Thread by @CNIL

#PrivacyResearchDay C'est parti ! La CNIL accueille aujourd'hui des chercheurs internationaux pour présenter leurs travaux sur la #vieprivée et la protection des #données.
Suivez l'événement en direct en 🇬🇧 ou en 🇫🇷👉 cnil.fr/fr/privacy-res…
Suivez le thread ⬇️

La présidente de la CNIL Marie-Laure Denis accueille la communauté internationale au 1er #PrivacyResearchDay ! Des chercheurs qui travaillent et enseignent en Allemagne, Belgique, Espagne, Singapour, Suisse, Royaume-Uni, Luxembourg et France.

La CNIL utilise la #recherche de multiples façons :
👉 Lors de la rédaction de recommandations et de lignes directrices.
👉 Dans l'un des cas sur les #cookies, la CNIL s'est référée aux résultats de deux documents de recherche.

La #recherche en #sciences sociales est aussi importante que la recherche en #technologie. Il est important de comprendre l'impact des #technologies sur les utilisateurs, le comportement des utilisateurs et la manière dont ils cherchent à exercer leurs droits

25% du personnel de la CNIL a une formation technique et la CNIL peut compter sur des ressources dédiées à l'expertise technologique, comme un pool de 13 #technologues #experts. En outre, 4 de nos commissaires sont des chercheurs expérimentés et ont une formation universitaire.

Aperçu des thèmes du #PrivacyResearchDay :
👉 Les trackers sur smartphone et applications
👉 Comment les entreprises réagissent et s'adaptent au #RGPD ?
👉 Quelles sont les incitations économiques pour rester efficace et en conformité avec le RGPD ?

Le @LINCnil le laboratoire d'innovation de la CNIL est à l'origine du #PrivacyResearchDay.

@LINCnil La stratégie de la CNIL pour 2022-2024
3⃣ priorités :
👉Promouvoir le droit à la vie privée,
👉Promouvoir le #RGPD comme un atout et une opportunité
👉Cibler stratégiquement les sujets à fort enjeu : vidéo augmentée, applications mobiles et transferts dans le #cloud.

@LINCnil La première intervenante est Annika Selzer from @FraunhoferISE 🇩🇪 "An Economic Analysis of Appropriateness under Article 32 GDPR" (« Une analyse économique de la notion de « mesures appropriées » au sens de l'article 32 du #RGPD »)

@LINCnil @FraunhoferISE Anika Selzer présente son évaluation du coût de mise en œuvre de l'état de l'art et l'analyse des amendes #RGPD au titre de l'art. 32. L'amende moyenne varie de 5,6k€ à 9 millions€, selon la taille de l'entreprise, mais les amendes restes rares.

@LINCnil @FraunhoferISE Découvrez son article 👉 edpl.lexxion.eu/data/article/1…

@LINCnil @FraunhoferISE 🗣️Vincent LEFRERE @imt_bs présente le travail de Grazia Cecere et Sarah Lemaire « #Vieprivée, #données et compétition : le cas des applications pour jeunes #enfants » 👉 deliverypdf.ssrn.com/delivery.php?I…

@LINCnil @FraunhoferISE @imt_bs Les #chercheurs étudient l'effet des règles de la protection de la #privée sur l'efficacité du #ciblage et des prix des #publicités. Les apps produites par de grands développeurs nécessitent une plus petite quantité de données sensibles notamment dans le programme Google Family.

🗣️Aileen Nielsen (ETH Zurich, Center for Law and Economics, 🇨🇭) presents her work on "Measuring lay reactions to personal #data markets" (« Mesurer les réactions « profanes » aux marchés de #données personnelles »). 👉 dl.acm.org/doi/10.1145/34…

🆕perspectives➡️les personnes et le consensus public au regard des marketplaces de #données.
Les données personnelles sont-elles banalisées pour le commun des mortels ? Le contexte social est important et les compromis sont vulnérables à la manipulation

Réaction des utilisateurs face à la vente de leurs #données
➡️ 40% refusent de donner un prix aux données
➡️ S'ils donnent un prix : un ordre de grandeur au-dessus du prix du marché
➡️ Le refus de donner un prix ne change pas avec la possibilité de partage

On accueille le prochain panel : "Smartphones et applications" avec :
👉@AlvaroFeal @IMDEA_Networks, Spain
👉Konrad Kollnig @FascinatingTech (@UniofOxford, United Kingdom) et @PiDewitte (@CiTiP_KULeuven , Belgium)
👉@Naif5Mehanna @Inria_Lille University of Lille

@AlvaroFeal @IMDEA_Networks @FascinatingTech @UniofOxford @PiDewitte @CiTiP_KULeuven @Naif5Mehanna @Inria_Lille 🗣️ @AlvaroFeal (@IMDEA_Networks, Spain) présente ses travaux avec @Julien_Gamba @0xjet Primal Wijesekera, Joel Reardon @v0max @narseo "Don’t Accept Candy from Strangers: An Analysis of Third-Party Mobile SDKs" 👉 dspace.networks.imdea.org/bitstream/hand…

🗣️ @AlvaroFeal "Les #SDK sont utilisés pour intégrer le code tiers dans les applications mobiles et le modèle d'autorisation #Android contrôle l'accès aux #données de l'utilisateur. Cependant, les SDK obtiennent les mêmes autorisations que les applications elles-mêmes !"

@AlvaroFeal La détection des #SDK est complexe :
➡️ Une analyse statique comme #Exodus manque la présence de SDKs
⬇️

@AlvaroFeal ➡️ L'analyse dynamique est très difficile à mettre en œuvre : l'utilisation réelle de l'app est nécessaire car l'analyse automatisée ne peut pas tester complètement l'app.
👉 La combinaison des deux est nécessaire

🗣️Konrad Kollnig @FascinatingTech (@UniofOxford
, United Kingdom) and Pierre Dewitte @PiDewitte
(@CiTiP_KULeuven, Belgium) present leurs travaux "A Fait Accompli? An Empirical Study into the Absence of Consent to Third-Party Tracking in Android Apps" 👉 usenix.org/system/files/s

Les auteurs expliquent leur analyse de 1.3K applications mobiles #Android :
➡️Avec leur logiciel open-source #TrackerControl, ils ont identifié 71,3% applications contenant des traces
➡️Moins de 9,9 % ont demandé le consentement des utilisateurs
(1/2)

➡️Seulement 3,5 % des applications permettent aux utilisateurs de refuser leur #consentement
➡️ Les directives #ePrivacy et #RGPD nécessitent le consentement
(2/2)

Les développeurs d'app doivent s'appuyer sur les #SDK pour obtenir des fonctionnalités supplémentaires. Mais parmi tous les acteurs (#développeurs, SDK, #traqueurs), qui est légalement responsable puisqu'ils sont tous des contrôleurs conjoints dans le cadre du #RGPD ?

🗣️Naif Mehanna @Naif5Mehanna (University @Inria_Lille) présente ses travaux avec @RockPartridge Antonin Durey @rudametw :
➡️"The Price to Play: a Privacy Analysis of Free and Paid Games in the Android Ecosystem" 👉 hal.archives-ouvertes.fr/hal-03559973/d…

Les auteurs ont analysé 320 #jeux gratuits et 396 payants :
➡️87% des jeux gratuits et 65% des payants ont au moins un tracker
➡️6 trackers par jeu gratuits, et 1,8 trackers par jeu payant en moyenne
➡️Les jeux de hasard et de casino ont pour la plupart des #trackers

La ❓de la CNIL porte sur la "validité du #consentement dans les #app mobiles": Comment le consentement doit-il être conçu, doit-il être lié au système de permission ? Et comment les fabricants de #SDK doivent-ils communiquer sur les #données collectées ?

Le travail de @AlvaroFeal repose en grande partie sur @AppCensusInc pour les app #Android, cette analyse n'existe pas encore pour #iOS.
➡️@FascinatingTech : sortie prochaine d'un logiciel pour analyser les app mobiles pour #iOS. @Naif5Mehanna se concentre également sur #Android

@AlvaroFeal @AppCensusInc @FascinatingTech @Naif5Mehanna Le prochain panel : "Perspectives des utilisateurs et perception de la vie privée et des droits sur les données"
➡️René Mahieu @ReneLPMahieu (@VUBrussel, Belgique)
➡️ Zaira ZIHLMANN (@UniLuzern, Suisse)

@AlvaroFeal @AppCensusInc @FascinatingTech @Naif5Mehanna @ReneLPMahieu @VUBrussel @UniLuzern 🗣️René Mahieu @ReneLPMahieu (@VUBrussel, Belgium) présente ses travaux avec @hadi_a Christopher Parsons @jorisvanhoboken Masashi Crete-Nishihata, Andrew Hilts, Siena Anstis on "Measuring the Brussels Effect through Access Requests" 👉 jstor.org/stable/10.5325…

@ReneLPMahieu explique l'"effet Bruxelles", c'est-à-dire le fait que les règles établies par l'#UE ont un impact sur l'activité économique mondiale et se traduisent par des conséquences tangibles pour les citoyens d'autres pays.

@ReneLPMahieu La méthode de recherche est une expérience naturelle qui a étudié les demandes d'accès des sujets dans l'UE et au Canada :
➡️Le #RGPD a eu un effet énorme : +150% de meilleures réponses qu'avant
➡️La réponse aux utilisateurs canadiens est aussi élevée que celle des utilisateurs🇪🇺

@ReneLPMahieu 🗣️Zaira Zilhmann (@UniLuzern, Suisse) présente ses travaux avec Aurelia Tamò-Larrieux, Kimberly Garcia and Simon Mayer on "The Right to Customization: Conceptualizing the Right to Repair for Informational #Privacy" 👉 link.springer.com/chapter/10.100…

"Le droit à la réparation peut-il exister dans le paysage de la #vieprivée ?" La protection des #données by design et par défaut pourrait être utilisée par les personnes concernées pour exiger des mesures techniques et organisationnelles pour la personnalisation de la #privacy."

Accueillons le prochain panel : "#IA et explication"
➡️ Martin Strobel @NUSingapore
➡️ Hannah Brown @Hannah_Aught @NUSingapore
➡️ Sallam Abualhaija @Belle0Paix @uni_lu

🗣️Martin Strobel @NUSingapore présente ses travaux avec @rzshokri and @YairZick on “#Privacy at the Intersection of Trustworthy Machine Learning” 👉 comp.nus.edu.sg/~reza/files/Sh…

Martin Strobel : "Les modèles d'apprentissage automatique ne sont pas neutres et font des erreurs".

Martin Strobel : "Rendre un modèle équitable peut augmenter le risque pour la vie privée pour tout le monde. Des outils comme ML Privacy Meter peuvent aider à quantifier les risques pour la vie privée des modèles ML"

Hannah Brown @Hannah_Aught @NUSingapore présente ses travaux avec Katherine Lee, Fatemehsadat Mireshghallah @rzshokri Florian Tramèr on "What Does it Mean for a Language Model to Preserve Privacy?" 👉 arxiv.org/pdf/2202.05520…

@Hannah_Aught @NUSingapore @rzshokri @Hannah_Aught : "Nous utilisons le #langage pour former des identités et des communautés, tout peut être exprimé. Les risques pour la #vieprivée sont alors importants".

@Hannah_Aught : "Le nettoyage du texte ne fonctionne pas, car les informations privées n'ont pas un format unique. Le #langage change constamment, et la #vieprivée dépend fortement du contexte.

Sallam Abualhaija @Belle0Paix @uni_lu présente ses travaux avec Orlando Amaral, Mehrdad Sabetzadeh on "AI-enabled Automation for Completeness
Checking of Privacy Policies" 👉 arxiv.org/pdf/2106.05688…

Sallam Abualhaija @Belle0Paix 🗣️ "L'#IA peut être vue comme une opportunité malgré certains enjeux pour la #vieprivée, selon le contexte."

@Belle0Paix 🗣️ "Les organisations ont des difficultés à comprendre comment se conformer au #RGPD, la vérification de la #conformité est souvent faite manuellement. L'#IA peut aider à analyser les documents juridiques pour montrer s'ils sont conformes".

Notre prochain panel « Défis organisationnels » avec :
➡️ Cécile CARON @EDFRetD
➡️ Max VON GRAFENSTEIN @MaxGrafenstein @UdK_Berlin_
➡️ @LaurensSion @KU_Leuven

@EDFRetD @MaxGrafenstein @UdK_Berlin_ @LaurensSion @KU_Leuven Cécile CARON @EDFRetD présente ses travaux : "#Privacy-proofing #blockchain. Socio-technical trade-offs and the design and experimentation trajectory of a service in the energy sector"

Cécile Caron 🗣️ "La #Blockchain et le #RGPD présentent deux modèles de confiance qui ont tendance à être antagonistes".

Cécile Caron 🗣️"Il faut faire des compromis socio-techniques, comme la minimisation des #données et le stockage des hash sur la #blockchain, ce qui nécessite une collaboration et des compromis à expérimenter."

🗣️Max VON GRAFENSTEIN @MaxGrafenstein @UdK_Berlin_on sur ses travaux « Effective #data protection by design through interdisciplinary research methods ». By the same author 👉degruyter.com/document/doi/1…

@MaxGrafenstein 🗣️ "Nous avons travaillé sur la façon de concevoir un bandeau #cookie qui donne vraiment à l'utilisateur un avantage ou une valeur spécifique."

@MaxGrafenstein 🗣️"La protection des #données by design combine le droit et le #UXdesign et se prête parfaitement à une approche interdisciplinaire, avec des cryptographes, des mathématiciens, des designers, etc."

@LaurensSion (@KU_Leuven, Belgium) présente ses travaux avec Pierre Dewitteb , Dimitri Van Landuyta , Kim Wuytsa , Peggy Valckeb , Wouter Joosena « DPMF: A Modeling Framework for #Data Protection by Design. » 👉 emisa-journal.org/emisa/article/…

@LaurensSion 🗣️ "Il existe différentes approches de la #DPIA, comme les modèles/questionnaires, l'extension des modèles de conception, ou la confidentialité et la #sécurité nécessitent une ingénierie."

@LaurensSion @LaurensSion 🗣️ "Nous pouvons utiliser un cadre de modélisation de la protection des #données qui permet une description complète et précise des opérations de traitement des données en termes de concepts clés utilisés dans le #RGPD."

Notre dernier panel « Outils pour les autorités de protection des données » avec :
➡️ Robin CARPENTIER @uvsq
➡️ Asuman SENOL @asusenol (@KU_Leuven, Belgium)
➡️ José GONZALES @joseegc_ (Universidad Carlos III de Maduniversisdrid and UC3M-Santander Big Data Institute @uc3m, Spain)

🗣️Robin CARPENTIER @uvsq présente ses travaux avec Floris Thiant, Iulian Sandu Popa, Nicolas Anciaux, Luc Bouganim An Extensive and Secure Personal Data Management System Using SGX 👉 hal.inria.fr/hal-03580286v3…

Robin Carpentier 🗣️ "De plus en plus de systèmes de gestion des #données personnelles (PDMS) sont disponibles. Notre article présente la première implémentation de #PDMS basée sur l'environnement d'exécution de confiance SGX."

"Comment les entreprises peuvent récompenser les employés qui viennent en🚲sans collecter les #données ? Un noyau sécurisé basé sur SGX collecte les traces #GPS, calcule le score et ne partage que le résultat avec l'employeur. Le chercheur a mis en place un prototype complet"

Asuman SENOL @asusenol (@KU_Leuven, Belgium) présente ses travaux avec Gunes Acar, Mathias Humbert @MathiasOZ, Frederik Zuiderveen Borgesius @fborgesius "Leaky Forms: A Study of Email and #Password Exfiltration Before Form Submission" 👉 usenix.org/system/files/s…

@asusenol 🗣️ "Nos emails sont des identifiants persistants sur le Web. Nous mesurons donc la collecte d'emails et de #mots de passe à grande échelle sur le #Web".

@asusenol 🗣️ "Des traqueurs collectent activement des adresses électroniques sans le consentement des utilisateurs sur 1 844 sites webdans l'UE et 2 950 sites web aux États-Unis. De plus, les traqueurs collectent les #motsdepasse sur 48 sites web dans l'UE."

@asusenol : "Notre extension de navigateur LeakInspector est capable de détecter et de bloquer les requêtes fuyantes qui envoient vos #motsdepasse ou vos e-mails !"

José GONZALES @joseegc_ @uc3m présente ses travaux avec Ángel Cuevas, Rubén Cuevas, Juan López-Fernández, David García "Unique on #Facebook: Formulation and Evidence of (Nano)targeting Individual Users with non-PII Data." 👉 arxiv.org/pdf/2110.06636…

@joseegc_ 🗣️ "En combinant des #données non personnelles, on peut révéler l'identité de l'utilisateur. Nous le montrons sur Facebook où les intérêts des utilisateurs sont collectés pour des #publicités ciblées. Combien d'intérêts rendent un utilisateur unique sur #Facebook ?"

@joseegc_ 🗣️ "Sur 2390 utilisateurs de #Facebook, nous avons collecté 99K intérêts uniques. Nous estimons que 22 intérêts aléatoires sont suffisants pour identifier de manière unique un utilisateur dans l'ensemble de Facebook."

@FrPellegrini vice-président de la @CNIL et professeur à l'@univbordeaux 🗣️ "Le #PrivacyResearchDay ne sera pas le seul de ce genre. Merci au @LINCnil pour l'organisation. Merci, au plaisir de vous revoir l'année prochaine !"

Merci à tous de nous avoir suivi ! Vous étiez près de 3000 à suivre le live vidéo ! 👋