2010

Sécurité des systèmes d’information Passeport biométrique L’UE dit oui au passeport biométrique Lors de sa séance du 14 janvier 2009, le Parlement européen a amendé et approuvé la proposition de règlement de la Commission des Communautés européennes modifiant le règlement (CE) n°2252/2004 du Conseil établissant des normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les États membres. Cette proposition de règlement avait été présentée par la Commission le 18 octobre 2007 et avait déjà donné lieu à un Avis du Contrôleur Européen de la Protection des Données en date du 26 mars 2008. C’est le règlement n°2252/2004 du 13 décembre 2004 qui avait introduit les passeports biométriques et l’obligation générale de stocker les empreintes digitales dans des supports de stockage contenus dans les passeports et documents de voyages. La France avait alors, conformément à ce règlement, adopté le décret n°2008-426 du 30 avril 2008, qui modifiait le décret n°2005-1726 du 30 décembre 2005 relatif aux passeports électroniques, afin d’intégrer « l’image numérisée des empreintes digitales de deux doigts » au sein des passeports français, tout en prévoyant une exception pour les enfants de moins de six ans. Après avoir constaté que les empreintes digitales des enfants âgés de moins de six ans n’étaient pas d’une qualité suffisante pour permettre de vérifier l’identité de ces enfants sur la base d’une comparaison entre deux séries d’empreintes, la Commission avait proposé de modifier le règlement n°2252/2004 afin de dispenser de l’obligation de donner les empreintes digitales des enfants de moins de six ans, mais également les personnes qui en sont physiquement incapables. La commission avait également proposé d’intégrer la règle « une personne un passeport », ne permettant plus aux parents d’avoir leurs enfants sur leurs passeports. Le Contrôleur Européen de la Protection des Données avait, par la suite, émis un avis favorable aux exemptions reposant sur l’âge ou sur l’incapacité de donner ses empreintes, tout en les jugeant insuffisantes, notamment au regard de l’âge des enfants exemptés ou de l’absence de dispositions spécifiques pour les personnes âgées. Le 14 janvier dernier, c’était donc au tour du Parlement européen de se prononcer sur cette proposition. Celui-ci a pris le soin de rappeler que « les États membres seront tenus de délivrer des passeports individuels aux mineurs et qu’il peut exister des différences significatives dans la législation des États membres en ce qui concerne le franchissement des frontières extérieures par des mineurs », avant de relever l’âge de l’exemption de donner les empreintes aux enfants de moins de douze ans. Suivant les recommandations du Contrôleur Européen de la Protection des Données, le Parlement européen précise que cet âge est fixé à titre provisoire, dans l’attente d’un rapport de la Commission relatif à la fiabilité et la faisabilité technique du recours aux empreintes digitales pour les enfants de moins de douze ans, à des fins d’identification et de vérification de l’identité. En outre, le Parlement crée un article 1 bis relatif au personnel chargé du relevé des empreintes et à la procédure de collecte, qui devra se faire dans le respect des droits consacrés par la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales et par la Convention des Nations Unies relative aux droits de l’enfant. Il est également prévu que les États membres, tel que la France, qui auraient prévu un âge limite inférieur à douze ans peuvent appliquer leur limite actuellement en vigueur durant une période transitoire de quatre ans. La France devra donc revoir sa réglementation dans les années à venir, quant à l’âge de collecte des empreintes digitales des mineurs. En revanche, la règle « une personne un passeport » est déjà active, puisqu’il n’est plus possible d’inscrire un enfant mineur sur le passeport de l’un de ses parents. Globalement, le Parlement européen précise la proposition de la Commission qui s’était effectivement limitée à adopter des modifications succinctes au règlement 2252/2004, et intègre des éléments quant à la sécurité des données, le support de stockage devant être de « haute sécurité » et les spécifications techniques complémentaires visées à l’article 2 du règlement de 2004 devront désormais être « conformes aux normes internationales, notamment aux recommandations de l’Organisation de l’aviation civile internationale ». Parlement européen, Résolution législative du 14 janvier 2009 Parlement européen, Rapport du 15 décembre 2008 (Mise en ligne Janvier 2009)

Sécurité des systèmes d’information Passeport biométrique Le traitement des passeports biométriques par les communes La loi de finances rectificative pour 2008, votée par le Parlement le 30 décembre 2008, à savoir le nouvel article L. 1611-2-1 du code général des collectivités territoriales, donne désormais une base légale au rôle des communes dans la réception et la saisie des demandes de titres d’identité. Les administrés qui souhaitent refaire leur passeport et autres titres d’identité n’ont donc plus à se rendre en préfecture ou en sous-préfecture, mais peuvent directement passer par les services municipaux concernés. Le principe d’une indemnisation des communes a été confirmé, moyennant l’extinction des procédures en cours intentées par ces dernières contre l’État, du fait de l’illégalité des décrets du 25 novembre 1999 (cartes nationales d’identité) et du 26 février 2001 (passeports), prononcée par le conseil d’État le 5 janvier 2005 pour une raison de procédure (seule une loi pouvant imposer une telle obligation aux communes). La France a l’obligation de délivrer, avant le 28 juin 2009, un passeport doté de deux composants biométriques. Des stations de recueil et d’enregistrement des données biométriques vont être déployées dans 2 000 communes volontaires. Moyennant un préavis de deux mois, une commune peut, à tout moment, résilier la convention de mise en dépôt de la station de demandes de passeports et de cartes nationales d’identité électroniques a précisé la ministère de l’Intérieur, le 19 février, en réponse à une question écrite d’un sénateur (1). La loi de finances rectificative pour 2008 a fixé une dotation exceptionnelle d’un montant de 3 € par titre, plafonnée à 97,5 millions d’euros, répartie entre les communes en fonction du nombre de titres qu’elles ont délivré entre 2005 et 2008. Si le nombre total de titres émis ces quatre années est supérieur à 32,5 millions d’euros, la somme de 97,5 millions d’euros est répartie entre les communes proportionnellement au nombre de titres qu’elles ont émis dans cette même période. Enfin, signalons également la parution au Journal officiel du 13 février 2009 (2) d’un arrêté fixant les normes de qualité des photographies d’identité dans le cadre de la délivrance du passeport (format, fond, contraste, luminosité et détails du portrait). (1) Réponse ministérielle parue au JO Sénat du 19-2-2009 (2) Arrêté du 5-2-2009 Paru dans la JTIT n°88/2009 p.4 (Mise en ligne Mai 2009)

Sécurité des systèmes d’information Normes Respecter l’état de l’art en matière de sécurité des systèmes d’information De la loi Sarbanes-Oxley (SOX), aux accords de Bâle II(1), en passant par la loi de sécurité financière (LSF)(2), sécurité quotidienne, sécurité intérieur, Sarkosy I et la loi sur la protection des données personnelles, on ne compte plus les dispositifs légaux et réglementaires relatifs à la sécurité des systèmes d’information. Cet afflux de textes montre que cette préoccupation est aujourd’hui prise en compte par le législateur à travers l’élaboration d’un droit de la sécurité.Il est donc nécessaire pour l’entreprise de connaître avec précision l’ensemble du référentiel légal qui s’applique en matière de sécurité aux informations qu’elle manipule dans son secteur d’activité (aéronautique, santé, banque…). Le recours aux normes peut s’avérer indispensable. Si elles ne sont souvent que des recommandations techniques sans force obligatoire, leur application devient cependant de plus en plus courante au sein des professions, leur conférant ainsi une certaines portée juridique. Elles sont considérées par le juge comme la codification écrite regroupant des « règles de l’art » ou des « usages loyaux et constants ». Aquelle norme se référer pour les SI ? Il existe depuis octobre 2005 une norme internationale concernant la sécurité de l’information, la norme ISO/CEI 27001 dont le titre est « Technologies de l’information -Techniques de sécurité -Systèmes de gestion de sécurité de l’information – Exigences »(3). Cette norme représente le premier cadre normatif en matière d’organisation et de management de la sécurité des SI. Y faire référence dans un contrat par une clause ISO/CEI 27001 ou en l’intégrant au cahier des charges permet de la rendre obligatoire entre les parties. Mais au-delà de cette référence, il s’agit d’une norme qui peut être utilisée dans le cadre d’une certification par un organisme indépendant et reconnu, qui apporte la garantie-sécurité pour l’entreprise. La certification, qui est aujourd’hui possible en France, apporte un atout compétitif. Il est clair qu’une entreprise sera plus enclin à choisir un partenaire qui a mis en place une procédure de certification, preuve de la conformité de son SI. (1) Chantier qui va réformer le système international bancaire à l’échéance de 2007 (2) La SOX a été adoptée le 30/07/2002 par le Congrès américain et la LSF (loi n°2003-706) dont le périmètre est plus large date du 01/08/2003 (3) Elle définit l’ensemble des tests et contrôles à effectuer pour s’assurer du bon respect d’ISO/CEI 17799. Paru dans la JTIT n°50/2006 p.3 (Mise en ligne Mars 2006)

Sécurité des systèmes d’information Informatique et libertés Autorisation de deux dispositifs reposant sur la reconnaissance du contour de la main dans le cadre de contrôles d’accès à des cantines scolaires La Cnil doit être sollicitée pour donner son autorisation à la mise en place de solutions biométriques dans des organismes, collectivités locales ou entreprises (art. 25 de la loi du 06/01/1978 modifiée). La Cnil a été amenée à élaborer une jurisprudence qu’elle semble encore une fois confirmer en faisant la différence entre les techniques biométriques laissant des traces et celles qui n’en laissent pas. Elle fait ainsi la différence entre les solutions de reconnaissance du contour de la main qui ne laissent pas de trace et qui ne peuvent être utilisées pour des finalités non prévue en dehors de la présence de la personne concernée et la reconnaissance par empreintes digitales qui laisse inévitablement des traces et peut dériver vers des utilisations dont la finalité n’est pas prévue initialement. Se fondant sur cette différentiation bien établie, la Cnil a autorisé le 12 janvier 2006 deux lycées à utiliser des dispositifs reposant sur la reconnaissance du contour de la main pour permettre un contrôle à une cantine scolaire. La Cnil a, le même jour, refusé d’autoriser quatre dispositifs biométriques de reconnaissance par empreintes digitales permettant pour trois d’entre eux un contrôle d’accès et pour le dernier un contrôle des horaires. La Cnil considère en effet que la reconnaissance par empreintes digitales ne peut être utilisée qu’en cas de nécessité impérative de sécurité ce qui n’était manifestement pas le cas d’un contrôle d’accès dans une entreprise « classique » et d’un contrôle d’horaire. CNIL – Echos des séances du 30/01/2006 (Mise en ligne Janvier 2006)

Sécurité des systèmes d’information Ecoutes téléphoniques Création de la délégation aux interceptions judiciaires La loi du 10 juillet 1991 encadre les écoutes dites « administratives » (ou de sécurité) et les écoutes dites « judiciaires » ordonnées par un magistrat instructeur ou un procureur dans le cadre d’affaires d’un type bien défini. Les premières s’opèrent sous le contrôle de la Commission Nationale de Contrôle des Interceptions de Sécurité. Les secondes ne bénéficiaient pas d’un tel dispositif, étant contrôlées par le juge. Elles faisaient toutefois l’objet de nombreuses critiques du fait notamment de l’absence de structure administrative permettant de coordonner l’ensemble des nombreux départements ministériels impliqués (justice, défense, intérieur, douane, économie-finances-industrie). Une Délégation interministérielle aux interceptions judiciaires (DIIJ) avait déjà été mise en place en 2005 dans le cadre du plan de rationalisation des dépenses de la justice pour clarifier les modes de calcul des sommes versées aux opérateurs de téléphonie en contrepartie du respect par ceux-ci de leurs obligations. Elle est désormais officialisée par un décret et un arrêté du même jour et porte le nom de Délégation aux interceptions judiciaires (DIJ). La DIJ n’a pas vocation à contrôler l’opportunité d’une écoute judiciaire mais son coût en coordonnant l’ensemble des conditions d’exploitation, notamment financières, des opérations d’interception. Décret n° 2006-1405 du 17 novembre 2006 Arrêté du 17 novembre 2006 (Mise en ligne Novembre 2006)

Sécurité des systèmes d’information Cyberterrorisme Parution du décret passeport électronique Le décret du 30 décembre 2005 relatif au passeport électronique va permettre la mise en place en France de passeports électroniques biométriques contenant d’une part les données habituelles contenues par les passeports et d’autre part l’image numérisée de leur titulaire. Le nouveau passeport biométrique a pour finalité de faciliter l’authentification de son détenteur, de lutter contre la fraude documentaire et de simplifier la vie quotidienne des administrés, ce passeport permettant à toute personne de justifier de son identité. Une puce sans contact sera intégrée au nouveau passeport comportant l’ensemble des données habituelles des passeports (nom de famille, prénoms, couleur des yeux, taille, nationalité, domicile, date de délivrance, numéro de passeport etc.) ainsi que l’image numérisée de son titulaire. Sa durée de validité sera de dix ans et de cinq ans pour les mineurs. Ce décret fait suite à l’avis favorable rendu par la Cnil le 22 novembre 2005 relatif au projet de décret concernant « les passeports électroniques ». Ces nouveaux passeports biométriques devraient être mis en place en France dès octobre 2006. Décret n°2005-1726 relatif au passeport électronique paru au JO du 30 décembre 2005 (Mise en ligne Janvier 2006)

Sécurité des systèmes d’information Cyberdélinquance Le projet de loi sur la prévention de la délinquance avance Le projet de loi relatif à la prévention de la délinquance discuté en première lecture devant l’Assemblée nationale a été adopté par les députés le 5 décembre 2006. Rappelons qu’il prévoit entre autres, de modifier les dispositions du Code de procédure pénale consacrées aux enquêtes de flagrance pour permettre aux services de police judiciaire de mieux démanteler des réseaux criminels sur internet (article 17 du projet de loi). Deux amendements ont ainsi été adoptés visant respectivement à : permettre aux enquêteurs d’agir dans le cadre de l’enquête sur infraction flagrante, de l’enquête préliminaire ou des commissions rogatoires, sans qu’il soit nécessaire de le préciser à chaque fois expressément (amendement n° 219). Cette possibilité procédurale est ouverte à l’ensemble des services de police judiciaire amenés à intervenir sur ce type de dossier, afin d’éviter la saturation des seuls offices et brigades spécialisés ; compléter les attributions des enquêteurs, qui doivent aussi pouvoir acquérir et échanger des contenus illicites pour mener à bien leur mission, sans être pénalement responsables (amendement 221). Une telle autorisation ne consiste pas pour autant à leur donner un blanc-seing pour provoquer à la commission d’une infraction. Autoriser les enquêteurs à échanger les contenus illicites est conforme à la jurisprudence de la Cour de cassation (Cass. crim. 2 mars 1971 et Cass. crim 1994) en matière de provocations policières : le trafic est préexistant à la commission de l’infraction. Projet de loi adopté par l’Assemblée Nationale en première lecture le 5 décembre 2006 (Mise en ligne Décembre 2006)

Sécurité des systèmes d’information Cyberdélinquance Bientôt de nouvelles incriminations Le Sénat propose de nouvelles incriminations lors de la seconde lecture du projet de loi relatif à la prévention de la délinquance. Le fait d’enregistrer ou de diffuser par quelque moyen que ce soit, sur tout support que ce soit, des images relatives à la commission d’atteintes volontaires à l’intégrité de la personne est en effet constitutif d’un acte de complicité. Le projet de loi relatif à la prévention de la délinquance fait à nouveau l’objet de discussions devant l’Assemblée nationale en séance publique du mardi 13 au mercredi 14 février 2007. Projet de loi relatif à la prévention de la délinquance (Mise en ligne Février 2007)

Sécurité des systèmes d’information Passeport biométrique Début du voyage pour le passeport biométrique « Plus de rapidité, de facilité, et de sécurité » voilà résumés les avantages décrits par le Ministre de l’intérieur lors de la remise à un administré de Chantilly, le 31 octobre dernier, du premier passeport biométrique. Conformément au règlement n°2252/2004 du 13 décembre 2004 du conseil européen, la France devra être en mesure de délivrer sur son territoire des passeports biométriques contenant les empreintes digitales numérisées de leur titulaire. Le dispositif juridique mis en place notamment par le décret n°2008-426 du 30 avril 2008, qui modifie le décret n°2005-1726 du 30 décembre 2005, a été validé par la Cnil en décembre 2007 qui a demandé, d’une part, des garanties techniques pour renforcer la protection des données qui seront ainsi centralisées sur un serveur parisien et d’autre part, un encadrement par le Conseil d’Etat. Le déploiement des machines a connu des difficultés et a pris du retard. L’Etat, qui a investi dans 4000 machines permettant de numériser la photo et quatre empreintes digitales du titulaire, doit les déployer dans près de 2000 mairies d’ici juin 2009, date butoir fixée par l’union Européenne. Egalement, le projet de loi sur la protection de l’identité, qui doit conférer aux communes une compétence spécifique à l’instruction des demandes de passeports, ne sera examiné devant le Parlement qu’en début d’année 2009. Certains élus ont fait savoir que le dispositif mis en place pose des interrogations, notamment s’agissant d’un système qui ne pourra couvrir l’ensemble du territoire ou encore sur la sécurité des liaisons informatiques concernant les données à caractères personnel. Dans ce contexte, les informations des cinq départements pilotes (Gironde, Aube, Loire-Atlantique, Nord et Oise) devraient permettre de répondre à ces questions, d’évaluer également le temps de traitement des demandes face à de nouvelles exigences en matière biométrique qui concernent la sécurité des données. Pour les maires, il apparaît nécessaire de revoir le montant et le déclenchement de l’indemnisation des communes, fixé à 3 200 euros par machine et par an pour les frais qu’elles engageront pour les demandeurs d’un passeport qui ne résideraient pas sur leur territoire. Le directeur de l’agence nationale des titres sécurisés a, par ailleurs, précisé, le 29 octobre dernier, que des machines supplémentaires seraient mise à dispositions des communes et que serait financé des projets d’accessibilité des mairies dans la limite de 4000 euros par projet. Communiqué du Ministère de l’intérieur du 31 octobre 2008 (Mise en ligne Novembre 2008)

Droit social Téléchargements illicites L’employeur a la charge de la preuve des faits reprochés Un salarié embauché dans le cadre d’une convention emploi-jeune pour exercer les fonctions d’aide dans une ludothèque, a été licencié pour faute grave au motif qu’il aurait installé à l’insu de son employeur, des logiciels et images illicites sur un ordinateur de la ludothèque. Contestant le bien fondé de son licenciement, le salarié a saisi le Conseil de prud’hommes qui a accueilli favorablement sa demande. La Cour d’appel de Rouen a confirmé cette décision et condamné la ludothèque au paiement de dommages et intérêts au motif que : le salarié n’était pas le seul utilisateur de l’ordinateur ; le fait que les téléchargements litigieux aient été classés dans un dossier « Eric » identifié par le prénom du salarié n’est pas une preuve dans la mesure où il n’existait aucune sécurité, faute d’un code d’accès personnel à chaque usager ; l’utilisation du matériel informatique à des fins personnelles ne constitue pas non plus un motif réel et sérieux de licenciement lorsque l’employeur accorde la possibilité d’en faire un usage raisonnable, ce qui était le cas pour la ludothèque. CA Rouen, ch. soc., 03/05/2005 Paru dans la JTIT n°47/2005 p.6 (Mise en ligne Décembre 2005)