (service voiturier automatisé) : des véhicules
bimodes ayant un mode de conduite entièrement automatisé
pour des applications de stationnement dans des sites
de stationnement prédéfinis. Le système peut utiliser ou
non l'infrastructure externe (par exemple, marquages de
localisation, capteurs de perception, etc.) du site de stationnement
pour accomplir la tâche de conduite dynamique.
LA CNIL ENJOINTE D'AUGMENTER SA SANCTION CONTRE ACCOR
Par une délibération du 3 août dernier,
la Cnil a prononcé une sanction de
600 000 euros à l'encontre de la société
Accor, notamment pour avoir procédé
à de la prospection commerciale sans le
consentement des personnes concernées.
Comme les traitements en question
étaient mis en œuvre dans de nombreux
pays de l'Union européenne, la Cnil a
soumis son projet de décision aux autorités
de protection des données en cause.
L'une d'entre elles étant en désaccord avec
ce projet, le Comité européen de la protection
des données (CEPD) a été saisi pour
se prononcer sur le différend. À la suite de
cette procédure, le Comité a enjoint à l'autorité
de contrôle française de réexaminer
le montant de l'amende et de l'augmenter
afin que la mesure prise soit davantage
dissuasive.
Dans cette affaire, quand une personne
procédait à une réservation directement
auprès d'un hôtel ou sur le site d'un des
hôtels du groupe Accor, elle devenait automatiquement
destinataire d'une newsletter
comportant des offres commerciales de
partenaires, la case relative au consentement
à recevoir
la newsletter étant
précochée par défaut. La Cnil a considéré
qu'il y avait manquement à l'obligation de
recueillir le consentement de la personne
concernée pour traiter ses données à des
fins de prospection commerciale figurant
dans la loi de 1978. Elle a également
retenu quatre manquements au RGPD, ces
derniers seuls ayant été soumis au mécanisme
de coopération européenne.
La Cnil a d'abord considéré qu'Accor
n'avait pas respecté l'obligation d'informer
les personnes (art. 12 et 13 du
RGPD) : la société n'ayant pas fourni aux
personnes concernées, de manière accessible,
les informations nécessaires lors de
la création d'un compte client ou lors de
l'adhésion au programme de fidélité du
groupe Accor. La société ne mentionnait
Données personnelles :
class action contre Oracle
Johnny Ryan, senior fellow au sein de l'Irish Council for Civil
Liberties (ICCL), la Cnil irlandaise, Michael Katz-Lacabe, directeur
de recherche du CeHRP, organisation américaine pour la
protection des droits de l'Homme et de la vie privée, et Jennifer
Golbeck, professeur d'informatique à l'Université du Maryland
ont déposé une plainte devant le tribunal du district nord de
Californie afin que soit formé un recours collectif contre
Oracle. Les auteurs de la plainte allèguent que la « machine de
surveillance mondiale » de l'éditeur de systèmes de gestion de
base de données a constitué des dossiers détaillés sur près de
cinq milliards de personnes, accusant l'entreprise et ses filiales
Oracle Data Marketplace et Oracle ID Graph d'avoir violé la vie
privée de la majorité de la population mondiale. On lui reproche
pas non plus le consentement comme
base légale du traitement, pour la prospection
tendant à promouvoir les produits ou
services de tiers. Ensuite, la Cnil a relevé le
non-respect du droit d'accès des personnes
aux données les concernant (art. 12 et
15 du RGPD), puisque la société n'a pas
donné suite aux demandes formulées par
une plaignante dans les délais. De même
pour le droit d'opposition (art. 12 et 21 du
RGPD), la société n'a pas pris en compte
les demandes des plaignants visant à ce
que plus aucun message de prospection
commerciale ne leur soit adressé, en raison
de dysfonctionnements. Enfin, elle n'a pas
assuré la sécurité des données personnelles
(art. 32 du RGPD), car la société
permettait l'utilisation des mots de passe
insuffisamment robustes. La Cnil reproche
également à la société d'avoir invité une
personne à transmettre sa pièce d'identité
par courriel, sans que les données en cause
ne soient chiffrées.
la collecte massive et la vente de données d'internautes sans
leur consentement, afin de les profiler. Il est reproché à Oracle
d'exercer une surveillance permanente et complète des plaignants
et des membres du groupe, ce qui porte gravement
atteinte à leur vie privée ». Le très médiatique fondateur et dirigeant
d'Oracle, Larry Ellison, avait vanté Oracle Data Cloud « la
plus grande base de données au monde. Il existe deux grandes
bases de données pour suivre les consommateurs et qui
contiennent beaucoup d'informations sur les consommateurs.
L'un est très célèbre, il s'appelle Facebook. L'autre est moins
connu, c'est le Data Cloud d'Oracle ».
Aucune loi fédérale n'existant en matière de données
personnelles, la plainte s'appuie sur plusieurs lois fédérales,
constitutionnelles, délictuelles
et
étatiques : l'Electronic
Communications Privacy Act, la Constitution de l'État de
Californie, la California Invasion of Privacy Act, ainsi que le
droit de la concurrence et la common law.

Vous avez envie de partager une jurisprudence intéressante
ou inédite avec la communauté des lecteurs d'Expertises.
Contactez la rédactrice en chef d'Expertises Sylvie Rozenfeld sr@expertises.info
EXPERTISES OCTOBRE 2022
329
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia
