{"id":312,"date":"2011-09-10T19:20:18","date_gmt":"2011-09-10T17:20:18","guid":{"rendered":"https:\/\/www.iteanu.law\/?p=312"},"modified":"2016-09-16T15:36:45","modified_gmt":"2016-09-16T13:36:45","slug":"la-notification-dune-faille-de-securite-rendue-obligatoire-par-ordonnance-du-24-aout-2011","status":"publish","type":"post","link":"https:\/\/www.iteanu.law\/en\/la-notification-dune-faille-de-securite-rendue-obligatoire-par-ordonnance-du-24-aout-2011\/","title":{"rendered":"La notification d\u2019une faille de s\u00e9curit\u00e9 rendue obligatoire par Ordonnance du 24 Ao\u00fbt 2011"},"content":{"rendered":"<p class=\"qtranxs-available-languages-message qtranxs-available-languages-message-en\">Sorry, this entry is only available in <a href=\"https:\/\/www.iteanu.law\/fr\/wp-json\/wp\/v2\/posts\/312\" class=\"qtranxs-available-language-link qtranxs-available-language-link-fr\" title=\"FR\">FR<\/a>. For the sake of viewer convenience, the content is shown below in the alternative language. You may click the link to switch the active language.<\/p><p><\/p>\n<div class=\"post-excerpt\">\n<p>En plein \u00e9t\u00e9, le pouvoir ex\u00e9cutif a transpos\u00e9 dans le droit positif fran\u00e7ais le second Paquet Telecom de 2008 compos\u00e9 pour l\u2019essentiel d\u2019un r\u00e8glement communautaire et de deux directives. Cette ordonnance n\u00b02011-1012 du 24 Ao\u00fbt 2011 relative aux communications \u00e9lectroniques, poursuit le travail de lib\u00e9ralisation du secteur des t\u00e9l\u00e9coms d\u00e9but\u00e9 il y a plus de 20 ans, notamment en instituant un organe des r\u00e9gulateurs europ\u00e9ens des communications \u00e9lectroniques.<\/p>\n<p>Mais cette Ordonnance modifie \u00e9galement en son chapitre 2 la loi informatique et libert\u00e9s de 1978.<\/p>\n<p>En particulier, elle cr\u00e9e en son article 38 une obligation de notification des failles de s\u00e9curit\u00e9, lorsqu\u2019elles surviennent, c&#8217;est-\u00e0-dire l\u2019obligation de divulguer une telle faille au public \u00e0 la charge de celui qui d\u00e9tient des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n<p>Une premi\u00e8re qui constitue une avanc\u00e9e certaine dans les droits des citoyens face \u00e0 la toute puissance de l\u2019informatique \u00e0 l\u2019\u00e8re du Cloud Computing.<\/p>\n<p>Voyons comment le texte se pr\u00e9sente\u00a0?<\/p>\n<\/div>\n<div class=\"post-content\">\n<p>L\u2019id\u00e9e maitresse des promoteurs de cette nouvelle obligation \u00e0 la charge des responsables de syst\u00e8me d\u2019information, est simple.<\/p>\n<p>Les syst\u00e8mes d\u2019information renferment tous des donn\u00e9es \u00e0 caract\u00e8re personnel qui nous concernent.<\/p>\n<p>Si d\u2019aventure un tiers devait p\u00e9n\u00e9trer indument ces syst\u00e8mes, prendre connaissance, d\u00e9truire, alt\u00e9rer ou capter ces donn\u00e9es, alors il faut cr\u00e9er \u00e0 la charge du responsable du syst\u00e8me l\u2019obligation d\u2019alerter les autorit\u00e9s voire les personnes concern\u00e9es.<\/p>\n<p>S\u2019il ne respecte pas cette obligation, des sanctions devraient \u00eatre appliqu\u00e9es \u00e0 son encontre.<\/p>\n<p>Telle est l\u2019obligation de notification d\u2019une faille de s\u00e9curit\u00e9.<\/p>\n<p>En soi, cette divulgation publique obligatoire est une mini r\u00e9volution, tant on sait que les entreprises \u00e9touffent toute diffusion d\u2019informations \u00e0 ce propos, lorsque tels \u00e9v\u00e8nements les concernent, par peur d&#8217;une mauvaise publicit\u00e9.<\/p>\n<p>Mais l<a href=\"http:\/\/legifrance.gouv.fr\/affichTexte.do?cidTexte=JORFTEXT000024502658&amp;categorieLien=id\" hreflang=\"fr\">\u2019ordonnance du 24 Ao\u00fbt 2011<\/a>, en son article 38, traite la question de mani\u00e8re diff\u00e9rente mais non moins int\u00e9ressante. Prenons donc, le texte :<\/p>\n<ul>\n<li>\u00ab\u00a0En cas de violation de donn\u00e9es \u00e0 caract\u00e8re personnel le fournisseur (\u2026) avertit sans d\u00e9lai la CNIL. Lorsque cette violation peut porter atteinte aux donn\u00e9es \u00e0 caract\u00e8re personnel ou \u00e0 la vie priv\u00e9e d\u2019un abonn\u00e9 ou d\u2019une autre personne physique, le fournisseur avertit \u00e9galement, sans d\u00e9lai, la personne concern\u00e9e. \u00bb<\/li>\n<\/ul>\n<p>Imm\u00e9diatement, on comprend ici que la terminologie d\u2019une \u00ab\u00a0notification d\u2019une faille de s\u00e9curit\u00e9\u00a0\u00bb dans un syst\u00e8me d\u2019information n\u2019est en r\u00e9alit\u00e9 pas pertinente.<\/p>\n<p>Le crit\u00e8re pour faire jouer la r\u00e8gle imp\u00e9rative pos\u00e9e par l\u2019article 38, tient \u00e0 ce que l\u2019agissement divulgu\u00e9, porte atteinte aux donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n<p>Les termes \u00ab\u00a0d\u2019attaque\u00a0\u00bb \u00ab\u00a0d\u2019acc\u00e8s frauduleux\u00a0\u00bb ou \u00ab\u00a0d\u2019entrave\u00a0\u00bb sont totalement absents de l\u2019ordonnance.<\/p>\n<p>Le texte lui-m\u00eame pr\u00e9cise que cette violation peut r\u00e9sulter d\u2019un accident ou d\u2019un acte illicite.<\/p>\n<p>D\u00e8s lors, une cl\u00e9 usb oubli\u00e9e dans des transports en commun voire un ordinateur vol\u00e9, sans qu\u2019il s\u2019agisse \u00e0 proprement parler de failles de s\u00e9curit\u00e9, peuvent faire l\u2019affaire pour l\u2019application de l\u2019article 38 de l\u2019Ordonnance.<\/p>\n<ul>\n<li>\u00ab\u00a0le fournisseur avertit sans d\u00e9lai la CNIL (\u2026) \u00e9galement sans d\u00e9lai la personne concern\u00e9e. \u00bb<\/li>\n<\/ul>\n<p>Le terme \u00ab\u00a0sans d\u00e9lai\u00a0\u00bb est d\u00e9nu\u00e9 de toute ambig\u00fcit\u00e9.<\/p>\n<p>Il s\u2019agit bien de rendre public l\u2019\u00e9v\u00e8nement imm\u00e9diatement.<\/p>\n<ul>\n<li>\u00ab\u00a0Le fournisseur\u00a0\u00bb est celui qui a la charge de cette obligation de notification \u00e0 la CNIL et, \u00e9ventuellement mais tr\u00e8s surement, aux personnes concern\u00e9es.<\/li>\n<\/ul>\n<p>La terminologie exacte est \u00ab\u00a0fournisseur de services de communications \u00e9lectroniques accessibles au public \u00bb.<\/p>\n<p>La commission europ\u00e9enne, de m\u00eame que les pouvoirs publics fran\u00e7ais, se sont r\u00e9guli\u00e8rement exprim\u00e9s en public, pour dire que ce fournisseur \u00e9tait l\u2019ex op\u00e9rateur de t\u00e9l\u00e9coms ou le fournisseur d\u2019acc\u00e8s \u00e0 Internet.<\/p>\n<p>L\u00e0 se pointe la premi\u00e8re d\u00e9ception\u00a0: pourquoi limiter la notification \u00e0 ce seul acteur ?<\/p>\n<p>Personnellement, nous pensons que cette interpr\u00e9tation est h\u00e2tive et surtout mati\u00e8re \u00e0 discussion.<\/p>\n<p>Si le l\u00e9gislateur communautaire avait voulu limiter cette obligation de notification aux op\u00e9rateurs et FAI, ils auraient utilis\u00e9 la notion d\u2019\u00ab\u00a0op\u00e9rateur \u00bb, terme d\u00e9fini \u00e0 l\u2019article L 32-15\u00b0 du Code des Postes Communications \u00e9lectroniques comme \u00ab\u00a0toute personne physique ou morale exploitant un r\u00e9seau de communications \u00e9lectroniques ouvert au public ou fournissant au public un service de communications \u00e9lectroniques \u00bb, ce qui englobe bien \u00e9videmment les FAI.<\/p>\n<p>S\u2019il a entendu utiliser une autre notion que celle d\u2019 \u00ab\u00a0op\u00e9rateur \u00bb, soit le \u00ab\u00a0fournisseur de services de communications \u00e9lectroniques accessibles au public \u00bb, c\u2019est qu\u2019il a entendu viser plus large.<\/p>\n<p>A moins qu\u2019il s\u2019agisse d\u2019un nouvelle impr\u00e9cision terminologique des r\u00e9dacteurs de l\u2019ordonnance, en l\u2019occurrence une impr\u00e9cision qui viendrait servir ceux qui pensent, comme votre r\u00e9dacteur, qu\u2019il n\u2019y a aucune raison de limiter une telle avanc\u00e9e \u00e0 une seule cat\u00e9gorie d\u2019acteurs \u00e9conomiques.<\/p>\n<p>La mati\u00e8re est trop s\u00e9rieuse pour la limiter aux quelques dizaines d\u2019op\u00e9rateurs, alors que, de surcroit, des centaines d\u2019autres acteurs de la soci\u00e9t\u00e9 de l\u2019information devraient \u00eatre concern\u00e9s car d\u00e9tenteur de donn\u00e9es \u00e0 caract\u00e8re personnel h\u00e9berg\u00e9s sur les r\u00e9seaux num\u00e9riques publics.<\/p>\n<p>Les Tribunaux auront ici le dernier mot, et il risque bien d\u2019\u00eatre celui d\u2019une interpr\u00e9tation bien plus large que celle annonc\u00e9e par les pouvoirs publics.<\/p>\n<ul>\n<li>La cryptologie reine ?<\/li>\n<\/ul>\n<p>Le texte \u00e9tant focalis\u00e9 sur les donn\u00e9es, et ce \u00e0 notre sens \u00e0 juste titre, on peut imaginer que lorsque le corps social l\u2019aura int\u00e9gr\u00e9 dans sa r\u00e9flexion, la cryptologie risque de voir son usage dramatiquement progresser.<\/p>\n<p>C\u2019est d\u2019autant plus vrai que l\u2019article 38 dispense les fournisseurs de la notification, lorsqu\u2019ils avaient pris des mesures de protection appropri\u00e9es afin de rendre les donn\u00e9es incompr\u00e9hensibles \u00e0 toute personne non autoris\u00e9e \u00e0 y avoir acc\u00e8s.<\/p>\n<p>Si on avait voulu pousser l\u2019usage de la cryptologie, on aurait pas fait mieux.<\/p>\n<ul>\n<li>Les sanctions<\/li>\n<\/ul>\n<p>Enfin, les sanctions pour le fournisseur qui n\u2019aura pas honor\u00e9 son obligation de notification, sont celles qui sont d\u00e9volues \u00e0 la CNIL depuis 2004.<\/p>\n<p>On pourrait \u00eatre ici d\u00e9\u00e7u de cette demi-mesure car la CNIL a un pouvoir de sanction limit\u00e9, soit sur la plan p\u00e9cuniaire 150.000 euros \u00e9ventuellement 300.000 euros en cas de r\u00e9cidive.<\/p>\n<p>Les tr\u00e8s grandes soci\u00e9t\u00e9s n\u2019ont donc rien \u00e0 craindre de ce c\u00f4t\u00e9.<\/p>\n<p>Cependant, on sait que le vrai pouvoir de sanction de la CNIL est peut \u00eatre avant tout dans sa facult\u00e9 de publier la d\u00e9cision de sanction et de le faire savoir au public.<\/p>\n<p><strong>En conclusion<\/strong>, l\u2019article 38 de l\u2019ordonnance du 24 Ao\u00fbt 2011 est bien une avanc\u00e9e certaine pour les droits du citoyen face \u00e0 l\u2019informatique.<\/p>\n<p>Elle responsabilise un peu plus les collecteurs de donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n<p>Les sanctions qu\u2019elles pr\u00e9voient sont encore timides et il reste la question de savoir quels sont les acteurs \u00e9conomiques r\u00e9ellement concern\u00e9s. Cependant, il s\u2019agit d\u2019une br\u00e8che dans l\u2019omerta qui entoure habituellement les cas de vols de donn\u00e9es conserv\u00e9es sur les r\u00e9seaux num\u00e9riques et publics.<\/p>\n<p>Enfin, c\u2019est aussi une bonne nouvelle pour les affaires et le cloud computing en particulier, car ce type de mesures doit concourir \u00e0 la confiance du citoyen en l\u2019outil informatique.<\/p>\n<\/div>\n<p><\/p>","protected":false},"excerpt":{"rendered":"<p class=\"qtranxs-available-languages-message qtranxs-available-languages-message-en\">Sorry, this entry is only available in <a href=\"https:\/\/www.iteanu.law\/fr\/wp-json\/wp\/v2\/posts\/312\" class=\"qtranxs-available-language-link qtranxs-available-language-link-fr\" title=\"FR\">FR<\/a>. For the sake of viewer convenience, the content is shown below in the alternative language. You may click the link to switch the active language.<\/p>\n<p>En plein \u00e9t\u00e9, le pouvoir ex\u00e9cutif a transpos\u00e9 dans le droit positif fran\u00e7ais le second Paquet Telecom de 2008 compos\u00e9 pour l\u2019essentiel d\u2019un r\u00e8glement communautaire et de deux directives.<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[],"class_list":["post-312","post","type-post","status-publish","format-standard","hentry","category-blog"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.iteanu.law\/en\/wp-json\/wp\/v2\/posts\/312","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.iteanu.law\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.iteanu.law\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.iteanu.law\/en\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.iteanu.law\/en\/wp-json\/wp\/v2\/comments?post=312"}],"version-history":[{"count":1,"href":"https:\/\/www.iteanu.law\/en\/wp-json\/wp\/v2\/posts\/312\/revisions"}],"predecessor-version":[{"id":313,"href":"https:\/\/www.iteanu.law\/en\/wp-json\/wp\/v2\/posts\/312\/revisions\/313"}],"wp:attachment":[{"href":"https:\/\/www.iteanu.law\/en\/wp-json\/wp\/v2\/media?parent=312"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.iteanu.law\/en\/wp-json\/wp\/v2\/categories?post=312"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.iteanu.law\/en\/wp-json\/wp\/v2\/tags?post=312"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}