Dignilog-Pascal Vautrin
LightNews LightNews
banner
dignilog.bsky.social
Dignilog-Pascal Vautrin
@dignilog.bsky.social
360 followers 190 following 1.4K posts
Cookies, Tracking, Privacy, and so on...
Posts Replies Media Videos
dignilog.bsky.social
Bah ils ont sûrement besoin de mes conseils avisés, j’m’en vais leur en donner, mwa, du conseil.

Allons murmurer à leur oreille 😜

Et voilàààà, un peu de thune en adaptant la loi à mon produit, et à l’échelle européenne, c’est tellement mieux ! Elle est pas belle la vie ?
Un homme d'affaire sourit à son bureau, les pieds sur la table. En encart en haut à gauche de l'image, l'extrait de l'article 88b du paquet Omnibus "The data subject shall be able to [give consent or] refuse a request for consent and exercise the right to object pursuant to Article 21(2) through automated and machine-readable means."
November 13, 2025 at 8:54 AM
dignilog.bsky.social
Hey, bonjour !

Je me présente : je suis un professeur émérite de droit allemand, reconnu et écouté. Je cherche un moyen de résoudre le fameux problème de fatigue au consentement.

Mais bon, faut aussi que ça me rapporte des ronds…

1/N
Consenter Universe In today's digital world, privacy and data protection are just as important as the innovations that are generated with data – and users’ consent plays a pivotal role in this conflict of interests. However, explaining this conflict of interest to users in such a way that they can make real decisions that meet their needs is challenging. Consenter bridges the gap between the expectations of users, data-driven services, technology providers and regulators. By providing seamless, user-friendly privacy solutions, Consenter helps users control their data, ensures legal compliance for businesses, and increases trust in the digital world in an empirically validated manner.
November 13, 2025 at 8:54 AM
dignilog.bsky.social
HDH, épisode trop beaucoup.

Merci à @stephaniebas.bsky.social pour son (excellent, comme d'hab) article. Une fois n'est pas coutume : la CNIL ronge son frein, et grince des dents. 1/2

www.01net.com/actualites/d...
Enfin, la CNIL réitère ses regrets que la PDS ne dispose toujours pas à ce jour d’un prestataire susceptible de répondre à ses besoins tout en protégeant les données du SNDS contre les accès des autorités publiques d’Etat tiers. Elle rappelle avoir autorisé le 21 décembre 2023 l’entrepôt "EMC2" hébergé via la solution technique de la PDS en considération des assurances de cette dernière et du Gouvernement qu’une solution, fût-elle temporaire, serait rapidement trouvée pour assurer un hébergement souverain des données du SNDS (offre intercalaire). Si le projet de stratégie nationale pour l’utilisation secondaire des données de santé prévoit un plan d’actions à ce sujet, elle relève qu’aucun appel d’offre n’a été publié en ce sens. Elle prend note du fait que le Gouvernement a indiqué qu’il est en préparation. La CNIL ne peut qu’inciter à nouveau le Gouvernement et la PDS à travailler activement à la mise en place d’une solution souveraine permettant aux organismes d’avoir accès rapidement aux données du SNDS à des fins de recherche scientifique
March 16, 2025 at 8:50 PM
dignilog.bsky.social
Or donc, petit rappel fondamental : l'article 7(3) du RGPD
La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement.
March 1, 2025 at 9:55 AM
dignilog.bsky.social
On part d'un constat très simple : une image valant mieux qu'un long discours, en voici donc une ci-dessous. Me voit-on venir de loin ?
3 images de gauche à droite : l'une montrant un tap sur un téléphone mobile, une deuxième montrant une souris d'ordinateur, et une dernière montrant une télécommande TV
March 1, 2025 at 9:55 AM
dignilog.bsky.social
Still as beautiful and as strong! Thank you and well done, Ms. @meredithmeredith.bsky.social , for not compromising.

Know that there are responsible people (too few in number) in France who are defending your point of view. (e.g. @bothorel.bsky.social )

www.clubic.com/actualite-55...
February 27, 2025 at 7:10 PM
dignilog.bsky.social
J'aime beaucoup celle-ci. Traduction :
"Le DPF est foutu.
Et comment les entreprises européennes réagiront-elles à cette situation ?"
February 22, 2025 at 6:06 PM
dignilog.bsky.social
.../... La création de segments d'audiences de ce type (image ci-dessous), grâce à des myriades de "petits sites" édités par des personnes "qui n'ont pas beaucoup de moyens". Les conséquences pour les visiteurs ne sont pas négligeables. .../...
February 22, 2025 at 4:09 PM
dignilog.bsky.social
Ce serait déjà un peu bête (dans ce cas, autant ne pas mettre de fenêtre, mais pourquoi pas), mais non : ReCaptcha de Google, Google analytics, avec ses bons vieux cookies (les requêtes fonctionnent super, on confirme), et cookie de Brevo (ex sedinblue) sont actifs dès la page d'accueil. Youpi !
Capture d'écran montrant le dépôt de cookies _GRECAPTCHA, _ga, _gid et uuid de la solution Brevo
February 22, 2025 at 11:03 AM
dignilog.bsky.social
Voici donc "la fenêtre". Je ne peux pas dire qu'il s'agit d'une fenêtre "de consentement", puisqu'il n'y a AUCUNE recherche de consentement. Alors on pourrait penser que ce blog n'embarque que des solutions exemptées de consentement et que cette banner n'est qu'informative, n'est-ce pas ?
Fenêtre apparaissant sur le site de JP Blog, avec la mention suivante, et un seul bouton : "J'approuve" "Nous nous engageons à respecter la confidentialité des renseignements personnels que nous collectons. A l'exception de l'inscription à la lettre d'information, les renseignements collectés le sont à des fins de statistiques et ne contiennent pas d'informations nominales."
February 22, 2025 at 11:03 AM
dignilog.bsky.social
Suite à une question de @isimvix.bsky.social , petit fil très amusant sur le site "JP Blog", ou : "Comment peut-on être une pointure en droit constitutionnel et l'exact opposé en droit de protection des données". Allez, c'est parti. 1/N
Logo du site "JP Blog"
February 22, 2025 at 11:03 AM
dignilog.bsky.social
Juste comme ça, je ressert une fois encore le dernier paragraphe de la communication de @ec.europa.eu en réponse à la pétition que j'ai déposée (et qu'on peut toujours signer ici 👉 www.europarl.europa.eu/petitions/fr... )
In case significant negative developments in the U.S. legal framework on which the adequacy decision is based result in the level of protection afforded to data transferred no longer being adequate, the Commission will not hesitate to propose to suspend, withdraw, or amend the adequacy decision. If needed, this could be done by way of an urgency procedure, for instance, if EO 14086 or any other relevant piece of U.S. legislation is changed in a way that affects the level of protection found adequate.
February 19, 2025 at 11:54 AM
dignilog.bsky.social
Ainsi donc, le Président le la Commission des libertés civiles de @europarl.europa.eu interpelle @ec.europa.eu au sujet du #TADPF , suite au limogeage (appelons un chat un chat) de certains membres du PCLOB américain.
Bravo ! Excellente question 👏
1/3
February 19, 2025 at 11:54 AM
dignilog.bsky.social
Florilège des marques incriminées ci-dessous.

La CNIL, on arrête de rire, là.

Vous vous penchez sur le problème et vous travaillez en collab avec les autorités compétentes, siouplé ? Merci, ce serait bien aimable.
Liste des entités finançant (non volontairement mais par manque de maîtrise)via la publicité en ligne un site contenant des images à caractère pédopornographique. Dans cette liste sont cités L'Oréal et Yves Rocher.
February 14, 2025 at 9:53 AM
dignilog.bsky.social
Je doute fort que FAIRTIQ fournisse gratuitement ces données aux "institutions académiques". En définitive et dans les faits, elle les monétise. Et voilà comment on arrive, doucement mais sûrement, à ce concept (copyright de l'image : @noyb.eu )⤵️
Fake ad showing plane ticket price from Berlin to Paris. One can read : Title : "You thought paying for your seat was annoying ?" "Ticket + data sharing : 199,99 € Ticket + Privacy : 224,50 €"
February 10, 2025 at 10:57 AM
dignilog.bsky.social
Outre le fait que je conteste cette base légale se pose la difficulté lié au caractère personnel des données. Extrait de ma plainte⤵️
Il apparaît qu’au regard de l’absence d’indications sur les méthodes de pseudonymisation employées, un doute plus que raisonnable peut s’établir quant au caractère personnel des données transférées dans ce contexte. Pour aller plus loin, je me permets d’appeler l’attention de vos services sur le degré de granularité et / ou d’agrégation des données transférées dont je ne connais pas la nature. A titre d’exemple, des données de type : « un voyageur Z réalise un trajet du lundi au vendredi aux mêmes horaires (connus) en période scolaire de la gare de « X » (de mille habitants) à la gare « Y » (De mille habitants également) » sont suffisamment discriminantes pour qu’un rapport soit établi entre ces données et une personne identifiable.
February 10, 2025 at 10:57 AM
dignilog.bsky.social
FAIRTIQ collecte des données fines de géoloc au cours des trajets réalisés par les usagers. L'identité des personnes est ensuite pseudonymisée puis éventuellement transmise à des tiers "aux fins de recherches académiques".

L'intérêt légitime est revendiqué pour cette finalité.
Aux institutions académiques : FAIRTIQ est légitimée à livrer des données pseudonymisées aux institutions académiques en Suisse, au sein de l’UE ou de l’EEE à des fins de recherches scientifiques non-personnelles aux conditions suivantes : A. FAIRTIQ prend les mesures nécessaires pour prévenir l’identification des personnes concernées autant que possible par le biais de la pseudonymisation. B. Les résultats de la recherche ne peuvent être publiés ni transmis d’une quelconque autre manière que si aucune conclusion ne peut être tirée sur les personnes concernées. Le client a le droit de s’opposer à la divulgation de ses données à des fins de recherche en tout temps et sans subir de désavantage (veuillez consulter le chapitre P. Droit d’opposition pour plus d’information).
February 10, 2025 at 10:57 AM
dignilog.bsky.social
Enfin, dernière question : l'information aux personnes concernées de transmission à un tiers. L'AG conclut qu'elle était à faire car pour l'émetteur, ces données sont bien des données personnelles. L'émetteur aurait dû se positionner selon cette approche.

Conséquences non négligeables encore.
79. Il en résulte que, selon moi, l’obligation d’information incombant au CRU s’appliquait en l’espèce en amont du transfert des données en cause et indépendamment de leur caractère personnel ou non entre les mains de Deloitte.
February 8, 2025 at 3:10 PM
dignilog.bsky.social
Là en revanche, l'AG déboute le CEPD : les données pseudonymisées ne sont personnelles que du pour qui détient le pseudonyme ET l'info additionnelle, ou y a accès "avec des moyens raisonnables". Le CRU gagne sur ce point : si ces moyens existent, il faut le démontrer.
58. Les arguments du CEPD et du Comité européen de la protection des données concernant les dangers découlant d’une interprétation trop stricte des données à caractère personnel ne me convainquent pas. En effet, le fait que les règles découlant du règlement 2018/1725 ne s’appliquent pas aux données se rapportant à des personnes non identifiables n’empêcherait pas d’engager, le cas échéant, la responsabilité juridique des entités qui seraient à l’origine de comportements répréhensibles, par exemple, en cas de divulgation des données entraînant un préjudice. En revanche, il me semble disproportionné d’imposer à une entité, qui ne pourrait raisonnablement pas identifier les personnes concernées, des obligations découlant du règlement 2018/1725 (27), obligations que cette entité ne pourrait, par hypothèse, pas respecter ou qui l’obligeraient précisément à tenter d’identifier les personnes concernées. 59. Au vu de ces considérations, si l’on analyse le litige au regard des données telles que transférées à Deloitte, je suis d’avis que, contrairement à ce que soutient le CEPD, il convenait de déterminer si le traitement de pseudonymisation des données en cause était suffisamment robuste pour conclure que les réclamants, auteurs des informations transmises à Deloitte, n’étaient pas raisonnablement identifiables. Autrement dit, dans ce contexte, si Deloitte disposait de moyens raisonnables d’identifier lesdits réclamants, il pourrait être considéré comme traitant des données à caractère personnel.
February 8, 2025 at 3:10 PM
dignilog.bsky.social
Venons-en à la pseudonymisation. Tout d'abord, on applaudit l'établissement de la problématique par l'AG qui a parfaitement posé les différences d'approche⤵️
43. Ce grief illustre l’existence de deux approches très différentes de la portée du champ d’application des règles de la protection des données. Faut-il y inclure automatiquement les données pseudonymisées au seul motif que les personnes concernées restent identifiables, quelle que soit l’accessibilité aux données supplémentaires d’identification, ou faut-il considérer que, à la suite du processus de pseudonymisation, les données ne revêtent un caractère personnel que pour les personnes qui peuvent raisonnablement identifier les personnes concernées ?
February 8, 2025 at 3:10 PM
dignilog.bsky.social
La première question que je trouve très intéressante : les commentaires émis par les réclamants sont-ils "intrinsèquement" des données personnelles ? Dans ce contexte précis, l'Avocat général répond "oui", et le CEPD n'a pas besoin de le démontrer "en détail". (paras 29 à 41)
39. J’ajouterais que, certes, les commentaires en cause, tels que transférés à Deloitte, ont été « filtrés, catégorisés et agrégés », de sorte que, ainsi que cela ressort des faits établis par le Tribunal (18), les commentaires individuels ne pouvaient pas être distingués au sein d’un même thème ; cependant, il peut être admis que, même agrégés, ces commentaires collectifs reflètent, dans leur contenu, des points de vue personnels concernant la valorisation 3. En effet, ils constituent une somme d’opinions qui, comme telles, constituent des informations qui se rapportent aux personnes les ayant exprimées. Leur filtrage, leur catégorisation et leur agrégation ne modifient pas ce constat, sans quoi il suffirait, pour échapper à la condition d’information « se rapportant » à une personne physique, d’agréger plusieurs points de vue. Le fait de ne pas pouvoir, au sein de cette somme de commentaires, distinguer les différentes opinions individuelles me semble relever davantage de la seconde condition cumulative, relative à l’identifiabilité des personnes concernées, examinée dans le cadre de la seconde branche du présent moyen, que de celle impliquant que le commentaire soit « lié » à une personne physique. 40. Dans ces circonstances, je suis d’avis que l’appréciation du Tribunal peut être considérée comme entachée d’une erreur de droit à cet égard, en ce qu’il a considéré que le CEPD n’avait pas satisfait à l’examen exigé par l’arrêt Nowakpour conclure que les commentaires en cause « se rapportaient » à des personnes physiques, au sens de l’article 3, point 1, du règlement 2018/1725.
February 8, 2025 at 3:10 PM
dignilog.bsky.social
Plainte en cours depuis... 2 ans. Et quoi qu'annonce EDPB dans ses GL à venir, ll manquera toujours :
- La granularité du consentement
- Une équivalence de service rendus selon que le user accepte ou s'abonne.

Le monde : tout faux, toujours 😒 (Idem pour le Fig du reste)

bsky.app/profile/dign...
February 8, 2025 at 10:50 AM
dignilog.bsky.social
...nuance à nouveau : possible, mais une fois de plus, EDPB doit le démontrer (i.e. Deloitte avait-il les moyens de ré-identifier les personnes par des "moyens raisonnables"). EDPB ne l'a pas fait
104 Or, il ressort du point 45 de l’arrêt du 19 octobre 2016, Breyer(C-582/14, EU:C:2016:779), cité au point 92 ci-dessus, qu’il appartenait au CEPD de déterminer si la possibilité de combiner les informations qui avaient été transmises à Deloitte avec les informations supplémentaires détenues par le CRU constituait un moyen susceptible d’être raisonnablement mis en oeuvre par Deloitte pour identifier les auteurs des commentaires. 105 Partant, à défaut pour le CEPD d’avoir recherché si Deloitte disposait de moyens légaux et réalisables en pratique lui permettant d’accéder aux informations supplémentaires nécessaires à la réidentification des auteurs des commentaires, le CEPD ne pouvait conclure que les informations transmises à Deloitte constituaient des informations se rapportant à une « personne physique identifiable » au sens de l’article 3, point 1, du règlement 2018/1725.
February 5, 2025 at 3:59 PM
dignilog.bsky.social
Pour la CJUE : possible, mais ils faut dans ce cas les rapporter à une personne identifiable, et cela se fait en fonction:
- du contenu
- de la finalité
- de l'effet
Et surtout, il faut le démontrer, ce que n'a pas fait EDPB, considérant qu'il n'y avait pas lieu de le faire.
Certes, il ne saurait être exclu que des points de vue personnels ou des opinions constituent des données à caractère personnel. Toutefois, il ressort des points 34 et 35 de l’arrêt du 20 décembre 2017, Nowak(C-434/16, EU:C:2017:994), cités aux points 68 et 69 ci-dessus, qu’une telle conclusion ne peut être fondée sur une présomption telle que celle décrite aux points 71 et 72 ci-dessus, mais doit s’appuyer sur l’examen visant à déterminer si, par son contenu, sa finalité ou son effet, un point de vue est lié à une personne déterminée.
February 5, 2025 at 3:59 PM
dignilog.bsky.social
Comme annoncé, fil pour recontextualiser le prononcé (très) attendu demain par la CJUE dans l'affaire C-413/23P. On va donc essayer de résumer les épisodes précédents et de poser la problématique. Super long fil. 1/N
February 5, 2025 at 3:59 PM