La loi Informatique et libertés plus contraignante pour les acteurs du net

Les cookies devront être acceptés préalablement par l'internaute et les failles de sécurité déclarées à la Cnil et inventoriées par l'opérateur.

Frédéric Bergé

01net.

le 22/09/11 à 11h50

laisser un avis

agrandir la photo

La France a transposé, par ordonnance datée du 24 août 2011, la directive européenne, dite Paquet Télécoms, qui modifie substantiellement la loi Informatique et libertés. Deux points d'importance ont évolué, qui vont modifier le quotidien des internautes et celui des opérateurs, des fournisseurs d'accès et des sites web.

Le premier point concerne l'obligation de notification en cas de violation de données personnelles rendues possibles par des failles de sécurité. « Les failles de sécurité qui entraînent de manière accidentelle ou illicite la perte, l'altération et l'accès non autorisé à des données à caractère personnel devront être systématiquement notifiées par les opérateurs à la Cnil », précise-t-on sur le site de la Commission. Seuls les fournisseurs de services de communications électroniques ouverts au public, c'est-à-dire, pour l'essentiel, les opérateurs déclarés auprès de l'Arcep, seront tenus par cette obligation. Se pose toutefois la question de savoir à qui elles s'appliqueront exactement, car la notion d'opérateur de services de communications électroniques est relativement floue....

Concrètement, l'opérateur doit tenir à disposition de la Cnil un inventaire des violations constatées, qui « doit comprendre les modalités et les effets provoqués par cette violation ainsi que les mesures prises pour y remédier », commente Hervé Gadabou, avocat associé chez Courtois Lebel. L'obligation de notification n'est toutefois pas nécessaire si la Cnil a constaté que des mesures de sécurisation appropriées (chiffrement des données…) ont été appliqués par le fournisseur, précise-t-il.

Pas d'acceptation tacite tolérée

agrandir la photo

La seconde modification apportée par l'ordonnance du 24 août a trait à l'acceptation de l'internaute, des microfichiers mouchards ( les cookies) téléchargés sur son terminal par les sites web sur lesquels il navigue. Elle devra être préalable, ce qui devrait modifier substantiellement les pratiques du marketing ciblé sur internet.

L'accord de l'internaute devra ainsi être associé à une information qui lui précisera, notamment, les mécanismes lui permettant, le cas échéant, de revenir ultérieurement sur sa décision et d'exprimer son refus. Selon la Commission, un paramétrage du navigateur acceptant tous les cookies sans distinguer leur finalité ne pourra pas être considéré comme un accord valablement exprimé.

Les moyens techniques permettant de satisfaire à ces obligations restent à déterminer. En effet, le texte précise seulement que l'accord de l'internaute « peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle ». Selon Hervé Gadabou, cela signifierait que « l'opérateur doit, en tout état de cause, modifier les conditions d'utilisation de son site pour remplir son devoir d'information, en intégrant les nouvelles dispositions imposées par l'ordonnance ». Du travail en perspective pour les webmasters...