Vie privée et réseaux sociaux : les bons élèves de la CNIL (et les autres)

A lire sur:  http://www.zdnet.fr/actualites/vie-privee-et-reseaux-sociaux-les-bons-eleves-de-la-cnil-et-les-autres-39782442.htm#xtor=EPR-100

par La rédaction de ZDNet.fr, ZDNet France. Publié le mercredi 12 septembre 2012

Réglementation - La CNIL rappelle les règles de bonne conduite dans la collecte des données sur les réseaux sociaux. L'occasion pour la Commission de distribuer de bons points à des services moins connus que Facebook ou Twitter, mais plus respectueux des données personnelles.
La Commission nationale de l'informatique et des libertés (CNIL), notamment en charge de la protection de la vie privée sur les réseaux, vient d'apporter son soutien aux réseaux sociaux qui s'engagent pour le respect de la confidentialité des données personnelles. Le communiqué est daté du 10 septembre.
Partant du constat que "le fonctionnement de la majorité des réseaux sociaux repose sur la mise à disposition d'un service gratuit en contrepartie d'une collecte d'informations pour une utilisation commerciale," la CNIL met en garde sur le risque pour la vie privée : "Il est difficile de déterminer le devenir de ces informations une fois qu'elles sont sur le réseau."
Accompagnement de la CNIL
Chacun connait les débats liés à l'utilisation des données personnelles par Facebook ou Twitter, par exemple. La CNIL estime qu'en dehors de ces géants, épinglés à un moment ou à un autre sur leur politique en matière de vie privée, on trouve de bons élèves, plus protecteurs pour les données de l'internaute.
Parmi ces réseaux plus vertueux, la CNIL met en avant le réseau familial Famcity, ou encore Diaspora, l'alternative Open Source et décentralisée à Facebook. Si le second n'est pas d'origine européenne, et porte cette protection des données dans sa proposition de départ, le premier est un cas qui intéresse particulièrement la CNIL.
En effet, Famcity a bénéficié d'un accompagnement de la CNIL. Celui-ci visait à mettre le réseau social en conformité avec un avis déposé en 2009 par le G29, qui regroupe les CNIL d'Europe.
Cet avis recense un certain nombre de préconisations en vue de protéger la vie privée, comme permettre un droit de rectification et de suppression, même lorsque l'internaute qui en fait la demande n'est pas membre du réseau, ou encore autoriser l'anonymat et renforcer la protection des mineurs.
L'appel du 10 septembre
Autres réseaux félicités par la CNIL pour l'engagement en faveur de la protection des mineurs : Mondokiddo et l'Univers de Wilby, des réseaux sociaux pour enfants, et Leminiréseau et Yoocasa à destination des familles. Deux niches où le besoin de protection de la vie privée est généralement perçue comme particulièrement critique.
Pour étendre ces bonnes pratiques à plus de réseaux sociaux - la CNIL liste également certains services qui ont fait des efforts sur la protection des mineurs - le gendarme de la vie privée lance un appel à s'en inspirer aux autres éditeurs.
Elle rappelle qu'outre les avis et contrôles réalisés, elle est aussi en charge d'un programme d'accompagnement pour la mise en conformité des services en ligne.

CNIL : un nombre « record » de plaintes et une culture de la cybersurveillance

A lire sur:  http://www.zdnet.fr/actualites/cnil-un-nombre-record-de-plaintes-et-une-culture-de-la-cybersurveillance-39773988.htm#xtor=EPR-100

par Christophe Auffray, ZDNet France. Publié le mardi 10 juillet 2012

Chiffres - Illustration des dérives des entreprises en matière d’exploitation des données personnelles ou plus grande sensibilité des citoyens, le nombre de plaintes enregistrées par la Cnil en 2011 a été de 5.738, un « record ». L’autorité pointe une hausse de 59% des plaintes liées à de la « cybersurveillance ».
Dès mars, le gendarme français des données personnelles annonçait un bond du nombre de plaintes reçues en 2011 par rapport à l’année précédente. Cette inflation a été confirmée par la Cnil à l’occasion de la présentation de son rapport d’activité.
Sur le terrain de la confidentialité, le bilan n’est donc pas fameux. La Cnil parle en effet d’un « nombre record de plaintes ». Au cours de l’année dernière, l’autorité en totalise 5.738. C’est 19% de plus qu’en 2010.
Droit à l'oubli : une préoccupation des internautes français
La Cnil explique en partie cette hausse par « l'intérêt de plus en plus marqué des personnes pour la protection de leurs données et de la sensibilité de cette question à l'ère du numérique » ainsi que par la facilitation de la démarche pour déposer une plainte via un service en ligne.
« 26% des plaintes ont été reçues via cnil.fr en 2011, chiffre désormais supérieur à 40% depuis le début de l'année 2012 » indique d’ailleurs la Cnil.
L’examen de l’objet de ces plaintes permet par ailleurs de relever des tendances : l’attachement des citoyens au « droit à l’oubli » avec +42% de plaintes (pour un total de 1.000 plaintes enregistrées en 2011) et un penchant des employeurs pour la cybersurveillance.
Les dispositifs « mis en œuvre par l'employeur pour contrôler l'utilisation des outils informatiques et l'accès à la messagerie électronique » ont été visés par un nombre croissant de plaintes en 2011 (+59%).
A ces dernières s’ajoutent des plaintes liées à la gestion des ressources humaines (670 plaintes), dont la moitié « concerne spécifiquement la surveillance des salariés. » La Cnil précise enfin recevoir un nombre important de plaintes dans les secteurs de la banque, du crédit, et en lien avec la gestion de fichiers commerciaux.

Protection des données : la Cnil pas emballée par le projet de Bruxelles

par Christophe Auffray, ZDNet France. Publié le jeudi 26 janvier 2012

Débat - Autorités nationales cantonnées à un rôle de boîte aux lettres, système pas optimum, régression des droits des citoyens… La Cnil ne mâche pas ses mots envers le projet de réforme de la protection des données personnelles présenté par la Commission européenne.
Le ton est rapidement donné : «  la défense de la vie privée s'éloigne du citoyen » titre la Cnil sur son site Internet, en réaction à la présentation par la commissaire européenne, Viviane Reding, de ses propositions en matière de protection des données personnelles.
Le débat ne se situe pas sur la nécessité de moderniser le cadre juridique actuel. Fondé sur une directive de 1995, Internet et le développement des services en ligne l’ont rendu obsolète. Mais du côté de la Cnil, ce n’est pas l’enthousiasme qui prévaut.
Des avancées, mais "attendues et nécessaires"
Il faut dire que les principales propositions faites par la Commission étaient connues depuis plus de 2 ans. La Cnil parle d’ailleurs d’avancées « substantielles », mais  qui étaient « attendues et nécessaires ». Le service minimum ?
Peut-être, mais le gendarme français de la protection des données personnelles a de sérieuses réserves sur « l'application effective de ces nouvelles avancées ». Donc oui des avancées, mais dont la mise en œuvre serait restreinte par le fonctionnement d’un système qui de l’avis de la Cnil « n'est pas optimum ».
Principal grief soulevé par la Cnil, le fait que « l'autorité compétente soit celle où se situe l'établissement principal d'une entreprise ». En définitive, cela « conduit les autorités nationales à ne jouer qu'un rôle de boîte aux lettres ».
« Concrètement, cela signifie qu'en cas de problème pour un internaute sur un réseau social dont l'établissement principal est implanté dans un autre Etat membre, cette plainte sera traitée par l'autorité de ce dernier » précise la Cnil - ce qui n’est pas le cas en droit de la consommation, rappelle-t-elle.
Des citoyens privés de la protection de l'autorité nationale
Pour les citoyens, cela abouterait à les priver largement « de la protection offerte par leur autorité nationale » ajoute-t-elle, qualifiant dès lors ce projet européen de « régression vis-à-vis des droits des citoyens. »
De manière générale, la réforme proposée par Bruxelles vise, juge la Cnil, à une « centralisation de la régulation de la vie privée au profit d'un nombre limité d'autorités, au profit également de la Commission qui dispose d'un pouvoir normatif important. »
Un avis que n’aurait sans doute pas renié Alex Türk, l’ancien président de la Cnil et du groupe Article 29, regroupant les différentes autorités de protection des données de l’UE. Fin 2010, il s’insurgeait contre le peu de cas fait du sujet par les responsables de l’Europe.
Alex Türk souhaitait ainsi un G29 doté d’un budget autonome afin d’organiser auditions et contrôles, en clair une collaboration plus poussée au niveau européen entre les Cnil des différents Etats membres.

http://www.zdnet.fr/actualites/protection-des-donnees-la-cnil-pas-emballee-par-le-projet-de-bruxelles-39767890.htm#xtor=EPR-100

Les 10 conseils de la Cnil pour protéger les données personnelles sur smartphone

par Christophe Auffray , ZDNet France. Publié le 13 décembre 2011

Sécurité - S’appuyant sur les résultats d’une étude sur les usages des smartphones par les utilisateurs français, la Cnil formule 10 préconisations devant contribuer à une meilleure protection des terminaux et surtout des données personnelles. Seul couac, la confiance affichée par la Cnil vis-à-vis des antivirus, qui sur mobile sont souvent inutiles, inefficaces, et pire, indiscrets.
Les résultats d’une étude auprès d’utilisateurs de smartphone, et réalisée par Médiamétrie pour la Cnil, soulignent la diversité et le nombre croissant de données personnelles stockées sur les smartphones.
Pour l’autorité française de protection des informations personnelles, il est donc impératif d’accompagner ces usages, notamment en sensibilisant et en conseillant les utilisateurs - des utilisateurs qui à 65% estiment que leurs données ne sont pas bien protégées.
Des protections basiques mais négligées
Pour répondre à ces préoccupations, la Cnil préconise, outre la limitation des données stockées, dix mesures, pour la plupart de simple bon sens (ou d’hygiène informatique).  Première préconisation : ne pas désactiver le code PIN et modifier le code par défaut (un conseil en matière de mot de passe qui s’applique aussi au PC).
« Ce conseil peut paraître évident, mais lorsqu’on regarde les sondages, on s’aperçoit qu’il ne l’est pas nécessairement [Ndlr : 27% des utilisateurs négligent ou méconnaissent le verrouillage par code » juge Stéphane Petitcolas, ingénieur au service expertise de la Cnil.
2- Utiliser un code de verrouillage automatique. Selon l’étude, seuls 31% des utilisateurs ont activé un code de verrouillage spécifique (en plus du code PIN de démarrage donc). Moins nombreux encore sont ceux qui ont mis en place un délai de verrouillage automatique (18%), car source de désagréments.
Ce verrouillage doit selon la Cnil permettre de complexifier (mais pas d’empêcher néanmoins…) l’accès aux données personnelles en cas de vol de l’appareil et de constituer une protection pour les 7 utilisateurs sur 10 qui n’éteignent jamais leur téléphone (le code PIN n’est dès lors plus une barrière).
3- Si possible, activer le chiffrement des données : « Quand vous allez sauvegarder les données de votre téléphone sur votre ordinateur, c’est une dissémination de données personnelles. Vous ajoutez un endroit supplémentaire où elles sont potentiellement récupérables » précise Stéphane Petitcolas.
L'antivirus un faux bon conseil !
4- Installation d’un antivirus. Tout en ajoutant que les programmes malveillants sont rares (« anecdotiques ») sur smartphone, la Cnil accorde un rôle important à ces outils. « La grande connectivité de ces appareils implique un risque potentiel de virus beaucoup plus important. »
Cette recommandation de la part du garant de la protection des données personnelles en France a de quoi laisser perplexe. Si des risques potentiels existent, ils sont cependant amplifiés par des fournisseurs de produits à des fins commerciales.
Par ailleurs, un audit d’AV-Test.org a démontré que la plupart des antivirus gratuits sur mobile étaient parfaitement inefficaces. Pire, ces produits, dont celui d’AVG, pourtant cité par la Cnil durant une conférence de presse, sont souvent très indiscrets à l’égard des données personnelles des utilisateurs.
5- Noter le numéro IMEI du téléphone, un numéro unique identifiant un appareil. Celui-ci sera utile pour bloquer le smartphone en cas de vol ou de perte, le rendant inutilisable en France (à terme au niveau mondial) sur le réseau d’un opérateur. Le numéro IMEI peut être obtenu directement depuis le téléphone en tapant *#06#
Attention aux données accédées par les applications
La seconde vague de conseils de la Cnil porte sur les données de géolocalisation. La première préconisation dans ce secteur est toutefois plus générale puisqu’il s’agit de ne pas télécharger d’applications de sources inconnues (une option d’Android bloque l'installation de sources inconnues).
2- Vérifier les données auxquelles l’application installée aura accès. Sur ce point, 47% des utilisateurs sondés par Médiamétrie déclarent le faire systématiquement (39% parfois et 14% jamais). Valider l’installation vaut acceptation...
3- Lire les conditions d’utilisation d’un service de géolocalisation. De manière générale, ils ne seraient que 29% à toujours lire ces CGU (31% ne le font jamais, et 40% parfois).
4- Régler les paramètres du téléphone liés à la géolocalisation. Selon l’OS, ce paramétrage peut être géré par application ou seulement au niveau du système, c'est-à-dire de manière globale. « N’activez pas la géolocalisation sur votre téléphone si vous n’en avez pas besoin. Ne l’activez qu’au moment où vous souhaitez l’utiliser » prévient l’ingénieur du service expertise de la Cnil.
Des contrôles des opérateurs en 2012
En 2012, la Cnil compte s’impliquer plus encore sur cette problématique de la vie privée sur smartphone. Elle a pour cela défini un plan d’actions. Une nouvelle étude va ainsi être réalisée. Elle portera en particulier sur les évolutions technologiques attendues ces prochaines années, les business model des acteurs (dont les pratiques des éditeurs d’applications mobiles) et la régulation.
D’autres préconisations en termes de bonnes pratiques seront également émises en 2012. Des tutoriels seront publiés pour aider les utilisateurs à bien paramétrer leurs smartphones. Enfin un programme de contrôles devrait être mené auprès des opérateurs afin d’auditer leurs pratiques en matières de gestion des données personnelles.

http://www.businessmobile.fr/actualites/les-10-conseils-de-la-cnil-pour-proteger-les-donnees-personnelles-sur-smartphone-39766502.htm#xtor=EPR-100