Lekkage in Frankrijk Travail: wat er verborgen zit in het 20 jaar bewaren van uw gegevens

Dit is een inbreuk op persoonlijke gegevens op een schaal die zelden wordt geëvenaard, althans in Frankrijk. Woensdag 13 maart 2024 Frankrijk Travail (voorheen bekend als Pôle emploi) heeft toegegeven het slachtoffer te zijn geworden van een ernstige schikking, kennelijk naar aanleiding van een computercyberaanval. Dit is niet het eerste incident voor het platform.

Het is gevaarlijk vanwege het aantal mensen dat mogelijk getroffen wordt: 43 miljoen mensen, volgens schattingen van France Travail, wat overeenkomt met tweederde van de Franse bevolking. Bovenal was het de ontdekking van de duur van de bewaring van gegevens die een deel van het publiek verbaasde: dit kon wel twintig jaar duren, in een tijd dat ANPE nog bestond.

Het lek zal betrekking hebben op ” Mensen die momenteel geregistreerd zijn, mensen die eerder in de afgelopen 20 jaar geregistreerd zijn, en mensen die niet als werkzoekende zijn geregistreerd […]. Daarom is het waarschijnlijk dat de persoonlijke gegevens van 43 miljoen mensen zijn gelekt “, Is het uitgelegd?.

Een bewaartermijn van 20 jaar ondersteund door legitieme doeleinden

Al snel kwam de duur van het bewaren van informatie ter discussie, waarbij de Algemene Verordening Gegevensbescherming (AVG) door de argumenten werd heen en weer gezwaaid. Is dat niet hoe lang? Het gaat verder dan de regels van de wet In termen van minimalisering? Het kanaal, Wat nu wordt onderzochtMoet er geen boete worden opgelegd?

In feite lijken de zaken minder gedefinieerd. Ten eerste omdat deze duur blijkbaar niet bepaald een verrassing is In het gedetailleerde document Frankrijk Beleid en raamwerk voor de bescherming van persoonsgegevens van Travail (zelfs als dit het type link is dat niemand leest)

Deze periode van maximaal twee decennia wordt genoemd:

” Voor mensen die op de werkzoekendenlijst staan ​​ingeschreven, worden ruimtes en persoonsgegevens bewaard gedurende een periode van maximaal 20 jaar na beëindiging van de inschrijving op de werkzoekendenlijst. » France Travail verwijst op zijn beurt naar de wet en citeert de Arbeidswet (blz. 5312-44).

Er is een eerste doel dat het behoud van erfgoed gedurende twintig jaar legitiem maakt: het Franse volk de kans geven om in de loop van de tijd zijn carrière opnieuw op te bouwen en zijn rechten te doen gelden. Met andere woorden: om de carrière van een derde partij opnieuw op te bouwen, moet je verschillende elementen gedurende een lange periode kunnen behouden.

Dit doel werd bevestigd door het platform in TF1 Op 14 maart. Dit biedt kansen Voor mensen die hun recht op pensioen willen bevestigen, bijvoorbeeld om spullen terug te krijgen die verband houden met hun werkloosheidsperiode en die ze niet hoefden te behouden. Frankrijk Travail wordt in deze gevallen regelmatig gebeld. »

Andere redenen spreken voor een lange houdbaarheid. dat het Wat evolueert? Alexandre Archambault is een advocaat die gespecialiseerd is in onderwerpen die verband houden met het recht in de digitale ruimte. Als onderdeel van de strijd tegen fraude wel Het doel van constitutionele waardeworden even lange termijnen genoemd.

Dit zien we bij het arbeidsrecht (L.5422-5), waarbij de claim om de verzekeringsuitkering terug te vorderen kan oplopen tot tien jaar, in geval van fraude of valse aangifte. Dit zien we ook in het burgerlijk recht (2232), wat voorziet in een ruime operatieperiode van twintig jaar, merkt de advocaat op. Dit resulteert soms aan rechterlijke beslissingen.

Het probleem is de veiligheid, niet de duur

De schok die wordt veroorzaakt door de omvang van het incident dat France Travail treft, zal er waarschijnlijk voor zorgen dat we een belangrijk element over het hoofd zien: naast de duur van de gegevensbewaring zijn het vooral de voorwaarden van deze bewaring die ter discussie moeten worden gesteld. de manier waarop de gegevens worden bewaard. Frankrijk Travail Access is veilig en gesegmenteerd.

dat het Wat werd waargenomen Voormalig consultant bij Pôle Emploi op X (voorheen Twitter): “ Als iemand mijn verbindingsgegevens met het Pôle emploi-intranet had opgemerkt, had hij ook alle persoonlijke gegevens van 43 miljoen Fransen van zijn bank kunnen stelen. » Inclusief allerlei soorten beroemdheden.

De modus operandi leek een “eenvoudige” nabootsing van het advies van Cap Employment, de organisatie die verantwoordelijk is voor het zoeken naar banen voor mensen met een handicap, zei ze. de wereld. Er is dus geen sprake van een geavanceerde cyberaanval, maar eerder van een actie die misschien wel een combinatie is van klassieke social engineering- en phishing-technieken.

Misschien ligt hier wel de kern van het probleem. Afgezien van de bewaartermijn lijkt het de veiligheid van de gegevens te zijn die hier ernstig in gebreke lijkt te blijven, met onvoldoende segmentatie of zelfs de afwezigheid ervan, om bijvoorbeeld te voorkomen dat de gegevens op een te grote schaal worden geraadpleegd of dat er intensief gebruik van wordt gemaakt.

Schrijf u gratis in op Artificielles, onze nieuwsbrief over AI, ontworpen door AI, en geverifieerd door Numerama!