[19/03/2025] La Cnil somme le gouvernement de trouver une alternative à Microsoft pour l'hébergement d'EMC2

L'hébergement par Microsoft de l'entrepôt de santé "EMC2" agace la Cnil. Dans deux délibérations, la Commission nationale de l'informatique et des libertés appelle le gouvernement à "travailler activement" à la mise en place d'une "solution souveraine", à la place de Microsoft, pour héberger l'entrepôt EMC2. Porté par l'Agence européenne des médicaments, ce projet a pour objectif de permettre des recherches, des études et des évaluations en pharmaco-épidémiologie.

France

La carte vitale est désormais disponible sur smartphone. Les données des Français poursuivent leur dématérialisation. C'est désormais la carte vitale qui est accessible sur smartphone pour tous les détenteurs de la carte d’identité, au format carte bancaire (CNIe), via l’application France Identité, depuis ce mardi 18 mars. Une première expérimentation avait été lancée dans 23 départements et comptabilisait près de 700 000 activations.

A propos de la protection des données, l'Assurance maladie précise que lors de l’activation via France Identité, l'identité et la photo d'identité sont transmises vers l'application. Cette dernière possède "un haut niveau de sécurité garanti pour les pouvoirs publics".

L’application contient les données en lien avec les remboursements (identité de l’assuré et celles des ayants-droit, numéro de sécurité sociale, régime d’assurance maladie et organisme de rattachement, résumés de factures des soins). Elle permet d’attester de l’affiliation à l'assurance maladie obligatoire et ne contient pas d’information médicale.

ChapsVision signe une nouvelle acquisition. Le spécialiste du traitement de la donnée annonce avoir acquis l'entreprise Iremos, éditeur de solutions logicielles pour la gestion de crise et la protection du secret Défense Nationale. Avec cette acquisition, ChapsVision peut proposer des solutions globales de gestion de crise, ciblant à la fois les grandes entreprises, les marchés intermédiaires et les administrations.

Europe

Renforcement du RGPD : Les experts du SPE en première ligne. Le European Data Protection Board (EDPB) présente son rapport sur l'utilisation du programme "Support pool of experts" (SPE), dont l'objectif est de renforcer l'application du RGPD et la coopération entre les autorités nationales de contrôle. Le document résume les projets mis en place en 2024 et les perspectives pour l'année 2025.

Pour rappel, le programme SPE permet en pratique aux autorités nationales d'obtenir un accompagnement juridique et technique, lorsque certaines enquêtes nécessitent des compétences particulières (sécurité informatique, intelligence artificielle...). En 2024, 568 experts ont été répertoriés et 87 nouvelles candidatures ont été traitées. Trois projets, débutés en 2023, ont été finalisés : la supervision des algorithmes complexes, les outils d'audit des sites web et l'application du RGPD aux entreprises situées en dehors de l'Union européenne.

L'EDPB donne des précisions sur l'application de la directive PNR. Lors de sa réunion plénière de mars 2025, l'organe européen a adopté une déclaration sur la mise en oeuvre de la directive relative aux dossiers passagers (PNR) à la lumière de l'arrêt du 21 juin 2022 rendu par la Cour de justice de l'Union européenne. Pour rappel, dans cette décision, le juge européen a limité la portée du traitement des données PNR soulignant que la conservation des données ne devait pas excéder six mois, et qu'aucune donnée ne peut être conservée au-delà de cette période à moins que cela ne soit strictement nécessaire et proportionné aux objectifs poursuivis par la directive.

La directive "Passenger Name Record" impose aux compagnies aériennes de collecter et de transmettre des informations sur les passagers à des fins de sécurité, de lutter contre la criminalité et le terrorisme.

International

DeepSeek serait interdit sur les appareils gouvernementaux américains. D'après l'agence de presse Reuters, le département américain du Trésor a interdit l'accès au modèle commercialisé par la start-up chinoise DeepSeek sur les appareils gouvernementaux. Le but : protéger les systèmes d'information. En pratique, les employés auraient reçu l’instruction de ne pas télécharger, consulter ou accéder à des applications ou sites web liés à DeepSeek sur leurs équipements fournis par le gouvernement.

Les produits Fortinet activement exploités par des hackers. Plusieurs chercheurs ont révélé qu'un groupe de hackers, surnommé "Mora_001", exploite deux vulnérabilités dans les produits Fortinet pour infiltrer les réseaux informatiques de ses victimes. Elles permettent de contourner les mécanismes d'authentification des pare-feu Fortigate. Le mode opératoire des criminels est le suivant : après avoir obtenu un accès initial en exploitant ces vulnérabilités, Mora_001 élève ses privilèges au niveau "super-admin" et crée des comptes administratifs supplémentaires pour maintenir un accès au réseau compromis. Il déploie ensuite une nouvelle variante de ransomware, baptisée SuperBlack, qui présente des similitudes avec LockBit 3.0.

Alliance entre Microsoft et Proofpoint dans la cyber. Proofpoint a annoncé l'expansion de son partenariat mondial avec Microsoft. Cette collaboration s'appuiera sur les capacités d'IA d'Azure et son infrastructure cloud sécurisée pour héberger les futures innovations de Proofpoint et développer la protection des données et des menaces alimentée par l'IA. Ensemble, les partenaires souhaitent offrir aux organisations "une protection renforcée contre les menaces", "une sécurité des données améliorée" ainsi qu'une "plus grande efficacité opérationnelle".