L'émergence de la cybersécurité dans les collectivités : approche juridique d'un enjeu à la croisée de la protection de la vie privée et des services publics

The rise of cybersecurity among cities : legal approach of a subject at the crossroads of data protection and public services protection.

• Auteur / Autrice : Camille Dubedout
• Direction : Théodore Christakis
• Type : Projet de thèse
• Discipline(s) : Sécurité Internationale et défense
• Date : Inscription en doctorat le 01/09/2018
• Etablissement(s) : Université Grenoble Alpes
• Ecole(s) doctorale(s) : École doctorale sciences juridiques
• Partenaire(s) de recherche : Laboratoire : Centre d'Etudes sur la Sécurité Internationale et les Coopérations Européennes

Mots clés

Mots clés libres

Données personnelles

Droit

Gouvernance

Cybersécurité

Villes

Cybercriminalité

Personnal data

Law

Governance

Cybersecurity

Cities

Cybercrime

Résumé

La « datafication » accélérée de la société depuis une dizaine d'années conduit une quantité pléthorique d'acteurs à développer de nouveaux services au sein des territoires. Annonçant l'avènement de villes et de territoires où les technologies numériques seraient omniprésentes, baptisés de façon marketing « smart cities » et « smart territories », la multiplication de ces innovations conduit à refonder en profondeur le fonctionnement économique, juridique et politique des territoires. Or depuis 2018, les métropoles, départements ou petites communes sont également devenues les cibles de multiples attaques d'origine cybercriminelle. A l'instar des attaques par rançongiciel ou des attaques DDoS, ces attaques toujours plus perfectionnées ne cessent de démontrer leur potentiel de nuisance, entrainant la perte de données de citoyens, leur vol, leur inaccessibilité voire l'interruption de nombreux services publics durant plusieurs semaines. Au regard de ces conséquences, il convient de s'interroger sur l'existence d'obligations des collectivités territoriales en matière de cybersécurité. Dans ce cadre, deux régimes se distinguent. Le premier a trait à la responsabilité de sécurité des données personnelles des responsables de traitements telle que consacrée par le Règlement général sur la protection des données à caractère personnel (RGPD) de 2018. Le second interroge la création de nouvelles obligations de cybersécurité au titre de la nouvelle Directive "NIS 2" adoptée en décembre 2022, qui doit faire l'objet en France d'une prochaine loi de transposition, actuellement en discussion. Cette loi, qui s'appliquera à près de 15 000 "entités essentielles" ou "importantes" pourrait alors concerner directement plusieurs centaines de collectivités territoriales. Dès lors, il s'agit d'explorer à la fois les contours, le contenu et les nombreux enjeux juridiques de ce cadre juridique en construction. Au-delà, cette recherche interroge les spécificités d'un droit relatif à la cybersécurité des collectivités territoriales.

The 'datafication' of society over the last ten years has led many public et private actors to develop new services within territories. Heralding the advent of cities and territories where digital technologies will be omnipresent, knowned as 'smart cities' or 'smart territories', these innovations are leading to an in-depth overhaul of the economic, legal and political functioning of these territories. However, since 2018, cities have also been the targets of diverses cybercriminal attacks. Like ransomware attacks or DDoS attacks, these continue to demonstrate their harmful potential, leading to the loss of citizens' data, to data theft and even to the interruption of public services for several weeks. Faced with these consequences, it is appropriate to question the responsibilities of local authorities in terms of data protection and cybersecurity, as well as the attached obligations. In this context, two legal regimes stand out. The first one relates to the responsibility for the security of personal data of data controllers as enshrined in the General Regulation on the Protection of Personal Data (GDPR) in 2018. The second legal regime questions the creation of new cybersecurity responsibilities under the NIS 1 Directive of 2016 and its revision in 2023 via the new “NIS 2” Directive. The 2016 directive thus addresses the protection of “operators of essential services”. The second will apply through a future French law to all “essential” or “important” activities. From then on, it is a question, through numerous semi-structured interviews, of exploring the effectiveness and relevance of this legal framework under construction. Beyond this, this research questions the specificities of responsabilities of local authorities relating to the cybersecurity.