Impossible d’arrêter le pistage des données personnelles sur Internet

Impossible d’arrêter le pistage des données personnelles sur Internet

L’UFC-Que choisir, association de défense des consommateurs, a réalisé une expérience pour savoir où atterrissent les données des internautes. Pour cela, ils ont visité dix des cinquante sites les plus fréquentés en France. En consultant ces pages, l’association s’est rendu compte que leurs données personnelles ont été récoltées puis transmises à 4.332 reprises. (info BFM)

Dans son étude, l’UFC-Que choisir pointe surtout les grandes difficultés pour qu’un consommateur voit ses données collectées supprimées. Notamment parce que, dans la majorité des cas, le visiteur d’un site internet ne sait pas où atterrissent ses informations personnelles.

Ainsi, l’association a tenté de faire supprimer les données récoltées lors de ses visites sur internet. Une démarche quasi-impossible à en croire l’étude d’UFC-Que choisir. D’abord parce qu’aucun contact n’a été trouvé pour une centaine d’entreprises. Ensuite, sur les 923 adresses mails trouvées, 83 ne fonctionnaient pas et 374 demandes de suppression des données sont restées lettres mortes au bout du délai de 30 jours fixés par le RGPD.

L’UFC-Que choisir n’a reçu que 465 réponses des entités ayant récolté des données depuis leur navigation web. Près de la moitié disaient ne pas avoir l’adresse mail de l’expéditeur dans leur base de données. 189 demandaient un complément d’informations pour identifier la personne à extraire de sa base. Enfin, 49 entités se sont contentées d’un mail générique renvoyant vers la politique de protection des données de l’entreprise.

A l’issue de l’expérimentation, sur les 1.040 entreprises ayant collectées des informations, seules 79 – soit 7% – proposaient « une démarche relativement simple et convaincante » pour supprimer ces données. Dans la majorité des cas (39%), la démarche a été jugée « excessivement compliqué ». Mais l’association a démontré que plus d’un tiers des entités (35%) récoltant nos données en ligne ne donnent tout simplement aucune réponse aux demandes de suppression d’informations personnelles.

Nouvelle législation floue pour le transfert des données personnelles de l’UE vers les Etats-Unis

Nouvelle législation floue pour le transfert des données personnelles de l’UE vers les Etats-Unis

Ce nouveau cadre juridique mais encore relativement flou prévoit des garde-fous supplémentaires pour que l’accès des agences américaines de renseignement, au nom de la sécurité nationale, à des données personnelles recueillies en Europe et transférées ou hébergées aux Etats-Unis, soit limité à ce qui est « nécessaire » et « proportionné ». Le texte ouvre aussi une possibilité de recours aux ressortissants européens s’ils considèrent que leurs données personnelles ont été illégalement collectées par les renseignements américains, leur permettant d’obtenir, le cas échéant, la suppression ou la correction de ces données.

Les deux dispositifs précédemment mis en place pour permettre aux entreprises de transférer ces données des Européens vers les États-Unis avaient été invalidés en raison de craintes d’une surveillance par les services de renseignement américains. Ces recours devant la Cour de justice de l’UE avaient été introduits par Max Schrems, le militant autrichien pour le respect de la vie privée. Lundi, il a annoncé saisir à nouveau la justice, estimant que le nouveau texte n’apportait pas d’amélioration en matière de protection des données personnelles des Européens.

Malgré tout, les responsables politiques se félicitent de la mise en place de ce dispositif !

«

Données personnelles : aussi un bien commun pour le progrès

Données personnelles : aussi un bien commun pour le progrès

 

Les experts de la sécurité informatique Charles Cuvelliez et Francis Hayen observent, dans une tribune au « Monde », un changement de stratégie de la Commission européenne, désormais soucieuse de promouvoir l’usage des données plutôt que leur protection, tout en l’encadrant fortement.Des données qui pourraien it être à l’origine de progrès considérables notamment dans la santé.

 

Le règlement général sur la protection des données (RGPD) a donné des ailes à la Commission européenne. Après le RGPD, il y aura le Data Act ; la directive Open Data existe depuis 2019, le Data Governance Act, appliqué depuis juin (avec un délai de mise en conformité de 15 mois), et d’autres se préparent. Il y a là un risque de superposition de régulations qui se contredisent, ainsi que des autorités qui les superviseront. On peut craindre un manque de cohérence. Les Etats-Unis nous emboîtent le pas : la puissante autorité de la concurrence, la Federal Trade Commission, veut réguler la surveillance commerciale qui frappe le consommateur américain, alors que le Congrès planche sur un RGPD américain, l’American Data Privacy and Protection Act.

Mais les nouvelles régulations européennes auxquelles le RGPD s’applique ont un autre but : atténuer, en quelque sorte, les effets du RGPD. Car les données ne sont pas seulement personnelles : elles sont aussi un bien commun qui peut résoudre beaucoup de problèmes.

Le Data Act concerne les données produites par nos appareils ou par les services qui les utilisent. Elles appartiennent à ceux qui les créent, les utilisateurs, et pas seulement aux constructeurs ! Ces derniers devront mettre les données à disposition par l’intermédiaire de l’appareil, et, quand ce n’est pas possible, les envoyer à qui de droit sur demande. En contrepartie, ces données ne pourront pas être utilisées pour mettre au point un produit concurrent.

Données personnelles: sous la tutelle des Etats-Unis ?

Données personnelles: sous la tutelle des Etats-Unis ?  

Fondateur d’une start-up informatique, Alain Garnier s’inquiète, dans une tribune au « Monde », d’un accord passé en catimini entre Bruxelles et Washington sur le transfert de données entre les deux continents, craignant un troc « données contre gaz ».(le Monde)

 

Tribune.

 

Vendredi 25 mars, dans une relative indifférence, Ursula von der Leyen, présidente de la Commission européenne, et Joe Biden, président des Etats-Unis, annonçaient qu’ils étaient parvenus à un accord portant sur un nouveau cadre pour le transfert des données personnelles entre les deux continents.

Une annonce dont les contours doivent encore être précisés, mais qui pourrait ruiner des années d’efforts pour instaurer notre souveraineté numérique. Reste un espoir, celui que cet accord ne soit en réalité qu’un leurre pour profiter du gaz américain le temps que la crise ukrainienne s’apaise et avant que la Commission européenne, une fois encore, ne le retoque.

Car le transfert de données personnelles entre l’Europe et les Etats-Unis n’a jamais vraiment été une évidence. Le Safe Harbor mis en place par l’Union européenne en l’an 2000, autorisait ce transfert vers les Etats-Unis, considérant que la législation américaine offrait des garanties suffisantes quant à la protection de la vie privée.

Annulé par un arrêt de la Cour de justice européenne en 2015, cet accord renaissait tel le phénix un an plus tard sous le nom de Privacy Shield. Mais, nouveau coup de tonnerre en 2020, ce dernier était à son tour déclaré caduque, car incompatible avec l’article 5 du réglement général sur la protection des données (RGPD).

Ces revirements successifs font écho à la politique américaine qui n’a cessé d’assouplir ses lois sur la surveillance des données personnelles depuis vingt ans. Chaque évolution – Patriot Act en 2001, Foreign Intelligence Surveillance Act (FISA) en 2008 et Cloud Act en 2018 – a donné toujours plus de nouveaux pouvoirs aux instances juridiques et gouvernementales sur les données personnelles hébergées par les entreprises américaines, que leurs serveurs soient situés dans le pays ou ailleurs dans le monde. Une vision incompatible avec les règles européennes strictes en matière de protection des données.

La fin du Privacy Shield avait durement secoué les géants américains du numérique. Et les premiers effets commençaient tout juste à se faire sentir. La Commission nationale de l’informatique et des libertés (CNIL) avait ainsi appelé en 2021 le gouvernement à écarter le choix de Microsoft Azure pour l’hébergement des données de santé de son fameux Health Data Hub.

Plus récemment, elle mettait en garde les établissements d’enseignement supérieur quant à l’utilisation des suites collaboratives proposées par les éditeurs américains. Enfin, début février, elle mettait en demeure un éditeur de site Web utilisant Google Analytics, considérant le transfert de ces données vers les Etats-Unis comme illégal.

Protéger juridiquement les données personnelles menacées par les logiciels espions

 

L’édiction de nouvelles normes internationales est urgente pour protéger les données personnelles, soulignent, dans une tribune au « Monde » (extrait) , les avocats William Bourdon et Vincent Brengarth, et Christophe Deloire, secrétaire général de Reporters sans frontières.

 

Tribune.

 Edward Snowden, par ses révélations en 2013, a ouvert les yeux de milliards de citoyens. Certains responsables publics, qui, bien sûr, devaient le supputer, telle Angela Merkel, ont été définitivement convaincus que leur portable était en permanence tracé par les grandes écoutes américaines. Comme M. Snowden l’a rappelé récemment, dans une interview publiée le 19 juillet, par Le Monde, s’agissant de la surveillance d’Etat : « Il y avait un voile de légitimité et de légalité, des procédures. Ce n’était déjà pas suffisant mais au moins c’était ça. »

Nous avons aussi compris que l’aggravation de la menace terroriste a conduit les Etats démocratiques à laisser globalement carte blanche aux services de renseignement, sans ériger des contre-pouvoirs effectifs permettant de les contrôler. Ces derniers ne cessent d’exiger, au nom de l’efficacité qui leur est demandée, de plus en plus de prérogatives. C’est vainement, que des parlementaires français se sont émus de l’absence de dispositions permettant de contrôler les conditions dans lesquelles sont mutualisées des données personnelles entre les services français et les services étrangers, et ce de façon de plus en plus systématique et massive.

Les révélations du consortium de médias, coordonné par l’équipe de Forbidden Stories en coopération avec Amnesty International, donnent le vertige et devraient tous lourdement nous inquiéter. Elles ont trait à l’utilisation du logiciel Pegasus par des services étrangers, mais elles appellent à l’instauration urgente de garde-fous pour nous protéger de l’ensemble du secteur de la surveillance.

 

Les informations exploitées démontrent que la société israélienne NSO vend un logiciel utilisable par les Etats pour accéder aux données les plus intimes. Il constitue un outil pour espionner les téléphones de dizaines de milliers de personnes et sans doute plus, permettant à certains services d’Etat (ou à des factions) d’exercer une surveillance étroite au jour le jour sur des personnes considérées comme dissidentes ou sources d’intérêts, en tout cas n’ayant rien à voir avec le terrorisme. Il y va de la protection de nos libertés comme de celle des démocraties.

Lire aussi : Comment la société israélienne NSO Group a révolutionné l’espionnage

La liste des cibles est ahurissante et ce n’est sans doute qu’un début. Il est à craindre que la société NSO ait déjà développé d’autres technologies sophistiquées, sans même parler de ses sociétés cousines à Tel-Aviv ou ailleurs. Une nouvelle association de malfaiteurs s’est scellée entre la société NSO et des services d’Etats étrangers pour favoriser une mécanique de contrôle et de persécution, qui, il faut l’espérer, ne restera pas impunie.

Il vous reste 55.13% de cet article à lire. La suite est réservée aux abonnés.

Données personnelles, un enjeu de souveraineté.

Données personnelles, un enjeu de souveraineté. 

L’enjeu des données qui transitent chaque jour vers les Etats-Unis et la Chine au détriment de l’Europe est infiniment plus grand que la production de masques en tissu sur le territoire national », mettent en garde Robin Reda et Jean-François Husson  , le député de l’Essonne et le sénateur de Meurthe-et-Moselle

Tribune dans l’Opinion

Chaque jour, 80% des données émises par les Français sur les plateformes numériques, sur nos smartphones, ou par nos objets connectés sont captées par les Etats-Unis et la Chine parce que les logiciels source y sont résidents. A l’heure où le gouvernement s’interroge sur le tracking des malades infectés du Covid-19 par le biais d’une application smartphone, il y a fort à parier que les géants du web étrangers sont déjà capables d’établir une cartographie de l’épidémie en Europe à partir de nos conversations personnelles sur les réseaux sociaux, de rendez-vous médicaux conclus sur les applications médicales ou des écarts au confinement à domicile qui échappent aux autorités mais dont le trajet reste en mémoire dans les serveurs de Waze.

Si les données personnelles renseignent par définition sur un individu, elles sont surtout des données communes : ainsi le répertoire d’un téléphone portable renseigne sur les liens qu’entretient une personne avec un nombre considérable d’autres personnes. L’ensemble de ces données constitue un véritable patrimoine national. Or celui-ci ne fait l’objet d’aucun contrôle, est ouvert à tous les vents, commercialisable sans limite alors même qu’il constitue une part de nos vies privées, de nos intimités.

La crise actuelle nous invite à repenser notre souveraineté. Relocaliser la production d‘industries comme celle du médicament ou des masques en France est une nécessité. Mais celle-ci doit impérativement s’accompagner d’une nouvelle souveraineté sur nos données : une véritable souveraineté numérique. La valeur ajoutée de la quantité des données qui transitent chaque jour vers les deux grandes puissances mondiales en passe de réactiver des guerres commerciales au détriment de l’Europe est infiniment plus grande que la production de masques en tissu sur le territoire national sur fond de rhétorique industrielle martiale.

Pour maîtriser notre destin, il est temps de comprendre le basculement du monde dans l’économie de la donnée. Si ce patrimoine numérique qui renseigne sur chacun d’entre nous, n’est pas stocké et protégé en France, il continuera d’alimenter des bases de données extraterritoriales qui asphyxient définitivement tout espoir de « produire en France » en nous privant de la principale matière première d’expertise de l’industrie du futur.

Pire, sans souveraineté retrouvée, nous risquons demain la mise en confinement numérique totale. Que deviendrait l’économie sans les logiciels et sans les données fournis et actualisés chaque jour par les Etats-Unis ? Nous le savons, ce monde ne relève plus de la science-fiction. L’Europe souffrira tôt ou tard d’avoir laissé la main à de véritables cyber-empires. Notre nation s’inclinera face à des géants sans frontières et sans droit qui ont dépassé de loin la puissance des Etats.

Dans le fameux « monde d’après », stoppons l’épidémie de l’impuissance digitale. Mais mettre fin à l’hémorragie des données produites en France, en ne les transférant qu’en échange de protocoles souverainement définis, nécessitera du courage. Notre Constitution pourrait consacrer ce patrimoine national numérique, enjeu parmi d’autres dans la reconquête de notre liberté et de notre compétitivité.

Robin Reda est député de l’Essonne et vice-président de Libres. Jean-François Husson est sénateur de Meurthe-et-Moselle.

Pour une régulation des données personnelles

L’analyse de Jean-Marie Cavada, Président de l’Institut pour les Droits Fondamentaux Numériques, après la publication de la note de la Fondation Digital New Deal, « Partage de données personnelles : changer la donne par la gouvernance ».( Chronique dans la tribune)

 

Les menaces que fait peser l’hégémonie des Big Tech sur la concurrence, l’innovation et la souveraineté européenne doivent être prises en compte. Alors que l’Europe tente d’agir avec le Digital Services Act, force est de constater que les velléités régulatoires européennes trouvent un écho outre-Atlantique – enfin ! La Chambre des représentants américaine a en effet récemment rendu un rapport sur les pratiques anticoncurrentielles des Big Tech.

Pourquoi les Big Tech dominent-elles ?

Les grandes plateformes numériques ont parfaitement su exploiter la puissance exponentielle des effets de réseau. Les modèles « winner takes all » propres aux marchés technologiques confèrent aux Big Tech, dès lors, une influence indéniable sur des pans entiers de l’économie internationale. A cela s’ajoute une taille de marché
presque sans limite puisque l’expansion de ces géants technologiques n’est pas freinée par des coûts marginaux élevés contrairement à des industries plus traditionnelles et des problématiques de transport par exemple. L’addition de ces deux facteurs – effets de réseau et taille potentielle de marché – a permis aux Big Tech de conquérir, petit à petit, la frange BtoC de l’économie européenne.

Lire aussi : Vers un « cyberscore » pour informer les internautes sur la sécurité de leurs données?

Au-delà des caractéristiques particulières de l’économie numérique sur lesquelles les Big Tech ont su s’appuyer, c’est également l’utilisation d’un modèle économique spécifique qui leur a permis d’asseoir leur domination. Elles ont concentré leurs efforts sur des marchés dits bifaces, où le service gratuit offert au plus grand nombre permet de fermer la porte aux nouveaux entrants, tandis que le modèle publicitaire permet
d’atteindre une rentabilité maximale.

Si l’intelligence artificielle et la science des données constituent autant d’outils utiles pour répondre aux défis de notre monde, force est néanmoins de constater que les meilleurs cerveaux de la planète sont recrutés pour parfaire un modèle publicitaire déjà effectif ! Le pouvoir accumulé par ces entreprises, de surcroît, aboutit aujourd’hui à un impact systémique sur l’ensemble de la société, et notamment sur le fonctionnement même de nos démocraties. Il s’agit désormais de redonner toute sa place au bien commun et à l’intérêt collectif.

Si les Big Tech ne considèrent les individus que comme des consommateurs, les porteurs du projet aNewGovernance souhaitent inverser ce paradigme.

Encourager un nouveau modèle pour la donnée

L’uniformisation des règles du jeu concernant le traitement et l’utilisation des données constitue un objectif primordial. Il semble ici nécessaire, comme le démontre le think tank Digital New Deal dans le rapport de Matthias de Bièvre et Olivier Dion Partage de données personnelles : changer la donne par la gouvernance, de repenser l’architecture de circulation des données pour que tous les acteurs, publics comme privés, associatifs
comme académiques, puissent en retirer les bénéfices.

L’article 20 du Règlement général sur la protection des données, qui consacre un droit à la portabilité des données, constitue une des clés pour mettre sur pied une architecture des données plus vertueuse que celle qu’ont mise en place les Big Tech. Là où le bât blesse, c’est que ce nouveau droit n’est pas incarné dans des procédures et des règles simples d’accès et d’utilisation par tous. A ce titre, des outils doivent être mis à
disposition des individus pour maîtriser leurs données, tout en s’assurant qu’ils soient indépendants des plateformes, par souci de séparation des pouvoirs. Également, la puissance publique doit intervenir, sur ce point, afin d’assurer que cette nouvelle catégorie d’outils se développe et prenne en compte l’intérêt public et l’intérêt de l’individu, à l’inverse des Big Tech qui font fi des deux.

Pour parvenir à créer cette nouvelle infrastructure de données, l’effort doit être partagé par le secteur public et le secteur privé. A cet égard, aNewGovernance et l’Institut des Droits Fondamentaux Numériques, appellent à la création d’un organe de gouvernance européen et international pour que les mondes du public et du privé pilotent ensemble l’écosystème de gestion des données et les services qui émettent et consomment des
données. Cette gouvernance mondiale permettrait, d’une part, de faciliter la circulation des données pour l’ensemble des acteurs de l’économie, et aurait, d’autre part, un effet de renversement de la relation asymétrique qui existe aujourd’hui entre une plateforme et un utilisateur.

Pour une plateforme financièrement puissante et dont les services sont quasi universels, il est aisé d’imposer une architecture et un modèle de partage de données. A l’inverse, proposer une architecture et un modèle différents qui profitent à des dizaines de millions d’acteurs requiert une importante coordination. Un organe de gouvernance doit être la clef de voûte d’une infrastructure mondiale de circulation de données centrée sur l’individu. Le numérique étant devenu un sujet éminemment politique – et non plus uniquement technique ou économique – cette infrastructure de circulation de données pourrait constituer la première pierre d’un numérique plus juste. Et cela n’aboutira pas sans gouvernance.

Transfert illégal de données personnelles entre les États-Unis et l’Europe

Charles Cuvelliez, de l’université de Bruxelles, et de Jean-Jacques Quisquater, de l’université de Louvain tire les conséquences de l’illégalité du transfert de données personnelles entre l’Europe et les États-Unis dans une chronique de la Tribune

 

 

« Il y a quinze jours, la Cour européenne de justice a fait souffler un vent glacial sur le business transatlantique en annulant (encore !)  le cadre qui règle les transferts de données entre les États-Unis et l’Europe, la décision dite « Privacy Shield », après « Safe Harbour ». Dans les deux cas, on retrouve le même plaignant, M. Schrems, un citoyen autrichien, qui en fait un vrai business (d’activiste).

Ses données personnelles hébergées par Facebook, s’était-il plaint, n’ont pas une protection digne du RGPD, le Règlement général de protection des données, sur le territoire américain en dépit des garanties obtenues par la Commission auprès des autorités américaines. La Cour l’a suivi (1) et ne laisse même pas de période de grâce : sa décision s’applique tout de suite ! Si des données personnelles de vos clients ont le malheur de faire un aller-retour par les États-Unis pour mille raisons, vous êtes depuis mi-juillet dans l’illégalité.

Si vous avez de la chance, votre fournisseur américain avait déjà prévu le coup et fait en sorte que vos données ne transitent jamais par les USA. C’est le cas des fournisseurs  de clouds qui s’arrangent pour ne jamais faire sortir les données de leurs centres de données européens. Mais gare à tous les autres cas de figure. Le forum des autorités de protection des données des 27 États membres et des 3 Etats de l’Espace Economique Européen, dont la Cnil (l’EDPB ou European Data Protection Board) a publié des conseils pour guider les sociétés et leurs fournisseurs américains désorientés (2).

Il faut revoir les contrats, expliquent ces autorités. Un contrat est compatible avec le RGPD s’il contient des clauses standards dites « SCC » (Standard Contractual Clauses) dont le modèle a été approuvé par la Commission. La Cour européenne de justice, dans son arrêt invalidant le Privacy Shield, ne remet pas en cause leur validité mais, en l’espèce, elles sont inutiles dit-elle, puisque la loi américaine rend ces SCC inopérants. Il faut, dit l’EDPB, des mesures supplémentaires de protection des données.

C’est la même conclusion pour les BCR, les Binding Corporate Rules, un concept plus fort que les SCC. Elles lient personnellement les entreprises qui y  souscrivent lorsque l’une d’elles est hors Europe : elles s’engagent à compenser le manque de protection des données personnelles. Ces BCR doivent même être approuvées par les autorités de protection des données des États membres d’origine de ces entreprises. Ces BCR se font au cas par cas et Privacy Shield ambitionnait justement de l’éviter. Les entreprises américaines pouvaient obtenir une certification Privacy Shield à la place.

Mais ces BCR ne compensent que l’absence de lois de protection des données.  Or, les États-Unis n’ont pas une législation incomplète, dit la Cour. Elles ont carrément une législation qui s’oppose à la protection des données, puisque les autorités américaines peuvent les consulter grâce à leur propre cadre juridique. Les BCR aussi seraient inopérantes. Là aussi il faut des mesures de protection supplémentaires.

 

La nature de ces mesures supplémentaires reste peu claire. L’EDPB explique qu’elle viendra en son temps avec des explications sur leur nature. Mais n’attendez pas, dit-elle. Renégociez vos contrats et montrez que vous tentez de prendre des mesures de protection, techniques, organisationnelles ou légales, contre lesquelles même les USA ne peuvent rien faire.

Tant qu’à faire, l’EDPB propose de suivre la même approche pour tous les pays tiers qui n’ont pas de législation de protection des données personnelles ad hoc. Là aussi, les BCR qui lient les entreprises de ces pays et celles de l’Europe doivent être « augmentées » de mesures supplémentaires. C’est du bon sens quand on sait que les Américains n’ont rien à envier aux Chinois ou aux Russes qui ne s’encombrent sûrement pas d’une législation pour fouiner dans les données en provenance d’Europe (heureusement, les occasions sont moins nombreuses !).

Quant aux exceptions de l’article 49 du RGPD qui permettent exceptionnellement de transférer des données hors Europe (pour la bonne exécution d’un contrat, quand le citoyen y consent ou quand il s’agit d’une question d’intérêt public couvert par une loi de l’État membre concerné), elles ne peuvent jamais devenir la règle. Facebook ne peut se retrancher derrière ses conditions générales pour faire comme avant.

Mais la garantie de n’avoir aucune de ses données sur le territoire américain n’offre pas la protection tant « désirée »  par M. Schrems. Les USA peuvent invoquer le Cloud Act pour inspecter des données en Europe. Devrons-nous, dans le futur, créer et utiliser des logiciels vantards qui donnent vie à des centaines d’avatars pour protéger notre vie privée ? Tout le contraire d’être identifié sur internet. »

Facebook : 5 milliards d’amendes pour trafic de données personnelles

Facebook : 5 milliards d’amendes pour trafic de données personnelles

 

 

 

C’est sans doute un premier avertissement pour Facebook puni par une amende de 5 milliards pour trafic de données personnelles aux États-Unis. En effet Facebook est accusé dans bien d’autres pays pour les mêmes raisons. Le problème c’est que le trafic de données personnelles est le cœur de métier de Facebook et de ses applications comme Instagram. En vérité, Facebook ne produit pas grand-chose par rapport à d’autres grands du numérique (Apple, Google, Amazon). L’essentiel de la production de Facebook est assuré par les membres eux-mêmes des réseaux sociaux. C’est donc le nombre de clics qui fait la réputation et la force de Facebook. À partir de ce nombre de clics,  Facebook établir la valeur de ses rentrées publicitaires et revend par ailleurs les données. Les données personnelles de ses plus de 2,7 milliards d’utilisateurs actifs mensuels sont le bien le plus précieux de Facebook, qui les collecte et les exploite pour en tirer d’immenses revenus publicitaires grâce à un ciblage très affiné. Mais c’est à cause de la façon dont ces données sont utilisées que le réseau social se trouve depuis deux ans dans la tourmente et fait face à une grave crise de confiance. Cependant cette amende n’affectera pas la rentabilité de Facebook car ces 5 milliards d’amendes à mettre en parallèle avec 22 milliards de dollars de bénéfice pour un chiffre d’affaires de 55 milliards. Et, même amputé des provisions, le bénéfice net a atteint 2,43 milliards de dollars au premier trimestre.

 

Données personnelles : Twitter condamné…. et les autres réseaux ?

Données personnelles : Twitter condamné…. et les autres réseaux ?
Aujourd’hui, c’est Twitter qui est officiellement condamné en France pour clauses abusives. En réalité, la même condamnation devrait s’appliquer à la plupart des grands réseaux et des grandes plates-formes dont d’ailleurs certaines ne sont accessibles qu’après avoir cliqué sur une petite case qui manifesterait l’adhésion à des conditions d’utilisation incompréhensibles, ambiguës et souvent illicites. En clair, il s’agit surtout de l’exportation commerciale des données y compris les données les plus personnelles. La justice française a donc condamné le géant américain Twitter à modifier ses conditions générales d’utilisation, a annoncé mercredi 8 août l’UFC-Que Choisir. L’association avait assigné le réseau social en justice, jugeant certaines de ses clauses « abusives » ou « illicites ». L’association de défense des consommateurs avait saisi le Tribunal de grande instance de Paris en 2014 « pour faire reconnaître le caractère abusif ou illicite » de 256 clauses contenues dans ses conditions générales d’utilisation, a-t-elle expliqué dans un communiqué. Twitter a également été condamné à verser à l’UFC-Que Choisir 30 000 euros d’amende pour le préjudice moral porté à l’intérêt collectif. Une sanction financière que l’association juge « insignifiante pour le réseau social, qui a généré en 2017 un chiffre d’affaires mondial de 2,1 milliards de dollars ».

Données personnelles : une loi pour leur protection

Données personnelles : une loi pour leur protection

Protection, récupération, droit à effacement, non exploitation commerciale tels sont les objectifs de la loi  qui révise la loi informatique et libertés de 1978,  en application du Règlement général sur la protection des données des résidents de l’Union européenne (RGPD). “Les deux textes communautaires sont à la fois protecteurs pour nos concitoyens et doivent être perçus comme une réelle opportunité pour les acteurs de notre vie économique et sociale, et notamment pour nos entreprises”, a commenté dans l’hémicycle la ministre de la Justice, Nicole Belloubet. Principale disposition du “paquet européen” de protection des données : les utilisateurs devront être informés de manière explicite de l’utilisation de leurs données et auront la faculté de s’y opposer. Il instaure de nouveaux droits tels que la portabilité des données personnelles, qui permet de récupérer toutes les données communiquées à une plateforme (réseau social, site marchand) pour le conserver ou le transmettre à un autre opérateur. Sont aussi prévus la rectification et l’effacement des données, le recours à des actions collectives ainsi qu’un droit à réparation du dommage subi. Certaines sociétés, et notamment celles qui collectent un grand nombre de données ou des informations sensibles, devront se doter d’un délégué à la protection des données. Le texte renforce le pouvoir de contrôle et de sanctions de la Cnil avec la possibilité d’infliger des amendes pouvant aller jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires mondial de l’organisme concerné. D’après une enquête OpinionWay pour Havas et Baker McKenzie diffusée lundi, 81% des Français se disent prêts à boycotter une entreprise qui ne respecte pas le RGPD et porte atteinte à leur vie privée et 55% à l’attaquer en justice.

Trafic de données personnelles : Google, pire que Facebook

Trafic de données personnelles : Google, pire que Facebook

Facebook a bien sûr été l’objet de toutes les critiques concernant exploitation des données et les détournements fiscaux. En fait un reproche qu’on peut faire à tous les GAFAM. La difficulté,  c’est que derrière la gratuité de certains services se cachent le business des données sur lequel se fonde le commerce. Facebook on le sait vend et exploite ses données mais comme d’autres. En particulier Google qui dispose de bien plus de données en tant que moteur de recherche et de manière plus général comme moyen d’ intermédiation entre les services. Ce que confirme un article dans l’Opinion qui attire l’attention sur la violation de la vie privée à des fins commerciales (voire politiques) :

 

« La récente controverse sur l’appétit de Facebook pour les données personnelles a fait ressurgir l’idée que l’industrie de la publicité en ligne pourrait être dangereuse pour notre vie privée et notre bien-être. L’attention portée sur Facebook est justifiée, elle ne reflète cependant pas toute la réalité. Si le souci porte sur le fait que des entreprises collectent des données personnelles à notre insu ou sans notre consentement explicite, Google est une menace bien plus importante par de nombreux aspects: le volume d’informations qu’il recueille, l’ampleur de son suivi et le temps passé sur ses sites et ses applications. De nouvelles réglementations, en particulier en Europe, incitent Google et d’autres à être plus transparents et à demander plus d’autorisations aux utilisateurs. Ayant le choix, beaucoup de personnes accepteraient quand même le compromis des données personnelles pour des services. Pourtant, à ce jour, peu d’entre nous réalisent à quel point nos données sont collectées et utilisées. « Il y a un problème systémique qui ne se limite pas à Facebook », explique Arvind Narayanan, informaticien et professeur assistant à l’université de Princeton. Le modèle économique de ces entreprises est entièrement axé sur la violation de la vie privée, assure-t-il. Nous devons comprendre le rôle… »

 

 

Internet : non au stockage des données personnelles par les États-Unis (cour de justice européenne)

Internet : non au stockage des données personnelles par les États-Unis (cour de justice européenne)

 

Finalement la cour de justice de l’Europe s’est montrée moins laxiste que la commission pour autoriser les États-Unis à stocker les données personnelles des Européens. Sans doute a-t-on tenu compte des réticences des grands opérateurs américains pour respecter réellement des règles de déontologie en la matière. La Cour européenne de justice (CEJ), suivant l’avis de son avocat général, a invalidé mardi une directive de la Commission adoptée en juillet 2000 autorisant le transfert de données personnelles d’internautes européens vers les Etats-Unis. La Commission européenne avait fixé un cadre juridique accordant aux Etats-Unis un régime de « Safe Harbour », autrement dit la possibilité de stocker sur des serveurs américains des données personnelles de ressortissants européens. La Cour de justice, dans un communiqué, déclare la décision prise par « la Commission le 26 juillet 2000 invalide ». Elle argue du fait que le cadre juridique prévoit qu’une entreprise ou une société qui entend faire sortir des données de l’UE doit disposer de la part du pays destinataire, en l’occurrence les Etats-Unis, d’un « niveau de protection adéquat à ces données » en prenant en compte « toutes les circonstances » légales ou de fait. Or, dans son avis, l’avocat général auprès de la CEJ estimait que les circonstances n’étaient plus de nature à assurer ce niveau de protection depuis les révélations faites par l’ancien analyste Edward Snowden sur le programme de surveillance Prism de l’Agence de sécurité nationale américaine (NSA). Lors d’une conférence de presse tenue dans l’après-midi, le vice-président de la Commission européenne Frans Timmermans a déclaré que l’UE travaillait à une réforme du système actuel afin de tenir compte de la décision de la CEJ. « Dans l’intervalle, les transferts de données peuvent se poursuivre sur la base d’autres mécanismes » juridiques, a-t-il dit. « Nous travaillons avec les autorités américaines pour rendre les transferts de données plus sûrs pour les citoyens européens. A la lumière de ce jugement (de la CEJ), nous allons poursuivre ce travail pour mettre en place un nouveau cadre, sûr, de transfert des données personnelles à travers l’Atlantique. »

Poutine : nationalisation des données informatisées personnelles

Poutine : nationalisation des données informatisées personnelles

 

La nationalisation des données personnelles n’est pas nécessairement une mauvaise chose pour éviter le détournement par certaines multi nationales et la centralisation extrême de l’information. Pour  autant Poutine, lui souhaite nationaliser ces données afin de mieux suivre les activités des entreprises et des personnes. Une sorte de contrôle informatique des libertés. Le 1er septembre prochain, toutes les entreprises qui stockent des données personnelles de citoyens russes -qu’elles opèrent ou non dans le pays- devront les héberger sur des serveurs installés physiquement sur le territoire national russe. Cette loi, baptisée 242-FZ et promulguée au début de l’année, concerne toutes les sociétés de e-commerce, de réservation de voyages, les banques, les assurances, les opérateurs télécoms, les fournisseurs d’accès, les prestataires de réseaux sociaux, etc.  Ce texte législatif se révèle particulièrement exigeant surtout pour les sociétés étrangères. D’une façon globale, le gouvernement russe participe à cette tendance de fond de fragmentation du web qui vise un découpage du réseau sur des bases nationales. Une renationalisation en quelque sorte. Avec sa loi 242-FZ, il souhaite surtout maîtriser davantage les données personnelles de ses concitoyens qui circulent dans le monde.  Sont visés les membres des Facebook, Amazon et consorts mais également les clients russes de petits hôtels situés dans les Alpes ou sur la Côte d’Azur. Ces derniers seront aussi censés stocker les données personnelles de leurs clients russes sur des serveurs soviets ! 

E-commerce : danger pour les données personnelles

E-commerce : danger pour les données personnelles

Dashlane, une société spécialisée dans la protection des données personnelles en ligne a réalisé une étude sur la façon dont les 100 premiers sites de e-commerce français protègent les comptes de leurs clients. Les résultats sont surprenants : 70% de ces sites le font mal !  Dashlane a défini un certains nombres de critères qu’elle estime être indispensables pour bien protéger les comptes utilisateurs des clients et a regardé si ces sites respectés ces critères. En fonction des résultats, elle a appliqué une note qui pouvait aller potentiellement de 100 à – 100, 100 si c’est parfait, – 100 si ça ne l’est pas. Aucun site n’a 100 mais ça ne veut pas dire qu’aucun site ne fait d’effort. Dans l’étude les sites qui ont entre 0 et 100 sont qualifiés de sérieux même s’ils peuvent bien sûr faire mieux. La meilleure note attribuée est 50/100. En tête du palmarès, on trouve ebay, le bon coin et vente-privée.  En queue de peloton, on trouve entre autres les sites de MacDonalds, Décathlon, Joueclub. Seuls 14% des sites de e-commerce testés exigent de leurs clients un mot de passe fort, c’est à dire difficile à craquer pour une personne mal intentionnée. Ce mot de passe assez long, au moins 8 caractères qui va mélanger des majuscules, des minuscules et des chiffres.  De nombreux sites acceptent comme mot de passe, 123456, AZERTY (les premières lettres du clavier) voire même le chiffre « 1″ ! Autant ne pas mettre de mot de passe.  Sur presque la moitié des sites, lors de la création d’un compte ou quand l’utilisateur qui a perdu son mot de passe en redemande un, ce dernier est expédié au client par mail et en clair. Ce qui peut poser problème si une personne mal intentionnée tombe sur ce mail ou si la boîte mail est piratée.  Quand vous créez un compte utilisateur même si le site ne l’exige pas, créez vous toujours un mot de passe fort (majuscules, minuscules et chiffres) et si le site vous envoie votre mot de passe par mail, une fois que vous l’avez lu, détruisez le mail. Curieux aussi qu’après avoir faiat un achat par mél ou donné son Mel à une société, on soit inondé de Mels commerciaux, si l’e-Commerce se développe, le trafic de fichier tout autant.