Le site RGPD- Le procès contre Volkswagen se termine de manière assez curieuse. Le groupe automobile est à la fois contre un Amende d'un montant de 4,3 millions d'euros que contre plusieurs avertissements du Médiateur national pour le Protection des données Basse-Saxe (LfD). Le tribunal de grande instance de Hanovre a Amende à nouveau encaissé, car il n'y a pas eu de grave RGPD-Violation a pu constater. Le parquet a finalement dû retirer son pourvoi contre le jugement en raison d'une signature manquante. Le jugement rendu par le tribunal administratif de Hanovre présente en revanche un intérêt juridique plus grand. Le tribunal a donné raison à VW dans deux cas sur cinq.
Révision du scandale du diesel avec des conséquences sur la protection des données
Dans le cadre du règlement du scandale du diesel, Volkswagen AG (VW) a conclu aux États-Unis plusieurs accords à l'amiable avec les autorités pénales et civiles afin de mettre un terme aux procédures en cours et de prévenir d'autres risques juridiques. La mise en place d’un « moniteur » faisait partie intégrante de ces accords : à cette fin, l’ancien procureur général adjoint des États-Unis, Larry Thompson, a été nommé en tant que Conformité-Monitor a été mis en place. Celui-ci devait remplacer les Conformité- examiner et perfectionner les systèmes de contrôle du groupe, et superviser leur mise en œuvre.
Pour mener à bien cette mission, le Monitor a obtenu un accès complet aux documents et données de VW, y compris des informations personnelles sur les anciens employés et les employés actifs. Il s'agissait aussi bien de noms en clair et de numéros personnels que d'évaluations liées au service. Le commissaire à la protection des données du Land de Basse-Saxe (LfD) a estimé que cet accès aux données constituait une atteinte grave à la protection des données. Le LfD a alors entamé une procédure de surveillance contre Volkswagen et a identifié cinq faits concrets qu'il a considérés comme des violations des RGPD de l'article. Pour cela, il a prononcé des avertissements conformément à l'article 58, paragraphe 2, point b). RGPD contre VW.
Avertissement n° 1 : liste de noms réels fondée sur des „ informations de première main “ – illicite ?
VW avait transmis au „ US-Monitor “ une liste comportant 22 noms réels, accompagnée de la mention « direct knowledge ». Dans le cadre de la procédure « Fast Lane », VW a transmis des données pseudonymisées par e-mail crypté pendant le transport. Le LfD a toutefois exigé un cryptage de bout en boutCryptage. Le tribunal a rejeté cet argument. Il a estimé que les données n'étaient pas particulièrement sensibles et qu'en l'absence de noms réels, il n'y avait pas de risque concret de réidentification, d'autant plus que la clé d'identification n'avait pas été transmise.
Le tribunal concrétise le niveau de protection technique conformément à l'article 32 RGPD et souligne la proportionnalité dans le cas de données pseudonymisées. Il convient néanmoins de tenir compte du fait que État de la technique et, par conséquent, de perfectionner en permanence les mesures techniques et organisationnelles raisonnablement exigibles. Cette décision ne doit donc pas être généralisée, mais doit toujours être comprise à la lumière de l'évaluation concrète des risques.
Avertissement n° 2 : données pseudonymisées dans le „ processus Fast Lane “ – pas d'obligation de chiffrement de bout en bout
Dans le cadre de la procédure « Fast Lane », VW a transmis des données pseudonymisées par e-mail crypté pendant le transfert. Le LfD a toutefois exigé un cryptage de bout en boutCryptage. Le tribunal a rejeté cet argument. Il a estimé que les données n'étaient pas particulièrement sensibles et qu'en l'absence de noms réels, il n'y avait pas de risque concret de réidentification, d'autant plus que la clé d'identification n'avait pas été transmise.
Le tribunal concrétise le niveau de protection technique conformément à l'article 32 RGPD et souligne la proportionnalité dans le cas de données pseudonymisées. Il convient néanmoins de tenir compte du fait que État de la technique et, par conséquent, de perfectionner en permanence les mesures techniques et organisationnelles raisonnablement exigibles. Cette décision ne doit donc pas être généralisée, mais doit toujours être comprise à la lumière de l'évaluation concrète des risques.
Avertissement n° 3 : manquement à l'obligation d'information lors de la transmission de données au Moniteur
Le tribunal a toutefois estimé qu'il en allait autrement en ce qui concerne l'avertissement pour information insuffisante des salariés. Dans le cadre du « Monitorship », VW avait données à caractère personnel des employés, y compris des informations pseudonymisées. Le tribunal a précisé que ces données devaient également être traitées conformément à l'article 4, point 1, de la loi sur la protection des données. RGPD comme données à caractère personnel s'appliquent, car le contrôleur aurait pu, sans effort disproportionné, demander la clé d'attribution permettant d'identifier les personnes concernées. Contrairement à ce qu'affirme VW, il n'y a donc pas eu Anonymisation avant.
En outre, le tribunal a constaté que la transmission des données par Volkswagen au moniteur américain constituait un changement de finalité au sens de l'article 6, paragraphe 4, de la directive. RGPD de l'entreprise. La collecte initiale de données avait été effectuée à des fins d'emploi, la Transmission dans le cadre du « Monitorship », ne servait toutefois pas à la mise en œuvre directe de la relation de travail. De même, VW n'a pas pu démontrer que le traitement ultérieur relevait de l'intérêt légitime de l'employeur sans porter atteinte simultanément à la Droits des personnes concernées à l'épreuve du temps.
Enfin, le tribunal a critiqué la manière dont les personnes concernées ont été informées. Certes, VW avait publié des indications sur le monitoring dans l'intranet, mais il manquait une information concrète, ciblée et individuelle des collaborateurs concernés. Le tribunal a estimé que la simple publication d'informations générales sans communication active était insuffisante au sens des obligations de transparence prévues aux articles 13 et 14 de la directive. RGPD.
Évaluation : La décision souligne les exigences strictes en matière d'obligations de transparence prévues par l'article 13 de la directive sur la transparence. RGPD. Pour les transmissions à TroisièmeComme le moniteur américain, l'article 14 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales peut également être invoqué. RGPD peut être pertinent, en particulier lorsque les informations n'ont pas été collectées directement auprès des personnes concernées. L'interprétation restrictive du principe de finalité de l'article 5, paragraphe 1, point b), est également évidente. RGPD. Du point de vue de la autorité de contrôle Il convient par ailleurs de souligner que la ré-identification cumulative résultant de la combinaison de plusieurs ensembles de données pseudonymisées représente un risque qu'il ne faut pas sous-estimer.
Avertissement 4 : manque d'informations lors de l'audit de l'OEB
Le quatrième avertissement concernait le traitement des données dans le cadre d'un audit supplémentaire mené sur la base d'un accord administratif entre VW et l'Agence américaine de protection de l'environnement (EPA). Cette mesure visait à garantir à long terme l'accès aux marchés publics aux États-Unis. À cette fin, un auditeur a été désigné pour examiner le système interne Conformité- perfectionner le système de gestion et vérifier sa conformité.
Le LfD a cependant contesté le fait que VW ait à nouveau données à caractère personnel transmises à cet auditeur, en partie sous pseudonyme et en partie sous leur nom réel, sans informer suffisamment les salariés concernés de la nature, de la portée et de la finalité du traitement des données. Dans ce cas également, la autorité de contrôle sur la position que Pseudonymisation n'entraîne pas de dépersonnalisation si un tiers peut, avec un effort raisonnable, obtenir l'attribution des données à des personnes réelles. Le tribunal a suivi cette argumentation et a également jugé que l'information fournie par VW était insuffisante. Des indications générales ou une information retardée satisfont aux exigences des articles 13 et 14 de la directive. RGPD selon le tribunal.
Avertissement 5 : absence de registre de traitement au début de l'audit
Le cinquième avertissement concernait le fait que VW n'ait pas présenté, au début de l'audit de l'EPA, un rapport indépendant Registre de traitement conformément à l'art. 30 RGPD de la base de données. VW a fait valoir que le registre déjà existant dans le cadre du monitoring était suffisant. Le tribunal a toutefois rejeté cette argumentation : bien qu'il y ait eu des recoupements thématiques, il s'agissait de deux opérations de traitement de données formellement indépendantes, avec des finalités et des destinataires différents.
Le fait que la liste ait été fournie a posteriori a certes été pris en compte comme circonstance atténuante dans le jugement, mais le tribunal a néanmoins jugé que l'avertissement était légal. La autorité de contrôle était donc en droit d'attirer l'attention, par un avertissement, sur le devoir de Documentation et de souligner leur importance pour la vérifiabilité des opérations relevant de la protection des données.
Conclusion : le tribunal indique clairement qu'une liste séparée selon l'art. 30 RGPD est nécessaire, même en cas de proximité formelle avec d'autres opérations de traitement de données, si la finalité ou la structure de la Traitement de l'entreprise. Du point de vue des autorités de contrôle, l'absence d'un tel registre constitue en outre un indice de déficits structurels dans la gestion de la protection des données.
Conseil de lecture : Le BfDI inflige à Vodafone des amendes d'un montant total de 45 millions d'euros
Des critères différenciés pour les processus de conformité internationaux
Cet arrêt illustre la difficulté de trouver un juste équilibre entre les exigences en matière de protection des données et les normes internationales Conformité-obligations. D'une part, le tribunal donne raison à l'administration en ce qui concerne Transparence- et les obligations en matière de documentation prévues par la loi, d'une part, et, d'autre part, il met en évidence les limites du pouvoir d'intervention en ce qui concerne les mesures techniquement et juridiquement justifiables prises par les entreprises.
Pour les entreprises, cet arrêt a les conséquences suivantes :
- Renforcement en matière de mise en balance des intérêts et de mesures techniques de protection, pour autant que celles-ci soient bien documentées et proportionnées.
- Clarification de la Obligations d'information même dans le cas de données pseudonymisées, notamment en cas de traitement ultérieur à de nouvelles fins.
- Obligation d'autonomie Documentation dans des contextes de traitement délimitables.
VW peut demander l'autorisation d'interjeter appel devant la Cour administrative supérieure de Basse-Saxe.
Le tribunal régional annule une lourde amende infligée à Volkswagen au titre du RGPD
Dans une procédure parallèle devant le tribunal régional de Hanovre, VW a engagé une action contre un Amende de l'ONDRP d'un montant de 4,3 millions d'euros. Le site Amende a notamment été soulevée parce que Volkswagen aurait manqué à ses obligations de transparence vis-à-vis de ses employés.
„ Le tribunal régional de Hanovre a précisé que, contrairement à ce que soutenait le LfD, la divulgation d’informations dans le cadre de la mission de surveillance ne présentait pas de risques significatifs pour les salariés concernés “, rapporte Tim Wybitul, l’avocat de Volkswagen, dans un article publié sur son blog LinkedIn.
Curieux : le parquet a certes fait appel de la décision du tribunal régional auprès de la Cour d'appel de Celle. Toutefois, la signature manuscrite du procureur compétent manquait à la motivation, de sorte que le recours a été rejeté. Plainte a dû être retiré. Le jugement du tribunal de Hanovre est donc définitif, VW n'est pas tenu de payer une amende. Amende payer.
German 
English 
Italian 
French