Protection des données et puzzles: quel est le rapport entre les deux ? Plus que ce que l'on pense

Résoudre un classique puzzle peut également avoir des conséquences sur la protection des données. Lisez ici pourquoi !!

J'ai récemment fait des découvertes importantes et de grande portée concernant la protection des données sur Internet. Pour moi, ces découvertes sont les plus remarquables que j'ai pu faire ces derniers temps. À ma connaissance, certaines de ces découvertes ne sont pas ou peu connues.

Quelles étaient ces connaissances et comment ont-elles été acquises ?

Connaissances

J'ai commencé par une longue étude des outils de consentement. J'ai soumis tous les outils de ce type que j'estime être largement répandus à un test pratique. Le document final compte plus de 90 pages DIN A4. J'ai également consulté des sites Web qui utilisent ces fameux cookies Popups. Là, je me suis quelque peu dépassé en évaluant juridiquement la situation. Cependant, tant d'observations ont été faites que l'on peut facilement les considérer comme des erreurs, que j'ai donné le nom Cookiegeddon au résultat.

J'ai envoyé l'étude à l'organisation à but non lucratif noyb. noyb est l'abréviation de None Of Your Business, ce qui signifie littéralement «Cela ne vous regarde pas». Peu après, j'ai été interrogé sur la possibilité d'une conférence vidéo. L'équipe de noyb, composée notamment d'avocats, avait besoin d'aide pour évaluer les conditions techniques, qui sont courantes sur les sites web.

L'avocat m'a demandé quelles informations étaient stockées dans l'appareil du utilisateur. La réponse à cette question est fondamentale, car la directive ePrivacy en Art. 5 alinéa 3 formule cette information comme un critère pour une obligation de consentement. À partir de cette courte discussion et d'autres investigations, des moments de surprise sont apparus. Après cela, il m'était soudainement facile de procéder à l'évaluation juridico-technique d'importants faits sur les sites Web.

Constat: les cookies ne sont pas des fichiers texte

Les cookies ne sont pas des fichiers texte: Cette affirmation paraît lapidaire, mais elle dit beaucoup sur le marché du protection des données en Allemagne. Quelques-uns qui sont considérés comme compétents émettent une recommandation ou font une déclaration. Tous les autres semblent avoir confiance aveugle dans ces experts et répètent ce qu'on leur a donné à dire.

Ainsi c'est aussi pour les cookies. Dans presque toutes les déclarations de protection des données, on peut encore lire une affirmation fausse sur les cookies: les cookies sont assimilés à des fichiers texte. Que ce ne soit jamais été vrai et que cela soit d'ailleurs complètement faux aujourd'hui, je le prouve dans mon contribution sur les cookies. Les cookies ne sont pas des fichiers texte. Les cookies sont des ensembles de données.

Bien que j'y aie apporté la preuve que les cookies ne sont pas des fichiers texte, j'ai dû m'engager dans une discussion avec quelqu'un qui adhère encore à cette croyance. Cette personne, que je connais à demi-mot grâce à une longue conversation téléphonique et à plusieurs courriers électroniques, ne le croit, je suppose, que parce que c'est opportun. Trop de déclarations de protection des données erronées devraient être corrigées si l'on admettait cette erreur. Je pense qu'on peut admettre l'erreur. Après tout, j'avais moi aussi mal recopié. Pour que cela ne m'arrive plus, je fais depuis quelque temps des recherches intensives moi-même et je démasque les fausses informations par des preuves. L'approche par la preuve vient aussi du fait que je n'ai plus envie de me débattre dans des discussions laborieuses et d'apparaître comme un quémandeur lorsque quelqu'un commet des violations de la protection des données.

Connaissance: informations stockées dans l'équipement terminal de l'utilisateur

La directive ePrivacy fait référence à l'article 5, alinéa 3, selon lequel une autorisation est nécessaire pour accéder aux informations stockées dans l'appareil terminal de l'utilisateur. Cela vaut tant que des intérêts légitimes ne sont pas invoqués, ce qui devrait être mentionné uniquement lorsqu'il s'agit de la gestion d'utilisateurs enregistrés ou de fonctions fondamentales similaires. ([1])

Mon objectif était de découvrir quelles informations sont stockées dans l'appareil du utilisateur. J'ai constaté que ce n'est pas l'adresse IP, en tout cas pas au sens de la directive ePrivacy. Dans le même temps, j'ai également constaté que les cookies ne sont pas des fichiers texte et pourquoi la directive ePrivacy est également appelée directive sur les cookies.

Constat: la catastrophe des cookies

La catastrophe des cookies va provoquer l'effondrement des outils de consentement populaires, du moins je l'espère. Les fournisseurs connus d'outils de consentement font régulièrement semblant de croire que leurs outils miraculeux permettent de rendre les sites web conformes au RGPD. Cela peut être le cas dans de très rares cas. Ces cas se caractérisent principalement par l'utilisation d'un nombre très limité d'outils faciles à maîtriser. Matomo, de préférence installé localement, est un exemple d'outil facile à maîtriser.

Dès qu'une page Web utilise des outils de Google, Facebook, Vimeo, Adobe ou d'autres entreprises du même genre, ces outils ne fonctionnent pas avec fiabilité. Les raisons en sont parfois même probables et peuvent être lues dans mon article sur les Popups aux Cookies.

En plus de cette démonstration théorique, j'ai apporté la preuve du fait que tous les outils de consentement dont je connais l'existence ont échoué en pratique et Pandémie des cookies a été baptisé. Dans mon test de blocage des cookies dans la vie réelle, j'ai notamment examiné les sites Web d'entreprises importantes ainsi que ceux des fournisseurs de ces outils de consentement. Tous ont échoué lamentablement, selon mon constat, ce qui est prouvé (seulement parce qu'il est peu probable que je dise cela si tout le monde était heureux).

Qui veut savoir à quel point il est difficile voire impossible de créer une demande d'autorisation conforme au droit, devrait consulter ma liste de contrôle pour les demandes d'autorisation sur des sites Web.

Qui veut un exemple pratique du fait que les prestataires de services et avocats plus connus et considérés comme crédibles ont échoué, devrait lire mon article sur le Google Tag Manager. Là-bas, je prouve, avec l'aide d'un vidéo, que le Google Tag Manager n'est pas une domaine cookie-free. Au contraire, il s'agit d'un outil – on aurait pu y arriver sans moi. De plus, il n'est pas cookie-free – c'est un peu plus difficile à comprendre, mais cela devrait être connu des experts en protection de la vie privée pour les sites web. Pourquoi les avocats sont considérés comme des experts ici, est et reste pour moi un grand mystère.

Constat: obligation de consentement pour les nombreux outils de Google & Co.

On peut objectivement démontrer que de nombreux outils de Google, notamment Google Maps, et Google reCAPTCHA, ainsi que les vidéos Vimeo intégrées, nécessitent une autorisation. Il s'agit non pas de mon opinion personnelle, mais d'une déduction technique et juridique qui peut être prouvée ou établie de manière claire. J'ai fait vérifier ma déduction par un avocat en informatique. Même Google Analytics dans sa forme standard relève obligatoirement du droit à l'autorisation. Vous n'avez plus besoin de vous justifier par des références aux opinions des autorités de protection des données. Montrez simplement que vous avez étudié mes contributions pour les prouver.

Constatation: obligation de consentement pour les polices Google et autres fichiers auxiliaires

L'obligation d'autorisation pour Google Fonts peut être déduite clairement de l'article 5 du RGPD , à savoir la minimisation des données, et de l'. Qui apporte l'argument de vitesse devrait utiliser un serveur de fichiers propre ou louer un CDN conforme au RGPD. Même chose pour tout autre type d'aide aux fichiers qui ne sont pas hébergés sur le serveur d'un tiers avec lequel un contrat de traitement des commandes a été conclu. Je désigne ici les fichiers suivants comme aides:

Fontes
Images
Fichiers de style (CSS)
Vidéos
JavaScript-Bibliotheken

Les vidéos de YouTube sans cookies nécessitent une autorisation en raison du principe de minimisation des données. Personne ne peut expliquer de manière convaincante que plusieurs transferts de données vers plusieurs adresses (domaines) ont lieu sans jouer un vidéo intégré. Exactement cela peut être prouvé si les vidéos YouTube sont insérées à l'aide d'un script.

Les puzzles aiguisent les sens (l'image a été traduite automatiquement).

En résumé

Voici ce que j'ai appris au cours des dernières semaines:

Les cookies ne sont pas des fichiers texte. Je réfute ainsi une idée fausse très répandue
Les outils de consentement ne fonctionnent pas dans la pratique. Cela contredit ce que des centaines de milliers d'administrateurs de sites web considèrent comme juste
Les outils de consentement ne fonctionnent déjà pas en théorie
Dans le terminal de l'utilisateur, ce sont surtout des cookies qui sont enregistrés – au sens de la directive ePrivacy – mais pas l'adresse IP
Chaque outil est potentiellement porteur de cookies. Pour cela, il suffit d'un seul site web dans le monde qui met en jeu un tel cookie
La plupart des outils populaires pour les sites web nécessitent un consentement obligatoire
Le transfert de données vers des pays tiers non sûrs ne doit généralement pas être utilisé comme argument pour décider si un outil nécessite un consentement
Les demandes de consentement ne peuvent guère être conçues de manière juridiquement sûre

Je trouve cela remarquable. Si vous n'êtes pas d'accord, écrivez-moi ! Je suis ouvert aux arguments.

Le chemin vers la connaissance

Qu'est-ce que tout cela a à voir avec les puzzles ? Rien du tout d'abord. La question qui me venait en tête: Comment ai-je pu acquérir ces connaissances et les preuves qui s'y rapportent, ou pourquoi maintenant et pas plus tôt ? Enfin, je m'intéresse depuis quelques années à le protection des données numériques de manière approfondie.

Il faut longtemps pour comprendre toutes les prescriptions légales. D'ailleurs, j'ai dû m'approprier quelques conditions d'utilisation des outils comme Google reCAPTCHA pour continuer.

Il semble que l'on doive s'intéresser plus longtemps à un sujet complexe avant que de nouvelles pensées et connaissances n'émergent à son sujet.

Challenge avec un tiers qui veut en avoir le cœur net

Ce qui a certainement été utile, c'est la discussion avec un juriste de noyb qui m'a questionné pour en savoir plus sur les réalités techniques des sites web. Cela était important pour lui afin de préparer une plainte contre un contrevenant à la protection des données. Nous avions la même attitude de base: pouvoir penser quelque chose et pouvoir prouver quelque chose sont deux choses différentes. J'ai donc repris sa question sur la vidéo et y ai répondu du mieux que j'ai pu. Cela a suffi pour mettre fin à la question.

En tant que responsable de la protection des données ou personne intéressée par la protection des données, vous connaissez certainement cette situation: vous êtes personnellement tout à fait certain que quelque chose n'est pas en ordre et enfreint les règles de protection des données, mais vous n'arrivez pas à le rendre plausible pour votre interlocuteur (client, interlocuteur, personne refusant la protection des données, …).

Il a fallu du temps pour arriver à un tel point. Maintenant, un statut est atteint où il n'est plus nécessaire de discuter. La situation de fait est écrasante. Il faut attendre ce que la nouvelle version de la directive ePrivacy apportera, qui présente à la fois une évolution positive et quelques reculs. Cela va durer jusqu'à ce que la nouvelle version de la directive soit adoptée et entrée en vigueur.

Mais même après cela, certains faits restent valables:

Toutes les opérations de traitement doivent être expliquées de manière transparente, facilement compréhensible et exhaustive.
L'accès aux informations contenues dans l'équipement terminal de l'utilisateur (généralement via des cookies) n'est autorisé que dans des limites strictes.
Les cookies ne sont pas des fichiers texte et ne le seront jamais.
Pour que les outils des fournisseurs populaires contiennent des cookies et soient donc, de ce seul fait, potentiellement soumis à un consentement, il suffit qu'il existe dans le monde entier un seul site web dans le domaine de l'outil qui génère des cookies. On ne le dira jamais assez, car la portée de cette affirmation bouleverse l'ensemble du marché des cookies.

Les puzzles aiguisent la perception et le sens de la combinaison

Passons maintenant aux puzzles et au lien avec la protection des données.

Plus on passe de temps sur un puzzle concret, plus on est en mesure de reconnaître directement les plus fines différences de couleur. Ce qui semblait impensable au départ devient une évidence après quelques heures. C'est ce qui s'est passé pour moi lorsque j'ai essayé de déduire de manière irréfutable l'obligation de consentement pour Google Analytics et d'autres outils, ce que j'ai finalement réussi à faire. Cela m'a pris quelques semaines et plus de 100 pages A4 de texte présentant les résultats de mon enquête.

Je ne sais pas si les puzzles ont aiguisé mes sens, si c'est le fruit du hasard ou d'un travail acharné. En tout cas, je suis sûr que les puzzles aident beaucoup à aiguiser l'esprit et les capacités de perception. En tout cas, je vous recommande vivement une telle activité annexe.

Si vous vous intéressez également à d'autres choses que la protection des données et que vous souhaitez commencer à résoudre des puzzles, voici quelques Conseils pour résoudre des puzzles:

En réalité, le puzzle consiste à décomposer un problème complexe en sous-problèmes gérables. Faire un puzzle, c'est le décomposer volontairement pour ensuite le reconstituer.
Dans de très bonnes conditions d'éclairage, l'intuition l'emporte souvent sur les essais mécaniques (comme au golf).
Trouver d'abord les morceaux de bord.
Les pièces marginales sont plus faciles à trouver lorsque les pièces du puzzle sont retournées.
Trier les pièces du puzzle par couleur ou par domaine.
Après avoir examiné quelques pièces, on reconnaît quelles couleurs et quels motifs sont suffisamment fréquents, mais pas trop, pour les mettre en tas (ou côte à côte ; les tas sont une mauvaise idée pour les pièces de puzzle).
Il est probable que seuls des professionnels absolus soient en mesure d'effectuer un processus de tri complexe presque sans erreur. C'est pourquoi je recommande de ne se consacrer qu'à un ou deux critères à la fois, afin de ne pas se tromper. Par exemple, trouver d'abord les pièces du bord, puis trier les couleurs, et ne pas faire les deux en même temps. Lors d'un championnat du monde de puzzle, ce n'est certainement pas la bonne stratégie. Pour le commun des mortels, c'est plus amusant et cela produit moins d'erreurs qui détruiraient la productivité gagnée au départ.
Des récipients en plastique conviennent pour le tri, mais aussi des couvercles de puzzles (ne pas prendre le couvercle avec l'image de couverture du puzzle actuel, sauf si vous aimez les défis).
Les pièces de puzzle sont plus faciles à distinguer sur des feuilles de papier blanc. Format A3 ou plus grand.
Si une pièce de puzzle s'emboîte remarquablement bien, alors qu'elle n'est finalement pas adaptée, il y a de fortes chances qu'elle trouve sa place définitive à proximité de l'emplacement supposé.
Selon la qualité du puzzle, il peut même arriver que des pièces de bordure ne s'adaptent qu'en apparence à une position.
Les puzzles non terminés peuvent être transportés sur des feuilles de papier achetées dans les magasins pour artistes. Pour ce faire, placez le puzzle sur une telle feuille ou utilisez un carton ou une toile d'artiste. Les tapis pour puzzles sont souvent trop chers.
Une lampe à lumière du jour est le meilleur choix après la lumière du jour. Si l'on ne dispose que d'un lampadaire, il faut le poser sur la table de manière à ce que la distance entre la lampe et la surface du puzzle soit la plus grande possible.
Au début, résoudre des puzzles de 500 pièces, puis des puzzles de 1000 pièces. Ou commencer directement à deux avec un 1000 pièces
Outre la couleur d'une pièce, la conception des protubérances et des excroissances est souvent un bon critère de différenciation. Parfois, on ne trouve une pièce que parce qu'elle a une forme particulièrement marquée.
En fin de partie, lorsqu'il ne reste plus que quelques pièces, il est utile de trier les pièces selon leur forme de base. Il existe six formes de base pour les pièces de puzzle.

Vous faites aussi des puzzles ? Je serais heureux de recevoir votre message à ce sujet, ainsi que vos expériences en matière de protection des données ou vos propositions d'articles. Un article paraîtra prochainement sur les cas où il peut être judicieux d'utiliser des outils de consentement. Il est toutefois conseillé de ne pas utiliser les fameux outils de cookies. Je mettrai prochainement à disposition un outil gratuit, plus ciblé et plus honnête que les promesses publicitaires que vous connaissez probablement tous.

D'ailleurs, je recommanderais aux boutiques de puzzles les plus connues d'examiner de manière très critique leurs sites web en ce qui concerne les directives de protection des données. Il se peut que quelqu'un s'adresse bientôt à eux et demande, dans le meilleur des cas, des renseignements sur les processus de traitement des données. Un outil sera bientôt disponible à cet effet, qui permettra d'établir presque automatiquement de telles demandes pour de nombreux sites web.