Newsletter RGPD- Décembre 2024

Fuite de données, amende record et astuces RGPD : tout ce qu’il faut savoir ce mois-ci !

En cette fin d’année, la conformité ne prend pas de vacances. Décembre est marqué par une amende historique pour LinkedIn, une énorme fuite de données chez Free, et une jurisprudence qui redéfinit les règles du jeu en matière de concurrence et RGPD.

Mais ce n’est pas tout : on vous partage aussi des conseils concrets pour gérer une fuite de données, un rappel des durées de conservation RH à maîtriser, et un aperçu des contrôles CNIL à venir. Et pour finir l’année en beauté : un webinaire à ne pas manquer, une offre exclusive de parrainage et une bonne dose de veille utile.

Au programme :

1. L’actu RGPD du mois : Nouvelle jurisprudence, non-conformité au RGPD = concurrence déloyale

2. La sanction du mois : 310 millions d’euros pour Linkedin pour pratique publicitaire non conforme

3. La fuite de donnée qui fait parler : Les données de 19 millions d’abonnés Free sur le dark web

4. L’astuce RGPD pour gérer efficacement une fuite de données

5. Le top 20 des mots de passe les plus utilisés des Français : êtes-vous dans la liste ?

6. La campagne de contrôle de la CNIL : les applications mobiles dans le viseur

7. Les 4 durées de conservation RH à retenir (et à appliquer)

8. Vous êtes invités à notre prochain webinaire sur l’Intelligence Articielle 

9. Connaissez-vous notre FAQ ?

10. -15% (cumulable) sur votre abonnement grâce au parrainage 

1. L’actu RGPD du mois : Nouvelle jurisprudence, non-conformité au RGPD = concurrence déloyale

Le 4 octobre 2024 marque une étape clé : la Cour de Justice de l’Union Européenne (CJUE) ouvre la voie à des recours pour concurrence déloyale basés sur la non-conformité au RGPD.

Pourquoi est-ce un tournant ? En France, cette possibilité existait déjà, mais c’est désormais validé à l’échelle européenne.

Qu’est-ce que ça change ? Désormais, vos concurrents peuvent engager une action en justice si vous ne respectez pas le RGPD et que cela vous confère un avantage injustifié.

Ce qu’il faut retenir : Non-respect du RGPD = concurrence déloyale. 

2. La sanction du mois : 310 millions d’euros pour LinkedIn, pour pratiques publicitaires non conforme

Condamnation historique : Linkedin a été sanctionné le 24 octobre 2024 par la Commission irlandaise de protection des données (DPC) d’une amende de 310 millions d’euros pour :

• Utilisation des données personnelles pour des publicités ciblées sans consentement explicite
• Manque de transparence dans l’explication aux utilisateurs

Une tendance plus large : Cette décision s’inscrit dans une série de sanctions contre les géants du numérique pour des infractions similaires au RGPD.

3. La fuite de données qui fait parler : 19 millions d’abonnés Free ont vu leurs données exposés sur le dark web

En octobre 2024, une cyberattaque a compromis les données personnelles, incluant des IBAN, de près de 19 millions de clients Free. Ces informations ont été mises en vente sur le dark web.

Chronologie :

• Octobre 2024 : Un hacker revendique le vol de données.
• Fin octobre 2024 : Free confirme l’attaque, informe ses abonnés et dépose plainte.
• Novembre 2024 : La CNIL lance un contrôle pour évaluer la sécurité de Free.

Conséquences : Cette affaire souligne les failles de sécurité même chez les grands opérateurs. Les abonnés sont appelés à la vigilance, notamment face au phishing et à la fraude.

Mesures recommandées pour les abonnés

✔ Surveillance des comptes bancaires : Vérifier régulièrement les relevés pour détecter toute activité suspecte.

✔ Prudence face aux communications : Se méfier des e-mails ou SMS inattendus demandant des informations personnelles ou financières.

✔ Modification des identifiants : Changer les mots de passe des comptes liés à Free et éviter l’utilisation de mots de passe identiques sur plusieurs services.

4. L’astuce RGPD : Gérez efficacement une fuite de données

Imaginez : vous découvrez une fuite de données au sein de votre organisation.  Et là, c’est la panique.  Voici les 3 étapes pour réagir efficacement et limiter les conséquences :

1. Informer l’équipe Dipeeo

Dès qu’une violation de données est suspectée ou confirmée, informer immédiatement l’équipe Dipeeo via l’adresse dpo@dipeeo.com.

2. Évaluer l’impact de la fuite

Pour nous permettre d’analyser rapidement la situation, transmettez un maximum d’informations :

• La nature de la violation
• Les catégories et le nombre approximatif de données personnelles concernées
• Les catégories et le nombre approximatif de personnes concernées par la violation
• Les conséquences probables de la violation
• Les mesures prises ou à prendre afin d’éviter la reproduction d’un tel incident et d’en limiter les conséquences

3. En cas de risque élevé

Si l’évaluation révèle un risque pour les droits et libertés des personnes concernées. Dipeeo, en tant que DPO externe, prend en charge les actions suivantes : 

• Notification de la CNIL : Nous nous occupons de déclarer l’incident à la CNIL dans un délai de 72 heures après la découverte de la violation, conformément aux exigences légales. 
• Information des personnes concernées : Si nécessaire, nous vous fournissons un modèle d’e-mail clair et transparent pour notifier les personnes touchées. 
• Documentation de l’incident : L’incident sera consigné dans un registre dédié, constituant une preuve de diligence et de transparence, essentielle lors d’audits ou inspections par les autorités de protection des données.

5. Le top 20 des mots de passe des Français (spoiler alerte : c’est pas glorieux)

 *Etude NordPass 2024

Le risque : Ces mots de passe, faibles et prévisibles, exposent directement les données personnelles à des risques de violation.

Ce que dit le RGPD : L’article 32 impose de garantir un niveau de sécurité adapté au risque. Or, un mot de passe robuste est la première étape pour protéger les données personnelles.

Comment améliorer la conformité de vos mots de passe ?

✔ Optez pour des mots de passe longs, uniques et complexes (minimum 12 caractères)

✔ Favorisez l’utilisation de gestionnaires de mots de passe

✔ Doublez la sécurité avec l’authentification multifactorielle

✔ Sensibilisez régulièrement sur l’importance de la sécurité dans le cadre du RGPD.

6. Application mobile : La CNIL lance une campagne spécifique de contrôles au printemps 2025

Contexte : Les applications mobiles accèdent à de nombreuses données sensibles (localisation, santé, contacts), augmentant les risques pour la confidentialité et la sécurité.

Objectif de la CNIL : Renforcer la protection des données personnelles dans le domaine des applications mobiles.

Public concerné : Éditeurs d’applications, développeurs, fournisseurs de SDK, régies publicitaires, gestionnaires de plateformes, responsables de traitement.

Sanction en cas de non-conformité : Suspension temporaire du traitement des données, mise en demeure, sanctions pouvant aller de 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.

Les principales recommandations de la CNIL pour les applications mobiles

• Transparence et information : Fournir des informations claires sur les données collectées, les finalités et les droits des utilisateurs.
  → Action : Mettre à jour la politique de confidentialité.
• Consentement éclairé : Obtenir un consentement explicite et facilement révocable avant de collecter des données non essentielles.
  → Action : Mettre en place des pop-ups ou bannières conformes avec des options d’acceptation/refus claires.
• Minimisation des données : Collecter uniquement les données strictement nécessaires au fonctionnement de l’application.
  → Action : Auditer les données collectées pour identifier les besoins réels.
• Sécurité des données : Adopter des mesures techniques et organisationnelles pour prévenir les accès non autorisés et les fuites.
• Responsabilité partagée : Tous les acteurs mobiles doivent collaborer pour garantir la conformité au RGPD.

→ Action : Vérifier la conformité de vos prestataires et désigner un DPO.

[En savoir plus]

7. Les 4 durées de conservation à retenir 

« Définir des durées de conservation précises » : c’est l’un des 6 grands principes du #RGPD.

Une fois cette durée écoulée, les données doivent être détruites, anonymisées ou archivées de manière sécurisée.

1. CV et lettre de motivation : 2 ans à compter du dernier contact avec le candidat non retenu
2. Bulletin de paie : 50 ans ou jusqu’à l’âge de départ en retraite de l’employé et les 6 années suivantes
3. Carte d’identité : Jusqu’à la validation de l’embauche puis suppression immédiate
4. Sanction disciplinaire : 3 ans à compter de la notification de la sanction

8. Connaissez-vous notre FAQ ?

Disponible directement sur la plateforme Dipeeo en cliquant sur votre profil en haut à droite.

Vous y trouverez toutes les réponses à vos questions et les ressources nécessaires pour tirer le meilleur parti de nos services.

9. -15% (cumulable) sur votre abonnement grâce au parrainage 

C’est le moment d’en parler autour de vous !

Recommandez un nouveau client à Dipeeo et bénéficiez d’une réduction sur votre abonnement mensuel ou annuel pendant 1 an :

• 15% pour le Parrain
• 5% pour le Filleul 

Offre cumulable (et illimitée) !

Bon à savoir : Si vos réductions dépassent le montant de votre abonnement initial, nous vous reverserons la différence.