Protection des données : nouvelle contrainte ou opportunité avec le règlement européen RGPD ?

Protection des données : nouvelle contrainte avec le  règlement européen RGPD ?

 

 

 

C’est la question à laquelle répond dans une  interview à la Tribune, la présidente de la Commission nationale de l’informatique et des libertés Isabelle Falque-Pierrotin. On sait que l’enjeu est considérable.  Pour faire simple, il s’agit de réguler pour empêcher la mise en sous-traitance de l’économie européenne par les GAFA, le trafic de données notamment à des fins politiques  et pour protéger les consommateurs et les citoyens.

- Pourquoi considérez-vous que le RGPD est indispensable ?

ISABELLE FALQUE-PIERROTIN - Le RGPD est une grande avancée pour plusieurs raisons. Tout d’abord, il crée un marché européen de la donnée en unifiant les législations par un règlement unique. Jusqu’à présent, il fallait composer avec des textes nationaux pas forcément raccords les uns avec les autres. Deuxièmement, le RGPD remet enfin les acteurs européens et internationaux à égalité de concurrence. La disposition relative au ciblage, qui permet d’appliquer le règlement aux groupes étrangers qui traitent les données de citoyens européens, force les géants du Net américains et chinois à ne plus s’affranchir des règles de l’UE. Le troisième avantage du RGPD est qu’il renforce la capacité de dialogue de l’Europe face à ces acteurs. Google, par exemple, ne dialoguera plus séparément avec la Cnil française puis son équivalente allemande, mais avec l’autorité chef de file qui représente toutes les Cnil européennes. Enfin, le RGPD répond à la volonté de plus en plus marquée des citoyens européens de mieux maîtriser leur vie numérique. Les droits des personnes sont considérablement renforcés. Certes, la mise en conformité s’accompagne d’un investissement et d’une réorganisation interne pour les entreprises et les collectivités, mais le RGPD est une chance pour l’Europe.

Les acteurs soumis au RGPD ont eu deux ans pour s’y préparer, mais à moins de soixante-dix jours de son entrée en vigueur, le 25 mai prochain, très peu sont prêts. Comment expliquez-vous ce retard ?

Beaucoup d’entreprises n’étaient pas conformes à la directive sur la protection des données de 1995 révisée en 2004, qui a modifié la loi de 1978. Elles partent donc de très loin, il y a un effet de rattrapage. En dépit de nos efforts de communication, la culture de la protection de la donnée peine à s’installer en France. Historiquement, la gestion des données a été cantonnée aux directions juridiques des entreprises. Elle n’a jamais été investie par les directions générales ou au niveau du comex [comité exécutif, ndlr]. Une prise de conscience est nécessaire pour que l’enjeu monte dans la hiérarchie des structures et devienne stratégique. Le RGPD pousse justement à cette prise de conscience parce que les sanctions qui résultent du non-respect du règlement sont très dissuasives. Aujourd’hui, les entreprises sont vraiment au pied du mur.

L’arme des sanctions, qui peuvent atteindre 4% du chiffre d’affaires mondial, force les entreprises à enfin se préoccuper de leur gestion des données. La menace est-elle le seul moyen efficace ?

L’ampleur inédite des sanctions est une bonne arme de dissuasion. Cette crainte nous permet de faire entrer le sujet de la protection des données dans les entreprises. Mais maintenant que nous avons leur attention, notre but est surtout de pousser un autre message, celui que la conformité au RGPD n’est pas seulement une contrainte réglementaire mais peut aussi apporter un bénéfice opérationnel. Respecter la vie privée de ses clients et collaborateurs est un facteur de différenciation concurrentielle et répond à une demande sociétale forte depuis l’affaire Snowden. Dans les secteurs qui utilisent énormément les données, comme les startups du numérique, les mentalités changent. Des fonds d’investissement commencent à se dire qu’ils ne veulent pas investir dans une startup qui ne pratique pas le « privacy by design ». La conformité est aussi un outil marketing : elle rassure les consommateurs. On l’a bien vu au CES de Las Vegas, où de plus en plus de startups françaises ont mis en avant leur éthique des données. Le RGPD est une opportunité de business.

Beaucoup d’entreprises restent complètement dans le flou, notamment les PME-TPE. Comment les aider à se mettre en conformité ?

Il est vrai que les grands groupes ont les moyens de s’adapter et sont en train d’investir. Les PME en revanche sont plus démunies face à la complexité du texte. En tant que régulateur, il est de notre responsabilité de les aider. Nous avons mis en place beaucoup d’outils. D’abord, les « six étapes » du RGPD, une information de base très pédagogique sur ce qu’est le RGPD et comment s’en emparer. Nous proposons aussi des outils plus opérationnels, par exemple un tutoriel pour aider à réaliser une étude d’impact. Pour les PME et les ETI tous secteurs confondus, nous travaillons avec Bpifrance à la réalisation d’un kit pratique qui sera disponible d’ici à la fin du mois de mars. Nous menons aussi une réflexion plus macro qui consiste à réutiliser les packs de conformité que nous avons développés ces dernières années. Le but est de créer un référentiel sectoriel qui permettrait d’éviter quelques démarches aux entreprises qui y adhèrent. Ainsi, les entreprises sauront exactement ce que le régulateur attend en termes de conformité dans leur secteur, en fonction des usages.

Les « guidelines », les guides de bonnes pratiques publiés par le G29 [l'organisme qui fédère les Cnil européennes, présidé par Isabelle Falque-Pierrotin jusqu'en février 2018] pour aider les entreprises à interpréter le texte, ne sont pas toutes sorties. De fait, beaucoup de sociétés se plaignent de ne pas pouvoir se mettre en conformité car elles n’ont pas les outils nécessaires…

Je rappelle que le G29 n’avait aucune obligation de sortir des guidelines. Normalement, un règlement est applicable dès qu’il est voté. Or, l’UE a laissé un délai de deux ans. Nous avons pris l’initiative de rédiger des guidelines sur les sujets clés car nous craignions que la complexité du texte amène à des interprétations différentes de la part des autorités nationales. Ces guidelines ont été élaborées en coconstruction avec les fédérations professionnelles. Leur but est d’être souples, utiles, et de coller aux usages du terrain. Elles arrivent tard car elles ont demandé un travail monstrueux de dialogue avec les acteurs. Les entreprises peuvent déjà se féliciter de les avoir.

Allez-vous commencer votre travail de contrôle et de sanction dès le 25 mai, tout en sachant que la plupart des entreprises ne sont pas en situation de conformité ?

Le RGPD ne part pas d’une feuille blanche. Un certain nombre de principes liés à la gouvernance des données existaient déjà, comme la finalité du traitement des données par exemple. Nous les contrôlerons donc comme avant, car les entreprises sont déjà censées les avoir intégrés. La méthode sera la même : soit nous réagirons à des plaintes – nous en recevons 8.000 par an -, soit nous diligenterons nous-mêmes des contrôles, qui peuvent déboucher sur des sanctions.
En revanche, nous souhaitons faire preuve de pragmatisme et de bienveillance pour les principes nouveaux du règlement, comme le droit à la portabilité ou l’obligation de mettre en place un registre, car il faut laisser aux entreprises le temps de se les approprier. Le but d’un régulateur n’est pas d’afficher un tableau de chasse de sanctions. Dans un premier temps, nous privilégierons l’accompagnement et l’explication.

Aurez-vous une tolérance plus forte envers les PME qu’envers les grands groupes et les géants du Net, par exemple ?

Nous raisonnons au cas par cas. Une PME suscite bien sûr une certaine réserve, mais cela ne veut pas dire qu’on laissera passer n’importe quoi. Imaginez une PME dans l’économie des données de santé qui laisse passer une faille de sécurité considérable. Dans un tel cas, nous serions forcés de réagir vite. Il ne faut pas tomber dans des automatismes.

Le RGPD oblige les structures qui utilisent des données à grande échelle à recruter un Data Protection Officer (DPO). Mais il n’y a pas assez de DPO… Comment faire ?

J’entends cette difficulté, mais je crois aussi que les DPO vont « se faire » sur le terrain. Ce nouveau métier, central, nécessite des compétences transversales. Des formations se mettent en place dans tous les pays européens. Mais les entreprises peuvent aussi faire évoluer un profil existant. Le DPO peut être un juriste, un technicien, un CIL (correspondant informatique et libertés)… Son positionnement doit à la fois être proche des métiers et branché sur la chaîne de décision pour qu’il ne soit pas un personnage de paille et que ses recommandations soient suivies.

Avec le RGPD, le marché de la conformité explose. Vous avez d’ailleurs mis en garde contre la multiplication des arnaques…

Ce marché n’est pas nouveau mais il prend de l’ampleur. De nouveaux outils et programmes de conformité émergent à partir des règlements européens. À certains égards, je m’en réjouis car il n’y avait pas suffisamment d’acteurs investis dans l’opérationnalisation des principes européens. Cette activité peut être complémentaire de celle des régulateurs. Depuis quatre ans, nous émettons des labels qui prennent la forme de référentiels en fonction des secteurs. À présent, nous voulons progressivement passer des labels à une véritable certification, en s’appuyant sur des certificateurs privés. Cela permettra de mieux encadrer ce marché et de réduire les arnaques. Il est vrai que certains pratiquent un grossier marketing de la peur en accentuant les difficultés du RGPD pour vendre des prestations parfois inutiles à un prix exorbitant. Face à cela, nous rappelons que tout n’est pas nouveau : si vous êtes en conformité avec les réglementations précédentes, le RGPD ne nécessite qu’un travail de toilettage. Les entreprises doivent rester vigilantes, vérifier la crédibilité de leur interlocuteur et utiliser nos outils sur notre site pour identifier leurs besoins de conformité.

Vous insistez sur les nouveaux droits que le RGPD offre aux citoyens pour mieux contrôler leur vie numérique. Mais les usages révèlent une attitude paradoxale : d’un côté les citoyens se méfient des acteurs qui « aspirent » leurs données de manière non transparente, de l’autre ils continuent d’utiliser en masse ces services…

Le « privacy paradox » est une réalité mais je crois que le RGPD arrive à point nommé pour appuyer un changement de culture vis-à-vis des données personnelles. Il y a de plus en plus de bloqueurs de publicité. De plus en plus de profils Facebook ferment, ce qui n’était pas le cas il y a quelques années. On sent bien que les services qui se présentent comme plus respectueux des données recueillent de plus en plus d’intérêt. Il est vrai que beaucoup de droits existants, comme le droit d’accès ou le droit de rectification, sont peu utilisés, en grande partie car ils restent peu connus. Mais le droit à l’oubli sur les moteurs de recherche est un vrai succès en France et en Europe. Je suis également persuadée que le nouveau droit à la portabilité des données, ainsi que la possibilité de recours collectifs face aux acteurs qui ne respectent pas leurs obligations, vont être plébiscités. Le RGPD va accélérer cette prise de conscience, qui est pour l’heure marginale. C’est un vrai choix politique de la part de l’Union européenne.

Dans quel sens ?

Avec le RGPD, nous affirmons une certaine vision de l’innovation. Contrairement à ce qui peut être dit, le règlement ne freinera pas l’innovation, bien au contraire. Commercialement et stratégiquement, l’idée de l’Europe est de bâtir une innovation robuste parce qu’elle est construite sur le respect des droits, qui sont pris en compte en amont. Bien sûr, il y aura toujours des paradis de la donnée. Mais est-ce le modèle que l’Europe veut construire ? Non. Le RGPD incarne un modèle d’innovation durable.

 Protection des données : enjeu économique et sociétal

 

Un sujet en apparence essentiellement technique pour la protection des personnes, en fait un enjeu stratégique : celui de la maitrise des données produites par les individus de manière massive en tout lieu et en tout moment ; des données numérisées qui permettent ensuite de maitriser l’économie et  d’orienter le type de société tant en ce qui concerne le mode de consommation,  la formation de l’opinion et la manière de d’agir. De ce point de vue, les GAFA sont en position hégémonique et la seule réponse de l’Europe est de tenter de réguler le phénomène. Cela ne suffira cependant à combler le phénomène.  À notre insu ou de notre plein gré, nous générons de plus en plus d’informations numériques sur nous mêmes. Stéphane Grumbach, responsable de l’équipe DICE, INRIA, revient sur les enjeux autour de ces données, suite à sa participation au colloque « Le Monde après Snowden», à l’Assemblée nationale, le jeudi 13 mars dernier. Alors que la numérisation de notre monde poursuit sa marche inexorable, celui qui contrôle les données contrôle – théoriquement – toute l’économie. « Tous les secteurs d’activité dépendent désormais des données, juge Stéphane Grumbach. Les marchés traditionnels s’en rendent compte, mais n’ont pas les moyens de réagir. Quant aux pouvoirs publics, particulièrement européens, ils sont dépassés, ils ne comprennent pas forcement les enjeux. Cela pose un vrai problème de souveraineté, l’Europe est devenue dépendante des États-Unis, d’une manière sans cesse croissante. »En attendant l’Europe tente de se protéger  avec le règlement de protection des données.   Voté par Bruxelles en mai 2016, applicable dans les 28 pays membres de l’Union européenne, le RGPD n’est ni plus ni moins que la nouvelle bible régissant dans le détail l’utilisation des données personnelles en Europe. Sa portée est très large, puisque le règlement s’impose à toute structure utilisant à grande échelle des informations de citoyens européens. Cela concerne donc à la fois le public (hôpitaux, enseignement, administrations, collectivités locales…) et, bien sûr, une grande partie du secteur privé, des startups aux PME, jusqu’aux grands groupes. Dans l’entreprise, il faut installer toute une série de garde-fous pour protéger la vie privée des clients et des salariés.   Pour autant, il est difficile – voire impossible – d’empêcher nos données d’être numérisées.

 Ça serait comme refuser d’utiliser l’électricité, explique Stéphane Grumbach. Il est temps d’en avoir conscience et d’accepter les risques inhérents, tout en les maîtrisant.

Grâce aux révélations de l’affaire Snowden, ce débat hier cantonné aux spécialistes est aujourd’hui devenu public. « La question est désormais : comment trouver un équilibre entre intérêt personnel et intérêt général. Dans nos sociétés centrées sur les individus, c’est extrêmement compliqué, notamment en Europe où les dictatures ont rendu les habitants du vieux continent particulièrement méfiants quant à l’usage qui est fait de leurs données personnelles. » Cette évolution, qui a déjà commencé, passe par une réinvention des modèles économiques. « L’Europe est déjà largement en retard, et plus nous attendons, plus cette étape de « destruction créatrice » sera compliquée et douloureuse », conclut Stéphane Grumbach.

Cambridge Analytica – Facebook : un avant goût du trafic de données

 

 

L’or noir n’est plus le pétrole depuis longtemps il est progressivement remplacé par la numérisation et le trafic de données. Aujourd’hui déjà, l’utilisation intensive d’internet et de se services permet déjà de déterminer le profil économique, social et sociétal de chaque internaute  Demain avec la multitude des applications de l’IA, on pourra en tout temps et en tout lieu identifier les comportements, les goûts et les opinions de chacun. Une immense base de données pourra être constituée, celle qui permettra de dominer l’économie mais aussi d’orienter la société. De ce point de vue, la riposte de l’Europe avec le règlement de protections des données apparaît bien insuffisante et surtout essentiellement défensive. Le scandale Cambridge Analytica : de  Facebook constitue un avant goût des dérives du trafic de données.   Des millions de données personnelles sont en effet  remises à Cambridge Analytica cabinet qui travaillait pour Trump. La preuve supplémentaire que ce réseau est à la fois le plus idiots des réseaux dits sociaux (même s’il existe de très rares cas d’utilisation intelligente de Facebook), aussi le plus pourri puisqu’il est aussi un champ d’analyse pour l’espionnage américain  Selon le journal le  Guardian et le  Washington Post , le renseignement américain récolte les relevés téléphoniques aux États-Unis et aurait accès aux serveurs de groupes informatiques comme  Google et Facebook, des pratiques héritées de l’ère Bush et approuvées par l’administration de Barack Obama. Le quotidien britannique The Guardian a publié une ordonnance de justice secrète forçant l’opérateur américain Verizon à livrer à l’Agence nationale de sécurité (NSA), à la demande du FBI, la totalité des données téléphoniques de ses abonnés, d’avril à juillet, en vertu d’une loi votée dans la foulée des attentats du 11 septembre 2001, le « Patriot Act ». Le Washington Post et le Guardian ont affirmé sur la base de fuites d’un ancien employé du renseignement que la NSA avait un accès direct aux serveurs de neuf sociétés internet, dont Facebook, Microsoft, Apple et Google. Grâce à un partenariat conclu avec ces compagnies, l’agence d’espionnage pourrait directement et sans ordonnance de justice lire les courriers électroniques et écouter les conversations des utilisateurs, tant qu’il existe une probabilité « raisonnable » que l’un des interlocuteurs se situe à l’étranger, la loi américaine exigeant une ordonnance dans le cas d’Américains. . Facebook, le plus grand réseau social au monde, a admis que les données personnelles de ses utilisateurs s’étaient retrouvées entre les mains du cabinet d’analyse, Cambridge Analytica. Ce dernier, travaillant pour la campagne électorale de Donald Trump en 2016, aurait ainsi collecté des informations sur 50 millions d’utilisateurs Facebook, sans leur consentement direct. La polémique a été révélée ce week-end par le New York Times et The Observer. L’affaire est gênante à plusieurs niveaux. Premièrement, elle touche le cœur même de l’activité de Facebook : la collecte de données – et l’usage potentiellement détourné qui peut en être fait. « On est en train d’ouvrir le couvercle de la boîte noire des pratiques de Facebook en matière de données, et le tableau n’est pas joli à voir », souligne auprès de ReutersFrank Pasquale, professeur de droit à l’Université du Maryland et spécialiste de l’utilisation des données par les géants d’Internet.  Aux États-Unis, plusieurs sénateurs souhaitent entendre les justifications devant le Congrès de Mark Zuckerberg, président et co-fondateur de Facebook. « C’est une brèche énorme sur laquelle il convient d’enquêter. Il est clair que ces plates-formes ne savent pas s’autodiscipliner », a twitté la sénatrice démocrate Amy Klobuchar. Même son de cloche en Europe. Le président du Parlement européen, Antonio Tajani, dénonçait lundi une « une violation inacceptable du droit à la vie privée de nos citoyens ». La commissaire européenne à la Justice, Vera Jourova, prévoit quant à elle d’aborder le sujet avec le réseau social et des responsables du gouvernement américain lors de sa vite aux États-Unis, cette semaine. Sur Internet, une campagne #DeleteFacebook (en français, supprime Facebook) a été lancée.

Internet : non au stockage des données personnelles par les États-Unis (cour de justice européenne)

Internet : non au stockage des données personnelles par les États-Unis (cour de justice européenne)

 

Finalement la cour de justice de l’Europe s’est montrée moins laxiste que la commission pour autoriser les États-Unis à stocker les données personnelles des Européens. Sans doute a-t-on tenu compte des réticences des grands opérateurs américains pour respecter réellement des règles de déontologie en la matière. La Cour européenne de justice (CEJ), suivant l’avis de son avocat général, a invalidé mardi une directive de la Commission adoptée en juillet 2000 autorisant le transfert de données personnelles d’internautes européens vers les Etats-Unis. La Commission européenne avait fixé un cadre juridique accordant aux Etats-Unis un régime de « Safe Harbour », autrement dit la possibilité de stocker sur des serveurs américains des données personnelles de ressortissants européens. La Cour de justice, dans un communiqué, déclare la décision prise par « la Commission le 26 juillet 2000 invalide ». Elle argue du fait que le cadre juridique prévoit qu’une entreprise ou une société qui entend faire sortir des données de l’UE doit disposer de la part du pays destinataire, en l’occurrence les Etats-Unis, d’un « niveau de protection adéquat à ces données » en prenant en compte « toutes les circonstances » légales ou de fait. Or, dans son avis, l’avocat général auprès de la CEJ estimait que les circonstances n’étaient plus de nature à assurer ce niveau de protection depuis les révélations faites par l’ancien analyste Edward Snowden sur le programme de surveillance Prism de l’Agence de sécurité nationale américaine (NSA). Lors d’une conférence de presse tenue dans l’après-midi, le vice-président de la Commission européenne Frans Timmermans a déclaré que l’UE travaillait à une réforme du système actuel afin de tenir compte de la décision de la CEJ. « Dans l’intervalle, les transferts de données peuvent se poursuivre sur la base d’autres mécanismes » juridiques, a-t-il dit. « Nous travaillons avec les autorités américaines pour rendre les transferts de données plus sûrs pour les citoyens européens. A la lumière de ce jugement (de la CEJ), nous allons poursuivre ce travail pour mettre en place un nouveau cadre, sûr, de transfert des données personnelles à travers l’Atlantique. »

Poutine : nationalisation des données informatisées personnelles

Poutine : nationalisation des données informatisées personnelles

 

La nationalisation des données personnelles n’est pas nécessairement une mauvaise chose pour éviter le détournement par certaines multi nationales et la centralisation extrême de l’information. Pour  autant Poutine, lui souhaite nationaliser ces données afin de mieux suivre les activités des entreprises et des personnes. Une sorte de contrôle informatique des libertés. Le 1er septembre prochain, toutes les entreprises qui stockent des données personnelles de citoyens russes -qu’elles opèrent ou non dans le pays- devront les héberger sur des serveurs installés physiquement sur le territoire national russe. Cette loi, baptisée 242-FZ et promulguée au début de l’année, concerne toutes les sociétés de e-commerce, de réservation de voyages, les banques, les assurances, les opérateurs télécoms, les fournisseurs d’accès, les prestataires de réseaux sociaux, etc.  Ce texte législatif se révèle particulièrement exigeant surtout pour les sociétés étrangères. D’une façon globale, le gouvernement russe participe à cette tendance de fond de fragmentation du web qui vise un découpage du réseau sur des bases nationales. Une renationalisation en quelque sorte. Avec sa loi 242-FZ, il souhaite surtout maîtriser davantage les données personnelles de ses concitoyens qui circulent dans le monde.  Sont visés les membres des Facebook, Amazon et consorts mais également les clients russes de petits hôtels situés dans les Alpes ou sur la Côte d’Azur. Ces derniers seront aussi censés stocker les données personnelles de leurs clients russes sur des serveurs soviets ! 

E-commerce : danger pour les données personnelles

E-commerce : danger pour les données personnelles

Dashlane, une société spécialisée dans la protection des données personnelles en ligne a réalisé une étude sur la façon dont les 100 premiers sites de e-commerce français protègent les comptes de leurs clients. Les résultats sont surprenants : 70% de ces sites le font mal !  Dashlane a défini un certains nombres de critères qu’elle estime être indispensables pour bien protéger les comptes utilisateurs des clients et a regardé si ces sites respectés ces critères. En fonction des résultats, elle a appliqué une note qui pouvait aller potentiellement de 100 à – 100, 100 si c’est parfait, – 100 si ça ne l’est pas. Aucun site n’a 100 mais ça ne veut pas dire qu’aucun site ne fait d’effort. Dans l’étude les sites qui ont entre 0 et 100 sont qualifiés de sérieux même s’ils peuvent bien sûr faire mieux. La meilleure note attribuée est 50/100. En tête du palmarès, on trouve ebay, le bon coin et vente-privée.  En queue de peloton, on trouve entre autres les sites de MacDonalds, Décathlon, Joueclub. Seuls 14% des sites de e-commerce testés exigent de leurs clients un mot de passe fort, c’est à dire difficile à craquer pour une personne mal intentionnée. Ce mot de passe assez long, au moins 8 caractères qui va mélanger des majuscules, des minuscules et des chiffres.  De nombreux sites acceptent comme mot de passe, 123456, AZERTY (les premières lettres du clavier) voire même le chiffre « 1″ ! Autant ne pas mettre de mot de passe.  Sur presque la moitié des sites, lors de la création d’un compte ou quand l’utilisateur qui a perdu son mot de passe en redemande un, ce dernier est expédié au client par mail et en clair. Ce qui peut poser problème si une personne mal intentionnée tombe sur ce mail ou si la boîte mail est piratée.  Quand vous créez un compte utilisateur même si le site ne l’exige pas, créez vous toujours un mot de passe fort (majuscules, minuscules et chiffres) et si le site vous envoie votre mot de passe par mail, une fois que vous l’avez lu, détruisez le mail. Curieux aussi qu’après avoir faiat un achat par mél ou donné son Mel à une société, on soit inondé de Mels commerciaux, si l’e-Commerce se développe, le trafic de fichier tout autant.