Amendement n° 201 — ARTICLE 17

Compléter l’alinéa 12 par la phrase suivante :

« Lorsque l’incident a causé ou est susceptible de causer l’extraction de données à caractère personnel, l’information du public comporte une présentation claire des risques d’usurpation d’identité et d’hameçonnage ciblé qui peuvent en résulter pour les personnes concernées, des précautions qu’elles peuvent prendre et du dispositif national d’assistance aux victimes d’actes de cybermalveillance. »

Les fuites massives de données se multiplient : organismes sociaux, opérateurs et, cet été encore, la direction générale des finances publiques, dont le système d’information a fait l’objet d’accès illégitimes. Ces données alimentent l’usurpation d’identité et les escroqueries par hameçonnage ciblé, qui surviennent souvent des mois après l’incident. Les victimes reçoivent pourtant un message laconique qui ne leur dit ni quels risques elles courent, ni quoi faire, ni vers qui se tourner.

L’article 17 permet à l’ANSSI, lorsque la divulgation d’un incident est dans l’intérêt public, d’exiger de l’entité qu’elle informe le public ou de le faire elle-même. Le présent amendement du groupe Horizons & Indépendants garantit que cette information soit utile : risques encourus, bons réflexes, orientation vers Cybermalveillance.gouv.fr.

Rattaché à ce pouvoir de l’autorité publique, il ne crée pas d’obligation nouvelle à la charge des entités au-delà de la directive, dont il met en œuvre l’article 23, paragraphe 7. Il ne modifie pas non plus le contenu de la communication aux personnes concernées prévue par l’article 34 du RGPD, que le droit national ne peut pas modifier. Il s’applique également lorsque la victime de l’incident est une administration de l’État.