Depuis quelques jours, le vol de données personnelles détenues par la DGFIP de près 700 000 particuliers et entreprises met sur le devant de la scène politique et médiatique la question de la protection des données personnelles par l’État et de la vulnérabilité des outils ministériels. Mais la DGFIP n’est pas la seule administration concernée. En quatre mois, l’Éducation nationale a connu, au moins, trois piratages de ce type. En juillet, ce sont aussi des données relatives aux personnels de France Travail qui ont été volées. Régulièrement des collectivités territoriales sont la cible de telles cyberattaques. Et ce n’est sans doute que la partie émergée de l’iceberg, ces vols de données sont souvent reconnus par l’administration parce qu’elle y est forcée par les cybercriminels qui popularisent leurs méfaits. La CNIL constate un doublement de la part des fuites de données du secteur public en deux ans, une hausse qu’elle attribue notamment à un manque de moyens alloués à la sécurisation des systèmes d’informations.
La FSU dénonce le temps de réaction avec lequel les différents ministères ont traité ces attaques : la DGFIP avait identifié des intrusions dès juin et juillet, mais c’est seulement à la mi-août que le vol de données a été constaté. Au ministère de l’Éducation nationale, après avoir assuré dans sa communication estivale, que les données des élèves n’étaient pas concernées par l’attaque de la fin du mois de juillet, le ministère annonçait ces derniers jours de nouvelles vérifications pour s’en assurer. La légèreté de l’administration confine à une forme d’irresponsabilité.
Les administrations font aussi preuve d’une grande insuffisance faiblesse dans l’information aux personnels. A France Travail, après l’attaque de juillet, les personnels n’ont pas été mis au courant. A l’Éducation nationale, un mail général, qui relève plus d’un communiqué de presse, a été envoyé à tous les personnels le 3 août. On est très loin des recommandations de la CNIL qui plaide pour une information individualisée aux agent·es, avec les informations précises sur ce qui a été volé.
Aujourd’hui, des millions de données personnelles sont dans la nature ou en train d’être revendues, exposant les personnels et les usager·es à des désagréments, méfaits (arnaques, usurpations d’identité…) ou à des situations dangereuses. Encore une fois, les agent·es des services publics et les usager·es vont payer au prix fort l’inconséquence gouvernementale, c’est insupportable !
La FSU ne méconnaît pas la difficulté à appréhender des enjeux de sécurité numérique dans un monde où les données personnelles sont d’autant plus sensibles et recherchées qu’elles sont devenues une marchandise et donc d’autant plus sensibles et recherchées, et c’est d’ailleurs pour cela qu’elles font l’objet de vols et de revente. Mais il n’est pas acceptable que les administrations soient si en retard sur les enjeux de sécurisation, d’information, de formation et d’accompagnement des personnels. Les différents ministères et employeurs publics ne peuvent pas, comme ils le font depuis des années, promouvoir le tout numérique, et depuis peu l’IA, sans aucune réflexion si ce n’est une forme de technophilie béate, et, en « même temps », ne pas assumer leurs responsabilités en matière de protection des données. Dans les services publics, la cybersécurité ne doit plus être une option et, comme pour tout sujet à enjeu, elle ne pourra se mener sans les moyens suffisants.
Toute la lumière doit être faite sur la réalité des fuites de données de ces derniers mois, et toutes les victimes doivent a minima en être informées de manière individualisée.
La séquence de ces derniers jours, en particulier l’ampleur des vols des données personnelles à la DGFIP et à l’Education nationale, pose clairement la question de la confiance que les personnels et les usager·es peuvent avoir en l’État. Pour la FSU, cette confiance ne se restaurera qu’avec des actes et des investissements rapides en matière de sécurisation mais aussi d’information, de formation et d’accompagnement des personnes concernées.
