Juridique

Les caméras de vidéosurveillance et le fichier des incidents de crédit dans le viseur de la CNIL

La CNIL craint des usages déraisonnés et abusifs des dispositifs de vidéosurveillance adossés à des algorithmes d’IA. (Crédit : Peggy et Marco Lachmann-Anke, Pixabay)

La Cnil a annoncé ses priorités pour 2023 et elles sont nombreuses. Elle indique vouloir se concentrer sur l'utilisation de caméras « augmentées » par les acteurs publics, l'utilisation du fichier des incidents de crédit aux particuliers ou encore la gestion des dossiers de santé et les applications mobiles.

PublicitéChaque année, la CNIL conduit des centaines de contrôles (345 en 2022) qui peuvent faire suite à des plaintes, des signalements de violations de données ou des événements dans l'actualité. 2023 ne fera pas exception, puisque l'organisme de contrôle a décidé d'orienter sa politique de contrôle sur des sujets à fort enjeux pour le public. Au programme : l'utilisation des caméras dites « augmentées », l'utilisation du fichier des incidents de crédit aux particuliers ainsi que la gestion des dossiers de santé et les applications mobiles. La Cnil souhaite ainsi s'assurer que les bonnes pratiques sont bel et bien appliquées et que les secteurs choisis sont bien en conformité avec la loi et ses recommandations.

Le premier point, qui concerne le développement de caméras dites « augmentées » notamment par des collectivités territoriales, est peut-être celui auquel la Cnil est le plus attaché. En effet, elle a fait de cette thématique un axe prioritaire de son plan stratégique 2022-2024. Cela se traduit par la mise en oeuvre d'une série d'actions qui comportent un accompagnement des acteurs privés et publics, mais aussi la réalisation de contrôles.

Fichier des incidents de crédit : des données sensibles

L'organisme admet par ailleurs que de nombreuses questions lui sont régulièrement posées à ce sujet. En effet, le recours à ces dispositifs est notamment prévu dans le cadre de manifestations sportives de grande ampleur prévues en 2023 (Coupe du monde de rugby) et en 2024 (Jeux olympiques à Paris). La Cnil a ainsi organisé une consultation publique avant de prendre position sur cette technologie.

Concernant l'utilisation du fichier des incidents de crédit aux particuliers (FICP) de la Banque de France, l'enjeu est également fort puisque les informations recensées peuvent constituer un frein pour les personnes impactées dans leurs démarches futures ainsi que lors de leurs échanges avec les banques. Pour rappel, ce fichier contient des informations sur les incidents de paiement caractérisés liés aux découverts et aux crédits accordés pour des besoins non professionnels, ainsi que les informations relatives aux situations de surendettement. Sa consultation par les banques est obligatoire, notamment avant tout octroi de crédit. Les contrôles effectués par la Cnil porteront sur « les conditions dans lesquelles les banques accèdent au fichier, en extraient des informations et le tiennent à jour après régularisation des incidents de paiement » précise-t-elle.

L'e-dossier patient également dans le viseur

PublicitéLa Cnil et le ministère en charge de la santé ont, ces dernières années, échangé à de nombreuses reprises sur la sécurité des données de santé, par exemple concernant la politique générale de sécurité des systèmes d'information en santé (PGSSI-S), le dossier médical partagé (DMP), la carte de professionnel de santé (CPS-eCPS), le service « pro Santé connect », rappelle l'organisme. La sécurité des données de santé a également été au coeur des préoccupations lors de la crise liée à la pandémie de Covid-19. Ainsi, c'est sans grande surprise que cette thématique est retenue au titre de sujet de contrôle en 2023, comme en 2020 et en 2021. La Cnil indique que des vérifications ont déjà été faites sur l'accès au dossier patient informatisé (DPI) en 2022 et se poursuivront cette année, notamment en raison des plaintes reçues dénonçant des accès par des tiers non autorisés à des DPI au sein d'établissements de santé.

Apps : traquer la récupération systématique des identifiants

Du côté du traçage des utilisateurs par les applications mobiles, la Cnil souhaite poursuivre le travail déjà effectué sur des applications qui accèdent aux identifiants générés par les systèmes d'exploitation mobiles en l'absence de consentement des utilisateurs. Cela fait suite à la modification de la recommandation sur l'utilisation de cookies et autres traçeurs. Pour rappel, elle cible ce qu'elle appelle « l'usage systématique des identifiants » mis à disposition des éditeurs d'apps par les fabricants de téléphones. Cette pratique est vue comme un équivalent « mobile » de l'utilisation massive des cookies sur les sites web et s'effectue bien souvent sans l'information ou le consentement des utilisateurs. Fin novembre 2022, elle annonçait un plan d'action visant à rappeler à l'ordre le secteur et informer les utilisateurs des dangers existants. Plus récemment, en janvier, elle a lancé un appel à contributions portant sur l'exploration économique de cet écosystème des apps mobiles.