protection des donnees personnelles - Le blog de Thierry Vallat, avocat au Barreau de Paris (et sur Twitter: @MeThierryVallat)

26 mars 2022 6 26 /03 /mars /2022 10:47

Accord du 25 mars 2022 sur la législation européenne sur les marchés numériques (DMA)

Le Conseil et le Parlement européen sont parvenus le 25 mars 2022 à un accord politique provisoire sur la législation sur les marchés numériques (DMA).

Le DMA doit permettre d'interdire directement les pratiques commerciales néfastes des très grands acteurs du numérique et créera un espace économique plus équitable et contestable pour les nouveaux acteurs et les entreprises européennes.

La législation sur les marchés numériques définit des règles claires pour les grandes plateformes en ligne. Elle vise à s'assurer qu'aucune grande plateforme en ligne qui se trouve dans une position de "contrôleur d'accès" vis‑à‑vis d'un grand nombre d'utilisateurs n'abuse de cette position au détriment des entreprises qui souhaitent accéder à ces utilisateurs.

Le Conseil et le Parlement européen sont convenus que pour qu'une plateforme soit qualifiée de contrôleur d'accès ("gatekeeper"), elle devait, d'une part, dans les trois dernières années, soit réaliser un chiffre d'affaires annuel d'au moins 7,5 milliards d'euros au sein de l'Union européenne (UE), soit avoir une valorisation boursière d'au moins 75 milliards d'euros, et qu'elle devait compter au moins 45 millions d'utilisateurs finaux mensuels et au moins 10 000 utilisateurs professionnels établis dans l'UE.

D'autre part, la plateforme doit contrôler un ou plusieurs services de plateforme de base ("core platform services") dans au moins trois États membres. Ces services de plateforme de base comprennent les places de marché et les boutiques d'applications, les moteurs de recherche, les réseaux sociaux, les services en nuage, les services de publicité, les assistants vocaux et les navigateurs web.

Pour s'assurer que les règles prévues par le règlement sont proportionnées, les PME sont - hors cas exceptionnels - exemptées de la qualification de contrôleur d'accès. Afin d'assurer le caractère progressif de ces obligations, une catégorie de "contrôleur d'accès émergent" est également prévue; elle permettra à la Commission d'imposer certaines obligations aux entreprises dont la position concurrentielle est démontrée mais pas encore durable.

Les contrôleurs d'accès devront:

assurer le droit des utilisateurs de se désabonner des services de la plateforme de base dans des conditions similaires à l'abonnement
pour les logiciels les plus importants (navigateur web, par exemple): ne pas imposer ces logiciels par défaut à l'installation du système d'exploitation
assurer l'interopérabilité des fonctionnalités de base leurs services de messagerie instantanée
permettre aux développeurs d'applications d'accéder dans des conditions équitables aux fonctionnalités auxiliaires des smartphones (puce NFC, par exemple)
donner aux vendeurs l'accès à leurs données de performance marketing ou publicitaire sur la plateforme
informer la Commission européenne des acquisitions et fusions qu'ils réalisent

Ils ne pourront plus:

classer leurs propres produits ou services de manière plus favorable que ceux des autres acteurs du marché (auto‑préférence)
réutiliser les données personnelles collectées lors d'une prestation pour les besoins d'une autre prestation
établir des conditions déloyales pour les utilisateurs professionnels
préinstaller certaines applications logicielles
imposer aux développeurs d'application l'utilisation de certains services (système de paiement ou fournisseur d'identité par exemple) pour être référencés dans les magasins d'application

Si un contrôleur d'accès enfreint les règles fixées par la législation, il risque une amende pouvant aller jusqu'à 10 % de son chiffre d'affaires mondial total. En cas de récidive, une amende pouvant aller jusqu'à 20 % du chiffre d'affaires mondial pourra être imposée.

Dans le cas où un contrôleur d'accès adopte un comportement de non-respect systématique du DMA, c'est‑à‑dire qu'il enfreint les règles au moins 3 fois en 8 ans, la Commission européenne peut ouvrir une enquête de marché et, si nécessaire, imposer des mesures correctives comportementales ou structurelles.

L'accord provisoire intervenu aujourd'hui doit être approuvé par le Conseil et le Parlement européen. Le règlement doit être mis en œuvre dans un délai de six mois après son entrée en vigueur.

Du côté du Conseil, la présidence entend soumettre l'accord au Comité des représentants permanents (Coreper) pour approbation à bref délai.

Proposition de la Commission européenne relative à une législation sur les marchés numérique

(source: Conseil européen https://www.consilium.europa.eu/fr/press/press-releases/2022/03/25/council-and-european-parliament-reach-agreement-on-the-digital-markets-act/)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique protection des données personnelles
commenter cet article …

13 octobre 2021 3 13 /10 /octobre /2021 06:18

Données personnelles: des footballeurs professionnels attaquent les sociétés de paris sportifs pour violation du RGPD

Une action collective de footballeurs anglais pour l'utilisation indue de leurs données personnelles fait trembler les sociétés de paris sportifs.

On apprend par BBC News que 850 footballeurs réclament en effet le versement le paiement d'une indemnité pour l'utilisation de leurs données par les entreprises de paris sportifs au Royaume-Uni, cette utilisation violant le RGPD puisque leur consentement n'est pas systématiquement recueilli (article du 12 octobre 2021)

Les joueurs souhaitent également le versement de frais annuels pour toute réutilisation future.

Il s'agit de données incluant aussi bien des informations sur la taille de joueurs que la moyenne de buts par match.

Or, les joueurs ne consentent pas individuellement à l'utilisation des données par les entreprises en violation du Règlement général sur la protection des données (RGPD).

La question est donc: est-ce que ces données sont bien des données personnelles au sens de l'article 4 ? Cet article précise qu'est une donnée personnelle:

"toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée») ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale"

Les données de joueurs paraissent donc bien protégeables par le RGPD.

Cette action pourrait donc changer la donne plus généralement sur l'utilisation des données des sportifs, au Royaume-Uni et ailleurs.

(source: article BBC)

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans protection des données personnelles Droit numérique
commenter cet article …

2 octobre 2021 6 02 /10 /octobre /2021 09:43

La première loi sur la protection des données neuronales a été adoptée le 30 septembre 2021 au Chili

Le droit des neurotechnologies fait un nouveau pas avec l'adoption dans la nuit du 29-30 septembre 2021 par la Chambre des députés du Chili de la loi sur les "neurodroits", devenant ainsi le premier pays au monde à se doter d'une règlementation sur la protection des données neuronales.

La loi "établit que le développement scientifique et technologique devra être au service des personnes et qu'il sera mené à terme dans le respect de la vie et de l'intégrité physique et psychique", a précisé la Chambre des députés dans un communiqué.

La loi va intervenir dès sa promulgation dans quatre domaines fondamentaux: la sauvegarde des données de l'esprit humain ou "neurodonnées", l'établissement des limites de la neurotechnologie de la lecture et surtout de l'écriture dans le cerveau, la détermination d'une distribution équitable de l'accès à ces technologies et la fixation des limites des "neuroalgorithmes".

Le Sénat chilien avait en amont adopté en avril dernier à l'unanimité le projet de réforme constitutionnelle qui reconnaît les données mentales comme des neuro-droits et leur donne la qualité des droits de l'homme et la loi qui protège l'intégrité mentale.

Il s'agit de s'assurer que personne n'altère l'état mental d'une personne, comme sa mémoire ou d'empêcher quiconque d'exploiter les données d'un individu sans son consentement préalable, par exemple pour améliorer les capacités mentales de certains individus (militaires etc.) par stimulation neuronale.

L'intégrité mentale vise à prévenir d'éventuels "hacks" de cerveaux, par exemple en cas de prise de contrôle d'un implant neuronal.

Rappelons que la technologie Neuralink promue par Elon Musk est testée à l’aide d’un cochon cobaye dénommé Gertrude avec une puce, placée dans le cerveau, qui fonctionne sans fil grâce à la technologie Bluetooth: ce dispositif de 23 mm de diamètre sur 8 mm d’épaisseur, doit permettre à certaines personnes paralysées ou handicapées de recouvrer leur mobilité ou de traiter des maladies neurologiques. Avec le risque de piratage.

Le sénateur Guido Girardi, qui, avec le neuroscientifique espagnol Rafael Yuste, est le principal promoteur de la réforme chilienne et du projet de loi a souligné que «l'intelligence artificielle cherche à reproduire notre cortex cérébral avec des systèmes neuronaux artificiels et plus les neurosciences progressent, plus l'IA avance et vice versa. . Les deux se renforcent mutuellement et pourraient atteindre une vitesse de développement inimaginable ».

Le parlementaire a souligné que si les neurotechnologies "ont un énorme potentiel pour traiter les maladies neurodégénératives (Parkinson, Alzheimer, schizophrénie), elles peuvent aussi manipuler le cerveau humain, introduire des pensées ou connaître l'inconscient".

En Chine, des entreprises comme à Hangzou ont déjà équipé leurs ouvriers de casques munis de capteurs pour évaluer leur état émotionnel et améliorer la productivité ou des écoles primaires près de Shanghai où les élèves sont équipés de casques pour détecter leur attention en classe.

En matière judiciaire, les neurosciences sont d'ores et déjà envisagées comme pouvant aider à étayer des décisions de justice, qu'il s’agisse de détecter le mensonge d'un mis en examen ou de juger du niveau de responsabilité d’un prévenu.

Par ailleurs, de nouvelles application comme le neuromarketing avec la modification des données comportementale à l'achat "le nudge" pose de réels problème éthiques.

Les neurosciences posent donc de nombreuses questions éthiques et juridiques et nécessitent la création de neurodroits spécifiques.

La réforme présentée reconnaît les neuro-droits comme des droits de l'homme au niveau constitutionnel et protège l'autonomie et le libre arbitre, qui sont l'essence de chaque personne.

La loi établit que les données neuronales ont le même statut que les organes et pénalise leur trafic ou leur manipulation, sauf indication médicale.

Il sera donc inscrit dans le marbre législatif l’impossibilité de collecter les données cérébrales, de surveiller et modifier le fonctionnement du cerveau sans le consentement de la personne.

Si un rapport "Towards new human rights in the age of neuroscience and neurotechnology" avait été publié en 2017 en Suisse par Marcelo Ianca et Roberto Andorno sur la nécessité d'ériger de nouvelles barrières légales de protection, face aux nouvelles technologies ou des recommandations publiées en 2019 par l’OCDE (Organisation internationale de Coopération et de Développement Économique) qui évoquaient l’exploitation sans consentement éclairé des données cérébrales collectées dans le cadre médical, de la vie privée ou de la surveillance de la population et la nécessité que les données cérébrales fassent partie intégrante des données personnelles et protégées face au risque d’être utilisées par les entreprises du numérique, les publicitaires, les sociétés d’assurance ou la police, il s'agit d'une première avec le texte chilien sur les neurodroits.

Le Chili a voulu être précurseur en la matière car "si les neurotechnologies ne sont pas régulées à temps, alors cela ne sera plus possible, comme c'est déjà le cas avec les plateformes" a prophétisé le sénateur Girardi.

En France, la situation est encore éloignée d'une reconnaissance de neurodroits, même si la loi Bioéthique de juillet 2011 a introduit un embryon de protection par l'article 16-14 du code civil qui dispose dans sa dernière version modifiée par la loi du 2 août 2021 que:

« Les techniques d’imagerie cérébrale ne peuvent être employées qu’à des fins médicales ou de recherche scientifique ou dans le cadre d’expertises judiciaires, à l’exclusion, dans ce cadre, de l’imagerie cérébrale fonctionnelle. ».

De plus, il est complété par l'article 225-3 du code pénal qui prévoit l'impossibilité de discrimination se fondant sur "des données issues de techniques d'imagerie cérébrale"

Et enfin avec l'article L 1151-4 du code de la santé publique qui permet désormais l'interdiction par décret des "actes, procédés, techniques, méthodes et équipements ayant pour effet de modifier l’activité cérébrale et présentant un danger grave ou une suspicion de danger grave pour la santé humaine ..., après avis de la Haute Autorité de santé. Toute décision de levée de l’interdiction est prise en la même forme», mais la référence à la neuromodulation qui concernait les nouveaux dispositifs de stimulation électrique ou magnétique capables de modifier l’activité du cerveau chez des patients et chez des personnes saines n'a pas finalement été retenue par les députés.

Mais la réflexion sur ce sujet crucial avance et Me Thierry Vallat vient ainsi d'être auditionné par l'Office parlementaire d'évaluation des choix scientifiques et technologiques "OPECST" sur une future loi sur les neurotechnologies.

(crédit dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans neurodroit Droit de la santé protection des données personnelles
commenter cet article …

25 août 2021 3 25 /08 /août /2021 14:14

Le délit de mise en danger d'autrui par fourniture de données personnelles: le doxing et l'art 223-1-1 du code pénal

Par un amendement "Samuel Paty" à la loi n° 2021-1109 du 24 août 2021 confortant le respect des principes de la République publiée ce 25 août au journal officiel, le législateur a introduit dans le code pénal le délit de doxing.

Le doxing ou doxxing est la mise en ligne publique d'informations, photos ou vidéos concernant une personne et ses proches sans son consentement.

Cette pratique nauséabonde à l'origine anglo-saxonne permet de livrer en pâture le nom d’une personne à des internautes qui peuvent ensuite se livrer à du harcèlement de meute sur la personne dont l'identité et les coordonnées ont ainsi été dévoilées.

Suite au meurtre en octobre 2020 du professeur de Conflans Sainte Honorine après divulgation de ses coordonnées en ligne, le Premier ministre Jean Castex avait annoncé qu'un "délit de mise en danger d'autrui par fourniture de données personnelles" devrait être créé sur les réseaux sociaux.

Au delà de l'effet d'annonce consécutif à l'émotion générée par ce drame, est-ce bien nécessaire alors que ce type de comportement était déjà prévu et réprimé par le code pénal (articles 226-33 du code pénal, atteinte à la vie privée et article 226-1 et suivants du code pénal) ou même la provocation publique à commettre un crime ou un délit, qu'elle soit ou non suivie d'effet, laquelle est punissable dans les termes de l'article 24 de la loi du 29 juillet 1881.

La loi du 24 août 2021 (anciennement loi séparatisme) validée par le Conseil constitutionnel prévoit donc l'introduction dans le code pénal qui crée une nouvelle infraction pénale sanctionnant de trois ans d’emprisonnement et de 45 000 euros d’amende la mise en danger d’autrui par la diffusion d’informations personnelles, même si cette mise en danger n’est pas suivie de faits. La peine est portée à 5 ans et 75 000 euros d’amende, si la victime est mineure ou dépositaire de l’autorité publique.

Le nouvel article 223-1-1 dispose désormais que:

"Le fait de révéler, de diffuser ou de transmettre, par quelque moyen que ce soit, des informations relatives à la vie privée, familiale ou professionnelle d'une personne permettant de l'identifier ou de la localiser aux fins de l'exposer ou d'exposer les membres de sa famille à un risque direct d'atteinte à la personne ou aux biens que l'auteur ne pouvait ignorer est puni de trois ans d'emprisonnement et de 45 000 euros d'amende.
Lorsque les faits sont commis au préjudice d'une personne dépositaire de l'autorité publique, chargée d'une mission de service public ou titulaire d'un mandat électif public ou d'un journaliste, au sens du deuxième alinéa de l'article 2 de la loi du 29 juillet 1881 sur la liberté de la presse, les peines sont portées à cinq ans d'emprisonnement et à 75 000 euros d'amende.
Lorsque les faits sont commis au préjudice d'une personne mineure, les peines sont portées à cinq ans d'emprisonnement et à 75 000 euros d'amende.
Lorsque les faits sont commis au préjudice d'une personne dont la particulière vulnérabilité, due à son âge, à une maladie, à une infirmité, à une déficience physique ou psychique ou à un état de grossesse, est apparente ou connue de leur auteur, les peines sont portées à cinq ans d'emprisonnement et à 75 000 euros d'amende.
Lorsque les faits sont commis par voie de presse écrite ou audiovisuelle ou de communication au public en ligne, les dispositions particulières des lois qui régissent ces matières sont applicables en ce qui concerne la détermination des personnes responsables. "

A noter que la commission des lois du Sénat a ajouté un dernier alinéa à cet article afin de prévoir une garantie spécifique pour les journalistes pour qu'ils bénéficient des garanties procédurales de la loi sur la liberté de la presse de 1881, lorsque les faits reprochés résultent du contenu d’un message placé sous le contrôle d’un directeur de la publication. C'est que cet article ressemblait comme deux gouttes d’eau à l’article 24 de la proposition de loi sécurité globale et a donc été très débattu par les parlementaires dont certains considéraient que la liberté de la presse pouvait ainsi être attaquée et souhaitaient une garantie supplémentaire en ajoutant un alinéa pour que cet article n’ait pas pour effet de réprimer la révélation ou la diffusion de faits, de messages, de données, de sons ou d’images qui ont pour but d’informer le public lorsque ces informations sont reprises par un tiers dans le but de nuire.

Me Thierry Vallat a évoqué le doxing sur LCI le 20 octobre 2020 https://www.lci.fr/terrorisme/mise-en-danger-par-la-publication-de-donnees-personnelles-sur-les-reseaux-sociaux-le-gouvernement-veut-punir-le-doxing-2167794.html

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique lutte contre le harcèlement protection des données personnelles
commenter cet article …

3 février 2021 3 03 /02 /février /2021 12:29

Les drones de surveillance : un changement de paradigme en matière de captation de données personnelles pour la CNIL

Le 30 novembre 2020, le président de la commission des lois du Sénat a demandé l’avis de la CNIL en faisant usage, pour la première fois, de la faculté qui permet de la saisir de toute proposition de loi relative à la protection et le traitement des données personnelles.

La très décriée proposition de loi (PPL) relative à la sécurité globale contient en effet plusieurs dispositions qui intéressent directement la protection des données personnelles au travers, en particulier, de la modification du cadre juridique applicable en matière de vidéo et de la réglementation des caméras aéroportées (drones).

Dans la mesure où le recours à des caméras aéroportées ou à des drones entraine la mise en œuvre de traitements de données à caractère personnel, la Commission rappelle que ces dispositifs doivent donc présenter des garanties fortes au regard de la réglementation prévue par le RGPD, la directive 2016/680 du 27 avril 2016 et la loi du 6 janvier 1978 modifiée.

Depuis plusieurs années, la CNIL avait par ailleurs appelé à ce que soit édictées des règles encadrant les nouveaux usages de la vidéo par les pouvoirs publics, notamment s’agissant des drones.

De ce point de vue, les dispositions de la PPL « sécurité globale » constituent, pour certaines, une amélioration de l’encadrement juridique de dispositifs parfois déjà mis en œuvre et permettent, pour d’autres, de fixer les règles applicables.

Rappelons que l’article 22 de la proposition de loi vise à intégrer un chapitre relatif aux caméras aéroportées au sein du Code de Sécurité Intérieure afin d’encadrer leur usage, et notamment celui des drones (aéronefs circulant sans personne à bord), par les forces de l’ordre. Cet article détermine les finalités et les conditions dans lesquelles les services de l’Etat concourant à la sécurité intérieure et à la défense nationale, peuvent procéder au traitement d’images (captation, enregistrement et transmission) à partir de ces dispositifs.

Le juge des référés du Conseil d’Etat (ordonnance du 18 mai 2020, req. n° 440442, 440445 et décision du 20 décembre 2020, req. n° 446155) a récemment jugé qu’il n’était pas possible, en l’absence de disposition législative ou réglementaire, de recourir à des drones pour s’assurer du respect des règles sanitaires en vigueur lors de la période de déconfinement ou pour surveiller les manifestations sur la voie publique. La CNIL a quant à elle, sanctionné le ministère de l'intérieur pour avoir utilisé de manière illicite des drones équipés de caméras, et lui a enjoint de ne recourir à la captation de données à caractère personnel à partir de drones que si un cadre normatif autorisant la mise en œuvre de tels traitements est adopté

Les évolutions envisagées s’inscrivent donc dans un mouvement observé depuis plusieurs années visant à accroître le recours à des dispositifs ou à des technologies vidéo. La CNIL rappelle que bien que mis en œuvre pour des objectifs légitimes, ils n’ont jamais été évalués dans leur globalité.

La CNIL tient à souligner les implications éthiques attachées au déploiement d’outils qui, par essence, présentent des risques d’atteintes aux libertés publiques et à la vie privée des individus.

Elle alerte ainsi sur les spécificités de dispositifs mobiles, discrets par nature, et dont la position en hauteur permet de filmer des lieux jusqu’ici difficiles d’accès, voire interdits aux caméras classiques.

La captation d’images qu’ils permettent est considérablement élargie et, surtout, peut être individualisée avec un suivi des personnes dans leurs déplacements, à leur insu et sur une durée qui peut être longue.

En outre, davantage que les caméras actuellement utilisées, ces dispositifs de surveillance sont susceptibles d’influer sur l’exercice par les citoyens d’autres libertés fondamentales (droit de manifester, liberté de culte, liberté d’expression).

La réflexion globale qui doit nécessairement être menée en la matière a donc conduit la CNIL à considérer qu’il serait souhaitable que le législateur conditionne l’utilisation des caméras aéroportées à une expérimentation préalable.

De telles dispositions transitoires, donnant lieu à une évaluation rigoureuse et indépendante, permettraient de se prémunir de la tentation du « solutionnisme technologique », cette tendance à transformer des problématiques humaines, sociales ou encore sociétales en des questions dont la résolution passe essentiellement par des dispositifs techniques, alors que ceux-ci peuvent avoir des effets propres et potentiellement attentatoires aux libertés publiques dans le champ desquelles ils interviennent.

Afin de garantir un équilibre entre les impératifs légitimes de sécurité et le respect de la vie privée, la CNIL estime nécessaire d’encadrer plus strictement les dispositifs contenus dans la PPL « sécurité globale ».

Dans son avis du 26 janvier 2021, elle rappelle que le cadre à élaborer pour avoir recours à de nouveaux dispositifs vidéo, en particulier des drones, doit permettre de s’assurer qu’une fois leur nécessité avérée, les atteintes susceptibles d’être portés à la vie privée soient strictement proportionnées au regard des finalités poursuivies.

Dans ce contexte, la CNIL estime indispensable de :

limiter davantage les finalités pour lesquelles ces dispositifs peuvent être employés ;

s’assurer que les circonstances précises des missions menées justifient leur emploi, pour une durée adaptée à ces circonstances ;

renforcer les garanties entourant leur mise en œuvre.

D’autres observations ont par ailleurs été formulées par la CNIL sur les dispositions de la PPL qui concernent les caméras individuelles, les caméras embarquées dans certains véhicules, ainsi que la vidéoprotection, en particulier sur la transmission en temps réel des images aux forces de l’ordre.

De manière générale, la CNIL souligne que le cadre normatif tel qu’envisagé, et les évolutions qui en découlent, ne permettent toujours pas, selon elle, d’aboutir à un encadrement juridique suffisamment protecteur des droits des personnes.

La CNIL rappelle qu’elle se montrera particulièrement vigilante quant aux conditions effectives de mise en œuvre des traitements de données personnelles lorsqu’elle examinera les dispositions réglementaires qui lui seront soumises en application de la loi. De plus, elle ne manquera pas de faire usage de ses pouvoirs de contrôle et, le cas échéant, de sanction afin de s’assurer du respect du cadre normatif.

Par cet appel solennel de l’attention du législateur sur le changement de nature et d’ampleur de ce type de dispositifs par rapport à la vidéoprotection « classique », la CNIL acte donc du changement de paradigme, en matière de captation d’images par les autorités publiques, lequel ne doit pas en effet être sous-estimé dans le contexte de la montée de la mise en place d’une société dite "de surveillance".

Délibération n° 2021-011 du 26 janvier 2021 portant avis sur une proposition de loi relative à la sécurité globale

(source: CNIL https://www.cnil.fr/fr/la-cnil-rend-son-avis-sur-la-proposition-de-loi-securite-globale)

-crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans droit des drones protection des données personnelles
commenter cet article …

22 janvier 2021 5 22 /01 /janvier /2021 07:07

Traitements de données et fichiers anti Covid 19: le bilan de la CNIL

Pour lutter contre l’épidémie de COVID-19, le Gouvernement a mis en place plusieurs fichiers et système d’information: la CNIL livre le 21 janvier 2021 un bilan intermédiaire de ces systèmes.

Quatre traitements de données ont été déployés pour la gestion et le suivi des vaccinations contre la COVID-19 : les fichiers SI-DEP et Contact COVID, auxquels s’ajoutent le déploiement de l’application mobile TousAntiCovid et plus récemment la mise en œuvre du système d’information Vaccin COVID

La CNIL constate que des modifications ont été apportées aux dispositifs mis en place dans le cadre de la crise sanitaire pour les mettre en conformité avec la législation sur la protection des données personnelles. Ils sont, pour l’essentiel, respectueux des données personnelles.

Elle a toutefois constaté de nouvelles pratiques contraires au RGPD et s’est rapprochée des organismes en question afin qu’ils se mettent en conformité dans les meilleurs délais ; une mise en demeure a notamment été prise à l’encontre d’une Agence régionale de santé (ARS) dans le cadre de Contact COVID.

S’agissant de l’utilité et de l’efficacité de l’application TousAntiCovid sur la stratégie sanitaire globale, la CNIL estime qu’il est indispensable de développer des initiatives et des indicateurs permettant d’évaluer pleinement l’effectivité sanitaire du dispositif dans le cadre de la lutte contre l’épidémie de COVID-19.

Une troisième phase de contrôles débutera en janvier 2021. Leurs résultats seront communiqués dans le prochain avis public de la CNIL sur les traitements concernés

(source: CNIL https://www.cnil.fr/fr/la-cnil-publie-son-deuxieme-avis-adresse-au-parlement-sur-les-conditions-de-mise-en-oeuvre-de-si-dep)

(dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique Droit de la santé protection des données personnelles
commenter cet article …

21 janvier 2021 4 21 /01 /janvier /2021 20:48

Modifications du traitement de données TousantiCovid: le QR code à la rescousse

Article mis à jour le 21 février 2021

Dans la perspective d'une réouverture des restaurants, des salles de sport ou des salles de spectacle, un décret du 12 février 2021 autorise les codes à scanner (QR code) permettant l'identification des personnes à partir de l'application TousAntiCovid. La CNIL estime que le dispositif respecte les règles de la protection des données personnelles.

Rappelons que le décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé « StopCovid » a créé un traitement de données à caractère personnel, nécessaire au fonctionnement de l'application mobile de suivi de contacts dénommée « StopCovid », qui permet à ses utilisateurs d'être informés lorsqu'ils ont été à proximité d'au moins un autre utilisateur diagnostiqué ou dépisté positif au virus du covid-19, grâce à la conservation de l'historique de proximité des pseudonymes émis via la technologie Bluetooth.

Née dans la douleur et la controverse, cette application de traçage numérique peine à démontrer son efficacité, sans parler des difficultés techniques et éthiques liées au dispositif centralisé choisi par le gouvernement et du transfert des données au sein du Health Data Hub, la plateforme des données de santé. (lire notre article StopCovid: l'application de traçage numérique du ...)

Le nombre de téléchargements de l'application a cependant décollé, atteignant désormais 12,5 millions.

Toutefois, dans sa délibération du 19 janvier publiée ce 21 janvier 2021, la Cnil "estime qu'il est indispensable de développer des initiatives et des indicateurs permettant d'évaluer pleinement l'effectivité sanitaire du dispositif." Délibération n° 2021-006 du 19 janvier 2021 portant avis sur un projet de décret modifiant le décret n° 2020-551 du 12 mai 2020

Il s'agit donc d'intégrer de nouvelles fonctionnalités, dont un "cahier de rappel" numérique qui sera mis en place lorsque les restaurants pourrons rouvrir.

Le décret modifie tout d'abord la dénomination de l’application StopCovid qui devient officiellement TousAntiCovid (car si le nom de l'appli avait changé depuis octobre 2020, celui du fichier était resté le même).

Le texte ajoute de nouvelles finalités à cette application pour permettre aux utilisateurs de faire état de leur statut de « contacts à risque de contamination » aux fins de bénéficier d’un test ou d’un examen de dépistage de la covid-19 et d’accéder à des informations complémentaires sur la situation sanitaire ;

Il permet la collecte de la date du dernier contact avec une personne diagnostiquée ou dépistée positive au virus du covid-19 dans l’application et prolonge la durée de mise en œuvre de l’application jusqu’au 1er avril 2021.

Ce texte ouvre donc la voie à l'installation de QR codes à l'entrée de certains lieux publics considérés comme à risque par les autorités, en particulier les bars et les restaurants, mais aussi les salles de sport.

Les utilisateurs de TousAntiCovid pourront enregistrer leur présence en scannant ces codes-barres avec la caméra de leur téléphone pour être avertis par la suite s'ils ont été au contact d'une personne infectée par le coronavirus durant leur visite.

Le scan de QR codes ne sera pas obligatoire, mais les clients des lieux les plus à risque devront au moins se signaler sur les cahiers de rappel. Si l'application ne sera pas obligatoire, le fait de se signaler le sera et les lieux considérés les plus à risque auront l'obligation de recueillir le signalement de leurs clients.

Comment vont fonctionner les QR codes à l'entrée des lieux publics ?

En scannant un QR code, un utilisateur s'enregistrera dans l'application de l'établissement visité sous la forme d'un identifiant pseudonymisé avec une date et une heure approximative de sa visite.

Le QR Code est un code-barres en 2D qui permet de stocker des informations. Il peut être déchiffré par un logiciel de lecture approprié à partir d'un smartphone ou d'une tablette équipée d'un appareil photo, d'un lecteur de code-barres ou d'une webcam.

Le code QR (de l'anglais QR* Code) est composé de carré noir et blanc et peut contenir beaucoup d'informations : plus de 7 000 caractères numériques et 4 000 caractères alphanumériques

Sa particularité est d'être une sorte de pont entre l'espace physique et l'espace numérique. En effet, une fois scanné par un appareil mobile, il donne accès à un très grand nombre d'informations et de données personnelles. Il n'est pas obligatoirement relié à une base de données et n'est pas automatiquement mémorisé par le lecteur.

Si un autre utilisateur se déclare malade dans l'application après avoir visité le même lieu dans la même plage horaire, les autres identifiants enregistrés durant cette période seront envoyés vers le serveur central pour prévenir les utilisateurs présents à ce moment-là.

Les informations obtenues par le scan du QR-Code dans un lieu accueillant plusieurs personnes comme un établissement recevant du public ou dans un moyen de transport feront l’objet d’un traitement afin de prévenir les personnes utilisatrices qu’il existe un risque pour leur santé dans la mesure où elles ont pu être en contact avec une personne diagnostiquée positive à la Covid-19.

Ces modalités de recueil de données n’ont normalement pas pour objet, ni pour effet, de mettre en place une géolocalisation de l’utilisateur. Par ailleurs, elles ne devraient pas davantage permettre de fournir à l’utilisateur des informations à caractère personnel relatives aux autres personnes ayant fréquenté le même lieu et lors de la même plage horaire.

A noter que le dernier avis du 15 décembre 2020 du comité de contrôle et de liaison de TousAntiCovid qui publie le projet de décret évoque "les espaces clos" et les lieux "accueillant plusieurs personnes comme un établissement recevant du public ou dans un moyen de transport", mais que le gouvernement semble déjà exclure les transports de l'utilisation des QR.

Ce dispositif est déjà utilisé par différents pays pour lutter contre l'épidémie, notamment au Royaume-Uni et à Singapour.

(source: avis_du_ccl_du_15.12.20.pdf (solidarites-sante.gouv.fr)

mise à jour du 21 février 2021

Le décret du 12 février 2021 modifie le nom de l'application Stopcovid qui devient TousAntiCovid. L'application a été téléchargée par 12,8 millions de personnes depuis sa création.

La Commission nationale de l'informatique et des libertés (CNIL) saisie du projet de décret avait rendu son avis le 17 décembre 2020. Cet avis a été rendu public le 15 février 2021. La CNIL s'est notamment prononcée sur l'introduction d'un dispositif d'enregistrement des visites dans certains établissements recevant du public (restaurants, salles de sport, salles de spectacles, etc.) au sein de l'application TousAntiCovid via un QR code

La Cnil relève qu’un certain nombre de précisions restent à définir concernant les QR codes. Il s’agit de :

la liste précise des établissements recevant du public (ERP) concernés ;
du caractère obligatoire ou facultatif du dispositif pour les établissements ;
de l’obligation faite aux personnes concernées d’enregistrer leurs visites afin que celles-ci puissent être alertées en cas de risque de contamination.
le dispositif soit limité aux seuls ERP présentant un risque élevé c’est-à-dire les lieux qui sont susceptibles de présenter un risque élevé d'exposition au virus, lorsque les personnes qui les fréquentent ne sont pas en mesure de s'assurer du respect des gestes barrières (salles de sport, restaurants, bars, etc.) ;
l’utilisation de l’application TousAntiCovid ne soit pas une obligation pour fréquenter des ERP. Ces établissements peuvent par exemple mettre en place un cahier de rappel papier dans lequel les utilisateurs notent leurs coordonnées, comme cela se pratiquait avant la fermeture des restaurants et des bars ;
les QR codes ne soient pas rendus obligatoires dans certains établissements, tels que les lieux de culte ou les lieux de réunion syndicale.

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique protection des données personnelles Droit de la santé
commenter cet article …

7 décembre 2020 1 07 /12 /décembre /2020 08:04

Extension du domaine du fichage de police avec les décrets du 2 décembre 2020: les fichiers PASP, EASP et GIPASP musclent leur jeu

Article mis à jour le 11 décembre 2020

Vous n'aviez pas aimé le fichier EDVIGE de 2008 finalement abandonné qui autorisait le fichage racial, politique, religieux et syndical ? Vous allez détester les fichiers PASP, EASP et GIPASP nouvelle mouture.

Trois décrets du 2 décembre 2020 viennent en effet d'être publiés le 4 décembre au Journal officiel qui renforcent le fichage en modifiant les catégories de données pouvant être collectées telles qu'autorisées par les articles R. 236-2, 11 et 22 du code de sécurité intérieure.

Ce fichage permet aux forces de l'ordre de surveiller toute personne considérée comme pouvant porter atteinte à la sécurité publique ou à la sûreté de l'Etat. Les données intéressant la sûreté de l'Etat sont "celles qui révèlent des activités susceptibles de porter atteinte aux intérêts fondamentaux de la Nation ou de constituer une menace terroriste portant atteinte à ces mêmes intérêts"

Sont concernés :

- le « fichier de prévention des atteintes à la sécurité publique (PASP) » avec le Décret n° 2020-1511 du 2 décembre 2020,

- le fichier « Enquêtes administratives liées à la sécurité publique (EASP) » avec le Décret n° 2020-1510 du 2 décembre 2020

- le fichier « Gestion de l'information et prévention des atteintes à la sécurité publique (GIPASP) » avec le Décret n° 2020-1512 du 2 décembre 2020

Le fichier GISASP permet de recueillir, de conserver et d'analyser les informations qui concernent des personnes dont l'activité individuelle ou collective indique qu'elles peuvent porter atteinte à la sécurité publique. Plus spécifiquement, il vise les personnes susceptibles d'être impliquées dans des actions de violences collectives, en particulier en milieu urbain ou à l'occasion de manifestations sportives.

De manière générale, le traitement GIPASP présente de fortes similitudes avec le traitement « prévention des atteintes à la sécurité publique » (PASP), mis en œuvre par la direction générale de la police nationale.

Le traitement « Enquêtes administratives liées à la sécurité publique » (EASP), mis en œuvre par la direction centrale de la sécurité publique et la préfecture de police, permet pour sa part de faciliter la réalisation d'enquêtes administratives au moyen du recueil et de l'exploitation d'informations nécessaires pour répondre aux demandes dévolues au renseignement territorial conformément aux dispositions des articles R. 114-2 à R. 114-5 du code de la sécurité intérieure (CSI). Ce traitement vise à assurer la fiabilité d'enquêtes effectuées par le recoupement au niveau national d'informations collectées, archivées et exploitées pour répondre aux demandes d'enquêtes administratives, dans le but de déterminer si le comportement de l'intéressé est ou non compatible avec l'exercice des fonctions ou des missions envisagées.

Il sera relevé qu'il résulte de l'évolution du cadre juridique relatif à la protection des données à caractère personnel que les dispositions applicables au traitement des données figurant au sein de ce dispositif et intéressant la sûreté de l'Etat, sont exclues du champ d'application de la directive 2016/680 et relèvent spécifiquement des articles 1 à 41 et 115 à 124 de la loi du 6 janvier 1978 modifiée.

Peuvent donc être collectées notamment:

« ...5° Activités susceptibles de porter atteinte à la sécurité publique ou à la sûreté de l'Etat ;
« a) Activités publiques ou au sein de groupements ou de personnes morales ;
« b) Comportement et habitudes de vie ;
« c) Déplacements ;
« d) Activités sur les réseaux sociaux ;
« e) Pratiques sportives ;
« f) Pratique et comportement religieux ;
« 6° Facteurs de dangerosité :
« a) Lien avec des groupes extrémistes ;
« b) Eléments ou signes de radicalisation, suivi pour radicalisation ;
« c) Données relatives aux troubles psychologiques ou psychiatriques, obtenues conformément aux dispositions législatives et réglementaires en vigueur ;
« d) Armes et titres afférents ;
« e) Détention d'animaux dangereux ;
« f) Agissements susceptibles de recevoir une qualification pénale ;
« g) Antécédents judiciaires (nature des faits et date) ;
« h) Fiches de recherche ;
« i) Suites judiciaires ;
« j) Mesures d'incarcération (lieu, durée et modalités) ;
« k) Accès à des zones ou des informations sensibles ;
« 7° Facteurs de fragilité :
« a) Facteurs familiaux, sociaux et économiques ;
« b) Régime de protection ;
« c) Faits dont la personne a été victime ;
« d) Comportement auto-agressif ;
« e) Addictions ;..."

et également "« 2°) c) Identifiants utilisés (pseudonymes, sites ou réseaux concernés, autres identifiants techniques), à l'exclusion des mots de passe ;"

Pourront également faire l'objet d'une collecte dans le traitement « l'indication de l'enregistrement ou non de la personne dans les traitements suivants :
- le traitement d'antécédents judiciaire (TAJ) ;
- le système informatique national N-SIS II mentionné aux articles R. 231-5 et suivants du CSI ;
- le traitement « prévention des atteintes à la sécurité publique » (PASP) mentionné aux articles R. 236-11 et suivants du CSI ;
- le fichier des personnes recherchées (FPR) ;
- le traitement automatisé de données à caractère personnel dénommé « FSPRT » ;
- le fichier des objets et des véhicules volés (FOVeS).

Peuvent accéder à ces données les agents des services, tout policier ou gendarme, ainsi que les procureurs ou les agents pénitentiaires.

Parmi les nouvelles données pouvant être collectées, ces services peuvent donc désormais recueillir des informations sur l’opinion des personnes surveillées, leurs pseudonymes sur les réseaux sociaux ou des données de santé.

Concernant les « identifiants utilisés sur les réseaux sociaux » ou les « activités sur les réseaux sociaux » qui peuvent faire l'objet d'une collecte, l'ensemble des réseaux sociaux est concerné dans le cadre de recherches en source ouverte, et les données sont à ce titre collectées sur des pages ou des comptes ouverts, à l'exclusion de toute interaction avec la personne concernée. Par ailleurs, les « identifiants utilisés » correspondent par exemple au pseudonyme de la personne concernée, à l'exclusion du mot de passe associé.

Le ministère a par ailleurs précisé que les informations collectées porteront principalement sur les commentaires postés sur les réseaux sociaux et les photos ou illustrations mises en ligne, ces éléments étant considérés comme pertinents dans le cadre de la prévention des atteintes à la sécurité publique ou la sûreté de l'Etat. A cet égard, la CNIL a rappelé que, s'agissant de la collecte de photographies, en l'absence de précisions sur ce point, tout dispositif de recherche à partir de ces éléments, devra être exclu.

La CNIL a en effet donné son avis dans 3 délibérations du 25 juin 2020 publiées dans le même JO.

- Délibération n° 2020-064 du 25 juin 2020 portant avis sur un projet de décret modifiant les dispositions du code de la sécurité intérieure relatives au traitement de données à caractère personnel dénommé « Prévention des atteintes à la sécurité publique » (demande d'avis n° 19013316)

- Délibération n° 2020-065 du 25 juin 2020 portant avis sur un projet de décret modifiant les dispositions du code de la sécurité intérieure relatives au traitement de données à caractère personnel dénommé « Gestion de l'information et Prévention des atteintes à la sécurité publique » (demande d'avis n° 19013314)

- Délibération n° 2020-066 du 25 juin 2020 portant avis sur un projet de décret modifiant les dispositions du code de la sécurité intérieure relatives au traitement de données à caractère personnel dénommé « Enquêtes administratives liées à la sécurité publique » (demande d'avis n° 19013317)

La CNIL avais pris acte dans ses délibérations du 2e juin 2020 que le décret limite expressément à certaines catégories d'informations la collecte de données, et que par ailleurs, une recherche au sein du traitement sur la base de ces données ou de l'identité des personnes concernées n'est pas possible. Dans ce contexte, elle considère qu'il est indispensable que les critères relatifs à la nécessité de la collecte de ces catégories de données, tels que décrits par le ministère, soient strictement respectés. Dans ces conditions uniquement, la Commission estime que la collecte de ces informations est légitime, au regard des finalités du traitement, et conformément à l'article 4-3° de la loi du 6 janvier 1978 modifiée. Elle rappelle en outre qu'elle pourra être amenée à contrôler le respect de ces modalités de mise en œuvre.

Et quelle n'a pas été la surprise de la CNIL de découvrir comme tout un chacun que les décrets ont opéré un glissement sémantique qui n'est pas anodin, puisque si la collecte de données relatives à « des activités politiques, philosophiques, religieuses ou syndicales » était déjà prévue, les nouveaux décrets font désormais référence non plus aux « activités » mais aux « opinions » politiques, aux « convictions » philosophiques, religieuses et à l’« appartenance » syndicale. La CNIL ne s’est pas prononcée sur cette modification, qui ne figurait pas dans le projet qui lui avait été soumis.

Enfin, la CNIL avait formulé des observations sur le périmètre de certaines catégories de données, considéré comme trop étendu. La CNIL constate qu’elle n’a pas été suivie sur ce point, certaines d’entre elles (comme par exemple les données relatives aux « activités sur les réseaux sociaux ») étant toujours rédigées de manière très large (Publication des décrets relatifs aux fichiers PASP )

Ces fichiers ont donc un champ plus vaste que le terrorisme ou la radicalisation puisqu'ils concernaient en 2017 environ 43.500 personnes dans le PASP et 40.500 au GIPASP et inquiètent en conséquence sur les risques de fichage politique ou religieux pour des motifs d'atteinte à l'ordre public ou la sureté nationale.

Mais il ne s'agit en réalité que d'une continuité, puisque EDVIGE et aujourd'hui PASP, GIPASP et EASP ne sont en réalité qu'une simple "reprise" du fichier des renseignements généraux (RG) créé en 1991. Mais force est de constater qu'avec les décrets du 2 décembre 2020, le ministère de l'intérieur étend singulièrement le champ du renseignement.

Me Thierry Vallat a été interrogé sur ces fichiers par Le Parisien le 7 décembre 2020 https://www.leparisien.fr/faits-divers/demain-tous-fiches-cinq-questions-sur-des-decrets-polemiques-07-12-2020-8412939.php?utm_campaign=twitter_partage&utm_medium=social

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans sécurité intérieure protection des données personnelles
commenter cet article …

17 juillet 2020 5 17 /07 /juillet /2020 07:36

Privacy Shield invalidé par la CJUE: le transfert des données personnelles d'utilisateurs aux États-Unis n'est pas légal

La surveillance américaine est incompatible avec le RGPD.

Le transfert aux États-Unis des données personnelles de ses utilisateurs européens par Facebook, n'est donc pas légal pour la Cour de justice de l’Union européenne (CJUE) selon sa décision rendue le 16 juillet 2020 dans l'affaire C-311/18 "Data Protection Commissioner/Maximillian Schrems et Facebook Ireland"

Dans le cadre d'un nouvel épisode du bras de fer judiciaire entre l'activiste autrichien Max Schrems et Facebook, il s'agissait de savoir si en vertu du droit européen, Facebook peut légitimement transférer des données d'utilisateurs aux États-Unis.

Rappelons que la législation de l'Union Européenne sur la protection des données interdit le transfert de données personnelles vers un pays où la protection de la vie privée n'est pas adéquate (lire notre article Goodbye Safe Harbor). Cet accord était intervenu en 2016 après une décision de la Cour de justice de l’Union européenne du 6 octobre 2015 qui avait précipité le processus. La CJUE s'était prononcée sur une question posée, déjà, par la Haute Cour de justice irlandaise relative à la validité des principes dits Safe Harbor (sphère de sécurité).

Les transferts de données transfrontaliers font partie intégrante de l'activité des entreprises, que ce soit à des fins de ressources humaines, de transactions par carte de crédit ou de stockage des historiques de navigation, mais le transfert de données génère des incertitudes sur les mécanismes juridiques.

Le règlement général relatif à la protection des données (RGPD) dispose que le transfert de telles données vers un pays tiers ne peut, en principe, avoir lieu que si le pays tiers en question assure un niveau de protection adéquat à ces données. Selon ce règlement, la Commission peut constater qu’un pays tiers assure, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection adéquat . En l’absence d’une telle décision d’adéquation, un tel transfert ne peut être réalisé que si l’exportateur des données à caractère personnel, établi dans l’Union, prévoit des garanties appropriées, pouvant notamment résulter de clauses types de protection des données adoptées par la Commission, et si les personnes concernées disposent de droits opposables et de voies de droit effectives . Par ailleurs, le RGPD établit, de manière précise, les conditions dans lesquelles un tel transfert peut avoir lieu en l’absence d’une décision d’adéquation ou de garanties appropriées.

Dans la demande transmise à la CJUE par la Irish High Court, c'est donc la question du Privacy Shield qui régit actuellement ces transferts qui est en jeu, pour savoir si les États-Unis assurent vraiment un niveau de protection adéquat quand des entreprises certifient qu'elles respectent la législation européenne en matière de protection des données qu'elles transfèrent aux USA. Après l’ouverture de cette procédure, la Commission avait adopté la décision (UE) 2016/1250 relative à l'adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis.

Dans sa décision du 16 juillet 2020, la CJUE invalide cette décision 2016/1250 relative à l'adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis En revanche, elle juge que la décision 2010/87 de la Commission relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers est valide.

Selon la Cour, "les limitations de la protection des données à caractère personnel qui découlent de la réglementation interne des États-Unis portant sur l’accès et l’utilisation, par les autorités publiques américaines, de telles données transférées depuis l’Union vers ce pays tiers, et que la Commission a évaluées dans la décision 2016/1250, ne sont pas encadrées d’une manière à répondre à des exigences substantiellement équivalentes à celles requises, en droit de l’Union, par le principe de proportionnalité, en ce que les programmes de surveillance fondés sur cette réglementation ne sont pas limités au strict nécessaire"

Si la CJUE invalide l’accord global que constituait le Privacy Shield, elle confirme donc toutefois la légalité des « clauses contractuelles » en matière de transfert de données et donc que les entreprises peuvent se conformer avec la loi de l'UE en s’engageant, individuellement, à respecter des précautions sur l’usage des données de leurs utilisateurs européens.

Par exemple, le Conseil d'Etat, dans sa décision du 19 juin 2020 concernant le Health Data Hub, rappelle dans son point 25, "que la société Microsoft figure sur la liste des organisations adhérant au « bouclier de protection des données ». Si la décision d'exécution (UE) 2016/1250 fait l'objet de requêtes pendantes devant le Tribunal de l'Union européenne et si sa conformité au règlement général sur la protection des données pourrait être appréciée à l'occasion d'un recours pendant devant la Cour de justice de l'Union européenne, elle est toujours en vigueur à la date de la présente ordonnance."

Mais , dans son point 26 le CE précise que dans l'annexe 3 de l'addendum sur la protection des données pour les services en ligne Microsoft, la société s'engage à appliquer, notamment, les dispositions de l'article 28 du règlement général sur la protection des données, y compris en ce qui concerne le transfert de données à caractère personnel vers un pays tiers.

Ainsi dans ce cas, la décision de la CJUE ne changera rien pratique, puisque les CCT de Microsoft vont prévaloir et demeurent valides.

La décision de la CJUE reste néanmoins un coup d'arrêt important pour le transfert des données vers les USA puisque sauf à violer la législation européenne en vigueur, les entreprises ne peuvent plus transférer de données personnelles vers les Etats-Unis.

Source: CJUE retrouvez la décision C311-18 du 16 juillet 2020: https://curia.europa.eu/jcms/upload/docs/application/pdf/2020-07/cp200091fr.pdf)

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique protection des données personnelles
commenter cet article …

17 juin 2020 3 17 /06 /juin /2020 10:14

Les caméras intelligentes et thermiques comportent des risques pour les droits et libertés individuelles

Article mis à jour le 27 juin 2020

Dans une publication du 17 juin 2020, la CNIL estime que le déploiement des caméras intelligentes ou thermiques comprend des risques importants pour les droits et libertés des citoyens. La CNIL précise les règles applicables et appelle à la vigilance https://www.cnil.fr/fr/cameras-dites-intelligentes-et-cameras-thermiques-les-points-de-vigilance-de-la-cnil-et-les-regles

Alors qu’en référé un juge administratif vient de valider par ordonnance du 22 mai 2020 un dispositif de caméras thermiques mis en place par la collectivité territoriale de Lisses (https://legalis.net/jurisprudences/tribunal-administratif-de-versailles-ordonnance-du-22-mai-2020/…), la CNIL considère a contrario qu'une grande partie des dispositifs de caméras intelligentes ou thermiques ne respectent pas le cadre légal applicable à la protection des données personnelles.

La CNIL appelle ainsi les acteurs à une grande vigilance afin de ne pas multiplier et de ne pas pérenniser les instruments de surveillance par caméras dans les lieux publics ou ouverts au public, qu’il s’agisse d’une rue, de locaux professionnels ou d’autres types d’établissements.

Dans le contexte de déconfinement suite à l’épidémie de COVID-19, la CNIL rappelle que de nouveaux dispositifs de caméras vidéo dites « intelligentes » ont été déployés, notamment dans l’espace public ou dans des lieux ouverts au public. En pratique, il s’agit :

soit de l’ajout d’une couche logicielle à des systèmes de vidéoprotection préexistants ;
soit du déploiement de dispositifs de prise de température automatique (caméras thermiques), de détection du port de masque, de respect des mesures de distanciation sociale, etc.

L’OMS a pourtant souligné les limites des solutions de caméras thermiques en détection précoce du COVID-19, indiquant l’impossibilité de détecter les personnes infectieuses dès lors qu’elles ne présentent pas de hausses anormales de températures. Sur des cas infectés qui abaisseraient leur température suite à un traitement ou, en étant en période d’incubation, l’imagerie thermique ne pourrait guère apporter une détection concluante.

Par ailleurs, l’Association nationale de vidéoprotection (AN2V), se ralliant à l’avis du Haut conseil de la santé publique (HCSP), s’est prononcée le 7 mai 2020 contre la prise de température par caméra thermique. Dans son avis du 28 avril le HCSP recommandait en effet de : "Ne pas mettre en place un dépistage du Covid-19 dans la population par prise de température pour un contrôle d’accès à des structures, secteurs, ou moyens de transport" (Ces recommandations pouvant trouver leur limite dans l’application du règlement sanitaire international (RSI) et des pratiques qui pourraient être imposées notamment dans les aéroports assurant l'accueil de vols internationaux en provenance de pays à fort risque de Covid-19)

Mais en dépit du manque de fiabilité de ce type de dispositif et des potentielles atteintes à leur vie privée et au respect de leurs données personnelles, sept Français sur dix estiment que l'Etat n'utilise pas assez les technologies numériques pour lutter contre la maladie (En moyenne, plus d'une personne sur deux est favorable à l'utilisation de la reconnaissance faciale, du traçage et des technologies big data dans ce contexte) avec 80% des personnes interrogées qui pensent que la France devrait utiliser des caméras thermiques (https://www.lemondeinformatique.fr/actualites/lire-covid-19-les-francais-ouverts-au-tracking-aux-cameras-thermiques-et-a-la-reconnaissance-faciale-78796.html)

Sur l’utilisation spécifique des caméras thermiques dans le cas du COVID-19, la CNIL renvoie à la fiche qu’elle a publié sur le sujet.

Ces dispositifs doivent apporter pour la CNIL des garanties au regard du RGPD :

la démonstration de leur proportionnalité ;
une durée de conservation limitée ;
des mesures de pseudonymisation ou d’anonymisation;
l’absence de suivi individuel ; etc.

Si des données sensibles sont traitées, telle que la captation d’informations personnelles de santé ou d’informations biométriques, ou si le droit d’opposition n’est pas possible (du fait, par exemple, du « balayage vidéo » de la caméra dans une rue), il est nécessaire de mettre en place un cadre légal adapté qui respecte l’article 9 et/ou l’article 23 du RGPD.

La CNIL rappelle en effet que leur déploiement implique une collecte et une analyse systématiques de données d’individus circulant dans l’espace public ou dans des lieux recevant du public. Il y a donc nécessité d’apporter un encadrement textuel adéquat, qui est requis dès lors que :

des données sensibles sont traitées ;
ou que le droit d’opposition ne peut pas s’appliquer en pratique dans l’espace public.

Pour la CNIL, "les usages spécifiques de dispositifs de vidéo « intelligente » dans le cadre de l’état d’urgence sanitaire actuel soulèvent d’importantes problématiques sur lesquelles la CNIL a déjà insisté en appelant à la tenue d’un débat démocratique sur les nouveaux usages vidéo en septembre 2018 et plus spécifiquement concernant la reconnaissance faciale en novembre 2019. Les dispositifs légalement mis en œuvre dans cette période doivent être considérés comme exceptionnels et rester proportionnés aux objectifs particuliers de cette période"

Par ailleurs, les dispositifs portés à la connaissance de la CNIL qui prévoient la possibilité pour les personnes de manifester leur opposition par un mouvement corporel significatif, tel un « non » de la tête, n’apparaissent pas satisfaisants du point de vue de la protection des intérêts des personnes. La CNIL considère que "Cette solution est peu praticable dans les faits et difficilement généralisable. Elle contraint également les individus à afficher publiquement leur opposition au traitement et fait porter une charge trop importante sur la personne, à fortiori si les dispositifs de ce type se multiplient" En principe, de telles modalités ne permettent pas d’assurer l’effectivité du droit d’opposition et doivent donc être considérées comme non conformes aux dispositions du RGPD.

Leur développement incontrôlé présente donc le risque de généraliser un sentiment de surveillance chez les citoyens, de créer un phénomène d’accoutumance et de banalisation de technologies intrusives, et d’engendrer une surveillance accrue, susceptible de porter atteinte au bon fonctionnement de notre société démocratique.

(source: publication de la CNIL du 17 juin 2020: https://www.cnil.fr/fr/cameras-dites-intelligentes-et-cameras-thermiques-les-points-de-vigilance-de-la-cnil-et-les-regles

mise à jour le 27 juin 2020

le Conseil d’État a finalement ordonné dans une décision du 26 juin 2020 à la commune de Lisses de cesser l’usage des caméras thermiques qui avait été déployées dans les écoles dans le cadre de la lutte contre la propagation du covid-19. Il estime que celles-ci portent manifestement atteinte au droit au respect de la vie privée des élèves et du personnel, contrairement à la caméra fixe installée dans le bâtiment municipal, dont l’usage n’est pas obligatoire.

Lire la décision en référé

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique protection des données personnelles Libertés fondamentales
commenter cet article …

8 juin 2020 1 08 /06 /juin /2020 16:00

Les fichiers de données de santé et application Covid19 sous le contrôle de la CNIL

Dans le cadre de la lutte contre l’épidémie de COVID-19, le Gouvernement a mis en place les fichiers SI-DEP et Contact Covid, auxquels s'ajoute le déploiement de l’application mobile StopCovid.

Après s’être prononcée sur les projets de décrets encadrant la mise en œuvre de ces traitements, la CNIL va désormais procéder à une série de contrôles de ces outils.

Le 8 mai 2020, la CNIL s’est prononcée en urgence sur le projet de décret encadrant les conditions de mise en œuvre des fichiers SI-DEP et Contact Covid. Ces fichiers doivent permettre d’identifier les personnes contaminées, les personnes qu’elles sont susceptibles d’avoir contaminées et les chaînes de contamination. Ils visent également à assurer la prise en charge sanitaire et l’accompagnement des personnes atteintes du virus ou susceptibles de l’être, ainsi que la surveillance épidémiologique du virus.

Les données récoltées sont réparties dans un dossier médical partagé, composé de deux fichiers d’information: “le fichier Si-dep, dans lequel seront inscrites les informations des laboratoires de biologie médicale lorsqu’un patient aura été testé positif”, et le dispositif “Contact Covid, inspiré du site de l’Assurance maladie Ameli, qui permettra notamment d’avoir les coordonnées des personnes à contacter.

Parallèlement, la CNIL s’est prononcée le 24 avril 2020 sur le principe de mise en œuvre de l’application StopCovid. Elle a ensuite rendu un avis le 25 mai 2020, également en urgence, sur le projet de décret encadrant cet outil destiné à informer les personnes utilisatrices qu’elles ont été à proximité de personnes diagnostiquées positives au COVID-19.

La CNIL a relevé dans ses différents avis que les projets du Gouvernement comportaient des garanties. Celles-ci ont également été complétées pour tenir compte des recommandations de la CNIL.

Il s’agit désormais pour la CNIL de vérifier, sur le terrain, le bon fonctionnement de ces dispositifs.

Ainsi, conformément à ce qu’elle avait annoncé lors de son audition publique devant l’Assemblée nationale le 5 mai 2020, la Présidente de la CNIL a décidé de faire procéder à une série de contrôles des dispositifs SI-DEP et Contact Covid. Dans la même logique, et afin d’avoir une approche exhaustive des outils mobilisés, la Présidente de la CNIL a également pris la décision de diligenter des vérifications sur l’application StopCovid.

Ces contrôles commenceront dès le mois de juin. Ils se poursuivront tout au long de la période d’utilisation des fichiers, jusqu’à la fin de leur mise en œuvre et la suppression des données qu’ils contiennent.

Les investigations se dérouleront sur place, notamment dans les locaux de la Caisse nationale de l’assurance maladie (CNAM) et du ministère des Solidarités et de la Santé, en ligne (pour l’application StopCovid) et par le biais de questionnaires et de demandes de documents.

Les points de vérification porteront notamment sur :

les modalités de recueil de consentement etd 'information des personnes ;
la sécurité des systèmes d’information ;
les flux de données et les destinataires ;
le respect des droits d'accès ou d'opposition des personnes.

Ces constatations pourront conduire, en cas de manquement graves ou répétés, à l’adoption de mesures correctrices, telles que des mises en demeure et/ou des sanctions.

Elles permettront également d’alimenter l’avis de la CNIL destiné à compléter le rapport adressé tous les trois mois par le Gouvernement au Parlement concernant la mise en œuvre des systèmes d'information développés pour lutter contre la propagation de l'épidémie (article 11 de la loi n° 2020-546 du 11 mai 2020 prorogeant l'état d'urgence sanitaire).

Ces contrôles seront les bienvenus tant les craintes à l'encontre de ces dispositifs sont fondées. D'autant que les données, pouvant être collectées sans le consentement des personnes concernées et en dérogation avec le secret professionnel médical, seront fondues dans la plateforme française des données de santé, le Health Data Hub, ce qui suscite de nombreuses inquiétudes quand on sait que l'hébergeur de cette plateforme n'est autre que le géant américain Microsoft.

Il s'agit en effet indubitablement d'un dispositif fort invasif pouvant permettre un fichage massif de nos données personnelles de santé et pas que. Le texte précise en effet qu'il pourra en effet collecter" notamment des données de santé".

Me Thierry Vallat a été interrogé le 3 mai 2020 sur ce fichier par La Croix https://www.la-croix.com/Sciences-et-ethique/Sante/Le-gouvernement-veut-creer-fichier-malades-coronavirus-2020-05-03-1201092353

(source: communiqué de la CNIL https://www.cnil.fr/fr/si-dep-contact-covid-et-stopcovid-la-cnil-lance-sa-campagne-de-controles

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans protection des données personnelles Droit numérique
commenter cet article …

30 mai 2020 6 30 /05 /mai /2020 06:39

L'application mobile de suivi de contacts dénommée StopCovid dans le cadre de la lutte contre l'épidémie de covid-19: le décret du 29 mai 2020

L'application très décriée de traçage pour smartphone dénommée "StopCovid", basée sur le volontariat, et censée permettre de retracer la transmission du coronavirus va pouvoir être déployée en France.

La CNIL ayant donné son avis le 25 mai, les parlementaires l'ayant adopté le 27 mai 2020, le Décret n° 2020-650 du 29 mai 2020 a pu être publié au Journal officiel ce 30 mai.

Ce texte crée donc un traitement de données à caractère personnel, nécessaire au fonctionnement de l'application mobile de suivi de contacts dénommée « StopCovid », qui permet à ses utilisateurs d'être informés lorsqu'ils ont été à proximité d'au moins un autre utilisateur diagnostiqué ou dépisté positif au virus du covid-19, grâce à la conservation de l'historique de proximité des pseudonymes émis via la technologie Bluetooth.

Ce traitement de données à caractère personnel, qui repose sur une application mobile et un serveur central, est mis en œuvre dans le cadre d'une mission d'intérêt public conformément au e du paragraphe 1 de l'article 6 du règlement (UE) du 27 avril 2016 (RGPD), et pour les motifs d'intérêt public mentionnés au i du paragraphe 2 de l'article 9 de ce même règlement.

Ce traitement a pour finalités :
1° D'informer les personnes utilisatrices de l'application qu'il existe un risque qu'elles aient été contaminées par le virus du covid-19 en raison du fait qu'elles se sont trouvées à proximité d'un autre utilisateur de cette application ayant été diagnostiqué positif à cette pathologie. Les personnes exposées à ce risque sont désignées ci-après comme « contacts à risque de contamination » ;
2° De sensibiliser les personnes utilisatrices de l'application, notamment celles identifiées comme contacts à risque de contamination, sur les symptômes de ce virus, les gestes barrières et la conduite à adopter pour lutter contre sa propagation ;
3° De recommander aux contacts à risque de contamination de s'orienter vers les acteurs de santé compétents aux fins que ceux-ci les prennent en charge et leur prescrivent, le cas échéant, un examen de dépistage ;
4° D'adapter, le cas échéant, la définition des paramètres de l'application permettant d'identifier les contacts à risque de contamination grâce à l'utilisation de données statistiques anonymes au niveau national.

L'application StopCovid est installée librement et gratuitement par les utilisateurs.

Ceux-ci ont la faculté d'activer ou non la fonctionnalité de l'application permettant de constituer l'historique de proximité mentionné au 5° du I de l'article 2. En cas de diagnostic clinique positif au virus du covid-19 ou de résultat positif à un examen de dépistage à ce virus, les utilisateurs de l'application sont libres de notifier ou non ce résultat dans l'application et de transmettre au serveur l'historique de proximité mentionné au 6° du I de l'article 2. L'application peut être désinstallée à tout moment.

Le code source mis en œuvre dans le cadre de StopCovid est rendu public et est accessible à partir des sites internet du ministre des solidarités et de la santé et du ministre de l'économie et des finances ainsi que du site internet www.stopcovid.gouv.fr.

Pour la mise en œuvre du traitement mentionné à l'article 1er, sont traitées les données suivantes :
1° Une clé d'authentification partagée entre l'application et le serveur central, générée par ce serveur lors du téléchargement de l'application, qui sert à authentifier les messages de l'application ;
2° Un identifiant unique associé à chaque application téléchargée par un utilisateur, qui est généré de façon aléatoire par le serveur central et n'est connu que de ce serveur, où il est stocké ;
3° Les codes pays, générés par le serveur central ;
4° Des pseudonymes aléatoires et temporaires, qui sont transmis chaque jour par le serveur central à l'application lorsqu'elle se connecte à ce dernier ;
5° L'historique de proximité d'un utilisateur, constitué des pseudonymes aléatoires et temporaires émis via la technologie « Bluetooth » par les applications installées sur des téléphones mobiles d'autres utilisateurs qui se trouvent, pendant une durée déterminée, à une distance de son téléphone mobile telle qu'il existe un risque suffisamment significatif qu'un utilisateur qui serait positif au virus du covid-19 contamine l'autre.
Les pseudonymes aléatoires et temporaires sont collectés et enregistrés par l'application sur le téléphone mobile de l'utilisateur.
Un arrêté du ministre chargé de la santé, pris après avis de l'Agence nationale de santé publique, définira les critères de distance et de durée du contact permettant de considérer que deux téléphones mobiles se trouvent, au regard du risque de contamination par le virus du covid-19, à une proximité suffisante l'un de l'autre ;
6° L'historique de proximité des contacts à risque de contamination par le virus du covid-19, correspondant aux pseudonymes aléatoires et temporaires enregistrés par l'application dans les quarante-huit heures qui précèdent la date de début des symptômes ainsi que dans la période comprise entre cette date et la date de transfert de l'historique de proximité au serveur central ou, à défaut de renseignement de la date de début des symptômes par la personne dépistée positive, pendant les quinze jours qui précèdent le transfert de l'historique de proximité.

Ces données sont transmises par les utilisateurs diagnostiqués ou dépistés positifs au virus du covid-19 qui le souhaitent au serveur central. Elles sont alors stockées sur ce serveur et sont notifiées aux applications des personnes identifiées comme contacts à risque de contamination à l'occasion de leur connexion quotidienne au serveur.

Ces personnes identifiées comme contacts à risque de contamination reçoivent alors, par l'intermédiaire de l'application, la seule information selon laquelle elles ont été à proximité d'au moins un autre utilisateur diagnostiqué ou dépisté positif au virus du covid-19 au cours des quinze derniers jours ;
7° Les périodes d'exposition des utilisateurs à des personnes diagnostiquées ou dépistées positives au virus du covid-19, stockées sur le serveur central. Ces données sont collectées et enregistrées par l'application sur le téléphone mobile de l'utilisateur et stockées sur le serveur central en cas de partage par l'utilisateur de l'historique de proximité des contacts à risque de contamination par le virus du covid-19 ;
8° Les données renseignées dans l'application par les personnes diagnostiquées ou dépistées positives au virus du covid-19 qui décident d'envoyer au serveur l'historique de proximité de leurs contacts à risque :
a) La date de début des symptômes si l'utilisateur est en mesure de donner cette information ;
b) Le code aléatoire à usage unique donné par un médecin traitant à son patient suite à un diagnostic clinique positif au virus du covid-19 ou un code aléatoire à usage unique sous forme de QR-code émis par le traitement mentionné à l'article 8 du décret n° 2020-551 du 12 mai 2020 susvisé en cas d'examen de dépistage positif au virus du covid-19, en application de l'article 9 de ce même décret, afin que l'utilisateur de l'application soit autorisé par le serveur à partager son historique de proximité ;
9° Le statut « contacts à risque de contamination » de l'identifiant de l'application, qui est retenu dès lors qu'un utilisateur de l'application a été, conformément aux critères définis par l'arrêté mentionné au 5°, à proximité d'un autre utilisateur, ultérieurement dépisté ou diagnostiqué positif au virus du covid-19. Cette donnée est stockée par le serveur central, lorsqu'elle lui a été communiquée par l'utilisateur qui accepte de lui transmettre son historique de proximité des contacts à risque de contamination par le virus du covid-19 ;
10° La date des dernières interrogations du serveur central.

Les données permettant l'identification du téléphone mobile, de son détenteur ou de son utilisateur ne peuvent être collectées ni enregistrées dans le cadre du traitement.

Les sous-traitants auxquels le responsable du traitement peut recourir dans les conditions prévues à l'article 28 du règlement (UE) 2016/679 du 27 avril 2016 susvisé sont accédants ou destinataires des données du traitement strictement nécessaires à l'exercice de leurs missions.

Le traitement est mis en œuvre pour une durée ne pouvant excéder six mois après la cessation de l'état d'urgence sanitaire déclaré par l'article 4 de la loi n° 2020-290 du 23 mars 2020 susvisée.

La clé d'authentification partagée et l'identifiant aléatoire permanent sont conservés jusqu'à ce que l'utilisateur désinstalle l'application StopCovid, et au plus tard pour la durée mentionnée au premier alinéa.

Les données de l'historique de proximité enregistrées par l'application sur le téléphone mobile sont conservées quinze jours à compter de leur enregistrement par cette application.

Lorsqu'elles ont été partagées sur le serveur central, les données de l'historique de proximité des contacts à risque de contamination sont conservées sur ce serveur quinze jours à compter de leur enregistrement par l'application du téléphone mobile de la personne dépistée ou diagnostiquée positive au virus du covid-19.

Les données mentionnées au 8° ne sont pas conservées. Elles ne sont traitées qu'une seule fois afin que l'utilisateur de l'application soit autorisé par le serveur à partager son historique de proximité.

Les droits d'accès, de rectification ainsi que le droit à la limitation prévus aux articles 15, 16 et 18 du RGPD ne peuvent s'exercer auprès du responsable de traitement.

Les personnes concernées sont informées des principales caractéristiques du traitement et de leurs droits, au moment de l'installation de l'application StopCovid. Elles sont en outre prévenues qu'en cas de partage de leur historique de proximité sur le serveur central, les personnes identifiées comme leurs contacts à risque de contamination seront informées qu'elles auront été à proximité d'au moins un autre utilisateur diagnostiqué ou dépisté positif au virus du covid-19 au cours des quinze derniers jours et informées de la possibilité limitée d'identification indirecte, susceptible d'en résulter lorsque ces personnes ont eu un très faible nombre de contacts pendant cette période.

Des mentions d'informations sont également publiées sur le site internet www.stopcovid.gouv.fr.

Le responsable de traitement rendra public un rapport sur le fonctionnement de StopCovid dans les trente jours suivant le terme de la mise en œuvre de l'application, et au plus tard le 30 janvier 2021.

Née dans la douleur et la controverse, cette application de traçage numérique va devoir démontrer son efficacité, plus que douteuse si l'on en croit les retours d'expérience de ce type de dispositif à l'étranger, sans parler des difficultés techniques et éthiques liées au dispositif centralisé choisi par le gouvernement et sa compatibilité avec les systèmes d'exploitation IOS et Android des ordiphones en circulation (en rappelant qu'un quart des français n'en dispose pas) lire notre article: StopCovid: l'application de traçage numérique du gouvernement qui vous veut du bien ?

Retrouvez le Décret n° 2020-650 du 29 mai 2020 relatif au traitement de données dénommé « StopCovid »

et l'avis de la CNIL Délibération n° 2020-056 du 25 mai 2020 portant avis sur un projet de décret relatif à l'application mobile dénommée « StopCovid »

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique protection des données personnelles
commenter cet article …

27 mai 2020 3 27 /05 /mai /2020 20:09

Le cell broadcast ou diffusion cellulaire: une solution plus douce pour protéger les données personnelles en cas d'alerte épidémie

Alors que les parlementaires ont adoubé ce 27 mai 2020 le déploiement de l'application StopCovid qui sera mis en place dès le 2 juin prochain, malgré toutes les réserves que cette appli de traçage numérique continue de susciter, beaucoup restent perplexes sur l'efficacité de ce dispositif qui questionne surtout sur son potentiel liberticide et le sort des données de santé qui seront collectées et fondues dans la grande banque du Health Data Hub.

Pourtant d'autres technologies alternatives plus protectrices auraient pu être envisagées.

Par exemple, Taïwan utilise la technique du Cell Broadcast ou diffusion cellulaire sans qu'il n'y ait d’application: le pays définit des zones et les personnes qui s'y trouve reçoivent des alertes via SMS en cas d'alerte.

La diffusion cellulaire est un protocole international qui existe depuis 20 ans C'est un système d’alerte sur téléphones mobiles largement utilisé dans le monde pour prévenir les habitants en cas d’urgence, comme notamment aux USA, au Japon ou en Corée du Sud pour les alertes climatiques (ouragans, tornades, tsunami…) ou même les tremblements de terre.

Comment ça fonctionne ?

Les alertes par diffusion cellulaire prennent la forme de mini messages prioritaires qui arrivent en même temps sur tous les téléphones mobiles. Ils s’affichent sur l’écran du portable, même si celui-ci est verrouillé avec plusieurs avantages:

- pas besoin de connaître les numéros des destinataires car les messages sont envoyés au niveau d’une "cellule" télécom (d’où son nom de "diffusion cellulaire") ce qui permet de cibler tous les mobiles situés dans une zone, comme un programme radio ou télé. Il est ainsi possible de cibler une zone géographique en particulier (région, ville…).

- le système fonctionne, en principe, sur tous les mobiles, même les anciens, quel que soit l’opérateur, et aussi sur les mobiles étrangers, ainsi les touristes de passage peuvent être également alertés, et cela même hors réseau.

- le "cell broadcast" est opérationnel même lorsque les réseaux voix ou données sont saturés – ce qui peut être le cas lors d’événements importants – car ils utilisent des canaux spécifiques. Seule contrainte : pour recevoir les alertes, il faut posséder un mobile (mais pas forcément un smartphone) et se trouver dans une zone de réception.

Comme il s'agit seulement de diffuser un message dans un périmètre défini, la seule information dont a besoin l’opérateur, c’est un polygone, soit une zone dans laquelle l’envoi d’un message est souhaité. En entrant dans la zone considérée, c’est le téléphone lui-même qui valide qu’il s'y situe et reçoit le message, sans qu'il soit question de retracer l'historique des contacts, ou de mesurer une distance entre deux téléphones.

Donc un système bien moins intrusif que l'application de tracing numérique, qui protège vos précieuses données personnelles, mais qui a cependant l'inconvénient de nécessiter une infrastructure plus lourde et donc des coûts plus importants.

Notre sécurité numérique ne pourrait-elle cependant pas mériter un peu plus de considération ? La question est posée avec cette possible alternative crédible à Stopcovid et au traçage numérique comme l'évoque Romain Challand.

D'autant que la diffusion cellulaire va quand même finir par voir le jour en France, puisqu’une directive européenne de 2018 oblige les États membres à la mettre en œuvre d’ici à 2022.

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique protection des données personnelles
commenter cet article …

25 mai 2020 1 25 /05 /mai /2020 07:31

Surveillance des examens en ligne : les rappels et conseils de la CNIL concernant le proctoring

Dans le contexte de crise sanitaire liée au COVID-19, certains établissements d’enseignement supérieur publics et privés souhaitent notamment recourir à des outils numériques de télésurveillance afin d’organiser des examens à distance.

Des entreprises comme « TestWe » et « Managexam » proposent aux universités ou aux écoles des logiciels permettant de vérifier, avec accès aux webcams, l'identité des étudiants qui passent leurs évaluations de chez eux, dans les règles et sans triche

Cette pratique du "proctoring" consiste donc à utiliser des services proposés par des entreprises privées, comme la surveillance des candidats par webcam, l’identification des étudiants par la reconnaissance faciale avec leur carte, la captation sonore ou vidéo à 360 degrés de leur domicile pour vérifier l’absence de tiers, ou l’utilisation de la webcam du téléphone pour avoir deux angles de vue.

La CNIL a ainsi rappelé le 20 mai 2020 les règles applicables et propose des conseils pour les établissements et les étudiants concernés.

La mise en œuvre d’un système de surveillance d’examens organisés à distance constitue un traitement de données personnelles, quelle que soit la technologie utilisée : vidéo continue ou prise de photographies aléatoires, télésurveillance en temps réel ou à postériori, avec ou sans recours à des algorithmes de détection de la fraude, utilisation d’un outil permettant à un superviseur de prendre la main à distance sur l’ordinateur de l’étudiant afin de surveiller l’activité de celui-ci pendant la réalisation de l’examen, notamment en vérifiant l’accès aux boîtes mails et réseaux sociaux, etc. Les établissements doivent respecter le RGPD et la loi Informatique et Libertés.

Dès qu’il recourt à ces solutions, quel que soit l’outil choisi et même si celui-ci se présente comme « conforme RGPD », l’établissement doit respecter, en tant que responsable de ce traitement, les principes de la protection des données et les droits des étudiants concernés. Il pourra pour ce faire s’appuyer sur les conseils de son délégué à la protection des données (DPO).

L consentement doit, pour constituer une base légale valable, être notamment libre, c’est-à-dire ni contraint ni influencé (par exemple par la position d’autorité du responsable de traitement). L’étudiant doit notamment se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus. Dans ces conditions, le consentement comme base légale peut difficilement être retenu pour les traitements de surveillance des examens organisés et surveillés en ligne.

Le responsable du traitement peut cependant procéder à ce type de traitement en s’appuyant sur une autre base légale, comme par exemple l'exécution d'une mission d'intérêt public. Cette base légale peut être utilisée tant par les universités que par les établissements privés d’enseignement supérieur, dès lors qu’ils poursuivent une mission d’intérêt public. À cet égard, le choix de dématérialiser la validation des enseignements doit en principe être arrêté en début d’année par chaque établissement (article D.611-12 du code de l’éducation). Néanmoins, au regard de l’état d’urgence sanitaire, l’ordonnance n°2020-351 du 27 mars 2020 (article 2) permet de modifier cette modalité jusqu’à deux semaines avant le début des épreuves.

Dans le cas de la télésurveillance, il convient également de ne pas porter atteinte à la vie privée des personnes filmées, notamment en respectant le droit à l’image des autres personnes qui pourraient se trouver dans la pièce. Il est donc recommandé à l’étudiant de se connecter dans une pièce isolée, dans la mesure du possible.

Il sera aussi nécessaire de respecter les principes « informatique et libertés » :

le principe de finalité : les informations sur les étudiants ne peuvent être traitées, enregistrées et utilisées que dans un but bien précis, légal et légitime (par exemple la télésurveillance des examens écrits du deuxième semestre 2020 dans le cadre de la crise sanitaire) ;
le principe de proportionnalité et de pertinence : les informations traitées doivent être pertinentes et strictement nécessaires au regard de la finalité du traitement (principe de minimisation des données traitées). Les données ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d’autres moyens moins intrusifs.

Par exemple, les traitements suivants n’apparaissent pas disproportionnés :

la surveillance vidéo en temps réel pendant la durée de l’examen ;
la prise de photographies ou de flux vidéo ou sons de manière ponctuelle ou aléatoire.

En revanche, n’apparaissent à priori pas proportionnés au regard de la finalité poursuivie :

les dispositifs de surveillance permettant de prendre le contrôle à distance de l’ordinateur personnel de l’étudiant (notamment pour vérifier l’accès aux courriels ou aux réseaux sociaux) ;
les dispositifs de surveillance reposant sur des traitements biométriques (exemple : reconnaissance faciale via une webcam).

L’utilisation de dispositifs de reconnaissance faciale ou d’autres dispositifs biométriques à des fins de surveillance des examens n’apparaît pas conforme au principe de proportionnalité, au regard de l’impact pour les droits et libertés des personnes par rapport à la finalité poursuivie.

En tout état de cause, le traitement des données biométriques étant par principe interdit par le RGPD, de tels dispositifs nécessiteraient une disposition légale particulière.

une durée de conservation limitée : une durée de conservation précise doit être fixée, en fonction du type d'information enregistrée et de la finalité du traitement, par exemple, jusqu’à l’expiration des délais contentieux liée à la tenue de l’examen - dans ce cas, l’accès aux données doit être restreint aux seules personnes ayant un intérêt à en connaître en raison de leurs fonctions (par exemple, le département juridique) ;
l’obligation de sécurité : le responsable de traitement doit garantir la disponibilité, l’intégrité et la confidentialité des données, tout au long de leur traitement (collecte, transmission, stockage). Pour ce faire, les mesures suivantes, ou des mesures équivalentes apportant le même niveau de garantie, doivent être mises en place :
- La transmission des données doit s’effectuer via un canal sécurisé et chiffré. Le serveur recevant les données doit être authentifié.
- Le stockage doit se faire sur un serveur implémentant des solutions de protection contre des actes malveillants (notamment un pare-feu et un antivirus à jour ainsi que des mécanismes de détection d’intrusion).
- Une politique d’habilitation d’accès aux données doit être mise en place afin que l’accès soit accordé aux seules personnes autorisées, en utilisant des comptes nominatifs. Tout accès aux données doit être journalisé, c’est-à-dire inscrit dans un système de fichiers référençant les opérations de lecture/écriture des données.
- Une politique de suppression des données doit être mise en place afin d’appliquer la durée de conservation définie.
- Le dispositif utilisé ne doit pas affaiblir le niveau de sécurité du terminal utilisé par l’étudiant.

Par ailleurs, dès lors que le dispositif de télésurveillance est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées », une analyse d'impact relative à la protection des données (AIPD)devra être réalisée par le responsable de traitement. En particulier, l’utilisation de technologies innovantes (exemples : recours à l’oculométrie (eye tracking), algorithmes et intelligence artificielle) devra faire l’objet d’une telle analyse.

Avoir recours à une solution technique extérieure à l’établissement implique en outre pour le responsable de traitement de respecter les obligations en matière de recours à des sous-traitants et notamment de contractualiser avec eux.

Les personnes concernées par un traitement de surveillance des examens en ligne disposent, comme pour tout traitement de données personnelles, de droits, à commencer par celui d'être informées de manière claire et transparente des finalités et modalités du traitement. Cette information doit être adaptée autant que nécessaire : par exemple, pour les étudiants étrangers, une information supplémentaire dans la langue d’enseignement ou des langues étrangères pourrait être opportune.

Enfin, Les droits « informatique et libertés » des étudiants incluent celui, pour les solutions ayant recours à des algorithmes de détection de la fraude, de ne pas faire l’objet d’une décision automatisée.

(source: CNIL https://www.cnil.fr/fr/surveillance-des-examens-en-ligne-les-rappels-et-conseils-de-la-cnil)

(crédits dessin: Cabinet Thierry Vallat)

Partager cet article

Repost0

Published by thierry vallat - dans Droit numérique protection des données personnelles
commenter cet article …

2 mai 2020 6 02 /05 /mai /2020 11:34

Le projet de loi de prolongation de l'urgence sanitaire autorise la création de SIDEP, un nouveau et inquiétant fichier de santé

Article mis à jour le 13 mai 2020

A été présenté le samedi 2 mai 2020 en Conseil des ministres la prorogation de l’état d’urgence sanitaire contre le Covid19.

Cet état d'urgence adopté le 23 mars 2020 par le Parlement permet au gouvernement de prendre des mesures notamment en matière de confinement à domicile, de réquisitions, d’interdiction des rassemblements ou encore de contrôle des prix de certains produits.

Outre la prolongation de ces pouvoirs accrus donnés au gouvernement pour les deux prochains mois jusqu'au 24 juillet 2020, le nouveau texte présenté ce samedi prévoit aussi de nouvelles dispositions, comme celle d 'un fichier de santé déjà très controversé.

En effet, l’article 6 permet au ministre chargé de la santé de mettre en œuvre un système d’ information aux fins de lutter contre la prorogation de l’épidémie de covid - 19: le fichier SIDEP.

Par dérogation à l’article L. 1110 - 4 du code de la santé publique, aux fins de lutter contre la propagation de l’épidémie de Covid - 19 et pour la durée strictement nécessaire à cet objectif ou, au plus tard, pour une durée d’un an à compter de la publication de la présente loi, des données relatives aux personnes atteintes par ce virus et aux personnes ayant été en contact avec elles peuvent être partagées, le cas échéant sans le consentement des personnes intéressées, dans le cadre d’un système d’information.

En outre, il permet au ministre chargé de la santé, à l’Agence nationale de santé publique, à l’Assurance maladie et aux agences régionales de santé, d’adapter aux mêmes fins et pour la même durée des systèmes existants.

Pouvant comporter notamment des données de santé et d’identification, ces systèmes visent à identifier les personnes infectées ou susceptibles de l’être, à organiser les opérations de dépistage, à définir le cas échéant des prescriptions médicales d’isolement prophylactique et à assurer le suivi médical des personnes concernées, à permettre une surveillance épidémiologique et la réalisation d’enquêtes sanitaires, ainsi qu’à soutenir la recherche sur le virus .

Les organismes disposant d’un accès à ces systèmes d’information seront limitativement identifiés par l’article, qui renvoie à un décret en Conseil d’ Etat , pris après avis de la Commission nationale de l’informatique et des libertés (CNIL), pour préciser les serv ices et personnels concernés au sein de ces organismes, les informations auxquels ils ont accès, ainsi que les organismes auxquels ils peuvent faire appel pour le traitement de ces données, dans le respect des dispositions du règlement général sur la prote ction des données (RGPD). En complément, l’article comprend une habilitation à prendre par d’ordonnance des ajustements complémentaires touchant à l’organisation et aux conditions de mise en œuvre de ces systèmes.

Il s'agit indubitablement d'un dispositif fort invasif qui permettra un fichage massif de nos données personnelles de santé et pas que. Le texte précise qu'il pourra en effet collecter" notamment des données de santé".

Olivier Veran le ministre de la santé est revenu sur ce projet à l'issue du conseil des ministres et a précisé que les données récoltées seraient réparties dans un dossier médical partagé, composé de deux fichiers d’information: “le fichier Sidep, dans lequel seront inscrites les informations des laboratoires de biologie médicale lorsqu’un patient aura été testé positif”, et le dispositif “Contact Covid, inspiré du site de l’Assurance maladie Ameli, qui permettra notamment d’avoir les coordonnées des personnes à contacter”.

Le système d'information visé par l'article 6 a été détaillé dans l'étude d'impact ( http://senat.fr/leg/etudes-impact/pjl19-414-ei/pjl19-414-ei.html…):

"Le contact tracing repose sur deux méthodes de recensement complémentaire.

La première méthode est l'identification des personnes infectées, ce qui suppose de tester et de transmettre les résultats aux organismes du contact tracing.

Cela est permis par un service intégré de dépistage et de prévention (SIDEP) déployé dans l'ensemble des laboratoires et structures autorisés à les réaliser qui, en plus d'assurer le retour d'information sur un test positif vers le patient, le médecin prescripteur et le médecin traitant - s'il n'est pas le prescripteur -, collige l'ensemble des résultats des tests et les met à disposition des organismes intéressés pour la prise en charge, le contact tracing à ses différents niveaux (sous forme identifiante) mais aussi la surveillance épidémiologique (sous forme agrégée). La direction générale de la santé (DGS) est responsable du traitement et l'Assistance Publique - Hôpitaux de Paris (APHP) sous-traitante.

La seconde méthode est l'identification des cas-contacts, l'analyse les chaînes de transmission et le traitement des foyers d'infection (ou clusters) qui supposent un travail d'enquête.

C'est le rôle d'Ameli.pro/ « Contact covid », de l'Assurance maladie qui servira à collecter les données des enquêtes sur les personnes qui ont été en contact avec une personne infectée par le COVID19, par les différents niveaux mis en place : le premier niveau correspond au médecin traitant qui établit une première liste des contacts, le deuxième niveau correspond aux plateformes de l'assurance maladie qui vont préciser la liste puis appelle les cas-contacts identifiés, le troisième niveau enfin correspond aux agences régionales de santé qui vont traiter, avec l'appui des cellules en région de Sante publique France, les clusters et les chaînes de transmission plus complexes.

Ces systèmes d'information sont techniquement et juridiquement indépendants du projet « Stop Covid », évoqué par le Premier ministre devant la représentation nationale le 28 avril.

La mise en œuvre de toutes ces mesures va d’abord passer par un avis de la CNIL que l'on attend avec impatience.

Dans son avis sur le projet de loi prorogeant l’urgence sanitaire, le Conseil d’Etat valide le texte vu le contexte, mais considère notamment que l’accès de certains professionnels à des données relatives aux personnes avec lesquelles les personnes infectées ont été en contact alors même que ces dernières n’y auraient pas préalablement consenti, est rendu nécessaire, en dépit de l’atteinte ainsi portée à la vie privée des intéressés, à la réalisation des enquêtes permettant d’identifier de nouveaux cas de contamination. Il appelle toutefois l'attention du gouvernement, dans les futurs textes d'application, sur la nécessité de garantir par des mesures particulièrement rigoureuse le respect de la vie privée et la restriction de ces accès aux plus strictes nécessités de la sécurité sanitaire (lire l'avis sur https://senat.fr/leg/pjl19-414-avis-ce.pdf…)

Espérons enfin que ce nouveau fichier soit parfaitement sécurisé puisqu'on vient d'apprendre que le dispositif néerlandais NL-alert (équivalent de notre appli stopcovid qui ne sera pas prête le 11 mai et sans doute morte-née ) a déjà donné lieu à des fuites de données de santé !

Le projet de loi sera débattu au Sénat dès lundi 4 mai prochain et pourra être amendé. Gageons que les débats seront animés !

Mise à jour du 9 mai 2020

Députés et sénateurs ont mis au point ce samedi un accord en commission mixte paritaire sur le projet de loi de prorogation de l’état d’urgence sanitaire. Ils ont notamment trouvé une nouvelle solution sur la question de la responsabilité pénale des décideurs dans l’épidémie de Covid-19, et ont corrigé également l’article 6, sur le système d’information des malades et cas contacts.

Sur l’article 6, qui organise les modalités du système d’information et de collecte des données des personnes atteintes du Covid-19 et des personnes avec qui elles auraient été en relation (cas contacts), la CMP a rétabli la nécessité que la CNIL (Commission nationale informatique et libertés) exprime un avis conforme, un point essentiel auquel tenait le Sénat. La durée de conservation des données a, par ailleurs, été ramenée à trois mois.

Le texte final soumis au vote des assemblées, prolonge l’état d’urgence sanitaire jusqu’au 10 juillet (et non jusqu'au 23 juillet)

mise à jour du 13 mai 2020

Après le vote de la loi de prorogation de l'état d'urgence le 11 mai 2020, a été publié le 13 mai le Décret n° 2020-551 du 12 mai 2020 sur les modalités relatives aux systèmes d'informations destinées à permettre l'identification des chaînes de contamination du virus covid-19 et assurer le suivi et l'accompagnement des personnes.

En application de l'article 11 de la loi du 11 mai 2020 susvisée, il est donc autorisé, pour une durée de six mois à compter de la fin de l'état d'urgence sanitaire déclaré par l'article 4 de la loi du 23 mars 2020 susvisée, la création, d'un système d'information national de dépistage, dénommé « SI-DEP », dont le responsable est le ministre chargé de la santé (direction générale de la santé) et dont l'Assistance publique-Hôpitaux de Paris assure, pour le compte de ce dernier, la gestion, en qualité de sous-traitant, dans les conditions prévues à l'article 28 du règlement (UE) du 27 avril 2016 susvisé.
Ce traitement, mis en œuvre dans le cadre de sa mission d'intérêt public, conformément aux dispositions du e du 1. de l'article 6 du même règlement et pour les motifs d'intérêt public mentionnés au i du 2. de l'article 9 de ce même règlement, a pour finalités de centraliser les résultats d'examens de dépistage du covid-19 afin de les mettre à disposition des organismes chargés de déterminer les personnes ayant été en contact avec des personnes infectées, de réaliser des enquêtes sanitaires en présence de cas groupés pour rompre les chaînes de contamination, d'orienter, de suivre et d'accompagner les personnes concernées, et de faciliter le suivi épidémiologique aux niveaux national et local et la recherche sur le virus de même que les moyens de lutter contre sa propagation.

Les catégories de données enregistrées dans le traitement sont les suivantes :
1° Les données d'identification de la personne ayant fait l'objet d'un examen de biologie médicale de dépistage du covid-19 : nom, prénom, sexe, date de naissance, lieu de naissance, numéro d'inscription au répertoire national d'identification des personnes physiques ou code d'admission au bénéfice de l'aide médicale d'Etat sous la mention « immatriculation » lorsque la personne en dispose d'un ;
2° Les informations portant sur la situation du patient nécessaires pour la réalisation des enquêtes sanitaires : professionnel du secteur sanitaire ou médico-social, résident dans un lieu d'hébergement collectif, patient hospitalisé dans un établissement de santé et, le cas échéant, date d'apparition des premiers symptômes ;
3° Les coordonnées du patient ou, à défaut, d'une personne de confiance : adresse postale, numéro de téléphone, adresse électronique ;
4° Les données d'identification et coordonnées des médecins : numéro RPPS, nom, prénom, adresse du lieu d'exercice et adresse de messagerie sécurisée ;
5° Les caractéristiques techniques du prélèvement : numéro de prélèvement, date et heure du prélèvement, lieu de prélèvement ;
6° Les informations relatives au résultat des analyses biologiques : identification et coordonnées du laboratoire, type d'analyse réalisée, date et heure de la validation de l'analyse, résultat de l'analyse, compte-rendu d'analyse.

Sont destinataires des seules données relatives aux personnes infectées et aux personnes ayant été en contact avec ces personnes, ayant fait l'objet de mesures adéquates de pseudonymisation permettant d'assurer la confidentialité de l'identité des personnes :
1° Les personnes habilitées par le directeur général de l'Agence nationale de santé publique, pour les données nécessaires à ses missions de surveillance épidémiologique et les personnes habilitées par les directeurs généraux des agences régionales de santé ;
2° Les personnes habilitées par le directeur de la recherche, des études, de l'évaluation et des statistiques du ministère chargé de la santé, pour les données nécessaires à sa mission d'analyse et de diffusion des informations statistiques dans le domaine de la santé ;
3° Le groupement d'intérêt public mentionné à l'article L. 1462-1 du code de la santé publique (soit la plate forme des données de santé ou health data hub)

Me Thierry Vallat a été interrogé le 3 mai 2020 sur ce fichier par La Croix https://www.la-croix.com/Sciences-et-ethique/Sante/Le-gouvernement-veut-creer-fichier-malades-coronavirus-2020-05-03-1201092353

Retrouvez ci-dessous le projet de loi en fichier Pdf

(crédits dessin: Cabinet Thierry Vallat)

Télécharger projet loi prolongation urgence sanitaire

Partager cet article

Repost0

Published by thierry vallat - dans protection des données personnelles Droit de la santé
commenter cet article …

Accord du 25 mars 2022 sur la législation européenne sur les marchés numériques (DMA)

Données personnelles: des footballeurs professionnels attaquent les sociétés de paris sportifs pour violation du RGPD

La première loi sur la protection des données neuronales a été adoptée le 30 septembre 2021 au Chili

Le délit de mise en danger d'autrui par fourniture de données personnelles: le doxing et l'art 223-1-1 du code pénal

Les drones de surveillance : un changement de paradigme en matière de captation de données personnelles pour la CNIL

Traitements de données et fichiers anti Covid 19: le bilan de la CNIL

Modifications du traitement de données TousantiCovid: le QR code à la rescousse

Extension du domaine du fichage de police avec les décrets du 2 décembre 2020: les fichiers PASP, EASP et GIPASP musclent leur jeu

Privacy Shield invalidé par la CJUE: le transfert des données personnelles d'utilisateurs aux États-Unis n'est pas légal

Les caméras intelligentes et thermiques comportent des risques pour les droits et libertés individuelles

Les fichiers de données de santé et application Covid19 sous le contrôle de la CNIL

L'application mobile de suivi de contacts dénommée StopCovid dans le cadre de la lutte contre l'épidémie de covid-19: le décret du 29 mai 2020

Le cell broadcast ou diffusion cellulaire: une solution plus douce pour protéger les données personnelles en cas d'alerte épidémie

Surveillance des examens en ligne : les rappels et conseils de la CNIL concernant le proctoring

Le projet de loi de prolongation de l'urgence sanitaire autorise la création de SIDEP, un nouveau et inquiétant fichier de santé

Présentation

Le Cabinet Thierry Vallat

Recherche

Recherche

Dans les médias récemment

Archives

Articles Récents

Rubriques

Le Cabinet En Images

Catégories

Liens

Présentation

Le Cabinet Thierry Vallat

Recherche

Recherche

Dans les médias récemment

Archives

Articles Récents

Rubriques

Le Cabinet En Images

Catégories

Newsletter

Liens

Suivez-moi