Mme Mélanie Thomin (SOC). C’est d’autant plus grave que nous sommes en train de débattre d’une loi de programmation militaire. (MM. Ugo Bernalicis et Antoine Léaument applaudissent.) Notre réflexion se doit d’être à la hauteur des enjeux. Posons-nous les bonnes questions : les intérêts économiques priment-ils sur les intérêts de notre défense ? Il me semble indispensable de bien faire le distinguo, et vos propos entretiennent une certaine confusion.
M. Philippe Latombe (DEM). Je comprends la logique de ces amendements, qui soulèvent plusieurs questions, notamment celle de l’imbrication entre les logiciels libres et ceux des éditeurs commerciaux. Se pose aussi la question de la vitesse de divulgation des failles, dans la mesure où, si on ne dispose pas des correctifs, cette divulgation devient problématique, d’autant que je vous entends lorsque vous dites que l’argument de la réputation ne tient pas face aux risques pour la sécurité nationale que présenterait la révélation de failles pour lesquelles on ne dispose pas de correctif.Cela étant, je pense que nous devons suivre la rapporteure pour avis et considérer que les choses doivent rester en l’état dans la LPM, quitte à compléter ensuite le dispositif au niveau européen, avec la directive NIS 2 (Network and Information Security). On pourrait, par exemple, envisager un système de déclaration commun, sachant que certains logiciels commercialisés en France peuvent provenir d’éditeurs soumis au droit néerlandais. Il est donc important d’envisager des solutions de traitement de l’information coopératives, impliquant les différentes autorités nationales concernées, à l’instar de ce que nous avons fait avec le règlement général sur la protection des données (RGPD). En outre, dans le cadre européen, la menace de sanction est beaucoup plus forte du fait de l’extraterritorialité.Sans être hostile sur le principe à la logique de ces amendements, je pense qu’il serait bon que nous soyons au clair sur les vulnérabilités, les backdoors – sans parler de Palentir, entouré d’une certaine opacité –, et que le bon vecteur en la matière est NIS 2. Si jamais la directive faisait l’impasse sur le sujet, alors nous l’inscririons dans le droit national afin de donner à l’Anssi un pouvoir de sanction administratif – je rejoins ici ce qu’a dit Ugo Bernalicis : les sanctions administratives ne sont pas l’apanage des autorités administratives indépendantes, comme le montre l’exemple de la DGCCRF. Cela étant, mieux vaut quand c’est une autorité administrative indépendante. (MM. Éric Martineau, Mounir Belhamiti et Aurélien Lopez-Liguori applaudissent.)
Mme la présidente (SOC). La parole est à Mme la rapporteure pour avis.
Mme Sabine Thillaye (DEM). Madame Thomin, je ne place absolument pas les intérêts commerciaux avant la défense et la sécurité nationale,…
M. Erwan Balanant (DEM). En effet, ce n’est pas ce que Mme la rapporteure pour avis a dit !
Mme Sabine Thillaye (DEM). …j’ai simplement parlé d’équilibre. Une entreprise n’a aucun intérêt à commercialiser un produit défectueux, c’est du simple bon sens.
M. Antoine Léaument (LFI-NUPES). Ce n’est pas vrai ! Même Philippe Latombe n’est pas d’accord avec vous !
Mme Sabine Thillaye (DEM). Nous voulons procéder par étapes, en appliquant d’abord le name and shame et, si ce n’est pas suffisant, en venir aux sanctions. Et puis, comme l’a dit notre collègue Latombe, beaucoup de sujets devront être traités au niveau européen.
M. Jean-Noël Barrot. J’apporte une précision à la représentation nationale avant le vote. Si elle pratique le name and shame, l’Anssi ne le fera pas en dévoilant à tous les vents la nature des failles d’un logiciel pour inviter tout le monde à s’y engouffrer ;…
M. Jean-Noël Barrot. …si une entreprise a omis de signaler des failles auprès de l’Anssi comme le prévoit l’article 34 de la loi de programmation militaire, celle-ci rendra simplement publique la vulnérabilité de tel logiciel, sans entrer dans les détails, afin de ne pas donner du grain à moudre à de potentiels assaillants.
(Les amendements identiques nos 838 et 994 ne sont pas adoptés.)
Mme la présidente (SOC). Voici le résultat du scrutin : Nombre de votants 68 Nombre de suffrages exprimés 55 Majorité absolue 28 Pour l’adoption 13 Contre 42
(L’amendement no 176 n’est pas adopté.)
Mme la présidente (SOC). La parole est à Mme Mélanie Thomin, pour soutenir l’amendement no 175.
Mme Mélanie Thomin (SOC). Il propose une mesure d’efficacité. Le texte indique que, lorsqu’une faille survient dans le logiciel, les utilisateurs professionnels devront en être informés. Nous proposons la suppression du terme « professionnels », d’ailleurs ajouté en commission, car nous considérons que nos réseaux informatiques constituent une chaîne et que tous les utilisateurs, professionnels comme non professionnels, doivent être informés. Les ordinateurs des particuliers peuvent faire l’objet de contaminations et, à l’heure du télétravail, la sécurité des systèmes d’information devient l’affaire de tous, compte tenu de l’interconnexion des différents réseaux de communication. Il est donc dans l’intérêt collectif que tout utilisateur, professionnel ou non professionnel, d’un logiciel présentant une faille de sécurité soit informé de celle-ci.
Mme Sabine Thillaye (DEM). Si la commission a tenu à préciser que seuls étaient concernés les utilisateurs professionnels, c’est que ce sont précisément eux les acteurs ciblés par les dispositifs que nous instituons dans le cadre de la défense et de la sécurité nationale. Avis défavorable.
M. Jean-Noël Barrot. Le Gouvernement présente un projet de loi, le Parlement s’en saisit ; la rapporteure pour avis et les membres de la commission ont mené des auditions pour confronter le texte du Gouvernement à l’épreuve du réel. Cela leur a permis d’en élaborer la rédaction et, en l’occurrence, d’apporter cette restriction aux seuls utilisateurs professionnels.
M. Philippe Latombe (DEM). Je m’exprime sur cet amendement qui, s’il était adopté, ferait tomber le suivant.Nous avons voulu, en commission des lois, cibler les utilisateurs professionnels de logiciel, mais la question se pose de leur définition : qu’entend-on par professionnels ? Incluent-ils, par exemple, les groupements hospitaliers de territoire (GHT), qui n’entrent pas nécessairement dans cette catégorie au sens du code de commerce, auquel on peut être susceptible de se référer pour interpréter l’article ?En ce qui concerne néanmoins les particuliers, il existe déjà des dispositifs d’information publique, notamment parce que sont en jeu des données personnelles et que la Cnil est donc systématiquement avertie, que des procédures sont prévues et des sanctions possibles.Dans le domaine de la sécurité nationale, qui nous intéresse ici, il faut être le plus rapide possible et donc privilégier en premier lieu l’information des professionnels déjà utilisateurs du logiciel, voire les entreprises d’infogérance qui utilisent des logiciels tiers et les modifient pour le compte d’autres professionnels.La rédaction actuelle permet donc d’englober l’ensemble de la chaîne et d’aller le plus vite possible pour éviter que les failles de sécurité se démultiplient et soient massivement utilisées. Quant aux particuliers, ils bénéficient d’autres canaux d’information, beaucoup plus précis et plus efficaces, que nous avions instaurés par souci d’efficacité.
(L’amendement no 175 n’est pas adopté.)
Mme la présidente (SOC). La parole est à M. Philippe Latombe, pour soutenir l’amendement no 1670.
M. Philippe Latombe (DEM). C’est un amendement d’appel, demandant que le Gouvernement précise bien ce que recouvre le terme « professionnels » et qu’on ne s’en tienne pas à la stricte définition du code de commerce.
M. Jean-Noël Barrot. Monsieur Lacombe, je vous confirme que la rédaction est suffisamment générale pour couvrir tous les utilisateurs professionnels, qu’il s’agisse d’organisations privées ou publiques. En l’occurrence, les hôpitaux et les collectivités territoriales sont donc bien inclus dans le champ de l’article.
M. Ugo Bernalicis (LFI-NUPES). Il ne faut oublier personne car il y va de la portée de la coercition pouvant peser sur les éditeurs de logiciels. Puisque vous avez refusé les sanctions financières pour défaut de communication d’une vulnérabilité, il faut à tous le moins que les éditeurs en informent les utilisateurs ou, à défaut, l’Anssi.Il ne faudrait donc pas que la rédaction actuelle rate la cible, et c’est la raison pour laquelle, en commission, je faisais partie de la minorité qui aurait préféré que l’on se réfère à tous les utilisateurs. Il n’y a pas toujours de consensus dans la fabrique de la loi, et il arrive que le débat recommence dans l’hémicycle, où le rapport de force n’est pas nécessairement le même qu’en commission – regardons ce qui s’est produit hier en commission des affaires sociales… Il me semble que vous tombez là dans votre propre piège, avec cette définition rabougrie. J’espère qu’il ne nous faudra pas une question prioritaire de constitutionnalité pour apprendre quelle est la définition exacte d’un professionnel.
(L’amendement no 1670 est retiré.)
Mme la présidente (SOC). Sur l’article 34, je suis saisie par le groupe Démocrate (MODEM et indépendants) d’une demande de scrutin public.Le scrutin est annoncé dans l’enceinte de l’Assemblée nationale.La parole est à Mme Emmanuelle Ménard, pour soutenir l’amendement no 847 rectifié.
Mme Emmanuelle Ménard (NI). Mon intervention sera courte, car il s’agit d’un amendement très simple ayant pour objet de contraindre les éditeurs de logiciels à transmettre dans les plus brefs délais les informations nécessaires pour assurer la sécurité des données sensibles. L’amendement vise ainsi à introduire la notion d’immédiateté à l’article 34, en imposant aux éditeurs d’agir « dès que » leurs produits sont affectés ou susceptibles de l’être par une vulnérabilité significative.
Mme Sabine Thillaye (DEM). Même avis défavorable, ma chère collègue, que pour votre amendement no 1121 qui visait à rendre automatiques les mesures prévues à l’article 32. Il convient en effet de laisser de la flexibilité à l’Anssi et aux éditeurs dans leur réponse aux actes malveillants.
Mme Emmanuelle Ménard (NI). Il me semble que les mots « dès que » laissent de la flexibilité, étant donné qu’ils ne veulent pas dire « à la seconde où ». Cet amendement me paraît de bon sens et contenir une formulation offrant une meilleure réponse aux préoccupations de sécurité vis-à-vis des éditeurs de logiciels.
(L’amendement no 847 rectifié n’est pas adopté.)
Mme la présidente (SOC). Je suis saisie de deux amendements identiques, nos 1634 et 1673.La parole est à Mme Clara Chassaniol, pour soutenir l’amendement no 1634.
Mme Clara Chassaniol (RE). Il vise à préciser que le délai d’information fixé par l’Anssi est pris selon certains critères, en l’occurrence les risques pour la sécurité nationale, l’urgence et le temps nécessaire pour prendre les mesures correctives. L’objectif est ici d’encadrer la décision de l’Anssi, afin de garantir que le délai d’information soit fixé non pas de manière discrétionnaire selon les éditeurs, mais bien de façon cohérente en fonction de certains critères, en vue d’un égal traitement des éditeurs par l’Anssi en matière d’obligations.
Mme la présidente (SOC). La parole est à M. Philippe Latombe, pour soutenir l’amendement no 1673.
M. Philippe Latombe (DEM). En complétant les propos de notre collègue Chassaniol, je répondrai aussi à l’amendement no 847 rectifié.Nous avons une vraie difficulté de temporalité. S’il faut en effet que l’Anssi ne traite pas les éditeurs de manière discriminatoire, ce qui suppose un encadrement, il faut aussi qu’un correctif soit apporté à chaque vulnérabilité car, dans le cas contraire, des attaquants seraient à même de s’en saisir : c’est ce que Mme Ménard soulevait en proposant l’ajout des mots « dès que ». Or, si nous avons besoin de correctifs, leur développement peut être plus ou moins long, ce qui nécessite de laisser de la souplesse à l’Anssi.Par ailleurs, comme je viens de le dire, il nous faut aussi garantir que les décrets d’application de la loi interdiront tout traitement discriminatoire de la part de l’Anssi. Cette question a déjà été posée, certains éditeurs peuvent avoir des liens plus étroits ou des contacts plus nombreux avec l’Anssi, ou encore avoir des employés passés par cette agence, ce qui pourrait leur permettre d’obtenir un traitement plus favorable, chose que nous cherchons donc à éviter par ces amendements. L’impératif est de nous assurer de l’applicabilité de la loi pour que les correctifs puissent être effectivement apportés. Il ne faudrait pas que des failles de vulnérabilité soient publiées dans un délai fixe, sans que les correctifs aient été apportés, car, le cas échéant, ce serait ouvrir la porte à des attaques coordonnées et massives que nous aurions pu éviter.
Mme la présidente (SOC). Quel est l’avis de la commission sur ces amendements identiques ?
Mme Sabine Thillaye (DEM). Il est favorable. Ces amendements s’inscrivent dans la continuité de nos travaux en commission et permettraient d’encadrer la fixation du délai d’information sans nuire à l’opérationnalité de la correction des vulnérabilités.
M. Jean-Noël Barrot. Je me suis exprimé tout à l’heure sur l’opportunité d’intégrer les risques pour la sécurité nationale parmi les critères d’appréciation, comme d’autres amendements sur d’autres articles ont également visé à le faire.Par ailleurs, je tiens à souligner la pertinence des propos de M. Latombe : il convient de laisser à l’Anssi une marge d’appréciation dans sa prise de décision, plutôt que de la rendre automatique – ce que certains amendements tendent à faire –, afin de garantir, grâce à cette souplesse, l’efficacité du dispositif dont il est ici question et la protection des entités concernées.
M. Jérémie Iordanoff (ECOLO). Nous soutiendrons ces amendements visant à préciser les critères selon lesquels le délai d’information sera fixé.Je souhaite également réagir aux propos de Mme la rapporteure pour avis, selon qui les entreprises n’ont pas intérêt à mettre des produits défectueux sur le marché. Pour avoir un peu travaillé dans le domaine du développement informatique, je puis vous dire qu’une très longue et très coûteuse phase de débogage suit le développement d’un logiciel. De nombreuses entreprises mettent donc sur le marché des produits en sachant pertinemment qu’ils comprennent des failles de sécurité très importantes.
M. Jérémie Iordanoff (ECOLO). C’est par exemple l’habitude de Microsoft. Pour proposer des logiciels à des prix moins élevés, les éditeurs font pour ainsi dire accomplir le débogage par les utilisateurs, un signalement parvenant automatiquement aux entreprises après chaque dysfonctionnement et leur permettant de prendre connaissance des failles de sécurité. Le délai d’information dont nous parlons pourrait donc être très important, car la phase de débogage peut s’étendre sur un ou deux ans. Je le répète, pour des raisons économiques, les éditeurs n’ont pas toujours intérêt à mettre sur le marché des logiciels sûrs. (Applaudissements sur quelques bancs du groupe LFI-NUPES.)
(Les amendements identiques nos 1634 et 1673 sont adoptés.)
Mme la présidente (SOC). Je suis saisie de deux amendements identiques, nos 839 et 996.La parole est à Mme Martine Etienne, pour soutenir l’amendement no 839.
Mme Martine Etienne (LFI-NUPES). Nous restons sur le même thème. Ces amendements visent à obliger l’Anssi à enjoindre aux éditeurs de logiciels d’informer leurs utilisateurs en cas de vulnérabilité ou d’incident compromettant la sécurité de leurs systèmes d’information.Collègues, nous avons, tous, certainement, été déjà victimes de fuites de mot de passe, parfois même sans que nous en ayons été informés par les entreprises concernées. Or, aux termes du projet de loi, monsieur le ministre délégué, vous souhaitez qu’il soit simplement possible d’enjoindre aux éditeurs de logiciels de communiquer l’existence d’une faille. En ce qui nous concerne, nous estimons que ces derniers doivent être obligatoirement enjoints de le faire. J’insiste, l’Anssi doit systématiquement – et non éventuellement – rendre public un incident ou une vulnérabilité affectant la sécurité d’un produit lorsque son éditeur n’en informe pas ses utilisateurs. On ne doit pas jouer avec les données des citoyens et l’Anssi ne doit pas contribuer à ce Far West de la data dans lequel nous n’avons aucun contrôle.
Mme la présidente (SOC). La parole est à M. Ugo Bernalicis, pour soutenir l’amendement no 996.
M. Ugo Bernalicis (LFI-NUPES). Nous sommes ici dans un cas de figure où une faille de vulnérabilité a été constatée et, je l’espère, communiquée à l’Anssi. Celle-ci doit donc, aux termes des amendements que nous venons d’adopter, fixer un délai à l’éditeur concerné pour qu’il fournisse un correctif et informe ses utilisateurs professionnels de cette faille. Voilà où nous en sommes. Or imaginons que, patatras, l’éditeur du logiciel ne fasse pas ce que lui a demandé l’Anssi : dans ce cas, l’Agence peut, je dis bien peut, c’est-à-dire éventuellement, faire elle-même ce que l’éditeur a refusé. Eh bien non ! Si l’Anssi a demandé à l’éditeur d’informer ses utilisateurs professionnels dans un certain délai, c’est qu’elle le jugeait utile, pertinent et nécessaire.
M. Ugo Bernalicis (LFI-NUPES). Et si l’éditeur refuse d’agir, l’Anssi doit donc le faire à sa place. C’est d’ailleurs pour cette raison que l’entreprise comprendra qu’il vaut mieux agir elle-même, plutôt que d’être tributaire d’une communication de l’Anssi.J’insiste, la possibilité d’agir à la place de l’éditeur n’est pas suffisante, surtout eu égard à ses capacités de négociation – ce qui nous fait revenir à la discussion précédente –, celles-ci dépendant de la taille de l’entreprise, de ses relations avec l’Anssi, voire avec l’État, ou encore de la présence en son sein de personnes ayant travaillé à l’Anssi par le passé : les choses de la vie, en somme. Voilà pourquoi nous préférerions nous prémunir contre la décision potentiellement arbitraire de publier ou de ne pas publier une vulnérabilité, alors même que l’Anssi – une fois de plus je ne fais que reprendre les termes du texte et des amendements que nous examinons – aurait déjà enjoint à l’éditeur de le faire.
Mme la présidente (SOC). Quel est l’avis de la commission sur ces amendements identiques ?
Mme Sabine Thillaye (DEM). J’estime pour ma part qu’une publication obligatoire rigidifierait trop le texte. Comme précédemment, il faut laisser un peu de latitude à l’Anssi pour apprécier les vulnérabilités et prendre ses décisions en conséquence. En commission, nous avons adopté un amendement de notre collègue Belhamiti visant à ce que le délai d’information des utilisateurs soit déterminé par l’Anssi. Et nous venons d’adopter les amendements nos 1634 et 1673 qui viennent préciser que ce délai dépend de l’urgence, des risques pour la sécurité nationale – je rappelle à nouveau que nous examinons une LPM – et du temps nécessaire aux éditeurs pour prendre les mesures correctives. Il est préférable d’apprécier concrètement ce qu’il convient de faire, en fonction de l’ampleur de l’incident et de la vulnérabilité. J’émets donc un avis défavorable sur ces amendements identiques.
M. Ugo Bernalicis (LFI-NUPES). Je ne résiste pas, madame la présidente, à la tentation de réagir aux propos de Mme la rapporteure pour avis, selon qui les obligations obligatoires sont tout de même rigides. (Sourires sur les bancs des groupes LFI-NUPES et Écolo-NUPES.) J’en conviens, les obligations facultatives sont plus souples. Je ne savais pas que nous étions en cours de yoga parlementaire ! (Mêmes sourires.) Une chose est sûre : je dois encore travailler ma souplesse.
M. Ugo Bernalicis (LFI-NUPES). Une fois de plus, votre raisonnement ne tient pas. Nous sommes dans le cas où un éditeur, après avoir été enjoint par l’Anssi d’avertir dans certains délais ses utilisateurs professionnels d’une vulnérabilité et de fournir le correctif adapté, ne le fait pas. Or si elle le lui a demandé, c’est que c’était pertinent, ou alors c’est que quelque chose ne tourne pas rond dans ma tête ou dans le raisonnement.
M. Ugo Bernalicis (LFI-NUPES). Si l’Anssi a estimé pertinent d’enjoindre à une entreprise d’informer ses utilisateurs d’une faille et que cette entreprise fait défaut, il faut que cette communication soit obligatoirement faite par l’Agence car, dans le cas contraire, votre dispositif ne serait qu’un pétard mouillé !
M. Ugo Bernalicis (LFI-NUPES). Le dispositif ne servirait à rien ! Dès lors, autant ne rien prévoir du tout, car cela reviendrait au même. Les choses ne relèveraient alors que du dialogue normal entre une administration et ses usagers et il existe déjà un code des relations entre le public et l’administration. J’insiste : pourquoi alourdirions-nous la loi avec des dispositions indiquant que les gens peuvent discuter entre eux ? Ils le peuvent évidemment.Il convient donc de verrouiller les choses formellement. Une marge d’appréciation est déjà laissée à l’Anssi dans le début de l’alinéa 6 : au bout du compte, il faut tout de même prévoir un couperet. Vous avez refusé l’introduction de sanctions financières, monsieur le ministre délégué, au motif que les entreprises font déjà face à un risque réputationnel, mais si ce dernier peut être lui-même sujet à discussion et à négociation, je répète qu’il n’y a plus rien ! Chacun fait alors comme il veut, à la bonne franquette, en fonction de son entregent et de son réseau, notamment dans les administrations.Je ne suis pas d’accord avec les obligations facultatives. Si vous voulez faire du yoga, il y a des cours bien meilleurs qu’à l’Assemblée nationale.
M. Jean-Noël Barrot. Nous commençons à faire le tour du débat. En réalité, les choses ne sont pas aussi simples que vous le dites. Cela a été évoqué, des questions se posent au sujet des mesures correctives, sachant que des problèmes de coordination entre éditeurs peuvent aussi avoir lieu, ce qui suppose donc que des marges d’appréciation soient laissées à l’Anssi au moment de donner une injonction à une entreprise.
M. Ugo Bernalicis (LFI-NUPES). C’est déjà réglé par le début de l’alinéa 6 !
M. Jean-Noël Barrot. Si ce n’est déjà fait, je vous invite à auditionner les représentants de l’Anssi, car celle-ci fait montre d’une grande diligence, d’une grande réactivité chaque fois qu’elle est informée d’attaques contre les autorités, les OIV – opérateurs d’importance vitale –, les OSE – opérateurs de services essentiels. Ainsi enjoindra-t-elle à un éditeur d’informer sur une vulnérabilité dont elle aurait eu connaissance et qui le nécessiterait,…
M. Jean-Noël Barrot. …sachant que, à défaut, elle pourra exercer cette capacité qui lui est conférée de faire elle-même la publicité de la vulnérabilité en question. J’estime que nous avons ainsi un ensemble cohérent, suffisamment contraignant, car impliquant un risque réputationnel pour les éditeurs, qui seront incités à répondre aux injonctions de l’Anssi, tout en laissant des marges d’appréciation suffisantes à l’Agence pour ne pas aggraver la situation lorsque survient une vulnérabilité.
M. Ugo Bernalicis (LFI-NUPES). C’est déjà résolu par le début de l’alinéa 6 !
(Les amendements identiques nos 839 et 996 ne sont pas adoptés.)
Mme la présidente (SOC). La parole est à M. Aurélien Lopez-Liguori, pour soutenir l’amendement no 1613.
M. Aurélien Lopez-Liguori (RN). L’article 34 vise à permettre à l’Anssi de publier les vulnérabilités d’une entreprise. Il s’agit non seulement d’une méthode contestable, mais qui est, en outre, de nature à mettre en danger une entreprise en l’exposant potentiellement à d’autres attaques. En effet, ce serait une occasion en or pour les hackers : on leur offrirait sur un plateau d’argent une voie d’entrée dans les systèmes d’information. Ils s’en donneraient à cœur joie, puisqu’il leur suffirait de consulter les publications de l’Anssi pour disposer d’une liste d’entreprises vulnérables sur lesquelles concentrer leurs attaques.Si je comprends votre volonté d’inciter les entreprises à combler les failles de leurs systèmes, vous faites en réalité peser une épée de Damoclès au-dessus de leur tête. Le name and shame prôné par Mme la rapporteure pour avis ressemble plus à une méthode de hackers qu’à la réponse qu’un État de droit devrait apporter au problème : elle n’est pas digne d’un organisme dépendant du Premier ministre. Dans un État de droit, la constatation d’un manquement donne lieu à une sanction.Mon amendement vise à empêcher la publication par l’Anssi de la liste des entreprises présentant des vulnérabilités significatives avant qu’elles n’aient pu y remédier, la publication étant au mieux contre-productive, au pire dangereuse, puisque les failles pourraient alors être exploitées. Afin d’assurer la pénalisation des entreprises qui ne signaleraient ou ne combleraient pas leurs failles, j’ai déposé un amendement après l’article 36 prévoyant que le Gouvernement remet au Parlement un rapport portant notamment sur la définition de sanctions applicables en cas de manquement des éditeurs. Nos collègues de la NUPES proposaient une amende à hauteur de 4 % du chiffre d’affaires : nous envisagions, pour notre part, une sanction proportionnelle. Un rapport nous permettra d’identifier la sanction la plus pertinente.
Mme Sabine Thillaye (DEM). …dont l’objectif est d’informer les utilisateurs de la présence d’une faille dans le logiciel afin d’en limiter les victimes. Il est bien entendu que, parallèlement à cette publication, l’Anssi, en lien avec l’éditeur victime de l’attaque, travaille à combler la faille. Votre amendement conduisant à affaiblir le dispositif, j’émettrai un avis défavorable.
M. Jean-Noël Barrot. Tout à l’heure, l’Assemblée a rejeté des amendements qui prévoyaient que l’Anssi publie systématiquement la liste des entreprises présentant des vulnérabilités. Comme Mme la rapporteure pour avis, j’ai alors indiqué que, pour faire échec à la menace, il pouvait parfois être plus habile et intelligent de ne pas dévoiler les failles, ou de ne le faire que partiellement. Conserver une marge d’appréciation me semblait important. En empêchant toute publication tant que les failles ne sont pas comblées, votre amendement risque d’encourager les éditeurs, dont la réputation n’est alors plus compromise, à ne pas mettre tout en œuvre pour y remédier – c’est aussi le revers de la médaille du rejet des amendements précédents. Pour cette raison, j’y suis défavorable.
M. Aurélien Lopez-Liguori (RN). Je comprends votre argument, monsieur le ministre délégué. Il est bien évident que, seul, cet amendement ne permet pas d’inciter les éditeurs à signaler et combler les failles de leurs systèmes, et c’est pour cette raison que j’ai déposé après l’article 36 un amendement tendant à demander un rapport sur la pénalisation des entreprises qui ne répondraient pas aux demandes de l’Anssi. La réponse d’un État de droit à ce type de manquements doit être une sanction, pas le name and shame proposé par Mme la rapporteure pour avis.
(L’amendement no 1613 n’est pas adopté.)
Mme la présidente (SOC). La parole est à Mme Anne Le Hénanff, pour soutenir l’amendement no 995.
Mme Anne Le Hénanff (HOR). Dans un souci de clarté et d’identification des acteurs concernés, il convient d’apporter un éclairage sur la notion d’éditeur de logiciel. Dès lors que son activité correspond à la définition suivante, nul ne pourra prétendre se soustraire aux dispositions du présent article : « On entend par éditeur de logiciel toute personne physique ou morale qui conçoit ou développe un produit logiciel ou fait concevoir ou développer un produit logiciel, et le met à disposition d’utilisateurs, à titre onéreux ou gratuit. » Cette définition traduit la jurisprudence rendue en la matière.
Mme Sabine Thillaye (DEM). La première définition que vous aviez proposée lors des débats en commission n’était pas pleinement satisfaisante. Cette nouvelle rédaction me paraît beaucoup plus robuste et complète : avis favorable.
M. Philippe Latombe (DEM). Il était absolument nécessaire de définir la notion d’éditeur de logiciel, et je regrette que nous ayons manqué d’occasions de le faire plus tôt, d’autant que la LPM n’est pas le meilleur véhicule législatif. Cette définition, qui sédimente la jurisprudence en la matière, est le fruit d’un beau travail légistique et sera utile pour d’autres textes, puisqu’elle permettra notamment d’imposer des obligations ou de fournir des moyens aux éditeurs de logiciels et facilitera la transposition dans le droit national de textes européens, comme la directive NIS 2.
(L’amendement no 995 est adopté.)
Mme la présidente (SOC). La parole est à M. Laurent Jacobelli, pour soutenir l’amendement no 1037.
M. Laurent Jacobelli (RN). Le débat montre bien la nécessité de définir ou de préciser les contours de l’article. L’amendement vise à préciser l’alinéa 8 en prévoyant qu’un référentiel définira les critères permettant « l’évaluation objective » – j’insiste sur ce terme – « du caractère significatif » des vulnérabilités et incidents, l’article ne faisant référence, en l’état, qu’à « des standards internationaux communément admis ». Il semble en effet difficile de demander à des entreprises de respecter certains critères de protection sans que ceux-ci soient clairement définis.
Mme Sabine Thillaye (DEM). L’amendement tend à réécrire un alinéa que j’ai déjà complété en commission : l’exposé des motifs de mon amendement précisait que parmi les standards internationaux figure le CVSS – système standardisé de notation de vulnérabilité.
M. Jean-Noël Barrot. Mme la rapporteure pour avis a rappelé à raison que des précisions avaient d’ores et déjà été apportées en commission. Néanmoins, un élément encore mériterait effectivement d’être précisé : si les critères de vulnérabilité sont effectivement encadrés par des standards internationaux, il n’existe aucune caractérisation communément admise des incidents. L’amendement suivant, déposé par Mme la rapporteure pour avis, vise à préciser que les standards internationaux ne serviront donc de grille d’évaluation que pour les vulnérabilités. Afin d’aboutir à la meilleure rédaction possible de l’article 34, je vous demande donc de bien vouloir retirer votre amendement au bénéfice de l’amendement no 1217 de Mme la rapporteure pour avis.
(L’amendement no 1037 n’est pas adopté.)
Mme la présidente (SOC). La parole est à Mme la rapporteure pour avis, pour soutenir l’amendement no 1217.
Mme Sabine Thillaye (DEM). La notion de standards internationaux n’étant pertinente qu’en matière de vulnérabilités, mon amendement tend, comme l’a indiqué M. le ministre délégué, à préciser qu’ils ne s’appliquent pas aux incidents.
(L’amendement no 1217, accepté par le Gouvernement, est adopté.)
Mme la présidente (SOC). Voici le résultat du scrutin : Nombre de votants 85 Nombre de suffrages exprimés 83 Majorité absolue 42 Pour l’adoption 81 Contre 2
M. Philippe Latombe (DEM). Lorsque, en commission, nous avons commencé l’examen de l’article 35, nous étions très défavorables à sa rédaction. Nos amendements ont notamment permis de circonscrire son application « aux seules fins de garantir la défense et la sécurité nationale » – précision indispensable, de même que le maintien, pour les agents de l’Anssi recueillant des données auprès des acteurs numériques, de la nécessité d’être assermentés, disposition dont l’article prévoyait initialement la suppression. Ainsi modifié, il est désormais acceptable, conforme à ce qu’il doit être, si bien que nous voterons contre les amendements identiques tendant à le supprimer.En revanche, monsieur le ministre délégué, il ressort de cet article que des traceurs et balises peuvent être placés « sur le système d’information […] d’un opérateur de centre de données affecté par la menace ». Or de plus en plus de centres de données sont en colocation, c’est-à-dire louent de l’espace à des tiers, ce qui pose une question d’extraterritorialité : les dispositifs permettant le recueil de données porteront-ils bien seulement sur le système d’information, par opposition aux meet-me rooms (MMR) du centre, voire à ses locataires, qui peuvent relever d’un droit extra-européen ? Il importe de confirmer que nous sommes d’accord sur ce point pour fixer la portée de l’article et ne pas risquer de créer un précédent, notamment à l’égard des entreprises françaises qui auraient besoin, aux États-Unis ou ailleurs, de solutions analogues.
Mme Anne Le Hénanff (HOR). L’article 35 prévoit de renforcer les capacités de détection des cyberattaques et l’information des victimes par divers moyens : recueil de données sur le réseau d’un opérateur de communications électroniques ou le système d’information d’un fournisseur d’accès, d’un hébergeur, d’un centre de données ; obligation pour les OIV de disposer d’un système de détection des attaques informatiques ; obligation pour les hébergeurs de données de communiquer à l’Anssi certaines informations relatives aux utilisateurs ou systèmes d’information vulnérables, menacés ou attaqués.Étant donné l’octroi à l’Anssi de ces nouvelles prérogatives, il est nécessaire de s’assurer de l’encadrement des dispositifs en cause : c’est pourquoi le groupe Horizons et apparentés se félicite que l’adoption en commission de deux de ses amendements ait garanti, d’une part, que la collecte de données par l’Anssi n’aura lieu qu’à des fins de défense et de sécurité nationale ; d’autre part qu’elle n’incombera qu’à des agents habilités et, comme le dispose le code de la défense, assermentés. Tout en demeurant vigilants, quant aux amendements proposés, en matière de clarification et de précision, nous voterons en faveur de l’article.
M. Ugo Bernalicis (LFI-NUPES). Les nouveaux pouvoirs de l’Anssi ressemblent bizarrement à ce qui se pratique en matière de renseignement : la captation de données par des boîtes noires. Certes, le mécanisme prévu par le texte est plus circonscrit, mais je ne m’en pose pas moins des questions. Sa finalité serait plutôt préventive : on nous explique qu’il ne sera mis en œuvre que tant que durera la menace, et dans le même temps que, l’Anssi ne roulant pas sur l’or, les dispositifs techniques pourraient être installés et analysés par les opérateurs eux-mêmes.Ces opérateurs auront donc à leur main un dispositif technique de captation de leurs propres données, à des fins d’analyse, alors que, pour des raisons de préservation des données personnelles des utilisateurs, ils ne sont théoriquement pas censés réaliser ces captations. Il y a donc plusieurs éléments gênants dans cet article, même si ces dispositions sont prises au motif de la sécurité nationale. Le groupe LFI-NUPES désapprouve l’attribution de nouvelles compétences et prérogatives à l’Anssi, en particulier sur le périmètre mentionné. La délégation possible de l’exploitation du dispositif de marqueurs techniques à l’opérateur porte, selon nous, une atteinte forte à la souveraineté et à la préservation des données.
Mme la présidente (SOC). Je suis saisie de trois amendements identiques, nos 177, 840 et 997, tendant à supprimer l’article 35.La parole est à Mme Mélanie Thomin, pour soutenir l’amendement no 177.
Mme Mélanie Thomin (SOC). Cet amendement d’appel vise à maintenir les missions de l’Anssi dans leur cadre actuel. Le groupe Socialistes et apparentés a, en effet, pointé plusieurs risques majeurs depuis le début des débats. Ces risques concernent les délais de conservation des données, la capacité de contrôle donnée à l’Arcep, autorité indépendante en laquelle nous plaçons évidemment nos espoirs, et l’absence de précisions concernant le recours au juge administratif suivant la procédure du référé-liberté.Or nous constatons que les garanties que nous vous proposons depuis le début de nos débats ne sont jamais retenues. L’extension des pouvoirs de l’Anssi revêt donc une portée incertaine en termes de capacité et de moyens. Elle pourrait être bénéfique mais, lorsque nous pointons de réels sujets d’inquiétude en matière de droits et de libertés, vous ne faites pas preuve d’esprit de coopération. Nous avons, en revanche, le sentiment que vous montrez une certaine complaisance à l’égard du monde économique, au détriment de nos enjeux de sécurité. La défense du présent amendement de suppression nous donne l’occasion d’appeler à la vigilance non seulement les citoyens mais aussi le Conseil constitutionnel.
Mme la présidente (SOC). La parole est à M. Antoine Léaument, pour soutenir l’amendement no 840.
M. Antoine Léaument (LFI-NUPES). Celui-ci n’est pas un amendement d’appel, c’est bien un amendement de suppression de l’article ! Nous considérons en effet que l’article 35 élargit dans une trop grande mesure les pouvoirs donnés à l’Anssi et désapprouvons surtout – c’est le point le plus problématique pour nous – le fait que ce soient les opérateurs qui placent des dispositifs de collecte de données puis les transmettent, sur saisie de l’Anssi. Cela nous semble illogique, d’autant plus que d’autres modes de fonctionnement pourraient sans doute être envisagés.Je profite de l’occasion pour vous signaler dès à présent un problème de cohérence dans le texte : à l’alinéa 13, il est indiqué « Ces données ne peuvent être exploitées qu’aux seules fins de caractériser la menace affectant la sécurité de ces systèmes, à l’exclusion de toute autre exploitation. Elles ne peuvent être conservées plus de dix ans. »
M. Antoine Léaument (LFI-NUPES). Je sais bien qu’un amendement à venir pourrait modifier la durée ! Je me permettais simplement de signaler, de façon un peu habile, que l’on en revient à l’incohérence signalée précédemment s’agissant de la conservation des données.
Mme la présidente (SOC). La parole est à M. Ugo Bernalicis, pour soutenir l’amendement no 997.
M. Ugo Bernalicis (LFI-NUPES). Alinéa après alinéa, l’article 35 pose problème en de multiples endroits ! Le dispositif est censé être préventif, alors qu’il est circonscrit à l’existence d’une menace, ce qui est contradictoire. Des garanties sont données quant à la durée des mesures – on parle à l’article 32 de deux mois – et quant à la nécessité de les reconduire, mais elles ne correspondent pas à la logique préventive qui est affichée. Les marqueurs techniques devant capter les données ne sont pas précisément définis. On nous indique que les données personnelles seront détruites, car ce ne sont pas celles que l’on recherche mais, encore une fois, comment faire la distinction entre ce qui est personnel et ce qui ne l’est pas ? Ce n’est pas toujours aussi évident qu’on veut bien le croire. Les données seront conservées cinq ans et non pas dix si, comme je l’imagine, l’amendement de Mme Thomin est adopté tout à l’heure par cohérence – bien que nous ne soyons pas à l’abri d’une incohérence !Par ailleurs, les fournisseurs d’accès à internet exploiteront eux-mêmes les captations de données qu’ils auront réalisées sur commande de l’Anssi et, cerise sur le gâteau, le texte mentionne encore les surcoûts : il ne faudrait tout de même pas que la sécurisation des systèmes d’information coûte de l’argent aux opérateurs !Tout cela n’est pas acceptable ! Vous ne pouvez pas élargir les prérogatives de l’Anssi sans nous démontrer la nécessité de le faire. En théorie, lorsque l’on prend des mesures attentatoires à plusieurs libertés – y compris celle d’entreprendre –, on explique pourquoi et l’on ne se contente pas d’évoquer une éventuelle menace ! Nous réfutons non seulement l’objectif de l’article 35 mais aussi ses dispositions concrètes : à mesure que l’on égrène les alinéas, de nouveaux problèmes surgissent. Nous demandons donc sa suppression et refusons que les prérogatives actuelles de l’Anssi soient élargies.
Mme Sabine Thillaye (DEM). Il ne me semble pas inutile de rappeler l’objectif de l’article 35, les garanties prévues dès la version originale du texte et celles qui ont été introduites en commission des lois. L’article 35 vise à compléter le dispositif actuel qui permet déjà à l’Anssi, depuis la dernière loi de programmation militaire, de recourir à des marqueurs techniques pour obtenir, pendant une durée limitée, des informations sur les flux entrants et sortants d’une machine contrôlée par un cyberattaquant lorsque cette attaque constitue une menace pour les intérêts du pays. La collecte de ces informations purement technique est utile mais suppose que l’Anssi connaisse en amont les modes opératoires utilisés par les attaquants. Cet article vise ainsi à rendre possible le renforcement des capacités de détection d’attaques à l’encontre des systèmes d’information des autorités publiques et des opérateurs stratégiques en permettant à l’Anssi, en cas de menace grave, de mettre en œuvre des dispositifs de recueil de données.Je peux comprendre que ces dispositifs interrogent et que l’on ait besoin de garanties. L’Anssi estime qu’environ cinquante copies de serveurs pourraient être faites par an, ainsi qu’une vingtaine de captations de flux réseau : ces chiffres paraissent proportionnés au regard de l’objectif de lutte contre les menaces sur la sécurité nationale.J’en viens aux garanties prévues. Il y a d’abord un ciblage préalable de la machine compromise faisant objet de la copie : concrètement, l’Anssi devra motiver sa demande. Est ensuite prévu un contrôle de l’application de ces nouvelles mesures par l’Arcep, qui sera saisie en amont de tout enclenchement du dispositif et pourra, si elle l’estime fondé, refuser à l’Anssi l’engagement de la procédure. Par ailleurs, la durée de conservation des données utiles a été réduite à deux ans au lieu de dix ans dans le dispositif actuel, et les demandes ne portent que sur le périmètre d’opérateurs présentant une sensibilité particulière – autorités publiques, OIV, OSE – pour une durée limitée et avec pour finalité la prévention et la caractérisation des menaces. Les données ne seront obtenues et exploitées que par des agents individuellement désignés et spécialement habilités, et la destruction immédiate des données par l’Anssi est prévue par notre droit.La commission de lois a introduit des garanties supplémentaires, d’une part en exigeant des précisions sur le type de données faisant l’objet d’un recueil, d’autre part en prévoyant la consultation de la Cnil avant la publication du décret. Elle a également maintenu l’assermentation des agents chargés de l’opération de recueil et circonscrit l’utilisation de l’article aux situations les plus graves, menaçant la défense et la sécurité nationale.Pour toutes ces raisons, estimant que nous sommes parvenus à un équilibre, j’émets un avis défavorable sur les amendements de suppression de l’article.
M. Jean-Noël Barrot. Mme la rapporteure pour avis a bien rappelé l’objectif poursuivi par l’article et les améliorations apportées en commission ; je n’y reviendrai pas. Je voudrais simplement souligner que, comme vous le savez, ce dispositif trouve son origine dans les leçons tirées du dispositif prévu par la loi de programmation militaire précédente. Deux raisons expliquent la rédaction de cet article. D’abord, il était déjà prévu que l’Anssi puisse donner des marqueurs techniques, c’est-à-dire des adresses IP, aux opérateurs de communications électroniques qui sont eux-mêmes opérateurs d’importance vitale, si ces derniers en manifestaient la volonté. Or l’expérience a montré qu’un seul de ces opérateurs était entré dans une démarche de coopération active avec l’Anssi. C’est ainsi qu’est née l’idée de rendre cette coopération obligatoire.Deuxièmement, l’évolution de la menace a conduit à proposer que l’Anssi, après avoir sollicité l’avis conforme de l’Arcep – les travaux en commission ayant permis d’affiner le dispositif de contrôle –, de placer des balises devant des serveurs compromis ou utilisés pour mener des attaques à l’encontre des autorités, des OIV et des OSE. Ces balises ne pourront donc être posées que sur des serveurs physiquement localisés sur le territoire national, de telle sorte que cette mesure ne présente pas de caractère extraterritorial.S’agissant du point soulevé par M. Latombe, le dialogue engagé par l’Anssi avec les détenteurs des équipements, sous le contrôle de l’Arcep, permettra de résoudre les problèmes de colocation et de placer la balise de telle sorte qu’elle ponctionne le moins de données possible des serveurs.
Mme Anne Le Hénanff (HOR). Remettons les choses dans la perspective du projet de loi de programmation militaire. L’évolution des prérogatives accordées à l’Anssi suit l’évolution des menaces. En effet, trois nouveaux terrains de conflictualité ont été largement pris en compte par le projet de LPM : les fonds marins, l’espace et le cyber. Il est donc tout à fait normal, et même rassurant, de savoir que nous adaptons les nouvelles prérogatives de l’Anssi à ces nouveaux terrains de conflictualité.Il est choquant, par ailleurs, de sous-entendre que l’évolution des prérogatives accordées à l’Anssi serait une atteinte à la souveraineté nationale. L’Anssi, en tant que telle, représente justement, en lien avec la Première ministre, une garantie de l’autonomie stratégique de la France, de sa souveraineté numérique et de sa souveraineté nationale. Sans doute est-il nécessaire de le rappeler tant il est choquant, je le répète, de sous-entendre que l’Anssi pourrait, d’une manière ou d’une autre, attenter à la souveraineté nationale.
M. Ugo Bernalicis (LFI-NUPES). Non, non ! J’ai dit que le fait de confier la gestion de marqueurs fournis par l’Anssi à des opérateurs privés qui ne sont précisément pas l’Anssi peut soulever un problème de souveraineté. Je souhaiterais que ces marqueurs, s’ils sont mis en œuvre, soient tous gérés par l’Anssi et ses services, c’est-à-dire par le service public. Voilà ce que je dis ! Encore une fois, on va à l’économie parce que l’on n’a pas suffisamment de moyens, même s’il n’y a jamais que cinquante objectifs, et l’on préfère passer par les opérateurs privés. Or des individus pourraient s’introduire dans les locaux de ces derniers et découvrir ainsi, grâce aux marqueurs qui y sont exploités, les cibles et les objectifs de l’Anssi.Les explications du ministre délégué sont intéressantes s’agissant des objectifs, des opérateurs d’importance vitale et des balises posées devant les serveurs pour contrer les intrusions. Mais il s’agit d’un autre aspect du dispositif, qui pose beaucoup moins de problèmes. Les opérateurs voient un intérêt immédiat et direct à collaborer avec les services de l’Anssi et à bénéficier de ses capacités techniques. Les deux aspects du dispositif nous sont présentés comme indissociables, mais ils ne le sont pas ! Je répète que le dispositif présente une incohérence, qu’il vise deux objectifs qui ne sont pas identiques et que l’on essaye de nous faire avaler l’un avec l’autre.
(Les amendements identiques nos 177, 840 et 997 ne sont pas adoptés.)
Mme la présidente (SOC). La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 1271.
M. Jérémie Iordanoff (ECOLO). Avec cet amendement, je reviens une nouvelle fois sur la notion de sécurité nationale. Par dérogation, le droit de l’Union européenne autorise les États membres à utiliser les données de connexion de leurs ressortissants pour préserver la sécurité nationale mais la Cour de justice de l’Union européenne (CJUE) retient une conception très stricte de cette notion.Nous avons eu plusieurs fois le débat mais vous nous avez renvoyés, monsieur le ministre délégué, à la décision du Conseil constitutionnel, sans donner la liste de ce que recouvre cette notion. Il me semble que les hôpitaux et les collectivités locales n’en font pas partie et que cette définition ne correspond toujours pas à ce qui est attendu par l’Anssi. Pour garantir les libertés de nos concitoyens, nous avons besoin d’une définition de ce qu’on entend par sécurité nationale.
M. Jean-Noël Barrot. Nous avons eu ce débat lors de l’examen des articles précédents. Avis défavorable.
(L’amendement no 1271 n’est pas adopté.)
Mme la présidente (SOC). L’amendement no 1047 de M. Frank Giletti est défendu.
(L’amendement no 1047, repoussé par la commission et le Gouvernement, n’est pas adopté.)
Mme la présidente (SOC). Sur l’article 35, je suis saisie par le groupe Renaissance et le groupe Démocrate (MODEM et indépendants) d’une demande de scrutin public.Le scrutin est annoncé dans l’enceinte de l’Assemblée nationale.La parole est à Mme Mélanie Thomin, pour soutenir l’amendement no 178.
Mme Mélanie Thomin (SOC). La mise en œuvre de marqueurs techniques doit être soumise à un avis conforme de l’Arcep. Cette autorité administrative connaît bien notre infrastructure informatique, elle est par ailleurs un gage de sérieux et d’indépendance pour contrôler le respect de l’État de droit.
M. Jean-Noël Barrot. Contrairement aux dispositifs visés à l’alinéa 5, les éléments que l’Anssi recueillera sur le réseau d’un OCE – opérateur de communications électroniques –, par ailleurs opérateur d’importance vitale, ne sont pas des données de contenu mais des adresses IP. Lorsque cette possibilité a été donnée en 2018, sur une base volontaire, c’est un contrôle a posteriori de l’Arcep qui a été prévu : le Conseil d’État a alors jugé la disposition suffisante, estimant que le contrôle était proportionné. Son avis n’a pas varié s’agissant de l’article 35 de la LPM, qui impose en outre la coopération entre les OCE et l’Anssi.
M. Antoine Léaument (LFI-NUPES). Une nouvelle fois, j’ai du mal à comprendre pourquoi cet avis de l’Arcep vous pose problème. Certes, il doit être possible de déroger à certains droits, mais uniquement lorsque les intérêts fondamentaux de la nation, la sécurité intérieure sont en jeu. Mélanie Thomin propose simplement que la disposition soit soumise à un avis préalable et conforme de l’Arcep.S’assurer que les droits sont garantis n’est pas une mince affaire. Prenons l’article 66 de la Constitution, que chacun devrait apprendre par cœur : « Nul ne peut être arbitrairement détenu. » Pour qu’un tel droit soit garanti, il faut des moyens matériels. Sans moyens et sans autorité indépendante dans le processus de décision, les droits prévus dans la Constitution et la Déclaration des droits de l’homme et du citoyen ne sont pas effectifs. En ajoutant un acteur supplémentaire dans la prise de décision, l’amendement permet à une autre autorité de garantir les droits en donnant son avis. La garantie des droits contre l’arbitraire, je le répète, est la question centrale qui a présidé à la fondation de la nation en 1789. Si nous voulons faire les choses correctement, la garantie des droits doit être la priorité, pas un élément secondaire.
(L’amendement no 178 n’est pas adopté.)
Mme la présidente (SOC). La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 1276.
M. Jérémie Iordanoff (ECOLO). Les alinéas 5 à 8 donnent à l’Anssi la possibilité de capturer l’intégralité d’un trafic réseau – et non plus seulement les données techniques – ou de copier la totalité d’un serveur pour y rechercher des informations caractérisant une menace. Si nous proposons de supprimer ce dispositif, c’est pour deux raisons.D’abord, il n’est pas nécessaire de légiférer puisque l’Anssi dispose déjà de larges pouvoirs d’investigation, sous le contrôle de l’autorité judiciaire. C’est en tout cas ce que révèle le Gouvernement dans l’étude d’impact : pour illustrer l’utilité de l’accès de l’Anssi au contenu des machines infectées, il explique que le parquet a ouvert en 2017 une enquête de flagrance, permettant à l’Anssi de procéder à l’analyse d’un serveur. Celle-ci a permis d’identifier non seulement les victimes mais aussi les autres cibles de l’attaquant – elles étaient répertoriées sur le serveur. Il est question non pas de nier les prérogatives de l’Anssi mais de réclamer que l’autorité judiciaire continue d’exercer son contrôle.Cela nous amène à la seconde raison : le dispositif présente un risque majeur pour les libertés publiques. Certes, des garde-fous sont prévus : l’Anssi ne peut prendre ses décisions qu’après avoir recueilli l’avis conforme de l’Arcep. Pourtant, dans son avis du 9 mars 2023, l’Arcep explique qu’elle ne dispose pas des moyens d’exercer ce contrôle a priori. Si les contre-pouvoirs n’ont pas les moyens de s’exercer, il n’y a plus de garde-fous. En l’état actuel des moyens confiés à l’Arcep, le dispositif présente un risque d’atteinte grave à la liberté d’expression et de communication.
M. Jean-Noël Barrot. Vous avez raison : dès lors que de nouvelles prérogatives sont confiées à une autorité, le Gouvernement doit s’assurer qu’elle dispose des moyens nécessaires pour l’exercer. La question est bien identifiée et des discussions sont en cours avec l’Arcep.Je rappelle qu’avec ces alinéas, qu’il est important de conserver, il s’agit non pas d’organiser une forme de surveillance généralisée des flux sur internet, mais d’autoriser les agents de l’Anssi, après avis conforme de l’Arcep, à placer une balise sur des serveurs suspectés de projeter une attaque contre des autorités publiques, des opérateurs d’importance vitale ou des opérateurs de services essentiels, afin de pouvoir identifier précisément les ressorts de cette attaque. Comme vous le savez, les attaques de ce type peuvent se dérouler sur des périodes de temps relativement longues. J’ajoute que si l’Arcep est en désaccord avec les options retenues par l’Anssi, elle peut se tourner vers le Conseil d’État.
M. Jérémie Iordanoff (ECOLO). Merci pour votre réponse. J’ai bien noté que vous comptiez augmenter les moyens de l’Arcep, ce qui semble nécessaire.Toutefois, je continue à penser que le dispositif n’est pas satisfaisant : copier l’intégralité de serveurs, même en nombre relativement limité, constitue une atteinte manifeste à la vie privée puisqu’il s’agit de données personnelles. Or, on nous l’a dit cent fois pour nous expliquer qu’il ne fallait pas définir plus précisément la notion de sécurité nationale, l’Anssi ne fait pas du renseignement : c’est une agence qui est placée sous l’autorité du pouvoir exécutif, le Premier ministre en l’occurrence. On voit que la procédure contourne l’autorité judiciaire et que le garde-fou que constitue le contrôle de l’Arcep reste assez limité.
M. Philippe Gosselin (LR). Il est toujours compliqué de placer le curseur au bon endroit. Je relève cependant que le ministre délégué a parlé d’augmenter les moyens de l’Arcep, par ailleurs consacrée en tant qu’autorité administrative indépendante. Que le Gouvernement prenne un engagement ferme sur ce point sera de nature à rassurer les uns et les autres.
M. Loïc Kervran (HOR). Je tiens à rappeler la spécificité du modèle français, très protecteur car il organise la séparation entre le défensif et l’offensif, entre le civil et le militaire, entre l’Anssi et les services de renseignement. Il diffère en cela des modèles anglo-saxons. Il semble important de dire que, dans le cadre de cette loi de programmation militaire, on ne touche pas à ce qui est une garantie démocratique forte. (Mme Anne Le Hénanff et M. Jean-Louis Thiériot applaudissent.)
Mme la présidente (SOC). Sur l’amendement no 1631, je suis saisie par le groupe Renaissance d’une demande de scrutin public.Le scrutin est annoncé dans l’enceinte de l’Assemblée nationale.Je suis saisie de deux amendements identiques, nos 1277 et 1614.La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 1277.
M. Jérémie Iordanoff (ECOLO). Certes, le renseignement et la sécurité sont séparés dans le modèle français. La difficulté, ici, réside dans le fait qu’on offre des techniques de renseignement à un organisme chargé de la sécurité. Si ce n’était pas le cas, nous n’en serions pas à demander des contrôles plus forts ! Vous devez entendre que, lorsqu’un organisme, placé sous l’autorité du Premier ministre, fait du renseignement, il y a un problème de séparation des pouvoirs.
M. Ugo Bernalicis (LFI-NUPES). Vu surtout comment la séparation est respectée en ce moment !
M. Jérémie Iordanoff (ECOLO). L’amendement no 1277, de repli, prévoit que le dispositif est mis en œuvre à titre expérimental et que son évaluation, préalable à sa généralisation, fera l’objet d’un rapport. (Mme Cyrielle Chatelain et M. Antoine Léaument applaudissent.)
Mme la présidente (SOC). La parole est à M. Aurélien Lopez-Liguori, pour soutenir l’amendement no 1614.
M. Aurélien Lopez-Liguori (RN). Après avoir déposé en commission des lois un amendement de suppression de l’article 35, nous revenons en séance dans une démarche constructive. Nous défendons en effet un amendement qui vise à donner un caractère expérimental au dispositif prévoyant d’autoriser l’Anssi, qui dépend, rappelons-le, du secrétariat général de la défense et de la sécurité nationale (SGDSN), lui-même placé sous l’autorité du Premier ministre, à accéder à des données de contenu.Deux problèmes se posent. Le premier est que vos données de contenu, les miennes, celles de vos familles, seront susceptibles d’être recueillies par des opérateurs pour être transmises à un service gouvernemental, sans contrôle judiciaire préalable. Le second tient au rôle attribué à l’Arcep : l’Autorité sera-t-elle capable de contrôler la mise en place du recueil des données ? La réponse est non. C’est elle-même qui l’affirme dans l’avis qu’elle a formulé sur la loi de programmation militaire en soulignant que « son organisation et son mode de fonctionnement ne lui permettent pas d’assurer une réactivité opérationnelle courte ».Cette expérimentation permettrait de dresser un premier bilan et de déterminer, avec davantage de visibilité, si la balance entre la protection des libertés et la protection de l’ordre public n’est pas déséquilibrée.
Mme Sabine Thillaye (DEM). Donner un caractère expérimental au dispositif m’a d’abord paru être une idée très séduisante et j’ai même un temps songé à déposer un amendement similaire. Toutefois, les auditions des différents acteurs concernés m’ont montré que cela risquerait de créer une insécurité juridique, compte tenu des investissements dans les infrastructures qu’un tel projet implique.Nous serons appelés à voter sur des amendements portant sur l’évaluation des mesures contenues dans les articles 32 à 35, qui nous donneront une meilleure vision de leurs impacts.
M. Jean-Noël Barrot. Il est toujours séduisant d’expérimenter un dispositif avant de le déployer mais, en l’occurrence, l’évolution des compétences de l’Anssi que nous envisageons est le fruit de l’expérience tirée de la précédente de la loi de programmation militaire. Par ailleurs, ces modifications ont un caractère d’urgence car les Jeux olympiques et paralympiques de 2024 (JOP) provoqueront, selon les experts, un très grand nombre de tentatives d’intrusion – plusieurs dizaines de milliards. Toutes ne porteront évidemment pas atteinte à la sécurité nationale, mais certaines nécessiteront la mise en œuvre des dispositifs que vous aurez adoptés. Il est donc bon que l’Anssi, en lien avec l’Arcep et les acteurs concernés, puisse s’y préparer.Par ailleurs, le Gouvernement émettra un avis favorable sur l’amendement proposant une évaluation de la mise en œuvre des mesures prévues aux articles 32 à 35, ce qui satisfera à une partie des amendements dont nous discutons. Demande de retrait ou avis défavorable.
M. Ugo Bernalicis (LFI-NUPES). Il est certain qu’à force de couper à la serpe les budgets des autorités administratives indépendantes, on en arrive à de telles situations. L’Arcep n’est du reste pas la seule concernée. Le phénomène est généralisé. La Défenseure des droits, lors de la présentation de son rapport annuel devant la commission des lois, confessait qu’elle n’avait obtenu que 2 des 5 ETPT – équivalents temps plein travaillés – qu’elle demandait, alors même qu’il lui en faudrait 300 à 400 et que ses homologues européens disposent entre cinquante et cent fois plus d’effectifs pour des missions analogues.Tous ces dispositifs supposent une mise en œuvre par l’exécutif : or je n’ai aucune confiance en lui pour qu’il y procède dans le respect des droits fondamentaux. Aucune ! J’ai été marqué par la lecture d’un récent article de Mediapart retraçant la manière dont un adjudant-chef a pu utiliser à Matignon 300 techniques de renseignement sans suivre le circuit de validation, passant outre le contrôle censé être exercé par la CNCTR. Qu’est-il arrivé après cela ? Eh bien, il a été promu ! Voilà qui me fait vraiment peur !Je ne suis pas d’accord pour que l’on confie de telles prérogatives à un gouvernement capable de ne pas respecter les droits fondamentaux et les libertés individuelles.
M. Ugo Bernalicis (LFI-NUPES). Les systèmes de garantie dont nous disposerions et dont seraient dépourvus les pays anglo-saxons, c’est du pipeau !
(Les amendements identiques nos 1277 et 1614 ne sont pas adoptés.)
Mme la présidente (SOC). La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 1278.
M. Jérémie Iordanoff (ECOLO). Il importe de circonscrire le champ des données pouvant être collectées par l’Anssi. D’où notre ajout : « Les données collectées ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées sous quelque forme que ce soit, dans le cadre de ces communications. » Restons-en au modèle français et ne glissons pas vers le renseignement, sachant que cette collecte relève de l’exécutif. C’est un amendement de bon sens auquel vous serez, je l’espère, favorables.
Mme Sabine Thillaye (DEM). Je tiens à rappeler que l’Anssi n’est pas un service de renseignement et n’a pas vocation à valoriser de telles données. La loi prévoit à cet égard la suppression sans délai des données non pertinentes. En outre, ce sont des agents assermentés et spécialement habilités qui interviendront. La responsabilité pénale pourra donc être engagée. Je suis attachée comme vous aux libertés fondamentales. Simplement, il faudrait parfois arrêter d’être fleur bleue.
M. Ugo Bernalicis (LFI-NUPES). Nous nous méfions surtout des agissements du Gouvernement !
Mme Sabine Thillaye (DEM). Nous faisons face à des situations critiques et des menaces protéiformes, comme les réunions de la commission de la défense et des forces armées nous le montrent pratiquement chaque semaine. Nous devons trouver un équilibre. On dit parfois que l’Union européenne est un herbivore dans un monde de carnivores. Peut-être ne faudrait-il pas être trop herbivore et tenir un juste milieu ? (Applaudissements sur les bancs du groupe RE et sur quelques bancs du groupe Dem.)
M. Ugo Bernalicis (LFI-NUPES). Nous ne sommes pas fleur bleue avec ce gouvernement. Ceux qui sont fleur bleue, ce sont ceux qui croient à sa bienveillance permanente.
M. Jérémie Iordanoff (ECOLO). Merci pour votre réponse, madame la rapporteure pour avis : vous confirmez que l’Anssi n’a pas besoin de certaines données. Autant qu’elle ne les collecte pas. Il ne faudrait pas être fleur bleue, d’après vous, mais il n’y a nulle naïveté de notre part. Simplement, nous considérons que, si une copie complète doit être faite, il importe de saisir l’autorité judiciaire. Vous nous renvoyez à l’Europe herbivore. Mais que voulez-vous que nous fassions pour être efficaces ? Que l’on supprime la justice !
M. Jérémie Iordanoff (ECOLO). Notre droit prévoit l’intervention de l’autorité judiciaire. Pourquoi vouloir vous affranchir de son contrôle ? Nous voulons des raisons. Nous nous accordons tous sur le fait que le contenu des correspondances n’a pas à faire partie des données collectées. Écrivons-le dans la loi ! C’est simple. (Mme Sandra Regol applaudit.)
M. Antoine Léaument (LFI-NUPES). Je ne comptais pas intervenir mais vous êtes allée trop loin, madame la rapporteure pour avis. Vous ne pouvez pas nous dire que nous sommes fleur bleue quand il est question de défense des droits. Nous n’avons confiance ni dans ce gouvernement ni dans cette majorité – mot qu’il faudrait mettre entre guillemets puisque vous êtes minoritaires – pour faire respecter d’une manière ou d’une autre la loi, la Constitution ou les principes fondamentaux qui ont présidé à la construction de notre nation. Hier, en commission des affaires sociales, l’opposition s’est vu refuser ses amendements, ce qui est une atteinte majeure au droit d’amender garanti par la Constitution.
M. Antoine Léaument (LFI-NUPES). Quand un Gouvernement s’en prend aux droits, il est normal de n’avoir aucune confiance en lui. Je vous renvoie à l’article 2 de la Déclaration des droits de l’homme et du citoyen dans lequel est inscrite la résistance à l’oppression. Dès lors qu’il y a oppression, tout citoyen a le droit d’y résister.
M. Antoine Léaument (LFI-NUPES). Cela a à voir. Quand il est question de la garantie des droits, collègues, vous nous trouverez toujours au travers de votre route. Qu’il s’agisse, dans la LPM, des petits droits, sur lesquels posent question les marqueurs techniques que l’Anssi fournira aux opérateurs, ou des grands !
M. Antoine Léaument (LFI-NUPES). Combien de jeunes gens ont été arbitrairement détenus par votre gouvernement du fait des ordres donnés par M. Darmanin ?
M. Laurent Jacobelli (RN). Le problème, c’est que M. Darmanin n’arrête personne !
M. Antoine Léaument (LFI-NUPES). C’est vous qui vivez dans une réalité parallèle ! La manière dont vous avez traité l’opposition à la réforme des retraites, comme la violence que vous avez exercée à l’encontre des citoyens, ne fait que nous renforcer dans notre conviction : nous n’avons pas confiance dans le Gouvernement pour garantir les droits. (Exclamations sur les bancs des groupes Dem, RE et HOR.)
Rappel au règlement
Mme la présidente (SOC). La parole est à M. Jean-Louis Thiériot, pour un rappel au règlement.
M. Jean-Louis Thiériot (LR). Il se fonde sur l’article 54, alinéa 6, auquel je me réfère régulièrement. Je vous propose que l’on revienne à l’ordre du jour qui nous occupe.Il est savoureux d’entendre le citoyen Léaument nous rappeler l’importance de l’État de droit alors qu’il est un grand défenseur de Robespierre qui, dans ses écrits, se disait opposé à la peine de mort et, dans les faits, a envoyé 17 000 personnes à la guillotine. (Applaudissements sur les bancs des groupes RE et Dem.)
M. Jean-Noël Barrot. Ce rappel au règlement était utile. (M. Antoine Léaument proteste. – Exclamations sur quelques bancs du groupe RE.)
Mme la présidente (SOC). Monsieur Léaument, seul le ministre délégué a la parole.
M. Jean-Noël Barrot. Si nous voulons autoriser l’Anssi à collecter des données ciblées, c’est pour éviter que se répètent des cyberattaques comme celle qui a touché, de manière dramatique, l’hôpital de Corbeil-Essonnes, dans le département où se situe votre circonscription, monsieur Léaument, ou celle qu’a subie l’hôpital de Versailles, dans mon propre département. Il se peut que des ennemis de la France, à des fins d’agression, coordonnent de telles attaques afin de compromettre des serveurs et parviennent à les multiplier pour cibler nos institutions publiques, nos OIV et nos OCE, en passant sous les radars de l’Anssi dans l’état actuel des pouvoirs dont elle dispose.
M. Ugo Bernalicis (LFI-NUPES). Le problème, ce n’est pas l’objectif, qui peut être louable, c’est de vous donner un blanc-seing !
M. Jean-Noël Barrot. Il faut distinguer domaine civil et domaine militaire et rester sur ce qui nous occupe aujourd’hui, la loi de programmation militaire.
(L’amendement no 1278 n’est pas adopté.)
Mme la présidente (SOC). L’amendement no 179 de Mme Mélanie Thomin est défendu.
(L’amendement no 179, repoussé par la commission et le Gouvernement, n’est pas adopté.)
Mme la présidente (SOC). La parole est à Mme Mélanie Thomin, pour soutenir l’amendement no 180.
Mme Mélanie Thomin (SOC). Compte tenu du contexte géopolitique que décrivent les chefs d’état-major devant la commission de la défense et des forces armées, je tenais à vous rappeler que personne, dans cet hémicycle, n’avait un comportement de fleur bleue, notamment dans les rangs des oppositions que vous vous plaisez à pointer du doigt, madame la rapporteure pour avis. (Applaudissements sur les bancs des groupes LFI-NUPES et Écolo-NUPES.)Après les tergiversations en commission se pose à nouveau la question de la conservation des données liées à la menace. Pourquoi avoir choisi dix ans pour le délai maximum de conservation ? Madame la rapporteure pour avis, depuis le début de la séance, vos arguments ne nous rassurent pas et nous poussent à nous interroger sur la façon dont vous envisagez l’équilibre entre défense de nos intérêts nationaux et respect de nos libertés fondamentales. En quoi cette durée de dix ans ferait-elle gagner en efficacité ? Méfions-nous de la tendance à allonger les délais de conservation des données. Nous suggérons cinq ans.
(L’amendement no 180, accepté par la commission et le Gouvernement, est adopté.)
Mme la présidente (SOC). Voici le résultat du scrutin : Nombre de votants 89 Nombre de suffrages exprimés 86 Majorité absolue 44 Pour l’adoption 76 Contre 10
M. Philippe Gosselin (LR). Je souhaite m’exprimer parce que je sais que mon amendement no 406 rectifié connaîtra un sort funeste si l’amendement de suppression de l’article est adopté.L’article 35 bis, introduit en commission à l’initiative de notre collègue Philippe Latombe, que je soutenais, oblige les opérateurs d’importance vitale et les opérateurs de service essentiel à cartographier leurs données sensibles et à recourir à un cloud souverain. Bien sûr, je conçois que cela puisse poser quelques difficultés. Toutefois, la protection des données sensibles est un enjeu majeur, tout comme celui du cloud souverain, que nous soulevons à l’envi depuis des mois, pour ne pas dire des années.La France accuse, en la matière, de vraies lacunes, même s’il existe des situations pires ailleurs, et nous ne sommes pas au bout de nos peines. Certains considèrent que cet article arrive trop tôt et qu’il est urgent d’attendre, dans la mesure où il n’y a pas suffisamment d’offres dans ce domaine et que la notion de donnée sensible n’a pas été précisément définie. Peut-être faut-il attendre, en effet. C’est, d’ailleurs, l’objet de l’amendement no 406 rectifié qui, en repoussant à fin 2024 l’application du présent article, donne un peu de prévisibilité et de visibilité.Si l’amendement de suppression de l’article 35 bis est adopté, nous devrons garder à l’esprit la nécessité de disposer d’un cloud souverain, soit à l’échelle nationale, soit à l’échelle européenne – nous ne pouvons pas, en effet, être nulle part. Enfin, pour le dire de façon un peu triviale, j’ai encore en travers de la gorge, comme d’autres, ce qui s’est passé s’agissant de la plateforme des données de santé, le Health Data Hub (HDH) pour ne pas la citer,…
M. Philippe Gosselin (LR). …qui est toujours entre les mains d’une société étrangère bien connue, et dont les données peuvent être récupérées, le cas échéant, en vertu du principe d’extraterritorialité. Disons-le clairement : il n’est pas question de mettre nos industries de défense en difficulté, mais il n’est pas question non plus de laisser nos données sensibles partir je ne sais où ! (Applaudissements sur quelques bancs du groupe LR. – M. Aurélien Lopez-Liguori applaudit également.)
M. Aurélien Lopez-Liguori (RN). L’article 35 bis part d’un constat dramatique en matière de sécurité et de souveraineté. Il n’est pas rare que les autorités publiques ou des entreprises stratégiques aient recours à des entreprises extra-européennes pour le traitement de leurs données sensibles. L’article prévoit donc que les entités vitales pour notre pays, les OIV et les OSE, ne puissent confier le traitement de ces données qu’à des entreprises françaises ou européennes.Cette mesure permettra de mettre fin à l’hébergement des données du Health Data Hub par Microsoft, de la direction générale de la sécurité intérieure (DGSI) par Palantir ou encore de Doctolib par Amazon Web Services (AWS). Il est d’ailleurs aberrant que cet article de bon sens ne soit pas d’ores et déjà inscrit dans le droit. Comment les gouvernements successifs ont pu penser un instant que confier à des entreprises étrangères le traitement de données aussi sensibles était une bonne idée, alors que nous disposons désormais d’un écosystème français et européen adapté ? Scaleway ou Docaposte, par exemple, sont en train de créer des solutions de cloud souverain, à même de remplacer AWS ou Microsoft. Comment le Gouvernement a-t-il pu faire preuve d’autant d’irresponsabilité, de naïveté et d’ignorance ? Ou, peut-être, était-ce purement et simplement un choix conscient ? Ce qui serait encore pire.Signer des contrats avec les entreprises que je viens de citer – AWS, Microsoft ou Palantir –, c’est accepter que les autorités américaines aient accès aux données sensibles des opérateurs vitaux ; c’est vendre les données des Français au plus offrant et bafouer, tout simplement, la souveraineté de notre pays. L’intérêt du présent article est qu’une telle situation ne se reproduise plus. Les banques, les centrales nucléaires, les opérateurs de télécommunications et toutes les entités vitales, qui font que notre pays fonctionne, seront obligés de faire appel aux seules entreprises européennes. Il s’agit d’une mesure de bon sens, qui devrait d’ailleurs être étendue à toute la commande publique. Les données sont l’or noir du XXIe siècle. Nous ne pouvons nous permettre de les confier à des entités extra-européennes, surtout lorsqu’elles sont stratégiques.
M. Aurélien Lopez-Liguori (RN). Pour sécuriser les données de notre pays et écarter tout risque d’ingérence étrangère, nous voterons bien sûr en faveur de l’article 35 bis.
M. Philippe Latombe (DEM). L’article 35 bis a été introduit par voie d’amendement en commission des lois, à mon initiative ; il faisait l’objet d’un sous-amendement visant à temporiser son application en allongeant les délais. Nous examinerons tout à l’heure un amendement de suppression de l’article.Permettez-moi de faire la distinction, dans mon propos, entre ce que j’en pense à titre personnel et la position du groupe Démocrate (MODEM et indépendants). Je suis bien sûr totalement en phase avec le contenu de l’amendement que j’avais déposé en commission et j’aimerais, monsieur le ministre délégué, que vous nous précisiez les actions que vous comptez engager en la matière. Car si l’amendement de suppression est adopté, nous devons néanmoins pouvoir disposer d’une prévisibilité. Je comprends que des OIV ou des OSE soient amenés à s’interroger quant aux modalités des dispositions qu’il introduit. Mais le problème n’est pas vraiment là. Lorsque l’intérêt national est en jeu, nous ne devons pas faire l’économie de quoi que ce soit mais imposer des règles.En fonction de ce que vous nous indiquerez, monsieur le ministre délégué, le groupe Dem votera l’amendement de suppression ; à titre personnel, je m’abstiendrai très certainement.En revanche, il nous faudra aborder le sujet dans les textes à venir, tels que le règlement sur les services numériques (DSA), le règlement sur les marchés numériques (DMA) – qui seront des vecteurs plus appropriés que celui de la LPM que j’avais sous la main – ou, encore, dans le cadre de la transposition de la directive européenne NIS 2, sur laquelle nous devrons nous pencher, après d’ailleurs des négociations européennes qui permettront de clarifier le cadre législatif.
Mme Anne Le Hénanff (HOR). L’article 35 bis résulte de l’adoption de l’amendement de mon collègue Philippe Latombe en commission. J’avais moi-même déposé un amendement identique – que j’ai ensuite retiré –, car il me semblait pertinent, au vu des données sensibles hébergées par les OIV et les OSE, d’obliger ces opérateurs à identifier leurs données sensibles et à prendre des mesures techniques et opérationnelles de nature à protéger ces dernières.Toutefois, au cours de nos échanges, j’ai compris que le projet de loi de programmation militaire n’était pas le véhicule législatif adapté pour inscrire un tel dispositif, même si nous devrons l’instituer rapidement, compte tenu du contexte actuel dans le domaine cyber. Cette nécessité s’inscrit pleinement dans la démarche du Gouvernement et les missions du ministre délégué Jean-Noël Barrot en matière de souveraineté numérique et de protection des données.C’est pourquoi je souhaite vivement que nous puissions réfléchir de nouveau à ce sujet, monsieur le ministre délégué, dans le cadre d’un grand projet de loi sur le numérique – que nous avons entamé –, en concertation avec les acteurs de l’écosystème et l’Anssi. Il s’agit pour ces acteurs, comme pour les législateurs qui travaillent sur les sujets du numérique et dont je fais partie, d’une réelle attente depuis des années. C’est aussi la raison pour laquelle je voterai en faveur de l’amendement de suppression de l’article 35 bis.
M. Ugo Bernalicis (LFI-NUPES). L’article que nous avions introduit en commission à l’initiative du collègue Latombe me semblait très bien. Nous étions enfin prêts à reconnaître que la souveraineté numérique et la propriété de nos données devaient entraîner des conséquences opérationnelles et concrètes, ainsi que des garanties pour s’assurer que ce qui s’est produit pour le Health Data Hub ou ce genre de plateformes ne puisse plus se reproduire.Certains considèrent désormais que ce ne serait pas le bon véhicule législatif. Je rappelle toutefois que, dans les articles 32 à 35, tout ne relève pas exclusivement du domaine militaire : sinon, nous aurions écrit bien moins de choses ! D’ailleurs, ces articles 32 à 35 auraient pu faire l’objet d’une loi spécifique sur le numérique plutôt que de figurer dans la LPM. Votre argument ne tient donc pas vraiment la route, mais admettons. Je comprends qu’il y a dû y avoir un lobbying intense, puisque ces dispositions entraîneraient des conséquences pour certains opérateurs économiques avec lesquels vous entretenez des relations habituelles. C’est sans doute cela qui dérange.Nous ne voterons donc pas l’amendement de suppression et soutiendrons l’article 35 bis, continuant de défendre ainsi le principe selon lequel les données personnelles doivent être détenues de manière souveraine : nous devons avoir la garantie qu’elles ne seront pas utilisées à d’autres fins que celles initialement prévues. Ne soyons pas – comment avez-vous dit, déjà, madame la rapporteure pour avis ? – fleur bleue en la matière.
Mme la présidente (SOC). Nous en venons à l’amendement no 1631, visant à supprimer l’article 35 bis. La parole est à M. Mounir Belhamiti.
M. Mounir Belhamiti (RE). Je souhaite, pour commencer, féliciter notre collègue Philippe Latombe pour son travail sur la souveraineté numérique, qui dépasse la simple question du cloud souverain, et rappeler que nous partageons largement la nécessité de renforcer la souveraineté de la France dans ce domaine. Toutefois, cet article additionnel arrive trop tôt – je rejoins notre collègue Gosselin sur ce point : preuve en est le grand nombre d’amendements déposés en vue de réécrire l’article qui, en l’état, n’est pas opérant.
M. Mounir Belhamiti (RE). Plusieurs arguments permettraient de le démontrer. Cependant, le plus important est de ne pas percuter les négociations en cours au niveau communautaire relatives au schéma européen de certification de cybersécurité pour les services de cloud (EUCS), schéma dont dépend d’ailleurs le référentiel français SecNumCloud, qui est l’un des plus exigeants en la matière. Il est de notre responsabilité de mieux protéger nos données, certes, mais de le faire dans une stratégie globale, avec nos partenaires européens. C’est pourquoi, si je partage, sur le fond, la nécessité d’élargir l’obligation de recourir à des solutions qualifiées, il me semble important de le faire au bon moment, dans le cadre du véhicule législatif approprié.Conserver le présent article reviendrait à fragiliser la position française dans ces négociations européennes et affaiblirait la stratégie cloud de confiance et la qualification SecNumCloud qui garantit un haut niveau de protection en matière de cybersécurité, notamment en ce qui concerne les accès illégaux par des États extra-européens aux données les plus sensibles des entreprises et des administrations publiques. C’est pourquoi je propose de supprimer cet article, qui risque d’entraîner comme effet collatéral l’affaiblissement de la position française dans les négociations européennes. (Applaudissements sur les bancs du groupe RE.)
Mme la présidente (SOC). Quel est l’avis de la commission sur cet amendement de suppression ?
Mme Sabine Thillaye (DEM). Nous partageons tous l’objectif de l’article 35 bis en matière de souveraineté numérique. Je salue l’engagement de mes collègues Philippe Latombe et Anne Le Hénanff sur ce sujet. Néanmoins, nous devons choisir le bon niveau décisionnel : il se situe actuellement plutôt au niveau de l’Union européenne. Soyons attentifs à ne pas nuire aux négociations en cours sur l’EUCS. Je laisse M. le ministre délégué vous apporter une réponse plus précise sur le fond. Avis favorable.
M. Jean-Noël Barrot. Permettez-moi, à mon tour, de remercier Philippe Latombe de son amendement présenté en commission. Je voudrais dire à la commission et à ses membres que le Gouvernement partage en tout point les objectifs poursuivis. Il est inadmissible que les données sensibles des administrations françaises et des organisations critiques puissent être, en raison de la migration progressive de celles-ci vers le cloud, réquisitionnées par des puissances extra-européennes à des fins d’instruction ou de renseignement.C’est la raison pour laquelle, il y a quelques années, l’État s’est donné une doctrine, celle du cloud de confiance, et s’est doté d’un référentiel, le SecNumCloud, délivré par l’Anssi, qui permet de garantir qu’une solution d’hébergement en nuage est immunisée contre les réquisitions opérées par des puissances extra-européennes dont la législation a une portée extraterritoriale.Ceux qui, parmi vous, connaissent bien ces sujets savent que nous ne sommes pas arrivés au bout du chemin. Le 12 septembre dernier, Bruno Le Maire et moi-même avons fait entendre trois messages à Strasbourg.Premièrement, nous avons affirmé notre volonté de convaincre nos partenaires européens qu’ils devaient se conformer aux mêmes exigences que les nôtres. Depuis, nous avons progressé. Nos avancées éclaireront votre vote sur cet amendement qui vise à supprimer un article adopté en commission – sachant que, jusqu’à présent, le Gouvernement s’était rangé à l’avis de la commission concernant les autres articles. Comme M. Belhamiti l’a expliqué, une discussion très serrée a lieu au niveau européen sur le schéma communautaire de certification du cloud.
M. Jean-Noël Barrot. Si, dans son niveau de sécurité le plus élevé, ce schéma retient les mêmes exigences que celles auxquelles nous comptons astreindre nos administrations, voire, ultérieurement, nos organisations critiques – OIV et OSE –, ce sera une grande victoire. En effet, les opérateurs de cloud français et européens qui auront investi pour se conformer à la certification SecNumCloud pourront opérer ailleurs en Europe. Nous aurons aussi la satisfaction de voir l’ensemble des États membres se ranger derrière nos exigences d’immunité face aux législations extraterritoriales. Si, au contraire, nous ne parvenons pas à introduire dans cette certification les mêmes exigences que celles que nous nous sommes imposées, alors, comme souvent lorsque nous devons faire des compromis européens, nous devrons revoir à la baisse nos exigences en matière d’immunité.
M. Jean-Noël Barrot. Il est donc indispensable que nous allions au terme des discussions européennes et que nous obtenions gain de cause. Nous avons remporté une première victoire : le 9 mai, la Commission a fait apparaître, pour le critère d’immunité face à l’extraterritorialité dans son projet de certification, le niveau de sécurité le plus élevé. Cependant, la bataille n’est pas terminée. Je me rendrai dès ce soir à Luxembourg pour assister, demain, à un conseil « transports, télécommunications et énergie », en vue de convaincre mes homologues du bien-fondé de cette immunité.
M. Jean-Noël Barrot. Si nous adoptions cet article aujourd’hui, certains pays, qui hésitent encore à retenir un niveau de sécurité aussi élevé que le nôtre, s’empresseraient de reprocher à la France d’aller plus vite que la musique et de vouloir imposer trop rapidement des obligations trop contraignantes. Ils s’abriteraient derrière ces arguments pour faire échouer la négociation.
M. Jean-Noël Barrot. Deuxièmement, Bruno Le Maire et moi-même avons expliqué que ces obligations s’imposeraient aux administrations – c’est un fait. Nous avons ajouté que nous souhaitions que les entreprises privées poussent plus loin la sécurisation de leurs données, et qu’il fallait partir, dans un premier temps, sur une base volontaire. Nous avons ajouté avec beaucoup de gravité que si nos entreprises qui détiennent des données sensibles ne se saisissent pas librement de cette offre de sécurisation, il n’est pas exclu qu’à un moment ou à un autre, nous en venions à une norme obligatoire pour protéger notre souveraineté industrielle et notre indépendance. Je réaffirme cette ambition devant vous. (MM. Ugo Bernalicis et Thomas Portes s’exclament.)
Mme la présidente (SOC). Merci de laisser parler M. le ministre délégué, chers collègues.
M. Jean-Noël Barrot. Laissez-moi terminer, c’est important pour éclairer votre vote.Troisièmement, nous avons annoncé que nous ferions paraître, dans les semaines suivant la réunion, la définition des données sensibles que les administrations françaises devront héberger dans des clouds sécurisés.
M. Jean-Noël Barrot. Vous avez estimé, monsieur Latombe, que le Gouvernement traînait à publier la révision de la circulaire relative au cloud de confiance, qui définit les données sensibles. J’ai le plaisir de vous annoncer que Mme la Première ministre a signé hier cette circulaire révisée : elle mentionne la définition de ces données dans son neuvième paragraphe. Cela nous permettra d’avancer en aidant les administrations à se préparer à la migration de leurs données sensibles vers un cloud de confiance.Pour toutes ces raisons, dont les membres de la commission n’avaient peut-être pas connaissance quand ils ont adopté l’article, je vous propose d’adopter cet amendement de suppression. (Applaudissements sur plusieurs bancs des groupes RE et Dem.)