Dernières actualités : données personnelles

ICO (autorité anglaise)

Déclaration de l’ICO sur les changements apportés à la politique de LinkedIn en matière de données d’IA

Stephen Almond, directeur exécutif des risques réglementaires, a déclaré :
« Nous sommes heureux que LinkedIn ait réfléchi aux préoccupations que nous avons soulevées concernant son approche de la formation des modèles d’IA générative avec des informations relatives à ses utilisateurs britanniques. Nous nous félicitons de la confirmation par LinkedIn qu’il a suspendu cette formation de modèle en attendant un engagement plus approfondi avec l’ICO.
Afin de tirer le meilleur parti de l’IA générative et des possibilités qu’elle offre, il est essentiel que le public puisse avoir confiance dans le fait que ses droits en matière de protection de la vie privée seront respectés dès le départ.
Nous continuerons à surveiller les principaux développeurs d’IA générative, notamment Microsoft et LinkedIn, afin d’examiner les garanties qu’ils ont mises en place et de veiller à ce que les droits à l’information des utilisateurs britanniques soient protégés. »

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

Déclaration de l’ICO en réponse à l’annonce de Meta concernant les données utilisateur pour former l’IA.

Stephen Almond, directeur exécutif chargé des risques réglementaires à l’ICO, a déclaré:
« En juin, Meta a mis en pause ses projets d’utilisation des données des utilisateurs de Facebook et d’Instagram pour entraîner l’IA générative en réponse à une demande de l’ICO. Elle a depuis apporté des modifications à son approche, notamment en simplifiant la possibilité pour les utilisateurs de s’opposer au traitement et en leur offrant une fenêtre plus longue pour le faire. Meta a maintenant pris la décision de reprendre ses projets et nous suivrons la situation au fur et à mesure que Meta informera les utilisateurs britanniques et commencera le traitement dans les semaines à venir.

Nous avons clairement indiqué que toute organisation utilisant les informations de ses utilisateurs pour former des modèles génératifs d’IA doit être transparente sur la manière dont les données des personnes sont utilisées. Les organisations doivent mettre en place des garanties efficaces avant de commencer à utiliser des données personnelles pour l’entraînement de modèles, notamment en offrant aux utilisateurs un moyen clair et simple de s’opposer au traitement. L’ICO n’a pas fourni d’approbation réglementaire pour le traitement et c’est à Meta de garantir et de démontrer une conformité continue.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

Les plateformes de médias sociaux et de partage de vidéos sont mises en garde sur la de protection de la vie privée des enfants

Nous demandons à 11 plateformes de médias sociaux et de partage de vidéos d’améliorer leurs pratiques en matière de protection de la vie privée des enfants. Les plateformes qui ne respectent pas la loi s’exposent à des mesures coercitives. Cette mesure fait suite à l’examen en cours des plateformes de médias sociaux (SMP) et de partage de vidéos (VSP) dans le cadre de notre stratégie du Code de l’enfance.

Notre laboratoire technique a examiné 34 SMP et VSP en se concentrant sur le processus par lequel les jeunes s’inscrivent pour obtenir un compte. Les niveaux d’adhésion à notre code de l’enfant varient, certaines plateformes n’en faisant pas assez pour protéger la vie privée des enfants. Onze des 34 plateformes sont interrogées sur des questions relatives aux paramètres de confidentialité par défaut, à la géolocalisation ou à l’assurance de l’âge, et doivent expliquer comment leur approche est conforme au code, à la suite des préoccupations soulevées par l’examen. Nous nous entretenons également avec certaines plateformes au sujet de la publicité ciblée afin de définir les changements attendus pour que les pratiques soient conformes à la fois à la loi et au code.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

Une école de l’Essex réprimandée après avoir utilisé la technologie de reconnaissance faciale pour les paiements à la cantine

Ce jour, l’ICO annonce avoir adressé un blâme à une école qui avait enfreint la loi en introduisant la technologie de reconnaissance faciale (FRT). La technologie de reconnaissance faciale traite les données biométriques afin d’identifier les personnes de manière unique et est susceptible d’entraîner des risques élevés en matière de protection des données. Pour l’utiliser de manière légale et responsable, les organisations doivent mettre en place une évaluation de l’impact sur la protection des données (DPIA). Cette évaluation permet d’identifier et de gérer les risques plus élevés qui peuvent découler du traitement de données sensibles.

L’ICO note que la Chelmer Valley High School, située à Chelmsford, dans l’Essex, a commencé à utiliser cette technologie en mars 2023 pour permettre aux élèves de payer leur cantine sans numéraire. Cette école, qui compte environ 1 200 élèves âgés de 11 à 18 ans, n’a pas effectué d’analyse d’impact sur la protection des données avant de commencer à utiliser le FRT : il n’y a donc pas eu d’évaluation préalable des risques pour les informations concernant les enfants. L’école n’a pas non plus obtenu d’autorisation claire pour traiter les informations biométriques des élèves et ces derniers n’ont pas eu la possibilité de décider s’ils voulaient ou non que ces informations soient utilisées de cette manière.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

HmbBfDI (autorité allemande d’Hambourg)

Ouverture d’une étude par l’autorité de protection des données d’Hambourg sur les données personnelles dans les grands modèles linguistiques (LLMs)

Le commissaire de Hambourg à la protection des données et à la liberté d’information (HmbBfDI) présente aujourd’hui un document de travail examinant l’applicabilité du règlement général sur la protection des données (RGPD) aux grands modèles linguistiques (LLM). Ce document reflète la compréhension actuelle du sujet par l’autorité et vise à stimuler le débat et à aider les entreprises et les autorités publiques à naviguer à l’intersection de la loi sur la protection des données et de la technologie LLM. Il explique les aspects techniques pertinents des LLM, les évalue à la lumière de la jurisprudence de la Cour de justice de l’Union européenne en ce qui concerne la notion de données à caractère personnel du RGPD et met en évidence les implications pratiques. Ce faisant, la HmbBfDI fait la distinction, conformément à la loi sur l’IA qui entrera en vigueur le 2 août 2024, entre un LLM en tant que modèle d’IA (tel que GPT-4o) et en tant que composant d’un système d’IA (par exemple, ChatGPT).

D’après le communiqué publié, les principales hypothèses de travail sont les suivantes :
* Par principe, le simple stockage d’un LLM ne constitue pas un traitement au sens de l’article 4, paragraphe 2, du RGPD, dès lors qu’aucune donnée à caractère personnel n’est stockée dans les LLM.
* Étant donné qu’aucune donnée à caractère personnel n’est stockée dans les LLM, les droits des personnes concernées tels que définis dans le RGPD ne peuvent pas se rapporter au modèle lui-même. Toutefois, les demandes d’accès, d’effacement ou de rectification peuvent certainement porter sur les données d’entrée et de sortie d’un système d’IA du fournisseur ou du déployeur responsable.
* Dans la mesure où des données à caractère personnel sont traitées dans un système d’IA soutenu par un LLM, le traitement doit être conforme aux exigences du GDPR. Cela s’applique en particulier au contenu créé par un tel système d’IA.
* La formation des LLM utilisant des données à caractère personnel doit être conforme aux réglementations en matière de protection des données. Tout au long de ce processus, les droits des personnes concernées doivent également être respectés. Toutefois, les violations potentielles au cours de la phase de formation des MLD n’affectent pas la légalité de l’utilisation d’un tel modèle au sein d’un système d’IA.

Lire le document de discussion : Les grands modèles de langage et les données à caractère personnel (en anglais).

Disponible (en anglais) sur: datenschutz-hamburg.de
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

L’ICO publie sa décision concernant le chatbot « My AI » de Snap

L’ICO l’a annoncé il y a quelques semaines, c’est désormais chose faite : l’autorité a publié sa décision concernant le chatbot « My AI » de Snap. Après avoir analysé les différentes caractéristiques du traitement (nature du traitement, contexte, respect des principes, etc.), et conformément à la déclaration faite il y a quelques semaines l’autorité conclut sa décision en indiquant que « Snap a effectué une DPIA révisée qui est conforme aux exigences de l’article 35 du GDPR britannique. Par conséquent, il n’y a aucune raison pour que le commissaire émette un avis d’exécution qui exige que Snap prenne, ou s’abstienne de prendre, des mesures spécifiques afin de mettre ses opérations de traitement en conformité avec l’article 35 du GDPR britannique. En outre, après avoir examiné les observations de Snap, y compris une déclaration de témoin accompagnée d’une déclaration de vérité d’un cadre supérieur de Snap, le commissaire a conclu que Snap n’a pas enfreint l’article 36, paragraphe 1, du GDPR du Royaume-Uni en omettant de consulter le commissaire avant de commencer le traitement des données à caractère personnel en rapport avec My AI. »

[Ajout contextuel Portail RGPD: Pour rappel, l’enquête avait été lancée lorsque l’ICO a constaté que Snap n’avait pas respecté son obligation légale d’évaluer de manière adéquate les risques de protection des données posés par le nouveau chatbot. Snap a lancé « My AI » pour ses abonnés premium Snapchat+ le 27 février 2023, avant de le mettre à la disposition de tous les utilisateurs de Snapchat le 19 avril 2023.]

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

Déclaration en réponse au projet de Meta de suspendre l’entrainement de son IA générative à l’aide de données d’utilisateurs

Stephen Almond, directeur exécutif chargé des risques réglementaires à l’ICO, a déclaré:
« Nous sommes heureux que Meta ait réfléchi aux préoccupations que nous avons partagées avec les utilisateurs de leur service au Royaume-Uni, et ait répondu à notre demande de mettre en pause et de revoir les plans d’utilisation des données des utilisateurs de Facebook et d’Instagram pour former l’IA générative. Afin de tirer le meilleur parti de l’IA générative et des opportunités qu’elle apporte, il est crucial que le public puisse avoir confiance dans le fait que leurs droits à la vie privée seront respectés dès le départ. Nous continuerons à surveiller les principaux développeurs d’IA générative, y compris Meta, pour examiner les garanties qu’ils ont mises en place et veiller à ce que les droits à l’information des utilisateurs britanniques soient protégés. »

De son côté, l’autorité irlandaise a déclaré « se féliciter de la décision de Meta de suspendre son projet de formation de son modèle de langage étendu en utilisant des contenus publics partagés par des adultes sur Facebook et Instagram dans l’UE/EEE. Cette décision fait suite à un engagement intensif entre le DPC et Meta. La DPC, en coopération avec les autres autorités de protection des données de l’UE, continuera à dialoguer avec Meta sur cette question. »

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

SDTB (autorité allemande de Saxe)

L’autorité de Saxe contrôle 30.000 sites web et signale à 2.300 responsables enfreignant le RGPD – notamment à cause de Google Analytics

En mai, la commissaire à la protection des données et à la transparence de Saxe (SDTB) a examiné environ 30.000 sites Internet de Saxe afin de déterminer s’ils enfreignaient la protection des données. L’un des éléments ayant fait l’objet d’une analyse approfondie est l’utilisation du service d’analyse web Google Analytics. L’enquête de l’autorité a montré que sur les 30.000 sites analysés, dans 2.300 cas, les exploitants de sites web n’ont pas respecté cette obligation de manière satisfaisante. Il s’agissait aussi bien d’entreprises et d’associations que d’organismes publics. Dans les prochains jours, l’autorité annonce qu’ils recevront un courrier de la SDTB par lequel ils seront priés de remédier à cette violation de la protection des données et de supprimer toutes les données collectées illégalement, sans quoi ils risquent de faire l’objet d’une procédure administrative formelle après un nouveau contrôle.

Lors des contrôles, la commissaire à la protection des données et à la transparence de Saxe, Dr Juliane Hundert, a à l’esprit aussi bien les intérêts des exploitants de sites web que les droits de la personnalité des citoyennes et citoyens : « Les services de suivi tels que Google Analytics donnent un aperçu approfondi du comportement et de la vie privée des visiteurs des sites web. Du point de vue de la protection des données, les intérêts des exploitants passent donc au second plan. Cela signifie que si les responsables souhaitent utiliser Google Analytics, ils sont tenus d’obtenir le consentement des utilisateurs« . L’autorité rappelle ainsi très clairement que quiconque souhaite surveiller le comportement des utilisateurs sur son site web à l’aide de cet outil de suivi doit obtenir au préalable le consentement volontaire et univoque des visiteurs de la page.

Afin de réaliser des contrôle en ligne si nombreux et en si peu de temps, le service des commissaires saxons à la protection des données et à la transparence explique qu’il dispose depuis peu d’un laboratoire informatique dans lequel « on trouve du matériel et des logiciels modernes qui nous permettent d’analyser les sites web, les applications et les produits informatiques sous l’angle de la protection des données. Je suis ainsi en mesure, avec mon autorité, de procéder à l’avenir à des contrôles à plus grande échelle« , explique en conclusion le Dr Juliane Hundert.

Disponible (en allemand) sur: datenschutz.sachsen.de
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

L’ICO enquête sur la nouvelle fonction « Recall » de Microsoft

Dans un communiqué publié hier, l’ICO annonce l’ouverture d’une enquête sur la fonctionnalité Recall récemment présentée par le géant :
« Nous attendons des organisations qu’elles soient transparentes avec les utilisateurs sur la manière dont leurs données sont utilisées et qu’elles ne traitent les données personnelles que dans la mesure où cela est nécessaire pour atteindre un objectif spécifique. L’industrie doit prendre en compte la protection des données dès le départ et évaluer et atténuer rigoureusement les risques pour les droits et libertés des personnes avant de mettre des produits sur le marché. Nous nous renseignons auprès de Microsoft pour comprendre les garanties mises en place pour protéger la vie privée des utilisateurs. »

[Ajout contextuel Portail RGPD: Selon le site de Microsoft, Recall est une fonctionnalité qui « prend des instantanés de votre écran. Les instantanés sont pris toutes les cinq secondes lorsque le contenu de l’écran est différent de l’instantané précédent. Vos instantanés sont ensuite stockés localement et analysés localement sur votre PC. L’analyse de Recall vous permet de rechercher du contenu, y compris des images et du texte, en utilisant le langage naturel. Vous essayez de vous souvenir du nom du restaurant coréen mentionné par votre amie Alice ? Il vous suffit de demander à Recall de trouver des résultats textuels et visuels correspondant à votre recherche, automatiquement triés en fonction de leur degré de concordance avec votre recherche. Recall peut même vous renvoyer à l’emplacement exact de l’article que vous avez vu. »
Malgré l’affirmation de Microsoft selon laquelle tout serait réalisé en local et rien de sortirait de l’ordinateur de l’utilisateur (ce qui serait prouvé par le fait qu’une connexion internet ne serait pas requise pour utiliser Recall), de nombreuses inquiétudes ont émergé en lien avec le fait que tout élément apparaissant sur l’écran est susceptible d’être conservé : les mots de passe, les numéros de carte bancaire, les RIB, des numéros de sécurité sociale, etc. créant un risque très important pour les personnes concernées. En outre, il est difficilement imaginable que tous penseront à systématiquement supprimer les captures d’écran comprenant ces informations très sensibles.]

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

L’ICO avertit les organisations qu’elles ne doivent pas ignorer les risques liés à la protection des données et nous concluons l’enquête sur le chatbot « My AI » de Snap.

Dans un communiqué publié ce jour, l’ICO annonce avoir conclu son enquête sur le lancement par Snap, Inc. du chatbot « My AI ».
« En juin 2023, nous avons ouvert une enquête sur « Mon IA » après avoir constaté que Snap n’avait pas respecté son obligation légale d’évaluer de manière adéquate les risques de protection des données posés par le nouveau chatbot. Snap a lancé « My AI » pour ses abonnés premium Snapchat+ le 27 février 2023, avant de le mettre à la disposition de tous les utilisateurs de Snapchat le 19 avril 2023. L’enquête nous a conduits à émettre un avis préliminaire d’exécution à l’encontre de Snap le 6 octobre 2023.

Notre enquête a permis à Snap de prendre des mesures importantes pour effectuer un examen plus approfondi des risques posés par « My AI » et nous démontrer qu’elle avait mis en œuvre des mesures d’atténuation appropriées. Nous sommes convaincus que Snap a désormais entrepris une évaluation des risques liés à « Mon IA » qui est conforme à la loi sur la protection des données. Nous continuerons à surveiller le déploiement de « Mon IA » et la manière dont les risques émergents sont traités. »

La décision finale sera publiée dans quelques semaines.
L’ICO profite de cet article pour « avertir l’industrie de s’engager dans les risques de protection des données de l’IA générative avant de mettre des produits sur le marché« , et compte bien « continuer à surveiller le développement et le déploiement de modèles d’IA générative et rappeler à l’industrie qu’elle doit innover de manière responsable« .

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Retour en haut