Doctrine de sanction des institutions publiques en matière de cybersécurité

Mme Caroline Colombier attire l'attention de M. le Premier ministre sur la pertinence des sanctions financières infligées aux organismes publics en cas de manquements aux obligations de protection des données personnelles. La sanction prononcée à l'encontre de France Travail, d'un montant de 5 millions d'euros, à la suite d'une fuite massive de données personnelles, illustre la mise en œuvre du cadre prévu par le règlement général sur la protection des données. Toutefois, dans le cas d'un opérateur public financé par des fonds publics, une telle sanction appelle des interrogations quant à son efficacité réelle, dans la mesure où elle conduit à une mobilisation de ressources publiques pour un retour dans les caisses publiques, sans nécessairement garantir un renforcement immédiat des dispositifs de sécurité concernés. Dès lors, se pose la question de l'adéquation entre l'objectif de sanction et celui, tout aussi essentiel, d'amélioration concrète et rapide du niveau de cybersécurité des systèmes d'information publics. En conséquence, elle souhaite savoir si le Gouvernement envisage de faire évoluer la doctrine applicable en la matière, notamment en étudiant la possibilité de privilégier, en complément ou en alternative aux sanctions financières, des obligations d'investissement direct et contrôlé dans le renforcement des dispositifs de cybersécurité des organismes concernés.