New Blog Post on the "Information Security Breaches & the Law" blog

This blog is a bit on hold right now, as I write more for the "Information Security Breaches & the Law" blog.

Latest blog post, written with Cédric Laurant: "Will France adopt a law requiring the notification of security breaches? "

The French Flag is Burning: No Pictures Please!

I wrote last week about a French bill which aims at suppressing the crime of offending the French President, and noted the differences in this matter between the U.S. and the French law.

Well, here is another example of these fundamental differences on the point of freedom of expression. Another French bill, this time sponsored by Senators on the right side of the political spectrum, proposes to criminalize the act of publicly insulting the flag or the national anthem, or to publish an image inciting others to publicly insult these two symbols.

Currently, article 433-5-1 of the French criminal Code punishes by a fine of €7,500 the act of publicly insulting the French national anthem, or the French flag, at a demonstration organized or regulated by the public authorities.

This article was added to the criminal Code by a 2003 law, which has been declared constitutional by the Conseil Constitutionnel in a March 13, 2003 decision. However, the Council noted that works of the mind were excluded from the scope of article 433-5-1, as were private acts and public acts performed at events not organized by public authorities nor regulated by them.

This decision limits considerably the scope of article 433-5-1. In so many words, it is illegal to insult the flag on Bastille Day while watching the military parade on the Champs Elysées, but it is still legal to do so in one’s own backyard, or at the annual meeting of one’s bridge club. It is also legal if this insult is a work of the mind, that is a work protected by Intellectual Property.

The 2010 bill would considerably enlarge the scope of article 433-5-1 as it would criminalize offering, making available, or disseminating an image or a representation of contempt for the French flag or the national anthem, when such actions incite someone to commit the offense of publicly insulting these symbols.

Why all this legislative activity? It is the answer to a photographic contest organized earlier this year by FNAC, a famous chain of media stores. One of the winning pictures showed a man, standing with his back turned toward a wall, using the French flag to wipe the part of his body one commonly uses to sit down.

Publishing this image is fortunately still legal in France, as it was not done in the course of a public demonstration. The new bill would, as I read it, make it illegal to publish and disseminate this image only if such publication or dissemination incites someone to commit an offence publicly.

First question: how could one possibly prove such crime? It would be very difficult to prove causation, unless the suspect confesses that, after viewing such photographs, he had the sudden urge to rush outside and publicly offend the flag or the national anthem.

Second question: does this mean that every image showing the flag being insulted will be deemed to incite the viewer to insult it in public? That would show a very poor respect of the free mind of the viewer, and would completely ignore the 2003 Conseil Constitutionnel’s decision.

It is highly ironical that France,a country proud of its image as a country defending human rights, would make a crime to insult the flag or the national anthem.

Although many in the U.S. have tried to amend the Constitution and make flag-burning unconstitutional, burning a flag is legal in the U.S. The U.S. Supreme Court held 5 to 4 in 1989, in Texas v. Johnson, that burning a flag is an expressive conduct protected under the First Amendment. In an often-quoted phrase, Justice Brennan wrote that “If there is a bedrock principle underlying the First Amendment, it is that the Government may not prohibit the expression of an idea simply because society finds the idea itself offensive or disagreeable.”

The French government would be well inspired to meditate on that statement.

Les Simples Initiales ne Suffisent pas à Rendre un Dossier Personnel

Selon la jurisprudence de la Cour de Cassation, les fichiers créés par le salarié à l’aide de l’outil informatique mis à sa disposition par l’employeur pour les besoins de son travail sont présumés avoir un caractère professionnel, sauf si le salarié les identifie comme étant personnels, en sorte que l’employeur est en droit de les ouvrir hors la présence de l’intéressé.

La Cour de cassation vient toutefois de préciser que le simple fait d’utiliser ses initiales afin de nommer un dossier contenu dans le disque dur de l’ordinateur d’un salarié ne suffit pas à faire de ce dossier un dossier personnel.

Une Proposition de Loi Visant à Mieux Garantir le Droit à la Vie Privée à l'Heure du Numérique

Une proposition de loi visant à mieux garantir le droit à la vie privée à l'heure du numérique a été présentée au Sénat par M. Yves DÉTRAIGNE et Mme Anne-Marie ESCOFFIER.

L’exposé des motifs souhaite la transformation de l' « Homo Sapiens » en un « Homo Numericus » libre et éclairé, protecteur de ses propres données. Pour ce, il convient de renforcer la place accordée à la sensibilisation aux questions de protection de la vie privée et des données personnelles dans les programmes scolaires. L'article premier de la proposition de loi complète l'article L. 312-9 du code de l'éducation afin que l'initiation des élèves à l'usage d'Internet couvre les questions de la protection des données personnelles et de la vie privée.

L’article 2 de la proposition de loi est particulierement bienvenu, car il souhaite clarifier le statut de l'adresse IP, un moyen indiscutable d'identification, fût-elle indirecte, d'un internaute, au même titre qu'une adresse postale ou un numéro de téléphone, [bien que] certaines juridictions ont récemment contesté le caractère de donnée personnelle de l'adresse IP. La clarification opérée par l'article 2 permet ainsi d'apporter aux données de connexion des internautes la protection de la loi « informatique et libertés ».

L'article 7 précise l'obligation de sécurisation des données incombant au responsable du traitement et crée une obligation de notification à la CNIL des failles de sécurité, transposant par anticipation la directive modifiant la directive 2002/58/CE concernant la vie privée dans le secteur des communications électroniques. La France se doterait ainsi d'une data breach law . Mais qu’en est-il de l’information des personnes dont les données ont été compromises ? Elles ont droit elles aussi à être informées de ces data security breaches...

Genetic Tests, Immigration, Nationality and Grammar

Boston Globe Article: the United Kingdom Border Agency is using genetic tests since last September on some African asylum seekers in order to find out whether they are lying about their nationality. An agency spokesman said Britain was the only country using genetic tests that way.

The Boston Globe article quotes Sir Alec Jeffreys, geneticist at the University of Leicester who developed techniques for DNA fingerprinting: "Genes are not aware of national borders, Nationality is a legal concept, and it's got nothing to do with genetics at all."

Hopefully, a lot of French citizens are aware of that, as France launched on November 2 a national debate on National Identity. The government lauched a site allowing visitors to answer this question: Pour vous, qu’est-ce qu’être Français aujourd’hui ? - According to you, what does it mean to be French today?

A list of questions helps shape one's opinion.

Quelles sont les éléments de l’identité nationale? Well, reading this question, it is already obvious that the government will not list "knowing how to write a simple phrase in French without making a huge gramatical mistake" as a component of being French, as this particular question is flawed with a major grammatical mistake... Or is this a component of being French? At least, no genetic tests are necessary...

Saint-Tin est une Parodie de Tintin

Excellent article d'Axel Payet qui commente le jugement du TGI d'Evry du 9 juillet 2009 reconnaissant que les aventures de Saint-Tin parodient bien Tintin.

PNR Deserves More Privacy Safeguards Say French Representatives

France’s Assemblée Nationale believes that some issues still need to be resolved regarding the Proposal for a Council Framework Decision of November 6, 2007 on the use of Passenger Name Record (PNR) for law enforcement purposes, COM(2007) 654.

Among the issues that still need to be debated and resolved, according to the French representatives, are:

- Full respect for fundamental rights, including the right to privacy and the right to data protection, which must be respected at every step of the collection and processing of data;

- Data conservation must be reduced to a reasonable period, that is, between three and six years;

- Sensitive data must be subject to specific safeguards, regardless of whether it will be ultimately decided whether or not they can be used, partially or totally, in pending investigations or prosecutions;

- Stricter rules should be obtained regarding data transfers to third countries, so that a Member State cannot be a source of leakage of masses of raw data to a third State.

French Representatives Request the Conseil Constitutionnel to review HADOPI 2

French representatives have requested the Conseil Constitutionnel to review the so-called HADOPI 2 bill, adopted by the French Assembly on September 22.

I have translated below some parts of the request, which can be found in French here.

The representatives are mainly concerned by the fact that the law punishes Internet users found guilty of gross negligence (négligence caractérisée), but this concept is too vague and thus violates the principle of legality.

Also it can be technically difficult to cut off only Internet service. It is possible in some parts of the French territory, and cutting off Internet service wouldn’t affect, say, telephone or television services, whereas in others parts of France, having one's Internet access cut off may leave you without phone nor television services.

The representatives wrote:

"In addition, it is equally obvious that the legislature did not consider your June 10, 2009 decision by which you took care to remind that 'attacks on freedom of expression must be necessary, appropriate and proportionate to the objective pursued.' But by punishing the offense of "gross negligence" by cutting off access to the Internet, it is nothing to say that the legislature has established a penalty obviously and manifestly disproportionate. It is indeed manifestly disproportionnate to sanction "gross negligence" - a concept whose vagueness is moreover incompatible with the principle of legality of crimes and punishments – by a measure that is a serious violation of a fundamental freedom -- cutting off access to the Internet. By creating this offense the legislature adds to the confusion and is losing sight of all proportion on the scale of penalties.

It is equally strange, constitutionally speaking, to establish by law a penalty which everybody knows that the implementation or not will depend on technical realities. In other words, as has been stressed by the ARCEP, that bundled or unbundled services do not have the same consequences in cases of suspension of Internet access. Indeed, in non-unbundled areas, it will be technically difficult to maintain IP telephony if internet access is cut. Therefore, it is manifestly contrary to the principle of equality before the law to establish a criminal penalty to which the implementation will not be the same across the country and depends on contingency techniques. If by some miracle you validate the procedural devices submitted for your consideration, it is nevertheless assumed that this law could come into force before the day the penalty may be applied uniformly throughout."

LOPPSI 2, Partie Remise

LOPSSI 2 ne sera finalement pas présenté au Parlement avant le premier semestre 2010.

Le projet de loi « Sécurité intérieure : loi d'orientation et de programmation pour la performance » ajouterait un nouvel article 222-16-1 au Code pénal visant à réprimer l’usurpation d’identité, qui serait définie comme suit :- « Le fait d’utiliser, de manière réitérée, sur un réseau de communication électronique l’identité d’un tiers ou des données qui lui sont personnelles, en vue de troubler la tranquillité de cette personne ou d’autrui ».- « Le fait d’utiliser, sur un réseau de communication électronique, l’identité d’un tiers ou des données qui lui sont personnelles, en vue de porter atteinte à son honneur ou à sa considération. » Ces comportements sont sanctionnés, selon le projet de loi, sur le modèle des appels téléphoniques malveillants (un an d’emprisonnement et 15 000 € d’amende).

Ce projet de loi est à suivre de près. Si le droit français peut sans doute s’accommoder de l’incrimination spéciale de l’usurpation d’identité numérique, le projet de loi comporte des éléments plus inquiétants pour les libertés publiques.

L’article 23 du projet de loi insérerait dans le chapitre II du titre XXV du livre IV du code de procédure pénale une section 6 bis , « De la captation des données informatiques » , permettant l’installation d’un « keylogging » sur un ordinateur, si autorisé par un juge d’instruction.:

« Art. 706-102-1. – Lorsque les nécessités de l’information concernant un crime ou un délit entrant dans le champ d’application de l’article 706-73 l’exigent, le juge d’instruction peut, après avis du procureur de la République, autoriser par ordonnance motivée les officiers et agents de police judiciaire commis sur commission rogatoire à mettre en place un dispositif technique ayant pour objet, sans le consentement des intéressés, d’accéder, en tous lieux, à des données informatiques, de les enregistrer, les conserver et les transmettre, telles qu’elles s’affichent sur un écran pour l’utilisateur d’un système de traitement automatisé de données ou telles qu’il les y introduit par saisie de caractères. Ces opérations sont effectuées sous l’autorité et le contrôle du juge d’instruction."

Le droit à l’image français pourrait également être remis en cause : le projet de loi modifierait le régime juridique de la vidéo protection et autoriserait les particuliers à installer des systèmes de vidéo protection afin de filmer les abords de leurs bâtiments pour des raisons sécuritaires, dans des lieux particulièrement exposés à des risques d’agression ou de vol. Les images pourraient être conservées un mois.

Pas de tests ADN, merci Monsieur Besson

Merci Monsieur Besson de n’avoir pas signé le décret d’application de la loi relative au regroupement familial.

Le Monde de mardi citait ainsi le Ministre : Peut-être que vingt ans, notre signature génétique sera aussi banale qu'une signature électronique ! Aujourd'hui ce n'est pas le cas" .

En effet, nous n’en sommes pas encore là. L’analyse de l’ADN est reconnue comme étant une technique biométrique par la CNIL ou la commission d'accès à l'information du Québec, mais pas par le General Accounting Office des États-Unis.

Sera-t-il un jour possible de bloquer l’accès à nos données personnelles ou à nos comptes bancaires, à moins que le doigt qui tape le code soit analysé comme appartenant à l’utilisateur légitime, non par l’analyse des empreintes digitales, mais par une analyse ultra-rapide de l’ADN ?

Dont' Be Such an Icon!

Sur le site du Village de la Justice, un article par Frédéric Glaize à propos d’une décision de la CA de Paris du 28 novembre 2008.

Le photographe Korda, auteur de la célèbre photographie, avait accordé en 1995 une licence d’exploitation de celle-ci à Patrick Magaud. Celui-ci avait déposé la photographie comme marque communautaire en 2002.

La CA de Paris annule la marque communautaire déposée par Mr. Magaud représentant la célèbre photographie de Che Guevara, au motif que celle-ci ne saurait être une marque:

“Considérant que les parties ont abondamment souligné que la diffusion mondiale qu’a connue et que connait encore cette œuvre de Korda ; que l’écho qu’elle reçut en fait presque une sorte d’icône emblématique d’un personnage historique et à travers le destin tragique de celui-ci, d’une époque de l’histoire contemporaine ;

Que la puissance d’évocation que revêt cette œuvre aux yeux de tous n’est d’ailleurs pas contestée ;

Considérant qu’il suit que le consommateur concerné par les produits visés à l’enregistrement notamment les vêtements, les produits de l’édition, les activités culturelles, percevra la marque communautaire litigieuse non pas comme un signe lui désignant l’origine des produits ou services auxquels il s’intéresse mais comme une référence faite, à des fins politiques ou artistiques à l’œuvre de Korda qui magnifie Che Guevara ;

Qu’en d’autres termes la perception de cette photo par le consommateur est exclusive de son utilisation pour désigner à ses yeux l’origine des produits et services pour lesquels elle a été enregistrée”.

Il est intéressant de noter que la CA insiste sur le fait que la marque doit servir à indiquer l’origine des produits. Est-ce à dire que l’on ne peut utiliser l’image d’une personnalité devenue une icône? Cela voudrait dire que le marché lucratif de l’exploitation de l’image d’une personnalité décédée (ou plutôt, d’une icône décédée), n’a pas de beaux jours en perspective en Europe…

Le TGI de Paris avait dèjà eu à se prononcer sur la légalité de l’utilisation d’une photographie comme marque communautaire en 2006. Le groupe de rock Trust avait utilisé la photographie comme bannière d’arrière scène lors de l’un de leurs concerts. Mr. Magaud, et l’héritière de Korda les poursuivirent pour contrefaçon. Les défendeurs arguaient que les demandeurs ne sauraient sans violer l'article 11 de la Déclaration des Droits de l'Homme et du Citoyen et l'article 10 de la Convention Européenne des Droits de l'Homme interdire rétrospectivement au groupe Trust d'exprimer leurs opinions politiques au moyen de cette image devenue un symbole de liberté et de contestation.

En outre, la marque ferait partie du patrimoine commun et ne pourrait être appropriée par le droit des marques sans détourner celui-ci de sa finalité. Elle serait également générique et usuelle.

Le TGI de Paris avait jugé l’utilisation de l’image du Che trop fugitive pour constituer une contrefaçon. La contrefaçon de marque n’était pas avérée, car l’utilisation de la photographie par le groupe Trust avait été antérieure au dépôt de la marque communautaire par Mr. Magaud.

Le TGI de Paris précisa néanmoins qu’une photographie peut être utilisée comme marque communautaire : l'enregistrement d'une marque dont le signe est protégé par le droit d'auteur n'est pas exclu par le règlement communautaire dès lors que cette hypothèse est prévue par l'article 52 de ce texte. De plus, la photographie en cause est parfaitement arbitraire pour désigner les produits et services visés à l'enregistrement de la marque dès lors qu'elle est bien utilisée dans la vie des affaires pour désigner l'origine de ces produits et services et non comme élément décoratif ; dans cette dernière hypothèse, seul le droit d'auteur est susceptible de la protéger.

Cette jurisprudence est bien plus favorable aux ayants droit de personnalités décédées, mais la CA de Paris ne semble pas y être favorable. A suivre.

Sign against Edvige

Edvige is the lovely name of the not-so-lovely new French police database. The June 27 2008 law, was published in the French"Journal Officiel" on July 1st, thanks to the CNIL, even though the government had not wished it to be published. Instead, it was published at a very quiet time of the year, during the vacances...

The French police is not entitled to gather personal data on individuals who have reached their 13th birthday, and who are likely to upset public order (susceptibles de porter atteinte à l'ordre public). Data thus gathered can be, of course, their names, addresses, and photographs, but also their tax reports, the names of the persons they associated with. Data regarding their health and sexuality can be gathered "exceptionally", but the law does not say how the police is supposed to evaluate the exceptional that measure must be.

Thanks to the CNIL, the database will not be connected with others. Imagine a banker trying to figure out whether to extend a credit denying it because he has access to his health data, or discover that his client was arrested ten years ago for smoking a Gauloise inside a bar?

The press had informed the French citizens about that new law, but it has not succeeded creating the uproar necessary to withdraw it. The petition is here.

Wikipedia & French Online Defamation

Here is a comment (in English) by Brad Spitz, a French lawyer, of last week's French court decision (in French), ruling that Wikipedia cannot be held responsible for defamatory content posted by its users (see here.)

RFID à Lille

Le projet ‘Lille Métropole ubiquitaire”, qui sera mis en place en janvier 2008, permettra aux consommateurs visitant une rue commerçante et un centre commercial de la ville d’expérimenter la consommation assistée par RFID. Guidés par un téléphone portable spécial, les clients peuvent aller de magasins de magasins, suivant ses indications. Le téléphone pourra également servir à régler les achats.

La CNIL doit suivre le projet. Si ces données sont conservées et croisées à des fins de marketing par data mining, , les dangers sont réels pour la protection de nos données personnelles. A suivre.

Le Gouvernement Français Veut Tripler les Caméras de Surveillance

Le gouvernement français veut tripler les caméras de surveillance. Cette mesure peut être bénéfique pour l’image publique du gouvernement, mais les caméras de surveillance ne sont pas d’une efficacité telle que les citoyens français doivent renoncer au privilège de ne pas être constamment filmés. Cette multiplication aurait de graves conséquences pour nos libertés publiques. En effet, les caméras de surveillance ne sont pas aussi efficaces que le gouvernement voudrait nous faire croire.

La biométrie par reconnaissance des visages a été utilisée à grande échelle en janvier 2001 aux Etats-Unis lors de la finale du Super Bowl, le championnat de football américain. Tous les spectateurs, environ 100 000 personnes, ont été numérisés par des caméras. Ces données ont ensuite été comparées par un ordinateur avec des données contenues dans les casiers judiciaires de certains criminels.

La ville de Tampa (Floride) qui avait organisé le Super Bowl en 2001, a également installé des caméras liées à un fichier biométrique dans l’un quartiers les plus touristiques de la ville, Ybor City, l’ancien quartier cubain de Tampa. Le système a été mis en place le 29 juin 2001 : le logiciel utilisé, Face-IT®, avait été développé par la société Visionics, qui a depuis fusionnée avec la société Identix. L’American Civil Liberties Union (ACLU). Un rapport de Jan Stanley et Barry Steinhardt avait dénoncé dès 2002 les nombreux défauts de ce système. L’Etat de Floride a une open-records lawqui autorise les citoyens à avoir accès aux rapports de police et l’ACLU a ainsi pu avoir accès aux rapports des policiers en charge de Face-IT®. Selon Jan Stanley et Barry Steinhardt, ce système n’est jamais parvenu à identifier un seul suspect et n’a permis aucune arrestation. Ce système a parfois confondu un homme pour une femme et commis d’autres erreurs. La ville de Tampa a d’ailleurs cessé de l’utiliser le 11 août 2001 et ne l’a plus utilisé depuis, même après les attentats du 11 septembre. Voir ici.

Êtes-Vous Fiché?

La CNIL publie un guide pour aider les clients des banques et des organismes de crédit à comprendre et à faire respecter leurs droits. Le guide explique comment les banques utilisent les fichiers, et quels sont les droits des particuliers, droit d’accès et de rectification, droit d'opposition, ainsi que des modèles de lettres à utiliser pour exercer ces droits.

Le Projet de Loi de Lutte Contre la Contrefaçon

L’Assemblée Nationale a adopté, après modifications, le projet de loi relatif à la lutte contre la contrefaçon.

Une loi protégeant les consommateurs sur Internet est annoncée

Le gouvernement a annoncé qu’un projet de loi protégeant les internautes contre certaines pratiques des FAI serait proposé ce mois. A suivre…

Amendement Mariani Supprimé

L’ amendement Mariani a été heureusement supprimé par la commission des lois du Sénat.

Projet de Loi de Lutte Contre la Contrefaçon

Le projet de loi de lutte contre la contrefaçon a été adopté en première lecture le 19 septembre 2007 par le Sénat.