ntic - Le blog de Thierry Vallat, avocat au Barreau de Paris (et sur Twitter: @MeThierryVallat)

17 novembre 2015 2 17 /11 /novembre /2015 05:22

Défaut de sécurité de données clients: la CNIL sanctionne Optical Center

La formation restreinte de la CNIL a prononcé une sanction de 50000€ à l’encontre de la société OPTICAL CENTER qui n’a pas suffisamment assuré la sécurité et la confidentialité des données de ses clients.

En décembre 2014, la société OPTICAL CENTER a été mise en demeure par la Présidente de la CNIL de se mettre en conformité avec la loi « Informatique et Libertés », notamment concernant les traitements de données personnelles de ses clients. Celle-ci faisait suite à une plainte reçue qui avait donné lieu à un contrôle.

La société ayant apporté des éléments de réponse attestant d’une mise en conformité partielle, la CNIL a procédé à un nouveau contrôle sur place et à une audition de la société, en février et juin 2015. Ils ont permis de constater la persistance de certains manquements.

La mise en demeure n’ayant pas été entièrement satisfaite, la formation restreinte de la CNIL a prononcé une sanction pécuniaire de 50.000 euros à l'encontre de la société OPTICAL CENTER, qu’elle a décidé de rendre publique.

La formation restreinte a considéré que la société ne s’était pas mise en conformité sur deux points :

La société n’a pas mis en place les mesures adaptées pour assurer la sécurité et la confidentialité des données de ses clients (170 000 comptes utilisateurs sur le site www.optical-center.fr) ;
Le contrat signé par la société avec l’un de ses prestataires ne contenait pas de clause précisant les obligations de ce prestataire en matière de protection de la sécurité et de la confidentialité des données des clients.

Dans sa Délibération n° 2015-379 du 5 novembre 2015 prononçant une sanction pécuniaire à l’encontre de la société OPTICAL CENTER, la CNIL inflige donc à cette dernière une amende de 50.000 €.

(Source: CNIL)

Mise à jour: La société OPTICAL CENTER nous a contacté ce jour afin de préciser qu'elle s'était depuis lors mise en conformité avec les demandes de la CNIL.

Partager cet article

Repost0

Published by thierry vallat - dans NTIC
commenter cet article …

30 octobre 2015 5 30 /10 /octobre /2015 07:00

Quels policiers et gendarmes enquêtent sous pseudos avec l'arrêté du 21 octobre 2015 ?

Mais oui les services de police et de gendarmerie opèrent sous pseudo sur internet afin de traquer les malfaisants et d'infiltrer les réseaux mafieux.

L'Arrêté du 21 octobre 2015 relatif à l'habilitation au sein de services spécialisés d'officiers ou agents de police judiciaire pouvant procéder aux enquêtes sous pseudonyme vient d'être publié au Journal Officiel (JORF n°0251 du 29 octobre 2015 page 20121) et autorise de nombreux services afin de permettre à des policiers et gendarmes de réaliser des enquêtes pénales sous pseudonymes .

Rappelons en effet que Police et Gendarmerie disposent désormais de facultés très étendues pour procéder à des investigations sous pseudo sur internet.

La possibilité pour les enquêteurs de recourir à de tels pseudonymes aux fins d'infiltration des réseaux et d'obtention d'informations sur infractions et suspects était déjà mise en place par les articles 706-2-2,pour la protection des mineurs (depuis une loi de 2007) 706-35-1,pour la lutte contre les jeux d’argent illicites (depuis 2012) 706-47-3 pour la lutte contre des infractions au code de la santé publique (depuis fin 2013)et 706-87-1 du code de procédure pénale pour la lutte contre le terrorisme, le proxénétisme ou d’autres formes de traite des êtres humains (depuis la loi du 13 novembre 2014 contre le terrorisme),

La loi du 17 août 2015 sur l’adaptation de la procédure pénale au droit de l’Union européenne, étend désormais largement le champ d’application des enquêtes sous pseudonymes .

Les attaques informatiques, l’aide au séjour irrégulier d’un étranger en France, le blanchiment d’argent, la non-justification de ressources, l’association de malfaiteurs, l’escroquerie en bande organisée, ou le travail illégal peuvent ainsi donner lieu à des enquêtes par pseudonymes qui sont donc autorisées lorsque les infractions constatées « sont commises par un moyen de communication électronique », afin « d’en rassembler les preuves et d’en rechercher les auteurs».

Les services de police et gendarmerie concernés sont:

1. Services et unités relevant de la direction centrale de la police judiciaire :

- la sous-direction antiterroriste ;
- la sous-direction de la lutte contre la criminalité organisée et la délinquance financière ;
- la sous-direction de la lutte contre la cybercriminalité ;
- les directions régionales et interrégionales de la police judiciaire.

2. Services et unités relevant de la direction centrale de la sécurité publique :

- les directions départementales de la sécurité publique ;
- les sûretés départementales ;
- les circonscriptions de sécurité publique.

3. Services et unités relevant de la direction centrale de la police aux frontières :

- l'office central pour la répression de l'immigration irrégulière et de l'emploi d'étrangers sans titre au sein de la sous-direction de l'immigration irrégulière et des services territoriaux ;
- l'unité de coordination opérationnelle de la lutte contre le trafic et l'exploitation des migrants ;
- les brigades mobiles de recherche ;
- la brigade des chemins de fer.

4. Services et unités relevant de l'inspection générale de la police nationale :

- la division nationale des enquêtes ;
- les délégations de l'inspection générale de la police nationale à Paris, Lille, Lyon, Marseille, Bordeaux, Rennes, Metz et Fort-de-France ;
- le bureau de l'inspection générale de la police nationale à Nice.

5. La direction générale de la sécurité intérieure.
6. Services et unités relevant de la préfecture de police :

- à la direction du renseignement : la sous-direction chargée de la lutte contre l'immigration irrégulière et le travail illégal des étrangers ;
- à la direction régionale de la police judiciaire : la sous-direction des brigades centrales, la sous-direction des affaires économiques et financières et la sous-direction des services territoriaux ;
- à la direction de la sécurité de proximité de l'agglomération parisienne : la sûreté régionale des transports au sein de la sous-direction régionale de la police des transports et les sûretés territoriales au sein des directions territoriales de sécurité de proximité.

7. Services et unités relevant de la direction générale de la gendarmerie nationale :

- la sous-direction de la police judiciaire ;
- le service technique de recherches judiciaires et de documentation ;
- les sections de recherches de la gendarmerie départementale et des gendarmeries spécialisées ;
- les sections d'appui judiciaire ;
- les brigades départementales de renseignements et d'investigations judiciaires ;
- les brigades de renseignements et d'investigations judiciaires de la gendarmerie d'outre-mer et des gendarmeries spécialisées ;
- les brigades de recherches de la gendarmerie départementale et des gendarmeries spécialisées.

8. Services et unités relevant de l'inspection générale de la gendarmerie nationale :

- le bureau des enquêtes judiciaires.

L’arrêté précise enfin que les officiers et agents doivent être « jugés aptes » après une « formation spécifique », et être habilités spécialement par le parquet après agrément de la hiérarchie.

Partager cet article

Repost0

Published by thierry vallat - dans ntic Procédure civile - administrative et pénale
commenter cet article …

6 octobre 2015 2 06 /10 /octobre /2015 08:11

Données personnelles: invalidation du controversé accord "Safe Harbor" par la Cour de Justice européenne dans son arrêt Schrems du 6 octobre 2015

La Cour de justice de l'Union européenne (CJUE) a décidé dans sa très attendue décision du 6 octobre 2015, de suspendre l’acccord « Safe Harbor » qui encadre l’utilisation des données des internautes européens par de nombreuses sociétés américaines, dont les principales entreprises du Web.

Dans cet arrêt n°C-362/14 "Maximillian Schrems / Data Protection Commissioner", la Cour a donc invalidé la décision de la Commission qui permettait depuis 2000 l'exportation de données personnelles vers les Etats-Unis, constatant que ce pays assure un niveau de protection adéquat aux données à caractère personnel transférées

La Cour est en effet seule compétente pour déclarer l’invalidité d’un acte de l’Union, et les autorités nationales de contrôle, saisies d’une demande, peuvent, même en présence d’une décision de la Commission constatant qu’un pays tiers offre un niveau de protection adéquat des données personnelles, examiner si le transfert des données d’une personne vers ce pays respecte les exigences de la législation de l’Union relative à la protection de ces données ainsi que saisir les juridictions nationales, au même titre que la personne concernée, afin qu’elles procèdent à un renvoi préjudiciel aux fins de l’examen de la validité de cette décision

La directive sur le traitement des données à caractère personnel (Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995) dispose que le transfert de telles données vers un pays tiers ne peut, en principe, avoir lieu que si le pays tiers en question assure un niveau de protection adéquat à ces données.

Toujours selon la directive, la Commission peut constater qu’un pays tiers assure, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection adéquat. Enfin, la directive prévoit que chaque État membre désigne une ou plusieurs autorités publiques chargées de surveiller l’application, sur son territoire, des dispositions nationales adoptées sur le fondement de la directive (« autorités nationales de contrôle »).

M. Maximillian Schrems, un activiste autrichien bien connu, utilise Facebook depuis 2008. Comme pour les autres abonnés résidant dans l’Union, les données fournies par M. Schrems à Facebook sont transférées, en tout ou partie, à partir de la filiale irlandaise de Facebook sur des serveurs situés sur le territoire des États-Unis, où elles font l’objet d’un traitement. M. Schrems a déposé une plainte auprès de l’autorité irlandaise de contrôle, considérant qu’au vu des révélations faites en 2013 par M. Edward Snowden au sujet des activités des services de renseignement des ÉtatsUnis (en particulier la National Security Agency ou « NSA »), le droit et les pratiques des ÉtatsUnis n’offrent pas de protection suffisante contre la surveillance, par les autorités publiques, des données transférées vers ce pays. L’autorité irlandaise a rejeté la plainte, au motif notamment que, dans sa décision du 26 juillet 20002 , la Commission a considéré que, dans le cadre du régime dit de la « sphère de sécurité » , les États-Unis assurent un niveau adéquat de protection aux données à caractère personnel transférées.

Saisie de l’affaire, la High Court of Ireland (Haute Cour de justice irlandaise) souhaite savoir si cette décision de la Commission a pour effet d’empêcher une autorité nationale de contrôle d’enquêter sur une plainte alléguant qu’un pays tiers n’assure pas un niveau de protection adéquat et, le cas échéant, de suspendre le transfert de données contesté.

Dans son arrêt de ce jour, la Cour estime que l’existence d’une décision de la Commission constatant qu’un pays tiers assure un niveau de protection adéquat aux données à caractère personnel transférées ne saurait annihiler ni même réduire les pouvoirs dont disposent les autorités nationales de contrôle en vertu de la Charte des droits fondamentaux de l’Union européenne et de la directive. La Cour souligne à cet égard le droit à la protection des données à caractère personnel garanti par la Charte ainsi que la mission dont sont investies les autorités nationales de contrôle en vertu de cette même Charte.

La Cour considère tout d’abord qu’aucune disposition de la directive n’empêche les autorités nationales de contrôler les transferts de données personnelles vers des pays tiers ayant fait l’objet d’une décision de la Commission. Ainsi, même en présence d’une décision de la Commission, les autorités nationales de contrôle, saisies d’une demande, doivent pouvoir examiner en toute indépendance si le transfert des données d’une personne vers un pays tiers respecte les exigences posées par la directive. Néanmoins, la Cour rappelle qu’elle est seule compétente pour constater l’invalidité d’un acte de l’Union, tel qu’une décision de la Commission. Par conséquent, lorsqu’une autorité nationale ou bien la personne ayant saisi l’autorité nationale estime qu’une décision de la Commission est invalide, cette autorité ou cette personne doit pouvoir saisir les juridictions nationales pour que, dans le cas où elles douteraient elles aussi de la validité de la décision de la Commission, elles puissent renvoyer l’affaire devant la Cour de justice. C’est donc en dernier lieu à la Cour que revient la tâche de décider si une décision de la Commission est valide ou non.

La Cour vérifie alors la validité de la décision de la Commission du 26 juillet 2000. À cet égard, la Cour rappelle que la Commission était tenue de constater que les États-Unis assurent effectivement, en raison de leur législation interne ou de leurs engagements internationaux, un niveau de protection des droits fondamentaux substantiellement équivalent à celui garanti au sein de l’Union en vertu de la directive lue à la lumière de la Charte. La Cour relève que la Commission n’a pas opéré un tel constat, mais qu’elle s’est bornée à examiner le régime de la sphère de sécurité.

Or, sans qu’il y ait besoin, pour la Cour, de vérifier si ce régime assure un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union, la Cour relève que celui-ci est uniquement applicable aux entreprises américaines qui y souscrivent, sans que les autorités publiques des États-Unis y soient elles-mêmes soumises. En outre, les exigences relatives à la sécurité nationale, à l’intérêt public et au respect des lois des États-Unis l’emportent sur le régime de la sphère de sécurité, si bien que les entreprises américaines sont tenues d’écarter, sans limitation, les règles de protection prévues par ce régime, lorsqu’elles entrent en conflit avec de telles exigences. Le régime américain de la sphère de sécurité rend ainsi possible des ingérences, par les autorités publiques américaines, dans les droits fondamentaux des personnes, la décision de la Commission ne faisant état ni de l’existence, aux États-Unis, de règles destinées à limiter ces éventuelles ingérences ni de l’existence d’une protection juridique efficace contre ces ingérences.

La Cour considère que cette analyse du régime est corroborée par deux communications de la Commission, d’où il ressort notamment que les autorités des États-Unis pouvaient accéder aux données à caractère personnel transférées à partir des États membres vers ce pays et traiter celles-ci d’une manière incompatible, notamment, avec les finalités de leur transfert et au-delà de ce qui était strictement nécessaire et proportionné à la protection de la sécurité nationale. De même, la Commission a constaté qu’il n’existait pas, pour les personnes concernées, de voies de droit administratives ou judiciaires permettant, notamment, d’accéder aux données les concernant et, le cas échéant, d’obtenir leur rectification ou leur suppression.

S’agissant du niveau de protection substantiellement équivalent avec les libertés et droits fondamentaux garanti au sein de l’Union, la Cour constate que, en droit de l’Union, une réglementation n’est pas limitée au strict nécessaire, dès lors qu’elle autorise de manière généralisée la conservation de toutes les données à caractère personnel de toutes les personnes dont les données sont transférées depuis l’Union vers les États-Unis sans qu’aucune différenciation, limitation ou exception ne soient opérées en fonction de l’objectif poursuivi et sans que des critères objectifs ne soient prévus en vue de délimiter l’accès des autorités publiques aux données et leur utilisation ultérieure. La Cour ajoute qu’une règlementation permettant aux autorités publiques d’accéder de manière généralisée au contenu de communications électroniques doit être considérée comme portant atteinte au contenu essentiel du droit fondamental au respect de la vie privé.

De même, la Cour relève qu’une règlementation ne prévoyant aucune possibilité pour le justiciable d’exercer des voies de droit afin d’avoir accès à des données à caractère personnel le concernant, ou d’obtenir la rectification ou la suppression de telles données, porte atteinte au contenu essentiel du droit fondamental à une protection juridictionnelle effective, une telle possibilité étant inhérente à l’existence d’un État de droit.

Enfin, la Cour constate que la décision de la Commission du 26 juillet 2000 prive les autorités nationales de contrôle de leurs pouvoirs, dans le cas où une personne remet en cause la compatibilité de la décision avec la protection de la vie privée et des libertés et droits fondamentaux des personnes. La Cour considère que la Commission n’avait pas la compétence de restreindre ainsi les pouvoirs des autorités nationales de contrôle.

Pour toutes ces raisons, la Cour déclare la décision de la Commission du 26 juillet 2000 invalide. Cet arrêt a pour conséquence que l’autorité irlandaise de contrôle est tenue d’examiner la plainte de M. Schrems avec toute la diligence requise et qu’il lui appartient, au terme de son enquête, de décider s’il convient, en vertu de la directive, de suspendre le transfert des données des abonnés européens de Facebook vers les États-Unis au motif que ce pays n’offre pas un niveau de protection adéquat des données personnelles.

Dans un communiqué, Maximilian Schrems s'est félicité d'un "coup sérieux porté à la surveillance mondiale des Etats-Unis".http://www.europe-v-facebook.org/CJEU_IR.pdf

Pour sa part la CNIL française a précisé dans un communiqué (cnil.fr/linstitution/actualite/article/article/invalidation-du-safe-harbor-par-la-cour-de-justice-de-lunion-europeenne-une-decision-cl/ …) que "l’invalidation de la décision de la Commission européenne qui reconnaissait l’adéquation du « safe harbor » pose donc la question du niveau de protection des données personnelles transférées aux Etats-Unis. Les autorités de protection des données devront examiner la validité des transferts qui leur sont soumis, en tenant compte du fait que la situation américaine n’est pas « adéquate ».

La CNIL annonce également qu'elle va prochainement rencontrer ses homologues au sein du G29 afin de déterminer précisément les conséquences juridiques et opérationnelles de cet arrêt sur l’ensemble des transferts intervenus dans le cadre du « safe harbor ».

L’annulation du « Safe Harbor » devrait donc contraindre Google et les autres géants de l'internet à davantage conserver en Europe les données de leurs utilisateurs européens et donc à limiter leurs marges de manœuvre en matière d’exploitation de ces données. Cependant, malgré cette invalidation, Facebook et Consorts pourront toujours continuer à exporter des données, mais avec de plus lourdes formalités !

Mais l'une des conséquences de cette invalidation pourrait également consister en la création de datacenters en Europe.

(Source: Cour de Justice de l'Union européenne)

Télécharger /ob_65fe83_arret-schrems-cjue-6-octobre-2015

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

4 octobre 2015 7 04 /10 /octobre /2015 07:27

Attaquée devant la CEDH par 180 journalistes, la loi sur le renseignement est entrée en vigueur samedi 3 octobre 2015 avec la publication du décret nommant le président de la CNCTR

Le décret du 1er octobre relatif à la composition de la Commission nationale de contrôle des techniques de renseignement (CNCTR), publié vendredi dernier a confirmé la nomination du premier président de la CNCTR.

Francis Delon a ainsi été officiellement désigné comme président de cette nouvelle Commission chargée de contrôler les demandes des services de renseignement français en matière de surveillance numérique.

Cette CNCTR remplace l'instance actuelle (la CNCIS) et rendra des avis consultatifs pour chaque demande de surveillance émise par les services de renseignement auprès du premier ministre, qui garde la haute main sur toutes les opérations.

Dès hier 3 octobre, l'autorisation de mettre en oeuvre des dispositifs de géolocalisation, des IMSI catchers, des micros, des caméras, des spywares, des collectes de données sur les réseaux électroniques, et autres boîtes noires riches en algorithmes de détection de terroristes potentiels, peuvent être sollicitées auprès de Matignon.

En effet, conformément à l'article 26 de la LOI n° 2015-912 du 24 juillet 2015 relative au renseignement (1) l'essentiel des dispositions de ce textel entrent en vigueur "au lendemain de la publication au Journal officiel du décret nommant le président de la Commission nationale de contrôle des techniques de renseignement".

Cette loi renseignement a fait couler beaucoup d'encre (voir notamment notre article Loi relative au renseignement - Le blog de Thierry Vallat ... )et est toujours l'objet de bien des controverses, mais a globalement été déclarée conforme à la constitution par le Conseil constitutionnel dans sa décision du 23 juillet 2015.

Rappelons aussi que le gouvernement devra également prendre des décrets d'application, en particulier pour les conditions de mise en oeuvre des boîtes noires, mais que ces décrets resteront classés secret-défense et ne seront donc pas publiés, faisant craindre des dérives.

C'est d'ailleurs notamment pour cette raison que la loi sur le renseignement vient d'être attaquée par plus de 180 journalistes devant la CEDH, estimant qu'elle porte atteinte au secret des sources. Selon le communique publié ce 3 octobre sur le site de l’association de la presse judiciaire (APJ) , "cette loi porte atteinte aux droits et libertés des journalistes, dont le sacro-saint secret des sources. Le but moral de la presse judiciaire est de défendre les intérêts professionnels des journalistes judiciaires sur tout le territoire. L’ingérence secrète que prépare le gouvernement, par le biais d’écoutes téléphoniques ou de recueil en masse de données, aura pour conséquence d’affecter le droit à l’information de notre société démocratique. Les journalistes pourront être victimes de ces violations sans même qu'ils en soient informés puisque par nature cette surveillance et ces captations sont secrètes. Malgré l’aval constitutionnel de la loi, l’APJ ne peut et ne doit rester inerte devant un tel projet gouvernemental, quels que soient les objectifs affichés." (http://pressejudiciaire.fr/2.html)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC CEDH
commenter cet article …

1 octobre 2015 4 01 /10 /octobre /2015 11:49

Nécessité d'une information préalable à la personne concernée de la transmission et du traitement de ses données à caractère personnel entre 2 administrations publiques

Les personnes dont les données à caractère personnel font l’objet d’une transmission et d’un traitement entre deux administrations publiques d’un État membre de l'Union européenne doivent en être préalablement informées.

Telle est la décision rendue ce jour par la Cour de justice de l’Union européenne de Luxembourg, (arrêt du 1 er octobre 2015 dans l'affaire C-201/14 Smaranda Bara e.a./Președintele Casei Naționale de Asigurări de Sănătate)

La directive sur le traitement des données à caractère personnel (Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281, p. 31)) réglemente le traitement des données à caractère personnel lorsque celles-ci sont contenues ou appelées à figurer dans un fichier.

Mme Smaranda Bara et plusieurs autres citoyens roumains sont des travailleurs indépendants. L’administration fiscale roumaine a transmis leurs revenus déclarés à la Caisse nationale de sécurité sociale, qui a alors exigé le paiement d’arriérés de contributions au régime de l’assurance maladie.

Les personnes concernées ont contesté devant la Curtea de Apel Cluj (Cour d’appel de Cluj, Roumanie) la légalité de ce transfert au regard de la directive. Elles considèrent que leurs données ont été utilisées à des fins autres que celles pour lesquelles elles avaient été initialement communiquées à l’administration fiscale, sans leur information préalable.

Le droit roumain permet aux entités publiques de transmettre des données à caractère personnel aux caisses d’assurance maladie afin de leur permettre d’établir la qualité d’assuré des personnes concernées. Ces données concernent l’identification des personnes (nom, prénom et adresse), mais ne comprennent pas celles relatives aux revenus perçus.

Dans ce contexte, la Cour d’appel de Cluj a demandé, en substance, à la Cour de justice si le droit de l’Union s’oppose à ce qu’une administration publique d’un État membre transmette des données à caractère personnel à une autre administration publique en vue de leur traitement subséquent, sans que les personnes concernées n’aient été informées de cette transmission et de ce traitement.

Dans son arrêt d’aujourd’hui, la Cour de justice considère que l’exigence de traitement loyal des données personnelles oblige une administration publique à informer les personnes concernées du fait que leurs données vont être transmises à une autre administration publique en vue de leur traitement par cette dernière en sa qualité de destinataire des données. La directive exige expressément que toute limitation éventuelle à l’obligation d’information soit prise au moyen de mesures législatives.

La loi roumaine qui prévoit la transmission gratuite des données personnelles aux caisses d’assurance maladie ne constitue pas une information préalable qui permettrait de dispenser le responsable du traitement de son obligation d’informer les personnes auprès desquelles il collecte les données. En effet, cette loi ne définit ni les informations transmissibles ni les modalités de transmission, celles-ci figurant uniquement dans un protocole bilatéral conclu entre l’administration fiscale et la caisse de maladie.

S’agissant du traitement subséquent des données transmises, la directive prévoit que le responsable de ce traitement doit informer les personnes concernées de sa propre identité, des finalités du traitement ainsi que de toute information supplémentaire nécessaire pour assurer un traitement loyal des données. Parmi ces informations supplémentaires figurent les catégories de données concernées ainsi que l’existence d’un droit d’accès et de rectification.

La Cour observe que le traitement par la Caisse nationale de sécurité sociale des données transmises par l’administration fiscale impliquait d’informer les personnes concernées des finalités de ce traitement ainsi que des catégories de données concernées. En l’espèce, la caisse d’assurance maladie n’a pas fourni ces informations.

La Cour conclut donc que le droit de l’Union s’oppose à la transmission et au traitement de données personnelles entre deux administrations publiques d’un État membre sans que les personnes concernées n’en aient été informées au préalable

Retrouvez l'arrêt de la CJUE du 1er octobre 2015: http://curia.europa.eu/juris/document/document.jsf?text=&docid=168943&pageIndex=0&doclang=FR&mode=req&dir=&occ=first&part=1&cid=103463

Partager cet article

Repost0

Published by thierry vallat - dans NTIC Droit numérique
commenter cet article …

28 septembre 2015 1 28 /09 /septembre /2015 07:43

La neutralité de l'internet et des plateformes numériques dans le projet de loi Lemaire mis en ligne le 26 septembre 2015

Le projet de loi numérique a été présenté et mis en ligne par le Premier ministre et la secrétaire d'Etat au numérique Axelle Lemaire, samedi 26 septembre dernier comme il l'avait été annoncé.

Le texte inscrit notamment dans la loi le principe de neutralité du net, qui empêcherait les opérateurs de réduire le débit accordé à certains contenus par rapport à d'autres. Le texte se propose également de rendre accessibles les données publiques librement en ligne par défaut. Enfin, il entend aussi favoriser l'accès à internet des personnes handicapées et des foyers modestes (voir à ce sujet notre article Droit au maintien de la connexion internet pour les plus ...)

Concernant plus parriculièrement la neutralité du net, rappelons que les opérateurs jouent un rôle central dans l’accès à l’information et le développement du numérique. Ils contrôlent notamment l’accès à internet de chaque abonné et mettent en place les technologies nécessaires pour garantir la disponibilité, la qualité et la rapidité des flux. L’usage de ces technologies ne doit pas notamment conduire à favoriser certains services, ou à restreindre l'accès des abonnés, en bridant ou en bloquant l'accès à certains contenus, services ou applications en ligne (protocoles, sites web, etc.), en dehors de leurs obligations légales (voir pour plus de détails notre article du 11 juin 2015 Neutralité et loyauté des plateformes numérique: notre ...)

Dorénavant, les pratiques des fournisseurs d’accès seront précisément encadrées : il sera notamment interdit de détériorer la qualité de diffusion d’un site au profit d’un autre, et plus largement de limiter de manière injustifiée l’accès des consommateurs à l’internet ouvert. L’ARCEP (Autorité de Régulation des Communications Electroniques et des Postes) sera l’autorité compétente pour veiller au respect du principe de neutralité de l’interet.

Un opérateur ne pourrait ainsi pas décider de réduire la bande passante accordée à certains sites de partages de vidéos et augmenter cette bande passante auprès d’autres sites moyennant paiement.

Ce principe est acté dans l'article 11 du projet de loi qui est pour le moment libelé comme suit:

"Article 11 - Neutralité de l’internet

I. L’article L. 33-1 du code des postes et des communications électroniques est modifié comme suit :

1° Après le o), il est ajouté l’alinéa suivant :

« p) la neutralité de l'Internet, garantie par le traitement égal et non discriminatoire du trafic par les opérateurs dans la fourniture des services d’accès à Internet ainsi que par le droit des utilisateurs finals, y compris les personnes fournissant des services de communication au public en ligne d'accéder et de contribuer à Internet, conformément au règlement du Parlement européen et du Conseil n° …. du … établissant des mesures relatives au marché unique européen des communications électroniques et visant à faire de l’Europe un continent connecté. » ;

2° Au dernier alinéa, les mots : « a à o » sont remplacés par les mots : « a à p ».

II. - Au 2° du I de l’article L. 32-4 du code des postes et des communications électroniques, après les mots : « les conditions techniques et tarifaires d’acheminement » sont ajoutés les mots : « et de gestion ».

III. - Le 5° du II de l’article L. 36-8 du code des postes et des communications électroniques est ainsi modifié :

1° Après les mots : « d’acheminement » sont insérés les mots : « , notamment de gestion, »

2° Le mot « réciproques » est supprimé.

IV. - Au 3° de l’article L. 36-7 du code des postes et des communications électroniques, après les mots : « à l'intérieur de l'Union » sont insérés les mots : « et du règlement n° …. du Parlement européen et du Conseil, du …, établissant des mesures relatives au marché unique européen des communications électroniques et visant à faire de l’Europe un continent connecté ».

V. - L’article L. 36-11 du code des postes et des communications électroniques est ainsi modifié :

1° Au premier alinéa, après les mots : « des personnes fournissant de services de communications électroniques », sont insérés les mots : « ou des personnes fournissant des services de communication au public en ligne » ;

2° Au premier alinéa du I, le mot : « ou » est remplacé par le mot : «, par » et après les mots : « personnes fournissant des services de communications électroniques » sont insérés les mots «, ou par une personne fournissant de services de communication au public en ligne » ;

3° Après le troisième alinéa du I est inséré un alinéa ainsi rédigé :

« aux dispositions du règlement n° …. du Parlement européen et du Conseil, du … établissant des mesures relatives au marché unique européen des communications électroniques et visant à faire de l’Europe un continent connecté ; »

4° Après le sixième alinéa du I, il est ajouté un alinéa ainsi rédigé :

« Lorsque l'Autorité estime qu'il existe un risque caractérisé qu'un exploitant de réseau ou une personne fournissant des services de communications électroniques ne respecte pas ses obligations, résultant des dispositions et prescriptions mentionnées au I, à l'échéance prévue initialement, elle peut mettre en demeure l'exploitant ou le fournisseur de s’y conformer à cette échéance. »

L'élaboration du texte est participative avec la mise en place avec "La Répubique en actes", d'une plateforme numérique ouverte pendant trois semaines.

La synthèse de la consultation sera présentée à partir du 26 octobre prochain et l'examen du texte final prévu début 2016 devant le Parlement.

Partager cet article

Repost0

Published by thierry vallat - dans NTIC Droit numérique
commenter cet article …

24 septembre 2015 4 24 /09 /septembre /2015 12:51

Le conseil d'Etat annule partiellement le fichier "Stade " du PSG

Plusieurs associations dont l'Association de défense et d'assistance juridique des intérêts des supporters, la Ligue des droits de l'homme, l'association Lutte pour un football populaire, l'Association nationale des supporters et l'association La voix de l'enfant avaient saisi le Conseil d'Etat contre un arrêté du ministre de l'intérieur, en date du 15 avril 2015, par lequel ce dernier avait autorisé le préfet de police à mettre en oeuvre un traitement de données à caractère personnel dénommé " fichier STADE ".

Ces demandes d'annulation, jointes par le Conseil d'Etat, sont partiellement reçues sur le fondement de l'article 6 de la loi du 6 janvier 1978 qui prévoit qu’ « Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : (...) / 2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités (...) » ; qu'il résulte de ces dispositions que, pour être compatible avec les finalités d'un traitement, la transmission des données à caractère personnel doit être strictement limitée à celles qui permettent aux destinataires de poursuivre les finalités du traitement ».
Par ailleurs, la Haute Juridiction considère: « qu'aux termes de l'article 5 de l'arrêté attaqué : " peuvent être destinataires de tout ou partie des données et des informations mentionnées à l'article 2 : (...) / 5° Les associations et sociétés sportives, ainsi que les fédérations sportives agréées " ; qu'il est constant que tous ces destinataires n'exercent pas une mission relative aux finalités poursuivies par le " fichier STADE " et qu'au demeurant, en leur sein, tous les personnels ne sont pas chargés de les mettre en oeuvre ; que, par suite, la transmission de données ainsi prévue méconnaît les dispositions de la loi du 6 janvier 1978 citées au point précédent ».

Deux dispositions de l'arrêté du 15 avril 2015 " fichier STADE " sont donc annulées :
- le point 10 de l'article 2, en ce qu'il autorise l'enregistrement, dans ce traitement, des données à caractère personnel issues du traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique ;
- le point 5° du II. de l'article 5, en ce qu'il autorise la transmission de tout ou partie des données et informations enregistrées dans le traitement intitulé " fichier STADE " aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées.

Le Conseil d'Etat a en effet considéré que « les associations requérantes sont fondées à demander l'annulation, d'une part, du point 10 de l'article 2, en tant seulement qu'il autorise l'enregistrement dans le traitement dénommé " fichier STADE " des données à caractère personnel issues du traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique, d'autre part, et sans qu'il soit besoin d'examiner les moyens tirés de la méconnaissance par ces dispositions du droit d'information et d'opposition, du 5° du II de l'article 5 de l'arrêté attaqué ; que ces dispositions sont divisibles des autres dispositions de cet arrêté »..

Retrouvez la décision du Conseil d'État, 10ème et 9ème sous-sections réunies, 21/09/2015, 389815, Inédit au recueil Lebon

Partager cet article

Repost0

Published by thierry vallat - dans NTIC droit administratif
commenter cet article …

22 septembre 2015 2 22 /09 /septembre /2015 07:57

Droit à l'oubli numérique et déréférencement: rejet par la CNIL du recours de Google

Dans un communiqué du 21 septembre 2015, la Présidente de la CNIL annonce avoir rejeté le recours gracieux formé par Google à l’encontre de la mise en demeure lui demandant de procéder au déréférencement sur toutes les extensions du moteur de recherche.

Depuis la reconnaissance du droit au déréférencement par l’arrêt de la Cour de justice de l’Union européenne du 13 mai 2014, toute personne peut en effet demander à un moteur de recherche d’effacer les résultats apparaissant en cas de recherche à partir de son nom.

La société Google a reçu plusieurs dizaines de milliers de demandes de citoyens français. Elle a procédé au déréférencement de certains résultats sur les extensions européennes du moteur de recherches (.fr ; .es ; .co.uk ; etc.). En revanche, elle n’a pas procédé au déréférencement sur les autres terminaisons géographiques ou sur google.com, extensions que tout internaute peut consulter alternativement.

En mai 2015, la Présidente de la CNIL a donc mis en demeure la société Google de procéder au déréférencement sur tous les noms de domaine de son moteur de recherche (voir notre article du 12 juin 2015: Droit à l'oubli numérique:la CNIL met en demeure Google ...)

Fin juillet, Google a formé un recours gracieux demandant à la Présidente de procéder au retrait de cette mise en demeure publique. La société Google faisait valoir notamment que cette injonction entraverait le droit à l’information du public et qu’il s’agirait d’une forme de censure.

A la lumière du cadre juridique applicable, la présidente a décidé de rejeter ce recours gracieux, notamment au regard des raisons suivantes :

Les extensions géographiques ne sont qu’un chemin d’accès au traitement. Dès lors que le déréférencement est accepté par le moteur de recherche, il doit s’opérer sur toutes les extensions conformément à l’arrêt de la CJUE.
Si le droit au déréférencement était limité à certaines extensions, il pourrait être facilement contourné : il suffirait de changer d’extension (ex : de faire une recherche en France sur google.com), c’est-à-dire de mode d’accès au traitement, pour retrouver le résultat du déréférencement. Cela reviendrait donc à priver d’effectivité ce droit, et à faire varier les droits reconnus aux personnes en fonction de l’internaute qui interroge le moteur et non en fonction de la personne concernée.
En tout état de cause, le droit au déréférencement n’entraîne jamais la suppression de l’information d’internet mais empêche uniquement l’affichage de certains résultats sur le moteur en cas de recherche effectuée sur la seule base du nom de la personne. L’information reste donc accessible directement sur le site source ou par la recherche d’autres termes. Il n’est pas possible de déréférencer un évènement, par exemple.
Par ailleurs, ce droit n’est pas absolu : il doit être concilié avec le droit à l’information du public, notamment lorsque la personne concernée est une personne publique, sous le double contrôle de la CNIL et du juge.
Enfin, contrairement à ce qui a pu être indiqué par la société Google, cette décision ne traduit pas une volonté d’application extraterritoriale du droit français par la CNIL. Elle se borne à demander le plein respect du droit européen par des acteurs non européens offrant leurs services en Europe.

Le recours gracieux étant rejeté, la société doit dès à présent se conformer à la mise en demeure. A défaut, la Présidente de la CNIL pourra désigner un rapporteur qui pourra saisir la formation restreinte de la CNIL afin qu’elle se prononce sur ce dossier.

(source CNIL: Droit au déréférencement : rejet du recours gracieux formé par Google à l’encontre de la mise en demeure)

Partager cet article

Repost0

Published by thierry vallat - dans NTIC Droit numérique
commenter cet article …

15 septembre 2015 2 15 /09 /septembre /2015 09:07

Interdits de stade : clôture par la CNIL de la mise en demeure du PSG

La Présidente de la CNIL avait adopté une mise en demeure à l’encontre du club de football du PSG le 21 mai 2015. Cette mise en demeure faisait suite aux contrôles réalisés au mois d’octobre et novembre 2014.

La société PARIS SAINT-GERMAIN FOOTBALL a répondu à la décision de mise en demeure de la Présidente de la CNIL le 15 juillet 2015.

Concernant les interdictions de stade, le PSG FOOTBALL indique que seules les données des personnes frappées d’une mesure d’interdiction toujours en cours sont désormais conservées dans la base. Il précise également que la levée de cette interdiction est désormais automatisée et mise en œuvre dès l’expiration de cette mesure.

La Présidente de la CNIL prend acte des éléments communiqués par le PSG FOOTBALL et clôt la procédure en rappelant que :

les personnes ne peuvent pas être exclues de la billetterie pour d’autres motifs que ceux expressément énumérés dans la délibération de la Commission.DELIBERATION n°2014-043 du 30 janvier 2014 | Legifrance
une personne dont la mesure d’interdiction a été levée légalement ne saurait être exclue pour les mêmes motifs sur la base des conditions générales de vente.

Retrouvez le courrier du 11 septembre 2015 de cloture de la mise en demeure: http://www.cnil.fr/fileadmin/documents/approfondir/deliberations/courrier/Cloture_MED_PSG_11-09-2015.pdf

(source: CNIL)

Partager cet article

Repost0

Published by thierry vallat - dans NTIC
commenter cet article …

14 septembre 2015 1 14 /09 /septembre /2015 14:17

Notre article sur le droit d'accès à internet publié dans le Village de la Justice !

Une très récente interview dans le magazine L'Express. du directeur général de la Fédération Française des Télécoms (FFT), pour s'opposer à l'élargissement de l'article L115-3 du code de l'action sociale et des familles afin que le service internet, devenu "service essentiel" aux yeux de la loi, ne puisse être coupé, nous a interpellé.

La prochaine consultation publique du projet de loi numérique permettra de débattre largement de ce droit fondamental, reconnu comme tel par le conseil des droits de l'homme de l'ONU en 2012.

C'était donc l'occasion de réfléchir au droit d'accès à internet dans un article qui vient d'être publié aujourd'hui dans le Village de la Justice

Retrouvez l'article publié dans Village de la Justice du 14 septembre 2015: http://www.village-justice.com/articles/Vers-reconnaissence-droit-maintien,20399.html

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique NTIC
commenter cet article …

10 septembre 2015 4 10 /09 /septembre /2015 06:25

Notre article "Neutralité et loyauté des plateformes numériques" à découvrir dans Archimag de septembre 2015

Le tant attendu projet de loi porté par Axelle Lemaire qui sera dénommé «Loi pour une République numérique» sera axé autour de trois pivots: l'open data, la protection des données personnelles et l'accès pour tous au numérique.

Ce texte sera dévoilé le 21 septembre prochain pour une consultation publique et sera débattu par les parlementaires début 2016 Consulter l’avant-projet de loi Lemaire, en date du 1er septembre (PDF)

Le concept de neutralité et de loyauté des plateformes numériques qui a été conservé dans ce projet devrait en constituer une des mesures phares.

L'occasion de se familiariser avec ce principe dans notre article publié dans le dernier numéro 287 de septembre 2015 du magazine Archimag Numéro 287 : Démat des factures : passage à l'acte

Nous y reviendrons tout au long des débats qui ne manqueront pas d'être fort animés sur la question.

Partager cet article

Repost0

Published by thierry vallat - dans NTIC Droit numérique
commenter cet article …

12 août 2015 3 12 /08 /août /2015 07:33

Cyber Harcèlement: le ''sextorsion'' et comment réagir aux chantages à la webcam ou aux mails de crypto-porno ?

Article mis à jour le 11 avril 2020

Les arnaques à la webcam ou ''sextorsion'' touchent chaque année des milliers de victimes et ont tendance à se multiplier ces derniers temps.

Une nouvelle vague de cette cyber-escroquerie a débuté en ce début d'avril 2020 et est toujours en cours, alerte www.Cybermalveillance.gouv.fr , le dispositif public d’aide contre la cyberdélinquance.

Que faire et quelles sont les bonnes pratiques à adopter si vous devez faire face à ce type de chantage au crypto-porno ?

A quoi ressemble un cas typique de chantage à la webcam ?

Le mode opératoire est quasiment toujours le même: la victime se rend sur un site de rencontre puis va entamer la conversation avec une jeune femme ou un jeune homme au physique attrayant.

Après un échange et des questions sur sa vie privée, cette personne l’invite à approfondir par une conversation vidéo plus intime.

Quelque temps plus tard, un mail ou un message par un réseau social va apprendre à la victime que cette rencontre a été enregistrée.

Le cyber-escroc (appelé aussi "brouteur'') va alors menacer de diffuser la vidéo de cet échange sur le compte Facebook ou twitter d’un proche ou sur un site de partage de vidéos si la victime ne lui remet pas une somme plus ou moins importantes dans un délai très rapide..

Autre cas de chantage par mail

Vous recevez un courriel dont l’auteur prétend être un pirate informatique. Il vous informe avoir accédé à votre ordinateur, copié tous les contacts, et menace de leur adresser une vidéo de vous, enregistré grâce à votre webcam, dans une position compromettante devant un site pornographique. Le pirate exige alors une rançon, payée en crypto-monnaie, généralement en bitcoins, sans quoi il diffusera le fichier.

Quel réflexe adopter ?

Il faut rester totalement hermétique à toute tentative de chantage et ne communiquer aucune donnée personnelle ou verser d'argent quelle que soit la somme demandée.

Il faut paramétrer ses comptes sociaux professionnels et comptes Facebook de manière à ce que le malfaiteur n'associe pas votre nom à une liste d'amis / de contacts. Ne rendez accessible votre profil Facebook qu'auprès de vos amis de confiance.

Enfin, ne publiez rien de personnel sur votre mur. Des personnes mal intentionnées peuvent détourner ces informations à d'autres fins.

Effectuez des captures d'écran justifiant votre situation (messages reçus, contenus à effacer ...)

Signalez directement l'escroquerie sur la plateforme officielle dédiée www.internet-signalement.gouv.fr
Renseignez-vous via le service Info Escroqueries au 0811 02 02 17

La violence des termes employés par l'escroc et le risque d'exposition de votre vie privée constituent un traumatisme. Il est conseillé d'en parler avec une personne de confiance, votre avocat par exemple.

Pour les mineurs, le site Net écoute met des des télé-conseillers gratuitement à votre écoute au 0800 200 000 de 9h à 19h en semaineVoir le site Net écoute

Veillez à informer discrètement les personnes susceptibles d'être sollicitées par le cyber-escroc en mentionnant sobrement que vous êtes victime d'une escroquerie en ligne et qu'il ne faut ni ouvrir, ni partager, ni répondre à une éventuelle sollicitation provenant d'un inconnu.

Vous pouvez par exemple programmer une alerte à votre nom qui vous enverra un message sur votre webmail dès qu'un contenu associé à votre nom est mis en ligne.

Si la vidéo a été diffusée ...

Par exemple,si la vidéo a été mise en ligne sur Youtube : il faut demander la suppression de la vidéo et si le site ne répond pas à votre demande, adressez vous à la CNIL ou un avocat spécialisé.

Depuis un arrêt de la cour de justice européenne du 13 mai 2014 sur le "droit à l'oubli", les internautes peuvent saisir les moteurs de recherche et notamment Google d'une demande de déréférencement d'un contenu associé à leurs nom et prénom. (voir notre article Un an après: le point sur l'application par Google du droit à l ... et la vidéo Droit à l'oubli numérique: l'Interview de Me Thierry Vallat sur ...

L'article 312-1 relatif à l'extorsion qui est le fait d'obtenir par violence, menace de violences ou contrainte soit une signature, un engagement ou une renonciation, soit la révélation d'un secret, soit la remise de fonds, de valeurs ou d'un bien quelconque punit ces manoeuvres de 7 années d'emprisonnement et 100.000 euros d'amende. Le chantage est pour sa part réprimé par l'article 312-10 du code pénal.

Rappelons enfin qu'il existe désormais en France un délit particulier depuis août 2014 avec la création de l’article 222-33-2-2 du Code pénal sur le harcèlement qui dispose que:

"Le fait de harceler une personne par des propos ou comportements répétés ayant pour objet ou pour effet une dégradation de ses conditions de vie se traduisant par une altération de sa santé physique ou mentale est puni d’un an d’emprisonnement et de 15 000 € d’amende lorsque ces faits ont causé une incapacité totale de travail inférieure ou égale à huit jours ou n’ont entraîné aucune incapacité de travail.

Les faits mentionnés au premier alinéa sont punis de deux ans d’emprisonnement et de 30 000 € d’amende :

1° Lorsqu’ils ont causé une incapacité totale de travail supérieure à huit jours ;

2° Lorsqu’ils ont été commis sur un mineur de quinze ans ;

3° Lorsqu’ils ont été commis sur une personne dont la particulière vulnérabilité, due à son âge, à une maladie, à une infirmité, à une déficience physique ou psychique ou à un état de grossesse, est apparente ou connue de leur auteur ;

4° Lorsqu’ils ont été commis par l’utilisation d’un service de communication au public en ligne.

Les faits mentionnés au premier alinéa sont punis de trois ans d’emprisonnement et de 45 000 € d’amende lorsqu’ils sont commis dans deux des circonstances mentionnées aux 1° à 4°"

(voir par exemple avec l'application polémique Gossip: Cyber Harcèlement: l'appli Gossip revient...sans modération ...)

Vous disposez également de renseignements sur le site de la Police Nationale, notamment pour déposer plainte Arnaque à la webcam / Cybercrime / Dossiers / Actualités ...

et sur celui de la CNIL: Notre page Facebook qui délivre quelques conseils pour bien paramétrer vos comptes.

Retrouvez de exemples de sextorsions: Boulonnais : une dizaine d'hommes victimes de «chantage à l ou en Belgique Des centaines de Belges arnaqués par des "brouteurs"! ainsi que notre article sur les ransomware (rançongiciels) Attention aux ransomwares: le rançongiciel WannaCry arrive

Me Thierry Vallat a été interviewé par le JDD sur le délit de sextorsion Sextorsion : quand les hommes sont pris pour cibles et les chantages par Le Parisien Ils ont payé pour échapper à la honte

Partager cet article

Repost0

Published by thierry vallat - dans NTIC lutte contre le harcèlement
commenter cet article …

11 août 2015 2 11 /08 /août /2015 05:37

Droit du travail: l'utilisation de données biométriques et d'empreintes digitales est-elle autorisée ?

Au secours mon employeur veut installer des pointeuses digitales ! Ai-je le droit de m'opposer au recueil des mes empreintes ?

Rassurez-vous: la biométrie ne peut envahir (pour le moment) impunément votre espace de travail.

On assiste en effet depuis quelques années à un recours croissant par les entreprises à des moyens informatiques pour gérer leurs ressources humaines et les données biométriques de leurs salariés et employés sont donc récoltées de plus en plus fréquemment.

Mais les dispositifs biométriques, puisqu’ils permettent d’identifier une personne par ses caractéristiques physiques et biologiques, sont des données personnelles particulièrement sensibles et en conséquence soumis à un strict contrôle de la CNIL.

Ainsi, la mise en oeuvre de ces dispositifs ne peut intervenir sur le lieu de travail du salarié sans autorisation préalable de la CNIL.

Le cadre juridique

Tous les dispositifs de reconnaissance biométrique sont soumis à autorisation préalable de la CNIL quel que soit le procédé technique retenu (contour ou forme de la main, empreinte digitale...). Il appartient à chaque employeur d’adresser une demande d’autorisation à la CNIL.

Sauf trois cas de figure précisés ci-après, chaque application fait l’objet d’un examen au cas par cas, en fonction notamment de la caractéristique biométrique utilisée.

Des formalités allégées pour certains dispositifs biométriques

Afin de faciliter les formalités, la CNIL a défini un cadre, appelé autorisation unique, applicable à certains dispositifs biométriques. Le principe est le suivant : lorsque, par exemple, un employeur souhaite mettre en oeuvre un dispositif biométrique qui répond aux conditions définies dans ce cadre, il peut bénéficier d’une procédure simplifiée. Il lui suffit alors d’adresser à la CNIL une simple déclaration de conformité.

Cette procédure d’autorisation unique s’applique à trois types de dispositifs reposant sur la reconnaissance :

du contour de la main pour assurer le contrôle d’accès au restaurant scolaire (autorisation n°AU-009);
du contour de la main pour assurer le contrôle d’accès aux locaux et à la restauration sur les lieux de travail (autorisation n°AU-007 ) ;
de l’empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée pour contrôler l’accès aux locaux professionnels (autorisation n°AU-008).

La nécessaire information préalable des intéressés

Les personnes concernées par le dispositif biométrique doivent être clairement informées de ses conditions d’utilisation, de son caractère obligatoire ou facultatif, des destinataires des informations et des modalités d’exercice de leurs droits d’opposition, d’accès et de rectification. En outre, et conformément au Code du travail et à la législation applicable à la fonction publique territoriale, les instances représentatives du personnel doivent, le cas échéant, être consultées et informées avant la mise en oeuvre des dispositifs.

Le cas particulier des dispositifs reposant sur l’enregistrement des empreintes digitales dans une base de données

La CNIL a notamment rappellé que :

l’empreinte digitale est une biométrie à « trace ». Chacun laisse des traces de ses empreintes digitales, plus ou moins facilement exploitables, dans beaucoup de circonstances de la vie courante (sur un verre ou une poignée de porte etc.) ;
ces « traces » peuvent être capturées à l’insu des personnes et être utilisées notamment pour usurper leur identité.

Par conséquent, ces dispositifs ne sont justifiés que s’ils sont fondés sur un fort impératif de sécurité et satisfont aux quatre exigences suivantes :

la finalité du dispositif : elle doit être limitée au contrôle de l’accès d’un nombre limité de personnes à une zone bien déterminée, représentant ou contenant un enjeu majeur dépassant l’intérêt strict de l’organisme tel que la protection de l’intégrité physique des personnes, de celle des biens et des installations ou encore de celles de certaines informations (ex : accès à une centrale nucléaire, à une cellule de production de vaccins ou à un site Seveso II) ;
la proportionnalité : le système proposé doit être adapté à la finalité préalablement définie eu égard aux risques qu’il comporte en matière de protection des données à caractère personnel
la sécurité : le dispositif doit permettre à la fois une authentification et/ ou une identification fiable des personnes et comporter toutes garanties de sécurité pour éviter la divulgation des données ;
l’information des personnes concernées : elle doit être réalisée dans le respect de la loi « informatique et libertés » et, le cas échéant, du Code du travail.

Il est donc autorisé, afin de vérifier l’accès aux locaux professionnels, la reconnaissance de l’empreinte digitale enregistrée sur une carte à puce détenue seulement par l’employé concerné. La mise en place d'un tel système de "badgeage" par empreintes digitales est admis notamment pour des raisons de sécurité dans sites protégées en raison de l’activité à protéger (service de RD, …) et/ou de la dangerosité du site (nucléaire, biologique, … ).

Il ne serait donc en France pas envisageable pour un salarié de refuser, comme cette employée mauricienne qui vient d'obtenir gain de cause ( http://www.lexpress.mu/article/266939/donnees-biometriques-au-travail-employeurs-dans-flou), la prise de ses empreintes dans un tel cas et si tous les critères requis sont respectés et l'autorisation CNIL donnée.

Le système mis en place ne doit pas servir au contrôle des déplacements à l’intérieur des locaux. Le dispositif ne doit pas non plus entraver la liberté d’aller et venir des représentants du personnel dans l’exercice de leur mandat, ou être utilisé pour contrôler le respect de leurs heures de délégation.

Par ailleurs, seuls des dispositifs non biométriques peuvent être utilisés pour gérer les horaires et le temps de présence des employés: l’utilisation de dispositifs de reconnaissance biométrique, pour la gestion des contrôles d’accès aux locaux, des horaires et de la restauration ne peut être déclarée en référence à la norme simplifiée n° 42, relative aux traitements de contrôle d’accès

Le tribunal de grande instance de Paris dans un jugement EFFIA du 19 avril 2005 à propos d’un système de reconnaissance des empreintes digitales mis en place par une entreprise afin de gérer le temps de travail et la paye des salariés, a ainsi déclaré illicite ledit système comme portant une atteinte disproportionnée aux libertés individuelles JURIPOLE - Biométrie : badgeage par empreintes digitales

De la même manière, un système d'implantation de puces RFID dans la paume de la main de salariés, comme une société suédoise l'a récemment entrepris, serait manifestement contraire à nos règles de droit du travail.

Le Code du travail prohibe en effet la restriction aux droits des personnes et des libertés qui ne seraient pas justifiées par la nature de la tâche (article L 1121-1) et en l'occurrence il n'y avait aucune proportionnalité avec les tâches à accomplir par les salariés concernés, sinon les géolocaliser.

En effet, ce système permet incontestablement une géolocalisation du salarié: il se heurterait donc frontalement à la prohibition rappelée il y a quelques mois par la Chambre sociale de la Cour de Cassation dans son récent arrêt "Design Fenêtres" du 17 décembre 2014 sur un fondement identique, puisque la géolocalisation n'est autorisé notamment que si le contrôle du salarié ne peut être effectué par un autre moyen par l'employeur (http://www.legifrance.gouv.fr/affichJuriJudi.do?oldAction=rechJuriJudi&idTexte=JURITEXT000029941910&fastReqId=1810829239&fastPos=1): "l'utilisation d'un système de géolocalisation pour assurer le contrôle de la durée du travail, laquelle n'est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, n'est pas justifiée lorsque le salarié dispose d'une liberté dans l'organisation de son travail " (voir notre article Une société suédoise implante des micropuces RFID sous ...)

Partager cet article

Repost0

Published by thierry vallat - dans Droit du travail et de la sécurité sociale NTIC
commenter cet article …

29 juillet 2015 3 29 /07 /juillet /2015 03:06

Comment protéger votre intimité et la confidentialité de vos données? la CNIL met en demeure 13 sites de rencontre en ligne

Adeptes des sites de rencontre en ligne ? Accros à Meetic ou Adopte un mec ?

Quelque chose me dit que votre intimité n'est pas si bien respectée que ça sur ces sites pourtant alimentés de données très personnelles !

Alors attention et remerciez la CNIL

En effet, à la suite de contrôles effectués auprès de 13 sites de rencontre ayant révélé de nombreux manquements à la loi Informatique et Libertés, notamment sur les informations sensibles fournies par leurs clients, la Présidente de la CNIL a mis le 24 juin 2015 en demeure huit acteurs majeurs du secteur.

De plus en plus de Français se rendent sur les sites de rencontre. La plupart de ces sites offrent à leurs utilisateurs une recherche de partenaires très ciblée : par communauté sociale, ethnique ou religieuse, par localisation géographique, en fonction de l’apparence physique, des pratiques sexuelles ou des opinions politiques, etc.

Le nombre important des utilisateurs ainsi que la quantité des données traitées et leur sensibilité ont conduit la CNIL à inscrire les sites de rencontre dans son programme annuel des contrôles pour 2014.

Ont ainsi été contrôlés : Meetic, Attractive World, Adopte un mec, Easyflirt, Rencontre obèse, Destidyll, Forcegay, Mektoube, Jdream, Feujworld, Marmite love, Gauche rencontre, Celibest.

De nombreux manquements à la loi informatique et libertés ont été constatés, notamment :

les sites ne recueillent pas le consentement exprès des personnes pour la collecte de données sensibles (par exemple : données relatives à la vie et aux pratiques sexuelles, aux origines ethniques, aux convictions et pratiques religieuses, aux opinions politiques). Or, il est important que les internautes aient conscience de la protection attachée à ces données qui révèlent des éléments-clés de leur intimité. Ce recueil pourrait prendre la forme d’une case à cocher permettant de sensibiliser les internautes sur la sensibilité des données qu’ils renseignent ;

les sites ne procèdent pas à la suppression des données des membres ayant demandé leur désinscription ou ayant cessé d’utiliser leurs comptes depuis une longue durée ;
ils mettent en œuvre des fichiers afin d’exclure des personnes de l’accès au service sans avoir procédé à des demandes d’autorisation auprès de la CNIL ;
ils n’informent pas correctement les internautes de leurs droits (accès, suppression, rectification) ainsi que des conditions dans lesquelles des cookies sont déposés sur leur ordinateur.

La Présidente de la CNIL a donc décidé de mettre en demeure les huit organismes responsables de ces treize sites ayant fait l’objet des contrôles de se mettre en conformité sur ces différents points.

Cette mise en demeure a été rendue publique le 28 juillet 2015 par le bureau de la CNIL compte tenu de la sensibilité des données en cause et du nombre de personnes concernées.

La CNIL rappelle que ces mises en demeure ne sont pas des sanctions. En effet, aucune suite ne sera donnée à ces procédures si les sociétés se conforment à la loi dans le délai de trois mois. Dans ce cas, la clôture de chacune des procédures fera également l'objet d'une publicité.

Si les sociétés ne se conforment pas à cette mise en demeure dans le délai imparti, la Présidente pourra désigner un rapporteur qui, le cas échéant, pourra établir un rapport proposant à la formation restreinte de la CNIL, chargée de sanctionner les manquements à la loi Informatique et Libertés, de prononcer une sanction à leur égard.

Accompagnant cette mise en demeure, la CNIL publie de trés utiles conseils à destination des particuliers.

les sites ne procèdent pas à la suppression des données des membres ayant demandé leur désinscription ou ayant cessé d’utiliser leurs comptes depuis une longue durée ;
ils mettent en œuvre des fichiers afin d’exclure des personnes de l’accès au service sans avoir procédé à des demandes d’autorisation auprès de la CNIL ;
ils n’informent pas correctement les internautes de leurs droits (accès, suppression, rectification) ainsi que des conditions dans lesquelles des cookies sont déposés sur leur ordinateur.

La Présidente de la CNIL a décidé de mettre en demeure les huit organismes responsables de ces treize sites ayant fait l’objet des contrôles de se mettre en conformité sur ces différents points.

Cette mise en demeure a été rendue publique par le bureau de la CNIL compte tenu de la sensibilité des données en cause et du nombre de personnes concernées.

La CNIL rappelle que ces mises en demeure ne sont pas des sanctions. En effet, aucune suite ne sera donnée à ces procédures si les sociétés se conforment à la loi dans le délai de trois mois. Dans ce cas, la clôture de chacune des procédures fera également l'objet d'une publicité.

Si les sociétés ne se conforment pas à cette mise en demeure dans le délai imparti, la Présidente pourra désigner un rapporteur qui, le cas échéant, pourra établir un rapport proposant à la formation restreinte de la CNIL, chargée de sanctionner les manquements à la loi Informatique et Libertés, de prononcer une sanction à leur égard.

Accompagnant cette mise en demeure, la CNIL publie des conseils à destination des particuliers.

SITES DE RENCONTRE EN LIGNE : COMMENT PROTÉGER VOTRE INTIMITÉ ?

Retrouvez les décisions de la CNIL du 24 juin 2015 publiées le 28 juillet:

(source:CNIL)

Partager cet article

Repost0

Published by thierry vallat - dans NTIC
commenter cet article …

2 juillet 2015 4 02 /07 /juillet /2015 05:47

Utilisation des cookies et traceurs: plus de vingt sites mis en demeure par la CNIL

A la suite de contrôles réalisés fin 2014, la Présidente de la Commission Nationale de l'Informatique et des Libertés (CNIL) a annoncé dans un communiqué du 30 juin 2015 qu'elle avait mis en demeure une vingtaine d’éditeurs de sites internet qui ne respectent pas les règles encadrant l’utilisation des cookies et autres traceurs.

La directive européenne dite " paquet télécom " prévoit que l’internaute doit être informé et donner son consentement avant que ne soient déposés sur son ordinateur certains cookies ou autres traceurs.

A la suite d'une concertation approfondie avec les principaux acteurs de la publicité en ligne, la CNIL a adopté et publié en décembre 2013 une recommandation qui précise aux professionnels les bonnes pratiques pour se mettre en conformité. La CNIL a accompagné cette recommandation d’outils pratiques et pédagogiques mis à disposition des professionnels comme des particuliers.

L’accord libre, spécifique et éclairé prévu par l’article 32 II de la loi Informatique et Libertés implique :

une absence de dépôt de cookies ou autres traceurs lors de l’arrivée sur le site et tant que la personne n’a pas exprimé de choix ;
la mise à disposition d’outils d’opposition complets, efficaces, aisément utilisables

Une fois le consentement recueilli pour le dépôt d’un cookie répondant à une finalité donnée, le premier niveau d’information (bandeau) peut disparaître.

L’information des personnes via la rubrique dédiée (2ème niveau), doit rester aisément accessible, notamment pour leur offrir la possibilité de s’opposer à tout moment au suivi.

La durée du consentement dépend de celle du traceur concerné. La CNIL recommande une durée maximale de 13 mois à l’issue de laquelle le cookie doit être supprimé et le consentement renouvelé.

Un an après la publication de cette recommandation, la CNIL a effectué des contrôles pour vérifier le respect des règles applicables. Au total, elle a réalisé 24 contrôles sur place, 27 contrôles en ligne et 2 auditions.

Ces vérifications ont permis de constater que, d’une manière générale, les sites internet n’informent pas suffisamment les internautes et ne recueillent pas leur consentement avant de déposer des cookies.

En effet, si certains sites ont apposé un bandeau informant les internautes que des cookies sont déposés sur leur ordinateur, aucun des sites contrôlés n’attend d’avoir recueilli le consentement des internautes avant de déposer lesdits cookies. En outre, les sites internet invitent souvent les internautes à paramétrer leur navigateur pour s’opposer au dépôt des cookies, alors qu’un tel paramétrage n’est considéré comme un mécanisme valable d’opposition que dans des cas très limités.

Dans ce contexte, la Présidente de la CNIL a mis en demeure une vingtaine de sites internet de se mettre en conformité avec la loi dans un délai déterminé. La CNIL précise qu’une mise en demeure n'est pas une sanction. En effet, aucune suite ne sera donnée à cette procédure si le site se conforme à la loi dans le délai imparti. Les premières réponses apportées par les sites internet concernés témoignent d’ailleurs de leur volonté de se mettre en conformité.

Ces mises en demeure ne concernent pas les cookies de mesure d’audience, qui sont exemptés sous certaines conditions du recueil de consentement et font l’objet de travaux complémentaires par la Commission.

Enfin, la CNIL rappelle que la recommandation de 2013 ne s’applique pas qu’aux seuls éditeurs de sites internet, mais à tous les acteurs du secteur (régies publicitaires, etc.). Des investigations auprès de ces différents acteurs sont actuellement en cours.

(Source: CNIL http://www.cnil.fr/linstitution/actualite/article/article/cookies-et-autres-traceurs-premier-bilan-des-controles/)

Partager cet article

Repost0

Published by thierry vallat - dans NTIC
commenter cet article …

Défaut de sécurité de données clients: la CNIL sanctionne Optical Center

Quels policiers et gendarmes enquêtent sous pseudos avec l'arrêté du 21 octobre 2015 ?

Données personnelles: invalidation du controversé accord "Safe Harbor" par la Cour de Justice européenne dans son arrêt Schrems du 6 octobre 2015

Attaquée devant la CEDH par 180 journalistes, la loi sur le renseignement est entrée en vigueur samedi 3 octobre 2015 avec la publication du décret nommant le président de la CNCTR

Nécessité d'une information préalable à la personne concernée de la transmission et du traitement de ses données à caractère personnel entre 2 administrations publiques

La neutralité de l'internet et des plateformes numériques dans le projet de loi Lemaire mis en ligne le 26 septembre 2015

Le conseil d'Etat annule partiellement le fichier "Stade " du PSG

Droit à l'oubli numérique et déréférencement: rejet par la CNIL du recours de Google

Interdits de stade : clôture par la CNIL de la mise en demeure du PSG

Notre article sur le droit d'accès à internet publié dans le Village de la Justice !

Notre article "Neutralité et loyauté des plateformes numériques" à découvrir dans Archimag de septembre 2015

Cyber Harcèlement: le ''sextorsion'' et comment réagir aux chantages à la webcam ou aux mails de crypto-porno ?

Droit du travail: l'utilisation de données biométriques et d'empreintes digitales est-elle autorisée ?

Le cadre juridique

Des formalités allégées pour certains dispositifs biométriques

La nécessaire information préalable des intéressés

Le cas particulier des dispositifs reposant sur l’enregistrement des empreintes digitales dans une base de données

Comment protéger votre intimité et la confidentialité de vos données? la CNIL met en demeure 13 sites de rencontre en ligne

Utilisation des cookies et traceurs: plus de vingt sites mis en demeure par la CNIL

Présentation

Le Cabinet Thierry Vallat

Recherche

Recherche

Dans les médias récemment

Archives

Articles Récents

Rubriques

Le Cabinet En Images

Catégories

Liens

Le cadre juridique

Des formalités allégées pour certains dispositifs biométriques

La nécessaire information préalable des intéressés

Le cas particulier des dispositifs reposant sur l’enregistrement des empreintes digitales dans une base de données

Présentation

Le Cabinet Thierry Vallat

Recherche

Recherche

Dans les médias récemment

Archives

Articles Récents

Rubriques

Le Cabinet En Images

Catégories

Newsletter

Liens

Suivez-moi