PARIS \u2014 Trois fuites de donn\u00e9es en quelques semaines \u00e0 la Direction g\u00e9n\u00e9rale des Finances publiques (DGFiP) et une nouvelle pol\u00e9mique politique sur la s\u00e9curit\u00e9 informatique de l\u2019\u00c9tat. Apr\u00e8s la d\u00e9couverte d\u2019un troisi\u00e8me acc\u00e8s frauduleux, cette fois li\u00e9 aux successions vacantes, la question d\u00e9passe d\u00e9sormais le seul incident technique : l\u2019administration a-t-elle suffisamment prot\u00e9g\u00e9 les informations personnelles qu\u2019elle collecte aupr\u00e8s des Fran\u00e7ais ?<\/p>\n\n\n\n
La derni\u00e8re intrusion a concern\u00e9 le service des successions vacantes, utilis\u00e9 lorsqu\u2019une succession n\u2019est r\u00e9clam\u00e9e par personne ou qu\u2019aucun h\u00e9ritier n\u2019est connu. La DGFiP a indiqu\u00e9 avoir d\u00e9tect\u00e9 l\u2019acc\u00e8s et l\u2019avoir rapidement interrompu. Cet \u00e9pisode intervient cependant apr\u00e8s deux autres fuites touchant l\u2019administration fiscale au cours des derni\u00e8res semaines.<\/p>\n\n\n\n
C\u2019est leur r\u00e9p\u00e9tition qui change la dimension du dossier.<\/p>\n\n\n\n
Invit\u00e9 de RTL mercredi 19 ao\u00fbt, le pr\u00e9sident du groupe socialiste au S\u00e9nat, Patrick Kanner, a directement mis en cause la responsabilit\u00e9 de l\u2019\u00c9tat. Il qualifie les excuses gouvernementales de \u00ab path\u00e9tiques \u00bb et r\u00e9clame une commission d\u2019enqu\u00eate parlementaire apr\u00e8s ce qu\u2019il d\u00e9crit comme un piratage \u00ab cataclysmique \u00bb.<\/p>\n\n\n\n
L\u2019accusation est politique. Elle ne constitue pas, \u00e0 ce stade, la conclusion d\u2019une enqu\u00eate technique ou d\u2019une d\u00e9cision de la CNIL. Pour d\u00e9terminer si l\u2019\u00c9tat a effectivement manqu\u00e9 \u00e0 ses obligations, plusieurs questions restent essentielles : comment les attaquants ont-ils obtenu leurs acc\u00e8s ? Quelles protections \u00e9taient d\u00e9ploy\u00e9es ? Des vuln\u00e9rabilit\u00e9s connues existaient-elles ? Et surtout, quelles informations ont r\u00e9ellement \u00e9t\u00e9 compromises ?<\/p>\n\n\n\n
Le caract\u00e8re sensible des syst\u00e8mes concern\u00e9s renforce toutefois l\u2019enjeu. La DGFiP centralise des informations fiscales, patrimoniales et personnelles concernant des millions de contribuables. Elle assure \u00e9galement la gestion des successions vacantes et en d\u00e9sh\u00e9rence, une mission qui implique n\u00e9cessairement le traitement de nombreuses donn\u00e9es.<\/p>\n\n\n\n
Le cadre applicable impose aux organismes publics comme priv\u00e9s de mettre en \u0153uvre des mesures adapt\u00e9es au risque. La CNIL rappelle r\u00e9guli\u00e8rement que les syst\u00e8mes d\u2019information sont soumis \u00e0 des attaques permanentes et que les responsables doivent prendre en amont les mesures techniques et organisationnelles n\u00e9cessaires pour prot\u00e9ger les donn\u00e9es personnelles.<\/p>\n\n\n\n
L\u2019autorit\u00e9 a d\u2019ailleurs d\u00e9j\u00e0 sanctionn\u00e9 lourdement des organismes publics lorsque les protections \u00e9taient jug\u00e9es insuffisantes. En janvier, France Travail a \u00e9cop\u00e9 d\u2019une amende de cinq millions d\u2019euros apr\u00e8s une violation ayant permis l\u2019acc\u00e8s aux donn\u00e9es de personnes inscrites au cours des vingt ann\u00e9es pr\u00e9c\u00e9dentes.<\/p>\n\n\n\n
Une cyberattaque ne d\u00e9montre donc pas automatiquement une d\u00e9faillance de l\u2019organisme attaqu\u00e9 : aucun syst\u00e8me connect\u00e9 ne peut garantir un risque z\u00e9ro. Mais la multiplication d\u2019incidents au sein d\u2019une m\u00eame administration oblige \u00e0 examiner si les m\u00e9canismes de pr\u00e9vention, de d\u00e9tection et de r\u00e9action \u00e9taient proportionn\u00e9s \u00e0 la sensibilit\u00e9 des informations conserv\u00e9es.<\/p>\n\n\n\n
C\u2019est d\u00e9sormais le c\u0153ur du dossier. La troisi\u00e8me fuite ne permet pas, \u00e0 elle seule, d\u2019affirmer que l\u2019\u00c9tat fran\u00e7ais a \u00e9chou\u00e9 \u00e0 prot\u00e9ger les donn\u00e9es de sa population. Elle transforme n\u00e9anmoins une succession d\u2019incidents informatiques en probl\u00e8me de confiance publique. Pour trancher la question de la responsabilit\u00e9, il faudra conna\u00eetre pr\u00e9cis\u00e9ment les failles exploit\u00e9es, l\u2019ampleur des donn\u00e9es compromises et les mesures qui avaient \u00e9t\u00e9 prises avant les attaques.<\/p>\n\n\n