ntic - Le blog de Thierry Vallat, avocat au Barreau de Paris (et sur Twitter: @MeThierryVallat)

30 janvier 2017 1 30 /01 /janvier /2017 07:20

Protection des données et mots de passe: la recommandation de la CNIL du 19 janvier 2017

Alors que l’accès à de nombreux services est conditionné à l’utilisation de mots de passe, et dans un contexte de menace accrue sur la sécurité des données, la CNIL a adopté le 19 janvier 2017 une recommandation sur les mots de passe pour garantir un niveau de sécurité minimal en la matière. Elle met également des outils pratiques à disposition des professionnels et des particuliers.

Bien que ce moyen d’authentification soit de plus en plus critiqué et mis à l’épreuve, le mot de passe reste LE sésame pour accéder à la plupart des services numériques.

Le développement des usages du numérique impose aux utilisateurs une gestion toujours plus complexe de multiples comptes et de mots de passes. Une gestion non organisée de ces mots de passe fait courir des risques aux utilisateurs sur ses données personnelles :

l’utilisation du même mot de passe pour accéder à différents services peut compromettre les comptes sensibles, notamment l’adresse de messagerie principale ;
la tendance à partager ses mots de passe augmente les risques d’usurpation d’identité ;
la tendance à créer des mots de passe en rapport avec soi (date de naissance, prénom des enfants, nom de son entreprise, etc.) les rend plus vulnérables, notamment dans un contexte où il est facile de récupérer des informations sur les personnes en ligne (ingénierie sociale) ;
la difficulté à mémoriser un mot de passe trop long incite à définir des mots de passe trop simples, quelques caractères, souvent des mots usuels, ou à les écrire sur support papier.

Pourtant, de nombreux utilisateurs ne sont pas informés des pratiques élémentaires de sécurité et de gestion de ces secrets, alors que le nombre de comptes et la sensibilité des informations qu’ils protègent ne cessent de croître.

En 2016, on a assisté à la multiplication des attaques informatiques, parfois spectaculaires, qui ont notamment entraîné la compromission de bases de données entières de comptes et des mots de passe associés.

Ces attaques ont eu pour conséquence de rendre publics de nombreux mots de passe. Ils ont permis aux attaquants de mettre au jour les modalités de création des mots de passe et les moyens mnémotechniques utilisés par les personnes.

Les principales plateformes ont renforcé la sécurité de leurs dispositifs d’authentification, en complétant l’authentification par mot de passe par des dispositifs de sécurité complémentaires (double authentification via un code mobile, blocage du compte au bout de X tentatives).

Toutefois, il suffit qu’une seule plateforme soit défaillante en termes de sécurité (par exemple, en cas de vol massif de données d’authentification) pour qu’elle fasse courir un risque de sécurité à l’ensemble de l’écosystème numérique : les comptes, notamment les « webmails » (gestionnaires de courrier en ligne), dont le mot de passe a été découvert, compromettent en cascade l’ensemble des services auxquels les personnes sont inscrites.

Dans ce contexte, il apparaît indispensable de fixer un niveau de sécurité minimum en la matière.

La CNIL a donc adopté une recommandation relative aux mots de passe, qui permet aux professionnels comme aux particuliers de connaître les conditions minimales pour respecter l’obligation de sécurité posée par la loi.

Dans le cadre de ses missions de contrôle, la CNIL analyse régulièrement les dispositifs d’authentification mis en œuvre par des responsables de traitements.

Afin de prendre en compte les contraintes de l’état de l’art, la CNIL a par ailleurs consulté différents acteurs de la sécurité, ainsi que l’ensemble des autorités de protection des données européennes.

Ces constats et ces échanges ont incité la CNIL à prescrire des mesures minimales et pragmatiques, en se basant sur les pratiques d’authentification en vigueur sur les principales plateformes en ligne. Cette recommandation n’exclut pas que d’autres mesures soient mises en œuvre en fonction des risques spécifiques qui pourraient être identifiés.

Ainsi, la longueur et la complexité du mot de passe varient en fonction des autres mesures de sécurité mises en œuvre pour l’authentification (temporisation d’accès au compte, double authentification, matériel détenu en propre par la personne).

La recommandation de la CNIL couvre quatre aspects de la gestion de mots de passe auxquels sont associées des menaces récurrentes bien identifiées :

la création du mot de passe ;
l’authentification
la conservation ;
et le renouvellement

La CNIL vous informe également des mesures de sécurité élémentaires

Retrouvez la Délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe

(Source: Les conseils de la CNIL pour un bon mot de passe )

(crédits illustration: Martin VIdberg pour CNIL)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

3 janvier 2017 2 03 /01 /janvier /2017 14:08

Données personnelles en danger: les sites de rencontre Meetic et Attractive World épinglés par la CNIL

Vous êtes adeptes des sites de rencontre en ligne ? Accros à Meetic ou Attractive World?

Quelque chose me dit que votre intimité n'est pas si bien respectée que ça sur ces sites pourtant alimentés de données très personnelles !

Alors attention à vos précieuses données et remerciez la CNIL

En effet, à la suite de contrôles effectués auprès de 13 sites de rencontre ayant révélé de nombreux manquements à la loi Informatique et Libertés, notamment sur les informations sensibles fournies par leurs clients, la Présidente de la CNIL a mis le 24 juin 2015 en demeure huit acteurs majeurs du secteur.

De plus en plus de Français se rendent sur les sites de rencontre. La plupart de ces sites offrent à leurs utilisateurs une recherche de partenaires très ciblée : par communauté sociale, ethnique ou religieuse, par localisation géographique, en fonction de l’apparence physique, des pratiques sexuelles ou des opinions politiques, etc.

Le nombre important des utilisateurs ainsi que la quantité des données traitées et leur sensibilité ont conduit la CNIL à inscrire les sites de rencontre dans son programme annuel des contrôles pour 2014.

A la suite de contrôles effectués en 2014 auprès de plusieurs sociétés gérant des sites de rencontres, la CNIL a relevé plusieurs manquements importants à la loi « Informatique et Libertés ». La Présidente de la CNIL a alors adopté, le 24 juin 2015, des mises en demeure publiques à l’encontre des sites de rencontres contrôlés, dont les sociétés Samadhi et Meetic SAS. Ces mises en demeure enjoignaient notamment aux sociétés de recueillir le consentement exprès des personnes lors de la collecte des données « sensibles » qui concernent par exemple la vie sexuelle, les opinions religieuses ou les origines ethniques (lire notre article Comment protéger votre intimité )

La formation restreinte de la CNIL a finalement prononcé le 29 décembre 2016 une sanction publique de 10.000 € à l’encontre du site Attractive World et de 20.000 € à l’encontre de la société Meetic en raison du traitement de données sensibles sans consentement exprès des utilisateurs.

En effet, les sociétés Samadhi (Attractive World) et Meetic SAS ayant adressé à la CNIL des réponses partielles ou insatisfaisantes sur ce point, la Présidente de la CNIL a désigné un rapporteur afin que soient engagées des procédures de sanction à leur encontre.

La formation restreinte de la CNIL, saisie de ces dossiers, a estimé que les deux sociétés ne recueillaient pas le consentement exprès des utilisateurs au traitement de leurs données sensibles. En effet, les utilisateurs souhaitant s’inscrire aux sites devaient – en une seule fois - accepter les conditions générales d’utilisation, attester de leur majorité et consentir au traitement des données sensibles. Or, la formation restreinte rappelle que la loi impose que les internautes aient conscience de la protection attachée à ces données particulières dont le traitement est normalement interdit. La seule inscription au site de rencontre ne peut valoir accord exprès des personnes au traitement de telles données qui révèlent des éléments de leur intimité.

Les sociétés concernées ont finalement proposé des modifications afin de recueillir le consentement exprès des personnes concernées (mise en place d’une case dédiée). Toutefois, ces modifications sont intervenues au-delà du délai imparti par les mises en demeure.

En raison de la sensibilité des données et du nombre de personnes concernées par les sites en cause, la formation restreinte a également décidé de rendre publiques les sanctions prononcées.

Enfin, compte tenu des circonstances de l’espèce et des situations propres à chacune des sociétés en cause, la formation restreinte a considéré qu’un montant de sanction différent était approprié.

Délibération de la formation restreinte n°2016-405 du 15 décembre 2016 prononçant une sanction pécuniaire à l'encontre de la société SAMADHI SAS

[ PDF-321.41 Ko]

Délibération de la formation restreinte n°2016-406 du 15 décembre 2016 prononçant une sanctioin pécuniaire à l'encontre de la société MEETIC SAS

[ PDF-384.48 Ko]

Partager cet article

Repost0

Published by thierry vallat - dans NTIC Droit numérique
commenter cet article …

23 décembre 2016 5 23 /12 /décembre /2016 13:39

Vos comptes Twitter ou Facebook doivent être déclarés sur option depuis le 20 décembre aux autorités douanières avant d'entrer aux USA

Vous vous rendez aux USA: vous devez divulguer désormais si vous avez des comptes Facebook ou Twitter aux autorités d'immigration !

C'est en effet mis en place dans la plus grande discrétion depuis le 20 décembre 2016: les ressortissants des pays exemptés de visa qui souhaitent se rendre aux USA sont invités, à titre facultatif pour le moment, à indiquer leur présence sur les réseaux sociaux dans le formulaire de demande d’ESTA (Electronic System for Travel Authorization (lire US government starts asking foreign visitors for their Facebook, Twitter )

C'est par le biais d'une liste déroulante des plateformes auxquelles l’utilisateur peut associer son compte personnel comme Twitter, Instagram, Facebook, Twitter ou LinkedIn, que cette nouvelle atteinte caractérisée au secret de notre vie privée est allègrement franchie par l'administration américaine !

Ce n'est cependant pas une surprise que les Services de Douane américains (DHS) souhaitent accéder à vos informations de présence sur les réseaux sociaux (voir notre article du 27 juin 2016 Vos identifiants de présence en ligne sur les réseaux sociaux bientôt )

Une proposition de loi avait en effet été déposée en ce sens le 23 juin 2016 afin que les formulaires d’entrée et sortie aux Etats-Unis (ESTA et formulaires I-94 et I-94 W) comportent un renseignement supplémentaire pour signaler ses comptes dans les réseaux sociaux, avec les noms ou pseudonymes correspondants.

La nouvelle question est la suivante: "Please enter information associated with your online presence—Provider/Platform—Social media identifier.” que l'on peut traduire par "veuillez indiquer les renseignements relatifs à votre presence en ligne - identifiants"

La motivation de cette demande fort intrusive dans nos données personnelles émanant de l'U.S. Customs and Border Protection (CBP): il faut que le Département de la sécurité intérieure (DHS) dont elle est une des composantes puisse avoir davantage de visibilité sur une éventuelle activité nuisible et des connexions.

Il ne s'agit cependant, à ce stade, que d'une indication "optionnelle", dont on imagine aisément que le refus ne faciliterait pas l'entrée aux Etats-Unis...Il faudra sans doute faire preuve de persuasion pour expliquer au gabelou étatsunien pourquoi vous avez refusé de donner votre compte twitter !

On apprend à cette occasion que le coût annuel total des formulaires ESTA, I-94 et I-94 W serait de 300 millions de dollars.

Ou comment justifier un amortissement au détriment de la vie privée des voyageurs déjà mise à rude épreuve avec le fichier PNR européen dans les tuyaux (lire: Mise en place d'un fichier PNR européen et lutte contre le terrorisme ..)

Retrouvez la proposition déposée auprès du registre fédéral US: https://www.federalregister.gov/articles/2016/06/23/2016-14848/agency-information-collection-activities-arrival-and-departure-record-forms-i-94-and-i-94w-and#addresses

Vos comptes Twitter ou Facebook doivent être déclarés sur option depuis le 20 décembre aux autorités douanières avant d'entrer aux USA

Partager cet article

Repost0

Published by thierry vallat - dans NTIC Lutte contre le terrorisme
commenter cet article …

22 décembre 2016 4 22 /12 /décembre /2016 03:47

On ne peut imposer une obligation générale de conservation des données aux fournisseurs de communications électronique

Dans un arrêt très important rendu le 21 décembre 2016, la Cour de Justice de l'Union Européenne précise que les États membres ne peuvent pas imposer une obligation générale de conservation de données aux fournisseurs de services de communications électroniques

Aux termes de cette décision dans les affaires jointes C-203/15 Tele2 Sverige AB/ Post-och telestyrelsen et C-698/15 Secretary of State for the Home Department/Tom Watson e.a , la CJUE nous indique que droit de l’Union s’oppose à une conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation.

Pour la Cour, il est cependant loisible aux États membres de prévoir, à titre préventif, une conservation ciblée de ces données dans le seul but de lutter contre la criminalité grave, à condition qu’une telle conservation soit, en ce qui concerne les catégories de données à conserver, les moyens de communication visés, les personnes concernées ainsi que la durée de conservation retenue, limitée au strict nécessaire.

L’accès des autorités nationales aux données conservées doit donc être soumis à des conditions, dont notamment un contrôle préalable par une autorité indépendante et la conservation des données sur le territoire de l’Union.

Chaque législateur doit donc opter pour une conservation "ciblée", sous certaines conditions, notamment la destruction des données au terme de la durée de leur conservation. L'IP bill anglais par exemple est donc désormais hors la loi !

Retrouvez le communiqué de presse de la CJUE du 21 décembre 2016:http://curia.europa.eu/jcms/upload/docs/application/pdf/2016-12/cp160145fr.pdf

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

2 décembre 2016 5 02 /12 /décembre /2016 06:00

Droit à internet au travail: la CEDH s'est penchée le 30 novembre 2016 sur la surveillance des échanges par l'employeur

Article mis à jour le 5 septembre 2017

Existe-t-il un droit à l’Internet privé au travail ?

La Grande Chambre de la Cour européenne des droits de l’homme (CEDH) a tenu à ce sujet ce mercredi 30 novembre 2016 une importante audience dans l’affaire Bărbulescu c. Roumanie (requête n° 61496/08) (Retransmission de l'audience)

L’affaire concerne le licenciement d'un ressortissant roumain par son employeur pour avoir utilisé à des fins personnelles, et pendant les heures de travail, les comptes internet de la société au mépris du règlement de celle-ci.

Dans son arrêt de chambre du 12 janvier 2016 la Cour européenne des droits de l’homme avait conclu, par six voix contre une, à la non-violation de l’article 8 de la Convention, jugeant que les juridictions internes avaient ménagé un juste équilibre entre le droit du requérant au respect de sa vie privée et de sa correspondance en vertu de l’article 8 et les intérêts de son employeur. Elle avait estimé en particulier que si la vie privée et la correspondance du salarié avaient été mises en jeu, la surveillance de ses communications par son employeur avait été raisonnable dans le contexte d’une procédure disciplinaire (voir notre article du 13 janvier 2016: La surveillance de l'utilisation de comptes internet par un employé)

La Grande chambre avait été saisie le 16 juin 2016 et le délibéré sera prononcé à une date ultérieure non encore fixée.

La question est donc de savoir si l'employeur peut surveiller les échanges internet de son salarié sur son temps de travail. Il s'agit d'une question. Elle est jugée « très importante » par les syndicats européens, qui appellent à la « protection des travailleurs à l’ère numérique ».

Rappelons qu'en France d'une part les courriels adressés par le salarié grâce à l’outil informatique mis à sa disposition par l’employeur sont présumés avoir un caractère professionnel. (Ch. soc. 16 mai 2013 n°12-11866) et que d'autre part la Chambre sociale de la Cour de cassation, par exemple dans un arrêt du 26 février 2013 (n°11-27372), affirme constamment qu’une utilisation abusive d’internet pour des raisons personnelles pendant les heures de travail était constitutive d’une faute grave, justifiant un licenciement

J'ai été interrogé par LCI sur le sujet le 30 novembre 2016 .Retrouvez le point sur la règlementation en la matière en France dans l'article http://www.lci.fr/societe/vie-privee-au-travail-votre-employeur-a-t-il-le-droit-de-surveiller-ce-que-vous-faites-sur-internet-2015021.html

Mise à jour du 5 septembre 2017

Dans son arrêt de Grande Chambre, rendu ce 5 septembre 2017 dans l’affaire, la Cour européenne des droits de l’homme reconnait cette fois, par onze voix contre six, qu’il y a bien eu violation de l’article 8 (droit au respect de la vie privée et familiale, du domicile et de la correspondance) de la Convention européenne des droits de l’homme.

La CEDH a conclu que le droit du salarié au respect de sa vie privée et de sa correspondance n'avait pas été correctement protégé.

Les autorités n’ont en effet pas ménagé un juste équilibre entre les intérêts en jeu. En particulier, d’une part, il n'a pas été vérifié si M. Bărbulescu avait été préalablement averti par son employeur de la possibilité que ses communications soient surveillées et il n'a pas non plus, d’autre part, été tenu compte du fait qu’il n’avait été informé ni de la nature ni de l’étendue de cette surveillance, ni du degré d’intrusion dans sa vie privée et sa correspondance.

De surcroît, la CEDH exige que puisse être expliquées quelles raisons spécifiques avaient justifié la mise en place des mesures de surveillance, et ,si l’employeur aurait pu faire usage de mesures moins intrusives pour la vie privée et la correspondance de M. Bărbulescu et, troisièmement, si l’accès au contenu des communications avait été possible à son insu.

Il est intéressant de noter que la Cour européenne n'opère pas de distinction entre mail personnel et professionnel, comme le fait la jurisprudence française.

Aussi, toute communication électronique est susceptible de rentrer dans le champ d'application de l'article 8 de la convention.

Télécharger Arret CEDH de Grande Chambre Barbulescu c

Partager cet article

Repost0

Published by thierry vallat - dans Droit du travail et de la sécurité sociale NTIC
commenter cet article …

29 novembre 2016 2 29 /11 /novembre /2016 05:59

Peeple, Avocat.net, Doyouno, Uber: peut-on noter en ligne les professionnels ou ses voisins ?

Quand le futur dystopique imaginé par Black Mirror est déjà présent en 2016.

Dans le premier épisode de la troisième saison (Nosedive) de cette captivante série d'anticipation américaine, chacun est noté avec des étoiles: ça vous rappelle forcément quelque chose.

Uber bien sur, et ses chauffeurs que l'on note d'une à cinq étoiles en fonction de la qualité de la course (et qui vous notent en retour).

Sur le mode inauguré par Trip Advisor, voilà en effet la notation en ligne pour tout et n'importe quoi.

Vient par exemple d'être lancée dans certains arrondissements parisiens une nouvelle application dénommée "Doyouno" qui se veut être la première application de recommandation des services de proximité. Elle se targue de pouvoir vous permettre de trouver les meilleurs professionnels et artisans près de chez vous.

A en croire leur site (http://doyouno-app.andro.io/fr ): "Vous pourrez y trouver tous les métiers qui nécessitent une recommandation, tels que Médecins, Baby-sitter, coiffeur, vétérinaire, plombier, serrurier, peintre, boucher, boulanger, etc.

Vous avez besoin d’un bon serrurier, d’un bon médecin, d’un bon bricoleur ?Vous pouvez désormais choisir les meilleurs pros de votre quartier en comparant les notes et avis de la communauté. Chacun d’entre vous peut partager ses bonnes et mauvaises expériences, permettant ainsi à toute la communauté d’en profiter."

Et d'ouvrir également la voie à toutes les dérives bien entendu pour dénigrer ses concurrents ou s'auto congratuler en s'adressant des louanges pro domo.

Attention donc aux commentaires dénigrants: un internaute a ainsi été condamné en octobre 2015 à 2500 euros d’amende, et 5000 euros de frais, pour avoir rédigé un commentaire faux et malveillant visant un restaurant du groupe Bernard-Loiseau à Dijon comme le rappelle Le Bien public

Le 30 juin 2014 le tribunal de grande instance de Bordeaux avait également condamné en référé la blogueuse L'Irrégulière à 1500 euros à titre de provision sur dommages et intérêts, ainsi que 1000 euros de frais de procédure, en raison d'une critique jugée insultante-retirée depuis- du restaurant Il Giardino au Cap Ferret qu'elle avait publiée sur son blog

Dans un autre style, certaines LegalTechs comme AvoStart ou avocat.net se sont crues autorisées également à vouloir instaurer un système de notation des...avocats !

La Cour d'appel de Paris a pourtant rappelé dans un arrêt du 18 décembre 2015 que la pratique de cette notation des avocats, par les internautes, selon ses desiderata qui correspondent à ses propres critères, est contraire à la déontologie et porte atteinte à l’intérêt collectif de la profession.(http://cnb.avocat.fr/La-Cour-d-appel-de-Paris-alourdit-les-sanctions-contre-le-site-avocat-net--interdit-le-systeme-de-notation-des-avocats_a2507.html )

Il faut reconnaitre que nombre de sites de notations n’informent même pas les professionnels de la collecte et du traitement de leurs données !

On se souviendra à cet égard de l'affaire "Note2be" dans laquelle il était proposé à des étudiants de noter leurs professeurs ! Un syndicat d’enseignement avait obtenu en référé la suspension des pages des données personnelles des enseignants. La cour d’appel de Paris, dans son arrêt rendu le 25 juin 2008, avait confirmé et sanctionné la société Note2be.com sur le fondement de la loi du 6 janvier 1978 considérant que « n’importe qui peut « noter » un professeur, sans qu’un système ne limite cette possibilité aux seuls élèves ayant le professeur concerné comme enseignant", les données du site litigieux n'étant dans ces conditions "manifestement pas collectées de façon loyale, et ne présentent aucune garantie tant sur leur pertinence que sur leur caractère adéquat" (Cour d'appel de Paris 14ème chambre, section A Arrêt du 25 juin 2008)

La notation se généralise donc, et après les professionnels, voici que même les êtres humains de votre entourage sont désormais évalués !

En effet, après une année d'existence, l'application polémique Peeple est toujours téléchargeable sur les plateformes, certes édulcorée et encore peu populaire, mais elle existe.

Rappelons que ce Yelp ! d'un genre nouveau permet depuis novembre 2015 de noter... des gens.

Imaginée par deux Américaines, Peeple permet d'attribuer à des personnes (ses amis, les membres de sa famille, le livreur de pizza ou son voisin) des commentaires positifs ou négatifs et un nombre d'étoiles, correspondant à une "note".

Le projet avait été dès son origine fort décrié, poussant ses créatrices à revoir leur copie en l'adoucissant.

Son lancement a été avancé de novembre au 12 octobre 2015, et surtout, les principes de l'application ont été modifiés.

L'appli envisageait initialement notamment de pouvoir noter les gens à partir de leur simple numéro de téléphone et de leur créer un profil sans leur consentement, ce qui n'a finalement pas été retenu.

Devant le tollé suscité par l'application, et dans une déclaration publiée sur LinkedIn, Julia Cordray sa créatrice a effectué un rétropédalage radical en faisant désormais passer Peeple pour une invention "positive".

Chacun devra donner son autorisation pour que les avis le concernant soient publiés et les commentaires "négatifs" ont été abolis de la plate-forme.

Ainsi peut-on aujourd'hui allégrement continuer à noter ses voisins et amis via cette application, la frénésie de notation ne semblant pas devoir se tarir.

La licéité des applications de notation demeure cependant très problématique et Il est désormais plus que recommandé d'être très vigilant sur ses données et profils, et de veiller à préserver sa E-réputation: une mauvaise note est vite arrivée. Nous aurons l'occasion de revenir sur le sujet

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

17 novembre 2016 4 17 /11 /novembre /2016 14:36

La CNIL se penche sur les fichiers constitués dans le cadre des primaires ouvertes

L’organisation, par un ou plusieurs partis politiques, d’une consultation ouverte à l’ensemble des électeurs (dite « primaire ouverte »), pour désigner un candidat en vue d’élections, suscite des questions particulières en termes de protection des données.

La CNIL s'est donc légitimement penchée sur les fichiers constitués dans le cadre de ces primaires, dont celle de la Droite et du Centre qui se tiennent dès dimanche 20 novembre 2016 et le dimanche 27 novembre suivant, ainsi que celle de la Gauche les 22 et 29 janvier 2017

Le terme de «primaire ouverte» est utilisé lorsque d’autres personnes que les seuls membres du parti organisateur, voire l’ensemble des électeurs, peuvent y participer.

La sensibilité des informations collectées et traitées à cette occasion est évidemment amplifiée par le nombre d’électeurs appelés à participer à cette consultation (le corps électoral est estimé à environ 45 millions d’électeurs).

Ces opérations impliquent :

la constitution de fichiers spécifiques (comme les listes des participants et des électeurs potentiels ou une liste de « sympathisants » souhaitant être recontactés par les partis organisateurs) ;
la collecte et le traitement d'importants volumes de données personnelles susceptibles de faire apparaître les opinions politiques des participants (nom, prénom, adresse, date de naissance, numéro de téléphone, adresse électronique de l'électeur, expression de l’opinion).

La constitution du corps électoral

Les candidats et partis politiques peuvent notamment utiliser les listes électorales pour organiser une consultation des électeurs dans le cadre d’une élection primaire.

La liste électorale étant librement communicable en vertu du code électoral, son utilisation n’est pas subordonnée au recueil du consentement de chaque électeur ou à son information, celui-ci ne pouvant pas davantage s’opposer à cette transmission.

Le parti organisateur agrège les listes électorales pour constituer la liste informatisée des participants potentiels à cette consultation (le fichier des électeurs). Il procède à un découpage de cette liste par lieux de vote. Chaque bureau de vote reçoit la liste des électeurs de son bureau , afin de constituer la liste d’émargement.

Des mesures de sécurité adaptées doivent être mises en œuvre pour préserver la confidentialité des données :

lors de la constitution du fichier des électeurs,
lors de leur transmission aux bureaux de vote et durant l’intégralité de leur période d’utilisation.

Tout électeur peut par ailleurs s’opposer à figurer sur le fichier des électeurs avant même l’agrégation des listes électorales. L’exercice de cette opposition peut être exercé sur place et facilité par la mise en ligne d’un formulaire spécifique.

L’organisation du vote

Le jour du vote, les électeurs signent sur des supports distincts :

éventuellement, leur adhésion à la « charte des valeurs » fixées par les organisateurs ;
la liste d’émargement qui acte leur participation au vote.

Afin de se prémunir de la constitution d’un fichier faisant apparaître, directement ou indirectement, les opinions politiques (soutien à tel parti ou orientation vers telle direction) ou philosophiques (adhésion à certaines valeurs, par exemple) de l’ensemble des électeurs nationaux, la participation au vote et l’adhésion à la « charte des valeurs » ne peuvent pas faire l’objet d’un enregistrement dans le fichier des électeurs, constitué à partir des listes électorales.

Les participants peuvent donner leur consentement à être contactés par le parti organisateur sur un support de collecte spécifique, distinct de la liste d’émargement. Le parti politique organisateur constitue ainsi un « fichier des sympathisants » qu’il pourra utiliser, dès la proclamation des résultats de la primaire, à des fins de prospection politique.

Exemple de mention d’information à insérer sur le formulaire de collecte présenté lors de la primaire :
« En nous fournissant vos coordonnées, vous autorisez le parti organisateur à vous contacter pendant et, si vous le souhaitez, après l’élection [préciser le type de scrutin]. Ces informations nous permettront de vous tenir informé jusqu’à la proclamation officielle des résultats de [élection concernée]. Vous pouvez exercer vos droits d’accès, de rectification et de suppression à l’adresse postale ou électronique suivante : [coordonnées postales ou/et électroniques du parti]. »

Entre les deux tours

Entre les deux tours, ainsi qu'entre la fin du second tour et l'investiture officielle du candidat désigné, les formations politiques organisatrices doivent assurer un haut niveau de sécurité et de confidentialité, notamment

protéger l'accès informatique au fichier des électeurs ;
stocker de façon sécurisée les listes d'émargement et tout autre fichier constitué dans le cadre du scrutin.

Le fichier des sympathisants constitué au premier tour ne peut pas être utilisé par les candidats à la primaire.

La proclamation des résultats du vote

A la proclamation des résultats et à l’issue de l’investiture du candidat officiel, le parti politique organisateur procède à la destruction :

Du fichier des électeurs ayant servi à constituer le corps électoral ;
Eventuellement, du ou des fichiers des personnes ayant adhéré à la charte des valeurs».
Des listes d’émargement utilisées par les bureaux de vote ;

Le parti peut conserver le « fichier des sympathisants », constitué des personnes ayant consenti à devenir « contacts réguliers » du parti.

Durant la campagne présidentielle

Le « fichier des sympathisants » constitué à l’occasion des primaires peut être utilisé par le candidat à des fins de prospection politique.

Les personnes ont toutefois la possibilité de s’opposer à tout moment à recevoir de nouvelles sollicitations, et peuvent demander à ne plus figurer dans ce fichier

(Source: CNIL)

La CNIL se penche sur les fichiers constitués dans le cadre des primaires ouvertes

Partager cet article

Repost0

Published by thierry vallat - dans NTIC Droit numérique
commenter cet article …

28 octobre 2016 5 28 /10 /octobre /2016 06:20

Avertissement public de la CNIL pour le Parti Socialiste: grave manquement informatique de sécurité de données sensibles en ligne

La CNIL annonce le 27 octobre 2016 engager une procédure pour sanctionner le Parti socialiste pour ne pas avoir détecté un grave manquement en matière de sécurité informatique sur son site,.

Cette faille a permis une fuite de données personnelles de plus de 10.000 de ses adhérents.

Le 26 mai 2016, la CNIL a été informée de l’existence d’une faille de sécurité entraînant une fuite de données sur le site du Parti Socialiste. Lors d’un contrôle en ligne réalisé dès le lendemain, la CNIL a constaté que les mesures garantissant la sécurité et la confidentialité des données des primo-adhérents du PS étaient insuffisantes.

Les contrôleurs de la CNIL ont en effet pu accéder librement, par la saisie d’une URL, à la plateforme de suivi des primo-adhésions au Parti Socialiste effectuées en ligne. Ils ont notamment pu prendre connaissance des éléments suivants : nom, prénom, adresses électronique et postale, numéros de téléphone fixe et mobile, date de naissance, adresse IP, moyen de paiement et montant de la cotisation de certains adhérents.

Cette faille avait été rendue possible par l’utilisation d’une technique non sécurisée d’authentification à la plateforme. Elle a concerné plusieurs dizaines de milliers de primo-adhérents.

Alerté le même jour par la CNIL de cette faille, le PS a immédiatement pris les mesures nécessaires pour y mettre fin.

Un second contrôle réalisé cette fois dans les locaux du PS le 15 juin 2016, destiné à comprendre les raisons de la faille, a permis de constater que les mesures élémentaires de sécurité n’avaient pas été mises en œuvre initialement. En effet, il n’existait pas de procédure d’authentification forte au site ni de système de traçabilité permettant notamment d’identifier l’éventuelle exploitation malveillante de la faille.

Le contrôle a aussi permis de constater que le PS conservait sans limitation de durée les données personnelles de la plateforme, ce qui avait accru la portée de la fuite de données. La base active contenait des demandes d’adhésion effectuées depuis 2010 qui auraient dû a minima être stockées en archive.

En conséquence, la Présidente de la CNIL a décidé d’engager une procédure de sanction en désignant un rapporteur. La formation restreinte de la CNIL a prononcé le 13 octobre 2016 un avertissement public car elle a estimé que le Parti Socialiste avait manqué à ses obligations :

de veiller à la sécurité des données à caractère personnel des primo-adhérents, en méconnaissance de l’article 34 de la loi Informatique et Libertés ;
de fixer une durée de conservation des données proportionnelle aux finalités du traitement en méconnaissance de l’article 6-5 de la loi Informatique et Libertés.

Enfin, la formation restreinte a décidé de rendre publique sa décision le 27 octobre 2016 en raison de la gravité des manquements constatés, du nombre de personnes concernées par la faille et du caractère particulièrement sensible des données en cause qui permettaient notamment d’avoir connaissance de leurs opinions politiques.

Retrouvez la Délibération de la formation restreinte n°2016-315 du 13 octobre 2016 prononçant un avertissement à l'encontre du PARTI SOCIALISTE

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

20 octobre 2016 4 20 /10 /octobre /2016 06:55

Un site Internet peut conserver certaines données personnelles des visiteurs pour se défendre contre les cyber-attaques: CJUE arrêt Breyer du 19 octobre 2016

L’exploitant d’un site Internet peut avoir un intérêt légitime à conserver certaines données à caractère personnel des visiteurs afin de se défendre contre les attaques cybernétiques: tel est le sens de l'Arrêt de la Cour de Justice de l'Union européeenne du 19 octobre 2016 dans l'affaire n°C-582/14 Patrick Breyer contre Bundesrepublik Deutschland

Et autre point intéressant dans cette décision, nous savons désormais que pour la CJUE l’adresse de protocole internet dynamique d’un visiteur constitue, pour l’exploitant du site, une donnée à caractère personnel, lorsque cet exploitant dispose de moyens légaux lui permettant de faire identifier le visiteur concerné grâce aux informations supplémentaires dont dispose le fournisseur d’accès à Internet du visiteur.

M. Patrick Breyer s’opposait devant les juridictions allemandes à ce que les sites Internet des services fédéraux allemands qu’il consulte enregistrent et conservent ses adresses de protocole Internet (« adresses IP ») . Ces services enregistrent et conservent, outre la date et l’heure de la consultation, les adresses IP des visiteurs afin de se prémunir contre des attaques cybernétiques et de rendre possibles les poursuites pénales.

Le Bundesgerichtshof (Cour fédérale de justice, Allemagne) avait alors saisi la Cour de justice pour savoir si, dans ce contexte, les adresses IP « dynamiques » constituent elles aussi, à l’égard de l’exploitant du site Internet, une donnée à caractère personnel et bénéficient ainsi de la protection prévue pour de telles données. Une adresse IP dynamique est une adresse IP qui change lors de chaque nouvelle connexion à Internet. À la différence des adresses IP statiques, les adresses IP dynamiques ne permettent pas de faire le lien, au moyen de fichiers accessibles au public, entre un ordinateur donné et le branchement physique au réseau utilisé par le fournisseur d’accès à Internet. Ainsi, seul le fournisseur d’accès à Internet de M. Breyer dispose des informations supplémentaires nécessaires pour l’identifier.

Par ailleurs, le Bundesgerichtshof cherchait à savoir si l’exploitant d’un site Internet doit, au moins en principe, avoir la possibilité de collecter et d’utiliser ultérieurement les données à caractère personnel des visiteurs afin de garantir la capacité générale de fonctionnement de son site. Il observe à cet égard que la majorité de la doctrine allemande interprète la réglementation allemande en la matière en ce sens que ces données doivent être effacées à la fin de la session de consultation à moins qu’elles ne soient requises à des fins de facturation.

Par son arrêt du 19 octobre 2016 la Cour répond tout d’abord qu’une adresse IP dynamique enregistrée par un « fournisseur de services de médias en ligne » (c’est-à-dire par l’exploitant d’un site Internet, en l’occurrence les services fédéraux allemands) lors de la consultation de son site Internet accessible au public constitue, à l’égard de l’exploitant, une donnée à caractère personnel ( Au sens de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31) , lorsqu’il dispose de moyens légaux lui permettant de faire identifier le visiteur grâce aux informations supplémentaires dont dispose le fournisseur d’accès à Internet de ce dernier.

La Cour relève à cet égard qu’il semble exister en Allemagne des voies légales permettant au fournisseur de services de médias en ligne de s’adresser, notamment en cas d’attaques cybernétiques, à l’autorité compétente afin que celle-ci entreprenne les démarches nécessaires pour obtenir ces informations auprès du fournisseur d’accès à Internet et déclencher par la suite des poursuites pénales.

En second lieu, la Cour répond que le droit de l’Union s’oppose à une réglementation d’un État membre en vertu de laquelle, en l’absence du consentement du visiteur, un fournisseur de services de médias en ligne ne peut collecter et utiliser les données à caractère personnel du visiteur que dans la mesure où cette collecte et cette utilisation sont nécessaires pour permettre et facturer l’utilisation concrète des services par ce visiteur, sans que l’objectif visant à garantir la capacité générale de fonctionnement de ces services puisse justifier l’utilisation des données après une session de consultation de ceux-ci.

La Cour rappelle que, selon le droit de l’Union, le traitement de données à caractère personnel est licite, entre autres, s’il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

La réglementation allemande, telle qu’interprétée majoritairement par la doctrine, réduit la portée de ce principe, en excluant que l’objectif de garantir la capacité générale de fonctionnement du média en ligne puisse faire l’objet d’une pondération avec l’intérêt ou les droits et libertés fondamentaux des visiteurs.

Dans ce contexte, la Cour souligne que les services fédéraux allemands qui fournissent des services de médias en ligne pourraient avoir un intérêt légitime à garantir, au-delà de chaque utilisation concrète de leurs sites Internet accessibles au public, la continuité du fonctionnement de leurs sites.

En résumé, pour cette décision du 19 octobre 2016:

- L’article 2, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’une adresse de protocole Internet dynamique enregistrée par un fournisseur de services de médias en ligne à l’occasion de la consultation par une personne d’un site Internet que ce fournisseur rend accessible au public constitue, à l’égard dudit fournisseur, une donnée à caractère personnel au sens de cette disposition, lorsqu’il dispose de moyens légaux lui permettant de faire identifier la personne concernée grâce aux informations supplémentaires dont dispose le fournisseur d’accès à Internet de cette personne.

- L’article 7, sous f), de la directive 95/46 doit être interprété en ce sens qu’il s’oppose à une réglementation d’un État membre en vertu de laquelle un fournisseur de services de médias en ligne ne peut collecter et utiliser des données à caractère personnel afférentes à un utilisateur de ces services, en l’absence du consentement de celui-ci, que dans la mesure où cette collecte et cette utilisation sont nécessaires pour permettre et facturer l’utilisation concrète desdits services par cet utilisateur, sans que l’objectif visant à garantir la capacité générale de fonctionnement des mêmes services puisse justifier l’utilisation desdites données après une session de consultation de ceux-ci.

Retrouvez l'arrêt Breyer de la CJUE du 19 octobre 2016: http://curia.europa.eu/juris/document/document.jsf;jsessionid=9ea7d2dc30d58e5f40beca054bb0ae2fe5de75dd6a02.e34KaxiLc3qMb40Rch0SaxyKax50?text=&docid=184668&pageIndex=0&doclang=FR&mode=req&dir=&occ=first&part=1&cid=1404507

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

29 septembre 2016 4 29 /09 /septembre /2016 00:13

Testament numérique: la vie des données après la mort avec la loi votée le 28 septembre 2016

Avec le développement de l’Internet et des réseaux sociaux, les données mises en ligne par les internautes connaissent un fort développement, mais chaque site ou réseau social disposait jusqu'alors d'une totale liberté de traitement de la mort numérique.

La gestion de ces données après la mort soulève en effet des difficultés, les héritiers n’en ayant pas nécessairement connaissance et ne pouvant y avoir accès. S’agissant de données à caractère personnel, celles-ci sont attachées à la personne du défunt et ne peuvent être transmises par voie de succession aux héritiers.

La Cnil a identifié par exemple qu'un profil sur 100 sur Facebook est celui d'une personne décédée.

La loi pour une République numérique votée le 28 septembre 2016 permet désormais à toute personne, de son vivant, d’organiser les conditions de conservation et de communication de ses données à caractère personnel après son décès: un véritable testament numérique

La personne pourra transmettre des directives sur le sort de ses données à caractère personnel à la CNIL ou à un responsable de traitement et pourra désigner une personne chargée de leur exécution.

Par ailleurs, les fournisseurs de services sur Internet devront informer l’utilisateur du sort de ces données à son décès et lui permettre de choisir de les transmettre ou non à un tiers qu’il désigne.

C'est donc l'article 63 de la loi numérique qui dispose:

" Article 63:

I. – La loi n° 78-17 du 6 janvier 1978 précitée est ainsi modifiée :

1° L’article 40 est ainsi modifié :

a) Au début du premier alinéa, est ajoutée la mention : « I. – » ;

b) Après le cinquième alinéa, il est inséré un II ainsi rédigé :

« II. – Sur demande de la personne concernée, le responsable du traitement est tenu d’effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne concernée était mineure au moment de la collecte. Lorsqu’il a transmis les données en cause à un tiers lui-même responsable de traitement, il prend des mesures raisonnables, y compris d’ordre technique, compte tenu des technologies disponibles et des coûts de mise en œuvre, pour informer le tiers qui traite ces données que la personne concernée a demandé l’effacement de tout lien vers celles-ci, ou de toute copie ou de toute reproduction de celles-ci.

« En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation.

« Les deux premiers alinéas du présent II ne s’appliquent pas lorsque le traitement de données à caractère personnel est nécessaire :

« 1° Pour exercer le droit à la liberté d’expression et d’information ;

« 2° Pour respecter une obligation légale qui requiert le traitement de ces données ou pour exercer une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

« 3° Pour des motifs d’intérêt public dans le domaine de la santé publique ;

« 4° À des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où le droit mentionné au présent II est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement ;

« 5° À la constatation, à l’exercice ou à la défense de droits en justice. » ;

c) Les deux derniers alinéas sont supprimés ;

2° Après l’article 40, il est inséré un article 40-1 ainsi rédigé :

« Art. 40-1. – I. – Les droits ouverts à la présente section s’éteignent au décès de leur titulaire. Toutefois, ils peuvent être provisoirement maintenus conformément aux II et III suivants.

« II. – Toute personne peut définir des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès. Ces directives sont générales ou particulières.

« Les directives générales concernent l’ensemble des données à caractère personnel se rapportant à la personne concernée et peuvent être enregistrées auprès d’un tiers de confiance numérique certifié par la Commission nationale de l’informatique et des libertés.

« Les références des directives générales et le tiers de confiance auprès duquel elles sont enregistrées sont inscrites dans un registre unique dont les modalités et l’accès sont fixés par décret en Conseil d’État, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.

« Les directives particulières concernent les traitements de données à caractère personnel mentionnées par ces directives. Elles sont enregistrées auprès des responsables de traitement concernés. Elles font l’objet du consentement spécifique de la personne concernée et ne peuvent résulter de la seule approbation par celle-ci des conditions générales d’utilisation.

« Les directives générales et particulières définissent la manière dont la personne entend que soient exercés, après son décès, les droits mentionnés à la présente section. Le respect de ces directives est sans préjudice des dispositions applicables aux archives publiques comportant des données à caractère personnel.

« Lorsque les directives prévoient la communication de données qui comportent également des données à caractère personnel relatives à des tiers, cette communication s’effectue dans le respect de la présente loi.

« La personne peut modifier ou révoquer ses directives à tout moment.

« Les directives mentionnées au premier alinéa du présent II peuvent désigner une personne chargée de leur exécution. Celle-ci a alors qualité, lorsque la personne est décédée, pour prendre connaissance des directives et demander leur mise en œuvre aux responsables de traitement concernés. À défaut de désignation ou, sauf directive contraire, en cas de décès de la personne désignée, ses héritiers ont qualité pour prendre connaissance des directives au décès de leur auteur et demander leur mise en œuvre aux responsables de traitement concernés.

« Toute clause contractuelle des conditions générales d’utilisation d’un traitement portant sur des données à caractère personnel limitant les prérogatives reconnues à la personne en vertu du présent article est réputée non écrite.

« III. – En l’absence de directives ou de mention contraire dans lesdites directives, les héritiers de la personne concernée peuvent exercer après son décès les droits mentionnés à la présente section dans la mesure nécessaire :

« – à l’organisation et au règlement de la succession du défunt. À ce titre, les héritiers peuvent accéder aux traitements de données à caractère personnel qui le concernent afin d’identifier et d’obtenir communication des informations utiles à la liquidation et au partage de la succession. Ils peuvent aussi recevoir communication des biens numériques ou des données s’apparentant à des souvenirs de famille, transmissibles aux héritiers ;

« – à la prise en compte, par les responsables de traitement, de son décès. À ce titre, les héritiers peuvent faire procéder à la clôture des comptes utilisateurs du défunt, s’opposer à la poursuite des traitements de données à caractère personnel le concernant ou faire procéder à leur mise à jour.

« Lorsque les héritiers en font la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en application du troisième alinéa du présent III.

« Les désaccords entre héritiers sur l’exercice des droits prévus au présent III sont portés devant le tribunal de grande instance compétent.

« IV. – Tout prestataire d’un service de communication au public en ligne informe l’utilisateur du sort des données qui le concernent à son décès et lui permet de choisir de communiquer ou non ses données à un tiers qu’il désigne. » ;

3° Le 6° du I de l’article 32 est complété par les mots : « dont celui de définir des directives relatives au sort de ses données à caractère personnel après sa mort » ;

4° Au premier alinéa de l’article 67, les références : « 39, 40 et » sont remplacées par les mots : « et 39, le I de l’article 40 et les articles »."

Retrouvez la loi pour une République numérique, adoptée par le Sénat le 28 septembre 2016 , TA n° 185

Pour plus de détails sur le testament numérique , n'hésitez pas à prendre contact avec notre Cabinet

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

28 septembre 2016 3 28 /09 /septembre /2016 07:44

Le contrôle d’accès biométrique sur les lieux de travail modifié par la CNIL

Les dispositifs biométriques sont strictement encadrés par la loi Informatique et Libertés et par le nouveau règlement européen sur la protection des données.

En Droit du travail: l'utilisation de données biométriques et d'empreintes fait ainsi l'objet d'attentions toutes particulières de la Commission nationale Informatique et Liberté (CNIL)

Le 30 juin 2016, la CNIL a adopté deux autorisations uniques qui refondent en profondeur l’encadrement des dispositifs de contrôle d’accès biométrique sur les lieux de travail qui viennent seulement de faire l'objet d'une publication au Journal officiel du 27 septembre 2016.

La biométrie : qu'est-ce que c'est ?

La biométrie regroupe l’ensemble des techniques informatiques permettant d’identifier un individu à partir de ses caractéristiques physiques, biologiques, voire comportementales (empreintes digitales, iris, voix, visage ou même la démarche). A titre d’illustration, le contrôle d'accès par reconnaissance de l’empreinte digitale fonctionne de la manière suivante :

un échantillon biométrique de référence ou « gabarit » créé à partir de l’image de l’empreinte et ne retenant que les points distinctifs des sillons digitaux est enregistré ;
ce gabarit de référence est comparé au doigt posé sur le lecteur biométrique, lors du contrôle d’accès.

Des traitements de données sensibles

La biométrie est aujourd’hui intégrée à de nombreux actes de la vie quotidienne nécessitant une authentification des personnes. Dans un contexte professionnel, il peut s’agir du contrôle d’accès à des locaux, à des ordinateurs, ou à des applications. La biométrie est souvent présentée dans ces cas comme une alternative plus ergonomique et plus fiable que le port de badges encombrants et que l’on peut oublier.

Or, les données biométriques permettent de reconnaitre automatiquement les personnes et reposent sur une réalité biologique permanente, dont elles ne peuvent s’affranchir.

A la différence d’un badge ou d’un mot de passe, il n’est pas possible de se défaire d’une caractéristique biométrique ou de la modifier. Le mauvais usage ou le détournement d’une telle donnée peut alors avoir des conséquences graves pour les droits et libertés des personnes.

Le cadre légal

Les dispositifs biométriques sont strictement encadrés par la loi Informatique et Libertés et sont soumis à l’autorisation préalable de la CNIL (article 25).

Afin de simplifier la procédure, la Commission a allégé les formalités pour certains dispositifs, en définissant un cadre de référence : l’autorisation unique. Quand un organisme met en œuvre un dispositif biométrique qui répond aux exigences définies par une autorisation unique, il peut effectuer une déclaration simplifiée, qui l'engage au respect des conditions définies dans ce texte.

La CNIL peut, à tout moment, effectuer un contrôle sur place pour vérifier la réalité de cet engagement.

Cas particulier :
les dispositifs biométriques mis en œuvre par l’Etat pour authentifier ou contrôler l’identité des personnes relèvent d’un avis préalable de la CNIL sur un décret (article 27-I-2°).

La doctrine de la CNIL

Depuis plusieurs années, de nombreux outils se sont développés pour permettre de capter et de reproduire les caractéristiques physiques des personnes, aisément et à bas coût. L’effacement des frontières entre biométrie « à trace » et « sans trace » ces dernières années a conduit la CNIL à revoir sa doctrine.

Aujourd’hui, toutes les caractéristiques biométriques laissent des traces et peuvent présenter des risques élevés pour les personnes concernées.

ANTICIPER LE RÈGLEMENT EUROPÉEN SUR LA PROTECTION DES DONNÉES

Les traitements de données, notamment biométriques, devront être en conformité avec le règlement européen d’ici mai 2018. A cette date, les dispositifs biométriques ne seront plus soumis à l’autorisation préalable de la CNIL.

Les organismes qui mettent en oeuvre ces dispositifs devront en revanche :

documenter les différentes caractéristiques de leurs traitements
être en mesure de démontrer leur proportionnalité
respecter les principes de protection des données par défaut et dès la conception
réaliser une analyse d’impact relative à la protection des données, si leur traitement biométrique est réalisé à grande échelle.

Ces nouvelles exigences sont intégrées dans les autorisations uniques AU-052 et AU-053.

Mesures transitoires

Les autorisations uniques AU-007, AU-008, AU-019, AU-027 sont abrogées.

Les responsables du traitement qui avaient effectué un engagement de conformité à ces autorisations uniques doivent vérifier si leur traitement répond aux exigences des nouvelles autorisations uniques AU-052 ou AU-053.

Si oui : un engagement de conformité à l'une de ces nouvelles autorisations peut être réalisé ;
Si non : ils disposent d’un délai de deux ans pour se mettre en conformité

Attention : à l’issue du délai de 2 ans, le règlement européen sera applicable.

La vérification des obligations imposées par les nouvelles autorisations uniques pourront être effectuées à tout moment par la CNIL dans le cadre de contrôles.

Autorisations uniques biométrie

> AU-052 - Biométrie : Contrôle d’accès sur les lieux de travail avec maîtrise de la personne sur son gabarit

> AU-053 - Biométrie : Contrôle d’accès sur les lieux de travail, avec conservation des gabarits biométrique en base

(Source: CNIL

Retrouvez également

Partager cet article

Repost0

Published by thierry vallat - dans Droit du travail et de la sécurité sociale NTIC
commenter cet article …

18 septembre 2016 7 18 /09 /septembre /2016 07:40

Vers la fin du WiFi gratuit sans mot de passe dans les hotspots publics: l'arrêt Mc Fadden de la CJUE du 15 septembre 2016

C'est une très importante décision qui vient d'être rendue le 15 septembre 2016 par la Cour de Justice de l'Union européenne (CJUE) dans l'affaire C-484/14 Tobias Mc Fadden / Sony Music Entertainment Germany GmbH.

Elle sonne en effet le glas du WiFi ouvert et gratuit sans mot de passe dans les lieux publics européens et donc de l'anonymat pour y accéder.

La CJUE a jugé dans un premier temps que l’exploitant d’un magasin qui propose gratuitement au public un réseau Wi-Fi n’est pas responsable des violations de droits d’auteur commises par un utilisateur.

Toutefois, la Cour précise qu'un tel exploitant peut être enjoint à sécuriser son réseau par un mot de passe afin de mettre un terme à ces violations ou de les prévenir !

Comment en est-on arrivé là ?

M. Tobias Mc Fadden est le gérant d’un magasin de techniques d’illumination et de sonorisation, dans lequel il propose gratuitement au public un réseau Wi-Fi afin d’attirer l’attention de clients potentiels à ses biens et services.

En 2010, une œuvre musicale dont Sony détient les droits d’auteur a été illicitement proposée au public pour téléchargement via ce réseau. Le Landgericht München I (tribunal régional de Munich I, Allemagne), saisi du litige opposant Sony à M. Mc Fadden, estime que ce dernier n’a pas violé lui-même les droits d’auteur concernés. Il envisage toutefois la possibilité de tenir M. Mc Fadden pour indirectement responsable de cette violation en raison de l’absence de sécurisation de son réseau Wi-Fi.

Ayant toutefois des doutes sur la question de savoir si la directive sur le commerce électronique n°2000/31/CE du Parlement européen et du Conseil, du 8 juin 2000 (JO L 178, p. 1) s’oppose à une telle responsabilité indirecte, le Landgericht a soumis une série de questions à la Cour de justice.

En effet, la directive exclut la responsabilité des prestataires intermédiaires pour une activité illicite initiée par un tiers, lorsque leur prestation consiste en un « simple transport (“mere conduit”) » des informations.

Cette exclusion de responsabilité joue sous réserve que trois conditions cumulatives soient remplies, à savoir:

1) le prestataire ne doit pas être à l’origine de la transmission,

2) il ne doit pas sélectionner le destinataire de la transmission et

3) il ne doit ni sélectionner ni modifier les informations faisant l’objet de la transmission.

Dans son arrêt rendu le 15 septembre 2016, la Cour constate tout d’abord que la mise à disposition gratuite d’un réseau Wi-Fi au public afin d’attirer l’attention des clients potentiels sur les produits ou services d’un magasin constitue un « service de la société de l’information » visé par la directive.

Ensuite, la Cour confirme que, dans le cas où les trois conditions précitées sont remplies, la responsabilité d’un prestataire qui, tel M. Mc Fadden, fournit l’accès à un réseau de communication ne peut pas être engagée.

Par conséquent, le titulaire de droits d’auteur n’est pas habilité à demander à ce prestataire une indemnisation au motif que le réseau a été utilisé par des tiers pour violer ses droits. Puisqu’une telle demande d’indemnisation ne peut pas prospérer, il est également exclu que le titulaire de droits puisse demander le remboursement des frais de mise en demeure ou de justice liés à cette demande.

En revanche, la directive ne s’oppose pas à ce que le titulaire de droits demande à une autorité ou à une juridiction nationale d’enjoindre à un tel prestataire de mettre fin à toute violation des droits d’auteur commise par ses clients ou de prévenir de telles violations.

Enfin, la Cour constate qu’une injonction ordonnant la sécurisation de la connexion à Internet au moyen d’un mot de passe est de nature à assurer un équilibre entre, d’une part, les droits de propriété intellectuelle des titulaires de droits et, d’autre part, le droit à la liberté d’entreprise des fournisseurs d’accès et le droit à la liberté d’information des utilisateurs du réseau.

La CJUE relève en particulier, qu’une telle mesure est susceptible de dissuader les utilisateurs d’un réseau de violer des droits de propriété intellectuelle. À cet égard, la Cour souligne néanmoins que, afin d’assurer la réalisation de cet effet dissuasif, il est nécessaire que les utilisateurs, pour éviter qu’ils n’agissent anonymement, soient obligés de révéler leur identité avant de pouvoir obtenir le mot de passe requis.

En revanche, la directive exclut de manière expresse l’adoption d’une mesure visant la surveillance des informations transmises via un réseau donné.

De même, une mesure consistant à arrêter complétement la connexion à Internet sans envisager l’adoption de mesures moins attentatoires à la liberté d’entreprise du fournisseur de cette connexion ne serait pas de nature à concilier les droits concurrents précités.

A noter que la Cour n'a pas suivi les conclusions de son avocat général Maciej Szpuna qui prônait pour sa part une liberté des hotspots ouverts, tout en maintenant sa jurisprudence Sabam (arrêt du 24 novembre 2011) concernant les fournisseurs d'accès internet (FAI), en rappelant que les intermédiaires techniques ne sont pas « soumis à des obligations générales de surveillance des informations qu’ils transmettent« .

Nous allons tout droit vers "l'obligation pour les utilisateurs, pour éviter qu’ils n’agissent anonymement ...de révéler leur identité avant de pouvoir obtenir le mot de passe requis".

Retrouvez l'arrêt Tobias Mc Fadden du 15 septembre 2016

Partager cet article

Repost0

Published by thierry vallat - dans NTIC Droit numérique
commenter cet article …

8 septembre 2016 4 08 /09 /septembre /2016 04:38

Pages Facebook anti radars: la Cour de cassation confirme la relaxe des conducteurs qui signalent la présence des radars sur les réseaux sociaux

Les réseaux sociaux ne sont pas responsables de tous les maux.

Par exemple, si tu es sur Facebook que tu n'aimes pas les radars et que tu as créé un groupe pour les repérer: la cour de cassation te like grave

Dans son arrêt du 6 septembre 2016, la Cour de cassation confirme en effet la relaxe générale de l'ensemble des membres d'un groupe Facebook qui indiquait la présence de radars et des contrôles routiers dans l'Aveyron.

Les membres de ce groupe Facebook avaient été condamnés, en première instance à Rodez en septembre 2014, à un mois de suspension de permis de conduire pour avoir indiqué la présence de radars sur Facebook, via la page "Le groupe qui te dit où est la police en Aveyron".

Ils avaient par la suite été tous relaxés par la cour d'appel de Montpellier en septembre 2015, considérant que l'utilisation d'un réseau social, tel Facebook, sur lequel les internautes inscrits échangent des informations, depuis un ordinateur ou un téléphone mobile, ne peut être considérée comme l'usage d'un dispositif de nature à se soustraire à la constatation des infractions relatives à la circulation routière incriminé par l'article R.413-15 du code de la route.

Le parquet général s'est alors pourvu en cassation.

La Chambre criminelle de la Cour de cassation confirme cette relaxe en précisant que:

" les dispositions de l’article R. 413-15 I du code de la route ne prohibent pas le fait d’avertir ou d’informer de la localisation d’appareils, instruments ou systèmes servant à la constatation des infractions à la législation ou à la réglementation de la circulation routière, mais uniquement la détention, le transport et l’usage des dispositifs ou produits de nature ou présentés comme étant de nature à déceler la présence ou perturber le fonctionnement d'appareils, instruments ou systèmes servant à la constatation des infractions à la législation ou à la réglementation de la circulation routière ou à permettre de se soustraire à la constatation desdites infractions"

Par ailleurs, il existe "de multiples exemples d’utilisation, par les autorités publiques, des réseaux sociaux pour informer les automobilistes de la localisation de contrôles de vitesse et d’alcoolémie".

Rappelons par ailleurs que l'Article R413-15 du code de la route réprime la vente, la détention, l'utilisation, l'adaptation ou le transport de tous appareils permettant notamment la détection des radars destinés au contrôle de vitesse. La saisie et la confiscation sont de droit. Vous risquez une contavention de 5ème classe réprimées par une peine d'amende de 1500 euros, une suspension du permis pouvant aller jusqu'à trois ans ainsi que le retrait de six points sur le permis.

Retrouvez l'arrêt de la Cour de cassation du 6 septembre 2016:

Télécharger /ob_b37126_arret-cassation-crim-6-septembre-201

Partager cet article

Repost0

Published by thierry vallat - dans droit des transports NTIC
commenter cet article …

24 août 2016 3 24 /08 /août /2016 05:18

Diffamation sur internet et compétence territoriale: l'arrêt de la chambre criminelle du 12 juillet 2016

La Cour de cassation précise qu’en cas de diffamation par un site internet, si ce site vise d’une manière ou d’une autre le public français et n'est pas uniquement destiné à un public étranger, aucune procédure ne peut être initiée devant un tribunal français.

Tel était le cas de ces deux soeurs, respectivement de nationalités américaine et japonaise pour l'une et de nationalité japonaise pour l'autre, toutes deux domiciliées au Japon, qui avaient fait citer un individu de nationalité sud-africaine, devant un tribunal correctionnel français, du chef de diffamation publique envers des particuliers.

Il s'agissait de deux textes en langue anglaise mis en ligne sur le site internet accessible à l’adresse kickstarter.com et évoquant les relations professionnelles entretenues au Japon par les intéressés.

Le tribunal correctionnel puis la Cour d'appel de Poitiers se déclarent incompétents

En effet, si les infractions de presse sont réputées commises en tout lieu où les propos incriminés ont été reçus, lorsque ces derniers ont été diffusés sur le réseau internet, la compétence territoriale du tribunal français saisi, qui ne saurait être universelle, ne peut être retenue que si les pages du site les contenant sont à destination du public français.

En l'occurence, ni les propos, en langue anglaise, qui visent des personnes de nationalité japonaise et/ ou américaine domiciliées au Japon et portent sur des événements qui se sont déroulés dans ce pays, ni le site internet américain sur lequel ils ont été mis en ligne par une personne qui n’était pas de nationalité française, ne sont orientés vers le public français, peu important que ce site soit accessible depuis le territoire national.

Dans son arrêt du 12 juillet 2016 (Cass. Crim., 12 juill. 2016, pourvoi n° 15-86645), la Cour de cassation confirme qu'en l’absence de tout critère rattachant au territoire de la République les propos incriminés, la circonstance que ceux-ci, du fait de leur diffusion sur le réseau internet, aient été accessibles depuis ledit territoire ne caractérisait pas, à elle seule, un acte de publication sur ce territoire rendant le juge français compétent pour en connaître.

La chambre criminelle de la Cour de cassation se rallie ainsi dans cette décision à la position de la chambre commerciale selon laquelle « la seule accessibilité d'un site Internet sur le territoire français n'est pas suffisante pour retenir la compétence des juridictions françaises, prises comme celles du lieu du dommage allégué, sans rechercher si les annonces litigieuses étaient destinées au public de France » (arrêt « Marithé et François Girbaud », Cour de cassation, civile, Chambre commerciale, 20 septembre 2011).

Retrouvez sur Doctrine.fr l'arrêt de la Cour de cassation, criminelle, Chambre criminelle, 12 juillet 2016

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

22 août 2016 1 22 /08 /août /2016 06:57

Attention aux jeux gratuits sur votre smartphone: les conseils de la CNIL

Près d’un Français sur deux joue à des jeux vidéo dématérialisés. Un succès grandissant pour les applications de jeu souvent gratuites et addictives mais qui se montrent gourmandes en données.

Un joueur moyen consacrerait plus de 5 heures par semaine aux jeux «free to play» (gratuit) depuis leur tablette ou encore leur smartphone. La plupart de ces jeux s’obtiennent gratuitement en un clic et sont particulièrement adaptés aux situations de mobilité (train, métro…), ou aux périodes d’inactivité (file d’attente, pause journalière…).

Il existe une multitude de modèles économiques pour les applications mobiles « gratuites » de jeu qui vont de la publicité (in-app ou hors app) à des micro-paiements ou du freemium (pour obtenir des avantages et des options, accélérer sa progression ou accéder à d’autres niveaux) en passant par du sponsoring ou la promotion de services commerciaux plus traditionnels.

Dans tous les cas, la gratuité n’est qu’apparente, ces applications s'appuyant plus ou moins directement sur la collecte des données générées par les utilisateurs à partir de leur smartphone. C’est particulièrement vrai pour la donnée de localisation du smartphone, une des véritables contreparties du jeu qui s'avère très précieuse pour affiner le ciblage publicitaire.

Les éditeurs profitent également de l’engagement des joueurs pour collecter de nombreuses données comportementales (patience du joueur, goût du risque, découragement face à un obstacle…). Certains éditeurs souhaitent exploiter au mieux le comportement du joueur afin d’encourager l’achat pour mieux progresser dans le jeu. Des techniques qui s’appuient sur les mêmes mécanismes de frustration et de récompenses que les jeux de hasard et les casinos.

Enfin, les jeux basés sur la localisation - comme Pokémon Go qui bénéficie d’une base importante d’utilisateurs - attirent les personnes vers des espaces physiques commerciaux (des magasins partenaires, des marques sponsorisant des lieux,…).

Concrètement, plutôt que de revendre les données de ses utilisateurs, l’éditeur du jeu préfèrera inciter ses joueurs à se rendre chez ses partenaires commerciaux. Ces derniers rémunéreront plus ou moins l’éditeur selon la qualité des profils qui franchiront leur porte. Ainsi, plus les données collectées par l’application sont précises, plus le profilage du joueur/consommateur est fiable, meilleure sera la rémunération de l’éditeur.

Face au manque de transparence de certaines applications, beaucoup d’utilisateurs n’ont pas conscience de la quantité d’informations personnelles qu’ils sont susceptibles de transmettre vers l’extérieur ni de savoir où elles vont, ou encore à quelles fins elles peuvent être utilisées. Il ne faut jamais oublier qu’un jeu gratuit implique une contrepartie à obtenir de la part du joueur.

Une récente étude révèle que 31% des joueurs en ligne ont déjà été victimes d’un préjudice (virus, piratage d'un compte de jeu, surfacturation de communications, …etc.). Sous couvert de proposer une expérience gratuite, une application malveillante peut accéder à des informations dont elle n'a pas besoin , contenir un virus ou encore subtiliser certaines informations bancaires ! D’autres applications peuvent tout simplement présenter des défauts de sécurité.

Les conseils de la CNIL pour les joueurs ?

éviter d’utiliser des apps tierces non-officielles ou de télécharger des applications de sources inconnues ;
lire les commentaires des utilisateurs sur le magasin d’applications: paramétrer la recherche d'avis selon les commentaires les plus récents ;
vérifier les permissions demandées avant d’accepter une application ;
lorsque cela est possible, limiter le nombre d’informations nécessaires à l’inscription : entrer un pseudonyme, utiliser une adresse mail pourriel… ;
utiliser un mot de passe différent de ceux utilisés sur les autres services en ligne ;
éteindre les applications quand on a fini de jouer et les supprimer quand on ne les utilise plus ;
si l'appareil le propose, appliquer les paramètres de protection de la vie privée protecteur : par exemple, en n’autorisant pas l’accès aux contacts si ce n’est pas utile ;
désactiver l’accès de l’application à la géolocalisation lorsqu’elle n’est pas nécessaire : si la géolocalisation est indispensable au jeu, il est possible d'éteindre la fonctionnalité une fois le jeu fermé ;
si le jeu vous encourage à prendre des photos, pensez aux autres personnes autour de vous, et ne les prenez pas en photo sans leur consentement ;
renouveler régulièrement votre identifiant publicitaire.

(Source: CNIL https://www.cnil.fr/fr/jeux-sur-votre-smartphone-quand-cest-gratuit)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

Protection des données et mots de passe: la recommandation de la CNIL du 19 janvier 2017

Données personnelles en danger: les sites de rencontre Meetic et Attractive World épinglés par la CNIL

Vos comptes Twitter ou Facebook doivent être déclarés sur option depuis le 20 décembre aux autorités douanières avant d'entrer aux USA

On ne peut imposer une obligation générale de conservation des données aux fournisseurs de communications électronique

Droit à internet au travail: la CEDH s'est penchée le 30 novembre 2016 sur la surveillance des échanges par l'employeur

Peeple, Avocat.net, Doyouno, Uber: peut-on noter en ligne les professionnels ou ses voisins ?

La CNIL se penche sur les fichiers constitués dans le cadre des primaires ouvertes

La constitution du corps électoral

L’organisation du vote

Entre les deux tours

La proclamation des résultats du vote

Durant la campagne présidentielle

Avertissement public de la CNIL pour le Parti Socialiste: grave manquement informatique de sécurité de données sensibles en ligne

Un site Internet peut conserver certaines données personnelles des visiteurs pour se défendre contre les cyber-attaques: CJUE arrêt Breyer du 19 octobre 2016

Testament numérique: la vie des données après la mort avec la loi votée le 28 septembre 2016