Dignilog-Pascal Vautrin

@dignilog.bsky.social

368 Followers 186 Following

Cookies, Tracking, Privacy, and so on...

Un homme d'affaire sourit à son bureau, les pieds sur la table. En encart en haut à gauche de l'image, l'extrait de l'article 88b du paquet Omnibus "The data subject shall be able to [give consent or] refuse a request for consent and exercise the right to object pursuant to Article 21(2) through automated and machine-readable means."
Consenter Universe In today's digital world, privacy and data protection are just as important as the innovations that are generated with data – and users’ consent plays a pivotal role in this conflict of interests. However, explaining this conflict of interest to users in such a way that they can make real decisions that meet their needs is challenging. Consenter bridges the gap between the expectations of users, data-driven services, technology providers and regulators. By providing seamless, user-friendly privacy solutions, Consenter helps users control their data, ensures legal compliance for businesses, and increases trust in the digital world in an empirically validated manner.
Enfin, la CNIL réitère ses regrets que la PDS ne dispose toujours pas à ce jour d’un prestataire susceptible de répondre à ses besoins tout en protégeant les données du SNDS contre les accès des autorités publiques d’Etat tiers. Elle rappelle avoir autorisé le 21 décembre 2023 l’entrepôt "EMC2" hébergé via la solution technique de la PDS en considération des assurances de cette dernière et du Gouvernement qu’une solution, fût-elle temporaire, serait rapidement trouvée pour assurer un hébergement souverain des données du SNDS (offre intercalaire). Si le projet de stratégie nationale pour l’utilisation secondaire des données de santé prévoit un plan d’actions à ce sujet, elle relève qu’aucun appel d’offre n’a été publié en ce sens. Elle prend note du fait que le Gouvernement a indiqué qu’il est en préparation. La CNIL ne peut qu’inciter à nouveau le Gouvernement et la PDS à travailler activement à la mise en place d’une solution souveraine permettant aux organismes d’avoir accès rapidement aux données du SNDS à des fins de recherche scientifique
La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement.
3 images de gauche à droite : l'une montrant un tap sur un téléphone mobile, une deuxième montrant une souris d'ordinateur, et une dernière montrant une télécommande TV
Capture d'écran montrant le dépôt de cookies _GRECAPTCHA, _ga, _gid et uuid de la solution Brevo
Fenêtre apparaissant sur le site de JP Blog, avec la mention suivante, et un seul bouton : "J'approuve" "Nous nous engageons à respecter la confidentialité des renseignements personnels que nous collectons. A l'exception de l'inscription à la lettre d'information, les renseignements collectés le sont à des fins de statistiques et ne contiennent pas d'informations nominales."
Logo du site "JP Blog"
In case significant negative developments in the U.S. legal framework on which the adequacy decision is based result in the level of protection afforded to data transferred no longer being adequate, the Commission will not hesitate to propose to suspend, withdraw, or amend the adequacy decision. If needed, this could be done by way of an urgency procedure, for instance, if EO 14086 or any other relevant piece of U.S. legislation is changed in a way that affects the level of protection found adequate.
Liste des entités finançant (non volontairement mais par manque de maîtrise)via la publicité en ligne un site contenant des images à caractère pédopornographique. Dans cette liste sont cités L'Oréal et Yves Rocher.
Fake ad showing plane ticket price from Berlin to Paris. One can read : Title : "You thought paying for your seat was annoying ?" "Ticket + data sharing : 199,99 € Ticket + Privacy : 224,50 €"
Il apparaît qu’au regard de l’absence d’indications sur les méthodes de pseudonymisation employées, un doute plus que raisonnable peut s’établir quant au caractère personnel des données transférées dans ce contexte. Pour aller plus loin, je me permets d’appeler l’attention de vos services sur le degré de granularité et / ou d’agrégation des données transférées dont je ne connais pas la nature. A titre d’exemple, des données de type : « un voyageur Z réalise un trajet du lundi au vendredi aux mêmes horaires (connus) en période scolaire de la gare de « X » (de mille habitants) à la gare « Y » (De mille habitants également) » sont suffisamment discriminantes pour qu’un rapport soit établi entre ces données et une personne identifiable.
Aux institutions académiques : FAIRTIQ est légitimée à livrer des données pseudonymisées aux institutions académiques en Suisse, au sein de l’UE ou de l’EEE à des fins de recherches scientifiques non-personnelles aux conditions suivantes : A. FAIRTIQ prend les mesures nécessaires pour prévenir l’identification des personnes concernées autant que possible par le biais de la pseudonymisation. B. Les résultats de la recherche ne peuvent être publiés ni transmis d’une quelconque autre manière que si aucune conclusion ne peut être tirée sur les personnes concernées. Le client a le droit de s’opposer à la divulgation de ses données à des fins de recherche en tout temps et sans subir de désavantage (veuillez consulter le chapitre P. Droit d’opposition pour plus d’information).
79. Il en résulte que, selon moi, l’obligation d’information incombant au CRU s’appliquait en l’espèce en amont du transfert des données en cause et indépendamment de leur caractère personnel ou non entre les mains de Deloitte.
58. Les arguments du CEPD et du Comité européen de la protection des données concernant les dangers découlant d’une interprétation trop stricte des données à caractère personnel ne me convainquent pas. En effet, le fait que les règles découlant du règlement 2018/1725 ne s’appliquent pas aux données se rapportant à des personnes non identifiables n’empêcherait pas d’engager, le cas échéant, la responsabilité juridique des entités qui seraient à l’origine de comportements répréhensibles, par exemple, en cas de divulgation des données entraînant un préjudice. En revanche, il me semble disproportionné d’imposer à une entité, qui ne pourrait raisonnablement pas identifier les personnes concernées, des obligations découlant du règlement 2018/1725 (27), obligations que cette entité ne pourrait, par hypothèse, pas respecter ou qui l’obligeraient précisément à tenter d’identifier les personnes concernées. 59. Au vu de ces considérations, si l’on analyse le litige au regard des données telles que transférées à Deloitte, je suis d’avis que, contrairement à ce que soutient le CEPD, il convenait de déterminer si le traitement de pseudonymisation des données en cause était suffisamment robuste pour conclure que les réclamants, auteurs des informations transmises à Deloitte, n’étaient pas raisonnablement identifiables. Autrement dit, dans ce contexte, si Deloitte disposait de moyens raisonnables d’identifier lesdits réclamants, il pourrait être considéré comme traitant des données à caractère personnel.
43. Ce grief illustre l’existence de deux approches très différentes de la portée du champ d’application des règles de la protection des données. Faut-il y inclure automatiquement les données pseudonymisées au seul motif que les personnes concernées restent identifiables, quelle que soit l’accessibilité aux données supplémentaires d’identification, ou faut-il considérer que, à la suite du processus de pseudonymisation, les données ne revêtent un caractère personnel que pour les personnes qui peuvent raisonnablement identifier les personnes concernées ?
39. J’ajouterais que, certes, les commentaires en cause, tels que transférés à Deloitte, ont été « filtrés, catégorisés et agrégés », de sorte que, ainsi que cela ressort des faits établis par le Tribunal (18), les commentaires individuels ne pouvaient pas être distingués au sein d’un même thème ; cependant, il peut être admis que, même agrégés, ces commentaires collectifs reflètent, dans leur contenu, des points de vue personnels concernant la valorisation 3. En effet, ils constituent une somme d’opinions qui, comme telles, constituent des informations qui se rapportent aux personnes les ayant exprimées. Leur filtrage, leur catégorisation et leur agrégation ne modifient pas ce constat, sans quoi il suffirait, pour échapper à la condition d’information « se rapportant » à une personne physique, d’agréger plusieurs points de vue. Le fait de ne pas pouvoir, au sein de cette somme de commentaires, distinguer les différentes opinions individuelles me semble relever davantage de la seconde condition cumulative, relative à l’identifiabilité des personnes concernées, examinée dans le cadre de la seconde branche du présent moyen, que de celle impliquant que le commentaire soit « lié » à une personne physique. 40. Dans ces circonstances, je suis d’avis que l’appréciation du Tribunal peut être considérée comme entachée d’une erreur de droit à cet égard, en ce qu’il a considéré que le CEPD n’avait pas satisfait à l’examen exigé par l’arrêt Nowakpour conclure que les commentaires en cause « se rapportaient » à des personnes physiques, au sens de l’article 3, point 1, du règlement 2018/1725.
104 Or, il ressort du point 45 de l’arrêt du 19 octobre 2016, Breyer(C-582/14, EU:C:2016:779), cité au point 92 ci-dessus, qu’il appartenait au CEPD de déterminer si la possibilité de combiner les informations qui avaient été transmises à Deloitte avec les informations supplémentaires détenues par le CRU constituait un moyen susceptible d’être raisonnablement mis en oeuvre par Deloitte pour identifier les auteurs des commentaires. 105 Partant, à défaut pour le CEPD d’avoir recherché si Deloitte disposait de moyens légaux et réalisables en pratique lui permettant d’accéder aux informations supplémentaires nécessaires à la réidentification des auteurs des commentaires, le CEPD ne pouvait conclure que les informations transmises à Deloitte constituaient des informations se rapportant à une « personne physique identifiable » au sens de l’article 3, point 1, du règlement 2018/1725.
Certes, il ne saurait être exclu que des points de vue personnels ou des opinions constituent des données à caractère personnel. Toutefois, il ressort des points 34 et 35 de l’arrêt du 20 décembre 2017, Nowak(C-434/16, EU:C:2017:994), cités aux points 68 et 69 ci-dessus, qu’une telle conclusion ne peut être fondée sur une présomption telle que celle décrite aux points 71 et 72 ci-dessus, mais doit s’appuyer sur l’examen visant à déterminer si, par son contenu, sa finalité ou son effet, un point de vue est lié à une personne déterminée.
A gauche, screen de la cookie banner du monde. Si l'utilisateur clique sur "Accepter et continuer", il a un accès très partiel à l'article souhaité. A droite, screen portant cette mention : "Envie de lire la suite ? Les articles du Monde en intégralité à partir de 7,99 € par mois".
Consent or pay” models must meet the standard for freely given consent. You must be able to demonstrate that people have a free choice to give consent and that they are not unfairly penalised for withdrawing or refusing consent. If you are offering a “consent or pay” model, you should offer broadly the same core product or service under either option. You should identify your core product or service and demonstrate that both the “consent” and “pay” options provide the core product or service. If you are offering more options, you may need to further consider how the equivalence principle applies to ensure there is freely given consent.
CMP présentant les mentions en bouton "Tout accepter" et "Paramétrer vos choix", et un lien en haut à gauche, "continuer sans accepter"
Étant donné que les utilisateurs qui n’ont pas donné leur accord je ne peux pas les suivre, Le chiffre 100 est une inconnue. Je travaille pour nos clients avec Sirdata qui propose une cmp qui travaille contre l’outil de décroissance qu’est la bannière de consentement. Pas de navigation sans réponse et surtout la possibilité de continuer sans accepter, ce qui ne veut pas dire que l’on refuse et cela permet donc d’utiliser l’intérêt légitime et de suivre les utilisateurs dans une certaine mesure.
Fake ad showing plane ticket price from Berlin to Paris. One can read : Title : "You thought paying for your seat was annoying ?" "Ticket + data sharing : 199,99 € Ticket + Privacy : 224,50 €"
Image showing organizational chart of PCLOB, featuring Beth Williams four times.
Second, it must be stressed that contextual advertising is not a realistic alternative for the majority of market players as it does not generate comparable revenue to personalised advertising. It was confirmed by the studies conducted by academics, public authorities and research conducted by the industry. The most robust study on the matter, which looks at more than 10,000 European publishers12, shows that 90% of publishers sell ads at a lower price in the absence of cookies or advertising identifiers, with a relative price difference of -50.9% for news & information publishers whose serious news content does not lend itself to contextual
Lastly, the EDPB should refrain from creating new concepts as it happened in the EDPB’s previous Opinion 08/2024 when it talked about “large online platforms”, a notion that has no basis in the GDPR and is not based on any objective or measurable factors, thus creating legal uncertainties.
Additionally the EDPB should not consider that the mere existence of a CorP model automatically means an imbalance of power exists; the balance of power would only be relevant if other factors such as market dominance, relevant market definition, essential nature of an online service, availability of alternative services, were also at play. In any case any assessment of market power involves a deep economic analysis that can only be performed in coordination with the competition authorities.
Yet there is no fundamental right to access digital content and services for free (at most, there is a right to request the benefit from a service, against the conditions set by the service provider), and the fact that consumers are offered a further alternative to benefit from the service at no cost based on their consent to personalised advertisements has no impact over the fairness of the initial bargain (i.e. paying for a service or not receiving it). Put differently: just as the fact that paying for a service
the legality of CorP has already been recognised by multiple court decisions1 in different member states (MS), at the European Union (EU) level2 and by DPAs3 that provided guidelines on how to implement it in accordance with the GDP
Now, clearing my throat , Schrems is back on the scene . Will we see a Schrems III ruling? There is already a request submitted to the European Parliament's Committee on Petitions. It was presented by Frenchman Pascal Vautrin, who spoke at the European Parliament in November last year. In his speech, Vautrin recalled that the current data transfer agreement “is linked to the US foreign intelligence services law”. “Section 702 of the Act allows US intelligence services to collect data on non-US citizens by forcing electronic communications service providers to hand it over.” “In April, the US Congress renewed this section for two more years and drastically expanded its scope.” Pascal Vautrin Vautrin calls on the Union to reconsider or simply annul this data transfer agreement , recalling that the first agreement between the US and the EU was annulled in 2015 and that in 2020 the CJEU again struck down the second agreement.
IAB Europe + nationales : Feedback paper on the European Data Protection Board’s stakeholders event regarding “Consent or Pay” models
Feedback paper on the European Data Protection Board’s stakeholders event regarding “Consent or Pay” models
In case significant negative developments in the U.S. legal framework on which the adequacy decision is based result in the level of protection afforded to data transferred no longer being adequate, the Commission will not hesitate to propose to suspend, withdraw, or amend the adequacy decision. If needed, this could be done by way of an urgency procedure, for instance, if EO 14086 or any other relevant piece of U.S. legislation is changed in a way that affects the level of protection found adequate.
For instance, the prohibition of so-called ‘abouts collection’, which refers to email communications that are not sent ‘to’ or ‘from’ the selected email address but include the selected email address in the email text or body.
The DoJ has confirmed that an ‘extremely small’ number of companies is affected by that provision and named the companies concerned in a classified annex for Congress. The DoJ also committed to report to Congress every six months on any application of the updated definition to allow Congress the exercise of appropriate oversight as regard the narrow application of the definition.
European Parliament 2024-2029 Committee on Petitions 7.1.2025 NOTICE TO MEMBERS Subject: Petition No 0529/2024 by Pascal Vautrin (French) on the EU-US Data Privacy Framework
Lorsque certaines caractéristiques, telles que l’âge, une infirmité physique ou mentale ou la crédulité, rendent un groupe particulier de consommateurs particulièrement vulnérable à une pratique commerciale ou au produit qu’elle concerne, ou lorsque le comportement économique de ce seul groupe de consommateurs est susceptible d’être altéré par cette pratique d’une manière que le professionnel peut raisonnablement prévoir, il y a lieu de veiller à ce que ce groupe soit suffisamment protégé, en évaluant la pratique en cause du point de vue du membre moyen de ce groupe.
La décision du Conseil d’État sur les cookie walls Par une décision du 19 juin 2020, le Conseil d’État a jugé que l’exigence d’un consentement libre ne pouvait pas justifier une interdiction générale de la pratique des « murs de traceurs », la liberté du consentement des personnes devant être appréciée au cas par cas, en tenant compte notamment de l’existence d’alternative réelle et satisfaisante proposée en cas de refus des cookies. La CNIL et le CEPD ont appelé, à plusieurs reprises, le législateur européen à fixer des règles plus précises en la matière dans le futur règlement européen ePrivacy, en cours d’élaboration.
"La Cour de justice de l'UE a validé en 2023 le principe du pay or consent, tout comme plusieurs autorités nationales de protection de données, y compris la Cnil ou l'autorité autrichienne. On peut s'interroger sur le fonctionnement de et la légitimité de l'EDPB, qui vient mettre à mal les décisions précédentes de certaines autorités alors qu'il est censé statutairement s'appuyer sur elles pour l'élaboration de ses propres décisions", ajoute Pierre Devoize, directeur général adjoint de l'Alliance Digitale.
6. Conclusion This work is the first to study the Tags within the Google Tag Manager, their behavior and the data types they collect through three studies, including a first automated large-scale study of 718 Tags. We discovered multiple hidden data leaks, unclear documentation, undisclosed third-parties and personal data sharing without consent, and provided a legal analysis and derived compliance issues for our findings. Our results demonstrate compliance implications for Publishers, the most critical being that disclosures in Tags documentation are incomplete anddiverging. This fact introduces an important burden for Publishers to understand the data collection practices of each specific Tags and all third-parties it includes, leaving Publishers struggling to meet their legal obligations.
4.3.1. Data is actively collected via “cookieless pings”, but declared in the documentation as passively collected. In our experiment, we compared the URL parameters of all six requests13 initiated by Google Tag under two consent choices : accept all and refuse all (see §3.5). We found that the URL parameters under these two consent choices contain the same data, meaning that the Google Tag actively collects user language, screen resolution, computer architecture, user agent string, operating system and its version, complete URL of the visited webpage, search keyword on the visited webpage14 and sends it to the Google server. Differently from Google’s documentation that entails that data is passively sent, our results demonstrate that data is actively collected by Google Tag and added to the request in the URL parameters. Moreover, this data is always sent, regardless of the consent choices, since it’s sent both under accept all and decline all conditions.
logo de GTM tamponné "illegal", avec un point d'interrogation
Deux fenêtres de consentement : à gauche, celle de BFMTV, avec un bouton très visible "Accepter et fermer" et un lien minuscule ""Continuer sans accepter" noyé dans le texte. A droite : la même fenêtre, mais avec la mention "Tout refuser" dans le bouton très visible, et "accepter" en lieu et place du lien minuscule.
L'équivalence dans la langue mathématique Dans les textes mathématiques, on exprime que deux propositions P et Q sont équivalentes par : P si et seulement si Q (parfois abrégé en P ssi Q) ; Pour que P, il faut et il suffit que Q ; Une condition nécessaire et suffisante (CNS) pour P est Q ; P est une condition nécessaire et suffisante pour Q ; P équivaut à Q. Propriétés La relation d'équivalence logique, notée ≡ ci-dessous, est une relation d'équivalence, soit : P ≡ P (la relation d'équivalence est réflexive) ; Si P ≡ Q, alors Q ≡ P (la relation d'équivalence est symétrique) ; Si P ≡ Q et Q ≡ R, alors P ≡ R (la relation d'équivalence est transitive). Cette relation d'équivalence est compatible avec les connecteurs logiques. De plus en logique classique : ¬¬P ≡ P.
Extrait d'une lettre adressée à l'association PURR de la part de la Présidente de la CNIL: "Je considère que la figure 5 de la recommandation répond en tous points à ces considérations en proposant une EQUIVALENCE entre les modalités de refus et d'acceptation".