Jurisprudence europeenne (CJUE)
Transferts vers des pays tiers (C-311/18, 2020)
La Cour a juge que le Privacy Shield UE-US etait invalide. Les organisations transferant des donnees hors de l'EEE doivent evaluer le niveau de protection par transfert, meme avec des CCT. Une evaluation d'impact du transfert (EIT) est requise.
Impact pratique : Verifiez tous les sous-traitants hors EEE. Preparez une EIT par transfert. Documentez les mesures supplementaires dans l'accord.
Champ d'application materiel (C-25/17, 2018)
La Cour a juge qu'une communaute religieuse collectant des donnees lors de visites a domicile etait un responsable conjoint du traitement, meme sans instructions formelles.
Droit a l'oubli et moteurs de recherche (C-131/12, 2014)
La Cour a juge que les exploitants de moteurs de recherche sont des responsables du traitement et peuvent etre obliges de supprimer des resultats.
Indemnisation et prejudice immateriel (C-300/21, 2023)
La Cour a juge que l'Art. 82 RGPD accorde un droit a l'indemnisation pour prejudice immateriel sans seuil minimum. Le simple traitement illicite est insuffisant, mais le seuil de preuve du prejudice est bas.
Responsabilite conjointe avec les reseaux sociaux (C-210/16, 2018)
La Cour a juge que l'administrateur d'une page sur un reseau social est responsable conjoint du traitement avec la plateforme.
Traitement par les employeurs et consentement (C-34/21, 2023)
La Cour a confirme que le consentement dans une relation de travail est rarement libre en raison du desequilibre de pouvoir.
Jurisprudence neerlandaise
Amende pour accord manquant (AP, 2022)
L'autorite neerlandaise a sanctionne une organisation qui ne concluait systematiquement pas d'accords avec ses sous-traitants ayant acces a des donnees medicales.
Droit d'acces et portee (Cour supreme, 2023)
La Cour supreme a juge que le droit d'acces (Art. 15) s'etend au-dela des donnees elles-memes : source, durees de conservation et categories de destinataires.
Durees de conservation et proportionnalite (Tribunal d'Amsterdam, 2024)
Le tribunal a juge que la conservation d'images de videosurveillance au-dela de 4 semaines sans raison specifique violait le principe de limitation de la conservation.
Jurisprudence belge
Autorite de protection des donnees : cookies et consentement (APD, 2022)
L'APD a juge qu'une banniere de cookies avec des cases pre-cochees etait invalide. Le consentement doit etre actif, specifique et eclaire.
Droit a l'effacement et archivage (Cour des marches de Bruxelles, 2023)
La Cour a confirme que le droit a l'effacement n'est pas absolu : les obligations legales de conservation prevalent, mais l'organisation doit demontrer quelle obligation specifique s'applique.
Amende pour securite inadequate (APD, 2023)
L'APD a sanctionne une organisation pour n'avoir pas mis en oeuvre de mesures techniques adequates apres une violation. L'Art. 32 est une obligation continue.
Fils conducteurs et lecons pratiques
- Les accords sont obligatoires — la jurisprudence confirme l'application stricte de l'Art. 28
- Les transferts hors EEE necessitent une EIT — les CCT seules sont insuffisantes
- La responsabilite conjointe est plus large que ce que beaucoup d'organisations supposent
- Le prejudice immateriel donne droit a une indemnisation
- Les durees de conservation doivent etre proportionnelles et documentees
- La securite est une obligation continue
- Le consentement en milieu professionnel est rarement une base juridique valide