Daily - GuiGui's Show

GuiGui's Show - Monday 24 August 2026

Mon, 24 Aug 2026 00:00:00 +0200

Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’UBER | CNIL

Mon Aug 24 09:50:37 2026 -
https://www.cnil.fr/fr/decisions-automatisees-sanction-de-pres-de-825-millions-deuros-lencontre-duber

> En 2020, la CNIL a été saisie d’une plainte collective de l’association La Ligue des droits de l’Homme, représentant plus de 170 chauffeurs de la plateforme UBER. Complétée en 2021, cette plainte concernait notamment l’information des personnes, les transferts de données personnelles hors de l’Union européenne et les décisions automatisées de déconnexions temporaires et/ou définitives des chauffeurs de la plateforme .
>
> Après avoir prononcé une première amende de 10 millions d’euros le 11 décembre 2023 pour des manquements à l’information des chauffeurs puis à une deuxième amende de 290 millions le 22 juillet 2024 pour des transferts de données hors de l’Union européenne, l’autorité néerlandaise de protection des données s’est prononcée sur les décisions individuelles automatisées.
>
> […]
>
> L’autorité néerlandaise de protection des données considère notamment que les désactivations des comptes des chauffeurs en cas de suspicion de fraude (désactivation temporaire) ainsi qu’en cas de notation basse de la part des clients (désactivation temporaire et définitive) constituent des décisions individuelles automatisées en raison de l’absence totale d’intervention humaine dans le processus de décision. Ces décisions affectent de manière significative les chauffeurs qui, en cas de blocage de leur compte, ne peuvent plus effectuer de courses et générer de revenus.

[Communiqué de presse de l'autorité de contrôle des Pays-Bas](https://www.autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking) :
> […] Uber has filed an appeal against the fine.
>
> […]
>
> This is the fourth fine imposed by the AP on Uber. In 2018, the AP fined Uber 600,000 euros, in 2023 a fine of 10 million euros and in 2024 a fine of 290 million euros. Uber defends itself against the last two fines; the procedures on this matter are still ongoing.

[Article du *Monde*](https://www.lemonde.fr/economie/article/2026/08/21/uber-condamne-a-une-amende-825-millions-d-euros-d-amende-aux-pays-bas-pour-la-suspension-automatisee-de-chauffeurs_6752266_3234.html) :
> « Nous contestons fermement cette décision ainsi que le montant disproportionné de l’amende, et nous ferons appel », a déclaré un porte-parole d’Uber à l’Agence France-Presse. Selon lui, l’AP a examiné « d’anciennes pratiques, abandonnées depuis plusieurs années », avant d’ajouter que la société prenait « très au sérieux » les décisions concernant les chauffeurs, en s’assurant qu’elles étaient « justes » et « équitables ».

Comme quoi, quand c'est une autre autorité de contrôle que la CNIL qui est à la manœuvre, ça cogne fort. 🙄️ Deuxième plus grosse amende au titre du RGPD après celle, en 2023, de [1,2 milliard d'euros à l'encontre de Meta](https://next.ink/1107/leurope-inflige-12-milliard-deuros-damende-a-meta/). C'est donc possible, qui aurait pu prévoir ?! 🙄️

Plainte en 2020, fin de son traitement en 2026… 😑️

Emplacements des caméras de surveillance de l'espace public et zones filmées : pas communicables ; droit d'accès aux vidéos : compliqué

Mon Aug 24 08:42:13 2026 -
http://shaarli.guiguishow.info/?ujf7DQ

J'avais pas suivi ça : l'emplacement des caméras publiques qui filment l'espace public, ainsi que la zone filmée, ainsi que des détails techniques, ne sont pas des documents administratifs communicables. [Avis CADA 20236236](https://www.data.gouv.fr/explore/cada/20236236). D'autres [avis de la CADA sont disponibles ici](https://www.data.gouv.fr/explore/cada).

Ces éléments ne sont pas plus communicables en passant par le RGPD (droit d'information) : [CE 495175](https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2025-07-23/495175).

Les documents d'autorisation, qui peuvent ou non contenir ces informations, sont publiés dans le recueil des actes administratifs de la préfecture du coin. La recherche en leur sein est compliquée : absence de moteur de recherche, les documents sont des numérisations sans calque texte, etc. Pour se simplifier la vie, il existe le [moteur de recherche Attrap](https://attrap.fr/).

Il reste les cartographies collectives comme [Surveillance Under Surveillance](https://sunders.uber.space/fr/) (qui repose sur [OpenStreetMap](https://www.openstreetmap.org/)) à partir des panneaux de signalisation des caméras, quand ils existent.

Sur le papier, il t'est également possible d'accéder aux vidéos de surveillance sur lesquelles tu apparais : [Tout comprendre sur le droit d’accès aux vidéos de caméras de surveillance](https://blog.davidlibeau.fr/tout-comprendre-sur-le-droit-dacces-aux-videos-de-cameras-de-surveillance/). Notons la disparition, en 2023 (loi JOP 2024) du double régime, RGPD et Code de la sécurité intérieur (CSI), au profit du seul RGPD : l'article L253-5 CSI ne prévoit plus un droit d'accès autonome (hors RGPD). Unification des régimes.

En pratique, [ça semble compliqué](https://mastodon.xyz/@David/110113352879590371). (Notons que cela se passe au temps du double régime décrit ci-dessus, donc ça a pu évoluer.)

Au-delà de ce que présente David, le RGPD prévoit qu'un responsable de traitement (RT, ici l'entité qui opère les caméras) doit répondre « *dans les meilleurs délais, et en tout état de cause dans un délai d'un mois* ». En pratique, en moyenne, les RT dépassent ce délai. Or, les images sont conservées un mois. Oups 🙄️.

Si un RT refuse, la CNIL ne traitera pas une réclamation dans le délai d'un mois. En moyenne, dans ce délai, la CNIL peine déjà à analyser la recevabilité d'une réclamation.

N'espère pas secouer la CNIL avec un contentieux [en référé](https://fr.wikipedia.org/wiki/R%C3%A9f%C3%A9r%C3%A9) : tu ne rempliras pas les conditions ultra-strictes du référé-liberté, et le référé-suspension est voué à l'échec puisque l'inaction de la CNIL fait naître une décision seulement après trois mois. Sans compter que le Conseil d'État, juge de la CNIL, se montre chafouin sur la condition d'urgence du référé-suspension (voir [CE 504659](http://www.conseil-etat.fr/fr/arianeweb/CE/decision/2025-06-18/504659)).

Bref, l'exercice du droit d'accès semble conditionné, par essence, au bon vouloir de l'entité publique qui opère les caméras.

GuiGui's Show - Sunday 23 August 2026

Sun, 23 Aug 2026 00:00:00 +0200

Fouloscopie - YouTube

Sun Aug 23 19:38:21 2026 -
https://www.youtube.com/@Fouloscopie/videos

Il y a quelques semaines, j'ai regardé l'intégralité des vidéos de Fouloscopie, vulgarisateur qui traite de l'étude scientifique de la foule, des mouvements de foule, de la gestion d'une foule, des conditions pour faire émerger de l'intelligence collective, des règles d'apparition de réseaux sociaux, de diffusion d'un propos dans ces réseaux, etc.

Très intéressant, j'en recommande vivement le visionnage.

Apostropheolas - Journal d'un avocat

Sun Aug 23 19:33:16 2026 -
https://www.maitre-eolas.fr/post/2026/08/15/Apostropheolas

À travers un bouquin, Maître Eolas nous présente, grosse maille, le système judiciaire d'Angleterre et du pays de Galles.

> Un procès coupe-gorge, la traduction du titre, est un procès où les accusés s'accusent mutuellement d'être coupables en assurant eux-même être innocents. […]
>
> Outre que l'intrigue est bien menée, en utilisant astucieusement les ressorts de la procédure, c'est pour le juriste français une visite guidée au cœur du système judiciaire d'Angleterre et du Pays de Galles, qui, pour un passionné du droit comparé comme votre serviteur, est passionnante.
>
> […]
>
> Dans le système britannique, qui a beaucoup inspiré le système américain, l'enquête est menée avant tout par la police. Il n'existe pas de police nationale au Royaume-Uni, que des polices locales (même le célèbre Scotland Yard n'est que la Metropolitan Police, compétente sur le Grand Londres, à l'exception de la City qui a sa propre police). Le parquet s'appelle le Crown Prosecution Service (CPS) et ne dirige pas l'enquête mais s'occupe de la mise en forme du dossier et décide du moment où il est prêt à aller devant la cour. Son équivalent privé, et la dualité de la profession judiciaire au Royaume-Uni est source de confusion en France, est le Solicitor. Le Solicitor est un conseiller juridique, qui ne porte pas la robe, et est la porte d'entrée du justiciable dans le monde judiciaire. Vous avez besoin d'un conseil juridique ou d'un avocat ? Vous poussez la porte du Solicitor. En garde à vue, c'est le Solicitor qui viendra vous assister et vous dire de garder le silence (no comment). C'est lui qui plaidera lors de votre présentation au juge qui décidera de vous placer en détention ou de vous laisser libre sous contrôle judiciaire (Bail) et qui plaidera les contraventions et délits les moins graves dans une procédure simplifiée et largement débarrassée du cérémonial.
>
>
> Mais quand les choses sérieuses commencent, et que l'affaire va devant la Haute Cour, le Solicitor ne peut plus plaider, et avec l'accord du client, c'est lui qui choisira le Barrister, l'avocat qui seul peut plaider devant la Haute Cour de Sa Majesté. C'est lui qui porte la robe et cette magnifique perruque grise en crin de cheval. Et quand je dis que seul lui peut plaider, seul lui peut plaider. Le CPS aussi désignera un Barrister pour plaider l'accusation. Le Solicitor ne disparait pas pour autant, il est présent à l'audience, assis à proximité de son barrister (souvent derrière), avec qui il peut échanger à voie basse, où, la modernité a franchi la Manche, par message électronique discret. le Solicitor garde un rôle essentiel, car il est l'interface quotidienne avec la famille du client, c'est lui qui s'occupe de récupérer les honoraires dûs au barrister, il connait le dossier sur le bout des doigts pour le suivre depuis le début. C'est une défense duale qui ne parle qu'une d'une voix. Avoir des bonnes relations avec un voire plusieurs Solicitor est essentiel pour un barrister qui compte faire carrière. Enfin, les contre-interrogatoires par les barristers sont bien plus agressifs qu'en France, et consistent à asséner les arguments de sa défense ("Vous avez tué la victime, n'est-ce pas ? C'est vous qui avez effacé les traces, n'est-ce pas ?") pour énerver le témoin avant de lui poser des questions plus ouvertes où la moindre contradiction est guettée pour détruire sa crédibilité. Les accusés ne sont pas tenus de témoigner, ce sont eux qui le demandent, mais leur refus peut être dans une certaine mesure être utilisé contre eux.
>
> Le Royaume-Uni étant ce qu'il est, bien sûr qu'il existe une aristocratie chez les barristers. Au bout d'un certain nombre d'années (10 à 15), un junior barrister peut passer un concours très relevé qui, s'il le réussit, lui permettra d'abandonner sa robe en laine pour une robe en soie, et prendre le titre de King's Counsel, abbrégé en KC, autrefois QC, derrière le nom, au terme d'une cérémonie de prise de la soie (taking silk). Ces superbarristers sont appelés des silks, et se changent dans un vestiaire à part de la plèbe des junior barristers. Les Junior ont les mêmes droits que les silks mais pour les dossiers les plus complexes, le choix se porte plutôt vers les silks. Dans le roman, Alyah Ashard, la procureure, et les barristers des deux premiers accusés, sont des silks (et l'un d'eux est redoutable). Jennifer Rennie, l'une des narratrices, est junior, et Caz, ce feu-follet au vocabulaire de charretier, est sa solicitor.
>
> Dernier aspect, la disclosure. Contrairement au système français où on a une copie (de mauvaise qualité mais ça change) intégrale du dossier et on se démerde, l'accusation choisit ce qu'elle communique à la défense. Elle a l'obligation légale, à peine de cassation, de communiquer spontanément tous les éléments susceptibles d'être utiles à la défense, même s'ils nuisent à l'accusation. Mais si l'accusation estime qu'un élément n'a pas d'intérêt, la défense n'en aura pas connaissance. L'équivalent US est la discovery. Et dans cet esprit de disclosure, tant l'accusation que la défense doivent préalablement à l'audience indiquer tant au juge qu'aux autres parties quelle sera leur défense (je n'étais pas là ; c'est de la légitime défense ; je suis fou ; etc). Et cette défense est exposée au juré en ouverture de l'audience par chacun. Le jury est composé de 12 personnes et délibère en principe à l'unanimité (mais une majorité de 10 sur 12 est acceptée en cas de jurés bloqués) sans le juge, qui leur rédige une feuille de route et résume les faits et les questions qu'ils doivent se poser. Le juge prononce seul les peines en cas de verdict de culpabilité.certains chapitre sont constitués de certains de ces documents.

GuiGui's Show - Saturday 22 August 2026

Sat, 22 Aug 2026 00:00:00 +0200

Quels représentants d'intérêts causent à la CNIL ?

Sat Aug 22 22:59:16 2026 -
http://shaarli.guiguishow.info/?MFJZ8g

La [HATVP](https://fr.wikipedia.org/wiki/Haute_Autorit%C3%A9_pour_la_transparence_de_la_vie_publique), instituée à la va-vite pour calmer le bon peuple après l'[affaire Cahuzac](https://fr.wikipedia.org/wiki/Affaire_Cahuzac), collecte et publie le [répertoire des représentants d'intérêts](https://www.hatvp.fr/le-repertoire/).

Évidemment, il y a de nombreuses limites, notamment que c'est déclaratif, donc au bon vouloir des lobbyistes. Certains déclarent rien. D'autres déclarent une même activité générique (= floue) d'année en année. La loi prévoit de nombreuses exceptions. La HATVP ne permet pas toujours de déclarer le responsable public précis avec lequel un lobbyiste s'est entretenu, souvent, cela reste flou : « agent d'une collectivité territoriale » (laquelle ?), « député » (lequel ?), « agent d'administration centrale de l'État » (mais encore ?), etc. La CNIL fait exception : un déclarant peut la sélectionner pour remplir sa déclaration, mais un manque de rigueur peut vite arriver. ;) Bref, il y a de nombreuses lacunes.

La déclaration est une obligation légale, mais la HATVP est un fantôme aussi vigilant et actif que la CNIL, donc tout le monde s'en cogne. De toute façon, je ne vois pas comment la HATVP pourrait contrôler la véracité et la complétude des déclarations : le boulot est immense et la charge de la preuve est difficilement surmontable sans devenir la Stasi (comment identifier un appel téléphonique, une visio, ou une rencontre non déclarées ?). Je rappelle également que la loi ne distingue pas les méchants lobbyistes des gentils lobbyistes du camp du Bien : tous doivent déclarer.

Le site web du répertoire de la HATVP ne permet pas de rechercher par responsable public (ici, la CNIL), uniquement par lobbyiste, client d'un lobbyiste, ou activité.

La HATVP publie son [répertoire des lobbyistes aux formats JSON et CSV](https://www.hatvp.fr/le-repertoire/#open-data-repertoire). Le JSON est ici : [https://www.hatvp.fr/agora/opendata/agora_repertoire_opendata.json](https://www.hatvp.fr/agora/opendata/agora_repertoire_opendata.json).

Mais, là encore, la structure du fichier complique une recherche par responsable public. Les CSV ne sont pas mieux.

On va devoir dégainer `jq`, l'[outil de manipulation JSON en ligne de commande](https://jqlang.org/manual/). J'ai déjà rédigé un article sur [des syntaxes jq utiles](/?KMmDNA).

La commande suivante affiche toutes les activités de représentation conduites auprès de la CNIL en 2025. Pour chaque activité, elle affiche, sur des lignes distinctes, le nom du lobbyiste, le but de l'action, les observations éventuelles, et pour le compte de qui elle a été menée. Les activités sont séparées par une ligne vide.

```
jq -r --arg annee 2025 --arg nomRespPublic "Commission nationale de l'informatique et des libertés" '.publications as $lobbyistes |
$lobbyistes[].exercices[].publicationCourante | select((.activites | length > 0) and (.dateDebut | contains($annee))) as $ExerciceValide |
$ExerciceValide.activites[].publicationCourante | select(.actionsRepresentationInteret[].reponsablesPublics | contains([$nomRespPublic])) |
.objet as $but | .actionsRepresentationInteret[] | .observation as $obs | .tiers as $beneficiaires |
$lobbyistes[] | select(.exercices[].publicationCourante.exerciceId==$ExerciceValide.exerciceId).denomination as $nomLobbyiste |
" " as $delimiteur | $delimiteur , $nomLobbyiste , $but , $obs , $beneficiaires[]' agora_repertoire_opendata.json
```

Évidemment, la structure du JSON détermine la commande `jq` nécessaire à son analyse. Celui de la HATVP est, très grosse maille, le suivant, les [détails sont dans la documentation](https://www.hatvp.fr/le-repertoire/#open-data-repertoire). Des représentants d'intérêts (nommés « publications » 🤷‍♂️️) sont associés à des périodes temporelles (nommés « exercices », au sens d'exercice moral ou fiscal). Un exercice a, ou non, des activités. Une activité a un but (« objet ») et une ou plusieurs actions de représentation. Celles-ci contiennent les responsables publics sollicités, une éventuelle observation, et les bénéficiaires de l'action.

La première difficulté est que le nom du lobbyiste est consigné dans une « publication », en haut de l'arbre JSON, alors que le responsable public est en bas de l'arbre. Le pivot (= clé étrangère), est l'exercice, qui contient aussi le début et la fin de la période. En première approximation, on peut penser que le bénéficiaire d'une action est le lobbyiste lui-même, auquel cas, son nom est suffixé de « (en propre) », donc qu'on n'a pas besoin de remonter l'arbre JSON. Mais, un lobbyiste peut intervenir pour le compte d'un client, auquel cas, le client sera déclaré bénéficiaire, mais le nom du lobbyiste n'est pas inintéressant, et justifie une remontée de l'arbre JSON.

La deuxième difficulté est qu'un exercice peut ne pas contenir d'activités, lorsque la déclaration n'a pas encore eu lieu, ou si le lobbyiste n'a rien fait sur la période. Auquel cas, l'attribut « activites » n'existe pas (alors qu'un tableau vide aurait été préférable). Il faut exclure ces exercices de notre sélection, sinon `jq` crachera l'erreur « Cannot iterate over null (null) » lors de la tentative d'accès à « activites ». Pour ce faire, il ne faut pas compter sur l'attribut « nombreActivite » qui peut être supérieur à zéro en l'absence d'attribut « activites » 🤷‍♂️️.

Cette exclusion nécessite un déplacement du curseur de `jq` dans l'arbre JSON, ce qui crée la difficulté à remonter l'arbre JSON énoncée au point précédent : si l'on filtre les lobbyistes qui ont des activités, alors ceux ayant des activités durant un exercice mais pas durant un autre seront sélectionnés, donc `jq` crachera l'erreur sus-rapportée. On est donc obligé de descendre dans l'arbre, de travailler uniquement sur les exercices filtrés, puis sur les activités filtrées, donc on perd le nom du lobbyiste resté en haut de l'arbre. Notons qu'on a le même problème dès qu'on filtre les activités d'un exercice donné, ou les actions auprès de la CNIL (une activité sera retenue dès lors qu'elle contient au moins une action auprès de la CNIL), mais ce dernier cas n'a aucune incidence sur le résultat recherché.

La troisième difficulté, mineure, est que le nom du responsable public, la CNIL, contient une apostrophe, qui entre en conflit avec le shell. Solution : stocker ce nom dans une variable. De surcroît, cela procure un caractère général à la commande `jq` : elle permet de chercher à partir d'autres responsables publics que la CNIL.

La dernière difficulté, bien plus légère que les précédentes, est les niveaux superflus du JSON, notamment *plusieurs* « publicationCourante ». Il faut veiller à ne pas perdre le sens de chaque : tantôt ça désigne ça matérialise un exercice, tantôt une activité.

Désormais, t'es en capacité de lire la commande :
* Première ligne : arguments et conservation, dans une variable, des lobbyistes (afin de pouvoir obtenir le nom de l'organisateur d'une action à partir de la référence d'un exercice quand nous aurons cette dernière).

* Deuxième ligne : on sélectionne, pour une année passée en argument, les exercices qui ont un nombre positif d'activités. On les met en variable afin de pouvoir, plus tard, retrouver le nom du lobbyiste à partir de la référence de l'exercice.

* Troisième ligne : pour chaque exercice valide, on sélectionne les activités contenant des actions auprès de la CNIL.

* Quatrième ligne : en variable, on conserve le but de l'activité, et, pour chaque action, les observations éventuelles, et les bénéficiaires.

* Cinquième ligne : on conserve, en variable, le nom du lobbyiste que l'on retrouve à partir de la référence de l'exercice.

* Sixième ligne : mise en forme du résultat, d'où, sur la première ligne, la directive `-r` pour retirer le formatage JSON, comme les guillemets autour d'une chaîne de caractères.

Si l'on ne veut pas du nom du représentant d'intérêts, la commande se simplifie grandement (j'ai essayé de conserver les mêmes rôles par ligne, même si les lignes deux et trois fusionnent immanquablement) :
```
jq -r --arg annee 2025 --arg nomRespPublic "Commission nationale de l'informatique et des libertés" \
'.publications[].exercices[].publicationCourante | select((.activites | length > 0) and (.dateDebut | contains($annee))).activites[].publicationCourante |
select(.actionsRepresentationInteret[].reponsablesPublics | contains([$nomRespPublic])) |
.objet as $but | .actionsRepresentationInteret[] | .observation as $obs | .tiers as $beneficiaires |
" " as $delimiteur | $delimiteur , $but , $obs , $beneficiaires[]' agora_repertoire_opendata.json
```

That's All, Folks!

GuiGui's Show - Friday 21 August 2026

Fri, 21 Aug 2026 00:00:00 +0200

Le piratage du ministère de l’Intérieur : un coup de bol opportuniste, et même pas ciblé - Next

Fri Aug 21 19:02:04 2026 -
https://next.ink/252664/le-piratage-du-ministere-de-linterieur-un-coup-de-bol-opportuniste-et-meme-pas-cible/

Chronologie de la violation de fichiers de police en décembre 2025 :
1. Logiciel malveillant voleur d'infos sur l'ordi *perso* d'un agent du ministère de l'agriculture. Lien vers celui-ci envoyé sur sa messagerie pro.

2. Accès, par vol de mdp, à son Google Drive perso contenant son certificat d'authentification VPN (qui n'était donc pas protégé par un mdp).

3. Passerelle informatique du réseau de ministère de l'agriculture au réseau du ministère de l'intérieur.

4. Faille dans un outil interne octroyant l'accès à des comptes de gestionnaires d'email (que je comprends comme des administrateurs dédiés aux plateformes emails).

5. Réinitialisation de mdp d'agents du ministère de l'intérieur.

6. Accès à la messagerie de ces agents permettant de trouver des certificats d'authentification au VPN + mdp associé.

7. Accès à CHEOPS. Donc depuis le VPN et sans 2FA (carte professionnelle.

Un mélange de mauvaise hygiène numérique des agents (points 1, 2, et 6), d'erreurs de conception du système d'information (2, 3, 4, et 7), et d'absence d'affolement des agents voyant leur mdp réinitialisé à leur insu (ce qui peut révéler des difficultés relationnelles avec leur direction informatique faisant qu'ils ont préféré garder le silence).

En tout cas, on est loin de la petite attaque ponctuelle. Beaucoup d'entités, publiques comme privées, auraient flanché avec beaucoup moins d'efforts que cela. J'ai du mal à être dans le « olol les nuls mdr ! ».

Les contre-mesures que pourraient prendre les directions informatiques pour contrer ça sont démesurées… Même le point 2 : je lis qu'on pourrait sceller le certificat (= le rendre inaccessible sans droits administrateur) ; à condition de fournir un ordi pro ou une clé physique d'authentification, coût supplémentaire, logistique, etc. Contrer les logiciels malveillants, ça a toujours été la plaie… Faille dans un outil, bah ouais…

Par contre, je ne partage pas l'idée que le pirate aurait contourné « plusieurs défenses en profondeur » comme l'expose le journaliste : ici, tout reposait sur la première digue, l'authentification (par certificat ou par mdp). La définition de la défense en profondeur est de contrer la défaillance de la première digue.

GuiGui's Show - Thursday 20 August 2026

Thu, 20 Aug 2026 00:00:00 +0200

La CNIL protège nos données… vraiment ?

Thu Aug 20 17:11:06 2026 -
https://bsky.app/profile/aeris.eu.org/post/3mtjjicbeuk2n

[![Image Martine et la CNIL](/data/uploads/2026/08/mes_premières_histoires_de_la_CNIL_min.webp "Collection de livres Martine et la CNIL")](/data/uploads/2026/08/mes_premières_histoires_de_la_CNIL.webp)

❤️

GuiGui's Show - Tuesday 18 August 2026

Tue, 18 Aug 2026 00:00:00 +0200

Communication lunaire de la CNIL sur la violation DGFIP

Tue Aug 18 10:59:47 2026 -
https://firefish.asso-purr.eu.org/notes/aq1zcqxh9ojm022o

> Suite au communiqué de presse de la @cnil@social.numerique.gouv.fr de ce jour (https://www.cnil.fr/fr/piratage-du-systeme-dinformation-des-impots-les-verifications-sont-en-cours) nous vous invitons à ne pas tenir compte de sa demande de ne pas porter plainte.
> La CNIL ne fait jamais rien sauf à être contrainte par une plainte. Elle dit bien d’ailleurs être seulement « susceptible de mener des investigations »
> Déposer plainte est le seul moyen pour être aussi tenu informé de l’avancement de la procédure.
> La CNIL n’avait pas non plus appelé à la modération dans le cas de Free par exemple.
>
> N’hésitez donc pas à déposer plainte ou à nous saisir pour que nous le fassions pour vous
> https://agir.asso-purr.eu.org/mandats/signature
>
> Point important : vous n’avez pas besoin d’avoir été notifié explicitement de la fuite par la DGFIP.
> Vous êtes contribuable, donc personne concernée, et vos données ont été mises en péril par un défaut de sécurisation des systèmes d’information de la DGFIP.
> Vous pouvez donc porter plainte.

Résumé du communiqué de presse de la CNIL : branlette en cours, ne pas déranger. 🤬️

Concernant l'information publique : l'écrasante majorité des mesures correctrices adoptées par la CNIL ne font pas l'objet d'une publication. Il en va de même, à plus forte raison, de la clôture des plaintes sans adoption de mesures correctrices. S'il a d'abord tenté de nier ces états de fait, le Secrétaire général adjoint de la CNIL les a ensuite admis tacitement auprès de l'association PURR au premier semestre 2025. Donc, oui, il est plutôt exact d'affirmer qu'une personne ne saura rien si elle ne dépose pas plainte.

Loin de moi de défendre Free, on peut aussi évoquer le cas du [spam émis par les ministères](/?JIRFvQ) de l'économie (auquel est rattaché la DGFIP) et de la fonction publique. Les syndicats de salariés avaient poussé à la roue pour déposer des plaintes CNIL, sans contrariété de cette dernière.

GuiGui's Show - Monday 17 August 2026

Mon, 17 Aug 2026 00:00:00 +0200

Attaque informatique particulièrement sophistiquée

Mon Aug 17 18:54:32 2026 -
https://nitter.poast.org/bortzmeyer/status/2088969688822804684#m

> Attention, quand un politicien ou un patron dit qu'il y a eu une « attaque particulièrement sophistiquée », cela veut dire que le mot de passe du compte attaqué n'était pas azerty mais azerty123.

https://nitter.poast.org/pbeyssac/status/2089012211070963843 :
> "particulièrement sophistiqué" en com politique/administrative de crise = "plus sophistiqué que notre administration, qui est à la ramasse et on s'en fout tant que pas vu pas pris".

Tellement vrai…

GuiGui's Show - Sunday 16 August 2026

Sun, 16 Aug 2026 00:00:00 +0200

La sécurité informatique par la paperasse

Sun Aug 16 21:36:46 2026 -
https://nitter.poast.org/kubernan/status/2088584976656728092#m

> Après plus de trente ans passés dans la cybersécurité de milieux sensibles, j’observe toujours le même écart structurel.
>
> L’effort principal ne porte presque jamais sur la construction de défenses techniques réelles. Il se concentre sur l’obtention de certifications et le respect formel de normes. ISO/IEC 27001, RGS et son processus d’homologation, guides ANSSI d’hygiène informatique, analyses EBIOS, qualification PASSI ou SecNumCloud, bientôt le socle NIS 2. On accumule les preuves documentaires. On alimente les tableaux de bord. On tient des réunions Teams interminables pour commenter des indicateurs verts.
>
> Ces tableaux de bord sont souvent des pastèques : verts à l’extérieur, rouges à l’intérieur. Ils satisfont le reporting, rassurent le management et permettent de dire « nous sommes conformes ». Ils ne disent presque rien sur la capacité réelle à détecter une usurpation d’identifiants, à limiter les extractions massives ou à segmenter correctement les accès privilégiés.
>
> Les profils ont suivi la même évolution. Les équipes se peuplent désormais de managers formés à dérouler des process, à produire des plans d’action et à animer des comités. Les vrais experts techniques, ceux qui savent lire un journal d’authentification, comprendre une architecture de VPN ou concevoir un contrôle d’accès non contournable, deviennent minoritaires. On les écoute peu. On les fait rarement piloter.
>
> L’aspect financier confirme le diagnostic. Peu de directions acceptent d’investir au-delà du strict nécessaire à la conformité tant qu’aucun incident majeur n’est survenu. La sécurité est traitée comme un coût de reporting, pas comme une capacité opérationnelle. On finance les audits, les certifications et les outils de visualisation. On sous-finance la détection fine, la segmentation, les tests adverses et la formation technique profonde.
>
> Le cas récent de la DGFiP illustre parfaitement le mécanisme. En juin et juillet 2026, des accès illégitimes obtenus par usurpation d’identifiants d’un agent et d’un tiers habilité ont permis la consultation et l’extraction de données fiscales concernant 678 000 particuliers et professionnels (revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN, données cadastrales associées). L’administration a coupé les accès une fois détectés, notifié la CNIL et promis d’informer les usagers. Pourtant, pendant des semaines, l’extraction avait eu lieu. Malgré le cadre réglementaire applicable aux systèmes d’information de l’État, malgré les obligations d’homologation et de maîtrise des risques, un simple détournement d’identifiants a suffi.
>
> Ce n’est pas un accident isolé. C’est le résultat prévisible d’une culture où la conformité documentaire a pris le pas sur l’ingénierie de défense. Tant que les indicateurs restent verts en réunion et que le budget ne s’ouvre qu’après la crise, on continuera à produire des pastèques et à découvrir trop tard ce qu’elles contiennent.

Énième piqûre de rappel. C'est valable privé comme public. C'est pareil pour la conformité RGPD.

Et encore, ça c'est quand y a un début de commencement de semblant de simulacre de sécurité informatique. Souvent, il n'y a même pas ça.

Sans compter l'incompétence technique crasse des informaticiens… Les développements et architectures informatiques sont conçus et mis en œuvre avec le cul, et c'est méchant pour les culs qui, eux, au moins, ont une réelle utilité. Plusieurs commentaires en font état.

https://nitter.poast.org/bortzmeyer