Réponse publiée le 7 mars 2017

Depuis 2014, l'ensemble des institutions publiques nationales et européennes s'est saisi de la question de la protection des données des citoyens et des entreprises. Il ne s'agit plus aujourd'hui de faire porter des obligations de sécurité uniquement sur les opérateurs de communications mais de les généraliser à l'ensemble des acteurs. Le ministère de l'intérieur s'est saisi de ces sujets, notamment en créant, en janvier 2017, la délégation ministérielle aux industries de sécurité et à la lutte contre les cybermenaces (DMISC), en charge notamment de l'élaboration d'une stratégie ministérielle en la matière, de la coordination de sa mise en œuvre, du pilotage de son évaluation et de son actualisation. Le ministère de l'intérieur inscrit ainsi pleinement son action dans le cadre de la stratégie nationale pour la sécurité numérique, élaborée avec l'ensemble des ministères et soumise par le secrétaire général de la défense et de la sécurité nationale à l'approbation du Premier ministre en octobre 2015. Pour sa part, la délégation générale de la sécurité intérieure (DGSI), qui a succédé le 12 mai 2014 à la direction centrale du renseignement intérieur (DCRI), « concourt à la prévention et à la répression de la criminalité liée aux technologies de l'information et de la communication  », conformément aux termes du décret no 2014-445 du 30 avril 2014 relatif à ses missions et à son organisation. Depuis 2014, les menaces cyber se sont intensifiées caractérisées par des attaques de plus en plus complexes et ciblées, des fuites d'informations massives et des actes de cybermalveillance rendus publics (TV5 Monde, élections présidentielles américaines, Shadowbrokers, Panama papers). La réponse normative couvre aujourd'hui de nombreux aspects de la vie des citoyens et des entreprises. Plusieurs textes sont ainsi venus renforcer les obligations des acteurs industriels et des fournisseurs de services en matière de protection des données des citoyens et d'encadrement de l'activité des services étatiques. Parmi ces textes figurent notamment : - dans le domaine de la vie privée : l'accord entre les États-Unis et la commission européenne Safe Harbour a été annulé par la cour de justice de l'Union européenne (CJUE) et remplacé peu après par l'accord Privacy Shield, qui a donné lieu à l'adoption du règlement UE 2016/679 du Parlement et du conseil européens du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; - en matière de dématérialisation : le référentiel général de sécurité évoqué a été profondément impacté par l'entrée en application du règlement eIDAS ; - dans le domaine de la cybersécurité : l'Union européenne a adopté la directive 2016-1148 concernant les mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union. Les textes d'application de la loi no 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et de programmation militaire ont également été publiés ; - enfin, en matière de renseignement, la loi no 2015-912 du 24 juillet 2015 relative au renseignement est également à mentionner. La définition des mesures de prévention et de protection des opérateurs de télécommunication est assurée, dès lors qu'ils sont opérateurs d'importance vitale (orange par ex…), par l'agence nationale de la sécurité des systèmes d'information qui peut faire appel aux compétences de la DGSI.