GuiGui's Show

Avec du Aeris et du PURR dedans.

Par contre, l'article payant alors qu'il s'agit des propos d'une autre personne, pas d'un travail journalistique, je n'adhère pas, donc article complet ci-dessous. L'emphase est de moi.

Marianne : Pourquoi avez-vous lancé le site « Bonjour la fuite », qui recense les fuites de données signalées en France ?

Aeris : C’est la suite d’un combat que je mène sur le sujet de la protection des données personnelles. Dans les années 2010, j’étais actif dans le logiciel libre. Puis il y a eu, en 2013, l’affaire Edward Snowden [ce lanceur d’alerte qui a dénoncé l’ampleur de l’espionnage numérique américain, N.D.L.R.]. J’ai alors participé à la création des cafés « Vie privée », pour expliquer comment on peut se protéger et ce que les services de renseignement pouvaient faire.

Trois ans plus tard, il y a le Règlement général sur la protection des données (RGPD), un texte vraiment bien. Nous avions de bons espoirs, mais on sentait déjà que cela n’allait pas le faire avec la Cnil [Commission nationale informatique et libertés]. Et en effet, nous avions beau lui signaler des manquements au RGPD, il n’y avait aucune sanction. À quatre, nous avons été ainsi à l’origine de plus de dix mille plaintes. Nous avons décidé de nous regrouper dans une association, PURR (Pour un RGPD respecté), pour faire bouger les choses.

Puis après la fuite « Viamedis », en février 2024, j’ai décidé de faire ce site pour essayer d'attirer l'attention sur ces problématiques. Pour l’alimenter, je m’appuie sur les notifications de violation de données envoyées par des responsables du traitement des données personnelles. Après, c’est également beaucoup de veille sur les réseaux ou les forums de revente de base de données, avec la problématique de qualification des données : il y a quand même pas mal de faux qui circulent aussi.

Quelle est votre analyse sur ce phénomène des fuites de données ?

Il y a deux choses qui se renforcent l'une l'autre. D'un côté, l'absence totale de sanctions de la Cnil, alors que même avant le RGPD, la France était supposée être couverte par une législation quasiment équivalente. Cela n’a pas du tout incité les entreprises à investir dans la sécurité informatique. Nous avons ainsi beaucoup de retours de directeurs de systèmes d’information auprès de notre association, expliquant qu’ils voudraient faire les choses bien mais qu’ils n’ont pas de moyens et que la direction n’écoute pas. Et de l’autre, il y a aussi des moyens d'attaque qui ne sont pas forcément plus efficaces aujourd'hui, mais qui permettent en tout cas de les automatiser. C’est cette conjonction qui fait que de plus en plus de systèmes informatiques sautent.

Pourquoi est-ce que ces fuites de données sont un problème ?

Ces données relatives au nom, prénom, à l’adresse, à l’e-mail ou encore au numéro de téléphone sont surtout utilisées pour faire du hameçonnage ou, quand des pièces d’identité ont fuité, pour des usurpations d’identité. Il y a également des services payants qui ont agrégé des bases de données, c’est littéralement du doxxing [divulgation malveillante d’informations sur une personne] généralisé. C’est donc une vraie perte d’intimité, alors qu'on a pourtant tous quelque chose à cacher. On peut ainsi tous servir de point d’entrée à des criminels pour des fraudes. Et cela facilite aussi les escroqueries au faux conseiller bancaire, quand l’escroc connaît vos derniers achats ou le nom de votre grand-mère. Enfin, cela peut être dramatique dans certains cas : je pense aux enlèvements autour de la crypto.

Ce constat d’une inaction de la Cnil n’est-il pas contredit par les récentes amendes prononcées contre Free ou France Travail, respectivement de 42 et 5 millions d’euros ?

Même si ce sont des gros montants, ces sanctions sont ridicules vu l’ampleur de la catastrophe et la taille des organisations concernées. Et surtout, il n’y a toujours pas d’électrochoc dans le secteur. Les responsables de traitement nous disent qu’il y a toujours peu de risque de prendre une amende. La Cnil, elle, nous reproche de demander des sanctions monstrueuses. Mais nous, ce qu’on demande, ce sont des sanctions justes, dissuasives et surtout plus fréquentes.

[J'aurais plutôt répondu que seules deux entités sur des milliers ont été sanctionnées, pas de quoi sabrer le champagne. Surtout si la CNIL se relâche après ces deux coups.]

Si les responsables de traitement n’ont pas l'impression qu'ils risquent une sanction sous un an, ils vont continuer à violer la loi. Et sur ce plan, nous sommes derniers ou avant-derniers en Europe. L’Espagne, par exemple, c’est environ quarante fois plus de sanctions pour un volume de plaintes identiques. Ce n’est pas forcément une question de ressources. Je pense que la Cnil a un vrai problème d'organisation interne et d’outillage, et qu’il y a aussi une volonté politique de ne pas sanctionner les entreprises au nom de la compétitivité.

Sur d’autres sujets équivalents, comme ChatGPT en Italie, d’autres pays ont pris des décisions contraignantes. Mais la Cnil n’a pas bougé, alors qu’elle aurait pu pourtant par exemple imposer un moratoire de trois mois avant ensuite de dire oui ou non. De même, c’est aujourd’hui un enfer pour déposer une plainte auprès de l’autorité administrative indépendante. Cela fait ainsi trois ans que nous demandons en vain la mise en place d’un lien direct en page d’accueil.

Vous êtes à l’origine de nombreux recours devant le Conseil d’État, dont un contre votre ex-employeur. Mais au final, l’absence de résultat pour le moment ne suggère-t-il pas une démarche contre-productive ?

J’en suis à 26 recours devant le Conseil d’État, dont cinq encore en cours, pour un résultat quasiment négatif, à part des remarques sur la qualité de l’instruction de la Cnil et sa célérité – on est censé être informés dans les trois mois après le dépôt d’une plainte. Mais aujourd’hui, nous n’avons pas le choix. Pour attaquer une décision de l’autorité administrative indépendante, le Conseil d’État est le seul compétent. C’est un problème : ce type de contestation devrait plutôt être renvoyée devant le tribunal administratif. Ce serait plus logique, car le Conseil d’État n’a pas du tout l’habitude de traiter des dossiers au fond. À la fin décembre, nous avons ainsi vu une vingtaine de dossiers étudiés dans la même audience. C’était pour faire du chiffre et évacuer nos plaintes plutôt que de nous donner raison ou transmettre nos recours sous la forme d’une question préjudicielle à la Cour de Justice de l’Union européenne.

[Je confirme que toutes les juridictions administratives expédient les dossiers avant l'été et, surtout, avant la fin de l'année, afin, entre autres, de faire du chiffre. C'est ainsi que fonctionne la justice en France. Ça se vérifie dans l'Open Data des juridictions administratives].

Pour plusieurs destinations disposant d'IPv4 et d'IPv6 (fonctionnel, de surcroît), je constate que mon serveur emails Postfix envoie mes courriels en IPv4.

Pour privilégier IPv6, on ajoute ceci dans main.cf :

smtp_address_preference = ipv6
smtp_balance_inet_protocols = yes

(J'utilise la version 3.7 de Postfix, donc la valeur de « smtp_balance_inet_protocols » est déjà « yes » par défaut, donc je pourrais ne pas la spécifier.)

Puis on recharge la configuration : systemctl reload postfix.

Documentation officielle : smtp_address_preference ; smtp_balance_inet_protocols.

La réception d'emails sur IPv6 ou IPv4 est au choix de l'émetteur, le destinataire ne peut pas influer sur ça (sauf en opérant uniquement sur un seul protocole).

La Quadrature du net s'exprime, sur Blast, sur les très nombreuses fuites massives de données à caractère personnel de ces deux dernières années (voir : 1, 2, 16 fuites/jour en 2024, 26/jour sur les neuf premiers mois de 2025), et donc, in fine, sur les manquements à la protection desdites données, qui ont permis ces fuites, commis par toutes les entités (sociétés commerciales, professions libérales, administrations, associations, etc.).

Je partage le constat : toujours plus de traitements de toujours plus de données personnelles et un régulateur, la CNIL, toujours aussi passif, donc ces violations de données étaient hautement prévisibles.

Néanmoins, je trouve que le terme « fichage » est inadapté. En effet, il est connoté fichiers de police et/ou courtiers en données et/ou publicité ciblée et/ou « quand c'est gratuit, c'est toi le produit ». Or, l'ampleur du problème, c'est l'intégralité des traitements de données personnelles, y compris ceux, légitimes, d'une société commerciale sur ses clients, d'une profession libérale sur ses clients, d'une fédération sportive sur ses licenciés, d'une administration sur ses administrés.

En effet, ce qui rend possible les fuites de données et qui en augmente l'impact, c'est l'absence de l'hygiène numérique minimale des entités qui opèrent ces traitements (que l'on nomme des responsables de traitement), c'est l'absence de moyens alloués à la protection des données, c'est l'insuffisante sécurisation des données, c'est la conservation indistinguée de toujours plus de données pour des durées déraisonnables toujours plus longues. Tous les acteurs pratiquent cela, tous.

Derrière toutes les récentes violations de données, on retrouve toujours des durées de conservation hallucinantes (exemple caricatural : Free), l'absence d'authentification multifacteurs (ex. caricatural : le ministère de l'Intérieur), l'absence de limitation du volume de données personnelles qu'un compte peut extraire sur une période donnée (ex. caricatural : Hellowork), l'absence de traçabilité des manipulations sur les données (ex. : Free), l'absence de défense en profondeur (idem), l'absence de formation des intervenants, etc. L'effort minimal n'est pas produit, sans raison valable. Sources : celles pointées au début.

Les guides et recommandations de l'ANSSI et de la CNIL préconisent toutes les bonnes pratiques en ces matières depuis des années. Les associations, sociétés, et administrations se torchent avec dans les grandes largeurs.

Dit autrement, le problème n'est pas uniquement les méchants GAFAM ou le méchant État et/ou le méchant pirate informatique, c'est l'ensemble des entités qui manipulent nos données à caractère personnel. La PME du coin ou l'association sympa font, elles aussi, en permanence, n'importe quoi avec nos données à caractère personnel.

Voilà l'ampleur du problème auquel nous sommes confrontés.

Cessons de nous focaliser sur les cyberattaques, sur les pirates : focalisons-nous sur l'ensemble des entités qui maltraitent nos données à caractère personnel.

Si t'as envie de contribuer à faire bouger les choses, l'association Pour un RGPD respecté t'attend.

+ CHU, docteur, Université : ils répondent à l'enquête 🎤

Centre d'évaluation et de traitement de la douleur (centre antidouleur) = CETD = traitement des douleurs chroniques sans solution.

Au CETD rattaché au CHU de Montpellier :

• Sophrologie, musicothérapie, hypnose, art-thérapie, etc. 😑️

  • Suite à une remarque, je précise : les effets de l'hypnosédation (réduction des sédatifs lors d'une intervention chirurgicale) et du traitement hypnotique du colon irritable sont prouvés, mais pas ceux de l'hypnoanalgésie (traitement de la douleur en général), ni de l'hypnothérapie (psychothérapie). Sources : Inserm 2015, ministère de la santé 2016, Conseil national de l'Ordre des médecins 2023, page 73. Les pratiques précitées à l'œuvre au CETD de Montpellier (sophrologie, etc.) proviennent des propos de son ex-boss en réaction à la vidéo de G Milgram. Dans ce contexte (cf. infra), et vu mon vécu dans lequel mes connaissances m'ont surtout parlé de l'hypnothérapie (soigner un mal-être psychique actuel en fouillant le passé refoulé, blablabla), j'ai présupposé que c'est de cela dont il parle. Même si c'était de l'hypnoanalgésie, ça resterait douteux.

• L'ex-boss, médecin, attribue la cause d'une maladie génétique ou d'une fibromyalgie à un défaut affectif des parents, refoulé, qu'il déduit à partir de questions sur les parents ou des vêtements (exemples : pull rayé noir et blanc = prison = cœur brisé ; tee-shirt Mickey = viol refoulé à l'âge de 9 ans) ou du néant (suppositions pseudo-mentalistes). 😑️ Sa réaction publique à la vidéo est lunaire : aucune plainte, les « patients se protègent dans leur douleur », « il faut casser le blocage [du patient] ». Pour un neurochirurgien spécialiste de la douleur formé par ce médecin : « sa pratique est imprégnée de psychanalyse, les patients, ensuite, adhèrent ou pas ». 😑️

• Un autre docteur, vacataire :

  • Prescrit, sur une ordonnance officielle, de l'homéopathie et des huiles essentielles, et, sur une ordonnance dénuée des mentions obligatoires, du silicium G5 (dont l'inventeur a été condamné pour pratique illégale de la médecine) et des coquilles d'huîtres soi-disant pour « reprogrammer les gènes » de la patiente. 😑️
    
    
  • Pratique la méditation chamanique en criant de manière stridente et en époussetant le dos des patients en claquant des doigts.
    
    

  • Parle, dans ses interventions publiques, de « thérapie quantique », de « soins spirituels », d'une « guérison par la maladie » d'une « vie antérieure » qui « pèse sur l'âme », d'une guérison qui dépend de la « relation à Dieu », « à la spiritualité », à l'équilibre de l'âme.

    • Il prétend, dans sa pratique médicale, « appeler » les huiles essentielles afin de les utiliser sans les sortir de leurs flacons. 🤣️
      
      
    • Il fait référence à la chirurgie psychique ou à la prétendue origine humaine des pyramides de Bosnie. 😑️
      
      
    • Il prétend que « le sage n'a plus besoin de la science », car il s'est émancipé des savoirs.
  • Est désormais à la retraite, il n'enseigne plus à la faculté de médecine de Montpellier (même s'il figurait dans le DU 2026). Il a créé son centre de médecine alternative en Suisse. Sous son titre de médecin, il encadre des retraites de guérison aux pyramides de Bosnie, et il vend des huiles essentielles dont les recettes lui auraient été communiquées par Sainte Marie Madeleine. 🤣️

P.-S. : ça fait bobo de voir un démystificateur accepter un sponsorat des charlatans-mystificateurs que sont les services de suppression de données à caractère personnel comme Incogni (développé par Surfshark, qui a fusionné avec NordVPN, dont le marketing est agressif et partiellement pipeau). Faites ce que je dis, pas ce que je fais ! 😑️

#G Milgram

La méthode Brighter Minds du mouvement sectaire Shri Ram Chandra Mission du Daaji pour « libérer le plein potentiel des enfants », pour les « connecter à leurs cœurs », pour qu'ils « trouvent leur lumière ».

Libérer le plein potentiel = reconnaître des couleurs, ou même lire, les yeux bandés. 🤣️

Échelle de mesure de la conscience / de l'éveil spirituel de David Hawkins. Niveau de conscience de la queue d'un chien = 500. Einstein = 499. Tableau de Rembrandt = 705. Jésus = 1000. Bouquin de Hawkins = 999,8. 🤣️

#G Milgram

Depuis 2020, Atol commercialise ses lunettes Lexilens pour dyslexiques.

Présentées comme un « dispositif médical », promesse d'une lecture 2 à 3 fois plus rapide, aucune vraie étude mais des témoignages, marketing agressif, etc. La page Wikipédia fourmille de sources étayant les critiques.

La DGCCRF et son échelon local, la DDPP, et l'ANSES se seraient penchées dessus, un contrôle serait en cours, mais comme d'habitude, l'établissement de la preuve serait compliqué et des emplois en jeu, donc l'autorité politique (préfet, tutelle d'une DDPP) freinerait, etc. Source, à partir de 34 m 13.

#G Milgram

On passe 24h sur un porte-conteneurs avec Yvan !

#Amixem

L’association PURR exige une refonte totale de la CNIL

Cette crise soulève aussi la question de la régulation. L’association PURR (Pour Un RGPD Respecté), fondée en 2023, milite pour une refonte totale de la CNIL.

Dans une lettre ouverte adressée à sa présidente, l’association dénonce une « inaction chronique » et une absence de poursuites pénales contre les responsables de traitements de données défaillants.

Lors de mes échanges avec le fondateur de PURR, nous avons pu constater l'absence de réponses concrètes de la part des autorités régulatrices et judiciaires face aux signalements de l'association, le procureur de la République ayant même conclu que certains faits dénoncés ne relevaient pas du droit pénal actuel.

Encore quelques heures pour signer la lettre ouverte.

La lettre ouverte peut être signée ici pendant encore environ 1 semaine.

Pour un peu plus de contexte, lire mon précédent article.

C'est au pied du mur qu'on voit le mieux l'mur