Les Intégrales - Droit de l'intelligence artificielle - 2e - 532

DROIT DE L'INTELLIGENCE ARTIFICIELLE
cybersécurité. La deuxième dimension est l'intégrité des données, des réseaux et des
systèmes. Rien n'est modifié sans autorisation. Si un jury de délibérations change les
notes d'une étudiante ou d'un étudiant, l'on est encore en cybersécurité. Mais si quelqu'un
modifie, sans autorisation, les relevés de notes pour obtenir le passage en année
supérieure, la cybersécurité est atteinte. Enfin, la troisième dimension de la cybersécurité
est la confidentialité des données, des réseaux et des systèmes. Personne ne doit y avoir
un accès non autorisé. Au contraire, en cas de fuite de données sur internet, la cybersécurité
est enfreinte.
885 En somme, tout est question d'autorisation : interrompre, modifier, ou accéder de
manière autorisée, tout cela est compatible avec la cybersécurité ; mais les mêmes
actions effectuées de manière non autorisée représentent autant d'atteintes à la
cybersécurité40
.C'est ce qui ressort, en filigrane, du corpus juridique de la cybersécurité.
§ II - Le corpus juridique de la cybersécurité
886 S'il est une certitude à avoir, c'est que respecter le droit de la cybersécurité ne
garantit pas la cybersécurité. Il n'en reste pas moins que, déployées en trois grands
ensembles complémentaires (A), les règles qui forment le droit de la cybersécurité sont
animées par trois séries d'enjeux à la hauteur desquels les juristes doivent se hisser (B).
A - Un triptyque de règles
887 À lire la définition proposée par l'ANSSI, la cybersécurité repose sur trois piliers : la
sécurité des systèmes d'information (SSI), la lutte contre la cybercriminalité, et la cyberdéfense.
À chaque pilier correspond un ensemble de règles.
888 Droit de la SSI. - Tout d'abord, le droit de la SSI oblige la plupart des acteurs à gérer
eux-mêmes la sécurité de leurs systèmes d'information. Par exemple, lorsqu'une entreprise
procède au traitement de données personnelles pour son compte41
d'une autre entreprise42
ou pour celui
(noms et prénoms des clients, des salariés, dates et lieux de naissance,
informations bancaires) il lui incombe de mettre en place des « mesures techniques
et organisationnelles » pour garantir la sécurité de ces données qu'elle est amenée
à traiter43
sion nationale de l'informatique et des libertés (CNIL)44
. En cas d'atteinte à cette sécurité, elle doit également en informer la Commis.
Ce droit de la sécurité des
systèmes d'information (SSI) est fait de textes spéciaux derrière lesquels se trouve de
plus en plus souvent une impulsion européenne45
. Outre ces textes spéciaux, le droit
commun et le droit spécial des contrats contribuent eux aussi à la cybersécurité. C'est
d'autant plus vrai qu'un grand nombre de cyberattaques frappent des entreprises à
travers les sous-traitants qui se connectent au système d'information de leur client.
C'est ainsi qu'est intervenue en 2013 l'une des attaques les plus retentissantes de ces
dernières années, sur le géant américain de la distribution, l'entreprise Target. Dans un
(40) Qui autorise ? Pour les réseaux et les systèmes : l'administrateur réseau ; et pour les données : les responsables de
traitement des données personnelles ou non personnelles.
(41) Au sens du droit de la donnée personnelle, on qualifie cette entreprise de « responsable de traitement ».
(42) On parlera alors de « sous-traitant », avec un sens différent de celui du droit des contrats spéciaux.
(43) Voy. spéc. art. 4, 6º), art. 8, 2º), c), art. 57 et art. 96 de l'ord. nº 2018-1125 du 12 décembre 2018 prise en application
de l'article 32 de la loi nº 2018-493 du 20 juin 2018 relative à la protection des données personnelles et
portant modification de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et
diverses dispositions concernant la protection des données à caractère personnel.
(44) Art. 57 ord. du 12 décembre 2018, préc.
(45) Par ex. l'ord. du 12 décembre 2018 parachève la mise en conformité avec le RGPD (règlement (UE) 2016/679 du
Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement
des données à caractère personnel et à la libre circulation de ces données) et avec la directive dite « PoliceJustice
» (directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection
des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à
des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution
de sanctions pénales, et à la libre circulation de ces données).
532
Les Intégrales - Droit de l'intelligence artificielle - 2e

Table des matières de la publication Les Intégrales - Droit de l'intelligence artificielle - 2e
