Title : Sharenting as a global issue and how the new Norwegian Act relating to Children and Parents (the Children Act) tries to “fix” it

Résumé : Résumé
La présentation sera fondée sur le mémoire de master dans lequel Karianne Paulsen a évalué la nouvelle loi relative aux enfants et aux parents (Children Act) de 2025 (qui n’est pas encore entrée en vigueur). Elle s’est concentrée sur l’évaluation de l’impact de cette loi sur le droit à la vie privée des enfants en matière de sharenting (le fait pour les parents de partager des images de leurs enfants sur les réseaux sociaux). Au cours de ses recherches, elle a rapidement compris que le sharenting est un problème qui dépasse les frontières et que les législateurs français ont été particulièrement attentifs aux risques liés au partage par les parents des données personnelles de leurs enfants. La présentation abordera le cadre juridique applicable au sharenting avant et après l’entrée en vigueur de la nouvelle Children Act, et ouvrira une réflexion sur la meilleure manière d’encadrer juridiquement les défis posés par le sharenting.

Abstract : The presentation will be based on the master thesis where Karianne Paulsen evaluated the new Act relating to Children and Parents (the Children Act) of 2025 (still not in force). She focused on assessing how it will affect children's right to privacy when it comes to sharenting. While doing the research, she quickly understood that sharenting is a problem that crosses borders, and that the French law makers have been especially aware of the risks raised by parents sharing their children's personal data. The presentation will comment on the legal status of regulating sharenting before and after the new Children Act will enter into force, and open up for a discussion on how to best regulate the challenge of sharenting.

Intervenante : Karianne Paulsen a soutenu son mémoire de master en droit en décembre 2025 et travaille depuis lors auprès du gouverneur du comté de Vestland en tant que conseillère dans le domaine de la protection juridique des majeurs (legal guardianship).

Speaker : Karianne Paulsen submitted her master`s thesis in law in December 2025 and has since then worked at the County Governor of Vestland as an advisor in the field of legal guardianship.

Résumé : Le développement des outils d’apprentissage et d’évaluation fondés sur l’IA dans l’éducation offre de nouvelles opportunités, mais soulève également d’importants enjeux en matière de protection des données personnelles des élèves. L’un des principaux défis concerne le manque de transparence des algorithmes et la difficulté d’obtenir une explication des décisions automatisées. Cette contribution examine ainsi le débat autour du « droit à l’explication » prévu par le RGPD, dont l’existence et la portée restent discutées depuis l’adoption du règlement en 2016. Une interprétation stricte des articles 15 et 22 limiterait ce droit aux décisions entièrement automatisées. Or, dans le domaine éducatif, la présence d’un « enseignant dans la boucle » pourrait empêcher l’application de ces dispositions et permettre le déploiement d’outils d’IA échappant au droit à l’explication. Cette contribution analyse donc les limites des articles 15 et 22 du RGPD dans le contexte de l’enseignement obligatoire et soutient que certains usages de l’IA en éducation pourraient néanmoins relever de l’article 22, paragraphe 1.

Intervenante : Malgorzata Cyndecka est professeure titulaire de droit à la Faculté de droit de l’Université de Bergen (UiB), en Norvège. Elle est également affiliée au Centre for the Science of Learning & Technology (SLATE) de l’UiB. Ses travaux portent sur les règles de l’Union européenne et de l’Espace économique européen (UE/EEE) relatives aux aides d’État et à la protection des données. Elle est membre de la Commission norvégienne de recours en matière de protection des données (Personvernnemnda), qui examine les décisions de l’Autorité norvégienne de protection des données (Datatilsynet). Elle est également membre du groupe d’experts « IA et éducation » du Conseil de l’Europe. Elle participe à quatre grands projets liés à l’intelligence artificielle : deux centres norvégiens consacrés à l’IA, AI LEARN et TRUST ; EduTrust AI (« Artificial Intelligence in Education: Layers of Trust ») ; ainsi qu’ENDOTRAIN, un réseau doctoral financé par Horizon et consacré à la transformation du diagnostic et de la prise en charge des troubles surrénaliens grâce à des outils numériques de pointe.

Résumé : Garantir une base légale pour le traitement des données à caractère personnel est une obligation clé du RGPD. Mais quelles sont les exigences requises pour fournir une base légale claire pour le traitement des données personnelles dans les écoles ?
Cette présentation expose les conclusions préliminaires d'une étude comparative sur la manière dont les législateurs ont abordé l'obligation de fournir une base légale pour le traitement des données personnelles dans le secteur de l'éducation en Norvège, en Suède, en Finlande et au Danemark. L'analyse s'appuie également sur les décisions des autorités nationales de protection des données et sur la jurisprudence. Les législateurs ont abordé ces questions de diverses manières, ce qui soulève des interrogations quant au rôle que devraient jouer les lois sur l'éducation pour définir les limites du traitement des données dans ce secteur.

Abstract: Ensuring a legal basis for the processing of personal data is a key obligation under the GDPR. But what are the requirements for providing a clear legal basis in national legislation for the processing of personal data in schools cf. Article 6(3)? This presentation outlines the preliminary findings from a comparative investigation of how lawmakers have adressed the requirement to provide a legal basis for the processing of personal data in education in Norway, Sweden, Finland and Denmark. The analysis also draws on decisions from the national DPAs and case law. Lawmakers have approached these issues in diverse ways, raising questions of what role education laws should play in determining the boundaries of data processing in education.

Intervenant : Øystein Flø Baste est doctorant au Département de droit public et international de l'Université d'Oslo, en Norvège. Son projet de thèse porte sur la gestion des données dans l'enseignement primaire et secondaire. Il examine l'interaction entre le droit européen, les droits de l'homme et le droit national, ainsi que la manière dont le régime réglementaire actuel contribue à relever les défis posés par les technologies émergentes.
En plus des méthodes de doctrine juridique, son projet déploie des approches socio-juridiques pour analyser la perception et la compréhension qu'ont les élèves du droit dans l'environnement numérique éducatif (« conscience techno-juridique »). Auparavant, Øystein a travaillé pour le ministère norvégien de l'Éducation, au sein du secrétariat d'un groupe d'experts nationaux, où il a rédigé un document d'orientation contenant des propositions législatives intitulé : « L'apprentissage : perdu de vue ? L'utilisation des données des élèves et des étudiants pour améliorer l'apprentissage ».

Speaker: Øystein Flø Baste is a Doctoral Research Fellow at the Department of Public and International Law, University of Oslo, Norway. His PhD project focuses on data administration in K12 education, investigating the interaction between EU law, human rights and national law, and how the current regulatory regime contributes to tackle the challenges posed by developing technologies. In addition to doctrinal legal methods, his project also deploys socio-legal approaches, analysing students’ perception and understanding of the law in the digital environment of education (“techno-legal consciousness”). Previously, Øystein worked for the Norwegian Ministry of Education, in the secretariat of a national expert group, drafting a policy paper with legislative proposals: “Learning: Lost in the Shuffle? Use of pupil and student data to enhance learning”.

Résumé de l'intervention :

Français

Les récentes lois sur la protection de la vie privée ont renforcé le droit des personnes concernées à accéder aux données personnelles collectées par les entreprises. Des travaux antérieurs ont montré que les exportations de données fournies par les entreprises aux consommateurs en réponse aux demandes d’accès aux données personnelles (DSAR) peuvent être complexes et difficiles à comprendre. Afin d’identifier des pistes d’amélioration de l’expérience utilisateur liée à ces exportations de données, nous avons mené une étude en ligne au cours de laquelle 33 participants ont exploré leurs propres données provenant d’Amazon, Facebook, Google, Spotify ou Uber. Les participants ont formulé des questions auxquelles ils espéraient répondre grâce à ces exportations. Ils ont également annoté les parties des données qu’ils trouvaient confuses, inquiétantes, intéressantes ou surprenantes. Si les participants espéraient en apprendre davantage soit sur leur propre utilisation de la plateforme, soit sur la manière dont l’entreprise collecte et utilise leurs données personnelles, ces questions sont souvent restées sans réponse. Leurs annotations ont révélé à la fois leur enthousiasme à découvrir des données suscitant de la nostalgie, mais aussi leur choc face aux implications en matière de vie privée de certaines informations observées. Après avoir examiné leurs données, de nombreux participants ont souhaité demander à l’entreprise d’en supprimer une partie, mais pas la totalité. Nous discutons enfin des opportunités offertes par de futurs outils visant à améliorer la transparence, ainsi que par des évolutions législatives.
Data Subjects’ Reactions to Exercising Their Right of Access, Arthur Borem, Elleen Pan, Olufunmilola Obielodan, Aurelie Roubinowitz, Luca Dovichi, Michelle L Mazurek, Blase Ur, USENIX Security Symposium 2024

English

Recent privacy laws have strengthened data subjects’ right to access personal data collected by companies. Prior work has found that data exports companies provide consumers in response to Data Subject Access Requests (DSARs) can be overwhelming and hard to understand. To identify directions for improving the user experience of data exports, we conducted an online study in which 33 participants explored their own data from Amazon, Facebook, Google, Spotify, or Uber. Participants articulated questions they hoped to answer using the exports. They also annotated parts of the data they found confusing, creepy, interesting, or surprising. While participants hoped to learn either about their own usage of the platform or how the company collects and uses their personal data, these questions were often left unanswered. Participants’ annotations documented their excitement at finding data records that triggered nostalgia, but also shock about the privacy implications of other data they saw. Having examined their data, many participants hoped to request the company erase some, but not all, of the data. We discuss opportunities for transparency-enhancing tools and enhanced laws.
Data Subjects’ Reactions to Exercising Their Right of Access, Arthur Borem, Elleen Pan, Olufunmilola Obielodan, Aurelie Roubinowitz, Luca Dovichi, Michelle L Mazurek, Blase Ur, USENIX Security Symposium 2024

Intervenant

Français

Arthur Borem est doctorant en informatique en dernière année à l’Université de Chicago (UChicago), où il mène des recherches sur la vie privée sous la direction de Blase Ur. Il étudie et analyse les fonctionnalités et les produits que les plateformes développent pour se conformer aux droits des personnes concernées sur leurs données. Il est également ingénieur logiciel full-stack et collabore avec la Data Transfer Initiative pour concevoir et publier une bibliothèque permettant d’exécuter des demandes de transfert et de portabilité des données (Pardner).

English

Arthur Borem a final-year Computer Science PhD at UChicago researching privacy, advised by Blase Ur. He is investigating and analyzing the features and products platforms build to comply with Data Subject Rights. He is also a full-stack software engineer and works with the Data Transfer Initiative to build and publish a library for executing data transfer/portability requests (Pardner).

Le défi proposé par la Commission nationale de l'informatique et des libertés (CNIL) était le suivant : Comment, pour des technologies invisibles et sans contact, produire les moyens du respect des droits des personnes (droit à l’information, droit à l’opposition, droit d’accès, etc.) ?

Résumé : L’usage du numérique à des fins terroristes est une modalité d’emploi des réseaux de télécommunications, des systèmes informatiques et des technologiques digitales complexe qui n’est pas appréhendé uniformément en droit international. D’un côté, ces outils numériques sont utilisés par les acteurs du terrorisme à la fois comme des vecteurs et des supports de diffusion d’une forme grave de criminalité transnationale. Cette dernière peut prendre la forme de divers actes de cybercriminalité : le vol de données, la diffusion de contenus à caractère terroriste en ligne ou encore la provocation publique à commettre un acte terroriste en sont quelques représentations. De l’autre côté, les systèmes informatiques et les logiciels malveillants permettent désormais aux acteurs non étatiques de lancer des cyberattaques contre les infrastructures essentielles de l’État. Nouvelles au demeurant, ces pratiques terroristes font l’objet d’un encadrement émergent reposant sur un système normatif composite. En se fondant sur le principe de l’applicabilité du droit international à la sphère numérique, la présente thèse montre qu’il existe deux régimes juridiques parallèles : un premier relatif à la lutte contre les actes de cybercriminalité terroriste et un second, dédié à la lutte contre les cyberattaques terroristes. Leur coexistence marque la volonté universelle de lutter contre le terrorisme sous toutes ses formes et manifestations, mais démontre, aussi, un traitement inégal des usages du numérique à des fins terroristes lié à une pratique elle-même déséquilibrée. En somme, l’absence d’instrument spécifique à la lutte contre le terrorisme numérique reflète en partie l’absence de systématisation de cette nouvelle forme de criminalité.

Intervenante : Eloïse Petit-Prévost-Weygand est titulaire d’un doctorat en droit public. Avant de rejoindre le service des affaires régaliennes et des libertés publiques de la CNIL, elle a notamment travaillé en tant qu’ingénieure d’études en post-doctorat à l’Université de Bourogne Europe au sein du Centre de recherche sur le droit des marchés et des investissements internationaux (CREDIMI) dans le cadre du projet sur l’analyse de l’élaboration d’un droit international du numérique (ALADIN). Ses recherches portent notamment sur la cybercriminalité terroriste et la cryptocriminalité.

Résumé : Depuis la naissance de l’écriture, des textes sont chiffrés, soustrayant par-là aux regards indiscrets informations sensibles, secrets et autres stratégies confidentielles. Néanmoins, la protection accordée par le chiffrement semble s’éteindre après la réception du message : celui-ci n’est ni détruit ni même soumis à des restrictions d’accès. Plusieurs dizaines de milliers de textes chiffrés ont ainsi été conservés et dorment aujourd’hui dans les archives et bibliothèques. Pourtant, jusqu’à récemment, ni les historiens ni les cryptographes ne s’y étaient réellement intéressés.
Cette intervention se propose donc de revenir sur les recherches les plus récentes, depuis le déchiffrement d’une lettre de Charles Quint, conservée à la Bibliothèque municipale de Nancy, jusqu’au projet Back in Time (https://backintime.inria.fr/) qui, de manière inédite, réunit historiens, cryptographes et spécialistes d’intelligence artificielle. Il s’agira de mettre en valeur les bénéfices d’une approche interdisciplinaire dans les opérations de cryptographie historique et, plus largement, pour l’émergence d’une réflexion commune sur les anciens systèmes de chiffrement (structure, complexité, sécurité).

Intervenantes :
Camille Desenclos est maîtresse de conférences en histoire moderne à l’Université de Picardie Jules Verne (CHSSC) ; elle est actuellement en délégation au sein de l’équipe Caramba (Université de Lorraine, CNRS, Inria). Ses recherches portent sur l’histoire politique et diplomatique des XVIe et XVIIe siècles, et plus spécifiquement sur les pratiques et usages de la cryptographie.

Cécile Pierrot est chargée de recherches en cryptographie au sein de l’équipe Caramba (Université de Lorraine, CNRS, Inria). Travaillant initialement sur des problèmes actuels de cryptanalyse (cryptographie à clef publique), elle s’est depuis spécialisée en cryptographie historique.

Le projet Back in Time est un projet interdisciplinaire réunissant cryptographes, historiens et spécialistes d’intelligence artificielle (vision par ordinateur notamment) afin de construire un outil permettant la cryptanalyse, guidée puis automatique, des textes anciens chiffrés (XVe-XIXe siècles). Plus largement, il contribue à l’acquisition de nouvelles connaissances en histoire de la cryptographie, à l’amélioration des techniques de cryptanalyse, mais aussi au développement, en France, de la cryptographie historique.

Résumé de l'intervention : Le projet SAFEPAW propose une plongée inédite au cœur des trajectoires de soins, en croisant analyses fines du SNDS, études territoriales et enquêtes qualitatives auprès des régulateurs, des professionnels et des patients. Cette démarche multidisciplinaire permet de comprendre comment les données individuelles – cliniques, socio-économiques, déclaratives ou administratives – orientent concrètement les parcours, mais aussi comment certaines dimensions restent invisibles ou mal capturées par les systèmes actuels.
L’enquête met en évidence les biais structurels qui influencent les algorithmes, les pratiques de codage, l’interprétation des données ou encore la construction des indicateurs de qualité. Elle éclaire également les tensions entre efficacité, transparence et protection juridique, dans un contexte marqué par le RGPD, la régulation de l’IA et les attentes croissantes de confiance de la part des acteurs.
Cette présentation mettra en lumière les déterminants sociétaux, économiques, informatiques et juridiques qui façonneront l’e-santé de demain. Elle invitera à réfléchir aux conditions d’un accès responsable, proportionné et équitable aux données de santé, indispensable pour développer des technologies réellement utiles, compréhensibles et acceptées par tous.

Les intervenantes :
Carine Milcent est directrice de recherche au CNRS et spécialiste reconnue en économie des systèmes de santé. Ses travaux portent sur l’organisation des systèmes de soins, l’efficience hospitalière, les inégalités d’accès, et l’usage des données de santé pour analyser les parcours de soins. Elle mobilise une expertise à l’interface de l’économie, de la data sciences et de la santé publique, et a récemment publié Économie de la santé et des systèmes de santé (2024), ouvrage de référence sur les politiques de santé (eds Ellipses).
Céline Gauthier-Maxence est post-doctorante en droit, membre de l’AFDIT et du projet SAFEPAW, où elle anime avec dynamisme et pertinence l’axe juridique. Formée en intelligence artificielle et ouverte aux méthodologies issues des sciences sociales, elle explore les usages et régulations des données de santé dans une perspective interdisciplinaire. Elle travaille également sur l'usage de la blockchain en santé et les enjeux entourant les smart contracts.

Résumé de l'intervention : Alors que les systèmes d'IA commencent à ingérer et modéliser des neurodonnées — des informations révélant ou permettant d’inférer des états mentaux, des émotions ou des intentions — les limites du droit de la protection des données sont mises à l’épreuve de manière inédite. Cette intervention examine la façon dont les cadres existants, y compris le RGPD et la règlement sur l'IA (AI Act), peinent à s'adapter au basculement épistémique du traitement des données vers l'inférence cognitive. En s'appuyant sur son récent rapport sur les recommandations de la CNIL concernant l'intérêt légitime pour l'entraînement des modèles d'IA, Mark Leiser explore la façon dont les garanties procédurales risquent de devenir des barrières structurelles à l'innovation et comment des dynamiques similaires pourraient émerger dans la régulation de la « NeuroIA ». L'intervention plaide pour un recalibrage de la conception de la conformité — une conception qui protège la vie privée cognitive tout en maintenant le leadership de l'Europe en matière d'IA de confiance.

Intervenant : Le Dr Mark Leiser est un juriste spécialisé dans la régulation du numérique, le design trompeur (deceptive design) et l'IA. Anciennement rattaché à l'Université de Leiden, à la Vrije Universiteit Amsterdam et à la London School of Economics, il est actuellement Professeur invité à la Riga Graduate School of Law et fondateur de DigiData Consulting. Ses recherches examinent comment les systèmes juridiques répondent à la manipulation, à l'automatisation et à l'inférence cognitive dans les environnements numériques. Il est l'auteur de Dark Patterns, Deceptive Design, and the Law (Bloomsbury Hart, 2025) et de la monographie à paraître Artificial Intelligence, NeuroData, and Society: Law at the Edge of Cognition. Ses rapports récents analysent les recommandations de la CNIL sur l'entraînement de l'IA et proposent des cadres inter-réglementaires pour les systèmes émergents de NeuroIA et d'inférence cognitive.

Résumé de l'intervention :Apple a lancé les AirTags en 2021 pour aider les utilisateurs à retrouver leurs objets perdus. Leur petite taille, leur prix abordable et leur fonctionnalité de suivi précis les prédestinaient à être utilisés à des fins de harcèlement technologique, c'est-à-dire pour suivre d'autres personnes sans leur consentement. Pour contrer ce phénomène, Apple a introduit des fonctionnalités anti-harcèlement afin d'empêcher l'utilisation abusive des AirTags : des notifications de suivi indésirables et deux fonctionnalités de localisation. Cependant, la fiabilité et l'efficacité de ces mesures restent incertaines.

Nous présentons deux études visant à évaluer les notifications de suivi indésirables et les fonctionnalités de localisation du traceur. Tout d'abord, nous quantifions la fiabilité des notifications de suivi indésirables sur iOS et Android avec NA = 50 participants pleinement informés. Ensuite, nous présentons une étude sur la tromperie afin de comprendre les réactions de NB = 19 participants à une notification de suivi inattendue. De plus, nous avons demandé aux participants de localiser un AirTag caché afin d'étudier les fonctionnalités de localisation.

Les intervenants : Dañiel Gerhardt est chercheur doctorant au CISPA Helmholtz Center for Information Security. Ses recherches portent sur la sécurité, la confidentialité et la sûreté, en particulier l'utilisation abusive des technologies émergentes.

Matthias Fassl, chercheur postdoctoral au CISPA Helmholtz Center for Information Security, est un chercheur en IHM qui se concentre sur la sécurité, la confidentialité et la sûreté. Depuis son stage au sein de l'unité chargée de la politique en matière de cybercriminalité de la Commission européenne, il souhaite que ses recherches contribuent aux discussions politiques en cours.

Résumé : La production et l'usage de systèmes d'intelligence artificielle en Union Européenne est délimitée par la règlementation autour des données personnelles. Le RGPD est donc une pièce centrale pour les entreprises produisant de l'IA, mais aussi pour celles qui la déploient. La question de la régulation se pose alors du point de vue de l'application et de l'interprétation des normes existantes : il s'agit non pas de ce que dit le droit, mais de son application, et plus particulièrement des institutions et des groupes sociaux qui sont parties prenantes de ce processus. Si des divergences en termes d'interprétation du RGPD ont pu être mises en évidence entre les Agences de Protection des Données (APD), il faut se demander quels sont les autres acteurs qui ont une influence au niveau de la régulation réelle, et lesquels sont absents. Je propose d'envisager la production et le déploiement des systèmes d'IA comme un champ économique dans lequel il faut situer les APD et les acteurs privés ou publics, mais aussi les syndicats et les travailleurs chargés de l'annotation des données.

Intervenant : Thomas Le Bonniec est chercheur doctorant en sociologie à l'Institut Polytechnique sous la direction d'Antonio Casilli et Corinne Vercher. Membre du groupe de recherche Digital Platform Labour (DiPLab), il travaille sur la reconnaissance des travailleurs de l'IA par la réglementation sur la protection des données et les biens communs numériques. Diplômé d'un master en sociologie en 2018 à la Sorbonne-Université, il rédige également des articles sur la surveillance, les plateformes, le travail numérique, le coût environnemental des économies numériques et la régulation pour le média Elucid.

Résumé de l'intervention : Cette communication présentera les résultats d’une enquête sur l’accompagnement à l’autonomie numérique des adultes âgés, et plus particulièrement à la prévention des risques en ligne, par les conseillers et conseillères numériques France Service. Les entretiens semi-directifs réalisés avec 14 conseillers à Nancy, Montpellier, Marseille et Grenoble, permettent de pointer l’importance de l’(auto)âgisme numérique et des émotions négatives qu’il génère dans la construction du rapport des plus âgés aux outils numériques et de leur représentation des risques en ligne. Face aux spécificités de ce public, les conseillers et conseillères développent des stratégies d’accompagnement et de prévention contraintes à la fois par l’injonction à amener les usagers à l’autonomie numérique et par les multiples ressources professionnelles qu’ils doivent mobiliser pour y parvenir, sans y être toujours formés.

Résumé de l'intervention : Les données personnelles des travailleurs sont traitées par les employeurs à diverses fins, notamment la gestion des ressources humaines, le respect de la législation, la sécurité, le contrôle de la qualité ou l'évaluation des performances. Toutefois, l'essor des technologies numériques a rendu de plus en plus complexe le contrôle des employés, défini au sens large comme la collecte licite d'informations sur les activités des travailleurs. Avec l'automatisation, le contrôle est de plus en plus susceptible de cibler et de traiter des données sensibles, ce qui le transforme en surveillance, une activité qui dépasse les limites légales et éthiques en s'immisçant dans la vie privée des travailleurs.
Cette présentation se concentrera sur la façon dont le contrôle des travailleurs peut se transformer en surveillance des travailleurs, comprise comme un processus basé sur un traitement de données plus granulaire et qui viole les droits essentiels des travailleurs : droits à la vie privée et à la protection des données, autonomie et autodétermination, intégrité humaine, dignité humaine, liberté d'expression et droit à la non-discrimination.

Résumé de l’intervention : L’usage croissant des systèmes de décision (semi-)automatisés suscite des inquiétudes quant aux discriminations causées par les biais algorithmiques. Pourtant, la législation européenne en matière d'égalité n'offre que des recours limités. En particulier, ses catégories centrales - la discrimination directe et indirecte - sont mal adaptées pour saisir les discriminations algorithmiques aux plans conceptuel et procédural. Pour remédier à ces insuffisances fondamentales, cette intervention proposera de conceptualiser les algorithmes dont les biais sont démontrés comme des « injonctions à discriminer ». Cette requalification juridique, puisée dans les marges du régime réglementaire actuel, vise à favoriser la résilience du système anti-discriminatoire européen en créant une "obligation raisonnable" de prévention des biais algorithmiques. Cette voie alternative devrait à son tour stimuler la création d’un écosystème préventif pour prendre en charge les effets discriminatoires de l’IA.

Résumé de l'intervention : Consentement à un acte médical, à l'adoption d'un enfant, au traitement de données à caractère personnel, aux relations sexuelles : dans de nombreuses hypothèses en droit des personnes, le droit exige le recueil du consentement des individus. Partant du recours au terme "consentement" en droit, nous interrogeons la place du consentement, objet de nombreuses attentes sociales, en droit. Loin de se réduire à une dimension individuelle, telle que la manifestation de sa volonté par une personne, il apparait que le consentement en droit revêt aussi une dimension profondément collective. Les normes juridiques exigeant un consentement participent ainsi d'un phénomène politique, en constituant notamment des formes de contrôle des individus. Également réalité sociale concrète, le consentement peut être appréhendé à travers la relation interindividuelle que suppose son recueil - autre expression de son aspect collectif - et qui se révèle imprégnée par de multiples rapports de pouvoir.

Résumé de l'intervention : Le droit à la portabilité des données est un droit introduit par le RGPD dans le but de permettre aux personnes concernées d'exercer un contrôle sur leurs données et sur la manière dont les responsables du traitement interagissent et sauvegardent les données personnelles qui leur sont confiées. Plus récemment, le Digital Market Act et le Data Act ont également introduit des dispositions juridiques tertiaires fondées sur le droit à la portabilité des données, ajoutant ainsi une nuance imprévue à ce droit. Lors de cette séance de séminaire, nous explorerons le paysage actuel du droit à la portabilité des données, en examinant les complémentarités et les tensions possibles entre le RGPD le DMA et le Data Act. Cette analyse prendra en considération les objectifs sous-jacents de ces trois règlements, non seulement dans le but de procéder à une analyse comparative des contours du droit à la portabilité des données sous l'égide de ces règlements, mais aussi pour avancer dans une analyse holistique de l'application tangible du droit et de la manière dont ces règlements pourraient permettre ou entraver cette application au profit des personnes concernées.

Résumé de l'intervention : Dans les sociétés contemporaines, les plateformes d'appariement algorithmiques permettent l'accès à certaines ressources essentielles, comme la formation (avec Parcoursup ou Affelnet), le partenaire amoureux, certains soins ou un emploi. Ces plateformes reposent sur des algorithmes de tri qui permettent d'appliquer un schéma très singulier : on choisit et on est choisi en même temps.

Après avoir défini les contours sociaux de l'appariement, la présentation propose d’étudier plus spécifiquement les modalités de circulations de données personnelles à l’œuvre dans ces processus. Elle montre enfin que l'appariement constitue l'infrastructure matérielle d'un nouveau type de solidarité sociale, que nous appelons la « société du matching ».

Résumé de l'intervention : Les objets connectés présentent un rôle perturbateur pour le droit des données à caractère personnel. À la frontière des domaines du bien-être et de la santé, les données issues de ces objets ont fait l’objet d’une appropriation quasiment exclusive par des acteurs privés, notamment par les plus grandes plateformes. Face aux limites du droit de la protection des données sur ces questions, le droit de la concurrence tend désormais à prendre le relais. L’État, quant à lui, tente de transformer son action pour se présenter lui-même comme une plateforme : les données de bien-être font désormais l’objet d’une gouvernance renouvelée.

Session 1 - La possibilité de mesurer à grande échelle les dark patterns

Au cours de cette session, trois experts présenteront des outils déployés et testés pour évaluer la conformité des sites web et/ou détecter les bannières de cookies utilisant des dark patterns. La complexité de définir les dark patterns ainsi que les défis liés à l’analyse à grande échelle des bannières de cookies seront également abordés.

Les présentations de cette session seront :

• “Quantifying Dark Patterns Online” par Nicolas Rolin (PEReN)
• “Automated Large-Scale Analysis of Cookie Notice Compliance” par Ahmed Bouhoula (ETH-Zurich)
• “Legitimate Interest is the New Consent – Large-Scale Measurement and Legal Compliance of IAB Europe TCF Paywalls” par Victor Morel (Chalmers University of Technology)

Session 2 – Empreintes numériques et suivi basé sur les emails

Alors que certains navigateurs bloquent par défaut les cookies tiers et les empreintes numériques (fingerprinting), des techniques de suivi voient le jour pour contourner ces protections. Cette session explorera entre autres le fingerprinting et les techniques de suivi basées sur les emails

Les articles suivants seront présentés :

• “Your DRM Can Watch You Too: Exploring the Privacy Implications of Browsers (mis)Implementations of Widevine EME” par Gwendal Patat (Fraunhofer Institute for Secure Information Technology)
• “My Cookie is a phoenix: detection, measurement, and lawfulness of cookie respawning with browser fingerprinting” par *Nataliia Bielova (Inria)
• “Automating Website Registration for Studying GDPR Compliance” by *Karel Kubicek (ETH-Zurich)

Session 3 – Le point de vue des utilisateurs sur les bannières de cookies

Les bannières de cookies existent depuis des années et les utilisateurs s'y sont plus ou moins habitués. Comment comprennent-ils les choix qui leur sont présentés et quels aspects du design influencent leur décision au moment de cliquer ?

Les articles suivants seront présentés :

• “Dark Patterns and the Legal Requirements of Consent Banners: An Interaction Criticism Perspective” par Cristiana Santos (Utrecht University)
• "It doesn't tell me anything about how my data is used": User Perceptions of Data Collection Purposes par Lin Kyi (Max-Planck Institute)
• "The Effect of Design Patterns on (Present and Future) Cookie Consent Decisions” par Nataliia Bielova (Inria)