Questions

La question

M. Jean-Luc Warsmann attire l'attention de M. le ministre de l'intérieur sur l'incident de sécurité ayant ciblé l'Agence nationale des titres sécurisés (ANTS). À la suite de cette intrusion, les données personnelles de près de 11,7 millions d'usagers et de professionnels, incluant l'état civil, des adresses électroniques, numéros de téléphone et identifiants, ont été exfiltrées. Cet évènement d'une ampleur inédite expose des millions de citoyens et d'entreprises à des risques majeurs d'usurpation d'identité et de fraudes administratives, notamment sur le système d'immatriculation. Cette attaque met en lumière des vulnérabilités systémiques récurrentes au sein des administrations publiques : l'accumulation d'une « dette numérique », un recours mal maîtrisé à la sous-traitance, ainsi que des retards dans le déploiement des mesures de protection fondamentales. Plus préoccupant encore, la réactivité opérationnelle interroge, le service vulnérable n'ayant été suspendu pour maintenance que dix jours après la détection initiale de la brèche. Alors que les usagers sont contraints de confier leurs données à l'ANTS en situation de monopole régalien, ils subissent une double peine : une première fois comme victimes directes du vol de leurs informations personnelles et une seconde fois comme contribuables finançant sur fonds publics la gestion des crises informatiques et les sanctions financières éventuelles. En parallèle, l'absence récurrente de mise en jeu de la responsabilité personnelle, disciplinaire ou administrative des dirigeants d'agences publiques ou responsables informatiques, y compris lorsque des règles élémentaires de prudence ont été négligées, entretient un sentiment d'impunité néfaste pour la confiance numérique. C'est en ce sens que M. le député souhaite connaître quelles sont les mesures d'urgence qui ont pu être déployées pour combler la faille qu'a subie l'ANTS et informer les usagers touchés, ainsi que le plan d'action que le ministère entend mettre en œuvre pour apurer la dette numérique des systèmes régaliens et généraliser sans délai les standards de sécurité essentiels. De plus, il lui demande si le Gouvernement envisage de faire évoluer le cadre réglementaire et législatif afin d'instaurer un régime effectif de responsabilité administrative, disciplinaire et financière applicable aux dirigeants et hauts responsables d'organismes publics en cas de manquement caractérisé aux règles de cybersécurité.

La question

M. Jean-Luc Warsmann attire l'attention de M. le ministre du travail et des solidarités sur la décision de la Commission nationale de l'informatique et des libertés (CNIL) infligeant une amende pécuniaire de 5 millions d'euros à l'opérateur France Travail pour défaut de sécurité des données personnelles. Cette sanction fait suite à une cyberattaque massive ayant entraîné l'exfiltration des données d'identification et de contact de plusieurs millions de personnes inscrites ou ayant été inscrites au cours des vingt dernières années. Par sa gravité et son ampleur, cette fuite expose un nombre considérable de citoyens à des risques d'usurpation d'identité ou de piratage. La CNIL a relevé que la majorité des mesures de protection élémentaires manquées, telles qu'un contrôle strict des habilitations tierces et la surveillance continue des accès distants, avaient pourtant été clairement identifiées en amont par l'opérateur dans ses propres analyses d'impact, sans jamais être effectivement déployées. Cette situation met en évidence une double absurdité. D'une part, les usagers, contraints de confier leurs informations personnelles à un service public, subissent une double peine : victimes de l'exfiltration de leurs données, ils sont également contraints, en tant que contribuables, de financer sur fonds publics l'amende pécuniaire infligée à l'établissement. D'autre part, le système de sanction actuel s'avère totalement inefficace sur le plan de la responsabilisation : la somme de 5 millions d'euros étant transférée du budget de l'agence vers le budget général de l'État, aucune conséquence financière ou opérationnelle directe n'impacte les décideurs administratifs en faute. À ce jour, alors que l'inertie dans la mise en œuvre des préconisations de sécurité est établie, aucun responsable de système d'information, dirigeant d'organisme ou haut fonctionnaire n'a vu sa responsabilité personnelle, disciplinaire ou administrative engagée pour manquement aux obligations de prudence et de sécurisation. C'est en ce sens qu'il lui demande quelles dispositions d'urgence ont été imposées à France Travail pour se conformer aux injonctions de la CNIL et garantir la sécurité des accès partenaires ; de plus, si le Gouvernement envisage de revoir le cadre effectif de responsabilité administrative, disciplinaire et financière propres aux agents ; et enfin, s'il entend modifier le cadre juridique régissant les amendes administratives appliquées aux entités publiques, afin d'éviter que le contribuable ne supporte le coût financier des fautes de gestion numérique des administrations.

La question

M. Jean-Luc Warsmann attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur la vulnérabilité accrue des services publics face à la vétusté de leurs systèmes d'information. Face à l'intensification des cyberattaques par rançongiciel et aux exfiltrations récurrentes de données, de nombreux établissements hospitaliers, collectivités territoriales et administrations continuent de fonctionner sur des infrastructures informatiques et des logiciels arrivés en fin de support. Cette « dette numérique » constitue une faille structurelle majeure : elle expose des données personnelles et de santé particulièrement sensibles, tout en compromettant la continuité de services publics essentiels. Dans ses récents travaux, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) met d'ailleurs en évidence un doublement du nombre d'attaques recensées entre 2020 et 2025. Si l'accompagnement technique proposé par l'ANSSI est précieux, le renouvellement des équipements obsolètes et le maintien à niveau des logiciels représentent un coût souvent difficilement supportable pour les finances locales. Les collectivités n'ont pas la possibilité d'investir suffisamment, comme le montre le bilan publié en 2024 sur le site cybermalveillance.gouv.fr : 73 % des petites et moyennes collectivités disposent d'un budget informatique annuel inférieur à 5 000 euros et 77 % consacrent moins de 2 000 euros par an à leur sécurité numérique. Alors qu'une collectivité sur dix déclare avoir été victime d'une cyberattaque au cours des douze derniers mois, le manque de budget (36 %) et le manque de compétences internes (36 %) sont désignés comme les freins majeurs à leur mise à niveau. Dans le cadre de la mise en œuvre de la directive européenne NIS 2 ( Network and Information Security ) et des exigences renforcées de résilience numérique, il lui demande de bien vouloir lui préciser si le Gouvernement envisage la réalisation d'un audit national portant spécifiquement sur l'obsolescence logicielle et matérielle des administrations publiques et des collectivités. Ensuite, il souhaite savoir quels mécanismes de soutien financier et technique pérennes sont prévus pour aider les territoires et le secteur hospitalier à résorber leur dette numérique. Enfin, il l'interroge sur les mesures, incitatives ou contraignantes, envisagées pour imposer le renouvellement ou le maintien sous conditions strictes de sécurité des systèmes d'information critiques.

La question

M. Jean-Luc Warsmann appelle l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle et numérique, chargée du commerce, de l'artisanat, des petites et moyennes entreprises et de l'économie sociale et solidaire, sur le « service » internet+ ou 360VR qui consiste en un abonnement à des prestations souvent non identifiées par les abonnés. La plupart des retours d'expérience font état d'un abonnement non explicitement consenti, occasionné par un clic sur une page internet et dont il est difficile de se défaire car les opérateurs, qui refacturent bien l'abonnement, ne semblent pas aider suffisamment leurs clients à résilier ce type d'engagement. La direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) et le site signal.conso.gouv.fr sont bien informés de l'existence de ces pratiques mais à ce jour ne semblent pas en mesure de les prévenir voire de les interdire. Pourtant une sensibilisation accrue des opérateurs, qui sont les intermédiaires éclairés de ces abonnements, un système de double validation des souscriptions comme cela existe pour d'autres produits, ou une interdiction de ce type d'offres occultes, seraient des pistes à explorer pour éviter à l'ensemble des consommateurs, notamment les moins avertis, de payer malgré eux des frais auxquels ils n'ont pas consenti explicitement. Il lui demande quelles mesures le Gouvernement entend prendre afin de prévenir, ou d'interdire, les souscriptions accidentelles à ce type d'abonnements.

Réponse

La solution « Internet+ » est une solution de paiement sur facture opérateur qui permet de payer des achats de services ou produits, tels que des vidéos 360° de réalité virtuelle (« 360VR »). Le prix de l'achat ou de l'abonnement est directement prélevé sur la facture émise par l'opérateur de communications électroniques. Les consommateurs sont informés du caractère payant d'un achat « Internet+ » par les opérateurs de communications électroniques, qui les redirigent vers leur propre page de paiement et affichent sur le bouton de validation des mentions comme « confirmer le paiement » ou « confirmer l'achat ». En complément, le consommateur reçoit à la fin de la transaction une confirmation par SMS ou par mail. Par ailleurs, des plafonds de facturation sont prévus par le code monétaire et financier et le consommateur a également la possibilité de désactiver le moyen de paiement « Internet+ » depuis son espace client. Enfin, la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) a mené des actions de communications institutionnelles auprès du grand public sur le thème « Attention aux mauvaises surprises sur ma facture de téléphone », avec France Télévisions en 2023, puis en 2024 sous la forme d'une campagne de prévention à destination des consommateurs sur les réseaux sociaux. Ces campagnes de communication avaient pour but d'appeler le grand public à la vigilance en navigant sur internet avant de cliquer sur un bouton qui abonne à un service payant. Les services de la DGCCRF restent particulièrement vigilants sur les pratiques autour de ces solutions de paiement afin de prévenir le développement de fraudes qui pèsent sur le pouvoir d'achat des consommateurs.