Sécurité des données personnelles détenues par les administrations publiques

M. Antoine Vermorel attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur la sécurité des systèmes d'information des administrations et organismes publics ainsi que sur la protection des données à caractère personnel qu'ils détiennent. Au cours des dix-huit derniers mois, plusieurs violations de données d'une ampleur inédite ont affecté des acteurs publics majeurs : France Travail, pour des fichiers comportant notamment des numéros d'inscription au répertoire national d'identification des personnes physiques, le ministère de l'intérieur, l'Agence nationale des titres sécurisés, le réseau des centres régionaux des œuvres universitaires et scolaires, l'éducation nationale et, plus récemment, la direction générale des finances publiques. Ces incidents présentent une particularité qui les distingue des atteintes ordinaires à la confidentialité dans la mesure où ils portent sur des données non modifiables dont la divulgation est par nature irréversible et expose durablement les personnes concernées à des risques d'usurpation d'identité et d'hameçonnage ciblé. Cette situation nourrit par ailleurs un sentiment d'inégalité de traitement chez les acteurs économiques, en particulier les très petites et moyennes entreprises, pleinement soumises au règlement général sur la protection des données et engageant à ce titre la responsabilité personnelle et financière de leurs dirigeants, alors que le régime de sanction applicable aux organismes publics demeure plafonné à 10 millions d'euros, sans commune mesure avec le nombre de personnes affectées. Il lui demande, en conséquence, si l'authentification multifacteur est aujourd'hui obligatoire pour tout accès d'agent ou de tiers habilité à une base de données publique contenant des NIR et, dans la négative, selon quel calendrier cette obligation sera généralisée. Il souhaite également savoir si le Gouvernement estime le plafond de sanction applicable aux organismes publics encore dissuasif au regard des volumes de données concernés, quel délai il considère comme conforme aux obligations d'information des personnes prévues par le règlement général sur la protection des données, alors que plusieurs semaines se sont écoulées entre la survenance et la notification de la violation affectant la direction générale des finances publiques, et enfin, quel est l'état d'avancement du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, transposant la directive dite « NIS 2 », ainsi que la nature des obligations concrètes qu'il fera peser sur les administrations elles-mêmes.