PROJET AUTOBLOG


La Quadrature du Net

Site original : La Quadrature du Net

⇐ retour index

Mise à jour

Mise à jour de la base de données, veuillez patienter...

Censure antiterroriste : la Commission européenne maintient la pression sur le Parlement

mercredi 23 janvier 2019 à 15:33

Après sa présentation en septembre 2018 par la Commission européenne et son adoption trois mois plus tard par les gouvernements européens, le projet de règlement sur la censure antiterroriste est en ce moment en discussion devant le Parlement européen.

Pour rappel, ce texte obligera de fait tous les acteurs du Web à se soumettre aux outils de surveillance et de censure automatisée fournis par Facebook et Google, tout en permettant à la police d’exiger le retrait en une heure des contenus qu’elle juge « terroriste », sans l’autorisation d’un juge.

Au sein du Parlement, c’est aujourd’hui la Commission LIBE (pour Libertés civiles, justice et affaires intérieures) qui a été désignée comme « compétente au fond », avec comme rapporteur Daniel Dalton (Royaume-Uni, ECR – Extrême-droite). Ce dernier sera donc chargé de rendre un rapport proposant des amendements au texte de la Commission européenne, rapport qui servira ensuite de base au Parlement européen pour examiner le texte de la Commission en séance plénière. Selon nos informations, Dalton pourrait essayer de publier un projet de rapport d’ici la fin janvier avec pour objectif de le faire adopter par la Commission LIBE dès le 21 mars 2019.

Deux autres commissions ont été désignées pour rendre à la Commission LIBE des avis sur la proposition législative : la Commission IMCO (pour Marché intérieur et protection des consommateurs – avec Julia Reda comme rapporteure – Allemagne, Groupe des Verts) et la Commission CULT (pour Culture et Éducation – avec Julie Ward comme rapporteure – Royaume-Uni, du groupe Socialistes et Démocrates).

Ces commissions ont toutes les deux récemment publié leur projet d’avis sur le texte.

Le projet d’avis de Julia Reda, publié le 13 décembre 2018, suggère la modification et même la suppression de nombreux éléments qui posaient problème dans le texte original présenté par la Commission européenne. Il y est ainsi proposé d’exclure du champ d’application les petites et moyennes entreprises ainsi que les services d’informatique en nuage, les blogs ou les services de communication interpersonnelles (c’est à dire les messageries instantanées). Elle recommande par ailleurs que seules des autorités judiciaires (et non plus la police) puissent demander à un fournisseur le retrait d’un contenu et cela, non plus dans l’heure mais seulement « rapidement, compte étant tenu de la taille et des ressources des fournisseurs des services d’hébergement ». Le fournisseur de service pourrait également contester le fondement de la demande de retrait qui lui est adressé. Enfin, parmi d’autres mesures, il est demandé la suppression de l’article 6 qui concernait la possibilité pour les autorités d’imposer des mesures de filtrage automatique aux fournisseurs de services.

Concernant la Commission CULT, Julie Ward a publié la semaine dernière un projet d’avis dans lequel elle critique à son tour les dangers de la proposition de la Commission. Elle y propose notamment, elle-aussi, de ne donner le pouvoir d’ordonner des retraits de contenus qu’aux autorités judiciaires, de ne plus parler d’un retrait en une heure mais « dans les meilleurs délais », de supprimer l’article 6 sur les mesures proactives de filtrage et de retirer la sanction minimum de 4% du chiffre d’affaires…1Notons que parmi les différences entre les deux projets d’avis, Julia Reda ne propose pas seulement de supprimer l’article 6 sur les mesures proactives mais également l’article 5 qui laissait au fournisseur de services l’opportunité de supprimer ou non un contenu signalé par les autorités – ce qui n’est pas proposé dans le projet d’avis de Julie Ward.<script type="text/javascript"> jQuery("#footnote_plugin_tooltip_5684_1").tooltip({ tip: "#footnote_plugin_tooltip_text_5684_1", tipClass: "footnote_tooltip", effect: "fade", fadeOutSpeed: 100, predelay: 400, position: "top right", relative: true, offset: [10, 10] });

Si ces deux projets d’avis contiennent des propositions de modification qui sont les bienvenues par rapport au texte original, il reste que la stratégie que paraissent poursuivre les députées, c’est-à-dire de vider le texte de sa substance (réduction du nombre d’acteurs visés, passage obligatoire par des autorités judiciaires, suppression du délai de retrait d’une heure et des filtres automatiques…) sans appeler à son rejet en entier, nous semble être un jeu bien trop dangereux, qu’il ne faut surtout pas jouer.

En effet, premièrement, rien ne dit que ce seront les avis définitifs qui seront adoptés par IMCO et CULT et, deuxièmement, il sera toujours plus facile, une fois le texte adopté, de faire sauter les exceptions pour revenir au projet d’origine de la Commission. Comme nous le soulignons depuis septembre, seul le rejet du texte en son entier permettra de sauvegarder nos libertés et de conserver un Internet libre et décentralisé.

Il reste maintenant à savoir quelle sera la teneur du rapport de Daniel Dalton pour la Commission LIBE. Ses positions habituelles n’ont rien pour nous rassurer. L’autre question tient à savoir si le Parlement européen parviendra à se prononcer en séance plénière sur ce texte avant les élections européennes à venir en mai 2019.

S’il semble que, plus le temps avance, moins cela semble certain, le commissaire européen responsable de ce texte, Julian King, paraît, de son côté, toujours y croire,  :

« Après un certain retard, le Parlement européen vient de confirmer la semaine dernière les commissions compétentes sur le texte. Nous devons donc désormais concentrer tous les efforts pour obtenir un accord avant les élections européennes.

C’est la première de nos trois priorités pour cette année, et la plus urgente à court terme»

En conclusion, si nous avions pu espérer en fin d’année dernière un ralentissement des débats sur ce sujet, ni la Commission ni les gouvernements ne semblent prêts à lâcher l’affaire et continuent d’imposer aux institutions européennes un rythme étranger à tout débat démocratique.

References   [ + ]

1. Notons que parmi les différences entre les deux projets d’avis, Julia Reda ne propose pas seulement de supprimer l’article 6 sur les mesures proactives mais également l’article 5 qui laissait au fournisseur de services l’opportunité de supprimer ou non un contenu signalé par les autorités – ce qui n’est pas proposé dans le projet d’avis de Julie Ward.
<script type="text/javascript"> function footnote_expand_reference_container() { jQuery("#footnote_references_container").show(); jQuery("#footnote_reference_container_collapse_button").text("-"); } function footnote_collapse_reference_container() { jQuery("#footnote_references_container").hide(); jQuery("#footnote_reference_container_collapse_button").text("+"); } function footnote_expand_collapse_reference_container() { if (jQuery("#footnote_references_container").is(":hidden")) { footnote_expand_reference_container(); } else { footnote_collapse_reference_container(); } } function footnote_moveToAnchor(p_str_TargetID) { footnote_expand_reference_container(); var l_obj_Target = jQuery("#" + p_str_TargetID); if(l_obj_Target.length) { jQuery('html, body').animate({ scrollTop: l_obj_Target.offset().top - window.innerHeight/2 }, 1000); } }

Première sanction contre Google suite à nos plaintes collectives

lundi 21 janvier 2019 à 17:13

Le 28 mai dernier, La Quadrature du Net déposait devant la CNIL, au nom de 12 000 personnes, cinq plaintes contre Google, Apple, Facebook, Amazon et Microsoft. Depuis, la CNIL a décidé de traiter elle-même la plainte contre Google, alors que les autres sont parties devant les autorités irlandaise et luxembourgeoise (lire notre explication). À cela s’ajoutait une autre plainte déposée elle aussi devant la CNIL par nos amis de l’association autrichienne NOYB contre Android.

Aujourd’hui, la CNIL vient de sanctionner Google à hauteur de 50 millions d’euros, considérant que le ciblage publicitaire qu’il réalise sur son système d’exploitation Android n’est pas conforme au règlement général pour la protection des données (RGPD), la nouvelle loi européenne entrée en application le 25 mai 2018. Cependant, cette sanction n’est qu’une toute première partie de la réponse à notre plainte contre Google, qui dénonçait surtout le ciblage publicitaire imposé sur Youtube, Gmail et Google Search en violation de notre consentement.

Ainsi, la CNIL explique notamment le montant de sa sanction, très faible en comparaison du chiffre d’affaire annuel de près de 110 milliards de dollars de Google, du fait que le périmètre de son contrôle s’est limité aux « traitements couverts par la politique de confidentialité présentée à l’utilisateur lors de la création de son compte à l’occasion de la configuration de son téléphone mobile sous Android » (par. 78). Nous attendons donc de la CNIL qu’elle réponde rapidement au reste de notre plainte, au sujet de Youtube, Gmail et Google Search, en imposant cette fois-ci une sanction d’un montant proportionné à cette entreprise ainsi qu’à l’ampleur et à la durée de la violation de nos droits (le montant maximal possible, que nous espérons, est de plus de 4 milliards d’euros, 4% du chiffre d’affaire mondial).

Par ailleurs, sur le fond, la CNIL a aujourd’hui sanctionné Android sur des arguments dont l’enjeu est assez faible : elle considère, à juste titre, que les informations que nous donne Google au moment de créer un compte ne sont pas clairement accessibles et que notre consentement n’est pas recueilli de façon explicite (par un acte positif de notre part) mais notamment au moyen de cases pré-cochées, ce que le RGPD interdit explicitement.

Certes, ce dernier argument était bien un de ceux que nous avions soulevés dans nos plaintes, mais nos plaintes visaient avant tout à trancher un autre débat, bien plus fondamental : que la CNIL reconnaisse que notre consentement n’est valide que s’il est librement donné. Que la CNIL explique clairement que Google ne peut pas nous obliger à accepter son ciblage publicitaire afin de pouvoir utiliser ses services.

Contrairement aux décisions rendues récemment par la CNIL au sujet d’entreprises françaises, la CNIL est aujourd’hui parfaitement muette à ce sujet, et nous le déplorons. Nous attendons donc d’elle qu’elle aborde frontalement ce sujet dans les décisions qu’elle doit rendre prochainement au sujet de Youtube, Gmail et Google Search.

Au passage, toutefois, notons que Google, au cours de la procédure, a prétendu qu’il exigeait systématiquement notre consentement pour nous cibler à des fins publicitaires, et ne se reposait pas sur une autre base légale (tel que « l’intérêt légitime » – voir notre plainte, p.10). Ces prétentions sont intéressantes, premièrement parce qu’elles contredisent le contenu même de la politique de confidentialité de Google (qui prétend pouvoir nous cibler sans notre consentement), mais aussi parce qu’elles laissent envisager un repli stratégique de la part de Google qui, dos au mur, pourrait enfin cesser de feindre d’ignorer entièrement le droit européen.

Un risque majeur demeure toutefois : pour échapper à des sanctions, Google a récemment modifié ses conditions d’utilisation. Celles-ci prétendent, à partir du 22 janvier, établir l’entreprise comme étant située en Irlande dans l’espoir d’empêcher la CNIL française de rendre des décisions telle que celle d’aujourd’hui (l’autorité irlandaise étant en sous-effectif et débordée de plaintes, Google peut espérer y faire traîner sa procédure pendant des années). Nous attendons de la CNIL qu’elle ignore cette pirouette éhontée et décide de rester compétente pour prononcer les autres sanctions contre Youtube, Gmail et Google Search, notre plainte ayant été déposée bien avant ce changement unilatéral des conditions d’utilisation imposées par l’entreprise.

En conclusion, même si nous nous réjouissons d’une première sanction sur le fondement de nos plaintes collectives, notamment car la décision d’aujourd’hui vient couper court à la tentative de fuite en Irlande de Google, nous attendons surtout de la CNIL qu’elle prononce très prochainement la suite des décisions auxquelles notre plainte appelle. Ces décisions devront aborder frontalement la question du « consentement libre » et prévoir une sanction d’un montant proportionné à la situation, bien au delà de 50 millions d’euros.

Surtout, un grand merci au 12 000 personnes avec qui nous avons engagé ces plaintes contre les GAFAM et leur monde <3

La Quadrature du Net a encore besoin de vos dons

mercredi 19 décembre 2018 à 16:33

Nous voici à la fin de la campagne de dons annuelle de La Quadrature du Net : cinq semaines que nous avons vécues au rythme des évènements thématiques organisés et des belles rencontres qu’ils nous ont permis de faire.

Nous y avons parlé des sujets qui sont au cœur de nos actions : la lutte contre la censure et la surveillance mais aussi contre l’emprise des GAFAM et de l’économie de l’attention sur nos vies.

Nous avons aussi parlé de ce qui nous guide au jour le jour : la vision d’un Internet libre, neutre et décentralisé, vision partagée par nombre de nos ami·es, à qui nous avons essayé de donner un peu la parole dans cette campagne, à travers diverses vidéos.1Pour voir, revoir ou diffuser autour de vous ces vidéos :
« Soutenons notre Internet »
« Contre la censure, la décentralisation »
« Notre Internet, nos câbles »
« Nos données ne sont pas des marchandises »
« Résistons à la surveillance »
<script type="text/javascript"> jQuery("#footnote_plugin_tooltip_1883_1").tooltip({ tip: "#footnote_plugin_tooltip_text_1883_1", tipClass: "footnote_tooltip", effect: "fade", fadeOutSpeed: 100, predelay: 400, position: "top right", relative: true, offset: [10, 10] });

Nous avons enfin beaucoup parlé d’un sujet crucial tant il menace l’Internet que nous aimons : la censure sécuritaire au prétexte de la lutte anti-terroriste.

Si la série d’évènements que nous avons organisés s’est achevée hier avec une inspirante soirée littéraire,2Pour retrouver les captations de plusieurs de ces soirées :
« Quel avenir juridique pour les hébergeurs ? »
« Capitalisme de surveillance »
« Soirée littéraire « le futur d’Internet »
<script type="text/javascript"> jQuery("#footnote_plugin_tooltip_1883_2").tooltip({ tip: "#footnote_plugin_tooltip_text_1883_2", tipClass: "footnote_tooltip", effect: "fade", fadeOutSpeed: 100, predelay: 400, position: "top right", relative: true, offset: [10, 10] }); les attaques contre nos libertés fondamentales se multiplient.
La lutte ne s’arrête donc pas là : ce dossier « censure sécuritaire » mais aussi les projets de « smart cities » technopolicières qui fleurissent partout dans le monde, et notamment en France, dessineront ce que seront les combats de La Quadrature du Net pour l’année à venir.

C’est pourquoi La Quadrature du Net a besoin de vous encore une fois. Notre objectif de campagne est loin d’être atteint : nous en sommes aujourd’hui à 45%, et la vie de l’association est assurée jusqu’en juin 2019. Ensuite, c’est flou. Les années précédentes, des événements d’actualité très forts, comme l’état d’urgence contre lequel nous étions très impliqués ou comme notre action collective contre les GAFAM ont relancé les dons en cours d’année, ce qui nous avait permis de boucler le budget. En 2019, nous partons en campagne contre la volonté de la France et de l’Union européenne d’augmenter la censure du Web sous prétexte de lutter contre le terrorisme. L’année sera difficile. Et sans votre aide nous ne pourrons pas mener à bien ce pour quoi nous sommes là : défendre au quotidien les libertés de chacune et chacun !

References   [ + ]

<script type="text/javascript"> function footnote_expand_reference_container() { jQuery("#footnote_references_container").show(); jQuery("#footnote_reference_container_collapse_button").text("-"); } function footnote_collapse_reference_container() { jQuery("#footnote_references_container").hide(); jQuery("#footnote_reference_container_collapse_button").text("+"); } function footnote_expand_collapse_reference_container() { if (jQuery("#footnote_references_container").is(":hidden")) { footnote_expand_reference_container(); } else { footnote_collapse_reference_container(); } } function footnote_moveToAnchor(p_str_TargetID) { footnote_expand_reference_container(); var l_obj_Target = jQuery("#" + p_str_TargetID); if(l_obj_Target.length) { jQuery('html, body').animate({ scrollTop: l_obj_Target.offset().top - window.innerHeight/2 }, 1000); } }

Reconnaissance faciale au lycée : l’expérimentation avant la généralisation

mercredi 19 décembre 2018 à 14:44

Le 14 décembre dernier, le Conseil Régional de PACA a voté une mesure visant à faire installer, à partir de 2019, des dispositifs de reconnaissance faciale à l’entrée de deux lycées de Nice et de Marseille. Dès le mois d’octobre, La Quadrature du Net avait demandé à la CNIL la communication des documents en sa possession sur ce dossier, cette dernière ayant été consultée par la région pour la mise en place de ces dispositifs. L’analyse de ces documents, ainsi que les précisions apportées par Christian Estrosi, confirment l’impuissance de la CNIL à enrayer la banalisation d’une technologie particulièrement liberticide et qui vise ici à s’étendre à l’ensemble des établissements scolaires de la région.

Mise à jour (20 décembre 2018) – nous publions les documents suivants :

  • La réponse de la CNIL à notre demande
  • La lettre de Renaud Muselier présentant le projet à la CNIL
  • L’exposé détaillé du projet par la région
  • La demande de renseignements complémentaires par la CNIL à la région et la réponse de cette dernière

De quoi s’agit-il ? En octobre 2017, Renaud Muselier, président de la région PACA, demande les conseils de la CNIL pour la mise en place dans deux lycées de Nice et de Marseille de dispositifs de « portiques virtuels » associant « des moyens classiques d’identification (…) à un dispositif biométrique utilisant des technologies de comparaison faciale, seuls à même d’après nos premières investigations, d’apporter une solution fiable et rapide dans un contexte de contrôle d’accès portant sur un nombre potentiellement élevé de personnes ». Cette nouvelle étape est la suite logique de sa politique sécuritaire ayant conduit, entre 2016 et 2017, à ce que plus de 1 300 caméras de vidéosurveillance soient installées dans l’ensemble des lycées de la région. La technologisation à outrance est également présentée par la région comme une réponse au contexte d’austérité budgétaire :

Ce dispositif constitue une réponse au différentiel croissant constaté entre les exigences de sécurisation des entrées dans les établissements et les moyens humains disponibles dans les lycées, dans le cadre des plans successifs de réduction des effectifs dans la fonction publique.

La région PACA présente ainsi à la CNIL son projet visant à « sanctuariser » les entrées et les sorties dans les établissements secondaires. Il s’agit non seulement de reconnaissance faciale mais également d’un dispositif de « suivi de trajectoire » de certains des visiteurs : un logiciel installé couplé à une caméra permet de détecter des points de comparaison faciale déterminés par un algorithme et de le comparer avec ceux stockés dans une base de données. Un écran mis à la disposition des agents de contrôle permet alors de visualiser trois types de profils : « vert » pour les personnes autorisées à pénétrer dans l’enceinte du lycée, « jaune » pour les personnes non identifiées et invitées à se présenter à l’accueil et « rouge » pour les personnes non identifiées et qui ne se sont pas dirigées dès leur entrée vers l’accueil.

Il est par ailleurs précisé qu’il s’agit pour l’instant d’une « expérimentation limitée dans le temps » et fondée sur le consentement explicite de volontaires au sein des établissements visés.

La CNIL impuissante face au développement de la reconnaissance faciale

Alors qu’elle avait appelé en septembre 2018 à un débat urgent sur ces nouveaux usages des caméras vidéo et qu’elle souligne elle-même les risques considérables d’atteinte aux libertés individuelles que cette technologie entraîne, la CNIL n’a opéré ici qu’un suivi très souple – voire accommodant – du projet.

Soulignons d’abord que, depuis l’entrée en vigueur du RGPD en mai 2018, les responsables de traitement de données personnelles n’ont en principe plus à réaliser de formalités auprès de la CNIL avant la mise en œuvre du traitement, tel qu’obtenir son autorisation dans certains cas. Le contrôle de l’autorité ne se fait qu’a posteriori, conformément au principe de responsabilisation des acteurs prévu dans le règlement. Tout au plus certains traitements, et c’est le cas pour la reconnaissance faciale, doivent-ils faire l’objet d’une analyse d’impact. Le consentement des utilisateurs est désormais censé fournir une base légale suffisante pour le déploiement de ces systèmes qui font pourtant entrer la surveillance dans une nouvelle ère. En supprimant le pouvoir d’autorisation de la CNIL s’agissant de ce type de dispositifs, le RGPD marque donc un recul pour les libertés.

Selon les documents qui nous ont été communiqués, la CNIL s’est donc contentée de demander des précisions complémentaires à la Région sur le dispositif envisagé et, sur certains points, de fournir des recommandations. C’est d’ailleurs suite à l’une de ces recommandations que la Région a décidé que le stockage des données biométriques ne se ferait pas sur une base de données mais sur un support individuel, sous le contrôle exclusif de la personne (en l’espèce, un badge) (comme c’est le cas pour ce qui existe déjà dans plusieurs aéroports où la photographie n’est stockée que dans le microprocesseur du passeport biométrique).

Ainsi, et contrairement à ce qui a été annoncé par une partie de la presse et par Christian Estrosi lui-même, la CNIL n’a pas donné son « feu vert » à ce dispositif mais a simplement accompagné la région dans sa mise en place.

Pourtant, en laissant se développer ce type de technologies à des buts sécuritaires, sans qu’il ne soit apporté à un seul moment la preuve de la pertinence d’un tel dispositif par rapport au système existant,1Il est ainsi seulement précisé dans les documents produits par la région, et cela sans aucune preuve ou réelle analyse, que « les nombreux incidents et agressions constatés aussi bien dans l’enceinte du lycée qu’à ses abords, ainsi que le contexte sécuritaire existant depuis les attentats terroristes de 2016, conduisent également à tenter de limiter les temps d’attente et les attroupements à l’extérieur des établissements aux moments de forte affluence (rentrées matinales notamment) » ou que « ce dispositif constitue une réponse au différentiel croissant constaté entre les exigences de sécurisation des entrées dans les établissements et les moyens humains disponibles dans les lycées, dans le cadre des plans successifs de réduction des effectifs de la fonction publique. Il apporte une assistance aux personnels du lycée, qui peuvent ainsi mieux se concentrer sur les cas nécessitant une intervention humaine, et reporter leur vigilance sur les multiples situations menaçant la sécurité, en augmentant la présence humaine dans les lieux de vie de l’établissement. »<script type="text/javascript"> jQuery("#footnote_plugin_tooltip_7992_1").tooltip({ tip: "#footnote_plugin_tooltip_text_7992_1", tipClass: "footnote_tooltip", effect: "fade", fadeOutSpeed: 100, predelay: 400, position: "top right", relative: true, offset: [10, 10] }); sans même une réelle réflexion sur la nature du consentement que peuvent donner des mineurs à l’égard d’une expérimentation au sein de leur lycée,2Le courrier de la région précise à ce titre que « Les personnes volontaires (ou leur représentant légal pour les mineurs) doivent signer préalablement un formulaire de recueil de consentement expliquant la finalité de l’expérimentation, la durée de conservation des donnée ainsi que la manière d’exercer les droits Informatique et Libertés »<script type="text/javascript"> jQuery("#footnote_plugin_tooltip_7992_2").tooltip({ tip: "#footnote_plugin_tooltip_text_7992_2", tipClass: "footnote_tooltip", effect: "fade", fadeOutSpeed: 100, predelay: 400, position: "top right", relative: true, offset: [10, 10] }); la CNIL participe à la banalisation de ces technologies. Elle devient l’alibi au développement d’une surveillance généralisée qui sera au cœur des « Safe City » qui commencent à essaimer sur le territoire.

Un dispositif qui a vocation à s’étendre à toute la région

Car, sous le qualificatif faussement tranquillisant d’ « expérimentation » mis en exergue par Renaud Muselier et Christian Estrosi, ces derniers souhaitent en réalité, comme ils l’ont eux-mêmes énoncé lors de l’assemblée plénière du Conseil Régional, étendre ce dispositif de reconnaissance faciale à l’ensemble des lycées de la région :

Avec ces deux expériences, une fois que nous l’aurons démontré, nous irons très vite sur la généralisation, à partir du réseau de vidéosurveillance déjà existant, sur lequel il ne nous restera plus qu’à mettre le logiciel qui correspond à l’usage de la reconnaissance faciale par rapport aux caméras déjà installées dans nos établissements scolaires.

L’expérimentation des lycées de Nice et de Marseille s’inscrit donc en réalité parfaitement dans les divers projets que La Quadrature du Net dénonce depuis près d’un an, et qui sont d’ailleurs particulièrement avancés dans ces deux villes : « Observatoire Big Data de la tranquillité publique » à Marseille, « Safe City » à Nice… Cette actualité apparaît alors comme une nouvelle briqueau développement, toujours plus rapide et incontrôlable, de ces nouvelles technologies de surveillance (« Big Data », caméras « intelligentes », reconnaissance faciale…) au profit des municipalités et de leurs polices.

Un tel projet profitera par ailleurs pleinement à son maître d’œuvre, la société CISCO, qui finance entièrement cette expérimentation et qui s’occupera « dans un premier temps » de former les professeurs des lycées à ces nouvelles technologies. Cisco, acteur américain central de la « Safe City », et avec qui le gouvernement français avait déjà signé un partenariat important pour mener un projet de « Smart City » dans une ville française, se positionne dans un marché en plein essor. Il pourra pleinement tirer parti de cette occasion que lui donne la région de tester ses nouvelles technologies de surveillance dans nos établissements scolaires pour mieux la revendre plus tard, dans le cadre de marchés publics à vocation sécuritaire.

Alors qu’il y a plus d’un mois, nous appelions déjà la CNIL à imposer un moratoire sur le développement de ces technologies, cette dernière semble s’en tenir à une posture attentiste. Nous appelons les syndicats de lycéens et d’enseignants ainsi que les parents d’élèves et toutes celles et ceux révulsés par ces évolutions à s’organiser pour les tenir en échec.

References   [ + ]

1. Il est ainsi seulement précisé dans les documents produits par la région, et cela sans aucune preuve ou réelle analyse, que « les nombreux incidents et agressions constatés aussi bien dans l’enceinte du lycée qu’à ses abords, ainsi que le contexte sécuritaire existant depuis les attentats terroristes de 2016, conduisent également à tenter de limiter les temps d’attente et les attroupements à l’extérieur des établissements aux moments de forte affluence (rentrées matinales notamment) » ou que « ce dispositif constitue une réponse au différentiel croissant constaté entre les exigences de sécurisation des entrées dans les établissements et les moyens humains disponibles dans les lycées, dans le cadre des plans successifs de réduction des effectifs de la fonction publique. Il apporte une assistance aux personnels du lycée, qui peuvent ainsi mieux se concentrer sur les cas nécessitant une intervention humaine, et reporter leur vigilance sur les multiples situations menaçant la sécurité, en augmentant la présence humaine dans les lieux de vie de l’établissement. »
2. Le courrier de la région précise à ce titre que « Les personnes volontaires (ou leur représentant légal pour les mineurs) doivent signer préalablement un formulaire de recueil de consentement expliquant la finalité de l’expérimentation, la durée de conservation des donnée ainsi que la manière d’exercer les droits Informatique et Libertés »
<script type="text/javascript"> function footnote_expand_reference_container() { jQuery("#footnote_references_container").show(); jQuery("#footnote_reference_container_collapse_button").text("-"); } function footnote_collapse_reference_container() { jQuery("#footnote_references_container").hide(); jQuery("#footnote_reference_container_collapse_button").text("+"); } function footnote_expand_collapse_reference_container() { if (jQuery("#footnote_references_container").is(":hidden")) { footnote_expand_reference_container(); } else { footnote_collapse_reference_container(); } } function footnote_moveToAnchor(p_str_TargetID) { footnote_expand_reference_container(); var l_obj_Target = jQuery("#" + p_str_TargetID); if(l_obj_Target.length) { jQuery('html, body').animate({ scrollTop: l_obj_Target.offset().top - window.innerHeight/2 }, 1000); } }

Résumé de nos arguments contre la surveillance française devant les juges européens

jeudi 13 décembre 2018 à 14:05

La semaine dernière, nous avons déposé devant la Cour de justice de l’Union européenne nos dossiers contre le régime de surveillance français. Cet événement marque l’aboutissement de trois années d’analyses, de débats et de rédaction menés par La Quadrature du Net, FFDN et FDN, principalement au travers des Exégètes amateurs (un groupe de bénévoles qui, depuis quelques mois, ont intégré ces différentes associations pour y poursuivre leurs activités).

Depuis quatre ans que nous menons ce genre d’action, ce dossier contentieux est clairement celui qui aura mobilisé le plus d’énergie de notre part. Dans l’attente de la plaidoirie qui se tiendra dans plusieurs mois, et d’une décision qui pourrait bouleverser le droit français l’année prochaine ou la suivante, faisons le bilan de nos arguments.

En juillet dernier, nous vous faisions le récit de nos trois années de procédure devant les juges français. Depuis, tel que nous l’espérions, le Conseil d’État a accepté de poser à la Cour de justice de l’Union européenne cinq questions portant sur la conformité du régime français de surveillance au regard du droit de l’Union européenne (ces cinq questions ont été transmises par deux décisions rendues le 26 juillet 2018, une première portant sur la loi renseignement et une seconde sur la conservation généralisée des données de connexion).

Pour aider la CJUE à répondre à ces cinq questions, nous avons préparé deux dossiers avec FFDN et igwan.net. Il y a 15 jours, nous vous invitions à venir les relire pour les améliorer. Vous avez été des dizaines à le faire, rendant nos écritures plus claires et plus précises. Nous vous en remercions infiniment. Sincèrement !

Vous pouvez lire ces deux dossiers, ici (PDF, 20 pages) et ici (PDF, 17 pages). Ils ne sont pas très longs, mais leur prose reste assez technique. Nous en faisons donc ici un résumé que nous espérons plus accessible.

Contre la loi renseignement

Notre premier dossier, déposé par La Quadrature du Net, souhaite démontrer que la loi renseignement, adoptée en 2015, est largement contraire au droit de l’Union européenne et devrait donc être drastiquement modifiée pour ne plus permettre les abus qu’elle permet aujourd’hui.

Avant de rentrer dans le détail de nos arguments, rappelons brièvement ce à quoi nous nous attaquons.

Concrètement, la loi renseignement (codifiée au livre VIII du code de la sécurité intérieure) permet aux services de renseignement de réaliser les mesures suivantes :

Toutes ces mesures peuvent être réalisées sur simple autorisation du Premier ministre, sans autorisation préalable d’un juge ou d’une autorité indépendante. Pour être autorisées, il suffit qu’elles soient utiles à la défense de l’un des très nombreux « intérêts fondamentaux de la Nation » dont la loi dresse la liste (et qui ne se résument pas du tout à la seule lutte contre le terrorisme) – nous y reviendrons plus tard. De plus, ces mesures peuvent être prises contre n’importe quelle personne (suspectée ou non) du moment que sa surveillance est susceptible de révéler des informations utiles pour défendre ces « intérêts fondamentaux ».

Enfin, et cette fois-ci pour la seule finalité de lutte contre le terrorisme, l’administration peut aussi recueillir en temps réel des données de connexion et placer sur les réseaux des dispositifs (les fameuses « boites noires », détaillées ci-dessous) interceptant et traitant automatiquement les données acheminées afin de « détecter des connexions susceptibles de révéler une menace terroriste ».

Voilà pour ce que nous attaquons.

Quant à nos arguments, pour aller au plus simple, nous les résumerons à 5 idées : les « intérêts fondamentaux » pouvant justifier une mesure sont trop larges (1) ; les données collectées sont excessives comparées aux objectifs poursuivis (2) ; la loi n’encadre que la collecte des données, mais pas leur utilisation (3) ; les mesures de renseignement ne sont pas soumises à un contrôle indépendant efficace (4) ; nous ne pouvons pas vraiment agir en justice pour contester une mesure illicite (5).

1. Des « intérêt fondamentaux » trop larges

Les services de renseignement peuvent réaliser les mesures listées ci-dessus pour de nombreux « intérêts fondamentaux », que la loi définit comme comprenant la lutte contre le terrorisme mais aussi :
– la défense des « intérêts majeurs de la politique étrangère », ces intérêts étant discrétionnairement définis par le Gouvernement ;
– « l’exécution des engagement européens et internationaux de la France », notamment l’application des normes de l’Union européenne sur l’agriculture, la pêche, les transports, l’emploi, la culture ou le tourisme ainsi que les accords internationaux tels que l’accord de Paris de 2015 sur le climat ou la Convention de Genève de 1931 sur le droit de timbre en matière de chèque (pourquoi pas, après tout !) ;
– la défense des « intérêts économiques, industriels et scientifiques de la France », qui permet l’espionnage industriel et scientifique ;
– la prévention des « violences collectives de nature à porter gravement atteinte à la paix publique », couvrant notamment la lutte contre les manifestations, même non violentes, n’ayant pas été déclarées ou ayant fait l’objet d’une déclaration incomplète ;
– « la prévention de la criminalité et de la délinquance organisée », notamment la lutte contre l’acquisition illicite de stupéfiants, même par un individu seul qui n’agit pas en groupe.

Surveiller la population pour ces finalités est contraire au droit de l’Union européenne. D’abord, le contour de certaines de ces finalités peut être arbitrairement défini par le gouvernement (politique étrangère, engagements internationaux, intérêts économiques…), sans limite prévue dans la loi. De plus, le gouvernement se permet de surveiller la population pour des infractions mineures (par exemple des manifestations non déclarées ou achat à titre individuel de stupéfiants) alors que le droit de l’Union prévoit que, en matière de lutte contre les infractions, la surveillance n’est autorisée que pour lutter contre des crimes graves.

2. Des données excessives

Le droit de l’Union pose comme principe que seules les personnes présentant un lien avec une menace peuvent être surveillées. De plus, il interdit radicalement toute forme de surveillance de masse.

En droit français, comme vu plus haut, la règle est de surveiller n’importe qui pouvant fournir des informations utiles, peu importe que les personnes soient ou non en lien avec une menace. Surtout, la loi renseignement a autorisé deux mesures de surveillance de masse.

Premièrement, les services peuvent intercepter l’ensemble des « communications internationales » – il s’agit de communications dont l’émetteur et/ou le récepteur est situé en dehors du territoire français. Une fois les communications interceptées, toutes les données de connexion y afférentes (qui parle à qui, quand, etc.) peuvent être analysées au moyen de « traitements automatisés », et cela de façon « non individualisée » (donc en masse). De plus, le Premier ministre peut aussi autoriser l’analyse du contenu des communications internationales pour les « zones géographiques » ou les « groupes de personnes » qu’il désigne. Rien ne l’empêche de désigner un ou plusieurs pays comme « zones géographiques » ciblées.

Secondement, les « boites noires » peuvent intercepter et analyser des données (dont certaines sont particulièrement intimes – telle que l’adresse des sites visités) sur l’ensemble des populations utilisant les réseaux de télécommunication où elles sont déployées. Par exemple, rien n’empêche techniquement que le gouvernement pose des boites noires en divers points du réseau d’une grande ville pour analyser automatiquement qui parle avec qui, quand, qui consulte quoi, etc. Le but de ces dispositifs est de « détecter des connexions susceptibles de révéler une menace terroriste » : il s’agit donc d’une surveillance « exploratoire » qui, par nature, vise des personnes sur qui ne pèse aucun soupçon (le but étant de révéler des soupçons). Ces dispositifs sont couramment appelés « boites noires » car ce sont des machines fonctionnant de façon autonome, selon des critères et des méthodes informatiques gardées secrètes.

3. Des renseignements en libre-service

Le droit de l’Union européenne n’encadre pas que la collecte des données. Il exige aussi que l’utilisation ultérieure des données ne puisse être réalisée que pour des finalités légitimes, de façon proportionnée et selon une procédure adaptée.

En France, la loi renseignement ne s’est pas encombrée de telles règles, qui sont donc entièrement absentes, tout simplement ! Une fois que les renseignements ont été mis en fiches et en dossiers, plus aucune règle n’encadre leur utilisation. Ces informations peuvent même être transmises librement à des puissances étrangères qui, elles même, peuvent fournir à la France d’autres renseignements, sans aucune limite ou procédure prévues par la loi.

4. Un contrôle indépendant sans effet

La loi renseignement a prétendu confier à la Commission nationale de contrôle des techniques de renseignement (CNCTR) le soin de veiller à ce que les services de renseignement respectent la loi – ce que le droit de l’Union exige.

Pourtant, dès qu’on regarde un peu en détail, la CNCTR manque de tout pouvoir pour nous protéger effectivement contre des abus politiques. Elle n’est jamais que « avertie » pour pouvoir émettre des « avis non contraignants » sur les mesures prises contre la population. Si ses avis ne sont pas suivis – le gouvernement étant parfaitement libre de passer outre -, la CNCTR peut seulement saisir le Conseil d’État qui, plusieurs semaines ou plusieurs mois après qu’une personne ait été surveillée illégalement, pourra ordonner que la surveillance prenne fin – trop tard, donc.

De plus, symbole parfait de son manque de pouvoir, la CNCTR n’est pas autorisée à accéder aux renseignements fournis à la France par des puissances étrangères. Le gouvernement peut ainsi organiser tous les échanges imaginables avec ses alliés (du type « je surveille ton pays et tu surveilles le mien ») pour échapper à tout semblant de contrôle indépendant.

5. Une défense impossible

Le droit de l’Union prévoit que, pour pouvoir se défendre en justice contre une surveillance illégale, les personnes soient au moins prévenues des mesures qu’elles ont subies lorsque cela ne peut plus nuire aux enquêtes. Encore une fois, le droit français nous refuse parfaitement ce droit, pourtant indispensable au droit fondamental de contester en justice les actes du gouvernement pris contre nous.

Ce droit fondamental exige aussi, toujours d’après le droit de l’Union, que nous disposions des informations nécessaires pour contester la légalité d’une surveillance (pour quel motif avons-nous été surveillé, quand, pendant combien de temps, comment ?). Là, le gouvernement français a les pleins pouvoir pour classer les informations de son choix comme étant « secret-défense », nous empêcher d’y accéder pour nous défendre, et ce sans que le juge ne puisse les déclassifier – ce qui viole encore le droit de l’Union.

Enfin, et c’est sans doute la pire des atteintes à nos droits, nous ne disposons tout simplement d’aucune possibilité de contester en justice la légalité des mesures de surveillance internationale (la surveillance de masse des communications émises vers ou reçues depuis l’étranger).

Bref, sans pouvoir prédire lesquels de nos arguments seront retenus par la Cour de justice de l’Union européenne, il nous semblerait aberrant que des parties importantes de la loi renseignement ne soient pas déclarées comme violant le droit européen.

Contre la conservation généralisée des données de connexion

Notre second dossier (moins dense juridiquement), a été déposé par FFDN et igwan.net, représentant chacun des fournisseurs d’accès à Internet soumis à l’obligation de conserver pendant un an les données de connexion de l’ensemble de la population. Cette obligation s’impose aussi aux opérateurs téléphoniques et aux hébergeurs Web (pour savoir qui a publié quel contenu en ligne, à quelle heure, etc.).

L’argumentation juridique est ici plus simple : le régime français de conservation est frontalement contraire aux exigences européennes qui, tel que précisé par la Cour de justice depuis 2014, interdisent clairement aux États membre d’imposer aux acteurs du numérique de conserver des données de connexion sur l’ensemble de leurs utilisateurs, quelque soit la durée de cette conservation. D’autres États (Suède et Royaume-Uni) ont déjà été explicitement dénoncés par la Cour de justice comme ne respectant par le droit de l’Union sur ce point, en 2016. Mais la France et le Conseil d’État ont cru utile de reposer la question…

Leur argument principal est que la menace terroriste (qui justifierait la conservation généralisée des données de connexion) aurait augmenté depuis 2016. Sauf que, entre la période de 2015-2016 et celle de 2017-2018, le nombre de victimes du terrorisme en Europe a presque été divisé par quatre. De plus, les usages du numérique, ainsi que la loi, ont largement évolués, rendant encore moins utile l’obligation de conserver des données pendant un an.

Si la France veux amadouer la Cour de justice de l’UE afin que ses pouvoirs de surveillance soient épargnés, elle aurait mieux fait de commencer par réformer son droit qui, depuis quatre ans, viole frontalement celui de l’Union européenne.

Ce combat est celui qu’a initié la formation des Exégètes amateurs. Il a aussi marqué le début des actions de La Quadrature du Net devant les juges. Nous espérons connaître le même succès que celui obtenu par nos amis Digital Rights Ireland et Maximilian Schrems qui ont respectivement obtenu en 2014 et 2015 des décisions fondamentales de la Cour de justice de l’Union européenne en faveur de nos libertés et contre la surveillance de masse.

Error happened! 0 - Call to undefined function simplexml_load_string() In: /var/www/Projet-Autoblog/autoblogs/autoblog.php:364 http://www.couturat.fr/Projet-Autoblog/autoblogs/wwwlaquadraturenet_44e8acc42497346e638a15ab33c4994359e275c3/?13 #0 /var/www/Projet-Autoblog/autoblogs/autoblog.php(932): VroumVroum_Blog->update() #1 /var/www/Projet-Autoblog/autoblogs/wwwlaquadraturenet_44e8acc42497346e638a15ab33c4994359e275c3/index.php(1): require_once('/var/www/Projet...') #2 {main}