Annoncé depuis novembre 2009 par Bruxelles, le renforcement des mesures de sécurité (et de rétorsion…) vient de se matérialiser via l’ordonnance n° 2011-1012 du 24 août 2011 relative aux communications électroniques du “paquet Télécom”, notamment à travers l’article 38.
En bref, un FAI doit dorénavant avertir la CNIL, et le cas échéant l’intéressé, en cas de “disparition” d’informations à caractère personnel.
Les paris sont ouverts : QUI sera le premier à passer au “20 heures”, pour expliquer que, bon, bah, euh, comment dire….on a paumé des trucs !
Les détails du texte : (notez au passage le “susvisée”…j’adore !)
Il est inséré, après l’article 34 de la loi du 6 janvier 1978 susvisée, un article 34 bis ainsi rédigé :
- I. ― Le présent article s’applique au traitement des données à caractère personnel mis en œuvre dans le cadre de la fourniture au public de services de communications électroniques sur les réseaux de communications électroniques ouverts au public, y compris ceux prenant en charge les dispositifs de collecte de données et d’identification. Pour l’application du présent article, on entend par violation de données à caractère personnel toute violation de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données à caractère personnel faisant l’objet d’un traitement dans le cadre de la fourniture au public de services de communications électroniques.
- II. ― En cas de violation de données à caractère personnel, le fournisseur de services de communications électroniques accessibles au public avertit, sans délai, la Commission nationale de l’informatique et des libertés. Lorsque cette violation peut porter atteinte aux données à caractère personnel ou à la vie privée d’un abonné ou d’une autre personne physique, le fournisseur avertit également, sans délai, l’intéressé.
La notification d’une violation des données à caractère personnel à l’intéressé n’est toutefois pas nécessaire si la Commission nationale de l’informatique et des libertés a constaté que des mesures de protection appropriées ont été mises en œuvre par le fournisseur afin de rendre les données incompréhensibles à toute personne non autorisée à y avoir accès et ont été appliquées aux données concernées par ladite violation.
A défaut, la Commission nationale de l’informatique et des libertés peut, après avoir examiné la gravité de la violation, mettre en demeure le fournisseur d‘informer également les intéressés.
- III. ― Chaque fournisseur de services de communications électroniques tient à jour un inventaire des violations de données à caractère personnel, notamment de leurs modalités, de leur effet et des mesures prises pour y remédier et le conserve à la disposition de la commission.
A ce jour, cette ordonnance impacte essentiellement les fournisseurs d’accès à internet (pas seulement les telcos…), mais il faut s’attendre à un élargissement à d’autres secteurs d’activités (banque, grande distribution, santé…), comme l’annonçait récemment Vivian Reding devant un parterre de banquiers :
Je comprends que l’introduction d’une telle notification systématique serait un fardeau pour certains d’entre vous dans le secteur bancaire. Toutefois, l’obligation de rendre public une perte importante d’informations est nécessaire et améliorerait la confiance des consommateurs.
Bon, cela dit tout va bien, des solutions existent, qui doivent prendre en compte les aspects humains, procéduraux et technologiques.
Il faut juste prendre les choses au sérieux et traiter l’information à sa juste valeur…enfin.
Et pour ceux qui aurait oublié (!)…un rappel sur ce qu’est une ordonnance en droit constitutionnel.
