Renforcement de la cybersécurité : Représentants de la Commission nationale de l’informatique et des libertés (CNIL) - Mardi 10 juin 2025
No chapters available yet
Legend
Transcript markers
- text Sentence being played
- text Search result
- text Intervention cited by the link you opened
Click a sentence to play the video from that moment. Select text to quote it with the speaker, timestamp and link.
More options
Renforcement de la cybersécurité Assemblée nationale
Michel Combot
Voilà donc on soit la supprimer soit la préciser ou renvoyer à des secrets protégés par la loi nous semblait peut-être la manière la plus je dirais efficace de s'assurer que la la transmission d'information se fait uniquement sur les données nécessaires et suffisantes au contrôle ou en tout cas la bonne mise en place des procédures. Mais le mieux est pouvoir aussi avoir des définitions qui soient normées éviter tout problème a posteriori en cas de contestation des je dirais des procédures. Donc ça cette information, son ensemble d'informations nous semble intéressant et clé, nous permettant en tout cas d'augmenter et d'améliorer l'efficacité des des procédures. Le troisième point, c'est la coordination des sanctions clairement. Comme vous le rappelez, l'enjeu, bien entendu, ce n'est pas le non-bici, il fait un bidème qu'il a clairement bien établi dans la jurisprudence, c'est de s'assurer que derrière on puisse avoir un mécanisme qui soit complémentaire et pas surabondant.
Là bien entendu au-delà de ce qui peut être inscrit dans la loi, ce sera la coopération au quotidien des deux entités qui sera le plus important. Ce qui est important aussi c'est de pouvoir prendre de manière complémentaire des mesures présanctions, c'est-à-dire des mesures de demande en conformité. On le sait, la sanction, je ne dis pas que c'est un aveu d'échec, c'est souvent un enjeu, enfin surtout sanctionner financièrement une entreprise. L'enjeu pour nous c'est qu'elles se remettent, elles mettent en tout cas en conformité et qu'elles mettent fin aux dirais aux mécanismes ou aux préjudices ou en tout cas aux non conformités qui ont été faites. Donc le fait de pouvoir, de manière complémentaire, prendre des mesures, des mesures en conformité, demander des mises en demeure, nous apparaît en tout cas très important et on est assez confiant sur notre capacité à collaborer au quotidien avec Lansy pour nous assurer que, sur un cas qui concernerait une même entreprise, on ait une approche conjointe et pas concurrentielle en matière de sanctions.
Là on envisage une convention et en tout cas on a une collaboration suffisamment ancienne et de confiance pour nous assurer qu'on sera bien en complément et pas en surenchère. Ce qui, du point de vue d'une entreprise, peut aussi être un souci d'inquiétude face à deux entités qui seraient concurrentes. L'enjeu est bien la remise en conformité, pas la sanction, la sanction, on l'apprend quand elle est nécessaire parce qu'il s'agit aussi de sanctionner des manquements. Mais l'enjeu c'est bien la mise en conformité et en tout cas nous on a assez confiance, cette capacité à collaborer avec l'ANSSI. Peut-être en conclusion le projet de fait aussi référence à la stratégie nationale en matière de cybersécurité, sachez que que la CNIL en tout cas est prête prendre sa part dans cette stratégie nationale, bien entendu dans le respect de son indépendance, mais en tout cas indépendance ne veut pas dire éloignement.
Et on souhaite nous pouvoir être partie prenante de cette stratégie. On a une vision complémentaire de Nancy et en tout cas on souhaite pouvoir, à contrario, parfois d'autres stratégies nationales, par exemple celle sur l'intelligence artificielle, jouer toute notre part un peu dans la, je dans la, dans la stratégie de l'État en la matière. En un mot et en conclusion, un projet qui nous va bien, améliorable, on a cité un élément sur la transmission de l'information, mais je dirais maintenant que l'urgence, c'est sa bonne mise en œuvre puisque l'urgence, c'est la montée en maturité, on le voit, on rappelle les chiffres en introduction. Il y a un vrai enjeu en tout cas, notamment côté PME et collectivités, à augmenter le niveau de maturité. Il y aura l'accompagnement donc il y aura du temps, il y aura le temps nécessaire pour que les gens comprennent, mais il faut aussi que les gens comprennent que maintenant ils doivent se mettre en conformité. On a assez convaincu, on a publié une étude récente sur l'impact économique du RGPD appliqué à la cybersécurité, c'est que ça va soutenir les entreprises et que c'est plutôt un coût évité.
Par exemple, on avait estimé à plusieurs dizaines de millions d'euros, voire au-delà des 100 millions d'euros, l'impact économique par coût évité en fait du RGPD parce que qui dit RGPD dit protection et dit effectivement fraude moindre après pour les usagers et donc pour les entreprises. Et donc finalement ce coût évité est aussi un élément important qui nous amène, en tout cas, à vraiment soutenir l'adoption rapide de ce projet pour pouvoir travailler maintenant à soutenir les PME dans leur montée en maturité technologique. Voilà titre les mineurs et bien entendu on est à disposition pour répondre à
Philippe Latombe
vos questions. Merci beaucoup. Avant de passer la parole à Madame Hervieux, j'aurais trois petites questions, enfin en tout cas des clarifications dans ce que vous avez dit. La première, ce qu'on revienne sur la question des sanctions. Le texte prévoit aujourd'hui une sanction notamment par amende.
Est-ce que dans ce que vous avez dit, ça veut dire que la sanction telle qu'elle est prévue dans Nice 2 ne se cumulerait pas avec les sanctions RGPD, comment est-ce que ça fonctionnerait ? Ça, c'est une première question. Ce que l'ANSSI nous avait dit d'ailleurs, ce qu'on les a eus en audition, c'est qu'ils avaient dit que quand il y avait des fuites de données et un problème de cybersécurité, c'était l'amende liée au RGPD qui serait celle qui serait retenue, notamment parce qu'elle était plus élevée. Deuxième question, quand vous avez une fuite de données, enfin des données personnelles qui sont en fuite, c'est vous qui êtes saisi en premier. Si vous voyez s'il y a une question de cybersécurité, c'est vous qui gardez la main. En sens inverse, s'il y a un problème de cybersécurité et qu'Expost, plusieurs jours après, on se rend compte qu'il y a des problèmes de données personnelles, est-ce que vous reprenez la main ou est-ce que c'est... Donc c'est la question de la convention que vous devez passer avec l'ANSSI que vous avez évoquée.
Donc en fait plus clairement est-ce que ça c'est déjà prévu dans ce cas-là ou est-ce qu'il faut qu'on l'écrive dans la loi de façon plus claire parce qu'il y des interrogations sur le sujet. Et dernier point, il nous a été remonté dans beaucoup d'auditions que l'ensemble des entreprises souhaiterait qu'il y ait une déclaration commune à l'ANSSI, aux autorités qui pourraient être les autorités de tutelle, notamment d'Aura, c'est-à-dire l'AMF, la CPR et la CNIL, afin qu'il y ait une déclaration unique qui arrive auprès de toutes les instances, pour que les entreprises n'aient qu'une seule fois la démarche à faire et qu'on puisse regarder la question. Voilà les trois questions que j'avais à vous poser. Si je peux en rajouter une dernière, quatrième, comme ça c'est fait, vous avez de l'expérience sur les sanctions auprès des collectivités au titre du RGPD. Est-ce que vous pouvez nous faire un petit retour sur l'expérience de la sanction RGPD sur les collectivités parce que beaucoup de personnes que nous avons auditionnées nous disent qu'il y a une différence de traitement entre les entreprises relevant du secteur privé qui sont éventuellement soumises à sanctions et les collectivités qui ne le sont pas.
Et quand nous avons interrogé les collectivités, elles nous ont dit non on ne veut pas de sanctions, de ça servirait à rien, puis il n'y a jamais de sanctions et ça se passe très bien sans sanctions. Or le RGPD prévoit des sanctions aussi pour les collectivités, donc comment est-ce que la CNIL fait un retour sur l'expérience de ce sujet-là, Madame Hervieux.
Catherine Hervieu
Bonjour monsieur le président, les directeurs. Donc vous avez au niveau de la CNIL des missions toujours en forte croissance et notamment il y a le sujet des plaintes et et des sanctions. Et puis tout cela avec les nouvelles missions exigeantes concernant tout ce qui est prévu par le législateur européen et français, mais tout ça dans un contexte budgétaire contraint, c'est quand même aussi une toile de fond que nous devons prendre en compte. Et on avait noté qu'en depuis 2024, vous aviez dû décaler certains remplacements d'agents et notamment plusieurs nouveaux recrutements eu égard aux nécessaires évolutions, que ces remplacements et ces nouveaux recrutements étaient quand même enfin dans vos attendus importants pour atteindre vos objectifs. Et d'ailleurs dans un rapport publié en avril 2025, votre rapport, il était dit que la remise en cause de ces moyens financiers et humains mettrait en risque la capacité de la CNIL à assurer de manière satisfaisante des missions pourtant essentielles à la préservation des libertés fondamentales de chacun.
Je ferme les guillemets. Avec tout ça, comment prévoyez-vous l'application de ce projet de loi plus précisément concernant la question des moyens et des ressources humaines. Et puis vous avez évoqué dans vos propos la la relation aussi avec les les collectivités qui sont de toute façon sur le sujet du numérique très très allant puisqu'elles ont compris qu'effectivement il y avait des enjeux à la fois de la gestion des données pour améliorer leur fonctionnement, mais aussi des enjeux cyber et d'attaque, elles en en ont conscience aussi. Et le fait aussi de travailler avec vous plus précisément apporte de la plus-value, bien évidemment, mais ce que j'ai compris aussi des collectivités, c'est qu'elles butent aussi sur la question de la formation, initiale et continue, des agents bien évidemment, des élus aussi, et que derrière tout cela, ça veut dire la question des moyens et des ressources humaines.
Philippe Latombe
Merci. Je vous propose de répondre à ce pouls de questions. Je vais un 2e, oui parce qu'il y en a eu beaucoup du coup.
Michel Combot
Je je vais répondre dans le désordre. Je laisserai Victor, qui est directeur des contre-sanctions, répondre aux trois premières questions concernant les sanctions. À la fois la enfin qui prend en premier comment on s'articule avec l'ANSSI et les les le sujet sanctions et collectivités répond d'abord sur la partie la partie notification. Oui, c'est un sujet qui est un peu un serpent de mer puisqu'il n'est pas nouveau. On trouve que nous on il y a vrai sujet c'est que le type d'information qui est remontée pas le même en fonction des entités.
C'est-à-dire que quand vous notifiez ou quand vous allez notifier incident au titre de Dora, l'AMF, au titre du RGPD vis-à-vis de nous ou demain à à Lansy, ce n'est pas le même type d'information. Donc après, ce qui veut dire, c'est que si on imaginait un mécanisme unique, il faudrait voir comment on sécurise, comment on fait une plateforme unique. Donc ce n'est pas totalement neutre, pourrait paraître simple, mais je citerai un autre exemple. Par exemple le fichier anti arnaque où là tout le monde but sur les questions des moyens du développement d'une d'un système de transmission sécurisée, voilà. Peut-être à l'avenir, en tout cas au moins au départ, on estime qu'un schéma délocalisé où vous êtes identifiés et les gens connaissent bien chacun des régulateurs.
Nous, finalement, c'est ça, relativement assez simple. Il y a un formulaire en ligne pour déclarer ces notifications, ces processus qui marchent assez bien et ça nous évite d'avoir accès à des informations dont on n'a pas besoin. Donc c'est vrai que la CNIL en plus avec son son l'enjeu de minimisation des données, on n'a pas forcément envie après, c'est-à-dire créer des filtres au au titre du processus de de notification. Je dirais pourquoi pas l'avenir, mais après ce n'est pas totalement neutre en ce moment en fait sur ce genre de transmission d'information entre entités, on peut comprendre côté côté entreprise le besoin de simplification. Ça c'est le premier point le je dirais le deuxième point sur sur et merci d'avoir posé des questions sur les enjeux pour les enjeux budgétaires. Oui, c'est un sujet qui n'est pas propre uniquement aux enjeux de cybersécurité, mais qui est par exemple aussi, avec l'entrée en vigueur prochainement du règlement sur l'intelligence artificielle, un enjeu majeur.
Clairement le rappeler le nombre, on a eu 17 000 plaintes reçues en 2024, ce sont des plaintes qui sont traitées, qui sont au traitement obligatoire du RGPD. On n'a pas le choix de ne les ignorer parce qu'en plus ce qui se passe c'est que si on ignore les plaintes, tout le monde peut contester ces plaintes-là et ça peut remonter au conseil d'état, à la cour de justice de l'union européenne. Il y a un cas récent dont je vais tirer le nom ici, mais parce que la CNIL a décidé de ne pas l'instruire, finalement c'est remonté et donc on a même perdu. Donc si on ne le traite pas, toute plainte non traitée peut-être qu'on sait c'est donc on a besoin bien entendu d'avoir les moyens. Contrôles et sanctions, sanctions, c'est plus de 100 sanctions dont les deux tiers sont dans la procédure dite simplifiée, donc qui permettent d'aller plus vite.
Mais on a un vrai enjeu de rapidité des sanctions. Comme je le rappelais, la sanction n'est pas un aveu d'échec, mais il faut quand même la faire parce que c'est aussi montrer l'exemplarité. Il y a un vrai enjeu à s'assurer qu'on les traite rapidement, parce que si on traite ça au bout d'un an, un an et demi, le préjudice s'est installé. Donc il faut qu'une fois on agisse pour mettre fin au préjudice et qu'on sanctionne pour l'exemplarité, pour que les gens sachent que s'ils ne se mettent pas en conformité, il y aura la sanction. Donc là on a un vrai enjeu de moyens et demain on parle d'intelligence artificielle, on aura aussi accompagné cette montée en puissance et aussi vous parliez pour faire le lien avec les collectivités, oui on le comprend, il y a un vrai enjeu de montée en maturité technologique côté collectivités, côté cyber, côté IA. On a beaucoup de sujets autour de l'intelligence artificielle, l'intelligence artificielle et de la vidéo avec les collectivités, on sent un besoin en tout cas des collectivités de bien faire, mais il y a un vrai enjeu de compétences. On a toute une direction qui est chargée de l'accompagnement, mais là encore, il nous faut les moyens, parce qu'on doit accompagner grandes entreprises, les entreprises, collectivités et on a besoin des moyens.
Donc c'est vrai que les sujets vont pas en simplifiant, les sujets vont se complexifiant avec des enjeux aussi très forts pour nos concitoyens parce qu'on parle d'une relation donnée, parle bien entendu des libertés. Rien que sur le sujet intelligence artificielle par exemple les vidéos, il y a un vrai enjeu, je dirais, de liberté publique ou demain sur les enjeux de technologie parce qu'on est aussi en tant que commission, en tant qu'autorité indépendante, on donne notre avis et on accompagne le gouvernement sur les enjeux de protection des données, les enjeux de souveraineté, et cette analyse, cette expertise, elle requiert aussi des emplois. Et ça c'est un vrai enjeu, je ne peux pas vous dire que l'année prochaine on aura suffisamment d'emplois, on fera au mieux, on priorisera s'il le faut, mais voilà, l'enjeu, c'est aussi de savoir où on met le curseur, ce qui est effectivement assez complexe dans le cadre des discussions budgétaires. Donc on a fait nos demandes, un dialogue bien tendu avec l'État, mais c'est vrai qu'un vrai enjeu pour nous est d'avoir les moyens alors qu'on a une demande de besoin plus forte de nos concitoyens, je dirais, de protection et bien entendu d'accompagnement, ça c'est le vrai enjeu.
On arrive à bien accompagner, mais encore faut-il avoir les moyens. On le fait bien entendu, on travaille avec l'AMF, avec l'ADF lorsqu'ils font des demandes, on travaille au travers des sessions de collectivité pour les accompagner, mais on sait que le sujet de collectivité est une vraie priorité parce que c'est là où on doit les faire monter collectivement, et ce n'est pas que nous, il y a aussi l'État, il y a aussi le Parlement pour les faire monter en compétences. Il y a une vraie volonté de bien faire, il y a de vrais enjeux du quotidien, on apprend beaucoup en les accompagnant parce que ce sont des enjeux concrets, des usages concrets au plus près des usages quotidiens des Français, mais il faut encore, faut-il avoir les moyens de cette politique pour des enjeux qui sont quand même au cœur des débats politiques. Je vais laisser mon mon collègue Victor prendre la suite.
Victor Nicolle
Oui bonjour monsieur, bonjour monsieur le président madame le député. Juste une précision sur les moyens qui sont actuellement dévolus par la CNIL à la chaîne dite répressive des contrôles et des sanctions. Il y a actuellement un peu plus de 50 agents qui se consacrent au contrôle et aux sanctions, pour une grosse moitié au contrôle, pour une petite moitié aux sanctions, et ce qui a permis en 2024 d'adopter alors 89 ou 87 sanctions pour un total de 55 millions d'euros, soit environ 70 sanctions selon la procédure simplifiée, c'est-à-dire à juge unique, qui peut donner lieu à des amendes plafonnées en l'état du texte à 20 000 euros, et puis 18 sanctions selon la procédure dite ordinaire ou classique à la CNIL, permettant de prononcer des amendes bien plus importantes. Donc voilà l'état des effectifs qui se consacre à cela. Pour reprendre vos questions, Monsieur le Président, évoquiez le principe non-bicinidem qui est effectivement inscrit au 5e alinéa de l'article 37 du texte adopté par le Sénat.
Alors, dans la compréhension que nous en avons, ce principe est posé, mais avec tout de même des limites dans le texte puisqu'il concerne la commission des sanctions, enfin limite les pouvoirs de la commission des sanctions et pas ceux de la CNIL. Et puis il porte sur les sanctions financières qui peuvent être prononcées par la commission des sanctions de l'ANSSI, et donc ils laissent peut-être une souplesse qu'on estime utile pour prononcer d'autres mesures correctrices que la CNIL, par exemple, peut prononcer alors même que l'ANSSI aurait prononcé une sanction, y compris financière, que sont les mises en demeure ou les rappels aux obligations légales que peut prononcer à l'encontre des organismes la présidente de la CNIL notamment, et qui permet aussi à chacune des institutions de mener à bien sa mission qui est propre : la continuité des activités essentielles pour l'ANSSI et la protection des données pour la CNIL. Évidemment, on convient qu'il y a un besoin d'articulation et nous sommes les premiers à le porter depuis la vie de la CNIL du 23 mai 2024 entre l'ANSSI et la... Pour vous rassurer, cela ne part pas de rien puisqu'il y a déjà des échanges importants et substantiels entre l'ANSSI et la CNIL s'agissant de la chaîne répressive.
Par exemple, on utilise quotidiennement les référentiels référentiels de l'ANSSI lors des mesures de vérification de contrôle que mène la CNIL. Elles sont visées dans les décisions de sanctions qu'adopte la formation restreinte de la à titre normes qui s'imposent aux organismes et qui qu'ils doivent respecter à défaut qui peuvent être sanctionnés. Et puis on a accueilli il y a 1 an des agents de l'ANSSI, des missions menées par la CNIL. Donc il y déjà des choses qui existent et c'est ce sont ces choses-là qui auraient vocation à être développées dans le cadre de la coordination qui devrait être mise en place dans le cadre de la mise en oeuvre du PJL présentement examiné. La [personne] avait appelé à un mécanisme d'orientation préalable qui pourrait consister pour l'ANSSI à systématiquement informer la CNIL lorsqu'elle est saisie d'incident de cybersécurité mettant en cause des violations de données, et réciproquement pour l'ANSSI, que la CNIL signale à l'ANSSI les violations dont elle aurait connaissance, notamment dans le cadre de sa chaîne répressive. Normalement, si les choses sont bien faites au stade des contrôles, elles sont ensuite bien aiguillées et on évite des doublons de sanctions. Il nous semble que les dispositions de l'article 23, qui permettent les échanges d'information entre les deux institutions de manière sécurisée, sous réserve de ce qu'indiquait Michel Combo sur la formule finale, nous permettraient, dans le cadre d'une convention entre l'ANSSI et la CNIL, qui demeure à écrire mais pour laquelle des échanges ont déjà débuté, d'asseoir cette coordination.
Voilà ce que pouvais dire sur la le principe non-bissing them qui donc qui finie bien dans la loi mais de manière tout de même encadrée. Sur les collectivités territoriales oui, c'est un vrai sujet pour la CNIL puisque 17 % des notifications de violations faites à la CNIL concernent des administrations publiques et pour moitié concernent des collectivités territoriales, moitié de ces 17 % et puis l'ANSSI a aussi relevé qu'elles avaient subi 14 % des incidents qui lui ont été notifiés en 2024, soit 218 incidents en 2024 de cybersécurité subie par les collectivités territoriales qui traitent des données particulièrement sensibles compte tenu de leurs missions, PMI, collège, et donc des informations qui pourraient être qualifiées de sensibles au regard du RGPD. La CNIL a déjà prononcé des sanctions, effectue des contrôles régulièrement sur les collectivités territoriales, on en a encore en cours et souhaite mettre en avant ce sujet aussi dans la perspective de la montée en régime qui impose la transposition de la directive NIS 2 que vous examinez, en faisant de la cybersécurité des collectivités territoriales une de ces thématiques prioritaires de contrôle en 2025.
Donc il y a trois thématiques qui ont été choisies par la CNIL pour mettre l'accent sur ces contrôles-là, et celle-ci y figure. Cela pourra permettre à la CNIL notamment de contrôler tant les collectivités dans les mesures organisationnelles et de sécurité interne qu'elles mettent en place pour sécuriser leurs données, mais aussi leurs sous-traitants, ce qui a parfois un impact très important sur l'ensemble du réseau des collectivités territoriales parce qu'il y a certains marchés qui sont dévolus en réalité à un seul ou à deux ou trois sous-traitants. Agir sur le sous-traitant, pardon, permet donc d'agir sur l'ensemble des collectivités. Mais on prononce bien des sanctions à l'encontre des collectivités territoriales, qui tiennent compte, et c'est le RGPD qui nous le prescrit, des moyens de ces collectivités. Donc évidemment, il n'y a pas de sanctions records comme on peut le voir parfois pour certains groupes privés, mais elles existent et elles sont adaptées aux objectifs poursuivis par la CNIL, que sont notamment la mise en conformité des acteurs. Ça peut passer par des mises en demeure, pas uniquement des sanctions financières mais le but est quand même celui de la mise en conformité.
Vous posiez une autre question, oui, donc vos questions se recoupent sur les collectivités territoriales. Madame la députée, Monsieur le Président, me semble-t-il.
Chirine Berrichi
Pour compléter peut-être sur l'impact des décisions de la CNIL auprès des territoriales en 2022, on avait prononcé des mises en demeure à l'encontre de 22 communes de plus de 20 000 habitants. On avait bien fait attention à circonscrire la décision. On a eu en l'espace de trois mois l'équivalent de 2 000 désignations de délégué à la protection des données, qui était le manquement reproché aux 22 communes en question. Voilà on voit qu'il y a vraiment un effet dissuasif d'entraînement sur d'autres collectivités qui ne seraient pas visées par les sanctions ou les mesures répressives de la CNIL.
Antoine Villedieu
Je vous laisse parler. Je vous remercie monsieur le président.
Messieurs, le projet de loi prévoit que les agents de l'état pourront accéder sans autorisation judiciaire préalable aux locaux, informatiques, voire informations protégées par le secret professionnel des opérateurs d'importance vitale. Ces pouvoirs inscrits notamment aux articles 1332-12 et suivants du code de la défense s'appliqueraient à des entreprises privées, des établissements publics et même des collectivités territoriales. Une telle extension du pouvoir administratif sans encadrement clair n'ouvre-t-elle pas la voie à un déséquilibre profond entre exigence de sécurité et respect des libertés fondamentales ? Comment la CNIL évalue-t-elle ce glissement qui pourrait faire peser une menace sur la confidentialité des échanges ou la protection des données personnelles dans des secteurs pourtant soumis à des obligations déontologiques ou professionnelles très strictes ? Enfin, que pensez-vous de l'introduction de garanties juridictionnelles, ne serait-ce qu'un contrôle à posteriori, pour éviter que la sécurité numérique ne devienne un prétexte à une surveillance administrative généralisée ? Je vous remercie.
Victor Nicolle
Monsieur le député donc il s'agit des pouvoirs de l'ANSSI donc la n'est pas forcément la mieux placée pour pour les commenter. Toutefois on peut vous expliquer ce qui qui se passe du côté de lors de ces contrôles. Le texte, loi informatique et liberté, prévoit une obligation de coopération de la part des acteurs que l'on va contrôler, que ce soit des acteurs publics ou des acteurs privés. S'agissant des visites, des contrôles sur place dans les locaux des entreprises et des institutions publiques ou en tout cas des entreprises, il y a une possibilité de refus du contrôle malgré tout que la CNIL et les agents qui réalisent les contrôles peuvent outrepasser en saisissant le juge des libertés et de la détention, donc a priori avant de pouvoir réaliser le contrôle, et dans ce cas-là ils peuvent retourner sur les lieux du contrôle pour procéder. S'il nous arrive en fait très peu en général les entreprises collaborent parfaitement au contrôle.
Et puis, s'agissant des secrets, ils sont encadrés par la loi Informatique et Libertés, et les agents de la CNIL ont une obligation de confidentialité. Et donc y on n'a pas de difficulté a priori sur ce terrain qui nous a été remonté au sein de la CNIL.
Michel Combot
Peut-être pour compléter enfin, en tout cas pour ce qui est de la CNIL, toutes nos décisions et toutes nos procédures sont sous, bien entendu, le contrôle du juge administratif. Si l'entreprise peut toujours contester, y compris à la fois sur le fond et sur la forme, il y a en tout cas un vrai contrôle derrière toute la procédure, ce qui sera, j'imagine, le cas aussi pour les procédures et les contrôles, je dirais, d'Irlande aussi, avec les mêmes obligations de déontologie et que les informations soient uniquement celles nécessaires et suffisantes pour le cadre des, je dirais, des contrôles. Tout ça est généralement encadré, que ce soit pour la CNIL ou pour toutes les entités qui ont, en tout cas, des procédures de sanctions administratives. Il y quand même pas mal de jurisprudence en tout cas dans dans ce domaine-là. Oui certes effectivement l'ANSSI arrive maintenant avec son pouvoir de contrôle, mais surtout ce qui est en tout protection des libertés fondamentales à notre sens il quand même suffisamment de garde-fous pour garantir en tout cas je dirais le respect libertés soit des individus enfin des employés des entreprises et aussi des des entreprises elles-mêmes quoi.
Philippe Latombe
Merci. Y a-t-il d'autres questions, madame Mervieux ou mes collègues ? Pour revenir sur la question des sanctions, parce que c'est quelque chose d'assez important, vous avez commencé à le dire, enfin en tout cas à l'évoquer, notamment sur la réponse sur les DPO. Est-ce que le fait qu'il y ait une sanction, même si vous ne l'utilisez pas, est un élément qui permet de mettre en place l'ensemble du dispositif ? Autrement dit, s'il n'y a pas de sanctions telles que c'est dans le texte, est-ce que vous pensez que les collectivités seraient enclines à monter en expertise et en maturité sur la partie cybersécurité, ou est-ce que ça serait uniquement du fait de fuites de données personnelles liées à des problèmes de cybersécurité ? Mais est-ce que la question nous a été posée, et le Conseil d'État nous dit : ne pouvez-vous pas rester simplement avec les entreprises privées avec des sanctions et la sphère publique sans sanctions ? Beaucoup de personnes nous l'ont dit lors des auditions. On essaie de jauger savoir si les collectivités nous ont dit s'il n'y pas de sanctions ce n'est pas grave parce que de toute façon on a envie d'aller vers la cybersécurité.
D'autres nous disent, s'il a pas de sanctions, les collectivités, ça serait moins allant pour aller vers vers la cybersécurité. Est-ce que vous sentez aujourd'hui qu'il y a la possibilité de fonctionner sans sanctions ou est-ce qu'il faut qu'on mette une sanction, et quel type de sanctions ? Est-ce que ce que vous faites avec des plans de remédiation ou avec un certain nombre de choses est peut-être plus efficace qu'une sanction administrative pécuniaire ?
Michel Combot
Pense déjà, c'est un petit, enfin c'est une réponse qui doit être éminemment politique. Dire la CNIL à ce point de sanctions et comme Victor l'expliquait, est adaptée aussi parce que c'est vrai que le le régime de sanctions et le montant aussi doit être en fonction du à la fois près du Sybie, mais aussi du chiffre d'affaires. Donc c'est vrai qu'on a collectivité, y a forcément quantum qui est différent. Après c'est vrai que CNIL utilise ce pouvoir-là parce que c'est vrai qu'on qu'on dit, cherche toujours d'abord la la remise en conformité, ça c'est clair. Après la sanction arrive notamment si quand même un acteur a bénéficié d'une situation illégale, là aussi on va sanctionner pour cet élément-là.
Donc est-ce que ça fonctionnerait aussi bien avec l'éductivité sans sanctions C'est difficile à dire, n'a n'a pas eu le cas. Mais après, c'est une question éminemment politique qui vous revient de trancher, de savoir s'il doit y avoir, en tout cas pour Nice, un régime équivalent entre collectivités et entreprises. Mais après, dès lors que les sanctions sont généralement une forme de proportion aussi d'affaires, de fait il y a, ce qui est normal, un caractère non homogène parce qu'on n'est pas sur les mêmes quantums. Voilà, est-ce que les sanctions ont un caractère dissuasif ? Oui. Est-ce que l'équativité se mettra en conformité si elle ne l'était pas ? On ne sait pas, parce que là, pour le coup, on a cet outil-là, mais après, je pense que la réponse est plutôt de nature politique. Voilà, je ne pourrais pas.
Philippe Latombe
C'est vrai que le RGPD le prévoyait explicitement donc c'était c'était plus simple mais voilà on se pose cette question là parce qu'elle nous été remontée.
Victor Nicolle
Je vous en prie. Avec juste cette précision qu'il faut peut-être entendre la sanction de manière large, pas uniquement par la procédure de sanction qui est diligentée devant la formation restreinte de la CNIL ou un membre de cette formation. Mais on voit par exemple pour des acteurs publics qu'on ne peut pas sanctionner financièrement en tant qu'État, que les mises en demeure, notamment avec la possibilité de les rendre publiques, peuvent constituer une incitation très forte pour se mettre en conformité. Donc la sanction financière n'est peut-être pas le la sanction déjà pour la CNIL n'est pas la panacée, mais à l'intérieur des sanctions, sanction financière n'est pas non plus le seul levier dont dispose la pour assurer la mise en conformité.
Antoine Villedieu
J'ai une dernière petite question, c'est plus pour un avis : c'est de savoir ce que pense la CNIL de l'absence de garantie contre la sous-traitance hors Union européenne des services essentiels, je pense aux data centers, aux clouds critiques et aux réseaux.
Michel Combot
Bonne question j'ai enfin vous enfin là encore on empêche pas d'en responsabilité puisque sur ce sujet on a quand même écrit écrit beaucoup. Je pense que l'enjeu c'est de de voir vraiment quelles sont les données et par qui elles sont détenues. On sait qu'en matière de souveraineté, en tout cas nous, on soutient pleinement la stratégie du gouvernement sur tout ce qui est cloud au centre et qui a été notamment transposé dans la loi avec la loi Serène et son article 31, dont on attend les décrets sur lesquels, bien entendu, l'ACNÉ portera son avis. Je pense qu'effectivement là encore c'est une politique de l'État de dire quelles sont les données qui sont soumises effectivement à ces éléments de protection. C'est vrai que du point de vue de CNIL, la protection de la vie privée elle est importante et en tout cas on soutient noupellement que pour certains types de données, notamment les les données sensibles, puissent être immunisées vis-à-vis de l'accès extra territorial en tout cas par des pays en dehors de l'Union européenne ça on l'entend on l'a dit, on l'a redit.
Après, il y a une question, mais là je dirais que le champ des données et son application revient à l'État, notamment lorsqu'il s'agit de données détenues par l'État. Pour les entreprises c'est autre chose, c'est aussi nous on recommande bien entendu dans le domaine bancaire que les entreprises puissent se saisir de ce sujet là parce qu'il nous semble aussi important. Mais bien entendu pour nous la protection de la vie privée elle est clé on soutient pleinement en tout cas et on l'a dit publiquement à travers nos avis, la politique, la politique de l'État. Mais oui, c'est un sujet parce qu'une fois qu'on a dit ça, les solutions technologiques ne sont pas simples. Voilà, après, il faut passer par le compte public, il faut aussi soutenir le développement de solutions, et c'est un vrai enjeu collectif en tout cas auquel la CNIL prend toute sa part.
Philippe Latombe
Merci. Pas d'autres questions le priori l'examen en séance devrait être en septembre lors de la session extraordinaire puisque aux dernières nouvelles ne seraient pas inscrites dans la session extraordinaire de juillet. Donc ça nous laisse un peu de temps pour travailler sur le projet de loi. Donc s'il y a des sujets que nous n'avons pas abordés aujourd'hui et qui se font jour, n'hésitez pas à nous envoyer une contribution écrite auprès des rapporteurs. Si vous voyez des choses qui ne sont pas traitées dans le projet de loi et qui vous remontent, vraiment on a le temps, le but étant de clarifier le plus possible le projet de loi pour le rendre efficace et aussi relativement simple auprès des entreprises et des administrations parce que le champ, le spectre de Nice 2 est très large et de nombreux nouveaux acteurs vont être confrontés à la mise en conformité.
Donc on a besoin de faire les choses le plus sereinement, plus qui, le plus posément possible. Merci en tout cas de votre présence et je lève la séance. Merci.
Ask anything about this video — I analyse its transcript to answer.