[14/02/2025] Les DPO font état d'une difficulté d'adaptation face aux évolutions législatives

Le flot de nouvelles législations inquiète les DPO qui anticipent une année difficile. L'année 2025 ne va pas être de tout repos, d'après les ressentis des délégués à la protection des données interrogés dans le cadre du baromètre trimestriel de l'AFCDP. Ils sont 34% à évoquer une année "particulière" faisant référence à la période transitoire provoquée par le flot de nouvelles législations, telles que NIS 2, DORA ou encore l'AI Act.

France

Les données de 70 000 personnes touchées par l'attaque de la Caisse des dépôts. La Caisse des dépôts a annoncé avoir été touchée par une fuite de données concernant 70 000 personnes, dont 1000 élus. Les victimes sont toutes affiliées à l'Ircantec ((Institution de Retraite Complémentaire des Agents Non Titulaires de l'État et des Collectivités publiques), un régime de complémentaire retraite obligatoire qui concerne les agents non titulaires de la fonction publique (contractuels, vacataires, élus locaux...).

Dans les détails, les hackers ont réussi à mettre la main sur les identifiants de connexion à la plateforme mise à la disposition des employeurs publics pour remplir leurs obligations auprès des régimes de retraite gérés par la Caisse des dépôts. Grâce à ce vol, ils ont pu dérober les données personnelles des agents publics. Les personnes concernées ont été contactées par l'organisme public, qui a fait savoir que des mesures de sécurité renforcées avaient été mises en place.

Mistral AI modifie sa politique de confidentialité. Hasard ou pas, la start-up Mistral AI a modifié ses conditions relatives à la vie privée, quelques heures après qu'un avocat ait déposé un recours contre elle devant la Commission nationale de l'informatique et des libertés pour la violation du Règlement général sur la protection des données. Il lui reproche notamment d'exploiter les données personnelles des utilisateurs du Chat sans leur autorisation.

Quelle protection pour les données des 35 data centers ? Le député Philippe Latombe, membre de la Cnil, a interpellé le gouvernement sur "la stratégie" mise en place pour protéger les données qui seront hébergées dans les 35 nouveaux centres de données. C'est à l'occasion du Sommet pour l'action sur l'Intelligence artificielle que Clara Chappaz, la ministre de l'IA et du numérique, avait fait état de 35 sites "prêts à l'emploi".

Craft AI s'allie à S3NS pour créer "des agents de confiance". La start-up Craft AI, éditeur d'une plateforme permettant de déployer des applications d'IA, annonce un partenariat avec S3NS, le cloud dit de confiance de Thales et Google. Le service est disponible en France, aux Pays-Bas et en Belgique sur l’offre contrôles locaux, bénéficiant du "chiffrement des données par les clés maitres gérées et opérés par S3NS". Grâce à ce partenariat, la jeune pousse déclare être la seule plateforme française de création "d'agents de confiance" qui bénéficie de la puissance d'un hyperscaler tout en étant sécurisée.

S3NS a récemment annoncé avoir passé le J1 dans la procédure d'attribution du visa de sécurité SecNumCloud par l'Agence nationale de la sécurité des systèmes d'information (Anssi). Il s'agit de l'acceptation de la stratégie d'évaluation.

Europe

Un cadre pour la vérification de l'âge. Lors de sa dernière réunion plénière, le Comité européen de la protection des données (CEPD) a adopté une déclaration sur la vérification de l'âge. "La méthode de vérification de l'âge doit être la moins intrusive possible et les données personnelles des enfants doivent être protégées", a déclaré Anu Talus, la présidente du CEPD. Le cadre mis en place doit aider le secteur à "évaluer l'âge d'une personne d'une manière conforme aux principes de protection des données".

Ainsi, le CEPD écrit qu'"une personne physique tenue de vérifier son âge pour accéder à un contenu réservé aux adultes ne s’attendrait pas à ce que le fournisseur de services utilise la vérification de l’âge pour déterminer son identité ou sa localisation géographique précise ou pour surveiller, évaluer ou déduire des aspects personnels de son identité". De plus, le processus de vérification de l’âge ne devrait pas permettre le ciblage ou le profilage ultérieur des utilisateurs, y compris à des fins commerciales.

Bruxelles laisse tomber sa proposition de directive sur la responsabilité en matière d'IA. D'après son programme de travail pour l'année 2025, la Commission européenne abandonne sa proposition de directive sur la responsabilité en matière d'IA. Initialement présenté en 2022, ce texte avait pour objectif de moderniser le cadre européen en matière de responsabilité civile, en introduisant pour la première fois des règles spécifiques aux dommages causés par les systèmes d'IA.

Le chiffre du jour : 84% des Européens pensent que l'IA exige une gestion prudente afin de protéger la vie privée, d'après une nouvelle enquête Eurobaromètre sur l'intelligence artificielle et le futur du travail, publiée le 13 février. 26 415 personnes ont répondu à cette enquête.

Le Bundeskartellamt épingle Apple sur ses règles de pistage publicitaire. L'Office fédéral de lutte contre les cartels, l'Autorité allemande de la concurrence, vient de rendre son évaluation juridique préliminaire de l'App Tracking Transparency Framework (ATT) d'Apple. Pour rappel, il s'agit d'une fonctionnalité introduite avec iOS 14.5 qui oblige les applications à demander l'autorisation de l'utilisateur avant de le suivre à des fins publicitaires.

Or, la façon avec laquelle la firme à la pomme gère l'ATT pour être contraire aux lois anticoncurrentielles allemandes. En effet, "les exigences strictes de l'ATT ne s'appliquent qu'aux fournisseurs d'applications tiers, et non à Apple lui-même". "Cela pourrait équivaloir à une inégalité de traitement et à une auto-préférence, qui sont interdites par le droit de la concurrence", analyse Andreas Mundt, le président de l'Autorité.

International

Des applications légitimes espionnent des utilisateurs Android. Le fabricant italien de logiciels espions SIO, connu pour commercialiser ses services auprès des gouvernements, est à l'origine d'une série d'applications Android malveillantes qui voleraient les données personnelles de ses utilisateurs, d'après le média TechCrunch. Ces applications sont déguisées en applications populaires, telles que WhatsApp.

C'est un chercheur en sécurité qui avait partagé avec le média américain trois applications Android, affirmant qu'il s'agissait de logiciels espions déguisés utilisés par des gouvernements en Italie. TechCrunch a demandé à Google et à la société de sécurité mobile Lookout d'analyser les applications, et tous deux ont confirmé qu'il s'agissait bien de logiciels espions.

YouTube utilise l'IA pour contrôler l'âge des utilisateurs. Dans un billet de blog publié le 11 février, Neal Mohan, le directeur général de YouTube, a annoncé que YouTube allait recourir à l'apprentissage automatique en 2025 pour "aider à estimer l'âge d'un utilisateur, en distinguant les jeunes spectateurs des adultes, afin de fournir les expériences et les protections les plus adaptées à l'âge". Interrogé par Engadget, la filiale de Google le modèle fera ses prédictions en utilisant des données telles que les types d'informations recherchées par la personne, les catégories de vidéos qu'elle regarde et l'ancienneté de son compte.