Amendement n° 201

Les fuites massives de données se multiplient : organismes sociaux, opérateurs et, cet été encore, la direction générale des finances publiques, dont le système d’information a fait l’objet d’accès illégitimes. Ces données alimentent l’usurpation d’identité et les escroqueries par hameçonnage ciblé, qui surviennent souvent des mois après l’incident. Les victimes reçoivent pourtant un message laconique qui ne leur dit ni quels risques elles courent, ni quoi faire, ni vers qui se tourner.

L’article 17 permet à l’ANSSI, lorsque la divulgation d’un incident est dans l’intérêt public, d’exiger de l’entité qu’elle informe le public ou de le faire elle-même. Le présent amendement du groupe Horizons & Indépendants garantit que cette information soit utile : risques encourus, bons réflexes, orientation vers Cybermalveillance.gouv.fr.

Rattaché à ce pouvoir de l’autorité publique, il ne crée pas d’obligation nouvelle à la charge des entités au-delà de la directive, dont il met en œuvre l’article 23, paragraphe 7. Il ne modifie pas non plus le contenu de la communication aux personnes concernées prévue par l’article 34 du RGPD, que le droit national ne peut pas modifier. Il s’applique également lorsque la victime de l’incident est une administration de l’État.