Souveraineté numérique et protection des données

En deux ans, les Français ont vu fuiter les données de plus de quarante millions de demandeurs d'emploi, celles de plus de trente millions d'assurés sociaux, celles de millions de clients d'opérateurs télécoms. Aucun dirigeant n'a perdu son poste. Aucune entreprise n'a été exclue d'un marché public. Aucune victime n'a été indemnisée automatiquement.

Cela s'arrête.

Un régime de sanctions qui mord

Socle de sécurité obligatoire et opposable pour tout traitement concernant plus de 100 000 personnes : chiffrement au repos et en transit, authentification multifacteur sur les accès administrateurs, segmentation des réseaux, journalisation conservée douze mois, correction des vulnérabilités critiques sous quinze jours. Le manquement se constate objectivement.
Amende plancher automatique, proportionnelle au nombre de personnes dont les données ont été exposées, avec un barème progressif selon la taille de l'organisation. Les très petites structures bénéficient d'un accompagnement technique public gratuit avant toute sanction.
Indemnisation forfaitaire automatique des victimes, sans qu'elles aient à prouver un préjudice ni à engager une procédure.
Responsabilité personnelle du dirigeant en cas de négligence documentée, c'est-à-dire lorsque le risque avait été signalé en interne et ignoré. Une attaque sophistiquée contre un système à jour n'engage pas cette responsabilité. Nous sanctionnons la négligence, pas la malchance.
Exclusion des marchés publics pendant trois ans après une fuite majeure imputable à une négligence caractérisée.
Audit de sécurité indépendant et publié tous les deux ans pour tout organisme traitant les données de plus d'un million de personnes.
Triplement des moyens de la CNIL et de l'ANSSI, création d'un corps d'inspecteurs cyber assermentés disposant d'un pouvoir de suspension sous astreinte.

Les données publiques sortent du droit extraterritorial

Qualification de sécurité souveraine obligatoire pour tout hébergement de données de santé, de données publiques et de données d'opérateurs d'importance vitale. Vingt-quatre mois pour les nouveaux marchés, quarante-huit mois pour migrer l'existant.
Migration des données de santé hors de toute infrastructure soumise à une législation étrangère d'accès aux données, avec calendrier public et rapport trimestriel au Parlement.
Interdiction de principe pour une administration de contractualiser avec un fournisseur soumis à une telle législation, sauf dérogation motivée et publiée.

Le logiciel libre par défaut

Doctrine « libre par défaut, propriétaire par exception motivée » dans toute l'administration.
Sortie de l'Éducation nationale des suites propriétaires étrangères. Plusieurs millions d'utilisateurs, c'est aussi une politique industrielle : nous créons le marché dont la filière européenne a besoin.
Tout logiciel financé sur fonds publics est publié sous licence libre, sauf impératif de sécurité nationale.
Formats ouverts et interopérabilité obligatoires, avec sanction du verrouillage.

Réinternaliser les compétences de l'État

L'État externalise parce qu'il n'a plus les compétences, et il n'a plus les compétences parce qu'il externalise. Il paie ainsi une rente perpétuelle de maintenance sur des systèmes qu'il ne maîtrise plus et dont il ne possède parfois même pas le code.

Interdiction absolue de sous-traiter la conception d'une politique publique. Un prestataire fournit une expertise technique, il ne rédige pas une réforme et ne pilote pas un projet public.
Propriété publique du code et des données dans tout marché informatique, avec réversibilité contractuelle garantie.
Grille de rémunération dérogatoire pour les métiers techniques de l'État, sans laquelle aucune réinternalisation n'est possible. L'État loue aujourd'hui trois fois plus cher des compétences qu'il ne peut pas recruter.
Plafond de dépenses de prestation intellectuelle par ministère, voté en loi de finances, tout dépassement justifié publiquement.
Publication en données ouvertes de tous les marchés de conseil et de prestation : objet, montant, prestataire, livrable.
Délai de carence entre une mission de conseil auprès d'une administration et un recrutement dans le secteur concerné, dans les deux sens.

Pour l'infrastructure critique, nous n'exigerons pas une nationalité, que le droit interdit, mais des critères qui produisent le même résultat : localisation des traitements en Europe, immunité démontrée à toute législation extraterritoriale, propriété du code, allotissement obligatoire des marchés. Pour le socle le plus sensible, l'État sera propriétaire de l'outil et non client d'un prestataire.

Réguler les plateformes

Encadrement des algorithmes de recommandation et obligation de transparence.
Interdiction de la publicité ciblée sur les mineurs.
Interdiction de toute décision administrative individuelle entièrement automatisée.
Présomption de salariat pour les travailleurs des plateformes.
Durée minimale de dix ans de mises à jour de sécurité pour tout appareil vendu en France.