Après les importantes fuites de données qui ont touché plusieurs administrations françaises ces derniers mois, la CNIL va se rendre dans les locaux de la Direction générale des finances publiques. L’autorité veut comprendre comment les données de près de 700 000 personnes ont pu être dérobées et déterminer si les mesures de sécurité étaient suffisantes.
UN PETIT CONTRÔLE SUR PLACE
La série noire continue pour les administrations françaises. Après les cyberattaques de cet été contre la Direction générale des finances publiques (DGFiP), la Commission nationale de l'informatique et des libertés (CNIL) va se pencher sur les conditions dans lesquelles les données étaient protégées.
Sa présidente, Marie-Laure Denis, a annoncé dans l’émission Cash Investigation sur France 2 avoir demandé à ses équipes de se rendre dans les tout prochains jours dans les locaux de l’administration fiscale. L’objectif sera notamment de comprendre précisément ce qui s’est passé et d’évaluer les éventuels manquements.
À l’issue de son contrôle, la CNIL pourrait prononcer une mise en demeure d’ici la fin de l’année ou engager une procédure de sanction. Notons toutefois une particularité : lorsqu’une administration est concernée : contrairement à une entreprise privée, l’État ne peut pas se voir infliger d’amende par la CNIL.
PRÈS DE 700 000 PERSONNES CONCERNÉES
Ce contrôle intervient après plusieurs intrusions dans les systèmes informatiques du fisc durant l’été. Au total, les attaques ont entraîné le vol de données personnelles concernant près de 700 000 personnes. L’affaire avait déjà conduit le Premier ministre Sébastien Lecornu à demander en août à l’Agence nationale de la sécurité des systèmes d’information (ANSSI) de réaliser un audit approfondi.
Le sujet dépasse d’ailleurs la seule attaque. Selon une note du président et du rapporteur de la commission des Finances du Sénat consultée par l’AFP, le piratage aurait mis en évidence plusieurs fragilités structurelles des systèmes d’information de la DGFiP. Il s’agit donc désormais de déterminer si ces faiblesses ont joué un rôle dans les intrusions et si l’administration avait mis en place les protections nécessaires au regard de la sensibilité des informations qu’elle conserve.
PAS DE JALOUX : L’ANTS ÉGALEMENT DANS LE VISEUR
La DGFiP ne sera pas la seule administration contrôlée. Marie-Laure Denis a également demandé à ses équipes de se pencher sur l’Agence nationale des titres sécurisés (ANTS).
Cette dernière, qui intervient notamment dans la gestion des pièces d’identité, avait elle aussi été victime d’une importante cyberattaque en avril. Les données de près de 12 millions de particuliers et de professionnels auraient alors été dérobées. L'enquête avait amené à appréhender un... mineur d'une quinzaine d'années !
Pour la présidente de la CNIL, ces affaires posent une question particulière lorsqu’elles concernent les services publics. Elle estime que l’État a un devoir d’exemplarité particulier, les citoyens étant obligés de confier à l’administration des informations parfois particulièrement sensibles.
QU’EN PENSER ?
Après les attaques successives contre plusieurs administrations, les contrôles de la CNIL et l’audit demandé à l’ANSSI devraient permettre de mieux comprendre si ces piratages résultent uniquement de techniques d’attaque de plus en plus efficaces ou s’ils révèlent également des faiblesses dans la protection des systèmes publics.
La question est d’autant plus importante que les citoyens n’ont évidemment pas le choix de confier ou non certaines informations au fisc ou aux services chargés des titres d’identité. Dans ce contexte, la sécurisation de ces données constitue effectivement une composante essentielle de la confiance envers les services de l’État.
