L'employeur a le droit de déchiffrer les paquets mais ne peut pas lire le contenu.
Si, il peut. Le principe de n'importe quel antivirus, de flux ou de fichier, ou même d'une solution de DLP, c'est de s'intéresser au contenu et pas juste aux métadonnées ; solutions qui à ma connaissance ne sont pas interdites en France. Il faut juste que ce soit écrit et (réputé) connu du salarié.
Il faut prévenir avant.
Oui. Mais attention, le coup de la signature obligatoire de la charte, c'est un coup oui, un coup non. Dans certains cas l'annexion au règlement intérieur peut suffire (c'est ce que m'avait indiqué le cabinet d'avocats dans mon ancienne boîte)
Il faut informer du pourquoi.
Oui, mais il ne faut pas oublier qu'à ton niveau c'est une information, pas une négociation. T'as le droit de ne pas être d'accord, tout comme l'employeur n'est pas tenu de te fournir l'internet.
Il faut informer sur le temps de rétention des données (pour la CNIL, c'est 6 mois max)
Non, la CNIL dit qu'une durée de l'ordre de 6 mois est généralement suffisante, pas que c'est le max. C'est écrit ici. Dans le cas où ça peut être aussi utilisé en réponse à incident, on peut très bien vendre un an.
On doit pouvoir consulter les procédures d’accès à ces données
Individuellement, à ma connaissance, tu n'as aucune base de droit pour ça. Pas plus que tu n'as le droit de consulter les procédures de Facebook pour t'assurer que tes données sont secure. L'autorité de contrôle, par contre, oui.
L'ANSSI est assez frileuse sur le sujet.
C'est surtout pas vraiment son sujet et ils ont d'autres chats à fouetter.
Dans la note technique de l'Agence pointée plus bas, il y a un élément qui va dans le sens du journal : la R22 avec l'exemple des banques. Cependant c'est toujours une histoire de bénéfice/risque. A priori, je serai enclin à ne pas intercepter le trafic vers paypal ou la BNP, par contre ne pas le faire avec le webmail d'Octave serait suicidaire. Donc c'est pas une généralité. Dans ce cas, je préfère bosser un peu avec le fournisseur pour mon registre de traitements gédépéhère.
(la R4 avec le gag sur l'IGC/A me fait hurler de rire)
[^] # Re: Legal sous certaine conditions
Posté par oinkoink_daotter . En réponse au journal Légalité de l'interception du flux SSL au sein d'une entreprise. Évalué à 3.
Si, il peut. Le principe de n'importe quel antivirus, de flux ou de fichier, ou même d'une solution de DLP, c'est de s'intéresser au contenu et pas juste aux métadonnées ; solutions qui à ma connaissance ne sont pas interdites en France. Il faut juste que ce soit écrit et (réputé) connu du salarié.
Oui. Mais attention, le coup de la signature obligatoire de la charte, c'est un coup oui, un coup non. Dans certains cas l'annexion au règlement intérieur peut suffire (c'est ce que m'avait indiqué le cabinet d'avocats dans mon ancienne boîte)
Oui, mais il ne faut pas oublier qu'à ton niveau c'est une information, pas une négociation. T'as le droit de ne pas être d'accord, tout comme l'employeur n'est pas tenu de te fournir l'internet.
Non, la CNIL dit qu'une durée de l'ordre de 6 mois est généralement suffisante, pas que c'est le max. C'est écrit ici. Dans le cas où ça peut être aussi utilisé en réponse à incident, on peut très bien vendre un an.
Individuellement, à ma connaissance, tu n'as aucune base de droit pour ça. Pas plus que tu n'as le droit de consulter les procédures de Facebook pour t'assurer que tes données sont secure. L'autorité de contrôle, par contre, oui.
C'est surtout pas vraiment son sujet et ils ont d'autres chats à fouetter.
Dans la note technique de l'Agence pointée plus bas, il y a un élément qui va dans le sens du journal : la R22 avec l'exemple des banques. Cependant c'est toujours une histoire de bénéfice/risque. A priori, je serai enclin à ne pas intercepter le trafic vers paypal ou la BNP, par contre ne pas le faire avec le webmail d'Octave serait suicidaire. Donc c'est pas une généralité. Dans ce cas, je préfère bosser un peu avec le fournisseur pour mon registre de traitements gédépéhère.
(la R4 avec le gag sur l'IGC/A me fait hurler de rire)