{"id":23813,"date":"2021-02-27T05:23:05","date_gmt":"2021-02-27T09:23:05","guid":{"rendered":"https:\/\/antilla-martinique.com\/?p=23813"},"modified":"2021-02-27T05:23:05","modified_gmt":"2021-02-27T09:23:05","slug":"de-quelle-protection-juridique-beneficient-les-donnees-personnelles-echangees-sur-les-applications-whatsapp-signal-telegram-et-olvid","status":"publish","type":"post","link":"https:\/\/antilla-martinique.com\/en\/de-quelle-protection-juridique-beneficient-les-donnees-personnelles-echangees-sur-les-applications-whatsapp-signal-telegram-et-olvid\/","title":{"rendered":"DE QUELLE PROTECTION JURIDIQUE B\u00c9N\u00c9FICIENT LES DONN\u00c9ES PERSONNELLES \u00c9CHANG\u00c9ES SUR LES APPLICATIONS WHATSAPP, SIGNAL, TELEGRAM ET OLVID ?"},"content":{"rendered":"
\n
\n
\n

Cet article fait le point sur les applicatifs de messagerie instantan\u00e9e au niveau de la protection des donn\u00e9es \u00e9chang\u00e9es entre les utilisateurs. Cette probl\u00e9matique a \u00e9t\u00e9 relanc\u00e9e avec la nouvelle politique de Facebook qui souhaite partager les donn\u00e9es de sa filiale WhatsApp avec les autres structures du groupe.<\/b><\/span><\/p>\n

\n<\/blockquote>\n<\/div>\n<\/div>\n
\n
\n
\n

\u00a0Rachet\u00e9 par Facebook en 2014, WhatsApp\u00a0[1<\/a>]<\/span> b\u00e9n\u00e9ficiait d\u2019un statut \u00e0 part dans l\u2019\u00e9cosyst\u00e8me de Mark Zuckerberg\u00a0[2<\/a>]<\/span>.<\/p>\n

Pour respecter la promesse initialement pos\u00e9e de confidentialit\u00e9 des \u00e9changes mise en avant par WhatsApp, aucune donn\u00e9e ne transitait jusqu\u2019\u00e0 Facebook, la maison m\u00e8re. Mais l\u2019application a r\u00e9cemment mis \u00e0 jour sa politique de confidentialit\u00e9 des donn\u00e9es et l\u2019entr\u00e9e en vigueur de ces nouvelles conditions d\u2019utilisation contraint les utilisateurs \u00e0 partager leurs donn\u00e9es avec la maison m\u00e8re, sous peine de voir leurs comptes supprim\u00e9s.<\/p>\n

En r\u00e9alit\u00e9, WhatsApp partageait d\u00e9j\u00e0 certaines donn\u00e9es avec Facebook. En effet, en 2016 les conditions d\u2019utilisation du service mentionnaient d\u00e9j\u00e0 la transmission de certaines informations comme le num\u00e9ro de t\u00e9l\u00e9phone, la fr\u00e9quence des messages, le statut, l\u2019adresse IP, etc. Toutefois en 2016, WhatsApp laissait \u00e0 ses utilisateurs un d\u00e9lai de 30 jours pour accepter ou refuser ce partage d\u2019information. En cas de refus, WhatsApp garantissait que le choix de l\u2019utilisateur serait respect\u00e9 et qu\u2019aucune donn\u00e9e ne serait envoy\u00e9e \u00e0 Facebook. Pour autant, \u00e0 d\u00e9faut de consentement dans ce d\u00e9lai, l\u2019application acceptait par d\u00e9faut le partage des donn\u00e9es. L\u2019autorisation n\u2019ayant, par ailleurs, jamais \u00e9t\u00e9 demand\u00e9e aux nouveaux utilisateurs.<\/p>\n

Si \u00e0 l\u2019\u00e9poque certains utilisateurs ont fait le choix de refuser de partager ces informations, ils vont devoir accepter les nouvelles conditions d\u2019utilisation et autoriser Facebook, Instagram\u00a0[3<\/a>]<\/span> et Messenger\u00a0[4<\/a>]<\/span> \u00e0 r\u00e9cup\u00e9rer certaines donn\u00e9es ou se voir refuser l\u2019acc\u00e8s \u00e0 l\u2019application.<\/p>\n

La Garante per la protezione dei dati personali <\/i>(GPDP)\u00a0[5<\/a>]<\/span>, a saisi le Comit\u00e9 Europ\u00e9en de la Protection des Donn\u00e9es (CEPD) \u00e0 ce sujet.<\/p>\n

Base l\u00e9gale, information de la personne concern\u00e9e et transfert de donn\u00e9es hors Union europ\u00e9enne\u00a0: les remparts du droit communautaire avec le RGPD.<\/h4>\n

Sur le territoire communautaire, les consommateurs sont prot\u00e9g\u00e9s par le RGPD\u00a0[6<\/a>]<\/span>.<\/p>\n

Ce RPGD r\u00e9sulte du r\u00e8glement (UE) 2016\/679 du Parlement europ\u00e9en et du Conseil du 27 avril 2016 relatif \u00e0 la protection des personnes physiques \u00e0 l\u2019\u00e9gard du traitement des donn\u00e9es \u00e0 caract\u00e8re personnel et \u00e0 la libre circulation de ces donn\u00e9es, et abrogeant la directive 95\/46\/CE (r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es)<\/a>.<\/p>\n

Ce texte comporte 99 articles et a \u00e9t\u00e9 publi\u00e9 au Journal Officiel de l\u2019Union europ\u00e9enne le 4 mai 2016. L\u2019article 99 de ce R\u00e8glement a pr\u00e9vu son entr\u00e9e en vigueur le 24 mai 2016, soit le vingti\u00e8me jour de sa publication, et une application sur tout le territoire communautaire qui est effective depuis le vendredi 25 mai 2018.<\/p>\n

En tant que R\u00e8glement, il a une valeur que l\u2019on pourrait comparer \u00e0 celle d\u2019une loi organique dans la hi\u00e9rarchie des normes. Il convient de rappeler qu\u2019en application du deuxi\u00e8me alin\u00e9a de l\u2019article 288 le r\u00e8glement a une port\u00e9e g\u00e9n\u00e9rale et qu\u2019il est obligatoire dans tous ses \u00e9l\u00e9ments et il est directement applicable dans chaque Etat membre. Qu\u2019un Etat transpose ou pas le texte du R\u00e8glement dans son droit interne importe peu puisque les dispositions de celui-ci sont directement applicables dans l\u2019Etat concern\u00e9 et peuvent \u00eatre soulev\u00e9s \u00e0 son profit par tout citoyen. La France a transpos\u00e9 ce r\u00e8glement par la loi n\u00b0\u00a02018-493 du 20 juin 2018 relative \u00e0 la protection des donn\u00e9es personnelles<\/a>, les dispositions dudit R\u00e8glement restant toujours directement invocables.<\/p>\n

En cas de collecte de donn\u00e9es directement aupr\u00e8s de la personne concern\u00e9e, l\u2019article 13 du RGPD liste les informations qui doivent lui \u00eatre communiqu\u00e9es par le responsable de traitement. Ainsi les finalit\u00e9s du traitement, la base l\u00e9gale sur laquelle il est fond\u00e9 et la dur\u00e9e de conservation doivent notamment \u00eatre connues de la personne concern\u00e9e.<\/p>\n

L\u2019article 6 \u00e9num\u00e8re les bases l\u00e9gales possibles. La base l\u00e9gale du traitement peut notamment \u00eatre le consentement de la personne concern\u00e9e ou les int\u00e9r\u00eats l\u00e9gitimes du responsable de traitement.<\/p>\n

Dans l\u2019hypoth\u00e8se d\u2019un traitement fond\u00e9 sur le consentement, la personne concern\u00e9e doit \u00eatre inform\u00e9e de son droit de retirer son consentement \u00e0 tout moment et facilement. Elle doit consentir au traitement de fa\u00e7on libre et \u00e9clair\u00e9e (article 7 du RGPD). Si le consentement est impos\u00e9 ou que le refus entra\u00eene un pr\u00e9judice pour l\u2019utilisateur, la CNIL consid\u00e8re que le consentement n\u2019a pas \u00e9t\u00e9 donn\u00e9 librement (lignes directrices du G29 sur le consentement). Ici le pr\u00e9judice est direct dans la mesure o\u00f9, \u00e0 d\u00e9faut d\u2019acceptation des nouvelles conditions d\u2019utilisation, l\u2019utilisateur se retrouve dans l\u2019impossibilit\u00e9 d\u2019utiliser l\u2019application.<\/p>\n

L\u2019hypoth\u00e8se particuli\u00e8re du consentement des mineurs doit \u00e9galement \u00eatre abord\u00e9e. En effet, ces derniers utilisent beaucoup plus les r\u00e9seaux sociaux. Le RGPD fixe la majorit\u00e9 num\u00e9rique \u00e0 15 ans (articles 20 et 23 de la loi n\u00b0\u00a02018-493 du 20 juin 2018 relative \u00e0 la protection des donn\u00e9es personnelles<\/a>).<\/p>\n

Toutefois les conditions g\u00e9n\u00e9rales d\u2019utilisation de Facebook et d\u2019Instagram par exemple, demandent d\u2019avoir au minimum 13 ans pour cr\u00e9er un compte. Concernant WhatsApp, l\u2019\u00e2ge minimum l\u00e9gal a \u00e9galement \u00e9t\u00e9 fix\u00e9 \u00e0 16 ans, en conformit\u00e9 avec les mesures du RGPD. Le consentement des parents est alors requis. L\u2019article 8 du RGPD s\u2019int\u00e9resse plus particuli\u00e8rement \u00e0 la question du consentement des mineurs.<\/p>\n

Dans l\u2019hypoth\u00e8se d\u2019un traitement fond\u00e9 sur les int\u00e9r\u00eats l\u00e9gitimes du responsable de traitement, la personne concern\u00e9e doit \u00eatre inform\u00e9e des int\u00e9r\u00eats l\u00e9gitimes poursuivis. Selon la CNIL, le recours \u00e0 cette base l\u00e9gale suppose que les int\u00e9r\u00eats poursuivis par l\u2019organisme qui traite les donn\u00e9es ne cr\u00e9ent pas de d\u00e9s\u00e9quilibre au d\u00e9triment des droits et int\u00e9r\u00eats des personnes concern\u00e9es. Cette base l\u00e9gale n\u2019implique qu\u2019une simple demande d\u2019acceptation des conditions. Le responsable de traitement peut donc refuser l\u2019acc\u00e8s au service si l\u2019utilisateur n\u2019accepte pas les nouvelles conditions. Il serait toutefois possible de contester cette base l\u00e9gale en consid\u00e9rant que les donn\u00e9es personnelles partag\u00e9es impliquent le recueil d\u2019un consentement \u00e9clair\u00e9 de la part de chaque utilisateur.<\/p>\n

A d\u00e9faut du respect de ces conditions, le traitement est illicite.<\/p>\n

Enfin, si le r\u00e8glement europ\u00e9en n\u2019interdit pas l\u2019\u00e9change de donn\u00e9es entre les filiales d\u2019un m\u00eame groupe, le texte impose le respect de certaines conditions. Rappelons que WhatsApp avait \u00e9t\u00e9 mis en demeure par la CNIL de mieux respecter les r\u00e8gles de transmission de donn\u00e9es \u00e0 sa maison m\u00e8re, Facebook\u00a0[7<\/a>]<\/span>.<\/p>\n

Les termes de cette mise en demeure d\u00e9livr\u00e9e par la pr\u00e9sidente de la CNIL sont tr\u00e8s clairs\u00a0:<\/p>\n

\u00ab\u00a0En cons\u00e9quence, la soci\u00e9t\u00e9 X, sise [\u2026],est mise en demeure, sous un d\u00e9lai de un (1) mois \u00e0 compter de la notification de la pr\u00e9sente d\u00e9cision et sous r\u00e9serve des mesures qu\u2019elle aurait d\u00e9j\u00e0 pu adopter, de\u00a0:<\/strong><\/i><\/p>\n

\u2022 ne pas proc\u00e9der sans base l\u00e9gale \u00e0 la transmission des donn\u00e9es des utilisateurs<\/strong>vers la soci\u00e9t\u00e9 Y dans le cadre de la premi\u00e8re finalit\u00e9 de business intelligence\u00a0;<\/p>\n

\u2022 proc\u00e9der \u00e0 l\u2019information des personnes aupr\u00e8s desquelles des donn\u00e9es \u00e0 caract\u00e8re personnel sont collect\u00e9es<\/strong>, dans les conditions pr\u00e9vues \u00e0 l\u2019article 32 de la loi du 6 janvier 1978 modifi\u00e9e, notamment en faisant figurer sur le formulaire de cr\u00e9ation de compte, les mentions d\u2019information pr\u00e9vues \u00e0 cet article, en particulier les finalit\u00e9s pour lesquelles les donn\u00e9es sont transmises \u00e0 Y et les droits dont disposent les personnes concern\u00e9es\u00a0;<\/p>\n

\u2022 communiquer \u00e0 la Commission<\/strong> l\u2019ensemble des donn\u00e9es communiqu\u00e9es par X \u00e0 Y pour un \u00e9chantillon de mille utilisateurs situ\u00e9s sur le territoire fran\u00e7ais\u00a0;<\/p>\n

\u2022 justifier aupr\u00e8s de la CNIL que l\u2019ensemble des demandes pr\u00e9cit\u00e9es a bien \u00e9t\u00e9 respect\u00e9, et ce dans le d\u00e9lai imparti<\/strong>.<\/p>\n

\u00c0 l\u2019issue de ce d\u00e9lai, si la soci\u00e9t\u00e9 X s\u2019est conform\u00e9e \u00e0 la pr\u00e9sente mise en demeure, il sera consid\u00e9r\u00e9 que la proc\u00e9dure est close et un courrier lui sera adress\u00e9 en ce sens<\/strong>.<\/p>\n

\u00c0 l\u2019inverse<\/strong>, s\u2019il est constat\u00e9 que la soci\u00e9t\u00e9 X ne s\u2019est pas conform\u00e9e \u00e0 la pr\u00e9sente mise en demeure<\/strong>, un rapporteur pourra \u00eatre d\u00e9sign\u00e9 et demander \u00e0 la formation restreinte de la Commission de prononcer l\u2019une des sanctions pr\u00e9vues par l\u2019article 45 de la loi du 6 janvier 1978 modifi\u00e9e<\/strong>.\u00a0\u00bb<\/i><\/p><\/blockquote>\n

Les responsables de traitement et les sous-traitants peuvent transf\u00e9rer des donn\u00e9es hors de l\u2019Union europ\u00e9enne (UE) et de l\u2019Espace \u00e9conomique europ\u00e9en (EEE) \u00e0 condition d\u2019assurer un niveau de protection des donn\u00e9es suffisant et appropri\u00e9<\/strong>. Ils doivent encadrer ces transferts en utilisant les diff\u00e9rents outils juridiques d\u00e9finis au chapitre V du RGPD.<\/p>\n

Le RGPD a \u00e9largi la gamme d\u2019outils juridiques permettant d\u2019encadrer les transferts. Ces outils peuvent \u00eatre utilis\u00e9s par le responsable de traitement et ses sous-traitants. Afin d\u2019assurer un niveau de protection suffisant, les organismes qui souhaitent transf\u00e9rer des donn\u00e9es peuvent utiliser les outils suivants\u00a0:<\/p>\n

\u25cf la d\u00e9cision d\u2019ad\u00e9quation de la Commission europ\u00e9enne (article 45 du RGPD) prise sur la base d\u2019un examen global de la l\u00e9gislation en vigueur dans l\u2019Etat, \u00e0 d\u00e9faut, des garanties appropri\u00e9es (article 46 du RGPD) g\u00e9n\u00e9ralement constitu\u00e9es de d\u00e9cisions des autorit\u00e9s de contr\u00f4le.<\/p>\n

\u25cf des clauses contractuelles types (CCT) de la Commission europ\u00e9enne ou des CCT adopt\u00e9es par une autorit\u00e9 de contr\u00f4le et approuv\u00e9e par la CE<\/p>\n

\u25cf des r\u00e8gles internes d\u2019entreprises (BCR)<\/p>\n

\u25cf des clauses contractuelles sp\u00e9cifiques, consid\u00e9r\u00e9es comme conformes aux mod\u00e8les de clauses de la Commission europ\u00e9enne<\/p>\n

\u25cf un code de conduite approuv\u00e9 par l\u2019autorit\u00e9 de contr\u00f4le comportant l\u2019engagement contraignant et ex\u00e9cutoire pris par les destinataires hors UE d\u2019appliquer les garanties appropri\u00e9es<\/p>\n

\u25cf un m\u00e9canisme de certification approuv\u00e9 contraignant et ex\u00e9cutoire pris par les destinataires hors UE d\u2019appliquer les garanties appropri\u00e9es.<\/p>\n

L\u2019autorisation pr\u00e9alable de la CNIL n\u2019est pas n\u00e9cessaire si le transfert est fond\u00e9 sur des CCT, des BCR, un code de conduite approuv\u00e9 par l\u2019autorit\u00e9 de contr\u00f4le ou un m\u00e9canisme de certification. L\u2019autorisation de la CNIL est, par opposition, n\u00e9cessaire lorsque le transfert est fond\u00e9 sur des clauses contractuelles sp\u00e9cifiques.<\/p>\n

Le chiffrement\u00a0: le proc\u00e9d\u00e9 technique de s\u00e9curisation des donn\u00e9es.<\/h4>\n

Le RGPD conseille aux entreprises d\u2019utiliser la pseudonymisation ou le cryptage afin de prot\u00e9ger leurs donn\u00e9es (article 25). En effet, le responsable de traitement doit mettre en \u0153uvre toutes les mesures techniques et organisationnelles appropri\u00e9es pour garantir la protection des donn\u00e9es (principe de minimisation, dur\u00e9e de conservation, etc.).<\/p>\n

La pseudonymisation<\/strong> et la cryptographie<\/strong> permettent de masquer les donn\u00e9es en rempla\u00e7ant les informations identifiables. Cependant, il y a une diff\u00e9rence\u00a0: la pseudonymisation permet \u00e0 toute personne ayant acc\u00e8s aux donn\u00e9es de visualiser une partie des donn\u00e9es alors que le cryptage ne permet qu\u2019aux utilisateurs autoris\u00e9s de visualiser l\u2019ensemble des donn\u00e9es<\/strong>. La pseudonymisation et le cryptage peuvent toutefois \u00eatre utilis\u00e9s simultan\u00e9ment ou s\u00e9par\u00e9ment.<\/p>\n

Si WhatsApp garantit bien un chiffrement de bout en bout pour tous les \u00e9changes, certaines donn\u00e9es peuvent toutefois \u00eatre partag\u00e9es avec les autres entit\u00e9s de Facebook telles que le num\u00e9ro de t\u00e9l\u00e9phone, les donn\u00e9es de transactions ou des informations sur les \u00e9changes de l\u2019utilisateur. Actuellement, les principales informations partag\u00e9es avec Facebook sont le pseudonyme, la photo de profil utilis\u00e9e, le num\u00e9ro de t\u00e9l\u00e9phone de l\u2019utilisateur et de tous ses contacts, les messages publi\u00e9s en \u201c statut \u201d<\/i>, les adresses IP\u00a0[9<\/a>]<\/span> et les donn\u00e9es de connexion relatives aux appareils des utilisateurs. Si Facebook ne peut donc pas acc\u00e9der aux chat en raison du cryptage de bout en bout, la soci\u00e9t\u00e9 peut toutefois revendre les donn\u00e9es de ses utilisateurs.<\/p>\n

Signal est \u00e9galement une application de messagerie s\u00e9curis\u00e9e qui dispose d\u2019un chiffrement tr\u00e8s robuste et qui s\u2019applique par d\u00e9faut de tous les contenus \u00e9chang\u00e9s. L\u2019ensemble des \u00e9changes est donc chiffr\u00e9 sans que l\u2019utilisateur n\u2019ait besoin d\u2019intervenir. La messagerie propose \u00e9galement pour chaque discussion un num\u00e9ro de s\u00e9curit\u00e9 unique destin\u00e9 \u00e0 assurer la s\u00e9curit\u00e9 des messages et des appels. L\u2019application requiert cependant un num\u00e9ro de t\u00e9l\u00e9phone ou une adresse mail. Signal propose \u00e9galement des options int\u00e9ressantes pour la protection des donn\u00e9es comme l\u2019autodestruction des messages au bout de quelques secondes ou quelques minutes selon les param\u00e8tres choisis. L\u2019application est, de plus, g\u00e9r\u00e9e par un organisme \u00e0 but non lucratif, contrairement \u00e0 WhatsApp ou Instagram. De plus, depuis le d\u00e9but Signal publie en toute transparence le code source\u00a0[10<\/a>]<\/span> de ses applications.<\/p>\n

Si WhatsApp et Signal n\u2019ont pas le m\u00eame engagement en mati\u00e8re de traitement des donn\u00e9es, les deux services fonctionnent sur le m\u00eame mod\u00e8le. Ce sont des applications mobiles qui identifient les contacts par leur num\u00e9ro de t\u00e9l\u00e9phone et les mettent en relation \u00e0 l\u2019aide d\u2019un serveur central. Signal a d\u2019ailleurs r\u00e9cemment \u00e9t\u00e9 critiqu\u00e9e pour avoir commenc\u00e9 \u00e0 stocker les contacts des utilisateurs de mani\u00e8re chiffr\u00e9e sur ses serveurs.<\/p>\n

Telegram propose \u00e9galement un chiffrement de bout en bout, ce qui garantit bien la confidentialit\u00e9 des \u00e9changes. Mais certaines fonctions peuvent \u00eatre moins s\u00e9curis\u00e9es que d\u2019autres ou ne sont pas appliqu\u00e9es par d\u00e9faut. Enfin, certaines m\u00e9tadonn\u00e9es ne sont pas chiffr\u00e9es et peuvent donc \u00eatre collect\u00e9es. Il est s\u00e9curis\u00e9 par le protocole MTProto\u00a0[11<\/a>]<\/span> qui assure par d\u00e9faut un chiffrement serveur-client pour toutes les conversations. Toutefois, pour davantage de s\u00e9curit\u00e9, l\u2019utilisateur doit prendre l\u2019initiative de cr\u00e9er des discussions secr\u00e8tes. Ces discussions secr\u00e8tes offrent un niveau de s\u00e9curit\u00e9 suppl\u00e9mentaire avec un cryptage client-client. Elles ne passent pas par le cloud Telegram. C\u2019est une messagerie qui demande peu d\u2019informations \u00e0 ses utilisateurs.<\/p>\n

Pour cr\u00e9er son compte, il suffit de renseigner son num\u00e9ro de t\u00e9l\u00e9phone. Il envoie \u00e0 son utilisateur alors un code unique par SMS qui lui sera demand\u00e9 lors de votre premi\u00e8re connexion. Ce dispositif permet \u00e9galement de r\u00e9cup\u00e9rer facilement son compte sur d\u2019autres appareils. Toutefois cette authentification n\u2019est pas vraiment s\u00e9curis\u00e9e. Les textos ne sont, en effet, pas chiffr\u00e9s, m\u00eame si Telegram vous notifie syst\u00e9matiquement lorsqu\u2019un nouvel appareil se connecte \u00e0 votre compte et vous permet de mettre fin \u00e0 la session concern\u00e9e.<\/p>\n

S\u2019ajoute alors une possibilit\u00e9 suppl\u00e9mentaire de s\u00e9curisation\u00a0: la double authentification. A chaque connexion Telegram demandera \u00e0 l\u2019utilisateur son num\u00e9ro de t\u00e9l\u00e9phone, le code re\u00e7u par SMS et un mot de passe. Il faut privil\u00e9gier un mot de passe robuste et unique. Telegram permet \u00e9galement de choisir \u00e0 qui s\u2019affichent les informations de son profil\u00a0: ses contacts ou personne. L\u2019application permet \u00e9galement d\u2019utiliser les technologies de d\u00e9verrouillage biom\u00e9triques comme Touch ID\u00a0[12<\/a>]<\/span> ou Face ID\u00a0[13<\/a>]<\/span>. Enfin l\u2019application propose de programmer la suppression automatique de son compte si aucune activit\u00e9 n\u2019est d\u00e9tect\u00e9e entre 1 et 12 mois. En d\u00e9finitive, Telegram permet de prot\u00e9ger ses donn\u00e9es mais il suppose que son utilisateur soit tr\u00e8s proactif.<\/p>\n

Olvid\u00a0: la solution fran\u00e7aise innovante cr\u00e9\u00e9e par des chercheurs en cryptographie.<\/h4>\n

L\u2019application fran\u00e7aise Olvid dispose d\u2019un protocole de chiffrement qui permet un lien direct entre les contacts sans passer par un serveur global, ce qui prot\u00e8ge les \u00e9changes et les m\u00e9tadonn\u00e9es. WhatsApp et Signal passent, quant \u00e0 elles, par un tiers de confiance. La s\u00e9curit\u00e9 des \u00e9changes est renforc\u00e9e par l\u2019absence de serveur dans la mise en relation des interlocuteurs.<\/p>\n

De plus, et \u00e0 la diff\u00e9rence de Signal, l\u2019utilisateur n\u2019a pas besoin de renseigner son num\u00e9ro de t\u00e9l\u00e9phone ou son adresse mail car il n\u2019y a pas de compte \u00e0 cr\u00e9er, ce qui fait une donn\u00e9e personnelle de moins \u00e0 transmettre. Le carnet d\u2019adresse n\u2019est pas non plus transmis \u00e0 l\u2019application. Une validation de chaque correspondant est demand\u00e9e pour que chaque utilisateur \u00e9tablisse son propre annuaire s\u00e9curis\u00e9. L\u2019application requiert seulement un nom et un pr\u00e9nom qu\u2019elle ne v\u00e9rifie pas et stocke sur la m\u00e9moire de votre t\u00e9l\u00e9phone. Comme il n\u2019y a pas de notion de compte, il suffit de supprimer l\u2019application pour qu\u2019il ne reste rien.<\/p>\n

Lors de la premi\u00e8re utilisation, le carnet d\u2019adresse est vide. Olvid ne peut pas sugg\u00e9rer de personnes \u00e0 ajouter car l\u2019application n\u2019a pas acc\u00e8s aux contacts du t\u00e9l\u00e9phone. L\u2019utilisateur doit envoyer une invitation \u00e0 chaque personne qu\u2019il souhaite ajouter puis v\u00e9rifier son authenticit\u00e9 avant d\u2019\u00e9changer. Pour cela, Olvid utilise un moteur de cryptographie qui remplace l\u2019annuaire central utilis\u00e9 par WhatsApp ou Signal. Les utilisateurs doivent \u00e9changer un code PIN de quatre chiffres g\u00e9n\u00e9r\u00e9 sur leur t\u00e9l\u00e9phone lors de la demande de contact.<\/p>\n

Olvid est ainsi la seule application \u00e0 chiffrer les m\u00e9tadonn\u00e9es ce qui garantit l\u2019anonymat des interlocuteurs<\/strong>. Il est donc impossible de remonter jusqu\u2019\u00e0 l\u2019identit\u00e9 des utilisateurs. Aucun tiers ne peut les identifier, pas m\u00eame le serveur. A l\u2019inverse, WhatsApp et Signal disposent d\u2019un annuaire central qui regroupe l\u2019int\u00e9gralit\u00e9 des milliards de num\u00e9ros de t\u00e9l\u00e9phone des utilisateurs et qui joue le r\u00f4le de tiers de confiance dans la mise en relation, c\u2019est-\u00e0-dire qu\u2019il distribue les secrets cryptographiques entre les utilisateurs. En t\u00e9l\u00e9chargeant l\u2019application, l\u2019utilisateur autorise l\u2019acc\u00e8s \u00e0 son carnet d\u2019adresse\u00a0: ce qui permet ainsi aux applicatifs WhatsApp et Signal de d\u00e9tecter tous les contacts que cet utilisateur a enregistr\u00e9s.<\/p>\n

Or ces annuaires gigantesques repr\u00e9sentent un \u00e9norme risque de s\u00e9curit\u00e9 car il est tr\u00e8s difficile de prot\u00e9ger une telle infrastructure et l\u2019identit\u00e9 de l\u2019interlocuteur n\u2019est pas garantie. En effet, pour v\u00e9rifier l\u2019identit\u00e9 de son interlocuteur, il faut v\u00e9rifier que chacun poss\u00e8de bien les bons secrets cryptographiques ce qui se fait par le biais d\u2019une longue s\u00e9rie de caract\u00e8res ou d\u2019un QR Code\u00a0[14<\/a>]<\/span>.<\/p>\n

Mais cette proc\u00e9dure est optionnelle et souvent compliqu\u00e9e\u00a0: le QR Code n\u00e9cessite d\u2019\u00eatre physiquement proche et celle des caract\u00e8res est assez longue (environ 60 caract\u00e8res \u00e0 communiquer pour WhatsApp ou Signal). Avec Olvid, cette v\u00e9rification est obligatoire et s\u2019effectue avant de pouvoir entamer une discussion avec un interlocuteur. Les d\u00e9veloppeurs ont simplifi\u00e9 au maximum la proc\u00e9dure et il suffit que les utilisateurs se transmettent un code \u00e0 4 chiffres par t\u00e9l\u00e9phone, visioconf\u00e9rence ou en face \u00e0 face. Olvid dispose toutefois d\u2019une infrastructure de serveurs pour acheminer les messages mais le chiffrement des messages et des m\u00e9tadonn\u00e9es emp\u00eache quiconque d\u2019avoir acc\u00e8s \u00e0 vos donn\u00e9es. Le serveur n\u2019a qu\u2019un r\u00f4le de mise en relation.<\/p>\n

Il faut convient de noter que cette application est certifi\u00e9e CSPN\u00a0[15<\/a>]<\/span> aupr\u00e8s de l\u2019ANSSI\u00a0[16<\/a>]<\/span>comme messagerie instantan\u00e9e s\u00e9curis\u00e9e.<\/p>\n

A chacune et \u00e0 chacun donc de faire le choix de l\u2019application qui lui convient le mieux en fonction de ses gouts et de la protection qu\u2019il souhaite donner \u00e0 ses donn\u00e9es personnelles<\/strong>, sachant qu\u2019il convient de ne pas tomber dans une sorte schizophr\u00e9nie<\/strong>, relay\u00e9e par les r\u00e9seaux sociaux<\/i> <\/strong>, laquelle est le plus souvent inversement proportionnelle \u00e0 l\u2019importance que rev\u00eat en r\u00e9alit\u00e9 lesdites donn\u00e9es \u00e0 s\u00e9curiser<\/strong>.<\/p>\n

Les lectrices et lecteurs qui souhaitent comprendre les r\u00e8gles pos\u00e9es par le RGPD peuvent lire mon article \u00ab\u00a0Le RGPD\u00a0: qu\u2019est ce qui change au-del\u00e0 de cet acronyme\u00a0?\u00a0\u00bb<\/a><\/i><\/p>\n<\/div>\n<\/article>\n

Notes :<\/h4>\n
\n

[1<\/a>]\u00a0<\/span>WhatsApp est un syst\u00e8me de messagerie instantan\u00e9e chiffr\u00e9e qui a \u00e9t\u00e9 rachet\u00e9 en 2014 par Facebook<\/p>\n<\/div>\n

\n

[2<\/a>]\u00a0<\/span>Mark Zuckerberg est le cofondateur en 2004 du site et du r\u00e9seau social Facebook<\/p>\n<\/div>\n

\n

[3<\/a>]\u00a0<\/span>Instagram est un service de partage de photos et de vid\u00e9os fond\u00e9s en 2010 et rachet\u00e9 en 2012 par Facebook<\/p>\n<\/div>\n

\n

[4<\/a>]\u00a0<\/span>Messenger est un syst\u00e8me de messagerie instantan\u00e9e cr\u00e9\u00e9 par Facebook et qui est int\u00e9gr\u00e9 \u00e0 son r\u00e9seau social<\/p>\n<\/div>\n

\n

[5<\/a>]\u00a0<\/span>Le GPDP est l\u2019\u00e9quivalent de la CNIL en Italie<\/p>\n<\/div>\n

\n

[6<\/a>]\u00a0<\/span>R\u00e8glement G\u00e9n\u00e9ral de la Protection des Donn\u00e9es<\/p>\n<\/div>\n

\n

[7<\/a>]\u00a0<\/span>D\u00e9cision n\u00b0\u00a0MED-2017-075 du 27 novembre 2017 mettant en demeure la soci\u00e9t\u00e9 WHATSAPP<\/a>.<\/p>\n<\/div>\n

\n

[8<\/a>]\u00a0<\/span>Les m\u00e9tadonn\u00e9es sont des informations simplifi\u00e9es de donn\u00e9es<\/p>\n<\/div>\n

\n

[9<\/a>]\u00a0<\/span>L\u2019adresse IP est un num\u00e9ro d\u2019identification attribu\u00e9 \u00e0 un appareil connect\u00e9 au r\u00e9seau Internet<\/p>\n<\/div>\n

\n

[10<\/a>]\u00a0<\/span>Le code source est un texte qui pr\u00e9cise les instructions d\u2019un programme informatique dans un langage de programmation et qui permet ainsi que ce programme soit compr\u00e9hensible et utilisable dans le langage humain<\/p>\n<\/div>\n

\n

[11<\/a>]\u00a0<\/span>Le protocole MTProto assure par d\u00e9faut un chiffrement s\u00e9curis\u00e9 entre le serveur et l\u2019utilisateur<\/p>\n<\/div>\n

\n

[12<\/a>]\u00a0<\/span>Touch ID est un syst\u00e8me de lecture d\u2019empreinte digitale<\/p>\n<\/div>\n

\n

[13<\/a>]\u00a0<\/span>Face ID est un syst\u00e8me de lecture faciale du visage<\/p>\n<\/div>\n

\n

[14<\/a>]\u00a0<\/span>Le QR Code est l\u2019abr\u00e9viation de \u00ab\u00a0Quick Response Code\u00a0\u00bb<\/i>. C\u2019est un code-barres en 2D qui permet de stocker des informations. Il peut \u00eatre d\u00e9chiffr\u00e9 par un logiciel de lecture appropri\u00e9 \u00e0 partir d\u2019un smartphone ou d\u2019une tablette<\/p>\n<\/div>\n

\n

[15<\/a>]\u00a0<\/span>CSPN\u00a0: Certificat de S\u00e9curit\u00e9 de Premier Niveau. La CSPN, mise en place par l\u2019ANSSI en 2008, permet d\u2019attester que le produit en question a subi avec succ\u00e8s une \u00e9valuation de s\u00e9curit\u00e9 par un centre d\u2019\u00e9valuation agr\u00e9\u00e9 par ANSSI<\/p>\n<\/div>\n

\n

[16<\/a>]\u00a0<\/span>Agence nationale de la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information<\/p>\n<\/div>\n

 <\/p>\n<\/div>\n

\n
\n

Patrick Lingib\u00e9
Vice-Pr\u00e9sident de la Conf\u00e9rence des B\u00e2tonniers de France
Ancien membre du Conseil national des barreaux
Avocat associ\u00e9 Cabinet JURISGUYANE
Sp\u00e9cialiste en droit public
Dipl\u00f4m\u00e9 en droit routier
M\u00e9diateur Professionnel
Membre du r\u00e9seau d\u2019avocats et d\u2019huissier EUROJURIS
Membre de l\u2019Association des Juristes en Droit des Outre-Mer (AJDOM)<\/p>\n<\/div>\n

\n
\n
\n
\n
\n
<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Cet article fait le point sur les applicatifs de messagerie instantan\u00e9e au niveau de la protection des donn\u00e9es \u00e9chang\u00e9es entre les utilisateurs. Cette probl\u00e9matique a \u00e9t\u00e9 relanc\u00e9e avec la nouvelle politique de Facebook qui souhaite partager les donn\u00e9es de sa filiale WhatsApp avec les autres structures du groupe. \u00a0Rachet\u00e9 par Facebook en 2014, WhatsApp\u00a0[1] b\u00e9n\u00e9ficiait<\/p>\n","protected":false},"author":33,"featured_media":23814,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":"","rank_math_focus_keyword":"","rank_math_title":"","rank_math_description":"","rank_math_canonical_url":"","rank_math_robots":null,"rank_math_facebook_title":"","rank_math_facebook_description":"","rank_math_twitter_title":"","rank_math_twitter_description":""},"categories":[819],"tags":[],"class_list":["post-23813","post","type-post","status-publish","format-standard","has-post-thumbnail","category-justice"],"acf":[],"_links":{"self":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts\/23813","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/users\/33"}],"replies":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/comments?post=23813"}],"version-history":[{"count":0,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts\/23813\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/media\/23814"}],"wp:attachment":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/media?parent=23813"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/categories?post=23813"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/tags?post=23813"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}

Le chiffrement est la technique utilis\u00e9e par les applications de messagerie instantan\u00e9e pour s\u00e9curiser les \u00e9changes<\/strong>. Le chiffrement de bout en bout int\u00e9gral permet de crypter ainsi tous les moyens de communications (discussions priv\u00e9es ou en groupe, appels audio ou vid\u00e9o, etc.) ainsi que les m\u00e9tadonn\u00e9es\u00a0[8<\/a>]<\/span>. L\u2019objectif est d\u2019emp\u00eacher qu\u2019un acteur ext\u00e9rieur ait acc\u00e8s au contenu des messages. La discussion est donc ind\u00e9chiffrable sur les serveurs qui h\u00e9bergent l\u2019application. L\u2019\u00e9quipe de d\u00e9veloppeurs qui g\u00e8re ce serveur n\u2019a pas non plus acc\u00e8s aux donn\u00e9es.<\/p>\n