AgentPublic/cnil huggingface dataset:
Compte tenu du caractère particulièrement intrusif des données partagées et de leur volume important, tous les organismes impliqués dans le partage devraient se coordonner afin de sélectionner les données strictement nécessaires à l’atteinte des finalités recherchées, comme recommandé notamment aux paragraphes 28 à 31 et 88 de la recommandation. La granularité des requêtes disponibles pour les réutilisateurs devrait également être adaptée pour limiter le contenu des réponses, et notamment les données identifiantes, à ce qui est strictement nécessaire, selon les modalités décrites aux paragraphes 33 et 73.
Le détenteur de données sera le plus à même de sélectionner les données pertinentes selon les besoins des réutilisateurs. De plus, comme précisé au paragraphe 71, le gestionnaire d’API peut être l’organisme le plus à même de mettre en œuvre techniquement ces recommandations.
Les mesures adéquates décrites au sein des paragraphes 32 à 34, 68, 72 à 74, 89 à 90 devraient également être appliquées pour atteindre cet objectif.
Objectif #2 : l’information des personnes et la traçabilité des données.
Etant donné le grand nombre d’acteurs impliqués et leur niveau de maturité variable, les mesures de journalisation prévues aux paragraphes 61 à 64 et 83 à 84 en particulier devraient être mises en œuvre afin que puisse être vérifiée la légitimité des accès et des actions réalisées sur la base de données.
Ces mesures devraient être complétées de celles prévues aux paragraphes 25 à 27 et au paragraphe 87 afin de fournir une information complète aux personnes concernées sur l’utilisation qui est faite de leurs données.
Les mesures adéquates décrites au sein des paragraphes42 et 93 devraient également être appliquées pour atteindre cet objectif.
Objectif #3 : la gouvernance et le respect des droits des personnes.
Au vu du nombre d’organismes avec lesquels les données sont partagées, la responsabilité du traitement et les modalités d’exercice des droits qui doivent être prévues en amont du traitement, devraient reposer sur des procédures robustes comme prévu aux paragraphes 23, 24, 35 à 40, 75 et 76.
Les mesures adéquates décrites au sein des paragraphes 41, 47 à 48, 51, 65, 66 à 67, et 85 à 86 devraient également être appliquées pour atteindre cet objectif.
Objectif #4 : la sécurité des données.
La maturité des organismes impliqués pouvant être variable, les recommandations relatives à la procédure de fourniture des accès décrites aux paragraphes 41 à 46 devraient être prises en compte.
Les autres mesures relatives à la sécurité devraient être considérées au cas par cas. En effet, bien qu’elles s’appliquent dans la majorité des cas, ces mesures doivent être mises en œuvre selon le niveau de risque évalué. Ces mesures sont décrites au sein des paragraphes48 à 50, 53, 56 à 64, 69 à 70, 77 à 84, et 91 à 93 devraient également être appliquées pour atteindre cet objectif.
Exemple #2 : Partage de données entre réseaux sociaux et chercheurs
Description du contexte :
Dans le cadre d’une étude portant sur les mécanismes de propagation de certaines catégories d’information sur les réseaux sociaux, des chercheurs académiques souhaitent accéder à des informations liées aux activités des usagers de ces réseaux. Pour cela, un accès à une API leur est fourni par la plateforme qui utilise cet outil pour partager les données auprès de nombreux réutilisateurs. Par le biais de l’API, les chercheurs peuvent effectuer des requêtes et obtenir des informations comme les publications et les réactions des usagers. Parmi ces informations, figurent des données personnelles.
L’étude des chercheurs porte sur une période spécifique et sur des catégories d’information bien déterminées. Une fois l’étude publiée, la conservation des données en base active et d’un accès à l’API n’est plus utile. Les données sont stockées en archivage intermédiaire dans les serveurs sécurisés de l’université[5]. Toutefois, durant leur recherche, certains chercheurs ont téléchargé les données sur leur machine locale pour avoir accès aux données lors de leurs déplacements.
Recherche des facteurs de vulnérabilité :
De par la nature de ce traitement, plusieurs facteurs de vulnérabilité sont identifiés :
Sur les conditions d’accès aux données : les besoins des chercheurs sont temporaires et ciblés, une fois l’étude publiée, leur accès à l’API n’est plus nécessaire mais la procédure prévue par le réseau social ne prévoit une réévaluation des accès qu’après une durée plus importante, laissant un accès à l’API inutile et vacant. Les objectifs à atteindre sont la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes
Sur la nature des organismes impliqués dans le partage : le réseau social partage des données avec de nombreux réutilisateurs, et n’est pas toujours en mesure de se coordonner avec chacun d’entre eux ou de journaliser les accès de chacun. Les objectifs à atteindre sont l’exactitude, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes.
Sur les autres mesures techniques et organisationnelles prévues pour améliorer le niveau de sécurité du système : certains chercheurs stockant les données sur leurs machines, il est difficile de garder une vue d’ensemble sur les sauvegardes de données, et le niveau de sécurité appliqué aux machines n’est pas le même que celui appliqué aux serveurs de l’université. Les objectifs à atteindre sont l’exactitude, la traçabilité et la sécurité des données.
Sur les catégories de données accessibles par l’API : les usagers du réseau social y publient des photographies, des contenus qui les intéressent ou encore des informations sur leurs activités. Ces données pouvant révéler des informations particulièrement intrusives sur leurs préférences et sur leurs habitudes de vie, un détournement de ces données pourrait entraîner des conséquences importantes pour les personnes. Les objectifs à atteindre sont la minimisation et la sécurité des données.
Sur la granularité des données et des requêtes : l’API proposée par le réseau social est destinée à différentes catégories de réutilisateurs et leurs besoins propres peuvent difficilement être anticipés en amont. Les accès fournis par le réseau social ne sont pas toujours strictement limités aux besoins des réutilisateurs, qui peuvent accéder à des données dont ils savent en amont qu’elles ne sont pas pertinentes pour leur réutilisation. Les objectifs à atteindre sont la minimisation et la sécurité des données.
Recommandations applicables :
D’après les facteurs de vulnérabilité identifiés, plusieurs objectifs sont à prioriser.
Objectif #1 : l’exactitude des données.
Le téléchargement des données sur de nombreuses machines par les chercheurs représente un risque que les données ne soient pas mises à jour lorsqu’elles devraient l’être en raison de leur duplication, ou de modification compromettant leur exactitude.
De plus, étant donné la nature des données sur les réseaux sociaux, leur exactitude peut poser question d’une part en raison de la possibilité pour un utilisateur de les modifier après leur publication, et d’autre part en raison de l’absence de garanties de véracité sur ces données, bien que cela ne nuise pas nécessairement à l’objectif de la recherche.
Les mesures adéquates décrites au sein des paragraphes 32, 52, et 54 à 55 devraient être appliquées pour atteindre cet objectif.
Objectif #2 : la traçabilité des données.
Le nombre de réutilisateurs prévu étant relativement important, et les conditions d’attribution et de révocation des accès étant généralement peu flexibles pour ce type d’API, des mesures devraient être mises en œuvre par le réseau social afin de vérifier la légitimité des accès et d’identifier les accès et utilisations imprévues de l’API. Ces traces de journalisation devraient être utilisées afin d’empêcher les utilisations détournées des données.
Les téléchargements de données par les chercheurs sur les machines locales devraient être évités autant que possible, et faire l’objet d’un suivi pour éviter toute perte de traçabilité sur les données. De plus, les jetons ou identifiants d’accès à l’API devraient être partagés aux seules personnes habilitées et faire l’objet d’un suivi lorsqu’il n’est pas possible d’obtenir des jetons propres à chaque personne.
Les mesures adéquates décrites au sein des paragraphes 25 à 27, 42, 61 à 64, 83 à 84, 87, et 93 devraient être appliquées pour atteindre cet objectif.
Objectif #3 : la minimisation des données.
Les besoins des chercheurs étant ciblés, les requêtes qui leur sont permises, et les données auxquelles ils ont accès devraient être limitées à ce qui est pertinent et strictement nécessaire. Si la traçabilité sur les données pertinentes n’était pas suffisante en amont du traitement, une version bac à sable expérimentale, reposant éventuellement sur des données fictives pourrait être utilisée afin de déterminer les catégories et la quantité de données nécessaires. Il revient par ailleurs au réutilisateur (l’organisme de recherche) de fixer des règles de minimisation sur les données obtenues par l’API.
Les mesures adéquates décrites au sein des paragraphes 28 à 34, 68, 71 à 74, 88 à 90 devraient être appliquées pour atteindre cet objectif.
Objectif #4 : la gouvernance et le respect des droits des personnes.
Les données pouvant être partagées par le réseau social à un nombre important et à des catégories diverses de destinataires, les utilisateurs du réseau peuvent manquer de traçabilité sur les utilisations de leurs données. Dans un souci de transparence et pour remplir les obligations relatives à l’information des personnes, le réseau social devrait prendre les mesures nécessaires pour connaître les réutilisateurs et fournir ces informations aux personnes.
Les mesures adéquates décrites au sein des paragraphes 23, 24, 35 à 40, 41, 47 à 48, 51, 65, 66 à 67, 75 à 76, et 85 à 86 devraient être appliquées pour atteindre cet objectif.
Objectif #5 : la sécurité des données.
Les mesures relatives à la sécurité devraient être considérées au cas par cas. En effet, bien qu’elles s’appliquent dans la majorité des cas, ces mesures doivent être mise en œuvre selon le niveau de risque évalué. Ici, une attention particulière devrait être portée sur la sécurité des machines locales sur lesquels les chercheurs ont téléchargé les données. Ce téléchargement est à éviter autant que possible. Lorsqu’il est nécessaire, la sécurité des machines devient un objectif prioritaire.
Les mesures adéquates décrites au sein des paragraphes 41, 43 à 46, 48 à 50, 53, 56 à 64, 69 à 70, 77 à 84, et 91 à 93 devraient être appliquées pour atteindre cet objectif.
Exemple #3 : L’ouverture de données de l’administration
Description du contexte :
Un texte prévoit l’ouverture par une administration (le détenteur de données) d’une certaine catégorie de données collectées auprès des personnes. Ce texte indique précisément les catégories de données concernées et les modalités d’exercice des droits des personnes. Il précise également que les données sont mises à disposition de tous, sans restriction d’accès et dans un format facilitant leur réutilisation. Les réutilisations possibles des données ne sont pas connues en amont par l’administration qui diffuse les données. Une administration tierce (le gestionnaire d’API) propose un outil afin de diffuser les données en question. Elle n’héberge cependant pas les données.
Après plusieurs études, il est prouvé que les données sont particulièrement utiles pour un certain secteur et un grand nombre d’organismes de ce secteur (les réutilisateurs) souhaitent alors collecter les données. Les données restent ouvertes, mais les besoins relatifs des réutilisateurs ont largement changé. Ce nouveau besoin conduit à une charge sur les serveurs du détenteur de données qui n’était pas prévue lors de la conception de l’API, causant des interruptions dans la disponibilité des données.
Recherche des facteurs de vulnérabilité :
De par la nature de ce traitement, plusieurs facteurs de vulnérabilité sont identifiés :
Sur les conditions d’accès à la base de données : même lorsque les données sont pseudonymisées, et que le risque de réidentification est faible, l’évolution des attaques pourrait permettre la déduction de données personnelles supplémentaires dont l’ouverture n’est pas prévue par le texte et ayant des conséquences pour les personnes. L’ouverture des données à tous augmente la vraisemblance de ce type d’attaque. Les objectifs à atteindre sont l’information des personnes, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes.
Sur la nature des organismes impliqués dans le partage : bien que les données ne soient initialement demandées que par certains réutilisateurs isolés, c’est finalement un grand nombre d’organismes qui en demande l’accès. Cette évolution peut avoir des conséquences importantes sur la disponibilité des données et leur réutilisation. Les objectifs à atteindre sont l’exactitude, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes.
Sur la granularité des données et des requêtes : aucune restriction d’accès aux données n’est prévue, laissant ainsi la possibilité aux réutilisateurs de réaliser de multiples requêtes, dont les résultats peuvent être croisés entre eux. Cela rend la déduction d’informations à caractère personnel, dont l’ouverture n’était pas prévue, plus vraisemblable. Les objectifs à atteindre sont la minimisation et la sécurité des données.
Sur l’état des connaissances des techniques utilisées et les risques associés : l’ouverture des données ayant pour objectif de permettre leurs réutilisations, l’administration en réalisant la diffusion manque de traçabilité sur le champ des possibles réutilisations et sur les dispositifs qui seront mis en œuvre par les réutilisateurs. Ce manque de traçabilité fait peser un risque sur la disponibilité des données. Les objectifs à atteindre sont l’information des personnes, la traçabilité et la sécurité des données.
Recommandations applicables :
D’après les facteurs de vulnérabilité identifiés, plusieurs objectifs sont à prioriser.
Objectif #1 : la traçabilité des données.
L’ouverture sans restriction d’accès n’est pas incompatible avec certaines mesures de traçabilité. En analysant le volume des données collectées par les réutilisateurs, le gestionnaire d’API peut lever une alerte en cas d’une demande qui risquerait d’excéder les limites de charge que peut supporter son système.
Les mesures adéquates décrites au sein des paragraphes 25 à 27, 42, 61 à 64, 83 à 84, 87, et 93 devraient être appliquées pour atteindre cet objectif.
Objectif #2 : la gouvernance et le respect des droits des personnes.
Dans le cas de données ouvertes, il peut être difficile de faire respecter les droits des personnes auprès des réutilisateurs. Des mesures devraient être prises en amont du partage pour anticiper les demandes d’exercice des droits des personnes.
Les mesures adéquates décrites au sein des paragraphes 23, 24, 35 à 40, 41, 47 à 48, 51, 65, 66 à 67, 75 à 76, et 85 à 86 devraient être appliquées pour atteindre cet objectif.
Objectif #3 : la sécurité des données.
Malgré l’ouverture sans restriction d’accès des données, l’exemple montre qu’en l’absence totale de planification du volume des demandes, un risque peut exister notamment sur la disponibilité des données. Le détenteur de données devrait s’assurer que les mesures adaptées sont prises afin de réduire ce risque en effectuant par exemple un suivi de la charge des serveurs ou du volume de requêtes reçues.
Les mesures relatives à la sécurité devraient être considérées au cas par cas. En effet, bien qu’elles s’appliquent dans la majorité des cas, ces mesures doivent être mises en œuvre selon le niveau de risque évalué.
Les mesures adéquates décrites au sein des paragraphes 41, 43 à 46, 48 à 50, 53, 56 à 64, 69 à 70, 77 à 84, et 91 à 93 devraient être appliquées pour atteindre cet objectif.
Objectif #4 : la minimisation des données.
Au vu du contexte du partage et des nombreuses inconnues portant sur la nature des organismes réutilisateurs, sur les réutilisations et sur les techniques d’attaque, des mesures de minimisation devraient être mises en œuvre par précaution.
Les mesures adéquates décrites au sein des paragraphes 28 à 34, 68, 71 à 74, 88 à 90 devraient être appliquées pour atteindre cet objectif.
Exemple #4 : Partage fermé de données entre services d’un organisme
Description du contexte :
Cette typologie de partage est retrouvée dans les secteurs public et privé, avec des cas d’usage particulièrement diversifiés. Dans le secteur privé, les services concernés peuvent être des filiales ou services d’un même organisme, coordonnées par une direction centralisée. Dans le secteur public, certaines données des administrés peuvent être partagées entre services ou établissements d’une administration, par exemple dans l’objectif de dématérialiser les démarches administratives et de faciliter l’accès à certains services et aides. La mise en œuvre de ces partages repose le plus souvent sur l’utilisation d’API.
Ainsi, des services (les détenteurs de données) en lien direct avec les usagers collectent certaines données personnelles et les inscrivent dans une base centralisée de l’organisme dont ils dépendent (le réutilisateur de données[6] et gestionnaire d’API). Cette inscription est réalisée par les services détenteurs de données par le biais des requêtes en écriture via une API modifiant directement la base centralisée de l’organisme central. Cet organisme héberge et traite les données de la base centralisée dans le cadre de ses missions. Elle met en œuvre et assure la gestion de l’API.
Les données de la base centralisée de l’organisme sont mises à disposition par le biais d’une seconde API permettant à d’autres acteurs privés ou publics de traiter les données. Ces acteurs sont par exemple des administrations qui instruisent ainsi des démarches sans avoir à collecter de pièces justificatives auprès des administrés.
Recherche des facteurs de vulnérabilité :
De par la nature de ce traitement, plusieurs facteurs de vulnérabilité sont identifiés pour le premier partage :
Sur le type d’accès à la base de données : un accès en écriture dans la base centralisée est prévu pour que les services y inscrivent les données qu’ils collectent. Ce type d’accès permettant de modifier directement la base centralisée, il offre un cadre propice à l’introduction d’erreurs dans la base, ou à la suppression accidentelle de données et pose ainsi un risque sur l’intégrité des données. Les objectifs à atteindre sont l’exactitude, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes.
Sur la nature des services impliqués dans le partage : ils sont nombreux et leur coordination peut poser problème, notamment en cas de perte d’intégrité des données : les alerter un à un présente une certaine difficulté. De plus, lorsque les données mises à disposition sont critiques pour les usagers, tout risque portant sur la disponibilité des données pourrait avoir des conséquences graves. Les objectifs à atteindre sont l’exactitude, la traçabilité, la gouvernance, la sécurité des données et le respect des droits des personnes.
Sur les catégories de données accessibles par l’API : il s’agit ici des données personnelles des usagers, comme des informations sur leur situation personnelle leur permettant d’accéder à des aides et à des services de l’Etat. Tout risque portant sur leur confidentialité, leur intégrité ou leur disponibilité pourrait avoir des conséquences graves pour ces personnes. Les objectifs à atteindre sont la préservation de la confidentialité et la sécurité.
Recommandations applicables :
D’après les facteurs de vulnérabilité identifiés, plusieurs objectifs sont à prioriser.
Objectif #1 : l’exactitude des données.
Par nature les requêtes en écriture font peser un risque sur l’exactitude des données. Ce risque peut être accru lorsque les services réalisant l’écriture sont nombreux et peuvent manquer de maturité technique, ce qui est l’hypothèse que nous considérons dans cet exemple. Certains outils permettant de vérifier que les données correspondent au format attendu peuvent être utilisés pour automatiser des vérifications de sécurité
Les mesures adéquates décrites au sein des paragraphes 32, 52, et 54 à 55 devraient être appliquées pour atteindre cet objectif.
Objectif #2 : la gouvernance et le respect des droits des personnes.
Ici également le nombre et la nature des services impliqués pourraient compliquer les procédures prévues pour l’exercice des droits, pour la notification d’une violation ou d’un nouveau risque, etc. La coordination des services, la documentation des procédures, la gestion des habilitations sont autant de mesures pouvant limiter ces risques. De plus, en prévoyant des techniques automatisées pour permettre aux personnes d’exercer leurs droits, le risque humain pourrait être réduit.
Les mesures adéquates décrites au sein des paragraphes 23, 24, 35 à 40, 41, 47 à 48, 51, 65, 66 à 67, 75 à 76, et 85 à 86 devraient être appliquées pour atteindre cet objectif.
Objectif #3 : la traçabilité des données.
La connaissance des détenteurs de données ici et des actions qu’ils réalisent peut permettre à l’organisme central d’agir rapidement en cas de réalisation d’un risque identifié. La traçabilité est ainsi à prendre en compte pour réagir rapidement à une menace comme une tentative d’intrusion ou une perte d’intégrité des données.
Les mesures adéquates décrites au sein des paragraphes 25 à 27, 42, 61 à 64, 83 à 84, 87, et 93 devraient être appliquées pour atteindre cet objectif.
Objectif #4 : la minimisation des données.
Dans le cas d’un partage dans le secteur public, les réutilisations étant généralement prévues par les textes, les catégories de données concernées par le partage sont généralement fixées et il peut sembler difficile d’appliquer le principe de minimisation dans ce contexte. Toutefois, lorsque les réutilisations sont bien connues, il est possible de jouer sur la granularité des données, leur profondeur historique, ou encore sur les mesures de pseudonymisation appliquées.
Les mesures adéquates décrites au sein des paragraphes 28 à 34, 68, 71 à 74, 88 à 90 devraient être appliquées pour atteindre cet objectif.
Objectif #5 : la sécurité des données.
Les mesures relatives à la sécurité devraient être considérées au cas par cas. En effet, bien qu’elles s’appliquent dans la majorité des cas, ces mesures doivent être mises en œuvre selon le niveau de risque évalué.
Les mesures adéquates décrites au sein des paragraphes 41, 43 à 46, 48 à 50, 53, 56 à 64, 69 à 70, 77 à 84, et 91 à 93 devraient être appliquées pour atteindre cet objectif.
Une autre analyse du même type devra être menée pour le second partage (se référer pour cela à l’exemple 1 qui lui est similaire).
Exemple #5 : Partage de données impliquant la personne concernée
Description du contexte :
Dans un objectif de dématérialisation, différents dispositifs permettent de faciliter la fourniture par un individu de ses informations à un organisme ayant besoin d’y accéder. Ces données peuvent être détenues par un premier organisme dans le cadre d’une relation préexistante, ou conservées dans un espace personnel sécurisé prévu à cet effet et géré par son titulaire. L’usager peut ainsi partager ses documents pertinents (tels que des documents administratifs, attestations de droits, justificatifs de résidence, etc.) avec des destinataires autorisés, par exemple à l’occasion de la fourniture d’un service. Une API est proposée par l’organisme détenteur de ces documents ou le fournisseur de l’espace personnel sécurisé (à la fois détenteurs de données et gestionnaires d’API) afin de permettre à leurs destinataires (les réutilisateurs de données) d’accéder aux documents suite à une demande expresse des personnes. Une authentification des personnes est nécessaire pour que l’accès aux documents soit accordé au fournisseur du service, dont l’identité est également vérifiée par l’organisme détenteur de données. Cet accès est permis par un procédé d’authentification robuste.
Recherche des facteurs de vulnérabilité :
De par la nature de ce traitement, plusieurs facteurs de vulnérabilité sont identifiés :