elus

Résolution valant avis sur l’outil d’analyse des menaces internes et son projet de mise en service (ITA – Insider Threat Analytics)

Le CSE-C est consulté sur la mise en place de l’outil d’analyse des menaces internes ITA (Insider Threat Analytics), qui a pour objet de détecter les menaces internes en matière de cybersécurité, d’utilisation abusive d’un compte privilégié et d’exfiltration de données grâce à une analyse des données informatiques extraites des différents systèmes sources. 

Si le CSE-C n’est pas opposé par principe à la mise en place de cet outil de détection des menaces internes, ce projet appelle plusieurs observations et critiques de sa part. 

En premier lieu, le CSE-C tient à dénoncer le caractère manifestement insuffisant des informations qui ont été transmises aux membres du CSE-C dans la note d’information initiale, ce qui l’a contraint à envoyer une liste de nombreuses questions à la Direction. 

Or, la Direction n’a transmis les informations sollicitées que le 3 mars, et de façon très partielle, puis, toujours de façon incomplète, le 8 mars, avant de remettre les informations manquantes le       9 mars au soir. 

Le CSE-C ne peut que dénoncer le caractère extrêmement tardif de la transmission des informations sollicitées qui étaient pourtant indispensables pour qu’il puisse pleinement analyser le projet soumis à consultation.

En deuxième lieu, la mise en place de l’outil ITA constituant à la fois un dispositif de contrôle de l’activité des salariés et un traitement de données personnelles, le CSE-C rappelle la nécessité non seulement de mettre à jour la notice générale d’information sur la protection des données personnelles et le registre des données personnelles pour inclure ce nouveau traitement, mais également d’informer les salariés sur la mise en place de ce nouvel outil. 

S’agissant de l’information des salariés sur la mise en place de l’outil ITA, le CSE-C regrette que la Direction n’ait prévu de communication auprès des salariés à ce sujet qu’à sa demande. 

Le CSE-C considère en outre que le projet de communication qui lui a été transmis est insuffisamment détaillé puisqu’il ne précise notamment pas les différents types de menaces internes que l’outil ITA vise à détecter ni les modalités de fonctionnement de l’outil. Le projet de communication ne précise pas non plus explicitement que des poursuites disciplinaires pourront être engagées sur la base de cet outil.

Le CSE-C demande donc à la Direction :

• de compléter substantiellement le projet de communication aux salariés en précisant les différents types de menaces internes que l’outil ITA vise à détecter et les modalités de fonctionnement de cet outil ; 
• de préciser de façon explicite que des poursuites disciplinaires pourront être engagées sur la base des éléments issus de l’utilisation d’ITA. 

De façon générale, le CSE-C regrette l’accumulation de documents relatifs à l’utilisation des systèmes informatiques (et en particulier de la messagerie électronique), qui empêche les salariés de disposer d’une vision claire des règles sur le sujet. 

S’agissant de la mise à jour de la notice générale d’information sur la protection des données, le CSE-C constate que le projet de mise à jour précise la base juridique du traitement, les finalités de ce dernier, les catégories de données traitées, les catégories de destinataires, le transfert possible de données ainsi que la durée de conservation des données. 

Le CSE-C regrette cependant que la Direction ne lui ait pas transmis de projet de mise à jour du registre des données personnelles. 

Il rappelle à cet égard que la législation sur la protection des données impose au responsable de traitement de tenir un registre des traitements précisant, pour chaque traitement mise en œuvre, les finalités du traitement, les catégories de personnes concernées, les catégories de données personnelles, les catégories de destinataires, les transferts de données à caractère personnel vers un pays tiers et les garanties prévues pour ces transferts, la durée de conservation des données (ou, à tout le moins, les critères permettant de la déterminer) ainsi que la description des mesures de sécurité techniques et organisationnelles mises en œuvre. 

Or, l’ensemble de ces informations ne figurait pas dans le registre des traitements actuellement en vigueur et, surtout, la Direction n’a pas fourni de projet de mise à jour de ce registre incluant le nouveau traitement issu de l’utilisation d’ITA.

Le CSE-C demande donc à la Direction de mettre à jour, outre la notice générale sur la protection des données, le registre des traitements qui figure en annexe de la version actuellement en  vigueur : 

• d’une part, en précisant, pour chacun des traitements, non seulement la finalité du traitement, la base légale du traitement et les catégories de traitement collectées comme c’est actuellement le cas, mais également les catégories de destinataires potentielles, la durée de conservation des données (ou, à tout le moins, les critères permettant de la déterminer), les éventuels transferts de données et les garanties prévues pour ces transferts, ainsi que les mesures de sécurité techniques et organisationnelles mises en œuvre ; 
• d’autre part, en incluant le nouveau traitement de données personnelles résultant de l’outil ITA avec l’ensemble des informations précitées et figurant dans l’annexe 1 de projet de mise à jour de la notice générale d’information. 

En troisième lieu, la mise en œuvre de l’outil ITA suscite plusieurs observations de la part du CSE-C du point de vue de la protection des données personnelles. 

Tout d’abord, le CSE-C prend acte du fait qu’une analyse d’impact de l’outil ITA sur la protection des données personnelles des salariés a été menée et que le délégué à la protection des données a été consulté sur la mise en œuvre de cet outil. 

Le CSE-C regrette toutefois que, malgré sa demande, les conclusions écrites et précises de l’analyse d’impact et du délégué à la protection des données n’aient pas été communiquées aux membres du CSE-C, la Direction s’étant contentée d’indiquer, s’agissant de l’analyse d’impact, que « la cartographie des risques indique une vraisemblance négligeable et une gravité limitée » et, s’agissant de la consultation du délégué à la protection des données, que celui-ci avait « validé l’analyse d’impact ». 

En l’absence de transmission des conclusions écrites et précises de l’analyse d’impact, notamment de la cartographie des risques évoquée, et des conclusions du délégué à la protection des données, le CSE-C ne peut qu’émettre des réserves sur la licéité de l’utilisation de l’outil ITA au regard de la protection des données personnelles.

Le CSE-C prend également acte du fait que les analystes habilités à utiliser ITA doivent signer un accord de confidentialité. 

Là encore, le CSE-C regrette que la Direction ne lui ait pas fourni le modèle d’accord de confidentialité signé par les analystes habilités et rappelle à la Direction qu’elle est tenue de garantir la confidentialité des données personnelles traitées. 

Ensuite, le CSE-C ne peut qu’émettre ses plus vives réserves sur la durée de conservation des données personnelles issues de l’utilisation de l’outil ITA, puisqu’il résulte de la note d’information que : 
-    les informations collectées par l’outil et qui ne sont pas associées à une alerte seraient conservées pendant 1 an ;
-    les informations collectées par l’outil et marquées par la suite comme une « alerte » ou une      « violation de la politique » seraient conservées dans l’outil pendant 3 ans ; 
-    les informations collectées par l’outil et ayant déclenché une alerte ensuite être marquée comme n’en étant pas une seraient conservées pendant 1 an. 

Le CSE-C estime que ces durées de conservation sont excessives par rapport, d’une part, au délai de prescription des faits fautifs qui est de 2 mois à compter de la connaissance par l’employeur desdits faits et, d’autre part, du délai de conservation de 6 mois préconisé par la CNIL. Le délai de 3 ans nous semble par ailleurs en contradiction avec les modalités de fonctionnement actuelles de l’outil file sweeper.  

Le CSE-C considère que la Direction n’a fourni aucune explication précise sur la nécessité de conserver les données traitées par ITA pendant 1 à 3 ans. 

En conséquence, le CSE-C demande à la Direction de réduire les délais de conservation de façon substantielle ou, à tout le moins, de préciser les critères justifiant de conserver les données pendant 1 à 3 ans. 

En quatrième lieu, le CSE-C est contraint d’émettre des réserves sur la licéité de l’utilisation de l’outil ITA au regard du droit à la protection de la vie privée des salariés. 

A cet égard, le CSE-C rappelle que, sauf risque ou évènement particulier, l’employeur ne peut prendre connaissance de messages électroniques envoyés par le salarié depuis sa messagerie professionnelle et identifiés par celui-ci comme personnels, et que la consultation des fichiers informatiques et connexions internet identifiés par le salarié comme personnels n’est possible qu’en présence du salarié ou celui-ci dûment appelé.  

Sur ce point, la Direction s’est contentée d’indiquer que « les analystes (…) n'auront accès qu'aux donnée stockées dans ITA », que « ITA ne stocke pas le contenu des mails ou des fichiers, mais uniquement les données décrites dans "Données source", c'est à dire des logs et metadata » et que « les analystes ne sont pas habilités à ouvrir les courriels, les fichiers informatiques ou les connexions informatiques ayant donné lieu au déclenchement d’une alerte, et n'ont pas accès à ces informations ». 

Or, d’une part, le CSE-C constate que, parmi les données sources auxquelles les analystes ont accès, on retrouve notamment le nom des fichiers joints aux messages électroniques envoyés par les salariés, ce qui est susceptible de porter atteinte à la vie privée du salarié si le fichier lui-même ou le message électronique auquel il est attaché a été identifié par le salarié comme personnel. Il en est de même du suivi des impressions, qui pourrait donner accès à des données personnelles. 

D’autre part, le CSE-C constate que la Direction ne s’est pas expliquée sur les conditions dans lesquelles, en cas de transmission d’une alerte par les analystes au management, celui-ci pourra consulter les courriels, fichiers informatiques et connexions informatiques des salariés. 

A cet égard, le CSE-C tient à rappeler que la Direction ne pourra pas prendre connaissance des messages électroniques identifiés par les salariés comme personnels et que la consultation d’un fichier informatique ou d’une connexion internet identifiés par le salarié comme personnels ne sera possible qu’en présence du salarié ou celui-ci dûment appelé. 

Il considère que l’existence d’une éventuelle alerte ne fait pas échec à l’application de ces principes dans la mesure où les paramètres de l’outil ITA permettent un déclenchement de l’alerte dans de nombreuses situations ne présentant pas un danger avéré. 

Vote de la résolution valant avis : 
Pour à l’unanimité des membres présents
 

La CFE-CGC condamne avec force l’élargissement par décrets de la collecte de données des fichiers visant à prévenir les atteintes à la sécurité publique (les fichiers PASP, GIPASP et EASP). Désormais les citoyens susceptibles de porter atteinte à la sécurité publique ou la sureté de l’État, pourront être fichés au regard de leur « appartenance » syndicale, « opinions » politiques, ou encore « convictions » philosophiques ou religieuses, alors qu’auparavant ce fichage ne faisait référence qu’à la notion « d’activités ».

Une différence de taille et passée en quasi-catimini, puisque l’éclairage de la CNIL a été demandé sur des textes ne mentionnant pas l’extension de cette portée. Pour la CFE-CGC, ces décrets bafouent le fonctionnement de nos institutions, et portent une atteinte grave au fonctionnement démocratique de notre pays.

Au-delà de la disproportion manifeste des moyens mis en œuvre pour garantir la sécurité publique de nos concitoyens, ce procédé traduit le manque de confiance du gouvernement dans nos institutions, et dans les femmes et les hommes qui les composent. 

La CFE-CGC, syndicat indépendant politiquement, a toujours considéré la diversité des opinions et des idées comme sa plus grande richesse. Le respect des libertés individuelles, le droit d’exprimer et d’affirmer son point de vue, le droit de manifester son désaccord, constituent le socle des droits fondamentaux de notre démocratie. Surveiller désormais les « habitudes de vie » de chacun, est non seulement une atteinte grave à la défense de nos libertés individuelles, mais peut potentiellement conduire à une manipulation d’opinions, comme nous le démontrent certains États totalitaires, aux pratiques dénoncées par le même gouvernement qui en prépare pourtant le terreau.

Aussi, face à ce grand danger et au nom de la préservation de notre pluralité d’opinions, ciment de notre République, la force de notre nation qui dans sa constitution reconnait aux individus qu’« ils sont doués de raison et de conscience et doivent agir les uns envers les autres dans un esprit de fraternité », la CFE-CGC mettra en œuvre tous les moyens juridiques à sa disposition pour que cette richesse puisse continuer de s’exprimer, et que le pays des Droits de l’Homme demeure celui de la Liberté, de l’Égalité et la Fraternité.

Bonjour à toutes et à tous,

La CFE-CGC vous présente ses meilleurs vœux pour cette nouvelle année avec beaucoup de joie, de bonheur et de projets, et surtout une santé de fer.

Cette année sera encore bien chargée dans le domaine social avec le grand débat national et le démarrage de la réforme des retraites, comme l’a été d’ailleurs l’année 2018 avec les ordonnances Macron et la mise en place du nouveau Comité Social et Economique.

Dans ce cadre, la CFE-CGC tient à vous remercier pour votre soutien lors des élections professionnelles de novembre 2018 qui nous a permis de rester la première organisation syndicale du groupe en France avec 36% de représentativité et une cinquantaine d’élus pour vous représenter à Port Jérôme, à Fos et au siège.

Une actualité soutenue nous attend et c’est pourquoi vous trouverez ci-joint le bulletin d’adhésion pour 2019 car plus que jamais, nous avons besoin de votre soutien, et à l’inverse vous aurez besoin de syndicats forts pour vous défendre.

Alors n’hésitez pas et renouveler votre adhésion, ou rejoignez-nous si ce n’est pas encore fait.

Amicalement.