GPEN: résultats de l'action commune visant les politiques de confidentialité (2014)

[Publié le 13/09/2014 - Mis à jour le 16/09/2014]

En mai dernier, plusieurs autorités de protection des données personnelles ont participé à la deuxième édition du ratissage d'internet visant à examiner les politiques de confidentialité de plusieurs applications mobiles. 

Plusieurs autorités participantes viennent de publier leurs résultats: 

• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "Un ratissage international pour la protection de la vie privée met au jour des préoccupations liées aux applications mobiles", Communiqué, 10 septembre 2014.
• OFFICE OF THE INFORMATION AND PRIVACY COMMISSIONER OF ALBERTA, "Global privacy sweep raises concerns about mobile apps", News Release, September 10, 2014. 
• OFFICE OF THE INFORMATION AND PRIVACY COMMISSIONER FOR BRITISH COLUMBIA, "B.C. app developers need to do a better job of providingprivacy information to users, says Commissioner", News Release, September 10, 2014.
• OFFICE OF THE AUSTRALIAN INFORMATION COMMISSIONER, "Mobile apps must put user privacy first", Media Releases, September 10, 2014. 
• PRIVACY COMMISSIONER OF NEW ZEALAND, "Global privacy sweep raises mobile app concerns", Media Release, September 11, 2014.
• OFFICE OF THE PRIVACY COMMISSIONER FOR PERSONAL DATA FOR HONG-KONG, "Global Results of the Second International GPEN Privacy Sweep", Media Statement, September 12, 2014. 
• [Ajout] COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Internet Sweep day : des applications mobiles peu transparentes sur le traitement de vos données", Actualité, 16 septembre 2014.
  

Rappelons que ce ratissage est une initiative du Global Privacy Enforcement Network (GPEN) qui "a pour objet d’inciter les organisations à se conformer aux lois en matière de protection de la vie privée et à accroître la collaboration entre les autorités chargées de l’application de ces lois. Ce n’était pas une enquête et elle ne visait pas non plus à cerner de façon concluante des problèmes de conformité ou des infractions à la loi. Les préoccupations soulevées lors du ratissage donneront lieu à des mesures de suivi, comme une sensibilisation des organisations, une analyse approfondie des dispositions de protection des renseignements personnels associées aux applications et des mesures d’exécution de la loi" (Source: CPVPC, Communiqué du 10/09/2014).

GPEN: résultats de l'action commune visant les politiques de confidentialité

En mai dernier, plusieurs autorités de protection des renseignements personnels, membres du Global Privacy Enforcement Network (GPEN), ont participé à une action commune visant les politiques de confidentialité (billet). 

Cette opération visait à "apprécier la qualité de l'information délivrée aux personnes quant aux conditions de traitement de leurs données personnelles" (Source: CNIL, 13 août 2013), elle "ne constituait pas une enquête, et [elle] ne visait pas non plus à relever de façon concluante les problèmes liés à la conformité ou les infractions aux lois. Les participants au ratissage cherchaient plutôt à reproduire l'expérience vécue par les consommateurs en naviguant quelques minutes sur chaque site et en vérifiant la conformité du site en fonction d'un ensemble d'indicateurs communs" (CPVPC, Communiqué du 13 août 2013). C'est dans cette optique que 2180 sites Internet ou application mobiles ont fait l'objet de ce ratissage international d'internet ou Internet Sweep day. 

Google: suivi de billets sur la politique de confidentialité et sur les Google Glass

Que se soit pour sa politique de confidentialité ou pour ses Google Glass, Google est dans la mire de plusieurs autorités de protection des renseignements personnels.

Ainsi, par exemple, le 10 juin dernier, la Commission nationale de l'informatique et des libertés (CNIL) mettait l'entreprise en demeure relativement à sa politique de confidentialité (billet) et, le 22 juillet la CNIL a fait le point sur les actions répressives à l'encontre de Google en Europe. 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Point d'étape sur les actions répressives à l'encontre de Google en Europe", Article, 22 juillet 2013.

En ce qui concerne les Google Glass, le 18 juin dernier, les autorités de protection de l'Australie, de la Nouvelle-Zélande, du Mexique, d'Israël, de la Suisse, du Canada (Alberta, Colombie-Britannique, Québec, commissariat fédéral) et le Groupe de l'article 29, ont fait parvenir une lettre commune à l'entreprise (billet). Le 27 juin l'entreprise a répondu dans les termes suivants:

"Je vous remercie de votre récente lettre concernant Google Glass. La protection de la sécurité et de la vie privée de nos utilisateurs figure en tête de liste de nos priorités. Conscients du fait que la nouvelle technologie soulèvera de nouveaux types de questions, nous avons mûrement réfléchi dès le début à la façon de concevoir Google Glass et nous continuons d’examiner Glass dans la perspective du vaste programme de protection de la vie privée de Google. Nous avons notamment à cœur de concevoir Glass en nous souciant du respect de la vie privée et en veillant à ce que Google obtienne un consentement valable des utilisateurs.
Glass n’a pas encore été lancé à grande échelle sur le marché de la consommation et en est encore à ses débuts, mais nous sommes convaincus que l’expérience concrète de cet appareil continuera d’aider à recentrer les discussions au bénéfice des utilisateurs et de la population. C’est pourquoi nous avons lancé le programme Google Glass Explorer à l’intention de nos explorateurs aux États-Unis, qui sont des personnes de divers horizons qui participent aux premiers essais pratiques du produit. Au moment d’élaborer les étapes à venir, nous accordons une grande importance à leurs commentaires.
Vous trouverez ci-après des renseignements sur certaines caractéristiques de Glass qui devraient vous aider à comprendre ce qu’il en est :
- Pour commencer, nous avons mis au point Glass pour permettre aux utilisateurs de déterminer quand et comment utiliser Glass. Par exemple, comme dans le cas des appareils mobiles, l’utilisateur de Glass doit poser des gestes précis pour obtenir le résultat voulu, par exemple faire des recherches dans Internet, trouver un itinéraire, prendre une photo ou enregistrer une vidéo. L’utilisateur dit « Okay, Glass », puis il donne des commandes vocales comme « Google » pour faire des recherches dans Internet ou « Get directions » pour afficher l’itinéraire jusqu’à sa destination. Pour prendre une photo ou enregistrer une vidéo, l’utilisateur appuie sur un bouton sur la monture de Glass ou dit « Take a photo » ou « Record a video ». Le lien ci-après conduit à une vidéo qui donne une bonne idée de certaines fonctions de base de Glass : https://www.youtube.com/watch?v=4EvNxWhskf8.
- L’utilisateur aura accès à son propre site «  MyGlass » (www.google.com/myglass) et à l’application mobile MyGlass, qui lui permettra de suivre de près l’état de ses lunettes, de gérer les paramètres et de décider quels éléments ou applications afficheront l’information sur Glass.
- Notre engagement à donner la maîtrise à l’utilisateur s’étend aux politiques que nous avons élaborées à l’intention des développeurs qui conçoivent les applications pour Glass, également appelées « Glassware ». Par exemple, Google affirme depuis plusieurs années qu’elle n’ajoutera pas de fonctions de reconnaissance faciale à ses produits sans avoir d’abord mis en place de vigoureuses mesures de protection de la vie privée. Dans cette optique, nous n’approuverons pour le moment aucune application Glassware de reconnaissance faciale. En outre, nous interdisons aux développeurs de désactiver ou d’éteindre l’écran lorsque la caméra est en marche. Quelle que soit l’application Glassware, l’affichage doit s’activer au moment de la prise d’une photo et le demeurer pendant l’enregistrement d’une vidéo.
- Nous demandons aux participants à notre programme Explorer de ne pas vendre ni céder leur Glass, mais les utilisateurs qui les céderont un jour à une autre personne pourront en retirer le contenu. Glass affiche les éléments comme les photos, les vidéos et les textos sur une ligne du temps et comporte une fonction « suppression » qui permet de les en retirer. Cette fonction représente une façon d’effacer le contenu de Glass. L’utilisateur pourra également, grâce au site et à l’application MyGlass susmentionnés, désactiver des éléments particuliers (notamment Gmail, Google+ et Now) de Glass et réinitialiser l’appareil, ce qui supprimera toutes ses données. Si un utilisateur perd son Glass, il pourra utiliser ces fonctions sur le site et dans l’application MyGlass.
- Nous avons aussi intégré certains signaux dans le mode d’utilisation de Glass en pensant aux utilisateurs et aux non-utilisateurs. Outre les commandes vocales, l’utilisateur peut toucher Glass afin de faire défiler des éléments ou appuyer sur un bouton situé sur la branche de l’appareil afin de prendre une photo ou d’enregistrer une vidéo — ce qui aura pour effet d’activer l’écran de Glass d’une manière qui sera visible aux autres. Ces signaux permettent à l’utilisateur de respecter l’étiquette dans toute situation donnée et aident les gens à comprendre ce que fait l’utilisateur de Glass. Comme vous le savez, certaines parties peuvent prendre elles-mêmes des mesures pour baliser l’utilisation de la technologie existante — par exemple les téléphones cellulaires, les ordinateurs portatifs ou les caméras — dans certaines circonstances. Nous nous attendons à ce que ces types de règles continuent d’évoluer à mesure que les technologies vestimentaires seront lancées sur le marché en plus grand nombre.
Il est à noter que nous continuons de travailler activement sur Glass. L’information fournie dans le présent document est sujette à changement avant le lancement du produit à grande échelle sur le marché de la consommation. Comme vous le savez, Google a, dans la plupart de vos pays, des spécialistes locaux et régionaux en matière de protection de la vie privée, de droit et de politiques, qui seront vos points de contact à l’avenir."

(Source: Communiqué du Commissariat à la protection de la vie privée du Canada)

• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "Réponse de Google aux autorités chargées de la protection des données au sujet de Google Glass", Communiqué, 25 juillet 2013

Canada, Europe, APEC: lettre commune au sujet des Google Glass

À l'instar du Congrès américain (billet), les autorités de protection de l'Australie, de la Nouvelle-Zélande, du Mexique, d'Israël, de la Suisse, du Canada (Alberta, Colombie-Britannique, Québec, commissariat fédéral) et le Groupe de l'article 29, ont fait parvenir une lettre commune, le 18 juin 2013, à Larry Page, président de Google, afin d'obtenir des explications sur le fonctionnement des lunettes de l'entreprise (Google Glass) et leur impact sur la protection des renseignements personnels. 

Ainsi, on peut lire que ces autorités s'interrogent sur les points suivants: 

"Nous voudrions soulever entre autres les questions suivantes :
- Comment Google Glass se conforme-t-il aux lois sur la protection des données?
- Quelles mesures de protection des données personnelles Google et les développeurs d’application mettent-ils en place?
- Quels renseignements Google recueille-t-elle par l’entremise de Glass et quels renseignements sont transmis à des tiers, y compris des développeurs d’applications?
- Comment Google compte-t-elle utiliser cette information?
- Bien que nous croyions comprendre que Google a choisi de ne pas intégrer la reconnaissance faciale à Glass, comment Google prévoit-elle aborder les enjeux liés à la reconnaissance faciale à l’avenir?
- Google fait-elle quoi que ce soit au sujet des grands enjeux sociétaux et éthiques soulevés par un tel produit, en outre, au sujet de la collecte subreptice d’information au sujet d’autres individus?
- Google a-t-elle déjà entrepris des évaluations des risques à la vie privée dont elle serait disposée à partager les conclusions avec nous?
- Google serait-elle disposée à faire une démonstration de l’appareil à l’intention de nos organisations, et de permettre à toute autorité de protection des données qui en fait la demande de soumettre l’appareil à des tests?
Nous sommes conscients que ces questions portent sur des enjeux qui sont de notre ressort en tant qu’autorité de protection des données, de même que sur des enjeux éthiques plus vastes soulevés par les ordinateurs vêtements. Nous serions très intéressés à en savoir davantage au sujet de l’incidence sur la vie privée de ce nouveau produit, et des mesures que vous envisagez adopter afin de vous assurer que le droit à la vie privée des personnes est respecté partout dans le monde, alors que vous allez de l’avant avec Google Glass. Nous attendons de vos nouvelles à ce sujet et nous espérons avoir l’occasion de prendre part à une rencontre afin de discuter des enjeux de vie privée soulevés par Google Glass."

(Source: Lettre commune du 18 juin 2013)

Pour plus de détails, voir notamment: 

• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "Les autorités chargées de la protection des données exhortent Google à donner suite aux préoccupations concernant Google Glass", Communiqué, 18 juin 2013.
• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Google Glass : une initiative mondiale de coopération lancée par l'autorité Canadienne, le G29 et des autorités membres de l'APEC", Communiqué, 18 juin 2013.

GPEN: action commune visant les politiques de confidentialité

En vertu des lois visant à encadrer la protection des renseignements personnels, une entreprise - ou encore un organisme public - qui entend collecter, utiliser ou communiquer des renseignements personnels doit informer préalablement la personne concernée sur certains points. Ainsi, devront entre autres être précisé quels sont les renseignements qui seront collectés, quel est l'usage qui en sera fait, qui y aura accès, quelles sont les mesures de sécurité prises pour en assurer la confidentialité, comment la personne concernée pourra exercer son droit d'accès ou de rectification et, le cas échéant porter plainte en cas de manquement.

Dans les environnements électroniques, cette information sera le plus souvent contenue dans les politiques de confidentialité qui indiquent les engagements des entreprises - et des organismes publics - quant à la collecte, à l'utilisation ou encore à la sécurité des renseignements personnels. 

Ces politiques sont souvent décriées en ce qui concerne leur accessibilité, leur clarté et leur compréhension. Plusieurs appellent ou envisagent des mécanismes visant à leur simplification ... comme, par exemple, les Commissaires à la protection des données et de la vie privée dans la Résolution de Sydney de 2003, le Groupe de l'article 29 dans l'avis 10/2004, la Commission d'accès à l'information du Québec dans son Rapport quinquennal de 2011, la Federal Trade Commission dans un rapport de mars 2012 ou encore un groupe d'étudiants de l'Université de Yale (Privacy Simplified). 

Dans cette optique de simplification et, "afin de sensibiliser les acteurs d'internet sur l'importance des mentions d'information qui doivent être présentes sur leurs sites web et les internautes sur le respect de leurs droits en ligne" (Source: CNIL, 6 mai 2013), plusieurs autorités de protection des renseignements personnels, membres du Global Privacy Enforcement Network (GPEN), ont participé à une action commune. 

"Une vingtaine d'autorités vont, simultanément, analyser les mentions d'information présentes sur les principaux sites web à l'occasion de l'Internet Sweep Day. [...]

Cette année, les autorités membres ont décidé de mettre en place, le même jour, une opération conjointe, appelée l'Internet Sweep Day. Cette opération est destinée à apprécier, sur une large échelle, l'information des internautes proposée par les principaux sites internet. 

Le 6 mai 2013, la CNIL examine 250 sites internet parmi les plus importants afin de vérifier si les internautes sont correctement informés des points suivants :

- quelles données les concernant sont collectées ?

- pour quoi faire ?

- leurs données sont-elles transmises à des tiers ?

- peuvent-ils s'opposer à cette transmission à des tiers ?

La CNIL regardera également si les mentions d'information sont claires et compréhensibles." 

(Source: CNIL, 6 mai 2013) 

"Au cours de la semaine [du 6 au 12 mai], les autorités participantes désigneront des personnes au sein de leur organisation qui ratisseront Internet dans un effort coordonné pour évaluer les enjeux liés à la protection de la vie privée relativement à un thème commun.

Le thème retenu pour le premier ratissage d’Internet pour la protection de la vie privée est la transparence des pratiques en matière de confidentialité. [...]

Voici certaines des questions dont le Commissariat à la protection de la vie privée du Canada tiendra compte lorsqu’il examinera quelques centaines de sites Web dans le cadre du ratissage d’Internet pour la protection de la vie privée :
- Est-ce qu’une politique de confidentialité figure sur le site?
- Est-il difficile de trouver de l’information sur les pratiques de l’entité en matière de confidentialité?
- Les coordonnées d’une personne-ressource à qui poser des questions et faire part de préoccupations concernant la protection des renseignements personnels sont-elles faciles à trouver?
- Les renseignements concernant les pratiques en matière de confidentialité sont-ils faciles à comprendre?" 

(Source: CPVPC, 6 mai 2013)

Les résultats de cette action commune seront publiés dans quelques mois, à suivre donc ...

Pour aller plus loin, voir notamment le site de certaines autorités de protection: 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Journée d'audit en ligne à la CNIL : les 250 principaux sites informent-ils suffisamment les internautes ?", Actualité, 6 mai 2013.  
• COMMISSARIAT À LA PROTECTION DE LA VIE PRIVÉE DU CANADA, "Des autorités chargées de l'application des lois en matière de protection de la vie privée lancent le tout premier ratissage international d'Internet", Communiqué, 6 mai 2013. 
• OFFICE OF THE AUSTRALIAN INFORMATION COMMISSIONER, "Do your favourite websites pass the privacy test?", Media Release, May 8, 2013. 
• OFFICE OF THE PRIVACY COMMISSIONER FOR PERSONAL DATA OF HONG KONG, "The PCPD Commences to Study Privacy Policy of Local Smartphone Apps", Media Statement, May 7, 2013. 

-----

NB: Dans le cadre d'une recherche sur les mécanismes de production de la confiance dans les environnements électroniques, je me suis intéressée aux politiques de confidentialité et ai publié un Guide pour l'élaboration d'une politique de confidentialité.

Nouvelle-Zélande: la Commission européenne reconnaît le caractère adéquat de la protection des données

Le 19 décembre dernier, la Commission européenne a reconnu que le Privacy Act 1993, soit la loi régissant la protection des données à caractère personnel en Nouvelle-Zélande, offre un niveau de protection adéquat à la Directive 95/46/CE et, ce conformément à l'article 25 de cette directive. Cette reconnaissance fait écho à l'avis 11/2011 du Groupe de l'Article 29. Désormais, "les données à caractère personnel peuvent être transférées des 27 États membres de l'UE [i.e. Union Européenne], et des trois États membres de l'EEE [i.e. Espace économique européen] (Norvège, Liechtenstein et Islande) vers [la Nouvelle-Zélande] sans qu’il soit nécessaire de prévoir d’autres garanties". (Source: IP/12/1403) 

Pour plus de détails, voir notamment: 

• EUROPA, "L'UE approuve les normes en matière de protection des données en vigueur en Nouvelle-Zélande ce qui contribuera à stimuler les échanges avec ce pays", IP/12/1403, Communiqué de presse, 19 décembre 2012. 
• PRIVACY COMMISSIONER OF NEW ZEALAND, "European Union endorses New Zealand Privacy Act", Media Release, December 20, 2012.
• GROUPE DE TRAVAIL "ARTICLE 29" SUR LA PROTECTION DES DONNÉES, Avis 11/2011 relatif au niveau de protection des données à caractère personnel assuré en Nouvelle-Zélande, WP182, 4 avril 2011.  

Nouvelle-Zélande: 2012, année des failles de sécurité

Marie Shroff, la commissaire à la vie privée de la Nouvelle-Zélande qualifie, dans son rapport annuel, 2012 comme étant l'année des failles de sécurité: 

"This year has been marked for us by major public sector data breaches. [...] These losses of data have highlighted the urgent need for far better security and respect by government agencies for New Zealanders' personal information [...].
"The public sector can't afford to be complacent. It's quite clear that agencies holding large amounts of personal information need to place greater value on that information asset. They need to develop strong leadership and a culture of respect for privacy, as well as day to day policies and practices to provide trustworthy stewardship of our personal information at every level of the organisation. There has been far too little focus on the fact that there are real people behind the masses of information that government agencies hold [...].
"Data breach notification isn't currently required by law, but the Law Commission recently recommended that it should be made compulsory where breaches put people at risk. That would bring New Zealand law into line with practice overseas [...]"

(Source: Privacy Commissioner, Media Release, November 28, 2012)

Pour plus de détails: 

• PRIVACY COMMISSIONER OF NEW ZEALAND, 
• "Privacy Commissioner's Annual Report 2012 - The Year of the Data Breach", Media release, November 28, 2012.
• Annual Report 2012, Wellington, The Privacy Commissioner, 2012.

Nouvelle-Zélande: Google, WiFi, vie privée (2)

En octobre dernier, Google a informé le Privacy Commissioner's Office de Nouvelle-Zélande avoir découvert de nouveaux disques contenant des données dites "de contenu" (billet) ... le 19 novembre, Marie Shroff, la commissaire à la vie privée, a reçu la confirmation que ces données ont toutes été détruites par l'entreprise.  

• PRIVACY COMMISSIONER OF NEW ZEALAND, "Google confirms NZ Street View 'payload' data destroyed", Media Statement, November 19, 2012.

Nouvelle-Zélande: Google, WiFi et vie privée

Comme mentionné précédemment, Google a informé l'Office of Autralian Information Commissioner avoir découvert de nouveaux disques contenant des données dites "de contenu" (billet) ... ces disques contiennent des données provenant d'Australie mais aussi de Nouvelle-Zélande. 

Face à cette situation, le Privacy Commissioner's Office a publié le communiqué suivant: 

"Google has now said that it appears it did not destroy all the information collected from unsecured WiFi networks during its Street View filming in New Zealand. In recent checks, it has found one disk that may contain New Zealand and Australian information, along with disks relating to other countries. These had been missed when Google responded to the original privacy investigations.
The Privacy Commissioner's office has told Google to destroy the disk.
Google had earlier informed the Privacy Commissioner that all the ‘payload' information - that is, contents of communications crossing the WiFi networks - had been securely destroyed. The destruction was verified by an independent agency.
"It's very disappointing that this disk could be overlooked," said Assistant Commissioner Katrine Evans. "Collecting the information in the first place was a major breach of privacy, and we made it plain as part of our original investigation that all the information should be destroyed.
"Fortunately, it appears very unlikely that the information on the disk has been accessed or used in any way. Google is willing to destroy the disk. It has also apologised for its mistake. We sincerely hope that this will be an end to what has been a long-running saga.""

(Source: Privacy Commissioner Statement)

• PRIVACY COMMISSIONER OF NEW ZEALAND, "All WiFi payload data to be destroyed, Privacy Commissioner tells Google", Media Statement, October 10, 2012.

Nouvelle-Zélande: Google et la vie privée

Sur le site du Privacy Commissioner de la Nouvelle-Zélande, on peut lire la déclaration suivante quant à la nouvelle politique de Google en matière de confidentialité. 

"Google's aim of making their privacy policies simpler and clearer is a move in the right direction. We have encouraged Google to go down that track and have said how important it is for privacy policies to be readily understandable and as clear as possible. If these changes do that, then that is a good thing for Google users.
Google's plans for increased linkages in user identity data across Google products and services to provide a seamless user experience do raise concerns and it means the ground is shifting for Google account holders.
Users need to be aware that Google's business model relies on being able to deliver targeted advertising and that user demographic data provides the raw fuel. That exists under the current model and is extended by the new plans.
Google account holders might want to look again at their privacy settings in tools like Google Dashboard and change those if they want more privacy. Some users may choose to create pseudonymous, separate, online profiles. I will continue to keep track of these changes and the impact that they may have on user privacy.
For people who don't have Google accounts (eg Google+, Reader, Gmail etc) there is probably little difference."

(Source: Privacy Commissioner, Media Statement)

• PRIVACY COMMISSIONER, "Google's new privacy policies", Media Statement, February 13, 2012.

Nouvelle-Zélande: rapport annuel 2010-2011

Le Privacy Commissioner de Nouvelle-Zélande vient de publier son rapport annuel 2010-2011 dans lequel il met l'accent sur les points suivants:

Equipping the Privacy Commissioner for the 21st century
We worked with the Law Commission during the year on its review of the Privacy Act. The Commission's package of recommendations will help to power up privacy law for the 21st century.
In particular, the Law Commission has recognised that we need some additional legal tools to be effective, particularly in the digital age. There are a growing number of issues that cannot be properly addressed through a complaints system alone. People cannot complain if they do not realise what is happening with their information - and, increasingly, government and business practices fly below people's radar. Also, a complaints system can only be driven by problems after they occur. It is becoming more and more important to find out what is happening before things go wrong.
So, for example, the Law Commission has suggested we should be able to order agencies to comply with the law and to release information to requesters, and that we should be able to audit or to order agencies to self-audit their systems. We think these are tools that would streamline how we can deal with the issues that are of most importance for New Zealanders' privacy. Mandatory notification of privacy breaches would help people to protect themselves when things go wrong, as well as bringing careless companies to heel. And a statutory "do not call" scheme would give people greater choices over whether their information is used for marketing.
We look forward to seeing the Government's response in early 2012 to the Law Commission's recommendations.
Another year, another set of technology challenges
As usual, we have kept a close eye on developments in the field of information and communications technology ("ICT") during the year.
We released a survey in May on how agencies make international disclosures and use offshore ICT: http://privacy.org.nz/assets/Files/Media-Releases/Overseas-ICT-Survey.pdf. Fifty major public and private sector organisations answered the survey, most of whom hold large amounts of personal information. We are using the survey results to work towards guidance on how to manage privacy as part of cloud computing.
We also conducted a survey on social networking, together with our partners in the Asia Pacific Privacy Authorities forum. The results will be released in December.
Security challenges and new privacy questions continue to raise their heads, even for big ICT firms. For example, this year saw Sony repeatedly become the target of hackers. Apple and Google were called before Senate committees in the United States to explain how their products use geolocation features. Facebook and LinkedIn fielded questions from their users (as well as regulators) about unilateral changes to their privacy settings. And web services that require users to use their real name are sparking debate over when it is acceptable for people to transact anonymously or pseudonymously, both online and offline.
The News of the World phone accessing scandal led to serious questions being asked in several jurisdictions about media behaviour - and about people's own awareness of how to secure their private communications. It also raised issues about how to deal with "blagging" (impersonation of others to get information).
Managing identity continues to be a field of significant interest, particularly for government and major businesses. For instance, we have close contact with the New Zealand i-government initiative. The new regulations to combat money laundering also involve the need for businesses to be certain that people are who they say they are. And biometric technologies continue to get more reliable, more ubiquitous, and smarter.
Data collection, data mining and data regulation - getting the balance right
It is a common saying that ‘information is power' but, these days, it is probably even more correct to say that ‘information is money'. Many of the current challenges to privacy arise because of the cash value that personal information has.
This is not to say that making a profit from personal information is necessarily bad. On the contrary, many legitimate businesses (including credit reporters, online service providers and targeted marketing enterprises) play a major part in our economy and in the way our society operates. However, it is increasingly important for all those businesses to get privacy right in everything they do. As the regulator in the area, we have to play a major part in making sure that the benefits of information collection and use are balanced with proper respect for the people behind the information.
We have nearly completed work on possible reforms to the Credit Reporting Privacy Code. We issued a consultation draft in May and held public hearings about the possibility of permitting more comprehensive information to be stored and used on credit reports.
The changes to the Code would include more stringent safeguards such as providing a credit freezing facility and better information to the public. By the time this Annual Report is published, we will have issued the Code amendments.
Parliament has also passed a law (the Courts and Criminal Matters Bill) permitting outstanding court fines to be added to credit reports. This will also add to the variety of information available on credit reports.
Collection of information into large databases was also highlighted this year when New Zealand Post conducted its second Lifestyle Survey, inviting people to complete a detailed questionnaire in exchange for a chance to win a prize. The information that people submitted was added to a database, and mined to produce lists that businesses with particular marketing niches could rent. This is only one of an increasing number of examples of collection and use of "big data" by business and government - this is an area that we will be paying close attention to in the years to come.
Changing how government agencies share information
A major aspect of the Law Commission's review of the Privacy Act was to recommend a new method by which government agencies could share personal information.
Instead of having to pass primary legislation if agencies wish to share information in a way that might breach the privacy principles, the recommendation is that an Order in Council can approve information sharing agreements between government agencies.

The recommendation is finely balanced to try to make sure that conditions for public trust in government and privacy are maintained, as well as making sure that justified information sharing can be done efficiently. It includes major safeguards including full consultation with my Office before an agreement can go to Cabinet, the ability for me to publish reports with my view about an agreement, the ability for agreements to be disallowed, and also for them to be regularly reviewed.

(Source: Privacy Commissioner, Annual Report 2011, p. 13-15)

• THE PRIVACY COMMISSIONER, Annual Report 2011, Wellington, The Privacy Commissioner, 2011.

Nouvelle-Zélande: sécurité et environnements électroniques

L'autorité de protection des renseignements personnels néo-zélandaise propose trois fiches-conseils pour demeurer en sécurité dans les environnements électroniques.

1- Dans la fiche "protect your computer", il est question de "security", "Wi-Fi tips", "passwords and browser options" et "computer disposal". 

2- Dans celle relative à "protect yourself online", il est rappelé que

"many people use the internet to communicate and socialise with their friends by posting messages, photos and other information. Maintaining your online privacy depends on your ability to control the amount of personal information that you provide and who has access to that information. Once information is posted on the internet it can be very hard, if not impossible, to completely remove." 

On y retrouve des conseils sur "social networking", "online shopping", "online trading", "Internet banking", "email", "public internet" et "browsing the Internet".

3- Et concernant les jeunes, la fiche "protect your children" insiste sur le fait que:

"Today's children are often more savvy about using the internet than their parents. The internet offers children the opportunity to connect with their friends, research and learn, and be entertained. But using the internet exposes children to many risks.
Children can be exposed to inappropriate content, subjected to cyber bullying and targeted by predators. Children may share personal information without thinking or knowing about the risks. Parents need to be aware of these risks and take an active role in monitoring and mentoring their children to help them stay safe online."

Dès lors, il est conseillé notamment de: "talk to your children - make it a partnership", "keep up with what sites your children are visiting and who they connect with online", "talk about the online risks, and guide children about safe and acceptable internet use", "learn about privacy settings and talk to your children about how to use them wisely", "never let a child meet an online friend offline unless a parent is with them", "warn children that people they chat with might not be who they think" ou encore "encourage your children to let you know if they feel bullied". 

Nouvelle-Zélande: publication d'un rapport concernant la réforme du Privacy Act 1993

La Law Commission vient de publier son rapport concernant la réforme du Privacy Act 1993. Ainsi on peut lire sur le site de la Commission du droit que:  

" The Law Commission today completed its landmark review of privacy law with the publication of its final report, 'Review of the Privacy Act 1993: Review of the Law of Privacy Stage 4.'

The report, which calls for new powers for the Privacy Commissioner, is the fourth in the Commission’s four-stage review of New Zealand’s privacy laws.

The report focuses on the Privacy Act 1993. Overall, the Commission believes the main principles of the Act remain sound. Rather than setting strict rules, the Act is based on privacy principles that can be applied flexibly to suit an agency’s particular circumstances. The Commission supports this principles-based approach, which also allows the Act to remain relevant as technology changes.

The Commission thinks the Act could be improved in a number of areas. Among the key recommendations of the report are that:

- the Privacy Commissioner’s powers should be augmented by a  new power to issue compliance notices, and, where there is a good reason for it, to require an audit of an agency’s information-handling practices;

- the complaints process under the Act should be streamlined in a number of respects, including giving the Privacy Commissioner the power to make binding decisions on complaints about people’s right to access their own personal information;

- agencies should be required to notify people when personal information held by an agency is lost or otherwise compromised (for example, through computer hacking), if the breach is sufficiently serious;

- there should be a new framework in the Act to allow the sharing of personal information between government agencies where it is in the public interest to do so, but with appropriate safeguards; and

- some exceptions to the privacy principles should be modified, for example to clarify that people can pass on information to an appropriate person where someone’s health is seriously at risk, or report suspected offending to the police."

(Source: Law Commission - Review of Privacy, August 2, 2011)

Pour plus de détails, voir notamment:

• LAW COMMISSION, " NZLC R123 Review of the Privacy Act 1993: Review of the Law of Privacy Stage 4", August 2, 2011.
• PRIVACY COMMISSIONER, "Media Release - Law Commission's package of privacy reforms would built trust and certainty" August 2, 2011.

Nouvelle-Zélande: stratégie sur la cybersécurité

La Commissaire à la vie privée de la Nouvelle-Zélande accueille favorablement la stratégie gouvernementale sur la cybersécurité basée sur les priorités suivantes: 

1. Increasing Awareness and Online Security;

2. Protecting Government Systems and Information;

3. Incident Response and Planning.  

Ainsi on peut lire sur le site du Commissaire à la vie privée le communiqué suivant que nous reproduisons ici:   

New cyber security strategy a welcome start, says Privacy Commissioner 

Privacy Commissioner Marie Shroff today called the Government's new cyber security strategy "a welcome start towards protecting New Zealanders against online misuses of their personal information".
"Increasingly, our economic success as well as our communication and leisure activities rely on us being able to trust that our personal information is secure online," Marie Shroff said.
"You only have to look at some of the major internet privacy breaches in recent months - most recently the Sony hacking episodes - to see the damage that such breaches can cause both for the people and for the businesses involved.
"Our public attitude surveys tell us strongly that people are alarmed about the safety of their personal information online. For example, about 88% (72% very concerned) are worried about children's safety online, and over 90% (78% very concerned) of New Zealanders are concerned about unauthorised business use or misuse of their information. Also Unisys' security surveys clearly show how concerned people are about what is happening with their information online.
"The ICT industry in New Zealand, as elsewhere, is starting to take some real responsibility for improving security of personal information. But there is room for government action as well, in partnership with the industry, regulators such as my office, and expert non-government organisations like NetSafe.
"So I am very pleased to see the launch of the Government's cyber security strategy," Marie Shroff said. "I look forward to learning how implementation of the strategy will support existing efforts, such as those of my office, to provide people and businesses with information about how to protect themselves. I hope it will also better insulate our critical infrastructure, and the personal information it contains, against external attack.
"But we need to remain vigilant if we are to get the most from the opportunities that new technologies offer to us. Having a strategy does not guarantee safety or trust. It may be necessary to support the strategy by enhancing some of the legal protections available. For example, the Law Commission will soon report on whether New Zealand needs a mandatory breach notification law to better protect consumers, and whether the Privacy Act needs greater 'teeth' to cope with our twenty-first century online environment. I look forward to seeing these and other proposals as they emerge." 

(Source: Privacy Commissioner, Media Release, June 8, 2011)

Pour plus de détails sur la stratégie gouvernementale, voir :

• NEW ZEALAND GOVERNMENT, New Zealand's Cyber Security Strategy, June 2011.