Intervention de Ugo Bernalicis

Je suis plus mitigé quand le risque est l'atteinte à l'ordre public, car cette formule peut désigner tout et n'importe quoi. Certains pourraient ainsi considérer que nous porterions atteinte à l'ordre public macronien – ils n'auraient pas complètement tort. Selon eux, nous apporterions même le chaos.

La question est de savoir quelles garanties on détermine. L'alinéa 14 prévoit la destruction immédiate des données personnelles. En cas d'attaque, si vous déroutez le flux de données vers un serveur sécurisé pour le circonscrire et l'analyser, afin d'empêcher l'attaque, vous saisissez tout : toutes les données relatives au nom de domaine concerné seront transférées au serveur sécurisé. S'il s'agit d'un site commercial ou d'un grand groupe, par exemple, les données personnelles des gens qui y travaillent, comme leurs identifiants et leurs mots de passe, seront stockées. Vous prenez certes la précaution d'affirmer que les données personnelles seront détruites. Mais comment ? La tâche sera-t-elle confiée à un algorithme ou à un agent ? Quelles données seront conservées ? Un contrôle sera-t-il réellement effectué et si oui, par qui ? L'Arcep a-t-elle les moyens de s'en charger ?

Vous nous assurez que tel sera le cas, puisque le texte le prévoit formellement. Mais dans le monde réel, il y aura en vérité des tas de données parmi lesquelles on ne pourra distinguer celles qui sont personnelles : elles seront conservées pendant des années et pourront être utilisées à je ne sais quelles fins. Et nous devrions vous croire sur parole, en faisant confiance à l'action forcément géniale des services qui jamais ne connaîtraient aucune faille ? Sur ce dernier point, le petit article qui vient de paraître sur la Commission nationale de contrôle des techniques de renseignement (CNCTR) devrait nous faire réfléchir.