Les cyberattaques se multiplient et les données personnelles ne cessent d’être exploitées dans une certaine opacité par les acteurs de l’internet, malgré un RGPD contraignant et des exigences de sécurité imposées par de multiples certifications. Pour le sénateur UDI Laurent Lafon, président de la commission de la Culture, la solution pourrait passer par les consommateurs et la démocratisation de la cybersécurité. Il pense que s’ils disposent d’une information visuelle claire et transparente sur le niveau de sécurité des plateformes, les internautes pourraient privilégier celles dont le niveau de cybersécurité correspond à leurs exigences, ce qui devrait en conséquence inciter les opérateurs à changer leurs pratiques. C’est la logique et le succès du nutri-score en matière d’alimentation qui a inspiré la rédaction de sa proposition de loi pour la mise en place d’une certification de cybersécurité des plateformes numériques destinée au grand public, déposée le
15 juillet 2020. Et ce texte a fait écho chez nos parlementaires puisqu’il a été adopté en première lecture par les sénateurs et les députés, avec l’aval du gouvernement. Il doit désormais être approuvé en deuxième lecture, ce qui ne devrait pas poser de problème, si l’agenda parlementaire le permet. La proposition de loi s’inscrit dans le code de la consommation en y ajoutant une obligation pour les opérateurs de plateformes de communiquer les informations relatives à la sécurisation et la localisation des données hébergées par eux-mêmes ou leurs prestataires. Au départ, cette information reposait sur l’auto-certification des opérateurs, mais les députés l’ont remplacée par un audit de cybersécurité, effectué par des prestataires qualifiés par l’Agence nationale de la sécurité des systèmes d’information. Le texte précise que « le résultat de l’audit est présenté au consommateur de façon lisible, claire et compréhensible et est accompagné d’une présentation ou d’une expression complémentaire, au moyen d’un système d’information coloriel ». Un logo visible s’afficherait lors de chaque connexion et non une information reléguée dans les tréfonds des conditions générales d’utilisation. C’est sur la mise en valeur de la communication de l’information que réside le véritable apport de cette proposition car beaucoup d’éléments sur la sécurité des données sont déjà disponibles, mais ils sont souvent abscons, peu lisibles et difficiles d’accès. Pour l’instant, les contours de cette obligation restent flous. On ne sait pas
encore quelles sont les informations sur la sécurisation des données qui devront être prises en compte. Par ailleurs, contre l’avis du gouvernement, les députés ont ajouté la localisation comme élément à rendre public dans le but de soutenir notre souveraineté numérique. Là encore, ce n’est pas simple. Pour Cédric O, secrétaire d’Etat chargé de la Transition numérique et des Communications électroniques, « informer le citoyen de l’endroit où ses données sont stockées, comme le prévoit l’amendement, risque à mon sens de créer une sécurité illusoire. Cela pourrait être contre-productif : nos concitoyens pourraient plébisciter des services fournis par des acteurs étrangers, pensant à tort que la protection est la même que celle d’un fournisseur européen ». Des textes réglementaires devront, en outre déterminer les seuils
d’activité des plateformes au-delà desquels cette obligation s’applique et les critères qui seront pris en compte par l’audit, ses conditions en matière de durée de validité ainsi que les modalités de sa présentation. Cet outil de compréhension des conditions d’exploitation et de sécurité des données devrait s’imposer, dans un premier temps, aux plateformes de taille mondiale. Mais verra-t-on Facebook, Youtube ou Zoom afficher leur score ? Difficile à imaginer aujourd’hui, surtout si ce dispositif se limite à la France. Mais ce n’est pas impossible si on observe le succès du nutri-score conçu par des universitaires français en 2014, appliqué dans sept pays d’Europe et qui
pourrait bientôt s’imposer dans l’UE. En tout cas, il pourrait constituer un instrument complémentaire efficace du RGPD.