Volkswagen se défend avec succès contre une forte amende et des avertissements liés au RGPD

Volkswagen a pu réfuter devant le tribunal les accusations de violation du RGPD.
Catégories :
,

La procédure RGPD contre Volkswagen se termine de manière assez curieuse. Le groupe automobile est à la fois contre un Amende d'un montant de 4,3 millions d'euros que contre plusieurs avertissements du Médiateur national pour le Protection des données Basse-Saxe (LfD). Le tribunal de grande instance de Hanovre a Amende car il n'a pas pu constater de violation grave du RGPD. Le parquet a finalement dû retirer le recours juridique contre le jugement en raison d'une signature manquante. En revanche, le jugement du tribunal administratif de Hanovre est juridiquement plus intéressant. Le tribunal a donné raison à VW dans deux cas sur cinq.

Révision du scandale du diesel avec des conséquences sur la protection des données

Dans le cadre de l'enquête sur le scandale du diesel, Volkswagen AG (VW) a conclu plusieurs accords avec des autorités pénales et civiles aux États-Unis afin de mettre fin aux procédures en cours et de prévenir d'autres risques juridiques. La mise en place d'un "monitoring" faisait partie de ces accords : L'ancien procureur général adjoint des États-Unis Larry Thompson a été nommé moniteur de conformité externe. Celui-ci devait vérifier les systèmes de conformité et de contrôle existants du groupe, les développer et surveiller leur mise en œuvre.

Pour mener à bien cette mission, le Monitor a obtenu un accès complet aux documents et données de VW, y compris des informations personnelles sur les anciens employés et les employés actifs. Il s'agissait aussi bien de noms en clair et de numéros personnels que d'évaluations liées au service. Le commissaire à la protection des données du Land de Basse-Saxe (LfD) a estimé que cet accès aux données constituait une atteinte grave à la protection des données. Le LfD a alors entamé une procédure de surveillance contre Volkswagen et a identifié cinq faits concrets qu'il a considérés comme des violations des RGPD de l'article. Pour cela, il a prononcé des avertissements conformément à l'article 58, paragraphe 2, point b). RGPD contre VW.

Avertissement 1 : liste de noms en clair avec "connaissance directe" - inadmissible ?

VW avait transmis au moniteur américain une liste de 22 noms en clair, accompagnée du titre "direct knowledge". Dans le cadre du processus Fast Lane, VW a transmis des données pseudonymisées par e-mail crypté en cours de transport. Le LfD a toutefois exigé un cryptage de bout en bout. Le tribunal a rejeté cette demande. Les données n'avaient pas besoin d'une protection particulière et, sans nom en clair, il n'y avait pas de risque concret de ré-identification, d'autant plus que la clé d'attribution n'avait pas été transmise.

Le tribunal concrétise le niveau de protection technique conformément à l'article 32 RGPD et souligne la proportionnalité dans le cas de données pseudonymisées. Il convient néanmoins de tenir compte du fait que État de la technique et donc de faire évoluer en permanence les mesures techniques et organisationnelles raisonnables. La décision ne doit donc pas être généralisée, mais doit toujours être comprise à la lumière de l'évaluation concrète des risques.

Avertissement 2 : données pseudonymisées dans le "processus de voie rapide" - pas d'obligation de cryptage de bout en bout

Dans le cadre du processus Fast-Lane, VW a transmis des données pseudonymisées par e-mail crypté en cours de transport. Le LfD a toutefois exigé un cryptage de bout en bout. Le tribunal a rejeté cette demande. Les données n'avaient pas besoin d'une protection particulière et, sans nom en clair, il n'y avait pas de risque concret de ré-identification, d'autant plus que la clé d'attribution n'avait pas été transmise.

Le tribunal concrétise le niveau de protection technique conformément à l'article 32 RGPD et souligne la proportionnalité dans le cas de données pseudonymisées. Il convient néanmoins de tenir compte du fait que État de la technique et donc de faire évoluer en permanence les mesures techniques et organisationnelles raisonnables. La décision ne doit donc pas être généralisée, mais doit toujours être comprise à la lumière de l'évaluation concrète des risques.

Avertissement 3 : violation de l'obligation d'information lors de la transmission de données au moniteur

Le tribunal a vu les choses différemment en ce qui concerne l'avertissement pour information insuffisante des travailleurs. VW avait, dans le cadre du monitoring données à caractère personnel des employés, y compris des informations pseudonymisées. Le tribunal a précisé que ces données devaient également être traitées conformément à l'article 4, point 1, de la loi sur la protection des données. RGPD comme données à caractère personnel puisque le moniteur aurait été en mesure, moyennant un effort raisonnable, de demander la clé d'affectation pour identifier les personnes concernées. Contrairement à l'avis de VW, il n'y avait donc pas d'infraction. Anonymisation avant.

En outre, le tribunal a constaté que la transmission des données par Volkswagen au moniteur américain constituait un changement de finalité au sens de l'article 6, paragraphe 4, de la directive. RGPD de l'entreprise. La collecte initiale de données avait été effectuée à des fins d'emploi, la Transmission dans le cadre du monitoring n'avait toutefois pas pour objectif direct l'exécution de la relation de travail. VW n'a pas non plus pu démontrer que le traitement ultérieur était dans l'intérêt légitime de l'employeur sans violer en même temps la Droits des personnes concernées à l'épreuve du temps.

Enfin, le tribunal a critiqué la manière dont les personnes concernées ont été informées. Certes, VW avait publié des indications sur le monitoring dans l'intranet, mais il manquait une information concrète, ciblée et individuelle des collaborateurs concernés. Le tribunal a estimé que la simple publication d'informations générales sans communication active était insuffisante au sens des obligations de transparence prévues aux articles 13 et 14 de la directive. RGPD.

Évaluation : La décision souligne les exigences strictes en matière d'obligations de transparence prévues par l'article 13 de la directive sur la transparence. RGPD. Pour les transmissions à TroisièmeComme le moniteur américain, l'article 14 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales peut également être invoqué. RGPD peut être pertinent, en particulier lorsque les informations n'ont pas été collectées directement auprès des personnes concernées. L'interprétation restrictive du principe de finalité de l'article 5, paragraphe 1, point b), est également évidente. RGPD. Du point de vue de la Autorité de surveillance il convient en outre d'apprécier le fait qu'une ré-identification cumulative par la combinaison de plusieurs jeux de données pseudonymisés représente un risque à ne pas sous-estimer.

Avertissement 4 : manque d'informations lors de l'audit de l'OEB

Le quatrième avertissement concernait le traitement des données dans le cadre d'un audit supplémentaire réalisé sur la base d'un accord administratif entre VW et l'Agence américaine de protection de l'environnement (EPA). L'objectif de cette mesure était de sécuriser à long terme l'accès aux marchés publics aux États-Unis. Pour ce faire, un auditeur a été désigné pour développer le système interne de gestion de la conformité et en vérifier le respect.

Le LfD a cependant contesté le fait que VW ait à nouveau données à caractère personnel en partie sous forme de pseudonyme et en partie sous forme de nom clair à cet auditeur, sans informer suffisamment les employés concernés de la nature, de l'étendue et de la finalité du traitement des données. Dans ce cas également, la Autorité de surveillance sur la position que Pseudonymisation n'entraîne pas de dépersonnalisation si un tiers peut, avec un effort raisonnable, obtenir l'attribution des données à des personnes réelles. Le tribunal a suivi cette argumentation et a également jugé que l'information fournie par VW était insuffisante. Des indications générales ou une information retardée satisfont aux exigences des articles 13 et 14 de la directive. RGPD selon le tribunal.

Avertissement 5 : Absence Registre de traitement au début de l'audit

Le cinquième avertissement concernait le fait que VW n'avait pas mis en place, au début de l'audit de l'EPA, un système de contrôle indépendant. Registre de traitement conformément à l'art. 30 RGPD de la base de données. VW a fait valoir que le registre déjà existant dans le cadre du monitoring était suffisant. Le tribunal a toutefois rejeté cette argumentation : bien qu'il y ait eu des recoupements thématiques, il s'agissait de deux opérations de traitement de données formellement indépendantes, avec des finalités et des destinataires différents.

Le jugement a certes tenu compte du fait que la liste a été complétée ultérieurement pour atténuer la peine, mais le tribunal a néanmoins estimé que l'avertissement était légal. Le site Autorité de surveillance était donc en droit d'attirer l'attention, par un avertissement, sur le devoir de Documentation et leur importance pour la vérifiabilité des opérations relevant de la législation sur la protection des données.

Conclusion : le tribunal indique clairement qu'une liste séparée selon l'art. 30 RGPD est nécessaire, même en cas de proximité formelle avec d'autres opérations de traitement de données, si la finalité ou la structure de la Traitement se distinguent. Du point de vue des autorités de contrôle, l'absence d'un tel registre constitue en outre un indice de déficits structurels dans la gestion de la protection des données.

Conseil de lecture : Le BfDI inflige à Vodafone des amendes d'un montant de 45 millions d'euros

Des critères différenciés pour les processus de conformité internationaux

L'arrêt illustre le difficile équilibre entre les exigences en matière de protection des données et les obligations internationales de conformité. D'une part, le tribunal donne raison à l'autorité en ce qui concerne les obligations de transparence et de documentation, mais d'autre part, il montre les limites du pouvoir d'intervention en cas de mesures techniquement et juridiquement justifiables de la part des entreprises.

Pour les entreprises, ce jugement signifie

  • Renforcer la mise en balance des intérêts et les mesures techniques de protection, à condition qu'elles soient bien documentées et proportionnées.
  • Clarification de la Obligations d'information même dans le cas de données pseudonymisées, notamment en cas de traitement ultérieur à de nouvelles fins.
  • Obligation d'agir de manière autonome Documentation dans des contextes de traitement délimitables.


VW peut demander l'autorisation de faire appel auprès du tribunal administratif supérieur de Basse-Saxe.

Le tribunal de grande instance encaisse une forte amende RGPD contre Volkswagen

Dans une procédure parallèle devant le tribunal régional de Hanovre, VW a engagé une action contre un Amende de l'ONDRP d'un montant de 4,3 millions d'euros. Le site Amende a notamment été soulevée parce que Volkswagen aurait manqué à ses obligations de transparence vis-à-vis de ses employés.

"Le tribunal régional de Hanovre a précisé que, contrairement à l'argumentation du LfD, la divulgation d'informations dans le cadre du monitoring ne présentait pas de risques importants pour les employés concernés", rapporte Tim Wybitul, le représentant de VW au procès, dans une entrée de blog sur LinkedIn.

Curieux : le parquet a certes fait appel de la décision du tribunal régional auprès de la Cour d'appel de Celle. Toutefois, la signature manuscrite du procureur compétent manquait à la motivation, de sorte que le recours a été rejeté. Plainte a dû être retiré. Le jugement du tribunal de Hanovre est donc définitif, VW n'est pas tenu de payer une amende. Amende payer.

Source : VW a partiellement ignoré la protection des données lors de l'enquête sur le scandale des moteurs diesel truqués - Communiqué de presse du tribunal administratif de Basse-Saxe

Prendre contact
Les tags :
Partager ce post :

Catégories populaires

Bulletin d'information

Abonnez-vous à notre lettre d'information sur la protection des données pour recevoir les dernières mises à jour, conseils et connaissances directement dans votre boîte de réception.
S'abonner

Derniers messages