Les victimes de violations OPM pourraient bénéficier d’une protection d’identité à vie

Les employés et sous-traitants fédéraux dont les données personnelles sensibles ont été volées lors des violations massives du Bureau de la gestion du personnel révélées il y a dix ans bénéficieraient d’une protection d’identité pour le reste de leur vie en vertu de la nouvelle législation bicamérale.

Le vice-président du Comité sénatorial du renseignement, Mark Warner, D-Va., et Del. Eleanor Holmes Norton, DD.C., prévoient d’introduire lundi la loi RECOVER PII, visant à empêcher le programme de protection de l’identité du gouvernement fédéral pour les victimes d’expirer le 30 septembre, selon le texte du projet de loi vu pour la première fois par Nextgov/FCW. Sens. Tim Kaine, D-Va.; Angela Alsobrooks, D-Md.; et Chris Van Hollen, D-Md., sont également coparrains du Sénat.

Un peu plus de 10 ans après que les violations de l’OPM ont compromis les informations personnelles appartenant à environ 22 millions de personnes, les services de protection de l’identité fournis aux travailleurs fédéraux, aux entrepreneurs et à leurs familles concernés ont commencé à expirer. Les personnes inscrites au programme MyIDCare d’OPM reçoivent des notifications indiquant que leur couverture gratuite prendra fin 10 ans après leur date d’inscription individuelle. Certains avis ont commencé à arriver à la fin de l’année dernière et se poursuivront jusqu’en septembre, date à laquelle OPM prévoit de conclure les services à la fin de l’exercice fédéral.

« Plus de dix ans après que la violation de données d’OPM a révélé les informations personnelles de millions d’employés fédéraux, la menace demeure », a déclaré Warner dans le communiqué. « Les données volées comprenaient les informations les plus sensibles et personnelles des travailleurs – depuis les numéros de sécurité sociale jusqu’aux dossiers d’habilitation de sécurité – et une fois que ces informations sont entre les mains d’un mauvais acteur, vous ne les récupérez plus. »

Les deux violations ont compromis des informations appartenant à quelque 22,1 millions d’employés fédéraux, d’entrepreneurs et autres, actuels, anciens et potentiels. Une intrusion a exposé les dossiers personnels d’environ 4,2 millions de personnes, tandis qu’une seconde a compromis 21,5 millions de dossiers d’enquête sur les antécédents. Environ 3,6 millions de personnes ont été touchées par les deux incidents, selon le Government Accountability Office.

Les services de renseignement étrangers peuvent conserver ces dossiers OPM pendant des années, les combiner avec des informations provenant d’autres cyber-intrusions et utiliser une image plus complète pour identifier ou cibler les membres du gouvernement et leurs familles.

Ces risques peuvent également augmenter avec le temps. Les données volées à un employé de niveau inférieur en 2015 pourraient devenir bien plus précieuses si cette personne accède ultérieurement à un rôle plus sensible en matière de sécurité nationale. Le GAO a averti l’année dernière que les adversaires pouvaient combiner des données accessibles au public pour identifier le personnel militaire et leurs familles ou perturber les opérations du ministère de la Défense.

Le Congrès a répondu à la violation d’une loi de crédits de 2017 en exigeant que l’OPM fournisse aux victimes au moins 10 ans de protection d’identité gratuite et pas moins de 5 millions de dollars d’assurance contre le vol d’identité. Le nouveau projet de loi remplacerait cette limite par une couverture valable pour le reste de la vie de chaque personne concernée tout en conservant l’exigence d’assurance.

« Nous avons la responsabilité de soutenir les travailleurs fédéraux qui ont été mis en danger sans que ce soit de leur faute », a déclaré Warner. « Cette législation garantira que les personnes concernées continuent de bénéficier de la protection de leur identité dont elles ont besoin, tout en contribuant à mieux protéger les informations personnelles contre toute exploitation future. »

Le projet de loi permettrait également aux agences de rembourser les employés et sous-traitants fédéraux pour les outils et services de confidentialité, tels que ceux qui suppriment ou limitent leurs informations personnelles en ligne. Les agences décideraient d’offrir ou non des remboursements, qui ne se limiteraient pas aux victimes de violations OPM et proviendraient de leurs budgets de salaires et de dépenses.

Norton a introduit des lois dans le passé visant à assurer une protection à vie aux victimes d’OPM, dès la divulgation des violations. Des projets de loi similaires présentés au fil des ans n’ont pas encore force de loi.

« La protection de l’identité à vie est la seule solution qui donnera aux travailleurs dont les données ont été compromises la tranquillité d’esprit qu’ils méritent », a déclaré Norton dans un communiqué. « Parce qu’il n’y a aucune limite à la durée pendant laquelle les informations personnelles peuvent être exploitées, le Congrès doit protéger ces employés et sous-traitants fédéraux à perpétuité. Merci au sénateur Warner d’avoir travaillé avec moi pour assurer cette protection vitale aux personnes concernées. »