Suivi des signalements de vulnérabilités à l’ANSSI

L’essentiel : L’Arrêté du 18 juin 2024 institue un traitement automatisé des données personnelles, intitulé « Suivi des signalements de vulnérabilités » à l’ANSSI. Ce dispositif enregistre l’identité des personnes signalant des failles de sécurité, ainsi que des informations sur les conditions de transmission et les systèmes concernés. La confidentialité de l’identité des dénonciateurs est garantie, et l’obligation de signalement au procureur de la République ne s’applique pas aux personnes de bonne foi. L’autorité peut effectuer des opérations techniques nécessaires pour évaluer les risques et alerter les responsables des systèmes vulnérables.

L’Arrêté du 18 juin 2024 a mis en place un traitement automatisé de données à caractère personnel dénommé « Suivi des signalements de vulnérabilités effectués dans le cadre de l’article L. 2321-4 du code de la défense »

Les personnes qui signalent des failles de sécurité à l’ANSSI sont référencées dans un fichier dédié.

Les catégories de données à caractère personnel et informations collectées dans le présent traitement sont les suivantes :
1° Identité de la personne à l’origine du signalement de la vulnérabilité (par exemple : nom, prénom, alias) ;
2° Données liées aux conditions de transmission de la vulnérabilité (par exemple : numéro de téléphone ou adresse de courrier électronique) ;
3° Données liées à l’hébergeur, l’opérateur ou le responsable du système d’information ou du produit vulnérable, transmises dans le cadre du signalement ;
4° Données nécessaires au traitement du signalement auprès de l’hébergeur, de l’opérateur ou du responsable du système d’information ou du produit vulnérable (par exemple : adresse de courrier électronique, numéro de téléphone, adresse postale).

Pour les besoins de la sécurité des systèmes d’information, l’obligation prévue à l’article 40 du code de procédure pénale n’est pas applicable à l’égard d’une personne de bonne foi qui transmet à la seule autorité nationale de sécurité des systèmes d’information une information sur l’existence d’une vulnérabilité concernant la sécurité d’un système de traitement automatisé de données (« Le procureur de la République reçoit les plaintes et les dénonciations et apprécie la suite à leur donner conformément aux dispositions de l’article 40-1. Toute autorité constituée, tout officier public ou fonctionnaire qui, dans l’exercice de ses fonctions, acquiert la connaissance d’un crime ou d’un délit est tenu d’en donner avis sans délai au procureur de la République et de transmettre à ce magistrat tous les renseignements, procès-verbaux et actes qui y sont relatifs »)

L’autorité préserve la confidentialité de l’identité de la personne à l’origine de la transmission ainsi que des conditions dans lesquelles celle-ci a été effectuée.

L’autorité peut procéder aux opérations techniques strictement nécessaires à la caractérisation du risque ou de la menace aux fins d’avertir l’hébergeur, l’opérateur ou le responsable du système d’information.

Q/R juridiques soulevées :

Quel est l’objet de l’Arrêté du 18 juin 2024 ?

L’Arrêté du 18 juin 2024 a instauré un traitement automatisé de données à caractère personnel, spécifiquement intitulé « Suivi des signalements de vulnérabilités effectués dans le cadre de l’article L. 2321-4 du code de la défense ». Ce dispositif vise à gérer les signalements de failles de sécurité, permettant ainsi une meilleure protection des systèmes d’information. Il s’inscrit dans un cadre légal qui cherche à renforcer la sécurité nationale en facilitant la communication des vulnérabilités aux autorités compétentes.

Quelles données personnelles sont collectées dans ce traitement ?

Les données à caractère personnel collectées dans le cadre de ce traitement incluent plusieurs catégories. Premièrement, l’identité de la personne ayant signalé la vulnérabilité, comprenant des informations telles que le nom, le prénom et éventuellement un alias. Deuxièmement, des données relatives aux conditions de transmission de la vulnérabilité, comme le numéro de téléphone ou l’adresse électronique. Troisièmement, des informations concernant l’hébergeur, l’opérateur ou le responsable du système d’information concerné par la vulnérabilité. Enfin, des données nécessaires pour traiter le signalement, telles que l’adresse de courrier électronique, le numéro de téléphone et l’adresse postale, sont également collectées.

Quelles protections sont mises en place pour les personnes signalant des vulnérabilités ?

L’Arrêté prévoit des protections spécifiques pour les personnes qui signalent des vulnérabilités. En vertu de l’article 40 du code de procédure pénale, une personne de bonne foi qui informe l’autorité nationale de sécurité des systèmes d’information sur une vulnérabilité n’est pas soumise à l’obligation de dénonciation. Cela signifie qu’elle ne sera pas tenue de transmettre des informations au procureur de la République, ce qui protège son identité et ses intentions. De plus, l’autorité garantit la confidentialité de l’identité de la personne ayant transmis l’information ainsi que des conditions de cette transmission.

Comment l’autorité gère-t-elle les signalements de vulnérabilités ?

L’autorité en charge du traitement des signalements peut effectuer des opérations techniques nécessaires pour évaluer le risque ou la menace signalée. Ces opérations visent à caractériser la vulnérabilité afin d’avertir l’hébergeur, l’opérateur ou le responsable du système d’information concerné. Cela permet une réaction rapide et appropriée face aux menaces potentielles, contribuant ainsi à la sécurité des systèmes d’information. L’approche proactive de l’autorité est essentielle pour minimiser les risques associés aux failles de sécurité.