Évolution des maths assistés par IA générative :
Ces avancées posent le problème de la compréhension de la preuve et de l'ensemble (qu'est-ce que cette preuve éclaire ? Que fait-on de cette avancée ? Quelle nouvelle problématique apporte cette preuve ?). Produire de la connaissance scientifique en maths, ce n'est pas uniquement démontrer des théorèmes, c'est comprendre, produire du sens, guider la recherche, faire infuser le savoir dans la société, etc. Bref, conduire un travail réflexif similaire à ce qu'on trouve dans les sciences humaines.
L'IA rappelle que la résolution de problèmes mathématiques n'avait aucun intérêt si elle n'était pas intégrée dans cet ensemble.
Le cheminement est plus important qu'une solution : l'échec permet de développer des outils, des raisonnements, de collaborer, de produire des résultats fortuits, etc.
La question de la motivation et de la récompense des chercheurs en maths ont été plus largement développées par le Précepteur.
#ScienceÉtonnante #Erdos
TL;DR : Google Search exige une directive « Allow » ou « Disallow » pour un groupe dans un robots.txt, sinon il considère un « Disallow » général.
Le 1er octobre 2026, j'ai constaté que, pour mon ancien blog, Google Search renvoyait : « Aucune information n'est disponible pour cette page. Découvrir pourquoi ».
Problème dans mon robots.txt, donc.
Je l'ai modifié début juin 2026 pour ajouter la directive « Crawl-delay » afin de prévenir les robots qui jouent le jeu que mon fail2ban tire à vue sur toute IP qui fera trop de requêtes.
J'ai ajouté cette directive dans le robots.txt de mon blog et dans celui de mon shaarli. Or, Google Search affiche toujours les résultats de mon shaarli.
Contenu pour mon blog :
User-agent: *
Crawl-Delay: 2Pour mon shaarli :
User-agent: *
Crawl-Delay: 2
Disallow: /docLa seule différence est donc une règle « Disallow » sur mon shaarli.
La norme robots.txt n'impose pas la présence d'une directive Allow ou Disallow. En l'absence de groupe (pour un User-Agent), ou en l'absence de règle au sein d'un groupe, alors le robot est autorisé. Google confirme cela dans sa documentation.
Le seul groupe applicable à Google Search sur mon blog était « * ». La directive « Crawl-Delay » est ignorée par Google. Donc groupe vide, donc autorisation de moissonner mon site web, donc aucune raison de ce comportement.
À l'encontre de ce diagnostic, le 1er octobre, j'ai complété le robots.txt de mon blog :
User-agent: *
Crawl-Delay: 2
Allow: /Ce jour, je constate que Google Search affiche les informations pour les résultats de recherche issus de mon blog… Ce n'est pas conforme à la norme ni à la documentation de Google, mais ça fonctionne. Ne jamais lire la doc, c'est pour les faibles.
Acte I de la vidéo : mouin, mouin, le méchant pas beau Trump expulse des étrangers vers des pays tiers, même s'ils sont en règle (ex. : visa de travail régulièrement renouvelé durant 10 ans), même si le juge a interdit l'expulsion vers le pays d'origine. Accords (humanitaire ou investissement ou droits de douane assouplis) et/ou pressions états-uniens sur ces pays tiers.
Acte II : oups, l'UE fait pareil. Le Royaume-Uni a renoncé à son accord avec le Rwanda, mais le Danemark (et Israël) a conclu le même accord avec le Rwanda, l'Italie externalise les demandes d'asile en Albanie, et le Pacte européen immigration et asile de 2024, entré en vigueur en juin 2026 pour l'essentiel, prévoit le rejet d'une demande d'asile dans l'UE si la personne a transité via un « pays tiers sûr » ou si un accord existe (avant, il fallait un lien entre le demandeur d'asile et le pays tiers sûr). Je passe sur l'inefficacité et l'inhumanité du système Dublin III.
Un point pour l'honnêteté de Blast, mais j'aime bien constater la désignation de monstres (Trump, Poutine, Milei, etc.) afin d'éviter de nous regarder dans le miroir ou de nous croire meilleurs (sur ce sujet, je recommande cette excellente vidéo).
Solutions conçues au départ pour stocker et préserver les données d’un Etat hors de ses frontières géographiques, le concept d’ambassades numériques de données se développe aujourd’hui vers des offres d’infrastructures délocalisées de calcul pour l’IA, soumises au droit local de leur client ou parties prenantes.
En 2007, l’Estonie était la cible d’une cyberattaque menée par la Russie – des attaques par déni de service distribué (ou DDOS pour Distributed Denial of Service) – qui avait paralysé les services publics et le système bancaire. […]
Dix ans plus tard, le 20 juin 2017, la République d'Estonie et le Grand-Duché de Luxembourg signaient un « accord relatif à l'hébergement de données et de systèmes d'information », visant à héberger des données estoniennes au Luxembourg, et traduit dans la loi du Duché le 1er décembre de la même année. Un système que l’on a nommé ensuite « Data Embassy », ou « Ambassade de données ». Ces ambassades sont décrites par leur page Wikipedia francophone comme une « solution traditionnellement mise en œuvre par les États-nations pour assurer la continuité numérique d'un pays, en particulier en ce qui concerne les bases de données critiques. Il se compose d'un ensemble de serveurs qui stockent les données d'un pays et sont sous la juridiction de ce pays tout en étant situés dans un autre pays ». Pour l’Estonie, il s’agit comme le rapporte un article de Politico d’y conserver les « bases de données de sécurité, les registres de la population et de propriété foncière […] à l’abri de cyberattaques, de sabotages et même d’une invasion russe ».
[…]
Le projet de paquet européen sur la souveraineté technologique (Tech Sovereignty Package), présenté en juin 2026 par la Commission Européenne, comprenant le règlement sur les semi-conducteurs 2.0, et le règlement sur le développement de l’informatique en nuage et de l’IA – ainsi que la stratégie en matière d’open source et une feuille de route stratégique pour la numérisation et l’IA dans le domaine de l’énergie, propose une définition de la souveraineté numérique, jusque-là absente des textes. Cette définition met l’accent sur les dépendances : "La souveraineté technologique désigne la capacité de l’Europe à développer, contrôler et déployer à grande échelle les technologies, infrastructures, services et données essentiels, y compris les écosystèmes numériques, qui sous-tendent son économie, sa sécurité et sa société, tout en réduisant les risques et en diversifiant les chaînes d’approvisionnement et l’exposition technologique afin de diminuer les dépendances stratégiques et de résister aux ingérences étrangères."
[…]
Les ambassades numériques, dans ce contexte, présentent un modèle particulier, des bulles extraterritoriales protégées des intrusions extérieures par un cadre de gouvernance garantissant l’application du droit local de l’Etat qui a choisi d’y avoir recours. La souveraineté ne tient plus à la seule territorialité, ni à la maîtrise ou la propriété de l’infrastructure matérielle et logicielle, mais dans les accords régissant l’installation de ces ambassades. […]
L'association Alliance Anti-Corrida a demandé au maire de Palavas-les-Flots d'user de son pouvoir de police administrative pour empêcher la corrida avec mise à mort, prévue le 10 octobre 2026. Celui-ci a refusé et ce refus a suscité un recours en référé-suspension devant le juge administratif de Montpellier.
[…]
Sur le fond, la décision n'est pas tellement surprenante, car la ville de Palavas-les-Flots ne pouvait pas invoquer une "tradition ininterrompue" de mise à mort des malheureuses bêtes. Mais l'intérêt de la décision réside aussi dans une volonté de donner une efficacité réelle au référé-suspension de l'article L 521-1 du code de justice administrative.
La corrida n'est pas réellement "autorisée" en droit français. Celui-ci repose au contraire sur l'article 521-1 du code pénal qui punit de trois ans d'emprisonnement et 45 000 € d'amende les sévices graves ou les actes de cruauté envers les animaux, domestiques, apprivoisés ou tenus en captivité. Les taureaux destinés à la corrida sont évidemment dans ce dernier cas, élevés et tenus en captivité dans le seul but d'être un jour massacrés au milieu d'une arène.
Ce texte constitue le principe général gouvernant la protection des animaux. Mais dès la loi du 24 avril 1951, une exception a été prévue, lorsqu'une "tradition ininterrompue peut être invoquée". Le décret Michelet du 7 septembre 1959 évoque ensuite une "tradition locale ininterrompue", formule inchangée jusqu'a l'article 27 de la loi du 30 novembre visant pourtant "à lutter contre la maltraitance animale". Cette exception figure aujourd'hui dans l'article 521-1 du code pénal. Il s'agit donc d'une exception à l'incrimination pénale, ce qui signifie qu'elle doit faire l'objet d'une interprétation stricte.
[…]
Il aurait pu s'arrêter à cette étape, mais sa décision visait à empêcher qu'une infraction soit commise, en violation de l'ordre public. Il a donc ajouté une injonction très ferme contraignant le maire à user de son pouvoir de police dans le délai de sept jours.
Le Conseil d'État considère, notamment dans un arrêt du 23 octobre 2015, qu'une suspension peut s'accompagner de mesures provisoires indispensables à son efficacité. La question se pose, à l'évidence, pour la suspension d'une décision de refus. En effet, le refus du maire d'annuler la corrida peut être suspendu, mais rien ne dit qu'il agira de manière positive pour l'empêcher. Au contraire, il suffirait qu'il ne fasse rien pour que la corrida se déroule, malgré tout, et que l'infraction de sévices envers des animaux soit commise.
Le juge énonce donc que la suspension "implique nécessairement" que le maire use de son pouvoir de police pour empêcher la corrida. On retrouve ici la célèbre jurisprudence Doublet de 1959, qui affirme que l'autorité de police peut être contrainte d'agir quand la gravité de la situation l'exige.
La solution paraît pleine de bon sens, mais elle ne manque pas d'audace. Car le référé-suspension prend alors un caractère définitif qu'il n'est pas censé avoir. Rappelons qu'il doit impérativement s'accompagner d'un recours au fond. Or, en exigeant du maire qu'il empêche la tenue de la corrida, le juge donne à sa décision un caractère définitif : quand le recours au fond sera jugé, la date de la corrida sera passée depuis longtemps.
Le juge des référés est conscient du problème et il prend soin de contenir cette situation en ne se prononçant sur le caractère illégal des corridas à Palavas. Le référé n'exige en effet qu'un doute sérieux sur la légalité de la décision de refus. De même, l'injonction n'est pas accompagné d'une astreinte, pour montrer que l'injonction demeure juridiquement provisoire, même si ses conséquences sont, en l'espèce, irréversibles.
La décision du juge des référés de Montpellier marque ainsi une évolution qui, sans doute, devra être confirmée par le Conseil d'État, mais qui demeure très prometteuse dans ce type de contentieux. L'article 521-1 du code pénal change, en quelque sorte, de fonction. Il n'a plus seulement pour objet de punir les auteurs de sévices après une corrida illégale. Il devient un instrument de prévention, le maire ayant l'obligation d'agir pour que le dommage ne devienne pas irréversible.
#LLC
Cecilia Passanti a expliqué l'histoire de la biométrie en Afrique depuis les indépendances, lorsque des entreprises européennes comme Sinorg or Gallia profitaient de ces nouveaux marchés, sous prétexte, par exemple, de garantir l'absence de fraude aux élections, pour tester leurs produits, qu'elles allaient ensuite vendre dans le « Nord global ».
[…]
Une partie particulièrement intéressante pour moi, car je ne connaissais pas le sujet, a été celle sur la surveillance des animaux. Christoph Borbach a décrit les systèmes de suivi de la faune sauvage, qui doivent être bien acceptés par ces « utilisateurs involontaires ». J'ai appris que les ratons laveurs sont particulièrement efficaces pour retirer leurs dispositifs de surveillance et que les pies coopèrent pour s'enlever ces exaspérants bagues et colliers. Et Vesna Schierbaum a fait un très bon exposé sur un sujet que je ne connaissais pas du tout, le « virtual fencing » ou, au lieu de mettre le bétail derrière des barrières physiques, on équipe les animaux d'un dispositif (connecté à l'Internet) qui les guide. C'est très peu utilisé en Europe mais courant en Argentine, en Nouvelle-Zélande, aux États-Unis, etc. Elle a cité deux entreprises, Monil et Halter. Le plus gros investisseur de la deuxième est Peter Thiel… Outre les questions sur le bien-être animal et sur la déshumanisation du travail des paysans, je note que ces dispositifs sont chers et enferment davantage les fermiers dans la dépendance technologique. Sans compter ce qui se passerait en cas de panne ou de piratage.
[…]
[…] Saviez-vous que l'armée étatsunienne utilisait des drones de surveillance pendant la guerre du Vietnam ? […]
Le rapport contient un certain nombre de bons avis de sécurité. Mais beaucoup de gens l'ont interprété de manière binaire, s'indignant que le ministère n'ait pas mis en œuvre telle ou telle mesure. C'est oublier le principe de base de la sécurité (pas seulement informatique) : il n'y a pas de solution idéale, seulement des compromis. Par exemple, un EDR (mentionné par l'ANSSI) consomme des ressources informatiques importantes, a des faux positifs (j'en ai vu un protester contre du code binaire SuperH, considéré comme forcément suspect, alors que du code Sparc ou Alpha dans le même répertoire ne posait pas de problème), et peut avoir des bogues (c'était d'ailleurs le scénario du dernier exercice Remparts). Pire, ce sont souvent des logiciels privateurs. Bref, ne pas avoir d'EDR a des inconvénients, en avoir un a des inconvénients. On peut juste choisir son poison.
Le même raisonnement peut être appliqué aux autres conseils de l'ANSSI. Bien sûr, ils sont tous raisonnables mais tous ont un coût, pas seulement financier, mais aussi en gêne des employés pour leur travail. Les organisations qui déploient les mesures citées ont souvent été victimes d'une « auto-attaque par déni de service », les mesures de sécurité empêchant de travailler.
[…]
La sécurité ne dépend pas uniquement du budget (on peut avoir un budget très élevé et le dépenser essentiellement dans du théâtre sécuritaire, par exemple l'achat de dispositifs techniques très chers, opaques mais bénéficiant d'un bon marketing). Mais il ne faut pas se faire d'illusion, la sécurité aura un coût : si on déploie toutes les mesures proposées par le rapport, il faudra embaucher beaucoup de fonctionnaires (par exemple pour les investigations suite à une alarme). Les mêmes politiciens qui s'indignent « comment se fait-il qu'il n'y ait pas davantage de sécurité dans les ministères » seront peut-être les premiers à râler si on leur demande d'augmenter le budget de l'État.
Je recommande de bien lire le rapport jusqu'au bout, les annexes contiennent des détails précis, notamment chronologiques. Ils montrent que de nombreuses alarmes avaient été levées et traitées, mais que l'ampleur et le sérieux de l'attaque n'avaient pas été clairement notés (le fameux problème de « relier les points »).
Gros + 1. Enfin un avis posé sur ce rapport.
J'ai quand même trouvé que le cas cité par le rapport d'une soi-disant « authentification à deux facteurs » qui consistait en l'envoi par courrier du second facteur… alors que le courrier était traité sur la machine qui servait à se connecter, était en effet assez incroyable. Si les deux facteurs sont sur la même machine, ce ne sont pas réellement deux facteurs (le rapport insiste, à juste titre, sur ce point).
Des terminaux distincts apportent les problèmes de : qui paye le deuxième terminal ? Qui gère le cycle de vie (fourniture, paramétrage, maintenance, casse, perte, vol, etc.) ? Rien qu'une petite flotte mobile pour quelques centaines d'agents, c'est du taff et du budget (notamment, il existe une forte corrélation entre la sortie d'un nouveau modèle de smartphone et la perte ou casse de son modèle actuel par un agent).
Si, par souci d'économie, la décision est prise d'utiliser le terminal personnel de l'utilisateur, qui peut stocker le mot de passe en clair ou être vérolé par absence d'hygiène numérique, est-ce encore de la double authentification ? Qui gère le paramétrage ? Qui gère l'enrôlement et vérifie la possession initiale ? Lors de son audience devant la formation restreinte de la CNIL, France Travail a fait état de difficultés opérationnelles importantes pour déployer la 2FA.
Je rappelle que nombre de nos concitoyens nagent complément pour utiliser ne serait-ce que France Connect, même après les formations dispensées par France Travail ou France Services ou…, et ne l'utilisent donc pas de manière sécurisée (aucune conscience de ce qu'ils font, ils cliquent partout jusqu'à ce que ça marche, tout l'entourage et la moindre personne aidante, professionnelle ou non, est au courant de l'identifiant et du mot de passe, de l'adresse de messagerie et de son mot de passe, des moyens de récupération, etc.). Alors, rajouter la 2FA sur des terminaux distincts…
Bref, retour au compromis énoncé supra.
Le rapport détaille les techniques mises en œuvre mais pas l'arrière-plan organisationnel. Par exemple, au moins une partie des accès pirates ont été faits depuis le ministère de l'Éducation nationale, apparemment moins protégé, mais le rapport ne dit pas pourquoi ce ministère avait accès aux données des impôts. Même chose pour des accès par des entités privées extérieures (comme le géomètre-expert mentionné dans le rapport).
Il n'apparaît pas incongru qu'un géomètre-expert accède au cadastre via un portail dédié aux partenaires extérieurs (APEX), c'est nécessaire à l'accomplissement de ses fonctions (sinon, il faudrait qu'un agent du cadastre saisisse le formulaire A38 communiqué à l'administration fiscale par ce géomètre…).
Certains agents des administrations, y compris décentralisées ou déconcentrées, doivent utiliser, à travers le Réseau interministériel de l'État (RIE), certains applicatifs dans le cadre de leurs fonctions, notamment ceux du ministère de l'économie et des finances, comme l'outil de rédaction des marchés publics de l'État (ORME) ou le site web de la Direction des achats de l'État. Le rapport indique que les connexions ont été initiées depuis le SI du ministère de l'Éducation nationale, sans plus de précision (le terminal compromis d'un agent ou le cœur compromis du système informatique ?).
Le rapport ne dit pas quelles sont les données accédées via ADER (le portail qui met à dispo les applis via le RIE), à part l'application E-Contact (la messagerie entre les usagers et la DGFIP). L'accès à cette dernière n'est pas totalement incongru puisque le compte utilisateur utilisé pour ce faire fut celui d'un agent DGFIP (« compte-dgfip-X » dans le rapport), pas d'un partenaire (« compte-dgfip-xt-XX »).
La question ici semble plutôt l'absence de cloisonnement : pourquoi un agent DGFIP, interne, donc, est-il en capacité de s'identifier sur un portail dédié aux partenaires ? S'il est en détachement dans une autre administration, pourquoi pouvait-il se connecter également depuis le versant interne et avait-il encore l'habilitation hiérarchique de traiter les demandes des usagers de la DGFIP ?
Une autre des faiblesses du rapport est qu'il ne fait pas la distinction entre un accès réseau et un accès applicatif…
Prise de parole de l'avocat Raphaël Kempf.
#lycées #violence policière
Pas moins de 400 établissements scolaires auront porte close ce vendredi. […]
En outre, les rassemblements seront interdits à proximité des établissements fermés. Les préfets ont pris jeudi soir des arrêtés en ce sens. […] Dans tous les départements, la même consigne a été donnée, a fait savoir le ministère de l'Intérieur.
Tiens, ça rappelle 2023 et l'interdiction généralisée des manifestations pro-palestiniennes ou d'extrême-droite, ou les interdictions de rassemblement dans le cadre de la réforme 2023 des retraites lorsqu'un grand chef à plume était en déplacement. La justice avait annulé la plupart d'entre elles… Branlette… Faut bien justifier sa rémunération. 😑️
Bref, c'est la continuation du grand n'importe quoi des deux côtés… 😞️
Je constate que les médias et les politiciens ont découvert le mot « proxy », comme dans la phrase « manœuvre organisée par LFI et ses proxys de l'ultra-gauche ». Hé bah…
MODIF du 07/10/2026 : sans surprise, le juge des référés du TA de Rennes a annulé l'interdiction générale et absolue du préfet du Finistère (le deuxième arrêté, circonscrit dans le temps et l'espace, a été validé). Pareil pour le TA de Grenoble. Pareil au TA de Lyon (6 octobre, 2613402). Le TA de Pau a aussi annulé des interdictions de rassemblement. Idem au TA de Strasbourg. Pareil au TA de Nancy.
Les manifestations lycéennes de ces derniers jours, accompagnées de violences et de destructions, ont suscité l'émergence d'un nouvel instrument administratif pour le moins inhabituel. Certains préfets ont envoyé une lettre personnelle aux parents de mineurs gardés à vue pour leur rappeler leur responsabilité du fait des dommages causés par leurs enfants, et leur demander d'empêcher leur enfant de commettre de nouvelles exactions.
[…]
Au 3 octobre 2026, au moins deux préfets ont envoyé des lettres individualisées, François-Xavier Lauch dans le Pas de Calais et Pierre Regnault de la Mothe dans les Pyrénées Orientales. La simultanéité des initiatives et la proximité des termes employés laisse penser à une coordination, voire à une instruction du ministre de l'Intérieur. Mais en l'état des sources accessibles, aucune circulaire ne semble avoir été publiée en ce sens. A ce stade, on peut donc seulement évoquer des initiatives préfectorales convergentes, sans exclure toutefois l'hypothèse d'échanges ou de consignes non publiées.
[…]
La question de la nature juridique de ces lettres est facilement résolue. Il s'agit en effet, pour reprendre la formulation chère à René Chapus, d'actes non décisoires.
Dans sa définition même, une décision administrative modifie la situation juridique de son destinataire. Elle accorde ou refuse une prestation ou l'exercice d'un droit, impose une obligation, autorise une activité ou prononce une sanction. En l'espèce, les préfets se sont bornés à rappeler aux parents qu'ils sont civilement responsables des dommages causés par leurs enfants mineurs. La rédaction de l'article 1242 du code civil a d'ailleurs été modifié par la loi du 23 juin 2025. Ce principe de responsabilité n'est désormais plus lié à la cohabitation, mais à l'exercice de l'autorité parentale elle-même.
Quant à la jurisprudence qui admet la recevabilité du recours pour excès de pouvoir contre le droit souple, issue des arrêts d'assemblée du Conseil d'État du 21 mars 2016 Société Farivesta International GmbH et a, et Société Numéricable, elle n'est pas applicable en l'espèce. Elle ne concerne en effet que les mesures à portée générale, instruction ou circulaire. Dans le cas présent, les lettres des préfets sont purement individuelles. On aurait peut être pu contester une circulaire du ministre de l'Intérieur demandant aux préfets d'écrire mais, précisément, il n'y en a pas, du moins officiellement.
Tout cela ne nous renseigne pas sur la nature juridique de la lettre. On pourrait avoir la tentation de la qualifier de rappel à la loi, mais en réalité on peut seulement évoquer un rappel de la loi, c'est à dire un rappel de l'existence de la loi.
En effet, la référence au rappel à la loi est doublement erronée. D'abord parce qu'il a disparu, remplacé depuis janvier 2023 par l'avertissement pénal probatoire. Ensuite, parce qu'il s'agissait d'une procédure pénale, avertissement délivré par le procureur de la République, postérieur à la reconnaissance de culpabilité. Il est évident que le préfet ne dispose d'aucune compétence de nature pénale, à l'exception de celle de saisir le juge, comme tout le monde.
Cette absence de compétence pénale conduit au problème juridique essentiel de ces missives préfectorales. Car, pour les envoyer, le préfet a obligatoirement eu communication des données recueillies en garde à vue, mentionnant à la fois les faits reprochés aux mineurs et l'adresse des titulaires de l'autorité parentale.
L'article 91 de la loi du 6 janvier 1978 pose une règle bien connue. Les données recueillies par les autorités compétentes en matière de prévention et de répression des infractions ne peuvent être traitées pour d'autres finalités, à moins qu'un tel traitement soit autorisé par la loi ou le règlement, ou encore par le droit de l'Union européenne.
En l'espèce, il ne fait guère de doute que le passage d'une collecte réalisée pour les besoins d'une garde à vue à leur utilisation dans le but d'une admonestation administrative adressée aux parents s'analyse comme un détournement de finalité.
Le principe de séparation des pouvoirs s'oppose d'ailleurs à ce qu'une autorité administrative s'immisce dans une procédure pénale, ne serait-ce qu'en accédant au dossier. En témoignent les textes organisant l'accès au Traitement des antécédents judiciaires (TAJ), c'est-à-dire les articles 40-28 et 40-29 du code de procédure pénale.
L'accès aux données judiciaires ne repose pas sur un libre échange entre les autorités judiciaires et administratives. Au contraire, l'accès n'est autorisé que lorsqu'un texte le prévoit, pour une finalité déterminée et aux bénéfices de personnes spécialement habilitées. Cela signifie qu'elles font l'objet d'une procédure qui les identifie comme ayant le droit d'entrer dans le TAJ, détermine pour quelle mission ils peuvent le faire, et limite leur accès selon leur besoin d'en connaître.
Ce dernier principe est essentiel, car un agent habilité n'a pas pour autant le droit de consulter n'importe quelle fiche. La Chambre criminelle de la Cour de cassation précise ainsi, dans un arrêt du 25 octobre 2022, que, hors certaines réquisitions judiciaires, la consultation du TAJ doit être effectuée par un "agent désigné à cette fin et spécialement habilité". Concrètement, sont concernées, outre les magistrats, les forces de police et certains fonctionnaires chargés du renseignement.
Dans le cas des lettres des préfets, il est clair qu'un agent de préfecture, même s'il était habilité au TAJ, ne pourrait pas consulter celui-ci afin que le préfet adresse un courrier aux parents des jeunes gardés à vue. Une telle consultation n'a en effet rien à voir avec les finalités légales définies par le code de procédure pénale.
Il serait également possible de contester la circulaire ou instruction révélée du ministre. Mais, avec 3 préfets sur 120 qui ont envoyé un courrier, il sera difficile de convaincre de son existence.
Sur le détournement de finalité, il ne se passera rien, la CNIL aura piscine, comme d'hab, et si jamais elle devait bouger, ça serait, au maximum, pour un rappel à la loi (la CNIL n'a pas le pouvoir d'imposer une amende à l'État). 😑️ En tout cas, la LDH a déposé une réclamation auprès de la CNIL.
Bref, comme d'hab, l'État déconne, et les citoyens ne peuvent rien y faire. Mais n'hésitez pas à vouloir taxer toujours plus, comme ça l'État se renforcera et il nous enculera encore plus fort et souvent. 🙄️
#LLC #RGPD
Avant décembre 2024, le site web et l’application mobile FNAC recommandaient des produits, notamment à travers la fourniture de l’historique d’achat des utilisateurs, sans recueillir le consentement. […]
[…]
En conséquence, le Rapporteur a proposé une sanction par une amende de 10 millions d’euros (8 M€ pour FNAC Darty, 2 M€ pour FNAC Direct), sans injonction puisque le manquement a cessé fin 2024. Il ne demande pas la publicité de la sanction.
[…]
Elle soutient aussi que la politique de confidentialité était claire. PURR en doute au vu de sa longueur, et très certainement placée à des endroits inaccessibles pour l’utilisateur.
La FNAC soutient aussi qu’elle s’implique réellement dans la protection des données, avec des équipes dédiées et chevronnées. PURR en doute fortement, étant donné que l’association a connaissance de plusieurs plaintes pour des violations graves à la réglementation (délais abusifs de rétention, défaut de réponse à demande d’accès, défaut de suppression malgré demande de suppression…) et avait encore en ce début d’année obtenu une mise-en-demeure pour des cookies illicites.
Comme d'habitude : des faits qui ont cessé (fin 2024), un dossier qui n'aurait pas dû finir en formation restreinte car il y en a des plus graves et actuels, et une défense totalement claquée de FNAC sur des points élémentaires de la loi… La CNIL a traité ce dossier facile dans l'optique de faire croire qu'elle bouge, c'est de la communication qui masque les dossiers plus sérieux qui ne seront pas traités par manque de temps ou d'effectifs nous dira-t-on.
Toujours aucune cohérence de l'échelle des sanctions de la CNIL : dix millions d'euros pour de la lecture / écriture dans un terminal pour de la recommandation produit contre seulement 500 k€ pour une clinique qui n'a pas sécurisé les données ou seulement 240 k€ pour le modèle d'affaires de Kaspr « repos[ant] sur la violation de dispositions majeures du RGPD » ou seulement 5 M€ pour IQVIA ou France Travail…
De ce principe, d'ailleurs bien connu, de proportionnalité, on ne doit pas déduire que la CEDH interdit les sanctions automatiques. Elles ne sont pas nécessairement disproportionnées et la loi interne peut ainsi interdire au juge de prononcer une amende d'un montant plus faible que celui fixé par la loi. Dans sa décision Segame c. France du 7 juin 2012, la Cour européenne admet ainsi une pénalité fiscale dont le juge judiciaire ne peut moduler le montant.
Pour la CEDH, l'individualisation de la sanction n'implique pas nécessairement sa modulation. Elle peut s'exprimer autrement, par exemple en permettant au juge de ne pas prononcer de sanction lorsqu'il l'estime disproportionnée, voire en donnant au juge constitutionnel la possibilité de contrôler le barèmes des sanctions.
Le droit français quant à lui distingue clairement la sanction forfaitaire de la sanction automatique.
La sanction forfaitaire repose sur son mode de calcul, fixé par avance selon un barème déterminé. Elle ne pose guère de problème au regard du principe d'individualisation, car, si le quantum est prédéterminé, la sanction n'est pas nécessairement infligée de manière automatique.
La sanction automatique repose, quant à elle, sur le déclenchement de la sanction. Celle-ci intervient dès que certains faits sont établis, sans que l'autorité qui sanctionne dispose d'un pouvoir d'appréciation ou de modulation. L'automaticité porte donc sur le prononcé même de la sanction.
En droit français, le Conseil constitutionnel, s'il admet assez aisément les amendes forfaitaires, se montre très réservé à l'égard des sanctions automatiques. […]
[…]
L'avis rendu par la CEDH le 29 septembre 2026 ne bouleverse donc pas le droit français, même si celui-ci distingue plus clairement la sanction forfaitaire de la sanction automatique. L'idée générale est finalement assez simple. Quelle que soit la sanction, forfaitaire ou obligatoire, le système juridique doit prévoir une soupape de sureté, c'est-à-dire une possibilité, à un moment ou à un autre, de tenir compte de la situation individuelle de l'intéressé.
On peut certes saluer cet effort de conciliation entre la sanction automatique et le principe d'individualisation. Il n'empêche que le résultat peut, à l'issue, se révéler plutôt brutal. Le juge se trouve, dans ce cas, souvent placé dans un choix difficile - appliquer une sanction qu'il trouve excessive, ou dispenser de peine l'intéressé. Le droit ne fait pas dans la nuance.
#LLC
De fait, le décret contesté du 27 juin 2025 marque une nouvelle étape de cette évolution, en élargissant l'interdiction aux espaces proches des établissements d'enseignement pendant les heures de travail, aux jardins publics et aux plages.
[…]
Il est exact que l'article 34 de la Constitution réserve à la loi la détermination des "garanties fondamentales accordées aux citoyens pour l'exercice des libertés publiques". L'interdiction de consommer un produit licite dans l'espace public constitue, à l'évidence, une restriction à la liberté individuelle. Mais le Conseil d'État ferme immédiatement cette voie contentieuse en affirmant que le Premier ministre tient des articles 21 et 37 de la Constitution le pouvoir de prendre des mesures de police pour garantir l'ordre public, et donc la santé publique qui en est un élément. La loi est d'ailleurs déjà intervenue dans ce domaine, et l'article L 3512-8 du code de la santé publique interdit de fumer dans les "lieux affectés à un usage collectif". Le décret de 2025 peut donc être considéré comme une mesure mettant en oeuvre ces dispositions.
[…]
L'intérêt de la décision tient finalement au contrôle de proportionnalité exercé par le Conseil d'État. L'association requérante faisait valoir que le danger du tabagisme n'était pas démontré avec la même certitude dans les espaces ouverts extérieurs que dans les espaces clos. Le Conseil d'État reconnaît des "incertitudes" sur ce point, mais il se situe résolument sur un autre terrain.
Il note d'abord la gravité des effets du tabagisme sur la santé, avec 75 000 décès annuels, dont 46 000 par cancer. Il cite les données de l'OMS selon lesquelles il n'existe pas de seuil d'exposition sans danger. Enfin, et c'est l'essentiel de la décision, le Conseil d'État affirme que les espaces sans tabac n'ont pas seulement pour effet de réduire l'exposition des jeunes, mais permettent aussi de diminuer les occasions de fumer et donc l'entrée dans la consommation chez les jeunes.
La mesure est donc justifiée non pas par les dangers de l'exposition directe, mais par la nécessité de dissuader la consommation. Le domaine de la santé publique s'élargit ainsi considérablement. La mesure de police n'a plus pour objet de protéger la santé des tiers mais de les protéger contre le désir de tabac, le risque de devenir eux-mêmes fumeurs.
La décision du 21 septembre 2026 marque ainsi une étape importante dans l'histoire juridique du tabac. Le droit positif ne limite plus son ambition à protéger les victimes du tabagisme passif. Il vise plus largement à faire disparaître le tabac de l'environnement des mineurs pour rendre moins probable l'acte de fumer. Il s'agit donc de dénormaliser le tabac, de faire en sorte que le geste de fumer ne soit plus vécu de manière positive, comme un rite de passage vers l'âge adulte. La santé publique intègre la politique publique de santé.
#LLC
Article fouillé du service LINC de la CNIL sur les différents modèles de base de données de recherche scientifique en santé.
J'en recommande la lecture.
UK Biobank = base de données de santé britannique. Organisation sans but lucratif, financée par des fonds publics et privés. Alimentée par le service de santé public (NHS). Très complète (données biologiques et génétique, imagerie, questionnaires médicaux, etc.). Données accessibles pour tout projet de recherche public ou privé de tout pays.
Basée sur le consentement, contrairement à la Plateforme des données de santé (PDS, = Health Data Hub) française et aux entrepôts de données de santé constitués en douce par les hôpitaux (car informer les ex-patients coûteraient trop cher).
Tentative avortée de revente de données patients sur Alibaba. Plusieurs patients ont pu être réidentifiés par les journalistes à partir du seul couplet mois de naissance et date d'intervention chirurgicale. Les profils revendus incluaient aussi le sexe, l'âge, la situation socio-économique, les habitudes de vie, et les données de santé.
On répète : pseudonymisation != anonymisation.
Origine des données : deux hôpitaux chinois accrédités. Un étudiant chercheur et un employé temporaire, tous deux non-habilités ont utilisé le compte utilisateur d'un collègue.
Des chercheurs légitimes publient également, par inconscience, les données de santé réidentifiables comme source de leurs travaux. 🙄️
En 2025-2026, la Biobank est intervenue 110 fois sur un an pour demander le retrait de données.
Depuis 2024, la Biobank est passée d'un modèle décentralisé de distribution de fichiers (= copies des données !) à un modèle centralisé (= cloud).
Mais de nombreuses dérogations persistent : 200 institutions internationales et/ou 1 200 projets de recherche initiés avant 2024 ont une copie des données (adaptée à leur projet de recherche).
De plus, les résultats des calculs peuvent être téléchargés après un contrôle automatisé minimal, donc le problème reste entier.
Autre modèle : OpenSAFELY de l'univ' d'Oxford dans le cadre du Covid-19.
Les chercheurs n'ont pas accès aux données : ils préparent leurs calculs sur un modèle, le code est validé par des humains, il est exécuté sur les vraies données par Oxford, puis les résultats sont vérifiés par deux humains avant d'être remis aux chercheurs.
À mon avis : charge de travail conséquente pour les équipes de recherche et Oxford + cela exige une très grande qualité des données (= qualification), notamment leur normalisation, pour que les calculs ne plantent pas.
À propos de l'impacte de ces modèles plus contraignants sur la recherche scientifique :
Entretien avec Marie Zins, Commissaire à la CNIL et ancienne directrice l'Unité de service Inserm « Cohortes épidémiologiques en population »
[…]
[…] A l’Inserm, j’ai travaillé pendant de nombreuses années sur les cohortes Constances (220 000 participants) et Gazel (20 000 volontaires), dont j’avais la responsabilité.
[…]
[…] De la même manière, il faut battre en brèche l’idée que ces plateformes d’accès sécurisé ne sont pas adaptées à la recherche car elles ne proposeraient pas les tous les outils d’analyses nécessaires aux chercheurs, en particulier pour des recherches souhaitant recourir à des outils d’intelligence artificielle. Cela ne me semble pas correct : il est tout à fait possible de créer des espaces dans lesquels ces outils sont importés – après un contrôle préalable pour s’assurer qu’ils ne représentent pas un risque pour la sécurité – avec des infrastructures qui s’adaptent rapidement aux besoins exprimés par les chercheurs. Pour parler de mon expérience, nous avons travaillé avec le Centre d’accès sécurisé aux données (CASD), qui couvre tous ces besoins tout apportant d’excellente garantie sur la protection des données. […]
Données pluripersonnelles :
Cette crise met en évidence une réalité scientifique et éthique fondamentale : l’ADN et les antécédents de santé ne sont pas des données personnelles classiques, mais des données pluripersonnelles. Un profil génétique n’appartient pas qu'à une seule personne, il est partagé en grande partie avec sa famille biologique. Choisir de partager son patrimoine génétique implique donc la confidentialité médicale de ses proches : en cas de fuite, ce sont aussi les enfants, les parents et les collatéraux des participants qui se retrouvent exposés sur Internet, sans jamais avoir été consultés, ni avoir donné leur consentement.
Scilabus a causé de cet aspect en matière de tests ADN récréatifs.
Autres mésusages des données de santé :
Lors de l'affaire du CPRD en 2020 au Royaume-Uni, le ministère de la Santé britannique a engrangé 10 millions de livres sterling en vendant des licences d'accès aux dossiers médicaux de millions de patients du NHS à des laboratoires basés aux États-Unis (Merck, Bristol-Myers Squibb, Eli Lilly). Le gouvernement prétendait que ces données étaient anonymes, mais leur niveau de détail permettait de retrouver l'identité des patients. La même année, Amazon a signé un accord de partenariat avec le NHS pour exploiter ces données de santé afin d'entraîner et d'améliorer l'algorithme de son assistant vocal Alexa.
[…]
Lors de l'étude américaine ABCD (Adolescent Brain Cognitive Development) portant sur le développement du cerveau de 20 000 enfants, des chercheurs extrémistes ont récupéré les données médicales pour tenter de produire des recherches pseudo-scientifiques à visée raciste, cherchant à lier génétique et intelligence selon l'ethnie. Ce phénomène s'est étendu à la UK Biobank : le groupe Human Diversity Foundation y aurait accédé pour mener des travaux controversés sur la race et l'intelligence, tandis que la start-up Heliospect Genomics s'en serait servie pour concevoir des outils de sélection d'embryons selon le QI. La Biobank affirme qu'aucune preuve d'utilisation abusive n'a été établie, mais plusieurs généticiens estiment sa réaction trop rapide et dénoncent un manque de contrôle sur l'usage réel des fichiers extraits.
Le Précepteur commente le totalitarisme de la société libre et permissive du Meilleur des mondes.
Libre = soma (drogue), hypnopédie (conditionnent mental), et clonage des individus des classes sociales inférieures. Le désir, la volonté, l'espoir, sont plafonnés sur les conditions réelles de l'individu (= les désirs inculqués par conditionnement = « désire ce que tu as » des stoïciens), ce qui peut apparaître moins hypocrite que la méritocratie cachant la reproduction sociale.
Le Précepteur utilise la définition du totalitarisme que j'ai déjà entendu chez Frédéric Lordon, à propos du capitalisme, et que j'aime beaucoup : contrôle de la totalité des secteurs de l'existence et de l'activité humaine. Lordon parle de main mise sur l'ensemble des sphères de pratiques (= le capitalisme dépasse l'économie).
Dans son introduction, Le Précepteur expose les divergences avec 1984. Je suis d'accord que, contrairement à celui d'Huxley, le totalitarisme d'Orwell est répressif et qu'il ne cherche pas l'adhésion du peuple par le bonheur ou le confort, mais la surveillance de la population est relative : il n'y a pas de télécran chez les prolos qui représentent 85 % de la population, uniquement chez les membres du Parti.
+ The Irish Data Protection Commission fines Google 403 000 000 EUR following Inquiry into Google’s processing of location data sur le site du CEPD.
+ Data Protection Commission fines Google €403 million following Inquiry into Google’s processing of location data sur le site de l'autorité de contrôle irlandaise.
The GDPR provides a high level of protection of personal data throughout the EEA, and requires that the processing of personal data must be carried out in a lawful, fair and transparent manner. As a result of Google’s failures in this regard, individuals could have been unaware that their location was being used to, for example, influence them with ads or to infer their interests, and could lose control over their personal data. The retention of users’ location data for longer than necessary aggravated this loss of control”.
8 ans pour traiter les plaintes… Pour des faits qui ont cessé en février 2020 (d'après Google, mais, si c'était exact, l'autorité irlandaise n'aurait pas prononcé des injonctions à se mettre en conformité, donc prudence)… Ça n'a aucun intérêt.
Sur la période de commission des infractions, mai 2018 à février 2020, Alphabet, la maison mère de Google (car une amende RGPD se calcule sur l'ensemble du groupe), a généré environ 57 milliards d'euros de bénéfices avant impôt (pas de chiffre d'affaires, de bénéfices). 403 millions d'euros d'amendes représentent environ 0,7 % des bénéfices. Ces ordres de grandeur ne veulent rien dire. Ça fait une amende de 403 € pour 57 000 € mal acquis (= 1 € pour 142 € mal acquis). À ce tarif, personnellement, je réitère encore et encore, hein.
Je rappelle que les autorités de contrôle du RGPD ont la possibilité d'infliger des amendes jusqu'à 4 % du CA mondial du groupe sur l'exercice précédent. CA 2025 Alphabet : 343 milliards d'euros. 4 % = 13,7 milliards d'euros. 403 millions d'euros, c'est environ 3 % du maximum encouru.
403 millions d'euros, ça doit être inférieur au budget petits fours à l'échelle du groupe.
Adoptées en masse par les agences locales des forces de l'ordre aux Etats-Unis, les caméras Flock, de lecture automatique de plaques d’immatriculation (LAPI), du nom de l’entreprise qui les fournit, soulèvent des protestations dans la population, bien au-delà des associations de défense des libertés numériques.
[…]
Un succès qui n’est pas sans rappeler celui de la startup Ring, rachetée en 2018 par Amazon qui a construit un réseau de vidéosurveillance aux Etats-Unis à partir des sonnettes connectées, achetées par les particuliers, qui donnent accès aux images à distance, lorsqu’une personne sonne ou lorsqu’elles détectent un mouvement. Ces images sont mises en réseau dans un système de vidéosurveillance accessible aux services de police partenaires de Ring. Certaines municipalités proposaient même de subventionner l’acquisition de caméras Ring par leurs habitants, perçues comme un investissement dans la sécurité publique, moins onéreux que le déploiement d’un système à leur main. La société Ring a également connu des revers, notamment lorsqu’elle a dû désactiver en janvier 2024 la fonctionnalité RFA, « request for assistance » de son application Neighbors, qui permettait aux services de police de lancer des appels à vidéos et informations dans le cadre d’enquêtes. Des phénomènes de biais et préjugés racistes ainsi que des risques pour la protection des données avaient été observés et dénoncés dès 2021. Si un outil similaire, « Community Requests », a été relancé en septembre 2025 dans le cadre d’un partenariat avec Axon, l’accord conclu avec Flock en octobre 2025 a pris fin en février 2026. Suite aux controverses provoquées par une publicité diffusée à la mi-temps du Superbowl, qui avait fait craindre le développement de la reconnaissance faciale, la société Ring a abandonné son partenariat avec Flock qui prévoyait notamment d’intégrer la lecture automatisée de plaques de Flock aux Community Requests.
Les caméras augmentés Flock ne sont pas de simples systèmes de lecture automatisée des plaques d’immatriculation (LAPI), elles peuvent également identifier la couleur du véhicule, la marque et le modèle, mais aussi la présence d’un autocollant sur le pare-chocs, des dommages visibles sur la carrosserie, ou un élément visible dans l’habitacle. Les images fournissent ainsi des informations beaucoup plus riches qu’un simple numéro de « carte d’identité » du véhicule. Les informations collectées sont conservées trente jours, pendant lesquels la police peut effectuer des requêtes pour rechercher un véhicule, activer des systèmes d’alerte si celui-ci passe devant une caméra, etc.
[…]
[…] La recherche se fait sur l’ensemble du réseau, à condition que le département de police ait configuré ses paramètres de manière à ouvrir à l’ensemble du territoire national l’accès aux caméras de son propre réseau local. Il reste possible de restreindre localement un système de surveillance, mais il n’y a alors plus de possibilité de consulter les données à l’échelle nationale. […]
[…]
Le magazine Wired a pu tester la dernière mise à jour du logiciel de Flock, et de sa fonctionnalité FreeForm, qui permet d’effectuer des requêtes sur la base en recherche plein texte. Les agents de police ne renseignent plus seulement une immatriculation, mais peuvent rédiger une description du véhicule ou de la personne qu'ils recherchent. Une solution basée sur de l’IA analyse les recherches et produit des avertissements. Le système, d’abord, avertit les agents de police que les résultats peuvent être inexacts ou incomplets, qu’ils ne doivent pas être considérés comme la seule source fiable. Il évalue également la description écrite d’un agent en fonction de plusieurs catégories de contenus sensibles, notamment la race et la religion, qui sont interdits, et l’ « expression politique, sociale et culturelle », cette dernière n’empêchant pas d’effectuer une recherche. Pourtant, comme le pointe Tom Bowman (Center for Democracy and Technology), dans les colonnes de Wired, l’expression politique et culturelle est « l’un des domaines les plus protégés » en vertu du Premier Amendement de la Constitution des Etats-Unis, pourtant il « semble que ce soit en réalité celui qui suscite le moins d’inquiétudes du point de vue du maintien de l’ordre », et de Flock.
Le véritable contrôle, cependant, se fait à l’échelle de chacun des clients de l’entreprise. Flock affirme qu’une grande partie de la responsabilité de la gestion de sa technologie incombe aux autorités locales, qui fixent leurs propres règles d’accès et d’utilisation. […]
[…]
Suite aux différentes affaires révélées dans la presse, Flock doit faire face à une vague de protestations sur tout le territoire des Etats-Unis, qui ne sont pas le fait des seuls activistes des libertés numériques. Kashmir Hill, l’indique dans le podcast du New-York Times : « ce qui m'a frappé dans les réactions suscitées par les caméras Flock, c'est justement leur caractère bipartisan. Tant la gauche que la droite émettent des réserves à l'égard de ces caméras. C'est un peu un consensus général. Et c'est ce qui m'a vraiment marqué ».
Le 28 août 2026, Newsweek publiait une carte recensant 149 villes, réparties sur tout le territoire, qui avaient pris des mesures contre les caméras Flock, qu’il s’agisse d’interdire ces caméras, d’annuler ou rejeter des contrats, ou de désactiver des caméras.
[…]
Ce type d’actions et de protestations au motif de la défense de la vie privée (Privacy) reste assez inédit aux Etats-Unis, et peut s’expliquer par plusieurs facteurs selon Kashmir Hill […] L’autre facteur important concerne le lieu de la collecte, et le fait que « les gens sont très attachés à la vie privée liée à leur voiture », dans un contexte où « les Etatsuniens considèrent leur voiture comme une sorte de symbole de liberté, un moyen de s’éloigner de tout le monde ». […] Selon la radio NPR, des caméras Flock ont été vandalisées dans au moins 36 États. Elles ont été volées, sciées, frappées, recouvertes de peinture et d'autocollants, voire prises pour cible par des tirs d'armes à feu.
Article nourri produit par un service de la CNIL. Très intéressant.
En France, on fait pareil (à part la recherche à partir d'une description, mais on a une conservation un an en échange), mais c'est l'État qui s'en charge directement (cf. ci-dessous). Heureusement qu'on a créé la CNIL pour nous protéger de l'État 😑️.
Deux choses ne vont pas dans cet article.
La première :
En 2022, à la suite d'une plainte de Privacy International, la CNIL avait prononcé une sanction de 20 millions d’euros et enjoint à la société de cesser de collecter et d’utiliser, sans base légale, les données des personnes se trouvant en France et de supprimer celles déjà collectées.
La France n'a jamais recouvré l'amende ni l'astreinte. Pour cette raison, une homologue de la CNIL en Allemagne a jeté l'éponge face à un concurrent de Clearview. Source.
La deuxième : l'encart « Qu'en est-il en France ? » passe sous silence plusieurs caractéristiques du système LAPI utilisé par les autorités nationales (centralisation nationale depuis 2024, photo plaque + occupants du véhicule, interrogation en boucle de certains fichiers de police, utilisation lors de grands événements, etc.), ainsi que les importantes modifications survenues cet été (conservation un an, utilisation hors enquêtes judiciaires, pour toujours plus de finalités, accès expérimental pour les services de renseignement, incitation des communes à déployer du LAPI hors stationnement connecté au réseau national, etc.). Détails ici.
Une énième diatribe de Gee contre le téléphone, cette fois-ci quand il est utilisé comme appât pour capter un client / usager et le spammer.
Je ne partage plus trop l'arbre de décisions pour savoir quand utiliser le téléphone. Typiquement, l'échange d'informations précises, comme l'heure et le lieu d'un rendez-vous, c'est difficile par écrit en fonction de l'interlocuteur, et impossible avec des acteurs institutionnels, privés comme publics.
+ Simplification for whom? Open letter to EU Member States to uphold GDPR protections in Digital Omnibus on Data. Article beaucoup plus pédagogique, j'en recommande la lecture.
In a leaked document, the Irish Presidency proposes to EU Member States that the interest of OpenAI, Anthropic, Google, Meta and SpaceX to make profits should take precedence over the fundamental right to data protection. Use of personal data “in the context of AI” should automatically be lawful. There seems to be wide informal agreement by many Member States. In particular, Big Tech would be able to use all personal data collected over the past decades with virtually no restrictions, as long as this happens “in the context” of AI. […]
[…]
[…] Ireland serves as the EU headquarter for the majority of the US and China’s AI corporations.
[…]
A blank check for an entire technology? Usually, the GDPR permits processing for specific purposes (e.g. retention for tax records or fraud prevention). However, the currently proposed Article 88c (or Article 88bis) legitimises an entire technology. Regardless of the purpose for which it is used, any AI system would be lawfully sucking up any personal data by default. […]
[…]
Further massive limitations on protections and rights. The EU member states have further proposed drastically narrowing the definition of “personal data”, meaning that, amongst other things, it is unclear whether, for example, online tracking would still be covered by the GDPR. This is meant to be done via so-called "pseudonyms" that should regularly not be covered by the GDPR anymore. The problem is, that most IT systems primarily work with pseudonyms (such as user IDs, tracking IDs, IP addresses or social security numbers).
Furthermore, internal company knowledge and capabilities should be an element to be taken into account to determine if the GDPR even applies. Equally, data subject rights should not be applicable if they are “abused” by a data subject.
In practice, these "subjective" factors are prone to abuse. The decision of whether data is still “personal” or a right is “abusive” would be primarily made by the companies that are regulated by the law. Both of these measures can make it almost impossible to enforce the GDPR in practice. In each individual case, companies could have lengthy debates about their (unknown) internal capabilities and intentions and speculate about the potentially "abusive" intentions of users. Such debates typically drag on for years and drown procedures in enormous delays and enormous costs - so anything but "simplification".
[…]
Position of the European Commission and the European Parliament. The European Commission made a 180-degree turn a while ago, and currently clearly prioritises the interests of industry lobbies over fundamental rights. The position of the European Parliament remains mixed. Whilst most of the European People’s Party tend to argue in favour of putting more and more loopholes in EU digital laws, Members of the European Parliament, from the centre-left factions have so far pushed back. Increasingly also far-rights groups oppose proposals for a “free pass” for Big Tech.
Des nouvelles du Digital Omnibus, le démantèlement du RGPD.
La base légale de l'intérêt légitime permet déjà de traiter des données à caractère personnel (DCP) n'importe comment et pour n'importe quoi. Toutes les entités privées en abusent, autant que le public abuse de son équivalent, la mission d'intérêt public. La vérification des critères (intérêt légitime, nécessité, proportionnalité) encadrant ces bases légales est chiante, donc les autorités de contrôle, comme la CNIL, y procèdent très rarement. La CNIL elle-même abuse de la mission d'intérêt public, notamment pour sa lettre d'information. Bref, ici l'IA ne fait que rappeler l'existence de ces trous béants du RGPD.
Sur la réutilisation des DCP pour n'importe quelle finalité, noyb dérape un peu. Les systèmes d'IA sont encadrés par l'AI Act, donc écrire que les DCP serviront à entraîner des systèmes dédiés à la désinformation ou à la génération de nus sans consentement, c'est exagéré. Mais, sous cette réserve, il est exact d'affirmer que le principe d'utilisation de DCP pour une finalité précise et leur réutilisation pour des finalités compatibles (lire ici) est sérieusement mis à mal par la proposition.
Concernant le débat de l'application du RGPD aux données pseudonymisées, je renvoie vers cet article.
Triste de voir l'Allemagne sombrer en soutenant une variante de cette proposition qui exclue les autorités publiques (souvenirs de la Stasi ?) et quelques usages (génération voix ou image d'une personne, identification / surveillance / évaluation de personnes). Ce n'est pas la première fois.
L'institution de l'aumônerie n'est pas une anomalie dans un État laïque, même s'il peut sembler surprenant que des ministres du culte soient recrutés par l'État pour exercer leur ministère au sein des armées.
Au contraire, l'aumônerie est une modalité d'application du principe de laïcité, et l'on se souvient que l'article 1er la loi du 9 décembre 1905 énonce que "la République garantit le libre exercice des cultes". Lorsque des personnes sont placées dans une situation qui les empêche matériellement de pratiquer leur religion, la puissance publique organise cet accès au culte, par des aumôneries. On en trouve ainsi dans les hôpitaux, dans les prisons et même dans les établissements scolaires.
L'aumônerie des armées, quant à elle, est une institution ancienne. Après l'instauration de la conscription, la loi des 20 mai-3 juin 1874 établit une aumônerie militaire permanente. Supprimée par la loi du 8 juillet 1880, les aumôniers demeurent toutefois dans les postes isolés et les hôpitaux et pénitenciers militaires, ainsi, en cas de mobilisation, qu'auprès des armées en campagne. La loi du 9 décembre 1905, qui constitue le socle du droit positif, réintroduit ensuite les services d'aumônerie.
L'aumônerie permet aux militaires d'exercer leur culte. Dès 1874, il est prévu des aumôniers des différents cultes, et des aumôniers protestants sont présents durant la guerre de Crimée. Les aumôniers israélites, quant à eux, sont introduits par la loi de 1880. En revanche, le culte musulman a eu davantage de difficultés à s'implanter. Des aumôniers ont certes été présents auprès des soldats musulmans pendant la Première guerre mondiale, mais ils ne bénéficient d'un statut équivalent à ceux des autres ministres de culte que depuis un arrêté du 16 mars 2005.
Si l'aumônier permet aux membres des forces armées d'exercer leur culte, il n'en demeure pas moins qu'il est aussi un militaire, situation quelque peu oubliée par l'aumônier du RPIMa.Le décret du 30 décembre 2008 est parfaitement clair sur ce point : "Les aumôniers militaires sont des militaires servant en vertu d'un contrat". Ils détiennent un grade spécifique et sont soumis aux dispositions applicables aux officiers, lorsqu'elles ne sont pas incompatibles avec leur statut. Ce texte leur confère la mission d'assurer "le soutien religieux des personnels qui le souhaitent".
Surtout, l'article 4 de ce même décret précise leur double casquette, si l'on ose employer cette formule. A la fois ministre de culte et militaire, l'aumônier est soumis à la double hiérarchie de l'aumônier en chef de son culte pour les questions religieuses et de l'autorité militaire pour les modalités d'exercice de sa mission.
[…]
C'est à ce niveau que l'affaire de Carcassonne prend tout son intérêt juridique. En effet, un aumônier bénéficie nécessairement d'une obligation de neutralité quelque peu allégée, car il n'est pas soumis à la neutralité religieuse. Exiger qu'il dissimule ses convictions religieuses reviendrait à détruire la fonction pour laquelle il est recruté.
Certes, mais ce privilège s'arrête là, car il demeure soumis à la neutralité politique et à la réserve militaire. L'article L 4121-2 du code de la défense énonce en effet que les convictions des militaires ne peuvent être exprimées qu'en dehors du service et avec la réserve exigée par l'état militaire. Bien entendu, un aumônier peut exprimer sa foi pendant son service, c'est l'objet même de sa fonction. En revanche, la réserve exigée par l'état militaire s'impose à lui, en tant que militaire. Son homélie, pas davantage que ses autres moyens d'expression, doit s'exprimer dans le respect de ce cadre juridique.
[…] Le rapporteur public concluant sur l'arrêt du 27 juin 2018 affirme ainsi que l'armée, toute l'armée, doit présenter une "neutralité politique absolue" et reconnait que la réserve militaire est plus contraignante que celle des autres agents publics.
#LLC