La notification de consentement GDPR s'applique-t-elle aux points d'accès destinés uniquement à la maintenance ?

Aug 18 2020

Supposons que j'ai une interface disponible publiquement, destinée à être utilisée exclusivement par moi ou mes employés à des fins de maintenance, par exemple un serveur SSH.

Étant donné que je traite l'adresse IP de l'utilisateur lorsqu'il établit une connexion, le RGPD m'oblige-t-il à informer l'utilisateur d'une telle action, par exemple une bannière affichée lors de l'accès au serveur ?

De plus, suis-je obligé de traiter les éventuelles tentatives de connexion et les données saisies comme des données personnelles ?

Que se passe-t-il si l'interface traite les données de l'utilisateur, mais que sa technologie ne prévoit pas nécessairement une interaction lisible par l'homme, telle qu'une réponse ICMP ?

Réponses

3 amon Aug 18 2020 at 17:43

Non, vous n'avez pas besoin d'afficher une politique de confidentialité uniquement pour l'exécution d'un serveur accessible au public, tant que les données de trafic telles que les adresses IP ne sont utilisées que dans la mesure strictement nécessaire pour fournir le service demandé par l'utilisateur.

Le contexte ici est que si le RGPD est une loi très générale, la directive ePrivacy (ePD) fournit plus de détails pour les services de télécommunication et de la société de l'information, qui incluent également les serveurs SSH. Conformément à l'article 6 de la ePD, les données de trafic peuvent être utilisées (1) aux fins de la transmission/du service ou lorsque les données ont été rendues anonymes, (2) à des fins de facturation, ou (3) à des fins de marketing ou de services à valeur ajoutée, lorsque l'utilisateur a donné son accord. Les informations sur le traitement ne sont requises dans le cadre de ePrivacy que pour les cas (2) et (3), mais pas pour le traitement strictement nécessaire.

Maintenant, la question délicate est de savoir dans quelles circonstances vous pouvez enregistrer des tentatives de connexion (échouées) ou utiliser des outils tels que fail2ban. Un argument est que de telles mesures sont strictement nécessaires pour assurer la sécurité de la communication, mais ces mesures ne sont évidemment pas nécessaires pour effectuer la transmission au sens de ePD. Il existe plusieurs façons de résoudre ce problème :

  • la nécessité doit être interprétée plus largement, et des mesures de sécurité sont en effet nécessaires. Par exemple, la DPE Art 6(5) mentionne la détection de fraude, sans l'autoriser explicitement.

  • une adresse IP est effectivement anonymisée au sens de l'ePD puisque vous n'avez pas de moyens réalistes pour lier l'adresse IP à une personne en particulier.

    C'est un argument assez faible, mais qui pourrait être soutenu par le considérant 26 du RGPD qui définit les données anonymes. Contrepoint : les adresses IP sont des identifiants en ligne qui sont explicitement inclus dans la définition des données personnelles dans l'article 4(1) du RGPD.

  • une adresse IP n'est pas seulement des données de trafic qui relèvent de la ePD, mais aussi des données personnelles qui relèvent du RGPD. Lorsque l'adresse IP est simplement utilisée pour effectuer une transmission, elle n'est pas traitée comme une donnée personnelle et seules les préoccupations ePD s'appliquent. Mais lorsque nous les traitons pour interdire la propriété intellectuelle, elles sont traitées comme des données personnelles dans un intérêt légitime. Ce traitement ne relève d'aucune des catégories de l'ePD Art 6, de sorte que seules les préoccupations du RGPD s'appliquent. Celles-ci incluent une obligation d'informer la personne concernée du traitement à ce moment conformément à l'article 13 du RGPD, qui pourrait être satisfaite en affichant un lien vers une politique de confidentialité au cours du processus de connexion.

    Pour un argument d'intérêt légitime, cela dépend également des attentes de la personne concernée typique. Étant donné que certaines mesures de sécurité telles que les journaux de sécurité sont normales et devraient être attendues, un argument d'intérêt légitime est susceptible d'être fort.

    Je pense que c'est la bonne conclusion, même si l'argument "ce ne sont pas des données de trafic, ou du moins ne relèvent pas de l'ePD" est assez faible. Elle repose sur l'hypothèse que les mesures de sécurité ne sont pas des « services à valeur ajoutée ». Cela correspond à l'intention de l'ePD, mais pas à la définition réelle des services à valeur ajoutée.

Dans tous les cas, vous n'avez pas besoin de demander le consentement , sauf si vous êtes tenu d'obtenir le consentement, par exemple en vertu de l'article 6(3) de la ePD ou parce que votre traitement des données personnelles repose sur le consentement comme base juridique conformément à l'article 6 du RGPD.

Il convient également de noter que l'ePD n'a pas d'effet immédiat, mais doit être mis en œuvre par chaque État membre de l'UE dans le droit national. Ces lois peuvent fournir des orientations plus précises.

1 Matthew Aug 18 2020 at 17:32

Étant donné que je traite l'adresse IP de l'utilisateur lorsqu'il établit une connexion, le RGPD m'oblige-t-il à informer l'utilisateur d'une telle action, par exemple une bannière affichée lors de l'accès au serveur ?

Peut-être. Pouvez-vous identifier des utilisateurs spécifiques uniquement à partir de leur adresse IP ? Cela semble peu probable, surtout s'ils se connectent simplement au serveur sans pouvoir se connecter. Dans un tel cas, on peut soutenir que vous ne "traitez" pas de données personnelles, il n'y a donc aucune obligation de notifier, etc.

Gardez à l'esprit que de nombreux robots automatisés analyseront les ports pour les serveurs SSH ouverts et qu'ils ne peuvent pas être considérés comme des "personnes physiques" aux fins de la législation. Le nombre de ces bots semblerait susceptible de dépasser le nombre de personnes physiques accédant au serveur dans la plupart des cas, il suffirait donc de n'afficher la bannière qu'après la connexion.

suis-je obligé de traiter les éventuelles tentatives de connexion et les données saisies comme des données personnelles ?

Ça dépend. Si la plupart des tentatives sont automatisées, elles ne sont pas liées à une personne physique, mais les données réelles saisies peuvent être considérées comme des données personnelles si les utilisateurs reçoivent des informations d'identification spécifiques. Sinon, s'ils se connectent avec un nom de compte et un mot de passe génériques, il ne s'agit sans doute pas de données personnelles puisqu'elles n'identifient pas spécifiquement une personne.

Que se passe-t-il si l'interface traite les données de l'utilisateur, mais que sa technologie ne prévoit pas nécessairement une interaction lisible par l'homme, telle qu'une réponse ICMP ?

Je ne sais pas assez comment cela fonctionne pour fournir une réponse, j'en ai peur. J'imagine que cela pourrait être visé par les mêmes dispositions, mais ce serait beaucoup plus axé sur les faits.

Lag Aug 18 2020 at 17:46

Une adresse IP n'est pas nécessairement une donnée personnelle.

« données à caractère personnel » : toute information relative à une personne physique identifiée ou identifiable (« personne concernée ») ; est réputée identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs éléments propres à l'état physique, physiologique, l'identité génétique, mentale, économique, culturelle ou sociale de cette personne physique ;

Si vous pouvez utiliser une adresse IP pour identifier quelqu'un ou si vous pouvez la "lier" à quelqu'un, ce sont des données personnelles. Par exemple, dans votre scénario, nom d'utilisateur jsmith connecté depuis$ipaddress, you know jsmith is your employee John Smith of 1 Example Street etc, therefore you can relate $adresse IP à ce John Smith donc ce sont des données personnelles. Mais si une entité inconnue tente de se connecter à partir de $ipaddress et que vous ne pouvez pas identifier une personne avec l'adresse IP ou associer l'adresse IP à une personne, l'adresse IP n'est pas une donnée personnelle.

Vous avez probablement émis ou mis à disposition un RGPD ou un avis de confidentialité à vos employés.

Votre serveur SSH n'a pas besoin d'informer les utilisateurs que les adresses IP sont enregistrées.