Les pirates numériques ‘bienveillants’ ne doivent pas être poursuivis

Quiconque découvre une faille dans la sécurité d’internet, ce qui est souvent le cas de ce qu’on appelle les ‘hackers éthiques’, hésite à le faire savoir à cause du risque de poursuite juridique. La révélation mûrement réfléchie de fuites de données et de brèches dans un système ICT peut pourtant accroître la sécurité de l’utilisation d’internet. Le propriétaire peut alors résoudre le problème et colmater la fuite de données, avant qu’elle ne devienne publique.

Selon le député Roel Deseyn (CD&V), un rôle important sera dévolu au nouveau Centre pour la cyber-sécurité Belgique, un centre chargé de surveiller et suivre la cyber-sécurité. ‘Le Centre pour la cyber-sécurité Belgique doit encourager les entreprises à prévoir un cadre pour les dénonciateurs numériques, ce que l’on appelle la divulgation responsable. Nos services publics doivent donner l’exemple’, affirme Roel Deseyn. L’important, c’est que le propriétaire du site web décide lui-même d’autoriser ou non les ‘pirates bienveillants’ et de ne pas les poursuivre en justice.

Le nouveau Centre pour la cyber-sécurité Belgique doit aussi devenir une araignée dans la toile pour le partage d’informations sur les failles, afin que d’autres gestionnaires IT puissent également prendre des mesures et être tenus au courant par les communiqués des dénonciateurs numériques.

Son pendant néerlandais, le Nederlandse cybersecuritycentrum (NCSC), promotionne depuis deux ans le système des dénonciateurs numériques (Responsible Disclosure). Aujourd’hui, de nombreux acteurs tant publics que privés ont également mis réellement en oeuvre une stratégie propre en la matière. Ce qui est crucial, c’est que le dénonciateur ne cause aucun dommage inutile, avant de démontrer la faille, et ne télécharge pas plus de données que nécessaire pour effectuer cette démonstration. Il arrive parfois que le propriétaire du site web prévoit une récompense.

Mensura insiste sur le fait qu’il n’y a eu aucune fuite d’informations liée à des dossiers médicaux d’employés de différentes entreprises. Selon les données que Roel Deseyn a toutefois pu consulter, il s’agit pourtant bien de renseignements personnels, d’informations médicales sensibles, de travailleurs qui sont soupçonnés de vol et de travail au noir, etc.

Quelques exemples:

• “une diminution du fonctionnement de son système immunitaire”
• “doigt coupé. Traité en urgence”
• “chirurgie esthétique (mâchoire et menton)”
• “opération aux sinus”
• “lors du contrôle du dernier certificat médical, en avril, il a été déclaré nul”
• “absence du 13/01 au 23/03”
• “1 jour de maladie à de multiples reprises”
• “dans le magasin où cette employée travaille, l’on a récemment dérobé une grosse somme d’argent.
• L’employée est malade”
• “il voulait prendre congé car il travaille au noir après ses heures”

Roel Deseyn se demande si Mensura prendra contact avec les personnes concernées, et plaide pour une obligation de communiquer les fuites de données aux personnes grugées, ainsi qu’a la Commission vie privée. Conjointement avec Sonja Becq, il a aussi élaboré une proposition de loi destinée à renforcer le contrôle du respect de la loi sur la vie privée, à réduire les tracasseries administratives, à étendre le droit de regard sur les données personnelles et à introduire l’obligation susmentionnée.