Les données personnelles et le e-commerce

Protection des donn´es personnelles sur Internet e Pierre-Yves Bonnetain py.bonnetain@ba-consultants.fr B&A Consultants – BP 70024 – 31330 Grenade-sur-Garonne 15 juin 2010 1 / 16

B&A Consultants Cabinet de conseil en sćurit´ informatique cr´´ en 1996. e e ee Suivi et assistance en sćurit´ informatique. e e Audits de sćurit´, de configurations, de code... e e Tests d’intrusion, tests d’applications (boˆ blanche, boˆ ıte ıte noire) Analyses de risques, gestion des risques sur l’information Ingńi´rie de la sćurit´ informatique, recherche de solutions e e e e Expertise judiciaire (civile ou pńale) et expertises privés e e 2 / 16

Des donn´es personnelles ? O` ¸a ? e uc Premi`re partie I e Pr´sentation e 3 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Plan 1 Des donnés personnelles ? O` ¸a ? e uc Qu’est-ce qu’une donné personnelle ? e CNIL, Godfrain et Union Europénne e 4 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Pour faire simple Une donné personnelle, c’est e Toute bribe d’information permettant d’identifier un individu. C’est donc, par exemple, des photos ou vidós, e des adresses ´lectroniques, des num´ros de t´l´phone, e e ee des SMS, des discussions sur des forums, des listes d’appels t´l´phoniques ee les notes d’un blog, des pages personnelles, des e-mails, les recherches rálisés sur un moteur de recherche, les traces e e de navigation sur le web, des traces GPS, des traces de migration d’antennes mobiles. Attention Ne confondez pas donnés personnelles avec donnés privés. Les e e e secondes sont incluses dans les premi`res, mais n’y sont pas ´gales. e e 5 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Vie privé, vie personnelle et donnés e e Un internaute se pose toujours quelques questions : O` sont ses donnés personnelles et ses donnés privés ? u e e e Qui en est responsable ? Qui y a acc`s ? e Quelles sont les r`gles d’engagement de ces donnés ? e e Qu’arrivera-t-il si ces donnés deviennent publiques ? e Par exemple Les photos “privés” t´lćhargés sur un compte Facebook, les e ee e informations associés ` une fiche “client” (parfois tr`s intrusives ou e a e instructives), etc. Garder ` l’esprit a Ces questions, et les r´ponses inappropriés qui peuvent y ˆtre e e e apportés par les entreprises, sont autant de risques op´rationnels e e voire juridiques. 6 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Plan 1 Des donnés personnelles ? O` ¸a ? e uc Qu’est-ce qu’une donné personnelle ? e CNIL, Godfrain et Union Europénne e 7 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Lois pńales directement applicables e Deux grands textes, transcrits dans le Code Pńal, sont e directement applicables ` l’informatique : a Article 226-16 et suivants Ex-loi Informatique et Libert´s. e Concerne les traitement automatis´s de donnés e e nominatives. Article 323-1 et suivants Ex-loi Godfrain. Concerne toutes les atteintes au fonctionnement des syst`mes de e traitement de donnés. e 8 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Usage de ces deux textes Art. 226-16 et suivants : vos donnés nominatives sont “mal e prot´gés” par un tiers, une collecte paraˆ ill´gitime, . . . e e ıt e Art. 323-1 et suivants : vous ˆtes victime d’une attaque e (intrusion, dńi de service, vol de donnés, . . . ) e e Note ` l’usage des gens normaux a Il est parfois “quelque peu difficile” de faire enregistrer sa plainte par les forces de police. Attention L’entreprise qui se fait voler ses donnés peut ˆtre accusé (au sens e e e du 226-16) par ses clients (protections inad´quates). e 9 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Qu’est-ce qu’une donné nominative e Donné nominative e Toute donné ou information dont le contenu permet, de fa¸on e c directe ou indirecte, d’identifier son porteur ou propri´taire, d`s e e lors qu’elle est soumise ` un traitement automatis´. a e Donc : une liste d’adresse ´lectroniques (listes de diffusion) e des adresses IP (journaux de serveurs Web, relais de navigation. . . ) une base de donnés (comptes des clients ou utilisateurs) e Ces “d´finitions” sont tr`s larges ⇒ PRUDENCE ! e e Conclusion Il est conseill´ de toujours dćlarer ses fichiers ` la CNIL. Au e e a minimum, lui poser la question s’il faut dćlarer. e 10 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Concernant les donnés nominatives e Il est nćessaire de bien comprendre que : e Le d´tenteur des informations a une obligation de moyens. e Les moyens mis en œuvre doivent correspondre ` la criticit´ a e des donnés. e Le d´tenteur est consid´r´ comme connaissant la sensibilit´ e ee e des donnés qu’il g`re. e e Le d´tenteur reste responsable mˆme en cas de sous-traitance e e des traitements. Conclusion ´vidente e Si vous pouvez, ´vitez de stocker/g´rer des donnés e e e nominatives. . . C’est plus facile qu’on ne le croit. 11 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Exemple d’une cons´quence CNIL – journaux d’activit´ e e Un syst`me d’informations correctement pens´ produit de e e nombreuses traces d’activit´. e Quelques exemples Connexions des utilisateurs ` leur poste de travail, a Actions significatives rálisés sur le syst`me d’informations, e e e Connexions au site web de l’entreprise, Connexions ` une application, ` une base de donnés, etc. a a e Ces journaux (fichiers simples ou structur´s) contiennent des e informations nominatives. Ils doivent donc ˆtre prot´g´s contre. . . e e e toute lecture indê (perte de confidentialit´) u e toute modification indê (alt´ration de preuves) u e l’usure du temps (conservation de preuves) 12 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Une nouveaut´ e Discussions en cours pour obligation ´tendue ` toute e a entreprise g´rant des donnés e e personnelles – projet de loi Escoffier-D´traigne e Cons´quences e Etre capable de d´tecter l’incident (quelles donnés perdues ?) e e Etre en mesure d’identifier sa porté (qui est touch´ ?) e e Exercice pour les lecteurs Et si les donnés volés n’ont jamais ´t´ dćlarés ` la CNIL ? e e ee e e a 13 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Mˆme la commission europénne s’y met e e Prise de conscience significative des tr`s nombreuses “pratiques e all´gés” concernant la gestion e e des donnés nominatives par les e entreprises. Concerne pour le moment le partage des donnés nominatives e Coupl´ ` l’amendement de ea novembre 2009, orientation claire vers des obligations fortes de protection de ces donnés. e 14 / 16

Qu’est-ce qu’une donné personnelle ? e Des donnés personnelles ? O` ¸a ? e uc CNIL, Godfrain et Union Europénne e Mˆme la commission europénne s’y met e e Prise de conscience significative des tr`s nombreuses “pratiques e all´gés” concernant la gestion e e des donnés nominatives par les e entreprises. Concerne pour le moment le partage des donnés nominatives e Coupl´ ` l’amendement de ea novembre 2009, orientation claire vers des obligations fortes de protection de ces donnés. e 15 / 16

Deuxi`me partie II e Questions ? 16 / 16

Les données personnelles et le e-commerce

by Woomeet on Jun 16, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

1 Embed 9

Statistics

Les données personnelles et le e-commerce — Presentation Transcript