Tronc commun / CEJM / CEJMA : SI, RGPD, NIS 2

CEJMA : SI, RGPD, NIS 2 et responsabilités

Le système d'information des organisations, la protection des données personnelles (RGPD), la cybersécurité des entités essentielles (NIS 2) et les quatre responsabilités juridiques en cas d'incident.

1. Les organisations et le numérique

Une organisation désigne aussi bien une entreprise qu'une association. Elles s'appuient de plus en plus sur :

• les technologies numériques : intelligence artificielle (IA), cloud, objets connectés (IoT) ;
• les données, en très grande quantité : le big data.

2. Le système d'information

Le système d'information (SI) est un ensemble organisé de ressources (matériel, logiciels, procédures, personnel) qui permet de collecter, traiter, stocker et diffuser l'information dans une organisation.

• Le DSI (directeur des systèmes d'information) pilote le SI.
• Le RSSI (responsable de la sécurité des systèmes d'information) en assure la sécurité.

Les quatre verbes du SI (collecter, traiter, stocker, diffuser) tombent souvent en question de définition.

3. Les GAFAM

GAFAM = Google, Apple, Facebook (Meta), Amazon, Microsoft : les géants américains du numérique. On y ajoute souvent Tesla et Nvidia.

Par leur taille, ils dominent leurs marchés, collectent énormément de données et posent des questions de concurrence, de protection des données et de dépendance des organisations : d'où les règles européennes (RGPD, NIS 2, AI Act).

4. Le RGPD

RGPD = Règlement général sur la protection des données, appliqué depuis le 25 mai 2018 dans toute l'Union européenne.

Les principes à respecter pour traiter des données personnelles :

• licéité, loyauté et transparence : un traitement légal, et la personne sait ce qu'on fait de ses données ;
• finalité déterminée : on collecte pour un but précis, annoncé à l'avance ;
• minimisation : seulement les données nécessaires à ce but ;
• limitation de la conservation : une durée de conservation limitée ;
• sécurité et confidentialité des données ;
• responsabilité (accountability) : pouvoir prouver sa conformité, avec un registre des traitements et un DPO (délégué à la protection des données).

En cas de violation de données (data breach) : prévenir la CNIL sous 72 heures, et les personnes concernées si le risque pour elles est élevé.

Sanctions : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu.

5. NIS et NIS 2

NIS = Network and Information Security. La directive européenne NIS 2 (adoptée fin 2022) renforce la cybersécurité des entités essentielles et importantes : hôpitaux, ministères, énergie, transports, etc.

Ces entités doivent gérer leurs risques cyber et déclarer leurs incidents. En France, c'est l'ANSSI qui contrôle l'application de NIS 2 (comme la CNIL pour le RGPD).

6. Les responsabilités juridiques

Après un incident (fuite de données, panne, cyberattaque), une organisation peut engager quatre types de responsabilité :

• Responsabilité civile contractuelle, envers ses clients et partenaires : elle n'a pas tenu ses engagements prévus au contrat, par exemple un SLA (Service Level Agreement, accord de niveaux de service).
• Responsabilité civile délictuelle, envers des tiers victimes avec qui elle n'a pas de contrat (article 1240 du Code civil : celui qui cause un dommage par sa faute doit le réparer).
• Responsabilité administrative : sanctions d'une autorité de contrôle, la CNIL pour le RGPD, l'ANSSI pour NIS 2.
• Responsabilité pénale des dirigeants : en cas de négligence ou de non-déclaration d'un incident.

Côté attaquant, l'article 323-1 du Code pénal punit l'accès ou le maintien frauduleux dans un système informatique, même sans dégât.

Contrat signé = civile contractuelle. Pas de contrat avec la victime = civile délictuelle. Une autorité qui sanctionne = administrative. Le dirigeant poursuivi en justice = pénale.