- il y a 14 heures
Tous les jours de la semaine, invités et chroniqueurs sont autour du micro de Charles Luylier pour débattre des actualités du jour.
Catégorie
🗞
NewsTranscription
00:00Alors je le disais, c'est aujourd'hui que les quasiment 700 000 victimes du piratage de données sur le
00:05site des impôts
00:06ont été théoriquement informées et prévenues.
00:10On les a donc avertis justement et puis on a appris il y a quelques heures un autre piratage.
00:16Cette fois-ci au Crédit Agricole, les coordonnées bancaires de 1000 clients ont été volées.
00:21Bref, ça n'arrête pas.
00:22Alors la cellule interministérielle de crise s'est réunie aujourd'hui,
00:25ce qui donne un peu une idée de l'ampleur de la crise.
00:28Les sénateurs PS demandent même une commission d'enquête.
00:31J'accueille Maître Jérémy Roche.
00:33Bonsoir Maître.
00:36Bonsoir.
00:36Bonsoir.
00:37Oui, vous êtes avocat au barreau de Béziers.
00:39Alors vous avez Maître Jérémy Roche, parce que je le rappelle aussi,
00:43vous êtes spécialiste en droit de la protection des données personnelles.
00:47Vous avez un gros portefeuille client, on ne peut le dire et on ne trahit pas de secret en l
00:53'affirmant.
00:53Des clients sensibles qui potentiellement pourraient être concernés par ce piratage.
00:58Est-ce que vos clients sont inquiets, Jérémy Roche ?
01:02Oui, absolument.
01:05Alors je ne vais pas rentrer dans des cas spécifiques.
01:07Mais pour prendre un exemple directement, vous avez particulièrement la clientèle crypto,
01:14c'est-à-dire des personnes qui disposent de crypto-monnaies, qui ont investi il y a plusieurs années,
01:19qui se sont retrouvées dans plusieurs fuites de données, qui ont dû déménager à cause de ça,
01:23qui ont possiblement pour certaines été braquées, qui ont subi des agressions, etc.
01:29Bon, ces personnes ont déménagé aujourd'hui.
01:31Et il suffit en fait d'agréger ces anciennes fuites avec la nouvelle,
01:37avec un nom-prénom qui est assez spécifique, concernant par exemple plusieurs clients.
01:40Et donc vous allez vous retrouver avec une base actualisée, on recoupe,
01:44on utilise les nouvelles fuites avec les anciennes,
01:46et on a la nouvelle adresse de la personne, on peut aller la chercher chez elle.
01:49Voilà, pour vous donner un simple exemple de crainte.
01:52Alors c'est quand même incroyable ce que vous nous dites là, Jérémy Roche.
01:56Pour vous, c'est votre métier, donc cela vous paraît presque normal,
02:00quoique je pense que vous avez conscience que c'est assez inhabituel.
02:05Vous nous confirmez, Jérémy Roche, que vos clients, certains de vos clients,
02:09après des menaces concernant des cryptos, ou bien des actifs assez volumineux,
02:17plusieurs de vos clients, par peur d'avoir, ou d'être, ou d'avoir déjà été agressés,
02:21ont tout simplement déménagé.
02:23Ce n'est pas anodin ça, Jérémy Roche ?
02:25Oui, absolument. Vous retrouverez dans la presse, ça a été évoqué, il me semble, dans Le Parisien,
02:32vous avez un couple, pour vous donner un exemple, vous avez un couple qui a acheté une maison,
02:38très récemment, et ce ne sont pas mes clients, c'est vraiment un dossier qui est sorti dans la presse,
02:43je l'ai appris comme ça, des personnes qui se sont faites braquer trois fois en six mois.
02:47Pourquoi ? Tout simplement parce que c'est l'ancien propriétaire qui était dans les fuites,
02:51et donc ces personnes se font elles-mêmes braquer,
02:53les braqueurs croient que ce sont ces personnes-là qui détiennent de la crypto ou je ne sais quoi,
02:57et donc, si vous voulez, avec cette nouvelle fuite par exemple,
03:01on pourrait retrouver l'ancien propriétaire de la crypto et aller le chercher à sa nouvelle adresse.
03:06Donc vous pouvez même vous faire avoir et vous faire poursuivre,
03:09même si vous n'êtes pas détenteur de crypto par exemple,
03:11mais j'ai fait exprès de vous prendre les cas les plus hardcore, les cas les plus agressifs,
03:16parce que effectivement ça existe, mais c'est rare, il ne faut pas non plus généraliser.
03:21Maître Jérémy Roche, j'imagine que depuis la fin de semaine dernière,
03:26moment à partir duquel nous avons eu vent de cette fuite de données au sein de la DGFIP,
03:32le site des impôts, beaucoup de vos clients vous ont contacté, j'imagine, un peu apeuré ?
03:41Totalement, totalement, et c'est face au flux de demandes que j'ai décidé d'ouvrir une action collective,
03:48puisque effectivement, face à ces fuites-là, il y en a deux,
03:52vous avez la fuite des impôts des DGFIP, mais vous avez aussi une base de données cadastrale, il me semble,
03:58confirmée avec plus de 2 millions de personnes qui sont aussi concernées.
04:01Donc si vous voulez, face à ces fuites-là, il me semblait évident de monter d'un cran sur le
04:08sujet,
04:09et effectivement, oui, j'ai été mis sous pression par de nombreux clients qui se sont dit
04:12« ce n'est pas possible d'avoir recommencé », et là, ces personnes-là attendent actuellement de savoir
04:15si elles sont concernées ou non, elles attendent le mail, il y a un stress.
04:19L'idée n'est certainement pas d'avoir, et ce ne serait même pas intéressant d'avoir l'identité de
04:23vos clients,
04:24mais combien de clients à peu près vous ont contactés pour qu'on puisse mesurer l'ampleur de la panique
04:29?
04:31– Après, je suis un petit cabinet, mais si vous voulez, on va dire que j'ai reçu une centaine
04:35de demandes.
04:36– Ah ben, c'est pas rien. C'est énorme, effectivement.
04:39– C'est pas rien, effectivement. Non, mais il ne faut pas non plus s'imaginer qu'il y a
04:42un flou énorme,
04:42mais si vous voulez, moi, à mon échelle, moi, je n'ai jamais vu ça.
04:46Donc on est sur une fuite énorme. La dernière qui avait, on va dire, cette importance-là,
04:51bon, il y en a deux, il y a FICOBA et il y a NTS.
04:53– Tout à fait. Alors, si plusieurs de vos clients sont concernés, on ne vous le souhaite pas, Jérémy Roche,
04:59mais si certains de vos clients sont concernés, que prévoyez-vous, en tant qu'avocat,
05:04je le rappelle au barreau de Béziers, que prévoyez-vous comme action ?
05:09– Alors, je souhaite tenter une action collective en indemnisation du préjudice subi.
05:15C'est tout à fait permis par les textes. Simplement, c'est le parent pauvre du RGPD.
05:19Il y a très, très, très, et j'insiste, très peu de jurisprudence.
05:22Ça ne rendra pas les victimes très riches, d'ailleurs.
05:25Le but n'est absolument pas de rendre riche toute personne victime.
05:29Le but est de vous remettre dans la situation avant la fuite,
05:33c'est-à-dire de compenser le préjudice qui a été subi.
05:35Alors, il faudra voir combien on peut demander par personne.
05:38Le préjudice reste individualisé.
05:40Mais, effectivement, on est désormais fondé au vu des manquements,
05:43au vu des éléments que j'ai pu constater et que j'ai pu relever.
05:47Je pense qu'effectivement, il y a un manquement à l'article 32 du RGPD.
05:49Et on est fondé au titre de l'article 82 d'aller chercher maintenant la responsabilité de la DGFIP, en
05:54tout cas de l'État.
05:55Voilà, tout à fait. Alors, responsabilité de l'État, vous l'évoquez, Jérémy Roche.
05:59Et c'est là-dessus que souhaite vous interpeller Antonin André, rédacteur en chef du service politique au JDD.
06:05Je n'ai pas apporté ma contribution, disons, à cette discussion.
06:07Mais c'est vrai qu'on est surpris de voir que des services aussi importants que la NTS,
06:10ou bien les services de Bercy, qui détiennent des données hypersensibles à la fois pour nous,
06:16chacun d'entre nous aux contribuables, mais également pour les entreprises,
06:19ne soient pas armées comme une forteresse numérique capable de faire face à ce genre d'attaque.
06:23Et il y a une demande, là, du groupe socialiste au Sénat d'une commission d'enquête.
06:27Il se trouve que l'union centriste présidée par le sénateur Hervé Marseille
06:31avait, dès le 16 juin dernier, demandé une commission d'enquête sur les fuites.
06:35Et on voit une nouvelle fois là qu'il y a quand même un retard, je trouve,
06:38dans la prise en compte de ce genre de choses par l'État.
06:41Et le Sénat s'illustre d'ailleurs souvent par le sérieux et la qualité de ces commissions d'enquête.
06:46Et je pense que ce serait utile d'avoir une commission d'enquête pour savoir exactement
06:49où sont les failles de sécurité sur les services qui sont aussi sensibles que ceux de Bercy.
06:54Je ne sais pas si vous, vous avez déjà interrogé les interlocuteurs à Bercy,
06:59maître, sur la façon dont tout ça a pu se produire,
07:02parce que c'est aussi ça que l'enquête devra révéler.
07:04Est-ce que sur ce sujet-là aussi, vous avez besoin de réponses ?
07:07Jérémy Roche.
07:08Alors, j'ai besoin de réponses, mais je n'ai pas besoin d'interroger.
07:11C'est-à-dire que l'action indemnitaire, elle est favorable, en tout cas sur ce plan-là,
07:16en matière de charge de la preuve, en fait, elle est favorable à la victime.
07:19C'est-à-dire que ce n'est pas à la victime de démontrer que la DGFIP a fauté.
07:23Ça va être l'inverse.
07:24En fait, on va envoyer, si vous voulez, la patate chaude de l'autre côté du terrain,
07:29et ça va être à la DGFIP de démontrer qu'elle n'a pas commis de fautes.
07:32Donc, c'est favorable pour nous.
07:33En fait, le but est d'obtenir des réponses.
07:35Mais par contre, pas par une commission d'enquête politique.
07:38Là, ça va se jouer devant les tribunaux,
07:39puisque l'enjeu à la clé sera quand même assez substantiel.
07:43Ça, c'est concernant la responsabilité administrative.
07:47Il y a aussi une responsabilité pénale.
07:48Il y a un volet pénal qui va être ouvert contre les personnes physiques,
07:51puisque l'État est irresponsable en tant que personnes morales.
07:53Mais les personnes physiques, elles, ne sont pas irresponsables.
07:56Et on peut très bien porter plainte contre X,
07:57contre tout agent qui a, par son manquement, contribué à cette fuite.
08:02Ça me dommage.
08:03Il peut même y avoir une mise en cause éventuellement de ministres,
08:05comme ça a été le cas, par exemple, sur le Covid.
08:07On a vu qu'il y avait des plaintes qui avaient été déposées.
08:09C'est le genre de responsabilité qui peut incomber
08:11au chef de l'administration et donc au ministre ?
08:15Je n'ai pas étudié ce pan, en tout cas, de la question.
08:18Je me suis concentré vraiment sur l'article 82
08:20et ce que je fais plus ou moins habituellement dans un comité restreint.
08:23Alors, quel tribunal, Jérémy Roche, spécialiste en droit
08:27de la protection des données personnelles,
08:30auprès de quel tribunal allez-vous, justement, débuter vos actions ?
08:37Alors, premièrement, tribunal, j'inclus au sens large la CNIL,
08:41qui n'est pas un tribunal, mais il y a des plaintes CNIL
08:43qui peuvent être déposées.
08:44D'ailleurs, je vais faire un appel ce soir à déposer des plaintes article 32.
08:48Je le détaillerai très brièvement.
08:50En fait, toute personne, même si elle n'est pas dans la fuite,
08:52peut porter plainte au titre de l'article 32,
08:55puisqu'on est supposément victime tous d'un manquement
08:59en matière de sécurisation des données.
09:00Premièrement, ça, c'est la CNIL.
09:01Deuxièmement, le procureur de la République,
09:03puisqu'il y aura une enquête pénale contre,
09:06premièrement, les pirates, qui sont les premiers aussi responsables,
09:09et aussi, je vous l'ai dit, contre X,
09:11les agents qui ont participé ou non, l'enquête le dira,
09:14à ces faits.
09:15Premièrement, et ensuite, concernant le tribunal,
09:18donc ce sera principalement et exclusivement le tribunal administratif
09:22avec des requêtes indemnitaires préalables,
09:24et ensuite, un ministère d'avocat obligatoire.
09:26C'est la procédure.
09:27Avec éventuellement un référé liberté ?
09:29Devant les tribunaux administratifs.
09:30Vous évoquez le tribunal administratif ?
09:32Non, pas de référé liberté, absolument pas.
09:34D'accord.
09:35Pas de référé liberté, il n'y a aucun référé,
09:37c'est rendu RPG au cours de pleine juridiction.
09:39Alors, bon, on l'a répété la semaine dernière, Jérémy Roche,
09:43théoriquement, lorsqu'un site comme celui des impôts,
09:47pour parler simplement, est piraté,
09:49il y a des délais, c'est très cadré.
09:52Théoriquement, c'est un décret européen
09:54qui oblige les finances publiques
09:57à communiquer dans un délai de trois jours,
09:59c'est-à-dire 72 heures.
10:01Là, visiblement, on a attendu presque deux mois, voire plus.
10:05Est-ce un problème, ça, Jérémy Roche ?
10:07Et allez-vous, justement, vous en servir
10:09dans vos différentes démarches, si j'ose dire ?
10:14Totalement.
10:15Alors, après, à éclaircir, mais totalement,
10:17puisque, alors, ce n'est pas un décret, pour être précis,
10:19c'est un règlement européen de la dégabilité directe,
10:21le RGPD, les articles 33 et 34.
10:24Donc, vous avez le 33 qui prévoit une information
10:27à 72 heures à la CNIL.
10:29Donc, ça, ça a été fait la semaine dernière,
10:32en tout cas, en fin de semaine dernière,
10:33sauf que ce délai part à compter de la découverte des faits.
10:36Moi, ce qui m'interpelle dans ce dossier,
10:38c'est qu'il y a apparemment eu, en tout cas,
10:41un compte bloqué, parce que le fameux compte en question,
10:44les faits datent de juin, en fait.
10:45Donc, en juin, le compte est bloqué,
10:47mais silence radio jusqu'en août,
10:48jusqu'à ce que la base, en fait, sorte sur Internet.
10:50Donc, déjà, il y a ce délai-là de 72 heures.
10:52Est-ce que la DGFIP l'a vraiment découvert,
10:54donc, la semaine dernière ?
10:56Ou est-ce qu'elle a vraiment découvert en juin
10:57et elle a caché ça sous le tapis ?
10:58Première, donc, interrogation.
11:00Et votre avis, pardon, Jérémy Roche,
11:03votre avis là-dessus ?
11:05Mouillez-vous un petit peu, si j'ose dire.
11:09Mouiller, alors, il y a deux possibilités.
11:11Soit la DGFIP a découvert ceci,
11:15donc, la semaine dernière,
11:16et donc, au niveau du délai,
11:17il n'y a pas de difficulté,
11:18il n'y a pas de violation d'article 33.
11:19Par contre, il y a une violation d'article 32,
11:20puisque les logiciels qu'on appelle les CIEM ou des IDS
11:23auraient dû détecter cela.
11:24Et donc, il y a un manquement, en fait,
11:27évident en matière de sécurité du service.
11:29Donc, si vous voulez, le manquement,
11:31on ne peut que s'engouffrer dans cet article 32,
11:34qui, à mon sens, est bien violé ici.
11:36Sinon, à l'inverse,
11:38ça a bien été détecté à l'époque par le CIEM
11:40et par les logiciels.
11:41Très bien, mais par contre,
11:42pourquoi avoir notifié deux mois après ?
11:44Donc, là, il y aura une violation d'article 33.
11:46Très bien, merci.
11:47Donc, dans les deux cas, c'est qu'affrayant.
11:48Oui, tout à fait, effectivement.
11:49Alors, c'était un peu technique,
11:50mais je pense qu'on a compris l'essentiel.
11:52Merci beaucoup, Maître Jérémy Roche,
11:55avocat au barreau de Béziers,
11:57spécialiste en droit de la protection
11:58des données personnelles.
12:00Alors, Antonin André, Michel Fayad,
12:03il nous reste une minute
12:05avant de rejoindre le journal permanent
12:07et le rappel de l'actualité
12:08avec Stéphane Burgatte.
12:10Comment pensez-vous que ça va se finir,
12:12cette histoire ?
12:12Antonin André, Michel Fayad,
12:14ça a l'air quand même extrêmement compliqué.
12:16Bon, voilà, parce qu'il y aura,
12:18il y aura évidemment des représailles
12:20de la part des victimes.
12:21Oui, oui, c'est très compliqué.
12:22Alors, Sébastien Lecornu
12:24a demandé une enquête aussi administrative.
12:25Donc, il va y avoir, je pense,
12:27une volonté de faire quand même
12:28la transparance sur ce qui s'est passé,
12:30ne serait-ce que pour qu'on puisse
12:31éventuellement faire en sorte
12:32que ça ne se reproduise plus.
12:34Mais effectivement,
12:35s'il y a des préjudices
12:36pour les particuliers,
12:37ça risque aussi de coûter
12:38de l'argent à l'État,
12:40puisqu'il faudra qu'il y ait réparation
12:41à la fois d'éventuelles fraudes
12:43et des sommes fraudées,
12:44mais également des préjudices
12:45subis par ces administrations.
12:46Donc, on est au début de cette affaire-là
12:48qui, espérons-le,
12:49comme souvent on se dit
12:50avec un scandale comme celui-là,
12:52peut-être qu'on en évitera d'autres
12:53et qu'on pourra tirer des enseignements
12:56et des retours d'expérience
12:56pour pouvoir mettre en place
12:57des moyens de défendre
12:59l'intimité de nos comptes.
13:00Merci d'avoir regardé cette vidéo !
Commentaires