Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 348
DOCTR INE
Décret n° 2022-715 du 27 avril 2022.
Enfin, actualité spécifique au secteur
de la santé et du médico-social, le
décret n°2022-715 du 27 avril 202211
est venu modifier les dispositions du
code de la santé publique relatives
aux signalements des incidents de
sécurité des systèmes d'information
du secteur de la santé et du
médico-social.
Pour rappel lorsqu'un incident cyber
touche les établissements de santé ou
médicosocial, ces derniers doivent
faire remonter l'information sur un
portail dédié à ces signalements. Ces
signalements seront à présent traités
par l'Agence du numérique en santé
(ANS).
Par ailleurs, le nouveau décret prévoit
dorénavant que d'une part ce ne sont
plus seulement les incidents graves
mais
également
les
évènements
significatifs qui devront faire l'objet
d'une notification et, d'autre part,
les
établissements médicosociaux
et tous les organismes et services
exerçant des activités de prévention,
de diagnostic ou de soins devront
également procéder au signalement
de ces incidents.
Actualité judiciaire
Les cours et tribunaux sont de plus
en plus régulièrement concernés par
des litiges informatiques impliquant
des questions de sécurité. La cour
d'appel de Paris a notamment jugé
qu'un virus informatique (cryptolocker
en l'espèce) ne présente ni
un caractère imprévisible, ni un
caractère irrésistible et ne constitue
donc pas un cas de force majeure ni
même un fait fortuit exonératoire de
responsabilité12
.
Concernant les atteintes aux systèmes
de traitement automatisé de données
(STAD), la Cour de cassation a par
ailleurs jugé que les modifications
ou suppressions de données contenues
dans un système de traitement
automatisé sont nécessairement
frauduleuses, au sens de l'article
323-3 du code pénal, lorsqu'elles
ont été sciemment dissimulées à au
moins un autre utilisateur d'un tel
système, même s'il n'est pas titulaire
de droits de modification13
.
348
Décisions de la Cnil :
la responsabilité des
sous-traitants
La
délibération
restreinte
de
la
formation
de la Cnil prononçant
une amende de 1,5 millions d'euros
à l'encontre de la société Dedalus
Biologie14
(éditeur notoire de solutions
logicielles à destination de laboratoires
d'analyses médicales) au titre
de plusieurs manquements au RGPD,
illustre le nouveau rapport de force
entre un responsable de traitement et
un sous-traitant.
En effet, à la suite d'une fuite de
données majeures tant du point de
vue de la quantité des données que
des catégories desdites données, cette
décision de la Cnil vise à rechercher
en priorité la responsabilité propre
du sous-traitant, éditeur de logiciels,
agissant pour le compte de deux
laboratoires d'analyses de biologie
médicale, responsables de traitement.
Outre un manquement à l'obligation
de sécurité, la Cnil a retenu de
manière plus innovante à l'encontre
du
sous-traitant,
non
seulement
un manquement à l'article 29 du
RGPD puisqu'ayant agi en dehors
des instructions du responsable
de traitement, mais également un
manquement à l'obligation d'encadrer
par un acte juridique les traitements
réalisés par le sous-traitant prévue
à l'article 28 du RGPD ; obligation
pourtant portée généralement par les
responsables de traitement.
Cette délibération à l'encontre de la
société Dedalu Biologie s'inscrit dans
le sillage de la décision, pour laquelle
la Cnil avait mis en demeure la société
Francetest15
proposant un service de
formulaire en ligne aux officines de
pharmacie qui effectuent des tests
antigéniques au SRAS-CoV2, de
prendre toute mesure à la suite d'une
faille de sécurité entrainant une fuite
de données concernant environ
400 000 personnes, mais non les
officines de pharmacie qui y faisaient
appel.
Aussi bien côté prestataires que clients,
il conviendra donc de se montrer
particulièrement vigilant à cette attention
prononcée pour les sous-traitants
par l'autorité de contrôle.
EXPERTISES OCTOBRE 2022
Doctrine de la Cnil sur la
recherche sur internet de
fuites d'informations (RIFI)
L'information disponible en source
ouverte (ou « open source ») est par
définition au cœur de la cybersécurité,
qui repose sur la collecte de
renseignement à des fins de compréhension
et d'analyse de la menace,
et in fine de prévention des attaques
et de protection des organisations.
Parmi les diverses sources d'informations,
les données disponibles
en sources ouvertes, bien qu'accessibles
à tous, constituent une aide
précieuse. Elles contribuent en effet
à la fois à l'identification des vulnérabilités
de l'organisation, à l›évaluation
de son niveau d›exposition et de sa
surface d›attaque.
L'obtention
d'un
renseignement
obtenu par une source d'information
publique est qualifiée de renseignement
d'origine sources ouvertes
(ROSO) ou open source intelligence
(OSINT). L'OSINT est par exemple
indispensable pour
contextualiser
les menaces, détecter les fuites
d'information, établir et alimenter les
tableaux de bords et plateformes de
visualisation.
La notion de « source ouverte » ne
signifie pas liberté totale de collecte
et de traitement des données, notamment
à caractère personnel. La Cnil
aborde l'OSINT par le concept de
recherche sur internet de fuites d'informations
(RIFI)16
. Selon la Cnil, une
opération de RIFI consiste à analyser
le web de manière automatisée, afin
de vérifier si des informations, préalablement
identifiées par le biais de
mots-clés, ont été rendues publiques.
Cela revient, pour une organisation, à
rechercher sur Internet, les données
qui ont fuité et implique donc
d'analyser un important volume de
données.
Plusieurs règles, articulées autour
de trois axes essentiels, doivent être
respectées par
les organismes qui
décident de recourir à la RIFI (et
leurs prestataires) afin de respecter le
RGPD :
■ répartir les rôles et responsabilité
des acteurs (encadrés par un
contrat) ;
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia
Table des matières de la publication Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia
Couverture
SOMMAIRE
Editorial
FOCUS - CLOUD DE CONFIANCE : L’ÉTANCHÉITÉ AU CLOUD ACT EN QUESTION
EN BREF - L'INFORMATION RAPIDE SUR LE MONDE DU NUMÉRIQUE
MAGAZINE - L'INFORMATION LÉGALE ET JURISPRUDENTIELLE DU NUMÉRIQUE
INTERVIEW - INTELLIGENCE ARTIFICIELLE : VERS UNE JUSTICE PLUS SÉCURISÉE
DOCTRINE
CONTRATS SPÉCIAUX - L’IMPACT DU PROJET DE RÉFORME SUR LES CONTRATS IP/IT
CYBERSÉCURITÉ - PANORAMA DE L’ACTUALITÉ JURIDIQUE
DONNÉES PERSONNELLES - POUR UNE «DATAMNÉSIE» SÉLECTIVE
RGPD - ANALYSE DE L’ÉTAT ÉMOTIONNEL DES APPELANTS (IA)
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - Couverture
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - SOMMAIRE
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - Editorial
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - FOCUS - CLOUD DE CONFIANCE : L’ÉTANCHÉITÉ AU CLOUD ACT EN QUESTION
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 321
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - EN BREF - L'INFORMATION RAPIDE SUR LE MONDE DU NUMÉRIQUE
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 323
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 324
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 325
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - MAGAZINE - L'INFORMATION LÉGALE ET JURISPRUDENTIELLE DU NUMÉRIQUE
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 327
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 328
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 329
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - INTERVIEW - INTELLIGENCE ARTIFICIELLE : VERS UNE JUSTICE PLUS SÉCURISÉE
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 331
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 332
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 333
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 334
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - CONTRATS SPÉCIAUX - L’IMPACT DU PROJET DE RÉFORME SUR LES CONTRATS IP/IT
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 336
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 337
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 338
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 339
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 340
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 341
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 342
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 343
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 344
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - CYBERSÉCURITÉ - PANORAMA DE L’ACTUALITÉ JURIDIQUE
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 346
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 347
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 348
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 349
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - DONNÉES PERSONNELLES - POUR UNE «DATAMNÉSIE» SÉLECTIVE
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 351
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 352
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - RGPD - ANALYSE DE L’ÉTAT ÉMOTIONNEL DES APPELANTS (IA)
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 354
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 355
Expertises des Systèmes d'information - Octobre 2022 - N°483 - Le mensuel du droit de l'informatique et du multimédia - 356
https://www.nxtbook.fr/newpress/celog/celog-expertises-2210_483
https://www.nxtbook.fr/newpress/celog/celog-expertises-2209_482
https://www.nxtbook.fr/newpress/celog/celog-expertises-2207_481
https://www.nxtbook.fr/newpress/celog/celog-expertises-2206_480
https://www.nxtbook.fr/newpress/celog/celog-expertises-2205_479
https://www.nxtbook.fr/newpress/celog/celog-expertises-2204_478
https://www.nxtbook.fr/newpress/celog/celog-expertises-2203_477
https://www.nxtbook.fr/newpress/celog/celog-expertises-2202_476
https://www.nxtbook.fr/newpress/celog/celog-expertises-2201_475
https://www.nxtbook.fr/newpress/celog/celog-expertises-2112_474
https://www.nxtbook.fr/newpress/celog/celog-expertises-2111_473
https://www.nxtbook.fr/newpress/celog/celog-expertises-2110_472
https://www.nxtbook.fr/newpress/celog/celog-expertises-2109_471
https://www.nxtbook.fr/newpress/celog/celog-expertises-2107_470
https://www.nxtbook.fr/newpress/celog/celog-expertises-2106_469
https://www.nxtbook.fr/newpress/celog/celog-expertises-2105_468
https://www.nxtbook.fr/newpress/celog/celog-expertises-2104_467
https://www.nxtbook.fr/newpress/celog/celog-expertises-2103_466
https://www.nxtbook.fr/newpress/celog/celog-expertises-2102_465
https://www.nxtbook.fr/newpress/celog/celog-expertises-2101_464
https://www.nxtbook.fr/newpress/celog/celog-expertises-2012_463
https://www.nxtbook.fr/newpress/celog/celog-expertises-2011_462
https://www.nxtbook.fr/newpress/celog/celog-expertises-2010_461
https://www.nxtbook.fr/newpress/celog/celog-expertises-2009_460
https://www.nxtbook.fr/newpress/celog/celog-expertises-2007_459
https://www.nxtbook.fr/newpress/celog/celog-expertises-2006_458
https://www.nxtbook.fr/newpress/celog/celog-expertises-2005_457
https://www.nxtbook.fr/newpress/celog/celog-expertises-2004_456
https://www.nxtbook.fr/newpress/celog/celog-expertises-2003_455
https://www.nxtbook.fr/newpress/celog/celog-expertises-2002_454
https://www.nxtbook.fr/newpress/celog/celog-expertises-2001_453
https://www.nxtbook.fr/newpress/celog/celog-expertises-1912_452
https://www.nxtbook.fr/newpress/celog/celog-expertises-1911_451
https://www.nxtbook.fr/newpress/celog/celog-expertises-1910_450
https://www.nxtbook.fr/newpress/celog/celog-expertises-1909_449
https://www.nxtbook.fr/newpress/celog/celog-expertises-1907_448
https://www.nxtbook.fr/newpress/celog/celog-expertises-1906_447
https://www.nxtbook.fr/newpress/celog/celog-expertises-1905_446
https://www.nxtbook.fr/newpress/celog/celog-expertises-1904_445
https://www.nxtbook.fr/newpress/celog/celog-expertises-1903_444
https://www.nxtbook.fr/newpress/celog/celog-expertises-1902_443
https://www.nxtbook.fr/newpress/celog/celog-expertises-1901_442
https://www.nxtbook.fr/newpress/celog/celog-expertises-1812_441
https://www.nxtbook.fr/newpress/celog/celog-expertises-1811_440
https://www.nxtbook.fr/newpress/celog/celog-expertises-1810_439
https://www.nxtbook.fr/newpress/celog/celog-expertises-1809_438
https://www.nxtbook.fr/newpress/celog/celog-expertises-1807_437
https://www.nxtbook.fr/newpress/celog/celog-expertises-1806_436
https://www.nxtbook.fr/newpress/celog/celog-expertises-1805_435
https://www.nxtbook.fr/newpress/celog/celog-expertises-1804_434
https://www.nxtbook.fr/newpress/celog/celog-expertises-1803_433
https://www.nxtbook.fr/newpress/celog/celog-expertises-1802_432
https://www.nxtbook.fr/newpress/celog/celog-expertises-1801_431
https://www.nxtbook.fr/newpress/celog/celog-expertises-1712_430
https://www.nxtbook.fr/newpress/celog/celog-expertises-1711_429
https://www.nxtbook.fr/newpress/celog/celog-expertises-1710_428
https://www.nxtbook.fr/newpress/celog/celog-expertises-1709_427
https://www.nxtbook.fr/newpress/celog/celog-expertises-1707_426
https://www.nxtbook.fr/newpress/celog/celog-expertises-1706_425
https://www.nxtbook.fr/newpress/celog/celog-expertises-1705_424
https://www.nxtbook.fr/newpress/celog/celog-expertises-1704_423
https://www.nxtbook.fr/newpress/celog/celog-expertises-1703_422
https://www.nxtbook.fr/newpress/celog/celog-expertises-1702_421
https://www.nxtbook.fr/newpress/celog/celog-expertises-1701_420
https://www.nxtbook.fr/newpress/celog/celog-expertises-1612_419
https://www.nxtbook.fr/newpress/celog/celog-expertises-1611_418
https://www.nxtbook.fr/newpress/celog/celog-expertises-1610_417
https://www.nxtbook.fr/newpress/celog/celog-expertises-1609_416
https://www.nxtbook.fr/newpress/celog/celog-expertises-1607_415
https://www.nxtbook.fr/newpress/celog/celog-expertises-1606_414
https://www.nxtbook.fr/newpress/celog/celog-expertises-1605_413
https://www.nxtbook.fr/newpress/celog/celog-expertises-1604_412
https://www.nxtbook.fr/newpress/celog/celog-expertises-1603_411
https://www.nxtbook.fr/newpress/celog/celog-expertises-1602_410
https://www.nxtbook.fr/newpress/celog/celog-expertises-1601_409
https://www.nxtbook.fr/newpress/celog/celog-expertises-1512_408
https://www.nxtbook.fr/newpress/celog/celog-expertises-1511_407
https://www.nxtbook.fr/newpress/celog/celog-expertises-1510_406
https://www.nxtbook.fr/newpress/celog/celog-expertises-1509_405
https://www.nxtbook.fr/newpress/celog/celog-expertises-1507_404
https://www.nxtbook.fr/newpress/celog/celog-expertises-1506_403
https://www.nxtbook.fr/newpress/celog/celog-expertises-1502_399
https://www.nxtbookmedia.com