Étiquette : protection des données

Helsana+ et rabais de primes : traitement illégal des données

Dans l’affaire des rabais de primes proposés par Helsana grâce à son App “Helsana+“, le Préposé a émis une recommandation le 27 avril 2018 (text d’origine en allemand) enjoignant l’assurance complémentaire de cesser tout traitement de données permettant aux assurés de base d’obtenir des rabais de primes en adoptant un style de vie sain et sportif. Le Préposé accorde un délai de 30 jours à la société d’assurance complémentaire pour cesser “tout traitement de données visant à calculer et à effectuer des remboursements sous forme pécuniaire pour les clients qui ne disposent que de l’assurance de base auprès d’Helsana“. Les recommandations du Préposé ont une portée limitée puisqu’elle n’ont pas d’effet contraignant. Toutefois, si la recommandation n’est pas suivie dans le délai imparti, l’affaire peut être portée devant le Tribunal administratif fédéral pour obtenir une décision judiciaire, définitive et exécutoire (art. 29 al. 3 et 4 LPD). Helsana a apparemment indiqué vouloir suivre la recommandation du Préposé et cesser le traiter de ces données.

__________________

De quoi parle-t-on exactement avec cette application mobile ?

Lorsqu’on se connecte à Helsana+, l’application demande à l’utilisateur s’il est aussi client de l’assurance de base. Par conséquent, il peut bénéficier jusqu’à CHF 75.- de rabais par année qu’il soit assuré à titre complémentaire ou non. Or selon le Préposé, il n’existe pas de base légale pour traiter ces données liées à l’assurance de base, et le traitement opéré par Helsana Assurances complémentaires SA est illicite. De plus, la loi fédérale sur l’assurance maladie (LAMal) interdit d’accorder des rabais aux assurés de base, ce qui serait contraire au principe d’une assurance sociale ayant pour but de rembourser les assurés sans discrimination, dans notre cas, sans distinguer les bons (personnes en bonne santé) des mauvais risques (personnes malades, avec antécédents ou avec des risques plus élevés que la moyenne, notamment par le style de vie).

Dans son communiqué, le Préposé a précisé ce qui suit:

en s’enregistrant sur l’application Helsana+, les assurés d’Helsana Assurances complémentaires SA donnent leur accord à ce qu’on vérifie qu’ils sont assurés auprès du groupe Helsana pour l’assurance de base. Faute de base légale, la récolte de ces données relatives à l’assurance de base par l’assurance complémentaire et leur traitement subséquent par l’assurance complémentaire sont illégaux du point de vue de la protection des données et le consentement recueilli par l’application n’a aucun effet juridique. Le PFPDT recommande donc à Helsana Assurances complémentaires SA de mettre un terme à ce traitement de données de l’assurance de base. 

Pas de rabais pour les assurés de base grâce à Helsana+. En fin d’année 2017, le Préposé avait mené une enquête suite à la mise sur le marché de l’application mobile d’Helsana qui pousse les assurés à opter pour une meilleur style de vie, sain et sportif. Le système de bonus ou de points “Plus” peuvent être récolté si l’utilisateur renseigne l’assurance d’une activité physique, de mesures de prévention, d’une fidélité ou de son adhésion à un centre de fitness. Ces activités encourageant une meilleure santé, et par conséquent de plus faibles risques de tomber malade, sont ensuite converties en points, que l’assuré peut encaisser en liquide ou auprès de partenaires d’Helsana, soit en avantage pécuniaire.

__________________

 Enjeux juridiques, économiques et sociaux

Les enjeux concernent:

  • d’une part l’interaction entre l’assurance de base et l’assurance complémentaire et la manière avec laquelle une assurance complémentaire peut traiter des données de l’assurance de base ; et
  • d’autre part, l’un des thèmes souvent décrié dans la presse concerne la “sélection des risques“, le fait de privilégier ou récompenser financièrement les personnes qui ont un train, mode et style de vie favorisant une meilleure santé des autres  personnes qui sont ont été, sont ou ont un plus grand risque de tomber malades.

L’assurance-maladie de base (LAMal) est une assurance sociale qui doit rembourser un catalogue de prestations listées par le Conseil fédéral (OPAS) sans distinction entre les individus, toute personne étant égale face à la maladie indépendamment de son mode de vie ou de ses revenus.

L’article 84a LAMal traite du transfert de données dans le cadre de l’assurance-maladie, mais ne prévoit pas la communication de données de l’assurance de base à l’assurance complémentaire, cela même si ces données traitées au sein du même groupe. En l’absence de base légale permettant ce transfert, le consentement recueilli par les utilisateurs pour le traitement de leur données n’est pas valable et le traitement devient par conséquent illicite.

—

Par Gabriel Avigdor | NTIC.ch

3 mois avant le RGPD – que va-t-il arriver si vous n’êtes pas prêt?

 

Conformité au RGDP… ces mots résonnent dans nos têtes comme s’ils n’en existaient pas d’autres.

En effet, la protection des données personnelles est devenue un thème non seulement à la mode, mais tout le monde en parle parce que cette nouvelle réglementation bouleverse au delà du paysage légal. En 2017, le RGPD est vite devenu l’un des sujets réglementaires et juridiques probablement le plus discuté actuellement et cela va encore augmenter dans les prochains mois. La date de conformité approche et nous ne sommes qu’à un peu plus de 3 mois du 25 mai 2018, cette fameuse date butoir après laquelle le Règlement (UE) 2016/679  (RGPD ou GPDR) s’appliquera à tous les organismes publics et privés qui tomberont dans le champs d’application matériel (art. 2) et territorial (art. 3) de ce Règlement.

La protection des données et la cybersécurité vont gagner en importance avec les compagnes de sensibilisation massives, l’importance de penser à la protection des données dès le début ou dès la conception avant tout traitement des données (privacy by design), et l’incroyable augmentation du nombre de professionnels de la protection des données apparaissant au niveau mondial, prônant ce domaine qui n’est pourtant pas si nouveau.

Dans cette course historique pour la conformité en matière de protection des données, la Commission européenne a publié son nouveau site internet contenant des lignes directrices très complètes au sujet du RGPD. Cette plateforme est conçue de manière très intuitive, intelligible, simple et de facile d’accès. Le contenu comporte plusieurs sections couvrant les principaux thèmes traités par le RGPD, dont notamment:

ainsi qu’une section infographique contenant un résumé des domaines clés liés au nouveau Règlement comme les droits et obligations, les règles organisationnelles, la gouvernance, et les conséquences en cas de non-conformité. Et il ne reste plus beaucoup de temps. Au peu moins de 3 mois avant que les organisations traitant des données personnelles aient à démontrer aux autorités de quelle manière elles sont conformes avec la loi (principe de ”responsabilité” ou “accountability” en anglais – art. 5 § 2 RGPD).

__________________

A QUOI S’ATTENDRE SI VOUS N’ÊTES PAS “RGDP-CONFORME” EN MAI 2018?

Sur son nouveau site, la Commission rappelle les 4 étapes clés avant qu’une autorité de contrôle (“supervisory authority”) puisse prononcer une amende administrative (art. 83 RGPD) aux entreprises et organisations qui seraient en violation de leurs obligations:

(1) AVERTISSEMENT ⇨ (2) RAPPEL A L’ORDRE ⇨ (3) SUSPENSION DU TRAITEMENT DE DONNEES ⇨ (4) AMENDE

Le Règlement (UE) 679/2016, les sanctions doivent être prononcées de sorte qu’elle soient “dans chaque cas effectives, proportionnées et dissuasives” (art. 83 § 1 in fine RGPD). De plus, le régime de sanctions permet à une autorité de contrôle de prononcer une amende en sus d’une autre mesure telle que notamment:

  • avertissement (art. 58 (2) (a) et considérant 150 RGPD);
  • retrait d’une certification (art. 58 (2) (h) RGPD); ou
  • suspension du traitement de données (art. 58 (2) (j) et 83 (5) (e) RGPD).

__________________

LES AUTORITES NE VONT PAS SANCTIONNER TOUT LE MONDE DES LE 26 MAI 2018 

Il est devenu courant d’entendre et de lire de nombreuses personnes et cabinets de conseils sortant de nul part, criant sur les réseaux sociaux et sur internet que la fin du monde est prévue pour mai 2018 en cas de non-conformité. La réalité est un peu plus complexe que cela et de telles assertions ne correspondent pas à la réalité. Il est vrai qu’après le 25 mai 2018, la protection des données aura effectué un saut de géant en avant, et que le délai pour les responsables de traitement de se mettre en conformité sera échu. Des sanctions pourraient dès lors s’abattre sur les organisations qui ne seraient pas conformes. Ok, cela est théoriquement vrai avec des amendes très salées.

Toutefois, cela ne devrait arriver qu’après une analyse de la situation par une autorité de contrôle, includant des échanges de communications, des audits, dans le cas où une personne concernée dépose une plainte pour violation ou non respect de ses droits, ou en cas de saisie de la justice par un individu pour violation de la loi.

Si une chose est certaine, si vous n’y êtes pas encore et que vous pensez êtes soumis au RGPD, vous feriez mieux de vous y mettre tout de suite ou alors préparer votre ligne de défense pour indiquer en quoi votre entreprise n’est pas soumise au RGPD. Cependant, il semble utile de rappeler quelques considérations un peu moins alarmistes sur le régime de sanctions selon le RGPD et la mise en conformité. En voici quelques unes:

  • Il ne va pas pleuvoir des amendes dès le 26 mai 2018. Il s’agit d’un mythe créé par des entreprises qui pratiquent le marketing par la peur et qui se réjouiront de vous offrir toute une panoplie de de services, solutions informatiques et cocktail pack de mise en conformité au RGPD. Les entreprises déjà alertes sur cette problématique ne sont font pas avoir, mais les plus petites structures qui sont nouvelles dans le monde du numérique peuvent tomber dans le piège.
  • Question de preuve et d’interprétation. Une autorité ne va pas prononcer une amende avant d’avoir pu considérer que le responsable de traitement a concrètement manqué à ses obligations, probablement après l’avoir interpellé, puis probablement averti (cela concerne les responsables, mais aussi leurs sous-traitants) d’un violation de la loi. Des délais de mise en conformité seront accordés et, en fonction de la gravité des manquements, une certaine flexibilité sera accordée. Cela implique de mener des investigations, par exemple en demandant des explications documentées, en menant des audits auprès des responsables de traitement, des sous-traitants, des détaillants, des fournisseurs, des partenaires commerciaux, mais également par une interprétation du Règlement. Et ce n’est pas chose aisée.
  • Cela va prendre du temps d’examiner les plaintes. Selon Steve Eckersley, du Bureau du commissaire à l’information anglais (ICO UK), certaines enquêtes prennent de 8 à 12 mois”. Cela prend donc du temps qui permet au responsable de corriger le tir. Steve Echersley cite comme exemples que “le bureau du Commissaire à l’information est en train de recruter entre 100-150 personnes pour travailler sur les aspects liés au RGPD et à la cybersécurité” et prédit qu’ils s’attendent à recevoir quelques “30’000 notifications d’incident par année“. Ce n’est pas un nombre à prendre à la légère.
  • Les autorités ont aussi leurs obligations. Les autorités sont, et resteront, très occupées à mettre en place leur propres équipes afin de renseigner, aider, guider les responsables de traitement dans l’applicabilité, l’interprétation, mais aussi la mise en place des mesures nécessaires à être conforme au Règlement. Elles doivent aussi réfléchir à intégrer ou non des exceptions au RGPD dans leur droit national, examiner comment traiter et gérer les notifications d’incidents, travailler sur la soumission d’analyses d’impact (DPIA), etc.
  • Sanctionner n’est pas une priorité. La priorité n’est pas de sanction tout le monde dès mai 2018, mais plus de pouvoir démontrer que votre organisation met la protection des données en haut de la liste des tâches à accomplir et que des mesures concrètes sont prises pour y remédier, que les bonnes personnes sont en place, que la gouvernance a été pensée, qu’un budget a été alloué, etc. La conformité au RGPD, est pour la plupart des responsables de traitement, un énorme projet qui se prolongera au moins sur les 5 ans à venir, et qui continuera d’être, pour toutes les parties prenantes. Les autorités de contrôle sont d’ailleurs elles-mêmes mises sous pression par la Commission européenne pour leur propre mise en conformité! Le fait qu’elles soient très occupées, ne signifie pas pour autant qu’aucune sanction ne sera prononcée. Ces amendes arriveront, il y aura des exemples auprès des grands, moyens et petits. Mais simplement pas tout de suite.
  • Le Règlement (UE) 2016/679 n’indique pas les amendes comme première mesure en cas de non-conformité. Lorsque un audit RGPD sera mené, il y aura place au dialogue et échanges entre les autorités, juristes, avocats, conseillers internes à la protection des données (DPO), sous-traitants et autres acteurs de cet écosystème. Il sera également intéressant d’observer si le niveau de plaintes par des individus va augmenter dans le futur ou si le RGPD va instaurer une confiance accrue auprès du public. On oublie parfois que le le RGPD est formidable opportunité pour les organisations de rester compétitives. Une attitude responsable, une volonté de mettre les clients et les individus au centre de leurs intérêts en respectant au mieux leurs droits peut être un grand coup de marketing permettant d’indiquer un haut niveau de standard en la matière, le cas échéant en se démarquant de la concurrence.
  • Maintient de la conformité au cours du temps. La conformité doit être maintenue et surveillée dans le temps. La conformité au RGPD n’est pas un projet unique. Elle s’intègre au sein d’une entreprise comme nouveau comportement vis-à-vis de leurs clients, partenaires d’affaires, employés, etc. et les processus internes en seront modifiés en conséquence. Cela devrait continuer aussi longtemps que ce Règlement sera en vigueur, ce qui implique qu’une amende pourrait arriver bien plus tard. Une entreprise peut être prête pour mai 2018, et ne plus l’être dans le futur si le programme de protection des données n’est pas maintenu.
  • Interprétation de la loi et droit nationaux.  Plus de 60 articles du RGPD permettent aux Etats Membres de l’UE de déroger au Règlement dans leur droit national. Cela veut dire que de connaître le RGPD sur le bout des doigts maintenant, n’est pas suffisant. Il y aura probablement 28 RGPD différents (ou 27 dès le Brexit). Il y aura de nombreuses différences selon les pays, avec un exemple déjà très aboutit en Allemagne, premier pays à avoir adopté et adapté sa loi interne au RGPD. Enfin, beaucoup d’articles du RGPD ne sont pas clairs et sont déjà sujets à interprétation par de nombreux commentateurs. La conformité reste une analyse au cas par cas et il n’est pas possible d’avoir une solution clé-en-main applicable à tous, même si beaucoup de principes sont communs. Dans cet article, il est également mentionné qu’il “faudra probablement environ 10 ans avant qu’on puisse considérer le RGPD comme un texte législatif mature et qui est compris correctement”.

Tout cela permet de tempérer quelque peu les ardeurs et se rendre compte de l’ampleur de cette réglementation.

__________________

D’AUTRES MENACES ET RISQUES QUE LES AMENDES

Les entreprises et organisations traitant des données personnelles et qui sont soumises au RGPD (responsables et sous-traitants) ne devraient pas se focaliser sur les amendes. Une amende risque de n’être qu’un mauvais goût supplémentaire à un menu déjà trop salé.

Lors d’un traitement de données personelles, il s’agit de prendre également en considération les autres risques et menaces à l’activité et aux affaires en cas de non-conformité. Voici quelques exemples:

  • atteinte à la réputation, pertes financières, pertes de cliens après un incident. Les notifications en matière de cybersecurité, tant aux autorités en cas de risque (art. 33 RGPD), qu’aux personnes concernées en cas de risque élevé (art. 34 RGPD), les atteintes à la réputation peuvent causer parexemple des dommages considérables à la réputation, engendrant des opportunités d’affaires perdues, perte de clientèle, responsabilités contractuelles et violation de contrats. Ces événements peuvent être bien plus dommageables qu’une amende. L’affaire désastreuse de Talk-Talk, a été causée par un porte-parole qui s’est exprimé devant la presse sans préparation suffisante, donna le pire des signaux causant la panique des clients après le communiqué de presse lié à l’incident.
  • discontinuité des affaires et coûts de remise en service suite à un incident. Non seuelement les incidents en matière de cybersécurité peuvent causer un arrêt de l’activité et impact sur la réputation, mais cela impliquera des dépenses qui peuvent être considérables. Dans le cas de Talk-Talk, alors que l’amende s’est élevées à GBP 400,000, les dommages totaux se sont chiffrés à environ GBP 60 millions… Les dépenses peuvent concerner les enquêtes et investigations, correction des erreurs, prévention des nouvelles, et mise en place de nouvelles mesures et processus, etc. Avec l’augmentation des systèmes informatiques et du numérique, le traitement des données par des réseaux connectés, il est probable que des données personnelles soient concernées. Si tel n’est pas le cas, la réglementation ne s’applique pas. C’est là que la mise en place de mesures techniques et organisationnelles adéquates joue un rôle clef. Dans le cas le plus optimiste, une organisation bien équipée et préparée pourrait même ne pas avoir à notifier les individus, ni même les autorités. En effet, si les données ne sont pas personnelles, ou si l’incident n’est “pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques“, alors aucune notification n’est requise. Quoi qu’il en soit, la réflexion et l’intégration d’une politique en matière de cybersécurité pour se préparer et savoir notifier de manière adéquate et dans les délais un incident est absolument cruciale. Cela nécessite d’impliquer les personnes au plus haut niveau hiérarchique.
  • suspension du traitement des données. Un incident en matière de cybersecurité peut causer une cessation temporaire de l’activité, mais autorité peut aussi l’ordonner. Cela pose encore des questions pratiques pour savoir comment une autorité peut mettre en exécution une telle mesure (probablement par les forces de police), cela pourrait être très dommageable en particulier si le traitement de ces données est essentiel à la poursuite de l’activité et des affaires.
  • prise de parts du marché par des concurrents. Il s’agit d’un élément auquel les responsables de traitement devraient aussi songer.  Et c’est aussi là que le RGPD constitue une réelle opportunité pour certains acteurs. Mettre en avant sa conformité un réel gage d’excellence en matière de gestion de la protection des données personnelles.
  • activité péjorée sur le long terme.
  • perte de confiance par le public.
  • pertes d’employés et démission de cadre dirigeants.
  • budget supplémentaire et non planifié en matière de sécurité, protection des données, restructuration interne, établissement de nouvelles positions, audits internes.
  • etc.

Il est certains que toutes les entreprises et organisations dans le monde et qui sont soumises au RGPD ne seront pas prêt pour le 25 mai 2018. Les responsables traitant de grosses quantité de données, sensibles qui plus est, et créant un risque pour les individus, seront dans le collimateur des autorités. Cela est évident. Cette soit-disant “Loi Facebook” va peut-être motiver les autorités à se concenter sur les GAFAM, BATX et leurs partenaires contractuels, mais cela concerne tous les acteurs.

Par cet article, j’espère avoir pu donner quelques pistes indiquant que l’alarmisme n’est pas la bonne approche et n’est pas conforme à la réalité. Tant qu’une entreprise est capable de démontrer son avancement vers la conformité, qu’il s’agit d’une priorité, qu’elle a pris les mesures en vue d’aboutir à une conformité le plus rapidement possible, cette entreprise se trouve sur la bonne voie.

Soyez prêts et non effrayés. Faites du RGPD, une opportunité pour votre entprise ou organisation et non un point bloquant. Ne craignez pas les amendes, mais préparez-vous pour démontrer que vous êtes ou allez être conformes.

__________________

Par Gabriel Avigdor | NTIC.ch

Vol de données clients Swisscom – Une sonnette d’alarme pour la Suisse?

L’affaire du vol des données clients Swisscom auprès d’un de ses partenaires survenu ce 7 février 2018 fait suite à une longue liste d’incidents au niveau international (Equifax, Yahoo, Wannacry, Uber, Linkedin,…). Mais aussi en Suisse (Digitec, Swisscom), avec une liste qui va encore s’allonger ces prochaines années. Cet incident permet de se rendre compte concrètement que les grands opérateurs, ceux qui devraient d’ordinaire inspirer confiance, ne sont pas à l’abri des attaques. D’ailleurs, il en va de même pour tous les autres acteurs, secteurs publics et privés confondus. Néanmoins, ce sont surtout nos données qui sont à risque.

Risques limités, mais vol significatif à l’échelle suisse

A l’échelle de la Suisse, ce sont quand même les données de 800’000 clients volées il y a de cela 3 mois et annoncé le 7 février 2018 seulement. Difficile d’extrapoler cela aux incidents survenus auprès de vrais géants. Même si ce vol de données peut paraître dérisoire en comparaison avec d’autres vols de données historiques (3 milliards de données de comptes Yahoo!, au travers de Verizon, compromis en 2014), ce nombre est pourtant assez significatif pour un opérateur helvétique.

Notification tardive, mais conforme

A noter aussi une notification de la part de Swisscom qui intervient tardivement, mais qui correspond aux obligations actuelles imposées aux responsables de traitement selon le droit suisse: il n’y en a pas.

Conséquences de ce vol

Ce vol de données jugées par l’opérateur Swisscom comme

“pas particulièrement sensibles “

n’aura probablement que peu de répercutions sur les individus, mais véhicule un mauvais message au public qui pourrait laisser penser que lorsque des données personnelles sont volées, ce n’est pas important. De plus, il s’agit d’une terminologie malheureuse qui peut prêter à confusion (voir plus bas).

Les désagréments attendus pourraient aller du marketing ciblé, aux tentatives d’obtention de paiements indus, de prestations financières ou de communication de données bancaires par téléphone, SMS ou courrier. Par conséquent, une certaine vigilance accrue est dès lors de mise pour les clients ayant fait l’objet d’un vol de leur données. Ce genre d’incidents n’est donc pas à prendre à la légère dans un contexte où les inquiétudes des citoyens face à la course effrénée aux technologies et à l’utilisation massive des données ne concordent pas vraiment avec celles d’une majorité de nos politiques et parlementaires.

La Suisse tarde et risque de perdre sa compétitivité

Plutôt en retard. La Suisse peine à suivre le train des technologies et se trouve être en retard sur certains aspects liés au numérique, notamment la protection des données. Le droit suisse n’est pas encore complètement “périmé” et apporte bon nombre de réponses face à l’avancée rapide des technologies. Simplement, il n’est plus très moderne et pour un pays bénéficiant d’autant d’innovateurs, de start-ups et d’entreprises high-tech, il est difficile de comprendre le manque de prise de décisions et d’initiatives pour faire de la Suisse un Etat moderne, voir modèle.

Le modèle à la suisse trouve réellement ses limites. Institutions politiques, démocratie semi-directe et directe, ainsi que sa trop grande prudence aboutit toujours au même discours:

” attendons de voir ce que les autres feront, nous verrons ensuite“

Cette mentalité semble dépassée et plutôt antagoniste avec le fait que les technologies touchent à des questions fondamentales de notre société. Le droit du travail va bouleverser les métiers non créatifs (IA), l’éducation doit être repensée, la médecine et la santé vont drastiquement changer, la responsabilité individuelle va augmenter, la formation et la création de nouveaux métiers à tous les échelons (apprentissages, hautes écoles, universités) doit être anticipée, et les données de nos citoyens ainsi que de toutes celles des entreprises qui font confiance à la Suisse pour les y héberger ou laisser transiter, doivent être en sûreté.

Est-ce la peur de faire des erreurs, la peur du risque, des générations de dirigeants étatiques et ou privés qui attendent d’être à la retraite pour dire “ouf, heureusement que je n’ai pas eu à m’en charger” ou “je n’y comprends rien de toute façon“? Difficile de répondre à cette question. Pourquoi la Suisse ne pourrait-elle pas inspirer, elle dont l’économie internationale bénéficie encore de sa réputation basée sur la confiance, sa neutralité, sa discrétion, son exigence, sa capacité de travail et son sérieux?

Il semble URGENT pour la Suisse d’accélérer sa prise d’initiative au niveau politique et législatif si elle souhaite rester compétitive face aux acteurs du marché européen. Par ailleurs, on constate que des entreprises suisses qui ne seront pas soumises au Règlement (UE) 679/2016, autrement connu sous le doux nom de RGPD (ou GDPR en anglais), se mettent en conformité pour éviter de perdre des parts de marché.

Loin de Swisscom, l’exemple de Talk-Talk

En octobre 2016, l’entreprise de télécoms anglaise Talk-Talk avait perdu 101’000 clients suite à un vol de numéros de comptes bancaires d’environ 157’000 de ses clients. Cela avait abouti à une amende record de £400’000, qui n’était finalement rien face aux répercutions économiques suite à cet incident, lesquelles se sont élevées à environ £60 millions, dont:

  • £45 millions de coûts liés à (a) la remise en ligne du service, (b) l’interruption du service et des affaires, (c) la réaction à l’incident et les frais de consultants, ainsi que
  • £15 millions pour l’amélioration et prévention des incidents.

De plus, le communiqué de presse avait été effectué en urgence et sans préparation, ce qui avait eu des conséquences désastreuses sur la confiance auprès de ses clients et le départ de bon nombre d’entre eux.

Pour donner un ordre de grandeur, cette même amende sous l’angle du RGDP aurait pu se monter à quelques £59 millions si l’événement s’était produit le 26 mai 2018, contre £400’000 en octobre 2016…des montants franchement différents.

Remarques et réflexions suite à l’incident Swisscom

  • Sonnette d’alarme pour la Suisse. Pour une entreprise détenue à 51% par la Confédération, ce genre d’événement devrait faire office de catalyseur. Les récents développements parlementaires sur la révision totale de la loi fédérale sur la protection des données (tant sur le contenu que sur la décision de scinder le projet en deux) semblent pourtant indiquer que la Suisse n’est pas pressée d’encadrer la protection des données pour ses citoyens, avec comme risques de rater le tournant du numérique, de perdre le statut de pays avec un niveau de protection adéquat pour le transfert des données, d’attirer des entreprises peu recommandables en abaissant le standard, d’être moins compétitif et j’en passe. Cela alors que l’Europe et d’autres pays sont en train de faire l’inverse. Un tel incident devrait être un signal d’alarme pour la Suisse qui ne peut plus rester passive devant des voisins européens proactifs et chamboulant le paysage réglementaire. Cela est d’autant plus important si la Suisse veut rester compétitive économiquement et attirer les entreprises garantissant un niveau d’exigences et de confiance élevé pour l’utilisation des nouvelles technologies, la protection des données, la cybersécurité et l’industrie 4.0.
  • Une cible de choix. Les grands opérateurs et entreprises sont aujourd’hui une cible de premier choix qui ne peuvent pas se permettre de prendre à la légère ces problématiques. Les cyberattaques vont se multiplier dans les années à venir et il est dès lors nécessaire de comprendre, maîtriser et anticiper ce genre de scénarios, afin d’éviter une situation de type “Talk-Talk”. Si l’entreprise se protège et élève ses standards, elle protège en même temps sa réputation, son business et ses clients.
  • Notifications en cas d’incidents. Le projet de loi fédérale sur la protection des données, qui devrait bientôt imposer un délai de 72 heures dès la connaissance de l’incident pour le notifier aux autorités, est une étape clef dans le cadre des incidents en matière de cybersecurité. Pour les entreprises soumises au RGPD, cette obligation implique de mettre en place les mesures nécessaires pour s’organiser à l’interne, prévenir les incidents, les détecter, les notifier, minimiser les risques, etc. Des obligations et une organisation, dont encore peu d’entreprises sont habituées à mettre en place.
  • Notification obligatoire ou non ? Aujourd’hui, aucune obligation n’existe en Suisse. La cybersécurité n’est pas développée contrairement à l’Europe ou aux Etats-Unis dont les législations étatiques regorgent de pratiques en la matière. Seul le RGPD, pour les entreprises qui y sont soumises, et le projet de révision de la LPD prévoient des modifications allant en ce sens. Il sera également crucial de mettre en place les mesures adéquates (telles que l’anonymisation, la pseudonymisation, le cryptage, etc.) qui pourraient éviter de devoir notifier aux autorités les incidents et perdre ainsi sa réputation et des clients. Lorsque des mesures adéquates sont prises au préalable, elles peuvent avoir comme effet que personne ne le sache. En effet, s’il n’existe qu’un risque minime ou inexistant pour les données personnelles, personne n’aura besoin de le savoir. Le responsable du traitement protège ainsi sa réputation et la confiance auprès des clients. Par exemple, si vous perdez votre carte de crédit, mais que des chiffres sont effacés, il n’y aura presque aucun risque pour une utilisation indue de votre carte de crédit.
  • Contrats avec les tiers et procès. On l’a vu, ce n’est pas Swisscom qui s’est directement fait voler ses données mais une entreprise “partenaire”. Il est par conséquent important, surtout au vu du nouveau régime d’amendes (voir mon article sur les amendes selon le RGPD), de prévoir un contrat avec ses fournisseurs qui soit en béton. Vu les prochaines modifications législatives et l’arrivée du RGPD, il est essentiel de revoir ses contrats pour qu’ils tiennent compte de la problématique des incidents et avoir une idée claire de ce qu’il advient contractuellement en pareil cas. C’est dans ce cas qu’on peut pourra analyser la relation contractuelle et éventuellement se retourner contre son fournisseur. Dans ce contrat, on songera par exemple à: (a) définir les rôles de chaque partie (responsable ou sous-traitant), (b) n’agir que sur instruction du responsable du traitement des données, (c) garantir des mesures de sécurité adéquate, (d) imposer une formation des employés du fournisseur, (e) que des sauvegardes suffisantes soient effectuées régulièrement et à plusieurs endroits, (f) une possibilité de récupérer ses données en tout temps, même en cas d’incidents, (g) obliger le tiers à notifier tout incident par le partenaire dans un délai très court, (h) une collaboration entre les parties en tout temps, (i) permettre ou non la sous-traitance de 2e niveau et en être informé au préalable, avec droit de refus ou de résiliation du contrat, (j) le transfert des données vers un pays tiers, (k) prévoir des indemnités, pénalités en cas de violation du contrat, (l) de désigner comme juste motif de résiliation du contrat en cas d’incident, etc. (la liste est encore longue!). En résumé, le contrat avec ses partenaires d’affaires qui traitent les données de ses clients, doit être absolument revu pour anticiper les récents développements. Cela fera la différence en cas négociation, dans le cadre d’un litige, ou de procès.
  • Enfin, sur le caractère sensible des données, la prise de position de Swisscom prête à confusion. Le caractère sensible ou non d’une donnée est définit dans la loi et a une portée juridique particulière. Soit une donnée entre dans cette catégorie, soit pas. Une donnée sensible se rapporte par exemple à une information sur la santé, sur les orientations politiques, philosophiques, religieuses, les particularités raciales et ethniques, (bientôt le profilage et les données biométriques) et pouvant se rapporter directement ou indirectement à un individu. Cette catégorie est mieux protégée par la loi, car le consentement exprès de la personne concernée doit être recueilli et peut-être retiré en tout temps. Lorsqu’on mentionne “sensible” on pense parfois à la valeur de la donnée, ce qui n’est pas la même chose. Une donnée peut être considérée comme “sensible“, soit parce qu’elle est à risque (donnée de comptes bancaires), a une valeur économique (information sur un brevet d’invention en cours de développement), soit parce qu’une protection et une confidentialité particulière doit y être accordée (secrets d’affaires). Ainsi, lorsque Christian Neuhaus indique que

“aucune donnée sensible, telle que mot de passe ou information bancaire, n’a été subtilisée”

alors que ni un mot de passe, ni une information bancaire ne sont une donnée sensible, ni même probablement une donnée personnelle au sens juridique du terme et échapperaient à la réglementation sur la protection des données.

Il existe clairement une grande confusion entre la notion de données sensibles selon la loi, ou selon qu’elle est considérée comme “critique” ou que le degré de confidentialité requis est élevé. Cela dénote bien que la protection des données, ses règles et ses principes sont méconnus et ont encore beaucoup de chemin à faire.

La Suisse et la protection des données: une affaire à suivre de près !

Safe harbour - Ntic

Invalidation du Safe Harbor (Schrems c/ Facebook): Recommandations pour la Suisse

I.  Introduction

Dans une décision datée du 6 octobre 2015, (Décision C-362/14 – Affaire Max Schrems c/ Facebook ou “Schrems I”) la Cour de Justice de l’Union Européenne (CJUE) a invalidé la décision 2000/520/CE qui considérait le “Safe Harbor” comme une base suffisante pour le transfert de données personnelles aux États-Unis. Depuis cette décision, les 4’500 entreprises qui ont transféré des données personnelles vers les USA sur la base du Safe Harbor doivent vérifier que leur politique de protection des données est conforme au droit européen.

Comment en est-on arrivé là, quelles sont les répercutions pour les entreprises et pour les données des individus ? Un début de réponse dans les recommandations du Groupe de l’Article 29 et dans celles du Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT).

II.  Résumé de l’affaire

Maximilian Schrems, un utilisateur de Facebook en Autriche, considère que Facebook ne respecte pas les principes de la protection des données lorsqu’elles sont transférées par Facebook aux Etat-Unis. En effet, ces données peuvent être accessibles par les autorités américaines sans que la personne concernée ne puisse s’y opposer. Comme beaucoup d’entreprises actives dans le domaine de l’informatique, le siège européen de Facebook est situé en Irlande qui sert de pont avec les USA; dans notre cas pour le rapatriement des données personnelles.

Cet utilisateur de Facebook dépose donc une plainte auprès de la Commissaire irlandaise à la protection des données pour interdire à Facebook le transfert de ses données aux USA. La Commissaire refuse d’entrer en matière puisque, selon elle, il découle de la décision 2000/520/CE instituant le Safe Harbor que les Etats-Unis disposent d’une niveau de protection adéquat pour garantir le respect des principes de la protection des données des individus européens.

Après cet échec, Max Schrems porte l’affaire devant la High Court of Justice of Ireland, qui renvoie l’affaire à la CJUE pour lui poser une question à titre préjudiciel. La Cour irlandaise demande alors si les autorités nationales disposent de la compétence de se saisir d’une plainte d’un individu alors que la décision 2000/520/CE garantit déjà, au niveau européen, que les Etats-Unis sont considérés comme un pays sûr concernant la protection des données.

La CJUE répond de manière claire et sans appel que le Safe Harbor ne permet plus, au vu des méthodes de surveillance massives américaines, de garantir aux citoyens européens une protection adéquate de leurs données lorsqu’elles sont transférées aux Etats-Unis. Elle donne donc raison à M. Schrems et juge que la décision 2000/520/CE est invalidée.

Il appartiendra dès lors à la Commissaire irlandaise à la protection des données d’examiner, dans le cas concret, si les mesures de sécurité mises en place par Facebook sont suffisantes pour garantir un niveau de protection adéquat des données des utilisateurs.

III.  Conséquences en Europe

Suites de l’affaire Snowden

Cette décision de la CJUE est une conséquence directe des révélations de l’Affaire Snowden sur les programmes de surveillance PRISM/US-984XN et  XKeyscore. Sans ces révélations, il est probable que la CJUE ne soit jamais parvenue à décréter que cet accord cadre n’était plus suffisant. Les quelques 4’500 entreprises qui se sont basées sur le Safe Harbor pour transférer leurs données aux USA sont placées dans un flou juridique.

Depuis le 6 octobre 2015, tout transfert de données aux Etats-Unis par des entreprises ayant basé ce transfert sur le Safe Harbor est illégal. Actuellement, les entreprises peuvent poursuivre le transfert des données aux Etats-Unis si :

  • des conventions intra-groupe intégrant des “clauses contractuelles types” reconnues par l’Union européenne sont mises en places
  • en ‘intégrant de “Binding Corporate Rules” (BCR), dont les lignes directrices peuvent être consultées ici
  • lorsque les conditions pour déroger aux conditions légales sont réunies (consentement préalable explicite de l’utilisateur, transfert des données en respect d’une obligation contractuelle, etc.).
  • Il existe également des modèles de conventions pour le transfert de données garantissant le respect des principes légaux (“Transborder Data Flow Agreement”).

Réactions au niveau européen

Après l’arrêt Schrems c. Facebook, les autorités européennes de protection des données n’ont pas tardé à réagir. Dans un communiqué du 16 octobre 2015, le Groupe de travail de l’Article 29 (le G29 est institué par l’article 29 de la directive européenne sur la protection des données personnelles – Directive 95/46/CE) a émis des recommandations dans lesquelles il impartit un délai de 3 mois aux institutions européennes et aux gouvernements pour renégocier un Safe Harbor compatible avec les principes européens de la protection des données. Les autorités nationales, dont notamment la CNIL, sont prêtes à se coordonner pour entreprendre des actions répressives concertées (par exemple exiger la suspension de tout transfert de données aux Etats-Unis) si un accord n’est pas trouvé d’ici au 31 janvier 2016 !

IV.  Recommandations du Préposé en Suisse

Recommandations aux entreprises

Comme on peut le lire dans sa dernière communication datée du 22 octobre 2015, le Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT) se calque sur la décision européenne et considère que l’équivalent suisse du Safe Harbor européen (le US-Swiss Safe Harbor Framework) n’est plus une base légale suffisante tant que la Suisse n’aura pas renégocié un accord suffisant avec les Etats-Unis.

A la différence de l’Europe, la Suisse n’a pas dénoncé le Safe Harbor alors que la situation est connue depuis longtemps, aucune décision judiciaire n’a été rendue et l’analyse du PFPDT n’est parue que via son site web, relève Me Sylvain Métille sur son blog. Selon le Préposé Fédéral suppléant à la protection des données, M. Jean-Philippe Walter, “La Suisse est liée par la décision d’adéquation et ne peut faire cavalier seul au risque que l’UE revoie sa décision“. De plus, il revient au Conseil Fédéral de dénoncer, cas échéant, le Safe Harbor et non au Préposé. Tout en rappelant qu’il ne s’agit que de  recommandations, le Préposé suppléant précise que cette prise de position s’adresse aux entreprises qui devraient suivre les recommandations du Préposé, soit :

  • Informer de manière claire et aussi exhaustive que possible les personnes dont les données sont transmises aux États-Unis des accès possibles des autorités, afin de leur permettre d’exercer leurs droits. Le contrat d’échange de données personnelles devrait prévoir un engagement des parties contractantes dans ce sens
  • Prévoir un engagement des Parties à mettre à la disposition des personnes concernées les outils nécessaires à une protection juridique efficace conformément à l’article 6, al. 2, let. a, LPD, à exécuter réellement les procédures correspondantes et à accepter les décisions qui en résultent.

Qu’en est-il des individus ?

En Europe, tout dépendra des résultats de l’enquête menée par la Commissaire irlandaise. Si elle constate que Facebook ne garantit pas une sécurité suffisante aux utilisateurs pour le transfert de leurs données aux USA, tout détenteur européen d’un compte pourrait requérir de Facebook l’interdiction du transfert de ses données. Une situation bien improbable. En effet, dans une telle hypothèse Facebook s’empressera de modifier ses conditions générales, informera les utilisateurs d’une potentielle atteinte à leurs droits par les autorités américaines et recueillera, le cas échéant, leur consentement pour continuer à utiliser la plateforme sociale.

En Suisse, tout individu qui se considère qu’une entreprise viole les règles de la protection des données à son égard peut s’adresser aux tribunaux civils pour faire constater, cesser ou interdire toute atteinte. Les mesures repressives qui existent en Europe n’ont pas d’équivalent en Suisse et le PFPDT ne peut qu’émettre des recommandations, sans possibilité d’agir directement. Il ne peut qu’inciter les entreprises à respecter les principes de la LPD ou les utilisateurs à agir par la voie civile.

VI.  Conclusion

Même si les entreprises suivent les recommandations émises en Europe ou en Suisse, le droit américain, notamment le FISA Act, ne sera pas pour autant modifié et on connait les difficultés concrètes permettant de changer la législation américaine tant du point de vue politique que juridique. Seuls les gouvernements pourraient avoir de l’influence dans le cadre de la mise en place du Safe Harbor 2.0 dont nous devrions avoir des nouvelles d’ici au 31 janvier 2016. Il appartiendra aux entreprises américaines de faire l’effort ou non d’améliorer les conditions de sécurité des données dans leur convention intra-groupe ou, pourquoi pas, de créer leur data center en Europe, tant on sait que le Big Data est devenu aujourd’hui le pétrole du XXIe siècle.

Il s’agit tout de même d’une victoire de principe pour les défenseurs de la vie privée sur Internet, notamment par le biais de la protection des données personnelles. Aujourd’hui, les Etats-Unis ne sont plus considérés, par l’Europe, comme un pays sûr en matière de protection des données, ce qui concrétise les révélations d’Edward Snowden du 9 juin 2013.

L’arrêt Schrems c. Facebook consacre le principe de la compétence des autorités de protection des données pour examiner une plainte d’un individu qui prétend qu’une entreprise viole la loi sur la protection des données (Voir § 47 à  57 de la décision C-362/14). Cet arrêt continuera à s’appliquer même avec un Safe Harbor 2.0 considérant à nouveau les Etats-Unis comme un pays sûr. Dans chaque cas, les citoyens européens pourront demander aux autorités de vérifier si l’entreprise respecte les principes de protections des données ou non.

Un petit pas pour l’individu et la protection des données personnelles en Europe, un tout petit pas pour la Suisse, dont les autorités de protections des données ne disposent d’aucun moyen répressif, et qui suit son homologue européen.

Cancer - NTIC

Bientôt un registre national des cancers en Suisse

I. Introduction d’un registre national des cancers en Suisse

Selon l’Office fédéral de la statistique, les maladies cardio-vasculaires et le cancer (tumeurs malignes) sont les principales causes de décès en Suisse pour la population âgée entre 45 et 84 ans. La Suisse compte actuellement quatorze registres cantonaux et régionaux des tumeurs, en plus d’un registre suisse du cancer de l’enfant. Ces informations couvrent 94% de la population, mais ne sont pourtant pas uniformes et ne peuvent donc être utilisées que de manière limitée. Le projet de loi du 29 octobre 2014 vise à instaurer un registre national afin d’uniformiser la récoltes de ces données. Selon le message du Conseil fédéral qui accompagne ce projet, “L’enregistrement des cas de cancer de manière exhaustive et intégrale sur l’ensemble du territoire suisse offre une base de données pour progresser encore en matière de prévention, de dépistage précoce et de traitement des maladies oncologiques“.

II. Projet de loi du 29 octobre 2014

Collecte et utilisation des données médicales

Le projet de loi fédérale sur l’Enregistrement des Maladies Oncologiques “P-LEMO” règle la collecte, l’enregistrement et le transfert des données médicales afin de pouvoir les évaluer et les publier au niveau national.

La transmission des données médicales sera opérée au moyen de numéros de cas, sans le nom, ni le prénom, l’adresse et le numéro d’assuré du patient. Il est prévu qu’elle puisse s’effectuer grâce à un service de pseudonymisation. Concernant les dates de naissances et de décès, seuls le mois et l’année seront transmis. Les données originales sont détruites après enregistrement, au maximum après cinq ans de conservation.

La Confédération étant compétente pour légiférer en matière de santé publique, en particulier en ce qui concerne les maladies très répandues et les maladies considérées comme particulièrement dangereuses (art. 118 al. 2 let. b de la Constitution suisse), elle mettra en place un organe national d’enregistrement du cancer qui récoltera les données transmises par chaque canton (art. 8 P-LEMO).

III. Droits des patients

Maîtrise ses informations et droit d’opposition

D’un point de vue juridique, les données médicales constituent des données sensibles au sens de la Loi fédérale sur la Protection des Données (art. 3 lit. c ch. 2 LPD). Le respect de conditions légales particulières est nécessaire lorsque de telles informations sont collectées, stockées, traitées, divulguées. Si la LEMO est adoptée, il s’agira d’une loi spéciale (lex specialis) relative aux données médicales sur les tumeurs malignes. Elle régira le cas spécifique de la collecte et de la publication de ces données.

Avant de transmettre ces données médicales, les registres devront observer un délai de carence fixé par le Conseil fédéral. En cas d’opposition de la personne concernée durant ce laps de temps, les informations seront immédiatement détruites. De même, si un patient exprime son refus plus tard, les données déjà enregistrées devront être anonymisées.

Information du patient

Les patients devront être informés, en principe par le médecin traitant, du but de la collecte des données et de leurs droits. L’organe national d’enregistrement devra les soutenir si nécessaires. Les patients auront en tout temps le droit de demander des renseignements au sujet de leurs données pour connaître la manière avec laquelle seront traitées ces données médicales.

Catégories d’informations dans ce registre

Deux catégories d’informations sont prévues.

1) Les données de base concerneront la personne, son diagnostic, son premier traitement lié à l’apparition des métastases ainsi que le service chargé de la déclaration. Elles permettront d’évaluer les maladies oncologiques par rapport à l’ensemble de la population (art. 3 al. 1 P-LEMO).

2) Les données supplémentaires serviront à répondre à des questions concernant certains cancers particulièrement fréquents (comme ceux de l’intestin, du poumon ou du sein) ou certains groupes de personnes (enfants et adolescents). Leur collecte sera temporaire et nécessitera l’autorisation du Conseil fédéral (art. 4 al. 1 P-LEMO).

IV. Conclusion

Ce projet de loi devrait permettre d’uniformiser la récolte et le traitement de données médicales sur les cancers recensées au sein de la population de tous les canton. La loi qui permet en outre de laisser la porte ouverte à la création d’autres bases de données pour d’autres types de maladies non transmissibles jugées graves aura également l’avantage de centraliser toutes ces données à des fins de prévention, de traitement et de recherche.

Reset the net

Reset the Net : l’anniversaire des révélations Snowden

I.   Introduction

Un an après les révélations d’Edward Snowden, des sociétés comme Mozilla, Greenpeace, Google, Dropbox, WordPress, Namecheap, Amnesty International, Reddit, Duck Duck Go ou encore le Parti Pirate on lancé l’opération Reset The Net, un mouvement prônant la liberté des utilisateurs face à la surveillance de masse des Etats. Dans la vidéo de présentation du site Reset The Net, les slogans pleuvent. Ainsi, on peut notamment y lire :

“Internet c’est la liberté, la curiosité, l’ouverture, la peur, l’oppression et le contrôle”

“Les gouvernements peuvent hacker n’importe qui, mais pas tout le monde”

“Battez-vous pour un avenir sûr, ouvert et libre”

II.   Objectifs

Le but de ce site : donner des conseils aux développeurs et aux administrateurs  pour proposer et développer des sites et des applications sécurisés, open-source. Cette plateforme propose notamment un “Privacy Pack” qui comprend des logiciels comme HTTPS Everywhere (un plugin pour browser qui crypte les données de communications), Enigmail (un logiciel permettant d’envoyer et recevoir des emails de manière cryptée), Tor, etc. On cherche également à sensibiliser les internautes pour qu’ils utilisent plus de logiciels open-source et se protègent mieux contre la collecte de leur données. Une ligne de conduite proche de celle adoptée dans le multistakeholder statement du Net Mundial lors des 23 et 24 avril 2014 à Rio (voir l’article à ce sujet).

Tails 1.0 : live OS 100% anonyme et confidentiel ?

I.     Tails 1.0

1.1   Sortie de la version 1.0 en français

Depuis le 29 avril 2014, le dernier né du site torproject.org est disponible en téléchargement :

Tails 1.0, un système d’exploitation complet et gratuit, sécurisé, qui vous protège contre la collecte de vos données et augmente l’anonymat sur Internet. Notamment utilisé par Edward Snowden et Glenn Greenwald en juin 2013, il est “all-in-one” et bootable depuis une clef USB ou un DVD.

1.2     Caractéristiques

Son petit nom the amnesic incognito live system.

Tails 1.0 est un système d’exploitation amnésique parce qu’il n’enregistre pas vos données de navigation et les efface à la fermeture du programme. Il est incognito parce qu’il garantit la confidentialité du trafic et des données en cryptant vos fichiers, emails et contenu de chat.

Enfin, comme d’autres logiciels existants (voir Bouldows par exemple), il s’agit d’un système d’exploitation live, c’est-à-dire qu’il peut être lancé simplement depuis une clef USB, une SD card ou un DVD. Il embarque également toute une panoplie de logiciels libres pour que l’utilisateur ait le moins de paramétrages à effectuer après l’installation. Cet OS est distribué sous licence GNU/GPL et comporte des logos sous licence Creative Commons ou provenant de thenounproject, comme pour le logo USB du Tails.

Sur le site Internet officiel, on apprend qu’il est destiné aux utilisateurs qui souhaitent :

  • utiliser Internet de manière anonyme et contourner la censure ;
    toutes les connexions sortantes vers Internet sont obligées de passer par le réseau Tor ;
  • ne pas laisser de traces sur l’ordinateur que vous utilisez sauf si vous le demandez explicitement ;
  • utiliser des outils de cryptographie reconnus pour chiffrer vos fichiers, emails et messagerie instantanée.

II.    Tor Project & Cie

Tor Projects (logo)Le Tor Project est un projet qui regroupe des développeurs plaidant pour les logiciels open-source, sécurisés, anonymes, cryptés, non traçables, gratuits, soit en quelques mots non commerciaux, confidentiels et respectant totalement la vie privée de ses utilisateurs. Le terme Tor est un acronyme pour “The Onion Router”, en référence à son système de fonctionnement par couche de routeurs permettant de rendre anonymes tous les échanges Internet basés sur le protocole de communication TCP.

Dans le même registre, et pour ne pas citer tous les autres projets existants, le Guardian Project constitue une bonne ressource complémentaire pour le public, mais surtout pour les  développeurs de logiciels libres et applications du même type pour les Smartphones.

Applications emails cryptées, browser fonctionnant par serveurs proxy fixes ou sautants, Tchat crypté et anonyme, messages codés par procédé de stéganographie; tout un tas de logiciels qui se démocratisent, deviennent plus communs et de moins en moins élitistes.

III.    A qui est-il destiné et quelle utilisation en faire ? (edit: 01.05.14)

Premier test de Tails 1.0 (aperçu rapide)

Au premier abord, Tails semble accessible à tous, que l’on soit Linux, Windows ou Mac OS. L’utilisateur est guidé pas à pas dans l’installation, puis dans son utilisation. On perd un peu sa zone de confort en devant configurer quelques paramètres de départ, tels que le clavier et la souris, la connexion wifi Internet, le mot de passe administrateur, etc, mais rien de bien méchant pour ceux qui savent installer un OS.

Tails desktop

Pour les utilisateurs de XP, vous retrouverez rapidement vos marques avec une option originale : le “camouflage windows“, soit Tails avec le thème de Windows XP.

Pour les utilisateurs de Mac OS, il faudra serrer les dents, car l’utilisation est moins intuitive. Au premier essai, impossible d’accéder aux données stockées sur le disque dur de mon Mac! D’ailleurs, prenez une souris, car le touchpad d’un Macbook devient vite un enfer (Au démarrage, ne pas oublier d’appuyer sur la touche alt pour lancer le démarrage de Tails depuis un DVD par exemple).

Globalement, Tails est plutôt intuitif, avec beaucoup d’options agréables, comme la possibilité d’avoir un système qui se souvienne de vos paramètres ou qui se met à jour (ce qui évite de tout recommencer à chaque démarrage; par contre il faut lancer Tails depuis une clef USB, car un DVD ne se met évidemment pas à jour). On peut aussi créer une zone de stockage persistante (persistant volume) pour des logiciels supplémentaires ou y stocker ses préférences système et ses données personnelles. On se connecte facilement à Internet et le système de proxys sautants n’empêche pas d’aller sur Facebook ou Gmail. Même si VLC n’est pas intégré à Tails, le lecteur vidéo Totem se défend plutôt bien, puisqu’il lit sans trop de problèmes un .mkv contenant du H264 et de l’audio en AAC, en multi-langues avec des sous-titres au choix.

A titre de conclusion intermédiaire, on peut affirmer que Tails 1.0 est destiné à toucher un public large, et pas seulement les amateurs de pingouins. Il n’est pas nécessaire de savoir entrer des lignes de commandes dans un terminal pour utiliser Tails. Néanmoins, il ne sera pas forcément accessible à tout le monde, car il faudra parfois s’armer de patience avant de retrouver ses repères, surtout que si on le lance à partir d’un DVD, car à chaque démarrage : on recommence! Mais en même temps, c’est le principe du live operating system …

Utilisation très polyvalente

Tails 1.0 embarque de nombreux logiciels libres plus ou moins connus tels que Iceweasel pour Internet (version GNU de Firefox), Claws mail pour la messagerie, Pidgin pour le Tchat, Open office pour les documents, Gimp (l’équivalent de Photoshop) pour la bureautique ou encore TrueCrypt pour crypter ses données. Ce système d’exploitation n’est toutefois pas infaillible, l’utilisateur étant averti qu’il décide comment se comporter sur son ordinateur et choisit de publier ce qu’il souhaite sur les réseaux sociaux. Bien choisir ses mots de passe et les changer régulièrement reste indispensable.

Attention tout de même à l’utilisation de logiciels tels que Tor Browser. Ce dernier reste bien plus lent qu’un navigateur conventionnel. En effet, bloquer les publicités, le contenu de scripts, les logiciels espions, stopper les cookies, passer par des proxys sautants ou encore crypter les données est coûteux en temps d’analyse et de traitement et la plupart des sites Internet ne sont pas adaptés à cette configuration. De plus, la plupart des sites e-commerce ou des plateformes sociales ou même d’autres sites ordinaires ne s’afficheront tout simplement pas si les cookies ne sont pas acceptés, ou si certaines options de cryptages, blocages ou autres sont activées. Il en va de même lorsqu’avec Firefox on navigue avec trop de modules complémentaires tels que Ghostery, Adblock Plus, Donottrackme, etc.

Ainsi, utiliser Tails est relativement simple et les nombreux logiciels qu’il contient permet une utilisation de tous les jours, mais pas pour n’importe qui et n’importe comment.  Les possibilités d’installer certains logiciels supplémentaires et sauvegarder ses préférences sont garantes d’une longévité du projet, mais cela suffira-t-il pour une utilisation grand public? Quant à une utilisation professionnelle à grande échelle dans le secteur privé ou public, ce sera une autre paire de manche…

IV.    Conclusion

De nombreux projets comme le Guardian ou Tor sont indispensables pour aider la communauté du web à respecter la vie privée des utilisateurs. Les développements récents de ces logiciels permettent d’atteindre un public de plus en plus large. A ce titre, il faut saluer l’énorme travail des communautés de développeurs de ce genre de logiciels libres. Ces projets ont le mérite d’inciter les gouvernements à promouvoir et même utiliser de tels logiciels. Le Tribunal fédéral suisse en est le parfait exemple avec son projet “OpenJustitia“.

Cependant, en pratique, peu de ces programmes sont vraiment utilisés par la majorité des internautes. Pour commencer, ces logiciels ne sont pas ou que trop peu connus du public, lequel n’est souvent pas au courant de l’existence même des alternatives et ne cherche souvent pas à le savoir. Ensuite, ces logiciels ont souvent été peu “user friendly”. La difficulté de paramétrage, leur installation ou leur utilisation rebutera plus d’un novice motivé qui souhaite se protéger, mais qui ne maîtrise pas ou ne comprend pas l’outil proposé. Enfin, le design parfois trop geek fait souvent reculer le citoyen lambda, dans un monde de matraquage médiatique ou l’on pense que, parce que c’est joli c’est bien!

En allant faire un tour sur les sites de Tor Project et Guardian Project, on constate alors que de nombreux logiciels libres existent. Ils sont souvent plus simples d’utilisation qu’on ne le croit et permettent déjà de diminuer considérablement nos traces sur Internet (voir l’article sur Panopticlic) et de conserver l’anonymat.

Et vous, avez-vous testé Tails 1.0 ou pensez-vous l’utiliser un jour?

Pour aller plus loin

Parmi les projets intéressants en cours utilisables pour PC, Mac ou Smartphones :

  • Tor Browser;
  • Le site guardianproject.org qui propose toute une palette d’applications web pour rendre son séjour sur Internet plus agréable;
  • Orweb, la version Android de Tor Browser;
  • Orbot : un logiciel pour Android qui utilise des serveurs proxys;
  • Startpage : un moteur de recherche neutre qui ne fournit aucune information à des tiers.
  • JonDo et JonDoFox : des logiciels similaires à  Tor Browser;
  • et des dizaines d’autres … !