1. Spécifications techniques visant à mettre en œuvre l’article 11, paragraphe 4, point a), du règlement (UE) 2019/788
Le système met en œuvre des mesures techniques pour garantir que seules des personnes physiques peuvent soumettre une déclaration de soutien. Les mesures techniques n’exigent pas la collecte et le stockage de données à caractère personnel autres que celles qui sont énumérées à l’annexe III du règlement (UE) 2019/788.
2. Spécifications techniques visant à mettre en œuvre l’article 11, paragraphe 4, point b), du règlement (UE) 2019/788
Les organisateurs mettent en place des mesures techniques et organisationnelles adaptées et efficaces pour gérer les risques qui pèsent sur la sécurité des réseaux et des systèmes d’information qu’ils utilisent dans le cadre de leurs opérations pour garantir que les informations fournies sur l’initiative dans le système de collecte en ligne et telles qu’elles sont présentées en ligne au public correspondent aux informations publiées sur l’initiative dans le registre visé à l’article 6, paragraphe 5, du règlement (UE) 2019/788.
Les organisateurs veillent à ce que:
a) les informations fournies sur l’initiative dans le système de collecte en ligne correspondent aux informations publiées dans le registre;
b) le système présente les informations relatives à l’initiative publiées dans le registre avant que le citoyen n’envoie une déclaration de soutien;
c) des mesures de sécurité soient mises en place pour garantir que les champs de saisie des données dans les déclarations de soutien soient présentées avec les informations relatives à l’initiative pour éviter que les déclarations de soutien ne soient envoyées pour une initiative différente du fait d’une présentation erronée de l’initiative;
d) le système garantisse que les données figurant dans les déclarations de soutien envoyées soient sauvegardées avec les informations relatives à l’initiative;
e) des mesures de sécurité soient mises en place pour empêcher que des modifications non autorisées puissent être apportées aux informations fournies sur l’initiative dans le système de collecte en ligne.
3. Spécifications techniques visant à mettre en œuvre l’article 11, paragraphe 4, point c), du règlement (UE) 2019/788
Le système garantit que les déclarations de soutien sont soumises conformément aux champs de données figurant à l’annexe III du règlement (UE) 2019/788.
Le système garantit qu’une personne ne peut envoyer une déclaration de soutien qu’après avoir confirmé qu’elle a pris connaissance de la déclaration de confidentialité figurant dans l’annexe III du règlement (UE) 2019/788.
4. Spécifications techniques visant à mettre en œuvre l’article 11, paragraphe 4, point d), du règlement (UE) 2019/788
4. 1. Gouvernance
4. 1.1. Le groupe d’organisateurs désigne un responsable de la sécurité qui sera chargé de la sécurité du système et de la transmission sécurisée des déclarations de soutien collectées à l’autorité compétente de l’État membre responsable. Le responsable de la sécurité contrôle les processus d’assurance de l’information ainsi que les mesures de sécurité techniques et organisationnelles pour garantir la collecte, le stockage et la transmission sécurisés des données fournies par les signataires.
4. 1.2. Les organisateurs peuvent demander à l’autorité nationale compétente visée à l’article 11, paragraphe 3, du règlement (UE) 2019/788, de prévoir les règles et exigences de sécurité applicables pour la certification des systèmes particuliers de collecte en ligne. L’autorité compétente fournit les règles et exigences de sécurité en principe dans un délai d’un mois après réception de la demande. Les règles et exigences de sécurité applicables sont conformes aux normes de sécurité nationales ou internationales existantes.
4. 1.3. Les règles et exigences de sécurité pour la certification du système portent sur les risques définis au point 4.2 et tiennent compte des spécifications figurant au point 4.3.
4. 2. Assurance de l’information
4. 2.1. Les organisateurs utilisent des procédures de gestion des risques pour recenser les risques inhérents à l’utilisation de leurs systèmes, y compris pour les droits et libertés des signataires, et pour déterminer les mesures appropriées et proportionnées permettant de prévenir et d’atténuer l’impact des incidents portant atteinte à la sécurité du réseau et des systèmes d’information qu’ils utilisent dans le cadre de leurs opérations.
Le processus de gestion des risques se concentre particulièrement sur les risques liés à la confidentialité et à l’intégrité des informations contenues dans le système. Ces risques peuvent résulter de menaces, notamment:
a) d’erreurs d’utilisation;
b) d’erreurs affectant le système/l’administrateur de la sécurité;
c) d’erreurs de configuration;
d) d’infections par un logiciel malveillant;
e) d’altérations fortuites de l’information;
f) de la divulgation ou de fuites d’informations;
g) de la vulnérabilité des logiciels;
h) d’accès non autorisé;
i) d’interceptions ou d’écoute d’informations;
j) des risques relatifs à la protection des données.
4. 2.2. Les organisateurs fournissent des documents attestant qu’ils:
a) ont évalué les risques du système;
b) ont déterminé les mesures appropriées pour prévenir et atténuer l’impact des incidents portant atteinte à la sécurité du système;
c) ont recensé les risques résiduels;
d) ont mis en œuvre les mesures et vérifié leur application;
e) ont mis en place des moyens organisationnels pour recevoir des informations sur les nouvelles menaces et les améliorations en matière de sécurité;
f) respectent les exigences de certification énoncées à l’article 11, paragraphe 4, du règlement (UE) 2019/788, tout au long du processus de collecte, et notamment que les processus nécessaires pour y parvenir sont en place.
4. 2.3. Les mesures visant à prévenir et à atténuer l’impact des incidents affectant la sécurité des systèmes portent sur les domaines suivants:
a) la sécurité des ressources humaines;
b) le contrôle des accès;
c) les contrôles cryptographiques;
d) la sécurité physique et environnementale;
e) la sécurité des opérations;
f) la sécurité des communications;
g) l’acquisition, le développement et la maintenance des systèmes;
h) la gestion des incidents de sécurité de l’information;
i) la conformité.
L’application de ces mesures de sécurité peut être limitée aux parties de l’organisation qui sont pertinentes pour le système de collecte en ligne. Par exemple, la sécurité des ressources humaines peut être limitée à toute personne ayant un accès physique ou logique au système de collecte en ligne, et la sécurité physique/environnementale peut être limitée au(x) bâtiment(s) hébergeant le système.
4. 2.4. Lorsqu’ils utilisent un processeur pour le développement ou le déploiement des systèmes de collecte en ligne ou de parties de ceux-ci, les organisateurs fournissent les documents permettant à l’autorité de certification de vérifier que les contrôles de sécurité nécessaires sont en place.
4. 3. Cryptage des données
Pour le cryptage des données, le système prévoit ce qui suit:
a) les données à caractère personnel sous format électronique sont cryptées au moment où elles sont stockées ou transférées aux autorités compétentes des États membres conformément au règlement (UE) 2019/788, les clés étant gérées et sauvegardées séparément;
b) des algorithmes standard et des clés appropriés sont utilisés conformément aux normes internationales (comme la norme ETSI). Une gestion des clés est en place;
c) l’ensemble des clés et des mots de passe est protégé contre les accès non autorisés.