Question de : M. Jean-Luc Warsmann
Ardennes (3^e circonscription) - Libertés, Indépendants, Outre-mer et Territoires

M. Jean-Luc Warsmann attire l'attention de M. le ministre du travail et des solidarités sur la décision de la Commission nationale de l'informatique et des libertés (CNIL) infligeant une amende pécuniaire de 5 millions d'euros à l'opérateur France Travail pour défaut de sécurité des données personnelles. Cette sanction fait suite à une cyberattaque massive ayant entraîné l'exfiltration des données d'identification et de contact de plusieurs millions de personnes inscrites ou ayant été inscrites au cours des vingt dernières années. Par sa gravité et son ampleur, cette fuite expose un nombre considérable de citoyens à des risques d'usurpation d'identité ou de piratage. La CNIL a relevé que la majorité des mesures de protection élémentaires manquées, telles qu'un contrôle strict des habilitations tierces et la surveillance continue des accès distants, avaient pourtant été clairement identifiées en amont par l'opérateur dans ses propres analyses d'impact, sans jamais être effectivement déployées. Cette situation met en évidence une double absurdité. D'une part, les usagers, contraints de confier leurs informations personnelles à un service public, subissent une double peine : victimes de l'exfiltration de leurs données, ils sont également contraints, en tant que contribuables, de financer sur fonds publics l'amende pécuniaire infligée à l'établissement. D'autre part, le système de sanction actuel s'avère totalement inefficace sur le plan de la responsabilisation : la somme de 5 millions d'euros étant transférée du budget de l'agence vers le budget général de l'État, aucune conséquence financière ou opérationnelle directe n'impacte les décideurs administratifs en faute. À ce jour, alors que l'inertie dans la mise en œuvre des préconisations de sécurité est établie, aucun responsable de système d'information, dirigeant d'organisme ou haut fonctionnaire n'a vu sa responsabilité personnelle, disciplinaire ou administrative engagée pour manquement aux obligations de prudence et de sécurisation. C'est en ce sens qu'il lui demande quelles dispositions d'urgence ont été imposées à France Travail pour se conformer aux injonctions de la CNIL et garantir la sécurité des accès partenaires ; de plus, si le Gouvernement envisage de revoir le cadre effectif de responsabilité administrative, disciplinaire et financière propres aux agents ; et enfin, s'il entend modifier le cadre juridique régissant les amendes administratives appliquées aux entités publiques, afin d'éviter que le contribuable ne supporte le coût financier des fautes de gestion numérique des administrations.