Questions

La question

M. Aurélien Saintoul attire l'attention de M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur le projet d'acquisition d'une partie des activités de Randstad Digital par la société indienne LTIMindtree. Randstad Digital, entreprise basée à Issy-les-Moulineaux, opère dans le secteur stratégique du numérique. Elle exerce notamment des activités de conseil, d'ingénierie informatique, de transformation digitale et d'accompagnement de grands comptes industriels. Elle compte parmi ses clients plusieurs acteurs majeurs de l'industrie nationale, tels que Thales ou Airbus. Le projet d'acquisition par LTIMindtree de ses activités tech et consulting soulève ainsi d'importantes interrogations concernant l'avenir des données sensibles et des relations contractuelles avec des entreprises stratégiques françaises. Une telle opération pourrait donc entraîner une perte de maîtrise nationale sur certaines activités numériques essentielles. Cette inquiétude rencontre également des préoccupations d'ordre social. En effet, les représentantes et représentants des salariés craignent une délocalisation progressive des activités vers des pays à bas coûts, dans un contexte où Randstad Digital connaît déjà une forte diminution de ses effectifs en France, avec la suppression d'environ 1 500 emplois depuis 2023, pour un effectif actuel d'environ 2 100 salariés. De surcroît, le modèle économique de LTIMindtree, qui repose notamment sur un recours important à l'intelligence artificielle et à des agents numériques spécialisés, renforce les craintes quant aux conséquences sociales de cette opération. L'intelligence artificielle doit rester un outil au service des salariés et de l'amélioration de leurs conditions de travail et non devenir un facteur de saccage social et industriel. Aussi, il lui demande si le Gouvernement entend soumettre cette opération à un examen approfondi dans le cadre du contrôle des investissements étrangers en France, afin d'en évaluer les conséquences sur la souveraineté industrielle et numérique du pays. Il lui demande également quelles garanties il entend obtenir à l'avenir concernant le maintien en France des activités stratégiques, des emplois, des compétences ainsi que la protection des données liées aux clients sensibles de Randstad Digital.

La question

M. Aurélien Saintoul alerte Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur les risques d'atteinte à la vie privée liés à l'utilisation des nouvelles lunettes connectées, commercialisées notamment par Meta et sur la nécessité d'encadrer voire d'interdire leur utilisation. Seules les autorités publiques et les commerçants sont autorisés par la loi à filmer la voie publique, dans un cadre réglementaire très strict. Les particuliers peuvent installer un système de vidéosurveillance uniquement pour filmer l'intérieur de leur propriété, mais en aucun cas la voie publique. Quoi qu'il en soit, la captation du son n'est pas autorisée dans le cadre du déploiement des dispositifs de vidéosurveillance. Pourtant, les nouvelles lunettes connectées de Meta captent des images et le son associé partout, y compris sur la voie publique. En effet, couplées à un système d'intelligence artificielle, ces lunettes permettent d'utiliser les fonctionnalités du téléphone (passer un appel, prendre des photos et vidéos), dont certaines peuvent être déclenchées par commande vocale. Bien qu'une lumière rouge sur les lunettes soit censée indiquer lorsqu'il y a captation vidéo, il est très facile de contourner ce dispositif. Selon France Info, aux États-Unis d'Amérique, plusieurs tribunaux de l'État de New York auraient décidé d'interdire le port de ces lunettes dans les salles d'audience afin d'éviter les enregistrements clandestins. La question se pose en France aussi. Comment assurer le droit à la vie privée des compatriotes dans les rues, dans les bars, les lieux de culture et les transports alors que la caméra intégrée aux lunettes connectées permet un enregistrement à tout moment et sans signe extérieur visible ? La CNIL dit elle-même à ce sujet que « les lunettes connectées impliquent de nombreux traitements de données personnelles. Leur utilisation est, en principe, soumise au RGPD et à la loi informatique et libertés. Au-delà de ce cadre juridique, ces lunettes soulèvent des risques plus larges pour la vie privée, ainsi que des enjeux éthiques et sociétaux importants qui dépassent le seul cadre d'intervention de la CNIL ». Il souhaite donc savoir si le Gouvernement compte se saisir de ce problème qui inquiète nombre de citoyennes et citoyens et s'il prévoit d'encadrer voire d'interdire dans certains cas l'utilisation des lunettes connectées dans les lieux ouverts au public.

La question

M. Aurélien Saintoul interroge Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur l'importance d'une anticipation des effets du quantique sur les moyens de cryptographie actuels. Le quantique représente un véritable défi dans tous les domaines et notamment dans l'informatique. Le premier ordinateur quantique fonctionnel pourrait apparaître dès 2029. Or un tel ordinateur rendrait immédiatement obsolète la cryptographie actuelle utilisée par les banques, les armées, ainsi que tant d'autres secteurs essentiels à la souveraineté de la nation. Il est donc tout à fait envisageable qu'une copie générale d'internet et des données chiffrées qui y circulent ait pu être effectuée par des acteurs étatiques ou autres acteurs malveillants dans l'attente de la création de la technologie quantique nécessaire pour les déchiffrer. Il lui demande si le Gouvernement a prévu cette possibilité et s'il travaille à une façon de modifier rétroactivement la cryptographie de ces services et messageries en ligne afin d'éviter qu'une technologie quantique puisse déchiffrer certaines communications ou informations sensibles pour la France.

La question

M. Aurélien Saintoul alerte Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur l'extinction de la 2G, prévue pour fin 2026 et les conséquences sur les appareils fonctionnant encore avec cette technologie, tels que les ascenseurs et les alarmes. En effet, d'après un article du 11 juin 2026 du journal Les Echos , deux millions de cartes SIM, dont des systèmes d'appel d'urgence d'ascenseurs, des systèmes d'alarme et des dispositifs de téléassistance, dépendent encore aujourd'hui uniquement de la 2G. Sans changement de matériel, tous ces appareils seront inutilisables dans six mois. La généralisation en France métropolitaine de l'extinction de la 2G totale est prévue du 1er au 15 décembre 2026. Selon les opérateurs, l'arrêt de la 2G et de la 3G leur permet de libérer des capacités et de réutiliser les fréquences pour la 4G et la 5G, qui permettent des vitesses de téléchargement et de navigation plus rapides. À l'approche de l'extinction complète, il est difficile d'avoir des chiffres exacts sur le nombre d'appareils qui pourraient être encore concernés. D'un côté, l'Arcep et des fédérations comme la Fédération des ascenseurs alertent sur la nécessité d'accélérer le remplacement des cartes SIM 2G d'ici fin 2026 ; de l'autre, la Fédération française des télécoms et les opérateurs indiquent qu'il ne devrait pas y avoir de difficultés majeures d'ici la fin de l'année. Selon la Fédération des ascenseurs, 230 000 ascenseurs ont des systèmes d'appel d'urgence qui fonctionnent aujourd'hui uniquement grâce à la 2G. Par ailleurs, beaucoup d'appareils de téléassistance pour les personnes âgées ont aussi besoin de la 2G pour fonctionner. Les spécialistes alertent depuis des mois sur le fait que de tels changements sur les alarmes sont très difficiles à réaliser, surtout aussi rapidement. Par conséquent, non seulement les ascenseurs risquent de ne plus fonctionner, mais leur alarme non plus. Si un ascenseur tombe en panne, l'alarme de secours pourrait ne pas sonner et il resterait bloqué, avec son utilisateur coincé à l'intérieur. Les opérateurs mobiles ont décidé de l'extinction de la 2G de façon unilatérale et ce dès 2022. L'État pour sa part, a choisi uniquement d'encadrer le calendrier d'extinction de la 2G. Au vu des difficultés rencontrées et des risques encourus, il souhaite savoir si le Gouvernement a recensé le nombre d'appareils critiques qui ne seront pas prêts d'ici la fin de l'année pour l'extinction de la 2G et s'il a prévu de contraindre les opérateurs de téléphonie à maintenir un accès à la 2G deux ans de plus en attendant que tous les appareils concernés soient équipés de capteurs compatibles avec la 4G et la 5G.

La question

M. Aurélien Saintoul appelle l'attention de M. le ministre de la ville et du logement sur l'installation d'antennes relais sur les toits de logements sociaux. D'après un reportage d' Envoyé spécial du 28 mai 2026, le nombre de ces antennes se multiplie avec le développement de la 5G. Pour éviter la surcharge d'antennes relais, les opérateurs doivent mutualiser les pylônes « dans la mesure du possible », selon le New Deal Mobile de 2018, mais cela ne devient une obligation que si les quatre opérateurs (Orange, SFR, Bouygues Telecom et Free Mobile) sont présents sur une même zone. Toutefois, les opérateurs préfèrent posséder leur propre antenne pour se démarquer les uns des autres, quitte à installer un pylône juste à côté d'un de leurs concurrents. Ceci entraîne un surnombre non nécessaire d'antennes relais à travers la France, ce que M. le député regrette vivement par ailleurs. Avant de construire de nouveaux pylônes, les opérateurs ont l'obligation de prévenir le maire de la commune. Toutefois, les habitants impactés par ces installations ne sont en général pas avertis des antennes mises en place sur le toit de leur logement. Or, à Paris par exemple, les deux tiers des espaces accueillant des antennes sont des zones de logements sociaux. L'étude d' Envoyé spécial fait aussi part d'un projet déjà lancé d'installation de 6 antennes dans le 5e arrondissement au-dessus d'une crèche municipale située dans la cour d'un ensemble HLM alors qu'aucun des habitants n'a été prévenu en amont. Même si l'office HLM de Paris indique respecter l'exposition magnétique ainsi que les exigences de transparence, il n'est pas acceptable que ces installations aient lieu majoritairement sur les toits de logements sociaux. Il lui demande s'il est possible de réguler l'installation de ces antennes relais afin d'éviter que ce soient toujours les populations les plus vulnérables qui subissent les risques et les charges liées au développement de nouvelles technologies utiles à toutes et tous.

La question

M. Aurélien Saintoul interroge Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur l'importance d'une véritable stratégie nationale en matière de cryptographie post-quantique. Le quantique représente un défi dans tous les domaines et notamment dans l'informatique. Le premier ordinateur quantique fonctionnel pourrait apparaître dès 2029. Or un tel ordinateur rendrait immédiatement obsolète la cryptographie actuelle utilisée par les banques, les armées, ainsi que tant d'autres secteurs essentiels à la souveraineté de la nation. Il faut permettre aux secteurs stratégiques de la France, qu'ils soient civils ou militaires, de se protéger et d'anticiper de tels changements. En effet, ces investissements ne bénéficieraient pas uniquement aux armées et aux services secrets, lesquels ont évidemment un intérêt tout particulier à se prémunir d'un tel risque, mais également au secteur bancaire qui se retrouverait bien démuni si les ordinateurs quantiques pouvaient du jour au lendemain briser la cryptographie des transactions financières. À titre d'exemple, l'administration américaine sous l'impulsion du président Biden avait annoncé début 2022 vouloir basculer sur des standards de cryptographie post-quantique qui leur permettraient de se protéger. L'administration espérait pouvoir opérer cette bascule en 2035 pour un coût estimé à plusieurs dizaines de milliards de dollars. En mai 2026, l'administration Trump a annoncé des investissements à hauteur de 2 milliards dans le secteur. Il lui demande quel est le calendrier de mise en œuvre dans les ministères et dans les secteurs vitaux pour la Nation de la recommandation de l'ANSSI du 21 décembre 2023 du passage à une cryptographie post-quantique, ainsi que les moyens qui y sont alloués. Il lui demande également si un bilan est prévu prochainement afin de faire le point sur cette mise en œuvre.

La question

M. Aurélien Saintoul alerte Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle et numérique, chargée de l'intelligence artificielle et du numérique, sur les défaillances en cybersécurité des entreprises françaises. En 2024, une masse très alarmante de données sensibles ont été volées aux Français par le biais de cyberattaques. En février 2024, 33 millions de Français ont été concernés par des attaques visant Viamedis et Almerya, deux entreprises clés du secteur de la santé publique puisqu'elles assurent le fonctionnement du tiers-payant de la Sécurité sociale. Ce genre d'opération met en lumière la faiblesse structurelle des entreprises face à ces menaces qui ne sont désormais plus nouvelles. En mars 2024, c'est France Travail qui a été visée par une attaque touchant 43 millions de Français, permettant aux cybercriminels de revendre ces données à des acheteurs du monde entier. Ces mêmes acheteurs en profitent ensuite pour usurper l'identité des citoyens afin d'alimenter des trafics criminels allant de l'escroquerie au terrorisme. Ce phénomène d'ampleur a aussi touché en 2024 de nombreuses entreprises de la grande distribution telles que Boulanger, Cultura, Fnac, Darty, Picard, Truffaut, Auchan et Intermarché. Des entreprises de télécommunications ont, par ailleurs, été atteintes comme Free et SFR, qui à la suite de cyberattaques cumulent à elles deux, près de 23 millions de données d'utilisateurs volées. Les attaquants ont obtenu les relevés d'identité bancaire des clients de SFR et Free et en ont revendu une partie à des réseaux criminels internationaux selon Les Échos . Pourtant, les entreprises de télécommunications sont des « opérateurs d'importance vitale » (OIV) et sont donc tenues à des obligations de renforcement et de détection des intrusions sur leurs systèmes. Or ces obligations n'ont visiblement pas suffi à protéger les données privées des usagers. La France est désormais particulièrement visée par les cybercriminels : car ces pirates se concentrent d'abord sur les cibles faciles dont les failles et les données sont déjà connues. D'autant plus que la France accuse toujours un retard dans la transposition de la directive européenne Sécurité des réseaux et de l'information 2 (NIS2) dont la date limite de transposition était le 17 octobre 2024 ; et que cette mesure n'a pourtant toujours pas été débattue à l'Assemblée nationale, au Sénat ni même en Conseil des ministres. Ainsi, M. le député voudrait savoir ce que le Gouvernement prévoit pour lutter contre les cyberattaques dans les secteurs public et privé et s'il s'est fixé un calendrier afin de transposer la directive NIS2 dans le droit français dans les plus brefs délais. Il voudrait connaître les accompagnements prévus par le Gouvernement pour les victimes de cyberattaques et pour les entreprises ciblées et sacoir si des mesures de réparations et des campagnes de sensibilisation sont prévues. Il demande si des sanctions sont à l'agenda pour les entreprises négligentes à l'égard de leur système de sécurité.

Réponse

Face à une cybermenace devenue systémique, l'élévation du niveau général de sécurité du tissu économique et social français est une nécessité. La directive européenne NIS 2 contribue à répondre à ce besoin. La directive – dont les travaux de transposition en droit national par les assemblées parlementaires aboutiront en 2025 - impose un niveau de cybersécurité minimal de référence à des organisations dites critiques, à travers l'application de règles de sécurité informatique proportionnées au besoin et harmonisées. Dans le cadre de cette nouvelle réglementation, les entités assujetties auront notamment l'obligation de notifier les incidents importants dont elles seront victimes. Les entités assujetties auront également l'obligation de mettre en place des mesures techniques, opérationnelles et organisationnelles adéquates, adaptées aux risques qui pèsent sur leurs réseaux et systèmes d'information. Le Gouvernement prévoit une mise en œuvre progressive de ces différentes obligations, ainsi que du régime de supervision destiné à les contrôler. L'accompagnement des entités assujetties prendra plusieurs formes, dont l'accès à l'offre de services de l'ANSSI, via le portail Internet MesServicesCyber. Un service en ligne destiné aux entités assujetties, MonEspaceNIS2, la mise en place de relais dans les territoires, ainsi qu'un appui en termes d'expertise de l'administration aux programmes d'aide en cybersécurité portés par les secteurs sont aussi prévus. Au total, l'objectif est de créer un mouvement vertueux et d'irriguer au-delà des entités assujetties par la mise en place de mécanismes incitatifs.

La question

M. Aurélien Saintoul interroge Mme la secrétaire d'État auprès du ministre de l'enseignement supérieur et de la recherche, chargée de l'intelligence artificielle et du numérique, sur le renouvellement du Foreign Intelligence Surveillance Act (FISA) et de sa section 702, impactant la souveraineté numérique de la France. Le 19 avril 2024, le Congrès américain a voté pour le prolongement de deux ans de la section 702 du FISA, législation qui autorise les agences de renseignement américaines à collecter des données de citoyens et d'entreprises, en dehors du territoire des États-Unis d'Amérique. Plus précisément, des agences telles que la NSA ou le FBI sont autorisées à surveiller la messagerie des citoyens étrangers et potentiellement celle des citoyens américains en relation avec eux, sans nécessité de mandat. Ce texte prévoit également un élargissement de son champ d'application et s'étend désormais aux centres de données et aux entreprises qui ont « simplement accès à des équipements de communication dans leur espace physique ». Le renouvellement de ce texte et l'élargissement du champ d'application de la section 702 menacent sérieusement la souveraineté numérique de la France et la garantie des libertés publiques. Alors que le Gouvernement revendique sans cesse donner priorité à la lutte contre les ingérences étrangères, cette décision est très inquiétante. Dans ce contexte, M. le député souhaiterait ainsi obtenir des éclaircissements sur la position du Gouvernement concernant le renouvellement de la section 702 du FISA. Il lui demande quelles sont les mesures qu'il envisage de prendre pour protéger les entreprises et citoyens français des influences extérieures indésirables.

Réponse

Le Foreign Intelligence Surveillance Act(FISA) a été adopté en 1978 avec pour objectif de créer un cadre légal pour la surveillance des agents étrangers dans le but d'assurer la sécurité des Etats-Unis, tout en protégeant les droits des citoyens américains. Il a été voté dans un contexte de méfiance vis-à-vis du gouvernement de ce pays et après différents scandales (ex : Watergate). Il repose sur l'intervention d'une cour spéciale, la Foreign Intelligence Surveillance Court (FISC), qui autorise les opérations de surveillance à la demande des agences de renseignement. La section 702 du FISA, introduite en 2008, permet aux agences américaines de renseignement de collecter, sans mandat individuel, les communications électroniques (e-mails, messages, données cloud, etc.) de personnes étrangères situées hors des États-Unis. Pour être interceptées, les informations doivent transiter par des serveurs exploités par des fournisseurs de services de communication électronique domiciliés aux Etats-Unis. Ceci confère à ce dispositif une forte portée extraterritoriale à l'égard des entreprises et citoyens européens : du fait de l'importance des acteurs américains dans le monde du numérique, une grande partie du trafic internet mondial transite en effet par les Etats-Unis. Le FISA n'autorise cependant pas à cibler des personnes de manière individuelle mais des catégories d'informations à collecter auprès des fournisseurs de services de communication électronique. En avril 2024, la section 702 a été prorogée par la loi RISAA (Reforming Intelligence and Securing America Act) pour deux ans, jusqu'en 2026, malgré de vives oppositions au Congrès car il est notamment reproché à ce texte de pouvoir donner lieu à une surveillance des citoyens américains. La liste des prestataires techniques auxquels la loi s'applique a de plus été élargie, pour y inclure outre les fournisseurs de services de communication électronique les autres prestataires de services ayant accès à des équipements qui sont ou peuvent être utilisés pour transmettre ou stocker des communications filaires ou électroniques (cloud, datacenters), ce qui a attisé l'inquiétude des défenseurs des libertés publiques. Bien qu'elles soient encadrées, ces mesures peuvent potentiellement conduire à collecter des informations très sensibles pour la compétitivité des entreprises et couvertes à ce titre par le secret des affaires, voire considérées comme souveraines par l'Etat lorsqu'il s'agit d'entreprises stratégiques. La France et l'Europe souhaitent renforcer leur souveraineté numérique, en travaillant à l'émergence de solutions nationales et européennes, afin de garantir la protection des données sensibles des citoyens et des entreprises. C'est le sens des travaux sur la souveraineté numérique de l'Europe, portés par la Commission européenne et des travaux conduits à l'échelle nationale notamment par le soutien au développement d'une offre de services cloud de confiance. De plus, l'Etat soutient une doctrine cloud destinée à assurer une protection optimale des données sensibles détenues par les administrations. Cette doctrine, développée d'abord dans le cadre d'une circulaire du Premier ministre en 2021, puis actualisée en 2023, a été réaffirmée à l'article 31 de la loi n° 2024-449 du 21 mai 2024 « visant à sécuriser et réguler l'espace numérique ». Cette loi vise notamment à assurer la protection optimale des données les plus sensibles des administrations hébergées dans le cloud par des prestataires privés en imposant le respect des règles de sécurité établies par le référentiel national SecNumCloud, élaboré par l'Agence nationale de la sécurité des systèmes d'information (ANSSI), y compris en ce qui concerne les aspects organisationnels et juridiques permettant de prévenir les risques d'application extraterritoriale de législations non européennes. Ce référentiel SecNumCloud a vocation à évoluer à mesure des évolutions de la technologie ou de la menace. En l'occurrence, l'ANSSI n'identifie pas de nécessité présente de faire évoluer SecNumCloud en réponse à cette extension du cadre FISA, les exigences du référentiel apparaissant comme suffisantes à date. Pour ce qui concerne les entreprises utilisatrices de cloud, l'Etat soutient en outre, par le biais notamment de la stratégie nationale du cloud, et les investissements faits dans le cadre de France 2030, le développement d'un marché du cloud de confiance qui prend également en compte les enjeux liés à l'extraterritorialité du droit. Celui-ci apparaît de plus en plus indispensable au regard des évolutions géopolitiques actuelles. Ces mesures doivent permettre d'assurer une protection face à l'application, par des autorités de pays non-européens, de lois extraterritoriales à l'image du FISA ou encore du Cloud Act.

La question

M. Aurélien Saintoul interroge Mme la secrétaire d'État auprès du ministre de l'enseignement supérieur et de la recherche, chargée de l'intelligence artificielle et du numérique sur le rapport produit par la fondation Mozilla concernant le respect de la vie privée par les voitures connectées. Mercredi 6 septembre 2023, la fondation Mozilla publiait une étude sur la collecte des données personnelles par les voitures connectées et l'utilisation qui en était faite par les constructeurs automobiles. Il en ressort que parmi les 25 marques les plus populaires du marché, toutes collectent davantage de données que nécessaire. Lorsque le véhicule est en marche, il est en capacité de récupérer les informations de conduite comme la vitesse, les trajets empruntés ou l'utilisation faite de la voiture, mais il peut également récupérer des informations à travers tous les capteurs embarqués comme les caméras, micros, capteurs de pression, ou encore les données médicales, les contacts, le calendrier et d'autres informations via les smartphones connectés. Certains constructeurs indiquent même collecter des informations sur l'orientation et l'activité sexuelle de leurs clients. Au-delà du risque de voir ces informations fuiter suite à des opérations malveillantes, elles pourront être vendues pour du ciblage publicitaire, voire à des gouvernements avec l'accord du constructeur. Il souhaite donc savoir si le Gouvernement compte mettre en place un plan de vérification du bon respect du « règlement général sur la protection des données » (RGPD) dans les contrats d'utilisation des véhicules connectés et limiter la collecte des données aux seules informations de conduite.

Réponse

Sur le territoire français, la Commission nationale de l'informatique et des libertés (CNIL) est l'autorité compétente pour contrôler le respect de la règlementation applicable en matière de protection des données. Les modes de transport (voitures, scooters, vélos, etc) et leurs utilisateurs génèrent une quantité croissante de données. Elles peuvent être produites directement par les équipements et systèmes du véhicule, mais également par les équipements, boîtiers ou appareils connectés embarqués par le conducteur et les passagers (smartphone, tablette, etc.). La possibilité d'une collecte à distance des données conduit à concevoir de nouveaux services, par exemple pour renforcer la sécurité des usagers, améliorer l'expérience du déplacement (info-divertissement, confort, maintenance, etc.) et optimiser l'organisation du déplacement. Dans le même temps, la connectivité de ces véhicules implique le recueil de données susceptibles de toucher à la vie privée de l'individu (déplacements, comportement au volant, etc.). Leur utilisation pose donc des questions structurantes en matière de protection des données personnelles et de respect des droits et libertés fondamentaux. La collecte et, le cas échéant, le partage des données personnelles générées par l'usage d'un véhicule ne peuvent se faire que dans le respect de la règlementation applicable en matière de protection des données à caractère personnel (le RGPD et la loi « informatique et libertés »). Le RGPD est applicable à des acteurs étrangers du fait de sa portée extraterritoriale : soit les traitements de données sont mis en œuvre dans le cadre des activités d'un établissement au sein de l'Union (i), soit l'entreprise propose des biens et services sur le territoire ou suit le comportement des personnes situées sur le territoire de l'Union (ii). Les grands principes posés par cette règlementation doivent permettre de renforcer le contrôle par les citoyens de l'utilisation qui peut être faite de leurs données. Le traitement de ces données doit être transparent vis-à-vis des personnes concernées : Elles doivent notamment être informées des divers objectifs pour lesquels leurs données sont collectées, des destinataires ou des catégories de destinataires auxquels les données sont transmises, de la durée pendant laquelle ces données seront possiblement conservées ou encore des droits qui leur sont octroyés par la règlementation (droit d'accéder aux données collectées et droit de s'opposer, dans certains cas, au traitement de leurs données, etc.). Le traitement doit reposer sur une base juridique/fondement juridique valide ; ainsi, dans certains cas, le consentement des personnes doit être collecté. Certaines données dites « sensibles » (les données relatives à la vie sexuelle, les données de santé, etc.) font l'objet d'un régime juridique plus protecteur. La CNIL a récemment lancé un plan d'action ayant pour objectif de faire évoluer les pratiques de l'ensemble du secteur et de favoriser une innovation respectueuse des droits et libertés fondamentaux : Dans un premier temps, la CNIL a lancé en 2023 la création d'un « club conformité » dédié aux acteurs du véhicule connecté et de la mobilité qui réunit notamment les constructeurs, les équipementiers, les loueurs de véhicules ou encore certains opérateurs de services de mobilité. Ce lieu de concertation doit permettre à la CNIL de mettre à disposition des acteurs des outils pratiques et opérationnels pour que chacun ait une bonne compréhension de ses obligations (et ainsi faciliter leur mise en conformité). La publication de ces outils sera suivie, dans un second temps, de la mise en œuvre d'une « réponse répressive » d'ampleur, proportionnée et dissuasive. À l'issue de contrôles, en fonction de la nature et de l'ampleur des manquements éventuellement constatés, la CNIL sera susceptible de prendre des mesures correctrices, notamment des sanctions pécuniaires. En tout état de cause, la CNIL dispose de pouvoirs de contrôle et de sanction, notamment dans le cadre de l'instruction de plaintes, étant rappelé que lorsqu'un constructeur a son siège européen dans un autre État de l'Union européenne, c'est la CNIL de cet État qui est compétente pour agir vis-à-vis de ce constructeur (principe de l'autorité cheffe de file instituée par le RGPD).