Questions

La question

Mme Virginie Duby-Muller attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur la nécessité de renforcer la résilience cyber de la France et sur les enseignements que pourrait apporter à cet égard l'expérience estonienne. L'Estonie constitue un exemple particulièrement intéressant, compte tenu de son niveau de numérisation et de son exposition précoce aux cybermenaces. En 2007, le pays a été victime d'une campagne de cyberattaques qui s'est prolongée pendant 22 jours et a notamment affecté des services publics et des infrastructures numériques. Cet épisode a contribué à faire de la cybersécurité un enjeu central de la politique de sécurité nationale estonienne. Depuis, l'Estonie a développé une approche globale de la cyber-résilience. Sa stratégie nationale de cybersécurité pour 2024-2030 fait de la sécurité, de la confiance et de la résilience de son espace numérique des priorités nationales. L'agence estonienne RIA dispose notamment d'une réserve cyber composée d'experts issus de ses propres services, d'autres administrations informatiques de l'État et de l'unité cyber de la Ligue de défense estonienne. Cette réserve peut être mobilisée lorsqu'un incident affecte gravement un service critique et que l'organisation concernée ne dispose pas des capacités nécessaires pour y répondre rapidement. Elle a déjà été activée à trois reprises et fait l'objet d'exercices à grande échelle. L'Estonie organise également des exercices destinés à tester concrètement la continuité des infrastructures critiques. Enfin, la sensibilisation de la population constitue un autre pilier de cette politique notamment auprès des plus jeunes en associant les établissements scolaires. Ainsi, elle lui demande si le Gouvernement envisage de s'inspirer de l'expérience estonienne, avec la création d'une réserve nationale de compétences cyber mobilisable en cas de crise, de généraliser des exercices réguliers portant sur la continuité des infrastructures critiques et de renforcer dès l'école primaire l'éducation à l'hygiène et à la sécurité numériques.

La question

Mme Virginie Duby-Muller alerte Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur l'enjeu stratégique de la souveraineté numérique face au basculement croissant des administrations et des entreprises publiques vers des clouds extra-européens. Alors que la France dépend de plus en plus d'infrastructures numériques critiques, plusieurs opérateurs d'importance vitale engagent des programmes massifs de migration vers des plateformes cloud principalement américaines. Cette trajectoire soulève des risques majeurs en matière de sécurité des données, de continuité des services essentiels, d'exposition aux législations extraterritoriales étrangères et, plus largement, de perte de maîtrise technologique et industrielle. Pourtant, des solutions françaises et européennes existent, notamment avec des acteurs français comme OVHcloud ou Scaleway , qui pourraient garantir à la fois performance, sécurité et indépendance stratégique. Dans un contexte géopolitique incertain, où l'accès aux infrastructures numériques peut devenir un levier de pression politique, il apparaît indispensable que l'État définisse une doctrine claire imposant ou, à tout le moins, orientant fortement les administrations et entreprises publiques vers des solutions cloud souveraines européennes, assortie de mécanismes de contrôle et de plan de réversibilité. Elle lui demande donc quelles mesures le Gouvernement entend prendre pour garantir la souveraineté numérique des opérateurs publics et limiter leur dépendance aux fournisseurs extra-européens.

Réponse

Depuis 2021, le gouvernement déploie une stratégie visant à saisir les opportunités offertes par les évolutions technologiques et à répondre aux enjeux posés par le recours à des services d'informatique en nuage de confiance pour les données les plus sensibles de l'État et de ses opérateurs à travers sa stratégie nationale cloud. Cette stratégie repose notamment sur le développement d'une offre de services cloud de confiance, et sur la qualification SecNumCloud délivrée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI), qui garantit un niveau de protection élevé des services cloud, y compris contre les accès non-autorisés aux données qu'ils hébergent et traitent, notamment par le biais des lois extraterritoriales non européennes. En outre, la qualification SecNumCloud prévoit que le prestataire de cloud inclut systématiquement dans le contrat de service une clause de réversibilité permettant au client de récupérer l'ensemble de ses données. Par ailleurs, dans le cadre de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l'espace numérique (SREN), des dispositions législatives reprennent désormais, en les renforçant, les principes de la doctrine cloud au centre décrite dans la circulaire relative à la doctrine d'utilisation de l'informatique en nuage par l'État du 5 juillet 2021 [1] du Premier ministre, afin d'assurer une protection adéquate des données sensibles des administrations de l'État, ses opérateurs ou certains groupements d'intérêt public, comme la Plateforme de données de santé (dite Health Data Hub) contre les législations extraterritoriales extracommunautaires. Ainsi, toute offre d'informatique en nuage à laquelle les services et opérateurs de l'État choisissent de recourir en cas d'externalisation de l'hébergement et du traitement de leurs données particulièrement sensibles doit répondre aux critères de sécurité et de protection offerts par la certification SecNumCloud, y compris pour ce qui concerne la protection vis-à-vis des législations extraterritoriales des États tiers à l'Union européenne. En 2025, les achats publics de prestations de cloud opérés par l'Union des groupements d'achats publics (UGAP) ont atteint le montant de 84 millions d'euros (contre 52 millions en 2024), dont 69 % ont été orientés vers des opérateurs européens. Parmi les achats auprès de fournisseurs européens, les offres de de cloud qualifiées SecNumCloud par l'ANSSI ont atteint un montant de 22 millions d'euros (contre 20 millions d'euros en 2024). Par ailleurs, à l'échelle européenne, la France continue à promouvoir le développement d'un marché diversifié et concurrentiel du cloud de confiance. Pour la révision du règlement européen sur la cybersécurité, en cours de négociation, elle porte une position ambitieuse visant à garantir une protection efficace des données sensibles en particulier contre l'application de législations extraterritoriales des États tiers à l'UE. Les autorités françaises sont pleinement mobilisées pour contribuer à l'émergence d'un cadre harmonisé, fiable, compétitif et protecteur pour les données les plus sensibles de l'État. [1] actualisée par la circulaire du 31 mai 2023

La question

Mme Virginie Duby-Muller attire l'attention de M. le ministre d'État, ministre de l'intérieur, sur la nécessité de renforcer le dispositif de blocage des téléphones mobiles volés. Face à la recrudescence des vols de téléphones portables, souvent commis avec violence, la Fédération française des télécoms souligne les limites du dispositif actuel, qui repose sur une démarche volontaire de l'usager auprès de son opérateur. Dans les faits, cette procédure reste peu utilisée, ce qui permet aux terminaux volés de continuer à circuler et à alimenter un marché parallèle. Les opérateurs proposent de faire évoluer ce mécanisme en permettant un blocage automatique du terminal dès le dépôt de plainte, sans nécessiter de déclaration préalable de la victime auprès de son opérateur. Cette simplification renforcerait l'efficacité de la réponse publique, en dissuadant les vols et en empêchant la remise en service de téléphones volés. Elle lui demande si le Gouvernement envisage de mettre en place une telle évolution et dans quels délais une concertation pourrait être engagée avec les acteurs concernés.

Réponse

La gendarmerie est pleinement engagée dans la lutte contre toutes les formes de délinquance ou de criminalité qui impactent au quotidien la vie de nos concitoyens : la criminalité générée par des organisations structurées mais également la délinquance de proximité, plus massive, comme les vols de téléphones portables, commis avec ou sans violence. Les outils d'analyse statistique à la disposition de la gendarmerie ne permettent pas une étude fine du phénomène des vols de téléphones portables. Ceux-ci peuvent être dérobés lors de cambriolages de domicile, dans des lieux privés ou publics lorsqu'ils échappent à la vigilance de leur propriétaire. Ils peuvent également être volés par ruse ou violence, notamment lorsque leurs propriétaires déambulent sur la voie publique. En 2025, la gendarmerie a diligenté chaque mois en moyenne 2 325 enquêtes lors desquelles le vol d'au moins un téléphone portable était constaté. Lors des deux années précédentes, cette moyenne mensuelle était de 3 835 en 2023 et de 2 791 en 2024. Les vols de téléphone signalés au travers de l'application de plainte en ligne sont comptabilisés de la même manière. Ainsi, même si tous ces vols ne font pas l'objet d'un dépôt de plainte de la part de leur propriétaire et s'il est permis d'imaginer que certaines procédures aient trait au vol de plusieurs téléphones, la tendance observée par la gendarmerie est plutôt celle d'une diminution du nombre de faits constatés. Cette tendance est confirmée par l'étude du nombre de téléphones inscrits par les unités de gendarmerie au sein du fichier des objets et des véhicules signalés (FOVeS). Par ailleurs, le nombre de vols violents sans arme enregistrés par les forces de sécurité intérieure diminue chaque année depuis 2016. Celui des vols commis avec arme est stable depuis 2020. En cas de vol de son téléphone portable, il est important que la victime puisse faire procéder au blocage de sa ligne. Cela lui permet d'éviter de se voir imputer des frais pour des communications qui ne seraient pas de son fait ou de voir sa ligne utilisée à des fins malveillantes. Pour cela, elle peut généralement prendre contact avec son opérateur par téléphone ou le signaler depuis son espace client sous réserve qu'elle dispose d'un terminal tiers et de ses identifiants de connexion. Le blocage du boîtier téléphonique est également important puisqu'il permet d'éviter que le voleur accède aux données contenues et qu'il puisse jouir, directement ou en le revendant, du bénéfice de son vol. Ce blocage peut résulter de la démarche volontaire de l'utilisateur auprès de son opérateur. Depuis plusieurs années, il peut également se faire lors du dépôt de plainte. En effet, les militaires chargés d'accueillir les victimes et de recueillir les plaintes ont à leur disposition au sein du « logiciel de rédaction des procédures de la gendarmerie nationale » (LRPGN), un document permettant de recenser différentes informations communiquées par la victime et notamment le numéro d'IMEI qui constitue le numéro d'identification unique du boîtier téléphonique. Une fois renseigné, ce document formaté est envoyé par voie numérique directement et automatiquement à l'opérateur concerné afin de procéder au blocage du boîtier. Celui-ci est effectif sous un délai de quelques jours. Néanmoins, il est parfois constaté que les victimes ne disposent pas de ce numéro d'IMEI à même de permettre cette opération lors du dépôt de plainte. La gendarmerie n'est pas en mesure de quantifier le nombre de formulaires transmis aux différents opérateurs. De plus, dans certains cas il peut être utile pour l'enquête de ne pas bloquer trop tôt le téléphone pour faciliter les investigations et identifier les voleurs ou les receleurs.

La question

Mme Virginie Duby-Muller interroge Mme la ministre de la santé et de l'accès aux soins sur le renforcement de la protection des données des patients. Ces derniers mois, la France a été prise pour cible par des actes malveillants de cyberattaques visant deux opérateurs de tiers payant, ce qui représente environ 33 millions de Français visés par ce vol massif de leurs données personnelles. Cela fait peser des risques importants sur les compatriotes, pour qui il y a une menace accrue d'usurpation d'identité et de phishing notamment. La protection des données personnelles de santé doit être une priorité pour la Nation. La filière des opticiens travaille sur la mise en place d'une solution de type blockchain qui permettrait d'éviter aux Français de voir leurs données personnelles être soumises à des trafics sur le darknet . Des échanges ont lieu depuis quatre ans entre le ministère de la santé, la Caisse nationale d'assurance maladie (Cnam), la Commission nationale de l'informatique et des libertés (CNIL), les assureurs et les opticiens. Cependant, depuis un an, il semble que les échanges soient interrompus. Par conséquent, elle souhaite savoir quelles mesures le Gouvernement met en place pour protéger les données personnelles et de santé des Français et que lui soit précisé pourquoi ces négociations sont à l'arrêt concernant ce projet sécurisé fondé sur la technologie de la blockchain .

Réponse

La stratégie nationale en matière de cybersécurité pour les établissements de santé repose à l'heure actuelle largement sur le plan CaRE (https://esante.gouv.fr/strategie-nationale/cybersecurite). Ce programme a été mis en place pour aider les établissements de santé à faire face à la menace cyber, tant sur le plan de la prévention des attaques, que sur leur réaction et leur résilience en cas d'incident. Les besoins totaux du programme sont estimés à 750 M€ d'ici 2027. Plusieurs actions importantes consistent à financer le rattrapage du retard dans certains domaines spécifiques et identifiés, sous la forme d'appels à financement répartis sur la période du programme. Un des domaines de ce programme est justement relatif au renforcement de la sécurité de l'identification électronique des professionnels de santé, à l'origine des attaques de deux opérateurs de tiers-payant, par usurpation d'identité de professionnels. Le programme prévoit également un dispositif permettant aux établissements de maintenir de manière générale l'effort consacré à la cybersécurité, se mettant en place à partir de 2025. Ce dispositif est prévu dans le contexte du programme, et donc jusqu'à fin 2027. Les financements du programme s'inscrivent dans le contexte de l'objectif national de dépenses d'assurance maladie. La feuille de route du numérique en santé 2023-2027 prévoit l'élaboration et la mise en œuvre d'un forfait numérique pérenne dans la tarification de l'activité des établissements, enjeu par ailleurs rappelé dans le récent rapport de la Cour des comptes sur la cybersécurité dans les établissements de santé qui évoque plusieurs pistes pour limiter l'impact de ce fonctionnement sur la pérennité du programme, pistes qui sont en cours d'instruction. Par ailleurs, la question de la souveraineté et de la sécurité des données de santé à caractère personnel est au cœur de l'action de la délégation au numérique en santé (DNS) et du ministère chargé de la santé. Le déploiement de Mon espace santé permet notamment aux usagers de disposer d'un carnet de santé numérique répondant à des exigences élevées de sécurité, d'interopérabilité et d'éthique, qui s'appliquent également aux services publics et privés référencés dans son catalogue de services. Par ailleurs, de nombreux services numériques dédiés aux professionnels intervenant dans le système de santé font l'objet d'un référencement sur la base de critères importants de sécurité dans le cadre du programme Ségur numérique (https://esante.gouv.fr/segur) : 167 logiciels de professionnels ont déjà été référencés dans le cadre de ce programme. Le référentiel d'identification électronique de la Politique générale de sécurité des systèmes d'information de santé (PGSSI-S) a été publié par arrêté du 28 mars 2022. Ce référentiel impose un renforcement progressif des moyens d'identification électronique pour l'accès aux services numériques en santé. Afin d'accélérer cette transition et de faciliter l'usage de moyens d'authentification renforcée par les professionnels, l'agence du numérique en santé met en œuvre le fournisseur d'identité sectoriel Pro Santé Connect (https://esante.gouv.fr/produits-services/pro-sante-connect), qui véhicule une identité numérique sécurisée des professionnels de santé, à hauteur des standards européens comme le règlement eIDAS. Pro Santé Connect permet aux professionnels intervenant dans le système de santé de s'authentifier aux services numériques qui leur sont destinés avec leur carte CPS ou sa version dématérialisée : la carte e-CPS. Pro Santé Connect est déjà utilisée aujourd'hui par plus de 400 000 professionnels et permet d'accéder de manière sécurisée à plus de 500 services numériques. Concernant les deux opérateurs de tiers-payant visés par des attaques, ils ont été contactés afin de leur rappeler les exigences du référentiel d'identification électronique de la PGSSI-S. Ils ont confirmé l'implémentation de Pro Santé Connect à très court terme, comme moyen de sécuriser mais aussi de simplifier la connexion sécurisée des professionnels de santé à leurs services. Des contacts ont été pris plus largement pour présenter ce référentiel et le fournisseur d'identité Pro Santé Connect auprès des principaux organismes et opérateurs de plateformes de tiers-payant. Des actions de communication auprès des acteurs du numérique en santé sont régulièrement menées sur la nécessité de renforcer le niveau de sécurité de l'identification électronique, par exemple avec Pro Santé Connect, ainsi qu'auprès du grand public, par exemple avec le lancement de France identité numérique et le déploiement de France Connect +. Plus largement, des actions sont également menées pour sensibiliser les usagers à l'intérêt de sécuriser l'accès à leurs données de santé, en préférant par exemple l'utilisation de Mon espace santé aux alternatives offertes par des acteurs privés qui ne seraient pas conformes aux référentiels de sécurité, d'interopérabilité et d'éthique publiés par la puissance publique, notamment par l'agence du numérique en santé. Enfin, la feuille de route du numérique en santé présente les objectifs ambitieux de la puissance publique dans le domaine de la sécurité et de l'identification électronique, par exemple dans sa priorité 8, déployer le bouquet de services aux professionnels, l'ordonnance numérique et des moyens d'identification électronique sécurisés pour les professionnels de santé, avec des objectifs concrets : - objectif 8.3 : d'ici 2027, Pro Santé Connect est qualifié substantiel eIDAS et compte 1 million d'utilisateurs chaque jour ; - objectif 8.5 : en 2027, les professionnels des établissements sanitaires et médico-sociaux disposent de moyens d'authentification à 2 facteurs pour se connecter aux applications sensibles. De nombreuses actions sont menées quotidiennement auprès de l'ensemble des acteurs intervenant dans l'écosystème de la santé numérique (professionnels, établissements, fournisseurs de services numériques) par les acteurs nationaux et régionaux de la puissance publique, dans le cadre de la stratégie portée par la DNS, en étroite relation avec ses homologues des autres pays de l'Union Européenne. Les acteurs de la filière des opticiens, notamment les responsables en charge du projet de blockchain visant à renforcer la sécurisation des accès aux données de santé sont invités à contacter la DNS afin de présenter ce projet et de s'assurer notamment de sa conformité au référentiel d'identification électronique de la PGSSI-S et de sa complémentarité avec les moyens d'identification électronique offerts par la puissance publique tels que Pro Santé Connect.

La question

Mme Virginie Duby-Muller appelle l'attention de Mme la secrétaire d'État auprès du ministre de l'enseignement supérieur et de la recherche, chargée de l'intelligence artificielle et du numérique, sur l'impact de l'utilisation des deepfakes sur la cybersécurité. Un deepfake (abréviation de deep learning et fake ) est une vidéo manipulée à l'aide de techniques d'intelligence artificielle (IA), où le visage, les mouvements et la voix d'une personne sont superposés sur une autre, donnant l'illusion qu'elle réalise des actions ou prononce des paroles qu'elle n'a jamais faites ou dites en réalité. Si ces nouvelles intelligences artificielles peuvent représenter de véritables innovations, il convient toutefois de rappeler les dangers de celles-ci sur la cybersécurité en fonction de l'utilisation qui en est faite. Ces manipulations vidéo peuvent semer la désinformation politique, entraîner des fraudes financières, le vol d'identité, voire influencer les marchés financiers. En Allemagne, le Gouvernement a exprimé une vive inquiétude face aux deepfakes , allant jusqu'à lancer une campagne de sensibilisation pour alerter les parents sur les dangers de ces technologies. Le 10 avril 2024 a été voté le projet de loi dit « SREN » pour mieux réguler l'espace numérique et protéger les internautes, notamment les plus jeunes, ainsi que les entreprises. Cette loi prend bien en compte les dangers liés à publication en ligne d'hypertrucages ou deepfake qui seront mieux réprimées. Néanmoins, selon un sondage IFOP, seulement un tiers des citoyens français estiment avoir la capacité de repérer un deepfake et à peine 6 % en sont totalement sûrs, illustrant ainsi le niveau élevé d'incertitude qui prévaut chez eux. Les jeunes et les hommes se montrent plus confiants : 55 % des 18-24 ans pensent pouvoir le faire, contre 28 % des plus de 35 ans, tandis que 40 % des hommes le croient possible, comparé à 28 % des femmes (source : Les Français et les jeunes face aux deepfakes - sondage IFOP). Les deepfakes utilisant le machine learning pour s'améliorer, ils risquent d'être de moins en moins détectables par une majorité de personnes. Récemment, les visages influenceurs et de personnalités publiques ont été utilisés pour la promotion de casinos en ligne, applications mobiles frauduleuses et cryptomonnaies douteuses. Les arnaqueurs usurpent l'identité de ces personnalités publiques, car elles ont une notoriété forte auprès du grand public. Des fausses vidéos sont ainsi propagées sur les réseaux sociaux, notamment TikTok, qui cible majoritairement les jeunes et se retrouvent à la merci de ces arnaques. Ainsi, elle lui demande ce que le Gouvernement compte mettre en place pour renforcer la sensibilisation et l'encadrement des deepfakes , cette problématique sérieuse étant de l'ordre de l'atteinte au droit à l'image, de l'usurpation d'identité et de l'escroquerie.

Réponse

Le Gouvernement est pleinement engagé dans la lutte contre les hyper-trucages (deep fakes), pour lesquels les sanctions ont été significativement renforcées dans le cadre de la loi du 21 mai 2024 visant à sécuriser et réguler l'espace numérique (loi « SREN »). La sanction des délits d'atteintes à la représentation de la personne via le recours aux hyper-trucages a été notablement renforcée par une série d'articles de la loi. L'article 15 modifie l'article 226-8 du code pénal, sanctionnant le partage de montages falsifiés de représentations sonores ou visuelles d'une personne, réalisés sans son consentement, afin d'inclure les contenus générés par un traitement algorithmique (deep fakes). Le partage sur les réseaux sociaux constitue une circonstance aggravante, pouvant être puni de deux ans d'emprisonnement et de 45 000 euros d'amende. L'article 16 de la loi SREN dispose également que le juge peut prononcer, dans les cas de cyberharcèlement (notamment via des deep fakes), une peine de bannissement numérique, interdisant à l'auteur du délit l'utilisation des réseaux sociaux pendant une période maximale de six mois (portée à un an en cas de récidive). Le juge peut également prononcer, à titre de peine complémentaire ou alternative, une obligation de stage de sensibilisation au respect des personnes dans l'espace numérique et à la prévention des infractions commises en ligne. L'article 21 crée l'article 226-8-1 dans le même code, interdisant les montages et deep fakes à caractère sexuel, punis de deux ans d'emprisonnement et de 60 000 euros d'amende. Le partage de tels montages sur les services de communication au public en ligne constitue une circonstance aggravante, punie de trois ans d'emprisonnement et de 75 000 euros d'amende. La loi SREN, en ses articles 7 et 8, renforce les mesures de sensibilisation aux risques des outils et contenus générés par intelligence artificielle, incluant les deep fakes, à destination des élèves et de leurs représentants légaux, des étudiants de l'enseignement supérieur et des membres du personnel enseignant et d'éducation. Ces dispositions visent à sensibiliser ce public aux risques d'atteinte à la personne, de manipulation commerciale, d'escroquerie, de harcèlement ou de violences sexistes et sexuelles dans l'espace numérique. Enfin, il convient de rappeler qu'en vertu du règlement européen du 13 juin 2024 sur l'intelligence artificielle, les déployeurs d'un système d'intelligence artificielle qui génère ou manipule des images ou des contenus audio ou vidéo constituant un hyper-trucage, sont tenus à une obligation de transparence et d'étiquetage (là-dessus, se référer à l'article 50 relatif à l'obligation de mentionner qu'un contenu est généré par intelligence artificielle). Au-delà de dispositions existantes pour encadrer ces pratiques, une sensibilisation plus gobale de la population aux enjeux de l'intelligence artificielle apparait effectivement indispensable. A cet égard le gouvernement à annoncé dans le cadre du Sommet pour l'action sur l'IA qui s'est tenu à Paris qu'à compter de la rentrée 2025, la plateforme PIx proposera un parcours de formation à l'IA qui sera obligatoire pour tous les élèves de quatrième et de seconde. De même, le déploiement sur l'ensemble du territoire du dispositif Café IA porté par le Conseil national du Numérique (CNNum) et par l'Agence Nationale de la Cohésion des Territoires (ANCT) avec l'appui du réseau des conseillers numériques présents sur tout le territoire, permettra de sensibiliser 2 millions de Français à ces technologies d'ici 2027.