Fuite massive de données personnelles : quelle est la responsabilité de Pôle emploi au regard du droit de la cybersécurité ?

I – Pôle emploi : un Opérateur de services essentiels (OSE)

L’état du droit actuel

Dans l’Union européenne, les premières règles communes sur la sécurité des réseaux et des systèmes d’information ont été introduites en 2016 par la directive NIS 15  pour Network and Information Security 1.

Ladite directive a ensuite été traduite dans notre ordre juridique interne grâce au travail de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) créée en 20096. La transposition fut ainsi parachevée à travers une loi, celle du 26 février 20187, un décret d’application8 et trois arrêtés ministériels9.

Dans un premier temps et dès 2006, le droit de la défense s’est saisi de la cybersécurité des organismes d’importance vitale (OIV) – entendre par là les infrastructures critiques, essentielles et difficilement substituables ou remplaçables visant à produire et à distribuer des biens ou des services indispensables à la satisfaction des besoins essentiels pour la vie des populations, à l’exercice de l’autorité de l’État, au fonctionnement de l’économie, ou au maintien du potentiel de défense et à la sécurité de la Nation10 – à travers la mise en place du dispositif de « sécurité des activités d’importance vitale11 » qui donnera lieu, plus tard, à l’introduction dans le Code de la défense d’un chapitre II « Protection des installations d’importance vitale »12 tel qu’on le connaît aujourd’hui.

La notion d’OSE

En 2016, au-delà de l’argument sécuritaire, l’Union européenne commence à percevoir l’impact potentiel de la cybermenace sur l’économie de l’Union et le fonctionnement de son marché intérieur.

La directive européenne NIS 1 débouche alors sur un certain nombre de mesures parmi lesquelles, notamment, l’identification de plusieurs vagues d’opérateurs de services essentiels (OSE) et de fournisseurs de services numériques (FSN) désormais tenus d’appliquer de nouvelles règles de cybersécurité.

Depuis lors, les OSE sont définis comme des « opérateurs, publics ou privés, offrant des services essentiels au fonctionnement de la société ou de l’économie et dont la continuité pourrait être gravement affectée par des incidents touchant les réseaux et systèmes d’information nécessaires à la fourniture desdits services13 ».

En coordination avec les ministères, l’ANSSI les désigne sur la base d’une liste de services essentiels au fonctionnement de la société ou de l’économie14, dès lors qu’elle estime qu’ils fournissent au moins un des services mentionnés sur la liste, et qu’un incident affectant leurs réseaux aurait des conséquences graves au regard d’un certain nombre de critères tels que le nombre d’utilisateurs dépendant du service, la portée géographique, l’incidence sur le fonctionnement de l’économie ou de la société, ou sur la sécurité publique15.

Sur cette liste socle, le calcul et le paiement des aides à l’emploi réalisés par les opérateurs de paiement agissant dans le secteur de l’emploi et de la formation professionnelle ont été désignés comme comptant parmi les « services essentiels au fonctionnement de la société ou de l’économie ».

Et, si la liste des OSE qui ont fait l’objet d’un arrêté de désignation demeure confidentielle, il n’y a plus aucun doute sur le fait que Pôle emploi, établissement public administratif exerçant les services essentiels mentionnés, a été désigné OSE au regard de l’ensemble des autres critères définis par le décret de 2018.

Pôle emploi, OSE, est donc mû par les règles de cybersécurité issues de la directive NIS 1 et, bientôt, par celles de la directive NIS 216 qui devra être transposée rapidement.

II – Quelles sont les obligations des OSE ?

Les obligations des OSE sont de plusieurs ordres.

L’obligation d’alerte

La première d’entre elles, qui intéresse notre cas pratique, est inscrite à l’article 11 du décret de 2018. Les OSE désignés doivent, « dès qu’ils en ont connaissance »17 déclarer à l’ANSSI les incidents affectant les réseaux et systèmes d’information nécessaires à la fourniture de services essentiels lorsque ces incidents « ont ou sont susceptibles d’avoir, compte tenu notamment du nombre d’utilisateurs et de la zone géographique touchés ainsi que de la durée de l’incident, un impact significatif sur la continuité de ces services ».

Le système d’alerte ainsi défini doit permettre à l’entité concernée de demander une assistance si nécessaire et, à l’ANSSI, d’en mesurer – voire d’en limiter – rapidement l’impact et la gravité, d’identifier les éléments de compromission et d’évaluer plus tard les mesures de détection et de prévention déployées.

Peut-on considérer que Pôle emploi était alors tenu d’alerter l’ANSSI au même titre qu’il était tenu de le faire pour la CNIL ?

La négative semble s’imposer, pour deux raisons principales.

La première – Pôle emploi s’est d’ailleurs attaché à le préciser dans chacun de ses messages d’alerte, y compris dans son communiqué de presse – est qu’il ne semble pas que l’incident de cybersécurité ait entraîné un risque sur l’indemnisation et l’accompagnement des demandeurs d’emploi, ni sur leur accès à leur espace personnel. En ce sens, il serait difficile de considérer que l’incident ait eu « un impact significatif sur la continuité » des services essentiels délivrés par Pôle emploi, à savoir le calcul et le paiement des aides à l’emploi.

La question de la sous-traitance

La seconde, et non des moindres, est que s’il fallait appliquer l’obligation à Pôle emploi, cette dernière ne s’appliquerait pas pour autant à son sous-traitant, la société Majorel, en cause dans le cas présent. Aucune des règles de cybersécurité ayant permis de transposer la directive NIS 1 ne fait référence à la question de la chaîne logistique et de la sous-traitance.

D’ailleurs, au sein de la directive européenne elle-même, le seul renvoi aux sous-traitants se manifeste dans le préambule18 sous l’emploi du conditionnel : « Les exigences en matière de sécurité et de notification devraient s’appliquer aux opérateurs de services essentiels et aux fournisseurs de service numérique concernés, que la maintenance de leurs réseaux et systèmes d’information soit assurée en interne ou qu’elle soit sous-traitée ».

Sur ce sujet, l’ANSSI a fait le choix de ne pas aller au-delà de ce dont dispose la directive. Pourtant, consciente depuis longtemps que les sous-traitants représentent aujourd’hui le maillon le plus faible de la chaîne de sécurité déployée par l’opérateur (public ou privé), elle indique tout de même sur son site internet19 : « Les OSE doivent prendre les mesures nécessaires notamment par voie contractuelle pour garantir le respect des règles de sécurité par les opérateurs tiers dont les systèmes d’information participent à la sécurité ou au fonctionnement de leurs SIE20. De ce fait, il apparaît nécessaire que les contrats conclus entre les OSE et les prestataires de services contiennent une clause d’auditabilité afin de permettre l’application du cadre réglementaire NIS et par conséquent des contrôles ».

En d’autres termes, l’ANSSI appelle de ses vœux, mais ne peut imposer, que les OSE intègrent dans leurs relations contractuelles avec les tiers sous-traitants des clauses leur imposant le respect des mêmes règles de sécurité, voire la possibilité de se voir soumettre, au même titre que leur donneur d’ordres, aux mêmes contrôles de sécurité.

Règles de sécurité et contrôles aléatoires

C’est là la deuxième partie de notre propos, les conclusions qui s’appliquent à l’obligation d’alerte précoce s’appliquent malheureusement aussi aux autres catégories d’obligations imposées aux OSE, à savoir : l’application des règles de sécurité pour prévenir les incidents qui compromettent la sécurité des réseaux et des systèmes d’information21 d’un côté, et la soumission à des contrôles aléatoires destinés à vérifier le niveau de sécurité de ces mêmes réseaux, de l’autre22.

Les règles de sécurité qui s’appliquent aux OSE à compter de la date de leur désignation sont définies à l’arrêté du 14 septembre 201823 et s’intéressent à la fois à la gouvernance, la protection, la défense des réseaux et systèmes d’information des opérateurs, ainsi qu’à la résilience des activités qu’ils mènent et à la gestion des crises en cas d’incidents.

Parmi elles, on peut notamment s’intéresser à l’obligation de déployer et de mettre à jour une analyse de risque et une politique de sécurité des réseaux et des systèmes d’information (PSSI) adaptées, impliquant, pour ce qui concerne notre cas pratique, que soient identifiés en amont les rôles et les responsabilités du personnel interne et externe à l’égard de la sécurité des services d’information essentiels (SIE) ou encore, par exemple, que soient définies les mesures de sécurité permettant de contrôler l’accès aux SIE, de détecter, de traiter, de gérer les risques et d’assurer la reprise des activités.

Les SIE devraient être correctement cartographiés, configurés et cloisonnés, leur sécurité régulièrement auditée et homologuée pour permettre en fonction des cas d’éviter ou de limiter la propagation des attaques informatiques.

L’opérateur doit protéger l’accès à ses systèmes d’information essentiels accessibles à distance, tout particulièrement lorsqu’ils sont accessibles à des utilisateurs externes via les réseaux publics : au moyen de mécanismes de chiffrement et d’authentification, notamment, conformes aux règles préconisées par l’ANSSI24.

Élément important, l’opérateur doit également mettre en place des mécanismes de filtrage des flux de données qui circulent dans ses systèmes d’information essentiels, de manière à limiter la circulation de flux de données inutiles, qui seraient susceptibles de faciliter des attaques informatiques.

Enfin, la politique de sécurité implique qu’une attention particulière soit portée à l’égard des droits d’accès, à la fois de ceux des comptes administrateurs et de ceux des utilisateurs externes, afin de s’assurer de la légitimité d’une personne à exécuter certaines actions d’administration ou à accéder à certaines ressources. On le comprend, cette partie nous renvoie directement à la question de la sécurité des données, celles nécessaires de manière générale à la fourniture du service essentiel, mais celles, aussi, qui sont personnelles aux utilisateurs.

En outre, nous le mentionnions plus tôt, l’OSE désigné pourrait être soumis à un ou plusieurs contrôles destinés à vérifier le respect des règles de sécurité énoncées et le niveau de sécurité de ses réseaux et systèmes d’information nécessaires à la fourniture de ses services essentiels.

La décision de procéder à un contrôle relève de la compétence du Premier ministre25, le contrôle lui-même est exercé par l’ANSSI26 et donne lieu, à son issue, à la rédaction d’un rapport exposant les constatations de l’Agence. En cas de manquement constaté à l’occasion du contrôle qu’elle effectue, l’ANSSI est investie du pouvoir de mettre en demeure les dirigeants de l’opérateur de se conformer, dans le délai qu’elle fixe, aux obligations qui lui incombent quant au respect des règles de sécurité. L’article 9 de la loi de 2018 prévoit même la possibilité pour l’ANSSI d’infliger des amendes administratives à l’encontre de ces mêmes dirigeants dans plusieurs hypothèses, parmi lesquelles la non-conformité aux règles de sécurité passé le délai de la mise en demeure27.

En tant qu’OSE, et si ses sous-traitants y échappent, Pôle emploi est bel et bien soumis à l’obligation d’appliquer les règles de sécurité ainsi exposées et peut faire l’objet de contrôles aléatoires.

Ayant ces éléments en tête, plusieurs questions se posent alors à nous naturellement.

Si Pôle emploi avait déjà été victime d’un incident de cybersécurité de grande ampleur en 2021, l’application des règles de sécurité élaborées par l’ANSSI auxquelles il est normalement soumis n’aurait-elle pas quand même pu permettre d’y échapper à l’été 2023 ?

Pôle emploi avait-il, ou aurait-il dû être soumis à un contrôle de sécurité qui aurait permis de détecter les failles de sécurité, y compris via les accès autorisés à ses prestataires ?

Compte tenu de la dangerosité des fournisseurs et des sous-traitants par lesquels passent de plus en plus les cyberattaquants, et dont s’inquiète l’ANSSI elle-même28, les règles de cybersécurité auxquelles sont soumis les OSE ne devraient-elles pas aussi s’appliquer par extension à ces premiers ?

Sur ce dernier point, la directive NIS 2, récemment adoptée, pourrait bien changer la donne.