Catégorie : Internet

RGPD – 1 an: un bref retour vers le futur

LE RGPD ARRIVE – ETES-VOUS PRÊTS?

Dans un peu moins d’un an, le règlement général sur la protection des données (GDPR en anglais, RGDP en français) sera directement applicable aux Etats membres de l’Union Européenne. Ce règlement vise avant tout à protéger les droits fondamentaux des individus face au traitement de leurs données personnelles et à réglementer la libre circulation de celles-ci.

QUAND, A QUI ET OÙ

Il sera directement applicable dès le 25 mai 2018  en Europe, mais son application territoriale s’étendra aussi aux responsables de traitement situés en dehors de l’UE, lorsqu’un traitement de données personnelles est lié à l’offre de biens et services en Europe, ou au suivi de comportements de personnes situées en Europe (art. 3 RGPD). L’application du RGPD est donc bien plus étendu qu’en Europe,  la Suisse est donc concernée (tout comme les USA)!

SANCTIONS

Au niveau des sanctions on se rapproche des chiffres que l’on connaît en matière de droit de la concurrence, soit jusqu’à 10% du CA annuel mondial. Ici, les sanctions envisagées par ce texte en cas de violation grave du règlement vont jusqu’à € 20 millions ou 4% du chiffre d’affaire annuel mondial du groupe (art. 83 §5 RGPD).

S’Y PREPARER MAINTENANT

Il est essentiel que toute entreprise suisse se renseigne sur l’applicabilité du règlement à son entreprise, si cela n’est pas déjà fait. En effet, les exigences de ce règlement peuvent impliquer, suivant la taille de l’entreprise, de nombreux changements et adaptations des processus internes et externes avec ses fournisseurs, partenaires commerciaux et clients afin d’être en conformité en mai prochain. Vu que ces changements peuvent avoir des coûts importants, il s’agit du dernier moment pour s’y préparer.

__________________

A RETENIR

Beaucoup ont déjà écrit sur ce sujet (voir la liste en bas).

La plupart des grandes études d’avocats ont par ailleurs déjà développé de nombreux guides outils, documentations ou webinar pour s’y préparer à son entrée en vigueur. Il n’est donc pas question de faire un  xième exposé sur le RGPD, mais plutôt de rappeler les changements clés pour les individus et les entreprises avec les enjeux qui s’y accompagnent.

En somme, que faut-il retenir du RGPD et à quoi faut-il accorder une attention particulière?

Le RGPD va-t-il vraiment changer les choses? En ce qui concerne les entreprises, clairement oui!

  • Il abroge et remplace la Directive UE 95/46/CE et sera directement applicable puisqu’il s’agit d’un règlement.
  • Plus d’entreprises sont concernées: Il s’applique aux Etats membres de l’UE, mais aussi aux acteurs situés en dehors de l’UE, comme la Suisse.
  • Droits des individus renforcés: les droits des individus sont renforcés et l’obligation de transparence devient plus étendue.
  • En particulier les “privacy notice” ainsi que les exigences en matières de consentement sont considérablement renforcées. Tout doit être clair, lisible, compréhensible, simple et le consentement doit être aussi simple à donner, qu’à retirer.
  • Tout responsable de traitement, doit mettre en place les processus internes nécessaires à garantir la conformité au RGPD et doit s’organiser pour pouvoir le démontrer aux autorités en cas d’audit.
  • Une analyse d’impact de protection des données (fameux “DPIA”) doit être effectuée avant tout traitement, lorsque celui-ci implique un risque élevé pour les individus pour le traitement de leurs données personnelles.
  • Les grands principes de protection des données personnelles sont conservés (information, protection, proportionalité du traitement, etc.) avec certains ajouts tels que “privacy by design” – penser à la protection des données dès la conception, “privacy by default” – exigence de protection des données le plus élevé dès le départ, ou encore la “portabilité des données” – possibilité d’exporter ses données dans un format lisible et transférable dans un autre environement.
  • En cas de faille de sécurité  (“data breach“), le responsable de traitement à l’obligation de l’annoncer dans les 72 heures en prenant toutes les mesures nécessaires pour réduire le risque lié à cette faille. Cas échéant,  le responsable de traitement devra aussi notifier les individus.
  • Désignation de data protection officer (DPO)
  • Pour une liste complète, voir les liens en bas de l’article.

Les exigences du RGPD impliquent de s’y préparer. Les entreprises ne peuvent plus ignorer la protection des données, puisqu’elles dont vont devoir considérablement changer leur manière de fonctionner et d’opérer.

__________________

ET LA SUISSE?

La Suisse va-t-elle s’aligner sur le RGPD?  Principalement oui, mais avec quelques différences que l’on peut retrouver dans ce tableau.

  • L’avant-projet de révision de la loi fédérale sur la protection des données a été mis en consultation devant les Chambres fédérales et pourrait entrer en force fin 2018.
  • Quelques différences anecdotiques sont à noter, telles que l’absence de portabilité des données ou encore le droit d’accès des proches du défunt à des données personnelles (ex: cas de refus d’accès à un compte facebook par les parents d’une adolescente décédée), pour n’en citer que quelques unes.
  • L’obligation pour le responsable de traitement de notifier les individus tout changement de sous-traitant est bien plus problématique. En effet, suivant le nombre de sous-traitants (data processors) utilisés, cette obligation sera impossible à mettre en oeuvre pour les grandes entreprises multinationales. Il serait bon qu’une modification législative soit effectuée avant que le texte entre en vigueur, sous peine que de nombreuses entreprises n’arrivent pas à satisfaire à cette obligation.

__________________

LIENS UTILES

Publication IDS: La réglementation des applications médicales mobiles

Publication par l’IDS dans d’un ouvrage collectif en l’honneur de la SSJ

C’est avec grand plaisir et un honneur que d’annoncer ma contribution, aux côtés d’auteurs de renom, et en collaboration avec l’Institut suisse de droit de la santé, à l’ouvrage suivant :

Réflexions romandes en droit de la santé – Mélanges offerts à la Société suisse des juristes (SSJ) par l’Institut de droit de la santé de Neuchâtel  (IDS) à l’occasion de son congrès annuel 2016

_________________________________________

LIRE MON ARTICLE

“La réglementation des applications médicales mobiles“

_________________________________________

Ce livre co-édité par les Professeurs Olivier Guillod et Anne-Sylvie Dupont, a été publié en collaboration avec l’IDS de Neuchâtel. Cet ouvrage fait suite au Congrès annuel qui s’est tenu les 16 et 17 septembre 2016, sur le thème de “L’Homme, la santé et le droit“. Il comporte non moins de 18 contributions d’avocats et Professeurs en droit spécialistes du droit de la santé. Les thèmes actuels touchent au droit de la santé, au droit médical, aux assurances sociales, au droit pharmaceutique et couvrent des problématiques tant nationales qu’internationales.

Article paru dans un ouvrage collectif édité par l’Institut de droit de la santé (IDS) à Neuchâtel

Mon article traite de la problématique des logiciels médicaux pour smartphones et tablettes utilisés par les patients et les professionnels de la santé, abordée sous l’angle réglementaire uniquement. Le thème des “Smart Medical Apps“, “Medical Mobile Apps” ou de la santé mobile (mHealth), est un sujet d’actualité si l’on considère que les Apps médicales se dénombrent à plus de 150’000 et sont téléchargées plusieurs milliards de fois par année.

L’approche de l’article se veut aussi accessible à la lecture par des non juristes et permet un bref survol des grands textes applicables aux USA, en Europe et en Suisse. L’enjeu de cette contribution est d’apporter un regard concret et critique sur les critères permettant d’évaluer à partir de quand un simple logiciel de santé ou médical doit se conformer à la législation sur les dispositifs médicaux selon un ensemble de critères. Les entreprises et start-ups actives dans ce domaine, devront parfois remplir les conditions nécessaires plus strictes avant la mise sur le marché de leurs logiciels de santé, le cas échéant par une autorisation qui doit sera délivrée par les autorités sanitaires lorsqu’une telle obligation existe.

Commande

Toute personne intéressée à l’acquisition de l’ouvrage peut me contacter directement, dans la mesure où un rabais de 35% m’est accordé en ma qualité d’auteur.

LiftConference 2016: MassChallenge, blockchain et intelligence artificielle

INTRODUCTION

Petit retour sur cette conférence marquante lors de l’édition 2016 de la conférence LIFT.

Il s’agit de l’une des conférences annuelles européennes réunissant les meilleurs acteurs de l’innovation de Suisse, Europe et d’Outre-Atlantique, en particulier de nombreuses Start-ups. Des conférenciers de renommée mondiale sont invités à parler de nouvelles technologies et de leurs enjeux pour l’avenir. Des ateliers sous la forme de groupes de travail interactifs sont ouverts à tous pour approfondir certains sujets abordés lors des conférences et un “laboratoire” se construit au fil de ces journées pour mettre en forme des idées innovantes. Lors de l’édition 2016, ce sommet de l’innovation s’est déroulé du 10 au 12 février 2016 au Centre International de Congrès à Genève (CICG) et s’est révélé passionnant et instructif pour l’avenir des technologies.

____________________________

ARRIVEE DU MASSCHALLENGE EN SUISSE

Comme l’a relevé le magasine Bilan au mois de février 2016, le financement de Start-ups en Suisse rivalise avec le niveau atteint à Boston, Tel-Aviv ou la Sillicon Valley et ne cesse de croître. La Suisse et notamment l’Arc lémanique est devenu un lieu incontournable de l’innovation avec la Health Valley. Nous en faisions d’ailleurs mention ici du salon suisse de la santé au Swiss Tech Convention Center de l’EPFL.

Et c’est bien logiquement que la cérémonie d’ouverture du mercredi 10 février 2016 a accueilli l’arrivée en Suisse du MassChallenge. Le célèbre accélérateur de Start-ups (ou incubateur à l’instar de The Ark à Sion, en Valais) qui n’était jusqu’alors présent qu’à Boston, Tel-Aviv, Londres et Mexico, s’implante à Genève. Il s’agit d’une organisation à but non lucratif ayant pour vocation d’aider les fondateurs de projets innovants en les conseillant, les mettant en lien avec les meilleurs contacts académiques, industriels et des Business Angels en leur offrant un cadre exceptionnel pour évoluer vers le succès de leurs projets ambitieux. Le MassChallenge met en place des concours offrant la possibilité pour ces jeunes entreprises de gagner du financement pouvant aller jusqu’à plusieurs millions de dollars et ce, sans que cette organisation ni les investisseurs ne prennent de participations dans l’entreprise en contrepartie.

Durant la cérémonie d’ouverture, plusieurs Start-ups Suisses et étrangères ont eu l’occasion d’exposer leur modèle en quelques minutes chrono en main, comme le veut la tradition, devant plusieurs centaines de personnes.

Accédez à la vidéo d’ouverture du MassChallenge ainsi que le programme des présentations.

____________________________

CONFERENCES 2016 : SMART & DISRUPTING

Si deux mots devaient résumer ces conférences, ce seraient “Smart” et “Disrupting“. Des termes tendances et communément utilisés par l’ensemble de la communauté de l’innovation. Désormais, toute technologie n’est nouvelle et innovante que si elle est Smart ou Disrupting, ou les deux !

BLOCKCHAIN

Le premier sujet à retenir de la LiftConference 2016 est indéniablement le blockchain avec des conférences déroutantes, comme cette keynote “Blockchain Technology beyond bitcoins” par Stephan Tual, fondateur de Slock.it qui nous parle des développements potentiels possibles des applications décentralisées basées sur Ethereum et le blockchain.

Ou comment comprendre le concept du Blockchain au delà du Bitcoin. Incontestablement l’une des présentations phares de ce sommet 2016 comme en témoigne les derniers articles parus dans le Temps les 6 novembre 2015 et 15 février 2016 ou dans le Figaro le 5 avril 2016 pour le financement de start-ups Blockchain. Les projets Blockchain ont été présentés par Joseph Lubin, Stéphane Tual des sociétés Ethereum et Slock.it, et Primavera de Filippi, juriste-chercheuse au CNRS et artiste Blockchain nous sensibilisant à cette nouvelle ère numérique quelque peu dérangeante. Des interventions de haut niveau sur un sujet complexe et plutôt abstrait, mais dont la compréhension pourrait bien s’avérer essentielle à ceux qui souhaitent ne pas être en retard sur leur temps.

Cette conférence confirme l’engouement général et l’attrait pour les technologies décentralisées basées, dont fait partie le Blockchain. Les possibilités offertes ont le potentiel de révolutionner la manière dont l’économie participative fonctionne aujourd’hui, même si tout reste à faire. Le blockchain pourrait avoir un impact sur le système financier, l’immobilier et pourquoi pas le système électoral.

Pour mémoire, le Blockchain est un concept et en même temps un système informatique décentralisé (basé sur le P2P) à la base du Bitcoin, la cryptomonnaie numérique la plus populaire. Ce système permet l’échange de valeurs de manière cryptée, anonymisée, infalsifiable et mettant en relation directe les parties à un contrat de bout en bout de la chaîne (Smart contracts). L’un des atouts de ce modèle est la suppression de parties tierces dans toute transaction effectuée. L’idée est séduisante, on cesser de payer des intermédiaires et on ne paie que pour ce qu’on utilise (Pay for what you Use), ce qui simplifie le système de transaction et en gagne du temps de leur exécution sans payer de frais ou des commissions indirectes. Cette nouvelle économie s’intitule l’économie des objets (Economy of Things) à l’instar de l’Internet des objets (Internet of Things).

Sur son blog et durant cette conférence, Stéphane Tual de la société Slock.it décrit sa vision des contrats intelligents. Ces “Smart contracts créent une relation directe, en réseau, entre deux parties à un contrat (voir également l’avis de Me Christophe Wilhelm sur les contrats intelligents qui s’exécuteraient automatiquement sur son blog). On apprend également que le Blockchain serait utilisé pour les applications telles que l’identité numérique, les assurances, des véhicules autonomes qui se louent tous seuls (self-renting autonomous cars) et qui se rendent tout seuls à des bornes autonomes de carburant électrique (comme les tondeuses à gazon autonomes), des systèmes bancaires, les énergies (eau, gaz, électricité), notifications automatiques et automatisation de partenariats, plateforme e-Commerce tels un AirBnB sans intervention humaine permettant l’ouverture de la porte d’entrée de l’appartement par son Smartphone (Smart Lock via Smartphone) et déclenchant automatiquement le paiement du loyer en soustraction du montant de la caution restituée au locataire à la fin du séjour. Des possibilités innombrables!

Les présentations complètes d’Ethereum par Joseph Lubin, fondateur de ConsenSys et Ethereum, ainsi que celle de Slock.it par Stephan Tual valent le détour pour comprendre le système, les avantages et les enjeux de ces concepts. Ils décrivent de manière limpide les exemples d’application et l’ampleur de cette potentielle révolution.

Voici les présentations passionnantes et dérangeantes de:

Trois conférences indispensables si l’on veut sortir des sentiers battus avec des concepts sur les applications décentralisées du futur tel le plantoid, une plante mécanique autonome qui se reproduit toute seule et interagit avec son environnement.

Pour aller plus loin sur le Blockchain, il existe des groupes de travail qui réfléchissent aux aspects légaux du blockchain et aux manières de l’utiliser:

Working Groups

INTELLIGENCE ARTIFICIELLE

Le deuxième sujet fut l’intelligence artificielle, l’un des sujets les plus attendus du moment. Trois conférences à retenir et à visionner:

  • Artificial intelligence, par Alex Lebrun, Head of Wit.ai at Facebook
  • TheGrid, par Henri Bergius, des sites web qui se créent ou se modifient automatiquement par intelligence artificielle
  • AI, is it possible, is it necessary?, par Min Li Marti, parlementaire fédérale parlant de la sensibilisation des parlementaires aux nouvelles technologies

Ces conférences étaient malheureusement un peu moins déroutantes et prometteuses que ne leur laissaient entendre leur titre , mais méritent tout de même le détour.

____________________________

CONCLUSION

En somme, avec l’arrivée du MassChallenge en Suisse, les Start-ups ont encore plus de légitimité à siéger en Suisse romande et à poursuivre leur course effreinée à l’innovation. La LiftConference pour sa part est incontournable pour tous ceux qui ne la connaissent et qui sont passionnés de nouvelles technologies. Des découvertes, rencontres et échanges uniques et passionnants avec le monde si dynamique de l’innovation. Seul gros bémols, il faut prendre congé pour s’y rendre car il s’agit de 2 à 3 journées complètes en pleine semaine…seul moyen d’y aller plus facilement: y donner une conférence ou un atelier! 🙂

Citizenfour - NTIC

Citizen Four: A regarder absolument

CITIZEN FOUR – Un documentaire exceptionnel à ne pas rater 

Je viens de visionner le film documentaire CITIZEN FOUR (2014) de Laura Poitras qui retrace l’histoire des révélations d’Edward Snowden dont nous parlions ici. Cette documentariste américaine a été l’une des journalistes contactés par une source anonyme, aka CitizenFour, sensée détenir des informations et des documents top secrets permettant de révéler un scandale à l’échelle mondiale.

Au travers des images originales de l’interview d’Edward Snowden filmées par des journalistes du Guardian, dont Glenn Greenwald et Laura Poitras, dans un hôtel à Hong Kong au mois de mai 2013, ce reportage poignant nous place dans la peau du plus fameux lanceur d’alertes américain qui a risqué sa vie et sa liberté pour que les citoyens du monde, les entreprises, institutions et gouvernements reconnaissent l’ampleur de la surveillance de masse dite “passive” opérée par les Etats-Unis au travers de la NSA et leurs logiciels PRISM ou  XKeyscore des géants d’Internet et d’autres autorités européennes. Certaines images filmées dans un tribunal américain montrent les inquiétudes de certains juges face à l’intrusion de la NSA dans notre vie privée, mais également de l’absolue volonté des autorités de nier les faits ou d’utiliser des arguments de défense fondés sur la confidentialité du sujet pour des motifs de sécurité nationale…

Pour ceux qui n’ont pas encore vu ce brillante long métrage de presque 2 heures ou ceux qui souhaiteraient le revoir, ce film est disponible sur le site de la RTS en version originale sous-titrée français jusqu’à la fin du mois de mars 2016. Dépêchez-vous, il en vaut la peine !

http://www.rts.ch/play/tv/histoire-vivante/video/citizenfour?id=7532699

Bon visionnage.

Safe harbour - Ntic

Invalidation du Safe Harbor (Schrems c/ Facebook): Recommandations pour la Suisse

I.  Introduction

Dans une décision datée du 6 octobre 2015, (Décision C-362/14 – Affaire Max Schrems c/ Facebook ou “Schrems I”) la Cour de Justice de l’Union Européenne (CJUE) a invalidé la décision 2000/520/CE qui considérait le “Safe Harbor” comme une base suffisante pour le transfert de données personnelles aux États-Unis. Depuis cette décision, les 4’500 entreprises qui ont transféré des données personnelles vers les USA sur la base du Safe Harbor doivent vérifier que leur politique de protection des données est conforme au droit européen.

Comment en est-on arrivé là, quelles sont les répercutions pour les entreprises et pour les données des individus ? Un début de réponse dans les recommandations du Groupe de l’Article 29 et dans celles du Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT).

II.  Résumé de l’affaire

Maximilian Schrems, un utilisateur de Facebook en Autriche, considère que Facebook ne respecte pas les principes de la protection des données lorsqu’elles sont transférées par Facebook aux Etat-Unis. En effet, ces données peuvent être accessibles par les autorités américaines sans que la personne concernée ne puisse s’y opposer. Comme beaucoup d’entreprises actives dans le domaine de l’informatique, le siège européen de Facebook est situé en Irlande qui sert de pont avec les USA; dans notre cas pour le rapatriement des données personnelles.

Cet utilisateur de Facebook dépose donc une plainte auprès de la Commissaire irlandaise à la protection des données pour interdire à Facebook le transfert de ses données aux USA. La Commissaire refuse d’entrer en matière puisque, selon elle, il découle de la décision 2000/520/CE instituant le Safe Harbor que les Etats-Unis disposent d’une niveau de protection adéquat pour garantir le respect des principes de la protection des données des individus européens.

Après cet échec, Max Schrems porte l’affaire devant la High Court of Justice of Ireland, qui renvoie l’affaire à la CJUE pour lui poser une question à titre préjudiciel. La Cour irlandaise demande alors si les autorités nationales disposent de la compétence de se saisir d’une plainte d’un individu alors que la décision 2000/520/CE garantit déjà, au niveau européen, que les Etats-Unis sont considérés comme un pays sûr concernant la protection des données.

La CJUE répond de manière claire et sans appel que le Safe Harbor ne permet plus, au vu des méthodes de surveillance massives américaines, de garantir aux citoyens européens une protection adéquate de leurs données lorsqu’elles sont transférées aux Etats-Unis. Elle donne donc raison à M. Schrems et juge que la décision 2000/520/CE est invalidée.

Il appartiendra dès lors à la Commissaire irlandaise à la protection des données d’examiner, dans le cas concret, si les mesures de sécurité mises en place par Facebook sont suffisantes pour garantir un niveau de protection adéquat des données des utilisateurs.

III.  Conséquences en Europe

Suites de l’affaire Snowden

Cette décision de la CJUE est une conséquence directe des révélations de l’Affaire Snowden sur les programmes de surveillance PRISM/US-984XN et  XKeyscore. Sans ces révélations, il est probable que la CJUE ne soit jamais parvenue à décréter que cet accord cadre n’était plus suffisant. Les quelques 4’500 entreprises qui se sont basées sur le Safe Harbor pour transférer leurs données aux USA sont placées dans un flou juridique.

Depuis le 6 octobre 2015, tout transfert de données aux Etats-Unis par des entreprises ayant basé ce transfert sur le Safe Harbor est illégal. Actuellement, les entreprises peuvent poursuivre le transfert des données aux Etats-Unis si :

  • des conventions intra-groupe intégrant des “clauses contractuelles types” reconnues par l’Union européenne sont mises en places
  • en ‘intégrant de “Binding Corporate Rules” (BCR), dont les lignes directrices peuvent être consultées ici
  • lorsque les conditions pour déroger aux conditions légales sont réunies (consentement préalable explicite de l’utilisateur, transfert des données en respect d’une obligation contractuelle, etc.).
  • Il existe également des modèles de conventions pour le transfert de données garantissant le respect des principes légaux (“Transborder Data Flow Agreement”).

Réactions au niveau européen

Après l’arrêt Schrems c. Facebook, les autorités européennes de protection des données n’ont pas tardé à réagir. Dans un communiqué du 16 octobre 2015, le Groupe de travail de l’Article 29 (le G29 est institué par l’article 29 de la directive européenne sur la protection des données personnelles – Directive 95/46/CE) a émis des recommandations dans lesquelles il impartit un délai de 3 mois aux institutions européennes et aux gouvernements pour renégocier un Safe Harbor compatible avec les principes européens de la protection des données. Les autorités nationales, dont notamment la CNIL, sont prêtes à se coordonner pour entreprendre des actions répressives concertées (par exemple exiger la suspension de tout transfert de données aux Etats-Unis) si un accord n’est pas trouvé d’ici au 31 janvier 2016 !

IV.  Recommandations du Préposé en Suisse

Recommandations aux entreprises

Comme on peut le lire dans sa dernière communication datée du 22 octobre 2015, le Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT) se calque sur la décision européenne et considère que l’équivalent suisse du Safe Harbor européen (le US-Swiss Safe Harbor Framework) n’est plus une base légale suffisante tant que la Suisse n’aura pas renégocié un accord suffisant avec les Etats-Unis.

A la différence de l’Europe, la Suisse n’a pas dénoncé le Safe Harbor alors que la situation est connue depuis longtemps, aucune décision judiciaire n’a été rendue et l’analyse du PFPDT n’est parue que via son site web, relève Me Sylvain Métille sur son blog. Selon le Préposé Fédéral suppléant à la protection des données, M. Jean-Philippe Walter, “La Suisse est liée par la décision d’adéquation et ne peut faire cavalier seul au risque que l’UE revoie sa décision“. De plus, il revient au Conseil Fédéral de dénoncer, cas échéant, le Safe Harbor et non au Préposé. Tout en rappelant qu’il ne s’agit que de  recommandations, le Préposé suppléant précise que cette prise de position s’adresse aux entreprises qui devraient suivre les recommandations du Préposé, soit :

  • Informer de manière claire et aussi exhaustive que possible les personnes dont les données sont transmises aux États-Unis des accès possibles des autorités, afin de leur permettre d’exercer leurs droits. Le contrat d’échange de données personnelles devrait prévoir un engagement des parties contractantes dans ce sens
  • Prévoir un engagement des Parties à mettre à la disposition des personnes concernées les outils nécessaires à une protection juridique efficace conformément à l’article 6, al. 2, let. a, LPD, à exécuter réellement les procédures correspondantes et à accepter les décisions qui en résultent.

Qu’en est-il des individus ?

En Europe, tout dépendra des résultats de l’enquête menée par la Commissaire irlandaise. Si elle constate que Facebook ne garantit pas une sécurité suffisante aux utilisateurs pour le transfert de leurs données aux USA, tout détenteur européen d’un compte pourrait requérir de Facebook l’interdiction du transfert de ses données. Une situation bien improbable. En effet, dans une telle hypothèse Facebook s’empressera de modifier ses conditions générales, informera les utilisateurs d’une potentielle atteinte à leurs droits par les autorités américaines et recueillera, le cas échéant, leur consentement pour continuer à utiliser la plateforme sociale.

En Suisse, tout individu qui se considère qu’une entreprise viole les règles de la protection des données à son égard peut s’adresser aux tribunaux civils pour faire constater, cesser ou interdire toute atteinte. Les mesures repressives qui existent en Europe n’ont pas d’équivalent en Suisse et le PFPDT ne peut qu’émettre des recommandations, sans possibilité d’agir directement. Il ne peut qu’inciter les entreprises à respecter les principes de la LPD ou les utilisateurs à agir par la voie civile.

VI.  Conclusion

Même si les entreprises suivent les recommandations émises en Europe ou en Suisse, le droit américain, notamment le FISA Act, ne sera pas pour autant modifié et on connait les difficultés concrètes permettant de changer la législation américaine tant du point de vue politique que juridique. Seuls les gouvernements pourraient avoir de l’influence dans le cadre de la mise en place du Safe Harbor 2.0 dont nous devrions avoir des nouvelles d’ici au 31 janvier 2016. Il appartiendra aux entreprises américaines de faire l’effort ou non d’améliorer les conditions de sécurité des données dans leur convention intra-groupe ou, pourquoi pas, de créer leur data center en Europe, tant on sait que le Big Data est devenu aujourd’hui le pétrole du XXIe siècle.

Il s’agit tout de même d’une victoire de principe pour les défenseurs de la vie privée sur Internet, notamment par le biais de la protection des données personnelles. Aujourd’hui, les Etats-Unis ne sont plus considérés, par l’Europe, comme un pays sûr en matière de protection des données, ce qui concrétise les révélations d’Edward Snowden du 9 juin 2013.

L’arrêt Schrems c. Facebook consacre le principe de la compétence des autorités de protection des données pour examiner une plainte d’un individu qui prétend qu’une entreprise viole la loi sur la protection des données (Voir § 47 à  57 de la décision C-362/14). Cet arrêt continuera à s’appliquer même avec un Safe Harbor 2.0 considérant à nouveau les Etats-Unis comme un pays sûr. Dans chaque cas, les citoyens européens pourront demander aux autorités de vérifier si l’entreprise respecte les principes de protections des données ou non.

Un petit pas pour l’individu et la protection des données personnelles en Europe, un tout petit pas pour la Suisse, dont les autorités de protections des données ne disposent d’aucun moyen répressif, et qui suit son homologue européen.

Tails 1.0 : live OS 100% anonyme et confidentiel ?

I.     Tails 1.0

1.1   Sortie de la version 1.0 en français

Depuis le 29 avril 2014, le dernier né du site torproject.org est disponible en téléchargement :

Tails 1.0, un système d’exploitation complet et gratuit, sécurisé, qui vous protège contre la collecte de vos données et augmente l’anonymat sur Internet. Notamment utilisé par Edward Snowden et Glenn Greenwald en juin 2013, il est “all-in-one” et bootable depuis une clef USB ou un DVD.

1.2     Caractéristiques

Son petit nom the amnesic incognito live system.

Tails 1.0 est un système d’exploitation amnésique parce qu’il n’enregistre pas vos données de navigation et les efface à la fermeture du programme. Il est incognito parce qu’il garantit la confidentialité du trafic et des données en cryptant vos fichiers, emails et contenu de chat.

Enfin, comme d’autres logiciels existants (voir Bouldows par exemple), il s’agit d’un système d’exploitation live, c’est-à-dire qu’il peut être lancé simplement depuis une clef USB, une SD card ou un DVD. Il embarque également toute une panoplie de logiciels libres pour que l’utilisateur ait le moins de paramétrages à effectuer après l’installation. Cet OS est distribué sous licence GNU/GPL et comporte des logos sous licence Creative Commons ou provenant de thenounproject, comme pour le logo USB du Tails.

Sur le site Internet officiel, on apprend qu’il est destiné aux utilisateurs qui souhaitent :

  • utiliser Internet de manière anonyme et contourner la censure ;
    toutes les connexions sortantes vers Internet sont obligées de passer par le réseau Tor ;
  • ne pas laisser de traces sur l’ordinateur que vous utilisez sauf si vous le demandez explicitement ;
  • utiliser des outils de cryptographie reconnus pour chiffrer vos fichiers, emails et messagerie instantanée.

II.    Tor Project & Cie

Tor Projects (logo)Le Tor Project est un projet qui regroupe des développeurs plaidant pour les logiciels open-source, sécurisés, anonymes, cryptés, non traçables, gratuits, soit en quelques mots non commerciaux, confidentiels et respectant totalement la vie privée de ses utilisateurs. Le terme Tor est un acronyme pour “The Onion Router”, en référence à son système de fonctionnement par couche de routeurs permettant de rendre anonymes tous les échanges Internet basés sur le protocole de communication TCP.

Dans le même registre, et pour ne pas citer tous les autres projets existants, le Guardian Project constitue une bonne ressource complémentaire pour le public, mais surtout pour les  développeurs de logiciels libres et applications du même type pour les Smartphones.

Applications emails cryptées, browser fonctionnant par serveurs proxy fixes ou sautants, Tchat crypté et anonyme, messages codés par procédé de stéganographie; tout un tas de logiciels qui se démocratisent, deviennent plus communs et de moins en moins élitistes.

III.    A qui est-il destiné et quelle utilisation en faire ? (edit: 01.05.14)

Premier test de Tails 1.0 (aperçu rapide)

Au premier abord, Tails semble accessible à tous, que l’on soit Linux, Windows ou Mac OS. L’utilisateur est guidé pas à pas dans l’installation, puis dans son utilisation. On perd un peu sa zone de confort en devant configurer quelques paramètres de départ, tels que le clavier et la souris, la connexion wifi Internet, le mot de passe administrateur, etc, mais rien de bien méchant pour ceux qui savent installer un OS.

Tails desktop

Pour les utilisateurs de XP, vous retrouverez rapidement vos marques avec une option originale : le “camouflage windows“, soit Tails avec le thème de Windows XP.

Pour les utilisateurs de Mac OS, il faudra serrer les dents, car l’utilisation est moins intuitive. Au premier essai, impossible d’accéder aux données stockées sur le disque dur de mon Mac! D’ailleurs, prenez une souris, car le touchpad d’un Macbook devient vite un enfer (Au démarrage, ne pas oublier d’appuyer sur la touche alt pour lancer le démarrage de Tails depuis un DVD par exemple).

Globalement, Tails est plutôt intuitif, avec beaucoup d’options agréables, comme la possibilité d’avoir un système qui se souvienne de vos paramètres ou qui se met à jour (ce qui évite de tout recommencer à chaque démarrage; par contre il faut lancer Tails depuis une clef USB, car un DVD ne se met évidemment pas à jour). On peut aussi créer une zone de stockage persistante (persistant volume) pour des logiciels supplémentaires ou y stocker ses préférences système et ses données personnelles. On se connecte facilement à Internet et le système de proxys sautants n’empêche pas d’aller sur Facebook ou Gmail. Même si VLC n’est pas intégré à Tails, le lecteur vidéo Totem se défend plutôt bien, puisqu’il lit sans trop de problèmes un .mkv contenant du H264 et de l’audio en AAC, en multi-langues avec des sous-titres au choix.

A titre de conclusion intermédiaire, on peut affirmer que Tails 1.0 est destiné à toucher un public large, et pas seulement les amateurs de pingouins. Il n’est pas nécessaire de savoir entrer des lignes de commandes dans un terminal pour utiliser Tails. Néanmoins, il ne sera pas forcément accessible à tout le monde, car il faudra parfois s’armer de patience avant de retrouver ses repères, surtout que si on le lance à partir d’un DVD, car à chaque démarrage : on recommence! Mais en même temps, c’est le principe du live operating system …

Utilisation très polyvalente

Tails 1.0 embarque de nombreux logiciels libres plus ou moins connus tels que Iceweasel pour Internet (version GNU de Firefox), Claws mail pour la messagerie, Pidgin pour le Tchat, Open office pour les documents, Gimp (l’équivalent de Photoshop) pour la bureautique ou encore TrueCrypt pour crypter ses données. Ce système d’exploitation n’est toutefois pas infaillible, l’utilisateur étant averti qu’il décide comment se comporter sur son ordinateur et choisit de publier ce qu’il souhaite sur les réseaux sociaux. Bien choisir ses mots de passe et les changer régulièrement reste indispensable.

Attention tout de même à l’utilisation de logiciels tels que Tor Browser. Ce dernier reste bien plus lent qu’un navigateur conventionnel. En effet, bloquer les publicités, le contenu de scripts, les logiciels espions, stopper les cookies, passer par des proxys sautants ou encore crypter les données est coûteux en temps d’analyse et de traitement et la plupart des sites Internet ne sont pas adaptés à cette configuration. De plus, la plupart des sites e-commerce ou des plateformes sociales ou même d’autres sites ordinaires ne s’afficheront tout simplement pas si les cookies ne sont pas acceptés, ou si certaines options de cryptages, blocages ou autres sont activées. Il en va de même lorsqu’avec Firefox on navigue avec trop de modules complémentaires tels que Ghostery, Adblock Plus, Donottrackme, etc.

Ainsi, utiliser Tails est relativement simple et les nombreux logiciels qu’il contient permet une utilisation de tous les jours, mais pas pour n’importe qui et n’importe comment.  Les possibilités d’installer certains logiciels supplémentaires et sauvegarder ses préférences sont garantes d’une longévité du projet, mais cela suffira-t-il pour une utilisation grand public? Quant à une utilisation professionnelle à grande échelle dans le secteur privé ou public, ce sera une autre paire de manche…

IV.    Conclusion

De nombreux projets comme le Guardian ou Tor sont indispensables pour aider la communauté du web à respecter la vie privée des utilisateurs. Les développements récents de ces logiciels permettent d’atteindre un public de plus en plus large. A ce titre, il faut saluer l’énorme travail des communautés de développeurs de ce genre de logiciels libres. Ces projets ont le mérite d’inciter les gouvernements à promouvoir et même utiliser de tels logiciels. Le Tribunal fédéral suisse en est le parfait exemple avec son projet “OpenJustitia“.

Cependant, en pratique, peu de ces programmes sont vraiment utilisés par la majorité des internautes. Pour commencer, ces logiciels ne sont pas ou que trop peu connus du public, lequel n’est souvent pas au courant de l’existence même des alternatives et ne cherche souvent pas à le savoir. Ensuite, ces logiciels ont souvent été peu “user friendly”. La difficulté de paramétrage, leur installation ou leur utilisation rebutera plus d’un novice motivé qui souhaite se protéger, mais qui ne maîtrise pas ou ne comprend pas l’outil proposé. Enfin, le design parfois trop geek fait souvent reculer le citoyen lambda, dans un monde de matraquage médiatique ou l’on pense que, parce que c’est joli c’est bien!

En allant faire un tour sur les sites de Tor Project et Guardian Project, on constate alors que de nombreux logiciels libres existent. Ils sont souvent plus simples d’utilisation qu’on ne le croit et permettent déjà de diminuer considérablement nos traces sur Internet (voir l’article sur Panopticlic) et de conserver l’anonymat.

Et vous, avez-vous testé Tails 1.0 ou pensez-vous l’utiliser un jour?

Pour aller plus loin

Parmi les projets intéressants en cours utilisables pour PC, Mac ou Smartphones :

  • Tor Browser;
  • Le site guardianproject.org qui propose toute une palette d’applications web pour rendre son séjour sur Internet plus agréable;
  • Orweb, la version Android de Tor Browser;
  • Orbot : un logiciel pour Android qui utilise des serveurs proxys;
  • Startpage : un moteur de recherche neutre qui ne fournit aucune information à des tiers.
  • JonDo et JonDoFox : des logiciels similaires à  Tor Browser;
  • et des dizaines d’autres … !
Ntic Sao Paolo

Net Mundial : un sommet (extra)ordinaire?

Prochain article à venir : Gouvernance d’Internet discutée au brésil

Les 23 et 24 avril 2014 s’est tenu à Sao Polo le Sommet mondial sur la gouvernance d’Internet : le Net Mundial. Durant ces deux jours, ce sont non moins de 87 pays qui ont été représentés avec la participation de tous les milieux intéressés par le futur d’Internet à savoir des représentants des gouvernements, de la société civile, des milieux académiques et de la recherches, des entreprises et de la technique.

Lors de cette conférence ouverte tous les participants se sont exprimés apparemment sur un pied d’égalité, selon des conditions de participation précises, par écrit, physiquement ou par vidéo conférence, en formulant des questions ou en soulevant des problématiques liées à l’orientation de l’ICANN pour les années à venir.

Le débat a également porté sur les questions de sécurité, de vie privée et de surveillance en conséquence de l’affaire Snowden. Des séances de réflexions ont été organisées tout au long de ces deux jours au Brésil afin de parvenir à un plan d’action. Les procès-verbaux des séances sont d’ailleurs disponibles sur le site du Net Mundial et un document non contraignant a été élaboré.

L’article complet sur le bilan de cette conférence internationale et une analyse sur les lignes directrices et le futur d’Internet paraîtra dans les prochains jours.

Merci pour votre fidélité, votre patience et rendez-vous sur www.ntic.ch pour une lecture complète de cet article.

La rédaction.