FTC: guide pour les développeurs d'applications mobiles

La Federal Trade Commission (FTC) vient de publier un guide destiné aux développeurs d'applications mobiles relatif à la publicité et à la protection des renseignements personnels.
 

Ce guide insiste, entre autres, sur l'importance de dire la vérité et d'informer clairement les utilisateurs des caractéristiques et des conditions d'utilisation de l'application. Ou encore sur la nécessité: 

• de prendre en considération, dès la conception du produit, les principes de protection des renseignements personnels (Privacy by Design); 
• d'adopter, de publier et de respecter ses engagements en matière de protection des renseignements personnels; 
• de tenir compte de la Children's Online Privacy Protection Act (COPPA) si l'application est destinée à des utilisateurs de moins de 13 ans. Rappelons que la FTC est en train de procéder à la révision de cette loi (billet); 
• de ne collecter des renseignements personnels sensibles qu'avec le consentement des personnes concernées; 
• d'adopter des mesures de sécurité propres à assurer la confidentialité des renseignements personnels. 

Pour aller plus loin: 

• FEDERAL TRADE COMMISSION, Marketing Your Mobile App - Get It Right From the Start, August 2012. 
• FEDERAL TRADE COMMISSION, "FTC Publishes Guide to Help Mobile App Developers Observe Truth-in-Advertising, Privacy Principles", Press Release, September 5, 2012.

Europe: reconnaissance du niveau de protection adéquat de l'Uruguay

La Commission européenne vient de reconnaître que la Loi n°18.331 relative à la protection des données à caratère personnel et au recours en "habeas data" (en espagnol), adoptée par la République orientale de l'Uruguay, le 11 août 2008, offre un niveau de protection adéquat. 

La notion de "niveau de protection adéquat" réfère à la Directive 95/46/CE du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, plus particulièrement à son article 25 al. 1 qui dispose que "le transfert vers un pays tiers de données à caractère personnel faisant l'objet d'un traitement, ou destinées à faire l'objet d'un traitement après leur transfert, ne peut avoir lieu que si, [...] le pays tiers en question assure un niveau de protection adéquat". 

Ce niveau de protection s'apprécie en fonction, notamment de "la nature des données, la finalité et la durée du ou des traitements envisagés, les pays d'origine et de destination finale, les règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées" (art. 25 al. 2). 

La Commission européenne a reconnu le niveau de protection adéquat de plusieurs législations: l'Andorre, l'Argentine, l'Australie, le Canada, la Suisse, Israël, les États-Unis, Guernesey, les Iles Féroé, l'Ile de Man, Jersey. 

Sur une autre note, rappelons que la République orientale de l'Uruguay est l'hôte de la prochaine Conférence internationale des commissaires à la protection des renseignements personnels et de la vie privée qui aura lieu les 23 et 24 octobre 2012. 

Pour aller plus loin, 

• Décision d'exécution 2012/484/UE de la Commission du 21 août 2012 constatant, conformément à la directive 95/46/CE du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par la République orientale de l'Uruguay concernant le traitement automatisé des données à caractère personnel [notifiée sous le numéro C(2012) 5704], Journal officiel de l'Union européenne,  L n° 227, du 23 août 2012, p. 11.
• Loi n°18.331 relative à la protection des données à caratère personnel et au recours en "habeas data" (en espagnol)
• Site Web de l'autorité de contrôle Unidad Reguladora y de Control de Datos Personales (URCDP) 
• Site Web de la 34e Conférence internationale des commissaires à la protection des renseignements personnels et de la vie privée (en anglais - en espagnol)

Belgique: surveillance et travail

La Commission de la protection de la vie privée (CPVP) en Belgique vient de publier un dossier relatif à la surveillance électronique sur les lieux de travail. 

Ce dossier insiste, notamment, "sur les interférences entre différentes dispositions légales auxquelles est confrontée l'admissibilité d'une prise de connaissance patronale des communications électroniques et des données de communications électroniques" (Source: Texte introductif, p. 2). En effet, la problématique "surveillance et travail" fait, entre autres, référence à la Loi relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (LVP), au Code pénal, à la Loi relative aux communications électroniques (LCE), à la Loi relative aux contrats de travail (LCT), à la Convention collective de travail n°81 relative à la protection de la vie privée des travailleurs à l'égard du contrôle des données de communication électroniques en réseau (CCT n°81).

Partant, "pour qu'une consultation d'une communication électronique s'effectue dans le respect de la vie privée, l'employeur doit garder à l'esprit trois principes de base: 1) il doit poursuivre un but déterminé; 2) il ne peut systématique tout contrôler, et 3) le travailleur concerné doit savoir que l'employeur peut effectuer des contrôles. Attention: cela ne veut donc pas dire que le travailleur doit donner son consentement, seulement qu'il doit en être informé au préalable" (Source: Brochure, p. 2).

En effet, la CPVP "estime que le consentement du (des) travailleur(s) concerné(s) ne peut pas constituer la base légale autorisant un contrôle patronal des actes numériques accomplis par les travailleurs dans le cadre de la relation de travail ou à l'aide des outils de travail. En raison des rapports de force existant entre les parties, un consentement individuel des travailleurs concernés ne pourrait être considéré comme véritablement libre. [Dès lors,] l'employeur doit se conformer lors de l'exercice de son droit de contrôle [aux principes suivants: finalité, transparence et, proportionnalité]" (Source: Rapport, p. 24-25 / Recommandation 08/2012, p. 33 et 37-38).

Ainsi, advenant le cas où un employeur tolère que ses employés utilisent leur courriel professionnel à des fins professionnels, la CPVP recommande aux employeurs 1) de s'assurer "du respect du principe de légitimité, de la prévisibilité des traitements et de l'ingérence dans le droit au respect de la vie privée des travailleurs"; 2) de limiter "les possibles ingérences dans la vie privée des travailleurs"; 3) d'encadrer "les opérations de surveillances et de contrôles" et; 4) de garantir "le respect des règles et [de] renforce[r] la sécurité de la surveillance et du contrôle" (Source: Recommandations, p. 2-4 / Recommandation 08/2012, p. 44-46).

Pour plus de détails:

• COMMISSION DE LA PROTECTION DE LA VIE PRIVÉE, Dossier Cybersurveillance

Belgique: rapport annuel 2011

La Commission de la protection de la vie privée (CPVP) en Belgique vient de publier son Rapport annuel 2011 qui retrace différentes activités, avis et recommandations de la Commission, notamment le contrôle des travailleurs par les employeurs, le marketing direct, Google Street View, l'échange électronique de données administratives, la désignation d'un fonctionnaire préposé à la protection des données à la Banque nationale de Belgique, la vidéosurveillance dans les lieux de détention et autres lieux d'un commissariat, la réutilisation des données des patients à des fins de recherches statistiques ou scientifiques ou encore la recherche biomédicale. 

• COMMISSION DE LA PROTECTION DE LA VIE PRIVÉE, Rapport annuel 2011.

FTC et révision de la COPPA

On peut lire sur le site de la Federal Trade Commission (FTC) que la date limite pour envoyer des commentaires quant au projet de révision des règles d'application de la Children's Online Privacy Protection Act (COPPA) a été prolongée jusqu'au 24 septembre 2012. 

Il convient de rappeler que la COPPA est entrée en vigueur en 2000. En vertu de cette loi, tout site Web qui collecte des renseignements personnels auprès de jeunes de moins de 13 ans doit obtenir le consentement préalable des parents. 

La FTC veille à l'application de cette loi. En septembre 2011, elle a débuté ses travaux visant à réviser cette loi et ses règles d'application. À cette fin, elle a publié des études (billet) ou encore mis en place des consultations (billet 1 et 2). 

La consultation en cours concerne les règles d'application de cette loi, plus particulièrement les modifications présentées le 1er août 2012:  

"The proposed modifications to the definitions of "operator" and "website or online service directed to children" would allocate and clarify the responsibilities under COPPA when third parties such as advertising networks or downloadable software kits ("plug-ins") collect personal information from users through child-directed websites or services. The Commission proposes to state within the definition of "operator" that personal information is "collected or maintained on behalf of" an operator where it is collected in the interest of, as a representative of, or for the benefit of, the operator. This change would make clear that an operator of a child-directed site or service that chooses to integrate the services of others that collect personal information from its visitors should itself be considered a covered "operator" under the Rule.
The Commission also proposes to modify the definition of "website or online service directed to children" to:

1. Clarify that a plug-in or ad network is covered by the Rule when it knows or has reason to know that it is collecting personal information through a child-directed website or online service;
2. Address the reality that some websites that contain child-oriented content are appealing to both young children and others, including parents. Under the current Rule, these sites must treat all visitors as under 13 years of age. The proposed definition would allow these mixed audience websites to age-screen all visitors in order to provide COPPA's protections only to users under age 13; and,
3. Clarify that those child-directed sites or services that knowingly target children under 13 as their primary audience or whose overall content is likely to attract children under age 13 as their primary audience must still treat all users as children.

Finally, the Commission proposes to modify the Rule's definition of "personal information" to make clear that a persistent identifier will be considered personal information where it can be used to recognize a user over time, or across different sites or services, where it is used for purposes other than support for internal operations. In connection with this change, the Commission proposes to modify the definition of "support for internal operations" in order to explicitly state that activities such as: site maintenance and analysis, performing network communications, use of persistent identifiers for authenticating users, maintaining user preferences, serving contextual advertisements, and protecting against fraud and theft will not be considered collection of "personal information" as long as the information collected is not used or disclosed to contact a specific individual, including through the use of behaviorally-targeted advertising, or for any other purpose".

(Source: FTC, News, 01-08-2012)

À suivre donc ...

Pour aller plus loin, 

• FEDERAL TRADE COMMISSION, 
• "FTC Extends Deadline to Comment on Proposed Modifications to the Children's Online Privacy Protection Rule Until September 24, 2012", News Release, August 27, 2012.  
• "FTC Seeks Comments on Additional Proposed Revisions to Children's Online Privacy Protection Rule", News Release, August 1, 2012.
• "Children's Online Privacy Protection Rule - Additional Proposed Modifications", (2012) vol. 77 n° 151 Federal Register 46643
• "Children's Online Privacy Protection Rule - Proposed Rules", (2011) vol. 76 n° 187 Federal Register 59804.

Reconnaissance faciale ... dans la mire des autorités

Publié le 19-08-2012 - Ajout le 28-08-2012

La reconnaissance faciale, soit ce procédé qui permet d'identifier une personne physique à partir de l'analyse des caractéristiques de son visage, ne cesse de faire couler de l'encre ... surtout au regard des enjeux de vie privée et de protection des renseignements personnels. 

Ainsi, en Allemagne (i.e. Land de Hambourg) et en Norvège, les autorités de protection des données personnelles viennent de (re)lancer des enquêtes contre Facebook et son système de reconnaissance faciale. Ces enquêtes concernent notamment la relation entre expression du consentement et collecte/utilisation de données biométriques (i.e. les caractéristiques du visage). 

Cette référence au consentement n'est pas sans rappeler les recommandations émises, en mars dernier, par le Groupe de l'article 29 dans son avis sur la reconnaissance faciale dans le cadre des services en ligne et mobiles (billet) mettant l'accent, entre autres, sur le consentement, l'information préalable, la sécurité des données lors de transfert et du stockage, le droit d'accès des personnes concernées. 

Par ailleurs, suite à la consultation tenue en décembre 2011 (billet), la Federal Trade Commission poursuit ses travaux sur la reconnaissance faciale. Elle a indiqué, en juillet dernier, devant le "subcommittee on privacy, technology and the law" du Sénat qu'elle entend publier un rapport à ce sujet d'ici la fin de l'année 2012.

"The Commission intends to release a report this year laying recommended best pratices for the use of facial recognition technologies [...]. In developing the report, the Commission is considering the following questions.
First, the Commission is considering ways in which companies using facial recognition technologies can implement "privacy by desing" [...]
Second, the Commission is examining how companies that use these technologies can provide consumers with simplified choices about the collection and use of their data. [...]
Finally, the Commission is considering how companies using facial recognition can increase the transparence of their data practices. [...]"

(Source: FTC Testimony, p. 11-12)

Reste donc à connaître les conclusions des enquêtes des autorités de protection et du rapport du FTC ... à suivre donc.

[Ajout du 28-08-2012] En attendant il est possible de lire le billet,  de la Commission nationale pour la protection des données du Grand-Duché du Luxembourg, sur les enquêtes menées en Allemagne et en Norvège, intitulé "Reconnaissance faciale sur Facebook: enquêtes en Allemagne et en Norvège". 

États-Unis: vers une révision du Privacy Act of 1974 ?

La collecte, l'utilisation et la communication de renseignements personnels par les organismes publics fédéraux sont encadrées, aux États-Unis, par le Privacy Act of 1974:

"The Privacy Act of 1974, 5 U.S.C. § 552a, establishes a code of fair information practices that governs the collection, maintenance, use, and dissemination of information about individuals that is maintained in systems of records by federal agencies. A system of records is a group of records under the control of an agency from which information is retrieved by the name of the individual or by some identifier assigned to the individual.

The Privacy Act requires that agencies give the public notice of their systems of records by publication in the Federal Register. [...] The Privacy Act prohibits the disclosure of a record about an individual from a system of records absent the written consent of the individual, unless the disclosure is pursuant to one of twelve statutory exceptions. The Act also provides individuals with a means by which to seek access to and amendment of their records, and sets forth various agency record-keeping requirements."

(Source: US Department of Justice)

Cette loi fait, depuis quelque temps, l'objet de discussions pour l'adapter aux changements technologiques. 

Par exemple, le sénateur Akaka a déposé, en octobre 2011, un projet de loi intitulé Privacy Act Modernization for the Information Age Act of 2011 - S. 1732. 

Le sous-comité "Oversight of Government Management" du comité "Homeland Security and Government Affairs" du Sénat a tenu une audience, le 31 juillet 2012, sur ce projet de loi. 

Lors de cette audience, le sénateur Akaka a présenté son projet et, par la suite ont notamment été entendu des représentants du U.S. Department of Homeland Security (rapport), du Federal Retirement Thrift Investment Board (rapport), du U.S. Government Accountability Office (rapport), de l'Ohio State University (rapport), de l'American Civil Liberties Union (rapport) et de The Heritage Foundation (rapport).

Lors de cette audience plusieurs sujets ont été abordés, notamment les enjeux du Web 2.0, de l'infonuagique, des violations de données (data breaches), de l'évaluation des facteurs relatifs à la vie privée (privacy impact assessments ou PIA). 

Reste à savoir quelles seront les suites de cette audience ... à suivre donc.

Australie: Google, WiFi et vie privée

Le 6 août 2012, l'Office of the Australian Information Commissionner a répondu à la lettre que Google a fait parvenir, le 27 juillet 2012, aux autorités de contrôle au sujet des données dites "de contenu". On peut y lire: 

"I [i.e. Timothy Pilgrim, Privacy Commissioner] do not require Google to retain the additional payload data and, unless there is a lawful purpose for its retention, Google should immediately destroy the data. Once this has occurred I would like confirmation from an independent third party that the data has been destroyed.  Further, I would also request that Google undertakes an audit to ensure that no other disks containing this data exist, and to advise me once this audit is completed."

(Source: OAIC, Lettre du 6 août 2012)

Et, le 9 août, l'entreprise a fait savoir que les disques contenants lesdites données ont été détruit (+ lettre de confirmation du tiers indépendant). 

• OFFICE OF THE AUSTRALIAN INFORMATION COMMISSIONNER, 
• "Google Street View Wi-Fi Collection - update", Media Statement, August 10, 2012. 
• "Google Street View Wi-Fi Collection", Media Statement, August 7, 2012. 
• "Google Street View Wi-Fi Collection - letter to OAIC", July 27, 2012. 

N.B: L'Information Commissioner’s Office (ICO) du Royaume-Uni (billet) et la Commission nationale de l'informatique et des libertés en France (billet) ont répondu différemment à l'annonce de Google. 

FTC: Google et Facebook

Début août, la Federal Trade Commission a annoncé que Google a accepté de payer une amende de 22,5 millions de dollars pour mettre fin à des poursuites relatives à la surveillance des utilisateurs de Safari, le navigateur d'Apple, par le biais de cookies.

• FEDERAL TRADE COMMISSION, "Google Will Pay $22.5 Million to Settle FTC Charges it Misrepresented Privacy Assurances to Users of Apple's Safari Internet Browser", News Release, August 9, 2012.

La FTC a également finalisé l'accord conclu avec Facebook en novembre dernier (billet). Selon cet accord, l'entreprise doit prendre les mesures nécessaires pour obtenir le consentement explicite des utilisateurs avant d'échanger leurs renseignements personnels pour des finalités autres que celles inscrites dans leurs préférences. Elle accepte également de se soumettre à des audits indépendants tous les deux ans pendant les 20 prochaines années.

• FEDERAL TRADE COMMISSION, "FTC Approves Final Settlement With Facebook", News Release, August 10, 2012.

CNIL: Google, WiFi et vie privée

Tout comme l'Information Commissioner’s Office (ICO) du Royaume-Uni (billet), et d'autres autorités de protection européenne, la Commission nationale de l'informatique et des libertés a été avisée par Google que l'entreprise détient toujours une partie des données dites "de contenu" (identifiants, mots de passe, données de connexion, échanges de courriels) collectées via des réseaux WiFI dans le cadre de Google Street View. 

La CNIL, à l'instar de l'ICO, "a demandé à Google de mettre à sa disposition les données en question et de les conserver de manière sécurisée le temps de pouvoir mener toutes les investigations nécessaires". (Source: Cnil, 31 juillet 2012)

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, "Street View : la CNIL demande à examiner les données conservées par Google", 31 juillet 2012.  

• "Google veut effacer les données recueillies par Street View", La Presse, 31 juillet 2012.
• "Street View: la CNIL veut examiner les données conservées par Google", Le Monde, 31 juillet 2012. 
• Eric PFANNER, "Google Failed to Delete Street View Data in France", The New York Times, July 31, 2012. 

Royaume-Uni: Google, WiFi et vie privée

Voir la lettre de Google et la réponse de l'Information Commissioner’s Office du Royaume-Uni concernant l'interception par Google de renseignements personnels via des réseaux WiFi dans le cadre de Google Street View et leur conservation.

• GOOGLE, Re: Google Street View WiFi Collection (lettre), July 27, 2012.
• ICO, Re: Google Street View WiFi Collection (réponse), July 27, 2012.

Hong Kong: Google et vie privée

L'Office of Privacy Commissioner for Personal Data (OPCPD) d'Hong Kong, à l'instar de plusieurs autorités de protection des renseignements personnels, a demandé à Google d'apporter des précisions sur la politique de confidentialité entrée en vigueur le 1er mars 2012. 

Une conférence de presse a été organisée, le 26 juillet 2012, pour fait état du résultat des discussions qui ont eu lieu entre l'OPCPD et Google. 

Ainsi on peut lire sur le site de l'OPCPD que: 

" 1. At a press briefing today (26 July 2012), the Privacy Commissioner for Personal Data, Mr. Allan Chiang, reported some improvements in Google’s new privacy policy subsequent to the dialogue and exchange of correspondence that his Office (“PCPD”) had with Google since February 2012. The success represented the efforts of multi-jurisdictions on data protection, with Hong Kong acting as the convenor of the Technology Working Group (“TWG”) of the Asia Pacific Privacy Authorities (“APPA”). 

2. Mr. Chiang explained, “From a privacy and data protection perspective, our concerns, inter alia, have been:-
(a) No opt-out options to users for combining their account data - Not all users would feel comfortable to allow Google to combine their personal data across multiple Google services, especially those users who use Google services for personal and professional purposes. Users should be allowed to opt-out of the arrangement. Google should enable and educate users on how they may maintain separate identities when using Google services.
(b) Readability of privacy policy should not be at the expense of details -  The unified Google privacy policy becomes so high-level that it is hard for users to know what information is being shared, how and why (especially when one only registers for a few of Google’s services). Furthermore, certain details in the previous policies (such as the time commitment to honour an erasure request) appear to have been left out in the new policy. 
(c) Effects to Android users - Android users are greatly affected as they have to log on Google in order to meaningfully use Android. Google should provide more details to this group of users on how the change affects them.”

3. PCPD has directly clarified with Google US on the changes. Some notable clarifications are:
(a) No combining information across multiple accounts – Google confirmed that it does not combine information across different accounts even if they have the same registration details (such as name, gender, date of birth), created/accessed from the same computer. It also confirmed that the only change was to allow sharing of information collected in search engine and YouTube with other Google services;
(b) User can create and use multiple Google accounts - Google confirmed that many of its services; support the switching between logged in accounts;
(c) Coverage of the combined policy – Google confirmed that the combined policy applies to all Google services without exception. However, in addition to the combined policy, the following products have additional privacy policies: Chrome and Chrome OS, Books and Wallet;
(d) Clarification on sharing information – Google confirmed that they would only share user information to external parties with the user’s consent (e.g. Google+ users having shared their postings to the public on one occasion would be taken as giving consent, by default, to share their subsequent postings).

4. PCPD also noted that some improvements in Google’s new privacy policy have been made. For example, there are now more ways to access privacy-related information. Also, as a response to customers’ wish to opt out of data combination across multiple services, Google allows multiple accounts to be used simultaneously in some of its services (such as Gmail and iGoogle).

5. “In terms of fully addressing the privacy concerns we have raised, we are far from satisfied with Google’s clarifications and improvements done. For example, up to now, we are still unable to obtain detailed information from Google on what and how information stored in Android phones would be accessible and shared by Google,” Mr. Chiang commented.

6. Hong Kong’s concerns are shared by the Privacy Commissioners, Data Protection Authorities and consumer groups worldwide. In particular, the French CNIL, on behalf of the European Union data protection authorities, has commenced an investigation into the lawfulness and fairness of Google’s aggregation of users’ personal data across services.

7. “To seek Google’s further improvement in personal data protection, PCPD will continue to co-operate with other APPA members in confronting Google. We will also keep in view and capitalize on the investigative efforts of CNIL,” Mr. Chiang pointed out.

8. While the enquiry with Google is still on-going, PCPD’s advice to Google users in the meantime is as follows:-
(a) if they are concerned about their information collected by Google, they should visit the Dashboard (www.google.com/dashboard) to examine what account and profile information are stored by Google, particularly search records in Web history and YouTube history, and removing/pausing them accordingly;
(b) if they wish to opt-out from Google advertisements that are based on the users’ interests and demographic details, they should access the Ad Preference Manager (www.google.com/ads/preferences) to inspect/modify/remove the categories Google has assigned to them for advertising purposes, and consider to download a browser plug-in from this page;
(c) if they are concerned about Google mixing together the information related to their personal, work or other affairs, they should consider creating multiple Google accounts to manage these activities; and
(d) if they are Android users concerned about the storage of location history by Google and sharing the information with other services, they should consider (i) disabling various options under Location services when not in use, and (ii) erasing and disabling Latitude location information in the Dashboard."

(Source: OPCPD, Media Statement, July 26, 2012)

 

- OFFICE OF PRIVACY COMMISSIONNER FOR PERSONAL DATA FOR HONG KONG, "Privacy Commissioner reports improvements in Google's new privacy policy", Media Statement, July 26, 2012. 

  

CNIL: rapport d'activité 2011

La Commission nationale de l'informatique et des libertés vient de publier son 32e rapport d'activité. 

Elle y fait le point sur ses nouvelles missions en matière de vidéoprotection, de labellisation, de notification des violations de données à caractère personnel. Elle met de l'avant certaines de ses préoccupations: les téléphones intelligents, les jeunes et les réseaux sociaux, la protection de l'identité, la géolocalisation, l'infonuagique, les alertes professionnelles. Elle revient sur le rôle des correspondants informatique et libertés (CIL). Elle met l'accent sur l'augmentation du nombre de plaintes reçues: 5738. Elle annonce ses thèmes de réflexions pour 2012: la révision de la Directive 95/46/CE et l'implantation d'une culture de protection des données au sein des entreprises. 

Voici pour un rapide survol du rapport ... à suivre. 

Pour aller plus loin, 

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, 32e Rapport d'activité 2011, Paris, Direction de l'information légale et administrative, 2012.

CNIL: sécurité et gestion des risques

Un organisme public ou une entreprise qui collecte, utilise ou communique des données à caractère personnel doit assurer la sécurité de celles-ci. Pour ce faire, "le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès" (art. 34 Loi Informatique et Libertés).

Pour aider le responsable du traitement à respecter cette obligation, la Commission nationale de l'informatique et des libertés (CNIL) vient de publier deux guides qui viennent compléter celui paru en 2010. Retour en arrière.

2010: La CNIL publie un guide intitulé La sécurité des données personnelles composé de 17 fiches thématiques s'adressant "à tout responsable de traitement ainsi qu'à toute personne disposant d'un minimum de connaissances informatiques (administrateur système, développeur, responsable de la sécurité des systèmes d'information, utilisateur ...) et souhaitant évaluer le niveau de sécurité dont doit bénéficier tout traitement de données à caractère personnel" (p. 1). La CNIL y rappelle ce qu'est un risque

"un risque est un scénario qui combine une situation crainte (atteinte de la sécurité des traitements et ses conséquences) avec toutes les possibilités qu'elle survienne (menaces sur les supports des traitements). On estime son niveau en termes de gravité (ampleur et nombre des impacts) et de vraisemblance (possibilité/probabilité qu'il se réalise)" (p. 6).

Pour chacune des fiches, la CNIL indique les précautions à prendre, ce qu'il faut éviter de faire et donne des pistes pour aller plus loin. Ces fiches portent notamment sur l'authentification des utilisateurs, la sécurité des postes de travail, des locaux, du réseau informatique, la maintenance, l'informatique mobile, la sous-traitance, l'échange d'informations avec d'autres organismes, l'anonymisation ou encore le chiffrement.

La même année, la CNIL propose un quiz sur la sécurité qui permet aux responsables de traitement "de faire le point sur les mesures prises et celles qui restent à prendre pour mieux protéger les données personnelles".

2012: La CNIL publie deux guides: le premier est une méthode, le second est un catalogue de bonnes pratiques.

Le premier intitulé Gérer les risques sur les libertés et la vie privé "présente une méthode pour gérer les risques que les traitements de données à caractère personnel (DCP) peuvent faire peser sur les personnes concernées" (p. 3).

Il y est rappelé que les "risques sont composés d'un évènement redouté (que craint-on ?) et de toutes les menaces qui le rendent possible (comment cela peut-il arriver ?)" (p. 5). Parmi les évènements redoutés, on retrouve la modification du traitement, l'accès illégitime aux données, leur modification ou encore leur perte. Les menaces quant à elles peuvent provenir de personnes internes ou externes à l'organisme ou de virus informatique, de catastrophe naturelle. Ces menaces sont accidentelles ou délibérées. Elles peuvent conduire à un détournement d'usage, un espionnage ou encore à une détériorations des supports.

Le responsable du traitement doit donc évaluer le niveau de risque, lequel "est estimé en termes de gravité ["elle dépend essentiellement du caractère identifiant des DCP et du caractère préjudiciables des impacts potentiels"] et de vraisemblance [elle dépend essentiellement des vulnérabilités des supports face aux menaces et des capacités des sources de risques à les exploiter"]" (p. 7).

Et pour pouvoir évaluer adéquatement un risque, "employer une démarche de gestion des risques est la manière la plus sûre de garantir l'objectivité et la pertinence des choix à effectuer lors de la mise en place d'un traitement." (p. 8).

Le guide propose une démarche en cinq étapes:

• étude du contexte: de quoi parle-t-on ? 
• éléments/supports à protéger, bénéfices du traitement, sources de risques, références à respecter.(p. 9-10)
• étude des évènements redoutés: que craint-on qu'il arrive ? 
• détermination des impacts potentiels, estimation du caractère identifiant / préjudiciable (négligeable, limité, important, maximal), gravité. (p. 11-13)
• étude des menaces: comment cela peut-il arriver ? (si besoin) 
• estimation de la vulnérabilité des supports et des capacités des sources de risques (négligeable, limité, important, maximal), vraisemblance. (p. 14-16)
• étude des risques: quel est le niveau des risques ? (si besoin)
• études des mesures: que peut-on faire pour traiter les risques ?
• déterminer les mesures existantes ou prévues, ré-estimer la gravité et la vraisemblance des risques résiduels, expliquer pourquoi les risques résiduels peuvent être acceptés (p. 19-22)

Le second intitulé Mesures pour traiter les risques sur les libertés et la vie privée "est un catalogue de bonnes pratiques destinées à traiter les risques que les traitements de données à caractère personnel (DCP) peuvent faire peser sur les libertés et la vie privée des personnes concernées. Il complète la méthode de gestion des risques sur les libertés et la vie privée de la CNIL. Il aide à déterminer des mesures proportionnées aux risques identifiés avec cette méthode" (p. 4). 

Ces bonnes pratiques sont destinées à agir sur les éléments à protéger, les impacts potentiels, les sources de risques et les supports.

• éléments à protéger - il convient entre autres de minimiser les DCP, de gérer la durée de leur conservation, de les chiffrer, de les anonymiser, d'informer et d'obtenir le consentement des personnes concernées, d'accorder un droit d'opposition, d'accès et de rectification - il convient de prévoir les spécificités relatives, notamment, aux cookies, à la géolocalisation, à la publicité ciblée, aux recherches sur des prélèvements biologiques identifiants, à l'accès aux dossiers médicaux, aux bases de données. (p. 5-26)
• impacts potentiels - il convient entre autres de sauvegarder les DCP pour assurer leur disponibilité et/ou leur intégrité tout en protégeant leur confidentialité, de tracer l'activité sur le système informatique afin de détecter les incidents de sécurité, de gérer les violation de DCP - il convient de prévoir notamment les spécificités du hachage, de la signature électronique, des codes d'authentification, des postes clients, des serveurs, de l'équipement réseau. (p. 27-37)
• sources de risques - il convient entre autres de marquer les documents contenant des DCP, , de gérer les personnes internes et les tiers qui ont un accès légitime (clause de confidentialité), de contrôler l'accès logique et physique des personnes, de se protéger contre les sources de risques non humaines - il convient de prévoir notamment les spécificités de l'externalisation, de la maintenance, de l'hébergement mutualisé. (p. 38-57)
• supports - il convient entre autres de réduire la vulnérabilité des logiciels, des matériels, des canaux informatiques, des personnes, des documents papier - il convient de prévoir les spécificités relatives, notamment, aux postes de travail, aux téléphones mobiles, aux bases de données, aux imprimantes, aux outils de prise de main à distance, aux connexions aux équipements actifs du réseau, aux interfaces sans fil, au fax. (p. 58-77)

Ce guide propose également des actions transversales visant, entre autres, à désigner un responsable des traitements au sein de l'organisation, à établir une politique de protection de la vie privée, à intégrer la protection de la vie privée dans les projets. (p. 78-83)

Pour aller plus loin,

• COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS"
  • Sécurité des données personnelles : un guide pour agir et un test pour s'évaluer", Article, 7 octobre 2012. 
• Guide - La sécurité des données personnelles, Édition 2010.
• Quiz sur la sécurité.
• "Deux nouveaux guides sécurité pour gérer les risques sur la vie privée", Article, 4 juillet 2012.
• Guide - Gérer les risques sur les libertés et la vie privée, Édition 2012.
• Mesures pour traiter les risques sur les libertés et la vie privée, Édition 2012.

Europe: avis sur l'infonuagique

Le 1er juillet, le Groupe de l'article 29 a publié un avis sur l'infonuagique: Opinion 05/2012 on Cloud Computing dans lequel il est notamment fait mention 

• des risques quant à la protection des données personnelles (manque de contrôle et d'informations quant au processus), 
• du cadre légal applicable (i.e. Directive 95/46/CE, Directive 2002/58/CE révisée par 2009/135/CE), 
• des devoirs et responsabilités de chacun des intervenants, 
• des exigences quant à l'encadrement des données (i.e. transparence, limitation d'utilisation, sécurité, confidentialité, disponibilité, intégrité, responsabilité), 
• de la problématique des transferts internationaux. 

Dans sa conclusion, le Groupe insiste sur le fait que

"Businesses and administrations wishing to use cloud computing should conduct, as a first step, a comprehensive and thorough risk analysis. This analysis must address the risks related to processing of data in the cloud (lack of control and insufficient information) by having regard to the type of data processed in the cloud. Special attention should also be paid to assessing the legal risks regarding data protection, which concern mainly security obligations and international transfers. The processing of sensitive data via cloud computing raises additional concerns. Therefore without prejudice to national laws such processing requires additional safeguards. The conclusions below are meant to provide a checklist for data protection compliance by cloud clients and cloud providers based on the current legal framework; some recommendations are also provided with a view to future developments in the regulatory framework at EU level and beyond [il en va notamment ainsi des points suivants: "better balancing of responsabilities between controller and processor", "access to personal data for national security and law enforcement purposes", "special precautions by the public sector", "European Cloud Partnership""

(Source: Opinion 05/2012, p. 19 et 23)

Pour plus de détails, 

• ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 05/2012 on Cloud Computing, WP 196, July 1st, 2012.