Par Eur Ing Mark Hawksworth, spécialiste mondial de la technologie, chef du groupe de pratique et expert exécutif de MCL
L'introduction de nouvelles lois sur la protection des données s'accompagne de nouveaux défis.
L'exploitation des données se produit lorsque des parties soumettent des réclamations pour obtenir un gain financier contre des cibles qui ne sont pas au courant de l'utilisation abusive de données et elle est en augmentation au Royaume-Uni. Après les difficultés liées à COVID-19 et le nombre croissant de cyberattaques, les entreprises britanniques sont maintenant confrontées à un risque supplémentaire d'exploitation des données en vertu de l'article 6 du règlement de 2003 relatif à la protection de la vie privée et des communications électroniques (directive CE)(PECR). Dans les réclamations que nous avons reçues jusqu'à présent, les entreprises n'étaient pas conscientes de leur exposition, ce qui rend la sensibilisation et la création d'un plan si cruciales pour que les assurés se protègent.
Problèmes de conformité
Dans certains cas, les entreprises peuvent ignorer qu'elles sont responsables de l'utilisation abusive de données personnelles. Si une personne visite une page web et remarque que des cookies de suivi ont été téléchargés, elle peut faire valoir que la page web n'est pas conforme à la réglementation. La difficulté consiste à déterminer si l'auteur de la réclamation a délibérément cherché à consulter cette page web pour son propre profit financier.
Les réclamations de tiers relatives à des cookies de suivi persistants placés sur des appareils personnels sans le consentement de leur propriétaire sont générées en masse. L'argument avancé est que les cookies de suivi sont intrusifs, ce qui est contraire au GDPR, et qu'en l'absence de consentement au placement du cookie de suivi, le plaignant peut demander une compensation financière.
La correspondance des demandeurs en série cite généralement l'article 2, paragraphe 1, de l'article 6 du règlement de 2003 relatif à la protection de la vie privée et des communications électroniques (directive CE) (PECR), qui mentionne que "le consentement d'un utilisateur ou d'un abonné correspond au consentement de la personne concernée dans le cadre du GDPR". Le considérant 32 du GDPR stipule : "le consentement devrait être donné par un acte affirmatif clair qui constitue une indication libre, spécifique, informée et non ambiguë de l'accord de la personne concernée".
La procédure pour les assurés
Si une infraction est détectée sur la base des lignes directrices ci-dessus, le preneur d'assurance est informé de l'installation de cookies de suivi et est invité à présenter une demande d'indemnisation au titre de la couverture d'assurance appropriée dont il dispose. La demande est transmise aux assureurs, puis à un gestionnaire qui reçoit la preuve de l'installation et de la persistance des cookies de suivi, généralement sous la forme d'une vidéo enregistrée à partir de l'appareil du demandeur.
La demande peut faire référence :
- allégations/preuves
- la page web présumée installant des cookies de suivi
- la preuve de la persistance des cookies de suivi
- la façon dont les cookies de suivi créent un identifiant unique qui permet de suivre le comportement des internautes, en violation du règlement 6(1) du PECR
- le fait de ne pas avoir fourni au demandeur des informations claires et complètes sur les objectifs de ces cookies, en violation du règlement (6)(2)(a) du PECR
- l'absence de consentement à l'utilisation des cookies, en violation du règlement 6(2)(b) du PECR ;
- le manquement à l'obligation de traiter les données à caractère personnel de manière loyale, licite et transparente, en violation de l'article 5 du RGPD
Au cours des discussions relatives à la demande d'indemnisation, la menace est brandie que si le problème n'est pas résolu à la satisfaction du demandeur, les détails seront transmis à l'Information Commissioner Office (ICO). L'ICO peut exercer ses fonctions d'exécution en vertu du règlement 32 du PECR, qu'une responsabilité personnelle pour les violations du PECR existe en vertu du règlement 2(3) des règlements de 2018 sur la vie privée et les communications électroniques (modification). La correspondance se termine généralement par une demande de paiement sous la forme d'une compensation financière pour l'absence de consentement susmentionnée, après réception de laquelle la notification à l'ICO ne sera pas poursuivie.
Pour les assureurs, les courtiers et les assurés, il est essentiel de comprendre l'impact de l'absence d'acceptation des cookies sur les pages web. Que l'entreprise en soit consciente ou non, elle peut toujours être fautive et, en tant que telle, responsable de l'indemnisation financière du demandeur. En sensibilisant les entreprises à la question de l'exploitation des réclamations et en élaborant un plan, on peut protéger des parties innocentes contre des réclamations de tiers telles que celle-ci.