Actuellement, le fait de lancer des alertes est défini partiellement dans plusieurs textes, c'est un vrai boxon, le Conseil d'État le reconnaît. Voir http://shaarli.guiguishow.info/?z67ylQ

Le projet de loi Sapin 2 relatif à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique est en examen, cette semaine, en plénière, à l'Assemblée, après un passage en ComLoi positif (le texte initial était insuffisant et a été grandement amélioré) : http://www.assemblee-nationale.fr/14/dossiers/transparence_lutte_corruption_economie.asp

Ce projet de loi défini un statut unique de lanceur-euse d'alertes (avec une immunité pénale pour une partie des secrets protégés (pas le secret médical, ni professionnel ni de la défense), un financement des frais de justice et des indemnisations des dommages moraux et financiers) et une agence nationale contre la corruption destinée à collecter les alertes (ce qui évite la méconnaissance de l'organisme auquel s'adresser) mais :
    * Je trouve le texte flou : qu'est-ce qu'un « délai raisonnable » dans une remontée d'info en suivant les échelons ? ; L'alerte peut-être remontée en interne puis si pas de résultat, aux autorités compétentes donc il faut obligatoirement remonter en interne avant ou pas ? Le "si absence de résultat" me laisse dubitatif ; Qu'est-ce qu'un risque « grave » ? Comment on le quantifie ? En nombre de morts/blessés ? En thune ? etc.

    * Il n'y a pas de sanctions prévues pour l'entrave ou le harcèlement du lanceur-euse d'alertes ;

    * Le texte n'impose pas à l'agence nationale contre la corruption de faire du suivi ;

    * De même, l'agence n'est pas une autorité administrative indépendante. Elle sera donc sous la tutelle d'un ministère. Pas top du tout : un scandale n'arrange jamais le business d'un secteur. or, le ministère (santé, économie, industrie) est là pour chapeauter ce secteur d'où la possibilité de vouloir restreindre les alertes. Niveau budget : l'étude d'impact table sur 10-15 millions d'euros. Plus que la HADOPI ces temps-ci mais je ne sais pas ce que ça vaut.

    * L'impossibilité de licencier / prendre une mesure disciplinaire contre un-e lanceur-euse d'alertes existe déjà dans la législation du taff et c'est juste du vent. Un peu comme un arrêt de travail : on ne peut pas te licencier parce que t'es en arrêt maladie mais on peut très bien arguer que ton absence désorganise l'entreprise donc qu'il faut un-e remplaçant-e ou que les besoins ont changé (cas du particulier employeur) ou que ceci ou cela et donc dehors ;

    * Mais du coup, comment on aide les lanceur-euse-s d'alertes grillées dans leur profession ? J'veux dire : aucune société commerciale n'a envie de te compter dans ses rangs quand Google renvoie "chieur-euse qui a balancé nos magouilles" à un-e potentiel-le recruteur-euse. Genre Stéphanie Gibaud et UBS. Est-ce que le fait de pas retrouver un job compte dans les « dommages moraux et financiers » ?

    * Quid du lanceur-euse d'alertes de sécurité ? Un-e lanceur-euse d'alertes qui fait fuiter des docs, l'infraction me semble être constituée par la fuite elle-même alors que le lanceur-euse d'alertes de sécurité, on peut l'accuser d'avoir commis une infraction avant même qu'il divulgue : entrée et maintien dans un STAD, etc.

    * Comment, selon quelle procédure, un lanceur-euse d'alertes se fait-il indemniser ? Dans quelles limites ? Sur justicatifs ?

    * Dans le monde du renseignement, l'alerte reste conditionnée à l'aval de la CNCTR.


Voir aussi http://www.anticor.org/2016/05/26/sapin-ii-nest-pas-encore-a-la-hauteur-des-enjeux/

Le projet de loi pour une République numérique a terminé sa première navette parlementaire (Assemblée - Sénat) par son examen au Sénat fin avril. Le Sénat, majoritairement à droite, a fait de lourds changements dont certains ne tiennent pas la route (je pense à la déclaration des revenus encaissés par une personne physique sur une plateforme ou bien encore l'obligation de traiter les données personnelles sur le sol européen). Comme on est en procédure accélérée, le texte sera examiné en Commission Mixte Paritaire ce mois-ci (on parle du 14 juin, du 29 juin, bref…) où, étant donné l'activité du Sénat, il y aura encore de lourds changements.


Ce qui ne changera plus (articles adoptés en intégralité et sous la même forme par les deux chambres) :
    * Ouverture des codes sources des logiciels de l’administration : une nouvelle exception est ajoutée, celle de risque pour le système d'information des administrations. Pourtant, la publication n'induit pas de risques supplémentaires* : les éventuels attaquants peuvent déjà parcourir automatiquement les sites web des administrations à la recherche de faille de sécurité. Le simple fait d'exister, d'être présent sur Internet expose l'administration. L'opacité du logiciel n'est pas une garantie d'absence d'attaques réussies ! En revanche, la publication du code source des logiciels donnera l'opportunité à plus d'informaticiens, et notamment à ceux spécialisés dans la sécurité, de relever des failles de sécurité et de les faire corriger par l'administration en conformité avec l'article 20 septies (lanceurs d'alerte de sécurité).

    * Le commissariat au numérique reste mais ses missions (création d'un système d'exploitation souverain et chiffrement) dégagent... On obtiendra donc, à l'issu du rapport que le gouvernement doit produire, un joli comité Théodule pompe à fric de plus !

    * Rapprochement CNIL/CADA.




Ce qui sera amené à évoluer (parfois c'est juste des tournures de phrase qui ont changé au Sénat sans changer le fond) :
    * Les avis du Conseil d'État sur les projets de loi et les ordonnances ne seront pas des documents communicables, finalement. C'était une promesse du Président, une de plus. Pourtant ces avis, rendus avant le Conseil des ministres (et donc avant l'examen par le Parlement) éclaireraient les débats publics car ça indique les erreurs du gouvernement, les problèmes de droit qu'une disposition pourrait créer, les points de vigilance. Ces avis sont cités dans le-s rapport-s des commissions et dans les amendements...

    * La CNIL ne sera pas chargée de réfléchir aux problèmes éthiques futurs que rencontrera notre société (intelligence artificielle, implants NFC) : cela est envoyé au Conseil consultatif national d'éthique. Sisi, ça existait vraiment avant ce projet de loi ! Les pouvoirs de sanction de la CNIL passent de 150 000 € max à 1,5 M€ max. Moins qu'un pourcentage sur le chiffre d'affaires comme on est en droit de l'attendre et comme certain-e-s sénateurs-trices l'ont demandé.

    * La CADA ne peut plus publier, sur son site web, un hall of shame des administrations/collectivités/privé chargé d'une mission publique qui ne respecterait pas l'un de ses avis. Elle publiera les administrations exemplaires afin d'éviter la stigmatisation... Cela fait suite à un avis du Conseil d'État. Je me dis que c'pas une grande perte : la CADA est consultative, elle est saisie pour avis avant d'aller au contentieux, voilà le problème de fond.

    * Testament numérique : en l'absence d'indications laissées par le défunt, les héritiers feront ce qu'ils veulent des données personnelles hébergées un peu partout. Boarf, tout comme une succession normale (en dehors de la part réservataire, je peux filer des biens et de la thune à qui/quoi je veux mais si je ne le dis pas bah lala, ces biens/thune reviennent aux héritiers "par défaut", comme la part réservataire).

    * Le gouvernement devait produire un rapport, sur la nécessité de créer une consultation publique en ligne pour tout projet de loi ou proposition de loi avant son inscription à l’ordre du jour du Parlement. Il n'en est désormais plus question.

* L'article 23 imposait aux plateformes en ligne type Airbnb de vérifier que l'internaute qui propose une location a bien l'autorisation de son proprio. Cela disparaît. En revanche, les plateformes doivent vérifier que la résidence principale n'est pas louée plus de 120 jours par an (c'est le seuil fixé dans la loi) + les communes peuvent décider, en conseil municipal, que le loueur doit s'enregistrer auprès d'elle.

* Tout opérateur de plateforme doit déclarer les revenus de ses membres (y compris Le Bon Coin ou autre, donc) dès qu'ils dépassent 5000 € annuels. Vu la complexité, cette disposition sautera probablement en CMP.

    * Le mécanisme d'action collective en matière de données personnelles au profit de certaines assos disparaît. Boarf, il n'était pas prévu que ce mécanisme permette l'indemnisation des victimes donc c'était inutile de base.

    * Liberté de panorama (autoriser, comme exception au droit des auteurs, les reproductions et les représentations d’œuvres architecturales et de sculptures placées dans l'espace public) : l'exception fonctionne uniquement pour les personnes physiques (adios Wikimedia) dans un but non lucratif (directement ou indirectement) et pour des œuvres placées en permanence sur la voie publique.

    * Encouragement du logiciel libre… La tournure change donc la CMP devra trancher mais le fond est le même dans les deux chambres. Les logiciels libres doivent être impératifs à l'école et favorisés dans les administrations/entreprises publiques/collectivités. J'entends les oppositions relatives à l'ouverture et à la libre concurrence des marchés publics mais :
        * Dans le cas de l'école, il s'agit de bon sens : l'école est destinée à transmettre à la jeunesse les méthodes permettant à celle-ci d'acquérir l'ensemble des savoirs humains et à éduquer de futurs citoyens conscients d'une société libre. Or, le  logiciel privateur, de par sa nature opaque (seul son éditeur sait comment il fonctionne) va à l'encontre de ces missions de l'école puisque le professeur ne peut pas expliquer comment fonctionne l'ordinateur ou la tablette qui seront manipulés pendant les cours ! Dans une société numérique, la personne qui a le pouvoir, c'est celle qui sait comment la technologie fonctionne. Si les seules personnes sont les éditeurs de  logiciels, alors celles-ci auront un ascendant sur tous les citoyens de demain !

        * Dans cas des administrations/entreprises publiques/collectivités, il s'agit de souveraineté : notre armée ne peut être souveraine quand elle dépend du géant américain Microsoft alors qu'un système d'exploitation français sécurisé, nommé CLIP, est développé par l'ANSSI ! Il en va de même pour toute administration/entreprises publiques/collectivités : le logiciel privateur n'offre aucune garantie de sécurité (contre l'espionnage) vis-à-vis des puissances étrangères.

    * Les plateformes ne sont plus tenues d'avoir un représentant légal en France mais celles avec un nombre de connexions dépassent un seuil défini par décret doivent élaborer et diffuser des bonnes pratiques de loyauté ainsi que prendre « toutes les mesures raisonnables, adéquates et proactives afin de protéger les consommateurs et les titulaires de droits de propriété intellectuelle contre la promotion, la commercialisation et la diffusion de contenus et de produits contrefaisants ». Le bon vieux retour du filtrage pro-actif. Ça fonctionne tellement bien, la police privée. Notamment sur Youtube. À tout cela, on ajoute « d'indiquer toute modification substantielle apportée aux conditions générales d'utilisation du service d'intermédiation qu'il propose, aux modalités de référencement, de classement et de déréférencement des contenus, des biens et services auxquels ce service permet d'accéder et, le cas échéant, aux modalités d'accès à son interface de programmation, dans un délai raisonnable et préalablement à cette modification. »

    * L'article 17 A sur la prévention, faite à l'école, contre les violences commises par le biais du numérique et la sensibilisation au respect de l'égalité hommes/femmes sur les moyens de communication électronique disparaît. \o/ Mais on remplace ça par de la prévention au harcèlement en ligne sur l'internet mobile (https://www.senat.fr/enseance/2015-2016/535/Amdt_246.html). On a toujours le même problème de logique : ce n'est pas réservé au numérique ! La vie en société ne diffère pas que l'on communique sur le net ou non. Et Internet ne rend pas plus facile les moqueries que la cour de recré en mode "plusieurs personnes contre une autre". Voir http://shaarli.guiguishow.info/?HtJzJA

    * Ajout d'un article, transfuge de la loi Macron 2 désormais abandonnée, rendant les services de coffres-forts numériques réellement inviolables, comme ceux, physiques, fournis par les banques. Mais bien sûr... Comment les prestataires, qui peuvent être agréés par la CNIL, vont-ils réussir à répondre à ça ?! J'adore aussi la possibilité laissée au prestataire de faire des traitements algorithmiques avec le consentement de l'utilisateur. Les banques font-elles un traitement algorithmique des coffres-fort physiques ? :P

    * L'article 19 visant à autoriser les associations à ester en justice pour une réappropriation abusive du domaine public (copyfraud) est supprimé au motif que la jurisprudence reconnaît déjà ce droit

    * Plus de rapport du gouvernement pour étudier la question de l'accès Internet pour les détenus (prisons).

    * Obligation d'information qu'une décision administrative a été prise par un algorithme. La communication d'une explication simplifiée de comment fonctionne l'algorithme dans ses grandes lignes est possible sur demande. Et le code source est communicable sauf exceptions, voir ci-dessus.

    * Obligation farfelue de traiter les données personnelles en EU. Protectionnisme européen à l'heure du privacy Shield, de CETA et de TAFTA. De plus, comment imposer ça à tous les opérateurs mondiaux de plateformes ? Comment faire la différence entre une donnée européenne sans fichier encore plus tout le monde ? Bref, cette disposition disparaîtra très probablement en CMP.

* Publier les décisions de justice en Open Data. Il y a tellement de freins (analyse préalable) que les greffes, déjà surchargés, ne publieront rien de plus que ce qui se fait déjà, sans format réutilisable & co, donc.

    * La plateforme « Dites-le nous une fois », qui centralise les documents administratifs dans une base de données dans laquelle les administrations piochent au lieu de redemander une énième fois au citoyen de fournir son justificatif, devient opérationnelle pour les particuliers (c'était déjà le cas, par ordonnance, pour les sociétés commerciales).

    * Toujours pas de définition du domaine public

    * Bafouille sur l'identité numérique : « La preuve d’identité aux fins d’accéder à un service de communication au public en ligne peut être apportée par un moyen d’identification électronique. Ce moyen d’identification électronique est présumé fiable jusqu’à preuve du contraire lorsqu’il répond aux prescriptions du cahier des charges établi par l’autorité nationale de sécurité des systèmes d’information et fixé par décret en Conseil d’État. » + certification par l'ANSII… Tristesse.

    * Plus de blocage géographique pour empêcher l'achat de livres électroniques français en dehors de la France.

    * L'ARJEL peut saisir par requête (et non plus assignation) le tribunal de grande instance quand un site de jeux en ligne préalablement interdit refait surface avec des noms de domaine différents, histoire de raccourcir la procédure quand l'affaire a déjà été jugée dans le fond (c'est le même site derrière avec les mêmes pratiques jugées illégales).

* L'ARCEP peut enjoindre les opérateurs de téléphonie mobile à mutualiser leurs infra en milieux ruraux pour remplir l'objectif d'aménagement du territoire.

    * Des broutilles sur le recommande électronique comme la possibilité de l'envoyer en version électronique ET en normal.

    * Protection des lanceurs d'alertes de sécurité : à l'Assemblée, on parlait d'une exemption de peine (pas de poursuites, reconnaissance de culpabilité,...) pour un hacker qui fait du responsible disclosure. Au sénat, on parle de l'ANSSI (et son CERT) comme interlocuteur unique (afin d'éviter l'effet "je vous ai prévenu vite fait par mail donc j'avais le droit de full disclo") + les fonctionnaires (de l'ANSSI, donc) ne sont plus obligés de balancer à la justice. Bémols : ils le peuvent encore et l'administration/entreprise visée peut toujours porter plainte.

    * Dans la même veine, je note l'article 37 FA sur l'accès aux infrastructures d'accueil, octroyé par les réseaux électriques, aux fibreurs. Le refus doit être une décision motivée. Les conditions de l'accès doivent être transparentes et non discriminatoires. Bon, bien sûr, y'a le piège classique de "suffit de faire un tarif super élevé pour virer les petits du réseau, c'pas discriminant, c'est le même prix pour tout le monde, juste les petits ne peuvent pas payer leur ticket d'entrée, ces salauds de pauvres"
    => disparu

    * Je note l'apparition de l'article 37 FC qui, en matière de déploiement de la fibre optique dans le cadre du plan THD 2012-2022 dit : « L'absence de convention signée, et le cas échéant actualisée, au 1er janvier 2017 permet de constater l'insuffisance de l'initiative privée pour déployer un réseau à très haut débit en fibre optique permettant de desservir les utilisateurs finals dans les territoires concernés. ». Ça me semble un bon début puisque, si le privé est absent, alors les règles de l'UE autorisent la puissance publique à investir. Donc soit le privé va contracter absolument partout pour verrouiller le déploiement, soit la puissance publique pourra constater les carences dès 2017 ! Dans les deux cas, on avance...

    * Interdiction, pour un moteur de recherche en situation de monopole, de favoriser ses services. Voir http://www.numerama.com/business/167227-senat-adopte-disposition-contre-abus-de-google.html

    * Open Data ( http://www.numerama.com/politique/168003-competitions-de-jeux-video-voici-le-cadre-legal-du-esport-vote-au-senat.html ) :
        * On ne parle plus de fournir obligatoirement des documents dans un format ouvert et facilement réutilisable mais juste « si possible » ;

        * La publication est obligatoire seulement au-delà d'un nombre d'agents/salariés supérieur à celui fixé par un décret. Comme à l'Assemblée ;

        * Avant publication, une analyse préalable sera effectuée pour ne pas porter atteinte aux secrets protégés comme la vie privée mais aussi... défense, politique extérieure de la France, sûreté de l'état, poursuite des infractions,... Notons que le secret des affaires envisagé en ComLoi a été supprimé en plénière.

        * Il faut que les documents aient un intérêt social, économique, sanitaire ou environnemental. L'idée étant d'éviter ce qui s'est passé avec la loi NOTRe : tout devient publiable, y compris les mails & co (mais comme la loi NOTRe n'impose aucune sanction à la non-publication, elle n'a pas été beaucoup suivie).

        * Les archives sont désormais exclues. Motif ? Trop de boulot -> coûteux. Alors que le pjl parle uniquement de libérer les documents déjà présents au format numérique. Ça ne coûte donc rien de libérer 1 ou 1000 documents ! ;

        * Les demandes de valeurs foncières (fisc) sont désormais accessibles au secteur privé de l'immobilier. Les réseaux de gaz et d'électricité publieront des données détaillées de la conso et de la production grâce à leur système de comptage. => Attention aux données des Linky, elles en font partie ;) Tout cela vient de la loi Macron 2 désormais abandonnée ;

        * Code source sauf secteur concurrentiel - aussi voulu par l'Assemblée.

        * Les normes AFNOR n'entrent plus dans le cadre des documents administratifs et ne sont donc plus communicables gratos.


    * Pas de saisie parlementaire de la CNIL. Analyse prendrait trop de temps (12 semaines) + la CNIL est déjà consultée par les commissions permanentes.

    * Pas d'action collective en justice d'associations luttant contre une réappropriation abusive du domaine public (on pense très fort au Journal d'Anne Frank…).

    * « Tous les équipements terminaux destinés « à la vente ou la location sur le territoire français » devront être compatibles avec la norme IPV6 à partir du 1er janvier 2018. » : supprimé. IPv4 pose de vrais problèmes de société mais les terminaux sont déjà compatible IPv6, que ça soit les ordiphones, les box. C'est du Linux derrière, hein. Le problème, c'est les FAI et les FSI.

    * « D’ici dix ans (l'Assemblée voulait 5 ans), les standards téléphoniques des personnes chargées d’une mission de service public (SNCF, Sécurité sociale, mairies...) devront être accessibles aux personnes déficientes auditives « par la mise à disposition d’un service de traduction écrite simultanée et visuelle » sans surcoût + même chose pour associations d'intérêt public dont les ressources annuelles dépassent un plafond + pareil pour les professionnels dont les ressources annuelles dépassent un plafond de la vente dans le cadre de leur SAV + prolongement de l'accessibilité voulue en 2005 aux sites web d'entreprises qui bénéficient de fonds publics ou qui fournissent des services d'intérêt général.

    * Bourse sur critère social (CNOUS) pour les diplômés en recherche d'emploi ou en reconversion ainsi qu’à des personnes sans qualification inscrites dans des formations préparant aux métiers du numérique.

    * eSport : il faudra un agrément ministériel et une déclaration des associations qui proposeront les compétitions auprès des préfectures + formalités et contraintes budgétaires qui fluctuent selon la taille de l'événement, du prix pour les gagnants,.... Autorisation individuelle et consignation des gains pour les < 16 ans.




Le reste ne change pas de ce que j'ai vu. Voir http://shaarli.guiguishow.info/?AN1cDQ