VÉRIF’ – Fuite de données : la Cnil pourrait-elle imposer une amende à l’ANTS, payée par les Français ?

• L’ANTS, en charge des demandes de pièces d’identité, a été victime d’un incident de sécurité qui pourrait concerner près de 12 millions de comptes.
• Sur les réseaux sociaux, certains internautes assurent que cette agence pourrait être sanctionnée par la Cnil, le gendarme en charge de surveiller la protection des données.
• Ils assurent même que les contribuables devraient alors régler l’amende… mais est-ce réellement le cas ?

L’ampleur de la fuite est vertigineuse. Près de 12 millions de comptes ont été touchés par un incident de sécurité (nouvelle fenêtre) qui a visé le portail de l’Agence nationale des titres sécurisés (ANTS) à la mi-avril, a annoncé mardi le ministère de l’Intérieur. Au-delà des risques liés à cette potentielle « divulgation de données issues de comptes particuliers et professionnels », des internautes affirment que cette agence, qui gère les demandes de pièces d’identité, serait menacée d’une amende… qu’il reviendrait aux contribuables de régler. 

« La Cnil (Commission nationale de l’informatique et des libertés, NDLR) pourrait infliger une amende à l’ANTS après la cyberattaque ayant entraîné une fuite massive de données personnelles de millions d’usagers », écrit un internaute sur X (nouvelle fenêtre), un message visionné près d’un million de fois. « La Cnil va infliger une amende à l’ANTS qui sera payée avec quoi??? avec les impôts des Français mdrrr », ironise un autre (nouvelle fenêtre). Sur LinkedIn (nouvelle fenêtre), l’expert en cybersécurité indépendant Clément Domingo, alias « SAXX », résume : « la Cnil qui va mettre une amende à l’ANTS, qu’on va payer… Double peine ». Mais ce gendarme de la protection des données (nouvelle fenêtre) peut-il vraiment sanctionner l’agence ?

Une sanction pécuniaire peut bien être prononcée…

Le ministère de l’Intérieur, sous la tutelle duquel l’ANTS est placée, précise dans un communiqué (nouvelle fenêtre) que la Cnil a été notifiée de cet incident, mais n’évoque aucune sanction. Contactée par TF1info, la Commission refuse d’indiquer si une amende est bel et bien envisagée contre ce service, mais nous confirme que ce scénario serait possible. 

La Cnil, autorité administrative indépendante de l’État, peut en effet prononcer plusieurs sanctions (nouvelle fenêtre) en cas de manquement à la protection des données, du rappel à l’ordre à l’amende administrative, qui peut monter jusqu’à 10 millions d’euros. Cette dernière peut viser des entreprises privées, mais aussi des entités publiques. Pour autant, celles-ci ne sont pas toutes soumises au même régime. 

La Cnil peut ainsi « adopter des sanctions pécuniaires contre des établissements publics (exemple : un hôpital public) ou des collectivités territoriales (exemple : une commune) », mais elle « ne peut pas le faire à l’encontre de l’État », par exemple « un ministère », détaille l’autorité auprès de TF1info. En revanche, les établissements publics administratifs, en charge d’une mission de service public, peuvent bien être visés par des sanctions, « même si le traitement en cause poursuit un intérêt public et que l’entité est sous tutelle de l’État », nous indique ainsi la Commission. 

C’est le cas de l’ANTS, qui peut donc « faire l’objet d’une sanction pécuniaire, même s’il est sous la tutelle du ministère de l’Intérieur », insiste l’autorité, qui précise avoir déjà « sanctionné par le passé des établissements publics administratifs sous tutelle de ministères ». France Travail, qui répond du même statut d’établissement public administratif, s’était par exemple vu infliger une amende de cinq millions d’euros (nouvelle fenêtre) pour une fuite de données en janvier dernier. 

… mais sans surcoût pour le contribuable

Sur le plan juridique, cet arbitrage dépend du choix de chaque pays au sein de l’Union européenne. Le règlement général sur la protection des données (RGPD) (nouvelle fenêtre) laisse en effet « à chaque État membre le soin de décider si, et dans quelle mesure, des amendes administratives peuvent viser des autorités ou organismes publics », explique Guillaume Desgens, magistrat et professeur associé au Conservatoire national des arts et métiers (Cnam). 

« La France a retenu une solution intermédiaire : la formation restreinte de la Cnil peut prononcer une amende administrative, sauf lorsque le traitement est mis en œuvre par l’État », poursuit-il, ce que précise l’article 1 de la loi de 2018 (nouvelle fenêtre) sur la protection des données personnelles. « En pratique, cela signifie en revanche que des personnes publiques distinctes de l’État peuvent être frappées d’une amende », du moment qu’elles « sont responsables du traitement en cause », détaille-t-il.

La Cnil peut donc bien prononcer en théorie une amende contre l’ANTS. Mais si une telle sanction pécuniaire était annoncée, le contribuable devrait-il alors payer ? En réalité, ce n’est pas le cas : les « amendes prononcées sont recouvrées par le Trésor public, elles sont versées au budget de l’État », nous précise la Cnil. En d’autres termes, une somme prélevée dans le budget d’une administration serait réinjectée dans les caisses publiques… sans surcoût pour les Français. « Ce que l’État prend d’une main, elle le reprend de l’autre », résume Guillaume Desgens.

Une sanction pécuniaire vraiment efficace ?

Pour le spécialiste, une telle amende n’a même « qu’un intérêt symbolique ». À son sens, une « véritable sanction » de la Cnil passerait plutôt par d’autres leviers au contraire « très puissants » dont dispose le gendarme. À savoir une « sanction d’image », en rendant public un manquement épinglé (nouvelle fenêtre), et « l’interruption du traitement litigieux », c’est-à-dire la possibilité de bloquer le traitement de données par la structure mise en cause, tant qu’aucune mise en conformité avec le RGPD n’est démontrée. 

D’autres spécialistes estiment à l’inverse qu’une amende a un vrai poids : même si les sommes sont ensuite réinjectées dans les caisses de l’Etat, l’administration mise en cause voit bien son propre budget être amputé. Pour Suzanne Vergnolle, maître de conférences en droit du numérique au Cnam également, il faudrait même que la Cnil puisse toucher au portefeuille des ministères en cas de manquements à la protection des données. « En termes de stratégie politique, ne pas le faire, c’est dommage ! Cela ne les incite pas nécessairement à se mettre en conformité, développe la chercheuse. « La sanction pécuniaire a un impact assez direct, alors que les rappels à la loi ont moins de prise sur les administrations. »

En résumé, la Cnil peut en effet prononcer une amende contre l’ANTS, même si elle ne confirme aucune démarche dans ce cas précis de fuite de données. Si elle ne peut pas imposer de sanctions pécuniaires aux ministères, elle peut en revanche punir des organismes qui sont sous leur tutelle, comme l’est cette agence nationale. Si cette amende était bel et bien prononcée, les contribuables n’auraient toutefois pas à débourser davantage, puisque les fonds ponctionnés auprès de l’ANTS seraient réinjectés au Trésor public. Un fonctionnement dont l’efficacité fait débat parmi les spécialistes.