noyb vient de porter plainte contre un site web et un courtier de données (« data broker ») qui ont failli à répondre à ses demandes de droits d'accès basés sur les données de leurs cookies de suivi.
« L'idée derrière ces plaintes est simple : si une entreprise peut utiliser un cookie pour suivre, profiler et m'envoyer de la publicité ciblée, pourquoi ne pourrais-je pas utiliser ce même cookie pour exercer mes droits RGPD ? », explique Stefano Rossetti, avocat spécialisé dans la protection des données chez noyb.
Or, plutôt que de répondre à ses demandes de droit d'accès, les organismes lui ont « demandé d'autres formes d'identification (telles que des détails personnels supplémentaires) ou ont complètement ignoré la demande ».
Commentaires (13)
La classique infondée de “vérifier” ton identité en te demandant des informations qu’ils n’ont pas déjà et ne peuvent donc recouper avec rien en interne pour vérifier que c’est toi.
Exactement.
Pour exercer ses droits, là ça passe.
Je me suis inscrit l’été dernier sur un site, mais mon profil n’a pas été validé car j’ai fourni une copie de ma CNI qui est périmée (renouvellement en cours). Sans cela, je ne peux pas utiliser les services du site.
Donc j’ai exercé mes droits et demandé que toutes mes infos persos sont supprimées. Réponse : “prouvez-nous votre identité avant”. Donc j’ai renvoyé la même copie de ma CNI périmée, celle qu’ils m’avait refusée 3 jours avant
Rien que le fait que ça soit un site avec inscription et donc espace membre signifie qu’ils n’ont pas à te demander d’autre preuve que le fait que tu puisses te connecter au compte (donc il est bien à toi) voire que tu possèdes bien l’adresse email associée (par ex en t’envoyant un email avec un lien de vérification).
Le site lui-même devrait avoir un bouton dans l’espace membre permettant de demander la suppression des données.
À première vue ça ne me choque pas qu’il y ait une différence entre l’identification technique d’une personne (cookie de suivi) et l’identification juridique d’une personne physique. Les droits RGPD sont à destination des personnes juridiquement identifiables comme personnes physiques ; mais certains sites accordent des accès à des bots, qui deviennent ainsi des personnes au sens technique.
Si on imagine une personne physique qui créerait un bot agissant sur un réseau social, par exemple pour poster automatiquement la météo tous les jours (ou la position d’un avion en particulier) : est-ce qu’il y a dans cette situation une personne physique à laquelle il faut garantir un droit d’accès à des données personnelles en rapport avec la personne technique du bot ?
A savoir que la communication d’une pièce d’identité ne doit être faite qu’en cas de dernier recours d’après les recommandations de la CNIL.
Mais oui l’exemple reste cocasse.
Une carte d’identité, même périmée, reste, en France, un justificatif d’identité valable
https://www.senat.fr/lc/lc118/lc1180.html
“même périmée, elle permet à son titulaire de justifier de son identité sur le territoire national, à condition que la photographie soit ressemblante.”
Pour le passeport, il reste un justificatif d’identité jusqu’à 2 ans après péremption.
D’après service-public.fr, ma CNI n’est plus valide.
https://www.service-public.fr/particuliers/vosdroits/F35005
Date de délivrance : 2007
Date de validité inscrite sur la carte : 2017
Nouvelle date [de validité] : 2022
Si vous êtes dans ce cas, même si la date de validité inscrite sur la carte est dépassée, vous pouvez continuer à l’utiliser pour toutes vos démarches en France pendant 5 ans.
=> Donc elle est bien périmée.
J’ai tendance à plutôt croire service-public.fr qui est plus souvent actualisé.
Oh mais il y a de l’idée ! Pour les cas pénibles ou le caviardage ne passe pas, fournir l’ancienne et leur mettre le texte de loi sous le nez.
Tu parles de quel texte de loi précisément ?
Ceux-cité par Jarodd
Réponse ministérielle du 3 décembre 2019 relative au prolongement automatique de la carte d’identité
Décret n°2013-1188 du 18 décembre 2013 : article 10 - Extension de la durée de la validité de la carte d’identité
Mais dans son cas, sa carte était bien périmée (+ de 5 ans après les 10 ans de la validité initiale de la CNI. Il le dit en #6.
Je pensais que tu avais un texte de loi indiquant que l’on pouvait toujours utiliser une CNI périmée pour prouver son identité à un tiers.
J’y pensais car j’ai renouvelé la mienne il y a moins de 4ans et j’ai toujours moult scans.
J’essaierai avec ces 2 textes si l’occasion se présente.
Oui bien sûr, je parle de demandes qui sont abusives à mes yeux (leboncoin, loueur, etc)
Il semble que pour l’entrée sur certains sites sensibles intéressants la défense nationale, la carte d’identité ou le passeport doivent être encore valides.