Expertises des Systèmes d'information - Janvier 2022 - N°475 - Le mensuel du droit de l'informatique et du multimédia - 3

EDITOR IAL
Cyber-score
Les cyberattaques se multiplient et les données personnelles ne cessent
d'être exploitées dans une certaine opacité par les acteurs de l'internet,
malgré un RGPD contraignant et des exigences de sécurité imposées par de
multiples certifications. Pour le sénateur UDI Laurent Lafon, président de la
commission de la Culture, la solution pourrait passer par les consommateurs
et la démocratisation de la cybersécurité. Il pense que s'ils disposent d'une
information visuelle claire et transparente sur le niveau de sécurité des
plateformes, les internautes pourraient privilégier celles dont le niveau de
cybersécurité correspond à leurs exigences, ce qui devrait en conséquence
inciter les opérateurs à changer leurs pratiques. C'est la logique et le succès
du nutri-score en matière d'alimentation qui a inspiré la rédaction de sa
proposition de loi pour la mise en place d'une certification de cybersécurité
des plateformes numériques destinée au grand public, déposée le
15 juillet 2020. Et ce texte a fait écho chez nos parlementaires puisqu'il a été
adopté en première lecture par les sénateurs et les députés, avec l'aval du
gouvernement. Il doit désormais être approuvé en deuxième lecture, ce qui
ne devrait pas poser de problème, si l'agenda parlementaire le permet.
La proposition de loi s'inscrit dans le code de la consommation en y ajoutant
une obligation pour les opérateurs de plateformes de communiquer les
informations relatives à la sécurisation et la localisation des données
hébergées par eux-mêmes ou leurs prestataires. Au départ, cette information
reposait sur l'auto-certification des opérateurs, mais les députés l'ont
remplacée par un audit de cybersécurité, effectué par des prestataires
qualifiés par l'Agence nationale de la sécurité des systèmes d'information.
Le texte précise que « le résultat de l'audit est présenté au consommateur de
façon lisible, claire et compréhensible et est accompagné d'une présentation
ou d'une expression complémentaire, au moyen d'un système d'information
coloriel ». Un logo visible s'afficherait lors de chaque connexion et non une
information reléguée dans les tréfonds des conditions générales d'utilisation.
C'est sur la mise en valeur de la communication de l'information que réside le
véritable apport de cette proposition car beaucoup d'éléments sur la sécurité
des données sont déjà disponibles, mais ils sont souvent abscons, peu lisibles
et difficiles d'accès.
Pour l'instant, les contours de cette obligation restent flous. On ne sait pas
encore quelles sont les informations sur la sécurisation des données qui
devront être prises en compte. Par ailleurs, contre l'avis du gouvernement,
les députés ont ajouté la localisation comme élément à rendre public dans
le but de soutenir notre souveraineté numérique. Là encore, ce n'est pas
simple. Pour Cédric O, secrétaire d'Etat chargé de la Transition numérique
et des Communications électroniques, « informer le citoyen de l'endroit où
ses données sont stockées, comme le prévoit l'amendement, risque à mon
sens de créer une sécurité illusoire. Cela pourrait être contre-productif :
nos concitoyens pourraient plébisciter des services fournis par des acteurs
étrangers, pensant à tort que la protection est la même que celle d'un fournisseur
européen ». Des textes réglementaires devront, en outre déterminer les seuils
d'activité des plateformes au-delà desquels cette obligation s'applique et les
critères qui seront pris en compte par l'audit, ses conditions en matière de
durée de validité ainsi que les modalités de sa présentation.
Cet outil de compréhension des conditions d'exploitation et de sécurité des
données devrait s'imposer, dans un premier temps, aux plateformes de taille
mondiale. Mais verra-t-on Facebook, Youtube ou Zoom afficher leur score ?
Difficile à imaginer aujourd'hui, surtout si ce dispositif se limite à la France.
Mais ce n'est pas impossible si on observe le succès du nutri-score conçu par
des universitaires français en 2014, appliqué dans sept pays d'Europe et qui
pourrait bientôt s'imposer dans l'UE.
En tout cas, il pourrait constituer un instrument complémentaire efficace
du RGPD.
EXPERTISES JANVIER 2022
3
Expertises des Systèmes d'information - Janvier 2022 - N°475 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2022 - N°475 - Le mensuel du droit de l'informatique et du multimédia
