[Tribune] Troisième anniversaire du RGPD : vers un équilibre entre sécurité et usages ?

Trois ans se sont écoulés depuis la mise en oeuvre du Règlement général sur la protection des données (RGPD) voté par le Parlement européen en avril 2016 avant d'être appliqué au sein des 27 pays de l'Union européenne à compter du 25 mai 2018. En 2021, celui-ci est-il arrivé à maturité ? Depuis sa mise en place, il ne fait aucun doute que le paysage mondial de la protection de la vie privée a évolué, et que le RGPD a su faire la preuve de son bien-fondé. Toutefois, la totalité de la population européenne ne semble pas encore assez concernée par la protection de la vie privée en ligne.

Le RGPD : une nécessité

Premier élément : le RGPD a su démontrer, en trois années d'exercice, son utilité. Au moment de son application, le règlement visait à protéger les données personnelles des utilisateurs. Il était alors devenu urgent d'agir de la sorte, tant certaines dérives avaient pu être constatées. On se souvient notamment du scandale Cambridge Analytica, caractérisé dès 2014 par le détournement, l'analyse et la réutilisation usurpatoire de données personnelles à des fins électorales sur Facebook.

Dès 2018, en Europe, le changement est immédiat. La nouvelle gestion imposée par le RGPD permet aux utilisateurs de consentir au déclenchement des cookies lorsqu'ils entrent sur un site. Le RGPD consolide ainsi les droits des personnes, via des mesures comme le droit à l'oubli ou la portabilité des données à caractère personnel. Il permet également que les acteurs en charge du traitement des données personnelles soient responsabilisés et améliore la régulation des données, notamment sur la scène internationale. Désormais, quiconque peut saisir la CNIL pour effectuer une " notification d'une violation de données personnelles ". Preuve d'un réel besoin : la CNIL a recensé au cours de l'unique année 2019 près de 14 000 plaintes, soit une augmentation de 27% par rapport à 2018. Celle-ci ne s'est pas démentie depuis.

Un bilan en demi-teinte

Est-ce pour autant que le RGPD constitue un cadre idéal ? Nous pouvons sans doute estimer que celui-ci demeure encore perfectible et qu'il pourrait être amélioré sur quelques points. En cause : les cookies. Ces fichiers texte stockés localement sur notre ordinateur lors de nos visites de pages Web se révèlent essentiels à notre utilisation d'Internet et contribuent à améliorer la sécurité de nos titres de compétence. Dans la plupart des cas, il s'agit de cookies de session, c'est-à-dire d'éléments appelés à être supprimés dans un certain laps de temps. Mais ils peuvent malheureusement aussi être persistants et demeurer actifs au-delà de la fermeture de Safari, Mozilla, Chrome ou Miscrosoft Edge...

Par ailleurs, l'usage que nous faisons du RGPD peut se révéler mécanique. Rares sont en effet les usagers d'Internet à lire attentivement les conditions d'utilisations auxquelles le RGPD les soumet. Dans la plupart des cas, ceux-ci acceptent les yeux fermés l'usage des cookies qui leur est proposé, au risque d'exposer leurs données personnelles. Ainsi, les " tracking cookies " ou cookies de suivi, sont devenus un réel casse-tête pour ceux qui apprécient leur vie privée en ligne. Que doit-on accepter ? Que risquons-nous ? De quoi, minimiser les effets du RGPD.

De tels choix sont tout aussi compliqués du côté des entreprises. Trouver un parfait équilibre entre l'expérience utilisateur, l'optimisation du site internet vitrine de la société et la sécurité des données se révèle être un exercice complexe. Comment éviter de perdre des clients potentiels, lassés par le temps passé à accepter les conditions d'utilisation ? Afin de pallier les manquements de fluidité sur certaines plateformes très sécurisées, certains continents optent pour de nouvelles méthodes de consentement tels que la reconnaissance faciale. Les Européens demeurent encore frileux face à cette idée pour des raisons de sécurité et de cadre juridique, contrairement aux Américains et aux Chinois. Avec un risque de voir de nouvelles pratiques prendre leur essor, rendant encore un peu plus poussif l'usage des plateformes européennes...

De bons réflexes à adopter

Nous n'en sommes encore pas là, et il existe dès à présent plusieurs réflexes à adopter si vous souhaitez améliorer votre vie privée et la sécurité de vos activités en ligne. En l'espèce rappelons les six règles d'or recommandées par les experts en cybersécurité :

- N'accédez pas à des sites potentiellement dangereux ou qui peuvent avoir été compromis. En ce sens, il est fortement recommandé d'utiliser une suite de sécurité comprenant un module qui bloque les pages Web qui exécutent des activités malveillantes.

- Maintenez votre navigateur et ses extensions à jour.

- N'installez pas d'extensions inutiles ou peu fiables.

- Configurez le navigateur pour qu'il n'accepte pas les cookies de tiers, supprimez ceux qui sont déjà enregistrés.

- Utilisez des " add-ons " qui bloquent l'utilisation de Javascript par défaut, n'activez que les scripts dignes de confiance.

- Une des caractéristiques de Tor est qu'il permet d'isoler les cookies de chaque site Web afin que votre activité ne puisse pas être suivie. De plus, il génère une fausse empreinte à partir de votre navigateur ; ainsi, tous les utilisateurs de Tor ont des empreintes presque identiques pour empêcher l'identification.

Le RGPD a été un réel chamboulement dans la sécurisation de nos données. Mais gardons à l'esprit qu'il n'existe ni intimité ni sécurité totale en ligne. En outre, nous pouvons toujours limiter les risques et sécuriser nos données personnelles grâce à quelques bons réflexes.

Benoit Grunemwald est expert en Cyber sécurité chez ESET France.