La décision de la Cour suprême pourrait menacer la réglementation et les règles en matière de cybersécurité

Un récent arrêt de la Cour suprême a considérablement modifié le paysage de l’application de la réglementation aux États-Unis, avec de profondes implications pour la réglementation en matière de cybersécurité. Le 28 juin 2024, la Cour suprême a annulé la doctrine Chevron, un principe juridique établi en 1984 (Chevron c. Conseil de défense des ressources naturelles) qui permettait aux agences fédérales d'interpréter les ambiguïtés de la loi en utilisant leur expertise. Cette doctrine constitue la pierre angulaire du système de réglementation fédéral depuis quatre décennies, permettant aux agences de créer et d'appliquer des règles avec une expertise technique et une efficacité accrues.

La décision de la Cour suprême exige que les tribunaux doivent désormais exercer leur jugement indépendant lorsqu'ils déterminent si une agence a agi dans le cadre de son autorité statutaire. Cette décision élimine effectivement la nécessité pour les tribunaux de s'en remettre à l'expertise de l'agence dans les cas impliquant des lois ambiguës, renversant ainsi une pratique en place depuis quarante ans. Selon la Cour suprême, « la loi sur la procédure administrative exige que les tribunaux exercent leur jugement indépendant pour décider si une agence a agi dans le cadre de son autorité statutaire, et les tribunaux ne peuvent pas s'en remettre à l'interprétation de la loi par une agence simplement parce qu'une loi est ambiguë ; Chevron est rejeté."

Ce changement a des répercussions importantes sur la réglementation de la cybersécurité aux États-Unis, qui est principalement gérée par des agences fédérales telles que la FDA, la SEC et le DHS. Ces agences se sont historiquement appuyées sur leur expertise pour interpréter et appliquer les lois et réglementations en matière de cybersécurité. Cependant, avec la décision de la Cour suprême, le contrôle judiciaire jouera désormais un rôle plus important dans ces affaires, ce qui pourrait entraîner une augmentation des litiges et des contestations des décisions des agences.

Ilia Kolochenko, avocat chez Platt Law LLP et PDG d'Immuniweb, a fait remarquer : « Cette décision historique de la Cour suprême des États-Unis aura probablement des conséquences tectoniques et durables sur l'élaboration des règles administratives aux États-Unis. -ancienne doctrine Chevron, la Cour suprême a donné beaucoup plus de pouvoir judiciaire et de latitude aux tribunaux dans l'interprétation de la loi fédérale qui peut être vague, peu claire ou simplement muette sur certains éléments, tels que la cybersécurité, la confidentialité ou la divulgation de violations de données.

La décision implique que les entreprises peuvent désormais faire appel des décisions des agences sans que les tribunaux ne s'en remettent à l'expertise des agences. Cela pourrait entraîner une augmentation des contestations judiciaires et des appels, les entreprises bien financées traitant potentiellement les réglementations américaines de la même manière qu'elles abordent les réglementations européennes, à travers de longues batailles juridiques. Ken Dunham, directeur des cybermenaces chez Qualys TRU, anticipe « un tsunami de litiges pour les agences et/ou fonctionnaires fédéraux, qui pourront désormais être poursuivis à perpétuité pour les décisions prises ».

Jody Freeman, professeur à la Harvard Law School, ajoute : « Il s'agit d'un transfert massif de pouvoir vers les tribunaux et non plus des agences. Et pour mettre cela en contexte, cela fait partie d'une série d'affaires dans lesquelles la Cour suprême a rendu plus difficile la tâche des agences. faire leur travail."

Cette évolution suscite des inquiétudes quant à l’avenir de la réglementation en matière de cybersécurité. Kolochenko souligne que les tribunaux peuvent désormais invalider les règles administratives qu'ils jugent incompatibles avec les objectifs statutaires, affectant les règles sur la cybersécurité, la divulgation des violations et les infrastructures nationales critiques. Cela inclut des initiatives récentes telles que les règles CIRCIA de la CISA, qui exigent un reporting détaillé des cyberincidents dans les secteurs d'infrastructures critiques. Avec le nouveau contrôle judiciaire, ces règles sont plus susceptibles d'être annulées.

Jason Porter, vice-président et directeur technique d'Optiv + ClearShark, note : « Ce changement entraînera probablement la contestation et l'annulation d'un plus grand nombre de mesures réglementaires, ce qui entraînera une insécurité juridique pour les organismes de réglementation et les industries qu'ils supervisent. »

Même si la décision de la Cour suprême pose plusieurs défis, elle pourrait également avoir des conséquences positives. Aaron Rose, bureau du CTO chez Check Point Software, voit des avantages potentiels, tels que forcer le Congrès à rédiger une législation plus précise et garantir que les agences fondent leurs réglementations sur des normes juridiques claires. Un contrôle judiciaire accru pourrait conduire à des décisions plus cohérentes et plus équitables, fondées sur des principes juridiques établis.

Cependant, Rose souligne également les inconvénients : « Avec l'évolution rapide de la technologie, en particulier dans le domaine de la cybersécurité, une adaptation rapide est essentielle. La décision de la Cour suprême pourrait ralentir la mise en œuvre des mesures nécessaires, laissant des lacunes que les pirates informatiques et les mauvais acteurs pourraient exploiter. »

En conclusion, la décision de la Cour suprême d'annuler la doctrine Chevron a marqué le début d'une nouvelle ère de surveillance réglementaire, transférant le pouvoir des agences d'experts vers le système judiciaire. Même si ce changement vise à garantir que les réglementations reposent sur des principes juridiques clairs, il introduit une incertitude et des retards potentiels dans le domaine en évolution rapide de la cybersécurité. À mesure que le paysage juridique s’adaptera à cette décision, le défi sera d’équilibrer le contrôle judiciaire avec la nécessité de réglementations en matière de cybersécurité, élaborées par des experts, opportunes et efficaces.