Enceintes connectées : la CNIL publie un guide des bonnes pratiques

Enceintes connectées : la CNIL publie un guide des bonnes pratiques

[:fr]Une enceinte intelligente trônera-t-elle sous votre sapin cette année ? Accessoires high-tech en vogue, l’utilisation de ces enceintes n’est pas sans risque pour la sécurité des données des utilisateurs.

Dotées d’un haut-parleur et d’un micro qui intègre un assistant vocal, les enceintes connectées répondent aux questions, communiquent la météo, le cours de la Bourse, lancent la musique, mettent à jour l’agenda… Seulement, pour effectuer toutes ces tâches, l’enceinte, en veille permanente, enregistre des conversations et stockent des informations dans le cloud.

La CNIL a publié le 5 décembre 2017 un guide de bonnes pratiques afin de sensibiliser à l’usage de tels appareils, notamment en présence d’enfants dans le foyer.

La CNIL recommande ainsi de :
– Encadrer les interactions des enfants avec ce type d’appareils (rester dans la pièce, éteindre le dispositif lorsqu’on n’est pas avec eux) ;
– Couper le micro / éteindre l’appareil lorsque l’on ne s’en sert pas où lorsqu’on ne souhaite pas pouvoir être écouté ;
– Avertir des tiers/invités de l’enregistrement potentiel des conversations (ou couper le micro lorsqu’il y a des invités)
– Vérifier que l’enceinte est bien réglée par défaut pour filtrer les informations à destination des enfants.

La CNIL alerte les utilisateurs sur le fait que les informations collectées par l’appareil sont susceptibles de venir enrichir leur profil publicitaire.

La recommandation de la CNIL est disponible dans son intégralité ici : https://www.cnil.fr/fr/enceintes-intelligentes-des-assistants-vocaux-connectes-votre-vie-privee

 [:en]Une enceinte intelligente trônera-t-elle sous votre sapin cette année ? Accessoires high-tech en vogue, l’utilisation de ces enceintes n’est pas sans risque pour la sécurité des données des utilisateurs.

Dotées d’un haut-parleur et d’un micro qui intègre un assistant vocal, les enceintes connectées répondent aux questions, communiquent la météo, le cours de la Bourse, lancent la musique, mettent à jour l’agenda… Seulement, pour effectuer toutes ces tâches, l’enceinte, en veille permanente, enregistre des conversations et stockent des informations dans le cloud.

La CNIL a publié le 5 décembre 2017 un guide de bonnes pratiques afin de sensibiliser à l’usage de tels appareils, notamment en présence d’enfants dans le foyer.

La CNIL recommande ainsi de :
– Encadrer les interactions des enfants avec ce type d’appareils (rester dans la pièce, éteindre le dispositif lorsqu’on n’est pas avec eux) ;
– Couper le micro / éteindre l’appareil lorsque l’on ne s’en sert pas où lorsqu’on ne souhaite pas pouvoir être écouté ;
– Avertir des tiers/invités de l’enregistrement potentiel des conversations (ou couper le micro lorsqu’il y a des invités)
– Vérifier que l’enceinte est bien réglée par défaut pour filtrer les informations à destination des enfants.

La CNIL rappelle par ailleurs aux utilisateurs que les informations collectées par l’appareil sont susceptibles de venir enrichir leur profil publicitaire.

La recommandation de la CNIL est disponible dans son intégralité ici : https://www.cnil.fr/fr/enceintes-intelligentes-des-assistants-vocaux-connectes-votre-vie-privee

 [:]

Jouets connectés: la CNIL met en demeure la société fabriquant la poupée Cayla et le robot « I-QUE » pour défaut de sécurité et défaut d’information

Jouets connectés: la CNIL met en demeure la société fabriquant la poupée Cayla et le robot « I-QUE » pour défaut de sécurité et défaut d’information

[:fr]Noël et sa liste de cadeaux plus ou moins technologiques…

L’an dernier, nous avions relayé l’alerte lancée par l’association européenne de défense des consommateurs (BEUC) sur le défaut de sécurité de plusieurs jouets connectés.

Un an plus tard, la CNIL a rendu publique une mise en demeure à l’encontre d’une société de droit Hong-Kongais qui fabrique une poupée et un robot connecté.

Après vérifications en janvier, mars et novembre 2017, la CNIL a relevé plusieurs manquements à la loi Informatique et Libertés.

  • La CNIL a notamment constaté l’absence de sécurisation des jouets : une personne possédant un dispositif équipé d’un système de communication Bluetooth peut se connecter, à l’insu des enfants et des propriétaires des jouets, et avoir accès aux discussions échangées voire diffuser des sons ou propos via le jouet. La CNIL estime ainsi qu’un tel jouet méconnait l’article 1er de la loi Informatique et Libertés selon lequel l’Informatique « ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».

 

  • Les contrôleurs de la CNIL ont également constaté que la société fabricante collecte de nombreuses informations personnelles sur les enfants et leur entourage notamment dans le cadre d’un formulaire de l’application « My Friend Cayla App » mais également directement auprès du jouet (voix, contenu des conversations échangées avec le jouet), ces dernières étant transférées auprès d’un prestataire de service situé hors de l’Union européenne. Or, les utilisateurs des jouets n’ont pas été informés des traitements ainsi mis en œuvre ni du transfert des données hors UE.

Au regard de l’atteinte à la vie privée constatée, de la particulière vulnérabilité du public concerné et de la nécessité d’informer les personnes de cette absence de sécurisation, la Présidente de la CNIL a mis en demeure la société GENESIS INDUSTRIES LIMITED de se conformer à la loi française dans un délai de deux mois. Le Bureau de la CNIL a décidé de rendre publique cette mise en en demeure.

A noter : Le Règlement européen 2016/679 sur la protection des données personnelles adopté le 27 avril 2016 (dit « RGPD » ou « GDPR ») qui entrera en application le 25 mai 2018 renforce l’obligation d’information à la charge du responsable de traitement (information claire et précise notamment sur l’utilisation qui sera faite des données) ainsi que les modalités de recueil du consentement.
Lorsque la personne concernée est un mineur de moins de 16 ans (le RGPD laisse la possibilité aux Etats membres d’abaisser à 13 ans cet âge), le responsable de traitement doit s’efforcer raisonnablement de vérifier que le consentement est donné par le titulaire de l’autorité parentale, compte tenu des moyens technologiques disponibles.

Par ailleurs, le Règlement impose au responsable de traitement de notifier les violations de données à caractère personnel à la CNIL et d’informer la personne concernée de toute violation de ses données lorsque celle-ci est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique. Cette information doit être claire et simple. Le Règlement prévoit des dérogations à cette information individuelle, notamment lorsque cette communication exigerait des efforts disproportionnés, auquel cas, il devrait être procédé à une communication publique.

Enfin, le RGPD accroit sensiblement les sanctions en cas de non-conformité : jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.

Les décisions de la CNIL sont disponibles ici : https://www.cnil.fr/sites/default/files/atoms/files/deliberation-med-2017-295.pdf

https://www.cnil.fr/sites/default/files/atoms/files/decision-med-2017-073.pdf

 [:en]Noël et sa liste de cadeaux plus ou moins technologiques…

L’an dernier, nous avions relayé l’alerte lancée par l’association européenne de défense des consommateurs (BEUC) sur le défaut de sécurité de plusieurs jouets connectés.

Un an plus tard, la CNIL a rendu publique une mise en demeure à l’encontre d’une société de droit Hong-Kongais qui fabrique une poupée et un robot connecté.

Après vérifications en janvier, mars et novembre 2017, la CNIL a relevé plusieurs manquements à la loi Informatique et Libertés.

  • La CNIL a notamment constaté l’absence de sécurisation des jouets : une personne possédant un dispositif équipé d’un système de communication Bluetooth peut se connecter, à l’insu des enfants et des propriétaires des jouets, et avoir accès aux discussions échangées voire diffuser des sons ou propos via le jouet. La CNIL estime ainsi qu’un tel jouet méconnait l’article 1er de la loi Informatique et Libertés selon lequel l’Informatique « ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».

 

  • Les contrôleurs de la CNIL ont également constaté que la société fabricante collecte de nombreuses informations personnelles sur les enfants et leur entourage notamment dans le cadre d’un formulaire de l’application « My Friend Cayla App » mais également directement auprès du jouet (voix, contenu des conversations échangées avec le jouet), ces dernières étant transférées auprès d’un prestataire de service situé hors de l’Union européenne. Or, les utilisateurs des jouets n’ont pas été informés des traitements ainsi mis en œuvre ni du transfert des données hors UE.

Au regard de l’atteinte à la vie privée constatée, de la particulière vulnérabilité du public concerné et de la nécessité d’informer les personnes de cette absence de sécurisation, la Présidente de la CNIL a mis en demeure la société GENESIS INDUSTRIES LIMITED de se conformer à la loi française dans un délai de deux mois. Le Bureau de la CNIL a décidé de rendre publique cette mise en en demeure.

A noter : Le Règlement européen 2016/679 sur la protection des données personnelles adopté le 27 avril 2016 (dit « RGPD » ou « GDPR ») qui entrera en application le 25 mai 2018 renforce l’obligation d’information à la charge du responsable de traitement (information claire et précise notamment sur l’utilisation qui sera faite des données) ainsi que les modalités de recueil du consentement.
Lorsque la personne concernée est un mineur de moins de 16 ans (le RGPD laisse la possibilité aux Etats membres d’abaisser à 13 ans cet âge), le responsable de traitement doit s’efforcer raisonnablement de vérifier que le consentement est donné par le titulaire de l’autorité parentale, compte tenu des moyens technologiques disponibles.

Par ailleurs, le Règlement impose au responsable de traitement de notifier les violations de données à caractère personnel à la CNIL et d’informer la personne concernée de toute violation de ses données lorsque celle-ci est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique. Cette information doit être claire et simple. Le Règlement prévoit des dérogations à cette information individuelle, notamment lorsque cette communication exigerait des efforts disproportionnés, auquel cas, il devrait être procédé à une communication publique.

Enfin, le RGPD accroit sensiblement les sanctions en cas de non-conformité : jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.

Les décisions de la CNIL sont disponibles ici : https://www.cnil.fr/sites/default/files/atoms/files/deliberation-med-2017-295.pdf
https://www.cnil.fr/sites/default/files/atoms/files/decision-med-2017-073.pdf[:]

La CNIL publie un pack de conformité relatif aux véhicules connectés et aux données personnelles

La CNIL publie un pack de conformité relatif aux véhicules connectés et aux données personnelles

[:fr]

Faisant suite aux « packs de conformité » publiés dans les domaines des compteurs communicants, le logement social ou encore l’assurance, la CNIL a publié le 17 octobre 2017 le pack de conformité sectoriel relatif aux « véhicules connectés et données personnelles ».

Fruit de plusieurs mois de réflexion et de concertation avec les acteurs de la filière automobile, des acteurs de l’assurance, des télécoms et les autorités publiques, ce référentiel sectoriel permet aux professionnels de se mettre en conformité avec le règlement européen sur la protection des données, applicable à partir du 25 mai 2018.

Le pack s’applique aux véhicules connectés, c’est-à-dire aux véhicules qui communiquent avec l’extérieur (applications mobiles, autres véhicules, infrastructure, etc.) et ne couvre que les seuls usages privés, à l’exclusion de l’utilisation de véhicules de fonction mis à disposition de salariés par leur employeur.

Parmi les données personnelles collectées, certaines sont directement identifiantes, comme le nom du conducteur. D’autres sont indirectement identifiantes telles que : le détail des trajets effectués, les données d’usage du véhicule (par exemple, les données relatives au style de conduite ou au nombre de kilomètres parcourus) ou les données techniques du véhicule (par exemple, les données relatives à l’état d’usure des pièces).

Les données sont collectées via les capteurs des véhicules, les boîtiers télématiques ou les applications mobiles et peuvent être traitées à bord des véhicules ou exportées vers un serveur centralisé.

Le pack de conformité distingue trois hypothèses selon que (i) les données collectées dans le véhicule restent dans le véhicule sans transmission au fournisseur de services (Scénario « IN => IN »), (ii) les données collectées dans le véhicule sont transmises à l’extérieur pour fournir un service à la personne concernée (par exemple dans le cadre d’un contrat d’assurance « pay as you drive », fourniture du service e-call, ou géolocalisation du véhicule en cas de vol) (Scénario « IN => OUT »), (iii): les données collectées dans le véhicule sont transmises à l’extérieur pour déclencher une action automatique dans le véhicule (exemple : « Infotrafic » dynamique avec calcul d’un nouvel itinéraire suite à un incident sur la route) (Scénario n° 3 « IN => OUT => IN »).

Pour chaque scénario, la CNIL émet des lignes directrices afin de se conformer à la réglementation en matière de données à caractère personnel et recommande, notamment, les mesures de sécurité à mettre en place.

Le pack de conformité « véhicule connecté et données personnelles » est disponible ici : https://www.cnil.fr/sites/default/files/atoms/files/pack_de_conformite_vehicule_connecte.pdf

[:en]

Faisant suite aux « packs de conformité » publiés dans les domaines des compteurs communicants, le logement social ou encore l’assurance, la CNIL a publié le 17 octobre 2017 le pack de conformité sectoriel relatif aux « véhicules connectés et données personnelles ».

Fruit de plusieurs mois de réflexion et de concertation avec les acteurs de la filière automobile, des acteurs de l’assurance, des télécoms et les autorités publiques, ce référentiel sectoriel permet aux professionnels de se mettre en conformité avec le règlement européen sur la protection des données, applicable à partir du 25 mai 2018.

Le pack s’applique aux véhicules connectés, c’est-à-dire aux véhicules qui communiquent avec l’extérieur (applications mobiles, autres véhicules, infrastructure, etc.) et ne couvre que les seuls usages privés, à l’exclusion de l’utilisation de véhicules de fonction mis à disposition de salariés par leur employeur.

Parmi les données personnelles collectées, certaines sont directement identifiantes, comme le nom du conducteur. D’autres sont indirectement identifiantes telles que : le détail des trajets effectués, les données d’usage du véhicule (par exemple, les données relatives au style de conduite ou au nombre de kilomètres parcourus) ou les données techniques du véhicule (par exemple, les données relatives à l’état d’usure des pièces).

Les données sont collectées via les capteurs des véhicules, les boîtiers télématiques ou les applications mobiles et peuvent être traitées à bord des véhicules ou exportées vers un serveur centralisé.

Le pack de conformité distingue trois hypothèses selon que (i) les données collectées dans le véhicule restent dans le véhicule sans transmission au fournisseur de services (Scénario « IN => IN »), (ii) les données collectées dans le véhicule sont transmises à l’extérieur pour fournir un service à la personne concernée (par exemple dans le cadre d’un contrat d’assurance « pay as you drive », fourniture du service e-call, ou géolocalisation du véhicule en cas de vol) (Scénario « IN => OUT »), (iii): les données collectées dans le véhicule sont transmises à l’extérieur pour déclencher une action automatique dans le véhicule (exemple : « Infotrafic » dynamique avec calcul d’un nouvel itinéraire suite à un incident sur la route) (Scénario n° 3 « IN => OUT => IN »).

Pour chaque scénario, la CNIL émet des lignes directrices afin de se conformer à la réglementation en matière de données à caractère personnel et recommande, notamment, les mesures de sécurité à mettre en place.

Le pack de conformité « véhicule connecté et données personnelles » est disponible ici : https://www.cnil.fr/sites/default/files/atoms/files/pack_de_conformite_vehicule_connecte.pdf

[:]

Jouets connectés – l’association européenne de défense des consommateurs (BEUC) attire l’attention des consommateurs sur les risques de sécurité

Jouets connectés – l’association européenne de défense des consommateurs (BEUC) attire l’attention des consommateurs sur les risques de sécurité

[:fr]

Une poupée connectée figure sur la liste au Père Noël de vos enfants?

Soyez vigilants sur les risques de sécurité : l’association européenne de défense des consommateurs (BEUC) attire l’attention des consommateurs sur :
– les risques d’espionnage par le biais des connexions Bluetooth de la poupée : il est facilement possible de prendre le contrôle de la poupée via un téléphone à proximité et d’ainsi écouter et parler au travers de la poupée) ;
– l’utilisation des données personnelles qui est faite par les vendeurs de ces poupées : outre l’utilisation potentiellement commerciale des données, celles-ci sont transférées à la société américaine Nuance communications spécialisée dans la reconnaissance vocale qui se réserve le droit de partager les données avec des tiers ;
– le marketing ciblé de ces produits pré-programmés avec des messages publicitaires cachés.

Le communiqué de presse du BEUC est disponible ici (en anglais) : http://www.beuc.eu/publications/consumer-organisations-across-eu-take-action-against-flawed-internet-connected-toys/html

[:en]

Une poupée connectée figure sur la liste au Père Noël de vos enfants?

Soyez vigilants sur les risques de sécurité : l’association européenne de défense des consommateurs (BEUC) attire l’attention des consommateurs sur :
– les risques d’espionnage par le biais des connexions Bluetooth de la poupée : il est facilement possible de prendre le contrôle de la poupée via un téléphone à proximité et d’ainsi écouter et parler au travers de la poupée) ;
– l’utilisation des données personnelles qui est faite par les vendeurs de ces poupées : outre l’utilisation potentiellement commerciale des données, celles-ci sont transférées à la société américaine Nuance communications spécialisée dans la reconnaissance vocale qui se réserve le droit de partager les données avec des tiers ;
– le marketing ciblé de ces produits préprogrammés avec des messages publicitaires cachés.

Le communiqué de presse du BEUC est disponible ici (en anglais) : http://www.beuc.eu/publications/consumer-organisations-across-eu-take-action-against-flawed-internet-connected-toys/html

[:]