{"partition": "head_middle", "source_domain": "www.cnil.fr", "digest": "sha1:FJEUGJLDSO65KUROCHQ5SVTLU4P6T5F2", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2014-15/000_00002.parquet"}
RSS CNIL
http://www.cnil.fr/
http://www.cnil.fr/fileadmin/templates/images/contenus/logo_CNIL.png
TYPO3 - get.content.right
La directive 2006/24/CE contraire aux articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne
http://www.cnil.fr/nc/linstitution/actualite/article/article/la-directive-200624ce-contraire-aux-articles-7-et-8-de-la-charte-des-droits-fondamentaux-de-lun/
Le 8 avril, la CJUE a invalidé la directive sur la rétention des données de connexion, estimant que ce texte constitue une ingérence dans les droits fondamentaux en particulier le droit au respect à la vie privée et à la protection des données à caractère personnel. Si cette décision importante ne semble pas remettre en cause les législations des Etats membres, les autorités nationales et européennes compétentes étudient actuellement l’impact de cette décision sur les droits nationaux.]]>
Par un important arrêt du 8 avril 2014, la Cour de Justice de l’Union Européenne a invalidé la directive sur la conservation des données de connexion (directive 2006/24/CE), communément dite « data retention ». Suivant les conclusions de l’avocat général, elle a en effet considéré que la directive « comporte une ingérence dans [les] droits fondamentaux d’une vaste ampleur et d’une gravité particulière dans l’ordre juridique de l’Union sans qu’une telle ingérence soit précisément encadrée par des dispositions permettant de garantir qu’elle est effectivement limitée au strict nécessaire ». Réuni à Bruxelles, le G29 a fait référence à cette décision dans son communiqué de presse dédié à l’avis sur la surveillance qu’elle a adopté le même jour. Pour mémoire, dans deux avis de 2002 et 2005, le groupe avait exprimé de nombreuses réserves à l’encontre de la directive 2006/24/CE, comme à l’encontre de la directive 2002/58/CE qu’elle était venue modifier.La Cour ne conteste pas que la conservation des données aux fins de permettre aux autorités compétentes de disposer d’un accès éventuel à celles-ci réponde à un objectif d’intérêt général. Cependant, elle rappelle qu’une telle ingérence n’est possible qu’à la condition que les mesures prévues soient déterminées de manière proportionnée. Or, elle juge que le texte ne remplit pas les conditions posées par ce « test de proportionnalité ». Selon elle, ses principales lacunes sont les suivantes :
L’obligation de conservation couvre de manière généralisée toute personne, tous les moyens de communication électronique et l’ensemble des données relatives au trafic, sans différenciation, limitation ou exception opérées en fonction de l’objectif de lutte contre les infractions graves ;L’accès ouvert aux données collectées est trop large et est encadré de manière insuffisante ;Cet accès ne fait pas l’objet d’un contrôle préalable par une juridiction ou une autorité indépendante ;Aucune durée de conservation précise n’est imposée aux Etats, seule une fourchette de 6 mois à 2 ans étant prévue, sans distinction entre les personnes ni les infractions concernées.
La Cour, par ailleurs, impose que les données visées par le texte soient conservées sur le territoire de l’Union européenne, afin de garantir pleinement le contrôle du respect des exigences de protection et de sécurité par une autorité indépendante, comme la charte l’exige explicitement. La Commission européenne a annoncé qu’elle procèderait à une évaluation « très attentive » des conséquences de la décision au regard du droit européen. Le service juridique du Parlement a constaté, quant à lui, outre l’effet rétroactif de la décision au jour de son entrée en vigueur, que celle-ci n’affecte pas les législations nationales des Etats membres. En revanche, il a rappelé que les juridictions nationales pourraient être appelées à se prononcer sur la conformité des lois nationales au regard des droits fondamentaux sur la base de l’analyse ainsi livrée par la Cour de Justice.Au niveau national, les dispositions pertinentes du droit français en matière de conservation des données de connexion demeurent donc applicables (articles L. 34-1 du Code des postes et des communications électroniques (CPCE) concernant les enquêtes judiciaires et L. 34-1-1 du CPCE concernant les enquêtes administratives). Pour autant, il appartient aujourd'hui à l’ensemble des autorités compétentes d’apprécier de manière circonstanciée l’impact de cette décision européenne sur le droit français.]]>
Traces informatiques
Faille de sécurité Heartbleed : comment réagir ?
http://www.cnil.fr/nc/linstitution/actualite/article/article/faille-de-securite-heartbleed-comment-reagir/
Lundi 7 avril une faille de sécurité a été découverte dans certaines versions du logiciel OpenSSL, sur lequel s’appuie une grande partie de la sécurité du Web. L’article 34 de la loi Informatique et Libertés impose une obligation de sécurisation des données à caractère personnel. La CNIL fait le point sur les conséquences de cette faille et les actions à mettre en œuvre.]]>
Qu’est-ce que Heartbleed ?
Heartbleed (« cœur qui saigne ») est une faille découverte dans plusieurs versions du logiciel OpenSSL, sur lequel s’appuie une grande partie de la sécurité du Web. Lorsque vous effectuez un achat sur Internet ou que vous consultez vos mails vous voyez souvent apparaitre un petit cadenas à côté de l’adresse du site. Ce petit cadenas indique que la communication entre votre terminal et le site web visité est sécurisée via https, qui s’appuie sur le protocole SSL qui est majoritairement mis en œuvre par le logiciel OpenSSL. Le protocole SSL chiffre les données afin d’empêcher que des informations tels que vos données bancaires, vos identifiants ou vos mots de passe, ne puissent être récupérés par des personnes qui ne devraient pas pouvoir y accéder. Concrètement la faille Heartbleed rend possible la récupération d’informations confidentielles sur un serveur *.
Quelles sont les conséquences potentielles ?
Les premiers tests effectués ont principalement permis de récupérer des cookies de session ou des données d’authentification. Les clés secrètes des certificats de certains sites auraient également pu être récupérées, comme cela a pu être démontré par plusieurs chercheurs dans le cadre d’un concours proposé par Cloudflare. Les clés secrètes des certificats utilisés doivent donc être considérées, a priori, comme compromises.Cette faille présente donc un risque pour les données stockées sur les serveurs utilisant les versions vulnérables d’OpenSSL ainsi que pour la confidentialité des échanges.
Que faut-il faire ?
L’article 34 de la loi Informatique et Libertés impose au responsable de traitement de prendre les mesures nécessaires pour sécuriser les données à caractère personnel. Le responsable de traitement doit se tenir informé et réagir lorsqu’une faille d’une telle ampleur est découverte. Ne pas corriger une faille de sécurité connue et pour laquelle des correctifs sont proposés est susceptible de constituer un manquement à l’obligation de sécurisation imposée aux responsables de traitement. Tout responsable de traitement mettant en œuvre une version vulnérable d’OpenSSL doit donc :
mettre à jour les serveurs vulnérables, afin de ne plus utiliser de version affectée par la faille ; révoquer les clés et certificats utilisés ;renouveler les clés et mettre à jour les certificats correspondants ;conseiller aux utilisateurs de renouveler leurs moyens d’authentification, notamment leurs mots de passe.
Attention : le renouvellement des mots de passe des utilisateurs n’est pertinent qu’après la mise en conformité des serveurs. En effet, tout mot de passe renouvelé avant la mise en conformité encourt lui-même un risque de compromission.La CNIL vérifiera les mises à jour et correctifs de sécurité dans le cadre des contrôles qu’elle opère régulièrement auprès des responsables de traitement. Elle sera en mesure de procéder à une série de contrôles visant spécifiquement les sites les plus exposés qui ne se seraient pas mis en conformité. Heartbleed et après ?
Afin de limiter au maximum l’impact de telles failles de sécurité, les organismes doivent pratiquer une veille active de la sécurité des protocoles, systèmes d’exploitation et logiciels qu’ils utilisent. A titre d’exemple, le site du CERTA recense les principales vulnérabilités et propose des recommandations. Afin d’aider les responsables de traitements à mettre en place les mesures nécessaires à la protection de la vie privée dans leurs traitements, la CNIL a publié un guide en juillet 2012 proposant un catalogue de bonnes pratiques de sécurité. Ce guide propose en particulier des mesures à mettre en œuvre pour gérer les violations de données à caractère personnel, superviser la protection de la vie privée ou réduire les vulnérabilités des logiciels.
* Pour aller plus loin : Heartbleed affecte les versions 1.0.1 à 1.0.1 f (inclus) d’OpenSSL. Les versions précédentes (0.9.8 et 1.00) et la version suivante (1.0.1g) ne sont pas affectées.Heartbleed utilise l’extension Heartbeat qui est intégrée dans OpenSSL. Celle-ci a pour objectif de maintenir une connexion sécurisée ouverte entre deux participants, entre un client et un serveur ou entre deux serveurs par exemple. En l’absence de cette fonctionnalité, les connexions sécurisées sont fermées après une certaine durée d’inactivité. Heartbeat permet à l’un des participants d’envoyer un message à son correspondant, qui répond en répétant ce message. Ceci permet de s’assurer que les participants sont toujours connectés.Une mauvaise implémentation dans OpenSSL, qui ne vérifie pas la taille du message à retourner, permet de recevoir jusqu’à 64ko d’informations stockées à la suite du message initialement envoyé. En effectuant certaines demandes, il devient ainsi possible de récupérer des informations confidentielles stockées chez l’autre participant au protocole.]]>
Entreprises privées
notification des violations
Sécurité du SI
Le G 29 publie un avis sur les techniques d’anonymisation
http://www.cnil.fr/nc/linstitution/actualite/article/article/le-g-29-publie-un-avis-sur-les-techniques-danonymisation/
Le groupe de l’Article 29 qui regroupe les autorités de protection des données européennes, vient de publier un avis sur les principales techniques d’anonymisation, afin d’expliquer comment les mettre en œuvre.]]>
Les solutions d’anonymisation des données sont aujourd’hui essentielles pour de nombreux acteurs qui souhaitent valoriser les informations qu’ils détiennent. Cependant, il est souvent difficile de savoir comment anonymiser correctement des données.