#rgpd

  • La CNIL condamne EDF à une amende de 600 000 euros pour violation du RGPD, les détails de cette décision
    https://www.nextinpact.com/article/70493/la-cnil-condamne-edf-a-amende-600-000-euros-pour-violation-rgpd-details-

    EDF est condamnée par la formation restreinte de la CNIL pour plusieurs manquements au RGPD, avec une amende administrative de 600 000 euros à la clé. Plus que le résultat, le raisonnement et le détail des points soulevés par la CNIL sont intéressants à analyser.

    La CNIL explique avoir été « saisie de plusieurs plaintes à l’encontre de la société EDF, portant sur l’exercice des droits entre août 2019 et décembre 2020 ». La Commission a effectué un contrôle en ligne du site www.edf.fr le 15 février 2021. Un questionnaire était envoyé quelques semaines plus tard (le 25 mars) auquel EDF a répondu le 29 avril. Des échanges complémentaires se sont déroulés jusqu’en septembre.

    En juin de cette année, la rapporteure proposait à la formation restreinte de la CNIL de prononcer « une amende administrative au regard des manquements » et de rendre la décision publique pendant deux ans. Après de nouveaux échanges pendant quelques semaines, le contradictoire était clos mi-septembre.

    Afin de planter le décors, la CNIL rappelle que, « fin décembre 2020, la société comptait dans ses bases de données 25,7 millions de clients pour la fourniture d’électricité, de gaz et de services », soit l’équivalent de 40 % de la population française environ, excusez du peu.
    Surprise (ou pas) : un formulaire non rempli ne vaut pas consentement

    Dans la délibération de la formation restreinte, le premier manquement concerne « l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique ». Problème, suite à des opérations de ce genre, la société n’était « pas en mesure de disposer et d’apporter la preuve d’un consentement valablement exprimé par les prospects dont les données proviennent de courtiers en données avant d’être démarchées » .

    Ce n’est pas tout. Dans le cadre de l’instruction de trois plaintes, EDF n’a pu obtenir du courtier des éléments prouvant que le recueil du consentement avait bien été réalisé : « le courtier en données a produit le formulaire type, et non le formulaire rempli individuellement par chaque prospect ».

    Pour sa défense, EDF expliquait que les prospections exploitant des données collectées auprès de courtiers « sont très ponctuelles et visent un nombre non significatif de prospects ». Elle ajoutait avoir « toujours strictement encadré ses relations contractuelles avec les courtiers en données auxquels elle fait appel et que des échanges fréquents avaient lieu, même s’ils n’étaient pas nécessairement formalisés sous forme d’audits ». Enfin, elle affirmait « que les données déjà collectées dans le cadre de campagnes précédentes ont été supprimées ». Depuis novembre 2021, des audits formalisés sont en place pour éviter que cela ne se reproduise.

    Quoi qu’il en soit, la CNIL « considère dès lors que les mesures mises en place par la société EDF pour s’assurer auprès de ses partenaires que le consentement a été valablement donné par les prospects avant d’être démarchés étaient insuffisantes ». EDF a « méconnu ses obligations résultant des articles L. 34-5 du CPCE et 7, paragraphe 1, du RGPD .

    EDF joue la carte de la refonte en cours

    La deuxième série de reproches concerne le manquement à l’obligation d’information des personnes. Il s’agit des articles 13 et 14 du RGPD qui disposent que des informations doivent être communiquées aux personnes concernées, notamment « les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ».

    La rapporteure explique que « la base légale n’était pas mentionnée et les durées de conservation des données n’étaient pas développées de manière suffisamment précise ». De plus, « les personnes démarchées par voie postale par la société n’étaient pas informées de la source précise de leurs données à caractère personnel, à savoir l’identité de la société auprès de laquelle EDF les a obtenues ».

    La société concède que sa charte de protection des données personnelles contenait l’ensemble des données au titre de l’article 13 du RGPD, mais reconnait que seules « certaines durées de conservation étaient mentionnées ». EDF ajoute qu’une refonte des durées de conservation était en cours lors du contrôle en ligne : « elle considère qu’il n’était donc pas possible d’indiquer l’ensemble des durées de conservation, puisque celles-ci étaient en cours de revue et de modification ».
    Des informations vagues et imprécises

    L’argument ne fait pas mouche auprès de la formation restreinte : « il n’en demeure pas moins que, au moment de ces constatations, ladite charte précisait " Nous ne conservons vos données que pendant la durée nécessaire à leur traitement selon la finalité qui a été fixée " ». Une information « vague et imprécise », insuffisante pour garantir un traitement équitable et transparent.

    Dans ses courriers, EDF indiquait que les données ont été collectées auprès d’un « organisme spécialisé dans l’enrichissement de données ». C’est l’article 14 du RGPD dont il est question ici. Pour la CNIL, cela manque de précision, car cette information ne permet pas de « garantir un traitement équitable et transparent […] en particulier dans un contexte de reventes successives de données entre de multiples acteurs et dans l’hypothèse où le prospect souhaiterait exercer ses droits auprès du courtier en données dont il ignore l’identité ».

    C’est donc un combo perdant des articles 13 et 14 sur l’obligation d’information des personnes. La CNIL note néanmoins que dans le premier cas, EDF détaille les bases légales et durées de conservation dans sa charte évoquée, tandis que dans le second elle a « modifié les mentions d’information figurant dans les courriers de prospection ».
    Des manquements sur l’obligation de transparence

    On enchaine avec des manquements sur l’exercice des droits des personnes, en lien avec les articles 12, 15 et 21. Premier point abordé : l’obligation de transparence. La CNIL se base sur deux saisines pour affirmer que la société n’a pas respecté ce point du RGPD :

    « S’agissant de la première saisine, la rapporteure a relevé que la société EDF avait contacté le plaignant par téléphone pour lui apporter une réponse, sans lui adresser d’écrit, en violation de l’article 12, paragraphe 1, du RGPD. En outre, la réponse qui lui a été apportée sur l’organisme à l’origine des données était erronée. Enfin, la société a répondu à ses questions, de nouveau par téléphone, plus de neuf mois plus tard.

    S’agissant de la seconde saisine, la rapporteure a relevé que la société avait clôturé la demande du plaignant au lieu de la transmettre au service en charge des demandes d’exercice de droits et n’avait pas répondu […]. Ce n’est que six mois après sa demande initiale – dans le cadre de la procédure de contrôle – qu’une réponse a été apportée au plaignant ».

    Dans le premier cas, EDF plaide « l’erreur humaine commise par le conseiller, lequel n’a pas suivi les procédures internes ». Concernant les retards, elle met en avant un « contexte particulièrement difficile à la fois de la crise sanitaire, qui a conduit à un accroissement du nombre de demandes d’exercice de droit, et de report de la fin de la trêve hivernale au 1er septembre 2020 ». La CNIL en prend note, mais considère tout de même « que le manquement à l’article 12 du RGPD est constitué ».
    Article 15 : CNIL 1 - EDF 1, balle au centre

    On continue avec l’obligation de respecter le droit d’accès, là encore la CNIL se base sur deux saisines. Dans la première, la première réponse apportée au plaignant par téléphone sur la source des données collectées était erronée. La société reconnait que la réponse était « en partie inexacte » à cause d’une erreur sur la source des données.

    Sur la seconde saisine, la société affirmait à une personne « qu’elle n’avait aucune autre donnée la concernant que son prénom et son nom dans ses bases de données ». Problème pour la rapporteure, cette affirmation était inexacte : la société devait au moins avoir son (ancienne) adresse « pour effectuer le rapprochement avec les nom et prénom de la plaignante, puisque la société EDF lui a adressé un courrier au domicile de ses parents ».

    Pour EDF par contre, la réponse du conseiller était correcte « puisque les seules données rattachables à la plaignante étaient ses nom et prénom ». Pour la formation restreinte (qui a suivi la proposition de la rapporteure), « le manquement invoqué n’est pas caractérisé ».

    On termine avec le droit des personnes avec l’article 21. Selon la rapporteure et une saisine, la société n’a pas pris en compte l’opposition d’un plaignant « au traitement des données à caractère personnel de son fils mineur à des fins de prospection commerciale ». Il a en effet reçu un second courrier. EDF reconnait un cafouillage interne : « le conseiller a bien procédé à l’effacement des données comme il l’avait indiqué par téléphone au plaignant, mais n’a pas complètement suivi la procédure interne en ne procédant pas à l’opposition avant d’effacer les données ».

    La procédure est désormais simplifiée. Les faits n’étant pas contestés, ils constituent donc un manquement au titre de l’article 21 du RGPD.
    Quand EDF utilisait encore MD5 en 2022

    Enfin, dernier manquement : l’obligation d’assurer la sécurité des données (article 32). Sur son portail prime énergie, des mots de passe « étaient stockés au moyen de la fonction de hachage MD5 », complètement dépassée aujourd’hui.

    EDF affirme pour sa défense que, « depuis janvier 2018, la fonction de hachage SHA-256 est utilisée », mais que, « jusqu’à juillet 2022, les mots de passe de plus de 25 800 comptes étaient conservés de manière non sécurisée, avec la fonction de hachage MD5 ».

    L’entreprise se défausse sur un prestataire et tente d’éteindre l’incendie (sans convaincre) : « Le hachage MD5 correspond uniquement au niveau de hachage mis en place historiquement par la société […], sous-traitant d’EDF, et pour lequel seuls quelques milliers de comptes étaient encore concernés en avril 2021. La société ajoute que ces mots de passe étaient tout de même stockés avec la robustesse du mécanisme supplémentaire d’aléa (salage), empêchant les attaques par tables précalculées ».

    Peu sensible à ces arguments, la CNIL rappelle que « le recours à la fonction de hachage MD5 par la société n’est plus considéré depuis 2004 comme à l’état de l’art et son utilisation en cryptographie ou en sécurité est proscrite ». EDF n’a que 18 ans de retard.
    Le hachage de 2,4 millions de mots de passe manque de sel

    Sur l’espace client EDF, ce n’est pas franchement mieux. Selon les déclarations initiales de la société, les mots de passe « étaient stockés sous forme hachée et salée au moyen de la fonction SHA-1, pourtant réputée obsolète ». Lors de sa défense, l’entreprise revient sur sa déclaration et explique que l’algorithme « est en réalité SHA-512 complété d’un mécanisme d’ajout d’aléa (salage) depuis le 17 mai 2017, et non SHA-1, contrairement à ce qu’elle avait pu indiquer à la délégation de contrôle ».

    Il reste un problème pour la rapporteure : « si 11 241 166 mots de passe de comptes sont bien hachés et salés, 2 414 254 mots de passe de comptes sont hachés uniquement, sans avoir été salés ». Cette faiblesse a été corrigée et désormais « il n’existe plus à ce jour aucun mot de passe haché en SHA-512 sans mécanisme d’ajout d’aléa (salage) ». EDF ne conteste donc pas le manquement de l’article 32, « mais demande à ne pas être sanctionnée dans la mesure où elle a dorénavant remédié au manquement ».
    La « bonne volonté » ne suffit pas à effacer l’ardoise

    Enfin la formation restreinte détaille sa réflexion sur les mesures correctrices et leur publicité. Sans surprise, EDF met en avant sa « bonne volonté et les efforts dont elle a fait preuve tout au long de la procédure » pour demander à la formation restreinte de « ne pas prononcer de sanction financière ou à tout le moins à réduire très significativement le montant de l’amende proposée par la rapporteure ». Pour la CNIL, « une amende administrative d’un montant de 600 000 euros apparaît justifiée ».

    Pas d’injonction de mettre en conformité néanmoins, car « la société a pris des mesures de mise en conformité s’agissant de l’ensemble des manquements relevés par la rapporteure ». Enfin, EDF demandait « de ne pas la publier ou, à titre subsidiaire, de l’anonymiser immédiatement ou au plus tard dans un délai de huit jours » la décision de sanction.

    La formation restreinte de la CNIL n’est pas sur la même longueur d’onde : « la publicité de la sanction se justifie au regard de la nature et du nombre de manquements commis, ainsi que du nombre de personnes concernées par lesdites violations, en particulier plus de 2 400 000 clients s’agissant du manquement à la sécurité des données ». La décision sera anonymisée après un délai de deux ans. »

    #cnil #edf #rgpd

  • La Fnac retire de la vente un jeu de société sur les « antifas », et ça ne passe pas
    https://www.huffingtonpost.fr/france/article/la-fnac-retire-de-la-vente-un-jeu-de-societe-sur-les-antifas-et-ca-ne

    La Fnac est sous le feu des critiques. En cause, le tollé suscité par la présence d’un jeu de société sur les « antifas » dans son catalogue, puis celui provoqué par son retrait, annoncé dimanche 27 novembre. La chaîne de magasins a effectivement été interpellée durant le weekend par un syndicat de commissaires de police et plusieurs élus et militants d’extrême droite qui exigeaient le retrait de son site d’un jeu de cartes dans lequel il est proposé aux joueurs d’animer un groupe antifasciste fictif.

  • #doctolib joue sur les mots : rien d’illégal dans sa pratique de sécurisation des données puisque « ce n’est pas à strictement parler du chiffrement de bout en bout mais cela peut l’être en termes de communication ».

    ENQUETE. Doctolib : certaines données médicales ne sont pas entièrement protégées
    https://www.francetvinfo.fr/internet/securite-sur-internet/enquete-doctolib-certaines-donnees-medicales-ne-sont-pas-entierement-pr

    « On a reçu de Doctolib les données en clair sur vos prochains rendez-vous. On ne les a pas reçues chiffrées, explique Benjamin Sonntag. Donc cela veut dire que Doctolib lui-même a ces informations en clair. » Or ces rendez-vous médicaux sont signifiants et renseignent sur l’état de santé d’une personne. « Si vous allez régulièrement chez un oncologue ou chez un psychologue, cela raconte quelque chose sur votre état de santé », poursuit Benjamin Sonntag.

    #protection_des_données #santé_privatisée #RGPD #chiffrement

    Voir aussi : https://seenthis.net/messages/954868

  • Le Conseil d’État annule partiellement les lignes directrices de la CNIL relatives aux cookies et autres traceurs de connexion
    https://www.conseil-etat.fr/actualites/le-conseil-d-etat-annule-partiellement-les-lignes-directrices-de-la-cni

    Le lobbying des entreprises empêche la protection de la vie privée. Le Conseil d’État leur cède au risque de transformer la vie privée en une simple déclaration de soumission.
    L’idée « data contre service » recèle trop de dissymétrie d’information et de pouvoir pour devenir une règle de fonctionnement garantissant les libertés individuelles.
    Mais les instances trouvent, quand elles veulent céder aux arguties des lobbies économiques, des arguments de procédure pour éviter de juger sur le fond, mais quand même satisfaire les puissants groupes économiques contre les citoyens.

    Le Conseil d’État juge que la CNIL ne pouvait légalement interdire dans ses lignes directrices les « cookie walls », pratique qui consiste à bloquer l’accès à un site internet en cas de refus des cookies. Le Conseil d’État confirme en revanche la légalité des autres points contestés, relatifs au recueil du consentement des internautes aux cookies et autres traceurs.

    À la suite de l’entrée en vigueur du règlement général sur la protection des données (RGPD), la Commission nationale de l’informatique et des libertés (CNIL) a adopté en 2019 de nouvelles lignes directrices relatives aux « cookies » et autres traceurs de connexion déposés par les éditeurs de sites internet dans les ordinateurs, tablettes ou téléphones des utilisateurs à des fins, notamment, de ciblage publicitaire.

    Diverses associations professionnelles ont saisi le Conseil d’État d’une requête tendant à l’annulation de ces lignes directrices.

    L’interdiction des « cookie walls » ne pouvait pas figurer dans les lignes directrices

    Les requérants contestaient en particulier l’interdiction, par les lignes directrices attaquées, de la pratique des « cookie walls » par laquelle les éditeurs de sites internet bloquent l’accès à leurs sites lorsque l’internaute ne consent pas au suivi de sa navigation au moyen du dépôt de cookies et des traceurs de connexion.

    Par la décision du 19 juin 2020, le Conseil d’État juge qu’en déduisant une telle interdiction de la seule exigence d’un consentement libre de l’utilisateur au dépôt de traceurs, posée par le règlement général sur la protection des données (RGPD), la CNIL a excédé ce qu’elle pouvait légalement faire dans le cadre d’un acte dit « de droit souple ». Les actes de droit souple désignent les instruments, telles que les lignes directrices des autorités de régulation, qui ne créent pas de droit ou d’obligation juridique pour quiconque mais influencent fortement, dans les faits, les pratiques des opérateurs économiques. Sans se prononcer sur le fond de la question, le Conseil d’État considère que la CNIL ne pouvait, sous couvert d’un acte de droit souple, énoncer une telle interdiction générale et absolue.

    Le consentement de l’utilisateur doit être précédé d’une information spécifique pour chacune des finalités du traitement de données

    Les requérants critiquaient également le point des lignes directrices précisant que les utilisateurs doivent « être en mesure de donner leur consentement de façon indépendante et spécifique pour chaque finalité distincte ».
    La loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés impose que le consentement de l’utilisateur préalable au dépôt de traceurs porte sur chacune des finalités du traitement des données recueillies. Le Conseil d’État précise que cette exigence implique, lorsque que le recueil du consentement est effectué de manière globale, qu’il soit précédé d’une information spécifique à chacune des finalités. Le Conseil d’État juge que le passage contesté des lignes directrices se borne à rappeler cette exigence, sans imposer aux opérateurs des modalités techniques particulières (consentement global ou finalité par finalité) pour le recueil du consentement.

    Le Conseil d’Etat confirme par ailleurs la légalité des autres points contestés des lignes directrices, concernant notamment la facilité de refus ou de retrait du consentement aux cookies, la durée recommandée de conservation des cookies ou l’information des utilisateurs sur les cookies non soumis au consentement préalable.

    #RGPD #Conseil_Etat #Vie_privée

  • Vie privée : les internautes, même précautionneux, pistés à leur insu
    https://www.lemonde.fr/sciences/article/2022/04/12/vie-privee-les-internautes-meme-precautionneux-pistes-a-leur-insu_6121754_16

    Deux études montrent comment la désactivation des cookies peut être contournée pour continuer à suivre et profiler les utilisateurs du Web, notamment dans le secteur de la santé.

    Deux articles de recherche corrigent sérieusement cette naïveté. Près de 4 % des sites Web les plus fréquentés arrivent à recréer des cookies, que l’on pensait pourtant avoir effacés. Plus de 60 % de sites « santé » identifient le visiteur avant même de proposer la fameuse bannière de consentement. Et 15 % continuent à le pister, même s’il l’a refusé !

    La première étude montre comment régénérer un cookie tiers ou en tout cas « identifiant ». La seconde explique comment un cookie peut être synchronisé entre plusieurs sites, parfois sans que le site propriétaire en soit informé, transformant même un cookie propriétaire en un cookie tiers. « On montre qu’il existe des techniques méconnues pour faire du traçage, mais bien sûr on ne peut pas montrer si elles servent effectivement dans ce but », précise Arnaud Legout.

    Détaillons la première étude, sur la recréation de cookies. Les chercheurs ont mis en évidence des techniques qui pistent les internautes par leur « empreinte de navigation ». Celle-ci consiste en une série d’informations comme le fuseau horaire, la version du navigateur ou du système d’exploitation, la langue préférée… Le site Amiunique.org permet de se faire une idée de cette empreinte. Contrairement aux cookies, elle ne peut être effacée, mais elle est moins stable, car elle peut changer pour un même utilisateur au cours du temps, par exemple lors d’une mise à jour.

    Des prises de rendez-vous chez un pédiatre, un dermatologue ou un cancérologue en disent beaucoup sur l’état de santé des personnes, ce qui pourrait intéresser les assurances ou les banques

    L’équipe de l’Inria a découvert que l’empreinte peut servir à recréer un cookie. Au départ, un cookie est associé à une empreinte dans la base de données du site « suiveur ». Puis si ce cookie est effacé, mais que l’empreinte ne change pas, alors le cookie est recréé pour assurer le suivi.

    Des « pixels invisibles »

    La méthode a consisté à vérifier si ces sites utilisent des techniques subtiles que les auteurs de l’étude avaient dévoilées en 2020 et qui permettent de synchroniser des cookies entre plusieurs sites, et donc de suivre les internautes. Ces six méthodes recourent à des « pixels invisibles », c’est-à-dire que, lors d’une visite, une requête est envoyée vers un site tiers qui renvoie un pixel blanc, donc invisible pour l’utilisateur, mais qui génère un dépôt ou une récupération de cookie chez l’internaute. Une extension de navigateur a même été développée pour automatiser la détection de ces techniques. « Nous avions montré que les techniques habituelles de blocage, basées sur des listes noires de sites suiveurs, ratent entre 25 % et 30 % des “traceurs” », rappelle Imane Fouad, doctorant dans ces études.

    Appliquées à 385 sites de santé, les conclusions sont sévères : 62 % d’entre eux recourent à ces pistages méconnus… avant même que l’internaute ne réponde à la bannière de consentement ; 40 % ne permettent pas de refuser le traçage. Et 15 % tracent même si le visiteur a refusé ! « Malheureusement, il était déjà connu que les bannières ont ce genre de défauts. Nous montrons en plus que c’est le cas avec des techniques peu connues et qui échappent aux bloqueurs habituels », résume Arnaud Legout.

    Ces résultats arrivent dans un contexte particulier, où le plus grand acteur de la navigation sur le Web, Google avec son outil Chrome, a annoncé vouloir bloquer les cookies tiers, tout en fournissant des solutions techniques aux publicitaires, dont le géant fait lui aussi partie, permettant de « cibler » sans « suivre » chaque internaute. Mais en 2021, l’entreprise a annoncé reporter ce déploiement technique à 2023.

    « On peut faire l’hypothèse que les techniques que nous avons mises au jour servent aux entreprises qui les développent pour montrer leur savoir-faire et offrir de meilleurs services. Mais c’est aussi sûrement pour se préparer à la fin des cookies tiers », estime Arnaud Legout. La bataille n’est pas finie.

    David Larousserie

    #Cookies #Traçage #Trace #RGPD #Données_santé #Vie_privée

  • Faciliter la conformité #RGPD : le fichier GDPR.txt
    https://framablog.org/2022/03/08/faciliter-la-conformite-rgpd-le-fichier-gdpr-txt

    Dans le cadre de mon bénévolat pour Framasoft, je suis amené à travailler sur la conformité de l’association au Règlement Général sur la Protection des Données (RGPD). Ça fait des années qu’on essaye d’avancer sur le sujet, mais il faut … Lire la suite­­

    #Droits_numériques #Internet_et_société #formats-ouverts #Internet #vie_privée

  • Appel à témoignages CAF – Changer de cap
    https://changerdecap.net/2022/02/05/appel-a-temoignages-caf

    Appel à témoignages sur l’évolution des pratiques des CAF

    Le Collectif Changer de Cap est alerté par certains de ses membres sur l’utilisation des algorithmes utilisés par les services publics pour le contrôle de nos concitoyens et en particulier des plus précaires. Notre attention se porte sur les contrôles automatisés des CAF (Caisses d’allocations familiales) et le recueil des données des allocataires :

    Pas moins de 1000 données seraient consignées par allocataire, pour 13 millions de foyers représentant 30 millions de personnes (cf. Télérama du 13 octobre 2021).

    Ce fichier est nourri par l’interconnexion à notre insu des fichiers administratifs, bancaires, URSSAF, électricité, etc. auxquels les CAF ont maintenant accès.
    Les données sont manipulées pour établir un « profil » des familles et établir un « scoring de risque ».
    La CNAF elle-même annonce plus de 32 millions de contrôles automatisés en 2020 (voir p. 8 https://www.caf.fr/sites/default/files/cnaf/210617%20DP_résultats%202020%20de%20la%20politique%20de%20prévention%20et%20lutt)
    Le scoring enclenche de façon quasi-automatique un surcontrôle des personnes les plus précaires, en particulier les allocataires des minima sociaux, les familles monoparentales, ou les personnes à faible revenubénéficiant d’allocations sous conditions de ressources (prime d’activité, allocations logement…).

    En parallèle, une numérisation forcée des procédures et de la vie quotidienne impose à tous des démarches par Internet alors que l’on compte 17 % d’exclus numériques dans la population.

    Les premiers témoignages recueillis sont parfois accablants. Il semble que le déclenchement d’un contrôle puisse se traduire par la suspension des versements (allocations familiales, APL, allocation adulte handicapé, etc.). La plupart des décisions ne sont pas motivées, et il est quasiment impossible de trouver un interlocuteur pour rectifier une erreur, car les relations sont assurées par des machines et de nombreux emplois ont été supprimés. Ainsi, la CAF créée à l’origine pour assurer une sécurité aux familles tend à instaurer une insécurité croissante pour les plus modestes d’entre nous et à les enfermer dans la précarité., elle contribue aujourd’hui à l’émergence d’une société inhumaine.

    Notre collectif ne peut pas rester insensible à ce gigantesque espionnage de nos vies et à ce harcèlement des plus précaires. Les associations membres du collectif nous indiquent que certaines populations sont soumises à un véritable harcèlement et souhaitent une action commune.

    C’est pourquoi nous lançons un appel à témoignages afin de recueillir des exemples d’atteintes aux droits, d’absence de dialogue ou de discriminations, montrer en quoi ils sont systématiques et contraires à la loi, aux droits fondamentaux et à la dignité des personnes.

    [...]

    #toctoc #CAF #contrôle #data #précaires #contrôles_automatisés #recueil_de_données #allocataires #droits_sociaux #non_recours #témoignages #arbitraire #minima_sociaux #mères #prime_d’activité #APL #AAH #précarité #dématérialisation #numérisation #droits_fondamentaux

  • Tentative de censure de la part du ministère - Paris-luttes.info
    https://paris-luttes.info/tentative-de-censure-de-la-part-du-15655

    Un bien curieux cadeau nous attendait mi-décembre : une lettre de mise en demeure de la part du ministère de la transition écologique, nous ordonnant de dépublier des listes de logements vides des bailleurs sociaux en France. Ces listes sont publiées ici et là. Petite explication dans l’article !

    Voici la lettre de mise en demeure envoyée à « Madame ou Monsieur l’éditeur du site Internet paris-luttes.info ».

    En vrac, on nous menace de poursuites, avec des amendes allant jusqu’à 20 000 000 euros, et des peines pouvant atteindre 5 ans de prison.

    Les motifs ? Qu’« on » se soit procuré des listes de logements vides appartenant à des bailleurs sociaux, et qu’on les ait publiées. Ce serait selon leur courrier illégal car il s’agirait de documents confidentiels ; et qu’il y aurait des données à caractère personnel dans les listes, et par conséquent on est accusé·e·s d’enfreindre la RGPD [1].

    À noter que la lettre est signée par la cheffe du service des données et d’études statistiques du ministère, Béatrice Sédillot, qui a été nommée « chevalier de la légion d’honneur » le 31 décembre 2021 (on imagine pour bons et loyaux services en tant que fonctionnaire zélée tout au long de sa carrière). Comme quoi, cette breloque n’a vraiment aucune sorte de valeur.

    Sur le plan juridique d’abord : ça ne tient pas la route au ministère de la transition écologique !

    Sur le fait qu’on enfreigne la #RGPD et le fait qu’on se servirait de données à caractère personnel pour les traiter :

    s’il y a bien des gens qui analysent ces données, c’est le service d’études statistiques duquel émane la mise en demeure. C’est vraiment ballot de nous attaquer là-dessus parce qu’à Paris-luttes, niveau données personnelles et vie privée, on est plutôt contre leur traitement et contre tout ce qui favorise la société de contrôle. On pensait bien faire en publiant ces listes : le gouvernement n’avait-il pas enclenché une dynamique d’ouverture des données publiques ?
    Il n’y a aucune donnée relevant de la vie privée dans ces listes. La RGPD stipule : « le présent règlement ne couvre pas le traitement des données à caractère personnel qui concernent les personnes morales, et en particulier des entreprises dotées de la personnalité juridique, y compris le nom, la forme juridique et les coordonnées de la personne morale. » Les bailleurs sociaux étant des personnes morales, ils ne sont pas concernés par la RGPD.
    Bref, si le but était de nous intimider, c’est rapé... Il va falloir revoir la copie !

  • Austrian DSB : EU-US data transfers to Google Analytics illegal
    https://noyb.eu/fr/ord-autrichien-les-transferts-de-donnees-entre-lue-et-les-etats-unis-vers-googl

    (traduction de : https://noyb.eu/en/austrian-dsb-eu-us-data-transfers-google-analytics-illegal)

    Max Schrems: “We expect similar decisions to now drop gradually in most EU member states. We have filed 101 complaints in almost all Member States and the authorities coordinated the response. A similar decision was also issued by the European Data Protection Supervisor last week.”

    Voir aussi : https://www.blogdumoderateur.com/google-analytics-rgpd-non-coupable pour la tentative d’évitement de Google (en gros le problème légal ne résiderait pas dans l’application en tant que telle, mais dans l’usage de certains utilisateurs)

    #NOYB #noyb.eu #google_analytics #rgpd

  • 2 fils sur #Elize, l’#application numéro 1 des stores en France cette semaine

    François Malaussena sur Twitter

    Je lis des articles sur Elyze. Pour l’instant, pas un seul pour souligner le risque à ce que 2 inconnus sans encadrement aient en leurs mains l’une des bases de données probablement les plus puissantes de l’histoire #politique française. Que des partis payeraient cher pour avoir.

    https://twitter.com/malopedia/status/1482405960555577344

    et une faille de sécu découverte et corrigée

    Mathis Hammel sur Twitter

    Hier soir, j’ai découvert un problème de sécurité sur l’app Elyze (numéro 1 des stores en France cette semaine) qui m’a permis d’apparaître comme candidat à la présidentielle sur le téléphone de plusieurs centaines de milliers de français.

    Je vous explique ce qui s’est passé

    https://twitter.com/MathisHammel/status/1482393799456436228

  • Could GDPR policy erase your games? It happened to an Ubisoft customer | PCWorld
    https://www.pcworld.com/article/559218/could-gdpr-policy-erase-your-games-it-happened-to-an-ubisoft-customer.html

    If you haven’t used your Ubisoft account in a while, there’s a chance the game publisher might nuke your account for being inactive— that’s the reality one gamer said he discovered after stepping away from PC gaming for more than a year.

    #jeu_vidéo #jeux_vidéo #ubisoft #rgpd #désactivation #suppression #boutique #inactivité

  • Cookies : une association dépose 422 plaintes pour non-respect des règles RGPD en Europe
    https://fr.fashionnetwork.com/news/Cookies-une-association-depose-422-plaintes-pour-non-respect-des-

    (ETX Daily Up) - Près de trois ans après l’arrivée des bannières de cookies, nombre d’entreprises et de sites ne sont pas en position de conformité face au Règlement européen sur la protection des données. Une association, noyb, vient de déposer 422 plaintes dans une dizaine de pays pour faire bouger les lignes.

    Texte fondamental sur le traitement des données à caractère personnel en Europe, la RGPD, qui a instauré les impopulaires bannières de cookies, commence à tâtonner. Critiquée à ses débuts, la réglementation a connu une véritable accélération pendant les confinements successifs. Nombre d’entreprises s’étaient mises au pas pour atteindre les objectifs de respect de la vie privée. Pourtant depuis quelque temps, les actions se font rares et une large communauté d’irréductibles fait ralentir le mouvement. 

    Une association, noyb, cofondée par Max Schrems, un activiste autrichien militant pour la protection des données personnelles, vient de déposer 422 plaintes dans une dizaine de pays aux autorités de protection des données. Après des premiers avertissements fin mai 2021 avec des courriers faisant état d’un « projet de plainte », l’association a mis son plan à exécution pour les entreprises récalcitrantes.

    L’option de retrait, principal obstacle 
Les avertissements ont pourtant fait bouger les choses. Environ 42% de toutes les violations recensées ont été corrigées dans les 30 premiers jours. Malgré tout, 82% des entreprises averties continuent consciemment ou inconsciemment de violer les règles du texte de l’Union européenne. Principal objet de résistance : l’option de retrait concernant les cookies.

    Le texte exige de rendre le retrait du consentement donné aussi simplement que son autorisation. Pourtant, seulement 18% des sites ont ajouté une option de retrait. 

Sur le site de l’association noyb, Max Schrems explique les inquiétudes de certaines entreprises : « Dans des discussions informelles, nous avons entendu que certaines entreprises craignaient que leurs concurrents ne se mettent pas en position de conformité, ce qui créerait des avantages injustes. D’autres attendent des décisions claires des autorités de leurs pays avant de commencer à se conformer ». Le collectif militant a cependant rencontré une problématique de barrière de langue, 50% des plaintes seront déposés aux autorités autrichiennes des données, la « Datenschutzbehörde », qui s’occupera ensuite de le transmettre aux pays concernés.

Si certains sites se sont mis à la page comme Mastercard, Nikon, Seat ou encore Forever 21, les géants – tiens donc – comme Amazon, Twitter, Google ou encore Facebook n’ont pas donné suite. L’association a formulé à leur encontre 36 plaintes dans le but de fixer leurs bannières à cookies. Évidemment, le manque à gagner de ces firmes est massif compte tenu de leur dépendance aux publicités. 

À l’avenir, l’association a pour objectif d’analyser, d’examiner et d’avertir sur plus de 10 000 sites web en un an. « Nous attendons les premières décisions d’ici la fin de l’année. D’ici là, nous devrions voir la plupart des autres sites web passer à de simples options +oui+ ou +non+. » a exprimé le cofondateur Max Schrems. 

    #cookies de merde #rgpd #vol de la #vie_privée #vol par #Amazon #Twitter,#Google #Facebook

  • Comment les éditeurs se moquent de la #CNIL | Pixel de #tracking
    https://www.pixeldetracking.com/fr/comment-les-editeurs-se-moquent-de-la-cnil

    En application de la directive #ePrivacy, les internautes doivent être informés et donner leur consentement préalablement au dépôt et à la lecture des #traceurs « non essentiels ». Depuis l’entrée en vigueur du #RGPD il y a déjà 3 ans, les exigences en matière de validité du consentement ont été renforcées.

    Le 1er octobre 2020, la CNIL a publié des lignes directrices modificatives et sa recommandation sur les cookies et autres traceurs. Elle a également accordé 6 mois aux éditeurs pour se conformer aux règles.

    Comme nous avions pu le voir sur ce blog, les anciennes lignes directrices, pourtant laxistes, n’étaient déjà pas respectées. Voici quelques articles pour illustrer l’impunité :
    « Le recueil du consentement sur internet : un mensonge généralisé ».
    « Le Figaro, emblème du tracking publicitaire invasif des sites médias français ».
    « La grande braderie de vos données personnelles sur Le Bon Coin ».

    Qu’en est-il des nouvelles lignes directrices ?

  • Cabin. Privacy-first, carbon-aware web analytics.

    No #cookies, no consent banners, no ad networks,
    100% #GDPR & CCPA compliant, low footprint #web_analytics.

    https://withcabin.com
    https://withcabin.com/about

    Bon, pour trouver les tarifs, j’ai dû passer par un moteur de recherche !
    https://withcabin.com/pricing

    Quelqu’un·e a déjà testé ? J’ai l’impression qu’à part le thé, ça fait tout... c’est louche, nan ? :)

    #RGPD #statistiques #vie_privée #outils

  • Les GAFAM échappent au RGPD, la CNIL complice
    https://www.laquadrature.net/2021/05/25/les-gafam-echappent-au-rgpd-avec-la-complicite-de-la-cnil

    Le 25 mai 2018, le RGPD entrait en application. Nous célébrions l’espoir qu’il renverse le modèle économique des GAFAM, qui font de nos #Données_personnelles une vulgaire monnaie d’échange. Porté·es par notre enthousiasme, nous déposions…

    • Conclusion

      Sur nos cinq plaintes, deux n’ont jamais été examinées (Google, Amazon), deux autres semblent faire l’objet de manœuvres dilatoires absurdes (Apple, Facebook) et la cinquième n’a pas davantage abouti sur quoi que ce soit de tangible en trois années (Linkedin).

      On l’a souligné plusieurs fois : si les GAFAM échappent aussi facilement au RGPD, ce n’est pas en raison de la complexité de nos affaires ou d’un manque de moyens matériels. Le budget annuel de la CNIL est de 18 millions d’euros et elle emploie 215 personnes. Au fil des ans et sur d’autres sujets, nous avons souvent échangé avec les personnes employées par la CNIL : leur maîtrise du droit des données personnelles est sincère. Elles partagent certainement nos frustrations dans une bonne mesure et n’auraient aucune difficulté à redresser la situation si on le leur demandait. Le RGPD leur donne toutes les cartes et, s’il en était besoin, nous leur avons explicitement pointé quelles cartes jouer.

      Si les causes de cet échec ne sont pas matérielles, elle ne peuvent être que politiques. La défaillance du RGPD vis à vis des GAFAM est si totale et flagrante qu’il est difficile d’imaginer qu’elle ne soit pas volontaire ou, tout le moins, sciemment permise. Les motivations d’une telle complicité sont hélas déjà bien identifiées : les GAFAM sont les fidèles partenaires des états pour maintenir l’ordre sur Internet. Plus que jamais, l’État français, dans sa dérive autoritaire, a tout intérêt à les maintenir au-dessus des lois pour leur laisser gérer la censure et la surveillance de masse.

      #RGPD #CNIL #complice #contrôle_citoyen #jouer_la_montre

  • « Nos données personnelles valent de l’or ! » - Cash Investigation
    https://www.francetvinfo.fr/replay-magazine/france-2/cash-investigation/cash-investigation-du-jeudi-20-mai-2021_4605401.html

    Pour ce nouveau numéro, l’enquête a commencé par l’appel téléphonique d’un inconnu qui a alerté la journaliste Elise Lucet : il a trouvé son numéro de téléphone mobile en vente pour soixante centimes sur un site internet américain ! Avoir son numéro de téléphone vendu sans son autorisation sur une base de données, c’est illégal. Pourtant, cela touche des centaines de millions de personnes à travers le monde. Des entreprises appelées des « #data_brokers » vendent les données de consommateurs qui deviendront les destinataires de publicités ciblées. Un marché colossal estimé à 400 milliards d’euros en Europe !

    « Cash » révèle comment un téléphone espionne son utilisateur, comment des données très personnelles sur sa religion, sa grossesse ou son moral sont envoyées sans son consentement à des partenaires commerciaux. Par exemple, lors d’une connexion sur le site de santé #Doctissimo, des informations sont transmises à l’insu de l’utilisateur et elles vont ensuite être envoyées à des entreprises appelées des « data brokers » qui vendent ces données de consommateurs pour des publicités ciblées. Un marché colossal estimé à 400 milliards d’euros en Europe !

    Quarante millions de Français seraient pistés

    Très difficile d’échapper à ces nouveaux courtiers de données, même en éteignant le téléphone mobile ou l’ordinateur… La journaliste Linda Bendali a découvert que ces « data brokers » ont trouvé un autre moyen pour récupérer ce nouvel or noir : la carte Vitale ! Dans la moitié des pharmacies françaises, les informations sur les médicaments achetés par les consommateurs sont transmises à la société IQVIA, le plus gros « data broker » de données médicales au monde. Sans le savoir, quarante millions de Français seraient ainsi pistés.

    Rien n’échappe aux marchands de données, même les pensées de tout un chacun qu’ils veulent désormais prédire. Cela s’appelle le « profilage prédictif ». En quelques années, la montre de sport est par exemple devenue un accessoire indispensable pour ceux qui veulent se maintenir en forme. Mais ces bracelets connectés qui enregistrent la fréquence cardiaque, les calories dépensées, la qualité du sommeil... pourraient aussi permettre de cerner la personnalité de son propriétaire !

    combien de clients vont aller voir leur pharmacien pour demander à ce que leurs données soient pas transmises à IQVIA ?

    ping @touti

    #données #données_de_santé #carte_vitale #pharmacies #hôpital #Cnil #IQVIA #Health_Data_Center #RGPD

  • En ce moment, c’est la multiplication des écrans sur le thème « Soit tu nous refiles tes données personnelles, soit tu n’accèdes pas à notre site ». Comme en plus j’ai activé un bloquer de pubs, c’est la fête du slip en permanence.

    Évidemment, c’est la multiplication des design maléfiques, où le lien « Ne pas accepter » est planqué (désormais en petit en haut à droite du popup), et le lien « Oui, fliquez-moi » est un beau gros bouton bien visible. Ou le classique choix entre « Oui pour tout, z’y va » et « Non, je ne veux pas, mais je vais devoir passer les 5 prochaines minutes de ma vie dans un formulaire à la con pour régler le truc. »

    Mais le pompon, ces derniers jours, c’est :

    – {{Alternatives économiques}}, qui veut bien que je lise son article, mais à condition que je file mon adresse email.

    – {{Jeuxvideo.com}}, soit j’accepte les cookies intrusifs, soit je paie 2€ :

    Je me demande si toutes ces conneries sont vaguement légales…

  • Ça sent pas bon au pays des GAFAM. - Liens en vrac de sebsauvage
    https://sebsauvage.net/links/?HMRhoQ

    Je pense qu’en réalité les #GAFAM sont globalement assez mal. Surtout Google et Facebook qui sont en train de réaliser qu’ils ne contrôlent pas tant que ça leur matière première. La fête est finie, mais ils ont du mal à quitter la soirée. Ils se sont bien rincés, mais il ne reste qu’eux pour payer l’addition, et ils sentent qu’elle va être salée. Bonjour la gueule de bois. Sans compter que tous les évènements récents (auditions de Facebook aux USA, #RGPD en Europe...) vont directement à l’encontre de leur #business-model.
    Microsoft ne se sent pas très bien, et hésite entre continuer à vendre du logiciel, faire du cloud, ou faire la même chose que Google, [...]

    Apple vend encore un peu de matériel, toujours à des prix absurdement élevés, et essaie désespérément de se cramponner à sa position en fermant son matériel (visserie spécifique, connecteurs propriétaires, éléments collés non réparables, bootloaders verrouillés...) et dépense les sommes folles de son trésor de guerre en R&D démesurée (800 ingénieurs rien que pour l’appareil photo de l’iPhone) [...]

    Amazon s’en fout, il vend tout et n’importe quoi. [...]
    Et personne n’a jamais été viré pour avoir choisi de mettre toute son infra logicielle chez AWS (le « cloud » d’Amazon) : Bezos peut dormir tranquille. Pour le moment.

    Bref, ça sent pas bon au pays des GAFAM, et je n’ai sûrement pas envie de mettre mes données personnelles chez eux, parce que ça va être très moche quand ça va se casser la gueule.
    J’ai bien dit « quand » et pas « si ». [...]
    Merci bien, je préfère aller nourrir et cajoler mes #C.H.A.T.O.N.S.
    (ah oui, si vous n’avez pas capté la référence « CHATONS », je vous aide : https://chatons.org)

    Voir aussi : https://seenthis.net/messages/894551

  • À Toulouse, la justice humilie des militants handicapés | Lola Cros
    https://www.streetpress.com/sujet/1616583458-toulouse-la-justice-humilie-des-militants-handicapes

    Ce 23 mars, à Toulouse, 16 handi militants ont été jugés dans des conditions « d’indécence, d’indignité, d’inhumanité », selon leurs avocats. Ils sont poursuivis pour entrave à la circulation ferroviaire et aérienne lors d’une action en 2018. Source : StreetPress

  • France 2 — Infrarouge — L’ordre à tout prix
    https://www.france.tv/france-2/infrarouge

    Le #maintien_de_l’ordre est une spécialité bien française. Ce que les citoyens n’arrivent pas à obtenir de l’État dans l’hémicycle, à eux de le gagner dans la rue. Quand la France gronde, la stratégie et la maîtrise de l’#ordre_public deviennent un enjeu politique crucial. Entre la protection des institutions et la garantie du droit de manifester : le juste équilibre est subtil.

    Décembre 2018. Au début du mouvement des Gilets jaunes, les principes du maintien de l’ordre « à la française » volent en éclat. Le saccage de l’Arc de Triomphe, les centaines de blessés parmi les manifestants et les forces de l’ordre… la #violence inouïe de ces images et leur puissance symbolique marquent profondément les esprits. La République s’est sentie menacée. Le gouvernement entérine une nouvelle ligne, plus dure, qui va ébranler les fondamentaux de l’ordre public. En retour, la défiance d’une partie de la population envers l’ordre et le pouvoir, déjà bien installée dans la rue depuis une dizaine d’années, se renforce au point que certains craignent de voir le droit de manifester remis en cause. Comment en est on arrivé-là ? Pour comprendre, le film prend le parti d’interroger les détenteurs de la force dite « légitime » et de les confronter aux images de ces affrontements.

    Ils sont #CRS, #gendarmes_mobiles, membre des #BRAV (Brigades de Répression de l’Action Violente) : en première ligne lors des manifestations, ils nous racontent la réalité de leur métier, la nécessité de la formation, l’évolution de leur rapport aux citoyens, leur perception des choix politiques… En regard, la hiérarchie, Laurent Nuñez, secrétaire d’État auprès du ministre de l’Intérieur, les préfets de police, Michel Delpuech et Didier Lallement, expliquent, justifient leurs choix tactiques. Et politiques.

    Si la multiplication des images amplifie la perception de la violence policière comme celle des manifestants, la situation est-elle réellement inédite ? La rue est-elle plus violente qu’hier ? Le maintien de l’ordre légitime-t-il certaines violences ? La protection des biens est-elle en concurrence avec celle des libertés fondamentales ? L’enjeu est de taille : comment concilier exigences politiques et gestion des nouvelles formes de contestation, tout en garantissant la possibilité de s’exprimer, socle de notre société démocratique ? Comment ne pas se laisser enfermer dans une logique de camp contre camp ? Alors que le climat social promet de nouvelles secousses à l’issue d’une crise sanitaire devenue économique et sociale, ce documentaire nous dévoile les dessous d’un art, celui qui consiste à protéger et contrôler les foules en colère.

    #formation #rgpd

    • https://www.lemonde.fr/culture/article/2021/03/09/l-ordre-a-tout-prix-sur-france-2-comment-l-interieur-a-change-de-strategie-f

      Samedi 1er décembre 2018, acte III des manifestations des « gilets jaunes ». Autour de l’Arc de triomphe, à Paris, des forces de l’ordre débordées essuient les assauts de manifestants déterminés.

      Les pavés volent, un policier manque d’être lynché. Les images tournent en boucle sur les chaînes d’information en continu et décident le pouvoir politique à modifier de fond en comble, en moins d’une semaine, une tradition solidement ancrée du maintien de l’ordre à la française, qui avait fait ses preuves depuis plus d’un demi-siècle.

      Au triptyque « emploi de forces spécialisées-gradation de la riposte-maintien à distance » est désormais opposé l’ordre d’aller systématiquement « au contact » pour interpeller les manifestants les plus remuants, une tâche confiée à des effectifs novices en matière de maintien de l’ordre, comme les BAC (brigades anticriminalité). Promoteur de cette nouvelle stratégie, le ministre de l’intérieur de l’époque, Christophe Castaner, s’autocongratule sur les ondes de France Inter : « Entre le 1er et le 8 décembre, déclare-t-il, j’ai décidé de changer en profondeur notre doctrine d’emploi. »

  • « L’Etat de droit mute doucement vers une forme ultra-sécuritaire » , Asma Mhalla, le 06 novembre 2018
    https://www.lemonde.fr/idees/article/2018/11/06/l-etat-de-droit-mute-doucement-vers-une-forme-ultra-securitaire_5379355_3232

    Spécialiste des enjeux de l’économie numérique, Asma Mhalla montre, dans une tribune au « Monde », le glissement progressif d’un Etat de droit à un Etat de surveillance attentatoire aux droits des citoyens.

    (Quelqu’un.e traverse le wall, s’il vous plait ?)

    • Le Conseil d’Etat a fini par valider, le 18 octobre, le décret permettant la création du fichier TES (Titres électroniques sécurisés) qui rassemble les données personnelles et biométriques de la quasi-totalité de la population française. Et ce, bien que les risques d’une telle base de données qui généralise la reconnaissance faciale et la surveillance de masse perdurent.

      La même semaine, une étude produite conjointement par Cliqz et Ghostery, deux sociétés produisant des outils de protection des données personnelles, propose une analyse de premiers résultats – à interpréter avec beaucoup de précaution du reste – du règlement général sur la protection des données (#RGPD) appliqué depuis le 25 mai. Face à la promesse initiale de protéger les données personnelles des citoyens européens, l’effet semblerait être particulièrement aberrant puisqu’il aurait au contraire renforcé la position hégémonique de #Google sur ses marchés.

      Au nom de quel principe l’Etat s’autorise-t-il ce qu’il interdit aux entreprises privées ? Ne serions-nous pas en train de basculer d’un Etat de droit vers un Etat de sécurité avec la bénédiction paradoxale du droit lui-même et sans que cela n’émeuve grand monde ? Ce signal a priori faible marque pourtant une étape symbolique forte quant à notre devenir démocratique.

      Concept fondateur du droit public moderne, la fiction juridique qu’est l’Etat de droit traduit une certaine vision du pouvoir qui apparaît comme inhérente à la conception libérale de l’organisation politique : donnant à voir un pouvoir limité parce que régi par des règles, il implique que les gouvernants ne soient pas placés au-dessus des lois, mais exercent une fonction encadrée par le droit. La notion peut aussi se définir par opposition à l’Etat policier, caractérisé par le pouvoir discrétionnaire de l’administration.

      Or, à y regarder de plus près, une répartition inédite du pouvoir prend actuellement forme cristallisée autour de la capacité à collecter et exploiter les métadonnées. Matérialisée par l’apparition de deux pôles, l’un économique, l’autre sécuritaire, articulés autour d’un projet commun tacite de surveillance. C’est autour de ce phénomène que les luttes de pouvoir se concentrent désormais et que la relation des surveillants, Etat et plates-formes géantes, se dessine face aux surveillés.

      Les recours compliqués

      En dépit de leurs postures officielles en apparence divergentes, ces deux pôles d’un nouveau genre se positionnent sur un même continuum porté par une vision du monde cohérente où souveraineté algorithmique et souveraineté territoriale se compléteraient, où le « capitalisme de surveillance » irriguerait à la fois les intérêts publics et privés. Les termes initiaux du contrat social « liberté contre sécurité » glissent sans grande résistance vers la formulation « liberté contre sécurité contre vie privée » articulée autour d’un régime de vérité contemporain qui pose comme postulat que plus nous possédons de données, plus nous nous rapprochons avec précision de la « vérité ».

      Ce transfert d’une partie de la souveraineté de l’Etat le pousse à renforcer ses prérogatives en termes de souveraineté territoriale pour mieux s’auto-légitimer au regard du peuple. Par nécessité de survie, l’Etat de droit mute doucement vers une forme ultra-sécuritaire.

      Dès lors, à ce nouveau régime de vérité est assorti un discours dominant formalisé autour d’une rhétorique du repli, de la peur, de la menace, de la lutte antiterroriste. Légitimant ainsi la collecte massive de données et les dispositifs de surveillance généralisée qu’ils soient en réalité à des fins marchandes ou sécuritaires. Les intrications entre plates-formes privées et services d’intelligence, services d’ordre et armées nationales sont de notoriété publique, forment une complexe toile d’acteurs qui enregistre le moindre frémissement de nos existences numériques et physiques.

      Incertitude

      Le péril démocratique est aggravé par les systèmes de prédiction algorithmique. Ainsi, nul n’échappera à la surveillance et son corollaire la prédictibilité, ultime stratégie de neutralisation de l’incertitude. Car dans ce monde en réseau, c’est bien l’incertitude qui devient la hantise du pouvoir. La police et la justice interviennent désormais de façon prédictive et préventive avant le crime même. Pour être puni, il n’est plus nécessaire de commettre un crime mais de risquer de le commettre. Par cet impératif sécuritaire, nous risquons de faire face à une justice pénale sans crime qui nous considérerait tous coupables parce que tous potentiellement dangereux.

      Or l’Etat, par l’entremise du #Conseil_d’Etat, prend la responsabilité de préfigurer le développement et l’utilisation de ces technologies de surveillance émergentes. A titre d’exemple, l’article 4 du décret autorisant la création du fichier TES prévoit que son accès ne sera guère limité à la lutte contre la falsification et la contrefaçon mais également ouvert aux agents « chargés des missions de prévention et de répression des atteintes aux intérêts fondamentaux de la Nation et des actes de terrorisme » . Ce champ d’application très flou laisse craindre toutes sortes de dérives dans les usages policiers à venir de ce fichier. Abus qui seront démultipliés par le croisement du « mégafichier » avec nos données personnelles.

      Les recours pourront se révéler compliqués pour les citoyens. Sur le modèle des bureaucraties classiques, les algorithmes savent légitimer leur opacité pour conserver leur fonctionnalité. Face à ce qui apparaît comme l’évidence sécuritaire certains applaudissent, d’autres s’engourdissent. Reste que nous ne réussissons pas à nous saisir collectivement de ces occasions offertes pour débattre de la condition de nos libertés publiques et individuelles. A l’aune de ces évolutions récentes, les mots du philosophe Michaël Foessel formulés dès 2010 résonnent avec une acuité toute particulière : « la sécurité est le préalable de la démocratie, pas son horizon indépassable. »

      #État #capitalisme_de_plateforme #biométrie #reconnaissance_faciale #données #métadonnées #surveillance #sécuritaire #justice_pénale_sans_crime

  • Le New York Times a identifié des envahisseurs du Capitole, mais ce n’est pas une bonne nouvelle
    https://cyberguerre.numerama.com/10215-le-new-york-times-a-identifie-des-envahisseurs-du-capito

    Le New York Times a récupéré une base de données issue d’applications, qui s’échange dans les milieux publicitaires et financiers. En quelques clics, le journal a pu identifier plus d’une centaine de supporters de Trump qui ont pénétré le Capitole. Grâce à une base de données envoyée par une ou un anonyme, le New York Times a pu identifier des centaines d’individus qui ont participé à l’assaut du Capitole, le 6 janvier 2021. Une bonne nouvelle ? Pas vraiment, au contraire même : l’article, publié le 5 (...)

    #ICE #Facebook #smartphone #GPS #anonymat #géolocalisation #migration #[fr]Règlement_Général_sur_la_Protection_des_Données_(RGPD)[en]General_Data_Protection_Regulation_(GDPR)[nl]General_Data_Protection_Regulation_(GDPR) #consentement #données #surveillance (...)

    ##[fr]Règlement_Général_sur_la_Protection_des_Données__RGPD_[en]General_Data_Protection_Regulation__GDPR_[nl]General_Data_Protection_Regulation__GDPR_ ##DataBrokers
    //c0.lestechnophiles.com/cyberguerre.numerama.com/wp-content/uploads/sites/2/2020/05/Smartphone-1.jpg

    • Concrètement, la base agrège plusieurs jeux de données, qu’il est possible de croiser facilement, notamment grâce à une information présente de façon transversale : le « Mobile Ad ID », ou identifiant publicitaire mobile. Cet indicateur, régulièrement pointé du doigt, permet, à la manière d’un super cookie publicitaire, de tracer le comportement d’un consommateur à travers plusieurs applications. Chaque smartphone se voit attribuer un unique ID. En conséquence, si une entreprise publicitaire agrège plusieurs bases, elle pourra les relier à l’aide de cet identifiant. Imaginons que l’app A ne collecte que les coordonnées GPS et le Mobile Ad ID, et donc prétend respecter « l’anonymat » des utilisateurs, mais que l’app B collecte de son côté l’ID et les noms des utilisateurs, l’attribution des coordonnées GPS à une personne physique deviendra tout de même facile. Seule limite : il faut l’individu visé utilise l’app A et l’app B. Mais si une app C associe l’identifiant à un numéro de téléphone ou une adresse, il suffit de consulter un annuaire pour retrouver le nom de la personne. Justement, plusieurs entreprises proposent des outils pour effectuer facilement ce croisement des bases de données.

  • Facebook #Messenger : ce graphique montre à quel point l’app espionne votre #vie_privée
    https://www.phonandroid.com/facebook-messenger-ce-graphique-montre-a-quel-point-lapp-espionne-votre

    Apple est parvenu à mettre #Facebook et #WhatsApp face à leurs responsabilités avec cette obligation d’afficher les droits d’accès des applications sur l’App Store. Soudainement, les utilisateurs ont pu constater que WhatsApp et Messenger récupèrent vos #contacts, vos #données commerciales lorsque vous utilisez les services Facebook, votre #adresse_IP et votre #localisation, ou encore vos #enregistrements vocaux.

    Dans la foulée, WhatsApp a essayé tant bien que mal de justifier la collecte d’une si grande quantité de données : “Nous devons collecter certaines informations pour fournir un service de communication mondial fiable […] Par principe, nous prenons des mesures pour restreindre l’accès à ces informations”, assure l’entreprise.


    forbes whatsapp apple
    Crédits : Forbes

    #espionnage #RGPD

  • Vous savez, ces insupportables bandeaux cookies trompeurs, mensongers et agaçants que des tas de sites Web affichent ? Microsoft a une excellente solution à ce problème : pas de cookies, donc pas de bandeau cookie.

    https://github.blog/2020-12-17-no-cookie-for-you

    Il faut maintenant espérer (mais ne rêvons pas) que les médias français, tous grands capteurs de données personnelles sur leurs sites Web, suivent cette multinationale étatsunienne sur le chemin de la vertu.

    #informatique_et_libertés #CNIL #GitHub #cookies #RGPD