Auteur/autrice : admin4461

L’attaque massive qui a frappé Free illustre de manière alarmante combien les failles humaines peuvent constituer le premier vecteur des cyberattaques, et l’importance de combiner conformité RGPD et sensibilisation des équipes.

Un enchaînement d’erreurs humaines

L’attaque a débuté lorsqu’un agent de Free a transmis ses identifiants OpenVPN à un tiers — une infraction grave au principe de confidentialité (article 32 du RGPD). Ces identifiants ont donné un accès direct aux bases clients, contenant des millions d’informations sensibles. Les agents utilisaient des outils (Mobo, Siebel) donnant accès à des données personnelles, dont des IBAN, sans restriction ni limitation de privilèges, en contradiction avec le principe de minimisation. Après avoir compromis un compte, les attaquants ont contacté d’autres agents en se faisant passer pour le service informatique, exploitant leur méconnaissance des protocoles de sécurité — un effet domino. Bilan : 19,2 millions de comptes clients compromis et 5 millions d’IBAN exposés.

La faille humaine, un facteur sous-estimé

La faille humaine est la première cause des cyberattaques. Les entreprises doivent former leurs employés à l’ingénierie sociale et au phishing, mettre en place une authentification multifacteur (MFA) — qui aurait évité le partage d’identifiants — et adopter une approche « Zero Trust » limitant les accès au strict nécessaire.

Une gestion de crise perfectible

La fuite a été détectée tardivement, alors que des rumeurs circulaient en interne, et la notification (article 33, délai de 72 heures) aurait dû être plus rapide. La communication a manqué de proactivité, et les mesures correctives (rotation des accès, suspension du télétravail) n’ont été prises qu’après la compromission. Pour prévenir de tels incidents : formation continue, sécurisation des accès (MFA, moindre privilège), audits réguliers et plan de gestion de crise conforme au RGPD. La protection des données ne repose pas uniquement sur la technologie : la formation des utilisateurs est essentielle.

Source : analyse de l’incident Free (fin 2024).

Le 26 septembre 2024, la Cour de justice de l’Union européenne a rendu un arrêt dans l’affaire C-768/21, clarifiant le rôle et la marge d’appréciation des autorités de protection des données. Le litige portait sur la nécessité, ou non, d’adopter systématiquement des mesures correctrices (telles qu’une amende administrative) en cas de violation du RGPD.

Dans cette affaire, un client d’une caisse d’épargne allemande avait découvert qu’une employée avait accédé à ses données sans autorisation. La banque avait notifié l’incident à l’autorité compétente, mais pas directement le client. Saisie d’une réclamation, l’autorité de contrôle du Land avait conclu à l’absence de risque élevé (aucune copie ni transmission des données, mesures disciplinaires prises contre l’employée) et n’avait pas imposé de mesure corrective supplémentaire. Le client avait alors contesté cette décision devant le tribunal administratif de Wiesbaden, qui a interrogé la CJUE.

La Cour a rappelé que les autorités disposent d’une marge d’appréciation dans le choix des mesures correctrices : celles-ci ne doivent pas être systématiques, mais appropriées à la gravité de la violation, nécessaires pour rétablir la conformité et proportionnées. L’objectif du RGPD n’est pas punitif : il vise une application efficace et équitable du droit à la protection des données.

En l’espèce, la CJUE a validé l’approche de l’autorité allemande, estimant que les mesures internes prises par la banque étaient suffisantes. Cette jurisprudence renforce l’idée que les autorités de contrôle doivent agir avec discernement, en privilégiant une approche individualisée et proportionnée plutôt que des sanctions automatiques.

Source : CJUE, affaire C-768/21, arrêt du 26 septembre 2024.

La directive européenne NIS 2, adoptée en décembre 2022, vise à renforcer la cybersécurité au sein de l’Union ; chaque État membre devait la transposer d’ici le 18 octobre 2024. En France, le projet de loi sur la « résilience des infrastructures critiques et le renforcement de la cybersécurité » a été présenté en Conseil des ministres le 15 octobre 2024, puis confié à une commission spéciale du Sénat, pour un examen en séance publique attendu mi-février 2025. L’adoption et la promulgation sont attendues au premier semestre 2025, l’entrée en vigueur dépendant ensuite des décrets d’application.

Pour accompagner les entités concernées, l’ANSSI a mis en place le portail « MonEspaceNIS2 », qui fournit des informations sur la directive, des outils d’évaluation de l’éligibilité et des ressources de mise en conformité. Même si la transposition n’est pas finalisée, il est stratégique de se préparer dès maintenant : cela permet de bénéficier de l’expertise des cabinets de conseil avant qu’ils ne soient massivement mobilisés lors de la transposition officielle.

La démarche d’anticipation recommandée : réaliser une évaluation des risques liés aux systèmes d’information, mettre en place des mesures techniques et organisationnelles adaptées (chiffrement, authentification multifacteur, formation du personnel), élaborer des procédures de gestion des incidents, sensibiliser les dirigeants aux obligations à venir, et commencer à documenter les politiques de cybersécurité. Cette préparation précoce transforme une obligation réglementaire en levier de résilience et de confiance.

Source : ANSSI — portail MonEspaceNIS2.

La CNIL a condamné la société Ledger au paiement d’une amende de 750 000 euros pour plusieurs manquements à la réglementation sur la protection des données, notamment en matière de sécurité des données personnelles et de durées de conservation.

La société avait subi plusieurs violations de données en 2020, à la suite desquelles la CNIL avait reçu une cinquantaine de plaintes. Environ un million d’adresses e-mail avaient fuité, ainsi que des données d’identité, numéros de téléphone et adresses postales (environ 290 000 personnes). L’objectif des attaquants était de créer de fausses clés de sécurité Ledger pour accéder aux cryptomonnaies des victimes. Une action des plaignants est par ailleurs en cours devant le tribunal judiciaire, en vue d’obtenir des dommages et intérêts.

À retenir : en cas de violation de données, les organismes disposent de 72 heures pour notifier la CNIL ; celle-ci peut mener des investigations, notamment sur plainte des personnes concernées ; les mesures de sécurité doivent être adaptées à la sensibilité des données et celles-ci ne doivent être conservées que pour des durées strictement nécessaires ; enfin, les personnes dont les données ont fuité peuvent engager la responsabilité civile de l’organisme.

Source : CNIL — Délibération de sanction à l’encontre de Ledger.

Le règlement européen sur l’intelligence artificielle (« IA Act ») encadre les usages de l’IA en les catégorisant par typologie de risques pour les droits et libertés des personnes concernées.

Une classification par niveaux de risque

• Risque inacceptable : les systèmes présentant un risque inacceptable pour les droits fondamentaux sont interdits (par exemple la surveillance biométrique en temps réel dans les espaces publics, ou les systèmes manipulant le comportement humain de manière dommageable).
• Risque élevé : les systèmes utilisés dans des domaines critiques (santé, éducation, infrastructures critiques, sécurité publique) sont soumis à des exigences strictes : audits, transparence et évaluation des risques.
• Risque limité : les systèmes comme les chatbots doivent respecter des obligations de transparence, notamment informer l’utilisateur qu’il interagit avec une IA.
• Risque minimal : les IA de faible risque (filtres anti-spam, jeux vidéo) ne sont soumises qu’à des obligations minimales, dans le respect des normes de sécurité de base.

Les exigences pour les systèmes à haut risque

Ces systèmes doivent répondre à des exigences strictes en matière de gestion des risques, de documentation technique, de traçabilité des résultats, de transparence et de surveillance humaine. Ils doivent faire l’objet de tests rigoureux avant leur mise sur le marché, afin de garantir le respect des normes de sécurité et des droits fondamentaux, et l’absence de biais.

Les obligations des opérateurs économiques

Fabricants, fournisseurs et utilisateurs de systèmes d’IA doivent maintenir une documentation détaillée sur le fonctionnement du système, soumettre celui-ci à des tests de conformité, et coopérer avec les autorités de régulation dans le cadre d’une surveillance continue des systèmes déployés.

Transparence et notification

Les utilisateurs doivent être informés lorsqu’ils interagissent avec un système d’IA (par exemple un chatbot). Les systèmes générant du contenu, comme les deepfakes, doivent signaler clairement qu’il s’agit d’une production artificielle. L’entraînement d’une IA à l’insu des utilisateurs est, à l’inverse, lourdement sanctionné, comme l’ont illustré plusieurs enquêtes européennes visant les grandes plateformes.

Examin accompagne les organisations dans la mise en conformité à l’IA Act : cartographie des systèmes, qualification du niveau de risque, documentation et gouvernance.

La CNIL a publié des recommandations pour protéger les données personnelles des utilisateurs d’applications mobiles, ciblant plusieurs acteurs de l’écosystème : développeurs, éditeurs, fournisseurs de SDK, systèmes d’exploitation et magasins d’applications. Ces recommandations clarifient les responsabilités et obligations de chacun afin d’assurer une meilleure sécurité juridique, en distinguant ce qui est obligatoire de ce qui relève de la recommandation ou de la bonne pratique.

La CNIL met en avant l’importance du respect du droit de la concurrence et du règlement sur les marchés numériques (DMA) dans l’application de ces recommandations. Un accent particulier est mis sur les systèmes de permissions des systèmes d’exploitation, qui permettent aux utilisateurs de contrôler l’accès à certaines informations sensibles (géolocalisation, micro, contacts) indépendamment de la finalité d’usage (publicitaire ou technique).

À partir du printemps 2025, la CNIL mènera des contrôles pour vérifier la conformité des applications mobiles à ces règles.

Source : CNIL — Recommandation relative aux applications mobiles.

Le Comité européen de la protection des données (EDPB / CEPD) a publié deux documents importants pour clarifier certaines zones d’ombre du RGPD : des lignes directrices sur l’intérêt légitime et un avis sur les obligations en matière de sous-traitance.

Lignes directrices sur l’intérêt légitime

Base juridique longtemps controversée, notamment dans le marketing, la sécurité et la prévention des fraudes, l’intérêt légitime fait l’objet de trois conditions cumulatives rappelées par l’EDPB : l’intérêt poursuivi doit être licite, réel et présent ; le traitement doit être nécessaire, sans alternative moins intrusive (minimisation) ; et cet intérêt ne doit pas prévaloir sur les droits et libertés fondamentaux des personnes concernées. La CJUE a par ailleurs précisé (affaire impliquant la fédération néerlandaise de tennis et l’autorité de contrôle) que les intérêts commerciaux ne sont pas automatiquement exclus de la notion d’intérêt légitime, mais doivent être évalués au cas par cas.

Avis sur la sous-traitance

En réponse à l’autorité danoise, l’EDPB a clarifié les obligations des responsables de traitement recourant à des sous-traitants et sous-traitants ultérieurs. Ils doivent non seulement s’assurer du respect du RGPD par ces derniers, mais aussi disposer à tout moment d’une visibilité complète sur leur identité et leurs responsabilités (nom, adresse, contact), y compris pour les transferts hors de l’EEE, et assumer la sélection et la supervision de ces sous-traitants.

Les organismes concernés doivent donc revoir leurs pratiques : vérification continue des garanties, révision des contrats et documentation de toutes les étapes de sous-traitance — une vigilance particulièrement importante dans les environnements cloud, avec des coûts de conformité potentiellement accrus.

Sources : EDPB — Lignes directrices sur l’intérêt légitime ; EDPB — Avis sur la sous-traitance.

La loi SREN (« Sécuriser et réguler l’espace numérique »), n° 2024-449 du 21 mai 2024, renforce la protection des mineurs, la lutte contre les contenus illégaux et les arnaques en ligne, et introduit des obligations strictes pour les fournisseurs de services numériques, y compris les services cloud. Plusieurs de ses mesures ont des implications directes pour les sites internet et leurs mentions légales.

Protection des utilisateurs et contenus illégaux

Les sites proposant des contenus pornographiques doivent mettre en place des systèmes de vérification de l’âge conformes aux exigences de l’ARCOM, et masquer leur contenu tant que l’âge n’est pas vérifié. Les hébergeurs doivent retirer les contenus pédopornographiques signalés par les autorités dans un délai de 24 heures, sous peine d’un an d’emprisonnement et de 250 000 euros d’amende. Une nouvelle infraction de deepfake, notamment à caractère sexuel, est créée. Un filtre « anti-arnaque » est par ailleurs instauré pour avertir les utilisateurs tentant d’accéder à des sites frauduleux.

Mentions légales

Les sites doivent identifier clairement l’éditeur (nom, adresse, téléphone, e-mail) et l’hébergeur, expliquer la collecte et la protection des données personnelles conformément au RGPD (avec information sur les droits des personnes), et publier des conditions générales d’utilisation détaillant droits et responsabilités.

Confiance et concurrence dans l’économie de la donnée (titre III)

Le titre III encadre le marché du cloud : interdiction des pratiques d’« autopréférence » injustifiées, obligation de rendre les données aisément transférables vers un autre fournisseur, encadrement strict des frais de transfert pour éviter le verrouillage propriétaire (lock-in), garanties d’interopérabilité et de portabilité, référentiel de bonnes pratiques, rapports de transparence sur la sécurité, mécanisme de certification et comité de surveillance. Des sanctions proportionnées au chiffre d’affaires et un renforcement des pouvoirs des autorités de régulation complètent le dispositif.

Source : Légifrance — Loi n° 2024-449 du 21 mai 2024 (SREN).