Mexique: résolutions adoptées lors de la Conférence internationale

Les 2 et 3 novembre dernier s'est tenue à Mexico la 33° conférence internationale des commissaires à la protection des données et de la vie privée (billet). Cette conférence, comme le mentionne la Commission nationale de l'informatique et des libertés (CNIL) 

"a été l'occasion pour les autorités d'afficher leur volonté d'accroître et d'améliorer leur coopération afin de répondre plus efficacement aux défis de la mondialisation en matière de protection des données."

(Source: CNIL, Actualité, 28 novembre 2011)

Lors de cette conférence des résolutions ont été adoptées: une sur la protection des données personnels dans le cadre de catastrophes naturelles, une autre sur l'utilisation d'un identifiant unique lors du déploiement du protocole IPv6 et, une dernière sur la coordination de l’application des dispositions en matière de protection de la vie privée à l’échelle internationale. 

Dans cette dernière résolution, on peut lire que:

"Les participants à la 33e Conférence internationale des commissaires à la protection des données et de la vie privée prennent donc la résolution d'encourager les efforts visant à permettre une coordination plus efficaces des enquêtes transfrontières et l'application des lois dans les cas appropriés et, plus particulièrement:
1. D'exhorter les autorités d'application des lois en matières de protection de la vie privée à se joindre, à utiliser et à améliorer les dispositions relatives à la coopération déjà en place et, en particulier:
- à partager leurs expériences sur l'application des lois à travers ces mécanismes et méthodes déjà existantes;
- à participer aux réseaux de coopération transfrontière pour l'application de la loi fonctionnant à l'échelon régional;
- à utiliser les outils de coopération transfrontière relatifs à l'application de la loi déjà mis au point et à améliorer et compléter ceux-ci au fur et à mesure.
2. D'encourager les autorités d'application des lois en matière de protection de la vie privée à évaluer leurs pouvoirs juridiques pour partager de l'information et de collaborer avec leurs homologues en fonction des bonnes pratiques, comme la Recommandation de l'OCDE relative à la coopération transfrontière dans l'application des législations protégeant la vie privée et, si nécessaire, de discuter avec leur gouvernement des propositions visant à modifier les lois en vigueur afin de faciliter une plus grande coopération.
3. De mettre sur pied un groupe de travail en conférence temporaire qui élaborera un cadre et des processus de communication de l'information au sujet d'enquêtes ou de mesures d'application de la loi possibles ou existantes et qui facilitera la coordination possible. Nous encourageons au groupe de travail à travailler en collaboration avec d'autres réseaux d'autorités d'application des lois en matière de protection de la vie privée qui sont actives à la coopération transfrontière relative à l'application de la loi et on lui prie de présenter un rapport, à la 34e Conférence, sur les mesures concrètes qui ont été prises au cours de l'année ainsi que sur les éléments exigeant davantage de travail et dont il faut discuter.
4. De chercher à s'assurer que les personnes intéressées par les questions de l'application et de la coordination relatives à la protection de la vie privée ont au moins une occasion par année de se réunir. Cet objectif peut être atteinte grâce à des réunions organisées par les membres de la Conférence ou dans le cadre des activités tenues par des autorités membres ou d'autres réseaux."

(Source: Résolution 2011/GA/RES/003)

• Résolution sur la coordination de l'application des dispositions en matière de protection de la vie privée à l'échelle internationale, Résolution adoptée lors de la 33e Conférence internationale des commissaires à la protection des données et de la vie privée, 2011/GA/RES/003, 1er novembre 2001.
• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Vers une coopération internationale renforcée des autorités de protection des données", Actualité, 28 novembre 2011.

Belgique: guide sur la recherche biomédicale

La Commission belge de la protection de la vie privée vient de publier un guide visant à savoir comment appliquer la loi vie privée dans la recherche biomédicale ? 

Pour y répondre, le guide commence par préciser quelques notions, notamment que sont des données à caractère personnel et en particulier des données à caractère personnel relatives à la santé, qu'est-ce qu'un traitement ou encore un traitement ultérieur, qui est le responsable du traitement que la recherche soit nationale ou internationale. 

• donnée à caractère personnel = "toute donnée apportant des informations sur une personne vivante" (p. 6)
• donnée à caractère personnel relative à la santé = "toutes les données à caractère personnel qui, par nature ou en raison de leur utilisation, divulguent des informations sur l'état de santé physique ou psychologique antérieur, actuel ou futur d'une personne" (p. 6)
• traitement = "ensemble des actes réalisés avec des données à caractère personne en vue de la réalisation d'une finalité déterminée qui n'est pas purement personnelle" (p. 7)
• responsable du traitement = "personne ou instance qui contrôle le projet de recherche et prend les décisions" (p. 7)

Par la suite, il rappelle ce qu'il convient de faire avant que la recherche ne débute (p. 9-12), notamment établir une convention quant à la collecte, à l'enregistrement et à l'analyse de données à caractère personnel, informer les personnes concernées et obtenir leur consentement, obtenir une autorisation pour l'utilisation de données à caractère personnel relatives à la santé et enfin, faire une déclaration à la Commission de la protection de la vie privé. 

Et, le guide rappelle les droits des personnes concernées lors de la recherche (p. 13), à savoir droit de consultation, de rectification et de ne plus collaborer. Il indique également les obligations des collaborateurs de la recherche pendant celle-ci (p. 14), obligations portant sur la sécurité des données et sur le fait de travailler autant que possible avec des données anonymes ou codées (cad des "données à caractère personnel qui ne peuvent être reliées à une personne identifiée ou identifiable qu'au moyen d'un code" p. 14). 

• COMMISSION DE PROTECTION DE LA VIE PRIVÉE, Comment appliquer la loi vie privée dans la recherche biomédicale ?, Bruxelles, Commission de la protection de la vie privée, 2011. 
• COMMISSION DE PROTECTION DE LA VIE PRIVÉE, "Recherche: les règles à connaître", Nouveaux - Pleins feux sur, Novembre 2011. 

Il est à noter que ce guide s'accompagne de deux autres, un sur la recherche historique, un autre sur la recherche sociologique et statistiques.

Nouvelle-Zélande: rapport annuel 2010-2011

Le Privacy Commissioner de Nouvelle-Zélande vient de publier son rapport annuel 2010-2011 dans lequel il met l'accent sur les points suivants:

Equipping the Privacy Commissioner for the 21st century
We worked with the Law Commission during the year on its review of the Privacy Act. The Commission's package of recommendations will help to power up privacy law for the 21st century.
In particular, the Law Commission has recognised that we need some additional legal tools to be effective, particularly in the digital age. There are a growing number of issues that cannot be properly addressed through a complaints system alone. People cannot complain if they do not realise what is happening with their information - and, increasingly, government and business practices fly below people's radar. Also, a complaints system can only be driven by problems after they occur. It is becoming more and more important to find out what is happening before things go wrong.
So, for example, the Law Commission has suggested we should be able to order agencies to comply with the law and to release information to requesters, and that we should be able to audit or to order agencies to self-audit their systems. We think these are tools that would streamline how we can deal with the issues that are of most importance for New Zealanders' privacy. Mandatory notification of privacy breaches would help people to protect themselves when things go wrong, as well as bringing careless companies to heel. And a statutory "do not call" scheme would give people greater choices over whether their information is used for marketing.
We look forward to seeing the Government's response in early 2012 to the Law Commission's recommendations.
Another year, another set of technology challenges
As usual, we have kept a close eye on developments in the field of information and communications technology ("ICT") during the year.
We released a survey in May on how agencies make international disclosures and use offshore ICT: http://privacy.org.nz/assets/Files/Media-Releases/Overseas-ICT-Survey.pdf. Fifty major public and private sector organisations answered the survey, most of whom hold large amounts of personal information. We are using the survey results to work towards guidance on how to manage privacy as part of cloud computing.
We also conducted a survey on social networking, together with our partners in the Asia Pacific Privacy Authorities forum. The results will be released in December.
Security challenges and new privacy questions continue to raise their heads, even for big ICT firms. For example, this year saw Sony repeatedly become the target of hackers. Apple and Google were called before Senate committees in the United States to explain how their products use geolocation features. Facebook and LinkedIn fielded questions from their users (as well as regulators) about unilateral changes to their privacy settings. And web services that require users to use their real name are sparking debate over when it is acceptable for people to transact anonymously or pseudonymously, both online and offline.
The News of the World phone accessing scandal led to serious questions being asked in several jurisdictions about media behaviour - and about people's own awareness of how to secure their private communications. It also raised issues about how to deal with "blagging" (impersonation of others to get information).
Managing identity continues to be a field of significant interest, particularly for government and major businesses. For instance, we have close contact with the New Zealand i-government initiative. The new regulations to combat money laundering also involve the need for businesses to be certain that people are who they say they are. And biometric technologies continue to get more reliable, more ubiquitous, and smarter.
Data collection, data mining and data regulation - getting the balance right
It is a common saying that ‘information is power' but, these days, it is probably even more correct to say that ‘information is money'. Many of the current challenges to privacy arise because of the cash value that personal information has.
This is not to say that making a profit from personal information is necessarily bad. On the contrary, many legitimate businesses (including credit reporters, online service providers and targeted marketing enterprises) play a major part in our economy and in the way our society operates. However, it is increasingly important for all those businesses to get privacy right in everything they do. As the regulator in the area, we have to play a major part in making sure that the benefits of information collection and use are balanced with proper respect for the people behind the information.
We have nearly completed work on possible reforms to the Credit Reporting Privacy Code. We issued a consultation draft in May and held public hearings about the possibility of permitting more comprehensive information to be stored and used on credit reports.
The changes to the Code would include more stringent safeguards such as providing a credit freezing facility and better information to the public. By the time this Annual Report is published, we will have issued the Code amendments.
Parliament has also passed a law (the Courts and Criminal Matters Bill) permitting outstanding court fines to be added to credit reports. This will also add to the variety of information available on credit reports.
Collection of information into large databases was also highlighted this year when New Zealand Post conducted its second Lifestyle Survey, inviting people to complete a detailed questionnaire in exchange for a chance to win a prize. The information that people submitted was added to a database, and mined to produce lists that businesses with particular marketing niches could rent. This is only one of an increasing number of examples of collection and use of "big data" by business and government - this is an area that we will be paying close attention to in the years to come.
Changing how government agencies share information
A major aspect of the Law Commission's review of the Privacy Act was to recommend a new method by which government agencies could share personal information.
Instead of having to pass primary legislation if agencies wish to share information in a way that might breach the privacy principles, the recommendation is that an Order in Council can approve information sharing agreements between government agencies.

The recommendation is finely balanced to try to make sure that conditions for public trust in government and privacy are maintained, as well as making sure that justified information sharing can be done efficiently. It includes major safeguards including full consultation with my Office before an agreement can go to Cabinet, the ability for me to publish reports with my view about an agreement, the ability for agreements to be disallowed, and also for them to be regularly reviewed.

(Source: Privacy Commissioner, Annual Report 2011, p. 13-15)

• THE PRIVACY COMMISSIONER, Annual Report 2011, Wellington, The Privacy Commissioner, 2011.

Facebook et la mémoire (3)

Dans la continuité de billet du 22 octobre, on peut lire un article-entrevue de Max Scherms pour qui "l'important, c'est que Facebook respecte la loi".

• Damien LELOUP, "Max Scherms: "L'important, c'est que Facebook respecte la loi", Le Monde, 23 novembre 2011.

CNIL: rapport d'activité 2010

La Commission nationale de l'informatique et des libertés vient de publier son 31e rapport d'activité qui revient sur quelques temps forts de l'année 2010, à savoir la sensibilisation "[d]es jeunes et [d]es professionnels de l'éducation aux bonnes pratiques sur internet afin de favoriser une instruction "civico-numérique"" (p. 31-35), la "révision du cadre juridique européen" (p. 36-39), les "nouveaux pouvoirs de contrôle de la vidéoprotection" (p. 40-42) et, la création de la Direction des études, de l'innovation et de la prospective (p. 43-45).

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, 31e Rapport d'activité 2010, Paris, Direction de l'information légale et administrative, 2011.
• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Publication du rapport annuel 2010", Actu CNIL, 16 novembre 2011. 

CPVPC: rapport annuel 2010-2011

Le Commissariat à la protection de la vie privée du Canada (CPVPC) vient de publier son rapport annuel 2010-2011 sur l'application de la Loi sur la protection des renseignements personnels (secteur public). 

Ce rapport pose les questions suivantes: 

- l'État pourrait-il se montrer moins avide de renseignements sur les citoyens ? (ou Pour une réduction de la quantité des données) (p. 17-48)

- le gouvernement fédéral utilise-t-il les renseignements personnels à bon escient ? (ou La conservation des données) (p. 49-60)

- comment le gouvernement communique les renseignements personnels ? (ou Trop généreux ?) (p. 61-84)

•  COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, Loi sur la protection des renseignements personnels - Rapport annuel au Parlement 2010-2011, Ottawa, Ministère des Travaux publics et des Services gouvernementaux, 2011. (attention 137 pages)

FTC et la reconnaissance faciale: programme de 8/12

Le pré-programme de la rencontre du 8 décembre prochain de la Federal Trade Commission visant à discuter des enjeux de la reconnaissance faciale en matière de protection de la vie privée (billet) propose quatre panels, à savoir: 

1. Facial Detection & Recognition Technology: How Does It Work ?
2. Facial Detection and Digital Signage: Are those Signs Watching You ?
3. Facial Recognition: What's Possible Now and What Does the Future Hold ?
4. Facial Detection & Recognition: Exploring the Policy Implications

• FEDERAL TRADE COMMISSION, Face Facts - A Forum on Facial Recognition Technology
• FEDERAL TRADE COMMISSION, "FTC To Host Workshop on Facial Recognition Technology", Press Release, September 19, 2011.
• [21-11-2011] FEDERAL TRADE COMMISSION, "FTC Announces Agenda, Panelists for Facial Recognition Workshop", News, November 21, 2011.

FTC et la COPPA

On peut lire sur le site de la Federal Trade Commission (FTC) que la consultation relative à la la Children's Online Privacy Protection Act (COPPA) (billet) est prolongée jusqu'au 23 décembre 2011 et ce, dans les termes suivants:

"The Federal Trade Commission has extended until December 23, 2011, the deadline for the public to submit comments on proposed amendments to the Children’s Online Privacy Protection Rule, which gives parents control over what personal information websites and online services may collect from children under 13. In September, the FTC announced that it was proposing amendments to ensure that the Rule continues to protect children’s privacy as online technologies evolve, with comments due by November 28, 2011. Citing the nature and complexity of the questions and issues raised by the proposed amendments, a number of organizations requested that the Commission extend the comment deadline."

(Source: FTC - 18/11/2011) 

• FEDERAL TRADE COMMISSION, "FTC Extends Deadline for Comments on Proposed Amendments to the Children’s Online Privacy Protection Rule Until December 23", November 18, 2011. 

Québec-France: guides pour les avocats

Au Québec, le Barreau du Québec vient de publier un guide à l'intention des avocats pour les aider dans la gestion et la sécurité des technologies de l'information (TI), étant entendu que leur utilisation "interpelle les avocats dans l'exercice de leur profession à plusieurs égards, mais principalement quant au secret professionnel et à leur devoir de compétence" (Source: Guide - Introduction)

Dès lors, ce guide, en plus de proposer 23 questions pour évaluer l'utilisation des TI, insiste sur la sécurité des informations (réseautique, cellulaire, communication électronique), la protection de l'accès aux données (mot de passe, chiffrement, gestion du départ d'un employé, sécurisation des bureaux, mise au rebut) et sur la gestion des documents électroniques (classement, copie de sauvegarde, métadonnées, gestion des alertes). 

• BARREAU DU QUÉBEC, Guide des TI - Gestion et sécurité des technologies de l'information pour l'avocat et son équipe, 2011.

En France, la Commission nationale de l'informatique et des libertés (CNIL) vient également de publier un guide à l'intention des avocats pour leur rappeler leurs obligations en matière de protection des données à caractère personnel de leurs clients. 

Dans un premier temps, le guide revient sur les principes clés à respecter en ce domaine (finalité, proportionnalité, durée de conservation limitée, sécurité et confidentialité, respect des droits des personnes) et sur les missions de la CNIL (informer, garantir le droit d'accès, recenser les fichiers et réglementer, contrôler, sanctionner). Il insiste également sur les formalités préalables à la mise en oeuvre d'un traitement et sur le rôle du correspondant informatique et libertés (CIL).

Dans un second temps, il propose 8 fiches pratiques (fichiers relatifs aux clients, accès aux dossier professionnel, contrôle de l'activité des membres du cabinet et de l'accès aux locaux, l'utilisation d'Internet, le transfert de données à caractère personnels en dehors de l'Europe, le rôle de l'avocat en cas de contrôle sur place et de procédure de sanction). 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, Guide - Les avocats et la loi Informatique et Libertés, 2011.
• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Un nouveau guide pratique à destination des avocats", Article, 8 novembre 2011.

W3C: documents du "Tracking Protection Working Group"

En septembre dernier, le World Wide Web Consortium mettait en place le W3C Tracking Protection Working Group dans le but de développer des mécanismes permettant aux utilisateurs d'environnements électroniques d'exprimer leurs préférences en matière de suivi (billet). 

Ce groupe de travail vient de publier 

"two first drafts for standards that allow users to express preferences about online tracking: 

- Tracking Preference Expression (DNT), which defines mechanisms for users to express cross-site tracking preferences and for sites to indicate whether they honor these preferences. 

- Tracking Compliance and Scope Specification, which defines the meaning of a "Do Not Track" preference and sets out practices for websites to comply with this preference."

(Source: W3C, News 14/11/2011)

Le W3C invite toute personne à émettre des commentaires sur ces deux documents de travail, ce qu'Adobe, Future of Privacy Forum et Microsoft ont déjà fait (Testimonial). 

À suivre.

• W3C, "W3C Announces First Draft of Standard for Online Privacy", News, November 14, 2011.
• Tracking Preference Expression (DNT), W3C Working Draft, November 14, 2011.
• Tracking Compliance and Scope Specification, W3C Working Draft, November 14, 2011. 

Facebook et la FTC

Le 17 décembre 2009, l'Electronic Privacy Information Center (EPIC) et d'autres associations de protection déposent une plainte contre Facebook auprès de la Federal Trade Commission (FTC):

"This complaint concerns material changes to privacy settings made by Facebook, the largest social network service in the United States, which adversely impact users of the Facebook service" 

(Source: Complaint - In the Matter of Facebook Inc, p. 1) 

Les demandeurs rappellent "the importance of privacy protection" et, insistent sur les éléments suivants: 

• Facebook's Size and Reach Is Unparalleled Among Social Networking Sites
• Facebook Has Previously Changed Its Services in Ways that Harm Users' Privacy
• Changes in Privacy Settings: "Publicly Available Information"
• Changes to Privacy Settings: Information Disclosure to Application Developers
• Facebook Users Oppose the Changes to the Privacy Settings

Ils entendent faire reconnaître que, d'une part, "material changes to privacy practices and misrepresentations of privacy policies constitute consumer harm" et, d'autre part, que "Facebook's revisions to the privacy settings constitute an unfair and deceptive trade practice". (Source: Complaint - In the Matter of Facebook Inc, p. 25 et suiv.) 

Le 10 novembre 2011, on peut lire dans le Wall Street Journal que Facebook et la FTC seraient proches d'un accord relativement à cette plainte.

"[t]he settlement would require Facebook to obtain "express affirmative consent" if Facebook makes "material retroactive changes," and to submit to independent privacy audits for 20 years."

(Source: EPIC, Latest News, 10/11/2011)

• In the Matter of Facebook inc., December 17, 2009
• Julia ANGWIN, Shayndi RAICE, Spencer E. ANTE, "Facebook Retreats on Privacy", Wall Street Journal, November 10, 2011. 
• ELECTRONIC PRIVACY INFORMATION CENTER, "WSJ: Facebook Close to Settlement with FTC over EPIC Complaint", Latest News, November 10, 2011.
• Hayley TSUKAYAMA,"Report: Facebook, FTC close to settlement on privacy",  The Washington Post, November 10, 2011.  
• "Données personnelles : Facebook proche d'un accord avec les autorités", Le Monde, 11 novembre 2011.
• Sara FORDEN, "Facebook may have get consent from users before sharing material posted under previous privacy policy", The Washington Post, November 11, 2011.  
• Hayley TSUKAYAMA, "Privacy by default: a look at Facebook’s settings", The Washington Post, November 11, 2011.

Facebook et la législation européenne

Une eurodéputée - Françoise Castex - a fait parvenir à la Commission européenne une question prioritaire et, "Bruxelles a trois semaines pour se prononcer". (Source: Le Nouvel Observateur)

Voici la question: 

"Facebook conserve sur le long terme les données de ses utilisateurs sans que ces derniers ne puissent donner leur consentement explicite à cette utilisation de leurs données, contrairement à ce que prévoit la directive européenne sur la protection de la vie privée.

La Commission estime-t-elle que Facebooke est en conformité avec la législation européenne ?

Que prévoit la Commission européenne de faire afin de renforcer la protection des utilisateurs des réseaux sociaux et de s'assurer du respect du droit de l'Union européenne dans ce domaine?"

(Source: Le Nouvel Observateur)

À suivre donc. 

• "Facebook: Françoise Castex saisit la Commission européenne", site de Françoise Castex, 10 novembre 2011. 
• Boris MANENTI, "Facebook respecte-t-il la législation européenne ?", Le Nouvel Observateur, 10 novembre 2011.

[Ajout] 

Le 12 décembre 2011, la vice-présidente de la Commission européenne - Viviane Reding - a fait parvenir la réponse suivante: 

"La Commission est consciente des menaces que l'utilisation sans cesse croissante des services en ligne, et notamment des réseaux sociaux, fait peser sur la protection des données. Elle sait aussi que les critères fixés par la directive 95/46/CE en vue du traitement licite des données à caractère personnel ne sont pas toujours respectés.

Dans sa communication de 2010 intitulée «Une approche globale de la protection des données à caractère personnel dans l'Union européenne» [COM(2010)609 final], la Commission a recensé les défis que posent les nouvelles technologies en matière de protection des données à caractère personnel, en particulier dans les environnements en ligne. La Commission a souligné la nécessité de clarifier et de préciser l'application des principes de la protection des données aux nouvelles technologies, afin de garantir aux personnes une protection effective des données à caractère personnel les concernant, quelle que soit la technologie utilisée pour traiter ces données, et que les responsables du traitement des données prennent pleinement conscience des répercussions des nouvelles technologies sur la protection des données.

Dans le contexte de la réforme du cadre juridique, la Commission envisage notamment la possibilité de modifier les dispositions existantes relatives aux sanctions et aux peines afin de responsabiliser davantage les responsables du traitement des données et de faire en sorte qu'ils respectent mieux les règles relatives à la protection des données.

Sans préjudice des prérogatives dont jouit la Commission en tant que gardienne des traités, le contrôle et la mise en œuvre de la législation relative à la protection des données, y compris en ce qui concerne les réseaux sociaux et les autres services en ligne, relèvent de la compétence des autorités nationales, et notamment des autorités nationales de contrôle de la protection des données. La Commission ne dispose d'aucune compétence pour veiller au respect des règles par les responsables du traitement des données, pour enquêter en cas d'infraction, ni pour infliger des sanctions."

(Source: Parlement Européen - Questions parlementaires - 12 décembre 2011)

FTC et les sites pour enfants

La Federal Trade Commission, tout comme avec Playdom (billet) et W3 Innovation LLC (billet), vient de conclure un accord avec le site "www.skidekids.com" pour violation des règles du Children's Online Privacy Protection Act qui interdit la collecte de renseignements personnels d'enfants de moins de 13 ans sans le consentement préalable des parents. Ce site se présente comme étant le "Facebook et le Myspace pour enfants".

• FEDERAL TRADE COMMISSION, "Operator of Social Networking Website for Kids Settles FTC Charges Site Collected Kids’ Personal Information Without Parental Consent", News Release, November 8, 2011.
• "FTC Settles COPPA Violation Charges Against Children’s Social Networking Website", Privacy and Information Security Law Blog, November 9, 2011.
• ELECTRONIC PRIVACY INFORMATION CENTER, "FTC Enforces COPPA Against Website that Collected Children's Personal Information without Parental Consent", Latest News, November 9, 2011. 
• [13-11-2011] David SILVERMAN, "FTC Enters into Consent Decree with Skid-e-Kids for COPPA Violations", Privacy and Security Law Blog, November 9, 2011.

E-réputation

Dans la continuité du billet du 24 août, voir l'article intitulé "Les nettoyeurs du Net" illustrant le travail de ces "fossoyeurs", de ces "maquilleurs" dont la mission est de "faire disparaître de la Toile des informations pouvant nuire à une réputation".

• Léna MAUGER, "Les nettoyeurs du Net", Le Monde - Magazine, 04 novembre 2011.

Facebook et la mémoire (2)

Dans la continuité du billet du 22 octobre, on peut lire dans "Facebook: l'opacité, plus qu'un métier, une vocation" que le lien permettant de demander accès aux documents nous concernant détenus par Facebbok est indisponible ... oups!

• Camille GÉVAUDAN, "Facebook: l'opacité, plus qu'un métier, une vocation", Libération - Écrans, 7 novembre 2011

Facebook et l'Allemagne

Dans "L'Allemagne s'attaque aux excès de Facebook" ou "L'Allemagne fait pression sur Facebook au sujet du traçage" ou encore "L'Allemagne met la pression sur Facebook", les auteurs réfèrent aux préoccupations de l'autorité de protection des données personnelles d'Hambourg (HmbBfDI) contre deux aspects de Facebook: la reconnaissance faciale et la persistance des cookies.

• Frédéric LEMAÎTRE, "L'Allemagne s'attaque aux excès de Facebook", Le Monde, 04 novembre 2011
• Jean ELYAN, "L'Allemagne fait pression sur Facebook au sujet du traçage", Le Monde Informatique, 04 novembre 2011
• Julien L., "L'Allemagne met la pression sur Facebook", Numérama, 04 novembre 2011

Le rapport sur Facebook et les cookies, dont il est question dans ces articles, est disponible, en allemand, sur le site du HmbBfDI: Prüfung der nach Abmeldung eines Facebook - Nutzers verbleibenden Cookies.

CNIL: en route vers les labels

La Commission nationale de l'informatique et des libertés vient de publier deux référentiels: 

• un en matière d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel (Délibération n° 2011-316 du 6/10/2011) insistant sur les exigences à respecter par les auditeurs, sur celles relatives à la préparation / à la réalisation / à la finalisation des audits, sur celles devant être prises en compte par l'organisme audité ou encore sur celles visant l'identification / l'appréciation de la licéité des traitements, la durée de conservation, la sécurité et le respect des droits des personnes; 
• un autre en matière de formations tendant à la protection des personnes à l'égard du traitement des données à caractère personnel (Délibération n° 2011-315 du 6/10/2011) précisant les exigences quant au respect de la loi, à la compétence des formateurs, au contenu principal et complémentaire de la formation.

Dès lors, " tout organisme dont la procédure d’audit de traitements ou la formation correspond au contenu défini par les référentiels adoptés par la CNIL peut dès aujourd’hui déposer une demande de label. Il lui suffit pour cela de compléter le formulaire prévu à cet effet et de communiquer tous les éléments d’information demandés." (Source: CNIL, Article - 03/11/2011)

En mettant en place une telle procédure, " l’objectif est de permettre aux clients, usagers, employés… de bénéficier de prestations qui : 1) sont, en elles-mêmes, plus respectueuses de la protection des données et de la vie privée, 2) permettront une meilleure application de la loi Informatique et Libertés." (Source: CNIL, Article - 03/11/2011)

• Délibération n° 2011-249 du 8 septembre 2011 portant modification de l'article 69 du règlement intérieur de la Commission nationale de l'informatique et des libertés et insérant un chapitre IV bis intitulé "Procédure de labellisation" , JORF n°0220 du 22 septembre 2011
• Délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, JORF n°0255 du 3 novembre 2011
• Délibération n° 2011-316 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, JORF n°0255 du 3 novembre 2011
• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Lancement des premiers labels de la CNIL: procédure d'audit de traitements et de formations", Article, 03 novembre 2011

Mexique: conférence internationale

Les 2 et 3 novembre 2011 se tiendra à Mexico la 33° conférence internationale des commissaires à la protection des données et de la vie privée. Lors de cette conférence, les commissaires "will explore the path towards building the relationships and tools necessary to protect the data of individuals regardless of culture, national borders, or the challenges that come from innovative data uses".

Cette perspective, comme indiqué sur la page d'accueil du site de la conférence, s'explique par le fait que 

"as data proliferates and moves through global networks at a speed once unimaginable, new businesses, technologies and applications use information in innovative ways that in turn create real economic value, however often challenging individual autonomy. In this era of data that knows no geographic boundaries, data protection agencies must work together linked by shared values and a common mission. Technologies such the internet and mobile telephony have global reach, so our aim are norms, standards, and methodologies that have similar coverage."

Seront ainsi abordés les thèmes suivants: 

• Big data - the definer of new economic era 
• Third party accountability agents as extenders of enforcement agencies
• Global research, national laws and interoperability
• Is it possible to be forgotten in a digital networked world ?
• Balancing privacy and recovery in a natural disaster
• Effectively using enforcement actions to gain broader market compliance
• Data protection and defining personal information
• Privacy protection agency expectations for comprehensive programs
• Changing law in European Union and United States
• Security risk in modern world
• Privacy responsibility in cloud computing
• Mobile societies; private lives - the implications for privacy of a mobile future
• Privacy by design in the public sector
• Global standards linked to global value
• Data protection resource allocation in an age of big data and globalization
• Data protection agency oversight of privacy at law enforcement agencies
• The growing role of technologists at data protection authorities
• Protecting children in a networked world
• The mechanismes organizations use to identify and mitigate risk to individuals

Le programme de la conférence est disponible à l'adresse suivante: http://privacyconference2011.org/includes/Draft_Programme_English.pdf.