Dernières actualités : données personnelles

CNIL

Ordre du jour de la séance plénière du 7 novembre 2024

La Commission nationale de l’informatique et des libertés s’est réunie le jeudi 7 novembre 2024 à 9 h 30 avec l’ordre du jour suivant :

Partie I (avec débats):
* Présentation de la revue de la littérature scientifique concernant les enjeux de prise de décision automatisée ;
* Point sur le statut des modèles d’IA.

Partie II (sans débats):
* Examen d’un projet de délibération portant avis sur un projet de décret relatif au système d’information du compte personnel de formation, au traitement de données à caractère personnel dénommé « Mon Activité de Formation » et à l’accès de la Caisse des dépôts et consignations à diverses données ;
* Examen de quatre projets de délibérations portant sur les traitements NAVPRO, OEDIPP, PUMA et SIMBA :
– Examen d’un projet de délibération portant avis sur un projet d’arrêté relatif à l’arrêté portant modification de l’arrêté du 26 novembre 2015 portant création d’un traitement de données à caractère personnel relatif à la constitution d’un référentiel des navires professionnels dénommé « NAVPRO » ;
– Examen d’un projet de délibération portant avis sur un projet d’arrêté portant création d’un traitement de données à caractère personnel relatif à l’organisation des épreuves et la délivrance informatisée des permis de conduire les bateaux de plaisance à moteur dénommé « OEDIPP » ;
– Examen d’un projet de délibération portant avis sur un projet d’arrêté relatif à l’arrêté portant création d’un traitement de données à caractère personnel relatif à la constitution d’un référentiel des navires de plaisance dénommé « PUMA » et au traitement automatisé permettant la gestion du droit annuel de francisation et de navigation ;
– Examen d’un projet de délibération portant avis sur un projet d’arrêté modifiant l’arrêté du 29 novembre 2011 portant création d’un traitement automatisé d’informations relatif à l’enregistrement des bateaux de plaisance naviguant ou stationnant dans les eaux intérieures nationales dénommé « SIMBA ».

Disponible sur: CNIL.fr

CNIL

Traitement d’antécédents judiciaires : la CNIL rappelle à l’ordre deux ministères

Le traitement d’antécédents judiciaires (TAJ) est un fichier de police judiciaire recensant des informations relatives aux victimes d’infractions et aux personnes mises en cause et prévenues dans le cadre d’enquêtes pénales. Outre l’infraction en cause, il contient des données en lien avec l’identité des personnes, mises en cause et victimes, notamment les informations sur leur état civil, leur adresse, leur profession ainsi que leur photographie.

Ce fichier est notamment utilisé dans le cadre d’enquêtes judiciaires pour la recherche des auteurs d’infractions, mais également dans le cadre d’enquêtes administratives, en vue de l’évaluation du risque ou de l’incompatibilité d’une personne avec certains emplois publics ou sensibles, ou encore pour l’examen de demandes d’obtention de la nationalité française. À l’issue d’une procédure de contrôle auprès des représentants des deux ministères et de plusieurs parquets de tribunaux judiciaires et de cours d’appel, la CNIL a relevé l’existence de plusieurs manquements en lien avec les conditions dans lesquelles sont traitées les données personnelles figurant dans le TAJ (données inexactes, absence d’information des personnes et refus d’exercice des droits, …).

En conséquence, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a rappelé à l’ordre le ministère de l’Intérieur et des Outre-mer et le ministère de la Justice. En complément de ces sanctions qu’elle a souhaité rendre publiques, la formation restreinte a également enjoint aux ministères de se mettre en conformité avec la loi Informatique et Libertés.

Disponible sur: CNIL.fr

GPDP (autorité italienne)

L’autorité italienne donne à la plus grande banque italienne 20 jours pour informer ses clients de la violation des données qu’elle a subi

Dans un article publié ce jour, l’autorité italienne a annoncé avoir donné 20 jours à Intesa pour informer les clients concernés par la violation de leurs données personnelles et bancaires, survenue à la suite d’un accès indu de la part d’un employé de la banque aux données de plusieurs milliers de clients. L’Autorité considère, contrairement à l’évaluation de la banque, que la violation de données à caractère personnel présente un risque élevé pour les droits et libertés des personnes concernées, compte tenu de la nature de la violation, des catégories de données traitées, de la gravité et des conséquences qui pourraient en résulter (par exemple, divulgation d’informations concernant la situation financière, atteinte à la réputation).

L’autorité italienne note que, dans les premières communications envoyées par la Banque au Garante, l’ampleur de la violation n’avait pas été suffisamment mise en évidence, comme l’ont révélé par la suite tant les articles de presse que les commentaires fournis par la Banque elle-même. La Garante, qui se réserve le droit d’évaluer l’adéquation des mesures de sécurité adoptées dans le cadre d’une enquête en cours, a ainsi également ordonné à la Banque de fournir à l’Autorité, dans un délai de trente jours, un retour d’information suffisamment documenté sur les mesures prises pour mettre pleinement en œuvre les exigences.

[Ajout contextuel Portail RGPD: La presse note en particulier que les comptes de 3 500 clients d’Intesa Sanpaolo, y compris ceux de la Première ministre Giorgia Meloni et de l’ancien Premier ministre Mario Draghi, ont été potentiellement été compromis entre février 2022 et avril 2024 et ont été indument consultés par l’employé concerné. Normalement, les employés d’Intesa n’ont de visibilité que sur les clients dont ils ont besoin de voir les données pour exercer leurs fonctions. Néanmoins, du fait de sa fonction, l’employé concerné avait accès à de très nombreuses données, et en a profité.]

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

L’Usine digitale

Cybersécurité : Schneider Electric victime d’une nouvelle fuite de données

Schneider Electric a annoncé le 4 novembre qu’elle enquêtait sur un “incident de cybersécurité impliquant un accès non autorisé” touchant l’une de ses “plateformes internes de suivi de l’exécution de projets”, a révélé le média spécialisé Bleeping Computer. La société précise que le fonctionnement de ses produits et services n’est pas impacté et qu’elle a mobilisé “immédiatement” une équipe pour répondre à l’incident. Cette déclaration fait suite à un message publié sur X (ex-Twitter) par un acteur malveillant dénommé “Grep”, dans lequel il assurait disposer de privilèges administrateur sur un système interne appartenant à Schneider Electric. Le hacker serait lié au gang de ransomware Hellcat, qui a revendiqué sur le dark web le piratage du serveur Atlassian Jira de la société française.

Disponible sur: usine-digitale.fr

Numerama – Cyberguerre

Les données de milliers de jeunes volées après une cyberattaque contre les missions locales

Le ministère du Travail et de l’Emploi a révélé le 31 octobre qu’un prestataire associé aux missions locales a été ciblé par une cyberattaque. Cet incident a touché le réseau national des missions locales, compromettant la sécurité de données sensibles. Les premières analyses indiquent que des informations personnelles ont été exfiltrées. Le hacker aurait dérobé les fichiers contenant les noms, prénoms, numéros de téléphone, adresses électroniques et postales. Les personnes concernées seront informées conformément au RGPD.

Disponible sur: numerama.com

La Quadrature du Net

La Quadrature du Net part à l’ « assaut contre la vidéosurveillance algorithmique dans nos villes »

La question de pérenniser ou non l’expérimentation de la vidéosurveillance algorithmique (VSA) fait actuellement beaucoup de bruit dans le débat public. Si l’on entend principalement les ministres et préfets au niveau national, c’est aussi – et surtout – à l’échelle locale que ces enjeux se cristallisent. Profitant de l’engouement des Jeux Olympiques et du cadre législatif créé à l’occasion de cet évènement, de nombreuses communes tentent de légitimer et normaliser leurs usages de cette technologie, qui restent pourtant totalement illégaux. Ces manœuvres, qui doivent être révélées et dénoncées, constituent aussi pour les habitant⋅es un levier d’action majeur pour faire entendre leurs voix et exiger l’interdiction de la VSA dans nos villes.

Lorsque nous avons lancé notre campagne contre la VSA au printemps dernier, nous l’affirmions haut et fort : ce qui se joue avec la loi sur les Jeux Olympiques est une grande hypocrisie. La vidéosurveillance algorithmique s’est déployée depuis quasiment une dizaine d’années en toute illégalité dans les villes et les collectivités locales, qui ont acheté des logiciels de VSA à des entreprises de surveillance en quête de profit. Marseille, Reims, Vannes ou encore Moirans… nous avons documenté au fil des mois comment les villes se dotaient de ces outils de surveillance en toute illégalité. La loi JO vient donc légitimer une pratique existante en masquant l’étendue de cette réalité. En effet, le périmètre prévu par la loi ne prévoit la détection que de huit types d’analyses d’images. Or, les entreprises de VSA n’ont jamais caché qu’elles savaient déjà faire bien plus : reconnaissance d’émotions, reconnaissance faciale ou encore suivi et identification des personnes au travers d’attributs physiques… Le rôle de la loi JO apparaît alors comme évident : il s’agissait surtout de créer une première étape pour sortir cette technologie de l’illégalité et amorcer un projet plus large de surveillance de l’espace public.

Disponible sur: laquadrature.net

CNIL

Fuite de données et vol de votre IBAN : comment vous protéger si vous êtes concerné ?

La CNIL a constaté plusieurs violations de données personnelles concernant des organismes connus du grand public ces dernières semaines, comme celle ayant touché l’entreprise FREE récemment. Usurpation d’identité, vol de l’IBAN … quels sont les risques ? Que pouvez-vous faire ? Dans son article disponible ci-dessous, la CNIL vous informe sur ce que vous pouvez faire afin d’éviter les risques, et vous donne des conseils sur la marche à suivre dans le cas où ceux-ci se réaliseraient (exploitation frauduleuse d’un IBAN, etc.).

Disponible sur: CNIL.fr

GPDP (autorité italienne)

Données volées : l’autorité italienne annonce la création d’une task force interdépartementale

L’autorité italienne a annoncé ce jour avoir créé une task force interdépartementale afin de travailler sur le sujet des données volées.  « Le phénomène de l’accès non autorisé aux bases de données publiques et privées a toujours retenu l’attention du Garant pour la protection des données personnelles », déclare le président Pasquale Stanzione, “et il a fait l’objet, au fil des ans, de nombreuses mesures visant à renforcer les mesures de sécurité d’un point de vue technique et organisationnel”.

Suite à de récentes informations parues dans la presse, poursuit le président, nous avons créé un groupe de travail interdépartemental impliquant les secteurs concernés afin d’identifier rapidement les activités à entreprendre et les meilleures garanties pour protéger les bases de données. Nous avons notamment défini des mesures de sécurité, tant techniques qu’organisationnelles, adéquates en ce qui concerne l’accès du personnel autorisé, mais aussi toutes les opérations effectuées par les personnes chargées de leur gestion et de leur maintenance. En plus de poursuivre les activités d’inspection auprès des entreprises déjà identifiées ».

Ces dernières années, en effet, les rapports reçus font état d’une augmentation du phénomène lié à la revente d’informations confidentielles contenues dans des bases de données publiques par des sociétés privées« , conclut M. Stanzione, “qui, en recourant également à des agences d’enquête privées, offrent des services d” »information d’investigation« à toute personne intéressée, y compris par le biais de mécanismes opaques de récupération de données ».

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Numerama – Cyberguerre

Free victime d’une cyberattaque : pourquoi la fuite des IBAN menace la sécurité de vos comptes bancaires

L’opérateur Free a informé une grande partie de ses abonnés, via un nouvel email envoyé ce 28 octobre, que la fuite de données contenait d’autres informations cruciales. L’entreprise a indiqué qu’en plus des noms, prénoms, dates et lieux de naissance, numéros de téléphone, identifiants abonnés, le hacker a aussi récupéré des données bancaires. Concrètement, ce sont les IBAN des clients de la box Free qui ont été mis en ligne par le pirate. 5,3 millions de personnes seraient concernées.

Disponible sur: numerama.com

L’Usine digitale

Cybersécurité : L’auto-école en ligne Ornikar victime d’une fuite de données personnelles

Ornikar, start-up française spécialisée dans la révision du code en ligne et dans la réservation de cours de conduite pour passer le permis, a averti le 24 octobre ses clients d’une « intrusion externe dans [son] système d’information ». Une cyberattaque qui a laissé fuité de nombreuses données personnelles, dont les noms, prénoms et dates de naissance de ses clients, mais aussi leurs adresses e-mail, leurs numéros de téléphone et leurs adresses postales. La plateforme précise que les « données bancaires et mots de passe n’ont pas été compromis lors de cet incident ».

Disponible sur: usine-digitale.fr

Retour en haut