In the judgment C-416/23, the Austrian Data Protection Authority (DSB) received a slap in the face from the CJEU. The authority has – arbitrarily – set the number of complaints that data subjects can file at a maximum of two per month, even if one is affected by GDPR violations almost daily. The CJEU has now made it clear: as long as you do not file abusive complaints, all users have the right to have any GDPR violation remedied by the DSB. Unfortunately, DPAs trying to get rid of complaints isn't just an Austrian problem. Our figures show an EU-wide problem with DPA inactivity.
Dismissing and discontinuing en masse. For years, the DSB has developed various ‘techniques’ to discontinue proceedings against companies as much as possible. For example, data subjects are often threatened with the discontinuation of proceedings after each statement made by a company, if they do not object within two weeks. The DSB also discontinues proceedings on a large scale if a company (after years of dispute) complies with the GDPR at the last minute. […]
La CNIL ne ferait jamais ça, bien évidemment. :)))) Si, en fait.
Only 1.36% of all proceedings result in a fine. The DSB currently states that in 2023 it conducted 4,030 proceedings (2,389 national complaints, 876 cross-border complaints and 765 ex officio proceedings). However, only 55 fines were imposed in the entire year. This means that statistically, only 1.36% of all proceedings end with a fine. By way of comparison: 8.34 million traffic fines were issued in Austria in 2021. At peak times in 2023, more than 7,000 fines for incorrectly parked e-scooters were issued per month in Vienna. Statistically, it would take the DSB 127 years to issue these 7,000 penalties. However, many GDPR violations are as trivial as parking offences. User requests are simply not processed, consent is not obtained, or data is not deleted.
Alors que la CNIL… Ho, wait. :))))
Not only an Austrian problem. This problem isn't unique to Austria, but concerns data protection authorities across Europe. In 2022 (the last year with EU-wide numbers), all European DPAs had a combined number of 140,106 proceedings – but only issued 1819 fines against companies. This means that in only 1.3% of cases there was a serious consequence. This clearly shows that there is an EU-wide problem with DPA inactivity and authorities dragging out proceedings.
La branlette générale se constate dans les chiffres remontés au CEPD (ceux de la France).
Procedures take years – instead of months. According to § 73 AVG, the DSB must decide within 6 months. In reality, procedures almost always take significantly longer. For example, 3 years for a decision on an illegal cookie banner is no exception. The noyb statistics for Austria show many cases that wait well over 6 months for a decision. Further appeals to the Federal Administrative Court also take several years instead of the 6 months provided by law. As a result, law enforcement in Austria is in no way compliant with EU law.
Alors que la CNIL… Ho… :))))
Budget problems? […] A single penalty imposed on Google could amount to as much as €6 billion […]
Tout ne se résume pas à la thune. Il y a aussi la volonté, les priorités, la compétence, l'organisation, les méthodes et outils de travail, etc. Tu peux filer des centaines de milliards d'euros à un âne qui chie, il n'avancera pas. Pas vrai, la CNIL ? :)))) Pour ça qu'Aeris avait proposé à la Cour des comptes d'étudier le budget de la CNIL.
Quelques mois plus tard, noyb publiait que l'APD autrichienne est exsangue : Budget cuts paralyse Austrian DPA: NGO complaint to the EU Commission. Baisse de budget, recours à des travailleurs temporaires (12 mois), etc.
Conclusions de l'avocat général :
Point 74 :
Il s’ensuit que ces ressources doivent être adaptées à l’utilisation que les personnes concernées font de leur droit d’introduire des réclamations auprès des autorités de contrôle. Il serait paradoxal que, alors même que le législateur de l’Union a souhaité, comme cela ressort de l’article 57, paragraphe 2, de ce règlement, faciliter l’introduction de ces réclamations, ce qui revient à les encourager, il ait, dans le même temps, permis à ces autorités de refuser de donner suite auxdites réclamations lorsqu’elles estiment que leur nombre est trop important.
Point 89 :
Cela étant, au vu du contexte dans lequel s’inscrit l’article 57, paragraphe 4, du RGPD et des objectifs que poursuit ce règlement, une autorité de contrôle ne saurait exercer ce choix de façon discrétionnaire et non motivée. En effet, compte tenu de l’importance que revêt le droit d’introduire des réclamations au regard de l’objectif visant à garantir un niveau élevé de protection des données à caractère personnel, de la place essentielle que le traitement de ces réclamations occupe parmi les missions qui sont attribuées aux autorités de contrôle et de l’obligation qui incombe à ces autorités de procéder au traitement desdites réclamations avec toute la diligence requise, il incombe auxdites autorités de prendre en compte toutes les circonstances pertinentes et de s’assurer du caractère approprié et proportionné de l’option choisie. Ces éléments d’appréciation doivent figurer dans la motivation de la décision de l’autorité de contrôle saisie.
Points 51 et 52 :
À cet égard, il convient encore de rappeler que les États membres sont tenus, en vertu de l’article 52, paragraphe 4, du RGPD, de veiller à ce que chaque autorité de contrôle dispose des ressources humaines, techniques et financières ainsi que des locaux et de l’infrastructure nécessaires à l’exercice effectif de ses missions et de ses pouvoirs. Il s’ensuit que ces ressources doivent être adaptées à l’utilisation que les personnes concernées font de leur droit d’introduire des réclamations auprès des autorités de contrôle.
Ainsi, il incombe aux États membres de fournir aux autorités de contrôle les moyens adaptés au traitement de toutes les réclamations dont elles sont saisies, le cas échéant en augmentant ces moyens en vue de les adapter à l’utilisation que les personnes concernées font de leur droit d’introduire des réclamations au titre de l’article 77, paragraphe 1, du RGPD. […]
Point 70 :
Compte tenu des considérations qui précèdent, il y a lieu de répondre à la troisième question que l’article 57, paragraphe 4, du RGPD doit être interprété en ce sens que, lorsqu’elle est confrontée à des demandes excessives, une autorité de contrôle peut choisir, par une décision motivée, entre exiger le paiement de frais raisonnables basés sur les coûts administratifs ou refuser de donner suite à ces demandes, en tenant compte de l’ensemble des circonstances pertinentes et en s’assurant du caractère approprié, nécessaire et proportionné de l’option choisie.
La CJUE est frileuse, mais on a un début d'exigence de motivation, très localisée sur l'acceptation / rejet de réclamations. On retrouve aussi cela dans l'Internal EDPB Document 02/2021 on SAs duties in relation to alleged GDPR infringements du CEPD (notamment points 47-49, 62, 68) et dans des décisions plus récentes de la CJUE.
Le reste est sans surprise : une autorité de protection des données doit être mise en capacité de rejeter les réclamations visant à entraver au lieu de faire protéger ces droits. En droit administratif français, le volume d'une demande formulée à une administration, par exemple de communication de documents, ne suffit pas à lui seul à caractériser une demande abusive. Dommage que l'article 57(4) du RGPD ne prévoit pas cela de base.
#Autriche #52(4) RGPD
Le droit au silence devient, au fil des décisions de justice, un principe général du droit processuel, applicable aussi bien en matière pénale que disciplinaire, et à toutes les étapes des procédures. Par un arrêt du 19 décembre 2024, la section du contentieux du Conseil d'État franchit un pas supplémentaire dans le mouvement d'intégration de ce droit au silence.
[…]
Dans sa décision [2023-1074] QPC du 8 décembre 2023, M. Renaud N., le Conseil constitutionnel sanctionne en effet l’ordonnance du 28 juin 1945 relative à ladiscipline des notaires, précisément parce qu’elle ne prévoit pas le droit au silence. Dans une seconde QPC Hervé A. du 26 juin 2024, il fait du droit au silence un principe de droit processuel. A propos du droit au silence des magistrats devant le Conseil supérieur de la magistrature (CSM), il déclare que cette exigence s’impose « non seulement aux peines prononcées par les juridictions répressives mais aussi à toute sanction ayant le caractère d’une punition".
Droit au silence / de se taire dans les procédures disciplinaires.
+ Décision 2025-1171 QPC : notification du droit de se taire durant une procédure de sanction, y compris écrite, d'une autorité administrative (CNIL, ARCEP, ARCOM, etc.). Pour la formation restreinte de la CNIL, c'est la décision 2025-1154 QPC. A priori, pour le Conseil d'État, ça ne concerne pas les contrôles / vérifications menées par la CNIL.
#LLC
C'est magique :
122 Ainsi, tout le modèle d’affaires de la société repose sur la violation de dispositions majeures du RGPD, en ce que la base de données à partir de laquelle fonctionne son extension a été constituée pour partie illicitement.
Mais seulement 240 k€. Un business illégal, ça se torpille, point.
Agrégation de données publiques (annuaire des noms de domaine, github, etc.) et du siphonnage de données privées (import depuis LinkedIn à partir des gens qui ont installé l'extension…).
Point 40 : une adresse email (courriel) professionnelle est une donnée à caractère personnelle si elle désigne une personne.
Point 80 : les informations légales au titre des articles 13 et 14 du RGPD ne doivent pas être noyées dans les CGV. Une personne n'a pas à faire une recherche active parmi d'autres infos comme les CGV.
Point 105 : « La formation restreinte rappelle que le droit d'accès a pour objectif de permettre à la personne concernée de prendre connaissance du traitement de ses données et d’en vérifier la licéité. L’exercice de ce droit suppose donc que les informations fournies soient les plus précises possibles »
Publicités déguisés en courriels dans un webmail + retrait cookies pas effectif. Proton Mail fait ça (pub déguisée) pour ses produits et services…
Google GMail aussi a été sanctionné (ainsi que pour son parcours de création de compte trompeur pour inciter à la publicité ciblée), cf. délibération SAN-2025-004 (mon article dédié).
A cet égard, la formation restreinte entend rappeler que les règles régissant l’utilisation des cookies et autres traceurs permettent de protéger la vie privée des utilisateurs, en garantissant notamment l’intégrité de leur terminal, les informations stockées ou consultées dans ce cadre ne constituant pas nécessairement des données à caractère personnel (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17). Doivent ainsi être distingués, d’une part, les opérations consistant à déposer et à lire un cookie sur le terminal de l’utilisateur (ces opérations étant soumises à l’article 82 de la loi Informatique et Libertés) et, d’autre part, l’utilisation ultérieure qui est faite des données générées par ces cookies, généralement désignée sous l’expression " traitements subséquents " (et soumise aux dispositions du RGPD) (CNIL, FR, 31 décembre 2021, Sanction, n° SAN-2021-023, publié ; CNIL, FR, 31 décembre 2021, Sanction, n° SAN-2021-023, publié ; CNIL, FR, 29 décembre 2022, Sanction, n° SAN-2022-025, publié).
Clôture de l'injonction de se mettre en conformité en septembre 2025 (délibération SAN-2025-007) :
S’agissant des traceurs déposés par les partenaires de la société (les « cookies tiers »), ORANGE a justifié avoir pris des mesures permettant d’empêcher toute opération de lecture ou d’écriture sur son site une fois le consentement de l’utilisateur retiré, en faisant cesser la réalisation de nouvelles requêtes à des domaines tiers. La CNIL a néanmoins relevé que ces traceurs n’étaient pas supprimés du navigateur. En effet, ORANGE n’ayant pas la maîtrise technique de ceux-ci , elle ne pouvait pas les effacer. Dès lors, le suivi de la navigation de l’utilisateur pouvait se poursuivre sur des sites tiers utilisant le même traceur, révélant ainsi qu’il avait, à un moment donné, consulté le site orange.fr. La formation restreinte a cependant considéré qu’en l’état actuel de la doctrine et de la jurisprudence du Conseil d’État, ces opérations de lecture — réalisées en dehors du site web orange.fr — excèdent la responsabilité de la société ORANGE. Elles relèvent de celle de ses partenaires, lesquels devraient mettre en place des mesures permettant à ORANGE de les informer du retrait du consentement des utilisateurs, afin qu’ils puissent en tirer les conséquences. Par ailleurs, la formation restreinte a relevé que la société ORANGE avait justifié avoir contacté ses partenaires pour qu’ils mettent en place ce type de mesures.
Orange a contesté la mesure, CE 501268, avec une demande de QPC (2026-1210 QPC) portant sur la concurrence des compétences CNIL / ARCEP.
+ 24 millions et moi, et moi… : l’équivalent du tiers de la population est « défavorablement connue » de la police et 12 ans que la CNIL dénonce le fichier TAJ des personnes « défavorablement connues »… en vain chez Next
Données inexactes et conservées trop longtemps, comme les décennies antérieures.
Absence d'information.
Difficultés dans l'exercice des droits.
Et ça, c'était avant la violation de décembre 2025. 🤡️
Les photographies consultées par WIRED montrent en effet des pancartes pro-Trump ou en faveur du tandem formé par Kamala Harris et Tim Walz affichées au fronton de maisons, sur les portes de garages ou plantées dans des jardins de domiciles privés, ou encore des autocollants politiques (tels que « Fuck Biden ») à l’arrière de camions et de voitures, « dans toute l’Amérique ».
[…]
Or, les personnes ayant accès à la base de données de DRN peuvent, non seulement effectuer des recherches à partir de n° de plaques d’immatriculation, mais également de mots-clefs, leur permettant d’identifier des photographies où figurent les mots recherchés.
Une recherche du mot « Trump » dans les plaques d’immatriculation des véhicules du Delaware a par exemple renvoyé plus de 150 photographies montrant des maisons et des autocollants de pare-chocs, relève WIRED, associées à la date, l’heure et le lieu exact où la photo a été prise.
Caméras de l'équipementier Flock.
Quid de la France avec LAPI ?
Dans un communiqué, le ministère de l’Économie explique qu’une enquête « menée par les agents des services de la DGCCRF a établi que la société avait démarché par téléphone des consommateurs alors qu’ils étaient inscrits sur la liste d’opposition au démarchage téléphonique », la fameuse liste Bloctel.
DGCCRF plus efficace que la CNIL…
Collecte de données issus des dossiers médicaux des patients des docteurs de ville. Ça rappelle la sanction CNIL contre IQVIA.
Dignilog résume bien : pseudonymisation != anonymisation ; les éditeurs qui imposent leur logiciel SaaS peuvent être qualifiés de RT au lieu de ST.
Rappel que les logiciels des médecins / docteurs récupèrent l'historique des remboursements et les affections longues durées (ALD) depuis des téléservices de l'Assurance maladie (CNAM), points 132 à 134 de la délibération. Donc la critique de Mon espace santé sur ce point est vaine.
Étrangement, quand l'autorité cheffe de file est celles des Pays-Bas, le transfert de données à caractère personnel hors de l'UE entre l'invalidation du Privacy Sheld et l'adoption du DPF, est sanctionné. Quand c'est la CNIL, hop courriel-type informel. 🤡️
Contrary to EU law, the Swedish Data Protection Authority (IMY) regularly refuses to properly handle complaints from data subjects. Even after a ruling by the Supreme Administrative Court of Sweden, the IMY frequently just forwards a complaint to the company that illegally processes personal data - and then immediately closes the case without investigating. However, the GDPR clearly stipulates that authorities must not only process each and every complaint, but also remedy the situation. noyb is now taking the IMY to court to ensure that it finally complies with its obligations.
Lettres d'information sans investigation qui n'appellent aucune réponse. Ça rappelle furieusement la CNIL et ses courriels-type informels rédigés au conditionnel dans 98-99 % des réclamations recevables.
Dans ses écritures, noyb expose sa lecture de l'arrêt C-26/22 de la CJUE : une autorité de protection des données, comme la CNIL, doit enquêter jusqu'à identifier si un manquement a été commis ou non. Elle a uniquement le choix des moyens d'enquête pour atteindre cet objectif, tant que sa démarche garantit un niveau élevé de protection des personnes. Le CEPD esquisse aussi cela dans son Internal EDPB Document 02/2021 on SAs duties in relation to alleged GDPR infringements (notamment points 59, 65, 68), et l'on retrouve ça, en creux, dans des décisions récentes de la CJUE.
#Suède
En 2025, Veesion s'est désistée de son recours au fond, donc la décision de la CNIL « de l'informer de ce que le dispositif de caméras augmentées qu'elle commercialise n'est pas conforme au cadre légal et réglementaire des données à caractère personnel » n'a pas été annulée.
Mais, heureusement, en 2026, les députés arrivent à la rescousse. Voir aussi. À suivre.
#VSA
Plus de trois ans après notre recours, le tribunal administratif d’Orléans vient de confirmer que l’audiosurveillance algorithmique (ASA) installée par l’actuelle mairie d’Orléans – des micros installés dans l’espace public et couplés à la vidéosurveillance, destinés à repérer des situations dites anormales – est illégale.
[…]
En septembre 2023, la CNIL, que nous avions saisie en parallèle du TA d’Orléans, considérait que cette ASA était illégale dès lors qu’elle était couplée à la vidéosurveillance en raison de la possibilité de « réidentifier » les personnes. Mais elle ajoutait qu’elle ne trouvait plus rien à redire depuis que le dispositif orléanais était découplé de la vidéosurveillance locale. Une analyse que nous avons contestée devant le TA d’Orléans.
Dans son jugement, le tribunal administratif d’Orléans n’a pas explicitement considéré que l’ASA orléanaise ne serait pas un traitement de données si elle n’était plus couplée à la vidéosurveillance. Puisqu’il était saisi de la légalité de la convention entre Sensivic et Orléans, laquelle prévoyait ce couplage, il s’est borné à dire que le dispositif ASA et vidéosurveillance était illégal.
Dans tous les cas, ce point est annexe : l’audiosurveillance algorithmique exige, par nature, d’être couplée avec une source supplémentaire d’information permettant de traiter l’alerte émise. Que ce soit par un couplage avec la vidéosurveillance ou en indiquant à des agent·es de police ou de sécurité de se rendre à l’endroit où l’événement a été détecté, l’ASA visera toujours à déterminer la raison de l’alerte, donc d’identifier les personnes. Elle est donc par nature illégale.
Enquête / sondage AFCDP, CNIL, et autres sur les DPO.
Aucune expertise juridique ni informatique (51 % des répondants) ! ; DPO = 25 % de leur temps de taff, et aucune équipe ; Peu de budget ; Peu de difficultés dans la compréhension du RGPD et sa mise en œuvre opérationnelle (avec une énorme disparité entre les DPO juridiques ou informatiques, qui éprouvent moins de difficultés, et les autres) ; Peu ou pas formés ; Par suite, forcément qu'ils déclarent être écoutés et suivis puisqu'ils sont dans l'incapacité, y compris intellectuelle, de s'opposer à un traitement illicite.
Bref, des DPO maintenus dans la servitude. Je ne vois vraiment pas comment faire du RGPD sans expertise juridique puisque le RGPD n'est qu'un cadre. Exemple : il ne prescrit pas les durées de conservation, il faut les identifier dans trouzemilles autres normes juridiques (Code de la consommation, fiscalité, Code du travail, etc.).
L'enquête 2025 confirme ces faits.
Parfaite inaction des autorités de protection des données (APD), dont la CNIL. Aucune procédure d'urgence. Seule l'Italie a tenté des trucs (1, 2).
+ noyb sends Meta 'cease and desist' letter over AI training. European Class Action as potential next step
+ noyb is now qualified to bring collective redress actions
Au final, rien, l'AI est toujours en opt-out chez tous les géants du numérique. Comme quoi, il ne suffit pas d'être entité qualifiée (directive UE 2020/1828).
noyb survey: only 7% of users want Meta to use their personal data for AI :
Intéressant mais attention aux biais :
Lors d’une conférence organisée à San Francisco ce 15 mai, Visa a annoncé le déploiement d’une nouvelle technologie lui permettant de partager avec les détaillants des informations sur les préférences des clients en fonction de leur historique d’achats.
Ces données seront transférées par l’intermédiaire des jetons exclusifs du géant des paiements. Ces derniers offrent un niveau de sécurité supplémentaire entre les informations bancaires d’un consommateur et celles d’un commerçant. Les préférences d’achat et d’autres informations basées sur les transactions passées, comme les catégories de services ou de produits privilégiés d’un client, seront ajoutées à ces jetons.
Cette nouveauté sera déployée par Visa et les banques participantes dès cette année. Les détaillants auront ainsi la possibilité de demander le consentement d’un client pour lui envoyer des offres personnalisées en temps réel lors de ses achats, en utilisant des informations générées par l’IA sur la base des données de transaction.
Article très mal écrit : on parle de préférences, de catégories de services, etc., déduites des transactions auprès de magasins thématiques fréquentés et non du panier d'achat, avant d'évoquer de la pub ciblée sur consentement. Le titre est lui-même putaclic en parlant de l'historique des achats.
Dans le même genre, on a le partenariat Google<>Mastercard… Seulement aux États-Unis d'Amérique. Donc pareil, faudrait voir si Visa impacte les porteurs de cartes bancaires européens, ce dont je doute.
Mi-2025, après l'intervention de la CNIL suite à l'une de mes plaintes, Visa m'a confirmé que les « données dépersonnalisées, anonymisées ou agrégées, qui sont utilisés pour le développement de produits et la prestation de services consultatifs aux clients », dont les « informations de transaction », qui figurent dans son avis de confidentialité, sont bien anonymes au sens de la CNIL donc sans ré-identification directe ou indirecte. par corrélation ou individualisation.
Sur le sujet, Aeris, qui bosse chez un prestataire de services de paiement, a écrit :
Pour VS et MC, vu ce qui passe sur le réseau, je vois assez mal comment ils peuvent faire quoi que ce soit. Rien que le commerçant final n’est identifié que par un MID (merchand ID) qui n’est connu que de la banque émettrice de la carte et est à sa totale discrétion. ; Je pense que c’est du tracking « ad hoc » avec la coopération des boutiques pour placer des champs distinctifs dans les trames envoyées à MC. On est d’accord par contre, ça reste moyen bof (mais a priori pas en Europe)
[…]
Et ici je ne pense même pas qu’on parle de méta-données vu ce que Google cherche à faire. Je penche plutôt sur du bricolage entre Google/Mastercard/les marchands concernés pour foutre des tags dans les trames CB2A envoyées à Mastercard, que Mastercard refile ensuite à Google pour qu’ils fassent leurs stats d’acquisition. ;
Bref, actu pétard mouillé.
Je rappelle qu'il est possible d'avoir une carte bancaire co-badgée GIE CB et de choisir le réseau de paiement (uniquement lors des achats en ligne).
Ce que la CNIL retient des études contrastées sur le bénéfice économique du RGPD : continuer à se focaliser uniquement sur les gros et pondre toujours plus de recommandations, référentiels, et guides inutiles… Super…
Déjà que l'intérêt du RGPD ne réside pas dans un bénéfice économique (hors protectionnisme réglementaire que l'UE n'a jamais mis en œuvre) mais dans la protection des droits fondamentaux…
Dans son avis du 13 février 2024, le CEPD indique que l’administration centrale ne peut être considérée comme établissement principal que si cette entité :
- prend les décisions quant aux finalités (objectifs) et aux moyens du traitement de données personnelles en cause ;
- dispose du pouvoir de faire appliquer ces décisions.
Ainsi, lorsque le responsable de traitement est localisé dans un État situé en dehors de l’UE et qu’aucun établissement au sein de l’Union européenne, y compris son administration centrale, ne dispose du pouvoir décisionnel sur les finalités et les moyens du traitement, il n’y a pas d’établissement principal au sein de l’UE au sens du RGPD : dans ce cas, le mécanisme du guichet unique ne s’applique pas.
+ Défaut de pluralisme sur la chaîne française CNews : RSF saisit l’Arcom en janvier 2026
+ Pourquoi l’Arcom n’a jamais sanctionné Cnews pour manquement au pluralisme
Deux ans après cette décision du Conseil d'État, saisi par RSF, environ aucune action significative de l'ARCOM. On se croirait à la CNIL ou à l'ARCEP… Mais paye tes impôts, connard de citoyen !
Ce qui me frappe, c'est que l'ARCOM, ex-CSA, existe depuis environ 30 ans et elle se méprenait sur ses missions : la pluralité des idées s'apprécie aussi à l'égard des invités non-politiciens, et l'indépendance éditoriale s'apprécie au regard de l'ensemble de la programmation (pas d'une séquence). Chaud la sieste !
Je m'interroge : comment déterminer la coloration politique d'une idée ou d'une personne non-politicienne ? Il suffit qu'un parti politique en face son cheval de bataille ? Ou qu'une croyance soit répandue à ce sujet (du genre droite = liberté ; gauche = égalité) ?
Juin 2026 : première application, par l'ARCOM, du régime dégagé par le CE en 2024. CNEWS manque au pluralisme des courants de pensée et d'opinion. Déséquilibre manifeste et durable via une focalisation structurelle sur l'islam, l'immigration, les juges, LFI, etc. qui va au-delà d'une ligne éditoriale.
#LLC
+ Jugement 2120895 du Tribunal de Paris.
+ https://www.education.gouv.fr/la-lettre-d-information-juridique-ndeg-228-janvier-2024-380514
+ https://www.ccomptes.fr/sites/default/files/2023-10/20200227-rapport-premier-bilan-loi-ORE-3.pdf
Ça, c'est drôle. Après avis favorable de la CADA (sous réserve d'occulter des éléments couverts par le secret des systèmes d'informations), l'État refuse de communiquer le code source de Parcoursup au motif que cela rendrait publiques les nombreuses vulnérabilités, dont certaines sont connues depuis 2018, et l'obsolescence d'une partie du code.
En toute logique, par application de l'article 32 du RGPD (sécurité des données), il devrait être interdit de traiter des données à caractère personnel dans Parcoursup. Or, aucune réaction de la CNIL. Rigolo, non ?
En février 2024, j'ai déposé une réclamation en ce sens auprès de la CNIL, mais je n'ai pas intérêt à agir (RGPD = droits personnels, alors que Parcoursup ne traite pas mes données).
En mars 2024, le Comité éthique et scientifique de Parcoursup exposait que l'ANSSI était satisfaite, et que les vulnérabilités ont été corrigées. Donc le refus de communication est illicite ? :))))
+ EDPB Opinion: Meta cannot rely on "Pay or Okay" chez noyb
NOYB oublie un argument central : bien souvent, payer ne retire par les traceurs sur un site web, et consentir ne donne pas accès au contenu. Dignilog en parlait en 2024 (PDF ici).
Au final, l'avis du CEPD se contentent de dire qu'il faut étudier chaque cas : position de l'éditeur sur le marché, montant du paiement, existence d'alternatives, etc. Le CEPD devait pondre des lignes directrices plus générales : on les attend encore en avril 2026.
À ce jeu-là, les autorités de protection des données à caractère personnel, comme la CNIL, enculent les mouches dans des analyses économétriques insensés sur le juste prix du consentement… Exemple : Years of inactivity in “Pay or OK” cases: noyb sues German DPAs. Après 4 ans, les APD d'Allemagne : "olala c'est compliqué, et de nouvelles lignes directrices pourraient arriver". On croirait entendre la CNIL.
En 2025, on parle d'un faible gain économique et du fait que les personnes préfèrent la troisième voie esquissée par le CEPD, à savoir la publicité contextuelle (sans traceur) au lieu de payer ou de consentir à de la publicité comportementale.
Au final, c'est au nom du Digital Market Act (DMA) que Meta a été sanctionnée et propose soit publicité personnalisée donc intrusive, soit publicité moins personnalisée / intrusive… Avril 2024 - décembre 2025 pour en arriver là.
#paywall