Selon
deux avocats spécialisés dans la cybersécurité, la mise en place de la
RGPD rendrait l'accès à la base de données Whois beaucoup plus
compliqué, et entraverait sérieusement les possibilités offertes aux
forces de l'ordre pour avoir accès à ces informations et traquer les
cybercriminels.
Jusqu'à présent, lorsqu'un internaute souhaitait enregistrer un nom de
domaine, il se devait de communiquer certaines informations personnelles
concernant sa personne, informations qui étaient alors stockées au sein
d'une base de données appelée Whois. Cette base de données était
notamment exploitée par l'ICAAN (
Internet Corporation for Assigned Names and Numbers) qui pouvait alors, en cas de besoin, y accéder.
Mais dans certains pays, les propriétaires de domaine ont également la
possibilité de payer pour des services privés d'enregistrement de
domaine. Ne restait alors sur la base Whois que des informations
basiques telles que le nom du bureau d'enregistrement.
Un accès aux données désormais compliqué
Le nouveau règlement européen interdit désormais les bureaux
d'enregistrement de fournir les données personnelles des propriétaires
de nom de domaine sans leur consentement explicite, ce qui rend la base
de données Whois tout simplement inutile.
Malgré le fait que l'ICAAN était au courant depuis des années de la
future mise en place de la RGPD et des effets qu'elle aurait sur son
accès à sa base de données, l'organisme n'a semble-t-il pas souhaité
s'intéresser au problème jusqu'à maintenant, et semble ne se rendre
compte qu'aujourd'hui des complications que la réglementation entraîne.
Malgré l'infraction à la réglementation que cela représente désormais,
l'ICAAN a choisi de demander aux bureaux d'enregistrement de continuer
la collecte des données personnelles des propriétaires de noms de
domaines.
Un service devenu trop complexe pour les forces de l'ordre
Depuis ce 25 mai, date d'application du RGPD, l'accès aux données est
devenu plus compliqué. Les forces de l'ordre doivent désormais contacter
le bureau d'enregistrement du nom de domaine et demander l'accès aux
données Whois non publiques. Une tâche qui complique sérieusement le
travail des enquêteurs.
Andy Kays, directeur technique de Redscan s'est exprimé sur le sujet auprès de Help Net Security :
«
Le retrait public des informations personnelles du Whois, le système
utilisé pour stocker les données des utilisateurs enregistrant un
domaine de sites Web, rend sans aucun doute la vie des agences de
sécurité et d'application de la loi beaucoup plus difficile (...) Un
système d'accréditation qui vérifierait l'accès aux données personnelles
dans les dossiers Whois pour des groupes d'intérêts spéciaux tels que
la police, les chercheurs en sécurité et les journalistes serait
certainement le bienvenu et aiderait à répondre à ce problème. »
RGPD : appliquera, appliquera pas ?
La principale question à l'heure actuelle étant de savoir si les bureaux
d'enregistrement de domaine tiendront compte des spécifications
demandées par l'ICAAN, ou s'ils décideront de les ignorer. L'EPAG, par
exemple, bureau d'enregistrement en Allemagne, a déjà fait savoir qu'il
ne collecterait plus les données personnelles de ses utilisateurs
puisque la nouvelle réglementation européenne l'interdit.
En réponse, l'ICAAN a déposé une procédure d'injonction contre le bureau
d'enregistrement en question afin qu'un tribunal puisse statuer sur la
manière d'appliquer la RGPD dans cette affaire.
Si ces jours-ci, vous avez reçu des
salves d'emails vous demandant d'accepter les nouvelles politiques de
confidentialité de la part de sites en tous genres, c'est normal...
C'est la première conséquence du RGPD, ou Règlement Général sur la Protection des Données. Cette nouvelle loi européenne, bien accueillie par les pourfendeurs de Big Brother,
renforce les obligations des entreprises qui traitent vos données
privées. On vous explique ce qui va changer du côté des utilisateurs.
Le RGPD entre en vigueur le 25 mai 2018. Cette loi européenne renforce
le droit des internautes à la protection de leurs données privées. Les
entreprises qui collectent vos informations personnelles devront
désormais être totalement transparentes sur les traitements et leurs
objectifs.
Un barème de sanctions revu à la hausse
Le
RGPD ne suppose pas un bouleversement pour les
internautes français, le droit hexagonal étant déjà relativement poussé
sur le sujet. Cependant, il entraîne un certain nombre de changements
que vous avez peut-être déjà remarqués, quelle que soit la taille de
l'entreprise : des PME aux GAFAM, tous les acteurs du web sont concernés
par le RGPD.
Alors que la CNIL était parfois démunie face aux poids lourds du web, le RGPD va la doter d'
un arsenal de sanctions bien plus dissuasif.
Les amendes restent au coeur du système, mais elles passent de 300 000 €
(le maximum auparavant) à 20 millions d'euros, ou 4% du chiffre
d'affaire mondial de l'entreprise fautive - c'est le montant le plus
élevé qui sera choisi entre ces deux options.
De quoi faire remonter la problématique des données privées très haut dans les priorités des entreprises !
Ce que le RGPD va changer pour vous
1. Votre consentement prend du galon
Globalement, le RGPD accentue la responsabilité des entreprises. Selon l'article 5,
« les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ».
C'est au responsable du traitement de prouver qu'il dispose de
procédures adéquates et d'un registre des traitements en interne, sous
peine de s'exposer à des sanctions.
Le traitement doit aussi être réalisé après réception du consentement. Conséquence directe pour les internautes : ils vont
être sollicités par e-mail et sur les sites pour réaffirmer ce consentement, dès la mise en oeuvre du RGPD et au-delà.
2. Vous aurez le droit de disposer de vos données
Avec le RGPD, les internautes sont
plus que jamais maîtres de leurs données,
du moins dans les textes. Le droit de restitution confirme la
possibilité de recevoir l'intégralité de ses données personnelles pour
les consulter et les utiliser comme bon nous semble.
Il est assorti d'un droit à la portabilité, favorisant l'ouverture à la
concurrence : il implique que l'internaute peut faire passer toutes ses
données vers un site concurrent. A priori, il sera donc possible de
transférer tous ses emails ou ses données Facebook vers un opérateur
rival, directement de site à site.
Enfin, le RGPD détermine un statut spécial pour certaines données
sensibles, comme la religion ou l'orientation sexuelle : elle ne
pourront plus être traitées sans un consentement spécifique de
l'internaute.
3. La majorité numérique est fixée à 16 ans maximum en Europe
Le règlement européen fixe un âge limite, en dessous duquel
un internaute ne peut consentir au traitement de ses données sans la présence de ses parents. Cette majorité numérique ne peut pas dépasser 16 ans.
Cela dit, chaque pays reste libre de l'ajuster jusqu'à un minimum de 13
ans. En France, où elle est fixée à 15 ans, et ne devrait donc pas
bouger.
4. Vous serez informé en cas de faille de sécurité ou de piratage
En cas de piratage des données privées, les entreprises devront en
aviser les internautes à travers l'autorité compétente (en France, la
CNIL). Ce garde-fou ne s'applique que
si le piratage entraîne un risque élevé pour les droits et les libertés, une notion volontairement floue qui pourrait bien nécessiter un arbitrage devant les tribunaux.
5. Vous pourrez faire un recours en justice par actions collectives
Justement, le RGPD ouvre la porte aux actions collectives :
les associations de défense des libertés pourront recevoir mandat des internautes
pour attaquer en justice les entreprises ne respectant pas les
nouvelles dispositions. Cette voie légale vient pallier les capacités
limitées de la CNIL qui peine à faire appliquer les règlements à grande
échelle.
Cette mesure est un formidable levier d'action pour les associations, qui ne se sont pas fait attendre : la
Quadrature du Net a déjà prévu une procédure collective contre les GAFAM, lancée dès l'entrée en vigueur du RGPD.
Une mise en oeuvre attendue au tournant
Pour le reste, le RGPD ne fait que
confirmer des mesures déjà présentes en droit français,
comme l'obligation du consentement pour les cookies et les traceurs ou
le droit à l'effacement (qui entérine le droit à l'oubli, en vigueur
depuis 2014).
Si elle ne suppose pas de bouleversement pour les internautes, la nouvelle règlementation européenne est
néanmoins crainte par les entreprises
qui doivent désormais intégrer la protection des données à leurs
problématiques. Cependant, la CNIL assure qu'il n'y a pas matière à
s'affoler : entré en vigueur fin mai 2018, le RGPD est assorti d'
une période de tolérance d'environ un an, pendant laquelle le dialogue sera préféré aux sanctions.
Une fois l'état de grâce passé, difficile d'imaginer à quoi ressemblera
son application, les textes ressemblant plus à une liste de grands
principes qu'à des directives claires et précises. La possibilité
d'actions collectives (couplée au barème ambitieux des sanctions) devra
attendre la jurisprudence pour revêtir un pouvoir dissuasif face aux
poids lourds du web. Cette base légale est plus que jamais nécessaire
pour lutter contre les abus qui se multiplient, dans le sillage du
scandale Cambridge Analytica.
Quant à la CNIL, organe d'application du
Règlement Général de Protection des Données
pour la France, elle devra probablement (encore) changer d'envergure
pour se montrer à la hauteur de ces nouveaux pouvoirs. Avec 200 agents
(chiffres de 2017),
ses capacités opérationnelles semblent trop limitées pour peser sur les débats et garantir un droit à la protection des données que réclament encore trop peu les citoyens.
Quelques heures seulement après la mise en oeuvre du RGPD,
l’activiste a déposé une plainte contre Google et Facebook (incluant
Instagram et WhatsApp) devant la CNIL (Commission nationale de
l’informatique et des libertés) en France mais aussi dans d’autres pays
européens comme l’Allemagne, l’Autriche et la Belgique.
Dans un communiqué,
Max Schrems explique que
ces entités ne respectent pas règles du RGPD quant au processus de
collecte des données et le consentement de l'utilisateur. Au lieu de
demander en amont et de façon claire l’autorisation de l’internaute, les
groupes en question utilisent ce que Schrems appelle le consentement
forcé. Sous la menace de ne plus donner accès au service, les
utilisateurs doivent tout accepter. Le consentement obtenu n’en est pas
véritablement un.
« Facebook a même bloqué les comptes des utilisateurs qui n'ont
pas donné leur consentement. En fin de compte, ils ont seulement eu le
choix de supprimer le compte ou d'appuyer sur le bouton «accepter» - ce
n'est pas un choix libre, cela rappelle plutôt un processus électoral
nord-coréen. »
Si jamais ils sont reconnus coupables, ces
entreprises encourent une amende à hauteur de 4% de leur
chiffre d’affaires. Facebook, Instagram et WhatsApp
devraient ainsi
verser 1,3 milliard d’euros chacun et Google 3,7 milliards d’euros. Une
bien belle somme mais même si le dossier semble solide, la bataille sera
longue. Facebook et Google ont déjà riposté et il y a fort à parier
qu’il ne lâcheront pas si facilement.
Source : Help Net Security.
