Une liste de résolvers DNS ouverts. Histoire que la communauté shaarli arrête de citer uniquement FDN à chaque blocage idiot.

89.234.141.66 | 2a00:5881:8100:1000::3 | recursif.arn-fai.net
89.234.186.18 | 2a00:5884:8218::1         | log.bzh
80.67.188.188 | 2001:913::8                   | ns0.ldn-fai.net

Les données d’activité du .fr sont maintenant disponibles gratuitement le 15 de chaque mois. Vous pourrez ainsi réutiliser ces données à des fins d'analyse de marché, d'analyse géographique, de veille ou de toute autre activité créatrice de valeur ajoutée.

Trois jeux de données offrant un aperçu exhaustif de l’activité du .fr :
*Les données relatives aux noms de domaine avec leurs principales caractéristiques - Données géographiques, date de création, nom du bureau d’enregistrement, etc. ;

• Les principaux indicateurs d’activité du .fr - Parc, Créations, Renouvellements, etc. suivant les principaux axes d’analyse (temps, géographique, type de titulaire, etc.) ;
  
  
• La liste des bureaux d’enregistrement accrédités par l’Afnic pour le .fr.

Des données historisées et une forte fréquence de publication :

• Des données mises à jour chaque mois ;
• Une profondeur temporelle de plus de deux ans dès le lancement ;
• La conservation dans les années à venir des historiques publiés.

De bonnes remarques sur l'entreprenariat, la fable de la prise de risques "idiots", la confort et la sécurité de l'emploi qui dégagent le maximum de potentiel des gens, etc.

La fable entrepreneuriale c’est celle qui valorise la prise de risque et l’inconfort extrême de l’entrepreneur, comme un chevalier qui va combattre un dragon pour l’honneur et la gloire.

On raconte de belles histoires en y recréant une noblesse, celle qui a pris des risques et vécu l’inconfort pour créer la valeur de demain, les emplois, la prochaine révolution. Il y a eux et les autres, dans ces derniers les pires étant les salariés, les syndicalistes et les fonctionnaires.

La belle romance permet de valoriser soi et ceux de son rang, puis de barrer la route à toute critique sur les travers négatifs des activités.

La fable s’entretient et certains finissent par y croire, par voir de la valeur dans la prise de risque et l’inconfort, comme une médaille et un aboutissement.

Foutaises que tout cela. Savoir prendre des risques est important. Les prendre effectivement est souvent nécessaire. Savoir les éviter est la plus grande qualité.

Si on peut obtenir les mêmes effets positifs sans passer par la prise de risque, le faire quand même est juste du masochisme. À la limite chacun ses plaisirs, mais c’est aussi jouer à la roulette avec les finances des investisseurs, avec les vies de famille des collaborateurs, avec l’équilibre des sociétés prestataires et partenaires.

Ces risques, cet inconfort, ne sont que des outils, des leviers, et plutôt de ceux à manier avec précaution. Quand certains les voient comme l’objet même de l’activité entrepreneuriale, je ne peux me retenir de repenser à la maxime « quand le sage pointe la lune, l’imbécile regarde le doigt ».

[...]

Un jour les gens comprendront que le confort et la sécurité permettent de travailler avec les gens à leur plein potentiel. Le stress et le risque ne sont là qu’à défaut de savoir ou de pouvoir le faire. Ça revient à travailler contre les gens qu’on met dans une telle situation. Quand c’est de soi-même dont on parle et que c’est volontaire, il faut consulter.

[...]

Ce sont ceux qui se réjouissent par défiance qui me gênent le plus. Ils fêtent ça comme une victoire, comme une justice reprise sur les élus et les fonctionnaires, comme un besoin pour remettre élus et hauts fonctionnaires dans la réalité, voire comme ça de moins à payer en tant que contribuable.

C’est très simple. Que son aventure réussisse ou non, soit Fleur Pellerin reste dans le privé, soit elle revient à son poste dans le public. La dernière alternative n’est possible qu’avec la mise en disponibilité à laquelle elle vient de renoncer.

Si elle reste dans le privé, à part le plaisir sadique de la savoir dans la panade si elle se plante, il n’y a strictement rien à gagner à cette démission. Rien. Pas un kopeck. Et je ne prends personnellement jamais de plaisir à contempler le malheur des autres.

Si elle revenait dans le public on aurait par contre une haute fonctionnaire avec une expérience significative récente dans le privé, à l’heure où on fustige la déconnexion des élites publiques avec ce qui s’y passe.

[...]

On peut discourir autant qu’on veut sur l’injustice de la mise à disponibilité des fonctionnaires, mais il n’y a rien à se réjouir du cas individuel.

Même collectivement, ce système est clairement à l’avantage des contribuables. Il permet d’encourager les fonctionnaires à explorer et se faire d’autres expériences. Il permet ensuite potentiellement à la fonction publique d’en profiter, sans rien débourser.

[...]

Non, ce qui serait intelligent serait d’au contraire encourager tous les grands groupes à mettre en place un système similaire. C’est impossible à tenir pour des petites structures mais, dès qu’on parle de milliers ou dizaines de milliers d’employés, la société a la masse pour assumer ces départs et retours sans mettre en péril l’activité.

Le « Congé pour création d’entreprise » évoqué dans les commentaires, ce n'est pas encore ça.

Via je ne sais plus qui :/

Intéressante suite de billets de blogs courts et illustrés sur l'interception de SMS et d'appels voix émis depuis / à destination d'un téléphone portable.

Via https://twitter.com/Korben/status/781499044774502400 via je ne suis plus qui.

[...] The author has a history of doing shady things, such as messing with AdBlock filters to whitelist ads on his own website. But what is even more serious is the fact that the author advertises on his website malware. Especially to Windows users. Every time NoScript updates itself, the users are shown the homepage of the extension.

If you’re a Linux user, change your browser’s user-agent to Windows in order to investigate. See that “PC slowing down?” banner? It’s hard coded by the author, who gets paid with every successful installation of malware crafted by UniBlue. Just look at the source how the banner is generated. It randomizes itself every time you refresh the browser in order to get away from Adblockers. This dogshit is something even ad networks would be proud of.

The author knows well what he is linking to and has made a great effort to obscure the code and created a mechanism to bypass Adblock.

22/56 sur Virustotal depuis la mi-octobre.

Les termes du billet son exagérés mais oui, il y a un problème de fond. :- Et on n'a pas d'alternatives à NoScript (uMatrix est laaaaaargement plus complexe et prise de tête et n'offre pas totalement les mêmes fonctionnalités).

Via https://ln.chown.me/?M2OUEg

L'EFF a sorti son extension pour navigateur qui a pour objet de bloquer toute sorte de traqueurs sur le web qui ne respecte pas l'entête HTTP « Do not track » (DNT).

Qu'est-ce que ça apporte ? L'EFF a fait le choix de ne pas avoir une liste de filtres (qui peut être soumise à des pressions comme la "publicité acceptable" d'Adblock Plus) et d'avoir une extension qui ne nécesite pas de configuration. Privacy Badger traque et mémorise tous les éléments que chaque page web appelle. Si un même prestataire utilise des traqueurs (cookies identifiants (pas juste un cookie « LANG=fr », quoi)), supercookies, pixel traqueur) et qu'il apparaît sur plusieurs pages consultées et qu'il ne respecte pas l'entête DNT, alors il est bloqué. Si des éléments bloquants sont importants pour des fonctionnalités clés d'un site web, alors Privacy Badger les autorisera mais supprimera les cookies & autres traqueurs. Comment on sait que des éléments sont trop importants ? On utilise une liste jaune : https://github.com/EFForg/privacybadgerchrome/blob/master/doc/sample_cookieblocklist.txt . Les critères de la liste jaune sont exposés ici : https://github.com/EFForg/privacybadgerchrome/blob/master/doc/yellowlist-criteria.md

À l'usage, je note deux "problèmes" potentiels :

• Le code couleur est parfois erroné. Genre sur lesechos.fr, j'ai un carré rouge qui mentionne un traqueur. D'après la doc', la couleur rouge signifie que le contenu a été totalement bloqué. Je clique pour avoir plus de détails et je vois 4 ressources externes de couleur verte et une ressource en jaune. Alors pourquoi est-ce que ce site a une note en rouge ? D'après la doc', ça devrait être en jaune puisqu'il y a un traqueur "indispensable à des fonctionnalités du site web" donc les cookies ont été bloqués mais pas le traqueur en lui-même.
  
  
• Parfois, quand je change d'onglets, la note appliquée au site web de l'ancien onglet demeure dans le nouvel onglet et je dois faire F5 pour avoir la note attribuée initialement au site web du "nouvel" onglet. C'est confusant d'apprendre que t'as un traqueur sur ton blog perso quand tu viens d'un onglet lesechos. :D

On peut choisir de bloquer/débloquer chaque élément identifié par Privacy Badger donc le blocage est sous le contrôle de l'utilisateur donc c'est OK pour moi.

Privacy Badger remplace aussi les boutons « j'aime », « +1 » & co. C'est intéressant car ça a mis en exergue une question que je me pose depuis longtemps : quand t'as plusieurs extensions genre uBlock Origin + Disconnect + Privacy Badger, comment se passe l'analyse de la page, quel est l'ordre des extensions ? Je constate que Privacy badger passe avant uBlock Origin puisqu'il me remplace ces boutons "sociaux" par leur version statique alors que je ne les voyais plus jusqu'ici.

Licence = GPL.

Attention, il y a quelques limites documentées :

• Privacy Badger s'occupe uniquement de la traque entre sites, pas de la traque opérée en propre par un site web donné (third-party, pas first-party) ;
  
  
• Le but premier de Privacy Badger est de faire en sorte que l'entête « Do not track » soit respectée par tous les acteurs qui web. Conclusion : un traqueur qui annonce respecter DNT ne sera pas bloqué ;
  
  
• Comment Privacy Badger sait qu'un traqueur dit qu'il respecte DNT ? Soit parce qu'il ne traque plus entre des sites différents (et donc il ne sera pas bloqué par Privacy Badger), soit parce qu'il a publié un fichier /.well-known/dnt-policy.txt . Ce deuxième cas permet de débloquer automatiquement un domaine précédemment bloqué chez un-e utilisateur-rice de Privacy Badger. Cela donne du pouvoir aux indestriels de la traque de modifier du jour au lendemain le comportement de l'extension installée sur mon matos donc je n'aime pas ça.

Qu'est-ce que j'en pense ? Que Privacy Badger ne va pas aussi loin que je pense qu'il est nécessaire d'aller : je ne veux pas de traqueurs tout court. Osef que ça prétend respecter DNT, je ne veux pas que mon navigateur web charge du code 3rd party distant à gogo. Du coup, l'extension n'est pas adaptée à mes besoins.

En revanche, je trouve le pragmatisme de cette extension intéressant : ça permet de la conseiller à des noobs. Mais, pour l'instant, je ne le ferai pas à cause du code couleur erroné comme je l'ai présenté ci-dessus.

Pour les utilisateur-rice-s expérimenté-e-s, je recommence de ne pas laisser Privacy Badger tout seul mais de le faire fonctionner en parallèle d'autres extensions, histoire de ne pas vous retrouver à poil quand un gros industriel de la traque déclarera faussement ne plus traquer personne et que Privacy Badger le croira.

Via https://twitter.com/bearstech/status/785051583558012928 via https://twitter.com/bluetouff qui m'ont rappelé l'existence de cette extension.

Tous les élèves de terminale retenaient leur souffle. Après près de six mois de négociations et un avis favorable de la Cada (Commission d'accès aux documents administratifs), le ministère de l'Éducation nationale a enfin dévoilé, lundi 17 octobre 2016, le code source du portail APB (Admission-postbac)... ou presque.

Cet algorithme, qui affecte les bacheliers et bac+1 dans l'enseignement supérieur, a longtemps été gardé secret. L'association Droits des lycéens bataillait depuis de longs mois pour le rendre public. Le jour de la date limite, le ministère leur a finalement envoyé le document par la poste, au format papier, comme le révélait hier l'Etudiant.

Après la grogne, le ministère a filé ça en version numérique, d'après Le Monde. En argument vaseux pour ne rien divulguer, on a aussi eu "le code source contient les données personnelles des étudiants". On continue dans le foutage de gueule. Et pour ne pas dévoiler le code en entier, on a désormais le classique "on constate des tentatives de piratage tous les ans, on ne va pas les simplifier en publiant tout le code source". :-

Le document, daté du 12 septembre 2016, est partiel car il ne contient que le code utilisé pour la répartition dans les filières à capacité limitée.

Chaque formation BTS/IUT a ensuite ses propres critères.

[...]

Autre grief, même pour les techniciens, ce code est illisible. Dans sa structure, il utilise en effet des mots obscurs auxquels nul ne sait à quoi ils se réfèrent, comme "o_g_ti_cod" ou "o_c_gp_cod" plutôt que "ville", "note au bac", etc. Ils désignent des noms de colonnes dans une base de données, mais c'est au lecteur de deviner à quoi elles correspondent. Seul un décorticage minutieux du code le permettrait.

L'aspect papier est gênant, mais le plus symptomatique de la farce : ne même pas avoir fourni l'extrait correspondant du schéma de la base.

Pour Stéphane Bortzmeyer, cette opacité témoigne des réticences du gouvernement à être transparent. "Normalement, essayer de comprendre un code obscur, cela se fait dans un environnement hostile, par exemple lorsqu'on travaille dans la sécurité, pour comprendre un virus ou un malware (logiciel malveillant)."

Le code est sur github : https://github.com/jeantil/admission_post_bac

Les premières questions que pose le décorticage du code : http://www.lemonde.fr/campus/article/2016/10/25/apb-les-questions-que-souleve-le-code-source_5020076_4401467.html . Je n'ai rien retenu de vraiment rédhibitoire. Les candidats en réorientation moins prioritaire, ça a toujours été assumé par le Ministère, il n'y a pas encore assez d'éléments pour dire que les étudiants étrangers traités plus favorablement, etc.

Les faits commencent à dater mais je me mets ça de côté :

En effet dans son réquisitoire devant la chambre de l’Instruction de la cour d’Appel de Paris, dont l’audience aura lieu ce jour à 14 heures, le procureur général près de la Cour d’Appel de Paris écrit « Enfin la découverte en perquisition chez X d’un document d’un syndicat d’avocat intitulé : manisfestants–e-s : droits et conseils en cas d’interpellation vient corroborer la volonté manifeste de participer à des actions violentes en cours de manifestation puisqu’il prend des éléments sur la conduite à tenir en cas d’interpellation ».

Ainsi le SAF est accusé d’encourager la violence au seul motif de faire connaître leurs droits aux manifestants par la production d’un document intitulé « info juridiques » et contenant des informations exclusivement juridiques.

Le SAF s’élève de la manière la plus énergique contre la motivation des réquisitions du Parquet Général qui considère que la possession d’un tract distribué par le SAF afin d’informer les citoyens – tous les citoyens – de leurs DROITS dans l’hypothèse d’une interpellation constituerait une présomption de violences !

[...]

Le seul fait qu’une telle idée ait pu germer dans l’esprit d’un magistrat de la République démontre le fossé existant entre les citoyens et ceux qui sont censés faire respecter la loi.

Ainsi connaître ses droits est présumé un acte subversif et l’avocat, professionnel du droit en deviendrait complice.

Il est de la mission de ceux qui assurent LA DÉFENSE des justiciables, de TOUS les justiciables, qu’ils soient auteurs ou victimes d’infraction, de les informer de leurs droits.

Le Canard Enchaîné évoquait un jour le livre « Face à la police / Face à la justice - Guide d'autodéfense juridique ». Je ne l'ai pas encore acheté, c'est dans ma TODO mais le titre me rappelle furieusement le guide de l'autodéfense numérique (https://guide.boum.org/), donc ça doit être bien. :D

Via https://twitter.com/MaitreMo/status/738605278313095176 via je ne sais plus qui.

Je n'avais rien noté sur ça non plus…

Déposé le 11 décembre devant l’Assemblée nationale, le projet de loi « pour la croissance et l’activité » aura fait couler beaucoup d’encre. Initialement tourné vers des questions relatives au travail du dimanche ou aux professions réglementées, le texte s’est rapidement transformé en un véritable « fourre-tout ». Après des semaines de débats – et ce en dépit de l’utilisation répétée du 49-3 – la loi Macron s’est étoffée de plusieurs dizaines d’articles.

[...]

Open Data sur les données de transport [...] Les nombreuses sociétés concernées par ces nouvelles obligations seront toutefois dispensées de s’y plier dès lors qu’elles auront élaboré des conventions « Open Data » homologuées par les ministères des Transports et du Numérique. D’importantes exceptions pourraient ainsi contrecarrer les intentions du législateur, puisque les transporteurs seront autorisés à réclamer des redevances ou à prévoir des « délais raisonnables » de mise en ligne de leurs données

Rétractation pour les achats en ligne. Il ne sera désormais plus possible d’exercer son droit de rétractation avant la réception d’un bien commandé sur Internet. Cette faculté devient réservée aux contrats conclus « hors établissement », c’est-à-dire lors d’un démarchage à domicile. Le délai reste dans tous les cas de 14 jours, mais cela signifie que le consommateur qui changera d’avis devra forcément renvoyer le produit qu’il vient de recevoir.

Gratuité pour les données du registre InfoGreffe. [...] L’INPI aura ensuite pour mission d’assurer dans un second temps « la diffusion et la mise à la disposition gratuite du public, à des fins de réutilisation, des informations techniques, commerciales et financières qui sont contenues dans le Registre national du commerce et des sociétés et dans les instruments centralisés de publicité légale ». Il faudra néanmoins attendre qu’un décret ministériel confirme que la publication de ces données se fera dans un format ouvert propice à l’Open Data. Les informations expressément concernées (statuts, comptes annuels, extraits Kbis) pourraient également être précisées à cette occasion.

[...]

Pré-raccordement obligatoire des logements neufs (et rénovés) au très haut débit. Alors que les seuls immeubles collectifs neufs doivent aujourd’hui être capables de recevoir « par défaut » la fibre, cette obligation est étendue avec la loi Macron à tous immeubles individuels ainsi qu'aux maisons dont le permis de construire aura été délivré après le 1er juillet 2016. Ces logements seront tenus d’être « pourvus des lignes de communications électroniques à très haut débit en fibre optique », aux frais du propriétaire. Les immeubles faisant l’objet de travaux soumis à permis de construire (agrandissement d'un appartement, construction d’une terrasse, etc.) seront également concernés, à condition cependant que le coût des travaux d’équipement ne soit pas « disproportionné par rapport au coût des travaux couverts par le permis de construire ». Un décret en Conseil d’État devra préciser les modalités d’application de ces dispositions.

[...]

Démantèlement des cabines téléphoniques. Afin de compenser le coût de la résorption des zones blanches pour les opérateurs, le gouvernement a fait supprimer l’obligation qui incombait jusqu’ici à Orange d’installer et de maintenir des cabines téléphoniques sur l’ensemble du territoire

Un statut pour les « zones fibrées ». Afin de reconnaître ces territoires « où il est constaté que l'établissement et l'exploitation d'un réseau en fibre optique ouvert à la mutualisation sont suffisamment avancés pour déclencher des mesures facilitant la transition vers le très haut débit », Bercy pourra attribuer, après avis de l’ARCEP, un statut de « zone fibrée ». L’idée est de favoriser l’extinction du réseau cuivre, en augmentant par exemple les prix des abonnements au cuivre dans ces zones. Aucune mesure de la sorte n’est cependant inscrite directement dans la loi Macron. Il faudra en ce sens attendre le décret d’application de cet article.

[...]

Clarification des objectifs poursuivis par l’ARCEP. L’article L32-1 du Code des postes et des communications électroniques est complètement réécrit. Alors qu’il procédait jusqu’ici à une sorte d’inventaire à la Prévert, le législateur a procédé à une hiérarchisation, de telle sorte que le développement de l’emploi passe par exemple avant le respect, par les opérateurs, du secret des correspondances – qui prévaut désormais lui-même sur la protection de l'environnement et de la santé, etc. Le détail de cet article est accessible ici.

La loi Macron, c'est également la possibilité donnée à l'ARCEP de requalifier certains acteurs numériques en opérateurs, ce qui force ces acteurs à devoir collaborer, notamment dans le cadre des interceptions des communications. Voir http://shaarli.guiguishow.info/?yvAfAQ

La loi Macron, c'est aussi l'impossibilité d'obtenir la destruction d'un bien immobilier quand le permis de construire associé est annulé alors que le bien est achevé (sauf exceptions espace vulnérable, zone protégée, tout à). Cela force les assos de défense à agir en référé, pendant la construction. Voir http://shaarli.guiguishow.info/?8MaoYg

Aujourd'hui, bien des clients d'Orange ont eu la mauvaise surprise de ne pas pouvoir visiter Google. La plupart n'avaient pas de messages d'erreur précis, juste une longue attente et un message d'erreur vague du genre « timeout ». Certains avaient la désagréable surprise de voir apparaitre une page menaçante, les accusant d'avoir voulu se connecter à un site Web terroriste. À l'origine de ce problème, une erreur de configuration dans les résolveurs DNS d'Orange, en raison de la fonction de censure administrative du Web.

D'abord, voyons l'étendue du problème. Il n'affectait que les clients d'Orange, et seulement ceux qui utilisaient les résolveurs DNS de l'opérateur (voir plus loin pour une définition des termes techniques). Les sites inaccessibles incluaient http://www.google.fr/, mais aussi http://fr.wikipedia.org/, http://www.ovh.com/ et quelques autres. [...]

Au ministère, on évoque plutôt une centaine de sites web bloqués/redirigés, voir : http://www.nextinpact.com/news/101837-le-blocage-chez-orange-a-frappe-plus-trois-sites.htm

Mais, ce lundi matin, lorsqu'on interrogeait les résolveurs d'Orange au sujet de l'adresse IP de www.google.fr, au lieu de répondre avec l'adresse contenue dans les serveurs faisant autorité pour google.fr (serveurs gérés par Google), par exemple 216.58.211.99, ils répondaient 90.85.16.52, une adresse appartenant à un sous-traitant du Ministère de l'Intérieur.

OBS fournit juste la liaison, pas le service (le serveur web, tout ça) qui est géré en interne du Ministère.

Mais ce serveur était bien trop faible pour encaisser l'énorme trafic de Google et de Wikipédia, et a vite cessé de fonctionner correctement. C'est ce qui explique l'absence de réponse fréquemment rencontrée, faisant croire aux utilisateurs que Google était en panne. (Une autre raison est que la plupart des accès à Google se font désormais en HTTPS et que le serveur du Ministère ne gère pas HTTPS, ne répondant pas, même pas par un refus de connexion.)

Comment une telle bavure a pu se produire ? L'erreur était-elle dans la liste envoyée par le Ministère de l'Intérieur ou bien uniquement chez Orange ? On n'a évidemment pas d'information à ce sujet (les pannes Internet ne font jamais l'objet d'analyses indépendantes et publiques, ce qui explique que la sécurité ne progresse guère). Tout est possible, y compris des erreurs humaines qui sembleraient invraisemblables (mais on voit vraiment de tout dans le monde réel). Une des hypothèses les plus intéressantes (elle explique notamment pourquoi il y a eu plusieurs noms touchés) est celle d'un fichier de test installé par erreur à la place du « bon ».

[...]

La panne elle-même, c'est-à-dire l'envoi de fausses informations par les résolveurs DNS d'Orange, a duré environ une heure. Mais son effet avait été prolongé par la mémorisation (les fameux « caches ») des informations dans certains composants du réseau (par exemple la « box » chez l'utilisateur). Cela fait que, plusieurs heures après, Google ou Wikipédia étaient toujours inaccessibles pour certains utilisateurs.

[...] Toute interférence avec le fonctionnement du DNS, que ce soit pour des raisons politiques ou autres, le met potentiellement en péril. C'est ce qu'avait analysé le rapport du Conseil Scientifique de l'AFNIC « Conséquences du filtrage Internet par le DNS », qui mettait bien en évidence le risque de tels filtrages ou blocages. Une bavure analogue à celle de Google était déjà arrivée au Danemark mais il semble que personne ne tire de leçons de l'expérience.

https://exegetes.eu.org/orange-redirection-cazeneuve/ :

Mais, en plus de ce dispositif de blocage, déjà fort critiquable, le gouvernement a également décidé d’imposer aux opérateurs la redirection des visites interceptées vers une page du ministère de l’Intérieur. De ce fait, le gouvernement a créé de sa propre initiative (la loi ne l’ayant pas prévu) un système permettant techniquement au ministère de l’intérieur de savoir qui voudrait visiter tel site bloqué.

Nous avions fortement critiqué cette obligation de redirection lors d’une procédure devant le Conseil d’État. Par une décision du 15 février 2016, ce dernier a rejeté nos arguments, considérant que cette obligation de redirection, bien que permettant au ministère de recevoir des données identifiant les visiteurs interceptés, n’implique pas que le ministère fasse un traitement des données interceptées et n’est donc pas en soit susceptible de constituer une atteinte à la vie privée.

[...]

Suite à l’évènement de lundi et à la réaction publique qui a suivi, le ministère de l’intérieur a été contraint de reconnaitre qu’il « dispose d’un prestataire pour le suivi statistique des consultations […] de cette page de blocage » (et de la page « recours » y étant liée) et que ce prestataire conserve les « adresses IP collectées lors des consultations redirigées » (à l’exception de celles collectées durant l’incident de lundi et qui ont été, elles seules, supprimées). Cette collecte de données est précisément ce que nous dénonçions comme étant l’unique raison d’être de l’obligation de redirection, mais que le Conseil d’État a feint de ne pouvoir anticiper.

Or, d’une part, le traitement de données personnelles ici reconnu par le ministère n’a pas été autorisé validement. Pour ce faire, son autorisation aurait au moins dû être précédée par un examen préalable de la CNIL (tel que cette dernière le rappelait dans son avis concernant l’obligation de redirection2), ce qui n’a pas été le cas. D’autre part — et c’est l’essentiel — un tel traitement, même s’il respectait les formalités légales, resterait illicite en ce qu’il constituerait une atteinte à la vie privée et à la liberté d’information disproportionnée par rapport à l’objectif initialement prévu par le législateur.

Nous avons déjà saisi la CNIL d’une plainte à ce sujet. La récente déclaration du Ministère de l’Intérieur nous ouvre probablement une autre voie contentieuse… À suivre !

GG les exegètes ! :O

http://www.numerama.com/politique/202166-client-orange-votre-adresse-ip-est-peut-etre-associee-a-un-site-terroriste.html :

Le ministère de l’Intérieur l’avait reconnu en décembre 2015 dans la réponse à une question du député Lionel Tardy [...] :

L’adresse IP est enregistrée. Les adresses IP ainsi collectées ne sont pas exploitées mais permettent une comptabilisation précise du nombre de connexions à chacune des pages bloquées. Les premiers chiffres enregistrés depuis la mise en place du dispositif font apparaître plus de 30 000 connexions par semaine concernant les sites de pédo-pornographie, et 250 connexions en moyenne par semaine concernant les sites à caractère terroriste. »

Chez Numerama, on apprend que la liste est un fichier CSV - http://www.numerama.com/tech/202058-orange-pourquoi-une-erreur-humaine-parait-peu-vraisemblable.html :

Lorsque le ministère de l’Intérieur envoie la liste des sites à bloquer aux principaux opérateurs télécoms français, il le fait sous la forme d’un fichier CSV qui comprend quatre colonnes. La première est une référence de dossier, la deuxième est le nom de domaine et les deux suivantes sont les adresses IP vers lesquelles diriger les utilisateurs, selon que le site est bloqué pour apologie du terrorisme, pédopornographie, jeux d’argent illicites ou d’autres motifs.

Très intéressante remarque - https://twitter.com/AlexArchambault/status/788021234944643072 :

‒ et pourquoi ce n'est pas apparu chez d'autres opérateurs ? la liste est la même ?
‒ le fichier est « personnalisé » pour chaque destinataire, pour identifier et tracer d’éventuelles fuites

Vu la simplicité de la liste (voir Numerama ci-dessus), cela signifie qu'il y a donc des faux domaines dans la liste ou comment ça se passe ? :O

Pour l'instant, c'est ce que je retiendrais du Brexit. En gros : ça ne va pas changer grand'chose : l'Angleterre signera 3 tonnes d'accords & co et basta. C'est pour ça que je ne crois pas à l'écroulement de l'économie UK : car rien ne va fondamentalement changer. Même chose quand je vois Berlin et Paris se battre pour décrocher le rôle de future City.

Même chose pour l'aspect politique : rien ne changera. Il n'y a pas que le Brexit qui génère de la défiance vis-à-vis de l'UE chez les citoyens-ne-s mais aussi les coups contre le Peuple (coucou le traité européen constitutionnel de 2004-2005), les accords de libre échange imposés (coucou CETA et ACTA, entre autres), le fait que l'UE est incapable de causer d'autre chose que de commerce, de marché unique, tout ça, etc. Et tout cela n'est jamais remis en question. Je trouve ça fort de café de faire porter le chapeau de la merde ambiante à la seule Angleterre.

Via je ne sais plus qui. :(

Ce qui me gonfle, c'est que la justice sait très bien s'occuper des lanceurs d'alertes mais pas du cabinet d’audit PricewaterhouseCoopers (LuxLeaks). Même chose pour les révélations Snowden. Même chose pour les Panama Papers bien vite oublié après que Michel Sapin ait promis que le fisc ira chercher le fric qui lui est dû. Même chose pour l'industrie de la surveillance de masse (on est encore au stade de l'information judiciaire).

Les seuls cas où les alertes ont abouties dont j'ai connaissance, c'est Irène Frachon (Médiator) et Stéphanie Gibaud (UBS). Et encore, dans le deuxième cas, SG a gagné son procès pour harcèlement moral et le fisc dit avoir récupéré son dû, comment je vérifie ?

C'est un peu léger et c'est déprimant.

À la base, j'avais mis de côté un chiffre actualisé relayé sur Twitter par Stéphane Bortzmeyer. Mais vu que je l'ai paumé, je substitue par cet article. :/

Ainsi aujourd’hui, selon les informations fournies par les opérateurs à l’Arcep, « plus de la moitié du trafic acheminé sur les réseaux d’accès à internet en France est remis par seulement 5 systèmes autonomes (correspondant à des fournisseurs de services, hébergeurs ou intermédiaires techniques), sur les 60 000 qui composent l’internet« .

[...] Elle est due aux mastodontes que sont devenus les Google, Apple, YouTube, Facebook, Amazon et consorts, et au poids que représentent des réseaux intermédiaires comme celui d’Akamai. [...]

[...]

Ainsi selon les données déclarées à l’Arcep, « la part de trafic chiffré sur internet, vue par les FAI en France, représenterait près de 50 % à la mi-2015, contre 5 % environ en 2012.

Et on est OK pour pour produire ces stats en étant FAI, t'es obligé de faire du DPI, c'est-à-dire de monter bien plus haut que la couche 3 à laquelle ton rôle d'opérateur réseau te confine normalement ? :))))

ÉDIT DU 27/10/2016 À 20H45 : J'ai retrouvé le tweet/document que je cherchais : http://www.connectedcaribbean.com/wp-content/uploads/2016/06/CarPIF-2016-Peering-Ecosystem.pdf

• In 2007 there were literally 1000’s of ASN’ which generated 50% of all Internet traffic
• Today in 2016 10 ASN’s generate 70% of all consumer traffic

FIN DE L'ÉDIT

Ne pas confondre longueur et ennui

[...]

Les critiques sur celle-ci relèveraient quant à elle d’un malentendu. « Il faut prendre du recul pour analyser pourquoi on dit qu’un jeu est long. Je pense que c’est avant tout parce qu’on s’ennuie : on juge la répétitivité, pas la longueur » [...]

[...]

« Ce qu’on entend par durée de vie a beaucoup évolué en fonction des changements qu’ont subis les jeux vidéo au niveau de leurs structures », resitue Bojan Trajkov, doctorant en sociologie du jeu à l’université Paris-8 et membre de Ludopresse, un projet d’étude de la presse jeu vidéo francophone.

« Au début, la durée de vie, c’était plus ou moins synonyme de rejouabilité. Ensuite, un jeu avec une bonne durée de vie, était un jeu qui nécessitait beaucoup de temps de jeu effectif pour achever une première partie (typiquement les jeux de rôle, etc.). Et enfin, la durée de vie au sens moderne pourrait quant à elle se rapporter à la quantité d’activités annexes (nombre de quêtes subsidiaires, mini-jeux, courses chronométrées, objets à collecter, etc.) en plus des actions principales à accomplir. Ainsi, la longueur d’un jeu pourrait aujourd’hui se mesurer au contenu proposé dans son ensemble, non pas seulement au temps théorique nécessaire pour afficher les crédits. »

Le titre est sensationnaliste mais le contenu est intéressant.

Valery Bardin était à la tête d’un groupe de programmeurs du tout premier fournisseur d’accès à internet soviétique, baptisé alors Demos/Relcom. La première connexion du monde soviétique à internet avait été faite presque exactement une année auparavant, le 28 août 1990. Ce jour-là, les programmeurs de l’institut Kourtchatov, principal centre de recherche sur le nucléaire de l’Union soviétique, avaient échangé des e-mails avec une université d’Helsinki. Toutefois, ils avaient auparavant déjà établi des connexions avec des centres de recherches situés à Doubna, Serpoukhov et Novossibirsk.

Le réseau passait alors par les lignes téléphoniques et la bande passante était extrêmement limitée (il ne permettait que d’échanger des e-mails simples). Ils l’avaient baptisé Relcom (de l’anglais «RELiable COMmunications», «communications fiables»). Le cœur du réseau se trouvait dans le centre informatique de l’institut Kourtchatov, dirigé par Alexey Soldatov, le père d’Andreï. À l’été 1991, Relcom avait une ligne allouée avec Helsinki et le réseau interne soviétique avait atteint 70 villes, avec plus de 400 organisations qui l’utilisaient, parmi lesquelles des universités, des instituts de recherche, des hautes écoles, des agences gouvernementales…

Sur le plan technique, Relcom possédait deux quartiers généraux. Au troisième étage du centre informatique de l’institut Kourtchatov, quelques salles abritaient le serveur principal, construit sur le PC IBM 386. Des modems à 9.600 bits/seconde étaient connectés de façon permanente aux lignes téléphoniques internationales. L’autre QG était situé dans une maison quelconque sur les berges de la rivière Moscova, avec, au deuxième étage, une équipe de 14 programmeurs Demos, qui travaillaient jour et nuit à la réparation et à l’amélioration des logiciels, ainsi qu’à la maintenance du réseau. Ils avaient également un serveur de secours et un modem 9.600 bauds.

[...]

La connexion internet vers les villes autres que Moscou et au-delà des frontières de l’Union soviétique était capitale pour faire circuler les proclamations d’Eltsine et d’autres démocrates à travers le monde. Le canal principal était un groupe de discussion, talk.politics.soviet, disponible sur UseNet, l’un des premiers réseaux mondiaux de newsgroups internet fonctionnant sur de nombreux serveurs différents et ne dépendant donc pas d’un seul. Il était plein de messages inquiets et énervés postés par des Occidentaux. [...]

Les Occidentaux envoyèrent des messages de soutien à Eltsine et, cette nuit-là à Moscou (c’était le milieu de journée aux États-Unis), le soutien des Américains devint de plus en plus appuyé. Le réseau fut rapidement surchargé, ce qui entraîna momentanément des pertes de connexion. Inquiet, Alexey Soldatov était constamment au téléphone avec Bardin et lui demandait avec obsession de faire tout son possible pour maintenir la connexion.

[...]

Vers cette période, la télévision d’État annonça le décret n°3 des putschistes, qui restreignait les échanges d’informations avec l’Occident. Ce décret appelait à la suspension de toutes les télévisions et radios russes, notamment la nouvelle chaîne de radio démocrate Echo Moskvy, qui avait joué un rôle essentiel dans la résistance. Les putschistes déclarèrent que les émissions des radios et télévisions n’étaient pas «propices au processus de stabilisation du pays».

Visant à fermer tous les canaux de communication du pays, le décret assignait au KGB la tâche de le mettre en application.

En dépit des menaces, il n’y eut pas de débat au sein de l’équipe sur le décret n°3: tous étaient déterminés à garder les lignes ouvertes, même en sachant qu’ils prenaient des risques importants au niveau personnel.

«Nous étions déjà du mauvais côté, a déclaré Bardin, parce que l’échange d’informations était la raison d’être de Relcom. Quoi que nous fassions, nous serions les ennemis du régime.»

Là, on lui indiqua que son principal objectif devait être de faire fonctionner les émetteurs radio et de diffuser les proclamations d’Eltsine. «Eltsine m’a dit d’allumer tous les transmetteurs radio à ondes moyennes qui se trouvaient dans la partie européenne de la Russie», se souvient Bulgak. Ces transmetteurs constituaient le principal moyen de diffusion dans l’Union soviétique. Il y en avait dans tout le pays, avec pour chacun une couverture de 600 km.

La tâche n’était pas aisée, car tous les transmetteurs radio n’étaient pas sous le contrôle du gouvernement d’Eltsine, mais plutôt du ministère soviétique des Communications, qui était un échelon au-dessus. «Au ministère soviétique, trois personnes seulement connaissaient les mots de passe. Et sans mot de passe, aucun responsable de transmetteur n’allait allumer sa station», explique Bulgak. Il parvint à obtenir les mots de passe auprès d’un ami personnel.

Puis, avec ses propres contacts, Bulgak parvint à installer un transmetteur radio mobile sur un camion pour le conduire à Noginsk, à 60 km de Moscou, en plein dans la cour où Eltsine se cachait. Ils l’allumèrent immédiatement: si tout le reste échouait, ils pourraient au moins diffuser l’appel d’Eltsine jusqu’au centre de la capitale. Malheureusement, des dispositifs militaires de brouillage furent déployés en urgence dans le sud-ouest de Moscou afin de perturber la diffusion du transmetteur mobile de Bulgak.

Bulgak travailla d’arrache-pied toute la nuit, en faisant appel à ses contacts personnels à l’intérieur de l’Union. Le matin du 21 août, les transmetteurs furent allumés. Lorsqu’Eltsine descendit les marches de la Maison-Blanche, il parla dans un microphone qui était directement relié aux transmetteurs de Bulgak. Au ministère soviétique des Communications, ce fut la consternation.

Pendant que Bulgak fournissait un transmetteur à Eltsine, Relcom allait encore plus loin. Le premier jour du putsch, quelqu’un dans l’équipe de Bardin eut une idée qu’ils baptisèrent Regime n°1: il s’agissait de demander à tous les abonnés de Relcom de regarder par leur fenêtre et de décrire exactement ce qu’ils voyaient –juste les faits, pas d’émotion. Très rapidement, grâce à ces témoignages et aux informations des journalistes, Relcom eut une image assez précise de ce qui se passait dans le pays. Il devint clair que les chars d’assaut et les troupes n’étaient présents que dans deux villes (Moscou et Leningrad) et que le putsch était voué à l’échec.

La tentative de coup d’État prit fin le 21 août. En tout, durant ces trois jours, Relcom transmit environ 46.000 «unités d’information» à travers l’Union soviétique et dans le monde entier. Tout le monde ne s’en rendit pas compte à l’époque, mais Regime n°1 fut une idée révolutionnaire. Les émetteurs radio ne diffusaient l’information que dans un seul sens. Relcom marchait dans les deux sens, puisqu’il permettait à la fois de diffuser et de collecter des informations. C’était une structure horizontale, un réseau, un concept résolument nouveau dans ce pays qui avait été si longtemps sous le contrôle d’une oligarchie rigide, qui contrôlait tout. Dans les années 1950, la première photocopieuse soviétique avait été détruite parce qu’elle menaçait de permettre la transmission d’informations qui échapperaient au contrôle des instances dirigeantes. En 1991, le pouvoir de ces mêmes instances fut renversé par un réseau qu’ils ne purent contrôler.

Un autre principe fut démontré durant ces trois jours d’août 1991: les programmeurs firent ce qu’ils pensaient être juste et ne demandèrent la permission à personne. Ils agirent ainsi parce que la libre circulation des informations était menacée. Ils savaient aussi qu’ils avaient le soutien de milliers d’abonnés qui renforçaient leur réseau. C’était la toute première fois qu’internet jouait un rôle dans la politique russe. En mettant fin au monopole du Kremlin sur la diffusion et le partage d’informations, le réseau permit l’effondrement du projet des services de sécurité.

Ce n’est pas quelque chose que le Kremlin tolérerait aujourd’hui. Depuis 2011, les partenaires de Vladimir Poutine ne cessent d’essayer de mettre internet sous contrôle via un usage immodéré du filtrage, de la censure, de la surveillance et des pressions directes sur les plateformes russes ou internationales. Il y a peu, le ministère russe des Communications a fait connaître ses projets de nationalisation des éléments clés de l’infrastructure d'internet dans le pays, notamment des points d’échange internet.

[...]

Le Kremlin semble n’avoir toujours pas compris qu’internet est horizontal –Internet, c’est les gens. En 1991, ils ont partagé des informations sur les mouvements des troupes grâce à USEnet et aux e-mails. Aujourd’hui, ils utilisent les réseaux sociaux, mais il s’agit au fond de la même chose : du contenu généré par des les utilisateurs sans aucune autorisation.

Via je ne sais plus qui. :/

Le site web de LQDN dédiée à la protection des données personelles et au Règlement européen général sur la protection des données (RGPD). Quelques vidéos de LQDN pour expliquer les notions clés : https://www.youtube.com/playlist?list=PL2UK9Uu0GFtwjoT7JCXhWP41iIlE1PUPJ

On qualifie de donnée personnelle toute information qui, directement ou indirectement, permet d'identifier une personne physique. La loi française protège toutes les personnes physiques, qu'elles soient françaises ou pas, du moment qu'elles sont sur le sol français.

Actuellement, c'est par une *directive de 1995 que l'Union européenne protège la vie privée des européens sur Internet. Elle encadre la collecte, l'exploitation et la revente de leurs données personnellesµ. [...] Chaque État membre de l'Union européenne a transposé la directive de 1995 dans son droit national en votant de nouvelles lois. µµEn France, cela s'est fait en 2004 par une réforme de notre Loi Informatique et Libertés, qui encadre depuis 1978 l'exploitation des données personnelles des citoyens**.

Le règlement européen a été adopté en avril 2016 et entrera en vigueur en mai 2018. Objectif : uniformisation du droit dans tous les États membres (un règlement ne se transpose pas en droit national) souvent réclamée (« Dernièrement, cela a été un angle d'attaque pour les éditeurs de presse, visés par une enquête de la CNIL pour leur collecte des données des internautes, qui estiment l'interprétation française de cette directive bien plus stricte que celle des pays voisins. » source : http://www.nextinpact.com/news/99480-le-parlement-europeen-adopte-reglement-sur-donnees-personnelles-et-pnr.htm ) + actualisation pour suivre l'évolution technologique.

Le critère du ciblage

Le règlement s’applique dès lors que le responsable de traitement ou le sous-traitant est établi sur le territoire de l’Union européenne ou que le responsable de traitement ou le sous-traitant met en œuvre des traitements visant à fournir des biens et des services aux résidents européens ou à les « cibler » (en anglais monitor).

Source : https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-ce-qui-change-pour-les-professionnels

LQDN en retient ça (source : https://wiki.laquadrature.net/Synth%C3%A8se_du_r%C3%A8glement_sur_la_protection_des_donn%C3%A9es ) : « Le règlement s'applique également au responsable du traitement des données et au sous-traitant, non-établis dans l'Union, lorsque leurs activités de traitement concernent l'offre de biens ou de services, ou la surveillance des comportement des personnes résidant dans un pays de l'Union européenne (article 3§2). La surveillance du comportement d'un utilisateur signifie que ce dernier est « suivi » sur internet au moyen de techniques de traitement de données qui consistent au profilage d'un individu. Ce profilage est mis en place pour prendre des décisions le concernant, ou pour analyser voire prédire son ou ses préférences personnelles, son comportement et ses attitudes, sa santé, ses mouvements, sa position (considérant 24, article 4).

Consentement explicite

Le droit actuel manque de précision sur la définition du consentement que nous devons donner à une entreprise pour qu'elle puisse collecter ou exploiter nos données. La loi française parle d'un consentement exprès et informé, mais la Loi Informatique et Libertés ne parle pas de consentement, mais d'« accord ». Le sens concret de ce que recouvre ce mot n'est ni clair ni certain. Ainsi, certaines entreprises en profitent pour considérer le simple fait de visiter leur site comme l'acceptation de leurs « Conditions Générales d'Utilisation », ou autre « accord » prévoyant l'exploitation de nos données.

Le règlement général sur la protection des données prévoit que notre consentement devra être « libre, spécifique, éclairé et univoque » : Il faudra que nous exprimions clairement vouloir que nos données personnelles soient utilisées dans les conditions et pour les objectifs de traitement présentés par les entreprises (ou toute autre structure privée ou publique) dont nous utilisons les services. Une case précochée ne sera donc plus possible.

Univoque a été remplacé par « explicite » dans la version finale.

Cette nouvelle définition du consentement par le règlement est donc une nette amélioration.

Le projet prévoit par ailleurs que l'internaute puisse se rétracter aussi aisément qu'il a donné son consentement, à tout moment.

Ce que l'on nomme aussi droit à l'oubli, applicable y compris aux moteurs de recherche. Mais il y a un petit problème d'équilibre selon LQDN :

Par ailleurs, la doctrine a lourdement souligné que les plateformes hébergeant du contenu public s'exposent à de lourdes sanctions si elles n'obtempèrent pas avec les demandes de retrait, alors qu'elles ne sont pas inquiétées par le règlement en cas de suppression abusive des contenus qui leurs sont signalés.

D'une manière générale, le consentement explicite peut être détourné par…

Intérêt légitime

Le droit actuel autorise l'exploitation des données personnelles :

• lorsque la personne concernée y a consenti ;
• afin d'exécuter un contrat conclu par cette personne ;
• en cas d'urgence médicale ;
• lorsque cela est exigé par la loi ou l'intérêt public ;
• pour un intérêt historique, statistique ou scientifique ;
• dans l'exercice de la liberté d'expression ;
• lorsque cela est dans « l'intérêt légitime » d'une entreprise.

Cette autorisation à se passer du consentement lorsqu'il existe un « intérêt légitime » a pour but d'éviter que notre droit ne soit trop rigide et n'interdise certaines pratiques innovantes qui n'auraient pas été envisagées au moment de la rédaction de la loi. Hélas, cette notion est très mal définie et représente en réalité une importante faille dans l'ensemble de notre droit à la protection des données.

Lorsqu'on a affaire à un traitement mis en place pour l'intérêt légitime d'une entreprise, elle n'a pas à obtenir de consentement, donc n'a pas à se soucier de la charge de la preuve - ce qui est grave. En effet dans ces conditions il est tentant pour un professionnel de brandir l'intérêt légitime afin d alléger les procédures de préparation de preuves du consentement. Cette exception à l'obtention du consentement risque d'être exploitée à outrance, ne serait ce que pour des questions de couts procéduraux internes.

Portabilité des données

La portabilité des données correspond à la possibilité pour l'internaute de demander le transfert de ses données vers de nouveaux prestataires. La portabilité des données se fonde sur le même principe que la portabilité des numéros de téléphone, que l'on pourrait par exemple appliquer au mail ou a des services aux fonctionnalités équivalentes. Pour le mail par exemple il s'agit du transfert des correspondances et des contacts.

En France, on a eu tout pareil dans la loi pour une République numérique votée au même moment… avec les mêmes limites (qu'est-ce que ça englobe, dans quel format, la portabilité n'entraîne pas l'effacement des données, etc.).

Transfert des données

Pour sortir des données de l'EU, on utilise toute la magouille habituelles : BCR, conventions, accords genre le Privacy Shield troué, etc :-

Sanctions

Actuellement, la CNIL, l'autorité de contrôle française, peut prononcer des amendes allant jusqu'à 150.000€ (le double en cas de récidive). En face, Google a réalisé, en 2012, un chiffre d'affaire mondial de 50 milliards de dollars, Microsoft de 73 milliards, et Apple de 156 milliards, pour citer les plus importants.

Le règlement résout cette asymétrie. Il prévoit de permettre aux autorités de contrôle de prononcer des amendes allant jusqu'à 4% du chiffre d'affaire mondial des entreprises en faute. C'est une solution idéale, car adaptée aux ressources de chaque acteur économique.

Transparence sur les fuites de données

Le droit actuel a introduit en aout 2011 une obligation de notification des failles de sécurité. Cette obligation n'est pas contraignante en cas de perte ou de compromission de données par une entreprise ou toute autre entité (exemple : université). Pour l'instant, seuls les télécoms et les fournisseurs d'accès à Internet (FAI) sont tenus de prévenir leurs utilisateurs et la CNIL en cas de fuites de données. [...]

Pour cette raison, le futur règlement européen prévoit que les entreprises auront l'obligation de prévenir l'autorité nationale (la CNIL nationale) du pays où le traitement a été touché par une fuite de données. [...]

Lorsqu’il constate une violation de données à caractère personnel, le responsable de traitement doit notifier à l’autorité de protection des données la violation dans les 72 heures. L’information des personnes concernées est requise si cette violation est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne.

Droits

Le futur règlement prévoit d'étendre sensiblement vos droits.

D'abord, le droit d'information portera désormais aussi sur la durée de conservation des données et sur leur éventuel transfert en dehors de l'Union européenne. De plus, les données obtenues auprès de tiers devront aussi indiquer l'identité de ces tiers.

Ensuite, vous pourrez aussi demander la suppression de vos données [...] Néanmoins, par dérogation, votre droit de suppression pourra être écarté lorsque prévaudra la liberté d'expression, une raison médicale, scientifique ou historique suffisante ou lorsque le respect d'une obligation légale l'imposera.

Obligations pour les responsables de traitement

Alors que la directive de 1995 reposait en grande partie sur la notion de « formalités préalables » (déclaration, autorisations), le règlement européen repose sur une logique de conformité, dont les acteurs sont responsables, sous le contrôle et avec l’accompagnement du régulateur.

La conséquence de cette responsabilisation des acteurs est la suppression des obligations déclaratives dès lors que les traitements ne constituent pas un risque pour la vie privée des personnes. Quant aux traitements soumis actuellement à autorisation, le régime d’autorisation pourra être maintenu par le droit national (par exemple en matière de santé) ou sera remplacé par une nouvelle procédure centrée sur l’étude d’impact sur la vie privée.

Là où le droit européen ira plus loin grâce au règlement, c'est en matière de responsabilisation des acteur économiques. En effet, l'article 22 du règlement leur imposera de prendre les mesures nécessaires pour honorer leurs obligations légales, et d'indiquer à partir de quand ils seront en règle avec le règlement. C'est ce que l'on appelle le principe d'« accountability », c'est à dire le principe de responsabilité.

De plus, l'article 23 du règlement met en place un nouveau principe au service de la protection des internautes, le principe de protection par design et par défaut. Ce principe exige des acteurs du numérique que les règles de protection des internautes soient intégrées par principe dans tous les biens et services numériques mis à leur disposition. Ainsi, si l'utilisateur souhaite changer ses paramètres de confidentialité, cela ne pourra être que pour les baisser puisqu'ils assurerons par défaut un maximum de protection.

Par ailleurs, alors que le droit de la protection des données actuel concerne essentiellement les « responsables de traitements », c’est-à-dire les organismes qui déterminent les finalités et les modalités de traitement de données personnelles, le projet de règlement étend aux sous-traitants une large partie des obligations imposées aux responsables de traitement.

Profilage

Définition : prédiction des comportements, des choix qui permet aux responsables des traitement de données persos de s'adapter (pub ciblée, renseignement & surveillance étatique)

On retrouve un des principes que l'on a dans notre loi de 78 : « tout processus décisionnel le concernant ne soit pas uniquement automatisé, y compris en cas de profilage, lorsque ce processus a des effets légaux, ou des effets « similaires qui l'affectent significativement ». »

Le règlement est très léger : le profilage est légitime si nécessaire à la rélisation d'un contrat (ou si la loi le prévoit ou si il y a consentement), l'interdiction de discrimination basée sur des données sensibles a disparue, la personne qui fait l'objet du profilage ne sera pas informé de la logique de ce profilage, de comment les décisions sont prises, etc.

Même chose pour le profilage étatique :

La position de la Quadrature du Net est alignée sur celle d'EDRi à ce sujet : la mention de l'article 22 dans l'article 23 doit absolument être retirée ou censurée. Cette mention donne un chèque en blanc aux Etats pour faire du profilage. Cela signifie que tout Etat membre pourrait utiliser une de ces justifications pour profiler des individus sur la base de leurs origines, de leur santé, de leurs attirances sexuelles, de leur position politique, etc. D'autant que comme vu plus haut, le Règlement n'interdit pas (ou plutôt plus) la génération de données sensibles (art. 9) par le traitement de données personnelles non sensibles.

Divers

• Le règlement « s'applique aussi aux données des employés (c'est souvent oublié). ». Source : https://twitter.com/LaurieAnneB/status/782888587549376512
  
  

• Des conditions particulières pour le traitement des données des enfants : Pour la première fois, la législation européenne comporte des dispositions spécifiques pour les mineurs de moins de 16 ans. L’information sur les traitements de données les concernant doit être rédigée en des termes clairs et simples, que l'enfant peut aisément comprendre. Le consentement doit être recueilli auprès du titulaire de l’autorité parentale. Les États membres peuvent abaisser cet âge par la loi, sans toutefois qu’il puisse être inférieur à 13 ans. Devenu adulte, le consentement donné sur un traitement doit pouvoir être retiré et les données effacées.
  
  

• Introduction du principe des actions collectives : Tout comme pour la législation relative à la protection des consommateurs, les associations actives dans le domaine de la protection des droits et libertés des personnes en matière de protection des données auront la possibilité d’introduire des recours collectifs en matière de protection des données personnelles. Un droit à réparation des dommages matériel ou moral : Toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.
  
  

• Le G29 (regroupement européen des autorités de protection des données persos, comme la CNIL française) sera remplacé par le Comité européen de la protection des données (CEPD) en 2018.
  
  
• Le correspondant informatique et libertés (CIL) que l'on a en France sera remplacé par le délégué à la protection des données. Pas obligatoire partout sauf si secteur public OU secteur privé qui rélise des suivi régulier de personnes à grande échelle ou qui traite des données sensibles.
  
  
• Attention, les données de test (les échantillons que l'on utilise pour faire des tests fonctionnels d'un soft) doivent être pseudo-anonymisées (un bien grand mot, des études montrent que c'est très difficile à obtenir). Voir http://www.datasecuritybreach.fr/retour-rgpd-reglement-general-de-lunion-europeenne-protection-donnees/ (via https://twitter.com/bluetouff )
  
  
• On notera que tout ce qui causait de chiffrement (prévenir un-e citoyen-ne si un sous-traitant ou le prestataire ne chiffre pas les données, par exemple) a été viré par le Conseil de l'UE.

Je retiens :

• Lobbying sans précédent au Parlement européen (+ de 3000 amendements à éplucher !). On se rend compte de l'enjeu énorme que représente les données persos en terme de pognon !
  
  
• On progresse sur des sujets : uniformisation du droit en UE, le droit UE prévaut dès qu'il s'agit des données d'un résident EU, consentement explicite, sanctions qui commencent à être dissuasives, transparence sur les fuites de données (même si y'a encore pas mal de flou pour les autres cas qu'une attaque informatique (genre négligence, tout ça)), droit d'effacement aussi simple que l'obtention du consentement, etc.
  
  
• On régresse (ou on n'avance pas) à cause de l'intérêt légitime, des transferts de données hors UE qui restent faisables sans bornes (coucou Privacy Shield), du profilage sans réelles bornes, etc.

Sources (en plus du site pointé par ce shaarli) :

• https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-ce-qui-change-pour-les-professionnels
  
  
• https://wiki.laquadrature.net/Synth%C3%A8se_du_r%C3%A8glement_sur_la_protection_des_donn%C3%A9es
  
  
• http://www.nextinpact.com/news/97764-comment-europe-compte-mieux-proteger-donnees-internautes.htm et http://www.nextinpact.com/news/99480-le-parlement-europeen-adopte-reglement-sur-donnees-personnelles-et-pnr.htm