Le 6 mars 2026, le Canard enchaîné a publié un article portant sur le partage, par La Poste, des données à caractère personnel de ses clients avec des entités commerciales lors de la souscription d’un contrat de réexpédition de courrier, malgré l’opposition des clients.

Auprès du Canard, La Poste plaide un « dysfonctionnement ponctuel sur une période inférieure à un mois ».

Or, La Poste pratique cela depuis 2017 a minima. Comme l’expose le Volatile, il s’agit d’un secret de polichinelle puisque de très nombreux témoignages sont disponibles en ligne.

Fidèle à son habitude, la CNIL, pourtant saisie de réclamations, n’a jamais mis fin au mauvais comportement structurel de La Poste.

Nous avons écrit à la CNIL pour l’informer de cette situation et pour exiger, pour la énième fois, des mesures correctrices fortes à l’encontre des malfaisants en matière de protection des données personnelles comme La Poste.

Nous appelons également la CNIL à traiter nos plaintes vieilles de 11 mois portant sur une autre pratique abusive de La Poste, son « référentiel clients », dont la manifestation la plus visible est la demande, voire l’exigence, de fournir des coordonnées (numéro de téléphone, adresse emails) pour acheter des timbres classiques au guichet.

La branlette de la CNIL, c'est pas rien… 😡️

Nous avons participé à la concertation publique de la CNIL sur la démonstration du consentement.

Résumé de notre contribution :

• Nous déplorons l’absence de publicité intégrale de la concertation (absence de publicité du projet et des modalités de participation), ainsi que la briéveté du délai initial pour y participer ;
  
  
• En environnement non-authentifié, nous incitons vivement à renforcer et obliger la preuve de consentement autour d’une double validation, afin de juguler des pratiques détestables telles que le flood de double validation ou le blanchiment de données à caractère personnel à travers des jeux concours web fictifs, notamment en facilitant la démonstration, par la victime, d’un consentement usurpé ;
  
  
• Nous nous opposons vivement à l’exemption de preuve de consentement en matière de cookies et autres traceurs web. La limitation de l’exigence à la fourniture d’une preuve de procédé est contraire au RGPD ;
  […]

L'exemption partielle, depuis 2020, de preuve du consentement en matière de cookies et autres traceurs web, au profit d'une preuve de procédé, est problématique…

Fin 2024, j'ai acheté un ordiphone Google Pixel 6a reconditionné.

En août 2025, je constate qu'il se décharge alors que le chargeur est branché. Dans les Paramètres, Batterie, il y a écrit « Connecté, pas en charge ». De plus, j'observe des « sauts » du niveau de batterie alors qu'il est branché au secteur : par à-coups, il descend de plusieurs points (ex. : 92 % -> 86 % -> 78 %, etc.) avant de poursuivre une descente linéaire et habituelle. Brancher / débrancher le chargeur permet de rétablir le fonctionnement normal, mais pas toujours. Une fois, de nuit, il ne voulait pas charger au-delà de 92 %. Ceci dit, la chute du niveau de batterie est contrôlée, ça ne tombe pas à zéro, donc mon ordiphone charge, mais quand il le veut.

J'avais bien la dernière version d'Android (16). J'avais redémarré mon Pixel 6a plusieurs fois. J'avais constaté ces problèmes même quand il est éteint et en charge (c'est donc indépendant du système). J'avais utilisé une autre prise électrique murale, un autre chargeur et un autre câble USB : mêmes problèmes. Inversement, mon chargeur et mon câble chargeaient un autre smartphone sans problème.

J'ai eu le moral à zéro. Quand j'ai acheté un Pixel reconditionné, c'était pour être tranquille plusieurs années. J'avais eu des problèmes avec l'alimentation électrique de mes Samsung S3, je pensais avoir mangé mon pain noir. Perdu 🙁️.

Mi-septembre 2025, gonflé par le caractère hautement récurrent du problème, j'ai consulté le bugtracker de GrapheneOS (le système dérivé d'Android que j'utilise). J'y apprends un défaut de la batterie sur certains Pixel 6a, surchauffe, risque d'incendie, etc., et que, dès juillet 2025, Google a lancé un programme dédié de remplacement ou d'indemnisation ainsi qu'une mise à jour logicielle qui vise, d'une part, à éviter la surchauffe en réduisant la capacité de la batterie et sa vitesse de charge, et, d'autre part, à notifier les clients concernés qu'un « remplacement de la batterie » est « recommandé ».

GrapheneOS a importé cette deuxième fonctionnalité dans sa version 2025092700, mise à disposition dans le canal « stable » le 29 septembre 2025. Mon ordiphone m'a alors affiché la notification : sa batterie présentait bien un défaut.

Mi-septembre 2025, elle avait subi 405 cycles de charge. Les limitations de la batterie pour éviter une surchauffe s'activent après 400 cycles. Je pensais donc que c'était leur activation que j'ai perçue à partir d'août 2025. Mais ce n'est pas possible, car GrapheneOS n'a importé ces limitations qu'à partir de la version 2025090500 (1, 2). Donc… 🤷️

J'apprendrai que Google a déjà eu un problème avec la batterie de certains Pixel 4a, avec celle de certains Pixel 7a, et qu'elle a pris des précautions avec les Pixel 8 à 10. (Et après certains nous chantent que tout ce que font les GAFAM est or, qu'ils sont tr0f0r, des génies, trolololo 🤡️.)

Diagnostic technique

Sur les espaces communautaires en ligne, on retrouve toujours les mêmes logiciels conseillés pour vérifier l'état de la batterie.

Évidemment, il ne s'agit pas de logiciels sous licence libre, donc c'est no-go pour moi.

Ces logiciels prennent les infos qu'ils affichent auprès du système, donc on peut en faire pareil, sans eux :

• adb shell dumpsys battery ;
  
  
• adb shell cat /sys/class/power_supply/battery/[…], notamment health (santé), cycle_count (cycles de charge), temp (température), charge_full (capacité lors de la dernière recharge complète), charge_full_design (capacité nominale).

Les valeurs possibles sont explicitées dans les entêtes de programmation de Linux.

Mi-septembre 2025, je n'y voyais rien d'étrange : health = « good », cycle_count = « 405 », temp = « 286 ». charge_full était supérieur à charge_full_design, ce qui est impossible, mais ça arrive souvent, y compris sur un ordi portable.

Google

Comme exposé supra, Google met en œuvre un programme de remplacement / indemnisation pour la batterie des Pixel 6a vers laquelle renvoie la notification. Tous les 6a ne sont pas concernés.

J'ai commencé mes démarches mi-septembre 2025.

Pour vérifier l'éligibilité au programme, il faut créer un compte Google, donc vérification d'un 06 🙁️. (Rigolo : au lieu de taper une adresse emails @google.com, j'ai saisi une adresse @mondomaine.example, donc j'ai un compte Google avec cette adresse.) L'outil d'éligibilité, qui collecte fort logiquement l'IMEI, ne me dira pas si je suis concerné ou non 😑️ ("les GAFAM sont les seuls à proposer des interfaces intuitives trop bien" = trolololo 🤡️).

À ce moment-là, Google ne proposait pas de réparation (= remplacement de la batterie) en France (uniquement aux États-Unis d'Amérique, au Royaume-Uni et en Australie, de mémoire). J'ai eu le choix entre un virement bancaire de 100 $ américains via le prestataire de paiement Payoneer (que Google nomme « paiement en espèces ») ou un bon d'achat Google Store de 150 $ américains.

Le Google Store vend uniquement des Pixel 9 ou 10, dont le prix plancher est 549 €. Hors de question. Donc j'ai choisi le virement bancaire, dans l'intention de les dépenser pour faire remplacer ma batterie.

Après un silence de trois semaines depuis le dépôt de ma demande d'indemnisation, j'ai relancé Google. (Mais les GAFAM sont tr0f0rt, il paraît 🤡️, alors que l'efficacité se mesure dans la capacité à gérer l'imprévu, pas dans la gestion de l'usuel.)

Réponse cinq jours plus tard : je ne remplirai pas les critères d'éligibilité. Quasiment un mois pour me répondre ça. Tr0f0rt, le GAFAM, assurément 🤡️.

Le jour même, je demande quels critères je ne remplis pas, j'expose en quoi je remplis tous ceux listés sur la page du programme, et je demande un réexamen de mon dossier.

Le lendemain, Google me demande trouzemilles infos : date d'achat, revendeur, modèle de l'appareil, numéro de commande et/ou de transaction, preuve d'achat, connexion à mon compte Google (créé pour déposer ma demande) depuis le Pixel concerné, etc. Aucune réponse sur les critères que je ne remplirais pas (tr0f0rt les GAFAM 🤡️).

Le lendemain, je réponds à tout, en détail (dates de la commande, du paiement, et de la livraison ; nom, adresse postale, SIRET, et lien vers le registre du commerce et des sociétés du revendeur et de la place de marché ; modèle ‒ alors qu'il se déduit de l'IMEI déjà fourni, tr0f0rt le GAFAM 🤡️ ; numéro de commande, pas de numéro de transaction) et je fournis des justificatifs (justificatif d'achat, bon de livraison, et attestation de paiement). J'imagine que la connexion au compte Google permet de vérifier que je détiens le smartphone donc j'explique que je ne veux pas associer mon smartphone à un tel compte, que ça ne figure pas dans les conditions du programme, je joins une photo de lui, affichant son IMEI, devant l'écran de mon ordi affichant l'email de Google, y compris sa référence, et je joins une photo, avec le même fond, de mon smartphone affichant la notification « remplacement de la batterie recommandé ». Je redemande quels critères d'éligibilité je ne remplirais pas. (Miam miam toutes les données collectées par Google 🙁️.)

Je relance quinze jours plus tard. Réponse : en cours de traitement. Tr0f0rt, assurément 🤡️.

Quatre jours plus tard, Google me demande une photo du tiroir de la carte SIM pour y lire l'IMEI, et de répondre à son courriel depuis mon smartphone en utilisant mon compte Google.

Le jour même, j'envoie la photo demandée et je réitère que je n'associerai pas mon smartphone à un compte Google, et je demande à quoi ça sert et comment je pourrais fournir des preuves équivalentes par d'autres moyens.

Quatre jours plus tard (soit un mois et demi depuis ma demande), je reçois un lien pour créer un compte Payoneer (prestataire de paiement annoncé). Je crée un compte. Trois minutes après, ce presta m'écrit « Your request to get payments from Google LLC is approved! ».

Je ne vois aucun virement, même 6 h plus tard (délai post-approbation annoncé par Google). J'attends trois jours car c'était le délai maximal d'approbation annoncé par Payoneer. Rien. Côté Payoneer, je n'ai aucune « vérification » à satisfaire. Sur cette partie-là, les clients sont laissés sans instruction, que ça soit par Payoneer ou par Google 🙁️. Je relance Google.

Le lendemain, Google m'annonce un virement. Payoneer me le notifie dans la foulée.

Deux jours après, Payoneer m'annonce un virement sur mon compte bancaire.

Deux jours après, je vois le virement bancaire du côté de ma banque \o/. 100 $ américains = 84,75 €. Quelques jours avant ou après, ça m'aurait fait 86-87 € (fluctuation du taux de change). Classe, le virement bancaire provenant de « Google LLC » 😎️.

À quatre jours près, il s'est donc écoulé deux mois entre le dépôt de ma demande et le virement bancaire, pfiou. À part cette lenteur, je reproche à Google de ne pas se justifier, de ne pas répondre à mes questions sur comment avancer, de tenter d'imposer l'association du smartphone avec un compte Google (mais je comprends que c'est la situation la plus courante, et que ça peut lui permettre d'encaisser un plus gros volume de demandes), et de ne pas m'avoir fourni d'instruction sur la partie Payoneer 🙁️.

Les échanges se font en français via une traduction automatique (que le pied des emails nous propose d'évaluer). On comprend le sens, mais c'est très approximatif, et excessivement poli / policé. Comme quoi, l'IA qui va révolutionner la traduction, trololo 🤡️. Payoneer est totalement en anglais.

Au final, même quand t'utilises GrapheneOS, tu n'échappes pas à Google 🙁️ : compte Google, email, nom, prénom, adresse postale, numéro de téléphone, IMEI, et les trouzemilles éléments pour constituer le dossier. Payoneer m'a demandé email, nom, prénom, date de naissance, adresse postale, IBAN, et 06.

BackMarket

J'ai acheté mon Pixel 6a reconditionné à un revendeur français par l'intermédiaire de la place de marché BackMarket.

Je dispose donc de la garantie légale de conformité, de la garantie légale contre les vices cachés, et d'une garantie commerciale d'un an.

Je prends connaissance du défaut de la batterie onze mois après son achat. J'ai donc un mois pour agir (pour le reconditionné et l'occasion, la garantie légale de conformité est de deux ans, mais, après la première année, le client doit prouver que le défaut existait à la livraison, laissé béton).

À ce moment-là, j'ignore si Google va accepter la prise en charge. Donc je dois solliciter le vendeur (sur qui pèse les trois garanties précitées). Il n'est pas interdit de faire jouer les différentes responsabilités (fabricant, vendeur) ni de les paralléliser.

Dans ses CGV, CGU, et attestation de paiement, BackMarket écrit de passer par elle pour tout problème avec un vendeur afin qu'elle puisse intervenir si besoin.

J'avais supprimé mon compte BackMarket en 2024, un mois après mon achat, afin de protéger mes données à caractère personnel dans un contexte de 16 violations/jour, donc la démarche en ligne m'est inacessible. Les CGV/U, notamment leurs articles 8/9, exposent que, dans un tel cas, on peut contacter BackMarket par un formulaire web dédié.

À la mi-septembre 2025, j'écris donc à BackMarket pour demander la procédure. Réponse : on peut rien pour vous sans compte BackMarket, car on n'a pas accès à l'interface permettant de contacter le vendeur (L-O-L 🤡️), mais vu la spécificité de ma situation, on me demande la nature du problème et la preuve d'achat.

J'envoie. Rejet, pour le même motif. Comme tout un chacun, je déteste qu'on me réclame des éléments tout en sachant qu'on va bouler ma demande 😡️.

J'ai tout essayé : j'ai exposé que les garanties légales ne sont pas, légalement, conditionnées à la détention d'un compte client ; J'ai exposé que les CGV/U indiquent de revenir vers BackMarket pour une prise en charge en l'absence d'un compte client. Réponse : ça ne vaut que si BackMarket est à l'initiative de la clôture du compte ; J'ai répondu que ce n'est pas précisé dans les CGV/U, que nous sommes sur un contrat d'adhésion + B2C, donc qu'elles s'interprètent à la faveur du client ; J'ai demandé les solutions équitables au litige : aucune, sauf me débrouiller moi-même avec le vendeur ou saisir un médiateur de la consommation. J'ai menacé de saisir SignalConso. J'ai demandé un transfert au « service supérieur » à l'origine, prétendument, des refus. Rien à faire, BackMarket = mur 🙁️.

Le paroxysme a été une bataille de copier-coller : BackMarket me copie-colle sa dernière réponse au lieu de répondre à mes éléments (notamment sur l'interprétation des CGV/U), donc je copie-colle ma dernière réponse, donc BackMarket recopie la sienne, et ainsi de suite pendant deux jours. Très professionnel 🤡️. Mouin-mouin, on se fait grand-remplacer par Amazon et maintenant par l'IA ! Avec ce niveau, pas étonnant : si tu te comportes comme un robot, tu seras remplacé par un robot, et tant mieux.

Au cours de la deuxième semaine d'octobre, alors que nous étions dans la bataille sus-relatée, j'ai déposé un signalement auprès de SignalConso de la DGCCRF.

Deux semaines plus tard, soit un mois et une semaine après ma demande initiale, BackMarket est revenue vers moi pour me proposer la prise en charge de la facture de remplacement de la batterie de mon ordiphone par le professionnel de mon choix.

BackMarket m'informe : « Certains vendeurs sur notre plateforme ne proposent pas de réparation ou de remplacement, c'est un choix qu'ils font en s'inscrivant sur notre plateforme et c'est le cas de ce vendeur. ». Un vendeur qui ne veut ni réparer, ni remplacer, ni reprendre, ni indemniser, est un vendeur qui n'assume pas la garantie légale de conformité, et qui est donc hors la loi. Je ne comprends pas la tolérance de BackMarket à leur égard. Malgré ma demande en ce sens, BackMarket n'entend pas informer le client, via la fiche d'un vendeur par ex., que celui-ci refuse d'appliquer la loi 😑️.

BackMarket propose de me communiquer les noms de réparateurs de confiance proches de chez moi, ce que j'accepte : Save, qu'elle recommande, et WeFix. (La troisième enseigne suggérée me semble avoir été reprise par Save.) J'avais WeFix en tête.

Je demande un devis à ces deux enseignes, cf. ci-dessous. Je demande à BackMarket de valider qu'ils comportent les mentions voulues. (Oui, BackMarket voulait que le modèle, l'IMEI, etc. figurent sur la facture 😑️, donc je les ai fait apposer sur les devis afin de me prémunir et de vérifier la faisabilité, pour les réparateurs, de mentions « personnalisées ».)

J'expose à BackMarket que si j'avais bénéficié de la garantie légale de conformité, alors la garantie aurait été prolongée de six mois pour l'ensemble de mon smartphone (cf. infra). Or, les réparateurs proposent une garantie de trois mois uniquement sur la batterie. BackMarket propose d'étendre à six mois la garantie, mais uniquement sur la batterie et si je passe par Save, ou une reprise du bien (= remboursement intégral). C'est assurément une bonne chose que BackMarket se substitue au vendeur défaillant, mais ce n'est pas équivalent à la garantie légale de conformité, donc, mine de rien, je me fais sucrer mes droits 🙁️. J'ai accepté l'extension six mois sur la batterie. (J'envisageais déjà de passer par Save, en espérant que sa propre recommandation réduirait la lourdeur bureaucratique de BackMarket. Dit autrement : je voulais me prémunir au max d'une non-prise en charge des réparations par BackMarket .)

Un accord émerge donc, mais BackMarket m'informe qu'elle me demandera une preuve du paiement. Pourquoi me filer vos exigences au compte-gouttes, bordel ?! 😑️ On se met d'accord : une facture avec la mention « acquittée » ou équivalent fera l'affaire.

Un mois et demi après ma demande initiale, accord conclu. Pfiou. Mais… désormais, aucun fournisseur de Save n'a de batterie pour Pixel 6a…

Le lendemain, BackMarket répond à SignalConso : pas de SAV sans compte (le retour…), et la garantie a expiré y a quinze jours, donc BackMarket ne peut rien faire 🤡️. J'ai répondu à SignalConso que c'est pipeau (seule la garantie commerciale a expiré après ma demande et ma saisine de SignalConso), que ça ne correspond pas à nos échanges en cours, et que BackMarket tolère sur sa plateforme des vendeurs qui n'appliquent pas la loi, sans informer les clients. J'ai signalé tout cela à mon interlocutrice chez BackMarket et demandé si l'accord tient toujours : oui.

Mi-novembre, batterie disponible \o/. Je n'ai pas confiance envers BackMarket compte-tenu du dernier retournement, mais puisque Google m'a remboursé (cf. supra), au pire je me fais délester de 15 € (différence entre la somme versée par Google et le prix de la réparation), ce qui est acceptable, donc allons-y.

Je fais remplacer la batterie de mon ordiphone. J'envoie la facture à BackMarket.

Dix jours plus tard, BackMarket revient vers moi. Il était prévu que le remboursement transite par le porte-monnaie électronique d'un nouveau compte BackMarket avant son transfert vers mon compte bancaire. J'avais vérifié dans les CGV/U : pas de minimum ou d'autres contraintes. Mais, puisque je n'ai rien acheté avec ce compte client, BackMarket ne peut pas créditer son porte-monnaie 🤡️. Allons-y pour un virement bancaire direct, je file mon RIB.

Une semaine après, je relance. En cours. Dix jours après, je relance. En cours.

Une semaine après, BackMarket m'informe que le virement a été effectué. Mon compte bancaire est crédité trois jours après \o/. Il s'est donc écoulé trois mois et une semaine entre le dépôt de ma demande et le virement bancaire, pfiou 🙁️.

J'ai réitéré mes suggestions d'amélioration à BackMarket : informer les clients des vendeurs qui n'assurent pas les garanties légales voire refuser ces vendeurs ; Déterminer si un compte client est nécessaire ou non pour le SAV, préciser, si besoin, les CGV/U, et prévenir l'équipe assistance ; Faire accéder plus facilement et rapidement un client au 2^e niveau de l'assistance, sans passer par SignalConso ; Garantir la cohérence des réponses (celle faite au client et à SignalConso). À ce jour, je constate aucun changement sur les deux premiers points. Je n'ai aucun moyen de vérifier le dernier. Mouin-mouin pourquoi les clients donnent pas leur avis 🤡️ !

D'un côté, BackMarket a été giga relou, amateuriste au possible, et non-professionnelle, mais, de l'autre, elle a pallié un vendeur défaillant… Si j'avais acheté en direct auprès de ce vendeur, je me serais fait enfler… Je suis donc mitigé.

Vendeur

Les garanties légales sont à la charge du vendeur, pas de la place de marché.

Vu le refus initial de BackMarket et l'imminence de la fin de la garantie légale de conformité sans preuve à ma charge, j'ai envoyé une LRAR au vendeur, dès la deuxième semaine d'octobre 2025, demandant à bénéficier de ladite garantie. (J'ai fourni une adresse emails pour me répondre, le justificatif d'achat, et la notification Android.) Elle a été distribuée mi-octobre 2025.

Aucune réponse, rien. Mouin-mouin, on se fait grand-remplacer par Amazon 🤡️ !

Sur le web, hors BackMarket, je trouve des avis peu flatteurs sur ce vendeur, y compris un appel à témoignage d'une journaliste. A priori, en présentiel, il irait jusqu'à menacer les acheteurs qui voudraient actionner le SAV, dont les garanties légales.

Au regard de l'absence de réponse à ma LRAR et de son refus, d'après BackMarket, de toute prise en charge de ma situation, je déconseille donc la société XPHONES, 6 rue Voltaire, 75 011 Paris, et 86 quai de Jemmapes, 75 010 Paris, SIRET : 84758562700015 et 84758562700023.

Garantie légale de conformité

Un vendeur doit proposer la mise en conformité, c'est-à-dire la réparation de l'appareil ou son remplacement.

Si remplacement, la garantie repart pour deux ans. Si réparation, extension six mois de la garantie sur l'ensemble du bien.

Si le vendeur refuse la mise en conformité, il doit pratiquer une réduction du prix ou une reprise (que la loi nomme une résolution de contrat). La réduction du prix est proportionnelle au défaut. Si réduction du prix, peu importe ce que tu fais de l'argent obtenu, aucun justificatif n'est à fournir.

BackMarket agit volontairement pour pallier le vendeur défaillant (elle n'y est pas légalement obligée). On n'est donc pas dans le cadre de la garantie légale de conformité (qui s'impose au vendeur). Donc la réparation par un tiers à la demande de l'acheteur n'entraîne pas l'extension six mois de la garantie, et BackMarket devrait pratiquer une réduction du prix d'achat sans exiger une facture de réparation. Mais, d'un autre côté, on peut comprendre que BackMarket, qui agit de son plein gré, veut flécher le remboursement sur la réparation.

(Rigolo : personne ne sait si l'on peut enchaîner les extensions de la garantie par réparations successives, ni s'il faut prouver le défaut de conformité après un an si l'on agit dans le cadre d'une extension 6 mois déclenchée dans la première année durant laquelle le client n'a rien à prouver 😀️. Lire ceci. Après, il faut être pragmatique : l'enchaînement de réparations, et donc d'extensions, est peu probable : le vendeur préférera remplacer le bien pour en finir.)

Ressources très utiles sur la garantie légale de conformité : chez l'INC, sur Service-Public, auprès du ministère de l'Économie, chez l'UFC.

Choix d'un réparateur

J'ai pensé au réparateur WeFix. BackMarket m'a pointé WeFix et Save. (La troisième enseigne désignée me semble avoir été reprise par Save.)

WeFix dispose d'un accès direct aux pièces détachées d'origine Google. Save recourt à plusieurs fournisseurs et propose aussi des pièces génériques, notamment des batteries. Conséquence : il faut un à deux jours pour que Save reçoive une batterie.

WeFix est réparateur agréé Google, pas Save. Donc seule WeFix prend en charge l'option « remplacement de la batterie » du programme de Google. (Dans ce cadre, Save a renvoyé une connaissance vers WeFix.)

Prix environ identique pour remplacer ma batterie par une d'origine Google : 94,90 € TTC côté WeFix, 99 € TTC pour Save.

Chez moi, la boutique Save se nomme différemment et n'est pas raccord avec ce qui est exposé sur le site web, ce qui génère de la confusion. (Je parle bien de la marque, pas de l'entité juridique sous-jacente.)

Niveau sites web : transferts de données à caractère personnel à gogo dans les deux cas 🙁️.

La politique de confidentialité de WeFix est plus claire, qualitative, complète, et crédible que celle de Save, de loin. Après, est-ce que ça reflète les pratiques réelles… 🤷️ Ça ne serait pas la première fois que la FNAC ne serait pas conforme au RGPD (1, 2, et j'ai encore une plainte CNIL en cours d'instruction).

Lors de l'établissement des devis, j'avais interrogé les deux réparateurs : faut-il communiquer son code de déverrouillage ? Est-ce rédhibitoire de ne pas avoir l'Android officiel de Google ? Faut-il sauvegarder mes données de mon smartphone ? Même réponse à tout par les deux enseignes : non (j'ai quand même sauvegardé mes données, pas fou). Attention : si remplacement de la batterie dans le cadre du programme de Google, alors WeFix exige Android officiel et le déverrouillage du téléphone car elle doit accéder à un menu dédié aux réparateurs. (La liberté d'installer les logiciels et système de son choix n'est garantie par la loi qu'au terme de la garantie légale de conformité, cf. L441-6 du Code de la consommation.)

Save a correctement fait le boulot sur mon ordiphone. Seul bémol : quand il m'a été remis, je l'ai allumé (Save ne l'avait pas fait au motif d'un système différent) et déverrouillé, et j'ai eu une notif « Téléphone éteint car il surchauffait ». J'ai interrogé Save : l'ouverture du smartphone impose de détendre la colle par la chaleur. Je présume que Save n'a pas éteint mon smartphone avant d'intervenir ou, plus improbable, l'a rallumé trop tôt, de sorte qu'il a pu détecter une hausse de température. Pas top, mais pas horrible.

Final

J'ai obtenu un remplacement sans frais de la batterie de mon Pixel 6a + 84 €. Malgré moi, grâce à la médiocrité des uns et des autres dans leur prise en charge.

Tout cela m'a pris trois mois et une énergie conséquente 🙁️. Je ne comprends toujours pas comment des choses aussi simples peuvent être aussi lourdes. Tout le monde (Google, BackMarket, vendeur) a fait son possible pour compliquer la prise en charge.

J'avais une batterie ayant subi 405 cycles de recharge. J'en ai obtenu une en ayant subi 620. Dans Paramètres, A propos du téléphone, Informations sur la batterie, Google expose « En raison du contrôle qualité avant livraison, il est possible que le nombre de cycles ne soit pas nul à la première utilisation ».

En deux mois et demi, un unique cycle de charge a eu lieu. Ça confirme que j'utilise très rarement mon ordiphone 😀️.

Ironiquement, je rencontre encore le problème initial de décharge pendant qu'il est branché au secteur, mais largement moins fréquemment qu'avant. L'autre problème a disparu. Je n'ai pas d'explication.

Je pensais à la durée de fonctionnement, mais non, parfois ça marche toujours après 15 jours et ça chie après 1-2 jours.

Je me demande si la cause n'est pas les options de contrôle du port USB implémentées par GrapheneOS. J'utilise le mode « quand smartphone verrouillé, autoriser seulement la charge ». En fonction de si je branche quand l'ordiphone est verrouillé ou non, peut-être que… 🤷️ GrapheneOS avait porté ça dans Android 16 en juillet 2025 (1, 2), juste avant le déclenchement de mon problème, et a tripoté des trucs en janvier 2026 (1), ce qui a pu faire cesser ce dysfonctionnement. À suivre.

Avec reCAPTCHA, Google collectait et traitait des données à caractère personnel (DCP) au-delà de ce qui nécessaire pour sécuriser un site web. De ce fait, Google était responsable de traitement au sens du RGPD.

Cela avait conduit la CNILSHAARLI_CHIGHLIGHT à soumettre l'utilisation de reCAPTCHA au consentement du visiteur d'un site web y recourant (car la base légale de l'intérêt légitime n'était pas mobilisable pour la raison qui vient d'être énoncée). Voir ici, là, et [là-bas](https://gdprhub.eu/index.php?title=BVwG-_W298_2274626-1/8E).

À partir d'avril 2026, ça ne sera plus le cas : Google traitera les DCP uniquement pour sécuriser un site web, en agissant en tant que sous-traitant de l'éditeur du site web qui sera, lui, le responsable du traitement. Dès lors, le consentement du visiteur ne sera plus requis.

Le seul grief restant à l'encontre de reCAPTCHA est le transfert de DCP à une entité soumise à un droit moins protecteur des DCP que le droit de l'UE. Mais, pour l'heure, il reste à en convaincre les juridictions et ce n'est pas gagné (voir ici et là). Des alternatives à reCAPTCHA procèdent également à de tels transferts.

Via Aeris.

+ Bannières cookies : la CNIL met en demeure AliExpress, Darty, Ouest-France, OVHcloud, SFR…

+ Bannière de cookies : l'association Purr à l'offensive

+ CNIL : des mises en demeure visant notamment RED by SFR ou OVH pour leurs bannières cookies obtenues par l’Association PURR

+ Red by SFR dans le viseur de la CNIL pour ses pratiques en matière de cookies

Cette semaine, la CNIL a achevé le traitement de quinze de « nos » plaintes. (Les autres sont toujours pendantes.)

En résumé : la CNIL a rappelé leurs obligations à ces éditeurs et les a mis en demeure de se mettre en conformité sous deux mois.

[…]

Sur instruction de ses mandants, l’association veillera à ce que les éditeurs épinglés se mettent en conformité dans le délai prescrit par la CNIL.

Elle veillera également à ce que la CNIL adopte des mesures correctrices en matière de cookies déposés sans consentement, de difficulté de retrait du consentement, d’absence de caractère éclairé du consentement, de bandeaux cookies trompeurs, d’absence de prise en compte des signaux visant à réduire la fatigue du consentement, etc.

[…]

Notre association rappelle que les cookies ne sont pas son unique sujet d’intérêt. Pour le compte de ses mandants, elle intervient aussi sur les fuites de données personnelles, sur les durées de conservations abusives, sur l’insuffisante sécurité des données, etc.

Au final, la CNIL a fait environ n'importe quoi, au lancé de dé, et le résultat est plutôt décevant. Tout cela est détaillé.

Le ministère de l’Intérieur est responsable de la partie française de cette base de données.

[…]

Le rapporteur a soulevé les griefs suivants, fondés, entre autres, sur cinq contrôles réalisés par la CNIL :

• Utilisation du fichier pour des finalités proscrites et conservation de données hors Eurodac (ce qui est interdit) ;
• Usage trop fréquent du fichier ;
• Défauts de sécurisation : compte partagé, faiblesse du mot de passe, et absence d’authentification multifacteurs.

[…]

Le même ministère a confirmé que la mise en conformité n’a pas réduit l’efficacité de l’unité […]

[…]

Le ministère a sollicité la non-publicité de la décision de la CNIL afin de ne pas porter atteinte à la réputation de la partie française d’Eurodac.

Concept intéressant : domiciliation postale pour les particuliers + numérisation du courrier. Bien moins cher et contraignant qu'une domiciliation par La Poste (qui n'est même pas ouverte aux particuliers).

Vu les fuites massives de données à caractère personnel de ces derniers temps, ce type de service, assimilable à une adresse postale jetable, est intéressant. Des numéros de téléphone jetables le seraient tout autant. Avec le courriel, on peut avoir une adresse (jetable) par interlocuteur (en utilisant un délimiteur, par exemple). La domiciliation postale n'offre pas (encore ?) cette flexibilité.

Évidemment, le mieux est de mettre la pression sur toutes les entités qui brassent nos coordonnées et sur la CNIL afin de faire cesser leur collecte quand ce n'est pas nécessaire, leur conservation au-delà du nécessaire, l'absence de sécurité, etc., mais bon, doux rêve.

Après, il faut avoir confiance dans une entité comme Paperboy. Bien lire ses mentions RGPD qui devraient, pour la cause, être détaillées (traçabilité ? mesures techniques et organisationnelles précises ?). Bien lire les garanties et les voies de recours contre un personnel indélicat (sanction interne ? procès ?). Quand tu vois des flics diffuser des images de vidéosurveillance, ou du renseignement par intérêt, ou de la tricoche, y compris par les agents du fisc, ou même les employés qui passent le temps, ou tout simplement l'incompétence crasse ambiante, difficile de faire confiance à quelle entité que ce soit.

Concernant Paperboy, il y a de gros signaux d'alarme : la charte de confidentialité et les CGVU ne contiennent pas l'ensemble des mentions RGPD obligatoires, et son site web dégueule de transferts de données persos hors de l'UE (Google Tag manager, Mailerlite, Google Fonts, Google reCAPTCHA, bouton Facebook, Font Awesome, chatbot, etc.).

À la fin de chaque page d'un site web marchand, je lis « Vos derniers produits vus ». J'y trouve un produit que j'ai effectivement zieuté il y a plus d'une semaine.

Je me demande le fonctionnement technique sous-jacent puisque j'ai refusé les cookies dudit site (avec uBlock Origin et ses listes dédiées) et que, de toute façon, l'extension Cookie AutoDelete les a supprimés dès que j'ai fermé l'onglet (il y a plus d'une semaine, donc).

Depuis l'onglet « Réseau » des « Outils de développement web » de Firefox, et avec l'aide de sa fonctionnalité de blocage d'URLs, j'identifie assez vite le JavaScript responsable. Évidemment, il a été rendu illisible par l'éditeur du site web.

Aeris me suggère le local storage. Je suis dubitatif, car je crois avoir configuré Cookie AutoDelete pour purger cet endroit-là aussi. Mais Aeris met indubitablement en évidence des appels au local storage dans le JavaScript précité.

Si je demande à Cookie AutoDelete (CAD) de « Nettoyer le stockage local pour ce domaine », les « derniers produits vus » disparaissent.

Pourquoi CAD ne le fait-il pas tout seul ? Parce que, dans ses paramètres, je n'ai pas coché « Activer le nettoyage du stockage local ». De mémoire, j'ai agi ainsi car, si on l'active, CAD efface alors, à la fermeture d'un onglet, le stockage local pour tous les sites web, et je n'étais pas certain que ça soit indolore.

J'ai donc modifié ma configuration de Cookie AutoDelete pour activer cela. Aucun dysfonctionnement après plusieurs jours.

Évidemment, rien ne sera jamais aussi efficace que le paramètre de Firefox « Supprimer les cookies et les données des sites à la fermeture de Firefox », mais je ferme rarement mon navigateur web (mise en veille aka suspend to ram).

En conclusion, des techniques toujours plus fines sont mises en œuvre pour nous vendre de la merde, et il faut s'en protéger par une vigilance infinie et par des outils et des paramètres toujours plus nombreux et complexes. C'est intenable.

Après la technique, quid de la légalité ?

Comme le rappelle le point 13 des lignes directrices de la CNIL et le point 44 de celles du CEPD, la lecture ou écriture dans le local storage tombe dans le giron de l'article 5(3) de la directive européenne ePrivacy et de sa transposition dans l'article 82 de la loi 78-17 dite Informatique et Libertés.

Or, ces articles disposent que toutes les opérations de lecture / écriture dans le terminal d'un visiteur sont soumises au consentement, sauf si elles visent à effectuer une communication électronique ou si elles sont strictement nécessaires pour fournir un service expressément demandé par le visiteur.

Le caractère intrusif ou non de l'opération n'entre pas en ligne de compte, pas plus que la question de savoir si les données stockées constituent des données à caractère personnel (qui, elles-mêmes, ne se résument pas aux données nominatives) ou non.

En l'espèce, un rappel des produits déjà consultés sous forme d'une recommandation ne concourt pas à transmettre une communication électronique et il ne découle pas strictement d'un service que j'aurais expressément demandé.

En conclusion, l'éditeur du site web aurait dû recueillir mon consentement pour écrire et lire dans mon stockage local, ce qu'il n'a pas fait. Même avec un profil Firefox vierge (sans extensions ni paramètres persos), le site web écrit dans le stockage local avant l'expression du consentement et le refus de tout dans le bandeau cookies ne change rien.

Bien évidemment, lorsqu'une opération de lecture / écriture sur le terminal du visiteur d'un site web est fondée sur le consentement, elle ne peut avoir lieu qu'après l'expression du consentement.

L'éditeur du site web est donc en tort.

Parmi la liste partielle de prestataires, seules Galae, GalacSYS, LWS, Mailo, et OVH sont des entités françaises (raisons d'un tel critère ici).

Le site web de LWS est toujours derrière Cloudflare. Tendance "on est « l'un des meilleurs hébergeurs web de France » (source), mais on ne sait pas gérer un pic de trafic, mais tkt frèr, on va gérer ton courriel". Ce n'est pas sérieux.

Les entités qui ne publient pas leurs mentions légales et/ou les informations RGPD (Galae, GalacSYS) ne sont pas plus sérieuses. Il s'agit d'obligations légales. (Suite à une remarque : Galae est un service de l'entité Algoo, qui publie ses mentions légales sur son site, mais pas l'intégralité des mentions RGPD. De plus, il est déjà discutable de devoir chercher les mentions légales et RGPD sur un autre site web, notamment car ça ne garantit pas qu'elles sont valables pour Galae, surtout les mentions RGPD.)

Un autre critère de notation peut être l'utilisation d'IPv6 pour les serveurs de messagerie (en réception et en émission), et alors c'est l'hécatombe : ni Mailo, ni OVH, ni Proton, ni Tuta, ni Posteo, etc. ne proposent ça… En 2026 ! Murena dispose d'IPv6 parce qu'elle s'héberge chez Hetzner. Infomaniak dispose aussi d'IPv6.

#emails

Avec du Aeris et du PURR dedans.

Par contre, l'article payant alors qu'il s'agit des propos d'une autre personne, pas d'un travail journalistique, je n'adhère pas, donc article complet ci-dessous. L'emphase est de moi.

Marianne : Pourquoi avez-vous lancé le site « Bonjour la fuite », qui recense les fuites de données signalées en France ?

Aeris : C’est la suite d’un combat que je mène sur le sujet de la protection des données personnelles. Dans les années 2010, j’étais actif dans le logiciel libre. Puis il y a eu, en 2013, l’affaire Edward Snowden [ce lanceur d’alerte qui a dénoncé l’ampleur de l’espionnage numérique américain, N.D.L.R.]. J’ai alors participé à la création des cafés « Vie privée », pour expliquer comment on peut se protéger et ce que les services de renseignement pouvaient faire.

Trois ans plus tard, il y a le Règlement général sur la protection des données (RGPD), un texte vraiment bien. Nous avions de bons espoirs, mais on sentait déjà que cela n’allait pas le faire avec la Cnil [Commission nationale informatique et libertés]. Et en effet, nous avions beau lui signaler des manquements au RGPD, il n’y avait aucune sanction. À quatre, nous avons été ainsi à l’origine de plus de dix mille plaintes. Nous avons décidé de nous regrouper dans une association, PURR (Pour un RGPD respecté), pour faire bouger les choses.

Puis après la fuite « Viamedis », en février 2024, j’ai décidé de faire ce site pour essayer d'attirer l'attention sur ces problématiques. Pour l’alimenter, je m’appuie sur les notifications de violation de données envoyées par des responsables du traitement des données personnelles. Après, c’est également beaucoup de veille sur les réseaux ou les forums de revente de base de données, avec la problématique de qualification des données : il y a quand même pas mal de faux qui circulent aussi.

Quelle est votre analyse sur ce phénomène des fuites de données ?

Il y a deux choses qui se renforcent l'une l'autre. D'un côté, l'absence totale de sanctions de la Cnil, alors que même avant le RGPD, la France était supposée être couverte par une législation quasiment équivalente. Cela n’a pas du tout incité les entreprises à investir dans la sécurité informatique. Nous avons ainsi beaucoup de retours de directeurs de systèmes d’information auprès de notre association, expliquant qu’ils voudraient faire les choses bien mais qu’ils n’ont pas de moyens et que la direction n’écoute pas. Et de l’autre, il y a aussi des moyens d'attaque qui ne sont pas forcément plus efficaces aujourd'hui, mais qui permettent en tout cas de les automatiser. C’est cette conjonction qui fait que de plus en plus de systèmes informatiques sautent.

Pourquoi est-ce que ces fuites de données sont un problème ?

Ces données relatives au nom, prénom, à l’adresse, à l’e-mail ou encore au numéro de téléphone sont surtout utilisées pour faire du hameçonnage ou, quand des pièces d’identité ont fuité, pour des usurpations d’identité. Il y a également des services payants qui ont agrégé des bases de données, c’est littéralement du doxxing [divulgation malveillante d’informations sur une personne] généralisé. C’est donc une vraie perte d’intimité, alors qu'on a pourtant tous quelque chose à cacher. On peut ainsi tous servir de point d’entrée à des criminels pour des fraudes. Et cela facilite aussi les escroqueries au faux conseiller bancaire, quand l’escroc connaît vos derniers achats ou le nom de votre grand-mère. Enfin, cela peut être dramatique dans certains cas : je pense aux enlèvements autour de la crypto.

Ce constat d’une inaction de la Cnil n’est-il pas contredit par les récentes amendes prononcées contre Free ou France Travail, respectivement de 42 et 5 millions d’euros ?

Même si ce sont des gros montants, ces sanctions sont ridicules vu l’ampleur de la catastrophe et la taille des organisations concernées. Et surtout, il n’y a toujours pas d’électrochoc dans le secteur. Les responsables de traitement nous disent qu’il y a toujours peu de risque de prendre une amende. La Cnil, elle, nous reproche de demander des sanctions monstrueuses. Mais nous, ce qu’on demande, ce sont des sanctions justes, dissuasives et surtout plus fréquentes.

[J'aurais plutôt répondu que seules deux entités sur des milliers ont été sanctionnées, pas de quoi sabrer le champagne. Surtout si la CNIL se relâche après ces deux coups médiatiques.]

Si les responsables de traitement n’ont pas l'impression qu'ils risquent une sanction sous un an, ils vont continuer à violer la loi. Et sur ce plan, nous sommes derniers ou avant-derniers en Europe. L’Espagne, par exemple, c’est environ quarante fois plus de sanctions pour un volume de plaintes identiques. Ce n’est pas forcément une question de ressources. Je pense que la Cnil a un vrai problème d'organisation interne et d’outillage, et qu’il y a aussi une volonté politique de ne pas sanctionner les entreprises au nom de la compétitivité.

Sur d’autres sujets équivalents, comme ChatGPT en Italie, d’autres pays ont pris des décisions contraignantes. Mais la Cnil n’a pas bougé, alors qu’elle aurait pu pourtant par exemple imposer un moratoire de trois mois avant ensuite de dire oui ou non. De même, c’est aujourd’hui un enfer pour déposer une plainte auprès de l’autorité administrative indépendante. Cela fait ainsi trois ans que nous demandons en vain la mise en place d’un lien direct en page d’accueil.

Vous êtes à l’origine de nombreux recours devant le Conseil d’État, dont un contre votre ex-employeur. Mais au final, l’absence de résultat pour le moment ne suggère-t-il pas une démarche contre-productive ?

J’en suis à 26 recours devant le Conseil d’État, dont cinq encore en cours, pour un résultat quasiment négatif, à part des remarques sur la qualité de l’instruction de la Cnil et sa célérité – on est censé être informés dans les trois mois après le dépôt d’une plainte. Mais aujourd’hui, nous n’avons pas le choix. Pour attaquer une décision de l’autorité administrative indépendante, le Conseil d’État est le seul compétent. C’est un problème : ce type de contestation devrait plutôt être renvoyée devant le tribunal administratif. Ce serait plus logique, car le Conseil d’État n’a pas du tout l’habitude de traiter des dossiers au fond. À la fin décembre, nous avons ainsi vu une vingtaine de dossiers étudiés dans la même audience. C’était pour faire du chiffre et évacuer nos plaintes plutôt que de nous donner raison ou transmettre nos recours sous la forme d’une question préjudicielle à la Cour de Justice de l’Union européenne.

[Je confirme que toutes les juridictions administratives expédient les dossiers avant l'été et, surtout, avant la fin de l'année, afin, entre autres, de faire du chiffre. C'est ainsi que fonctionne la justice en France. Ça se vérifie dans l'Open Data des juridictions administratives].

La Quadrature du net s'exprime, sur Blast, sur les très nombreuses fuites massives de données à caractère personnel de ces deux dernières années (voir : 1, 2, 16 fuites/jour en 2024, 26/jour sur les neuf premiers mois de 2025), et donc, in fine, sur les manquements à la protection desdites données, qui ont permis ces fuites, commis par toutes les entités (sociétés commerciales, professions libérales, administrations, associations, etc.).

Je partage le constat : toujours plus de traitements de toujours plus de données personnelles et un régulateur, la CNIL, toujours aussi passif, donc ces violations de données étaient hautement prévisibles.

Néanmoins, je trouve que le terme « fichage » est inadapté. En effet, il est connoté fichiers de police et/ou courtiers en données et/ou publicité ciblée et/ou « quand c'est gratuit, c'est toi le produit ». Or, l'ampleur du problème, c'est l'intégralité des traitements de données personnelles, y compris ceux, légitimes, d'une société commerciale sur ses clients, d'une profession libérale sur ses clients, d'une fédération sportive sur ses licenciés, d'une administration sur ses administrés.

En effet, ce qui rend possible les fuites de données et qui en augmente l'impact, c'est l'absence de l'hygiène numérique minimale des entités qui opèrent ces traitements (que l'on nomme des responsables de traitement), c'est l'absence de moyens alloués à la protection des données, c'est l'insuffisante sécurisation des données, c'est la conservation indistinguée de toujours plus de données pour des durées déraisonnables toujours plus longues. Tous les acteurs pratiquent cela, tous.

Derrière toutes les récentes violations de données, on retrouve toujours des durées de conservation hallucinantes (exemple caricatural : Free), l'absence d'authentification multifacteurs (ex. caricatural : le ministère de l'Intérieur), l'absence de limitation du volume de données personnelles qu'un compte peut extraire sur une période donnée (ex. caricatural : Hellowork), l'absence de traçabilité des manipulations sur les données (ex. : Free), l'absence de défense en profondeur (idem), l'absence de formation des intervenants, etc. L'effort minimal n'est pas produit, sans raison valable. Sources : celles pointées au début.

Les guides et recommandations de l'ANSSI et de la CNIL préconisent toutes les bonnes pratiques en ces matières depuis des années. Les associations, sociétés, et administrations se torchent avec dans les grandes largeurs.

Dit autrement, le problème n'est pas uniquement les méchants GAFAM ou le méchant État et/ou le méchant pirate informatique, c'est l'ensemble des entités qui manipulent nos données à caractère personnel. La PME du coin ou l'association sympa font, elles aussi, en permanence, n'importe quoi avec nos données à caractère personnel.

Voilà l'ampleur du problème auquel nous sommes confrontés.

Cessons de nous focaliser sur les cyberattaques, sur les pirates : focalisons-nous sur l'ensemble des entités qui maltraitent nos données à caractère personnel.

Si t'as envie de contribuer à faire bouger les choses, l'association Pour un RGPD respecté t'attend.

L’association PURR exige une refonte totale de la CNIL

Cette crise soulève aussi la question de la régulation. L’association PURR (Pour Un RGPD Respecté), fondée en 2023, milite pour une refonte totale de la CNIL.

Dans une lettre ouverte adressée à sa présidente, l’association dénonce une « inaction chronique » et une absence de poursuites pénales contre les responsables de traitements de données défaillants.

Lors de mes échanges avec le fondateur de PURR, nous avons pu constater l'absence de réponses concrètes de la part des autorités régulatrices et judiciaires face aux signalements de l'association, le procureur de la République ayant même conclu que certains faits dénoncés ne relevaient pas du droit pénal actuel.

Encore quelques heures pour signer la lettre ouverte.

Communication de l’association concernant le prochain Cadre d’Action Coordonné du CEPD et de la problématique des études biaisées de la CNIL

La lettre ouverte peut être signée ici pendant encore environ 1 semaine.

Pour un peu plus de contexte, lire mon précédent article.

L'association Pour un RGPD respecté (PURR) propose de signer une lettre ouverte adressée à la CNIL pour exiger, d'une part, une réaction rapide et répressive à la hauteur des violations massives de données à caractère personnel de ces dernières années, et, d'autre part, de cesser de reporter sur les seuls individus la réaction à apporter.

Je précise que, entre mai et juillet 2025, l'association a contacté ou relancé cinq fois le secrétaire général adjoint de la CNIL à ce sujet. La réponse n'a pas été à la hauteur de l'enjeu. Outre l'anecdote rapportée dans l'actualité publiée par l'asso, celle-ci a été renvoyée vers les consignes de la CNIL pour renforcer la sécurité des grandes bases de données et vers l'acte 3 du plan stratégique 2025-2028 de la CNIL. L'association PURR estime que ces actions sont très insuffisantes.

DPO : (chanson Dodo, l’enfant do) Dodo, DPO, la CNIL viendra pas très vite… Dodo, DPO, RGPD c’est trop tôt.

Via https://firefish.imirhil.fr/notes/affdkcmfk7ek0014.

Nous avons participé à la consultation publique de la CNIL sur les passerelles de filtrage web.

Résumé de notre contribution :

• Aucun apport en ce que ce projet de recommandation ne fait que paraphraser les obligations découlant du RGPD ;
  
  
• L’obligation légale de rétention des données de connexion n’est mobilisable que par certains acteurs et sous certaines conditions qui sont ignorées ;
  
  
• La durée de conservation proposée du journal des accès ou des filtrages est excessive au regard de sa finalité et des données à caractère personnel conservées ;
  
  
• Le projet de recommandation ne prend pas suffisamment en compte l’usage personnel des équipements professionnels.

En juin-juillet 2025, la CNIL a soumis à consultation publique son projet de recommandation sur les pixels de suivi dans les courriels. Nous y avons participé.
Début septembre 2025, l’Alliance Digitale a publié sa contribution.
Nous nous proposons d’analyser cette réponse de l’Alliance Digitale.

Pour ceux que ça intéresse : PDF de l'Alliance Digitale.

L'Alliance Digitale regroupe ceux qui veulent nous fliquer toujours plus :

Alliance Digitale est la principale association professionnelle des acteurs du data et du marketing digital en France. Elle est issue du rapprochement de l'IAB France, de la Mobile Marketing Association France et de la DMA Data Marketing Association France. L'association représente l’ensemble des professions et professionnels liés à la data et au marketing digital en France, soit près de 300 entreprises réparties sur l’ensemble de la chaîne de valeur – agences médias et conseils, éditeurs et régies, acteurs de la logistique, data providers, fournisseurs de solutions Tech (adtech, martech) et marques.

Extraits choisis :

le taux de clic dans ces courriels serait de moins de 10 %.
Si la CNIL devait préconiser l’obtention du consentement aux pixels de suivi pour les bases de données déjà constituées, l’Alliance Digitale estime que ce taux de consentement serait compris entre moins de 1 à 5 %, et « bien en-deça » de 30 %.
« les CMP cookies favorisent plutôt l'acceptation [!] et le taux moyen de consentement y est d’environ 30 % »
Ainsi, l’Alliance Digitale sait que l’écrasante majorité des personnes ne veut ni des cookies et traceurs web, ni des pixels de suivi, ni même de la prospection commerciale par courriel.

L’Alliance Digitale en appelle à une coordination européenne afin de ne pas créer une exception française. […] La position européenne est plus stricte que celle envisagée par la CNIL
l’applicabilité d’ePrivacy est sans incidence sur le débat. […] [les pixels de suivi] tombent sous le coup du RGPD […] L’intérêt légitime n’est pas mobilisable […] Dès lors, seul le consentement est mobilisable.

Le prétendu impact économique du projet de recommandation n’est pas suffisamment précisé
[Fuite à l'étranger impossible, car] en application de l’article 28 du RGPD, un RT ne peut recourir qu’à des prestataires conformes au RGPD

Cette rétroactivité, que nous soutenons, est nécessaire pour assainir les bases déjà constituées […] Le choix est laissé aux RT : cessation [du traitement] ou obtention du consentement.

Aux sections 2.4 et 3.5 de sa contribution, l’Alliance Digitale écrit, en substance, qu’il n’existe aucune solution pour garantir l’effectivité d’un retrait de consentement, car des lectures des pixels déjà déposés perdurent après le retrait. Si un RT ne sait pas garantir l’effectivité du retrait de consentement, alors cette base légale ne saurait être mobilisée. Si aucune autre base légale n’est mobilisable, alors le traitement ne doit pas être mis en œuvre.

+ L'Alliance fait mine de découvrir que les responsables de traitement doivent détenir une preuve individuelle de consentement aux cookies web.

aucune « exemption des liens traçants » n’est prévue par le projet de recommandation.

+ La bibliothèque Polyfill détournée, des centaines de milliers de sites touchés
+ Automatically replacing polyfill.io links with Cloudflare’s mirror for a safer Internet

Comme l'écrit SebSau :

Ça m'a toujours semblé très con comme idée d'inclure dynamiquement sur son propre site web du code exécutable qui vient d'autres sites. Ils pourraient exécuter n'importe quoi dans vos pages, voir même uniquement pour certaines adresses IP ou utilisateurs.
Les grandes excuses pour utiliser des CDN pour distribuer du javascript c'est :
1) c'est plus rapide parceque c'est déjà chargé dans le cache quand l'internaute a visité un autre site. […] Le 1 est faux depuis que les navigateurs font depuis un moment de la ségrégation des caches. La librairie, même si elle est à la même URL, sera rechargée par le navigateur en cas de visite d'un site différent.
2) ça offre une meilleure sécurité parce que c'est toujours à jour. [Bah non, la preuve]

Sans compter l'atteinte à la vie privée.

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) préconise de limiter au strict nécessaire l’inclusion de contenus tiers et de s’assurer de la fiabilité de leurs fournisseurs (source, R61). La même présente comme souhaitable l'absence de scripts tiers lors de l'affichage ou de la saisie de données sensibles, comme des mots de passe, des infos bancaires, etc. (même source, R14). La CNIL en fait de même (source, point 26). La CNIL prend en considération les recommandations de l'ANSSI pour évaluer la sécurité des données à caractère personnel (exemple, point 83).

Cela pose aussi d'autres problèmes techniques. Soit le site web interne à une entité. Il recourt à des ressources web externes (scripts JS, CSS, etc.). Donner accès à ce site web depuis un réseau interne contraint par, entre autres un proxy, induit, de facto, une plus grande ouverture dudit réseau. Et des complications inutiles.

J'ai déjà beaucoup écrit sur les données de connexion. J'ai actualisé cet article.

Pas de nouveauté, pas de changement en pratique, toujours au stade du blablabla.

Tous ces rapports portent sur l'utilisation des données de connexion dans les enquêtes pénales.

Rapport d'information du Sénat « Surveiller pour punir ? Pour une réforme de l'accès aux données de connexion dans l'enquête pénale »

• Novembre 2023

• En 2022, environ 3 millions de données de connexion ont fait l'objet d'une réquisition (page 11) ;

  • Environ moitié données d'identification, comme l'identité civile de toutes les personnes présentes dans une zone ou l'identité civile derrière un numéro d'appel (page 17). L'autre moitié, c'est les fadettes et la localisation (page 39). Internet semble insignifiant, ce qui explique en partie l'orientation du rapport sur la téléphonie, les 4 grands opérateurs, les OTT (opérateurs sans numérotation = VoIP sans accord commercial avec FAI : Discord, Signal, WhatsApp, etc.), etc. ;
    
    
  • Hausse tendancielle de 10 % par an jusqu'en 2022 (page 11). Graphique page 38. + 0,36 % entre 2021 et 2022 (refonte du cadre législatif FR), page 99. Attention : le rapport tente de faire croire que c'est l'arrêt de la Cour de cassation de 2022 qui aurait mis un frein alors que cela n'est pas flagrant sur le graphique proposé ;
    
    
  • Attention aux chiffres : une demande de bornage pour le même point d'une même enquête = 4 gros opérateurs pour trois antennes (couvrant à 360 degrés une zone) = 12 réquisitions (page 39).

• Le rapport reconnaît un « accès massif aux données de connexion ». Causes :

  • « La facilité d’un tel accès » en ce, qu'avant 2022 (loi sur le harcèlement scolaire, voir ici), cet accès était régi par le droit commun des réquisitions, sans garde-fou, qui permettait de recueillir toute information intéressant l'enquête (page 39) ;
    
    
  • Les enquêteurs ont pris l'habitude de demander, en premier lieu, par réflexe, les facture détaillées, qui contiennent des éléments au-delà de l'infraction, sans rapport avec celle-ci (page 109). Seul l'argent (compensation des opérateurs, cf. infra) a limité le jeu (page 40) ;
    
    
  • Pages 34-37 : premier tri avant de solliciter des mesures plus intrusives comme la géolocalisation en temps réel ou les écoutes (plus pour des questions de thune que d'amour des libertés, à mon avis). Les avocats à tout stade de la procédure. Le droit au silence. Les citoyens ne veulent plus témoigner. Les criminels, sauf les primo, maîtriseraient les techniques de la police scientifique et ne laisseraient plus de traces d'ADN & co (mais des données de connexion si ? J'y crois moyen). Essor des messageries chiffrées (pourquoi, alors, la moitié des réquisitions portent sur des fadettes ?). Gain de temps et d'effectifs RH. Les magistrats voudraient des données de connexion dans les dossiers, même pour du vol à la tire, sinon ils considérent qu'il y a doute qui doit profiter à l'accusé (étonnant, non ?). Les citoyens voudraient l'efficacité de la répression des infractions. Les données de connexion seraient essentielles aux enquêtes liées à la délinquance du quotidien (page 55).

• L'impact des arrêts de la Cour de justice de l'union européenne (CJUE) a été limité :

  • À mon avis, à la lecture du rapport, ils ont calmé le jeu sur l'accès (par une entité indépendante, etc.). Reste la conservation ;
    
    

  • Réactions très diverses des États-Membres. Page 58 : en sus de la France, 12 États-Membres auraient toujours une conservation généralisée. D'autres États-membres ont toujours un accès trop ouvert. D'autres n'ont pas adapté leur législation. Aucune action en manquement de la Commission européenne. Seule l'Allemagne le vivrait bien (elle n'a jamais voulu la rétention des données de connexion). Étude comparative à partir de la page 137 ;
    
    

  • La conservation rapide (injonction faite à un intermédiaire technique de garder ce qu'il détient à l'instant T) implique l'absence d'historique / de rétrospective, ce qui serait insuffisant pour lutter contre la criminalité grave (cf. Slovaquie). Page 61 ;
    
    

  • la conservation ciblée est compliquée à mettre en œuvre, juridiquement et techniquement : quels critères non-discriminatoires utiliser ? Les zones particulièrement exposées à la menace (aéroports, gare, infrastructures, institutions, etc.) ou celles présentant le taux de criminalité le plus important sont-elles pertinentes ? Comment le calcule-t-on (nombre d'infractions uniquement => pouf, toutes les grandes villes sont surveillées) ? Fiabilité (comme en France, la criminalité déclarée par les flics contient de nombreuses erreurs, cf. page 141) ? En Belgique et au Danemark, 67 % de la population est concernée par de la conservation dite ciblée… Quid du déplacement de la criminalité (les quartiers criminels des trois dernières années ne seront pas forcément ceux de demain) ? Et si je prépare mon crime hors des zones ciblées ? Au Danemark, la conservation vise des catégories de personnes : automatique, pour 3 à 10 ans, pour les condamnées (quid de la rédemption ?) et pour ceux qui ont fait l'objet d'une interception téléphonique (en quoi ça prouve quoi que ce soit ?) ;
    
    

  • Dissensions au sein de la Commission européenne (les directions générales s'écharpent, mais, au global, sont plutôt pro-flicage) et entre la Commission, le Conseil européen (pro-flicage) et le Parlement européen (anti-flicage) sur l'équilibre à tenir entre poursuite des infractions et protection de la vie privée. Page 69 ;

  • Les rapporteurs évoquent un possible glissement vers d'autres techniques en France : LAPI, vidéo-surveillance, interceptions des communications, enquêtes administratives (plus intrusives mais ciblées donc moins nombreuses, à mon avis), porosité entre les services de renseignement et la justice (ce dont l'Allemagne est soupçonnée, cf. page 123) ou autres preuves numériques (réquisition d'un smartphone, IMSI catcher, perquisition numérique, etc.) ;

    • À mon avis, pour LAPI et la vidéo-surveillance, il faudra décider si tout cela est ciblé au motif que "peu" d'endroits sont couverts, ou si ça ne l'est pas car, si c'est positionné aux endroits clés, alors c'est « susceptible de tirer des conclusions précises sur la vie privée d'une personne » (mantra de la CJUE pour invalider la rétention généralisée). À mes yeux, une plaque d'immatriculation a le même statut qu'une adresse IP (identification) ;

  • Page 114 : certains demandent toujours des autorisations prospectives : accès aux fadettes d'un suspect puis identification des contacts voire accès aux fadettes et aux autres données de connexion d'un contact, tout ça à partir d'une seule autorisation initiale. Les rapporteurs doutent de la conformité à la jurisprudence de la CJUE qui veut un contrôle préalable de chaque accès. Bref, la leçon n'a pas encore été apprise.

• À partir de la page 137, étude comparative de la conservation des données de connexion dans l'UE. Quelques éléments hallucinants : l'Irlande conservait 2 ans. Aucune mise en conformité après l'arrêt Digital Right Ireland, seulement après Garda Síochána ; Italie : conservation toujours généralisée, pour 6 ans (!) ; Lettonie : 18 mois ; Pologne a ignoré les arrêts CJUE alors que certains pensent que la motivation de la CJUE vient des démocraties illibérales ; Pays-Bas et Slovaquie : seules les données utiles aux besoins techniques ou commerciaux des opérateurs sont disponibles ;
  
  

• Page 85 : la conservation rapide vient de la Convention de Budapest de 2001 sur la cybercriminalité. Celle-ci ne précise pas si cela porte sur l'historique (données conservées). La CJUE n'a rien dit que la conservation rapide, sauf qu'il ne peut y avoir accès pour autre finalité que celle qui a justifié la collecte (criminalité grave != sécurité nationale). Mais une injonction de conservation rapide n'ajouterait-elle pas, après-coup, une finalité, se demandent les rapporteurs. Pour moi, c'est non, mais, au final, on retrouve cette idée de réutilisation pour une finalité compatible dans l'article 5(1)b du RGPD, et, au final, que la conservation ait lieu pour l'obligation légale X ou Y ne change environ rien… ;

• Pages 72 à 74 : règlement européen e-evidence (preuves électroniques dans les procédures pénales), adopté en 2023, entrée en vigueur en 2026 :

  • Rénove le cadre issu de la Convention de Budapest de 2001 sur la cybercriminalité ;
    
    
  • Forcer les grands acteurs du numérique à coopérer avec les autorités judiciaires de manière fluide, y compris pour des enquêtes nationales ;
    
    
  • Comme DMA / DSA : représentant légal dans l'UE dès que service proposé dans l'UE ;
    
    
  • Injonction à produire les preuves sous dix jours (8 h en cas d'urgence) ;
    
    
  • Injonction de conserver les preuves (conservation rapide, quick freeze) pour 60 jours, renouvelable pour 90 jours de plus ;
    
    
  • Les magistrats pourront émettre les deux types d'injonction pour toute infraction pénale en ce qui concerne les données d'identification. Seuls un juge du siège, un juge d'instruction ou une juridiction pourront requérir les données de trafic ou de localisation (que la nomenclature UE inclut dans les données de trafic), et le contenu, si l'infraction présumée est passible d'au moins 3 ans de taule ou pour certaines infractions entièrement ou partiellement commises en ligne (pédoporn, attaque d'un système d'information, terrorisme, etc.). En cas d'urgence, les enquêteurs pourront enjoindre, contrôle a posteriori sous 48 h ;
    
    
  • 2 % du chiffre d'affaires si manquement ;
    
    
  • Quelques gardes fous : si l'État d'émission d'une injonction n'est pas celui où a eu lieu l'infraction ni celui où réside l'auteur présumé, alors ledit État doit notifier sa demande aux autorités du pays d'établissement de l'intermédiaire technique, qui peut bloquer (mais bien sûûûûr). La notification pourra ( ;) ) être automatique pour les États émetteurs qui violent systématiquement l'état de droit ; protections spécifiques pour les avocats, journalistes, secret médical, etc. ;
    
    
  • Bien entendu, s'il n'y a pas de conservation généralisée, les injonctions ne retourneront que les données conservées par les intermédiaires techniques pour leurs besoins techniques ou commerciaux ;
    
    
  • Au final, ça respecte la jurisprudence de la CJUE en matière de données de connexion, d'où il est probable que ça serve de modèle / de fondation ;
    
    
  • Les rapporteurs voient, dans le quantum de peine et dans les infractions spécifiques, l'émergence d'une approche européenne de ce qu'est la criminalité grave (même si elle est déjà définie dans les procédures de coopérations, pour ces seules procédures). Elle ouvrerait la voie à une définition européenne des règles de procédures pénales (ce qui serait contraire à la répartition des compétences prévue par les traités).

• Les officiers de police judiciaire (OPJ) formulent leur demande aux magistrats par téléphone. Les OPJ demandaient aux opérateurs par fax, courrier, email. Faible traçabilité. Depuis 2016, Plateforme nationale des interceptions judiciaires (PNIJ) gérée par l'Agence nationale des techniques d’enquêtes numériques judiciaires (ANTENJ) ;
  
  

• Il faudrait harmoniser le périmètre des autorisations d'accès aux données de connexion car certains parquets les octroient par dossier pour 6 mois, d'autres pour chaque nouvelle ligne identifiée. Une autorisation par ligne semble au-delà des exigences de la CJUE, mais une par dossier ne semble pas acquise (page 113). De même, différences entre parquet et juge d'instruction du même ressort. Différences en fonction des individus mis en cause, du lieu, de l'environnement perso, etc. (page 18) ;
  
  

• De même, il faudrait préciser ce qu'il convient de conserver et combien de temps car l'appréciation varie chez les 4 grands opérateurs. Exemple : la localisation en l'absence de communication serait conservée 1 ans pour 2 d'entre eux, 90 jours pour un 3^e, pas conservé pour le dernier ;
  
  

• Normalement, le droit à la preuve catégorise les moyens de preuve en fonction de leur degré d'atteinte à la vie privée. Or, en matière de preuve numérique (au-delà des données de connexion donc, réquisition smartphone, perquisition numérique, etc.), il n'y a pas eu de réflexion globale, la législation a été complétée au fil de l'eau, au gré des techniques, ce qui induit une disparité des régimes. Un même quantum de peine autorise des techniques plus ou moins intrusives. Une URL est à la fois une métadonnée et un contenu (en ce qu'elle le révèle). Pourtant, les L851-3 (boîtes noires) et L851-2 (accès temps réel) du Code de la sécurité intérieure les chopent (le Conseil constitutionnel a dit non pour les boîtes noires dans sa décision 2025-885 DC sur la loi narcotrafic. Je pense que le rapport confond accès en temps réel aux données de connexion et interception. De même, la liste des applis d'un smartphone en dit long sans être du contenu (pages 31-33). Bref, le clivage contenant (métadonnées) / contenu n'est pas pertinent, il faudrait revoir la classification des différentes données de connexion (identité civile, trafic/localisation, identification c'est-à-dire donnée pivot, comme une adresse IP) ;

• Plateforme nationale des interceptions judiciaires, PNIJ (pages 44-47) :

  • Dernier audit par la CNIL : 2022-2023. Dernier audit par l'ANSSI : 2016 (!) ;
    
    
  • En parallèle du Commissariat aux communications électroniques de défense qui intervient pour la supervision technique (définition des spécifications techniques des équipements déployés par les opérateurs pour mettre en œuvre leurs obligations légales, la mise en place des liaisons entre les opérateurs et les plateformes, la vérification de leur bon fonctionnement et du respect des normes de sécurité informatique, etc.). Le Commissariat est complémentaire à l'Agence nationale des techniques d’enquêtes numériques judiciaires (ANTENJ) qui assure la maintenance correctrice de la PNIJ, le développement de nouvelles fonctionnalités, et l'assistance aux utilisateurs ;
    
    
  • 20 à 30 opérateurs sont branchés sur la PNIJ (sur environ 1800), mais la collecte portant sur les clients des NVMO (opérateurs sans réseau physique) se ferait via les opérateurs disposant d'un réseau physique (hum… pourquoi avoir raccordé 20 à 30 opérateurs si ça sert à rien ?) ;
    
    
  • Traçabilité 3 ans des actions sur la PNIJ ;
    
    
  • La PNIJ ne contrôle pas l'authenticité de la demande : c'est l'OPJ qui saisi sa demande, pas le magistrat qui l'autorise ; la PNIJ ne vérifie pas si l'OPJ est dans le même ressort que le magistrat qui l'aurait autorisé ;
    
    
  • La PNIJ ne couvrirait pas les FAI (je pense que le rapport parle ici uniquement des interceptions, car, il consigne par ailleurs que les données de connexion passent par la PNIJ, et la grille de compensation financière prévoit des actions sur des adresses IP via la PNIJ, mais peut-être uniquement pour les 4 opérateurs…), les Over The Top (surtout ceux extra-UE comme Google ou Meta), ni les opérateurs satellites, ni l'interception en Outre-Mer.

• 20 à 25 % de « hors PNIJ », notamment par des logiciels d'interception tiers (pages 48-49). Le hors PNIJ, qui n'offre pas les mêmes garanties (traçabilité, sécurité, etc.) est anormalement élevé dans certains services (page 49). Attention au chiffre : la PNIJ ne couvre pas toutes les technos ni tous les opérateurs donc est-ce 20-25 % des requêtes que la PNIJ pourrait servir ou 20-25 % de toutes les réquisitions, ce qui a moins de sens ? ;

  • Confirmation que Google et Meta refusent de répondre en direct aux enquêteurs, hors PNIJ, ce à quoi ils ne sont pas tenus, et qu'ils contrôlent l'opportunité (la légitimité) de la demande (page 47) ;

• « Para-PNIJ » : réutilisation des données obtenues via la PNIJ (ou hors PNIJ) dans des logiciels de rapprochement judiciaire (MERCURE, ANACRIM, DeveryAnalytics, etc.) qui n'offrent pas les mêmes garanties (traçabilité, etc.), au titre que la PNIJ manque de fonctionnalités, genre, exemple périmé, la visualisation graphique de la géolocalisation (page 48) ;

  • Logiciels de rapprochement judiciaires :

    • Autorisés par la LOPPSI 2 de 2011, cf. les articles 230-20 à 230-27 et R40-39 à R40-41 du Code de procédure pénale (page 50) et décret 2012-687. Le Conseil constitutionnel a posé une réserve d'interprétation dans sa décision 2011-625 DC : pas de traitement général, c'est par enquête. Fin 2024, la CNIL relevait que les logiciels d'analyse vidéo, dont reconnaissance faciale, ne font pas partie des logiciels de rapprochement judiciaire au sens du décret de 2012 ;
      
      
    • Autorisés par décret après avis de la CNIL.
      
      
    • Chapsvision rachète tout le monde (MERCURE, Elektron, Deveryware, etc.) ;

  • Les rapporteurs s'inquiètent (pages 51-52) : l'usage de ces logiciels requiert une masse conséquente de données, l'usage constitue un rapprochement automatisé, de la découverte fortuite (donc comment adapter le contrôle, basé sur la gravité de l'atteinte aux droits, quand on ignore à l'avance ce qu'on va découvrir ?), et une absence de traçabilité.

• Avant août 2006, la compensation d'un accès aux données de connexion était librement facturée par les opérateurs (page 42). Depuis, forfait pour investir en matériel + facturation à l'acte, cf. A43-9 du Code de procédure pénal (note 2 en bas de page 41). 69 M€ en 2005, 38 M€ en 2006, 122,5 M€ en 2015 (page 42) ;
  
  

• Page 111 : l'ANSSI n'a pas de compétence pour superviser les équipements utilisés par les opérateurs pour collecter et conserver les données de connexion. La vulnérabilité aux attaques extérieures des systèmes d'information des 4 opérateurs est auditée par l'ANSSI au titre qu'ils sont OIV (c'est pour ça les fuites de données chez 3 d'en eux en 2024-2025 ? :)))) Sources : 1, 2, 3). Le R226-1 du Code pénal donne compétence à l'ANSSI sur l'emploi de dispositifs permettant les interceptions et la géolocalisation en temps réel. Les rapporteurs proposent l'homologation du matériel utilisé par les opérateurs pour collecter et conserver les données de connexion (lol) ;
  
  

• Recherche géographique inversée (qui était dans telle zone géographique à telle heure au lieu de vérifier si tel suspect était dans telle zone). Page 34 : « la liste des utilisateurs présents dans une même zone à un instant déterminé via le recueil des flux ayant transité par une ou plusieurs bornes » ; « Elles permettent également, par recoupement des numéros de téléphone ayant « borné » dans certains lieux au moment de la commission de plusieurs infractions ». Page 38 : « […] soit pour identifier l’ensemble des utilisateurs présents sur une zone par « bornage » […] ». Page 39. Page 122 : « Il va essayer de voir qui pouvait se trouver dans le secteur à l’heure concernée. ». On retrouve cela dans la grille tarifaire de compensation des opérateurs (MT 40 / MT 41). Ainsi, il n'y aurait pas que les mézants ricains qui pratique cela ? :)))) ;
  
  

• L'accès en temps réels aux données de connexion serait plus intrusif que l'accès différé (à ce qui est conservé), car ça recouvrerait aussi les données traitées par les opérateurs pour leurs besoins techniques, comme la localisation GPS (comment un opérateur a-t-il ça ?), les données d'acheminement qui permettent de détecter anonymisation ou VPN, les certificats électroniques ou encore les identifiants et les mots de passe (page 28). Gné ? Ça ressemble à de l'interception des communications, quel rapport avec les données de connexion ? ;
  
  

• La directive e-privacy, qui précise l'application du RGPD dans le domaine des communications électroniques et les dérogations, n'est pas entièrement compatible avec le RGPD, sans plus de précision. Page 70 ;
  
  

• Page 48 : « analyse des flux interne chiffrés » : kézako ? ;
  
  

• On reconnaît un rapport sénatorial à ce qu'à plusieurs reprises, les rapporteurs râlent que la CJUE contraint l'État alors que les grands acteurs du numérique font ce qu'ils veulent, y compris du profilage qui « est susceptible de permettre de tirer des conclusions très précises concernant la vie privée d'une personne » (qui est ce que la CJUE radote dans ses arrêts sur la rétention des données de connexion). Pages 24, 58, 69, 126. Pourtant, il y a le RGPD. Qui les laisse faire ? Pourquoi la CNIL et ses homologues européennes ne font jamais rien ?! Il faut combattre le privé comme le public.

Groupe européen de haut-niveau pour l'accès aux données pour une application efficace de la loi

• Aussi nommé groupe de réflexion « Going Dark » (:O) ou groupe d'experts ADELE (access to data for effective law enforcement) ;
  
  
• Sous l'autorité de la direction générale des affaires intérieures (aka DG Home) de la Commission européenne et de la Présidence du Conseil européen, qui sont tous deux pro-flicage, d'après le rapport de la section précédente, page 69 ;
  
  
• Recommandations en juin 2024, rapport final en novembre 2024 ;
  
  
• Ça va bien plus loin que les données de connexion : interception, déchiffrement, coopération, investigation numérique, preuve numérique. Je n'ai lu que les introductions, synthèses / résumés, et sections concernant la rétention des données de connexion ;
  
  
• Les données conservées par les intermédiaires techniques pour leurs besoins techniques ou commerciaux doivent être accessibles aux autorités, y compris si le fournisseur chiffre les métadonnées ou les données d'identité civile ;
  
  
• Forcer l'enregistrement des utilisateurs d'un service (création d'un compte), sans quoi, les fournisseurs de service qui n'ont pas de besoin commercial n'auront rien à communiquer en cas d'injonction (quid de l'adresse IP ?) ;
  
  
• Obligation minimale de conserver les données de connexion permettant d'identifier un utilisateur, comme l'adresse IP source et le numéro de port ;
  
  
• Le reste est basique : harmonisation du cadre juridique sur la rétention des données de connexion et sur l'accès à celles-ci (en se basant sur le règlement e-evidence, cf. supra), cadre indépendant des technos, standardisation des échanges entre acteurs, coopération, le chiffrement pose des difficultés, etc.

Déclaration du Comité européen de la protection des données (CEPD) sur les recommandations du groupe de haut-niveau

• Novembre 2024 ;
  
  
• Le groupe d'experts propose un régime de conservation harmonisé pour tous les fournisseurs de services qui peuvent octroyer un accès à des preuves numériques, peu importe leur type. Le CEPD y voit une extension au-delà des services de communication électroniques accessibles au public qui sont les seuls concernés à ce jour par la rétention des données de connexion, ce qui conduirait à une surveillance généralisée. Et, en effet, à la page 36 de son rapport, le groupe évoque les LLM, les constructeurs automobiles, les opérateurs de communication sans numérotation (dit Over The Top, comme les apps de messagerie, qui ne sont pas couverts par la législation genre FR) , etc. ;
  
  
• Sur la conservation minimale des éléments permettant d'identifier une personne, le CEPD rappelle qu'il s'agit de conserver l'identité civile et les adresses IP de manière indiscriminée. Dans son arrêt C-470/21 (LQDN / HADOPI), la CJUE a jugé qu'une telle conservation généralisée et indifférenciée est possible pour tout type d'infraction tant qu'elle ne permet pas de tirer des conclusions précises sur la vie privée d'une personne. Ainsi, le CEPD rappelle que toute combinaison des adresses IP avec d'autres données est impossible et que le raisonnement de la CJUE sur la conservation des IP ne s'applique pas forcément à d'autres types de données de trafic ou de localisation dès lors qu'elles permettent de tirer des conclusions précises sur la vie privée d'une personne.

Rapport d'Eurojust sur l'effet de la jurisprudence de la CJUE sur les régimes nationaux de rétention des données de connexion et la coopération judiciaire

• Novembre 2024 ;
  
  
• Je ne l'ai pas lu, je l'ai survolé. On retrouve ce qui a déjà été dit : diversité des durées, des données conservées, des garanties, des procédures, de ce que sont les infractions graves, etc. La plupart des États-Membres continuent de travailler sur le sujet. L'absence de données de connexion perturberait les enquêtes et la coopération judiciaire européenne (comme d'hab', ce point n'est pas vraiment étayé).

Étude sur la conservation des metadonnées des communications électroniques à des fins répressives

• 2020 ;
  
  
• Par un cabinet de conseil belge, pour la direction générale des affaires intérieures de la Commission européenne (pro-flicage, cf. supra) ;
  
  
• Je ne l'ai pas lu, je l'ai survolé ;
  
  
• Page 49 : appréciable diagramme de Venn sur les différents ensemble de données de connexion (identité civile, trafic, identification) ;
  
  
• Page 162 et suivantes : excellente annexe III sur les types de données de connexion conservées par chaque État-Membre de l'UE.