Arrêté du 14 février 2025 portant retrait de l'agrément d'un organisme en qualité d'organisateur de l'épreuve théorique générale du permis de conduire

Le ministre d'État, ministre de l'intérieur,

Vu le code de la route, notamment ses articles L. 221-4, L. 221-6, L. 221-7 et L. 221-9 ;

Vu l'arrêté du 1er septembre 2020 portant agrément de France Code en qualité d'organisateur de l'épreuve théorique générale du permis de conduire ;

Vu l'arrêté du 29 avril 2024 fixant le cahier des charges prévu à l'article L. 221-7 du code de la route ;

Vu le courrier de la déléguée interministérielle à la sécurité routière en date du 7 janvier 2025 visant à recueillir les observations des représentants de France Code sur les manquements constatés ;

Vu les observations formulées par France Code dans son courriel du 24 janvier 2025 ;

Considérant la méconnaissance grave par France Code du cahier des charges tel que prévu par l'article L. 221-7 du code de la route ;

Considérant le rapport d'audit de la société EY réalisé durant le mois d'octobre 2024 ;

Considérant que France Code ne présente aucune documentation technique, à savoir aucune information apportée sur les choix d'architecture, sur la matrice des flux ou encore sur la matrice des accès et populations d'utilisateurs ;

Considérant la présence de nombreuses failles dans le code installé par France Code, une analyse de l'application a permis d'identifier que l'utilisation de la fonctionnalité XML-RPC, qui est une fonctionnalité de Wordpress permettant de transmettre des données, est très vulnérable ;

Considérant l'identification de plusieurs dysfonctionnements pour le site internet, comme l'accessibilité depuis internet au formulaire d'authentification Wordpress ou encore la possibilité de se connecter à distance au dashboard du site France Code ;

Considérant que la liste de défaillances non exhaustive fait apparaître un niveau de sécurité informatique très insuffisant, révélant 66 vulnérabilités dont 4 sont d'ordre critique ;

Considérant que l'expertise du système installé par France Code fait apparaître des vulnérabilités portant atteinte à la confidentialité et à l'intégrité des données sensibles du système d'information, conduisant au risque de compromission du système ;

Considérant que ces manquements sont qualifiés de graves au regard de l'article L. 221-9 susmentionné ;

Considérant que France Code n'apporte dans son courriel du 24 janvier 2025 aucun élément concret quant à la prise en compte réelle des conclusions de l'audit, à la mesure de la gravité des manquements constatés et susceptible de répondre aux obligations du cahier des charges tel que prévu par l'article L. 221-7 du code de la route ;

Considérant que ces manquements sont qualifiés de graves au regard de l'article L. 221-9 susvisé,