Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union

[Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu]

(2022/C 258/07)

Le 22 mars 2022, la Commission européenne a adopté une proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union (la «proposition»).

Le CEPD se félicite de l’objectif de la proposition qui vise à améliorer la posture de cybersécurité des institutions, organes et organismes de l’Union (les «institutions de l’Union»), et salue également le nouveau rôle de l’ancienne «équipe d’intervention en cas d’urgence informatique», désormais dénommée «centre de cybersécurité» (CERT-UE), compte tenu de l’intensification de la transformation numérique, de l’évolution rapide du paysage des menaces qui pèsent sur la cybersécurité et de la récente évolution de la transformation numérique due également à la pandémie de COVID-19.

Le CEPD regrette que la proposition ne soit pas alignée sur la directive SRI et sur la proposition SRI 2.0, afin que des règles cohérentes et homogènes soient mises en place pour les États membres et les institutions de l’Union, contribuant ainsi au niveau global de cybersécurité de l’Union. Le CEPD recommande d’ajouter dans la proposition que les exigences minimales en matière de sécurité devraient être au moins égales ou supérieures aux exigences minimales en matière de sécurité des entités visées dans la directive SRI et la proposition SRI 2.0.

Afin de se conformer à la proposition, les institutions de l’Union, ainsi que le CERT-UE, devront déployer certaines procédures et mesures de cybersécurité, qui impliqueront nécessairement un traitement supplémentaire des données à caractère personnel. Afin de garantir la sécurité juridique et la prévisibilité et de veiller au respect du RPDUE, le CEPD recommande vivement que la proposition, ou à tout le moins un acte délégué qui sera adopté ultérieurement par la Commission, définisse clairement une base juridique pour le traitement de données à caractère personnel par le CERT-UE et les institutions de l’Union, notamment les finalités du traitement et les catégories de données à caractère personnel.

Le CEPD souligne l’importance d’intégrer la dimension de la protection de la vie privée et des données dans la gestion de la cybersécurité, afin de créer des synergies positives entre la proposition et la législation en matière de protection de la vie privée et des données, et formule des recommandations spécifiques sur la manière de parvenir à de telles synergies, y compris l’obligation spécifique pour les fonctionnaires de l’UE chargés de la cybersécurité de coopérer étroitement avec le délégué à la protection des données désigné conformément au RPDUE.

Le CEPD recommande vivement que la proposition prévoie une coopération étroite entre le CERT-UE et le CEPD, dans le cadre d’activités telles que le traitement d’incidents donnant lieu à des violations de données à caractère personnel, le traitement de vulnérabilités importantes, d’incidents importants ou d’attaques majeures susceptibles d’entraîner des violations de données à caractère personnel, de même que lorsque le CERT-UE dispose d’éléments indiquant que le non-respect de la proposition entraîne une violation de données à caractère personnel.

Le CEPD recommande également vivement que la proposition prévoie la participation du CEPD au «conseil interinstitutionnel de cybersécurité» (IICB).

1. INTRODUCTION

1. Le 22 mars 2022, la Commission européenne a adopté une proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union (1) (la «proposition»).

2. Le même jour, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union (2) (la «proposition Infosec»).

3. Ces deux propositions avaient été envisagées dans la stratégie de cybersécurité de l’UE pour la décennie numérique présentée le 16 décembre 2020 (3) (la «stratégie»). La stratégie vise principalement à renforcer l’autonomie stratégique de l’Union dans les domaines de la cybersécurité et à améliorer sa résilience et sa réponse collective, ainsi qu’à construire un internet ouvert et mondial doté de solides garde-fous pour faire face aux risques pour la sécurité et les libertés et droits fondamentaux des citoyens en Europe (4).

4. La proposition constitue l’une des initiatives réglementaires de la stratégie, en particulier dans le domaine de la cybersécurité des institutions, organes et organismes de l’UE (les «institutions de l’Union»). Selon l’exposé des motifs, l’objectif de la proposition est double: — tenir compte du panorama de plus en plus hostile des cybermenaces et de l’incidence croissante des cyberattaques plus sophistiquées touchant les institutions, organes et organismes de l’UE, rendant indispensable d’accroître les investissements pour atteindre un niveau élevé de cybermaturité, et — renforcer l’équipe d’intervention en cas d’urgence informatique de l’UE (CERT-UE) en améliorant le mécanisme de financement nécessaire pour accroître sa capacité à aider les institutions, organes et organismes de l’Union à appliquer les nouvelles règles en matière de cybersécurité et à améliorer leur cyber-résilience.

5. Le CEPD fait observer que l’objet de la proposition en question est étroitement lié à celui de la proposition de directive du Parlement européen et du Conseil concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, abrogeant la directive (UE) 2016/1148 (la «proposition SRI 2.0»). Le CEPD rappelle qu’il a publié l’avis 5/2021 sur la stratégie en matière de cybersécurité (5) et la directive SRI 2.0 (l’«avis SRI 2.0») (6). C’est pourquoi le présent avis fera référence à l’avis SRI 2.0.

6. Conformément à la stratégie, la proposition vise à améliorer encore la résilience de l’ensemble des institutions, organes et organismes de l’Union, ainsi que leurs capacités de réaction aux incidents. Elle est également conforme aux priorités de la Commission consistant à adapter l’Europe à l’ère du numérique et à bâtir une économie au service des personnes et parée pour l’avenir. Elle souligne par ailleurs que la sûreté et la résilience de l’administration publique constituent une pierre angulaire de la transformation numérique de la société dans son ensemble.

7. Selon l’exposé des motifs, la proposition: — présente des mesures destinées à assurer un niveau élevé commun de cybersécurité pour les institutions, organes et organismes de l’Union européenne, — établit le «conseil interinstitutionnel de cybersécurité», qui est chargé de suivre la mise en œuvre du règlement proposé, — définit le nouveau rôle de l’équipe d’intervention en cas d’urgence informatique pour les institutions, organes et organismes de l’UE («CERT-UE») (7), en tant que «centre de cybersécurité» pour les institutions, organes et organismes de l’Union, pour faire écho à l’évolution observée dans les États membres et au niveau mondial.

8. Le 22 mars 2022, la Commission européenne a demandé au CEPD d’émettre un avis sur la proposition, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (le «RPDUE») (8). Les observations et recommandations contenues dans le présent avis se limitent aux dispositions les plus pertinentes de la proposition du point de vue de la protection des données et de la vie privée.

4. CONCLUSIONS

48. À la lumière des considérations qui précèdent, le CEPD émet les recommandations principales suivantes: — Le CEPD recommande d’ajouter dans un considérant que la proposition s’appuie sur la proposition SRI 2.0 et d’expliquer plus en détail le lien entre la proposition et la directive SRI ainsi que la proposition SRI 2.0 aux considérants 4 et 5. En outre, le CEPD recommande d’inclure le libellé suivant dans le texte principal: «Les exigences minimales en matière de sécurité devraient être au moins égales ou supérieures aux exigences minimales en matière de sécurité des entités visées dans la directive SRI 2.0 et la proposition SRI 2.0»; — le CEPD recommande vivement que la proposition prévoie clairement une base juridique pour le traitement des données à caractère personnel par le CERT-UE et les institutions de l’Union, notamment en ce qui concerne les finalités du traitement et les catégories de données à caractère personnel. En outre, les éléments suivants devraient être explicitement définis: a) Identification du ou des responsables du traitement, des sous-traitants ou des responsables conjoints du traitement, le cas échéant; b) Catégories de personnes concernées; c) Durées de conservation ou, à tout le moins, critères permettant de déterminer ces durées. Le CEPD estime que ces éléments devraient être explicitement prévus dans la proposition ou, à tout le moins, dans un acte délégué qui sera adopté ultérieurement par la Commission. La proposition devrait prévoir une telle délégation; — Le CEPD recommande vivement d’inclure le «chiffrement au repos», le «chiffrement en transit» ainsi que le «chiffrement de bout en bout» dans la liste des mesures minimales de cybersécurité figurant à l’annexe II de la proposition; — le CEPD recommande vivement que la proposition prévoie l’obligation spécifique pour le responsable local de la cybersécurité défini à l’article 4, paragraphe 5, de coopérer avec le délégué à la protection des données désigné conformément à l’article 43 du RPDUE, lorsqu’il s’agit d’activités qui se chevauchent, telles que l’application de la protection des données dès la conception et par défaut aux mesures de cybersécurité, la sélection de mesures de cybersécurité impliquant le traitement de données à caractère personnel, la gestion intégrée des risques et le traitement intégré des incidents de sécurité; — le CEPD recommande vivement d’ajouter à l’article 12 de la proposition, intitulé «Mission et tâches du CERT-UE», la disposition selon laquelle «le CERT-UE travaille en étroite coopération avec le CEPD lorsqu’il traite des incidents donnant lieu à des violations de données à caractère personnel ou à une violation de la confidentialité des communications électroniques» ; — le CEPD recommande d’ajouter l’obligation pour le CERT-UE d’informer le CEPD lorsqu’il traite des vulnérabilités importantes, des incidents importants ou des attaques majeures susceptibles d’entraîner des violations de données à caractère personnel et/ou une violation de la confidentialité des communications électroniques; — le CEPD recommande de prévoir, à l’article 12, que le CEPD est associé aux activités de sensibilisation des institutions de l’Union en ce qui concerne les services de cybersécurité assurés par le CERT-UE, afin de tenir compte de l’interaction entre la violation de données à caractère personnel et les incidents de cybersécurité; — le CEPD recommande d’ajouter à l’article 12 de la proposition, intitulé «Mission et tâches du CERT-UE», une disposition précisant que le CERT-UE informe sans retard injustifié le CEPD lorsqu’il dispose d’éléments indiquant qu’une violation par les institutions de l’Union des obligations énoncées dans la proposition entraîne une violation de données à caractère personnel; — le CEPD recommande vivement que le Contrôleur européen de la protection des données soit ajouté à l’article 9, paragraphe 3, en tant que participant permanent à l’IICB avec un représentant.

Bruxelles, le 17 mai 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 122 final.

(2) COM(2022) 119 final.

(3) Stratégie de cybersécurité de l’UE pour la décennie numérique | «Façonner l’avenir numérique de l’Europe» (europa.eu), qui inclut une communication conjointe avec le haut représentant de l’Union pour les affaires étrangères et la politique de sécurité [JOIN(2020)18].

(4) Voir chapitre I. INTRODUCTION de la stratégie, page 4.

(5) Communication conjointe de la Commission européenne et du haut représentant de l’Union pour les affaires étrangères et la politique de sécurité au Parlement européen et au Conseil, intitulée «La stratégie de cybersécurité de l’UE pour la décennie numérique».

(6) Avis 5/2021 du CEPD sur la stratégie en matière de cybersécurité et la directive SRI 2.0

(7) Le rôle actuel de la CERT-UE découle de l’accord interinstitutionnel 2018/C 12/01.

(8) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).