Les news qui ont fait l’actu
Dans le cadre du partenariat entre l’IDFRights et SKEMA Business School, voici un aperçu de notre actualité vue par des étudiants du Master de management & droit des affaires de Skema.
Semaine du 7 au 13 février 2022
Par les étudiants de M2 de droit des affaires SKEMA/ULCO et les étudiants de Licence 3 Economie/Gestion du groupe Consilience de SKEMA Business School Sarah Ben Bouazza, Solal Boulanger, Arthur Clavier, Lucas Cosset, Loris Couvreur, Arthur Derderian, Cassandre Hodeau, Camille Kurth, Soez Jarrousse Léonard Marx, Taous Rabahi, Mathilde Sauret, encadrés par les professeurs Isabelle Bufflier et Frédéric Munier :
Sarah Ben Bouazza
Solal Boullanger
Arthur Clavier
Lucas Cosset
Loris Couvreur
Arthur Derderian
Cassandre Hodeau
Soez Jarrousse
Camille Kurth
Léonard Marx
Mathilde Sauret
Taous Rabahi
Visés par une cyberattaque, des sites portuaires européens sont au ralenti
Les terminaux pétroliers des infrastructures portuaires des trois pays de la mer du Nord dominant le commerce maritime européen – à savoir les Pays-Bas, la Belgique et l’Allemagne – ont été la cible d’une cyberattaque. Les attaquants ont utilisé un « rançongiciel », c’est-à-dire un virus paralysant un système informatique tant qu’une rançon en cryptomonnaie n’a pas été versée. Dans un contexte de forte hausse de prix des hydrocarbures, la vulnérabilité des infrastructures portuaires, notamment pétrolières, est un problème que les gouvernements s’attèlent à résoudre notamment par le biais d’Europol.
Pourquoi cette actu :
Les cyberattaques subies cette semaine par les terminaux pétroliers des zones industrialo-portuaires belges, allemandes et néerlandaises mettent en lumière les faiblesses de ces nœuds stratégiques du commerce mondial en matière de sécurité numérique. Une attaque de cette ampleur a, en effet, généré de nombreux retards de livraison et a grandement nui à l’image économique de ces pays. En outre, cela met en évidence la puissance économique et géopolitique des pirates informatiques, qui peuvent, en un clic, paralyser entièrement une zone portuaire stratégique pour le commerce d’un État. Finalement, dans un monde progressivement numérisé, la puissance, la souveraineté et le modèle classique de l’État westphalien est remis en question. Des acteurs non étatiques, à l’image des pirates informatiques, sont aujourd’hui capables de déstabiliser et d’avoir un impact concret sur le commerce et la santé économique d’États puissants. La réponse contre ces cybercriminels doit être collective, européenne et internationale pour être efficace.
Des organismes comme Interpol, mais aussi Europol et Eurojust s’y emploient désormais avec une certaine efficacité pour tenter d’enrayer « cette pandémie de cybercrimes ».
TikTok transmet plus de données à des tiers que les autres réseaux sociaux
Le réseau social chinois TikTok collecte davantage de données personnelles de ses utilisateurs que ses neuf concurrents dans le monde. Au coude-à-coude avec YouTube, la plateforme n’utiliserait pas moins de 15 traqueurs sur iOS, dont douze seraient destinés à des tiers (contre 1 sur 14 pour YouTube). Même lorsque l’utilisateur refuse certaines autorisations à l’application, cette dernière procéderait à la collecte de ses données de la même manière. La question de la confidentialité des données recueillies par TikTok est un sujet sensible avec l’explosion de son nombre d’utilisateurs en à peine deux ans. L’entreprise chinoise ByteDance qui possède TikTok est en effet soupçonnée de transmettre les données utilisateurs qu’elle récupère au gouvernement chinois, ce qu’elle a toujours nié. Une enquête sur les liens entre ByteDance et le gouvernement chinois a été ouverte par l’autorité de protection des données irlandaises. De leur côté, les États-Unis à l’époque de Donald Trump avaient essayé, sans grand succès, de contraindre ByteDance à revendre TikTok à une entreprise américaine. Depuis cet échec, le département du commerce américain envisage d’affermir sa politique pour empêcher les entreprises étrangères de collecter des données pouvant potentiellement servir à des fins d’espionnage. Bien que ByteDance ne soit pas la seule entreprise concernée, elle doit s’attendre à être une des premières touchées par ces mesures.
Pourquoi cette actu :
Cette information nous invite à nous interroger à la fois sur la manière dont TikTok traite les données personnelles mais aussi sur les contentieux politiques qui émanent de ces polémiques. En effet, en ce qui concerne l’application TikTok un passif existe entre le gouvernement américain et le gouvernement chinois. L’ancien président Donald Trump estimait probable que les données des utilisateurs de TikTok soient utilisées par les services de renseignement chinois. Pourtant sur la question de la captation et du traitement des données personnelles à des fins de renseignements, les Etats-Unis ne sont pas les derniers de la classe comme l’avait révélé en 2013 Edward Snowden. En mai 2021, une enquête de la télévision publique danoise mettait également en lumière que la NSA serait également impliquée dans la surveillance de dirigeants européens depuis le Danemark. De son côté, le bureau européen des unions de consommateurs (BEUC) a décidé de saisir la Commission européenne en février 2021 afin d’ouvrir une enquête sur les pratiques commerciales jugées « trompeuses et déloyales » de TikTok. En ce qui concerne les données personnelles, l’âge requis pour utiliser l’application est de 13 ans, et 38% des utilisateurs sont âgés de 13 à 17 ans ce qui signifie que les données transmises à des tiers sont principalement celles d’enfants et d’adolescents. Si, pour le moment, aucun lien n’est avéré entre TikTok et le renseignement chinois, cette affaire illustre une fois encore que les données sont bien l’or noir du nouveau siècle. Dans l’arène de la géopolitique des données, les acteurs fourbissent leurs armes…
Mozilla et Meta collaborent pour mesurer la performance des campagnes publicitaires sans tracking
Le 8 février 2022, Mozilla développeur de Firefox, a proposé à Meta (ex-Facebook) une nouvelle méthode de calcul de performances des campagnes publicitaires baptisée Interoperable Private Attribution (IPA). Cette méthode est une alternative à celle proposée par Google et Apple – cette dernière étant moins respectueuse des données personnelles des utilisateurs selon Mozilla. Celle de Mozilla est censée améliorer la gestion des données personnelles collectées à travers les espaces publicitaires. Afin d’optimiser leur programme, Firefox a soumis l’IPA au Private Advertising Technology Community Group (PATCG), un groupe de discussion dédié à la publicité en ligne sollicitant tout commentaire des internautes.
Pourquoi cette actu :
À l’heure où la protection des données personnelles est souvent malmenée, le système IPA, tout en promettant l’efficacité des publicités, s’engage à respecter la vie privée des utilisateurs. Cependant, Meta et Mozilla ne font en réalité que se positionner sur une tendance adoptée par certains acteurs du numérique, qui développent de leur côté des alternatives aux cookies « tiers » pour le ciblage publicitaire. Ces cookies déposés par un site différent de celui consulté par l’internaute, permettent de suivre le comportement de l’internaute sur les sites web visités. À l’origine de ce revirement, la méfiance des utilisateurs soucieux de la préservation de leur vie privée mais aussi les normes imposées par RGPD et la directive ePrivacy contraignant les entreprises au respect d’une certaine transparence numérique . Depuis l’an dernier, Apple a déjà mis en place sur iOS et macOS son propre système Private click Measurement. Quant à Google, après le scandale déclenché par son système de personnalisation publicitaire FLoC –une « technologie de pistage inclusive » selon le navigateur web Vivaldi – la firme de Mountain View propose désormais une autre alternative aux cookies tiers : Topics. Présenté au World Wide Web Consortium, Topics permet au navigateur d’identifier les centres d’intérêt en lien avec les sites visités sans partager les sites spécifiques aux annonceurs. Rappelons que Google a annoncé se détacher des cookies « tiers » d’ici 2023. Le pari sera-t-il tenu ? Il semble que la course des Big Tech à la publicité ciblée pour préparer l’air post cookies « tiers » est lancée et ne fait que commencer.
Meta menace de fermer ses plateformes en Europe face au refus de transfert de données personnelles
Le 8 février 2022, le groupe Meta a fait part de son intention de fermer ses plateformes sur le continent européen. Cette décision concernerait les applications et les réseaux sociaux comme Instagram, Facebook, WhatsApp. Meta estime que l’encadrement plus strict des données voulu par les législateurs européens pourrait avoir des conséquences plus que néfastes sur les services du groupe. Bien que cette affirmation ait été formulée en public et de manière péremptoire, il s’agirait avant tout d’une simple menace. En effet, Facebook ne semble pas pouvoir se passer du marché européen qui représente tout de même 20% de son chiffre d’affaire annuel.
Pourquoi cette actu :
A l’heure où Meta est dans la tourmente, après l’affaire Frances Haugen, les rappels à l’ordre et les condamnations en Europe par les autorités de contrôle des données personnelles et de concurrence et une perte inédite d’utilisateurs, la Big tech a néanmoins tout à perdre à quitter le marché européen, tant en termes de chiffre d’affaires que d’opportunité que le groupe offrira à la concurrence. Alors pourquoi cette annonce ? C’est que, jusque-là, le transfert de données était possible grâce aux Clauses Contractuelles Type (CCT), mises en place à la suite de l’annulation du Privacy Shield et du Safe Arbor par la Cour de justice de l’UE dans les arrêts Schrems I et II. Or, ces clauses pourraient être annulées par la Data Commission irlandaise courant 2022, ce qui obligerait Meta, et notamment Facebook, à revoir son système de récupération de données. Il est clair que le groupe se livre à une opération de pression sur la population et les Institutions européennes. Il sera intéressant de suivre l’actualité de ce bras de fer dans les prochaines semaines.
L’affaire Pegasus mise en lumière
Le 11 février 2022, le groupe parlementaire européen centriste Renew Europe dénonçait l’usage, selon lui excessif, du logiciel espion Pegasus par certains gouvernements au sein de l’Union Européenne. Ce logiciel, édité par la société israélienne NSO Group, serait une mine d’or pour certains États membres. L’euro-députée Sophie in’t Veld a lancé l’alerte à ce sujet et réclame l’ouverture d’une enquête concernant l’utilisation de ce logiciel par les États membres.
Pourquoi cette actu :
A l’approche des élections présidentielles en France et en Hongrie, les données personnelles échangées au sein des pays représentent une opportunité de cerner les tendances et opinions politiques des citoyens. On se souvient que cela avait été le cas dans l’affaire Cambridge Analytica. Les logiciels de piratage, à l’image de Pegasus, constituent de réelles armes de sharp power permettant de discréditer certains candidats aux présidentielles. En plus de porter atteinte à la vie privée, ces systèmes de surveillance représentent de vraies menaces pour les gouvernements. Ainsi, la France a-t-elle été menacée en raison du piratage des téléphones portables de personnalités politiques comme Jean-Michel Blanquer et la tentative ratée sur celui d’Emmanuel Macron. De leur côté, et malgré leurs bonnes relations diplomatiques avec Israël, les États-Unis ont placé la société NSO Group sur la « liste noire des sociétés dangereuses » tandis Apple a porté plainte contre la société. Par ailleurs, l’ONU a lancé un moratoire au sujet des technologies de surveillance pour dénoncer la sophistication des outils employés portant atteinte à la liberté des citoyens, journalistes et opposants politiques. A l’échelle européenne, cette actualité fait écho à la mise en demeure par la CNIL des responsables de traitement qui utilisent le logiciel Google Analytics afin d’avoir désormais essentiellement recours à un outil n’entraînant pas le transfert des données hors Union Européenne. De façon générale, plus que jamais la technologie s’affiche comme un Janus bifrons : libératrice d’un côté, elle recèle le risque, si elle n’est pas strictement régulée, de devenir un outil de contrôle et de manipulation.
Focus de la semaine
La Cnil belge retrouve peu à peu son indépendance avec la démission de Frank Robben
Frank Robben a démissionné le 7 février de son mandat de membre de l’Autorité de protection des données belge. Ce haut fonctionnaire est au cœur d’une procédure en infraction au RGPD ouverte par la Commission européenne, garante de l’indépendance des autorités de contrôle qui devait le 8 8 février saisir la Cour de justice de l’Union européenne. Frank Robben était accusé d’être juge et partie dans de nombreux dossiers. Le manque d’indépendance de l’ADP avait déjà provoqué en décembre 2021 le départ d’Alexandra Jaspar, l’une des directrices de l’autorité.
Pourquoi ce focus :
Dans l’UE, l’obligation d’indépendance des autorités de protection des données personnelles ou des autorités de contrôle est essentielle. Elle est prévue à l’article 16, paragraphe 2, du traité sur le fonctionnement de l’Union européenne (TFUE) et à l’article 8, paragraphe 3, de la Charte des droits fondamentaux de l’UE, donc au plus niveau de la pyramide des normes. La Cour de justice de l’Union européenne (CJUE) a souligné à de nombreuses reprises que le contrôle exercé par une autorité indépendante est un élément essentiel du droit à la protection des données et a fixé les critères de cette indépendance. L’autorité de contrôle doit en particulier agir en toute indépendance, ce qui implique l’indépendance du pouvoir de décision vis-à-vis de toute influence extérieure directe ou indirecte. Le règlement général sur la protection des données (RGPD) rappelle l’importance de l’indépendance des autorités et son chapitre VI et en particulier l’article 52 fournit des règles détaillées pour l’établissement et le fonctionnement d’autorités de contrôle indépendantes, et exige que les autorités aient les ressources nécessaires à la bonne exécution de leurs missions et de leurs pouvoirs.
La Commission européenne est également garante de cette indépendance car en tant que gardienne des traités européens, bien qu’elle n’ait pas de moyens d’investigation, elle peut tout de même lancer une procédure d’infraction contre les États membres qui ne respectent pas le droit européen. Et c’est ce qu’elle a fait le 9 juin 2021 contre la Belgique pour non-respect du RGPD et en particulier de l’indépendance de son autorité de protection des données. Elle précisait ainsi dans un communiqué que certains membres de l’autorité de protection des données belge (APD) « ne peuvent être considérés comme à l’abri de toute influence extérieure parce qu’ils rendent compte à un comité de gestion dépendant du gouvernement belge, participent à des projets gouvernementaux sur la recherche des contacts dans le cadre du Covid-19 ou sont membres du Comité de la sécurité de l’information ».
Quatre membres étaient en particulier visés : Séverine Waterbley et de Nicolas Waeyaert (deux chefs d’administration), Bart Preneel (impliqué dans le Comité de la sécurité de l’information) et Frank Robben (administrateur de la Banque Carrefour de la Sécurité Sociale). Les deux premiers démissionnèrent en février 2021 mais pas les autres. L’autorité belge avait alors en principe deux mois pour se conformer à l’exigence d’indépendance. Ce n’était toujours pas le cas en novembre 2021 où la Commission a enjoint la Belgique avant le 12 janvier 2022 de mettre fin aux mandats des mandataires de l’Autorité de protection des données (APD) dépendant du gouvernement (Frank Robben), ayant participé à des projets gouvernementaux de traçage des contacts (Frank Robben, David Stevens) et/ou étant membres du Comité de Sécurité de l’information (Bart Preneel). En décembre 2021, la démission d’Alexandra Jaspar, co-directrice de l’autorité, dénonçant des pressions et de graves dysfonctionnements, démontrait que le problème n’était toujours pas réglé bien que le Parlement belge ait lancé une procédure de levées de mandats, mais curieusement pas contre les membres incriminés. La Commission s’apprêtait donc à lancer une procédure devant la CJUE le 8 février, la démission de Frank Robben la veille est donc intervenue in extremis.
La CNIL belge n’est d’ailleurs pas la seule à être sur la sellette. La Data Protection Commission (DPC), l’autorité irlandaise, a été aussi pointée du doigt à plusieurs reprises. En février 2020, la CNIL allemande l’avait déjà accusé d’inaction. Le 20 mai 2021, le Parlement européen votait une résolution appelant la Commission européenne à ouvrir une procédure de sanction à son égard, accusée d’être « le maillon faible » des autorités de contrôle. Quand on sait que la plupart des Big tech ont leur siège social à Dublin, les intérêts économiques en cause peuvent expliquer une telle inaction. L’association NOYB, créée par l’avocat activiste Max Schrems, spécialisée dans la protection des données personnelles déposait d’ailleurs plainte pour corruption en novembre 2021 contre la DPC, à qui elle reprochait d’empêcher l’association de publier des documents liés aux procédures visant Meta (ex Facebook) pour sa gestion des données personnelles des utilisateurs, en particulier de leurs transferts vers les États-Unis. En décembre dernier, une ONG irlandaise, l’ICCL accusait cette fois la Commission européenne de laxisme face à la DPC et déposait une plainte devant le Médiateur européen. Malgré les graves dysfonctionnements constatés, il semble néanmoins que tous les garde-fous et les mécanismes démocratiques existant au sein de l’UE soient mis en action pour permettre le respect de droits fondamentaux et sacrés que sont le droit à la vie privée et à la protection des données personnelles des citoyens européens.
Le point de vue étudiant
Utilisation de Google Analytics et transferts de données vers les États-Unis : la CNIL met en demeure un gestionnaire de site web
Par Isabelle Bufflier, professeure de droit des affaires chez SKEMA BS avec le concours de Frédéric Munier, professeur de géopolitique chez SKEMA BS
Le 10 février 2022, la CNIL a rendu une décision relative à l’outil de Google, Google Analytics. Ce service proposé gratuitement par Google, peut être intégré par les gestionnaires de sites web et permet d’analyser leur audience et de disposer ainsi de statistiques de fréquentation très intéressantes pour les professionnels comme les sites de vente en ligne. Un identifiant unique est alors attribué à chaque visiteur, constituant à cet égard une donnée personnelle et toutes les données qui lui sont associés sont transférées par Google aux États-Unis.
En août 2020, l’association NOYB, créée par l’avocat activiste autrichien Max Schrems, à l’origine des arrêts de la CJUE qui avaient invalidé le Privacy Shield et le Safe Arbor pour non-conformité au RGPD des transferts de données réalisés aux États-Unis, a déposé 101 réclamations dans les 27 États-membres et les États membres de l’EEE (Espace économique européen) auprès de la CNIL et des autorités similaires pour dénoncer la collecte de données personnelles ainsi réalisées par les responsables de traitements utilisant Google Analytics, en invoquant des manquements au RGPD.
La CNIL, en coopération avec ses homologues européens, a analysé les conditions dans lesquelles les données collectées dans le cadre de l’utilisation de Google Analytics étaient transférées vers les États-Unis et quels étaient les risques encourus pour les personnes concernées et en particulier le risque que les services de renseignement américains accèdent aux données personnelles ainsi transférées. Il ne s’agit pas d’un risque hypothétique, surtout après les révélations d’Edward Snowden et les récents démêlés au sujet du non-respect du USA Freedom Act.
La CNIL conclut que les transferts vers les États-Unis ne sont pas suffisamment encadrés. Comme il n’y a pas encore de décision d’adéquation remplaçant le Privacy Shield, le transfert de données vers les États-Unis ne peut avoir lieu que si des garanties appropriées sont prévues par les responsables de traitement. Or Google a certes adopté des mesures supplémentaires pour encadrer les transferts de données dans le cadre de la fonctionnalité Google Analytics, intégrées à ses conditions générales, par le biais de clauses contractuelles type, mais la CNIL considère que celles-ci ne suffisent pas à exclure la possibilité d’accès des services de renseignements américains à ces données. La CNIL conclut que les données des internautes sont ainsi transférées vers les États-Unis en violation des articles 44 et suivants du RGPD. Elle met donc en demeure le gestionnaire de site de mettre en conformité ces traitements avec le RGPD, si nécessaire en cessant d’avoir recours à la fonctionnalité Google Analytics (dans les conditions actuelles) ou en ayant recours à un outil n’entraînant pas de transfert hors UE. Le gestionnaire de site en cause, dont le nom n’a pas été communiqué par la CNIL, dispose d’un délai d’un mois pour se mettre en conformité.
La CNIL préconise aux responsables de traitement qui souhaitent utiliser des services de mesure et d’analyse d’audience, que ces outils servent uniquement à produire des données statistiques anonymes, permettant ainsi une exemption de consentement si le responsable de traitement s’assure qu’il n’y a pas de transferts illégaux. La CNIL a d’ailleurs lancé un programme d’évaluation pour déterminer les solutions exemptées de consentement.
D’autres procédures de mises en demeure ont été engagées par la CNIL à l’encontre de gestionnaires de sites utilisant Google Analytics. L’enquête de la CNIL et de ses homologues s’étend également à d’autres outils utilisés par des sites et qui donnent lieu à des transferts de données d’internautes européens vers les États-Unis. Des mesures correctrices à ce sujet pourraient être adoptées prochainement.
Cette décision intervient après des décisions similaires rendues par les CNIL autrichienne et hollandaise. Comme le site nextinpact.com le précise, l’association Interhop a par ailleurs elle-aussi saisi la CNIL d’une réclamation identique, en dénonçant l’usage de Google Analytics par les acteurs de l’e-santé. Elle demande « d’analyser les conséquences de la jurisprudence Schrems II sur l’utilisation du service Google Analytics concernant l’ensemble des acteurs de la e-santé » et « de stopper les traitements qui s’avèreraient illégaux ». Elle identifie plusieurs sites très populaires de l’e-santé comme Recare, Qare, HelloCare, Alan, Therapixel, Implicity, Medaviz, Medadom, KelDoc et Maiia.
Les implications des différentes condamnations en Europe de Google Analytics sont annoncées comme vertigineuses dans la mesure où Google Analytics est très largement utilisé, du fait notamment de sa gratuité, par des dizaines de millions de sites Web, soit plus de 80 % du marché mondial.
La vice-présidente Monde « Éthique numérique et IA responsable » d’Ikea Retail, Nozha Boujemaa, invoquait dans le Monde en date du 9 février 2022 l’effet « domino » des décisions ainsi rendues sur l’usage des services Cloud américains comme ceux d’Amazon, Meta, Google et Microsoft. Elle soulignait « la nécessité pour l’Europe d’avoir des instruments européens alternatifs », ce qui pour l’instant n’est pas encore le cas même si des acteurs comme OVHCloud ou Scaleway émergent. Elle y nourrissait en conclusion « l’espoir que la présidence française de l’UE puisse accélérer cet objectif, d’autant que la souveraineté numérique en est une priorité ». Meta a menacé récemment de se retirer d’Europe, les décisions des CNIL européennes vont sans doute produire une réflexion similaire chez les Big tech impactées. Ont-elles cependant les moyens de le faire ?