personnelles
Données personnelles
Trop de laxisme chez les cybermarchands
D’après une étude, 70 % des sites marchands français feraient preuve de trop de laxisme dans la gestion des mots de passe de leurs clients. Résultat : les données personnelles qui leur sont confiées ne seraient pas suffisamment sécurisées.
Le mot de passe est le maillon faible de la sécurité sur Internet. Il suffit à un pirate de le récupérer pour s’accaparer vos informations personnelles, passer des commandes à votre place ou voler vos données bancaires. Pourtant, d’après une récente étude, trop de sites français de e-commerce ne prendraient pas de mesures de sécurisation à la hauteur de l’enjeu. 45 % d’entre eux enverraient à leurs clients leurs identifiant et mot de passe par e-mail, sans cryptage. 14 % seulement obligeraient leurs clients à utiliser un mot de passe « fort » composé de lettres et de chiffres. 87 % les laisseraient utiliser un mot de passe basique du style « 123456 » ou « motdepasse ». 83 % d’entre eux ne bloqueraient pas l’accès au compte après 10 saisies erronées. Autant de manquements qui faciliteraient le travail des pirates. Au final, ce sont 70 % des sites qui ne protègeraient pas suffisamment les données personnelles de leurs clients. Ebay.fr, Leboncoin.fr et Vente-privee.com seraient les meilleurs élèves en la matière. À l’autre bout du classement, des bonnets d’âne sont attribués à Vente-unique.com, Toupargel.fr et Direct-siege.com. Des sites très courus, comme 1855.com, Houra.fr, Decathlon.fr ou encore Boulanger.fr feraient à peine mieux.
Ne soyons pas dupes. En concoctant ce « 1er baromètre sur la protection des données personnelles sur Internet », la société Dashlane, qui édite un logiciel de gestion des mots de passe, espère bien inciter les cybermarchands à faire appel à ses services. N’empêche, son étude met en évidence un vrai problème. C’est un fait : les internautes français n’ont pas suffisamment conscience de l’importance de choisir un mot de passe complexe. Et, que ce soit par méconnaissance, par laxisme ou par peur de perdre leurs clients, les cybermarchands ne les incitent pas à changer leurs habitudes.
Cyril Brosset – www:quechoisir.org -01/2014
Données personnelles Amende record pour Google
La Commission nationale de l’informatique et des libertés (Cnil) était déterminée à aller jusqu’au bout dans le conflit qui, depuis début 2012, l’oppose à Google. Elle le prouve avec l’amende record de 150 000 € qu’elle vient d’infliger au géant du Web pour non-respect de la loi française en matière de protection des données personnelles.
Après des mois de discussions et de procédures, la sanction est finalement tombée : la Cnil a condamné Google à une amende de 150 000 €. Le géant du Web devra d’ailleurs l’afficher sur sa page d’accueil pendant 48 h à partir du 16 janvier. Le montant peut sembler dérisoire pour un groupe qui engrange, chaque année, des milliards de chiffre d’affaires (50 milliards en 2012). Mais la Cnil ne pouvait pas faire plus, les sanctions pécuniaires étant encadrées par la loi (article 47 de la loi no 78-17 du 6 janvier 1978). C’est d’ailleurs la première fois que l’autorité inflige le montant maximal.
Quatre motifs de sanction
Cette amende sanctionne Google pour son comportement en matière de traitement des données personnelles des internautes, qui sont au cœur de son modèle économique (elles lui permettent de vendre aux annonceurs une audience très finement ciblée pour leurs publicités). Concrètement, la Cnil, suivie par les autres autorités européennes de protection des données (le G29), s’oppose à Google sur quatre points. D’abord, les utilisateurs ne sont pas suffisamment informés des conditions et des finalités de traitement des données. Ils ne sont donc pas en mesure d’exercer leurs droits, notamment d’accès, d’opposition ou d’effacement. Ensuite, Google ne respecte pas les obligations qui lui incombent d’obtenir le consentement des utilisateurs préalablement au dépôt de cookies sur leurs terminaux (ordinateurs, tablettes tactiles ou smartphones). La société ne fixe pas non plus les données de conservation, comme l’y oblige la loi. Elle s’autorise enfin, sans base légale, à combiner toutes les données qu’elle collecte sur les utilisateurs à travers l’ensemble de ses services.
Un désaccord profond
En mars 2012, Google avait en effet fusionné les règles de confidentialité qui s’appliquaient à chacun de ses services (Gmail, Youtube, Google Maps, etc.) en un seul document valable pour tous. C’est ce qui avait mis le feu aux poudres. Inquiète des conséquences pour les données personnelles des internautes, la Cnil avait alors constitué un groupe de travail avec ses homologues européens. Leurs travaux aboutirent à un constat simple : Google bafoue la loi (directive 95/4/CE et loi no 78-17 du 6 janvier 1978 modifiée). Après plusieurs courriers, une recommandation et une mise en demeure, le géant du Net n’avait pas bougé d’un pouce, rejetant en bloc tous les griefs. De son point de vue, ces lois ne sont pas applicables aux traitements en cause, et la Cnil n’est pas compétente pour engager une procédure répressive. Le groupe n’a pas encore annoncé les suites qu’il comptait donner à cette affaire.
Mise à jour du 16 janvier 2014
Google conteste les sanctions de la Cnil. Le groupe refuse de détailler les procédures engagées, mais selon le magazine PC Inpact, Google a déposé deux recours : un référé-suspension et une procédure sur le fond. Le premier suspend la condamnation en attendant qu’un juge se prononce (« dans les meilleurs délais »). La décision de la Cnil sera ensuite réexaminée sur le fond.
Camille Gruhier – www:quechoisir.org 01/2014