- "Ma vie disséquée à travers mes données personnelles", Le Monde, 10 juin 2014;
- "Accéder à ses propres données personnelles, le parcours du combattant", Le Monde, 10 juin 2014.
"les individus ont le droit de façonner leur réputation et d'être ce qu'ils veulent en ligne. Il est toutefois essentiel que les sites Web soient transparents au sujet de leurs activités; ainsi, les personnes qui les utilisent pourront comprendre, prendre des décisions et exprimer leur consentement pour ce qui est du traitement de leurs renseignements personnels." (p. 7)
"le principe de responsabilité oblige les organisations confrontées à une atteinte à la protection des données à prendre toutes les mesures possibles pour en limiter l'incidence. À cette fin, elles doivent intervenir d'une manière rapide et globale pour mettre fin aux dommages, alerter les autorités, communiquer avec les personnes concernées et prêter assistance à celles-ci.
Une fois la situation d'urgence passée, il faut aussi examiner les politiques et processus internes, et prendre toutes les mesures nécessaires pour assurer leur renforcement en cas d'incidents futurs.
Le Commissariat encourage les organisations à signaler volontairement les atteintes à la protection des données qui impliquent des renseignements personnels." (p. 44)
"le Commissariat a préconisé l'octroi de pouvoirs accrus en vertu de la LPRPDÉ, notamment le signalement obligatoire des atteintes, les conséquences financières en cas de non conformité et d'autres changements au modèle d'application." (p. 74)
"[le Commissariat] est en faveur d'un renforcement des pouvoirs d'application de la loi, comme le pouvoir de prendre des ordonnances et d'imposer des sanctions financières en cas d'infraction à la Loi. Nous sommes également favorables à une obligation de signalement des atteintes, à un rapport public des divulgations à l'insu de la personne ou sans son consentement en vertu de la disposition d'"autorité légitime" et à un renforcement des obligations de responsabilité pour les organisations.
En 2013, nous continuerons de faire pression pour amener les changements nécessaires à la LPRPDÉ et aux autres lois, afin de veiller à ce que les renseignements personnels des Canadiennes et Canadiens soient protégés et que leur confiance soit assurée dans cette économie numérique complexe et en pleine expansion." (p. 90-91)
"Les réseaux sociaux peuvent être de formidables outils de communication à disposition des internautes. Toutefois, ils présentent également des risques d'atteinte à la vie privée si les données publiées ne sont pas maîtrisées ou si leurs éditeurs ne mettent pas en œuvre toutes les mesures nécessaires pour protéger les données de leurs membres. Plusieurs réseaux sociaux ont mis en place des dispositifs plus protecteurs de la vie privée de leurs membres. La CNIL invite l'ensemble des acteurs à s'inspirer de ces bonnes pratiques et propose de les accompagner vers une meilleure conformité.Le fonctionnement de la majorité des réseaux sociaux repose sur la mise à disposition d'un service gratuit en contrepartie d'une collecte d'informations pour une utilisation commerciale (analyse des profils et de la navigation sur internet pour délivrer de la publicité ciblée, transmissions de données à des tiers, …). Or, il est difficile de déterminer le devenir de ces informations une fois qu'elles sont sur le réseau.C'est pourquoi le G29 (groupe des CNIL européennes) a précisé les règles applicables aux réseaux sociaux dans un avis du 12 juin 2009. Les CNIL européennes leur demandent notamment de :
- définir des paramètres par défaut limitant la diffusion des données des internautes
- mettre en place des mesures pour protéger les mineurs
- supprimer les comptes qui sont restés inactifs pendant une longue période
- permettre aux personnes, même si elles ne sont pas membres des réseaux sociaux, de bénéficier d'un droit de suppression des données qui les concernent
- proposer aux internautes d'utiliser un pseudonyme, plutôt que leur identité réelle
- mettre en place un outil accessible aux membres et aux non membres, sur la page d'accueil des réseaux sociaux, permettant de déposer des plaintes relatives à la vie privée.
L'ensemble de ces règles n'est malheureusement pas toujours respecté. Aussi, la CNIL tient à souligner la démarche entreprise par certains réseaux sociaux tel que le réseau social Famicity qui s'est engagé à suivre l'ensemble des règles protectrices de la vie privée émises par le G29. La CNIL a accompagné cette mise en conformité de Famicity.L'initiative du réseau social Diaspora peut également être soulignée. Il s'agit d'un réseau social libre où le contrôle des données personnelles par les utilisateurs est a priori garanti par plusieurs techniques.D'autres sites proposent également des mesures protectrices, en particulier des mineurs, il s'agit par exemple de Mondokiddo, de le Mini réseau, de l'Univers de Wilby ou de Yoocasa.La CNIL participe ainsi à la mise en conformité des gestionnaires de réseaux sociaux, et invite à la diffusion de ces bonnes pratiques, à destination notamment des mineurs."
"un outil de référence et de réflexions dans la pratique quotidienne des différents intervenants dans les relations de travail, [en abordant des thèmes comme] la législation concernant la protection de la vie privée en regard de l'utilisation des moyens technologiques au travail, les litiges qui s'y produisent ou qui risquent de se produire avec l'utilisation de tels outils et les règles de l'administration de la preuve dans le cadre des litiges qui seront soumis en arbitrage".
(Source, Préface, p. 2)
"EPIC submitted comments to the Federal Trade Commission on a proposed settlement with Myspace. The settlement follows from allegations that Myspace allowed advertisers to access personally-identifying information after promising to keep such information private. The settlement requires Myspace to implement a comprehensive privacy program, submit to independent audits, and refrain from privacy misrepresentations. EPIC expressed support for the settlement in general, but recommended that the FTC make the settlement at least as protective as a previous settlement with Facebook. Additionally, EPIC said, the FTC should require Myspace to implement practices consistent with the White House's Consumer Privacy Bill of Rights."
(source: EPIC)
À suivre donc."this Report is not the conclusion of our engagement with Facebook Ireland. It is rather the first significant step on a road that can place it at the forefront of the technology sector in meeting users’ legitimate privacy expectations as to how their personal data is handled and empowering them to make informed choices when sharing that information on the site. It is the role of our Office to ensure that Facebook Ireland complies with data protection law and this report assesses that compliance. Taking a leadership position that moves from compliance with the law to the achievement of best practice is for Facebook Ireland to decide but if it continues to display the commitment I witnessed throughout the Audit process it is certainly achievable.
The Report records significant recommendations and commitments from Facebook Ireland in relation to:- a mechanism for users to convey an informed choice for how their information is used and shared on the site including in relation to Third Party Apps;- a broad update to the Data Use Policy/Privacy Policy to take account of recommendations as to where the information provided to users could be further improved;- transparency and control for users via the provision of all personal data held to them on request and as part of their everyday interaction with the site;- the deletion of information held on users and non-users via what are known as social plugins and more generally the deletion of data held from user interactions with the site much sooner than presently;- increased transparency and controls for the use of personal data for advertising purposes;- an additional form of notification for users in relation to facial recognition/”tag suggest” that is considered will ensure Facebook Ireland is meeting best practice in this area from an Irish law perspective;- an enhanced ability for users to control tagging and posting on other user profiles;- an enhanced ability for users to control whether their addition to Groups by friends;- the Compliance management/Governance function in Dublin which will be further improved and enhanced to ensure that the introduction of new products or new uses of user data take full account of Irish data protection law.
Facebook Ireland’s delivery on its commitments will be evaluated throughout the first six months of 2012 and as part of an agreed formal review in July of next year that will take the form of a follow-up Audit."
(Source: Irish Data Protection Commissioner, Press Release, December 21, 2011)
"10 big privacy challenges have emerged in our first decade:- Identity theft: From dumpster diving to credit card skimming and social network sniffing, identity theft (regrettably) endures.- Data breach: California was the first state to enact a law requiring organizations to notify consumers when their personal information has been compromised.- Financial privacy: Californians tell financial institutions: “Ask me first!”- Children's online safety: Answering a culture-wide call for safe 21st century childhoods.- Health information privacy: Medical records are going digital. Good news for doctors, pharmacies, labs, and patients – but also some new privacy concerns.- Cyber security: We depend on the Internet for business, pleasure, and convenience. But it is an open network, which means it is insecure.- REAL ID: The specter of a national identification card appeared in 2005 with the federal REAL ID Act.- Abandoned records: When a company goes out of business, its records (with your personal information) can turn up in storage facilities, alongside highways, or in dumpsters.- Social networking: We share news and photos with our far flung friends and family on social networks. But some risky practices can expose us to identity theft and other privacy harms.- Mobile privacy: More of us every day are going to the web while on the move. How safe are smartphones and public Wi-Fi?"(Source: COPP, Ten Year Anniversary, Decembre 2011)
"The Office of the Information and Privacy Commissioner of Alberta has released guidelines on the use of social media for conducting background checks on individuals. The guidelines are designed to ensure that organizations are aware of their responsibilities under the Personal Information Protection Act (PIPA) when collecting personal information via social media.The guidelines provide practical advice to organizations on how much information can or should be collected through social media when performing a background check and highlight that it may be challenging for organizations to meet the “reasonable” requirement in PIPA when collecting personal information through social media. The guidelines also point out the hazards associated with using social media to conduct a background check including the inadvertent collection of third party information and the inability to determine the accuracy of information.The bottom line for the guidelines is to remind organizations that they must not use social media to perform background checks if doing so would result in non-compliance with PIPA."(Source: OIPC Alberta, News Release, December 15, 2011)
"prior to using social media background checks to collect personal information, an organization must understand its business purpose for doing so, and consider the reasonableness of doing such a check. Under PIPA, an organization must be able to establish that use of social media to collect personal information or personal employee information is reasonable for the purposes of collection. Organizations need to consider what a social media background check will provide that cannot be garnered from traditional means such as reference checks and interviews".(Source: OIPC Alberta, Guidelines, p. 2)
What to consider (Guidelines, p. 5)1. Determine what the business purpose is for performing a social media background check. Do you reasonably require personal information that cannot be obtained through traditional means such as interviews or reference checks?2. Recognize that any information that is collected about an individual is personal information or personal employee information and is subject to privacy laws.3. Consider the risks of using social media to perform a background check. Conduct a privacy impact assessment to assess the risks. When conducting this assessment, organizations should:a. find out what privacy law applies and review it, ensuring that there is authority to collect and use personal information;b. determine whether the identified purposes for the collection and use of personal information are authorized;c. consider and assess other reasonable measures that achieve the same purpose;d. identify the types and amounts of personal information likely to be collected in the course of a social media background check, including collateral personal information about the individual and others that may be inadvertently collected as a result of the social media background check;e. identify the risks of non-compliance with PIPA associated with the collection and use of this personal information, including risks associated with the collection of third party personal information and actions taken based on inaccurate information;f. ensure that the appropriate policies, procedures and controls are in place to address the risks related to the collection, use, disclosure, retention, accuracy and protection of personal information using social media;g. determine if the collection is authorized and obtain any necessary consents, and for current employees notify the individual that you will be performing a social media background check and tell the individual what you will be checking and what the legal authority is for collecting the personal information; andh. be prepared, upon receipt of a request for access, to provide access to the information you collected and used to make a decision about an employee or volunteer.
What to avoid (Guidelines, p. 6)1. Do not wait until after you conduct a social media background check to evaluate compliance with privacy legislation;2. Do not assume in advance that a social media background check will only retrieve information about one individual and not about multiple individuals;3. Do not perform a social media background check from a person account in an attempt to avoid privacy laws;4. Do not attempt to avoid privacy obligation by contracting a third party to carry out background checks; and5. Do not perform a social media backgroud check thinking that an individual will not find ou about it. For example, an individual can use web analytics to determine what IP address accessed the individual's personal information.
"A recent online survey conducted by the Asia Pacific Privacy Authorities (APPA) forum has revealed that – contrary to popular assumptions – people do care about their privacy on social networking sites.Les résultats du sondage sont disponibles à l'adresse suivante: http://privacyawarenessweek.org/2011/survey_results/summary_report_english.pdf.
“Most people like to talk and share information about themselves,” said the Australian Privacy Commissioner Timothy Pilgrim, speaking for all the APPA Commissioners. “But the survey shows us that people are concerned about whether they can control who sees the information they put on social networking sites”.
In May 2011, the APPA forum encouraged its members to run an online survey to find out how people used social networking sites, and whether they thought online privacy was important. More than 10,000 people responded to the survey, most of them from Mexico, Australia, New Zealand, Hong Kong and Korea. The results have just been released at the APPA meeting in Melbourne.
“Many people try to restrict access to their information. But a third of respondents told us that they weren’t sure how to use their privacy settings. This suggests that social networking sites aren’t making it as easy as they should for people to understand how to choose who sees the information they post. Constant changes to privacy settings don’t help,” Mr Pilgrim said.
Survey results also reveal that people worry about what the social networking company might be using their information for. Nearly 68% of people said they would stop using a site that used its information in a way they hadn’t expected. In addition, around 46% said they were very uncomfortable, or quite strongly uncomfortable, about sites tracking their activities in order to target marketing to them. However, nearly 62% of people confessed that they didn’t read the privacy policies or terms and conditions of the sites, often because they were too long or were incomprehensible.
The participating APPA Commissioners recognise that even where people are very concerned about their privacy, this doesn’t always translate into action.
“For example, it’s difficult for people to leave social networking sites if that’s where all the people they want to talk to are. Social networking providers need to listen to what people are saying. They should make sure they’re clear with people about what they do with their information and why, and that they treat their customers fairly,” said Mr Pilgrim."
(Source: Privacy Awareness, Media Release, December 6, 2011)
"les membres fondateurs de la coalition se sont accordés sur une déclaration d'intention, dans laquelle ils se déclarent disposés à mener des actions dans cinq domaines:- outils de signalement simples et solides: fonctionnalités placées en évidence et de façon reconnaissable sur tous les dispositifs afin qu’il soit possible de signaler efficacement des contenus et des contacts qui semblent préjudiciables aux enfants et de réagir avec la même efficacité;- paramètres de confidentialité adaptés à l’âge: fixer des paramètres qui tiennent compte des besoins des différents groupes d'âge (ces paramètres déterminent dans quelle mesure les informations concernant un utilisateur sont disponibles; par exemple si les coordonnées ou les photographies de l’utilisateur sont accessibles au grand public ou visibles par les personnes proches uniquement);- étendre l’utilisation des systèmes de classification en fonction du contenu: développer en matière de classification selon l'âge une approche qui soit reconnue comme valable par tous, pouvant être utilisée dans l’ensemble des secteurs et offrant aux parents des classes d’âges aisément compréhensibles;- accroître la disponibilité et l’utilisation du contrôle parental: promouvoir activement des outils conviviaux afin de faire en sorte qu’ils soient adoptés le plus largement possible;- retrait efficace de matériel pédopornographique: améliorer la coopération avec les services répressifs et les lignes téléphoniques d'urgence, prendre des mesures volontaristes pour retirer les matériels pédopornographique de l'internet."(Source: IP/11/1485)
"many people use the internet to communicate and socialise with their friends by posting messages, photos and other information. Maintaining your online privacy depends on your ability to control the amount of personal information that you provide and who has access to that information. Once information is posted on the internet it can be very hard, if not impossible, to completely remove."On y retrouve des conseils sur "social networking", "online shopping", "online trading", "Internet banking", "email", "public internet" et "browsing the Internet".
"Today's children are often more savvy about using the internet than their parents. The internet offers children the opportunity to connect with their friends, research and learn, and be entertained. But using the internet exposes children to many risks.Dès lors, il est conseillé notamment de: "talk to your children - make it a partnership", "keep up with what sites your children are visiting and who they connect with online", "talk about the online risks, and guide children about safe and acceptable internet use", "learn about privacy settings and talk to your children about how to use them wisely", "never let a child meet an online friend offline unless a parent is with them", "warn children that people they chat with might not be who they think" ou encore "encourage your children to let you know if they feel bullied".
Children can be exposed to inappropriate content, subjected to cyber bullying and targeted by predators. Children may share personal information without thinking or knowing about the risks. Parents need to be aware of these risks and take an active role in monitoring and mentoring their children to help them stay safe online."
"ce guide est destiné principalement aux personnes responsables de la mise en place et de la gestion de sites ou environnements électroniques dans lesquels se déroulent des activités qui concernent l'univers de l'école. Il sera également utile aux usagers des divers environnements d'Internet. Il fournit des informations sur les risques à gérer et les précautions à prendre par tous ceux qui oeuvrent à la conception, au développement et à l'implantation de systèmes d'information destinées à soutenir des échanges entre les personnes"(Source: Guide, p. 12)
1. Les responsabilités découlant des activités se déroulant sur Internet2. Les principales applications du Web 2.0 (i.e. les sites de réseautage social; les sites de partage de contenu; les blogues; les micro-blogue (Twitter); les sites de notation de personnes, de services ou de produits; les sites Wikis; les flux RSS; la baladodiffusion)3. Les modèles de politiques, de mises en garde et de conseils
" Protection des données et réseaux sociauxLes chargés à la protection des données ont clairement indiqué lors de la conférence que les réseaux sociaux qui sont actifs sur le marché européen doivent être conformes à la législation européenne sur la protection des données, même s'ils n'ont pas leur siège en Europe. En outre, ils ont critiqué l'intégration directe des plugins sociaux sur les sites Web externes, sans information préalable des utilisateurs. La consultation d'un site web suffit pour que ces plugins de Facebook, Google +, Twitter et d'autres plates-formes transmettent des données concernant les utilisateurs vers les Etats-Unis. Par exemple, une transmission de données a déjà lieu lorsqu'un utilisateur visite un site sur lequel se trouve le bouton "J'aime" de Facebook même s'il ne clique pas sur ce bouton et si le visiteur du site n'est pas enregistré sur cette plate-forme. Pour ces raisons, les commissaires à la protection des données ont fait appel aux autorités publiques de s'abstenir de l'usage de plugins sociaux qui ne répondent pas aux normes nécessaires en matière de protection des données.Éducation et protection des donnéesLa conférence s'est prononcée en faveur de l'intégration de la protection des données dans les programmes d'études. De plus en plus de démarches sont effectuées par Internet, mais nombreux sont ceux qui ne comprennent pas le mode de fonctionnement de ce monde numérique. Il est devenu difficile de garder le contrôle sur ses données, de savoir qui les enregistre et pour quelle raison et si elles ont été transmises à des tiers. Pour cette raison, il est important de former la population aux principes de la protection des données.Le paiement électronique anonyme doit rester possibleUn projet de loi, introduit par le gouvernement fédéral et portant modification de la loi sur le blanchiment d'argent, prévoit l'identification complète lors de l'acquisition de monnaie électronique. L'acquisition anonyme ne serait plus possible et des données de clients devraient déjà être recueillies pour des très petits montants. Les chargés à la protection des données ont rejeté cette collecte de données excessive.Lois antiterroristes et surveillanceDepuis les attentats du 11 Septembre 2001, les autorités ont reçu de nombreux pouvoirs qui leur permettent de capturer des gens qui ne sont pas soupçonnés d'avoir commis un crime ou qui ne posent pas de danger réel. En plus, les données concernant les passagers aériens et les transactions financières sont transférées à l'étranger, sans qu'il soit suffisamment clair ce qui se passe avec ces informations Les chargés à la protection des données ont contesté le fait que beaucoup de ces lois antiterroristes ayant été votées dans l'urgence soient étendues sans évaluation objective et indépendante.Le cloud computingLes fournisseurs de cloud computing ont été invités lors de la conférence de configurer leurs services de façon à ce qu'ils soient conformes à la protection des données. Les clients devraient seulement utiliser ces services s'ils sont capables de remplir leurs obligations en tant que responsable de traitement. En plus des exigences de confidentialité, d'intégrité et disponibilité des données, la contrôlabilité et la transparence du traitement des données doivent être garanties.Introduction du protocole Internet IPv6Les chargés à la protection des données ont demandé que la confidentialité et la sécurité des données soient assurées lors du passage vers l'IPv6 (Internet Protocol version 6). Les fournisseurs d'accès Internet et de services ainsi que les fabricants de logiciels et d'équipements informatiques doivent prendre en compte la protection de la vie privée dès la conception et choisir des paramètres par défaut appropriés."(Source: Commission Luxembourg, Actualité)
"Sur les neuf sites internet de socialisation examinés dans le cadre d'une nouvelle série de tests réalisés pour le compte de la Commission européenne, deux seulement (Habbo Hotel et Xbox Live) prévoient par défaut que le profil d'un mineur ne soit accessible qu'aux personnes figurant sur sa liste d'«amis».En revanche, la majorité des sites examinés fournissent, en matière de sécurité, des informations, conseils ou contenus pédagogiques spécifiquement destinés aux mineurs et adaptés à leur âge. Par ailleurs, sept d'entre eux ont répondu aux demandes d'assistance, dans un délai de moins d'un jour pour la plupart.Deux sites (Dailymotion et Windows Live) garantissent que, par défaut, les mineurs d'âge peuvent être contactés uniquement par leurs amis, que ce soit par messages publics ou par messages privés. Sur tous les sites soumis aux tests, n'importe qui peut demander à un mineur de devenir son ami. Sur six d'entre eux, les amis des amis d'un mineur ont directement accès à son profil. Tous les sites fournissent une version abrégée et plus adaptée aux enfants de leurs conditions d'utilisation ou de service."(Source: IP/11/1124)
"proposent quelques bonnes pratiques aux parents qui se sentent souvent inexpérimentés sur ce sujet [à savoir "dialogue et partage" et "éducation et responsabilisation"].
" - placer sur leur site un bouton "signaler un abus" accessible et simple d'emploi permettant aux utilisateurs de signaler en un seul clic toute conduite et tout contact inappropriés d’un tiers;- veiller à ce que les profils et les listes de contacts d’utilisateurs de sites web qui se sont déclarés comme mineurs soient «privés» par défaut. Il sera ainsi plus difficile pour les personnes malintentionnées de contacter ces jeunes internautes;- s’assurer que les profils privés des utilisateurs mineurs ne soient pas accessibles (ni directement à partir du site, ni via les moteurs de recherche);- garantir que les options de vie privée sont bien visibles et accessibles à tout moment, afin que les utilisateurs puissent facilement déterminer si ce qu’ils diffusent en ligne peut être vu par le monde entier ou par leurs amis seulement;- empêcher les enfants trop jeunes d’utiliser leurs services: si un site de socialisation a pour cible les adolescents de 14 ans et plus, il doit être difficile pour un enfant plus jeune de s’y enregistrer."(Source: IP/09/232)
"seuls deux sites de socialisation (Bebo et MySpace) examinés pour le compte de la Commission européenne ont des paramètres par défaut qui prévoient que les profils des mineurs ne sont accessibles qu'aux personnes figurant sur leur liste approuvée et quatre sites seulement (Bebo, MySpace, Netlog et SchuelerVZ) garantissent par défaut que les mineurs ne peuvent être contactés que par leurs amis. Toutefois, sur les quatorze sites de socialisation examinés, une majorité fournit aux mineurs des informations relatives à la sécurité d'une manière adaptée à leur âge, répond aux demandes d'assistance et fait en sorte que les profils de mineurs ne soient pas accessibles à partir de moteurs de recherche externes".(Source: IP/11/762)
