Un exemple concret, des plus éloquents, de fuite de données en Belgique est peut-être celui portant sur la Société nationale des chemins de fer belges (SNCB). Le 29 décembre 2012, les médias ont fait état d'une fuite de données privées concernant environ 1,5 million de clients de la SNCB. Cela a été révélé par un internaute qui avait « découvert » par hasard un fichier contenant des données personnelles de clients de la SNCB Europe. À la suite de cette fuite de données, la Commission de protection de la vie privée a reçu plus de mille sept cents plaintes sur la fuite de données personnelles par le biais d'un site web de la SNCB.

La Commission de protection de la vie privée (CPVP), mieux connue sous le nom de Commission vie privée, a mis en place, le 12 juin 2014, sur son site web des formulaires grâce auxquels les entreprises peuvent notifier, simplement et rapidement, une fuite de données. Les entreprises de télécommunications sont soumises à une obligation de notification.

Je souhaite poser les questions suivantes :

1) De 2009 à ce jour, combien de fois des attaques ont-elles été dirigées sur les données numériques ou bases de données des services publiques fédéraux ou de programmation (SPF ou SPP), établissements scientifiques, organismes d'intérêt public (OIP) ou institutions publiques de sécurité sociale (IPSS) relevant de votre compétence ? Je souhaiterais obtenir un aperçu annuel par service et organisme public.

2) Certains SPF, SPP, OIP ou IPSS ont-ils été confrontés à une fuite de données entre 2009 et ce jour ? Dans l'affirmative, je souhaiterais obtenir un aperçu, par service concerné, des éléments suivants :

a) le moment auquel la fuite de données s'est produite et sa durée ;

b) l'ampleur de la fuite de données (sur combien de personnes elle a porté)

c) une description des données concernées ;

d) la cause de la fuite de données ;

e) les mesures prises à la suite de la fuite de données ;

f) le nombre de plaintes qui ont été déposées, le cas échéant, par fuite de données ;

g) la suite qui a été réservée aux plaintes visées à la sous-question 2f.

3) Des démarches juridiques ont-elles été entreprises dans le cadre des plaintes visées à la sous-question 2f ? Le cas échéant, quel est l'état de la question ou quel a été le résultat de cette procédure juridique ?

4) Combien d'entreprises ont-elles déjà signalé une fuite de données au moyen du formulaire en ligne mis en place sur le site web de la Commission vie privée ? Combien de notifications provenaient-elles d'entreprises de télécommunications ?

5) Quelles mesures sont-elles actuellement prises afin de prévenir les fuites de données au niveau des services et organismes relevant de votre compétence ?

6) À combien s'élèvent les coûts annuels de prévention des violations de la sécurité, cyberattaques ou fuites de données ? Je souhaiterais une ventilation par mesure pertinente. Le cas échéant, j'aimerais connaître le montant qui a été investi de 2009 à ce jour dans des logiciels de contrôle de sécurité.

7) Estimez-vous opportun de prendre des mesures supplémentaires de prévention des fuites de données ? Pourquoi ? De quelles mesures supplémentaires s'agit-il et quel calendrier prévoyez-vous ? Dans la négative, pourquoi ?

1) Nous n’avons pas connaissance d’incident ayant pour objectif la collecte de données pour les systèmes sous le contrôle de Fedict

2) Nous n’avons pas connaissance d’incident ayant entrainé de fuite de données pour les systèmes sous le contrôle de Fedict

a) Cette question n’est pas d’application.

b) Cette question n’est pas d’application.

c) Cette question n’est pas d’application.

d) Cette question n’est pas d’application.

e) Cette question n’est pas d’application.

f) Cette question n’est pas d’application.

g) Cette question n’est pas d’application.

3) Cette question n’est pas d’application.

4) Cette question ne peut être répondue que par l’autorité en charge de la Commission de protection de la vie privée.

5) En ce qui concerne les services permettant l’accès aux données, ceux-ci sont contrôlés sur base du droit d’en connaitre. L’accès aux informations est limité en fonction des informations d’identification et d’autorisation des personnes utilisant les services mis à disposition tant des citoyens que de l’administration. Les connexions aux différents services sont réalisées via des canaux sécurisés. Des mesures de protection des données sont mises en œuvre à différents niveaux.

En ce qui concerne les systèmes informatiques, la protection est organisée selon les bonnes pratiques recommandées au niveau des réseaux, des bases de données et de l’infrastructure en général.

6) Les exigences de protection des systèmes font partie intégrante des exigences plus larges de livraison de solutions. Ces exigences sont définies dans les marchés publics initiés par Fedict. Nous ne disposons dès lors pas d’une évaluation des coûts directement associés à la protection des données dans la mesure où ces coûts sont inclus dans les coûts de mise en œuvre des solutions.

7) Les mesures de prévention de fuite de données sont nécessaires. Elles sont d’une part imposées en ce qui concerne les données des citoyens en vue de respecter les prescrits de la loi sur la protection des données et d’autre part, dans un cadre plus général, afin de garantir que des données sensibles ne sont pas mises à disposition de tiers avec des intentions malveillantes. De plus, compte tenu des évolutions dans le domaine de la sécurité, il est normal voire nécessaire que de nouvelles mesures de protections doivent être mises en œuvre et que des budgets soient dégagés à cette fin.

En fonction de la sensibilité des données hébergées sur les systèmes de l’administration et de leur exposition, différentes mesures devront être mises en place. Ces mesures doivent résulter de l’analyse de risque qui évalue les menaces, les impacts potentiels et qui permet de définir les mesures de protection pertinentes en fonction de ces éléments, mais également en fonction des coûts de mise en œuvre de ces moyens de protection.