Expertises des Systèmes d'information - Septembre 2021 - N°471 - Le mensuel du droit de l'informatique et du multimédia - 291

AMAZON SUSPEND NSO
NSO Group, créateur du logiciel de surveillance des
téléphones mobiles Pegasus, s'appuie sur l'offre AWS
CloudFront (CDN) pour livrer ses premières attaques.
Après cette découverte, le fournisseur de cloud a
vite réagi en annonçant dans un communiqué « la
fermeture de toutes les infrastructures et les comptes
Ratification du protocole
d'amendement
de la convention 108
Le projet de loi autorisant la ratification
du protocole d'amendement à
la convention pour la protection des
personnes à l'égard du traitement
automatisé des données à caractère
personnel dite convention 108
du Conseil de l'Europe a été adopté
par le Sénat le 13 juillet dernier et
transmis à l'Assemblée nationale. Le
concernés », reconnaissant ainsi explicitement le lien
contractuel entre AWS et NSO Group. En France, ce
dernier disposerait de 35 serveurs chez l'hébergeur
OVH mais Amnesty International constate que NSO
Group utilise principalement les datacenters européens
gérés par des opérateurs américains pour gérer
une grande partie de l'infrastructure d'attaque de
ses clients.
premier objectif du projet consiste
à moderniser un texte qui date de
1981 et son protocole additionnel
de 2001. Cet exercice de modernisation
a été conduit parallèlement
et en cohérence avec les travaux de
modernisation du cadre juridique
de l'Union européenne en matière
de protection des données personnelles
avec le RGPD. Le second
objectif du protocole d'amendement
consiste à renforcer les garanties de
mise en œuvre effective des règles
3ÈME RECOURS DE MAX SCHREMS
DEVANT LA CJUE CONTRE FACEBOOK
La Cour suprême autrichienne a accepté de transmettre
une série de questions préjudicielles à la Cour
de justice de l'Union européenne (CJUE), à la demande
de Max Schrems, président de l'association None of
your busines (Noyb) et à l'origine des deux derniers
arrêts de la CJUE contre Facebook, qui se sont traduits
par l'invalidation du Safe Harbor et du Privacy Field.
La Cour suprême autrichienne pose d'abord la question
de la base légale utilisée par Facebook pour traiter
conventionnelles. La réalisation
de cet objectif passe, au niveau
national, par le renforcement des
pouvoirs et des garanties d'indépendance
des autorités de contrôle
et, au niveau international, par l'attribution
de nouvelles fonctions au
Comité conventionnel de la convention
108,
telle que l'évaluation de
l'efficacité de la mise en œuvre de la
convention par chacune des parties
et l'émission de recommandations
en la matière.
les données personnelles. Avant l'entrée en vigueur du
RGPD, Facebook avait fait valoir que les utilisateurs lui
avaient donné leur consentement. Depuis, Facebook a
renoncé à invoquer ce fondement, devenu trop contraignant
avec le RGPD et préfère se baser sur le contrat. Il
est par ailleurs demandé à la Cour européenne de se
déterminer sur la question de savoir si l'utilisation de
données personnelles provenant d'autres sources - tels
que la publicité ou le bouton « j'aime »- est compatible
avec le principe de minimisation des données. Deux
autres questions portent sur l'utilisation par Facebook
de données sensibles (comme les opinions politiques ou
l'orientation sexuelle) pour la publicité personnalisée.
ETUDE SUR LES OUTILS
D'ÉVALUATION D'IMPACT
ALGORITHMIQUE
Elisabeth Lehagre, chercheuse
indépendante a été mandatée par
Etalab pour réaliser une étude
internationale sur les outils d'évaluation
d'impact algorithmique.
L'étude publiée en juillet dernier
présente un regard critique sur
sept outils développés dans le
monde (Royaume-Uni, Canada,
Nouvelle Zélande, Etats-Unis et
Union européenne). Le premier
constat est celui de la diversité des
outils examinés car il n'existe pas
de modèle-type. Les évaluations
d'impact algorithmique prennent
des formes et des contenus variés.
La plupart des outils étudiés
cherchent à évaluer les impacts
individuels et sociaux, voire
sociétaux, des systèmes algorithmiques
mis en place. Certains
mettent
l'accent
sur
les droits
fondamentaux (droits et libertés
des personnes, droit à la vie privée,
non-discrimination).
choisissent un angle par domaine
d'impact
: bien-être,
santé,
environnement par exemple.
L'évaluation d'impact est-elle
suffisamment
l'auteure de
l'étude.
compréhensible
pour être utilisable ? s'interroge
ainsi
Les
difficultés de compréhension
peuvent être multiples : difficulté
à cerner de manière précise le
périmètre et l'objet de l'évaluation
(systèmes d'intelligence artificielle,
algorithmes, systèmes de
décision automatisée) mais aussi
les domaines d'impact (bien-être,
EXPERTISES SEPTEMBRE 2021
D'autres
droits et libertés des personnes).
La seconde interrogation concerne
l'auto-arbitrage. En effet, la très
grande majorité de ces outils ont
été pensés pour l'auto-évaluation
interne, où les personnes réalisant
l'exercice d'évaluation sont aussi
celles en charge de la conception
et du déploiement de ces outils.
Afin d'éviter les risques liés à
l'auto-arbitrage où les mêmes
acteurs sont potentiellement juge
et partie, plusieurs
recommandations
ont été développées, dont
l'importance de rendre publique
et transparente les évaluations
d'impact algorithmique. La
possibilité de faire participer des
tiers (pairs en interne ou experts
externes) à l'évaluation ou au
contrôle des systèmes est une
autre piste étudiée.
291
Expertises des Systèmes d'information - Septembre 2021 - N°471 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2021 - N°471 - Le mensuel du droit de l'informatique et du multimédia
