Lors de l’examen du projet de loi sur la consommation, la CNIL s’est vue armer de nouvelles capacités d’enquêtes, notamment dans le cadre d’une fuite de données personnelles. Elle pourra ainsi mettre son nez dans des serveurs en ligne, sans pouvoir être accusée de piratage. Explications.
Une disposition a été ajoutée par les députés dans le projet de loi sur la Consommation. Elle vient modifier la loi Informatique et Libertés de 1978 pour doter les agents de la CNIL de nouvelles capacités dans leurs enquêtes.
À ce jour, quand une fuite de données personnelles est soupçonnée chez un opérateur, comme ce fut le cas chez TMG le prestataire des ayants droit pour Hadopi, les membres et les agents de la CNIL peuvent se voir délivrer tous documents utiles. Ils peuvent se rendre sur place ou convoquer les responsables du traitement ou encore « accéder aux programmes informatiques et aux données » etc. Toutes ces opérations se font contradictoirement comme le spécifie l’article 44 de la loi de 1978.
Une disposition du projet de loi sur la consommation va muscler considérablement ses pouvoirs. En plus des contrôles sur place, elle autorise ses membres à faire des constats en ligne. « Ils peuvent notamment, à partir d’un service de communication au public en ligne, consulter les données librement accessibles » explique l’article 48 du projet de loi Consommation, déjà voté par les députés.
Constatation et piratage informatique
Le texte est généreux puisqu’il autorise la CNIL à scruter toutes les données, mêmes celles « rendues accessibles, y compris par imprudence, par négligence ou par le fait d’un tiers, le cas échéant en accédant et en se maintenant dans des systèmes de traitement automatisé de données le temps nécessaire aux constatations ». En clair, en cas de problème de cookies ou de fuite de données personnelles en ligne, la CNIL sera autorisée à mettre son nez même au plus profond des serveurs non sécurisés pour y effectuer les constats qui s’imposent. Le tout, à distance.
Une fois dans ces serveurs, les agents de la CNIL pourront « retranscrire les données par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle». Ces mesures se font alors sans contradictoire, lequel n’est réservé qu’aux vérifications et visites effectuées sur place ou sur convocation.
Obligation de notifier les failles de sécurité
Cet ajout par les députés intervient au moment même où est publié un règlement européen important en matière de sécurité. Programmé pour le 25 août prochain, le texte oblige les responsables de traitement à notifier les violations de données à caractère personnel aux CNIL nationales. Cette alerte doit intervenir si possible dans les 24 heures. Dans les cas les plus graves (risque de vol, d’usurpation d’identité, d’atteinte à l’intégrité physique, etc.) le particulier doit lui-même être informé sauf… si le responsable de traitement a colmaté la brèche avec des mesures de protection appropriées.
Dans tous les cas, les pouvoirs accordés à la CNIL dans le projet de loi Consommation s’imbriqueront parfaitement avec cette obligation de notification ou pour constater les brèches d’une entreprise installée hors Union Européenne, par exemple.
Commentaires (14)
J’ai du louper un épisode, quand les données personnelles sont “à l’air libre” sur google ou autre, ce n’est pourtant ni du piratage, ni une intrusion, donc qu’est ce qui change ?
" />
Pour l’instant il n’y a pas de jurisprudence à ce sujet, donc accéder à un serveur non sécurisé à cause d’une erreur, mais qui était configuré pour, est potentiellement condanable.
J’vois mal un juge rendre une décision dans ce sens, mais y a des entreprises qui ont essayé d’attaquer la dessus (avant de se rétracter), donc je suppose que le gouvernement blinde la CNIL pour qu’elle fasse son boulot sereinement.
“la CNIL s’est vue armée”
J’ai comme un doute sur l’orthographe là ! Lol
Mouarf.
J’attends qu’ils accèdent au serveurs Google/FB aux US XD
La CNIL sera autorisé à rentrer dans les serveurs privés ou publics pour constater une intrusion possible, le temps nécessaire pour la constatation et … et de traités les dites données, WAOOOUH !
" />
Il s’agit d’une carte blanche au piratage d’état ?
Il n’avait pas parlé de regrouper CNIL et CSADOPI ?
CNIL + CSADOPI = Méga structure de surveillance du net avec autorisation d’intrusion donc de piratage des vils pirates du net.
Dites cette loi sur ce piratage légal peut être détourné de sa vocation première (s’il y en avait une) ?
Ben c’est cool, ça te fait un audit de sécurité aux frais du contribuable. C’est sympa non?
" />