Dernières actualités : données personnelles

L’Usine digitale

Un fournisseur de la ville de Bruxelles visé par une cyberattaque, des données personnelles dérobées

La Ville de Bruxelles a annoncé, le 16 mai, qu’une cyberattaque avait récemment ciblé l’un de ses fournisseurs. Cette intrusion a entraîné une fuite de données personnelles “ayant trait aux données d’identification”, explique la municipalité, dans un communiqué publié sur son site. La capitale belge précise mener une enquête avec le fournisseur, afin de déterminer “les circonstances de cet acte ainsi que l’étendue de la fuite et le type de données concernées”. Elle affirme que l’ensemble des mesures préventives et correctives ont été “entreprises”. Le Centre pour la cybersécurité Belgique, autorité nationale chargée de la cybersécurité, et l’Autorité belge de protection des données (APD) ont été notifiées de cette cyberattaque

Disponible sur: usine-digitale.fr

CNIL

Jeux olympiques et paralympiques 2024 : les observations de la CNIL sur le dispositif de laissez-passer

Le 25 avril 2024, la CNIL s’est prononcée sur le texte qui institue un laissez-passer dans les « zones de sécurité » où la circulation sera restreinte en raison de l’organisation des JOP 2024. Elle a admis la légitimité du dispositif mais émis des observations sur l’utilisation de la photographie et les durées de conservation des données.

Disponible sur: CNIL.fr

BBC

Violation des données du ministère de la défense UK : Les données personnelles des forces armées britanniques ont été consultées lors d’un piratage

Selon la BBC, les informations personnelles d’un nombre indéterminé de militaires britanniques en service ont été consultées dans le cadre d’une importante violation de données. Le piratage a visé un système de paie géré par un contractant externe et utilisé par le ministère de la défense, qui comprend les noms et les coordonnées bancaires des membres actuels et de certains anciens membres des forces armées. Dans un très petit nombre de cas, les données peuvent également inclure des adresses personnelles. On ne sait pas qui est à l’origine de ce piratage ni à quoi les données pourraient servir. Les données, décrites comme des « informations personnelles de type HMRC (= fiscales) », concernent des membres actuels et anciens de la Royal Navy, de l’Army et de la Royal Air Force sur une période de plusieurs années.
Selon la BCC, le ministère de la défense ait pris des mesures immédiates et que le système ait été mis hors ligne, tandis que des enquêtes sont en cours.

Disponible (en anglais) sur: bbc.com
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

GDPD (autorité italienne)

Lancement du jumelage avec la Bosnie-Herzégovine. L’Autorité soutiendra la mise en œuvre de la réforme de l’administration publique dans ce pays des Balkans, candidat à l’adhésion à l’UE à partir de 2022.

L’Autorité italienne a annoncé soutenir la mise en œuvre de la réforme de l’administration publique dans ce pays des Balkans, candidat à l’adhésion à l’UE à partir de 2022.  Données ouvertes, services accessibles, gouvernance transparente. Tel est le slogan du jumelage avec la Bosnie-Herzégovine stipulé par un consortium italo-finlandais auquel participe également le Garante per la protezione dei dati personali (GPDP), et composé de l’agence publique CSI Piemonte, Eutalia, (une agence publique à laquelle participe le MEF), et l’institut HAUS, leader en Finlande dans la formation au secteur public.

Les activités de jumelage visent à mettre en œuvre la réforme de l’administration publique de la Bosnie-Herzégovine, qui a reçu en décembre 2022 le statut de candidat à l’adhésion à l’Union européenne, avec l’objectif d’améliorer la prestation de services aux citoyens, grâce au renforcement de la capacité technique de l’agence administrative pour les documents d’identification, les registres et l’échange de données du pays des Balkans (IDDEEA).

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Yann Gaudin (via Twitter)

🚨 Défaillances de la direction de France Travail en matière de sécurité informatique

La CGT de France Travail s’exprime sur la violation de données, dénonçant « un choix assumé de la Direction de la DSI de ne pas mettre en place les préconisations sécuritaires nécessaire sà l’ouverture de notre SI aux partenaires France Travail« , en ce compris Cap Emploi, à l’origine de la fuite de données. Elle ajoute que « Lors du projet de connexion du partenaire Cap emploi en 2022, une analyse de risque a bien été réalisée en interne. Dans ce rapport il a été identifié, entre autres, le risque suivant :  »Un attaquant usurpe l’identité d’un agent Cap Emploi et accède aux données du SI Pôle emploi via la machine virtuelle » avec un indice d’alerte 4 (maximum). Le rapport préconisait de « Renforcer l’authentification à la machine virtuelle avec un deuxième facteur d’authentification (2FA) conformément aux exigences de l’ANSSI, mais il n’a jamais été mise en place !!« .

Suite à la publication de cette lettre, Guillaume Champeau a annoncé sur Twitter (attention, lien traçé) avoir demandé, via le formulaire de plainte en ligne, à ce que des poursuites sur le fondement de l’article 226-17 du Code pénal soient lancées; cet article condamnant le défaut de sécurisation de données personnelles par cinq ans d’emprisonnement et 300 000 euros d’amende.

Image

Disponible sur: twitter.com (attention, lien traçé)

Homo Digitalis

L’autorité grecque de protection des données inflige au ministère des migrations et de l’asile l’amende la plus importante jamais imposée à un organisme public grec pour les inconformités de ses systèmes « Centaurus » et « Hyperion ».

Dans son article, l’association militante explique qu’ il y a deux ans, Homo Digitalis avait déposé une plainte contre le ministère de l’Immigration et de l’Asile pour les systèmes « Centaurus » et « Hyperion » déployés dans les structures d’accueil et d’hébergement des demandeurs d’asile, en coopération avec les organisations de la société civile Hellenic League for Human Rights et HIAS Greece, ainsi que l’universitaire Niovi Vavoula. Le système « Centaurus » est un système numérique de gestion de la sécurité électronique et physique autour et à l’intérieur des installations, utilisant des caméras et des algorithmes d’analyse comportementale de l’intelligence artificielle, tandis que le système « Hyperion » est le principal outil de contrôle de l’accès (entrée et sortie) à ces installations à l’aide de données biométriques.

Aujourd’hui, l’association annonce que l’Autorité hellénique de protection des données a identifié d’importantes violations du GDPR dans cette affaire par le ministère de l’Immigration et de l’Asile, parmi lesquelles l’absence d’AIPD, la quasi-impossibilité pour les personnes concernées d’exercer leurs droits. En conséquence, l’autorité a décidé d’imposer une amende de 175 000 euros – décrite comme la plus élevée jamais imposée à un organisme public dans le pays – et a par ailleurs 3 mois pour se mettre en conformité avec la réglementation.

[Ajout contextuel Portail RGPD: Cette sanction met en valeur les différences entre le régime juridique grec et le régime français : en France, les sanctions pécuniaires sont en effet expressément écartées par l’article 20 de la Loi Informatique et Libertés s’agissant des traitements mis en œuvre par l’Etat.]

Disponible (en anglais) sur: homodigitalis.gr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

CJUE – Arrêt C-61/22

L’insertion obligatoire dans les cartes d’identité de deux empreintes digitales est compatible avec les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel

Dans un arrêt rendu ce 21 mars, la Cour de Justice de l’UE estime que « l’obligation d’insérer deux empreintes digitales complètes dans le support de stockage des cartes d’identité constitue une limitation des droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par la charte des droits fondamentaux de l’Union européenne. Toutefois, cette insertion est justifiée par les objectifs d’intérêt général de lutter contre la fabrication de fausses cartes d’identité et l’usurpation d’identité ainsi que d’assurer l’interopérabilité des systèmes de vérification » dans la mesure où elle est « apte et nécessaire à la réalisation de ces objectifs et n’est pas disproportionnée par rapport à ceux-ci ».

Autrement élément d’espèce intéressant: Le règlement en question a été adopté sur la mauvaise base juridique, a par conséquent déclaré invalide. Néanmoins, les juges ont estimé que « l’invalidation du règlement avec effet immédiat serait susceptible de produire des conséquences négatives graves pour un nombre important de citoyens de l’Union et pour leur sûreté dans l’espace de liberté, de sécurité et de justice. La Cour maintient, pour cette raison, les effets du règlement jusqu’à l’entrée en vigueur, dans un délai raisonnable et au plus tard le 31 décembre 2026, d’un nouveau règlement, fondé sur la bonne base juridique. »

Disponible sur: curia.europa.eu. Le dossier complet est également disponible.
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Retour en haut