Pourquoi la CNIL contrôle-t-elle le fisc après un piratage ?

La Commission nationale de l’informatique et des libertés va contrôler la Direction générale des finances publiques (DGFiP), après le vol massif de données qui a touché environ 700 000 contribuables cet été. Elle va également examiner les circonstances de l’attaque ayant affecté l’Agence nationale des titres sécurisés (ANTS), qui avait entraîné le vol de données concernant près de 12 millions de particuliers et de professionnels.

À première vue, la démarche peut surprendre. Le fisc a été piraté : pourquoi est-ce donc lui qui fait l’objet d’un contrôle ?

Parce qu’en matière de données personnelles, être victime d’un piratage ne signifie pas nécessairement avoir commis une faute. En revanche, toute organisation qui traite des données personnelles doit prendre des mesures techniques et organisationnelles adaptées pour les protéger. Cette obligation concerne aussi bien les entreprises que les administrations.

C’est notamment ce que prévoit le RGPD. Et il existe une deuxième obligation, encore plus intéressante : le responsable du traitement doit être capable de démontrer qu’il respecte ses obligations.

C’est précisément ce que la CNIL peut chercher à vérifier. Elle ne vient pas nécessairement reprocher au fisc d’avoir été piraté. Elle peut examiner les mesures de sécurité qui avaient été mises en place avant l’attaque : étaient-elles adaptées aux risques ? Les dispositifs de protection étaient-ils suffisamment robustes ? Les mesures avaient-elles été régulièrement évaluées et testées ?

Autrement dit, une fuite de données ne prouve pas, à elle seule, que la victime a mal protégé ses données. Mais la victime doit pouvoir démontrer qu’elle avait pris les mesures appropriées.

En cas de manquement, la CNIL dispose de plusieurs moyens d’action : rappel à l’ordre, mise en demeure ou injonction de mise en conformité, notamment.

Il existe toutefois une différence importante entre le secteur privé et l’État : lorsqu’un traitement relève de l’État, la CNIL ne peut pas lui infliger d’amende administrative, en vertu de la loi Informatique et Libertés.

L’État est donc bien soumis aux obligations de protection des données. Mais en cas de manquement, les sanctions financières ne sont pas les mêmes que pour une entreprise privée.