[27/02/2025] Quand le RGPD devient une arme de concurrence

Vers une utilisation stratégique du RGPD en matière de concurrence déloyale. La justice européenne semble avoir ouvert une nouvelle voie à l'utilisation du RGPD dans les litiges commerciaux. Dans une récente décision, elle a ainsi jugé qu'un concurrent pourrait intenter une action en justice en invoquant une violation du texte européen, si cette violation crée un avantage concurrentiel déloyal. Pour comprendre la portée de cette décision, le Club Data Protection s'est entretenu avec l'avocate Pauline Ducoin.

France

Un point sur les cybermenaces pesant sur les collectivités territoriales. L'Agence nationale de la sécurité des systèmes d'information (Anssi) a présenté une synthèse de la menace pesant sur les collectivités territoriales. Le rapport révèle que l'Anssi a traité "218 incidents cyber" affectant ces acteurs entre janvier et décembre 2024, soit une moyenne de 18 incidents par mois. Ils représentent 14% de l’ensemble des incidents traités par l'agence sur la période.

L'Anssi indique également que les attaques à but lucratif représentent la principale menace cyber pour les collectivités territoriales. Ce sont des proies faciles pour les hackers, ajoute le rapport. En effet, "souvent peu ou mal sécurisées, gestionnaires de systèmes d’information nombreux et disparates, elles peuvent éprouver des difficultés à maîtriser la cartographie de leurs réseaux et à les garder dans de bonnes conditions de sécurité".

Le rapport cite évidemment les conséquences gravissimes des cyberattaques pour les collectivités territoriales, en particulier les exfiltrations de données. "Ces cas mettent en évidence des atteintes importantes à la vie privée (accès à des registres d’état civil et de gestion de biens et propriétés, accès aux modules de facturation des collectivités...) des administrés et des agents des collectivités concernées", indique-t-il.

La Cnil prépare une recommandation sur les données de localisation. Le "Club conformité" dédié aux acteurs du véhicule connecté et de la mobilité, créé en 2023 par la Commission nationale de l'informatique et des libertés (Cnil), doit publier son projet de recommandation sur l'utilisation des données de localisation des véhicules connectés, pour le soumettre à consultation publique.

Pour l'année 2025, le Club consacre ses travaux aux caméras embarquées, dont l'intégration dans les véhicules par les constructeurs ou les propriétaires s'est accrue "pour répondre à des objectifs très variés". La Commission souhaite élaborer des lignes directrices pour les acteurs du secteur.

Europe

10% des emails du service de renseignement belge volés par des hackers chinois. Le média belge Le Soir révèle que le groupe de hackers affiliés à la Chine, connu sous le nom de "UNC484", a exploité une faille de sécurité dans un logiciel de l'Américain Barracuda pour siphonner 10% des emails entrant et sortant de la Sûreté de l'État (VSSE), service civil de renseignement et de sécurité en Belgique. Les données volées pourraient contenir "des données personnelles de près de la moitié du personnel de la Sûreté, comme des documents d'identité transmis au service des ressources humaines". Une plainte a été déposée.

Le CEPD abandonne son projet de responsabiliser les organismes publics de leur présence sur les réseaux sociaux. D'après les informations du magazine d'investigation Follow the Money, le Comité européen de la protection des données (CEPD) a récemment abandonné son projet de qualifier les administrations publiques présentes sur les réseaux sociaux de "co-reponsables" du traitement des données personnelles. Ce qui les rendaient responsables des potentielles violations de données.

Les Etats membres n'arrivent pas à s'accorder sur ce sujet. Par exemple, en Allemagne, l'ancien commissaire fédéral à la protection des données, Ulrich Kelber, avait ordonné aux agences gouvernementales de fermer leurs pages Facebook, estimant que le réseau social n'était pas disposé à apporter les ajustements nécessaires pour se conformer au RGPD. Cette décision avait conduit le Bureau de presse fédéral à déposer une plainte en mars 2023 devant le tribunal administratif de Cologne. De même, en Saxe, la commissaire à la protection des données avait interdit à la chancellerie d'État de maintenir sa page Facebook, en raison du transfert illégal de données vers les États-Unis.

Loi anti-chiffrement : La Suède suit les pas du Royaume-Uni. Meredith Whittaker, le CEO de la messagerie ultra-sécurisée Signal, a déclaré que son entreprise se retirerait des pays qui autorisent les forces de l'ordre à accéder aux données chiffrées. Cette déclaration s'inscrit dans un contexte de remise en cause du chiffrement de bout en bout. Après le Royaume-Uni, c'est la Suède qui envisagerait d'adopter une loi qui obligerait les plateformes à intégrer une porte dérobée dans leurs services.

L'experte rappelle qu'il n'existe pas de porte dérobée à laquelle "seuls les bons peuvent accéder". "Soit c'est une vulnérabilité qui laisse entrer tout le monde, soit nous continuons à maintenir un cryptage fort et robuste et à garantir le droit à la vie privée pour tous", a-t-elle déclaré. Ce n'est pas la première fois que Signal prend une telle position.

International

Des dépôts GitHub exposés sur Copilot. Des chercheurs en cybersécurité de la start-up israélienne Lasso, spécialisée dans la protection des données des entreprises, ont découvert que des dépôts GitHub, initialement publics puis rendus privés, restent accessibles sur GitHub Copilot, un assistant de codage alimenté par l'IA générative. Ce qui expose des données particulièrement sensibles des entreprises utilisatrices de cet outil. Lasso a retrouvé son propre dépôt dans les suggestions de Copilot, bien que celui-ci ait été rendu précédemment privé.