@Iutech @benoitb @mmu_man Même des boîtes se pensant préparées et ayant investies massivement dessus se sont pris une soufflante lors d’un contrôle CNIL. Avec encore 12 mois de boulot à la clef.

@Iutech @benoitb @mmu_man Au pif https://blog.alan.com/tech-et-produit/controles-par-la-cnil
Voir aussi le taff monstrueux de @OpenPony pour @Mediapart

@aeris

Tu aurais un texte que je peux lui envoyer, vu qu'on avait de bonnes relations ?

@benoitb @mmu_man

@Iutech @benoitb @mmu_man Ça sera aussi un problème de business modèle. Les infras à mettre en place sont souvent BEAUCOUP plus chères que ce qui est fait actuellement.

@Iutech @benoitb @mmu_man Si tu prononces les termes de IAM/SIEM ou pire IDS/IPS devant un RSSI, il fait un coma, et ton expert-comptable commence à avoir les yeux qui brillent.

@aeris

Justement, tu n'aurais pas un document quelque part (si possible à valeur officielle) expliquant qu'il va bien falloir passer par là, c'est pas juste une option pour le jour où on aura magiquement un budget suffisant ?
Pareil, un document pour expliquer que l'interdiction des outils collaboratifs américains n'est pas juste une option, qu'il faut s'y préparer concrètement et rapidement plutôt que de jouer la montre ?

@benoitb @mmu_man

@Iutech @benoitb @mmu_man https://www.cnil.fr/fr/invalidation-du-privacy-shield-les-premieres-questions-reponses-du-cepd
https://www.dalloz-actualite.fr/node/schrems-ii-repercussion-francaise

@Iutech @benoitb @mmu_man La subtilité est que la CNIL/EDPB semble laisser une porte de sortie. En pratique elle n’est pas possible.

@Iutech @benoitb @mmu_man  Le morceau intéressant est ici :

```
Si vous arrivez à la conclusion que, compte tenu des circonstances du transfert et d'éventuelles mesures supplémentaires, le respect des garanties appropriées ne serait pas assuré, vous êtes tenu de suspendre ou de mettre fin au transfert de données personnelles
```

@Iutech @benoitb @mmu_man En pratique, sauf à chiffrer en end-to-end complètement les DCP envoyées à un tiers 🇺🇸 , l’existence de FISA fait qu’il est impossible d’avoir les garanties appropriées. Et donc le transfert doit être suspendu immédiatement.

@Iutech @benoitb @mmu_man Ils ne peuvent pas fermer automatiquement et drastiquement la porte (déjà parce que droit souple, ensuite parce qu’il est effectivement théoriquement possible d’envoyer des données là-bas), mais en pratique tous les services grand public sont rayés de la carte.

@Iutech @benoitb @mmu_man Et les 1ères sanctions sont tombées.
https://gdprhub.eu/index.php?title=CNPD_(Portugal)_-_Delibera%C3%A7%C3%A3o/2021/622
https://gdprhub.eu/index.php?title=BayLfD_(Bavaria)_-_LDA-1085.1-12159/20-IDV
Ou encore plus lol https://gdprhub.eu/index.php?title=EDPS_-_2020-1013

@Iutech @benoitb @mmu_man Et du coup sur les délais d’action

@aeris

Et y'a rien en droit/jurisprudence française qui le dit clairement ?
Parce que les documents que tu mets en lien sont intéressants, mais comme tu le fais remarquer les trucs vraiment contraignants sont suffisamment subtils pour que "làlàlàlà j'entends rien" puisse continuer à leur être objecté.
(bon, le coup du Parlement est plus clair, j'avoue)

Notamment une explication de pourquoi la "porte de sortie" dont tu parles est concrètement invalide ?

@benoitb @mmu_man

@aeris

Parce que moi je te crois, hein, mais si je dois expliquer au DPO pourquoi on doit arrêter Teams et OneDrive demain alors que la CNIL parle "d'accompagner la transition" je vais pas savoir comment l'expliquer de façon convaincante.
Surtout que tout le reste de l'administration est "business as usual" et joue la montre.

@benoitb @mmu_man

@Iutech @benoitb @mmu_man La CNIL ne peut rien interdire. Organe de droit souple et les merdeux en profitent (y compris devant le Conseil d’État, coucou l’IAB).

@Iutech @benoitb @mmu_man La réflexion derrière est celle-là.
Le transfert de données vers un état tiers ne peut se faire que, dans l’ordre de priorité :
- vers un pays ayant été déclaré par l’UE comme compatible avec le droit EU (liste ici https://cnpd.public.lu/fr/dossiers-thematiques/transferts-internationaux-donnees-personnelles/Reglement-general-sur-la-protection-des-donnees.html)
- vers un pays couvert par des CCT génériques ad-hoc rédigés par l’UE et étant compatible droit EU
- vers une entreprise rédigeant des BCR ad-hoc compatible avec le droit EU
- avec des moyens de protection sinon

@Iutech @benoitb @mmu_man Les 🇺🇸 avaient précédemment le point 1 et 2 de valide. SchremII a conclu que à cause de FISA, ce n’est pas possible, que 1 & 2 étaient illégaux et que by design 3 n’est pas possible (droit 🇺🇸 primant sur les contrats commerciaux)
Il ne reste donc que 4, qui implique de ne pas transmettre de DCP du tout aux 🇺🇸 vu FISA.

@Iutech @benoitb @mmu_man EDPB ou CNIL ne sont que des organes de droits souples et doivent composer avec leurs moyens légaux. Ils ne peuvent donc pas exclure que quelqu’un trouve comment faire 3, peut-être dans des cas très précis et après des analyses pointus du cas ponctuel. Le cas général est par contre proscrit. Et 4 est inconcevable en pratique (faudrait tout chiffrer en end-to-end)

@Iutech @benoitb @mmu_man Dans tous les cas tu as une obligation d’étude formel de ton propre cas particulier pour justifier éventuellement de conserver l’export vers les 🇺🇸
La Grèce l’a appris à ses dépends
https://gdprhub.eu/index.php?title=HDPA_(Greece)_-_Decision_50/2021

@Iutech @benoitb @mmu_man Donc de toute façon tu gagnes le droit de faire une étude. Elle pourra éventuellement conclure que le transfert reste légitime. J’en doute plus que très fortement.

@Iutech @benoitb @mmu_man Et par exemple l’Allemagne a invalidé Mailchimp pour ce motif : https://www.zdnet.fr/actualites/rgpd-mailchimp-retoque-par-une-cnil-allemande-39920021.htm

@Iutech @benoitb @mmu_man Et pour Google Analytics et Stripe, c’est invalidé par EDPS directement ici : https://gdprhub.eu/index.php?title=EDPS_-_2020-1013