_Cela signifie que les délais sont 3 fois plus long, que la CNIL peut vous le refuser, et que le CIL n'a rien à voir là dedan puisqu'il ne concerne que les déclarations et non les demandes d'autorisation.
C'est le régime de formalité le plus lourd en fait…_
Surtout que si on prend l'interpretation de Thiébaut Devergranne (l'auteur du post qui a généré cette dépêche) il faut fair euen déclaration qui comprend un audit complet des traitements et de leur finalité donc
a) - Exit les IPS/IDS privateurs - A moins qu'ils rendent public l'ensemble des traitements qu'ils effectuent et qu'ils expliquent la finalité de chacun d'eux, on a pas moyen de replir convenablement la demande CNIL.
b) - Exit aussi les les IPS/IDS libres - Ben oui, à chaque modification du traitement (donc à chaque mise à jour des règles ou des programmes d'analyse) il y a un nouvel audit suivit d'une nouvelle déclaration à faire à la CNIL. Pour qu'un IDS/IPS puisse fonctionner il faut donc que les règles et les programmes restent inchangées fonctionellement pendant 3 mois, le temps que la CNIL réponde.
c) - Exit Internet, en France tous les fournisseurs d'accès à destination du public (comprendre tout ce qui n'est pas un accès à un réseau intranet à l'intérieur d'une société ou d'un batiment) sont tenus de mettre en place et de maintenir des dispositifs de controle et de pouvoir fournir aux autorités compétentes tout un tas de données, dont l'adresse IP, permettant de caractériser certaines infractions (C'est bien monsieur Michu qui le 12 à 14h était connecté sur le port 5234 de megafermé.com). Les IPS et IDS étant tous interdit en vertu de a) et b) ils ne peuvent donc plus faire leur travail.
Je ne remet pas en cause les compétences du monsieur, mais je le trouve bien définitf sur un bon nombre de sujets sur lesquels la cour de cassation et les hautes instances juridiques européennes ont du mal à se mettre d'accord. Surtout que, une fois de plus, si il a raison nous sommes bon pour débrancher l'internet francais.
En plus des problèmes similaires se posent déjà dans des cadres comparables (par exemple un lieu ouvert au public placé sous vidéosurveillance) et que les cas complexes ne nécessitent cependant rien de plus qu'une déclaration CNIL, même si le but second de toute vidéo surveillance est d'aider à la caractérisation d'infraction (le but premier étant la dissuasion)
Il est possible que nous ayons à faire à une nouvelle loi schizophrénique, comme celle qui règne dans le millieu bancaire (Pour rappel, en millieu bancaire il est à la fois obligatoire de surveiller l'ensemble des conversations des employés à des fins d'audit et de sécurité des clients - (ca fait mauvais genre quand un délit d'initié se perd dans la nature) - et également interdit de surveiller l'utilisation des moyens de communication mis à disposition par l'entreprise -( Tout employé ayant le droit d'utiliser lesdits moyens à des fins privées, donc confidentielles, dans la limite du raisonnable )).
Cependant pas mal de services mis en place dans le cadre de l'utilisation normale des communications électroniques sont dispensés de déclarations CNIL. C'est le cas par exemple des moyens ayant "pour finalité exclusive de permettre ou faciliter la communication par voie électronique". On peut considérer que ne pas se faire hacker le site violamment tous les quatre matins par des script-kiddies rentre dans ce cadre là.
A mon sens (de non juriste idiot et trollifère) il y a erreur d'interpretation dans la phrase "Dans les faits, ces systèmes vont donc traiter des données relatives à des infractions pénales", car ici les infractions ne sont pas caractérisées. De fait seul monsieur le juge (ou éventuellement un agent assermenté abilité à dresser une contravention et/ou un procès verbal) sont en mesure de caractériser l'infraction. Le problème se poserait donc surtout dans le cas d'une société qui veut utiliser les logs dans une action en justice, mais qui veut tout de même en conserver uen copie pour un usage interne.
[^] # Re: Je ne comprends pas
Posté par Kaane . En réponse à la dépêche Les IDS et les obligations CNIL. Évalué à 5.
_Cela signifie que les délais sont 3 fois plus long, que la CNIL peut vous le refuser, et que le CIL n'a rien à voir là dedan puisqu'il ne concerne que les déclarations et non les demandes d'autorisation.
C'est le régime de formalité le plus lourd en fait…_
Surtout que si on prend l'interpretation de Thiébaut Devergranne (l'auteur du post qui a généré cette dépêche) il faut fair euen déclaration qui comprend un audit complet des traitements et de leur finalité donc
a) - Exit les IPS/IDS privateurs - A moins qu'ils rendent public l'ensemble des traitements qu'ils effectuent et qu'ils expliquent la finalité de chacun d'eux, on a pas moyen de replir convenablement la demande CNIL.
b) - Exit aussi les les IPS/IDS libres - Ben oui, à chaque modification du traitement (donc à chaque mise à jour des règles ou des programmes d'analyse) il y a un nouvel audit suivit d'une nouvelle déclaration à faire à la CNIL. Pour qu'un IDS/IPS puisse fonctionner il faut donc que les règles et les programmes restent inchangées fonctionellement pendant 3 mois, le temps que la CNIL réponde.
c) - Exit Internet, en France tous les fournisseurs d'accès à destination du public (comprendre tout ce qui n'est pas un accès à un réseau intranet à l'intérieur d'une société ou d'un batiment) sont tenus de mettre en place et de maintenir des dispositifs de controle et de pouvoir fournir aux autorités compétentes tout un tas de données, dont l'adresse IP, permettant de caractériser certaines infractions (C'est bien monsieur Michu qui le 12 à 14h était connecté sur le port 5234 de megafermé.com). Les IPS et IDS étant tous interdit en vertu de a) et b) ils ne peuvent donc plus faire leur travail.
Je ne remet pas en cause les compétences du monsieur, mais je le trouve bien définitf sur un bon nombre de sujets sur lesquels la cour de cassation et les hautes instances juridiques européennes ont du mal à se mettre d'accord. Surtout que, une fois de plus, si il a raison nous sommes bon pour débrancher l'internet francais.
En plus des problèmes similaires se posent déjà dans des cadres comparables (par exemple un lieu ouvert au public placé sous vidéosurveillance) et que les cas complexes ne nécessitent cependant rien de plus qu'une déclaration CNIL, même si le but second de toute vidéo surveillance est d'aider à la caractérisation d'infraction (le but premier étant la dissuasion)
Il est possible que nous ayons à faire à une nouvelle loi schizophrénique, comme celle qui règne dans le millieu bancaire (Pour rappel, en millieu bancaire il est à la fois obligatoire de surveiller l'ensemble des conversations des employés à des fins d'audit et de sécurité des clients - (ca fait mauvais genre quand un délit d'initié se perd dans la nature) - et également interdit de surveiller l'utilisation des moyens de communication mis à disposition par l'entreprise -( Tout employé ayant le droit d'utiliser lesdits moyens à des fins privées, donc confidentielles, dans la limite du raisonnable )).
Cependant pas mal de services mis en place dans le cadre de l'utilisation normale des communications électroniques sont dispensés de déclarations CNIL. C'est le cas par exemple des moyens ayant "pour finalité exclusive de permettre ou faciliter la communication par voie électronique". On peut considérer que ne pas se faire hacker le site violamment tous les quatre matins par des script-kiddies rentre dans ce cadre là.
A mon sens (de non juriste idiot et trollifère) il y a erreur d'interpretation dans la phrase "Dans les faits, ces systèmes vont donc traiter des données relatives à des infractions pénales", car ici les infractions ne sont pas caractérisées. De fait seul monsieur le juge (ou éventuellement un agent assermenté abilité à dresser une contravention et/ou un procès verbal) sont en mesure de caractériser l'infraction. Le problème se poserait donc surtout dans le cas d'une société qui veut utiliser les logs dans une action en justice, mais qui veut tout de même en conserver uen copie pour un usage interne.