Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia - 299

Nouvelle-Zélande : révision de la loi

sur les données personnelles
Le Privacy Act de 1993 de Nouvelle-Zélande vient de
faire l'objet d'une révision. Son champ d'application
a été étendu à toutes les organisations publiques

ou privées qui ont une activité en Nouvelle-Zélande,
même si une société n'y a pas de présence physique.
Le texte a introduit une obligation de notification des
atteintes aux données personnelles. Elle a aussi prévu
des restrictions aux transferts de données, imposant
que le pays d'accueil ait un niveau comparable
de protection.

IoT : enquête européenne
sur les pratiques anticoncurrentielles
Le 16 juillet 2020, la Commission
européenne a ouvert une enquête
sur les pratiques anticoncurrentielles
dans le secteur des biens et services
de consommation liés à l'internet
des objets dans l'Union européenne.
Cela comprend les biens et services
qui sont connectés à un réseau et
peuvent être contrôlés à distance,
par exemple par l'intermédiaire
d'un assistant vocal ou d'un appareil mobile. Même s'ils ne sont pas
nommés, ce sont Amazon, Apple et
Google et les assistants vocaux qui
sont principalement visés. Mais pas
seulement. La Commission veut
aller vite et éviter que les grandes
entreprises utilisent leur pouvoir,
et poussent les marchés au-delà du
point de bascule où la concurrence

se
transforme
en
monopole.
Margrethe Verstager, commissaire
en charge de la Concurrence a
expliqué que « l'accès à de grandes
quantités de données des utilisateurs semble être la clé de la réussite
de ce secteur. Aussi, nous devons
faire en sorte que les acteurs du
marché n'utilisent pas le contrôle
qu'ils exercent sur ces données pour
fausser la concurrence ou fermer
ces marchés aux concurrents. Cette
enquête sectorielle nous aidera à
mieux comprendre la nature et les
effets possibles des problèmes de
concurrence susceptibles de se poser
dans ce secteur ». Dans son communiqué, la Commission remarque
l'existence de restrictions de l'accès
aux données et de l'interopérabilité

de ces données, ainsi que de certaines
formes « d'autofavoritisme » et
de pratiques liées à l'utilisation de
normes propriétaires. « Les écosystèmes de l'internet des objets sont
souvent caractérisés par de puissants
effets de réseau et des économies
d'échelle, qui pourraient conduire à
l'émergence rapide d'écosystèmes
numériques et de contrôleurs d'accès dominants et pourraient entraîner des risques de basculement »,
explique-t-elle.
Si, après analyse des résultats de
l'enquête, la Commission constate
des problèmes de concurrence
spécifiques, elle peut ouvrir des
enquêtes, afin de s'assurer du respect
des règles de l'UE concernant les
pratiques commerciales restrictives
et les abus de position dominante
(articles 101 et 102 du traité sur
le fonctionnement de l'Union
européenne - TFUE).

LES GRANDS SITES DE VISIOCONFÉRENCE NON CONFORMES AU RGPD
L'autorité de protection des données personnelles
de Berlin a analysé les conditions d'utilisation de
17 services professionnels de visioconférence et
a conclu que celles de Microsoft Teams, Google
Meet, Skype et Zoom ne sont pas conformes au
RGPD. Dans les conditions de Microsoft Teams,

elle a constaté des « contradictions », un « manque
de clarté » et des « exportations de données illicites ».
Celles de Zoom et de Google Meet ne respecteraient
pas, entre autres, le droit à l'effacement des données.
En revanche, elle approuve celles de Wire, Tixeo,
sichere-videokonferenz.de, Jitsi-Netways et Werk21.

StopCovid globalement conforme, selon la Cnil
Suite aux contrôles qu'elle a effectués sur
l'application Stop Covid, la Cnil a conclu
qu'elle respectait « pour l'essentiel » le
RGPD et la loi Informatique et libertés. Le
constat est cependant plus sévère pour
la première version, qui a été modifiée
un mois après son lancement, mais que
des personnes continuent d'utiliser. Elle
met donc en demeure le ministère des
Solidarités et de la Santé de remédier
aux quelques points de non-conformité
qu'elle a identifiés, dans un délai d'un
mois, à compter du 20 juillet. Elle
précise bien que cette mise en demeure
ne constitue pas une sanction et
qu'aucune suite ne sera donnée à cette
procédure. Elle a néanmoins rendu
publique sa délibération, compte tenu
du caractère sensible des données

issues de l'application et de l'objectif de
transparence des contrôles menés par
la Cnil. Comme elle l'avait annoncé,
la Cnil a procédé à trois contrôles afin
de s'assurer du fonctionnement de
StopCovid France : un contrôle en ligne
de l'application, un questionnaire pour
évaluer la conformité du traitement et
des contrôles sur place. La Commission
a constaté que l'application respecte
pour l'essentiel la protection des
données personnelles et que la plupart
des préconisations de la Cnil avaient été
prises en compte. Elle déplore néanmoins
certains manquements. Ainsi sur le
filtrage de l'historique des contacts de
l'utilisateur, il est désormais filtré afin
de ne conserver que l'historique de
proximité, à savoir celui des personnes
EXPERTISES Septembre 2020

ayant été en contact à moins d'un mètre
pendant plus de 15 mn. Dans la première
version, ce filtrage est opéré au niveau
central. La Cnil demande que la nouvelle
version soit généralisée.
La Cnil a par ailleurs estimé que
l'information
des
personnes
était « quasiment » conforme, à
l'exception des destinataires de ces
données, des opérations de lecture
des informations présentes sur les
équipements terminaux et du droit de
les refuser. En outre, elle constate que le
contrat de sous-traitance conclu entre
le ministère et l'Inria ne comporte pas
les obligations du sous-traitant. Enfin,
elle relève que l'analyse d'impact est
incomplète, en ce qui concerne des
traitements de données réalisés à des
fins de sécurité (solution anti-DDOS
collectant l'adresse IP et Recaptcha.

299

Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia