Désactiver n’est pas si simple selon les cas. Exemple random sur Kaspersky : j’ai désactivé les options idoines (analyse du trafic HTTPS, analyse DOH, déchiffrer les certificats EV), et supprimé le certificat racine du PC : il est réinstallé par Kaspersky à chaque redémarrage du PC, et Firefox continue de me dire, sur certains sites (dont NXI) que le certificat provient de Kaspersky.

Et la question reste entière en entreprise, ce qui me donne des sueurs froides. Le processus global tel qu’il existe aujourd’hui est dévoyé donc il devient obsolète sur le terrain de la confidentialité des échanges.

De nombreux employeurs tolèrent l’usage personnel des PC & d’Internet sur le lieu de travail à condition qu’il reste modéré et légal. Idem en télétravail avec le PC de l’employeur, ce qui permet à des familles d’avoir un ordinateur à la maison. D’un autre côté, les smartphones n’ont rien de pratique pour accéder à des sites web toujours conçu pour des écrans de bureau avec de navigateurs de bureau.
Dans ce cadre, et quand tu passe 80% de ton temps “actif” d’une journée sur ton lieu de travail, c’est quand même pratique d’utiliser de temps à autre son ordinateur pro pour faire quelques tâches personnelles.

Là ça réduit à néant cette porte ouverte, tout du moins pour ceux qui s’intéressent de près à ces questions de confidentialité.

@fred42 : Je suis justement à la recherche du texte de loi qui stipulerait que l’employeur a l’obligation d’annoncer clairement la mise en place d’une telle surveillance… Si jamais tu sais où trouver ça, je prends. Légifrance n’est pas d’une grande aide quand on ne sait pas bien utiliser ses outils de recherche.

Et pour revenir à mon cas personnel avec Kaspersky, je suis d’accord avec ta conclusion et c’est bien la décision que j’ai pris. Je contact le support technique pour leur demander des explications et surtout la possibilité de virer “pour de vrai” cette fonctionnalité, si ce n’est pas possible je le dégage.

dylem29 a dit:

Eset est plutôt un acteur de confiance, je ne sais pas s’il vaut mieux laisser cette fonctionnalité ou la désactiver.

Kaspersky également. la plupart des antivirus peuvent être considérés comme des acteurs de confiance (encore heureux…). Mais ça n’enlève rien au fait que cette pratique est anormale.

Tu as tout à fait raison : dans la pratique ils ne doivent pas en faire grand chose. Par contre il se peut qu’une certaine portion des données soient stockées temporairement (quelques heures, jours, mois), ne serait-ce que pour des obligations légales ou pour se conformer à des normes (ISO, TL, ANSSI, etc.).

Et c’est à partir de ce moment que c’est AMHA dangereux : ce stockage devient une pierre angulaire de la chaîne de sécurité et devient de facto une cible privilégiée d’attaque et de vol de données. Que l’attaque vienne de l’extérieur, ou de l’intérieur. Un admin malintentionné, ça existe. Un admin qui fait une boulette sans mauvaise intention aussi (mot de passe du serveur faible, erreur de config du serveur le rendant accessible aux salariés ou sur Internet, etc.).

Je m’applique de plus en plus le précepte “si c’est perso, je le fais depuis un appareil que je maîtrise”, car je vois la dérive rapide et disproportionnée des SI de mon entreprise depuis 1 an. On ne va pas beaucoup se contredire ici car les abonnés NXI sont déjà un minimum informés de ces questions technico-légales.

Mais j’ai aussi un rôle collectif dans l’entreprise et je ne peux pas faire comme si de rien n’était. Je ne peux pas ne pas alerter les salariés qui n’ont pas toutes ces compétences, du danger que cette intrusion dans les communications privées représente.
Et pour eux, c’est beaucoup moins évident de renoncer à utiliser ponctuellement le PC du boulot pour ses affaires privées, comme je le disais dans un commentaire plus haut.

Les obligations du GDPR… ne sont contraignantes que si l’acteur se fait prendre la main dans le sac. Et la raison légitime qui peut être invoquée c’est bêtement la “protection du SI”. C’est pas si difficile vu les marges de manœuvre laissées aux acteurs de mettre un peu tout et n’importe quoi dans les motifs qui justifient les moyens. La notion de proportionnalité étant encore plus difficile à apprécier, ils vont être tranquille un bon moment.

Concernant l’hypothétique whitelist, ça semble plutôt basé sur du volontariat individuel : j’ai fait le test et il n’est pas concluant. Sites de banque ou de service public, le certificat est remplacé.

Bref je trouve la pratique détestable. Le minimum qu’il faut réclamer c’est une information claire et compréhensible de la mise en place de la mesure, à défaut de retirer cette brique technique. En fait le minimum c’est la base légale, et elle n’est même pas là… alors le GDPR…

Merci
J’avais cherché sur l’ANSSI mais pas la CNIL, je sais pas pourquoi…