Catégorie : Articles

L’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) vient de dévoiler son rapport d’évaluation des menaces pesant sur les deux événements sportifs majeurs attendus en 2023 et 2024 : la Coupe du Monde de Rugby et les Jeux Olympiques.

Rédigé par le centre de réponse aux incidents (CERT-FR) de l’ANSSI, le rapport met en exergue les différentes attaques susceptibles de se produire lors de ces événements et prodigue aux différents acteurs une série de recommandations. « La surface d’exposition de ces deux évènements à des attaques informatiques demeure très importante », pour reprendre les mots du Directeur Général de l’ANSSI, obligeant ainsi les organisateurs à muscler les demis d’ouverture et les arrières avant les matchs.

Les organisateurs, athlètes et spectateurs pourront, selon l’ANSSI, être victimes d’escroqueries ou de vols de données, via des attaques par rançongiciel.

Les deux événements pourraient également être visés par des attaques ayant pour unique objectif de « ternir l’image du pays organisateur » (à l’instar des Jeux Olympiques d’hiver organisés en Corée du Sud en 2018, touchés par un logiciel malveillant attribué in fine au renseignement militaire russe).

Enfin, l’ANSSI rappelle que ces événements sportifs ne sont pas à l’abri d’opérations d’espionnage de la part d’autres pays.

Rédactrice : Emilie Huet, DPO

La Fondation Mozilla vient de sortir un classement des 25 constructeurs automobiles qui collectent et exploitent les données des utilisateurs des véhicules, et le résultat est impressionnant. Il s’agit notamment de BMW, Ford, Toyota, Nissan, Renault, Tesla ou encore Kia.

Grâce aux différents capteurs installés dans les véhicules, les constructeurs ont accès à un grand nombre de données personnelles. La Fondation précise notamment que « les marques automobiles peuvent utiliser une grande partie de ces données pour tirer des conclusions sur l’intelligence, les capacités, les caractéristiques, les préférences, etc. d’un conducteur ». Des données sur l’activité sexuelle ou des données de santé des utilisateurs sont notamment collectées.

Afin de respecter les lois sur la protection des données personnelles, les utilisateurs sont invités à accepter des politiques de confidentialité qu’ils ne lisent généralement pas, et certains constructeurs considèrent que l’utilisation du véhicule entraîne l’acceptation de la collecte et de l’utilisation de leurs données personnelles.

L’Usine Digitale précise enfin que « 84 % des marques étudiées se réservent la possibilité de partager ces données d’utilisateurs avec des entreprises tierces et 76 % peuvent les vendre. Plus de la moitié affirment également qu’elles peuvent transmettre ces informations aux autorités si elles en reçoivent la requête. Mozilla établit encore que tous les constructeurs de son classement, à l’exception des européens Renault et Dacia, offrent à leurs clients la possibilité d’accéder à leurs données et de les effacer ».

Bref, soyez prudent quand vous achetez un nouveau véhicule avec plein de jouets dedans : il y a de grandes chances que ces jouets servent surtout à vous espionner. 😉

Article rédigé par Clémence Phillipe, Cofondatrice & COO, Examin.

La nouvelle est tombée par un arrêt majeur de la Cour de justice de l’Union européenne (CJUE) du 16 juillet 2020 dans l’affaire dite « Schrems II » : la CJUE invalide la décision de la Commission européenne relative au Privacy Shield, cinq ans après l’invalidation du Safe Harbor.

1. L’invalidation du Privacy Shield

L’invalidation du Privacy Shield ne repose pas sur un décalage entre les pratiques de protection de l’industrie européenne de la donnée et celles de ses concurrents (et en particulier celles des géants du numérique), mais sur les pratiques du gouvernement des États-Unis et, notamment, sur sa politique de surveillance généralisée et ses incidences sur la protection des données personnelles des citoyens européens.

La CJUE énonce clairement que la décision instaurant le Privacy Shield, à l’instar de la décision relative au Safe Harbor, consacre « la primauté des exigences relatives à la sécurité nationale, à l’intérêt public et au respect de la législation américaine », ce qui constitue un risque pour les droits fondamentaux des personnes dont les données sont transférées vers les États-Unis.

La Cour invalide donc cette décision en précisant que l’existence de programmes de surveillance empêche les entreprises américaines de respecter la réglementation européenne. Elle reconnaît ainsi l’existence de ces programmes, relevant de la sécurité nationale, et analyse leurs fondements (l’article 702 FISA et l’Executive Order 12333 qui encadrent les programmes PRISM et UPSTREAM) pour en déduire qu’ils n’offrent pas « les limitations et les garanties nécessaires » ni « une protection juridictionnelle effective » contre de telles ingérences.

Au final, c’est l’opacité et le caractère arbitraire et massif de ces programmes qui est sanctionné par la Cour au travers de l’argument d’absence de proportionnalité. La Cour rappelle que les autorités européennes sont « tenues de s’acquitter de [leur] responsabilité de veiller à ce que le RGPD soit pleinement appliqué avec toute la diligence requise ».

Cet arrêt marque un « changement fondamental » et ouvre la réflexion sur l’ensemble des transferts de données vers les pays tiers, en particulier les fameux Five Eyes. Au-delà, la CJUE consacre la portée extraterritoriale du RGPD et impose aux programmes de surveillance de prévoir des voies de recours effectives pour les citoyens européens.

2. Quels impacts sur la conformité ?

La décision a invalidé le Privacy Shield mais pas la décision relative aux clauses contractuelles types de la Commission européenne. Il est donc toujours possible de fonder un transfert de données sur ces clauses ; toutefois, la Cour précise qu’elles doivent présenter un haut niveau de garantie. Il est par conséquent nécessaire :

• pour l’ensemble des acteurs qui se fondaient sur le Privacy Shield pour des transferts internationaux de données, d’inclure ces clauses contractuelles types ou des instruments équivalents (codes de conduite approuvés, règles d’entreprise contraignantes) ;
• pour les responsables de traitement utilisant les produits ou services d’entreprises américaines (notamment des GAFA), de vérifier que ces entreprises ont substitué au Privacy Shield un autre instrument valable et effectif et, à défaut, d’envisager le changement de leurs fournisseurs défaillants.

Article rédigé par Valentin Schabelman & Frédéric Duflot — Examin.

De nombreux salariés en télétravail sont frileux à l’idée de retourner sur leurs lieux de travail, et de nombreux employeurs se demandent comment assurer ce retour dans les meilleures conditions et rassurer les employés quant à la maîtrise du risque de contamination par leurs collègues.

Dans un communiqué en date du 7 mai 2020, la CNIL précisait aux employeurs les données qu’ils pouvaient collecter auprès de leurs salariés en respectant leur vie privée : date, nom, prénom, contamination ou suspicion de contamination. Les employeurs devaient également mettre en place des canaux dédiés et sécurisés. Plusieurs entreprises ont ainsi élaboré des questionnaires plus ou moins complexes pour savoir si certains de leurs salariés présentaient des risques, dans le but légitime d’adapter leur organisation du travail à la période post-Covid.

Les employeurs peuvent utiliser des questionnaires, mais seul le personnel de santé compétent est en mesure d’avoir accès aux données des salariés contenant des informations relatives à leur état de santé, leur situation familiale, leurs conditions de vie ou leurs éventuels déplacements.

La CNIL précisait « qu’il en va de même pour les tests médicaux, sérologiques ou de dépistage du COVID-19, dont les résultats sont soumis au secret médical : l’employeur ne pourra recevoir que l’éventuel avis d’aptitude ou d’inaptitude à reprendre le travail émis par le professionnel de santé. Il ne pourra alors traiter que cette seule information, sans autre précision relative à l’état de santé de l’employé, d’une façon analogue au traitement des arrêts de maladie qui n’indiquent pas la pathologie dont l’employé est atteint ».

Par conséquent, les employeurs ont deux options :

• soit ils ne collectent que la date, le nom, le prénom du salarié et les données relatives à une éventuelle contamination ou suspicion de contamination ;
• soit ils communiquent un questionnaire plus poussé avec collecte de données de santé. Dans cette hypothèse, seule la médecine du travail peut traiter les données collectées et ne remonter aux managers que les seules données d’aptitude ou d’inaptitude à reprendre le travail.

En tout état de cause, la médecine du travail est le point focal du traitement de l’information médicale en entreprise : il ne peut s’agir du service des ressources humaines ou du manager de proximité. Elle pourra, si un ou plusieurs cas sont avérés, mener des actions complémentaires pour éviter la propagation de la maladie et protéger les salariés (identifier les contacts potentiels, procéder à un nettoyage, etc.).

Il s’agit, comme dans tout programme de conformité (en l’occurrence sanitaire), de choisir les services les plus adaptés pour traiter le problème, de leur donner les moyens d’agir, et de s’interdire de faire entrer au forceps de nouveaux problèmes dans une organisation qui n’est pas taillée pour eux. Il est important de rappeler que :

• les données ne doivent être conservées que pour une durée très limitée ;
• les salariés doivent être informés de la collecte de leurs données et de ses finalités (article 13 du RGPD) ;
• le traitement doit être indiqué dans le registre de l’employeur.

Aujourd’hui, le mot d’ordre de la CNIL est clair : refuser les cookies doit être aussi simple que de les accepter.

Quelle règle du consentement adopter ?

Le consentement demandé par la CNIL peut se traduire par un « acte positif clair ». Cela suppose que la simple poursuite de la navigation sur un site internet ne peut être considérée comme une acceptation du dépôt des cookies de la part de l’internaute.

Qu’est-ce qu’un acte positif clair ?

Cet acte positif clair peut être matérialisé par un bouton « J’accepte » ; dans l’hypothèse où l’utilisateur ne clique pas dessus, aucun cookie non essentiel au fonctionnement du service ne doit être déposé sur son appareil. De même, pour matérialiser le refus, un bouton « Je refuse » semble approprié. La bonne pratique consiste donc à proposer deux boutons identiques « Tout accepter » et « Tout refuser ». À noter :

• le simple bouton « paramétrer » en complément du bouton « Tout accepter » n’est pas suffisant, puisqu’il dissuaderait en pratique les utilisateurs de refuser le dépôt de cookies ;
• la possibilité pour l’utilisateur de fermer le bandeau cookies sans avoir cliqué sur « J’accepte » ou « Je refuse » doit être interprétée comme un refus.

Permettre aux internautes de retirer leur consentement

Les internautes doivent pouvoir retirer facilement leur consentement, à tout moment. Il doit donc leur être aisé de retrouver la bannière cookies du site afin de retirer en toute simplicité leur consentement.

Quelle information délivrer, et quand ?

Il convient d’informer les utilisateurs des finalités de chaque cookie déposé, des conséquences du refus et/ou de l’acceptation, et de l’identité des acteurs qui déposent ces cookies. Cette information doit être délivrée en amont de l’acceptation ou du refus, directement depuis l’interface de recueil du consentement.

Comment rapporter la preuve du consentement ?

La preuve du recueil valable du consentement doit pouvoir être fournie à tout moment par les organismes déposant les cookies. La politique de confidentialité applicable aux cookies fournit une information plus détaillée, mais ne dispense jamais des règles posées par la CNIL en matière de recueil du consentement.

Nul doute que la CNIL n’hésitera pas à sanctionner le non-respect de cette règle, au vu des mises en demeure adressées le 18 mai 2021 à une vingtaine d’organismes qui ne permettaient pas de refuser les cookies aussi facilement que de les accepter.

On serait tenté de dire qu’il faut absolument simplifier et permettre à tous les utilisateurs de s’impliquer dans la conformité de leur organisme. Mais dans ce cas, comment combiner cet impératif de simplification et d’accessibilité avec le souci de s’adapter aux pratiques très diverses de nos utilisateurs ?

L’audit et la conformité sont des matières complexes, et il me suffit de regarder notre backlog produit (la liste des fonctionnalités en attente et des besoins exprimés par nos clients et prospects) pour me convaincre qu’il n’y a pas qu’une seule manière de faire de la conformité. Certains veulent une solution rapide à mettre en place, d’autres une solution paramétrable dans les moindres détails, d’autres encore une solution qui communique avec les outils qu’ils possèdent déjà, etc.

Mais revenons à la simplification ; pour Examin, en tant qu’éditeur de logiciel, il y a deux types de simplification :

1. la première, qui vise à ne prévoir qu’un nombre très limité de cas d’usage, restreint aux cas majoritaires (ce qui aboutit à contraindre l’utilisateur) ;
2. la seconde, qui vise à internaliser la complexité pour donner une apparence de simplicité et d’accessibilité (ce qui aboutit à contraindre l’éditeur).

Au sein d’Examin, nous avons privilégié la seconde solution. C’est-à-dire que, pour chaque besoin, nous allons successivement :

• référencer tous les cas d’usage possibles ;
• regrouper les cas les plus similaires ;
• proposer des fonctionnalités et des designs faciles d’accès ;
• tester, re-tester, re-re-tester, etc.

En résumé : pour répondre à un besoin, sur notre outil, il y a régulièrement une arborescence de scénarios et de fonctionnalités servant les différents utilisateurs en fonction de leur profil (évaluateur, entreprise, administration) et de leur pratique. De ce fait, à l’instar des vases communicants, si l’on simplifie d’un côté, cela passe toujours par une phase de complexification de l’autre — phase que nous espérons vous rendre la plus invisible possible.