ntic - Le blog de Thierry Vallat, avocat au Barreau de Paris (et sur Twitter: @MeThierryVallat)

25 janvier 2019 5 25 /01 /janvier /2019 08:02

Blocage de site internet raciste: la chronique de Me Thierry Vallat dans France Soir du 24 janvier 2019

Censé être interdit suite à une décision juridique du 27 novembre 2018, le site raciste et haineux "Démocratie participative" a immédiatement refait surface, témoignant de la difficulté pour la justice et les pouvoirs publics d'interdire certains contenus.

Me Thierry Vallat est revenu pour France Soir sur les difficultés de blocage des sites internet et sur les questions que pose cet échec.

Retrouvez la chronique publiée dans France Soir du 24 janvier 2019: "Démocratie participative": comment le site raciste échappe à la justice

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique L'actu décryptée par Me Vallat NTIC
commenter cet article …

27 décembre 2017 3 27 /12 /décembre /2017 06:09

Géolocalisation des salariés: l'arrêt du Conseil d'Etat du 15 décembre 2017

La géolocalisation est à la mode et se généralise. Mais elle doit trouver un juste équilibre entre le respect de la vie privée du salarié au sein de l'entreprise et le pouvoir de surveillance et de contrôle de l'employeur.

Dans un arrêt du Conseil d’État rendu le 15 décembre 2017 (10ème – 9ème chambres réunies) 403776 l'utilisation par un employeur d'un système de géolocalisation pour assurer le contrôle de la durée du travail de ses salariés n'est considérée comme licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace que la géolocalisation.

En dehors de cette hypothèse, Il résulte des articles 6 de la loi n° 78-17 du 6 janvier 1978 et L. 1121-1 du code du travail que la collecte et le traitement de telles données à des fins de contrôle du temps de travail doivent être regardés comme excessifs au sens du 3° de l'article 6 de la loi du 6 janvier 1978.

Dans cette affaire, la société Odeolis, qui est spécialisée dans la maintenance de systèmes informatiques, notamment de terminaux de paiement, et dont l'activité s'étend sur tout le territoire national, avait équipé les véhicules utilisés par ses techniciens itinérants de dispositifs de géolocalisation en temps réel afin, notamment, de mieux planifier ses interventions. Ces dispositifs permettaient de collecter diverses données relatives, notamment, aux incidents et évènements de conduite ou au temps de travail des salariés.

Le 13 janvier 2016, une délégation de la CNIL a procédé à un contrôle sur place dans les locaux de la société à Aix-en-Provence, à la suite duquel la présidente de la CNIL a, par une décision du 27 juillet 2016, mis en demeure la société d'adopter un certain nombre de mesures afin de faire cesser les manquements constatés à diverses dispositions de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. La société demandait l'annulation pour excès de pouvoir de cette décision en tant qu'elle la met en demeure de cesser de traiter les données issues de l'outil de géolocalisation afin de contrôler le temps de travail des salariés.

Pour le Conseil d'Etat, s'agissant du traitement des données collectées à des fins de contrôle du temps de travail, si la société fournit des exemples d'employés licenciés grâce à ces informations qui attestent des facilités offertes par la géolocalisation, il ressort des pièces du dossier qu'elle dispose d'autres moyens, notamment des documents déclaratifs mentionnés dans la décision attaquée, pour contrôler le temps de travail des employés. Il s'ensuit que la présidente de la CNIL n'a pas fait une inexacte application des dispositions de l'article 6 de la loi du 6 janvier 1978 précité en caractérisant comme excessif, au sens de ces dispositions, le traitement par la société Odeolis des données collectées par géolocalisation à des fins de contrôle du temps de travail de ses employés.

Si l'on en croit le rapport d'activité de la Commission nationale de l’informatique et des libertés (CNIL) pour l'année 2015, c'est plus de 6.800 dispositifs de géolocalisations qui ont été déclarées, principalement dans le secteur des transports.

Près de 4.000 plaintes ont été enregistrées par la CNIL visant ds dispositifs de vidéosurveillance ou de géolocalisation des salariés (voitures ou téléphones)

Du fait qu’ils permettent de recueillir des données à caractère personnel, les dispositifs de géolocalisation doivent être conformes à la loi « Informatique et libertés » et, à ce titre, faire l’objet d’une déclaration préalable auprès de la CNIL.

La CNIL a adopté le 4 juin 2015 une nouvelle norme pour la déclaration simplifiée des dispositifs de géolocalisation des véhicules des salariés. Elle proscrit leur utilisation hors temps de travail, y compris durant les pauses et les trajets domicile-lieu de travail. Les salariés doivent aussi pouvoir, quelle que soit la finalité du dispositif, désactiver la fonction de géolocalisation,

En clair, si le salarié n'est pas payé pendant les temps de pause, il ne doit pas être géolocalisé ! De même, les employés dotés d'une véritable autonomie ne peuvent être soumis à géolocalisation.

Cette Norme simplifiée n°51 est pleinement applicable depuis le 4 juin 2016.

Rappelons également que le Code du travail prohibe la restriction aux droits des personnes et des libertés qui ne seraient pas justifiées par la nature de la tâche (article L 1121-1) et s'il n'y a aucune proportionnalité avec les tâches à accomplir.

Dès lors que ces dispositifs permettent d’exercer un contrôle de leur activité, le code du travail impose par ailleurs la consultation préalable du comité d’entreprise (C. trav. art. L 2323-32) et l’information des salariés concernés (C. trav. art. 1222-4).

Les systèmes permettant une géolocalisation du salarié se heurtent donc bien souvent à la prohibition rappelée par la Chambre sociale de la Cour de Cassation dans son arrêt "Design Fenêtres" du 17 décembre 2014: la géolocalisation n'est autorisée notamment que si le contrôle du salarié ne peut être effectué par un autre moyen par l'employeur

Aux termes de cette décision(http://www.legifrance.gouv.fr/affichJuriJudi.do?oldAction=rechJuriJudi&idTexte=JURITEXT000029941910&fastReqId=1810829239&fastPos=1): "l'utilisation d'un système de géolocalisation pour assurer le contrôle de la durée du travail, laquelle n'est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, n'est pas justifiée lorsque le salarié dispose d'une liberté dans l'organisation de son travail "

A lire également notre article Géolocalisation des salariés

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit du travail et de la sécurité sociale Droit numérique NTIC
commenter cet article …

22 décembre 2017 5 22 /12 /décembre /2017 06:06

Un candidat a un droit d'accès aux réponses écrites fournies lors d’un examen professionnel et les éventuelles annotations de l’examinateur qui constituent des données à caractère personnel

Dans un arrêt de la Cour de justice de l'Union européenne "Nowak" rendu le 20 décembre 2017 dans l'affaire C-434/16 , la CJUE précise que les réponses écrites fournies lors d’un examen professionnel et les éventuelles annotations de l’examinateur relatives à ces réponses constituent des données à caractère personnel du candidat auxquelles il a, en principe, un droit d’accès

Le fait de donner au candidat un tel droit sert en effet l’objectif de la législation de l’Union consistant à garantir la protection du droit à la vie privée des personnes physiques à l’égard du traitement des données les concernant

La Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 définit les données à caractère personnel comme toute information concernant une personne physique identifiée ou identifiable.

M. Peter Nowak a, en tant qu’expert-comptable stagiaire, réussi les examens de comptabilité de premier niveau ainsi que trois des examens de deuxième niveau organisés par l’Institute of Chartered Accountants of Ireland (ordre irlandais des experts-comptables). Il a cependant échoué à l’examen de « comptabilité de la finance stratégique et de la gestion ». À la suite de son échec à cet examen, en automne 2009, M. Nowak a, tout d’abord, introduit une réclamation visant à contester le résultat de celui-ci. À la suite du rejet de cette réclamation, il a présenté une demande d’accès visant l’ensemble des données à caractère personnel le concernant, détenues par l’ordre des experts-comptables. En 2010, l’ordre des experts-comptables a communiqué à M. Nowak 17 documents, mais a refusé de lui transmettre sa copie d’examen, au motif que celle-ci ne contenait pas de données à caractère personnel.

Devant la Supreme Court (Cour suprême, Irlande), M. Nowak conteste la décision du commissaire à la protection des données selon lequel, de manière générale, les copies d’examen ne constituent pas des données à caractère personnel. Cette juridiction demande à la Cour de justice si les réponses écrites fournies par un candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur s’y rapportant constituent de telles données.

Dans son arrêt du 20 décembre 2017, en premier lieu, la Cour souligne qu’un candidat à un examen professionnel est une personne physique qui peut être identifiée soit directement à partir de son nom, soit indirectement à partir d’un numéro d’identification, le nom ou le numéro étant apposés sur la copie d’examen ou le feuillet de couverture de la copie. Il est sans incidence, dans ce contexte, que l’examinateur puisse ou non identifier le candidat au moment de la correction et de la notation de la copie d’examen.

En second lieu, la Cour vérifie si les réponses écrites fournies par le candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur s’y rapportant constituent des informations concernant ce candidat. Elle précise à cet égard que l’emploi de l’expression « toute information » dans le cadre de la définition de la notion de « donnée à caractère personnel » figurant dans la directive reflète l’objectif du législateur de l’Union d’attribuer un sens large à cette notion, laquelle n’est pas restreinte aux informations sensibles ou d’ordre privé, mais englobe potentiellement toute sorte d’informations, tant objectives que subjectives, sous forme d’avis ou d’appréciations, à condition que celles-ci « concernent » la personne en cause. Cette dernière condition est satisfaite lorsque, en raison de son contenu, sa finalité ou son effet, l’information est liée à une personne déterminée. Or, les réponses écrites fournies par un candidat à un examen professionnel constituent de telles informations liées à sa personne.

En effet, le contenu de ces réponses reflète le niveau de connaissance et de compétence du candidat dans un domaine donné ainsi que, le cas échéant, ses processus de réflexion, son jugement et son esprit critique. En outre, la collecte des réponses a pour finalité d’évaluer les capacités professionnelles du candidat et son aptitude à exercer le métier en cause. Enfin, l’utilisation de ces informations, qui se traduit notamment par le succès ou l’échec du candidat à l’examen concerné, est susceptible d’avoir un effet sur les droits et intérêts de celui-ci, en ce qu’elle peut déterminer ou influencer, par exemple, ses chances d’accéder à la profession ou à l’emploi souhaités.

S’agissant des annotations de l’examinateur relatives aux réponses du candidat, la Cour constate qu’elles constituent, tout comme les réponses fournies par le candidat lors de l’examen, des informations le concernant. Ainsi, le contenu de ces annotations reflète l’avis ou l’appréciation de l’examinateur sur les performances individuelles du candidat lors de l’examen, notamment sur ses connaissances et ses compétences dans le domaine concerné.

La Cour relève que la qualification de données à caractère personnel des réponses écrites fournies par le candidat lors d’un examen professionnel et des éventuelles annotations de l’examinateur relatives à ces réponses ne saurait être influencée par le fait que cette qualification ouvre, en principe, à ce candidat des droits d’accès et de rectification.

En effet, juger autrement aurait pour conséquence de soustraire entièrement ces réponses et ces annotations au respect des principes et des garanties en matière de protection des données à caractère personnel. Or, un candidat à un examen a notamment un intérêt légitime, tiré de la protection de sa vie privée, à pouvoir s’opposer à ce que les réponses fournies lors de cet examen et les annotations de l’examinateur relatives à ces réponses soient traitées en dehors de la procédure d’examen et, en particulier, à ce qu’elles soient transmises à des tiers, voire publiées, sans son autorisation. De même, l’entité organisant l’examen est, en tant que responsable du traitement des données, tenue d’assurer que ces réponses et ces annotations sont stockées de manière à éviter que des tiers y aient accès de manière illicite.

La Cour constate en outre que les droits d’accès et de rectification, prévus par la directive, peuvent également se justifier par rapport aux réponses écrites fournies par le candidat lors d’un examen professionnel et aux éventuelles annotations de l’examinateur s’y rapportant. Certes, le droit de rectification ne saurait, à l’évidence, permettre à un candidat de « rectifier » a posteriori de « fausses » réponses, ces dernières ne constituant nullement une inexactitude au sens de la directive, qui ouvrirait un droit de rectification. En revanche, il est possible qu’il y ait des situations dans lesquelles ces réponses et ces annotations se révèlent inexactes, par exemple, du fait que, par erreur, les copies d’examen ont été échangées de sorte que les réponses d’un autre candidat ont été attribuées au candidat concerné. Par ailleurs, il ne saurait être exclu qu’un candidat a le droit de demander au responsable du traitement des données que ses réponses à l’examen et les annotations de l’examinateur s’y rapportant soient, après une certaine période de temps, effacées, c’est-à-dire détruites.

Par conséquent, dans la mesure où les réponses écrites fournies par un candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur s’y rapportant sont susceptibles d’être soumises à une vérification, notamment, de leur exactitude et de la nécessité de leur conservation et peuvent faire l’objet d’une rectification ou d’un effacement, la Cour considère que le fait de donner au candidat un droit d’accès à ces réponses et à ces annotations sert l’objectif de la directive consistant à garantir la protection du droit à la vie privée de ce candidat à l’égard du traitement des données le concernant, et ce indépendamment du point de savoir si ce candidat dispose également ou non d’un tel droit d’accès en vertu de la réglementation nationale. La Cour rappelle à cet égard que la protection du droit fondamental au respect de la vie privée implique notamment que toute personne physique puisse s’assurer que les données à caractère personnel la concernant sont exactes et traitées de manière licite.

Enfin, la Cour précise que ces droits d’accès et de rectification ne s’étendent pas aux questions d’examen, lesquelles ne constituent pas en tant que telles des données à caractère personnel du candidat. Par ailleurs, la Cour rappelle que le droit de l’Union prévoit certaines limitations de ces droits. Ainsi, les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder les droits et libertés d’autrui.

(Source: CJUE Arrêt de la Cour de justice dans l'affaire C-434/16

Partager cet article

Repost0

Published by thierry vallat - dans NTIC
commenter cet article …

20 décembre 2017 3 20 /12 /décembre /2017 12:26

Le principe de neutralité du net: état des lieux fin décembre 2017

Le principe de neutralité du net a refait surface ces derniers jours

La Commission fédérale américaine des communications vient en effet de décider, avec le vote du 14 décembre 2017, l'abandon de la neutralité du net qui avait éé prise en 2015 sous l'administration Obama, et certains contenus pourraient ainsi devenir plus difficilement accessibles, s'afficher plus lentement ou même plus du tout.

Cette décision de l'autorité américaine de régulation des télécoms (FCC) remet en cause l'un des principes fondateurs d'internet selon lequel tous les contenus mis en ligne doivent être traités sans discrimination. Un fournisseur d'accès ne peut notamment pas favoriser le flux de données d'un certain site et ralentir celui d'un autre. Ce principe est censé assurer la liberté d'expression, en donnant aux acteurs du net plus modestes la possibilité d'exister et de croître.

Il ne s'agit pas vraiment d'une surprise puisque le nouveau président de cette autorité, le républicain Ajit Pai, ne s'est jamais caché d'être beaucoup plus favorable aux intérêts des opérateurs télécoms que son prédécesseur démocrate, Tom Wheeler, estimant que la régulation du marché représente une forme d'ingérence de la part de l'État.

En Europe, les régulateurs des télécoms (ORECE) ont sanctuarisé la neutralité du Net dans le règlement sur l'Internet ouvert par le règlement (UE) 2015/2120 du Parlement européen et du Conseil du 25 novembre 2015, applicable depuis mai 2016.

En France, la loi numérique du 7 octobre 2016 l'a transposé en venant inscrire notamment dans la loi le principe de neutralité du net, qui empêche les opérateurs de réduire le débit accordé à certains contenus par rapport à d'autres.

Concernant plus particulièrement cette neutralité du net, rappelons que les opérateurs jouent un rôle central dans l’accès à l’information et le développement du numérique. Ils contrôlent notamment l’accès à internet de chaque abonné et mettent en place les technologies nécessaires pour garantir la disponibilité, la qualité et la rapidité des flux. L’usage de ces technologies ne doit pas notamment conduire à favoriser certains services, ou à restreindre l'accès des abonnés, en bridant ou en bloquant l'accès à certains contenus, services ou applications en ligne (protocoles, sites web, etc.), en dehors de leurs obligations légales (voir pour plus de détails notre article du 11 juin 2015 Neutralité et loyauté des plateformes numérique: notre ...)

Dorénavant, les pratiques des fournisseurs d’accès seront précisément encadrées : il sera notamment interdit de détériorer la qualité de diffusion d’un site au profit d’un autre, et plus largement de limiter de manière injustifiée l’accès des consommateurs à l’internet ouvert.

L’ARCEP (Autorité de Régulation des Communications Electroniques et des Postes) sera l’autorité compétente pour veiller au respect du principe de neutralité de l’interet.

Un opérateur ne pourrait ainsi pas décider de réduire la bande passante accordée à certains sites de partages de vidéos et augmenter cette bande passante auprès d’autres sites moyennant paiement

Selon l'article L33-1 du code des postes et télécommuniactions modifié par La loi Lemaire n°2016-1321 du 7 octobre 2016 - art. 105:

"L'établissement et l'exploitation des réseaux ouverts au public et la fourniture au public de services de communications électroniques sont soumis au respect de règles portant sur :

a) Les conditions de permanence, de qualité, de disponibilité, de sécurité et d'intégrité du réseau et du service qui incluent des obligations de notification à l'autorité compétente des atteintes à la sécurité ou à l'intégrité des réseaux et services ;

b) Les conditions de confidentialité et de neutralité au regard des messages transmis et des informations liées aux communications

...

q) La neutralité de l'internet, qui consiste à garantir l'accès à l'internet ouvert régi par le règlement (UE) 2015/2120 du Parlement européen et du Conseil du 25 novembre 2015 établissant des mesures relatives à l'accès à un internet ouvert et modifiant la directive 2002/22/CE concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques et le règlement (UE) n° 531/2012 concernant l'itinérance sur les réseaux publics de communications mobiles à l'intérieur de l'Union..."

Un décret à venir doit fixer les modalités d'application de cet article...dans les cinq ans

A l’Assemblée Nationale, un groupe de travail vient de rendre son rapport, signé de la députée Paula Forteza sur la "démocratie numérique" : parmi les mesures proposées figure notamment un projet de révision constitutionnelle, inscrivant dans le marbre le droit aux citoyens d’un accès à Internet libre et ouvert

Il s'agit d'aller dans le sens de la résolution du Conseil des Droits de l’Homme de l’ONU du 5 juillet 2012 établissant que "chaque individu a le doit de se connecter et de s’exprimer librement sur Internet. (…) Les droits dont disposent les citoyens hors ligne doivent être protégés en ligne quel que soit le pays ou le média utilisé".

Tout en rappelant que le Conseil Constitutionnel avait précisé, dans une décision du 10 juin 2009, que " la liberté d’opinion proclamée à l’article 11 de la Déclaration des droits de l’Homme et du Citoyen, qui est un principe constitutionnel, implique la liberté d’accéder aux services de communication en ligne, autrement dit Internet".

Mais l'inscription de la neutralité du net dans l'artile 1 de notre Constitution et en faire un principe constitutionnel n'est certainement pas encore pour demain !

Et au coeur de l'Europe, certains opérateurs portuguais comme Meo n'hésitent pas à porter atteinte à ce principe grâce à la pratique du zero rating et à facturer cinq euros certains paquets, moyennant un accès illimité ,

(Crédits dessin: Cabinet Thierry Vallat)

Retrouvez également sur le sujet mon débat avec Rachel Marsden sur la Neutralité du Net diffusé sur Sputnik

Trump et la neutralité du net

Le Désordre Mondial avec Rachel Marsden Encore une décision controversée de la part des Etats-Unis. Le régulateur américain des communications, la FCC, a mis fin au principe de "neutralité du...

https://www.youtube.com/watch?v=ONHfthp-tps&feature=youtu.be

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

14 décembre 2017 4 14 /12 /décembre /2017 07:58

Protection des données personnelles: une autorisation parentale pour le traitement des données sur Facebook

La garde des Sceaux a présenté ce 13 décembre 2017 en conseil des ministres le projet de loi relatif à la protection des données personnelles dont la mission est d'adapter la loi française Informatique et Libertés du 6 janvier 1978 au droit européen.

"Le développement de l'air numérique oblige à repenser le cadre applicable aux données personnelles" a énoncé Nicole Belloubet lors du compte rendu du conseil des ministres du 13 décembre 2017. "L'inscription sur Facebook supposera une autorisation parentale pour les mineurs de moins de 16 ans", a ajouté la ministre de la justice.

En mai 2018, la réglementation et la directive européenne sur la protection des données (RGPD) entreront en vigueur afin d'harmoniser ces mesures entre tous les pays de l'Union européenne.

Ce projet de loi, dit CNIL2, adapte donc au droit de l’Union européenne la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Il transpose le nouveau cadre juridique européen (le règlement 2016/679 et la directive 2016/680) qui entrera en vigueur en mai 2018.

Le règlement crée un cadre unifié et protecteur pour les données personnelles des Européens, applicable à l’ensemble des entreprises et de leurs sous-traitants, quelle que soit leur implantation, dès lors que ceux-ci offrent des biens et services à des personnes résidant sur le territoire de l’Union européenne. Il instaure également de nouveaux droits pour les citoyens, en particulier un droit à la portabilité des données personnelles. Ce cadre juridique sécurisé permettra ainsi de renforcer la confiance des citoyens dans l’utilisation qui est faite de leurs données personnelles.

Ce projet de loi comporte des avancées majeures qui peuvent « bouleverser les usages » selon Mounir Mahjoubi. Le texte va créer un cadre unifié et protecteur pour les données personnelles tout en instaurant de nouveaux droits pour les citoyens, notamment un droit à la portabilité des données personnelles. « La portabilité est une révolution " a ajouté le secrétaire d’État au numérique.

Une simplification des règles auxquelles sont soumis les acteurs économiques sera également mise en place. Un contrôle a posteriori, fondé sur l’appréciation par le responsable de traitement des risques causés par son traitement remplacera le contrôle a priori, basé sur des déclarations et autorisations préalables.

En contrepartie de cette responsabilisation des acteurs, les pouvoirs de la CNIL seront renforcés, comme les sanctions encourues qui pourront aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial consolidé.

Le Gouvernement a ainsi fait le choix de maintenir certaines formalités préalables pour les traitements des données les plus sensibles, par exemple pour les données biométriques nécessaires à l’identification ou au contrôle de l’identité des personnes, pour les données génétiques, ou encore pour les traitements utilisant le numéro d’inscription au répertoire national d’identification des personnes physiques. Les traitements utilisant des données de santé font également l’objet d’un régime protecteur et unifié.

Les mineurs de moins de 16 ans seront mieux protégés : l'autorisation parentale sera nécessaire pour autoriser le traitement de leurs données. "L'inscription sur Facebook supposera une autorisation parentale pour les mineurs de moins de 16 ans" a expliqué Nicole Belloubet.

Pourtant, aucun mécanisme permettant de vérifier l'âge des internautes n'est évoqué dans le projet de loi de la ministre, ce qui pose des questions sur son application. Rappelons qu'aujourd'hui il faut avoir au moins 13 ans pour s'inscrire sur Facebook.

Enfin le texte renforce l'information des citoyens et leurs droits d'accès, de rectification et d'effacement des données.

S’agissant des traitements de données à caractère personnel en matière pénale, le projet de loi renforce les droits des personnes en créant un droit à l’information et en prévoyant l’exercice direct de certains droits tels que les droits d’accès, de rectification et d’effacement des données. Il introduit également des règles encadrant les transferts de données à des Etats tiers.

La CNIL a pour sa part publié son avis sur le projet de loi. https://www.cnil.fr/fr/la-cnil-publie-son-avis-sur-le-projet-de-loi-relatif-la-protection-des-donnees-personnelles.

Si la Commission se félicite du renforcement de ses pouvoirs de contrôle afin de garantir le respect des droits des personnes, ou de clarifier les conditions de traitement des données biométriques. elle regrette que d’autres propositions n’aient pas été retenues, tendant notamment à l’ajout de garanties supplémentaires lors de l’utilisation de traitements algorithmiques débouchant sur l’adoption de décisions administratives, ou bien à l’adaptation de ses procédures pour lui permettre de faire face à l’augmentation d’activité liée au nouveau cadre européen. La Commission appelle à l’approfondissement de la réflexion sur ces différents points.

En outre, et de manière plus générale, la Commission souligne le calendrier trop tardif retenu pour l’examen de ce texte et rappelle que ce projet de loi, ainsi que ses décrets d’application, devront impérativement entrer en vigueur avant le 25 mai 2018.

Elle attire également l’attention sur le risque important de manque de lisibilité des nouvelles dispositions du fait, notamment, du choix du projet de loi, consistant à n’opérer que les modifications « a minima » nécessaires à la mise en œuvre du Règlement et de la Directive, et à renvoyer la réécriture d’ensemble de la loi du 6 janvier 1978 à une ordonnance ultérieure

Nous reviendrons sur ce texte lorsqu'il sera rendu public

(Source: ministère de la justice Projet de loi relatif à la protection des données personnelles)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

20 septembre 2017 3 20 /09 /septembre /2017 17:41

Le vocabulaire de la cyberdéfense publié au JO du 19 septembre 2017

Un vocabulaire de la défense : cyberdéfense a été publié au Journal officiel du 19 septembre 2017.

Rappelons que la cyberdéfense est l'ensemble des activités conduites afin d’intervenir militairement ou non dans le cyberespace pour garantir l’effectivité de l’action des forces armées,la réalisation des missions confiées et le bon fonctionnement du ministère. La cyberdéfense est à différencier de la cybercriminalité qui correspond à l’ensemble des crimes et délits traditionnels ou nouveaux réalisés, via les réseaux numériques.

Par ailleurs, le cyberespace est un domaine global constitué du réseau maillé des infrastructures des technologies de l’information (dont Internet), des réseaux de télécommunication, des systèmes informatiques, des processeurs et des mécanismes de contrôle intégrés. Il inclut l’information numérique transportée ainsi que les opérateurs de services en ligne.

Les questions de surveillance, de défense et de sécurité dans l’espace numérique posent aujourd’hui de nombreux défis.

Pénétration des réseaux à des fins d’espionnage, prise de contrôle à distance, destruction d’infrastructures vitales, les types de menaces sont nombreux.Une atteinte aux systèmes d'information pourrait poser une question de souveraineté majeure en cas de prise de contrôle ou de paralysie de secteurs vitaux pour l'État.

Erigée au rang de priorité nationale par le Livre blanc pour la défense et la sécurité nationale de 2013, la cyberdéfense représente un enjeu majeur pour le ministère des Armées. Aujourd’hui, toute opération militaire comporte un volet cyber et au même titre que la terre, la mer, l’air et l’espace, l’espace numérique constitue un milieu à part entière dont la défense est une nécessité permanente.

Désormais la cyberdéfense a son vocabulaire qui rentre au JO https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000035583357&categorieLien=id

(Crédits dessins: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

28 juillet 2017 5 28 /07 /juillet /2017 08:18

Sécurité des données personnelles: Hertz France sanctionnée par la CNIL par une amende de 40.000 €

Une violation de données personnelles s’est produite en 2016 sur un site de la société Hertz en raison d’une erreur commise par un prestataire. La formation restreinte de la CNIL a donc prononcé une sanction d’un montant de 40.000 euros, estimant que la société avait manqué à son obligation de sécurité des données.

C’est la première fois qu’une sanction pécuniaire est prononcée pour une violation de données sous l’empire de la "loi Lemaire" pour une République numérique entrée en vigueur en novembre 2016. Avant cette loi, seul un avertissement pouvait être décidé dans un tel cas.

En octobre 2016, la CNIL avait en effet été informée de l’existence d’un incident de sécurité ayant entrainé une violation de données personnelles sur le site « www.cartereduction-hertz.com ». Lors d’un contrôle en ligne elle a constaté que les mesures garantissant la sécurité et la confidentialité des données des adhérents au programme de réduction de la société étaient insuffisantes.

En effet, les agents de la CNIL ont pu accéder librement, à partir d’une adresse URL, aux données personnelles renseignées par 35 357 personnes inscrites sur le site « www.cartereduction-hertz.com » (identité, coordonnées, numéro de permis de conduire).

Prévenue le jour même par la CNIL, la société a alerté son sous-traitant en charge du développement du site, qui a immédiatement pris les mesures nécessaires permettant de mettre fin à la violation de données.

Au cours d’investigations complémentaires réalisées dans les locaux de la société et chez son sous-traitant, la CNIL a appris que la violation de données était la conséquence d’une erreur commise par le prestataire lors d’une opération de changement de serveur. La suppression accidentelle d’une ligne de code avait entrainé le réaffichage des formulaires remplis par les adhérents au programme de réduction.

En conséquence, la Présidente de la CNIL a désigné un rapporteur afin que soit engagée une procédure de sanction à l’encontre de la société Hertz France.

La formation restreinte de la CNIL a prononcé une sanction pécuniaire d’un montant de 40.000 euros, estimant que la société avait manqué à son obligation de prendre toutes les mesures pour préserver la sécurité des données personnelles des utilisateurs du site, conformément à l’article 34 de la loi Informatique et Libertés. La formation restreinte a néanmoins tenu compte de la réactivité de la société dans la résolution de la violation de données, de son initiative de diligenter un audit de sécurité de son prestataire ainsi que de sa bonne coopération avec la Commission.

Rappelons également sur le même sujet que des données personnelles des utilisateurs du site OuiCar.fr. étant restées librement accessibles pendant près de trois ans, la CNIL a prononcé la veille un avertissement public, estimant que OuiCar avait manqué à son obligation de sécurité et de confidentialité des données Violation de données personnelles : avertissement à l’encontre de la société OUICAR

Retrouvez la Délibération n°SAN-2017-010 du 18 juillet 2017

(Source: CNIL)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

12 juin 2017 1 12 /06 /juin /2017 06:01

L'employeur peut produire des courriels issus de la messagerie électronique professionnelle du salarié non déclarée à la CNIL

L'employeur peut produire en justice des courriels issus de la messagerie électronique professionnelle du salarié sans déclaration préalable auprès de la CNIL.

Dans un arrêt du 1er juin 2017 (Cass. Soc. 1er juin 2017 n° 15-23522), la chambre sociale de la Cour de cassation valide en effet la production devant les prud'hommes de mails d'un employé, bien que la messagerie électronique de l'entreprise n'ait pas été déclarée à la Commission Nationale de l'Informatique et des Libertés

Rappelons que l'article 22 de la loi Informatique et Liberté n° 78-17 du 6 janvier 1978 oblige l’utilisateur de traitements automatisés de données à caractère personnel (STAD), comme le sont les messageries électroniques professionnelles, à procéder à leur déclaration auprès de la CNIL.

Jusqu'à présent, la Cour de cassation considérait que les éléments de preuve obtenus à l’aide d’un STAD non déclaré à la CNIL, rendait leur utilisation illicite ( Cassation sociale, 8 octobre 2014, 13-14.991)

Il s'agit donc d'un revirement de jurisprudence notable.

Dans cette affaire, un salarié, qui exerçait les fonctions de Directeur Administratif et Financier, avait été licencié pour insuffisance professionnelle et contestait son licenciement.

La société Pergam, son employeur, fondait ce licenciement sur la production de courriers électroniques provenant de la messagerie professionnelle du salarié, qu’elle avait versés aux débats.

La Cour d’appel de Paris les avait écartés dans son arrêt du 24 juin 2015 en estimant que l’employeur n’avait pas effectué de déclaration auprès de la CNIL et, ne pouvait donc se prévaloir de ce moyen de preuve illicite.

Mais le système de messagerie électronique professionnelle utilisé dans cette entreprise ne comportait pas de contrôle individuel de l’activité des salariés, et n’était ainsi pas susceptible de porter atteinte à leur vie privée ou aux libertés.

Par ailleurs,, le salarié comme l’employeur ne pouvaient ignorer que leurs échanges de courriers électroniques étaient enregistrés et stockés dans le système informatique de l’entreprise.

Aussi, la Cour de cassation censure cette décision et précise que ''l’absence de déclaration simplifiée d’un système de messagerie électronique professionnelle non pourvu d’un contrôle individuel de l’activité des salariés, qui n’est dès lors pas susceptible de porter atteinte à la vie privée ou aux libertés ne rend pas illicite la production en justice des courriels adressés par l’employeur ou par le salarié dont l’auteur ne peut ignorer qu’ils sont enregistrés et conservés par le système informatique''

La Chambre sociale instaure donc une distinction entre les systèmes de messagerie électronique professionnelle pourvus d’un contrôle individuel de l’activité des salariés, pour lesquels une déclaration simplifiée est exigée et les autres

Rappelons également plus généralement que les courriels adressés par le salarié grâce à l’outil informatique mis à sa disposition par l’employeur sont présumés avoir un caractère professionnel (Cass. soc. 16 mai 2013 n°12-11866) et que tous les messages de la messagerie électronique d’un salarié consultés depuis le poste de travail professionnel de ce dernier sont réputés être personnels, même s’ils ne sont pas identifiés comme privés ou marqués "personnel" Cour de cassation, civile, Chambre sociale, 26 janvier 2016 ...

Lire notre article Les mails issus de la messagerie personnelle du salarié sont protégés

Partager cet article

Repost0

Published by thierry vallat - dans Droit du travail et de la sécurité sociale NTIC
commenter cet article …

29 mai 2017 1 29 /05 /mai /2017 10:56

Feu vert de la CNIL pour l’expérimentation de dispositifs biométriques de reconnaissance vocale par des banques

Afin de permettre la réalisation d’expérimentations, notamment pour évaluer l’intérêt du public pour ces services, la CNIL nous informe ce 29 mai 2017 qu'elle a autorisé neuf établissements bancaires à mettre en œuvre, à titre expérimental, un dispositif d’authentification de clients par reconnaissance vocale.

Débloquer son smartphone, accéder à son lieu de travail, la biométrie s’installe dans de nombreuses sphères de notre quotidien. Parmi ces dispositifs, la reconnaissance vocale est particulièrement prisée pour sa simplicité d’utilisation.

Comme d’autres secteurs, les établissements bancaires souhaitent s’appuyer sur ces technologies pour renforcer la sécurité des transactions et offrir de nouveaux outils à leurs clients.

Plusieurs d’entre eux ont saisi la CNIL d’une demande d’autorisation pour la mise en place d’une solution d’authentification alternative, par reconnaissance vocale durant un an et auprès d’une population désignée.

L’objectif de ce dispositif est de sécuriser les opérations à distance de gestion de comptes faites par leurs clients tout en leur offrant une solution d’authentification plus confortable que la saisie d’un mot de passe ou la réponse à des questions dites « de sécurité ». Leurs clients pourront ainsi s’authentifier par leur voix, en prononçant une phrase de passe, pour accéder à leur compte bancaire, en ligne ou par téléphone.

Ces expérimentations visent à tester l’appétence des clients pour ce type de mécanisme, ainsi que la fiabilité de celui-ci. Du point de vue de la protection des données, la CNIL considère que ces expérimentations constituent des opportunités de tester le niveau global de risques en matière de sécurité et de confidentialité des données.

Ces projets satisfont les exigences de la CNIL en matière d’expérimentation, à savoir :

la soumission au consentement préalable de la personne concernée ;
une durée limitée ;
un périmètre restreint ;
des garanties en matière de confidentialité des données ;
l’engagement de présenter un bilan à son issue.

Dans ces conditions, neuf établissements bancaires ont été autorisés à mettre en œuvre, à titre expérimental, un dispositif d’authentification de clients par reconnaissance vocale.

La CNIL a toutefois souligné que les conditions dans lesquelles ces expérimentations sont autorisées ne présage nullement de celles qui devraient être mises en œuvre en cas de pérennisation d’un tel dispositif.

Pour rappel, elle préconise à cet égard de privilégier les dispositifs qui garantissent à la personne concernée de garder la maîtrise de son gabarit. Cela suppose de stocker le gabarit biométrique :

sur un support détenu par la seule personne concernée,
ou en base de données sous une forme inexploitable car illisible sans un secret détenu par la seule personne concernée.

En outre, en vue de l’entrée en vigueur du Règlement général relatif à la protection des données, la CNIL rappelle que tout projet de cette nature devra préalablement faire l’objet d’une analyse d’impact relative à la protection des données, qui pourra lui être soumise.

(Source: CNIL: LA CNIL AUTORISE L’EXPÉRIMENTATION DE DISPOSITIFS BIOMÉTRIQUES DE RECONNAISSANCE VOCALE PAR DES ÉTABLISSEMENTS BANCAIRES

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

22 avril 2017 6 22 /04 /avril /2017 05:19

Votre casque audio vous espionne: une plainte a été déposée contre Bose aux USA pour violation de la vie privée

Encore un cas d'espionnage via un objet connecté du quotidien: on vient d'apprendre que les casques sans fil Bose collecteraient secrètement vos données personnelles !

Le magazine Fortune vient en effet de dévoiler que le fabricant Bose récolterait sans leur accord les habitudes d'écoute des utilisateurs de ses casques et les vendrait sans vergogne aux plus offrants.

Un procès a donc été initié devant un tribunal de Chicago le 20 avril 2017 par un certain Kyle Zak qui a découvert, après avoir téléchargé l'application Bose connect que ses comportements musicaux étaient désormais espionné par le matériel connecté.

Il considère dans sa plainte que son historique audio constitue une donnée personnelle qu'il n'est pas possible de collecter sans violer les lois protégeant la vie privée.

En effet, la sélection de musique ou le choix de podcasts peut en dire long sur la personnalité de l'auditeur et ses croyances.

La plainte déposée concerne les casques Bose de modèles QuietComfort 35, SoundSport Wireless, Sound Sport Pulse Wireless, QuietControl 30, SoundLink Around-Ear Wireless Headphones II et le SoundLink Color II.

Ce n'est pas la première fois que des objets connectés sont accusés de fliquer leurs utilisateurs comme des jouets en apparence inoffensifs, mais très voraces en données personnelles (lire notre article Jouets connectés: sécurité et protection des données personnelles )

Une récente affaire a également défrayé la chronique et était liée à des sextoys capables de recueillir des données précises (date et durée d’utilisation, modes et vitesses de vibrations activés, température des composants internes, etc.) et de les envoyer directement à son fabricant canadien ( Données intimes collectées par un sextoy) !

Attention donc avant de livrer en pâture vos précieuses données personnelles et assurez vous des règles de transparence noralement prévues pour protéger la vie privée des utilisateurs. Et n'hésitez pas à alerter la CNIL en cas de problème ou de vous plaindre auprès du fabricant indélicat.

Retrouvez la plainte de Kyle Zak contre Bose Corp devant le tribunal du district Nord de l'Illinois, ainsi qu'une vidéo (en langue anglaise) concernant cette affaire

Télécharger Plainte Bose Privacy-Complaint

These Headphones Spy on Users, Lawsuit Says

The audio maker Bose, whose wireless headphones sell for up to $350, uses an app to collect the listening habits of its customers and provide that information to third parties-all without the ...

http://fortune.com/2017/04/19/bose-headphones-privacy/

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

21 avril 2017 5 21 /04 /avril /2017 07:03

Communication politique par téléphone: les bonnes pratiques de la CNIL

«Bonjour, c’est Emmanuel Macron. Ce dimanche 23 avril, c’est le premier tour de l’élection présidentielle, et j’aimerais beaucoup vous en parler directement.»

Vous avez peut-être comme 6 millions de foyers reçu ce message enregistré sur votre téléphone fixe, vous invitant à taper 1 pour «consacrer une minute» à l’écoute des bonnes raisons de choisir ce candidat lors du scrutin de dimanche prochain.

Alertée suite à cette campagne téléphonique massive débutée le 18 avril 2017, la Commission nationale de l'informatique et des libertés a été alertée et a rappelé aux bonnes pratiques ce candidat à la Présidentielle ( Des coups de fil automatiques d'Emmanuel Macron)

De plus en plus de campagnes de communication politique s’appuient en effet sur l’utilisation du téléphone et de toutes ses fonctionnalités : appels automatiques ou non, envois de SMS ou de MMS.

Au regard du caractère intrusif de ces modes de communication, la CNIL recommande la mise en place de mesures de protection supplémentaires.

Les SMS ou MMS politiques

Lorsque vous indiquez votre numéro de téléphone dans un formulaire à destination d’ un parti politique, ce consentement peut se matérialiser par une case à cocher « j’accepte de recevoir des informations de la part de [nom du parti ou/et de tel candidat] » sur le formulaire.

Un candidat ou parti politique peut également récupérer votre numéro de téléphone dans une base données qu’il achète ou loue auprès d’une société privée. Votre numéro de téléphone peut aussi voir été transmis à l’occasion d’un parrainage. Dans ces cas, les modalités respectées lors de la collecte initiale (notamment information délivrée, consentement à être prospecté par des « tiers partenaires » et droit de s’y opposer) ne sont pas nécessairement connues du parti ou adaptés à la prospection politique. C’est pourquoi la CNIL demande qu’un premier message téléphonique vous soit adressé afin de recueillir votre accord à être démarché spécialement à des fins de communication politique.

L’envoi de SMS ou de MMS à des fins de prospection politique nécessite le recueil du consentement préalable des personnes (système dit « opt-in »).

Dans tous les cas, chaque SMS ou MMS doit comporter les informations suivantes :

l’identité du parti politique ou du candidat qui envoie le message, et
un moyen de s’opposer facilement à recevoir un nouveau message par SMS ou MMS (Par exemple, la possibilité de répondre « STOP » par SMS lors de la réception d’un message de prospection).

Les automates d’appel

La CNIL recommande, là aussi, le recueil du consentement préalable des personnes à être prospectées à des fins politiques et par automate d’appel. Ce consentement doit notamment porter sur une plage horaire précise pour recevoir de tels appels.

Aucune exception au principe de recueil du consentement préalable des intéressés ne peut être invoquée par les partis politiques, élus ou candidats.

Les messages préenregistrés doivent également contenir toutes les mentions d’information prévues par la loi « Informatique et Libertés » (article 32).

La possibilité et les modalités prévues pour s’opposer à la réception de tels messages téléphoniques doivent vous être précisées dès le début du message.

Si vous avez été contacté par un parti politique ou un candidat et que vous vous interrogez sur cette pratique, n'hésitez pas à le signaler à la CNIL

(Sources: Libération et CNIL)

Partager cet article

Repost0

Published by thierry vallat - dans NTIC
commenter cet article …

19 février 2017 7 19 /02 /février /2017 07:52

Le fichier TES de vos données biométriques déployé dès le 21 février 2017 à Paris puis sur toute la France

Article mis à jour le 28 février 2017

C'est par un arrêté publié le 17 février 2017 au Journal officiel que le fichier TES va être mis en place progressivement à toute la France du 21 février au 28 mars.

C'est Paris qui va essuyer les plâtres (après les Yvelines depuis début novembre 2016 à titre expérimental), puis le Val d’Oise, les Hauts-de-Seine, et ensuite suivront autres départements.

Le décret du 28 octobre 2016 du fichier TES autorise en effet la mise en œuvre d'un traitement commun aux cartes nationales d'identité et aux passeports des données à caractère personnel

Ce texte en apparence anodin modifie cependant profondémen le décret n° 55-1397 du 22 octobre 1955 modifié instituant une carte nationale d'identité ainsi que le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports.

Pour procéder à l'établissement, à la délivrance, au renouvellement et à l'invalidation des cartes nationales d'identité mentionnées à l'article 7 du décret du 22 octobre 1955 susvisé et des passeports mentionnés aux articles 1er et 17-1 du décret du 30 décembre 2005 susvisé, ainsi que prévenir et détecter leur falsification et contrefaçon, le ministre de l'intérieur met en œuvre un traitement de données à caractère personnel dénommé "titres électroniques sécurisés" (TES).

Ainsi, les données personnelles et biométriques de tous les détenteurs d’une carte d’identité ou d’un passeport sont désormais compilées dans une base de données unique se substituant à terme au TES actuel dédié aux passeports et au Fichier national de gestion des cartes d’identité.

Les données à caractère personnel et informations enregistrées dans le traitement mentionné à l'article 1er sont :

1° Les données relatives au demandeur ou au titulaire du titre :
a) Le nom de famille, le nom d'usage, les prénoms ;
b) La date et le lieu de naissance ;
c) Le sexe ;
d) La couleur des yeux ;
e) La taille ;
f) Le domicile ou la résidence ou, le cas échéant, la commune de rattachement de l'intéressé ou l'adresse de l'organisme d'accueil auprès duquel la personne est domiciliée ;
g) Les données relatives à sa filiation : les noms, prénoms, dates et lieux de naissance de ses parents, leur nationalité ;
h) Le cas échéant, le document attestant de la qualité du représentant légal lorsque le titulaire du titre est un mineur ou un majeur placé sous tutelle ;
i) L'image numérisée du visage et celle des empreintes digitales qui peuvent être légalement recueillies ;
j) L'image numérisée de la signature du demandeur de la carte nationale d'identité ;
k) L'adresse de messagerie électronique et les coordonnées téléphoniques du demandeur, lorsque celui-ci a choisi d'effectuer une pré-demande de titre en ligne ou a demandé à bénéficier de l'envoi postal sécurisé, ou sur déclaration de l'usager lorsqu'il souhaite être informé par ce moyen de la disponibilité de son titre ;
l) Le cas échéant, le code de connexion délivré par l'administration au demandeur pour lui permettre de déclarer la réception de son passeport lorsque ce titre lui a été adressé par courrier sécurisé ;

2° Les informations relatives au titre :
a) Numéro du titre ;
b) Type de titre ;
c) Tarif du droit de timbre ;
d) Date et lieu de délivrance ;
e) Autorité de délivrance ;
f) Date d'expiration ;
g) Mention, avec la date, de l'invalidation du titre et de son motif (perte, vol, retrait, interdiction de sortie du territoire, autre motif), de la restitution du titre à l'administration, de sa destruction;
h) Mentions des justificatifs présentés à l'appui de la demande de titre ;
i) Informations à caractère technique relatives à l'établissement du titre ;
j) Informations relatives à la demande de titre : numéro de demande et, le cas échéant, de pré-demande, lieu de dépôt, date de réception de la demande, date de l'envoi du titre au guichet de dépôt, motif de non-délivrance ;
k) La date et le mode de remise du titre ainsi que, le cas échéant, les nom, prénoms et identifiant du consul honoraire chargé de sa remise ou le nom, l'adresse du site internet de suivi et l'identifiant du transporteur chargé de son acheminement lorsque le titre est adressé à l'usager par courrier sécurisé ;
l) Les informations relatives à la réception du passeport par le demandeur lorsque le titre lui est adressé par courrier sécurisé : la date d'envoi du passeport, le numéro de suivi du courrier sécurisé, la date de la déclaration de réception, de non-réception ou de refus de réception du passeport, la mention des justificatifs produits à l'appui de la déclaration ;

3° Les données relatives au fabricant du titre et aux agents chargés de la délivrance du titre :
a) Nom, prénom et références de l'agent qui enregistre la demande de titre ;
b) Noms, prénoms et références des agents mentionnés à l'article 3 ;
c) Identifiant du fabricant du titre ;
4° L'image numérisée des pièces du dossier de demande de titre.

Excusez du peu, puisque seront donc ainsi disponibles données biométriques et analogiques !

Le traitement ne comporte en revanche pas de dispositif de recherche permettant l'identification à partir de l'image numérisée du visage ou de l'image numérisée des empreintes digitales enregistrées dans ce traitement.

De très nombreux services auront accès aux données du TES (ministère de l'intérieur, Préfecture, police, gendarmerie, Interpol etc.)

Ces données seront conservées pendant quinze ans pour les passeports et vingt ans s'il s'agit d'une carte nationale d'identité (respectivement dix ans et quinze ans lorsque le titulaire du titre est mineur)

Le décret supprime également le principe de territorialisation des demandes de cartes nationales d'identité.

Les demandes de cartes nationales d'identité pourront ainsi être déposées, à l'instar des demandes de passeports ordinaires, auprès de n'importe quelle mairie équipée d'un dispositif de recueil.

Autant dire que la CNIL a émis des réserves sur ce traitement dans sa délbération du 29 septembre également publiée au JO et s'inquiète du fichage de 60 millions de personnes, soit "la quasi-totalité de la population française".

A noter que le 22 mars 2012, le Conseil Constitutionnel avait rendu une décision qui retoquait un projet analogue dénonçant des atteintes disproportionnées susceptibles d'être portées aux libertés individuelles.

On peut donc légitimement s'interroger sur le timing et la méthode d'arrivée brutale de ce texte dans notre Droit par la voie réglementaire, en dehors de tout débat parlementaire.

Dans son avis du 23 février 2016 qui a été rendu public le 4 novembre, le Conseil d'Etat s'avoue très circonspect sur cette mesure.

Le Conseil d’État a surtout constaté que, contrairement au traitement ayant fait l’objet de la décision du Conseil constitutionnel, le TES permettait seulement de vérifier l’identité avancée par le demandeur d’un titre et non de rechercher l’identité d’une personne à son insu grâce à sa photographie ou à ses empreintes. En effet, l’entrée dans le fichier ne peut s’opérer qu’à partir des données nominatives, qui permettent ensuite d'accéder aux empreintes ou à la photographie afin de vérifier l’identité du demandeur. Mais cela ne fonctionne pas en sens inverse : il est impossible d’effectuer une recherche à partir des données biométriques !

Compte tenu de l’ampleur du fichier envisagé et de la sensibilité des données qu’il contiendrait, le Conseil d'Etat a conclu qu'il n’était pas interdit au Gouvernement, s’il le croit opportun, d’emprunter la voie législative: il n'en a rien été et l'exécutif a fait fi de cette recommandation de bon sens.

En 1974, le projet Safari était de la même eau, il a été heureusement enterré car créant une véritable "chasse aux français" et a permis de déboucher dans la foulée sur la création de la CNIL.

Lire l'avis du Conseil d’État du 23 février 2016 sur le traitement informatique relatif aux cartes nationales d’identité et aux passeports

Mise à jour du 28 février 2017

Le décret du 28 octobre 2016 a été attaqué non seulement par un recours de la Quadrature du net, et par celui de la Ligue des Droits de l'Homme, mais également par une requête de référé-suspension que NextImpact nous apprend aujourd'hui avoir été enregistrée devant le Conseil d’État (https://www.nextinpact.com/news/103475-le-mega-fichier-tes-vise-par-procedure-refere-suspension-au-conseil-d-etat.htm?utm_source=dlvr.it&utm_medium=twitter&utm_campaign=social) lequel dispose de 48 heures pour se positionner sur la notion d'urgence

Cette procédure vise à obtenir la suspension au plus vite non seulement du décret, mais aussi de l'arrêté de déploiement.

Retrouvez la requête en référé suspension

A défaut, d’ici la fin mars 2017, toutes les demandes de cartes nationales d'identité présentées en métropole seront donc encadrées par les prescriptions du décret instaurant le fichier TES selon le calendrier suivant:

DATE D'APPLICATION	DÉPARTEMENTS
21 février 2017	Paris.
22 février 2017	Val d'Oise.
23 février 2017	Hauts-de-Seine.
28 février 2017	Essonne, Seine-et-Marne, Seine-Saint-Denis, Val-de-Marne.
1er mars 2017	Loire-Atlantique, Maine-et-Loire, Mayenne, Sarthe, Vendée.
2 mars 2017	Calvados, Cher, Eure, Eure-et-Loir, Indre, Indre-et-Loire, Loir-et-Cher, Loiret, Manche, Orne, Seine-Maritime.
7 mars 2017	Ariège, Aude, Aveyron, Gers, Gard, Haute-Garonne, Hérault, Lot, Lozère, Hautes-Pyrénées, Pyrénées-Orientales, Tarn, Tarn-et-Garonne.
8 mars 2017	Alpes-de-Haute-Provence, Hautes-Alpes, Alpes-Maritimes, Bouches-du-Rhône, Corse-du-Sud, Haute-Corse, Var, Vaucluse.
14 mars 2017	Aisne, Nord, Oise, Pas-de-Calais, Somme.
15 mars 2017	Charente, Charente-Maritime, Corrèze, Creuse, Deux-Sèvres, Dordogne, Gironde, Landes, Lot-et-Garonne, Pyrénées-Atlantiques, Vienne, Haute-Vienne.
21 mars 2017	Ain, Allier, Ardèche, Cantal, Drôme, Isère, Loire, Haute-Loire, Puy-de-Dôme, Rhône, Savoie, Haute-Savoie.
22 mars 2017	Côte-d'Or, Doubs, Jura, Nièvre, Haute-Saône, Saône-et-Loire, Territoire de Belfort, Yonne.
28 mars 2017	Ardennes, Aube, Marne, Haute-Marne, Meurthe-et-Moselle, Meuse, Moselle, Bas-Rhin, Haut-Rhin, Vosges.

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

13 février 2017 1 13 /02 /février /2017 06:00

La Data dress: comment aliéner spontanément ses données personnelles pour une robe personnalisée au détriment de sa vie privée

Votre vie privée vaut-elle une robe ? Avec une nouvelle application qui conçoit des robes sur-mesure en utilisant vos données personnelles et en allant encore plus loin dans l'espionnage intime, la question est posée.

Google vient en effet de conclure un partenariat avec Ivyrevel, l’enseigne numérique du groupe H&M.

Dans le cadre de ce nouveau projet nommé "Coded Couture", Google et le géant suédois de la mode utilisent une application Android utilisant Awareness API créé par la firme de Mountain View afin de recueillir les données personnelles de ses utilisatrices pour créer des robes sur mesure spécialement pour elles.

Awareness API a été l’une des plus grandes annonces faites lors du Google I/O de 2016: il s'agit d'une base unique pour accéder via votre smartphone aux données recueillies par le dispositif avec votre accord, liées à l’emplacement et à l’utilisation de ce dernier.

Sept catégories de données sont ainsi prises en compte : activité, balises, casque, emplacement, lieux, horaires, ainsi que les conditions météorologiques. Google précise que l’API offrira une durée de vie de batterie améliorée pour l’appareil en raison de la conservation des données.

C'est donc cette technologie très invasive qui est utilisée pour ce projet "Coded Couture" afin de recueillir vos données personnelles avec votre permission et vous vendre ensuite une robe sur mesure, la data dress !

Awareness API va fournir à l’application Coded Couture toutes les informations concernant votre localisation, vos activités quotidiennes comme quand et où vous mangez, le temps qu’il fait, la région où vous vivez, à quel moment vous vous rendez au travail, quand vous sortez avec des amis, et bien plus encore.

Toutes les données recueillies pourront être consultées dans l’application d’Ivyrevel. afin de sortir la robe sur mesure qui conviendra à vos besoins.

Il suffira ensuite de spécifier l’occasion (déjeuner d’affaires, fête de charité, bal du bâtonnier…) pour laquelle vous souhaitez porter une robe ou toute autre tenue; et sur la base de vos activités, emplacement et autres informations, la "data robe" idéale sera définie selon l’ensemble de ces données personnalisées.

Toutes ces informations sont ensuite compilées et analysées par l'application qui s'en inspirera pour imaginer la plus adaptée des tenues, en l'occurrence des robes, mises en vente par cette même application, à partir de 99 dollars, soit environ 93 euros.

Alors prêtes pour la robe parfaite, au détriment de votre vie privée ?

Cette affaire a le mérite de rappeler que les objets connectés sont de vilains gourmands avides de données personnelles

Une récente affaire a défrayé la chronique et était liée à des sextoys capables de recueillir des données précises (date et durée d’utilisation, modes et vitesses de vibrations activés, température des composants internes, etc.) et de les envoyer directement à son fabricant canadien ( Données intimes collectées par un sextoy)

Il faut donc bien réfléchir avant de livrer en pâture ses précieuses données personnelles et de s'assurer des règles de transparence prévues pour protéger la vie privée des utilisateurs.

Coded Couture By Ivyrevel - Introducing the Data_Dress

Visit http://www.codedcouture.com & have a chance to win your own Data_Dress! The worlds first Data_Dress is created by Kenza Zouiten. We believe that fashion can really amplify your personality and

https://www.youtube.com/watch?v=PUlF3rW8flU&feature=youtu.be

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

10 février 2017 5 10 /02 /février /2017 08:07

La traque des téléphones portables des passants par les panneaux publicitaires: JCDecaux retoqué par le Conseil d'Etat

Article mis à jour le 25 mars 2019

Dans une décision du 8 février 2017, le Conseil d’Etat bloque le dispositif de flicage publicitaire de JCDecaux qui souhaitait pister les téléphones des passants.

JC Decaux, spécialiste du mobilier urbain, souhaitait ni plus ni moins collecter les identifiants des téléphones portables des personnes passant à côté de ses panneaux publicitaires à La Défense !

Confirmant une décision de la CNIL, le Conseil d’Etat interdit cette nouvelle velléité de traque des données personnelles et d'intrusion dans la vie privée des usagers, en mettant un point final à cette affaire

La CNIL avait été sollicitée le 4 février 2015 par JCDecaux pour mettre en place une expérimentation de quatre semaines sur la dalle de la Défense d'un dispositif permettant de quantifier les flux de piétons

Il s'agissait d'installer sur ses panneaux publicitaires des boîtiers Wi-Fi capables de capter les adresses MAC de tous les appareils mobiles dans un rayon de 25 mètres.

L’entreprise comptait aussi utiliser ce dispositif permettant d’identifier un appareil pour localiser la position géographique exacte des passants et enregistrer ainsi la façon dont ils se déplaçaient sur le site de la Défense.

La CNIL refuse cette autorisation le 16 juillet 2015 estimant que ce dispositif n’était pas conforme à la loi du 6 janvier 1978, aux termes d'une délibération notamment motivée par l'insuffisante anonymisation des données collectées et le caractère déloyal de la collecte.

Ayant contesté cette décision auprès du Conseil d’Etat, JCDecaux est pareillement retoquée puisque la Haute juridiction administrative a confirmé la position de la CNIL :

« La société JCDecaux France n’est pas fondée à demander l’annulation de la délibération qu’elle attaque. Par voie de conséquence, elle n’est pas fondée à demander qu’il soit enjoint à la CNIL de lui délivrer l’autorisation sollicitée. »

Mise à jour du 25 mars 2019

On apprend aux détours d'un article de Elsa Trujillo pour BFMTV que plusieurs écrans publicitaires dotés de capteurs avaient été installés subrepticement dans les couloirs de certaines stations du métro parisien, et enregistrent l’adresse MAC de votre smartphone, lorsque vous êtes en mode Wi-Fi https://www.bfmtv.com/tech/donnees-personnelles-que-retiennent-les-panneaux-publicitaires-du-metro-parisien-de-votre-passage-1659092.html#content/contribution/edit

Il s'agit pour ces capteurs de mesurer anonymement de l’audience pour le compte de Metrobus mieux comprendre les parcours des usagers et aucune donnée personnelle ne serait impactée.

La dystopie nous poursuit jusque dans le métro !

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans NTIC Droit numérique
commenter cet article …

2 février 2017 4 02 /02 /février /2017 07:05

Droit à l'oubli et déréférencement Google: les enjeux de l'audience de contentieux du Conseil d'Etat du 2 février 2017

Le Conseil d’Etat a examiné ce 2 février 2017 à 14h en Assemblée du contentieux la légalité de 4 refus opposés par la CNIL à des déréférencements sur le moteur Google.

C'est toute la question de l'application du droit à l'oubli sur internet.

Il convient en effet de déterminer lesquelles des dispositions de la directive n° 95/46/CE du 24 octobre 1995, transposée par la loi n° 78-17 du 6 janvier 1978, sont applicables au moteur de recherche dans le cadre du droit au déréférencement dégagé par la Cour de justice de l’Union européenne dans son arrêt Google Spain SL and Google Inc. v Agencia Española de Protección de Datos and Mario Costeja González du 13 mai 2014 (C-131/12),

C'est ainsi que quatre requérants ont saisi le Conseil d'Etat:

1° Sous le numéro 391000, Mme C… demande au Conseil d’Etat d’annuler pour excès de pouvoir la décision du 24 avril 2015 par laquelle la présidente de la Commission nationale de l’informatique et des libertés (CNIL) a clôturé sa plainte enregistrée le 25 septembre 2014 tendant au déréférencement d’un lien menant vers une vidéo publiée sur le site internet Youtube, dans les résultats obtenus à la suite d’une recherche effectuée à partir de son nom sur le moteur de recherche de la société Google Inc..

2° Sous le numéro 393769, M. T… demande au Conseil d’Etat d’annuler pour excès de pouvoir la décision du 28 août 2015 par laquelle la présidente de la CNIL a clôturé sa plainte, enregistrée le 22 décembre 2014, tendant au déréférencement de liens menant vers un article du quotidien Libération et vers le site du Centre contre les manipulations mentales (CCMM) dans les résultats obtenus à la suite d’une recherche effectuée à partir de son nom sur le moteur de recherche de la société Google Inc..

3° Sous le numéro 399999, M. C… demande au Conseil d’Etat :

1) d’annuler pour excès de pouvoir la décision du 21 mars 2016 par laquelle la présidente de la CNIL a clôturé sa plainte du 18 janvier 2016 tendant au déréférencement de plusieurs liens obtenus à la suite d’une recherche effectuée à partir de son nom sur le moteur de recherche de la société Google Inc. ;
2) d’enjoindre à la CNIL d’intervenir auprès de la société Google Inc. pour qu’elle déréférence les adresses URL litigieuses.

4° Sous le numéro 401258, M. D… demande au Conseil d’Etat d’annuler pour excès de pouvoir la décision du 9 mai 2016 par laquelle la présidente de la CNIL a clôturé sa plainte en date du 17 septembre 2014 tendant au déréférencement de deux liens, vers des articles publiés par les quotidiens Nice Matin et le Figaro, dans les résultats obtenus à la suite d’une recherche effectuée à partir de son nom sur le moteur de recherche de la société Google Inc..

Dans ces quatre litiges, les requérants ont demandé à la société Google Inc. de déréférencer des liens menant vers des pages web en réponse aux requêtes faites sur le moteur de recherche à partir de leur nom.

Ils ont ensuite demandé à la CNIL d’enjoindre à la société Google Inc. de procéder à ce déréférencement.

Quelle légalité pour ces refus opposés par la CNIL et quelle interprétation des dispositions des Directives faut-il faire ? Tel est le sens de ce important contentieux qui déterminera la suite des demandes de déréférencements et du droit à l'oubli en France.

Lors de l'audience, la rapporteure publique Aurélie Bretonneau a proposé de solliciter la justice européenne quant à un « mode d’emploi » du droit au déréférencement. Elle a donc demandé à ce que soit transmise à la CJUE plusieurs questions préjudicielles, afin d’éclaircir la question.

Le Conseil d'Etat qui est libre de suivre ou non son rapporteur devrait donc logiquement surseoir à statuer et renvoyer le mistigri à la Cour européenne pour qu'elle explicite le mode opératoire.

L'issue de ce débat sera d'autant plus importante que la Cour suprème du Japon vient de donner raison à Google le 31 janvier 2017, en privilégiant le droit à l'information sur le droit à l'oubli (lire http://mashable.com/2017/02/01/google-right-to-be-forgotten-japan/#xW4hTteq3Oqg )

Retrouvez également l'article sur le Droit à l'oubli numérique et déréférencement et l'Interview de Me Thierry Vallat sur BFMTV sur le droit à l'oubli

(Source: Conseil d'Etat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

Blocage de site internet raciste: la chronique de Me Thierry Vallat dans France Soir du 24 janvier 2019

Géolocalisation des salariés: l'arrêt du Conseil d'Etat du 15 décembre 2017

Un candidat a un droit d'accès aux réponses écrites fournies lors d’un examen professionnel et les éventuelles annotations de l’examinateur qui constituent des données à caractère personnel

Le principe de neutralité du net: état des lieux fin décembre 2017

Protection des données personnelles: une autorisation parentale pour le traitement des données sur Facebook

Le vocabulaire de la cyberdéfense publié au JO du 19 septembre 2017

Sécurité des données personnelles: Hertz France sanctionnée par la CNIL par une amende de 40.000 €

L'employeur peut produire des courriels issus de la messagerie électronique professionnelle du salarié non déclarée à la CNIL

Feu vert de la CNIL pour l’expérimentation de dispositifs biométriques de reconnaissance vocale par des banques

Votre casque audio vous espionne: une plainte a été déposée contre Bose aux USA pour violation de la vie privée

Communication politique par téléphone: les bonnes pratiques de la CNIL

Les SMS ou MMS politiques

Les automates d’appel

Le fichier TES de vos données biométriques déployé dès le 21 février 2017 à Paris puis sur toute la France

La Data dress: comment aliéner spontanément ses données personnelles pour une robe personnalisée au détriment de sa vie privée

La traque des téléphones portables des passants par les panneaux publicitaires: JCDecaux retoqué par le Conseil d'Etat

Droit à l'oubli et déréférencement Google: les enjeux de l'audience de contentieux du Conseil d'Etat du 2 février 2017

Présentation

Le Cabinet Thierry Vallat

Recherche

Recherche

Dans les médias récemment

Archives

Articles Récents

Rubriques

Le Cabinet En Images

Catégories

Liens

Les SMS ou MMS politiques

Les automates d’appel

Présentation

Le Cabinet Thierry Vallat

Recherche

Recherche

Dans les médias récemment

Archives

Articles Récents

Rubriques

Le Cabinet En Images

Catégories

Newsletter

Liens

Suivez-moi