Étiquette : hacking

RGPD: British Airways écoperait de £183 mio d’amende pour vol de données de cartes de crédit de 500’000 clients

Il ne fait pas bon être en violation du RGPD en Angleterre.

Le 8 juillet 2019, l’autorité de protection des données anglaise (Information Commissioner’s Office, ‘ICO’) vient d’adresser une note d’intention (‘notice of intent‘) pour sanctionner la compagnie d’aviation British Airways d’une amende – aujourd’hui record – de 183,39 millions de livres sterling (EUR 213,69 mio, CHF 232.68 mio ou USD 238.57 mio). Cette amende, si elle est confirmée, fait suite à une longue investigation en matière de protection des données liée à un vol de données de 500’000 de ses clients relatif aux données de compte, de réservations de voyages et des données de cartes de crédit. Cet incident a été notifié à l’autorité anglaise de protection des données (APD) en septembre 2018, soit sous l’égide du nouveau Règlement Général sur la Protection des Données (‘RGPD’).

Cet incident a fait couler beaucoup d’encre et fait l’objet de nombreux articles de presse pour conseiller et orienter les clients vers les bonnes pratiques à entreprendre pour limiter les risques liés à ce vol.

Edit. Le jour suivant, 9 juillet 2019, l’ICO UK a également adressé une note d’intention similaire pour sanctionner Marriott International avec une amende de £99,2 mio pour un incident compromettant des données personnelles liées à  339 millions de comptes clients dans 31 pays différents.  Après l’acquisition du Starwood hotels group en 2016, Marriott aurait découvert une faille de sécurité compromettant les données personnelles. Le problème est que la faille de sécurité datait de 2014, ce qui implique que Marriott a mis plus de 4 ans avant de s’en rendre compte. L’autorité anglaise a insisté sur la nécessité de considérer la conformité en matière de protection des données lors de fusions & acquisitions. Se posent de nombreuses questions, en particulier au niveau de la due diligence, des clauses de garanties (comment garantir une conformité alors qu’aucune  certification complète n’existe à ce jour) et du prix de vente. Nous reviendrons sur ce sujet essentiel dans un prochain post de blog.

________________________________

RAPPEL DE L’INCIDENT ET DONNÉES CONCERNÉES

En septembre 2018, la presse relatait l’inquiétante fuite de données liées à un vol effectué par détournement des utilisateurs de British Airways vers un site de phishing (faux site aux apparences identiques à un site officiel mis en place dans le but de voler des données personnelles ou importantes et permettant de commettre des infractions). La manœuvre opérée lors de ce cyber-incident  a consisté à détourner le site officiel de British Airways vers une fausse adresse Internet permettant aux hackers de collecter des identifiants de compte de clients pour ainsi dérober des données de cartes de crédit.

Le vol de données s’était produit pendant une période relativement longue, soit entre le 21 août et le 5 septembre 2018 concernant  380’000 transactions. Le patron de la compagnie d’aviation s’était même excusé publiquement de cet incident. Une des problématiques de cet incident est la tardiveté de l’annonce par British Airways ainsi que la (relative) longue durée au cours de laquelle la fuite s’est déroulée, soit pendant près de 2 semaines (16 jours).

Sur son site internet, British Airways avait annoncé la faille aux autorités, mais également à tous ses clients, pour permettre aux clients de savoir quelles démarches entreprendre pour limiter les risques pour ceux dont les données ont été compromises. Ces actions correspondent aux obligations d’une part, d’informer l’autorité de contrôle dans les 72 heures suivant la connaissance de l’incident (art. 33 al. 1 RGPD), d’autre part, d’informer les personnes concernées sans délai lorsque “la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique” (art. 34 al. 1 RGPD).

Au cours de son investigation, l’autorité anglaise a conclu au vol de données clients suivantes:

  • coordonnées clients, dont les noms et prénoms et identifiants pour se connecter à leurs compte
  • informations de cartes de paiements, dont le numéro de carte (crédit) incluant le code de contrôle CVV à 3 chiffres
  • informations sur les réservations faites par les utilisateurs

et que ce vol avait été le résultat de l’utilisation, par British Airways, de lacunes et mauvaises pratiques en matière de sécurité mises en place pour protéger les données d’utilisateurs via son site internet et son App mobile.

________________________________

COMMUNIQUÉ DE LA COMMISSAIRE A LA PROTECTION DES DONNÉES

Dans son communiqué de ce jour, Elizabeth Denham, la Commissaire à la protection des données en Angleterre, a clairement prévenu les responsables du traitement :

“Les données personnelles des individus ont cette caractéristique – elles sont personnelles. Lorsqu’une organisation manque de les protéger contre une perte, un dommage ou un vol, ce n’est pas uniquement gênant. C’est pourquoi la loi est claire – lorsque l’on vous confie des données personnelles, vous devez les traiter avec soins. Ceux qui ne le font pas, feront l’objet d’un examen approfondi de mon cabinet pour s’assurer que toutes les mesures appropriées ont été entreprises pour protéger les droits fondamentaux au respect de la vie privée.”

Cette communication est claire sur la manière d’appréhender les pratiques en matière de sécurité des données, obligation qui peut faire l’objet d’une amende allant jusqu’à 2% du chiffre d’affaire annuel pour violation de l’article 32 RGPD. De plus, il est possible que cette amende soit combinée avec la violation du principe fondamental de sécurité, dont la sanction financière peut se monter à 4% du CA annuel (art. 5 lit. f RGPD). Une combinaison de la violation de ces principes est possible pour calculer le montant de l’amende, tout comme la manière de collaborer, les mesures mises en place par le responsable du traitement des données parmi d’autres paramètres. Avec cet incident, British Airways a probablement également violé d’autres dispositions du RGPD, ce qui sera intéressant de lire lors de la décision finale de l’autorité de contrôle anglaise, notamment pour le calcul de l’amende.

________________________________

UNE NOTE D’INTENTION A CONFIRMER ET ELEMENTS DE PROCEDURE

S’il ne s’agit encore que d’une proposition de sanction, qui à ce jour n’est pas encore entrée en force. Toutefois, l’intention de la Commissaire est plutôt ferme et sera très vraisemblablement confirmée prochainement lorsque British Airways aura eu l’occasion de fournir ses contre-arguments et d’indiquer sa position sur ce dossier.

Selon la politique de l’ICO (voir p. 23), l’autorité adresse d’abord une note d’intention (Notice of Intent – ‘NOI’) avant d’émettre sa sanction finale sujette à appel. Dans un délai d’un minimum 21 jours, des auditions, explications et preuves de conformité ainsi que des contre-arguments pourrait être soumis à l’autorité avant que le montant final soit décidé. Cette procédure peut durant encore plusieurs mois avant que tombe la décision finale. L’ICO adressera alors sa “monetary penalty notice” (MPN) ouvrant alors le droit au responsable du traitement de déposer sous 28 jours un appel devant le tribunal de première instance anglais.

Cette proposition d’amende est le résultat d’une concertation entre plusieurs autorités européenne de protection des données, l’ICO agissant comme autorité de contrôle “chef de file” (mieux nommée “lead supervisory authority” en anglais) selon l’article 56 RGPD et selon le mécanisme de “One-Stop-Shop” qui consiste à ce qu’une seule autorité puisse traiter du dossier même lorsque d’autres peuvent être compétentes. Ce mécanisme trouve son utilité lorsque des individus sont affectés dans plusieurs pays donnant à plusieurs autorités la compétence de se saisir de l’affaire et s’applique uniquement en cas de traitement transfrontalier de données personnelles (art. 56 al. 1 RGPD). Cette décision n’interviendra qu’après avoir entendu les arguments de BA et consulté les autres autorités de protection des données compétentes selon le lieu de résidence des personnes affectées par l’incident.

________________________________

SANCTION PROCHE DU MAXIMUM ET CRITÈRES UTILISÉS

Avec cette sanction financière, l’ICO UK est la première autorité de contrôle à infliger une amende sous le RGPD pour violation du principe de sécurité des données, sanction qui est tombée malgré la notification de cette incident à l’autorité de contrôle et l’information aux personnes concernées. A noter l’absence de preuve d’infractions ou crimes commis avec les données volées. Ceci démontre que la sanction peut survenir même en l’absence de résultat concret pour les individus (similaire à une responsabilité causale, sauf qu’il s’agit d’une sanction administrative).

Si l’on considère que l’amende équivaut à 1,5% du chiffre d’affaire annuel de groupe British Airways, le maximum étant 2% selon l’article 83 al. 4 let. a RGPD, l’autorité de contrôle s’est rapprochée du montant maximal possible selon le RGPD pour ce type de violation, soit 75% du maximum. En cas de combinaison avec d’autres violation, l’ICO pourrait appliquer conjointement des critères selon la violation des principes fondamentaux (art. 83 al. 5 RGPD) selon le maximum de 4% du CA annuel du groupe.

Selon l’article 83 al. 2 let. (a) à (k), pour décider d’infliger une sanction (pécuniaire ou une autre mesure coercitive), une APD se fonde notamment sur (a) la nature, la gravité et la durée des manquements; (b) les catégories de données en cause; et (c) le caractère effectif, proportionné et dissuasif de la sanction.

La décision finale apportera plus de précision sur l’étendue de la sanction et le mode de calcul. British Airways dispose d’un délai de 28 jours pour faire appel contre cette note d’intention, ce que la compagnie a déjà annoncé vouloir faire pour se défendre cette décision considérée comme décevante vu les “efforts” consentis pour limiter les risques et les techniques “complexes” utilisées par les hackers.

________________________________

A QUAND UNE PRISE DE CONSCIENCE AU NIVEAU SUISSE ?

J’en parlais dans mon article sur les données de 800’000 clients de Swisscom volées. En droit Suisse, il n’existe à ce jour aucune disposition dans la loi fédérale sur la protection des données permettant au Préposé fédéral à la Protection des Données et à la Transparence de sanctionner directement un responsable de traitement. Seules des recommandations non-contraignantes sont possibles. La seule manière est d’utiliser la voie pénale qui prévoit une sanction maximale de CHF 10’000.- maximum (art. 34 et 35 LPD). Ces dispositions sont extrêmement limitées, car essentiellement liées à la violation du principe de transparence et n’incite aucun individu à ouvrir en procès pénal.

De plus, l’état actuel du texte révisé de la LPD (P-LPD, à lire dès la page 6815), prévoit certes une obligation d’informer le Préposé en cas d’incident dans les meilleurs délais (art. 22 P-LPD), mais sans qu’aucune sanction ne puisse être infligée au responsable du traitement en cas de violation de l’obligation d’annoncer une telle violation des données (art. 54 ss a contrario). Rappelons que le projet révisé ne prévoit qu’une sanction pénale au maximum de CHF 250’000.-, en cas d’intention ou d’omission, qui rendrait une personne physique pénalement responsable à la place de l’organisation responsable du traitement.

Vu les progrès effectués au niveau européen, mais également dans le monde (Brésil, Thaïlande, Corée du Sud, CCPA, etc.) pour permettre un meilleur contrôle des individus sur leurs données, l’approche et le timide positionnement suisse est totalement incompréhensible et absurde d’un point de vue économique. Au contraire, l’absence de (1) pouvoirs coercitifs du Préposé, (2) sanction administrative (sanctions pénales uniquement) et (3) sanction en cas de violation de notification des incidents, ne démontre pas un soucis de protéger de manière adéquate les citoyens suisses contre la mauvaise utilisation de leurs données personnelles, même avec un texte déjà très proche du RGPD (il faut tout de même le relever).

La Suisse semble se tromper de cible en voulant pénaliser l’individu et en même temps les personnes dont les données sont traitées si les règles ne sont pas assez protectrices. Il paraît grand temps que la Suisse, et ses politiques, prenne au sérieux les enjeux de la protection des données en s’alignant de manière plus complète sur les règles européennes sans pénaliser les personnes physiques.

Si la Suisse doit perdre sa décision d’adéquation, et devenir un pays tiers à l’Europe, comme pays n’ayant plus un niveau de protection adéquat pour le traitement des données personnelles, l’économie suisse devra en payer le prix fort.

A vos plumes et votre courage parlementaires !

________________________________

CONCLUSION ET RECOMMANDATIONS

Il paraît important de considérer au moins quelques points essentiels suite à cette décision, lorsque votre organisation est soumise au RGPD :

  1. Notifier ne suffit pas. Respecter la notification d’un incident en matière de protection des données, soit d’informer l’autorité dans les 72 heures, ne vous exempte pas de responsabilité. De plus, une amende peut être infligée même en l’absence de dommage concret pour les personnes concernées.
  2. Mesures de sécurité selon le risque. Il est essentiel de mettre en place des mesures de sécurité appropriées et robustes, considérant au cas par cas, le niveau de risque lié aux données personnelles traitées par votre organisation en qualité de responsable du traitement, le cas échéant par vos sous-traitants.
  3.  Contrats béton avec vos fournisseurs. Assurez-vous de choisir avec diligence vos partenaires contractuels et d’avoir les bons contrats en place avec vos fournisseurs, incluant notamment les exigences du RGPD et des exigences en matière de sécurité selon les standards pratiqués dans l’industrie.
  4.  Pratiquez des audits. Si vous n’êtes pas sûrs de vos pratiques en matière de sécurité, ou de celles de vos sous-traitants, pratiquez des audits ou demandez à vos sous-traitants des certificats d’audit, requerrez des preuves de conformité selon vos exigences en qualité de responsables de traitement.
  5.  Former vos employés. Vos employés, collaborateurs, éventuellement vos fournisseurs, doivent être formés à vos pratiques en matière de sécurité.
  6.  Se préparer aux incidents. Il est primordial de se préparer à des incidents en matière de protection des données. Préparez les ressources nécessaires et désignez les personnes responsables à l’interne ou à l’externe pour gérer un incident (compliance, légal, relations publiques, équipes sécurité, etc.). Munissez-vous d’une stratégie et d’un plan de réponse en cas d’incident pour limiter les risques. Vous pouvez effectuer des fausses alertes incidents et devez former vos employés.
  7. Limiter les dommages. Prenez toutes les mesures pour garantir un retour à la normale en modifiant vos pratiques de sécurité. En cas d’incident, le plus gros dommage ne sera probablement pas l’amende, mais les efforts, coûts, ressources et investissements requis pour faire face à l’incident, procéder aux diagnostics, mettre en place les correctifs pour que l’incident de se répète pas. Eventuellement, les pertes de clients.
  8. Suisse + pas de RGPD = pas de sanction. Pour les organisations suisses non-soumises au RGPD, une affaire de ce type n’aurait abouti à … rien!

A méditer !

—

Gabriel Avigdor, avocat, CIPP/E

www.ntic.ch | datalex.ch | penalex.ch

Citizenfour - NTIC

Affaire Snowden : quelles leçons en tirer sur la protection de la sphère privée sur Internet ?

Après plusieurs jours de tempête médiatique autour de la sécurité informatique, de l’espionnage et de la protection de la sphère privée sur Internet, un résumé des épisodes précédents s’impose afin de bien cerner l’actualité (Section I et II) et les conséquences des événements de l’affaire Edward Snowden. Afin d’apporter une ébauche de solution, quelques conseils sur la protection de sa navigation sur Internet sont fournis (Actes 3 et 4).

Dans cet article, je parle du film fascinant CitizenFour, le reportage sur Edward Snowden et le moment de ses révélations.

___________________________________

ACTE  1 – AFFAIRE EDWARD SNOWDEN : LES FAITS

Le scandale éclate le dimanche 9 juin 2013.

Edward Snowden, ex-consultant pour l’agence américaine de sécurité nationale (NSA), accordait une interview au journal The Guardian depuis un hôtel à Hong-Kong, dans lequel il s’était réfugié depuis le 20 mai 2013. Dans cet entretien, il révèlait l’existence de deux programmes d’espionnage sur Internet et de surveillance des télécommunications élaborés par le gouvernement américain, sous l’administration Bush, puis poursuivie par celle d’Obama.

Le premier programme concerne la récolte, depuis 2006, des données d’appels téléphoniques aux Etats-Unis par l’opérateur Verizon, et vraisemblablement d’autres opérateurs. Le second, appelé PRISM, vise à intercepter les communications d’internautes étrangers, se situant hors des Etats-Unis, sur les neuf grands réseaux sociaux appartenant aux firmes suivantes : Google, Facebook, Microsoft, Apple, Yahoo, AOL, YouTube, Skype et PalTalk.

Edward Snowden, qui s’expose à faire l’objet d’une demande d’extradition vers les Etats-Unis, au même titre que Julian Assange, est considéré depuis quelques jours comme l’un des Whistleblowers les plus recherchés du moment. Depuis 2007, Edward Snowden opérait comme espion basé à Genève pour le compte de la NSA, jusqu’à ce qu’il craque et qu’il révèle au grand jour ce qu’il a pu constater dans le cadre de son rôle.

Un résumé chronologique des événements de cette affaire peut être consulté ici ainsi que des références sur le site de la Radio Télévision Suisse romande.

___________________________________

ACTE 2 – GLENN GREENWALD : SUCCESSEUR DE JULIAN ASSANGE ?

Ces révélations n’auraient pas pu être possibles sans l’intervention de Glenn Greenwald, qui travaille actuellement pour le quotidien britannique indépendant The Guardian. Cet avocat journaliste américain a fait beaucoup parler de lui par ses révélations chocs en dénonçant les pratiques des États-Unis en matière de surveillance d’Internet et du contenu des télécommunications. Depuis les remous de l’affaire Wikileaks, Glenn Greenwald est devenu le nouveau Julian Assange de la presse à scandale sur Internet. Il n’a d’ailleurs pas hésité à publier des articles basés sur des documents confidentiels, fournis par Edward Snowden, et à rendre public des documents permettant de comprendre les possibilités techniques du programme Boundless Informant, logiciel d’analyse de données récoltées grâce au logiciel PRISM par la NSA.

Un résumé du parcours professionnel de Glenn Greenwald et de ses révélations peut être lu ici.

___________________________________

ACTE 3 – SURVEILLANCE  ET PROTECTION DE SES INFORMATIONS SUR INTERNET

Les pratiques d’espionnage des communications par l’Etat américain (PRISM) et leur analyse, posent une fois de plus la question de la sécurité des données personnelles sur Internet, dans le contexte des lois nationales sur la surveillance.

Mais ce que nous apprend Edward Snowden n’est pas nouveau. Cela met toutefois en lumière que les pratiques de certains Etats pour surveiller leurs citoyens, ainsi que des citoyens d’autres nations dépassent parfois le cadre des investigations policières et de la coopération internationale qui reste très limitée. Depuis les événements Snowden, les Etats ont vu leurs pratiques considérablement freinées par des techniques de cryptage par les géants d’Internet.

Vie privée sur Internet. Lorsque l’on parle de vie privée sur Internet, il peut s’agir de données personnelles (adresse IP, fichiers personnels au sens de la loi sur la protection des données “LPD” et du RGPD), du contenu de nos emails (scanné par Google, Microsoft, etc.), de nos fichiers privés ou professionnels stockés dans le nuage (Dropbox, Sugarsync, Skydrive, etc.), ou de nos données de navigation sur Internet notamment par des cookies (date et heure de connexion, langue, fuseau horaire, adresse IP, plug-in utilisés, etc.).

Aux Etats-Unis, le Foreign Intelligence Surveillance Act (FISA) a été promulgué. Il s’agit d’une loi du Congrès des États-Unis datant de 1978 et qui décrit les procédures des surveillances physiques et électronique, ainsi que la collecte d’information sur des puissances étrangères soit directement, soit par l’échange d’informations avec d’autres puissances étrangères. Cette loi a été modifiée à plusieurs reprises, notamment suite aux événements du 11 septembre 2001 avec le Patriot Act du 24 octobre 2001 qui permet au gouvernement américain d’utiliser tous les moyens nécessaires à la recherche de personnes susceptibles de commettre un attentat terroriste. Cette loi donne la possibilité au gouvernement américain d’obtenir toute information située sur sol américain qui serait susceptible de représenter une menace pour la sécurité nationale américaine. Cela comprend bien évidement les serveurs qui hébergent des données aux Etats-Unis ou dont les données sont sous-traitées aux Etats-Unis concernant n’importe quel utilisateur dans le monde.

L’article 702 du FISA Act permet au Procureur général des États-Unis et au Directeur du renseignement national d’autoriser conjointement le ciblage des personnes censées être raisonnablement situées à l’extérieur des États-Unis, mais elle est limitée au ciblage des personnes non américaines. Une fois autorisées, ces acquisitions de données (SIGINT) peuvent durer pendant des périodes allant jusqu’à un an. Cet article 702 autorise l’usage des programmes de surveillance utilisés par la National Security Agency (NSA) et le FBI, comme PRISM tel que révélé par Snowden en 2013.

Protection de la sécurité nationale. Si le but des sociétés privées est de récolter nos données à des fins de marketing et de publicité ciblée, le but des Etats est de protéger leur sécurité nationale. L’individu lambda qui n’a que des notions basiques d’informatique peut-il se protéger contre la collecte à son insu de ses données ?

Pour tenter de répondre à cette question, le site Internet de la RTS a Recueilli, notamment de spécialistes des nouvelles technologies, dix conseils pour mieux se protéger contre les atteintes à la vie privée. Voici un résumé de ces conseils avec certains ajouts personnels (intitulés “ndlr”).

___________________________________

ACTE 4 – DIX CONSEILS POUR SE PROTÉGER SUR INTERNET ?

1. Limiter sa présence sur les réseaux sociaux

Un commentaire quelconque au sujet du cannabis ou une mauvaise blague sur le gouvernement américain sur Facebook pourrait rendre plus difficile une demande d’obtention de VISA pour les Etats-Unis.

2. Consommer local

Éviter à tout prix les adresses électroniques sur des serveurs américains, ou sur des serveurs situés aux Etats-Unis à l’instar d’un Hotmail ou d’un Gmail. En optant pour une alternative européenne ou suisse, l’internaute pourra plus facilement et plus rapidement se retourner en cas de violation des données en raison d’une législation plus stricte.

  • ndlr : Il faut également s’assurer que le prestataire suisse qui stocke et traite les données ne sous-traite pas à son tour les données aux USA.
  • ndlr : Le logiciel gratuit Wuala propose des services de cloud computing sécurisés avec stockage des données en Suisse, France, Allemagne. A l’instar de ses concurrents, il offre également des solutions professionnelles payantes.

3. Privilégier l’Open Source

Plutôt que passer par des entreprises tierces (DropBox, SugarSync, Google Drive, Skydrive, etc.), on peut aussi opter pour des alternatives libres telles que OwnCloud ou SeaFile.

  • ndlr : une recherche rapide permet souvent de trouver des logiciels aussi performants que les plus connus, mais bien plus sûrs et souvent gratuits.

4. Protéger sa connexion et ses courriels

Il est possible de surfer en toute discrétion grâce à des logiciels comme Tor qui empêchent de remonter jusqu’à l’adresse IP et donc jusqu’à l’auteur. Autre option: installer des extensions et plugins permettant de le chiffrement des courriels en utilisant GPG/PGP, comme par exemple Enigmail pour Mozilla Thunderbird.

  • ndlr : l’excellent plugin Ghostery permet d’éliminer une bonne parties des logiciels qui traque les informations des utilisateurs lors de leur navigation sur Internet.
  • ndlr : il est également possible de passer par un serveur proxy gratuit, voire un logiciel comme Privoxy, pour surfer sans être limité à une zone géographique.
  • ndlr : le site Internet panopticlick, élaboré par la Electronic Frontier Foundation, permet de calculer le nombre de traces que l’on laisse sur notre passage en surfant sur Internet avec la configuration actuelle de notre navigateur (Mozilla, Internet Explorer, Safari, Chrome, etc.).
  • ndlr : il faut éviter d’enregistrer son mot de passe et ses données de connexion, même sur son ordinateur personnel.
  • ndlr : n’utiliser qu’un seul ordinateur pour effectuer ses paiements sur Internet par eBanking ou cartes de crédit et vérifier que l’adresse que l’on visite est sécurisée (https).
  • ndlr : il faut encore adopter le même comportement sur tous les ordinateurs et smartphones que l’on utilise. Des logiciels pour Firefox permettent de synchroniser ses plugins avec les autres ordinateurs que l’on utilise (p.e. : Siphon).

5. Utiliser un pseudonyme

La création de plusieurs adresses électroniques sous un pseudo, dont certaines qui servent de “poubelles”, permet de limiter la publicité et la diffusion de ses informations personnelles.

6. Se méfier des homonymes

Taper son nom régulièrement dans des moteurs de recherche ou installer une alerte Google permet de surveiller son identité numérique et de réagir vite en cas de contenu indésirable.

7. Toiletter son identité numérique

Afin d’éviter qu’un homonyme ou quelqu’un de mal intentionné n’utilise votre identité, certains recommandent de créer soi-même des comptes à son nom sur les réseaux sociaux, même ceux qu’on n’utilise pas.

On peut en outre contrôler les premières informations qui apparaîtront sur un moteur de recherche en créant son propre site bien référencé ou même en faisant une utilisation “intelligente” de réseaux sociaux comme LinkedIn.

8. Contourner les moteurs de recherche

Beaucoup d’informations transitent par les moteurs de recherche, qui sont de vrais cafteurs. Mais il est possible d’éviter Google, Bing et Yahoo en utilisant https://duckduckgo.com.

Ce méta-moteur utilise en fond d’autres moteurs mais s’arrange pour ne laisser passer aucun cookie ou autres.

  • ndlr : en complément du logiciel Ghostery, l’installation du module complémentaire pour désactiver Google Analytics limite le risque que l’on soit ensuite ciblé par de la publicité.

9. S’informer

Avant de s’inscrire sur un réseau social ou d’ouvrir une nouvelle adresse électronique, rien ne vaut la lecture des “conditions d’utilisation”.

D’autres informations sont disponibles sur la politique de certaines entreprises en matière de vie privée, comme par exemple ce rapport publié par l’Electronic Frontier Foundation fin avril.

10. Surveiller son smartphone

L’utilisateur n’a pas vraiment la main sur son smartphone, mais il peut limiter la casse.

L’application Clueful de l’éditeur Bit Defender permet d’examiner les applications présentes sur un mobile et alerte sur celles présentant un risque éventuel.

  • ndlr : sur les smartphones récents, il est possible de surfer en navigation privée (Mozilla sous Android, dans les options de navigation pour iOS). Cette manipulation permet de limiter la transmission spontanées de toutes nos données de navigation.

V. Conclusion

Même si l’on sait que les géants d’Internet ont des intérêts financiers, il y a en arrière plan d’autres intérêts bien plus grands, ceux des Etats, ce qui contraint à se poser des questions fondamentales de respect de la vie privée des utilisateurs d’Internet face à la sécurité nationale. De même, de telles questions touchent également au domaine de la souveraineté nationale qui pourrait, le cas échéant être considérée comme violée. Sur cette question, le chef du Département des affaires étrangères en Suisse, Didier Burkhalter, a renoncé à se prononcer sur la question pour le moment.

Bien des moyens existent pour limiter la diffusion de nos informations sur Internet. Toutefois, pour une navigation avertie sur Internet, cela suppose de s’efforcer de chercher les informations nécessaires à se protéger, lire les conditions générales d’utilisations, installer des modules complémentaires ou l’utilisation de logiciels tiers etc. Démarches lourdes qui nécessite un brin de connaissances informatiques si l’on ne veut pas être immédiatement découragé.

Rien que l’installation du logiciel Ghostery contribue déjà à supprimer une parties des informations que l’on transmets lors de notre navigation Internet, toutefois, plus on restreint les informations que l’on donne plus la navigation sur Internet devient difficile. Par exemple, si l’on bloque l’activation des cookies, flash et Java-script l’accès à Internet devient presque impossible.

Une navigation 100% anonyme sur Internet est souvent presque incompatible avec une navigation 100% libre sur Internet.

____

Par Gabriel Avigdor | NTIC.ch