La seule précaution que demande ici la CNIL est de ne pas déchiffrer la connexion vers ta banque (en gros) et de ne rien logguer.
C'est donné beaucoup de crédit à la CNIL que de lire ce texte comme ça.
La CNIL dit qu'elle attire l'attention sur "le fait que l’URL complète, accessible lors d’un déchiffrement HTTPS, est susceptible de donner accès à des données à caractère personnel".
Comme dit dans mon commentaire, c'est l'IP dans les logs (et l'implication que la personne qui va lire les logs peut retrouver le poste et donc une personne) qui fait qu'il y a des "données à caractère personnel" vu que savoir qui a été ou, c'est une donnée sur une personne, c'est la définition même. Ça n'est pas l'URL qui fait que ç'est personnel, donc c'est trompeur.
Et même si la CNIL voulait dire "des données à caractère sensible", ça serait trompeur car oui, l'URL complète est sensible, mais pas à cause du reste de l'URL, mais aussi à cause du nom d'hôte, cf mon exemple de Grindr ou du syndicat, c'est aussi trompeur.
Et c'est pas le seul passage mal rédigé.
Plus tôt dans le document, la CNIL dit qu'"il faut faire une AIPD" quand 2 critères sur 4 sont remplis. Sauf que dans le cadre classique du travail qui est le sujet du document comme dit au début, ("employeurs publics ou privés"), mais aussi dans le reste du document qui mentionne "activité des salariés", "Attribuer un profil aux employés", "ensemble des employés" p3, et 'politique d’entreprise" p2, tu as 1 critère rempli de base, vu que "personne vulnérable", comme le rappelle la note de bas page, ça compte les employés (je peux même donner le document exact qui en parle, §21, page 10). Donc déjà, ça, ç'est pas clair et qu'en général, c'est fait ça de façon systématique (genre sur tout le monde dans la boite), et comme j'ai dit, un nom d’hôte peut être une donnée sensible, donc sans doute 3 critères sur 4 dans la configuration classique d'un proxy classique. Donc tout le passage est trompeur.
Il serait sans doute plus opportun de dire qu'il faut sans doute faire un AIPD tout le temps, sauf exception, et indiquer quelles exceptions, parce que la, quelqu'un qui ne connaît pas toute la jurisprudence européenne pourrait croire que seules les violations les plus flagrantes sont un souci, alors que non, ça n'est pas ce que les textes disent.
Et c'est en voyant ce genre d'imprécision que je comprends comment la CNIL se retrouve à se faire taper sur les doigts par la CJUE. Car dans l'affaire en question, il n'y a pas eu de demande préjudicielle de sa part comme la plupart du temps (quand une APD n'est pas sure, elle peut passer l'affaire à "plus haut", comme l'a fait le Conseil d'État quand ça a été escaladé à son niveau après le refus de la CNIL).
Ici la CNIL a refusé de regarder la demande alors que ça concernait un principe de base du RGPD, à savoir la minimisation des données. Et la SNCF a filé des excuses tellement pourries qu'on pourrait les mettre sur le marché comme fromage AOC de l'Aveyron.
Les 2 arguments principaux de la SNCF, c’était quand même: "On a besoin de toujours demander, car on offre certains trains de nuit non mixtes" et "On a besoin de ça parce qu'on sait pas comment faire des mails respectueux sans ça, c'est pour l'image de marque".
Dans ses conclusions, l'avocat général a pointé à juste titre que SNCF Connect envoie parfois des mails sans Mr/Mme (§49), et qu'il suffit de demander uniquement pour les trains non mixtes (§51).
C'était pas de la haute voltige juridique que de montrer la mauvaise foi de la SNCF sur ce sujet, mais pour ça, faut regarder les plaintes, ce que la CNIL ne semble pas faire de façon routinière (comme d'autres DPAs en Europe), sans doute parce qu'on leur file pas de moyens. C'est bien joli de faire plus de lois tout le temps, mais il faut aussi plus de moyen à la justice.
[^] # Re: Organisations plutôt qu'entreprises
Posté par Misc (site web personnel) . En réponse au lien La CNIL publie une recommandation sur les proxys http(s) (avec cassage du chiffrement) dans les entreprises. Évalué à 6.
C'est donné beaucoup de crédit à la CNIL que de lire ce texte comme ça.
La CNIL dit qu'elle attire l'attention sur "le fait que l’URL complète, accessible lors d’un déchiffrement HTTPS, est susceptible de donner accès à des données à caractère personnel".
Comme dit dans mon commentaire, c'est l'IP dans les logs (et l'implication que la personne qui va lire les logs peut retrouver le poste et donc une personne) qui fait qu'il y a des "données à caractère personnel" vu que savoir qui a été ou, c'est une donnée sur une personne, c'est la définition même. Ça n'est pas l'URL qui fait que ç'est personnel, donc c'est trompeur.
Et même si la CNIL voulait dire "des données à caractère sensible", ça serait trompeur car oui, l'URL complète est sensible, mais pas à cause du reste de l'URL, mais aussi à cause du nom d'hôte, cf mon exemple de Grindr ou du syndicat, c'est aussi trompeur.
Et c'est pas le seul passage mal rédigé.
Plus tôt dans le document, la CNIL dit qu'"il faut faire une AIPD" quand 2 critères sur 4 sont remplis. Sauf que dans le cadre classique du travail qui est le sujet du document comme dit au début, ("employeurs publics ou privés"), mais aussi dans le reste du document qui mentionne "activité des salariés", "Attribuer un profil aux employés", "ensemble des employés" p3, et 'politique d’entreprise" p2, tu as 1 critère rempli de base, vu que "personne vulnérable", comme le rappelle la note de bas page, ça compte les employés (je peux même donner le document exact qui en parle, §21, page 10). Donc déjà, ça, ç'est pas clair et qu'en général, c'est fait ça de façon systématique (genre sur tout le monde dans la boite), et comme j'ai dit, un nom d’hôte peut être une donnée sensible, donc sans doute 3 critères sur 4 dans la configuration classique d'un proxy classique. Donc tout le passage est trompeur.
Il serait sans doute plus opportun de dire qu'il faut sans doute faire un AIPD tout le temps, sauf exception, et indiquer quelles exceptions, parce que la, quelqu'un qui ne connaît pas toute la jurisprudence européenne pourrait croire que seules les violations les plus flagrantes sont un souci, alors que non, ça n'est pas ce que les textes disent.
Et c'est en voyant ce genre d'imprécision que je comprends comment la CNIL se retrouve à se faire taper sur les doigts par la CJUE. Car dans l'affaire en question, il n'y a pas eu de demande préjudicielle de sa part comme la plupart du temps (quand une APD n'est pas sure, elle peut passer l'affaire à "plus haut", comme l'a fait le Conseil d'État quand ça a été escaladé à son niveau après le refus de la CNIL).
Ici la CNIL a refusé de regarder la demande alors que ça concernait un principe de base du RGPD, à savoir la minimisation des données. Et la SNCF a filé des excuses tellement pourries qu'on pourrait les mettre sur le marché comme fromage AOC de l'Aveyron.
Les 2 arguments principaux de la SNCF, c’était quand même: "On a besoin de toujours demander, car on offre certains trains de nuit non mixtes" et "On a besoin de ça parce qu'on sait pas comment faire des mails respectueux sans ça, c'est pour l'image de marque".
Dans ses conclusions, l'avocat général a pointé à juste titre que SNCF Connect envoie parfois des mails sans Mr/Mme (§49), et qu'il suffit de demander uniquement pour les trains non mixtes (§51).
C'était pas de la haute voltige juridique que de montrer la mauvaise foi de la SNCF sur ce sujet, mais pour ça, faut regarder les plaintes, ce que la CNIL ne semble pas faire de façon routinière (comme d'autres DPAs en Europe), sans doute parce qu'on leur file pas de moyens. C'est bien joli de faire plus de lois tout le temps, mais il faut aussi plus de moyen à la justice.