La CNIL a récemment sanctionné deux enseignes bien connues du public : Amazon (précisément : Amazon France Logistique) et Yahoo (pour son site internet Yahoo.com et sa messagerie Yahoo!mail) pour un montant total de 42 millions euros d’amende.
Amazon : 32 millions d’euros d’amende
Contexte
- Les employés utilisent des scanners pour enregistrer certaines tâches en temps réel (prélèvement d’un article, stockage…)
- Ces scans génèrent des données personnelles permettant le calcul d’indicateurs extrêmement précis (productivité, inactivité, performance…)
- Par ailleurs, un dispositif de vidéosurveillance est installé, mais les salariés et visiteurs extérieurs n’en sont pas informés.
Manquements au RGPD
- Les données collectées ne sont pas strictement nécessaires aux finalités poursuivies (principe de minimisation)
- Le traitement de données ne peut reposer sur la base légale de l’intérêt légitime dans la mesure où il conduit à une surveillance excessive du salarié (licéité du traitement).
- Les intérimaires ne sont pas informés de l’existence du système de surveillance par scanners, de même pour les salariés et visiteurs extérieurs concernant le dispositif de vidéosurveillance (devoir d’information et principe de transparence).
- Les accès au logiciel de vidéosurveillance ne sont pas suffisamment sécurisés : mot de passe faible et compte d’accès partagé entre plusieurs utilisateurs (sécurité des données).
Yahoo EMEA Limited : 10 millions d’euros d’amende
Contexte
- Lors de la consultation du site internet Yahoo.com, des cookies poursuivant des finalités publicitaires sont déposés sur le terminal des internautes sans leur consentement.
- En cas de révocation du consentement aux cookies sur la messagerie Yahoo! Mail, les utilisateurs perdent l’accès aux services offerts et à leur messagerie.
Manquements au RGPD
Outre le fait que des cookies qui ne sont pas nécessaires au bon fonctionnement du site internet sont déposés sans le consentement de ses utilisateurs, les critères permettant d’obtenir un consentement valide ne sont pas réunis. Rappelons que le consentement doit être libre, spécifique, éclairé et univoque. De plus, il doit pouvoir être retiré à tout moment.
Soucieux de vous mettre en conformité avec la législation applicable en matière de protection des données ? Venez découvrir les solutions et la méthodologie du réseau national Agence RGPD !
