Est-ce que la lecture résiste bien face aux réseaux sociaux chez les ados ?

Quelle que soit leur origine sociale ou ethnique, leur sexe, la tendance est la même. Les médias numériques ont tout balayé sur leur passage. Plutôt inquiétant selon ces chercheurs...[lire la suite]

RGPD Spécial consentement (5/5) : Le consentement doit-il être à nouveau recueilli avec le RGPD ?

Que disent les textes ?

> Articles 4, 6 et 7 et considérants 42) et 43) du RGPD. 

> Lignes directrices sur le consentement prévu par le règlement (UE) 2016/679 (WP 259) 

[lire la suite]

RGPD Spécial consentement (1/5) : Qu’est-ce que le consentement ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

RGPD Spécial consentement (4/5) : Que change le RGPD ?

RGPD Spécial consentement (5/5) : Le consentement doit-il être à nouveau recueilli avec le RGPD ?

RGPD Spécial consentement (4/5) : Que change le RGPD ?

Le RGPD n’a pas modifié substantiellement la notion de consentement. Il a en revanche clarifié sa définition et l’a renforcé, en l’assortissant de certains droits et garanties :

• Droit au retrait : la personne doit avoir la possibilité de retirer son consentement à tout moment, par le biais d’une modalité simple et équivalente à celle utilisée pour recueillir le consentement (par exemple, si le recueil s’est fait en ligne, il doit pouvoir être retiré en ligne également).

• Preuve du consentement : le responsable du traitement doit être en mesure de démontrer à tout moment que la personne a bien consenti, dans des conditions valides.

Pour ce faire, les responsables du traitement doivent documenter les conditions de recueil du consentement. La documentation doit permettre de démontrer :

• la mise en place de mécanismes permettant de ne pas lier le recueil du consentement, notamment à la réalisation d’un contrat (consentement « libre »)
• la séparation claire et intelligible des différentes finalités de traitement (consentement « spécifique » ou « granularité du consentement »)
• la bonne information des personnes (consentement « éclairé »)
• le caractère positif de l’expression du choix de la personne (consentement « univoque »)

Les responsables du traitement peuvent notamment tenir un registre des consentements, qui peut s’insérer dans la documentation plus générale de l’organisme.

Le RGPD prévoit des conditions particulières de consentement pour certaines situations :

• Consentement des mineurs : pour les services de la société de l’information (réseaux sociaux, plateformes, newsletters, etc.), le traitement des données personnelles d’un enfant fondé sur le consentement n’est licite, par principe, que si l’enfant est âgé d’au moins 16 ans.

Lorsque l’enfant est âgé de moins de 16 ans, le traitement n’est licite que si le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant. Le RGPD permet aux Etats membres de faire varier cet âge, en dessous duquel le consentement doit être donné par les parents, entre 13 et 16 ans.

En France, l’âge retenu est de 15 ans : les enfants de 15 ans ou plus peuvent consentir eux-mêmes au traitement de leurs données fondé sur le consentement dans le cadre des services de la société d’information. Entre 13 et 15 ans, la loi « Informatique et Libertés » impose le recueil du consentement conjoint de l’enfant et du titulaire de l’autorité parentale. En-dessous de 13 ans, seuls les titulaires de l’autorité parentale peuvent consentir au traitement de ces données.

• Consentement explicite : dans certains cas, le consentement doit être explicite. Cette caractéristique fait référence à la modalité d’expression du consentement : il est nécessaire de disposer d’une déclaration expresse de la part de la personne concernée, ce qui suppose une attention particulière et la mise en place de mécanismes ad hoc par le responsable du traitement.

Il s’agit des cas où il existe un risque sérieux sur la protection des données et qui nécessitent un plus haut degré de contrôle de l’individu : il est par exemple exigé pour le traitement des données sensibles ou pour permettre la prise de décision entièrement automatisée.

Pour s’assurer d’un consentement explicite, le responsable du traitement peut par exemple :

• prévoir une case de recueil du consentement spécifiquement dédiée au traitement des données sensibles
• demander une déclaration écrite et signée par la personne concernée ou l’envoi d’un courriel indiquant que la personne accepte expressément le traitement de certaines catégories de données
• recueillir le consentement en deux étapes : envoi d’un courriel à la personne concernée qui doit ensuite confirmer sa première action de consentement

[lire la suite]

RGPD Spécial consentement (1/5) : Qu’est-ce que le consentement ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

RGPD Spécial consentement (4/5) : Que change le RGPD ?

RGPD Spécial consentement (5/5) : Le consentement doit-il être à nouveau recueilli avec le RGPD ?

RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

4 critères cumulatifs doivent être remplis pour que le consentement soit valablement recueilli. Le consentement doit être :

1. Libre : le consentement ne doit pas être contraint ni influencé. La personne doit se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus.

Le caractère libre du consentement doit faire l’objet d’une attention particulière dans le cas de l’exécution d’un contrat, y compris pour la fourniture d’un service : refuser de consentir à un traitement qui n’est pas nécessaire à l’exécution du contrat ne doit pas avoir de conséquence sur son exécution ou sur la prestation du service.

Par exemple, un opérateur de téléphonie mobile recueille le consentement de ses clients pour l’utilisation de leurs coordonnées par des partenaires à des fins de prospection commerciale. Le consentement est considéré comme libre à condition que le refus des clients n’impacte pas la fourniture du service de téléphonie mobile.

 

2. Spécifique : un consentement doit correspondre à un seul traitement, pour une finalité déterminée.

Dès lors, pour un traitement qui comporte plusieurs finalités, les personnes doivent pouvoir consentir indépendamment pour l’une ou l’autre de ces finalités. Elles doivent pouvoir choisir librement les finalités pour lesquelles elles consentent au traitement de leurs données.

Par exemple, un organisateur d’évènements culturels souhaite recueillir le consentement des spectateurs pour deux types de prestations : la conservation de leurs coordonnées de paiement (carte bancaire) afin de faciliter leurs prochaines réservations ; la collecte de leur adresse électronique pour leur adresser des courriels concernant des prochaines représentations. Pour que le consentement soit valide, les spectateurs doivent pouvoir consentir librement et séparément pour chacun de ces deux traitements : la conservation des coordonnées bancaires et l’utilisation de leur adresse électronique.

 

3. Eclairé : pour qu’il soit valide, le consentement doit être accompagné d’un certain nombre d’informations communiquées à la personne avant qu’elle ne consente.

Au-delà des obligations liées à la transparence, le responsable du traitement devrait fournir les informations suivantes aux personnes concernées pour recueillir leur consentement éclairé :

• l’identité du responsable du traitement ;
• les finalités poursuivies ;
• les catégories de données collectées ;
• l’existence d’un droit de retrait du consentement ;
• selon les cas : le fait que les données seront utilisées dans le cadre de décisions individuelles automatisées ou qu’elles feront l’objet d’un transfert vers un pays hors Union européenne.

4. Univoque : le consentement doit être donné par une déclaration ou tout autre acte positif clairs. Aucune ambiguïté quant à l’expression du consentement ne peut demeurer.

Les modalités suivantes de recueil du consentement ne peuvent pas être considérées comme univoques :

• les cases pré-cochées ou pré-activées
• les consentements « groupés » (lorsqu’un seul consentement est demandé pour plusieurs traitements distincts)
• l’inaction (par exemple, l’absence de réponse à un courriel sollicitant le consentement)

[lire la suite]

RGPD Spécial consentement (1/5) : Qu’est-ce que le consentement ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

RGPD Spécial consentement (4/5) : Que change le RGPD ?

RGPD Spécial consentement (5/5) : Le consentement doit-il être à nouveau recueilli avec le RGPD ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

Le consentement des personnes doit-il être systématiquement recueilli ?

Non : le consentement est l’une des 6 bases juridiques prévues par le RGPD qui autorisent la mise en œuvre de traitements de données à caractère personnel.

Les responsables du traitement peuvent procéder à des traitements en s’appuyant sur une autre base légale, comme par exemple l’exécution d’un contrat ou leur intérêt légitime. La base légale appropriée doit être déterminée par le responsable du traitement de manière adaptée à la situation et au type de traitement concerné.

En revanche, le consentement de la personne est systématiquement requis pour certains traitements, encadrés par des dispositions légales spécifiques : par exemple, pour réaliser de la prospection commerciale par courriel…[lire la suite]

RGPD Spécial consentement (1/5) : Qu’est-ce que le consentement ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

RGPD Spécial consentement (4/5) : Que change le RGPD ?

RGPD Spécial consentement (5/5) : Le consentement doit-il être à nouveau recueilli avec le RGPD ?

RGPD : Comment remplir le registre CNIL ?

Le principe d’accountability est la responsabilisation des opérateurs afin d’assurer une protection optimale des données personnelles qu’ils traitent de manière continue. Les responsables de traitements et les sous-traitants devront mettre en place des mesures de protection des données appropriées et démontrer cette conformité à tout moment (= documenter la conformité). Tout au long du processus de traitement des données, le responsable du traitement devra non seulement garantir mais aussi être en mesure de démontrer qu’il respecte les droits des personnes au regard des finalités du traitement et des risques inhérents au traitement.

Vous devrez renseigner notamment :

Objectifs poursuivis
Décrivez clairement l’objet du traitement de données personnelles et ses fonctionnalités.
Exemple : pour une activité « formation des personnels » : suivi des demandes de formation et des périodes de
formation effectuées, organisation des sessions et évaluation des connaissances.

Catégories de personnes concernées
Listez les différents types de personnes dont vous collectez ou utilisez les données.
Exemples : salariés, usagers, clients, prospects, bénéficiaires, etc.

Catégories de données collectées
Listez les différentes données traitées
Etat-civil, identité, données d’identification, images (nom, prénom, adresse, photographie, date et lieu
de naissance, etc.)
Vie personnelle (habitudes de vie, situation familiale, etc.)
Vie professionnelle (CV, situation professionnelles, scolarité, formation, distinctions, diplômes, etc.)
Informations d’ordre économique et financier (revenus, situation financière, données bancaires, etc.)
Données de connexion (adresses Ip, logs, identifiants des terminaux, identifiants de connexion, informations d’horodatage, etc.)
Données de localisation (déplacements, données GPS, GSM, …)
Internet (cookies, traceurs, données de navigation, mesures d’audience, …)

• Contrôle d’accès des utilisateurs ;
• Mesures de traçabilité Précisez la nature des traces (exemple : journalisation des accès des utilisateurs), les données enregistrées (exemple : identifiant, date et heure de connexion, etc.) et leur durée de conservation ;
• Mesures de protection des logiciels (antivirus, mises à jour et correctifs de sécurité, tests, etc.)
• Sauvegarde des données ;
• Chiffrement des données (exemple : site accessible en https, utilisation de TLS, etc.);
• Contrôle des sous-traitants ;
• Autres mesures.

RGPD Spécial consentement  (1/5) : Qu’est-ce que le consentement des personnes ?

RGPD Spécial consentement (1/5) : Qu’est-ce que le consentement ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

RGPD Spécial consentement (4/5) : Que change le RGPD ?

RGPD Spécial consentement (5/5) : Le consentement doit-il être à nouveau recueilli avec le RGPD ?

Un organisme présidé par le maire d’une commune sanctionné par la CNIL

C’est une première. Le 31 juillet, la Commission nationale de l’informatique et des libertés (CNIL) a infligé une amende de 30 000 euros à Archipel Habitat, l’office HLM de la métropole de Rennes présidé par la maire (PS) de la ville, Nathalie Appéré. Le gendarme des fichiers lui reproche d’avoir adressé à ses locataires une lettre au ton trop critique à propos de la décision du gouvernement de réduire les aides personnalisées au logement (APL) et les loyers des organismes HLM.

« Après une première baisse de 5 euros par mois, le gouvernement vient d’annoncer son intention de diminuer, dès le 1er janvier 2018, de 60 euros par mois en moyenne les APL des locataires du parc social. Cette mesure est injuste car elle vise exclusivement les personnes logées dans le parc social et marque ainsi une vraie rupture d’égalité au sein de la population », écrivait Mme Appéré aux 12 500 locataires – dont ceux qui ne perçoivent pas d’APL –, le 9 octobre 2017.

Elle ajoutait : « Compensée par une diminution des loyers, cette orientation, si elle devait se mettre effectivement en œuvre, aurait des répercussions terribles sur la qualité de votre cadre de vie. » Pour Archipel Habitat, cette ponction de l’Etat se chiffre à plus de 7 millions d’euros, soit 12 % de ses loyers, donc de sa capacité à construire et rénover….[lire la suite]

Une mairie victime d’un cryptovirus risque t-elle une amende de la CNIL ? 

On peut d’abord lire en tête d’article : « Depuis jeudi dernier, la mairie de la Croix-Valmer est victime d’un virus qui crypte ses données. Et avec le renforcement de la loi protégeant les données personnelles, l’amende pourrait être salée ».

Quelqu’un peut m’expliquer le rapport entre être victime d’un cryptovirus et RGPD ? 

On peut lire un peu plus loin :

« L’amende de la CNIL (Commission nationale de l’informatique et des libertés, NDLR) pour un défaut de sécurité concernant les données personnelles peut désormais atteindre un montant de 2% du chiffre d’affaires mondial pour une entreprise ou 10 millions d’euros maximum » nous explique Frédéric Lionetti expert cybersécurité, au cabinet Aerial. »

Pour rappel, la victime d’un cryptovirus voit ses données chiffrées et donc devenues illisibles et inutilisables. Les données ainsi modifiées sont anonymisées, ne sont plus des données à caractère personnel et donc ne sont plus soumises au RGPD.

Comment la CNIL pourrait sanctionner un organisme en raison du fait qu’il ne dispose plus de données à caractère personnel ?

Pour un manquement à l’obligation de sécurité mentionnée dans l’article 32 du RGPD ?

Rappel Article 32  : Le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins:
a) la pseudonymisation et le chiffrement des données à caractère personnel;

Le RGPD conseille le chiffrement

Encore faut-il prouver qu’une personne non autorisée ou non habilitée a eu accès aux données. Dans le cas d’un cryptovirus, il ne s’agit pas d’une personne qui a pu accéder aux données mais un programme informatique (certes malveillant).

Bouquet final, l’article se termine par :

« L’apparition d’affaires similaires pourraient se multiplier. En effet, avant la RGPD, personne n’était obligé de déclarer les attaques informatiques. Aujourd’hui, la CNIL oblige de communiquer toutes les fuites de données personnelles, comme c’est le cas depuis plusieurs années aux Etats-Unis. »

L’attaque par cryptovirus et la fuite de données sont 2 choses différentes. Si la fuite de données n’a pas été prouvée, les victimes  n’ont donc aucune déclaration de violation de données à effectuer à la CNIL.

Reste l’approche par l’impact pour les personnes concernées ?

Impossible d’apporter de service au citoyens ?
C’est le rôle des sauvegardes de pallier à cette carence et une fois de plus, si les sauvegardes n’ont pas fonctionné ou se sont aussi faîtes crypter, autant tout de suite changer d’informaticien et porter plainte contre celui qui n’a pas respecté les règles de l’art en matière de disponibilité des données. A sa place, je trouverai vite une solution pour récupérer les données et les réparer à mes frais…

A mon avis, cette Mairie ne risque rien de la part de la CNIL.

Ces avis n’engagent que moi. N’hésitez pas à réagir pour me donner votre avis.

Réagissez à cet article

La CNIL aussi se penche sur l’Affaire Benalla : la durée de conservation des vidéos pose problème

La Commission nationale informatique et liberté (Cnil) a confirmé mardi avoir déclenché une enquête concernant la durée de conservation des images de vidéosurveillance par la Préfecture de police (PP) de Paris, alors que le délai légal est normalement de 30 jours. « Il s’agit d’un contrôle sur pièce afin de vérifier les modalités de conservation des vidéos » par la PP, a-t-on confirmé à la Cnil. Un contrôle sur pièce consiste en une série de questions écrites adressées à la PP.

Des images transmises par trois policiers à Alexandre Benalla

Cette enquête est une des nombreuses conséquences de l’affaire Benalla. Elle prend sa source dans la transmission par des fonctionnaires de la PP à Alexandre Benalla des images de vidéosurveillance de la place de la Contrescarpe à Paris datant des événements du 1er mai, pour lesquels trois enquêtes sont en cours. Plus que la transmission des images, la Cnil se penche sur le fait qu’elles aient été conservées au-delà du délai légal de 30 jours, sans la moindre décision d’un juge en ce sens….[lire la suite]