Veille Juridique

Responsabilité légale

Un technicien SISR configure des systèmes qui traitent des données personnelles. Une mauvaise configuration peut engager sa responsabilité pénale et celle de son employeur.

Conformité réglementaire

RGPD, NIS2, LPM... Les obligations légales pour les organisations gérant des SI sont nombreuses et croissantes. Les techniciens SISR sont en première ligne pour les mettre en oeuvre.

Exigences professionnelles

Les recruteurs attendent des techniciens qu'ils connaissent les bases légales : licences logicielles, obligations de signalement des incidents, SLA, et clauses contractuelles.

Le traitement doit avoir une base légale valide (consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public, intérêt légitime). La personne doit être informée clairement.

Les données collectées ne peuvent être utilisées que pour les finalités explicitement définies au moment de la collecte. Tout nouveau traitement incompatible est interdit sans nouveau consentement.

Seules les données strictement nécessaires à la finalité déclarée doivent être collectées. Le principe de "privacy by design" impose de penser la minimisation dès la conception du système.

Les données doivent être exactes et tenues à jour. Des procédures de mise à jour et de correction doivent exister. La personne a le droit de demander la rectification de ses données inexactes.

Les données ne peuvent être conservées que le temps nécessaire à la finalité. Des durées de conservation doivent être définies et respectées. La purge automatique est une bonne pratique RGPD.

Les données doivent être protégées contre tout accès non autorisé, perte ou destruction. Chiffrement, contrôle d'accès, journalisation, et sauvegardes sont les mesures techniques attendues.

DPO — Délégué à la Protection des Données

Obligatoire pour : organismes publics, entreprises dont l'activité principale nécessite un suivi régulier et systématique à grande échelle, et celles traitant des données sensibles à grande échelle.

Le DPO informe, conseille et contrôle le respect du RGPD. Il est le point de contact de la CNIL. Il ne doit pas avoir de conflit d'intérêt avec ses autres fonctions.

Registre des traitements (Art. 30)

Document interne obligatoire listant tous les traitements de données personnelles. Contient : finalités, catégories de données, destinataires, transferts hors UE, durées de conservation.

Pour les collectivités comme le Département 66, ce registre peut contenir des centaines d'entrées : paie des agents, suivi des usagers, caméras de surveillance, applications métier...

AIPD — Analyse d'Impact (Art. 35)

Obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes : vidéosurveillance, données biométriques, profilage, données de santé.

L'AIPD analyse les risques et propose des mesures d'atténuation. Si le risque reste élevé après mesures, consultation préalable de la CNIL obligatoire avant lancement.

Notification des violations — 72h (Art. 33)

En cas de violation de données personnelles (piratage, perte de disque, accès non autorisé...), notification obligatoire à la CNIL dans les 72 heures après prise de connaissance.

Si la violation présente un risque élevé pour les personnes concernées, elles doivent également être informées directement dans les meilleurs délais.

Première loi française sur la fraude informatique, intégrée au Code Pénal (Art. 323-1 à 323-7). Elle crée le délit d'accès frauduleux à un Système de Traitement Automatisé de Données (STAD).

• Accès/maintien frauduleux (Art. 323-1) : jusqu'à 3 ans et 100 000€
• Entrave au fonctionnement (Art. 323-2) : jusqu'à 5 ans et 150 000€
• Introduction/suppression de données (Art. 323-3) : jusqu'à 7 ans
• Aggravation si STAD de l'État ou OIV

Texte fondateur de la protection des données en France, créant la CNIL. Profondément révisée en 2018 pour être mise en conformité avec le RGPD et transposer ses dispositions dans le droit national.

• Création et organisation de la CNIL (composition, missions, pouvoirs)
• Définit les données sensibles spécifiques au contexte français
• Procédure de sanction et de mise en demeure CNIL
• Dispositions spécifiques mineurs, données judiciaires, numéro NIR

Son article 22 impose des mesures de cybersécurité aux Opérateurs d'Importance Vitale (OIV) et aux opérateurs de Systèmes d'Information d'Importance Vitale (SIIV). Secteurs couverts : énergie, eau, transport, santé, alimentation, défense...

• Qualification SIIV par arrêté ministériel confidentiel
• Obligation de règles de sécurité imposées par l'ANSSI
• Déclaration obligatoire des incidents de sécurité à l'ANSSI
• Audits de sécurité imposés par l'ANSSI

Refonte de la directive NIS de 2016, NIS2 élargit considérablement le périmètre des entités concernées (EE : entités essentielles, EI : entités importantes) et renforce les obligations de sécurité dans l'UE.

• ~30 000 entités concernées en France (vs ~100 en NIS1)
• Notification incidents sous 24h (alerte précoce) puis 72h
• Responsabilité personnelle des dirigeants
• Sanctions : jusqu'à 10M€ ou 2% CA mondial pour les EE

Les infractions informatiques dans le Code Pénal couvrent un large spectre, des tentatives de piratage aux actes de sabotage en passant par le vol et la modification de données.

• 323-1 : Accès frauduleux STAD — 2 ans / 60 000€
• 323-2 : Entrave fonctionnement STAD — 5 ans / 150 000€
• 323-3 : Introduction/suppression/modification données — 7 ans
• 323-3-1 : Détention/diffusion de logiciels malveillants

Texte phare de la protection des données en Europe, directement applicable dans tous les États membres sans transposition. Il crée un cadre harmonisé pour toute l'UE et au-delà (effet extraterritorial).

• 99 articles, 173 considérants, applicable depuis mai 2018
• Portée extraterritoriale : s'applique aux entreprises non-UE
• Privacy by design et by default obligatoires
• Voir section RGPD dédiée ci-dessus pour les détails

Licences libres et open source

SLA — Service Level Agreement

Contrat de niveau de service définissant les engagements de qualité et de disponibilité d'un prestataire informatique. Fondamental dans les contrats cloud, hébergement, réseau et support.

• Disponibilité (Uptime)99.9% = 8h/an de coupure max
• Temps de réponseGTI : 4h, GTR : 8h
• PerformanceLatence, débit, IOPS
• PénalitésAvoir financier ou résiliation

TMA — Tierce Maintenance Applicative

Contrat par lequel un prestataire externe prend en charge la maintenance d'applications développées en interne ou par un tiers. Fréquent dans les collectivités.

• Corrective : correction des bugs et anomalies détectés en production
• Évolutive : nouvelles fonctionnalités selon les besoins métier
• Adaptive : adaptation aux changements d'environnement (OS, BD, réglementaires)

PCA / PRA — Continuité et Reprise

Pour les collectivités, les OIV et les entités NIS2, la mise en place d'un Plan de Continuité d'Activité (PCA) et d'un Plan de Reprise d'Activité (PRA) est une obligation légale ou contractuelle forte.

Contrat de prestation informatique

Les clauses essentielles à vérifier avant tout contrat informatique :

• Propriété du code et des données à la fin du contrat
• Clause de confidentialité et NDA (Non-Disclosure Agreement)
• Responsabilité en cas de violation de données (RGPD)
• Clause de réversibilité et portabilité des données
• Sous-traitance et traitement de données (DPA RGPD)

Le Centre Hospitalier de Corbeil-Essonnes a été victime d'une cyberattaque par le groupe LOCKBIT 3.0. La rançon de 10M$ n'a pas été payée, résultant en la publication de données médicales de patients sur le dark web.

Leçon SISR : les sauvegardes offline et la segmentation réseau auraient limité l'impact de cette attaque.

L'entreprise américaine Clearview AI scrape des milliards de photos depuis les réseaux sociaux pour alimenter sa base de données de reconnaissance faciale vendue aux forces de l'ordre. La CNIL a prononcé une amende maximale de 20 M€.

Portée extraterritoriale du RGPD : Clearview n'a pas de siège en France mais traite des données de résidents français.

La quasi-totalité des grandes cyberattaques contre les collectivités françaises (Vincennes, Caen, La Rochelle...) ont exploité des failles dans l'Active Directory. L'ANSSI a publié des recommandations spécifiques (CERT-FR-2023-AVI-AD).

• Tiering AD : séparer admin de domaine des comptes métier
• Dépréciation NTLM, désactivation SMBv1
• Journalisation avancée (4688, 4625, 4648, 4776...)
• GPO de sécurité selon guides ANSSI

La pandémie a mis en lumière les enjeux juridiques de l'hébergement des données de santé. La certification HDS (Hébergeur de Données de Santé) est obligatoire pour tout hébergeur de données personnelles de santé en France.

• Certification HDS délivrée par des organismes accrédités COFRAC
• Données de santé doivent rester sur le territoire français/européen
• Violation HDS : CNIL + AMF + sanctions pénales potentielles