Décidément ça enchaîne en Norvège sur ces dossiers. Ce n’est pas plus mal.

Surtout que là on parle en plus du périmètre des données dites “sensibles” par le RGPD.

Yep vous avez raison, en soit ce n’est pas illégal. Par contre je saisie mal le business modèle: Ce genre d’appli vis sur la collecte revente de données, et là vu la sensibilité c’est invendable en respectant la loi.

Et c’est justement l’objet de la plainte du Conseil norvégien des consommateurs cité dans l’article : avoir partagé ces données à des tiers. Si Gindr ne demandait pas explicitement l’orientation sexuelle de la personne, les données qu’elle partageait indiquait tout de même que celle-ci était inscrite sur le service. Service qui se présente comme étant adressé à des personnes homosexuelles et plus si affinité. Faisant que par inférence, l’orientation sexuelle supposée de la personne était déductible.

Et Gindr a failli à demander explicitement le consentement du partage de cette information. C’est sur ce point qu’ils ont pris une claque :

The Privacy Appeal Board agrees, stating that consent was neither voluntary, specific nor informed. The Board points out, among other things, that the user was not given a free choice to consent to the disclosure of personal data during registration in the app, and that the relevant information about data sharing was only included in the privacy policy.

Ca peut effectivement mettre à mal leur business model, mais cela dit, si Gindr demande le consentement explicite, libre et éclairé de la personne, la revente à un tiers serait potentiellement permise du moment que la personne est bien informée (cela reste mon interprétation). Après je suppose que l’application a des options “premium”, je ne sais pas.

fofo9012 a dit:

La simple existence de cette appli n’est pas déjà en soit illégale vis-à-vis du RGPD ? (càd le fait de fichier les gays)

La collecte des données dites “sensibles” par le RGPD (dans le cas présent : l’orientation sexuelle) est interdite par défaut sauf dans le cas où :

• la personne a explicitement donné son accord (je pense que ce critère s’applique pour ces applis, s’y inscrire est une action positive, libre et éclairée)


• si cela est une information manifestement rendue publique par la personne


• nécessaire à la sauvegarde de la vie humaine


• utilisation justifiée par l’intérêt public et autorisée par la CNIL


• si elles concernent l’adhésion à une association ou organisation politique / religieuse / syndicale / philosophique…

Cette liste de critères n’est pas exhaustive.

De ce fait, ce genre de service ne me paraît pas contraire au RGPD.

Trooppper a dit:

C’est assez décevant que cette offensive (salutaire) provienne d’un pays non membre de l’UE, sur une réglementation emblématique de l’UE.

Il est aussi possible qu’elle dépile un certaine nombre de plaintes et que les entreprises concernées par les récentes décisions aient une politique de confidentialité qui indique qu’une antenne locale de celles-ci est responsable du traitement, activant de ce fait la compétence de l’autorité de protection de l’Etat concerné. Tous les citoyens des Etats-membres de l’UE ou de l’Espace Economique Européen, n’ont pas forcément la même sensibilité à la protection des données personnelles. Typiquement la Suisse a une législation assez forte sur le sujet (la nLPD récemment entrée en vigueur est similaire au RGPD et impose peu ou prou les mêmes obligations), tout comme les allemands sont aussi un peu plus sensibles sur le sujet.

Il ne faut pas oublier aussi que le RGPD a donné des droits aux personnes. Charge à elles de les faire valoir également, les autorités de protection des données ne s’auto-saisissent pas à ma connaissance. La démarche n’est pas unilatérale et le premier pas, c’est de joindre le DPO de l’organisme concerné. C’est un exercice très intéressant car généralement ils répondent bien et sont même de bon conseil de mon expérience. J’ai même eu le contact d’un data broker comme ça pour faire supprimer et m’opposer au traitement de mes données chez ce dernier.

Ca coûte quoi ? Dix minutes pour écrire un mail. Mais je pense que la population n’est pasencore assez informée/sensibilisée sur le sujet.

OniriCorpe a dit:

Un amende bon d’accord, mais peut être-aussi dédommager les victimes ?

Ce n’est pas le rôle des autorités de protection des données mais de la justice du pays en question. Charge aux personnes qui s’estiment lésées de porter plainte.