Amendement n° CL15
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
Supprimer cet article.
⚠ Ce que ça change vraiment · analyse IA
Suppression de l'article 33 pour éviter une surveillance massive et coûteuse, face au risque de dérive sécuritaire.
Intention : L'auteur cherche à protéger les opérateurs de charges financières et techniques disproportionnées tout en verrouillant l'accès aux données pour empêcher une extension de la surveillance hors du cadre judiciaire.
L'amendement visait à supprimer l'article 33, qui impose aux opérateurs de traiter des demandes de l'ANSSI pour détecter des attaques. L'auteur dénonce une déconnexion entre l'étude d'impact (qui minimise les coûts) et la réalité technique (besoin de stockage massif, anonymisation complexe, nouveaux centres de données). Le rejet de cet amendement confirme la volonté du législateur de privilégier l'efficacité de la détection des cyberattaques par l'ANSSI, quitte à imposer de nouvelles contraintes structurelles et financières aux opérateurs, et à s'écarter du cadre classique de contrôle judiciaire ou de la CNCTR.
Exposé sommaire
Même si le texte ne fournit pas d’élément quant au volume et à la fréquence des demandes évoquées – rendant difficile d’estimer précisément l’impact de ces demandes, y compris sur la performance du DNS en tant que tel- il semble certain que cette exigence aurait un impact structurant sur l’activité des opérateurs, ce qui a été unanimement souligné lors des auditions menées par la rapoorteur de la Commission des lois.
D’abord, le fait que l’ANSSI soit habilitée à adresser ces demandes « aux seules fins de détecter et de caractériser des attaques informatiques » interroge sur l’ampleur du dispositif à mettre en œuvre – bien au-delà d’un périmètre circonscrit à la protection de la sécurité nationale.
De plus, il est indéniable que l’obligation d’anonymiser représenterait un coût significatif pour les opérateurs de communication électronique. Surtout, cette obligation nouvelle contraindra les opérateurs à procéder au stockage (probablement massif, se soldant en téraoctets) de données aujourd’hui non-conservées (la construction de nouveaux centres de données serait inévitable pour historiciser les flux ou même pour conserver des données photographiées à un instant T). L’ampleur des moyens à déployer pour faire face à cette obligation, parait ainsi démesurée.
En tout état de cause, il est inexact d‘affirmer – comme le fait l’étude d’impact page 333 (« 4.2.2 : impact sur les entreprises »), que « l’impact de cette mesure sera très limité », car « les opérateurs le feraient déjà ». La demande ne correspond pourtant à aucune pratique existante. Ce qui est fait à ce jour l’est uniquement à la demande d’un juge ou de la CNCTR, de façon exceptionnelle. La demande exigée par l’article 33 parait disproportionnée par rapport aux finalités, indéfinie dans son ampleur et contournant de façon peu justifiée les dispositifs et contrôles administratifs et judiciaires en vigueur.
Pour ces raisons le présent amendement propose la suppression de cet article qui paraît inconventionnel et inconstitutionnel à son rédacteur.
Le débat en séance (compte rendu)
Cet amendement n'apparaît pas nommément dans les comptes rendus de commission importés (non soutenu, retiré avant discussion, traité en groupe — ou réunion pas encore importée via app:import:comptes-rendus-commissions).