CNIL : Comprendre les grands principes de la cryptologie et du chiffrement

Publié le 03/11/2016

Historiquement, la cryptologie correspond à la science du secret, c'est-à-dire au chiffrement. Aujourd'hui, elle s’est élargie au fait de prouver qui est l'auteur d'un message et s'il a été modifié ou non, grâce aux signatures numériques et aux fonctions de hachage.
Element incontournable de la securité informatique, la CNIL en propose une explication simple et vous exposant ce que c'est et à quoi ça sert.

CNIL : Le premier label Coffre-Fort Numérique a été délivré

Publié le 27/09/2016

Annoncé depuis février 2014, la CNIL décerne enfin son premier label « coffre-fort numérique », label qui garantit "un haut niveau de sécurité et de qualité en matière de stockage de données".

Le label coffre-fort numérique décerné par la CNIL atteste d’un service de qualité, respectueux de l’intégrité, de la disponibilité et de la confidentialité des données qui y sont stockées par les particuliers ou les professionnels.
Ce premier label a été délivré à la société CECURITY.COM en sa double qualité d’opérateur et de fournisseur de service de coffre-fort numérique : en effet, cette société assure à la fois le fonctionnement opérationnel du système et sa vente directement auprès des utilisateurs, particuliers et professionnels. Cecurity.com dispose par ailleurs de la certification NF Logiciel, composant coffre-fort numérique de l'Afnor ainsi que du label coffre-fort électronique de la fédération des tiers de confiance ainsi que celle de l'ANSSI, CSPN. La société compte parmi ses clients PSA Banque (signature électronique et coffre-fort numérique), Stime Les Mousquetaires (dématérialisation fiscale des factures), Infogreffe.fr (notification sécurisée des décisions de justice), Vosgelis (coffre-fort électronique communicant)...

Et en plus, le prix d'appel de la solution cecurCrypt est à 10€ par an!

Consulter l'article complet sur le site de la CNIL
Acceder directement au site de Cecurity.

CNIL : Fichiers clients-prospects et vente en ligne : mise à jour de la norme simplifiée n° NS-048

Publié le 22/09/2016

Pour tenir compte de la nouvelle liste d’opposition au démarchage téléphonique, la norme simplifiée NS-048 a été modifiée. D’autres précisions sont apportées en matière de cookies, de données liées à la carte de paiement et de durées de conservation

La norme simplifiée NS-048 est un cadre de référence pour les traitements de données personnelles en matière de gestion des clients et des prospects.
Les organismes qui se conforment à ce cadre bénéficient de formalités allégées auprès de la CNIL (déclaration simplifiée).
Depuis juin 2016, les organismes doivent soumettre leurs fichiers de prospection à Bloctel. Pour tenir compte de ces nouvelles obligations fixées par le code de la consommation, une finalité et un nouveau destinataire ont été ajoutés à la norme. L’article 6 de la norme, contenant les règles applicables en matière de prospection, a également été complété.

Consulter l'article complet sur le site de la CNIL
Acceder directement à la norme simplifiée.

Données Personnelles: Adoption du Privacy Shield par la Commission européenne

Publié le 13/07/2016

La Commission européenne a adopté le successeur du Safe Harbor, invalidé par la justice européenne. Le bouclier Vie Privée ou Privacy Shield est un accord juridique destiné à encadrer et donc autoriser le transfert de données personnelles vers l'autre côté de l'Atlantique, là où les géants du Net ont leurs datacenters

Conformément à l’article 25(2) de la Directive 95/46/EC, la Commission européenne a adopté le 12 juillet 2016 une décision d’adéquation visant à reconnaitre au mécanisme « EU-U.S. Privacy Shield » un niveau de protection « essentiellement équivalent » aux exigences européennes.
Elle crée un nouveau cadre pour les échanges de données entre l’Union européenne et les Etats-Unis, après l’invalidation de la décision « Safe Harbour » par la Cour de Justice de l’Union Européenne le 6 Octobre 2015. Elle aura pour effet d’autoriser les transferts de données à caractère personnel depuis l’Union européenne vers les entreprises établies aux Etats-Unis utilisant ce dispositif.
La décision « Privacy Shield » entrera en vigueur à compter de sa notification à chacun des Etats membres de l’Union européenne et sera contraignante pour ceux-ci. L’applicabilité de ce cadre juridique aux entreprises concernées sera ensuite subordonnée à l’enregistrement de celles-ci auprès des autorités américaines en charge de la mise en œuvre du dispositif.

Or, de nombreuses voix s'élèvent déjà pour critiquer ce texte qui, loin des autocongratulations de la commission Européennes, ne réponds pas nécessairement aux attentes réelles. Consulter à ce sujet le message de Maximilien Schrems ou la position de la quadrature du NET.

Informatique et Libertés : suis-je concerné ?

Publié le 31/03/2016

Les questions à se poser afin de déterminer si la loi informatique et libertés s'applique à votre cas.

Suis-je en présence de données personnelles ?

"Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne..." Article 2 de la loi Informatique et Libertés

"Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction." Article 2 de la loi Informatique et Libertés

"La présente loi s’applique aux traitements automatisés de données à caractère personnel, ainsi qu’aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers, à l’exception des traitements mis en oeuvre pour l’exercice d’activités exclusivement personnelles." Article 2 de la loi Informatique et Libertés

"Le responsable d’un traitement de données à caractère personnel est la personne, l’autorité publique, le service ou l’organisme qui détermine ses finalités et ses moyens." Article 3 de la loi Informatique et Libertés

"I. - Sont soumis à la présente loi les traitements de données à caractère personnel :
1° Dont le responsable est établi sur le territoire français. Le responsable d’un traitement qui exerce une activité sur le territoire français dans le cadre d’une installation, quelle que soit sa forme juridique, y est considéré comme établi ;
2° Dont le responsable, sans être établi sur le territoire français ou sur celui d’un autre État membre de la Communauté européenne, recourt à des moyens de traitement situés sur le territoire français, à l’exclusion des traitements qui ne sont utilisés qu’à des fins de transit sur ce territoire ou sur celui d’un autre État membre de la Communauté européenne.
II. - Pour les traitements mentionnés au 2° du I, le responsable désigne à la Commission nationale de l’informatique et des libertés un représentant établi sur le territoire français, qui se substitue à lui dans l’accomplissement des obligations prévues par la présente loi ; cette désignation ne fait pas obstacle aux actions qui pourraient être introduites contre lui." Article 5 de la loi Informatique et Libertés