Pénalisé pour non-conformité en matière de cybersécurité : le ministère américain de la Justice dévoile sa plainte au titre de la loi sur les fausses déclarations contre Georgia Tech
Comme indiqué dans notre alerte client d'août 2024, le ministère américain de la Justice (DOJ) est intervenu plus tôt cette année dans une affaire relevant de la loi sur les fausses déclarations (FCA) engagée par deux lanceurs d'alerte, qui affirmaient que la Georgia Tech Research Corporation et le Georgia Institute of Technology (Georgia Tech) avaient enfreint diverses exigences en matière de cybersécurité figurant dans les contrats du ministère de la Défense (DoD). L'intervention du DOJ était un autre élément démontrant le vif intérêt des procureurs pour la poursuite des fraudes liées à la cybersécurité.
La plainte
Le 22 août 2024, le ministère américain de la Justice (DOJ) a déposé une plainte de 99 pages dans l'affaire Georgia Tech, reflétant les résultats d'une enquête approfondie menée avant le procès. Dans cette requête, le DOJ cite abondamment des courriels internes, des messages instantanés internes, d'autres communications et des témoignages pour alléguer que les défendeurs ont violé les règles et réglementations fédérales en matière de cybersécurité applicables aux institutions en tant que prestataires du gouvernement. En outre, cette documentation étaye les allégations du DOJ selon lesquelles les défendeurs savaient ou ont fait preuve d'imprudence en ignorant qu'ils ne respectaient pas ces règles et réglementations.
Par exemple, le DOJ allègue qu'un ancien employé a témoigné que, pendant une période prolongée, les exigences applicables en matière de cybersécurité n'ont « pas été appliquées ». Dans un autre exemple, le DOJ a cité de nombreux messages instantanés dans lesquels des employés reconnaissaient le non-respect des exigences en matière de cybersécurité. Par ailleurs, le DOJ allègue que les défendeurs ont créé une « culture de non-conformité en matière de cybersécurité », rendant fausses plusieurs années de déclarations. Le DOJ réclame des dommages-intérêts d'environ 30 millions de dollars américains, sur la base des montants facturés au gouvernement, et ce chiffre ne tient pas compte de l'application de la disposition de la FCA prévoyant des dommages-intérêts triples et des frais par déclaration.
A retenir
La plainte déposée par le ministère américain de la Justice permet de tirer les conclusions importantes suivantes :
- Les allégations détaillées, qui s'étendent sur près de 100 pages, reflètent les résultats de ce qui semble avoir été une enquête approfondie. Cela montre la diligence avec laquelle le ministère américain de la Justice traite ces affaires dans le cadre de son initiative civile contre la cyberfraude, lancée en 2021.
- L'examen par le gouvernement de divers référentiels de données, tels que les courriels, les messages instantanés, les présentations PowerPoint et d'autres documents, montre jusqu'où le gouvernement est prêt à aller pour enquêter et donner suite à ses allégations. Par conséquent, les entreprises doivent veiller à mettre en place des politiques appropriées en matière de communication et de conservation des documents.
- Bien que le ministère de la Justice n'allègue pas que des informations sensibles aient été compromises, il soutient que le ministère de la Défense « a payé pour une technologie militaire [...] stockée dans un environnement qui n'était pas protégé contre toute divulgation non autorisée ». Le DOJ ajoute que « ce que le DoD a reçu en échange de ses fonds était de valeur réduite, voire nulle, et ne correspondait pas à ce qu'il avait négocié ». En d'autres termes, le DOJ poursuivra ces actions même en l'absence de violation ou de compromission des données.
- Les lanceurs d'alerte qui ont porté l'affaire devant les tribunaux (avant l'intervention du ministère américain de la Justice) sont des employés actuels et anciens de Georgia Tech. À cet égard, cette affaire illustre l'importance de garantir une culture de conformité grâce à un programme de conformité solide et efficace.
- Cette affaire n'est que le dernier exemple en date de poursuites engagées par le ministère américain de la Justice pour non-respect présumé des règles de cybersécurité en vertu de la FCA. Le ministère américain de la Justice a indiqué qu'il prenait très au sérieux l'application de la loi dans ce domaine, et cette intervention ainsi que la plainte détaillée démontrent l'engagement de l'agence à cet égard.
