<?xml version="1.0" encoding="utf-8"?>
<TEI xmlns="http://www.tei-c.org/ns/1.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:hal="http://hal.archives-ouvertes.fr/" xmlns:gml="http://www.opengis.net/gml/3.3/" xmlns:gmlce="http://www.opengis.net/gml/3.3/ce" version="1.1" xsi:schemaLocation="http://www.tei-c.org/ns/1.0 http://api.archives-ouvertes.fr/documents/aofr-sword.xsd">
  <teiHeader>
    <fileDesc>
      <titleStmt>
        <title>HAL TEI export of tel-03508232</title>
      </titleStmt>
      <publicationStmt>
        <distributor>CCSD</distributor>
        <availability status="restricted">
          <licence target="https://creativecommons.org/publicdomain/zero/1.0/">CC0 1.0 - Universal</licence>
        </availability>
        <date when="2026-05-15T20:18:25+02:00"/>
      </publicationStmt>
      <sourceDesc>
        <p part="N">HAL API Platform</p>
      </sourceDesc>
    </fileDesc>
  </teiHeader>
  <text>
    <body>
      <listBibl>
        <biblFull>
          <titleStmt>
            <title xml:lang="en">On GDPR Compliant Data Processing</title>
            <title xml:lang="fr">Sur le traitement de données conforme au RGPD</title>
            <author role="aut">
              <persName>
                <forename type="first">Supriya</forename>
                <surname>Adhatarao</surname>
              </persName>
              <idno type="halauthorid">2389896-0</idno>
              <affiliation ref="#struct-206120"/>
            </author>
            <editor role="depositor">
              <persName>
                <forename>ABES</forename>
                <surname>STAR</surname>
              </persName>
              <email type="md5">f5aa7f563b02bb6adbba7496989af39a</email>
              <email type="domain">abes.fr</email>
            </editor>
          </titleStmt>
          <editionStmt>
            <edition n="v1" type="current">
              <date type="whenSubmitted">2022-01-03 15:39:17</date>
              <date type="whenModified">2026-04-06 17:16:00</date>
              <date type="whenReleased">2023-12-08 10:54:45</date>
              <date type="whenProduced">2021-07-22</date>
              <date type="whenEndEmbargoed">2022-01-03</date>
              <ref type="file" target="https://theses.hal.science/tel-03508232v1/document">
                <date notBefore="2022-01-03"/>
              </ref>
              <ref type="file" subtype="author" n="1" target="https://theses.hal.science/tel-03508232v1/file/ADHATARAO_2021_archivage.pdf" id="file-3508232-3773799">
                <date notBefore="2022-01-03"/>
              </ref>
            </edition>
            <respStmt>
              <resp>contributor</resp>
              <name key="131274">
                <persName>
                  <forename>ABES</forename>
                  <surname>STAR</surname>
                </persName>
                <email type="md5">f5aa7f563b02bb6adbba7496989af39a</email>
                <email type="domain">abes.fr</email>
              </name>
            </respStmt>
          </editionStmt>
          <publicationStmt>
            <distributor>CCSD</distributor>
            <idno type="halId">tel-03508232</idno>
            <idno type="halUri">https://theses.hal.science/tel-03508232</idno>
            <idno type="halBibtex">adhatarao:tel-03508232</idno>
            <idno type="halRefHtml">Cryptography and Security [cs.CR]. Université Grenoble Alpes [2020-..], 2021. English. &lt;a target="_blank" href="https://www.theses.fr/2021GRALM024"&gt;&amp;#x27E8;NNT : 2021GRALM024&amp;#x27E9;&lt;/a&gt;</idno>
            <idno type="halRef">Cryptography and Security [cs.CR]. Université Grenoble Alpes [2020-..], 2021. English. &amp;#x27E8;NNT : 2021GRALM024&amp;#x27E9;</idno>
            <availability status="restricted">
              <licence target="https://about.hal.science/hal-authorisation-v1/">HAL Authorization<ref corresp="#file-3508232-3773799"/></licence>
            </availability>
          </publicationStmt>
          <seriesStmt>
            <idno type="stamp" n="UGA">HAL Grenoble Alpes</idno>
            <idno type="stamp" n="INRIA">INRIA - Institut National de Recherche en Informatique et en Automatique</idno>
            <idno type="stamp" n="INSA-LYON">Institut National des Sciences Appliquées de Lyon</idno>
            <idno type="stamp" n="INRIA-RHA">INRIA Grenoble - Rhône-Alpes</idno>
            <idno type="stamp" n="STAR">STAR - Dépôt national des thèses électroniques</idno>
            <idno type="stamp" n="INRIA_TEST">INRIA - Institut National de Recherche en Informatique et en Automatique</idno>
            <idno type="stamp" n="TESTALAIN1">TESTALAIN1</idno>
            <idno type="stamp" n="INRIA2">INRIA 2</idno>
            <idno type="stamp" n="INRIA-RENGRE">INRIA-RENGRE</idno>
            <idno type="stamp" n="INSA-LYON-THESES" corresp="INSA-LYON">Thèses de l'INSA Lyon</idno>
            <idno type="stamp" n="CITI" corresp="INSA-LYON">Centre of Innovation in Telecommunications and Integration of services</idno>
            <idno type="stamp" n="INSA-GROUPE">Groupe INSA</idno>
            <idno type="stamp" n="UDL">UDL</idno>
            <idno type="stamp" n="UGA-EPE">Université Grenoble Alpes [2020-*]</idno>
            <idno type="stamp" n="INRIA-LYS">INRIA-LYON</idno>
            <idno type="stamp" n="UGA-SPAO-TEST">Thèses de l'Université Grenoble Alpes</idno>
            <idno type="stamp" n="TEST-UGA">TEST-UGA</idno>
          </seriesStmt>
          <notesStmt/>
          <sourceDesc>
            <biblStruct>
              <analytic>
                <title xml:lang="en">On GDPR Compliant Data Processing</title>
                <title xml:lang="fr">Sur le traitement de données conforme au RGPD</title>
                <author role="aut">
                  <persName>
                    <forename type="first">Supriya</forename>
                    <surname>Adhatarao</surname>
                  </persName>
                  <idno type="halauthorid">2389896-0</idno>
                  <affiliation ref="#struct-206120"/>
                </author>
              </analytic>
              <monogr>
                <idno type="nnt">2021GRALM024</idno>
                <imprint>
                  <date type="dateDefended">2021-07-22</date>
                </imprint>
                <authority type="institution">Université Grenoble Alpes [2020-....]</authority>
                <authority type="school">École doctorale Mathématiques, sciences et technologies de l'information, informatique (Grenoble, Isère, France ; 1995-....)</authority>
                <authority type="supervisor">Claude Castelluccia</authority>
                <authority type="supervisor">Cédric Lauradoux</authority>
                <authority type="jury">Philippe Elbaz-Vincent [Président]</authority>
                <authority type="jury">Marine Minier [Rapporteur]</authority>
                <authority type="jury">Pascal Lafourcade [Rapporteur]</authority>
                <authority type="jury">Guillaume Piolle</authority>
              </monogr>
            </biblStruct>
          </sourceDesc>
          <profileDesc>
            <langUsage>
              <language ident="en">English</language>
            </langUsage>
            <textClass>
              <keywords scheme="author">
                <term xml:lang="en">IP Adresse</term>
                <term xml:lang="en">Username</term>
                <term xml:lang="en">Personal data</term>
                <term xml:lang="en">Pdf</term>
                <term xml:lang="en">Rgpd</term>
                <term xml:lang="fr">Rgpd</term>
                <term xml:lang="fr">Pdf</term>
                <term xml:lang="fr">Données personnelles</term>
                <term xml:lang="fr">Nom d'utilisateur</term>
                <term xml:lang="fr">Adresse IP</term>
              </keywords>
              <classCode scheme="halDomain" n="info.info-cr">Computer Science [cs]/Cryptography and Security [cs.CR]</classCode>
              <classCode scheme="halTypology" n="THESE">Theses</classCode>
              <classCode scheme="halOldTypology" n="THESE">Theses</classCode>
              <classCode scheme="halTreeTypology" n="THESE">Theses</classCode>
            </textClass>
            <abstract xml:lang="en">
              <p>The General Data Protection Regulation (GDPR) in Europe aims to give back the control of the personal data to its owners. This requires a legal basis for data processing, in order for processing to be lawful, personal data should be processed on the basis of the consent of the data subject concerned or some other legitimate basis, laid down by law (Recital 40 GDPR). In order to comply with the GDPR regulations both data subjects and data controllers need to know what exactly constitutes to personal data. According to the law, personal data is any information that relates to an identified or identifiable individual. At first glance, this definition of personal data seems simple but there resides many ambiguities around this definition. In this context, we first examine the definition of personal data under GDPR and its territorial scope. The broad objective of this work is to leverage difficulties faced by both data subjects and data controllers when a subject access request is made. In this regard, we mainly consider two kinds of identifiers: name and IP address. We describe the legal and technical ambiguities faced by data subjects to exercise their rights and by data controllers to assess the status of these identifiers. In the context of personal data, we also show different kind of information shared by users. We examine what information shared by users constitutes to build a profile and how the profile information can be used to identify a specific individual and how it could be exploited by an adversary to target an individual. The later part of this dissertation focuses on the documents shared by users and the personal data leaked within these documents. In our work, we mainly focus on the analysis of PDF files. We have analyzed various hidden information present in PDF files and show how an adversary can exploit it to target an author and also an organization. We then demonstrate that there is a strong need for the enforcement of PDF file sanitization. Finally, we focus on the forensics problem: is it possible to determine how a PDF file has been created using the file itself? We describe a novel approach to detect the software that has been used to produce a PDF file. Our detection tool is based on coding style: given patterns that are only created by certain PDF producers. This tool has many applications in offensive security and as well as in incident response.</p>
            </abstract>
            <abstract xml:lang="fr">
              <p>Le règlement général sur la protection des données (RGPD) en Europe vise à redonner le contrôle des données personnelles à leurs propriétaires. Cela nécessite une base juridique pour le traitement des données, pour que le traitement soit licite, les données personnelles doivent être traitées sur la base du consentement de la personne concernée ou sur une autre base légitime, prévue par la loi (considérant 40 du RGPD). Afin de se conformer à la réglementation du RGPD, les personnes concernées et les responsables du traitement doivent savoir en quoi consistent exactement les données à caractère personnel. Selon la loi, une donnée personnelle est toute information qui se rapporte à une personne physique identifiée ou identifiable. À première vue, cette définition des données à caractère personnel semble simple, mais de nombreuses ambiguïtés subsistent autour de cette définition. Dans ce contexte, nous examinons d’abord la définition des données personnelles dans le cadre du RGPD et sa portéeterritoriale. L’objectif général de ce travail est de tirer parti des difficultés rencontrées tant par les personnes concernées que par les responsables du traitement des données lorsqu’une demande d’accès est formulée. À cet égard, nous considérons principalement deux types d’identifiants: le nom et l’adresse IP. Nous décrivons les ambiguïtés juridiques et techniques auxquelles sont confrontées les personnes concernées pour exercer leurs droits et les responsables du traitement pour évaluer le statut de ces identifiants. Dans le contexte des données personnelles, nous montrons également différents types d’informations partagées par les utilisateurs. Nous examinons quelles informations partagées par les utilisateurs constituent un profil et comment les informations du profil peuvent être utilisées pour identifier un individu spécifique et comment elles pourraient être exploitées par un attaquant pour cibler un individu. La dernière partie de cette thèse se concentre sur les documents partagés par les utilisateurs et les données personnelles divulguées dans ces documents. Dans notre travail, nous nousconcentrons principalement sur l’analyse des fichiers PDF. Nous avons analysé diverses informations cachées présentes dans les fichiers PDF et montré comment un attaquant peut les exploiter pour cibler un auteur et aussi une organisation. Nous démontrons ensuite qu’il existe un fort besoin d’appliquer la nettoyage des fichiers PDF. Enfin, nous nous concentrons sur le problème criminalistique: est-il possible de déterminer comment un fichier PDF a été créé à partir du fichier lui-même? Nous décrivons une nouvelle approche pour détecter le logiciel qui a été utilisé pour produire un fichier PDF. Notre outil de détection est basé sur le style de codage: des motifs donnés qui ne sont créés que par certains producteurs de PDF. Cet outil a de nombreuses applications dans la sécurité offensive ainsi que dans la réponse aux incidents.</p>
            </abstract>
          </profileDesc>
        </biblFull>
      </listBibl>
    </body>
    <back>
      <listOrg type="structures">
        <org type="researchteam" xml:id="struct-206120" status="VALID">
          <idno type="RNSR">201321065V</idno>
          <idno type="ROR">https://ror.org/02b3vs478</idno>
          <orgName>Privacy Models, Architectures and Tools for the Information Society</orgName>
          <orgName type="acronym">PRIVATICS</orgName>
          <date type="start">2014-01-01</date>
          <date type="end">2026-06-30</date>
          <desc>
            <address>
              <addrLine>Centre Inria de l'Université Grenoble Alpes655, avenue de l'Europe 38334 Saint Ismier CedexInria de Lyon56 Bd Niels Bohr69100 Villeurbanne</addrLine>
              <country key="FR"/>
            </address>
            <ref type="url">http://www.inria.fr/equipes/privatics</ref>
          </desc>
          <listRelation>
            <relation active="#struct-2497" type="direct"/>
            <relation active="#struct-300009" type="indirect"/>
            <relation active="#struct-203831" type="direct"/>
            <relation active="#struct-219748" type="indirect"/>
            <relation active="#struct-301088" type="indirect"/>
            <relation active="#struct-301232" type="indirect"/>
            <relation active="#struct-1096051" type="direct"/>
          </listRelation>
        </org>
        <org type="laboratory" xml:id="struct-2497" status="VALID">
          <idno type="RNSR">199218244V</idno>
          <idno type="ROR">https://ror.org/00n8d6z93</idno>
          <orgName>Centre Inria de l'Université Grenoble Alpes</orgName>
          <desc>
            <address>
              <addrLine>Inovallée655 avenue de l'Europe38330 Montbonnot</addrLine>
              <country key="FR"/>
            </address>
            <ref type="url">http://www.inria.fr/centre/grenoble</ref>
          </desc>
          <listRelation>
            <relation active="#struct-300009" type="direct"/>
          </listRelation>
        </org>
        <org type="institution" xml:id="struct-300009" status="VALID">
          <idno type="ROR">https://ror.org/02kvxyf05</idno>
          <orgName>Institut National de Recherche en Informatique et en Automatique</orgName>
          <orgName type="acronym">Inria</orgName>
          <desc>
            <address>
              <addrLine>Domaine de VoluceauRocquencourt - BP 10578153 Le Chesnay Cedex</addrLine>
              <country key="FR"/>
            </address>
            <ref type="url">http://www.inria.fr/en/</ref>
          </desc>
        </org>
        <org type="laboratory" xml:id="struct-203831" status="VALID">
          <orgName>CITI Centre of Innovation in Telecommunications and Integration of services</orgName>
          <orgName type="acronym">CITI</orgName>
          <desc>
            <address>
              <addrLine>CITI Laboratory, INSA Lyon Domaine Scientifique de la Doua Batiment Claude Chappe 6 avenue des Arts 69621 Villeurbanne Cedex Phone +33 4 7243 6415 Fax +33 4 7243 6227 E-Mail citi@insa-lyon.fr</addrLine>
              <country key="FR"/>
            </address>
            <ref type="url">http://www.citi.insa-lyon.fr/</ref>
          </desc>
          <listRelation>
            <relation active="#struct-219748" type="direct"/>
            <relation active="#struct-301088" type="indirect"/>
            <relation active="#struct-301232" type="indirect"/>
            <relation active="#struct-300009" type="direct"/>
          </listRelation>
        </org>
        <org type="institution" xml:id="struct-219748" status="VALID">
          <idno type="IdRef">052444724</idno>
          <idno type="ISNI">0000 0001 2292 0228</idno>
          <orgName>Institut National des Sciences Appliquées de Lyon</orgName>
          <orgName type="acronym">INSA Lyon</orgName>
          <date type="start">1957-03-18</date>
          <desc>
            <address>
              <addrLine>20 Avenue Albert Einstein, 69621 Villeurbanne cedex</addrLine>
              <country key="FR"/>
            </address>
            <ref type="url">http://www.insa-lyon.fr/</ref>
          </desc>
          <listRelation>
            <relation active="#struct-301088" type="direct"/>
            <relation active="#struct-301232" type="direct"/>
          </listRelation>
        </org>
        <org type="regroupinstitution" xml:id="struct-301088" status="VALID">
          <idno type="ROR">https://ror.org/01rk35k63</idno>
          <orgName>Université de Lyon</orgName>
          <desc>
            <address>
              <addrLine>92 rue Pasteur - CS 30122, 69361 Lyon Cedex 07</addrLine>
              <country key="FR"/>
            </address>
            <ref type="url">https://www.universite-lyon.fr/</ref>
          </desc>
        </org>
        <org type="regroupinstitution" xml:id="struct-301232" status="VALID">
          <idno type="IdRef">162105150</idno>
          <orgName>Institut National des Sciences Appliquées</orgName>
          <orgName type="acronym">INSA</orgName>
          <desc>
            <address>
              <country key="FR"/>
            </address>
          </desc>
        </org>
        <org type="laboratory" xml:id="struct-1096051" status="VALID">
          <idno type="RNSR">202224236C</idno>
          <idno type="ROR">https://ror.org/022gakr41</idno>
          <orgName>Centre Inria de Lyon</orgName>
          <desc>
            <address>
              <addrLine>Inria de Lyon / Bâtiment CEI-2 / Campus La Doua - Villeurbanne / 56, Boulevard Niels Bohr / CS 52132 / 69 603 Villeurbanne</addrLine>
              <country key="FR"/>
            </address>
            <ref type="url">https://www.inria.fr/fr/centre-inria-de-lyon</ref>
          </desc>
          <listRelation>
            <relation active="#struct-300009" type="direct"/>
          </listRelation>
        </org>
      </listOrg>
    </back>
  </text>
</TEI>