Publications: l’utilisation de Skype dans une étude d’avocats 16 avril 2013
Posted by Sylvain Métille in Divers, Informatique, Liens, Protection des données, Skype, Sphère privée, Suisse, Surveillance, Téléphonie, Technique.add a comment
Un bref article paru dans les éditions francophone et germanophone de la revue Plaidoyer s’intéresse à l’utilisation de Skype dans une étude d’avocats. Cela ne pose pas de problèmes particuliers si le client est au courant et accepte son utilisation. Il en irait différemment si l’avocat utilise un système de VoIP alors que le client croit utiliser un système de téléphonie classique, les risques n’étant pas les mêmes.
Protection des données: lobbyistes, on vous a à l’œil ! 27 mars 2013
Posted by Sylvain Métille in Divers, Humeur, Logiciel, Protection des données, Sphère privée, Surveillance, USA.1 comment so far
L’Union européenne a entamé le processus de réforme de sa législation en matière de protection des données. Au début de l’année 2012, la Commission européenne a présenté un projet de Règlement général sur la protection des données qui s’appliquera à toutes les données personnelles traitées dans l’Union ou à l’extérieur de l’Union si elles concernent des résidents européens.
Le Règlement aura donc un impact direct sur les géants de l’Internet, dont certains sont déjà visés par des procédures dans plusieurs pays européens (on pense notamment à Facebook en Irlande ou Google en France). Il n’en fallait pas moins pour aiguiser les ardeurs des lobbyistes et l’on a rapidement vu un certain nombre d’Américains s’ajouter à ceux qui sont habituellement présents à Bruxelles. Mais ne jetons pas la pierre aux Américains, car les intérêts européens sont également représentés à Washington.
On trouve des entreprises américaines qui veulent empêcher toute limitation européenne à leurs activités actuelles, des organisations américaines de défense de la sphère privée qui soutiennent les mesures protectrices en Europe (et espèrent un effet direct ou indirect aux USA), des Européens (y compris au plus haut niveau politique) qui tentent de obtenir du gouvernement américain qu’il limite ses droit d’accès aux données européennes. Ou encore des entreprises européennes qui souhaitent moins de restrictions et tentent de trouver un appui dans ce sens aux USA.
Les lobbyistes ont largement dépassé le stade de simples discussions de couloirs et deviennent de plus en plus efficaces et influents, ressemblant parfois de manière troublante à des secrétaires parlementaires. Pour mesurer leur influence réelle, une plate-forme participative en ligne, Lobbyplag, compare les propositions des groupes d’intérêts et les amendements au projet de Règlement demandés par les parlementaires dans les différents comités actuellement saisis du projet.
Si l’idée même que l’industrie influence l’élaboration d’une loi n’est pas nouvelle, les ressemblances sont plus que troublantes et il peut être intéressant de savoir qui soutient quoi et par quel biais. En utilisant des données librement accessibles (Open Data) et un financement participatif (crowdfunding), Lobbyplag est un exemple de l’utilisation de moyens informatiques pour renforcer la transparence dans la démocratie. Et prouver que protection des données et transparence peuvent cohabiter !
Ce billet a également été publié sur le site du magazine Bilan, dans la rubrique «les experts».
Un petit drone pour épier ses voisins? 13 mars 2013
Posted by Sylvain Métille in Divers, Humeur, Localisation, Protection des données, Renseignement, Sphère privée, Surveillance, Technique.3 comments
En Suisse, des drones de l’armée sont utilisés régulièrement depuis 2006 pour surveiller les zones frontières. Dans le cas d’un usage par une personne privée, les drones ne sont soumis à aucune autorisation tant qu’ils n’atteignent pas un poids de 30 kilos et que le pilote resté au sol maintient un contact visuel avec l’appareil. Non seulement ces machines volent discrètement, mais elles peuvent aussi embarquer un matériel de pointe capable de procéder à des enregistrements sonores, des prises de vues, des mesures de détection, etc.
La DARPA, une agence du Département américain de la défense, a présenté en début d’année une caméra dotée d’un capteur de 1,8 gigapixels. A 6’000 mètres d’altitude, cette caméra peut couvrir une surface de vingt-cinq kilomètres carrés et y repérer un objet au sol d’une taille de quinze centimètres. On trouve aussi des nanodrones, comme ceux utilisés par l’armée anglaise et qui pèsent quinze grammes (caméra comprise) pour une dizaine de centimètres d’envergure. Loin de ces performances technologiques, un amateur peut déjà trouver un matériel à un prix accessible et qui lui permettra d’obtenir des images de bonne qualité. La surveillance de ses voisins ou de ses concurrents par le ciel est devenue réalité.
La légalité d’une telle démarche ne change pas de celle qui prévaut en matière de vidéosurveillance classique. Les personnes filmées doivent y consentir (ce qui implique d’avoir été informé préalablement) et l’atteinte à la sphère privée des personnes filmées doit être proportionnée par rapport au but poursuivi. Dans certains cas précis, par exemple à des fins de sécurité, il sera possible de passer outre le consentement des personnes filmées en invoquant des intérêts prépondérants. N’empêche que souvent la surveillance sera illégale et restera inaperçue, donc impunie.
Le droit civil et de la protection des données permettent de faire cesser une atteinte illicite et une plainte pénale peut être déposée pour violation du domaine privé au moyen d’un appareil de prise de vues. Voilà pour la théorie, mais dans la pratique le jouet se transforme rapidement en un espion discret, peu coûteux et peu capricieux, contre lequel il est difficile de lutter. Au moins tant et aussi longtemps que le législateur ne le soumettra pas à autorisation, autorisation qui devrait aussi porter sur le but de leur utilisation.
Ce billet a également été publié sur le site du magazine Bilan, dans la rubrique «les experts».
6e conférence «Computers, Privacy and Data Protection» à Bruxelles 28 janvier 2013
Posted by Sylvain Métille in Divers, Localisation, Logiciel, Protection des données, Publications, Sphère privée, Suisse, Surveillance, Technique, USA.add a comment
Lors de la 6e conférence «Computers, Privacy and Data Protection» à laquelle j’ai participé la semaine dernière à Bruxelles, le cœur des discussions s’est porté sur la révision du droit européen de la protection des données. Présenté il y a une année, le projet de la Commission européenne prévoit un Règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) et une Directive relative à la protection des données à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière, ainsi que d’activités judiciaires connexes. Le droit suisse sera également révisé, de même que la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (Convention 108). Cette convention sera particulièrement importante car elle n’est pas limitée aux pays européens. Vu le nombre de données qui traversent quotidiennement les frontières virtuelles de l’Europe et de la Suisse, il est essentiel que la Convention 108 reprenne les éléments principaux du nouveau règlement européen pour aligner le niveau de protection dans les autres pays.
Les discussions (officielles et officieuses, de même que le lobbying) sont intenses en Europe et aux USA, en particulier où le droit à l’oubli fait très peur (alors qu’il ne s’agit guère plus que d’un droit à l’effacement). La situation n’est guère différente de celle qui prévalait avant l’adoption de la Directive 95/46/CE il y a presque 20 ans et où certains prédisaient la mort de nombreuses entreprises. Le commerce ne semble pourtant pas avoir souffert de cette législation.
Un des problèmes, que le nouveau règlement ne résoudra pas, est l’accès aux données hébergées à l’étranger par les autorités étrangères, en particulier américaines. Une solution viendra peut-être d’un accord politique entre UE et USA, un peu à la manière dont le Safe Harbor avait été conclu (sphère de sécurité permettant de transférer les données, similaire à la sphère de sécurité Suisse-USA). Un accord par lequel les USA s’interdiraient d’accéder aux données d’Européens paraît peu probable. Lors de son adoption, le Safe Harbor avait subi de nombreuses critiques des Européens (protection insuffisante, déficit démocratique lié à son mode d’adoption, absence de contrôle et d’exécution judiciaire) et des Américains (application extraterritoriale des valeurs européennes, trop grande prise en compte des principes européens). Avec le recul ce texte de compromis a néanmoins permis de sauver les intérêts économiques de toutes les parties. Il a aussi permis à la Commission fédérale américaine du Commerce (FTC) de prononcer plusieurs sanctions. La FTC ne pouvant que sanctionner un comportement contraire à ce qui a été promis, le Safe Harbor a joué indirectement un rôle essentiel puisqu’il a conduit de très nombreuses entreprises à s’engager à respecter la protection des données de leurs clients. La FTC a ensuite pu agir lorsque ces promesses (qu’elles soient liées ou non au Safe Harbor) n’ont pas été tenues.
Drones et start-ups
Parmi les nombreux autres sujets abordés (Big Data, Cloud, protection du consommateur), j’ai choisi de revenir sur celui de l’usage des drones par les autorités policières et les particuliers ainsi que le rapport des start-ups à la protection des données. Alors que les USA n’ont pas de loi limitant l’usage des drones, leur utilisation dans le cadre d’enquêtes pénales est soumis à des restrictions dans plusieurs pays. En Suisse, les conditions à remplir par la police sont similaires à celles qui régissent le recours à des caméras de surveillance ou des balises GPS. La situation est plus délicate lorsqu’une personne privée utilise un drone et des règles de protection de la vie privée pourraient trouver leur place dans les normes plus générales qui règlent l’usage de ces appareils (bruit, autorisation de vol, etc.)
Quant aux start-ups, il était frappant de voir à quel point la protection des données ne faisait pas partie de leurs préoccupations premières. Qu’une entreprise en création ne se pose pas la question de toutes les lois qu’elle doit respecter ne me surprend pas beaucoup (il n’y a a ce stade pas de service juridique, les moyens sont limités et l’énergie est concentrée vers la partie centrale du projet). En revanche, il est dommage que, indépendamment des exigences légales, la plupart des entrepreneurs ne soient pas sensibles à la protection des données en tant que valeur. Dès le début, il est essentiel de penser au message et à l’image que l’entrepreneur veut transmettre et le respect de la sphère privée en fait partie.
La LCD impose de nouvelles règles aux sites de e-commerce 11 mai 2012
Posted by Sylvain Métille in Divers, Suisse, Technique.1 comment so far
La Loi fédérale sur la concurrence déloyale a été modifiée au 1er avril 2012 afin d’augmenter la transparence et la protection des consommateurs et d’autres changements sont prévus pour le 1er juillet 2012. Ces modifications sont particulièrement significatives pour les sites de commerce électronique. La LCD s’applique tant aux sites privés que commerciaux, dès le moment où leur contenu peut influencer la concurrence.
L’article 3 LCD contient une liste de pratiques considérées comme déloyales et donc interdites. De nouvelles pratiques ont été ajoutées (lettres p à u). Celui qui subit un comportement déloyal peut demander à un juge de faire cesser le comportement, constater son illégalité, publier le jugement et attribuer des dommages et intérêts. Une plainte pénale peut également être déposée lorsque le caractère déloyal ressort de l’article 3 LCD, ce qui pourrait en théorie conduire à une peine de prison jusqu’à trois ans ou une amende jusqu’à CHF 1 080 000.-. Le contrat n’est toutefois pas automatiquement nul pour autant (il sera annulable selon les vices du consentement habituels, soit indépendamment de l’application de la LCD).
Adresse de contact et étapes techniques conduisant à la conclusion du contrat
Celui qui propose des marchandises, des œuvres ou des prestations au moyen du commerce électronique doit désormais indiquer de manière claire et complète son identité et son adresse de contact, y compris l’adresse de courrier électronique. L’indication du numéro de téléphone n’est pas exigée. En revanche un formulaire de contact ne remplace pas une adresse de courrier électronique valide. Il doit ensuite indiquer les différentes étapes techniques conduisant à la conclusion d’un contrat et fournir les outils techniques appropriés permettant de détecter et de corriger les erreurs de saisie avant l’envoi d’une commande. Finalement, il devra confirmer sans délai la commande du client par courrier électronique. La loi ne détaille pas sous quelle forme les informations doivent être publiées mais elles doivent en tous cas être lisible et facilement accessibles.
Ces exigences ne s’appliquent en revanche pas aux contrats conclus exclusivement par téléphone ou échange de courriels.
Méthodes interdites
Les comportements suivants sont désormais aussi considérés comme déloyaux et donc interdits:
- le système de la boule de neige, de l’avalanche ou de la pyramide (la livraison de marchandises, la distribution de primes ou l’octroi d’autres prestations à des conditions dont l’avantage pour l’acquéreur dépend principalement du recrutement d’autres personnes plutôt que de la vente ou de l’utilisation de marchandises ou de prestations),
- le non-respect de la mention contenue dans l’annuaire indiquant qu’un client ne souhaite pas recevoir de messages publicitaires,
- la promesse dans le cadre d’un concours ou d’un tirage au sort, d’un gain dont la validation est liée à l’achat d’une marchandise ou d’un service, au recours à un numéro payant de service à valeur ajoutée, à la participation à une manifestation commerciale ou à un voyage publicitaire, à la participation à un autre tirage au sort ou au versement d’une indemnité pour frais,
- l’envoi de factures pour une inscription dans des annuaires ou la publication d’annonces sans en avoir reçu le mandat,
- faire de la publicité par le biais de formulaires d’offre, de propositions de correction ou d’autres moyens, pour l’inscription dans des annuaires ou pour la publication d’annonces, ou propose directement cette inscription ou cette publication, sans faire mention en grands caractères, à un endroit bien visible et dans un langage compréhensible des éléments essentiels (le caractère onéreux et privé de l’offre, la durée du contrat, le prix total pour la durée du contrat, la diffusion géographique, la forme, le tirage minimum et la date limite de la publication du répertoire ou de l’annonce.
Utilisation de conditions commerciales abusives
Le 1er juillet 2012, ce sera au tour de l’article 8 LCD d’être modifié pour interdire l’utilisation de conditions générales abusives. Sera ainsi considéré comme déloyal le fait d’utiliser des conditions générales qui prévoient, contrairement aux règles de la bonne foi et au détriment du consommateur, une disproportion notable et injustifiée entre les droits et les obligations découlant du contrat. Contrairement aux comportements mentionnés plus haut et relevant de l’article 3, l’utilisation de conditions générales abusives n’est pas une infraction pénale.
Publications: Les mesures techniques de surveillance: des risques évités et des risques créés 10 avril 2012
Posted by Sylvain Métille in Divers, Droit pénal et procédure pénale, Liens, Protection des données, Publications, Sphère privée, Suisse, Surveillance, Technique.add a comment
L’article paru dans le livre Risque(s) et droit édité par Philippe Meier et Alain Papaux est désormais disponible : «Les mesures techniques de surveillance: des risques évités et des risques créés».
Cette contribution scientifique rédigée dans le cadre du séminaire de 3e cycle de la CUSO aborde les risques que les mesures de surveillance tendent à réduire et ceux qui sont la conséquence de l’utilisation de mesures de surveillances. Une attention particulière est portée sur l’atteinte à la sphère privée, l’utilisation de données à l’insu de la personne concernée, l’impossibilité de corriger des données inconnues et finalement la sécurité des données, les fuites et la transmission des données. Les moyens juridiques et techniques pour limiter ces risques sont brièvement évoqués.
Que fait un opérateur toute la journée derrière un écran de vidéosurveillance? 8 février 2012
Posted by Sylvain Métille in Divers, Localisation, Protection des données, Renseignement, Sphère privée, Surveillance, Technique.2 comments
L’Institut d’aménagement et d’urbanisme d’Ile-de-France (IAU-IDF) a publié cet automne les résultats d’une étude sur les coulisses du travail de surveillance à distance des opérateurs municipaux. Les dispositifs de vidéosurveillance de deux communes françaises ont été étudiés durant plusieurs mois afin de voir comment les opérateurs qui sont assis derrière les écrans reliés aux caméras de surveillance se sont appropriés cette technologie et comment ils l’utilisent en fonction des missions prescrites.
Première conclusion de l’étude, la surveillance continue est une illusion parce que les opérateurs ne consacrent en réalité qu’une part réduite de leur temps de travail à la surveillance passive (balayage des caméras) ou active (recherche du flagrant délit) et parce que cette part du temps de travail est fortement limitée dans son efficience par des facteurs techniques, météorologiques et humains (relations avec les policiers, l’ennui, etc.). Le nombre d’arrestations ou de constations de flagrant délits n’a pas augmenté de manière marquée.
Deuxièmement, les opérateurs doivent faire continuellement des choix, qu’il s’agisse des images ou écrans à regarder en priorité ou des personnes à suivre avec les caméras. Ces choix s’apparentent à un tri social qui semble plus se baser sur l’âge ou la tenue vestimentaire des individus que sur leurs les comportements suspects. L’étude décrit ces discriminations comme étant la conséquence de l’absence de formation sur la manière de cibler les comportements suspects. L’opérateur est alors réduit à s’en remettre à des impressions, probablement inconscientes, que certains types d’individus sont plus portés à commettre des infractions. Il s’agit d’un élément important qui ne devrait pas être sous-estimé lors de la mise en place ou l’utilisation de tels dispositifs. A noter que selon les constats de cette étude française, les opérateurs ne sont le plus souvent pas des policiers ou des personnes assermentés et soumises à un code de déontologie, mais des personnes très peu formées.
Finalement l’étude souligne encore le manque de reconnaissance du travail des opérateurs vidéosurveillance ainsi que l’importance de la confiance et de la collaboration entre les opérateurs et les policiers.
L’étude est diposnible intégralement et gratuitement: IAU îdF, Surveiller à distance. Une ethnographie des opérateurs municipaux de vidéosurveillance, septembre 2011.
Publications: Le secret professionnel à l’épreuve des mesures de surveillance prévues par le CPP 6 janvier 2012
Posted by Sylvain Métille in Divers, Droit pénal et procédure pénale, Liens, Publications, Sphère privée, Suisse, Surveillance.add a comment
Un nouvel article scientifique récemment publié est disponible en ligne. «Le secret professionnel à l’épreuve des mesures de surveillance prévues par le CPP» est paru dans la revue Medialex 03/2011.
Cet article rappelle les notions de secret professionnel telles que définies par le Code de procédure pénale Suisse (CPP) et les différents degrés de protection accordés en fonction de la catégorie professionnelle à laquelle appartient le détenteur du secret lorsqu’il est question de dispense de témoigner. La loi ne fait en revanche pas de distinction entre ces catégories lorsqu’il est question de mesures de surveillance techniques. Les règles particulières à respecter lors de la surveillance d’une personne tenue au secret sont rappelées et analysées.
Publications: L’utilisation privée des moyens techniques de surveillance et la procédure pénale 6 décembre 2011
Posted by Sylvain Métille in Divers, Droit pénal et procédure pénale, Liens, Protection des données, Publications, Sphère privée, Suisse, Surveillance.add a comment
Une nouvelle publication est mise en ligne gratuitement à disposition: «L’utilisation privée des moyens techniques de surveillance et la procédure pénale». Cet article est paru en 2009 dans le livre «Le droit décloisonné», interférences et interdépendances entre droit privé et droit public publié par Jean-Philippe Dunand et Pascal Mahon.
Ce texte s’intéresse à la surveillance privée et les limites que le cadre légal lui impose, en particulier les normes figurant dans le Code civil, le Code pénal et la Loi fédérale sur la protection des données. La question de l’utilisation dans une procédure pénale des résultats obtenus par une surveillance privée est ensuite appréhendée, ce qui est aussi l’occasion de rappeler les principes généraux en matière d’exclusion de preuves illégales.
Google propose de lui demander de ne plus indexer son réseau sans fil 23 novembre 2011
Posted by Sylvain Métille in Divers, Google, Localisation, Logiciel, Protection des données, Sphère privée, Technique.add a comment
La société Google avait été mise à l’amende en France par la CNIL au printemps 2011 et plusieurs pays s’étaient inquiétés de la collecte de données transitant par les réseaux sans fil Wi-Fi de particuliers au moyen des véhicules du moteur de recherche. Google avait finalement admis que c’était une erreur que de collecter des informations liées au contenu mais maintient que les données identifiant les points d’accès Wi-Fi ne sont pas des données personnelles.
Google offre désormais une possibilité d’opt-out, soit d’éviter que son routeur ou autre point d’accès à l’Internet sans fil ne soit indexé. La procédure est expliquée sur le blog officiel de Google et consiste à renommer son réseau sans fil et lui ajouter l’extension finale «_nomap». Google sait ainsi que le titulaire du réseau ne veut pas être enregistré.
Pas si convainquant
Techniquement le système est simple et ressemble aux instructions que l’on peut mettre dans le code d’un site web pour éviter que le moteur de recherche ne l’enregistre. Sauf que l’on n’est pas ici dans le monde de la programmation informatique mais dans l’utilisation quotidienne d’un ordinateur. Combien de personnes ont changé le nom initial de leur réseau à l’installation et quelle part des utilisateurs est capable de le faire seul ?
Cette solution est un premier pas mais qui semble rester assez théorique pour le grand public. Dans les faits, seul un petit nombre de personnes bien informées l’utilisera, un peu comme les paramètres liés aux publicités. De plus, tout le monde peut désormais savoir qui refuse l’indexation de son réseau!
