{"partition": "head_middle", "source_domain": "www.zdnet.fr", "digest": "sha1:XNTIRUYTMK3FYB5B6KP4H4LV5DTJO2LI", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2016-26/000_00041.parquet"}
Données personnelles : l'imbroglio européen et la relance du cocoricloud
Législation : Débat sur les données personnelles entre impuissance, volonté de peser au niveau européen et opportunité du cloud souverain hier à l'Assemblée nationale.
Antoine Duvauchelle
Impossible d'échapper à la vague PRISM ce mardi à l'Assemblée nationale, à l'occasion du débat sur les données personnelles. Les députés comme les intervenants prennent la mesure de l'enjeu, mais la question de l'échelon pertinent de législation reste entière.Un brin embarrassés, parfois incapables de se débarrasser de PRISM - qui ne change pas grand-chose sur ces questions au fond, et qui ne devrait en tous cas pas fondamentalement faire varier le cours législatif - les différents intervenants sont revenus sur les enjeux pour les données personnelles, entre CNIL française et coopération européenne. Tout bon pour le cocoricloud ?Fleur Pellerin, entendue par les députés, n'a pas coupé à l'exercice des questions sur PRISM. Interrogée notamment sur la réponse à apporter à la surveillance américaine, elle a rapidement éludé, se disant simplement préoccupée.Mais les interrogations sur l'éventuel coup de pouce apporté par PRISM aux services et infrastructures européens n'est peut-être pas une lubie. Pour la ministre de l'Economie numérique, "l'affaire PRISM, si elle est avérée, rend pertinent de localiser les datacenters et les serveurs sur le territoire national afin de garantir la sécurité des données".Un cloud à la française, par exemple ? Si cela pourrait changer la perception par les utilisateurs ou les entreprises, nos conseils sur le choix d'une solution cloud pour les données critiques tiennent toujours. Et ce, qu'il soit français ou non.Qu'importe, Fleur Pellerin saisit l'opportunité sans état d'âme : "La nécessité d'avoir un cloud souverain se pose avec beaucoup d'acuité." Elle a ajouté : "Nous prenons, peut-être un peu tard, conscience de la nécessité qu'il y aurait eu d'être moins dépendant des infrastructures, des plateformes ou des points d'accès à Internet autres qu'européens."Quel cadre législatif ? Détachons-nous un moment de la question de PRISM, finalement assez secondaire puisqu'elle relève du droit américaine et des capacités de l'Union européenne et de ses Etats membres à faire pression sur le partenaire américain. Le cadre de licéité de l'utilisation des données personnelles relève de divers niveaux législatifs.Au niveau français, force est de constater que la législation est au mieux à dépoussiérer. Isabelle Falque-Pierrotin, présidente de la CNIL, l'a d'ailleurs rappelé aux députés lors de son intervention en soirée : "Nous avons un système juridique qui date de 1995 (...), nous avons impérativement besoin d'un cadre juridique qui corresponde à l'ère numérique."C'est l'objet de plusieurs textes actuellement en préparation, qui touchent à la marge ou directement à la question des données personnelles. En France, la loi sur la Consommation en cour d'examen à l'Assemblée nationale pourrait toucher les données personnelles. Mais c'est surtout l'éventuelle loi sur le numérique, promise pour 2014, qui pourrait changer la donne.Mais les débats autour de l'éventuelle loi devront évidemment prendre en compte le règlement européen prévu, lui, pour la fin de l'année ou le début de l'année prochaine. Occasion ratée, alors que le député Lionel Tardy et d'autres auraient aimé une position de la France avant ce texte communautaire contraignant (contrairement à une directive, le règlement doit s'appliquer dans tous ses éléments, sans transposition en droit national).Cela n'empêchera pas la France de se positionner, et d'aller plus loin sur la protection des données personnelles si elle le juge nécessaire. Le débat était de toute façon prévu, mais il peut sembler étonnant qu'aucune réaction ne soit venue avant, que ce soit du gouvernement ou des parlementaires.Car si une bonne partie de l'équation repose désormais sur l'Europe... La France aurait eu intérêt à se réveiller plus tôt pour "peser dans le débat européen". Lors de la présentation de son bilan 2012, en avril dernier, la présidente de la CNIL Isabelle Falque-Pierrotin avait clairement demandé "un soutien des pouvoirs publics".Sa position n'a pas changé. Il y a urgence : le texte de Viviane Reding, commissaire européenne à la Justice, était soutenu "dans sa démarche" par la CNIL et le G29, groupement des CNIL européennes. Mais une campagne d'intense lobbying au Parlement européen, relayé par un bon nombre d'acteurs, menace de créer des larges brèches dans la protection des données."Offensive la plus intense de lobbying jamais connue" 3000 amendements déposés en avril, environ 4000 aujourd'hui, témoignent d'efforts sans précédents des entreprises éditrices de services, notamment américaines, auprès des eurodéputés. Et ce, sans compter les ministres des Etats membres, qui ont retoqué le 6 juin dernier le projet de règlement. Nouveaux amendements en cours, donc."Malgré toutes ces difficultés, nous avons intérêt à sortir ce texte," prévient la présidente de la CNIL. "C'est un sujet majeur pour nos concitoyens, nous nous sommes avancés, et si nous sortons sans rien face à la concurrence américaine et asiatique, ce sera, sinon une forme d'échec, en tous cas une forme d'impuissance."D'autant que les enjeux commerciaux, actuellement discutés entre Etats-Unis et Union européenne dans le cadre du traité transatlantique (TTIP), risquent de balayer la protection des données personnelles si une proposition ferme n'est pas prise avant le début des négociations officielles.Hier, la présidente de la CNIL n'a pas rappelé sa demande de vigilance sur la notion "d'établissement principal", qui pourrait mettre à mal les capacités de la CNIL d'un pays à défendre ses citoyens si c'était au régulateur du pays où est situé "l'établissement principal" d'une entreprise de traiter le dossier.Elle a cependant levé plusieurs autres sujets d'inquiétude : Le consentement sur le profilage, dont "il faut qu'il soit clair et explicite" s'il devient la base légale d'un traitement. Elle juge cependant qu'il est "possible de bâtir des conditions de consentement explicites mais qui restent réalistes," admettant qu'il est impossible d'avoir des demandes de consentement à tout moment lors de la navigation.La gouvernance, et c'est le sens de la contre-proposition faite par la CNIL d'une gouvernance "moins centralisée, avec une coopération où chaque autorité reste compétentes dès lors que ses citoyens sont ciblés, mais avec une obligation de coopération plus forte".Le lobby autour du texte, notamment autour de la question de la "pseudonymisation" : "On dégrade la qualité de données personnelles de ladite donnée en faisant tourner sur la donnée un processus quelconque. On considère que la donnée, moins personnelle [puisque pseudonymisée, et non anonymisée, NDLR] a moins besoin d'être protégée, et qu'il y a moins besoin d'un droit pour les individus. Cela nous parait une tendance extrêmement dangereuse qui peut facilement détricoter la protection."Le futur du projet de règlement européen sera donc déterminant pour la législation française. Si la France est aujourd'hui vent debout contre la compétence des CNIL en fonction du lieu de "l'établissement principal" d'une entreprise incriminée, ce qui répond aux demandes d'Isabelle Falque-Pierrotin en avril, les inquiétudes des parlementaires restent entières.Ainsi, le député UMP Patrice Martin-Lalande craint un "forum shopping" de la part des entreprises, qui pourraient établir leur siège européen dans les pays les plus laxistes sur la législation protégeant les données personnelles. La récente affaire qui a opposé Facebook à la CNIL du Schleswig-Holstein, un Land allemand, au sujet de l'anonymat des utilisateurs du réseau social, donne un avant-goût des problèmes que cela pourrait soulever.Marges de manoeuvre de la CNILUne dernière demande, reconnue par certains députés et formulée par Isabelle Falque-Pierrotin, vient relancer la question de l'efficacité de l'action de la CNIL. Pour vérifier les pratiques des entreprises aujourd'hui, la CNIL doit travailler "sur pièces et sur place" actuellement, en envoyant ses équipes sur le lieu physique de la société visée."On se rend compte que dans l'économie numérique, il y a toute une série de choses qu'on devrait faire à distance, voir comment les sites fonctionnent, comment les cookies sont déposés, s'il y a un consentement ou non." Autant de propositions qui feront l'objet d'amendements au projet de loi sur la consommation, prochainement introduits par le député François Brottes.Cette capacité de contrôle en ligne permettrait à la CNIL de suivre plus précisément la "réalité très changeante du profilage". Nul ne sait actuellement si la future loi sur la consommation pourra intégrer ces amendements. Sinon, espérons que ce renforcement des prérogatives de la CNIL puisse être adopté dans la future loi numérique.François Brottes a poussé dans le sens d'une adoption dès la loi sur la consommation, lors des débats de ce mardi. Son amendement pourrait accélérer la "constatation d'une faille de sécurité" au niveau de la CNIL, notamment, ou l'accélération des enquêtes.C'est peut-être là qu'est la marge de manoeuvre de la France. Car si la protection des données personnelles risque d'être une prérogative essentielle de l'Union européenne dans le cadre du règlement, rien n'empêche d'aller plus loin. Et de donner au régulateur des moyens de contrôle accrus, alors que le principe de conservation des CNIL au niveau national semble se préciser.
Articles relatifs	Données personnelles : le projet européen retoqué
Réseaux sociaux : les ados n’ont jamais partagé autant de données personnelles
Données personnelles : de la prédation à la redistribution PRISM : la fronde s'organise en Europe et aux Etats-Unis
Réagissez à l'article	3 réponses
﻿ Pas exactement le même sujet mais extrêmement proche et tout aussi important.Il n'y a pas de fatalité technique à la goinfrerie actuelle d'informations personnelles sur les "profils utilisateurs", ni utilisation de vrais noms plus ou moins imposée, etc. Et -aucun besoin d'ID unique- partagé entre les services par utilisateur. Par contre clairement besoin d'un nouveau rôle, d'une notion de "sphère privée" ou compte pour les données clés, séparation des rôles, plusieurs organisations dans le rôle, et possibilité de déménager. D'autre part aucune loi "défensive ou contraignante sur l'existant" ne fonctionnera. http://iiscn.wordpress.com/2011/06/29/idenum-une-mauvaise-idee/
yt75
13 juin, 2013 11:06
Répondre ﻿ « ... admettant qu'il est impossible d'avoir des demandes de consentement à tout moment lors de la navigation. »Très lourd, ce le serait certainement. Mais impossible, assurément pas.Le point de vue exprimé par cette remarque est dangereux, car il risque de rouvrir la porte à un consentement présumé, ou à un consentement global donné avant qu'on ait pris connaissance de ce à quoi on s'engage précisément. Et ça, c'est clairement inacceptable.
pépé75
Répondre ﻿ Localiser des datacenters en France, c'est bien. Mais que se passe-t-il d'un point de vue légal si on utilise des stockages de données répliqués, comme des bases NoSQL, par exemple ? Je pense que si on créé un datacenter aux Etats-Unis, on sera de toute manière soumis au Patriot Act. En fait, cette loi devrait être pour les entreprises non-étasuniennes une incitation à ne pas créer de datacenter sur le territoire US...
Traroth
Adapter l’usage de la plateforme Paas au contexte de l’entreprise