27/09/2024

La CNIL rappelle régulièrement aux établissements d’enseignement leurs obligations en matière de protection des données à caractère personnel. Fin 2022, la CNIL a mis en demeure deux établissements d’enseignement supérieur pour non-respect du RGPD, suite à des contrôles sur la gestion des données administratives et pédagogiques des étudiants. Les manquements concernaient la durée de conservation des données, l’information insuffisante des étudiants, l’absence de contrats conformes avec les sous-traitants, et des mesures de sécurité, notamment sur les mots de passe. En juillet 2024, la CNIL a prononcé, via sa procédure simplifiée, une amende administrative de 20 000 euros à l’encontre d’un établissement d’enseignement supérieur privé pour non-respect des exigences de minimisation des données, durée de conservation et défaut de sécurité des données.

Décision CNIL, procédure simplifiée du 25 juillet 2024

17/09/2024

Le RGPD est-il soluble dans le droit financier ? Deux sociétés d’investissement allemandes détiennent des participations indirectes, par l’intermédiaire de sociétés fiduciaires, dans des fonds d’investissement organisés sous la forme de sociétés en commandite de droit allemand. Les associés exercent leurs droits dans les sociétés en commandite par l’intermédiaire des sociétés fiduciaires.

Les deux sociétés d’investissement souhaitent obtenir des sociétés fiduciaires l’identité de tous leurs associés qui détiennent des participations indirectes dans les fonds d’investissement concernés, par l’intermédiaire de ces sociétés fiduciaires. Les associés en question font valoir que la jurisprudence allemande accorde aux associés le droit de connaître le nom de leurs autres associés, y compris aux commanditaires « indirects ». Les associés auraient ainsi un intérêt légitime à pouvoir entrer en contact et négocier avec les autres associés le rachat de leurs parts sociales, ou encore pour se coordonner avec ceux-ci en vue de former une volonté commune dans le cadre de décisions d’associés.

Les sociétés fiduciaires s’y opposent au fondement du RGPD.

Saisie par le juge allemand d’une question préjudicielle, la CJUE a rendu le 12 septembre 2024 une réponse de normand.

La CJUE examine les trois fondements qui pourraient justifier un traitement consistant en la divulgation de ces identités en l’absence de consentement des intéressés :

● L’exécution d’un contrat (art. 6.1.b RGPD) : au contraire, la CJUE relève que les contrats de participation et de fiducie en cause prévoient expressément l’interdiction de communiquer les données relatives aux investisseurs indirects à d’autres détenteurs de participations.
● L’intérêt légitime de tiers (les sociétés d’investissement) (art. 6.1.f RGPD) : toujours pas. La CJUE relève que les associés d’un tel fonds d’investissement ne peuvent pas raisonnablement s’attendre à ce que leurs données soient divulguées à d’autres associés indirects de ce fonds d’investissement.
● L’obligation légale (art. 6.1.c RGPD) : à condition que la jurisprudence allemande invoquée soit claire et précise, que son application soit prévisible pour les justiciables et qu’elle réponde à un objectif d’intérêt public et soit proportionnée à celui-ci.

L'arrêt du 12 septembre 2024 - affaires C-17/22 et C-18/22