Au Danemark, l’équivalent de notre CNIL s’est interrogé sur la conformité RGPD de la suite Google Workspace (l’ensemble des applications auxquelles vous avez accès depuis votre navigateur, une fois que vous êtes connecté sur votre messagerie gMail par exemple).

De nombreuses écoles danoises utilisent des Chromebook et la suite Google Workspace pour l’Éducation (édition Standard). Or, c’est la plainte d’un parent d’élève d’Elseneur qui a déclenché toute une série de réactions, notamment de la part de la municipalité qui gère l’école en question).

Selon le site SILICON, la CNIL danoise a imposé à Google une revue en détail de ses activités de traitement. Ce qui a permis de révéler des non-conformités RGPD. C’est du moins l’avis de l’autorité locale.

C’est notamment un risque d’exploitation de données personnelles, et surtout dans le cas de personnes mineures, par Google USA ou d’autres sociétés qui pose problème, même s’il semble que cela ne puisse survenir que dans le cadre d’opérations d’assistance.

La CNIL danoise a ordonné à la municipalité d’Elseneur de suspendre l’utilisation de Google Workspace le temps que Google se mette en règle.

Les autorités danoises enquêtent sur d’autres villes qui utilisent également Google Workspace.

Un cas à prendre en compte pour les entreprises françaises…

AVAST, l’antivirus gratuit installé sur plus de 400 millions d’ordinateurs est-il conforme au RGPD ?

On peut également se poser la question pour un autre antivirus gratuit, AVG, qui est aussi propriété d’AVAST.

En effet, AVAST revend les données de ses utilisateurs.

Si AVAST enregistre, entre autres, les données de navigation, son PDG assure que ces informations sont anonymisées avant d’être vendues :

« Avant d’arriver sur les serveurs d’AVAST, les données sont débarrassées de tout ce qui pourrait dévoiler l’identité d’une personne, comme un nom dans une URL ou le moment de connexion à Facebook. [] Nous n’autorisons absolument pas les annonceurs ou toute autre tierce partie à accéder à Avast ou à quelconque donnée qui pourrait permettre à ceux-ci de cibler des personnes en particulier ».

On peut néanmoins douter de cette affirmation car selon plusieurs spécialistes de cybersécurité de telles données anonymes facilement peuvent être associées à une seule personne.

AVAST a déclaré qu’elle se conformait au RGPD européen et au California Consumer Privacy, tout en renvoyant les utilisateurs à sa politique de confidentialité pour plus d’informations. On est prié de les accepter sans broncher…

En Décembre 2019, Mozilla (Firefox) et Opera ont supprimé AVAST et AVG de leurs catalogues d’extensions car celles-ci collectaient « discrètement » les historiques de navigations des utilisateurs.

Le RGPD précise qu’une donnée personnelle est une information qui permet d’identifier directement ou indirectement une personne. Or, les données de navigation permettent d’identifier une personne. Une étude menée en 2017 par une équipe de recherche de l’Université Stanford l’a d’ailleurs amplement démontrée.

Si vous utilisez AVAST (c’est notre cas chez AGICIEL), que faire ?

Désactivez le partage des données avec des tiers comme indiqué ci-dessous (vous pouvez laisser le partage des informations sur les menaces).

Vous pouvez aussi, éventuellement, désactiver AVAST dans votre navigateur.

Le cas échéant, vous avez la possibilité de changer d’antivirus…

Sources :
https://www.lesnumeriques.com/appli-logiciel/vente-de-donnees-personnelles-avast-dans-le-viseur-n146543.html
https://www.lemondeinformatique.fr/actualites/lire-ventes-de-donnees-clients-les-antivirus-gratuits-avast-et-avg-sur-la-sellette-77878.html

Rappel : le RGPD est applicable dans toute l’Union Européenne, et même au-delà si cela concerne des citoyens européens.

Depuis Décembre 2019, de nombreux français reçoivent depuis la Belgique des appels sans correspondant.

Ces appels sans correspondant sont des « appels-ping« . Générés automatiquement par robot d’appels, ils sont destinés à valider les numéros de téléphone qui décrochent et qui raccrochent; cela permet de savoir que c’est un humain qui a décroché…
Les sociétés qui génèrent ces appels vendent ensuite, fort cher, des listes de numéros de téléphone vérifiés.

Plusieurs solutions pour vous :

1. Vous décrochez, et si personne ne s’annonce, attendez que votre correspondant raccroche. Cette méthode vous permet d’éviter de rater un appel et de faire croire au robot appelant que vous être un répondeur…
2. Vous bloquez systématiquement les appels en provenance de la Belgique. C’est efficace, mais c’est dommage de blacklister les belges (blacklister les wallons est pour moi une hérésie, mais ce n’est que mon avis…)
3. Vous contactez le site belge « Ne m’appelez plus ». S’il est impossible pour un français de s’enregistrer sur le site, en revanche, un email à info@dncm.be vous permettra d’être sur la liste des numéros bloqués.

Vous pouvez aussi contacter l’ambassade de Belgique à Paris (Paris@diplobel.fed.be) pour les mettre au courant. Il faut reconnaitre qu’ils sont réactifs et qu’ils suivent les dossiers.

Pour information, voici la liste des numéros ayant contacté l’un de nos téléphones (1ère quinzaine de Janvier 2020) :
– 2 100 24 15
– 2 287 80 38
– 2 424 34 20
– 2 122 96 76
– 2 720 83 15
– 2 635 12 81
– 2 354 45 62
– 2 209 87 23
– 2 405 37 43
– 2 094 85 85

Rappel : le RGPD est applicable dans toute l’Union Européenne, et même au-delà si celà concerne des citoyens européens.

Le RGPD est maintenant connu de la plupart des acteurs du numérique avec ses principes :

• Confirmation des principes clefs et des conditions de licéité des traitements
• Renforcement des droits des personnes et des obligations des entreprises et organismes amenés à traiter des données personnelles
• Renforcement significatif des sanctions avec des amendes allant jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires mondial

Depuis l’entrée en vigueur du RGPD en Mai 2018, la CNIL a rendu de nombreuses décisions de mise en demeure ou de sanction.

• Les manquements aux obligations de sécurité des données ont été particulièrement sanctionnés (souvent plusieurs centaines de milliers d’Euros !).
• Le non-respect ou le détournement des finalités ont également donné lieu à des sanctions financières importantes.

Plusieurs entreprises (dont certaines internationales comme Google) ont du débourser des sommes extrêmement importantes (jusqu’à 50 millions d’Euros !!!) à cause du non respect du RGPD concernant l’obligation d’information des utilisateurs et/ou les conditions d’obtention du consentement des personnes.

Cette 1ère année d’application du RGPD a été pour la plupart des entreprises l’année de la mise en conformité.
Les relations avec les sous-traitants ont souvent été un problème complexe, notamment à cause de l’article 28 du RGPD.

La stratégie de contrôle de la CNIL pour 2019-2020

La CNIL a indiqué souhaiter concentrer ses contrôles principalement autour de trois thématiques :

• Le respect du droit des personnes : information, droits d’accès, de rectification, d’effacement, droit à la limitation des traitements, droit d’opposition, droit à la portabilité des données
• Le traitement des droits des mineurs, notamment concernant la publication de contenus sur les réseaux sociaux pour lesquels la CNIL reçoit de nombreuses plaintes
• La répartition des responsabilités entre responsables de traitement et sous-traitants, notamment l’existence et le respect du contrat de sous-traitance

Concernant les modalités opérationnelles de recueil du consentement, la CNIL proposera fin 2019 de nouvelles recommandations. Les entreprises disposeront d’une période d’un an pour les appliquer.

La phase de mise en application du RGPD étant achevée, la CNIL annonce désormais qu’elle adoptera une démarche volontariste de contrôle du respect du RGPD.

Pour les différents acteurs concernés, entreprises, organismes publics et associations, qui n’ont pas encore mis en œuvre le RGPD, il devient impérativement prendre immédiatement le sujet à bras le corps.

Que faire si vous n’êtes pas en conformité RGPD ?

Une seule recommandation : Faites-vous aider par un professionnel⁽¹⁾ !
S’il est possible de se mettre seul en conformité RGPD, l’expérience démontre que les résultats sont très loin d’être satisfaisants.
Les entreprises n’ont pas le temps de s’intéresser aux subtilités du RGPD et la plupart du temps, elles pensent avoir rempli leurs obligations alors qu’elles se sont contentées uniquement d’informer leurs salariés.
En cas de contrôle, la note peut s’avérer salée !!!

Seul un professionnel du RGPD pourra vous accompagner et vous apporter toute son expertise.

Un petit clic valant mieux qu’une grosse amende, si vous n’êtes conforme ou si vous n’êtes pas sûr d’être conforme, contactez-nous !

⁽¹⁾ Parce que nous avons vu des cas « problématiques », nous vous déconseillons d’avoir recours à un cabinet d’avocats ou d’experts-comptables, hormis si celui-ci est VRAIMENT spécialisé dans le RGPD…