Diffusion illégale de données personnelles et bancaires sur internet

M. Sébastien Chenu alerte M. le ministre de l'intérieur sur la multiplication de sites internet mettant à disposition du public des données personnelles sensibles issues de bases de données publiques, historiques ou encore de fuites massives de données (data breaches), à l'image du service dénommé « REACHER ». Ces plateformes revendiquent l'agrégation et l'indexation d'informations particulièrement sensibles telles que les noms, adresses, numéros de téléphone, adresses électroniques, informations professionnelles, données administratives, mais également parfois des informations financières et bancaires susceptibles de faciliter des fraudes, des escroqueries ou des usurpations d'identité. Si ces services invoquent fréquemment le règlement général sur la protection des données (RGPD) ainsi que la notion d'« intérêt légitime » afin de justifier leurs activités, la diffusion massive et simplifiée de telles données soulève de graves interrogations quant au respect de la vie privée et à la sécurité des personnes. En effet, l'accessibilité de ces informations peut favoriser des actes de cybermalveillance, de harcèlement, de chantage, d'usurpation d'identité, d'atteinte à la réputation, voire des menaces directes à l'encontre de citoyens, d'élus, d'agents publics, de magistrats ou de membres des forces de l'ordre. Par ailleurs, les procédures dites de « droit à l'oubli » mises en avant par ces plateformes apparaissent souvent insuffisamment accessibles, complexes ou conditionnées à la transmission de nouvelles données sensibles, notamment des justificatifs d'identité, aux gestionnaires mêmes des services concernés. Face à cette situation, il souhaiterait connaître l'évaluation du Gouvernement concernant la conformité au RGPD et au droit français de ces plateformes diffusant ou réindexant des données issues de fuites de données ; les actions de contrôle, de blocage ou de sanction actuellement engagées par les autorités compétentes, notamment la CNIL et les services spécialisés du ministère de l'intérieur ; les moyens techniques et juridiques envisagés afin de limiter la réutilisation et la diffusion de données personnelles et bancaires compromises ; ainsi que les mesures que le Gouvernement entend prendre afin de renforcer la protection des citoyens contre ces pratiques numériques particulièrement préoccupantes.

En matière de traitement de données à caractère personnel, le Règlement Général sur la Protection des Données (RGPD) fixe le cadre de protection des données applicable au sein de l'Union européenne. En droit national, il est complété par les dispositions de la loi Informatique et Liberté. Ainsi, les traitements de données à caractère personnel doivent se fonder sur une base légale correspondant à la finalité poursuivie, parmi lesquelles figurent les intérêts légitimes du responsable de traitement (article 6.1.f RGPD). Tout traitement de données doit également être entouré des mesures de sécurité suffisantes et adaptées aux données traitées et aux risques pour les personnes concernées (article 32 du RGPD). Pour les personnes dont les données sont traitées, une série de droits est également prévue, dont celui d'obtenir l'effacement des données ou de leur référencement, lorsque les conditions sont réunies (article 17 du RGPD). En France, le contrôle de la conformité au RGPD est mené par la Commission nationale de l'informatique et des libertés (CNIL), une autorité administrative indépendante instituée par la loi de 1978. Celle-ci peut infliger des sanctions très lourdes, allant de l'injonction à modifier, voire supprimer le traitement de données, à de très lourdes sanctions financières. Il n'incombe donc pas au Gouvernement de contrôler l'application du texte par les opérateurs ou les actions menées par la CNIL dans des procédures particulières. Ainsi, à ce stade, le Gouvernement n'envisage pas de compléter le cadre applicable en matière de protection des données puisqu'il apparaît déjà suffisamment complet. Il appartiendra à l'autorité de contrôle française, la CNIL, d'évaluer, de sa propre initiative ou en réponse à des plaintes, si les sociétés qui mènent ces activités se conforment bien au cadre légal.