GuiGui's Show

L’agence nationale des données de voyage (ANDV), entrée en fonction le 1er juillet 2022 aux termes du décret n°2022-752 du 29 avril 2022, est un service interministériel à compétence nationale rattaché au ministère de l’Intérieur et des Outre-mer, et placé auprès du directeur général de la Police nationale. […]

L’ANDV est chargée de la mise en place et de l’amélioration des dispositifs de collecte et d’exploitation des données de voyage (données de réservation, d’enregistrement et d’embarquement des passagers) dans les transports aériens, maritimes et terrestres, au départ ou à destination de la France. L’agence assure également la collecte des données, en vérifie la qualité et la fiabilité, et exerce à ce titre la fonction d’Unité Information passagers (UIP) telle que prévue par la directive européenne 2016/681. [ PNR ]

L’ANDV contribue à la prévention et à la détection des infractions terroristes, des formes graves de criminalité et des atteintes aux intérêts fondamentaux de la Nation ainsi qu’aux enquêtes et poursuites en la matière. De la même manière, elle participe au contrôle frontière et la lutte contre l’immigration irrégulière et la sûreté des transports. [ Le décret prévoit aussi sûreté de l'État, sécurité publique, défense, etc. ]

En 2019, Next Inpact écrivait sur l'un de ses co-prédécesseurs, le Service national des données de voyage. (L'autre co-prédécesseur est l'UIP / PNR France). On y lit : « L'idée, c'est de tracer les trajets des passagers », nous explique la Direction générale de la police nationale (DGPN). « Au départ, avec le PNR, ce n'était que l'avion. Désormais, on l’étend au maritime et au ferroviaire. ». On retrouve ça dans aux pages 287 et suivantes de l'étude d'impact du premier jet, avorté, de la LOPMI 2023 (qui voulait modifier la législation pour collecter les données des membres d'équipages marins).

On dirait que l'ANDV va coordonner / contrôler les procédures existantes, comme la PNIJ (toute proportion gardée), et "améliorer" tout ça.

Pour l'instant, elle récupère uniquement les accès aux bases de données "aériennes" qu'avait PNR France / l'UIP.

Le gouvernement envisage de lutter contre la fraude fiscale et sociale par le lieu de résidence (se déclarer résident fiscal à l'étranger quand on vit majoritairement en France), ce qui peut expliquer que l'agence soit aussi sous tutelle du ministère de l'économie (son prédécesseur ne l'était pas). Le Canard du 02/08/2023 évoque l'accès du fisc au PNR.

L'étude d'impact de la première version de la LOPMI 2023 consigne aussi :

Conçu au départ pour le seul transport aérien, le dispositif PNR a été étendu ces dernières années au transport maritime, puis ferroviaire. Les articles L. 232-1 à L. 232-7-1 du code de la sécurité intérieure (CSI) autorisent aujourd’hui la collecte des données d’enregistrement et de réservation pour le transport aérien et le transport maritime. En revanche, seules les données d’enregistrement peuvent être collectées pour le transport ferroviaire. Par ailleurs, si le cadre législatif et règlementaire est pleinement en vigueur pour le transport aérien, le cadre règlementaire est en cours de finalisation pour le transport maritime et doit encore être défini pour le transport ferroviaire.

En outre, l’extension de ce dispositif au transport maritime, par l'article 14 de la loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme, à travers l'article L. 232-7-1 du code de la sécurité intérieure […] [ tiens donc… on retrouve encore une loi de sortie de l'état d'urgence ]

La présente disposition [ collecte des données des membres d'équipage ] a vocation à s’appliquer à toutes les compagnies de transport opérant des vols en provenance et à destination de la France, extra et intra-européens, ainsi que les déplacements en provenance et à destination des collectivités d’outre-mer ainsi que dans les ports français pour les passagers et gens de mer de toutes nationalités, au départ et à l’arrivée des liaisons France/France, des liaisons France/étranger ou étranger/France, à bord de tous navires battant pavillon français ou étranger.

Les finalités vont au-delà de l'arrêt de la CJUE, tombé quelques mois après la création de l'agence et l'étude d'impact de la première monture de la LOPMI 2023, qui juge que les seules finalités du PNR, pour les vols extra-UE, sont la lutte contre le terrorisme et la criminalité grave, et qui interdit toute collecte et traitement généralisé des vols intra-UE et des déplacements par d'autres moyens au sein de l'UE sauf menace terro réelle et actuelle ou prévisible (sinon il faut surveiller "uniquement" des liaisons / ports / gares / aéroports craignos et/ou des schémas de déplacement). L'étude d'impact de la LOPMI 2023 rappelle cela… donc se contredit : « Le dispositif PNR ne pouvant se concevoir que dans le domaine des déplacements internationaux ».

Je suis également d'accord avec Next Inpact sur le fait que le décret de création de l'ANDV parle aussi des transports terrestres, qui englobent plus large que le ferroviaire (ex. : bus).

Bref, affaire à suivre.

#fichier #passenger name record

Pas conforme au RGPD.

Je n'ai jamais compris pourquoi valider un abonnement à chaque trajet. Je l'ai payé pour le jour, le mois, l'année, etc. pour un nombre illimité de transports… Bien sûr, je devine l'intérêt : exiger des conducteurs et des usagers (réprobation sociale) qu'ils jouent aussi les contrôleurs, comme ça, ça réduit les coûts de main d'œuvre. Et comme ils ne peuvent pas différencier, sans machine, un abonné d'un paiement au trajet d'un paiement au trajet non réglé bah…

Sans le mettre en avant, les transporteurs proposent des titres de transport dits déclaratifs. Les trajets sont enregistrés, mais ils ne sont prétendument pas reliés à une identité (donc une photo sur la carte est obligatoire afin d'en déterminer le détenteur…). Pourtant, un abonnement est lié à des infos de facturation (qui vont contenir le numéro de la carte ou autre identifiant qui permet de justifier l'encaissement d'une somme d'argent, ne serait-ce que pour contestation), qui, elles-même peuvent être liées à des infos de paiement (CB). La CNIL s'en satisfait alors que, pour moi, ça sent la ré-identification par recoupement, notamment avec les caméras et la facturation. Les titres de transport anonymes, donc sans abonnement, ne proposent pas le même niveau de service (coût, temps pour l'acquisition, etc.). Elle préconise une durée de conservation de 48 h (la durée du trajet serait largement suffisante), et elle propose une méthode d'anonymisation qui, dans un cas (suppression du numéro de la carte) reste vulnérable à la ré-identification.

Toute la question est de savoir derrière quelle base légale et quelle finalité ranger la validation d'un abonnement. Exécution du contrat ? Ben non, la transaction monétaire et la prestation de transport ont lieu sans. Intérêt légitime à lutter contre la fraude ou à analyser la fréquentation, améliorer le réseau, blablabla ? Quelle nécessité (l'exploitant du réseau sait combien il y a d'abonnés et si tel abonnement est payé, notamment pour moduler les subventions, mais reste la modulation du service qui pourrait se faire par voie déclarative des chauffeurs) et quelle proportionnalité ? Consentement ? L'exploitant ne peut pas refuser de contracter (le refus de consentir doit entraîner aucune conséquence négative), donc ça sert à rien. Les autres bases légales ne sont pas applicables.

Pop-corn dans les années à venir ? Je l'espère.

#bus #transport en commun

• Pour traiter une plainte, elle dispose d'un « large pouvoir d'appréciation » (gravité de l'infraction, sérieux des indices, contexte, intérêts des parties, etc.). De même, elle n'est « pas tenue de répondre à l'ensemble des circonstances de fait mises en avant par le requérant » (source, mais le Conseil d'État rappelle cela dans plusieurs décisions) ;
  
  
• Proportionnalité : « eu égard à la nature et au degré de gravité du manquement allégué, aux incertitudes entourant sa commission et sa persistance et à l'ampleur des moyens qui devraient être employés pour procéder à un contrôle sur place de l'orientation des caméras installées au domicile de M. C..., la CNIL n'a pas commis d'erreur manifeste d'appréciation en adressant un simple courrier d'avertissement à l'intéressé puis en clôturant la plainte dont elle était saisie » (source) ;
  
  
• Le RGPD et la loi Informatique et Libertés ne définissent pas tous les délais, notamment celui pour saisir la CNIL (suite au constat d'une infraction ou du refus opposé à l'exercice d'un droit), et le délai de traitement de la plainte par la CNIL. Dans le premier cas, la CNIL envoie parfois un email de refus. J'ignorais cette pratique, je n'ai jamais reçu cet email. Dans le deuxième cas, comme relaté ici, la CNIL doit informer tous les trois mois, l'absence d'information vaut décision implicite de rejet qui se conteste devant le Conseil d'État dans un délai d'un an (fixé par la jurisprudence en l'absence d'un accusé de réception en bonne forme, cf. R112-5 du CRPA). Application concrète par le Conseil d'État. Que se passerait-il si la CNIL informait tous les trois mois (empêchant ainsi la naissance de la décision implicite de rejet permettant de contester son action) ? Y aurait-il un délai raisonnable au-delà duquel il serait possible de saisir le Conseil d'État en application de l'article 6 de la CEDH ? En tout cas, en phase d'enquête, la CNIL se prévaut d'un délai raisonnable. D'un autre côté, l'association noyb, qui a des plaintes vieilles de plusieurs années n'a pas utilisé ce levier. Par choix ou parce qu'il n'existe pas ?

Dernière fournée de pratiques interdites (dark patterns) par les APD et le CEPD en matière de bandeau cookie.

Piratage (y compris phishing), perte/vol d'un équipement, divulgation verbale, données envoyées au mauvais correspondant, etc.

Uniquement ce qui est déclaré à la CNIL (oui, y'a obligation, mais bon…).

+ https://web.developpez.com/actu/333846/Facebook-n-aurait-aucune-idee-de-ce-qu-il-advient-des-donnees-des-utilisateurs-et-doit-maintenant-repondre-a-de-nombreuses-personnes-qui-considerent-cette-question-comme-fondamentale/

Aux personnes qui nous expliquent que Facebook, comme tout GAFAM, sait répondre aux demandes d'accès RGPD, trace l'utilisation des données et détecte les abus, etc.

L'article dit bien que ce n'est pas cloisonné entre services (ce qui pourrait expliquer l'ignorance des témoins), donc il ne s'agit pas d'une complexité voulue mais subie, par absence de culture de la documentation et d'absence d'une institutionnalisation du cycle de vie de la donnée.

Qu'on se rassure, c'est bien pareil dans nos sociétés commerciales franchouillardes, de la TPE à la multinationale.

Developpez.com n'est pas fiable, mais il ressort un PDF interne de Facebook.

Un décret de 2022 permet de croiser les fichiers Hopsy, devenu Hopsyweb (hospitalisation sans consentement en psychiatrie) et FSPRT (radicalisation terroriste, à ne pas confondre avec le FPR et ses fiches S).

Car, c'est bien connu, les terroristes sont des fous. Il n'a pas de problème politique, ce sont juste des fous, on y peut rien, il faut juste gérer. Les études ne le montrent pas ce lien de causalité mais bon…

Puis il y a eu élargissement de la consultation par une myriade de services, au niveau national (avant, seuls les préfets pouvaient consulter), qui, de fait, accèdent à des données de santé mentale.

Comme d'habitude, cela a été progressif : interconnexion en 2019, validation par le Conseil d'État en 2020, élargissement par la loi renseignement 2 de 2021 (après le meurtre d'une flic à Rambouillet) et un décret de 2022.

Hopsyweb s'est mué en casier psychiatrique analogue au casier judiciaire, en gros.

+ https://blog.davidlibeau.fr/tout-comprendre-sur-le-droit-dacces-aux-videos-de-cameras-de-surveillance/

Extrêmement générique (pas détaillé).

Je suis sceptique sur un point : si le Recueil des Actes Administratif (RAA) d'une préfecture est un recueil de documents numérisés empêchant toute recherche automatisée, le guide préconise de faire une demande CADA. Or, le L311-2 du CRPA dispose qu'il est impossible de demander un document déjà publié. Peut-être en précisant la modalité « standard ouvert aisément réutilisable » (prévu par le L300-4 CRPA) ? Mais le L311-9 CRPA, qui fixe les modalités d'accès qui peuvent être demandées, ne le prévoit pas. De plus, la probabilité est forte que l'administration dise ne pas détenir le document demandé (le scan permet d'ajouter la signature du patron).

Une Cour d'appel espagnole avait jugé que les données de localisation d'un téléphone sont communicables au propriétaire de la ligne.

Une Cour autrichienne décide de l'inverse : comment déterminer que le téléphone était porté par le proprio de la ligne, et que celui-ci est bien l'auteur de la demande d'accès, autrement dit qu'il ne s'agit pas d'une tentative d'espionnage par un conjoint jaloux ou un parent poule ?

Il y a de la mauvaise foi (le propriétaire d'une ligne sera très souvent son utilisateur, et la facturation, qui montre tous les appels et SMS est intrusive…), mais la question de la preuve est intéressante.

Today, the Court of Justice of the European Union (CJEU) issued the first judgment on emotional damages under the GDPR, confirming that the GDPR does not require a "threshold" for damages. The other demands by the Court are the typical requirements for any damages claim. [ prouver la causalité entre une infraction et un dommage ]

Arrêt CJUE C-300/21.

#CJUE #RGPD