Autoblog de la La quadrature du net

Ce site n'est pas le site officiel de la Quadrature du net.
C'est un blog automatisé qui réplique les articles de laquadrature.net

Révision du règlement eIDAS :  la sécurité de l’écosystème web en danger

Fri, 20 May 2022 10:23:46 +0000 - (source)

Une révision du règlement eIDAS, qui régule les procédures électroniques transfrontières pour l’identification, l’authentification et la certification de sites web au sein de l’UE, est en ce moment étudiée par l’Union européenne. L’article 45 de la proposition concerne l’un des mécanismes clés de la sécurité web pour vérifier si un site sécurisé est celui qu’il prétend être. Chaque navigateur web possède une liste d’ « Autorités de certification racine » (appelées « Root Certificate Authorities » ou « Root CAs » en anglais) jugées dignes de confiance pour, dit simplement, valider les certificats TLS (pour « Transport Layer Security », certificats destinés à garantir la sécurité de la connexion Internet) utilisés par les sites. Chaque éditeur de navigateur web – tel que Mozilla, Google, Apple et Microsoft – dirige son propre programme d’audit indépendant pour valider ces Autorités de certification.
Problème : l’article 45.2 du règlement eIDAS révisé obligerait ces programmes à valider et intégrer automatiquement certaines Autorités de certification soutenues par les États membres de l’Union Européenne, qu’elles remplissent ou non les critères de sécurité exigés jusque-là par les navigateurs web. L’adoption de cette proposition créerait un dangereux précédent mondial : le risque, bien réel, est ni plus ni moins que de rendre possible l’abaissement du niveau de sécurité web pour les internautes.

Naviguer sur un site sécurisé sur Internet est rendu possible grâce à une série d’opérations de vérification et d’audits de sécurité. Ceci permet de s’assurer que le site est bien celui qu’il prétend être et que les informations qui transitent entre le navigateur et le site en question sont chiffrées de manière confidentielle.

Pour cela, le navigateur web vérifie deux choses :
1) que le certificat TLS d’authentification utilisé par le site sécurisé est valide et digne de confiance.
2) que l’Autorité de certification qui a validé et signé ce certificat est digne de confiance.

Si ces conditions ne sont pas réunies, le navigateur vous préviendra que le site est peut-être malveillant. Ce sont les fameux messages que vous avez sans doute déjà rencontrés : « Attention risque probable de sécurité » sur Firefox ou « Votre navigation n’est pas privée » sur Chrome.

Si une Autorité de certification rencontre des défaillances en termes de sécurité, il devient possible pour des acteurs malveillants d’émettre des faux certificats TLS, par exemple pour des sites très fréquentés comme www.google.com. Les attaquants peuvent ensuite consulter le trafic des internautes qui tapent leur requête sur le site malveillant qui se fait passer pour www.google.com. Ce type d’attaque a été conduit par le passé contre de multiples Autorités de certification en raison de failles de sécurité sur leurs systèmes (par exemple DigiNotar CA et Comodo CA en 2011).

Des acteurs étatiques malveillants qui veulent mener des opérations de surveillance de masse dans leur pays peuvent aussi créer et contrôler une Autorité de certification pour contourner les protocoles de sécurité sur Internet. Tous les certificats émis par l’Autorité de certification en question peuvent alors potentiellement être utilisés pour espionner les communications des internautes ciblés.

Pour limiter les risques pour leurs utilisateur·rice·s, les navigateurs web auditent et sélectionnent de manière indépendante les Autorités de certification qui sont jugées dignes de confiance. Les critères de validation sont consultables en ligne, tel le « Root Program » de Mozilla ou celui d’Apple.

En cas de problème de sécurité, les navigateurs peuvent décider de ne pas inclure ou de retirer une Autorité de certification de leurs listes. Par exemple, une Autorité de certification gérée par le gouvernement du Kazakhstan a été bloquée de concert par Google, Apple et Mozilla en 2019. Autre exemple en 2014, lorsque Google avait détecté des faux certificats pour des noms de domaines de Google émis par le centre national d’informatique du gouvernement indien suite à une faille de sécurité : ceux-ci étaient alors inclus dans le « Root Store » de Microsoft, qui a dû les révoquer.
Le processus d’évaluation pour révoquer ou rejeter une Autorité de certification est particulièrement transparent dans le cas des programmes publics à but non lucratif : Mozilla documente ainsi publiquement les audits et les problèmes rencontrés, comme dans le cas de la révocation en 2019 du CA français Certinomis.

Que propose la nouvelle révision du règlement eIDAS ?

La version initiale du règlement eIDAS a été adoptée en 2014 pour fournir « la base des procédures électroniques transfrontières pour l’identification, l’authentification et la certification de sites web au sein de l’UE » (dossier de presse).
Concrètement, le règlement a pour ambition de réguler la manière dont les transactions électroniques s’effectuent au sein de l’Union Européenne, en établissant, pour citer l’ANSSI, un « socle commun pour les interactions sécurisées entre les citoyens, les entreprises et les autorités publiques ».

La section 8 du règlement est dédiée à l’ « Authentification de site internet ». L’article 45 présente les « Exigences applicables aux certificats qualifiés d’authentification de site internet » qui sont fixées à l’annexe IV. Ces certificats qualifiés (« Qualified Web Authentication Certificates », ou QWAC en anglais) sont délivrés par des prestataires de service de confiance (« Trust Service Providers » ou TSP) régis par le règlement eIDAS et qui sont des Autorités de certification soutenues par les gouvernements des États membres de l’Union Européenne.

L’article 45.2 de la proposition de révision pose que « Les certificats qualifiés d’authentification de site internet visés au paragraphe 1 sont reconnus par les navigateurs internet. À cette fin, les navigateurs garantissent que les données d’identité fournies au moyen de l’une des méthodes s’affichent de manière conviviale. À l’exception des entreprises considérées comme des micro et petites entreprises au sens de la recommandation 2003/361/CE de la Commission pendant leurs cinq premières années d’activité en tant que prestataires de services de navigation sur internet, les navigateurs acceptent les certificats qualifiés d’authentification de site internet visés au paragraphe 1 et garantissent l’interopérabilité avec ces derniers. »

Ceci implique que les navigateurs webs sont légalement tenus de reconnaître ces certificats qualifiés comme valides, et donc d’intégrer dans leur liste de confiance les prestataires de service de confiance régis par eIDAS.

Quelles sont les conséquences de cette révision pour les internautes ?

Malheureusement, ces certificats qualifiés d’authentification posent plusieurs problèmes de sécurité et d’interopérabilité dans leur modèle d’implémentation. Depuis leur introduction en 2014, ils n’ont donc pas été adoptés dans l’écosystème web. La Common CA Database, une initiative rassemblant plusieurs éditeurs de navigateurs web autour de la gestion des Autorités de certification et gérée par la fondation à but non-lucratif Mozilla, expose en détails les problèmes techniques rencontrés par les navigateurs avec les spécifications proposées pour les certificats qualifiés : notamment son absence de compatibilité avec le fonctionnement technique des navigateurs web et du déploiement de TLS sur les site, ainsi que ses manques en terme de respect de la vie privée des internautes.

Concrètement, l’article 45.2 reviendrait à obliger les navigateurs web à accepter des prestataires de service de confiance régis par eIDAS, même s’ils ne remplissent pas les critères de sécurité exigés habituellement par les navigateurs. Le risque que des certificats soient émis et utilisés à des fins malveillantes par des cybercriminels serait accru. C’est sur quoi alertent trente-cinq experts mondiaux en cybersécurité et en cryptographie dans une lettre ouverte adressée aux membres du Parlement Européen et publiée sur le site de l’organisation à but non lucratif Electronic Frontier Foundation en mars 2022.

Pire, si une Autorité de certification intégrée à la liste de confiance des navigateurs est vulnérable à des problèmes de sécurité, les navigateurs web ne seraient pas légalement en mesure de refuser ou de retirer l’Autorité de certification de leur liste de confiance pour protéger les internautes.

Par ailleurs, les connaissances techniques en sécurité peuvent vite évoluer : la découverte d’une nouvelle faille de sécurité peut requérir une réponse rapide de la part des éditeurs de navigateurs web afin de protéger les internautes, par exemple en retirant une Autorité de certification du « Root Store ». De plus, les règles de gestion des « Root Store » sont mises à jour régulièrement afin de suivre les évolutions technologiques et se protéger contre les tentatives des acteurs malveillants qui tentent de les contourner. Cette réactivité (quelques semaines) n’est malheureusement pas compatible avec les délais requis pour des changements législatifs (un an ou plus).

Enfin, si elle était adoptée, cette proposition de révision du règlement eIDAS créerait un précédent au niveau mondial. Les navigateurs web pourraient dès lors difficilement refuser ou retirer une Autorité de certification racine provenant d’un autre gouvernement qui ne respecterait pas les critères de sécurité requis. Des tentatives précédentes, au Kazakhstan comme mentionné précédemment ou en Iran comme l’explique l’ONG Article19, prouvent qu’il s’agit d’un danger bien réel. Autre exemple plus récent : suite au retrait de plusieurs Autorités de certification en Russie pour sanctionner la guerre qu’elle mène en Ukraine, le gouvernement russe a dû mettre en place une Autorité de certification de remplacement pour assurer le fonctionnement de plusieurs de ses sites web et a demandé aux internautes d’autoriser manuellement cette Autorité au sein de leur navigateur. Si cette opération peut être justifiée par un motif légitime et qu’il n’y pour l’instant aucune preuve qu’elle ait été rendue obligatoire et utilisée à des fins de surveillance, elle a aussi pour conséquence de rendre possible, justement, la surveillance de masse de la population russe comme le souligne l’Electronic Frontier Foundation.

Bien que cela ne soit clairement pas l’intention visée, la proposition du règlement eIDAS risque de normaliser des dispositifs jusque-là largement condamnés au sein de l’Union Européenne et hors de ses frontières.

Par ailleurs, ce n’est pas la première fois que l’Union Européenne cherche à intervenir directement sur les technologies et l’infrastructure d’Internet. Les controverses autour de la nouvelle directive Network and System of Information Security (NIS2), de la proposition d’établissement d’un DNS européen DNS4EU ou même du Digital Service Act témoignent de cette nouvelle volonté d’intervention directe de l’UE sur les technologies/l’infrastructure et de sa légitimation à travers des biais sécuritaires et économiques, mais qui peuvent aussi avoir des conséquences dommageables sur l’interopérabilité des systèmes et la sécurité des internautes.

Nous nous joignons donc à Mozilla et à l’Electronic Frontier Foundation pour alerter sur les dangers introduits par l’article 45.2 de la proposition de révision du règlement eIDAS.
Nous appelons en conséquence le gouvernement et les élus français à demander la modification ou le retrait de l’article 45.2 afin que les navigateurs web restent en mesure de protéger les internautes en appliquant des standards élevés en termes de sécurité et de transparence.


Rétablir les connexions après une coupure d’Internet

Fri, 06 May 2022 12:32:39 +0000 - (source)

Comme nous l’avons expliqué dans notre premier article, Internet est une collection de connexions entre des ordinateurs. Alors, quand ces connexions cassent, la première chose évidente à faire est donc de réparer des câbles, d’en tirer de nouveaux ! Mais comment faire ?

Avant toute chose, il faut considérer quel est votre domaine d’intervention, et la raison de la coupure (pour ça on vous renvoie à notre article précédent). Si c’est une coupure logicielle, une censure, il est possible de la contourner en utilisant un VPN, ou de tenter une connexion via le logiciel Tor. Si vous savez faire, vous pouvez même mettre en place un serveur VPN.

Mais parfois ce sont les câbles qui sont endommagés, comme l’actualité récente nous le rappelle. Et, même si ces câbles sont toujours présents, il se peut que des militant·es ou des résistant·es aient décidé de s’attaquer à des infrastructures contrôlées par le gouvernement, auquel cas il ne faut pas forcément s’attendre à ce que la connexion soit rétablie rapidement.

Alors, en fonction de votre contexte, il faudra décider quelle serait la marche à suivre la plus utile : vous reconnecter à l’Internet mondial directement, ou plutôt créer un réseau de communication Internet local. Créer un réseau de communication local, sous le contrôle de votre communauté, peut être réalisé avant la coupure, pour l’anticiper, et il pourra être raccordé dans un second temps à l’Internet global, si vous vous trouvez dans un contexte ne le permettant pas dans l’immédiat.

Nous allons donc étudier comment nous ferions pour créer un réseau Internet local sous notre contrôle dans un premier temps. Puis nous verrons comment nous raccorder au reste de l’Internet. Au passage, nous verrons des solutions qui nous permettent de nous reconnecter à l’Internet global en urgence, sans avoir besoin de créer un nouveau réseau de toutes pièces.

Pour créer un réseau, le plus utile serait d’interconnecter votre quartier, votre village ou votre immeuble. Vu qu’il est rare d’avoir accès à de la fibre optique et que trouver une quantité de câbles suffisante sera compliqué dans l’urgence, il s’agit plutôt ici d’une tactique à moyen-long terme. Évidemment, faire des stocks au cas où n’est peut-être pas une mauvaise idée.

L’Internet n’étant qu’un assemblage de réseaux (Inter-Net), construire votre partie d’Internet n’est pas si difficile : vous en avez déjà un bout chez vous aujourd’hui. En cas de coupure, vous pouvez jeter un câble par la fenêtre, le brancher chez votre voisin·e, et vous voilà reparti·e.

Une solution possible serait d’aménager des points d’accès dans votre quartier, reliés entre eux par des câbles Ethernet, eux-mêmes reliés par des routeurs, le tout complété par des bornes Wi-Fi et des serveurs pour héberger des services de stockage et d’échange de données. Un bon exemple est la PirateBox, un système que n’importe quel ordinateur peut héberger et qui contient un forum, un tchat en temps réel et un service d’échange de fichiers.

C’est cette solution qui a été mise en place à Cuba, où l’Internet a été posé dans les villes par les habitant·es. Avec des switchs Ethernet, de vieux PCs et des câbles Ethernet courant d’une maison à une autre, les cubain·es ont installé ce qu’iels appelaient le Street-Net.

Et en Europe ?

L’AMAP des Internets

Pour des raisons de rentabilité et à cause de choix de politique industrielle, les quatre gros Fournisseurs d’Accès Internet français laissent de côté certaines personnes, notamment les personnes dont le droit au logement est bafoué. C’est là que les FAI associatifs jouent un rôle essentiel. Les FAI associatifs, en France comme ailleurs dans le monde, fonctionnent sans une logique de profit, mais en répondant aux besoins de leurs adhérent·es. Pour la petite histoire, le plus ancien fournisseur d’accès à Internet en France qui soit encore en activité aujourd’hui est un FAI associatif fondé en 1992 : il s’agit de French Data Network.

Nous avons rencontré Sacha, membre d’Aquilenet, un Fournisseur d’Accès Internet associatif bordelais. Aquilenet fait partie d’une fédération de FAI, dont FDN fait également partie, ce qui leur permet de partager une partie de leur infrastructure technique. Si un FAI a des soucis, la solidarité entre les membres de la fédération lui permettra de continuer à exister. C’est en contraste total avec la compétition entre FAI commerciaux. Les AMAP (Associations pour le Maintien d’une Agriculture Paysanne) fonctionnent également sur une principe de coopération entre fournisseurs et consommateurs, d’où ce rapprochement.

L’auto-organisation commune des FAI associatifs, des militant·es du logement et des personnes dont les droits au logement ne sont pas respectés, leur permet d’être en ligne malgré tout. Eux vivent au quotidien la coupure que nous redoutons tou·tes, voyons comment iels font face à cette situation.

Logo Aquilnet

Tu dis avoir installé l’Internet dans un squat, est-ce que tu pourrais nous dire pourquoi est-ce que des FAI classiques ne pouvaient pas le faire ?
Les FAI classiques peuvent le faire, mais leur procédure ne le permet pas, notamment sur les aspects bancaires. Quand tu es en squat, produire un RIB n’est pas forcément évident. D’autre part beaucoup de FAI imposent un engagement sur une durée assez longue pour qu’ils puissent amortir des frais de mise en service qui sont cachés. Et dans les raisons d’annulation de cet engagement prévues par les FAI il n’y a pas la case « mon squat s’est fait expulser »…

Comment avez-vous fait, techniquement ?
Comme notre FAI associatif fabrique des bouts d’Internet nous avons plusieurs solutions. On peut par exemple demander à des voisin·es s’iels veulent partager leur accès, tout en leur garantissant qu’iels ne prennent aucun risque : le squat passera par un VPN, ce ne sera jamais leur adresse IP qui sera vue. Avec cette technique, on a pu fournir de l’Internet avec un relais wifi directionnel et un « partageur » situé à quelques kilomètres… Pour un autre squat, c’est un particulier qui a payé la fibre pour un an : nous avons pris l’abonnement et fait la desserte locale avec un équipement à nous, pour utiliser une adresse IP de Aquilenet qui nous garantit d’être les premiers avertis en cas de recours judiciaire. Et nous en avons profité pour lancer des ateliers de formation numérique aux exilé·es.

Comment s’est faite l’installation, d’un point de vue organisationnel ?
Souvent nous avons des personnes des squats qui nous sollicitent. Cela nous fait un contact avec qui on peut avancer. Nous savons que le matériel que nous installons peut disparaître en cas d’expulsion, généralement nos contacts le mettent de côté au moment voulu. Sinon nous avons des bénévoles qui participent à la mise en œuvre technique, nous affichons en gros sur un des murs du squat le mot de passe du wifi et c’est tout, nous les laissons en avoir l’usage qu’iels souhaitent.

Est-ce qu’il y a eu des soucis que vous n’avez pas réussi à résoudre ?
Je cherche… mais je ne vois pas. Le plus dur dans le cas des partageurs c’est la peur, souvent liée à la méconnaissance. Mais s’iels sont prêts à écouter nos arguments, on arrive à trouver un terrain d’entente et cela tisse des liens entre squatteureuses et partageureuses. Enfin ce sur quoi on n’arrive pas à avancer, c’est que ces squats soient pérennisés, que l’on traite et accueille décemment des demandeureuses de logement. Nous nous rendons compte qu’après l’eau et l’électricité, Internet est important pour aider à s’organiser dans ces situations difficiles.

Penses-tu que, en dehors d’un squat, ce genre d’installation serait possible, et pourquoi ?
On le fait ailleurs, c’est notre activité de FAI associatif : on est une sorte d’AMAP de l’Internet. On fait de l’hébergement associatif, on a un centre d’hébergement où tu peux venir avec ton ordi et le laisser branché sur Internet, on fournit du VPN, de l’ADSL et maintenant la Fibre. Du coup on aide pas mal de petites structures autour du numérique.

Il est donc possible avec un peu de connaissances techniques, peu de moyens et surtout l’entraide en groupe, de monter une infrastructure Internet utile et fonctionnelle. Merci à Sacha d’avoir répondu à nos questions !

Internet, sans câbles et sans électricité

Vous remarquerez que se faire un petit net est donc possible. Mais évidemment, cela demande de l’électricité. Dans les cas où les catastrophes naturelles font tomber le réseau électrique, c’est intéressant de voir comment faire tourner le nouveau réseau sur des sources d’énergie résilientes. Quitte à reconstruire le réseau, autant lui donner une meilleure résilience…

C’est notamment ce sur quoi travaille Télécoms sans frontière, avec qui nous avons également discuté pour écrire cet article. Vous pouvez lire les articles qu’iels écrivent pour rendre compte de leurs missions et vous inspirer par exemple de leurs actions à Haïti, après un tremblement de terre.

Un moyen sur lequel nous pouvons compter dans certains cas, c’est les connexions par satellite. La connexion à Internet via satellite existe depuis longtemps, mais jusqu’à récemment les prix et les performances de ces systèmes les rendaient peu accessibles au grand public. Et bien que les nouveaux systèmes du style Starlink ne soient pas encore totalement au point, ça peut être une solution pour relier son réseau local au réseau mondial. Si vous avez une telle connexion, n’hésitez pas à la partager avec votre communauté.

À votre échelle, vous pouvez déjà construire vous-même une Piratebox solaire en suivant ce guide. Ou même faire un site web solaire, dans une démarche plus low-tech.

Les énergies renouvelables devraient nous assurer une alimentation résiliente pour nos ordinateurs. Mais pour ce qui est de l’interconnexion entre notre ordinateur et le reste de l’Internet, il reste le problème des câbles. Et le gros souci des câbles, eh bien ce sont les câbles eux-mêmes. Un câble, ça coûte cher, ça pèse son poids, c’est difficile à déplacer et à entretenir. La solution évidente à cela est de ne pas utiliser de câbles. Alors utilisons des ondes radio !

Les réseaux « mesh »

Quand le réseau câblé traditionnel fait faillite, des réseaux ad-hoc passant par ondes radio peuvent prendre le relais pour maintenir un minimum vital de communication. Ils peuvent également exister en parallèle. Les réseaux mesh, de l’anglais mesh – filet/maille -, sont, comme ces derniers, des réseaux tissés de nœuds, en proximité les uns des autres. Utiliser des réseaux radio est efficace, plus facile à déployer et plus difficile à démanteler. C’est sur cette technologie que se base un FAI associatif de New York, NYC Mesh.

Utiliser de la radio nous permet d’avoir une grande portée et donc de couvrir de larges zones sans avoir besoin de relier individuellement chaque personne voulant se connecter à un câble. Et la radio nous permet aussi de traverser des endroits qui seraient sinon difficilement franchissables par câble.

Quand on parle de radio, on peut utiliser autant de la FM traditionnelle, dite radio Très et Ultra Haute Fréquence, que de la Wi-Fi. Mais il existe aussi d’autres types d’ondes radio, comme le LoRaWAN, acronyme de long-range wide-area network (« réseau étendu à longue portée »). Et à plus petite portée le Bluetooth peut faire l’affaire. À chaque fois, c’est un compromis à trouver entre la portée et la quantité de données que l’on peut transmettre.

Un des avantage des réseaux mesh c’est qu’ils peuvent être déployés à petite échelle, avec peu de moyens ! Donc si vous vous retrouvez coupé·e d’Internet et qu’il n’existe pas de réseau sous le contrôle de votre communauté, vous pouvez utiliser votre smartphone pour en créer un rapidement.

Un exemple de communication basé sur un réseau mesh est l’application Firechat, qui a été utilisée à travers le monde, par exemple à Hong Kong en 2014. Mais le développeur n’avait pas prévu son application pour de tels cas d’usage, et après avoir averti ses utilisateurices que leur sécurité n’était pas garantie, l’application ne reçoit désormais plus de mises à jour.

Heureusement, entre-temps, la voie ouverte par Firechat a été suivie de façon plus sérieuse par le projet Briar. Disponible pour le moment sur Android et en bêta pour d’autres plateformes, Briar intègre plusieurs canaux de communications pour être « résilitant » face à la censure, aux coupures, mais aussi à la surveillance.

Selon ses créateurices ;

Briar est une application de messagerie créée pour les activistes, journalistes et toute personne désirant une manière de communiquer qui soit sécurisée, simple et robuste. A contrario des applications classiques, Briar n’a pas besoin de serveurs centralisés – les messages sont synchronisés directement en pair à pair. Si l’Internet est coupé, Briar se synchronise via Bluetooth, Wi-Fi, permettant à l’information de circuler en temps en crise. Si l’Internet est disponible, Briar peut se synchroniser via le réseau Tor, afin de protéger les utilisateurices et leurs relations de la surveillance.

Source

Briar intègre des blogs, des forums et de la messagerie instantanée, le tout dans une seule application.

Avec le LoRa, un service comme Meshtastic vous permet de créer des groupes de discussion, et d’avoir une très haute portée sans avoir besoin d’Internet, là où Briar nécessite une densité élevée d’utilisateurices pour bien fonctionner. L’idéal serait de combiner les deux.

Vous pourriez aussi simplement créer un réseau Wi-Fi ouvert, sans mot de passe, et rediriger toutes les connexions vers un site web, hébergé localement. Et ensuite relier cet ordinateur au reste du réseau via une connexion satellite.

Lors du Printemps Arabe, un réseau de hackeureuses nommé Télécomix s’est organisé en solidarité avec les révolutionnaires pour leur permettre de rester connectés à l’Internet, épisode raconté dans un article de Médiapart. Ils ont notamment utilisé des ponts radio.

Telecomix.svg
Telecomix Logo, CC0, Link

C’est un peu l’esprit du Mycelium Mesh Project, projet d’anarchistes étatsuniens, qui visent à pouvoir déployer rapidement des nœuds de communication sur les zones d’insurrection populaire, grâce à des réseaux mesh.

L’Internet des services

Une fois que vous avez remis en route le réseau physique, il faut maintenant qu’il y ait des sites web et des services auxquels accéder. Une chance pour nous, c’est que beaucoup d’efforts ont été faits ces derniers temps pour rendre cela plus facile.

Sans attendre une coupure, pour peu que vous sachiez héberger des sites web, n’hésitez pas à faire des copies miroir de sites web que vous visitez souvent, ou que vous considérez d’importance. C’est un peu ce que fait https://web.archive.org, mais plus on a de copies, mieux on est protégé. On se souvient des milliers de miroirs de The Pirate Bay qui ont émergés spontanément lors des tentatives de censure, ce qui fait que le site est toujours en ligne aujourd’hui.

Si en temps normal, vous utilisez les services des GAFAMs, style Google Drive, sachez qu’il existe des alternatives comme Nextcloud. Quand on fait son propre Internet, on peut installer des service comme Nextcloud et donc avoir notre « Cloud » hébergé par nos soins, ou le confier à notre communauté. Si vous avez un vieux PC, vous pouvez installer Yunohost dessus et héberger votre site web, ainsi qu’une pléthore de services. Le Collectif des Hébergeurs Alternatifs Transparents Ouverts Neutres et Solidaires propose aussi des services en accès libre, pour vous aider à vous dé-Googliser.

Est-ce possible de construire un internet résilient ?

Oui ! Évidemment, si nous vous en parlons c’est parce que ça existe. Est-ce que c’est possible à grande échelle ? Tout dépend de nos besoins, de notre volonté. Mais quand c’est nécessaire, comme à Cuba, c’est possible, et ça se fait. Sachez qu’en France aussi, c’est déjà le cas dans certains endroits. Par exemple, le 19 novembre 2017, quelques bénévoles d’Illyse, un FAI associatif, se sont rendus du côté de Vaugneray pour apporter une connexion Internet en « zone blanche », grâce à un lien établi par des antennes Wi-Fi haute portée.

Maintenant, tout ceci est bien beau, mais ça demande des savoir-faire, ou d’être en contact avec des personnes sachant faire. Alors, ne faudrait-il pas aussi savoir comment faire sans ? Sans Internet ? Ou comment former des groupes pouvant s’organiser sans ? Ce sera le sujet du troisième article. Aidez-nous à l’écrire en nous rejoignant sur nos groupes de discussions.


Le Conseil d’État sauve la reconnaissance faciale du fichier TAJ

Tue, 03 May 2022 11:00:38 +0000 - (source)

Le 26 avril 2022, le Conseil d’État a rejeté nos critiques contre l’utilisation massive de la reconnaissance faciale par la police dans le TAJ (« traitement des antécédents judiciaires »). Il s’agit d’une défaite cinglante, qui affirme encore davantage le Conseil d’État dans son rôle de défenseur de la surveillance de masse, sans plus aucune considération pour le respect des droits des personnes. Nous avons l’habitude de perdre et de ne pas nous résigner : trouvons dans cette défaite les futures pistes de notre lutte.

Surveillance massive et illégale

Il y a deux ans, nous attaquions le décret de 2012 qui avait créé le fichier TAJ en fusionnant le STIC, fichier de police, et le JUDEX, fichier de gendarmerie, relatifs aux enquêtes judiciaires et administratives. Il contient des informations à la fois sur les personnes mises en cause (peu importe qu’elles aient été condamnées ou non), sur les témoins et sur les victimes impliquées dans les enquêtes. Le TAJ est aujourd’hui tentaculaire : 19 millions de fiches sont présentes dans ce méga fichier (chiffres de 2018, dont on redoute qu’ils n’aient pu qu’augmenter depuis).

Surtout, et c’était l’objet de notre recours devant le Conseil d’État, le décret TAJ autorise les policiers à utiliser des logiciels de reconnaissance faciale pour consulter sa base de données. Les policiers peuvent automatiquement comparer une image captée par une caméra de surveillance, un téléphone ou sur Internet aux 8 millions de photographies présentes sur les fiches des personnes mises en cause (chiffres de 2018). Cette comparaison a lieu dans le cadre d’enquêtes comme de simples contrôles d’identité, comme l’expliquait le ministre de l’intérieur en 2021.

Introduit dans le droit en toute discrétion il y a près de 10 ans, à une époque où les outils de reconnaissance faciale n’étaient qu’en gestation, le recours à cette technologie est aujourd’hui généralisé. La police a utilisé le TAJ pour faire de la reconnaissance faciale 375 000 fois en 2019, soit plus de 1 000 traitements par jour partout en France (on en parlait notamment dans notre article récapitulatif sur l’état de la reconnaissance faciale en France, ici). En 2020, ce chiffre montait à 1200 interrogations quotidiennes du TAJ par reconnaissance faciale.

L’utilisation massive de cette technologie est pourtant interdite en application des règles du droit des données personnelles. Seules certaines situations exceptionnelles pourraient autoriser un tel traitement et, même dans ces situations exceptionnelles, la police ne pourrait y recourir qu’en cas de « nécessité absolue » – lorsqu’il n’existe absolument aucun autre moyen de poursuivre l’enquête. Nous avons expliqué au Conseil d’État qu’aucun de ces critères n’était jamais rempli en pratique. Rien ne permet de justifier des moyens aussi intrusifs et dangereux.

La fuite en avant du Conseil d’État

Et pourtant, le Conseil d’État a rejeté nos arguments. Il n’a pas nié les innombrables abus que nous lui pointions, mais nous a invité à les soumettre au cas par cas aux autorités (juges et CNIL) chargées d’en vérifier la légalité, plutôt qu’à lui. Comme si le Conseil d’État pouvait se contenter d’examiner la légalité du TAJ de façon abstraite sans se soucier de sa mise en œuvre pratique. Pourtant, justement, en pratique, le Conseil d’État sait très bien que les abus du TAJ sont si nombreux que la CNIL n’aura jamais les moyens de les détecter et de les stopper un à un. Il lui est matériellement impossible de contrôler a posteriori 1 000 opérations policières par jour. Présenter le contrôle de la CNIL et des juges comme une garantie suffisante pour pallier ces abus est une échappatoire malhonnête pour permettre le maintien de ces pratiques. C’est le propre de la surveillance de masse que d’échapper à tout encadrement crédible, et c’est cette évidence que le Conseil d’État a niée.

Si le Conseil d’État a refusé de prendre en compte dans sa décision les abus concrets du TAJ, il a quand même cherché à justifier la « nécessité absolue » de la reconnaissance faciale. Sa démonstration est si terrible que nous la restituons telle quelle : « eu égard au nombre de personnes mises en cause enregistrées dans [le TAJ], qui s’élève à plusieurs millions, il est matériellement impossible aux agents compétents de procéder manuellement à une telle comparaison » d’images, dont l’automatisation ne peut dès lors que « s’avérer absolument nécessaire à la recherche des auteurs d’infractions et à la prévention des atteintes à l’ordre public ». Autrement dit, le recours à des logiciels d’analyse d’images automatisée serait rendu nécessaire car le TAJ, abandonné à la police depuis 10 ans et sans aucun contrôle externe, est devenu si tentaculaire et absurde qu’il ne peut plus être exploité à son plein potentiel par des humains. Une surveillance de masse (le fichage généralisé) rend nécessaire une autre surveillance de masse (la reconnaissance faciale généralisée).

Un tel raisonnement circulaire permet au Conseil d’État de se détacher de toute considération quant au respect des libertés fondamentales. À aucun moment il ne saisit l’opportunité d’évaluer sérieusement la seule utilisation connue de la reconnaissance faciale en France, pourtant dénoncée depuis plusieurs années partout en Europe pour les graves dangers qu’elle fait peser sur nos libertés. Au contraire, il sort de son rôle pour n’analyser le fichier que du point de vue de sa potentielle utilité pour la police et ne pas corriger les dégâts causés depuis 10 ans. En abandonnant son rôle de gardien des libertés, le Conseil d’État valide et inscrit dans le marbre la croyance selon laquelle il faut toujours plus en connaître sur la population, considérée comme étant suspecte par défaut.

Prochaine étape de notre lutte

Ne nous décourageons pas et, pour préparer la suite de notre lutte, cherchons les leçons à tirer de cette défaite. Premièrement, il semble risqué d’attaquer la reconnaissance faciale en tant que principe théorique sans aussi s’attaquer à ses réalisations concrètes, à défaut de quoi nos adversaires risquent d’esquiver le débat tel que se l’est ici permis le Conseil d’État.

Deuxièmement, il semble risqué d’attaquer la reconnaissance faciale sans s’attaquer en même temps à l’ensemble du système dont elle fait partie et qui la justifie : le fichage généralisé, dont la démesure a servi de prétexte au Conseil d’État, et la vidéosurveillance qui inonde nos villes et dont la démesure, tout autant scandaleuse, sert aussi de prétexte au déploiement de logiciels de détection automatisée sur les caméras déjà installées (voir notre analyse politique de la VSA).

Notre offensive va donc se poursuivre, affinée et ajustée par ces deux leçons. Cette offensive est d’autant plus urgente que l’Union européenne est en passe d’adopter un règlement sur l’IA qui viendrait légitimer les technologies de surveillances biométriques aujourd’hui interdites par le RGPD (revoir notre analyse) et que la France, actuellement présidente du Conseil de l’UE, fait tout pour défendre son industrie et son idéologie technopolicières.

Nous fêterons bientôt les 4 ans de l’entrée en application du RGPD et des règles européennes de protection des données personnelles, le 25 mai. Si ces règles ont été presque inutiles pour nous protéger de la surveillance des GAFAM, elles ont entièrement failli à nous protéger de la surveillance d’État. Peut-être devrions profiter de cet anniversaire pour essayer de renverser la situation.


Survivre à une coupure d’Internet

Thu, 21 Apr 2022 16:31:01 +0000 - (source)

Qu’est ce qu’une coupure d’Internet ?

Nous commençons aujourd’hui une nouvelle série d’articles qui explorent les perturbations du réseau Internet. Alors que l’Internet est de plus en plus régulé, il se retrouve aussi de plus en plus victime de coupures selon une étude de 2011. C’est une tendance qui s’accroît, selon un rapport très complet d’Access Now. Ces coupures peuvent avoir différentes raisons, allant d’une faille technique à une volonté délibérée de la part des États d’empêcher les habitant·es de communiquer, notamment lors de révoltes ou de périodes d’instabilité politique.

Bien que la légende veuille qu’il ait été conçu pour survivre à un hiver atomique dans son ensemble, localement, l’accès à Internet peut être coupé. Le réseau Internet étant construit autour d’un assemblage de réseaux autonomes mais inter-connectés, il se pourrait qu’une partie de ces sous-réseaux tombent, sans que les autres ne soient sévèrement impactés. L’information pourrait continuer à circuler dans le reste du réseau.

Parce qu’il est un outil souvent central dans la contestation d’un pouvoir illégitime, pour venir en aide aux victimes de catastrophes naturelles ou humaines, il est vital d’étudier comment faire pour maintenir les connexions et ainsi pouvoir disséminer des informations. Dans plus de 140 cas, comme nous l’apprend la page 6 du rapport de Access Now, les gouvernements ont justifié leurs coupures par “la Sécurité Nationale” ou le contrôle des “fausses informations”.

Il est souvent évident pour les observateurs qu’en réalité les autorités peuvent redouter la  contestation, et donc coupent l’accès à Internet pour limiter la capacité du peuple à s’organiser et à s’exprimer, que ce soit en ligne ou non. Les données révèlent que, quand les autorités parlent de “fausse information”, rumeurs ou discours de haine, ils sont en réalité contraints d’agir en réaction à des manifestations, des élections, des violences sociales ou des activités militantes, entre autres. En utilisant ces menaces comme excuse, il semble que les gouvernements utilisent les coupures comme moyen de contrôler le débat politique et le flux d’informations.

Access now, The #KEEPITON Report, 2018

Cela démontre sans équivoque l’importance d’un tel outil. Nous allons donc commencer par étudier (dans un premier article) quels sont les différents types de coupures. Puis, dans un second temps, nous verrons comment contourner les censures et rétablir les connexions. Enfin, quand rétablir une connexion n’est pas possible, ou pas souhaitable, nous verrons comment s’organiser sans internet, voire sans ordinateurs.

Qui coupe internet ?

Il faut savoir avant toutes choses qu’Internet à une existence physique, à travers différents types d’infrastructures.

Autant les câbles sont importants, autant il existe aussi les entrepôts de données, les opérateurs transnationaux, et des opérateurs locaux, qui ont tous un rôle à jouer. C’est à travers ce mille-feuilles d’acteurs que nos connexions se font, et plus l’opérateur va être en haut de la hiérarchie des interconnexions, plus il aura de pouvoir sur le réseau.

Parlons donc coupure. Une coupure, c’est une interruption dans votre connexion au réseau Internet. Cette interruption peut être totale – rien ne passe – ou bien partielle – vous arrivez à vous connecter à certaines parties, mais pas à d’autres. Ou bien la connexion est instable, et empêche une utilisation fluide. La réduction de la vitesse de connexion peut parfois produire des effets comparables à une coupure.

Il existe plusieurs moyens de couper la connexion à Internet. Mais en réalité, il n’existe pas une seule connexion, mais des interconnexions, et de nombreuses manières de les réaliser. Et les coupures sont tout aussi variées. Elles peuvent être longues, sur plusieurs mois, comme assez courtes. Elles peuvent avoir plus ou moins de régularité.

Étudions donc quelles pourraient être les causes de ces coupures.

Le climat

Internet, c’est avant tout une interconnexion entre des ordinateurs à l’échelle du monde. Ces interconnexions se font principalement par des câbles, et à travers d’autres ordinateurs, qui sont sensibles au climat. Un incendie peut par exemple sérieusement compromettre le réseau. La crise climatique en cours, qui provoque des inondations, des glissements de terrain, et autant de choses qui peuvent compromettre nos constructions, est une menace extrêmement importante. La Chine, pays où les paiements en ligne sont monnaie courante, a dû se confronter à cette situation lors d’inondations récentes.

Les animaux

Nos infrastructures ne sont pas sensibles qu’au climat, elles le sont aussi aux animaux avec qui nous partageons la terre et la mer. Ainsi, comme les rongeurs qui peuvent grignoter des câbles, les requins peuvent attaquer le réseau, comme ça a été le cas au large du Việt Nam.

“Principal Ocean Cables in 1917” by Eric Fischer is licensed with CC BY 2.0.

(Si vous voulez voir à quoi ressemble la pose des câbles sous-marins aujourd’hui, cette vidéo vous donne une idée.)

Les humains

Nous autres humains avons aussi une certaine capacité à couper le réseau, que ça soit volontairement, comme par exemple lors de vols de câble, mais aussi parfois sans le vouloir : une dame en Géorgie a ainsi coupé l’accès d’un pays entier en cherchant à recycler du métal dans le sol. Parfois, on ne sait même pas vraiment ce qui a causé une cassure

Les industriels

Une mauvaise gestion des infrastructures peut amener à des coupures. On pourrait parler de la façon dont est géré le déploiement de la fibre, fruit d’une politique économique mortifère, mais French Data Network le fera mieux que nous. Même si le réseau est là, pas sûr qu’il soit utilisable, faute d’entretien, comme à Brooklyn, USA. On se retrouve alors avec des coupures, ou une absence de raccordement à des moments critiques. On peut vous le dire, ça nous est arrivé récemment au Garage. Quand nous avons emménagé dans nos nouveaux locaux (c’est toujours « le Garage » !), notre opérateur a pris plusieurs semaines à nous raccorder. Et une fois que c’était fait, on a subi plusieurs coupures dues à la sous-traitance : les techniciens d’autres opérateurs, trop peu payés pour faire bien leur travail, ont coupé nos fibres pour installer les leurs.

Les gouvernements

Les exemples récents de coupures par des gouvernements ne manquent malheureusement pas. Nous pourrions en faire la liste ici, mais laissons Wikipédia s’en charger. Quelques exemples tout de même : au Myanmar, en Égypte, en Inde, à Cuba, à Cuba encore, en Éthiopie, au Belarus… Il existe aussi un risque d’attaque par un gouvernement hostile, notamment comme les États-Unis en Syrie. Aidés, entre autres, par des entreprises françaises. Les États autour du globe s’équipent de moyens leur permettant de couper, filtrer et censurer Internet. N’oublions pas que le gouvernement français n’est pas un ami d’Internet, comme nous avons pu en prendre acte en 2011. L’usage des coupures de réseau pour faire face à la contestation n’est plus à craindre : il est là. De là à se dire que ces techniques pourraient se généraliser à travers le monde, il n’y a qu’un pas.

Le temps qui passe

Quand toute la bonne volonté de la terre et des humains n’y suffit pas, le temps se chargera de dégrader et de mettre à terre toutes les fibres et les tours téléphoniques. Si vous habitez dans une région du monde où l’investissement dans les réseaux des télécoms est marqué par des politiques racistes, ou une forte ségrégation sociale, le temps entre deux rénovations peut suffire à vous exclure du réseau. N’oublions pas que seulement la moitié de la population mondiale a accès à Internet, et que cela reste très cher dans un certain nombre de régions du monde.

“time” by Katerina Atha is licensed with CC BY-NC-ND 2.0.

Ce tour d’horizon nous permet de voir ce à quoi nous avons affaire. Réseau omniprésent et d’une importance critique, internet n’en n’est pas moins fragile et fluctuant.

Il convient que nous nous attardions un peu plus sur les capacités des institutions à couper internet. C’est sur elles que nous allons diriger notre action, vu la difficulté pour nous à prévenir les catastrophes venues d’ailleurs.

C’est principalement à elles que nous aurons à faire face, dans une forme capitalistique ou étatique, à moins que vous ne songiez sérieusement à vous lancer dans la chasse aux requins. (C’est une mauvaise idée.)

Quant au temps qui passe, ou au manque d’investissement dans les infrastructure, ces sujets ont déjà été traités par d’autres.

“midnight crash” by pascal.charest is licensed under CC BY-NC-ND 2.0

Quels genres de coupure?

Voyons techniquement comment s’y prendre pour interrompre certains flux internet.

Le filtrage sur le nom de domaine

En France, la censure de l’Internet est malheureusement monnaie courante. Depuis le début des années 2000, avec notamment les lois LOPPSI et HADOPI, que nous avons combattues, les fournisseurs d’accès à internet (FAI) se trouvent obligés de bloquer des sites, sur demande d’un juge ou de la police. Cette obligation a d’abord été justifiée par le blocage nécessaire des contenus pédopornographiques, et a été utilisée la première fois pour censurer des propos négationnistes, mais a aussi été utilisée pour supprimer des positions et groupes politiques. Son évolution dans le temps est bien documentée. Et dernièrement, la lutte reprend autour de l’accès au porno.

Déjà en 2008, nous avions publié une note sur le blocage des noms de domaine, via le protocole DNS.

Avec cette technique, ce n’est pas le contenu illégal qui est filtré, mais l’intégralité du domaine internet qui l’héberge. […] Les opérations nécessaires au blocage par DNS sont relativement simples, bien que la complexité et la maintenance engendrées, et donc le coût global, dépendent là aussi des configurations actuelles des opérateurs. L’efficacité de cette technique est très limitée. Il suffit d’une manipulation triviale sur l’ordinateur de l’utilisateur pour définitivement passer outre.

La Quadrature Du Net, 2008

En effet, il suffit d’utiliser un autre système de nom de domaine que celui fourni par défaut par votre FAI pour contourner la censure. La procédure est relativement simple, et expliquée dans un article de Numerama. Nous remercions la French Data Network, qui héberge des serveurs DNS accessibles à tous et sans censure ou filtrage.

Censure de services

Parfois, il ne s’agit pas juste de sites web qui sont bloqués, mais aussi de services, comme des applications de messagerie. Ça a été le cas en Russie, où un tribunal a demandé le blocage de Telegram. Vu la façon dont Telegram se connecte à ses serveurs (utilisation des serveurs de Google, et donc de leurs adresses IP), le blocage a eu des conséquences inattendues.

« Alors que le nombre total d’IP bloquées a été fluctuant (bien que majoritairement en hausse) depuis que la Russie a modifié son approche, nous observons quelque chose comme 16 millions d’adresses bloquées en ce moment. Les services concernés incluent Viber, Office 365, les éléments du PlayStation Network, et beaucoup plus. »

Source

En général, les services trouvent des moyens de contourner cette censure, par exemple en utilisant des IP partagées ou par utilisation de VPN notamment. Dans ce cas, la censure a eu pour effet de bloquer plein de services qui n’avaient rien à voir. Par ailleurs, le ban a été levé en 2020 visiblement parce que c’était un bel échec.

Ralentissement de la connexion

Imaginez que vous vous connectiez sur un réseau social pour prendre des nouvelles de la manifestation qui doit avoir lieu dans les prochaines heures. Mais la page semble prendre beaucoup de temps à charger, et quand la page s’affiche, certains éléments ont pris trop de temps à venir et leur chargement a été annulé. En voulant envoyer un message à vos ami·es, vous vous rendez compte que le message prend plus d’une heure à arriver ; difficile de se retrouver dans la foule dans ces conditions.

Ce genre de restrictions est beaucoup plus difficile à répertorier, car plus sournois. Il permet de restreindre l’accès sans toutefois le couper. Il se peut que ce ralentissement ne soit même pas reconnu comme intentionnel, notamment dans les endroits où le service Internet n’est pas très stable de base. Attention, tout ralentissement n’est pas dû à une censure ; on a un bel exemple avec les effets de bords de la panne de Facebook qui a engendré d’autres pannes chez les opérateurs téléphoniques.

Coupure du service 3G/4G

Pour beaucoup d’humains dans le monde, la connexion à Internet se fait d’abord par le service mobile, via des smartphones. Et il apparaît que c’est souvent ce moyen de connexion qui est ciblé, car il est principalement utilisé par les particuliers, alors que les entreprises et services d’État utilisent une connexion filaire. Le rapport d’Access Now cité en début d’article offre un panorama édifiant sur la question.

Censure de protocoles

Parfois, la surveillance et la censure vont de pair. Les protocoles que nous utilisons pour sécuriser notre connexion, comme HTTPS, permettent d’échapper à certaines formes de censure et de surveillance. Alors, il paraît logique de bloquer ces protocoles, comme c’est le cas en Chine, où le gouvernement utilise le Grand Firewall pour bloquer les versions les plus sécurisées de HTTPS. C’est un jeu du chat et de la souris, parce que des méthodes de contournement peuvent être mises en place. Cela dit, pour la majorité des gens, ces blocages peuvent être difficiles à contourner.

Le blocage des VPN est également possible, et courant.

BGP

BGP est le nom du protocole qui permet à Internet de fonctionner en tant que réseau de réseaux. Si l’on regarde une carte de l’Internet, comme celle-ci :

Carte de l'Internet : on dirait une barbe à papa de plusieurs couleurs, comme une toile d'araignée géante.
Carte de l’Internet, via http://internet-map.net

On peut voir les différentes couleurs, qui représentent différents réseaux. Entre ces réseaux, les connexions se font au moyen de BGP, qui est en quelque sorte la glue qui permet à l’Internet d’exister.

Hé bien, cette glue, elle peut être dissoute. Ça peut être suite à une erreur, comme au Pakistan où en 2008 un opérateur a annoncé à l’Internet tout entier que c’était chez lui qu’on pouvait accéder à Youtube le plus rapidement. Youtube a été inaccessible dans le monde entier pendant un petit moment à cause de ça. Mais parfois c’est très intentionnel, comme lors du début de l’insurrection en Syrie. Vous pouvez voir quand BGP subit des interruptions sur Twitter d’ailleurs. Récemment, Facebook a eu un souci similaire.

Des chercheurs ont par ailleurs expliqué qu’il serait possible de casser totalement et de façon grave l’Internet en exploitant des failles du protocole. Bien que compliqué à faire, ça n’en est pas moins possible. Si ça peut vous rassurer, il existe malgré tout des systèmes de surveillance et de contrôle pour éviter que le protocole ne soit abusé, ce qui rend ce genre d’attaques peu susceptibles d’aboutir.

Perquisition

Quand le blocage au niveau du réseau ne suffit pas, il reste encore l’option d’attaquer directement le serveur sur lequel est hébergé le site web. On pense aux attaques contre The Pirate Bay. C’est une  pratique qui est toujours en cours, bien que moins efficace que par le passé. Cette perte d’efficacité est notamment due aux architectures distribuées, type “cloud”, où les sites web sont répartis sur une multitude de serveurs à travers le monde. Au lieu d’être disponibles sur un seul serveur, ils vont profiter d’une redondance globale, permettant à leurs bases de données ou de ressources de ne pas être toutes au même endroit.

Maintenant qu’on voit un peu quelles sont les différentes menaces possibles, je vous invite à lire notre prochaine article, qui explorera comment contourner ces cassures, rétablir des liens, et prendre des nouvelles de la liberté à l’autre bout du fil.

Vous pouvez nous suivre en vous rendant sur la page Nous !

“network cables” by pascal.charest is licensed under CC BY-NC-ND 2.0


En quoi la vidéosurveillance algorithmique est-elle illégale ?

Thu, 07 Apr 2022 14:51:58 +0000 - (source)

La vidéosurveillance algorithmique (VSA) s’installe dans nos villes, en toute opacité et surtout, en toute illégalité. Depuis plusieurs années, nous tentons de lutter contre ces dispositifs, notamment en les attaquant devant les tribunaux. Nous pensons que les règles en vigueur permettent de s’opposer au déploiement de ces technologies pour se protéger contre les atteintes aux libertés qu’elles entraînent. Pourtant, la Commission européenne pousse à l’adoption de nouvelles règles, en faveur des industriels, pour réguler les dispositifs « d’intelligence artificielle », comprenant entre autres la VSA. Dans son sillage, la CNIL plaide pour un nouvel encadrement spécifique. Dans notre réponse à sa consultation, nous avons expliqué pourquoi il ne faut en aucun cas abandonner les règles protectrices actuelles pour de nouvelles règles sectorielles. Voici un résumé de nos arguments (voir notre position complète ici).

Les données biométriques, cœur de la protection

Le droit des données personnelles prévoit une protection particulière pour les données qu’on appelle « sensibles » au vu des informations particulièrement intimes qu’elles révèlent (telles que les orientations politiques ou sexuelles). Parmi ces données sensibles, on trouve la catégorie des données dites « biométriques », qui sont « les données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique »1Définitions prévues aux article 4§14 du RGPD et 3§13 de la Directive Police/Justice..

Cette définition peut être dissociée en trois éléments que l’on retrouve systématiquement lorsque l’on parle de VSA.

Tout d’abord, il faut que les données fassent l’objet d’un traitement technique spécifique.

Cela permet d’englober les systèmes de VSA puisqu’ils interviennent en addition du traitement général qui consiste à filmer l’espace public et poursuivent un objectif particulier (voir plus bas) . Aussi, le traitement technique est spécifique en ce qu’il consiste en la mise en oeuvre d’un algorithme ou programme informatique appliqué aux flux vidéos afin d’isoler, caractériser, segmenter ou encore rendre apparente une information relative à une personne physique filmée ou à extraire du flux vidéo, même a posteriori, des données concernant cette personne.

Ensuite, les données doivent se rapporter aux caractéristiques physiques, physiologiques ou comportementales d’une personne.
Toutes ces données sont bien celles que la VSA capte :

Enfin, le traitement doit avoir pour but l’identification unique de la personne. D’après le comité européen de la protection des données (CEPD, l’autorité qui regroupe les CNIL européennes), cette fonction ne se limite pas à révéler l’état civil de la personne mais à individualiser celle-ci au sein d’un environnement pour la reconnaître sur plusieurs images2Voir les lignes directrices sur les vidéos contenant des données personnelles 3/201, version 2.0, point 82 p. 19 https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_fr.

Concernant la VSA, chaque système est programmé pour réunir des éléments spécifiques (silhouette, couleur des habits, position, direction, comportement) pour :

Dans les deux cas, la personne est identifiée de façon unique par rapport à son environnement, un groupe de personnes ou une scène.

En conclusion, les fonctionnalités des systèmes de VSA portant sur des personnes impliqueront systématiquement un traitement de données biométriques.

La VSA est toujours disproportionnée

Une fois que l’on a démontré qu’il s’agissait d’un traitement de données biométriques, la protection plus forte accordée aux données sensibles peut s’appliquer. Grâce à ce cadre spécifique, les données sensibles ne peuvent être traitées qu’à condition de respecter une exigence de « nécessité absolue »3Voir article 10 de la Directive Police/Justice..

En pratique, cette exigence signifie que le traitement ne sera considéré comme licite que s’il n’existe aucun autre moyen moins attentatoire aux libertés qui permettrait d’atteindre l’objectif poursuivi. Cette exigence de nécessité absolue n’est pas une nouveauté juridique et a déjà permis de limiter ou interdire les technologies les plus intrusives.

Par exemple, lorsque la région PACA avait tenté de mettre en place une expérimentation de reconnaissance faciale à l’entrée de deux lycées, la CNIL avait jugé que la finalité de sécurisation et de fluidification des entrées au sein des lycées « peut incontestablement être raisonnablement atteinte par d’autres moyens », concluant que le dispositif était disproportionné.

De la même manière, dans un avertissement à la ville de Valenciennes révélé par Mediapart, la CNIL avait jugé que le dispositif de VSA mis en place par la ville était disproportionné, notamment car la nécessité n’avait pas été prouvée et l’absence d’alternative n’avait pas été documentée.

Le Conseil d’État avait fait le même raisonnement lorsque nous avions attaqué, aux cotés de la LDH, l’utilisation des drones par la police lors des manifestations. Pour les juges, le ministère n’apportait « pas d’élément de nature à établir que l’objectif de garantie de la sécurité publique lors de rassemblements de personnes sur la voie publique ne pourrait être atteint pleinement, dans les circonstances actuelles, en l’absence de recours à des drones »4Conseil d’État, 446155, lecture du 22 décembre 2020, §11..

Enfin, ce mécanisme a aussi été efficacement mobilisé contre la vidéosurveillance dite « classique » – et non biométrique – dans la commune de Ploërmel, la ville ne justifiant, selon la Cour d’appel, d’aucune statistique ou de preuves de risques particuliers qui expliqueraient la nécessité de ce dispositif.

En l’occurrence, concernant la VSA policière, il y aura toujours d’autres moyens d’assurer la sécurité autrement que par une technologie automatisée surveillant le comportement des individus dans la rue. Nous en parlions notamment dans notre article expliquant les raisons politiques de s’opposer à la VSA, la sécurité des personnes ne peut être trouvée que dans l’action humaine et sociale, l’attention aux autres, le soin.

La mise en balance exigée par le contrôle de proportionnalité permet donc de limiter et d’exclure tout dispositif de VSA abusif puisque l’atteinte à la vie privée engendrée par le traitement de données biométriques ne pourra être que très rarement, voire jamais, évaluée comme strictement nécessaire pour atteindre l’objectif poursuivi. Ce critère de nécessité absolue est donc aujourd’hui un mécanisme juridique documenté et
efficace pour interdire l’utilisation abusive des technologies par la police dans l’espace public.

Ne pas changer de paradigme

À travers le projet de règlement sur l’intelligence artificielle ainsi que les velléités affichées des dirigeants de modifier le cadre actuel pour favoriser les intérêts industriels et économiques du secteur, c’est une destruction du socle protecteur de nos droits qui est menée.

Ces acteurs tentent de défendre une approche fondée non plus sur la nécessité comme décrite plus haut mais, désormais, sur les risques : le cadre juridique serait non pas unique comme c’est le cas actuellement mais différent en fonction des objectifs et finalités des technologies. Autrement dit, cela impliquerait d’autoriser plus ou moins largement l’usage de certaines technologies en fonction des risques effectifs qu’elles feraient peser sur les droits et libertés de la population.

Par exemple, dans son projet de règlement, la Commission propose une classification des utilisations de la reconnaissance faciale et de la VSA en fonction des circonstances de leur application (dans l’espace public, en temps réel, à des fins répressives…), peu importe qu’elles soient nécessaires ou non. C’est un renversement total de la façon dont nos droits et libertés sont protégées, comme nous l’expliquions il y a quelques mois. Ce serait aux personnes concernées de démontrer le dommage qui leur est causé et non plus aux pouvoirs publics mettant en œuvre ces technologies de démontrer systématiquement que l’usage n’est pas disproportionné. La charge de la preuve serait renversée, à la défaveur de nos libertés.

Or, il ne suffit pas qu’une technologie soit « peu risquée » pour que celle-ci devienne « nécessaire » ni même souhaitable. Surtout, ces acteurs tentent de justifier cette logique en avançant que des garanties permettraient de limiter ces risques. De tels mécanismes sont illusoires et ne pourraient jamais suffire à pallier un traitement non nécessaire.

Nous le voyons depuis plusieurs années, les garanties ne suffisent jamais à limiter des technologies la plupart du temps déjà déployées, parfois à grande échelle, alors mêmes qu’elles ne sont pas légales. Quand bien même elles seraient contestées, elles auront déjà produit leurs effets illicites et nocifs. Les analyses d’impact, les pouvoirs de contrôle de la CNIL, les soit-disant contre-pouvoirs locaux, les droits d’information du public, aucune de ces garanties n’empêche les autorités de violer la loi.

Si l’approche fondée sur les risques finissait par être adoptée, elle donnerait le signal attendu par l’ensemble des acteurs de la VSA pour déployer massivement et au pas de course l’ensemble de leurs systèmes. Demain comme aujourd’hui, seules les mesures d’interdiction, fondées notamment sur la nécessité, pourront nous protéger. C’est d’ailleurs l’avis de autorités européennes de protection des données (Comité européen pour la protection des données et Contrôleur européen pour la protection des données) sur le projet de règlement sur l’intelligence artificielle, qui appellent toutes deux à interdire complètement les technologies de VSA.

En conclusion, remplacer changer de paradigme en remplaçant l’approche actuelle fondée sur la nécessité par une approche nouvelle fondée sur les risques conduira à présenter comme potentiellement licites des traitements dont l’illégalité ne fait aujourd’hui aucun doute. Ce changement de contexte entraînerait le déploiement massif de systèmes de VSA illicites sans qu’aucune garantie ne puisse en limiter les effets nocifs pour la population. C’est pourquoi nous défendons le maintien du cadre juridique actuel, qui permet l’interdiction de ces pratiques et est à même de protéger la population contre les abus des autorités en matière de surveillance.

References

References
1 Définitions prévues aux article 4§14 du RGPD et 3§13 de la Directive Police/Justice.
2 Voir les lignes directrices sur les vidéos contenant des données personnelles 3/201, version 2.0, point 82 p. 19 https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_fr
3 Voir article 10 de la Directive Police/Justice.
4 Conseil d’État, 446155, lecture du 22 décembre 2020, §11.

Contrôles discriminatoires : « Nous demandons le démantèlement des pratiques illégales des CAF »

Wed, 06 Apr 2022 12:27:21 +0000 - (source)

Nous republions ici une tribune initiée par le collectif Changer de Cap et que nous avons signée. Elle est parue le 5 avril dans Basta!. Nous appelons à signer et faire circuler l’appel correspondant.

Contrôles abusifs des allocataires, suspension des versements, harcèlement des plus précaires… La CAF oublie ses missions initiales de protection et de soutien pour devenir un outil de police numérique. Une tribune du collectif « Changer de cap ».

La numérisation à marche forcée des services publics contribue à faire des Caisses d’allocations familiales (CAF) un instrument de la mise en place d’une société de surveillance et de pénalisation des plus pauvres. Alors que la protection sociale est un droit universel depuis le Conseil national de la Résistance, les CAF développent une politique de plus en plus dure de contrôle des personnes en situation de précarité.

Tous fichés…

Plus de 1 000 données par personne sont collectées pour 13 millions de foyers1Vincent Dubois, Contrôler les assistés, Raisons d’agir, 2020, p. 257., grâce à l’interconnexion de dizaines de fichiers administratifs (impôts, éducation, police, justice…) Les contrôleurs ont en outre le pouvoir de consulter nos comptes bancaires, nos factures de téléphone et d’énergie… Toutes ces données sont traitées à notre insu.

Chaque allocataire fait l’objet d’un profilage établi par un logiciel, mais selon des variables définies par des décisions humaines. Des algorithmes déterminent des « scores de risque » de fraude, qui débouchent sur un véritable harcèlement des personnes en difficulté. Sont qualifiés de « risque » les variations de revenus, les situations familiales atypiques, la naissance hors de France… Il en résulte un ciblage des contrôles sur les personnes précaires, handicapées ou vulnérables.
Plus de 32 millions de contrôles automatisés ont été réalisés par les CAF en 2020. Les témoignages collectés confirment la concentration de ces contrôles sur les femmes seules avec enfants, les chômeurs, des personnes handicapées, d’origine étrangère…

Des contrôles indignes et illégaux

Les méthodes de contrôle sont tout aussi inacceptables. La plupart de ces contrôles sont déclenchés automatiquement, sans en informer les allocataires et parfois sans notification, ce qui est contraire à la loi. Juridiquement la fraude doit être intentionnelle, mais ici les incompréhensions, les difficultés face au numérique, les erreurs, y compris celles des CAF, sont assimilées à de la fraude2Comme le soulignait le Défenseur des Droits dès 2017 : lutte contre la fraude aux prestations sociales : à quel prix pour les usagers ? Voir ici..
Les procès-verbaux sont remplacés au mieux par des notifications sommaires, qui ne précisent ni les modalités de calcul de l’indu, ni les délais de réponse, ni les voies de recours. Dans de nombreux cas, les allocations sont suspendues pendant toute la durée du contrôle, sans respect du reste à vivre légalement imposé à tous les créanciers. Les contrôleurs sont pourtant dotés de larges pouvoirs juridiques et d’investigation, mais le calcul de leur prime d’intéressement dépend du montant des indus frauduleux détectés.
Ces dérives sont amplifiées par la désorganisation des CAF, suite à la numérisation et aux réductions d’effectifs. Les allocataires connaissent de nombreux retards, des erreurs, des versements à tort, des absences de réponses, l’impossibilité de trouver un interlocuteur. On imagine le mal-être et la dégradation des conditions de travail des agents soucieux de défendre un service public humain.
Les conséquences de telles orientations sont dévastatrices sur le plan social. La Fondation Abbé Pierre montre comment des familles ont été expulsées suite à des recouvrements qui ne tenaient pas compte du reste à vivre3Fondation Abbé Pierre, 2020, Prestations sociales de la CAF et logement. Enquête sur les freins rencontrés 2020. Voir ici.. Rappelons que 10 millions de personnes vivent sous le seuil de pauvreté, que 12 % des Français souffrent de difficultés psychiques. L’action présente de la CAF y contribue, comme le montrent les témoignages recueillis.

Une police et une justice parallèles

Ainsi, à la faveur de la numérisation, une police et une justice numérique parallèles se mettent en place, insensibles à des situations humaines parfois dramatiques. Ces pratiques ne respectent pas les principes fondamentaux du droit, et sont entachées d’illégalité4Cabinet DBKM. Incompatibilité des mesures nationales de lutte contre la fraude aux prestations sociales avec le Pacte des droits civils et politiques. Rapport au comité des droits de l’homme des Nations unies. Voir ici.. Elles découlent de la convention d’objectifs et de gestion 2018-2022 de la CNAF qui assimile les CAF à des entreprises et considère les prestations sociales comme des coûts à réduire. Tout en pratiquant en permanence le double langage, le pouvoir politique considère toujours « qu’on met un pognon de dingue dans des minima sociaux »5Emmanuel Macron, 12 juin 2018 : « La politique sociale, regardez : on met un pognon de dingue dans des minima sociaux, les gens ils sont quand même pauvres. On n’en sort pas. Les gens qui naissent pauvres, ils restent pauvres. Ceux qui tombent pauvres, ils restent pauvres. On doit avoir un truc qui permette aux gens de s’en sortir ». Source..

Transparence, légalité, solidarité

On ne peut que s’inquiéter de l’intention de l’actuel président, s’il est réélu, de généraliser le versement automatique des aides sociales. S’il s’agit d’étendre ce type de pratiques, ce projet de maltraitance institutionnelle est inacceptable et monstrueux.
C’est pourquoi nous demandons le démantèlement des pratiques illégales qui se sont développées, l’instauration de sanctions contre ceux qui les ordonnent délibérément et un retour aux missions fondatrices de la Sécurité sociale et des services publics, dans une logique de confiance et de solidarité.
Toute la transparence doit être faite sur la récolte et le traitement des données personnelles des allocataires par la CAF, ainsi que sur le rôle des logiciels et des algorithmes dans la prise de décision.
Il est indispensable de remettre les humains au cœur du service public, tout particulièrement dans les CAF, et de faire du numérique un outil pour rendre effectif l’accès de chacun à ses droits sociaux, tout en respectant son intimité.

Vous pouvez vous joindre à cet appel. Voici le lien pour le signer.

Voir les témoignages et le dossier complet en cliquant ici.

Premiers signataires
Isabelle Maurer, Archipel des sans voix, allocataire multi-controlée
Farida Amrani, syndicaliste CGT
Hichem Atkouche, SUD Commerces et Services Ile de France
Geneviève Azam, économiste, essayiste
Miguel Benasayag, philosophe, collectif Malgré tout
La Quadrature du Net
Fathi Bouaroua, AprèsM, ex directeur régional de la fondation Abbé Pierre en PACA
Alima Boumediene-Thiéry, avocate porte parole de Femmes plurielles
Henri Braun, avocat au Barreau de Paris
Dominique Cabrera, réalisatrice
Alexis Corbière, député
Jean-Michel Delarbre, comité national LDH, co-fondateur RESF
Lætitia Dosch, comédienne
José Espinosa, gilet jaune
Txetx Etcheverry, mouvement Alda de défense des habitants des milieux et quartiers populaires au Pays basque
Jacques Gaillot, évêque de Partenia
Marie-Aleth Grard, présidente d’ATD Quart Monde France
Laurent Klajnbaum, vice-président de Changer de cap
François Koltès, auteur
Michèle Leflon, présidente de la Coordination Nationale des Comités de défense des hôpitaux et maternités de proximité
Pierre-Edouard Magnan, délégué Général Mouvement national Chômeurs et précaires (MNCP)
Boris Mellows, SUD Culture Solidaires
Didier Minot, président du Collectif Changer de cap
Francis Peduzzi, directeur de la scène nationale de Calais
Evelyne Perrin, Stop précarité, économiste
Alice Picard, porte parole d’Attac
Nicole Picquart, présidente du Comité national de liaison des régies de quartier
Serge Quadruppani, auteur, traducteur
René Seibel, responsable national AC !
Clément Terrasson, avocat
Roger Winterhalter, Maison de la citoyenneté mondiale
Voir la liste complète.

References

References
1 Vincent Dubois, Contrôler les assistés, Raisons d’agir, 2020, p. 257.
2 Comme le soulignait le Défenseur des Droits dès 2017 : lutte contre la fraude aux prestations sociales : à quel prix pour les usagers ? Voir ici.
3 Fondation Abbé Pierre, 2020, Prestations sociales de la CAF et logement. Enquête sur les freins rencontrés 2020. Voir ici.
4 Cabinet DBKM. Incompatibilité des mesures nationales de lutte contre la fraude aux prestations sociales avec le Pacte des droits civils et politiques. Rapport au comité des droits de l’homme des Nations unies. Voir ici.
5 Emmanuel Macron, 12 juin 2018 : « La politique sociale, regardez : on met un pognon de dingue dans des minima sociaux, les gens ils sont quand même pauvres. On n’en sort pas. Les gens qui naissent pauvres, ils restent pauvres. Ceux qui tombent pauvres, ils restent pauvres. On doit avoir un truc qui permette aux gens de s’en sortir ». Source.

Pourquoi s’opposer à la vidéosurveillance algorithmique ?

Fri, 01 Apr 2022 12:38:21 +0000 - (source)

La vidéosurveillance algorithmique (VSA) s’installe en France avec l’aide de l’État, des collectivités territoriales et de la CNIL (relire notre article « Qu’est-ce-que la VSA ? »). L’opposition s’organise, que ce soit au niveau local autour de la campagne Technopolice ou par notre réponse à la consultation récemment organisée par la CNIL à ce sujet. Les raisons de rejeter la VSA sont variées (nous avons d’ailleurs recueilli vos motivations personnelles et avons transmis à la CNIL 175 de vos contributions). Pour l’heure, voici l’état actuel de nos motivations politiques contre la VSA.

Comme fil rouge à notre raisonnement, confrontons le discours de nos adversaires qui prétendent chercher le juste équilibre entre la « sécurité » que produirait la VSA et la mesure de « liberté » qu’il faudrait lui sacrifier. En notre sens, il s’agit d’un faux dilemme : la VSA va réduire à la fois nos libertés et notre sécurité. Elle réduira la sécurité d’une large partie de la population tout en échouant à repousser les dangers qu’elle prétend combattre.

Effets négatifs sur la sécurité

La VSA pose trois menaces pour la sécurité de la population : elle met en danger les populations qui sont déjà les plus vulnérables, elle favorise structurellement les comportements violents de la police contre la population, elle offre au pouvoir exécutif une puissance telle qu’aucun contre-pouvoir ne pourra en empêcher les abus.

Mise en danger des populations les plus vulnérables

Comme tout système de surveillance de l’espace public, la VSA surveillera en priorité les personnes qui passent le plus de temps en extérieur – les personnes qui, par manque de ressources, n’ont pas ou peu accès à des lieux privés pour sociabiliser ou pour vivre. De plus, la VSA détecte des comportements d’autant plus efficacement qu’elle a pu s’entraîner à partir d’une grande quantité de séquences d’images représentant une même action. Ainsi, les comportements les plus efficacement détectés seront ceux que l’on rencontre le plus souvent dans la rue et les transports – les comportements typiques des populations qui y passent le plus de temps, peu importe que ces activités soient licites ou illicites.

Ce sont précisément ces comportements que les fournisseurs de VSA mettent en avant1Par exemple, la RATP a récemment expérimenté dans la salle d’échange du RER des Halles un système pour repérer les personnes statiques pendant plus de 300 secondes. : maraudage, mendicité, réunions statiques. C’est le mode de vie des populations précaires ou populaires qui sera visé en priorité, alors qu’il ne constitue quasiment jamais un délit ou un crime. La VSA jouera le rôle de contrôle au faciès automatisé basé sur des critères sociaux, permettant de multiplier les alarmes sonores ou les contrôles humains et d’exclure une partie de la population de l’espace public, détériorant encore davantage leur sécurité – qu’il s’agisse de dégrader2L’exclusion par la surveillance s’ajoute aux politiques d’urbanisme et d’aménagement urbain déjà déployées contre les populations précaires et populaires. leur cadre de vie ou de les éloigner de l’accès aux soins et aux autres services publics.
81455195
La focalisation de la VSA sur les populations les plus pauvres n’est pas le simple « effet de bord » d’une technologie immature qui aurait encore quelques « biais ». Au contraire, la VSA est précisément vendue comme permettant de lutter contre des comportements définis comme « anormaux » qui, bien qu’étant parfaitement communs et « normaux » pour une large partie de la population, permettent de dénigrer les populations qui adoptent ces comportements. Ainsi, la VSA est autant un outil d’exclusion sociale qu’un outil de propagande politique, dont l’effet sera d’installer le sentiment que certaines populations (choisies arbitrairement par les fournisseurs de VSA et leurs clients) ne sont pas « normales » et doivent être exclues de l’espace public.

Déshumanisation de la population

La VSA renforce la distance qui sépare la police de la population. Cette distance est d’abord physique : l’interaction passe par des écrans et ne se réalise que dans une seule direction. La distance est aussi intellectuelle : les agents n’ont plus à comprendre, à évaluer ou à anticiper l’action des autres humains quand une machine le fait à leur place3Gregoire Chamayou. « Théorie du drone », 2013. L’auteur revient notamment sur la perte d’empathie entraînée par la distance entre le pilote de drone et ses cibles.. Déresponsabilisée, déshumanisée, la police est réduite à un outil d’action mécanique sur les corps, détachée de l’empathie et de la considération sans lesquelles les violences policières ne peuvent qu’exploser. Cette même empathie sans laquelle encore davantage de personnes auraient perdu la vie face aux pires crimes commis par la police (tel que notamment documenté4En plus des divers initiatives individuelles de policiers pendant l’occupation, le cas de la rafle manquée de Nancy illustre comment l’empathie d’un groupe de policiers a sauvé des centaines de personnes. pour la période de collaboration nazie).

De façon plus diffuse, cette mise à distance technologique accompagne une politique générale d’austérité. La collectivité assèche ses dépenses d’accompagnement et d’aide aux individus pour ne plus financer que leur gestion disciplinaire. Dans un courrier à la CNIL, la région PACA défendait l’expérimentation de la reconnaissance faciale aux abords de deux lycées en affirmant que ce projet constituait « une réponse au différentiel croissant constaté entre les exigences de sécurisation des entrées dans les établissements et les moyens humains disponibles dans les lycées, dans le cadre des plans successifs de réduction des effectifs dans la fonction publique ». Le personnel encadrant, soucieux et à l’écoute, est remplacé par des machines dont le seul rôle est d’ouvrir et de fermer des accès. Ou encore à Nîmes, où la métropole a ponctionné presque 10 millions d’euros sur le budget d’investissement « eau » pour les dépenser à la place dans l’achat d’un logiciel de Détection Automatique d’Anomalie en temps réel.

La vidéosurveillance algorithmique accentue la déshumanisation du contrôle social qui était déjà une critique faite à la vidéosurveillance dite classique. Cette course sans fin s’inscrit dans la fuite en avant technologique générale qui anime à la fois l’effondrement des services publics et le désastre écologique en cours.

C’est aussi la population qui est déshumanisée : elle est utilisée comme cobaye pour entraîner les algorithmes. Non content de voir les habitants des villes comme une masse de données à rentabiliser pour le compte d’entreprises de mort, les populations permettent malgré elles de rendre le logiciel plus performant et donc de l’exporter sur le marché international de la surveillance. Par exemple, la multinationale Idémia, affine ses dispositifs de reconnaissance faciale aux aéroports français avec les dispositifs PARAFE ou MONA pour ensuite vendre des équipements de reconnaissance faciale à la Chine et participer à la surveillance de masse et le génocide Ouïghour.

Effacement des limites contre les abus de la police

Aujourd’hui, le nombre limité d’agents de police contraint celle-ci à concentrer une large part de ses ressources sur ses missions les plus importantes et les plus légitimes (crimes, violences aux personnes). Elle ne dispose ainsi que d’un temps et de ressources limitées pour poursuivre des activités peu légitimes (contre les populations vulnérables, contre les manifestants) ou qui constituent des abus de son pouvoir (répression d’opposants politiques, persécution de minorités).

Demain, la VSA promet d’effacer cette limite matérielle en décuplant les capacités opérationnelles de la police pour poursuivre les missions de son choix, que ces missions soient peu légitimes ou qu’elles constituent des abus. Par exemple, s’il est aujourd’hui extrêmement coûteux de détecter en manifestation l’ensemble des pancartes critiquant le gouvernement, la VSA promet à terme de rendre la chose triviale (facilitant les interpellations sur place ou, couplée à la reconnaissance faciale, permettant de poursuivre en masse les opposants trop expressifs). De même, si le suivi visuel d’opposants politiques implique aujourd’hui des moyens humains si importants que ces opérations ne peuvent rester qu’exceptionnelles, la VSA rend la chose triviale en permettant de suivre, à coût quasi-nul, une personne sur l’ensemble des caméras d’une ou plusieurs villes.

Ce changement d’échelle transforme considérablement la manière dont les pouvoirs de police sont exercés. D’une action précise répondant à des « besoins » pouvant être débattus démocratiquement, nous assistons à l’apparition d’une police omnisciente disposant de la capacité de surveiller et d’agir sur l’ensemble de la population. Avec la VSA, les 250 000 policiers et gendarmes actuels verraient leur autorité atteindre celle qu’auraient eu des millions d’agents non-équipés de telles technologies. De quoi atteindre le ratio police/population typique des États policiers.

Cette multiplication considérable des capacités de la police ne sera nullement compensée par une multiplication équivalente des capacités de contrôle de ses contre-pouvoirs. Dès aujourd’hui, l’installation des équipements de VSA se fait à un rythme bien trop important pour que la CNIL ou que des associations comme la nôtre puissent en prendre connaissance à temps et avec suffisamment de détails. Demain, la situation sera encore plus dramatique concernant l’utilisation quotidienne de ces systèmes : aucune autorité, aucun juge, aucun parlement ne pourra vérifier que chacune des innombrables détections réalisées chaque jour ne contribue pas à un abus de pouvoir. Personne ne pourra vérifier que la VSA ne permet pas à la police de réduire illégalement les conditions de sécurité de larges parties de la population.

En plus des risques d’abus policiers, ce changement d’échelle dans la surveillance de l’espace public contribue à criminaliser un nombre croissant de comportements. Ainsi, par exemple, la plupart des logiciels de VSA cherchent à détecter des dépôts d’ordure sauvage, le non-port du masque, des personnes qui sont statiques dans l’espace public, sans que ces évolutions aient été actées démocratiquement, résultant principalement d’initiatives d’entreprises privées.

Absence d’effet positif sur la sécurité

Les dégradations dramatiques engendrées par la VSA ne sont compensées par aucun avantage en terme de sécurité. Il s’agit d’un outil inadapté pour lutter contre les violences sur les personnes, que ce soit de par son objet, l’espace public, ou de par son fonctionnement, l’automatisation.

Cette double inadaptation repose sur une vision faussée du concept de « sécurité » qui, dans le discours des promoteurs de la VSA, se limite à un pur argument marketing déconnecté de la façon dont la population pourrait concrètement protéger sa santé physique et mentale, ses conditions de vie, son logement et ses capacités d’épanouissement.

Inadéquation de l’objet surveillé

L’objet de la VSA est l’espace public. Pourtant, pour l’essentiel, ce n’est pas dans l’espace public que se réalisent les violences sur les personnes. Tandis que les agressions sexuelles se déroulent presque toujours dans un contexte privé (91% sont perpétrées par une personne connue de la victime), la grande majorité des homicides, en excluant les conflits entre criminels, interviennent eux aussi en dehors de la voie publique5Voir statistiques pour la région parisienne entre 2007 et 2013, graphique 25..

Cette inadéquation entre l’objet surveillé et la finalité poursuivie est au cœur des nombreuses évaluations qui, depuis une décennie, concluent unanimement à l’inefficacité de la vidéosurveillance classique (voir notamment le rapport de la Cour des compte, du LINC et d’autres chercheurs).

Ce décalage est accentué en matière de VSA qui, pour fonctionner, doit s’entraîner sur un grand nombre de séquences vidéos représentant les comportements à détecter. Or, les violences sur les personnes sont beaucoup moins nombreuses dans l’espace public que de simples actes de dégradations, de maraudage ou de mendicité. Dès lors, l’algorithme aura beaucoup moins d’occasions de s’entraîner à détecter des actes de violences sur les personnes et les détectera beaucoup moins efficacement que d’autres actes plus anecdotiques (dont la surveillance, comme vu précédemment, dégradera les conditions de sécurité des populations les plus vulnérables).

Inadéquation de la méthode

La prévention des violences sur les personnes repose sur un travail humain et social : accompagnements personnalisés, soins, enquêtes de terrain, analyses sociologiques, réduction des inégalités ou même simplement présence sur le terrain. Ce travail humain a un coût nécessairement conséquent et déjà largement sous-investi, particulièrement dans les zones du territoire ou la précarité est la plus élevée.

À l’inverse, la VSA, probablement moins chère à court terme, n’est capable que de détecter certaines infractions (et parmi les moins graves), sans être capable d’en traiter les causes plus profondes en amont. Une façon de donner l’illusion de traiter les symptômes, sans rien changer sur le long terme.

C’est sans doute là que se trouve l’un des rares avantages de la VSA : offrir aux élus en manque de projet politique enthousiasmant un discours qui fera illusion à court terme. Ce discours est d’autant plus séduisant pour les élus que l’industrie de la VSA a préparé depuis plusieurs années les bons éléments de langage et l’imaginaire suffisamment confus pour espérer tromper le public. Sont décrits comme « anormaux » des comportements parfaitement banals mais typiques des populations les moins riches. Est présenté comme « sécurité » un objectif qui a bien plus à voir avec la « propreté » de la ville et la « sécurité » des biens qu’avec celle des personnes. Est dite « augmentée » ou « intelligente » une surveillance policière qui, au contraire, sera « réduite » à de pures tâches mécaniques et défaite de toute l’empathie et de toute la considération qui font l’intelligence humaine.

En conclusion, à l’exact opposé de ce que prétendent ses promoteurs, la VSA est une grave menace pour notre sécurité. Elle nuira aux conditions de vie d’une large partie de la population, ouvrira des risques politiques sans précédent, et cela sans même réussir à nous protéger par ailleurs. En plus d’être une grave menace pour notre sécurité, la VSA balaiera du même geste notre liberté d’aller et de venir, de nous rassembler, d’exprimer nos opinions politiques ou d’avoir la vie privée de notre choix. Nous reviendrons en détails sur les atteintes aux libertés causées par la VSA dans un futur article juridique reprenant l’analyse développée dans notre réponse à la consultation de la CNIL.

References

References
1 Par exemple, la RATP a récemment expérimenté dans la salle d’échange du RER des Halles un système pour repérer les personnes statiques pendant plus de 300 secondes.
2 L’exclusion par la surveillance s’ajoute aux politiques d’urbanisme et d’aménagement urbain déjà déployées contre les populations précaires et populaires.
3 Gregoire Chamayou. « Théorie du drone », 2013. L’auteur revient notamment sur la perte d’empathie entraînée par la distance entre le pilote de drone et ses cibles.
4 En plus des divers initiatives individuelles de policiers pendant l’occupation, le cas de la rafle manquée de Nancy illustre comment l’empathie d’un groupe de policiers a sauvé des centaines de personnes.
5 Voir statistiques pour la région parisienne entre 2007 et 2013, graphique 25.

Pourquoi s’opposer à la création de Mon Espace Santé ?

Fri, 25 Mar 2022 14:59:14 +0000 - (source)

Expérimenté depuis le mois d’août 2021 dans trois départements de Métropole, le service Mon Espace Santé (qui prend la suite du Dossier Médical Partagé) a été généralisé à l’ensemble de la population depuis février 2022. Plusieurs associations (comme XY media, Acceptess-T ou le collectif POS) ont très tôt alerté sur les dangers liés à ce nouvel outil. Nous avons passé en revue les fonctionnalités de Mon Espace Santé et force est de constater qu’elles présentent des insuffisances alarmantes en matière de respect du consentement et de gestion des données de santé. De par l’audience large à laquelle il s’adresse et de part la sensibilité des données qu’il manipule, un tel outil du service public se devrait pourtant d’être irréprochable en la matière. À défaut, nous ne pouvons que vous rediriger vers des guides vous permettant de vous opposer à ces traitements de données.

Que contient Mon Espace Santé ?

Pour commencer, faisons un petit tour plutôt descriptif de ce qui est annoncé en terme de fonctionnalités. Mon Espace Santé (aussi appelé Espace numérique de santé dans la loi et le décret qui le créent) se compose principalement de quatre éléments :

* Un Dossier Médical Partagé (DMP), ou espace de stockage et de partage d’informations médicales : il contient les traitements, les résultats d’examens, les antécédents médicaux, les compte-rendus d’hospitalisation, qui peuvent être partagés avec les professionnel·les de santé. Cet espace de stockage permet également de conserver des documents tels que la synthèse médicale produite par le ou la médecin généraliste, le carnet de vaccination ou l’historique des remboursements alimentés automatiquement par l’Assurance maladie (sources). Le Dossier Médical Partagé existait déjà depuis 2011 (sous le nom de Dossier Médical Personnel jusqu’en 2015) mais n’était ouvert que sur demande ; aujourd’hui, il est ouvert par défaut, en même temps que Mon Espace Santé, pour l’ensemble de la population.

Dans l’absolu, cet espace de partage des informations pourrait être une solution pour faciliter le droit d’accès à son dossier médical. Mais ceci impliquerait une mise en œuvre solide et de confiance qui n’est, à notre avis, pas atteinte avec Mon Espace Santé (voir plus bas la suite de notre analyse).

* Une messagerie sécurisée pour échanger avec des professionnel·les de santé. À la création de Mon Espace Santé, une adresse de messagerie MSSanté (Messagerie Sécurisée de Santé) est automatiquement attribuée à la personne usagère et rattachée à Mon Espace Santé. Cette adresse est constituée à partir du matricule INS de l’usagère et du nom de domaine de l’Opérateur de Mon Espace Santé (selon le Référentiel Socle MSSanté). Les messages échangés sont stockés pendant une durée de dix ans, sauf lorsqu’ils sont supprimés directement par l’utilisateur·ice. Ces adresses existaient déjà pour les professionnel·les de santé.

* Un agenda pour suivre ses rendez-vous médicaux et recevoir des rappels.

* Un catalogue de services numériques de santé : concrètement, la personne usagère pourra autoriser des applications tierces à accéder à son espace santé. Ces applications seront validées et autorisées par le Ministère de la santé. Développées par des acteurs publics et privés de la santé, elles incluront des éditeurs de logiciels et d’applications mobiles, des plateformes de télémédecine, des plateformes de prise de rendez-vous en ligne (qui s’intégreront probablement à l’agenda santé), des portails patients des établissements de santé (ETS) et portails de pré-admission, et même des fabricants d’objets connectés. Cette fonctionnalité nous inquiète particulièrement sur le plan de l’accès aux données personnelles, comme nous l’expliquons plus bas.

Enfin, pour accéder à ces différents services, outre un site web, une application mobile sera également disponible. Le développement technique est réalisé par les entreprises privées Atos, Octo, Accenture et Maincare. La société Worldline traite les données du Dossier Médical Partagé au travers de sa filiale Santeos. Les autres données (messagerie, agenda…) sont traitées par la société Atos.

Un recueil accessoire du consentement des personnes

À la création du compte

Pour chaque personne, la création de Mon Espace Santé se fait automatiquement selon un calendrier régionalisé prévu par l’État. Chaque personne est notifiée par courrier postal ou par courriel de la création prochaine de son espace. Elle dispose alors d’un délai de six semaines pour empêcher la création de l’espace en se connectant sur le site. L’espace est donc créé sans le recueil du consentement préalable et explicite de la personne usagère. L’opposition, elle, doit être explicite.

Dans les premières annonces d’ évaluation de la phase pilote, qui a eu lieu à partir d’octobre 2021 dans trois départements, la Sécurité sociale annonçait que « moins de 0.7% des usagers se sont opposés à [la] création [de leur espace santé]. » Mais plus loin on apprenait que seuls 4.8% des personnes ayant un espace santé l’avaient utilisé. Comment savoir donc si les presque 90% restants ont réellement souhaité en avoir un, ou même s’ils ont reçu le courrier ou mail prévenant de sa création (et des possibilités de s’y opposer) ?

Avant même de se poser la question de l’utilité ou non de Mon Espace Santé, on peut dire que les modalités de sa création sont loin d’être respectueuses des personnes auxquelles il est censé simplifier la vie. Passer outre le consentement des personnes au prétexte de « les aider » est la définition du paternalisme et, selon nous, s’oppose aux véritables pratiques de soin fondées sur l’écoute et la considération.

Certes, il est toujours possible de supprimer son compte. Mais, là encore, la personne usagère devra être attentive et suffisamment informée si elle souhaite demander la fermeture de son compte en cochant la bonne case (ses données seront supprimées 3 mois plus tard, à moins d’être supprimées individuellement au sein du profil médical, des mesures santé ou de la messagerie, auquel cas elles seront effacées immédiatement). Nous avons trop souvent dénoncé ce tour de passe-passe lorsqu’il était réalisé par les GAFAM : la possibilité théorique d’effacement ultérieur ne produit aucun effet significatif concret qui pourrait justifier l’absence de consentement préalable. Ce qui est inadmissible pour les GAFAM l’est encore davantage pour un service public traitant des données extrêmement sensibles soi-disant « pour notre bien ».

Dans le partage des données avec les professionnel·les de santé

Une fois créé, l’espace santé a pour but de partager les informations avec le personnel de santé : la personne usagère devra donc autoriser les soignant·es à accéder à tout ou partie de ses informations. Mais, là encore, le recueil du consentement est problématique, pour ne pas dire quasiment factice : une simple case à cocher par le ou la soignante servira de « preuve » que l’on a donné son accord pour qu’il ou elle y accède. Au niveau du service informatique, il n’y a donc aucune procédure pour vérifier qu’il s’agit bien de la personne patiente qui donne son accord, à qui, et quand.
On peut ainsi imaginer qu’une personne mal-intentionnée ait accès au service en tant que personnel soignant et consulte le dossier de n’importe quelle personne dans la base de données. Il lui suffirait de cocher cette case de manière arbitraire et d’accéder à des informations privées. Ce cas est certes déjà possible actuellement sans Mon Espace Santé, à partir des divers bases de données médicales existantes, mais de manière bien plus cloisonnée. Avec un système aussi centralisé que Mon Espace Santé, la possibilité que ce type de scénarios se produise est accrue. On peut aussi aisément imaginer que nombre de personnes soignantes vont considérer que le fait d’avoir pris rendez-vous équivaut à consentir à ce qu’ils ou elles accèdent au dossier du ou de la patient·e : le respect du consentement est encore malheureusement une question épineuse dans le milieu médical où les maltraitances médicales peuvent être nombreuses.

Enfin, une fois l’espace créé, seuls des « motifs légitimes » peuvent être invoqués pour refuser qu’un·e professionnel·le verse des documents en ligne. C’est ce qu’indique en l’article R. 1111-47 du code de la santé publique et rappelé dans la politique de protection des données personnelles : « Une fois votre profil Mon Espace Santé créé, vous ne pourrez pas, sauf à invoquer un motif légitime, refuser qu’un professionnel autorisé ou que les personnes exerçant sous sa responsabilité déposent dans votre dossier médical partagé les informations qui sont utiles à la prévention, la continuité et la coordination de vos soins (article R. 1111-47 du code de la santé publique) ».

Illustration : la configuration par défaut du compte à sa création

Nous avons passé en revue la configuration des paramètres à la création du compte « Mon Espace Santé », et déjà, nous pouvons noter quelques actions effectuées sans l’accord explicite de la personne usagère :

L’attestation de vaccination Covid-19 est automatiquement versée dans le dossier par l’Assurance maladie. Le document est visible par défaut à l’ensemble des professionnel·les de santé. Il est possible de le masquer, mais pas de le supprimer car il a été ajouté par un·e professionnel·le de santé. Il n’est pas possible de s’opposer au versement de ce document, alors que l’Assurance maladie n’a pas été techniquement autorisée à déposer des documents sur ce compte.

En ce qui concerne la configuration des accès aux professionnel·les en cas d’urgence, l’option est activée par défaut à la création du compte. Pour s’en rendre compte, la personne usagère doit se rendre dans la section « Confidentialité » des paramètres de configuration, puis « Accès en cas d’urgence ». Le personnel du SAMU ainsi que « tout autre professionnel de santé » sont autorisés par défaut à accéder aux documents et aux rubriques « Vaccinations », « Historique de soins », « Entourage et volontés » du profil médical. Mais quels contrôles techniques permettent de définir ce qui est une situation d’urgence et débloque l’accès des documents aux professionnel·les ? Et s’agit-il des professionnel·les qui ont d’ordinaire déjà accès à notre espace ? Les informations que nous avons pu recueillir ne nous permettent pas de répondre actuellement à cette question.

Un cloisonnement des informations insuffisant vis-à-vis du personnel soignant

Le décret s’appliquant à Mon Espace Santé prévoit une matrice d’accès différencié aux informations de la personne usagère selon le type d’activité du ou de la soignante. En pratique, le partage par défaut est très large : votre dentiste aura accès à vos résultats de prélèvements sanguins, votre kiné à votre historique de vaccination, votre sage-femme aux données de remboursement, et ainsi de suite.

Le ou la médecine traitante a, quant à elle, accès à l’ensemble des informations contenues dans l’espace santé de ses patient·es.
S’il est possible de bloquer l’accès à un·e professionnel·le de santé depuis les paramètres de l’espace, que se passe-t-il dans le cas où l’on souhaite changer de médecin·e traitant·e ? Ou que l’on souhaite choisir quelles informations partager ? En effet, certains parcours de santé nécessitent la consultation de divers spécialistes aux opinions divergentes pour obtenir un diagnostic. L’accès à certaines informations sur des opérations ne faisant pas consensus parmi le corps médical peut également générer des biais négatifs chez les professionnel·les de santé (par exemple, le recours à une IVG). Enfin, l’accès est partagé pour le service d’un hôpital : impossible dans de ce cas de savoir qui y a vraiment accès (prêt de carte d’accès au système informatique par exemple).

Cependant, il est important de noter que la personne usagère ou qu’un·e professionnel·le peuvent choisir de masquer un document pour le rendre inaccessible aux autres professionnel·les de santé, à l’exception du ou de la médecine traitante, de la personne ayant mise en ligne le document et du personnel intervenant en cas d’urgence. Si ce n’est pour ces larges exceptions, ceci représente un bon moyen de protéger la confidentialité des données au cas par cas. En revanche, il n’est pas possible de supprimer un document déjà versé par un·e professionnel·le de santé.

Il est possible pour les personnes de vérifier qui a eu accès à leurs données : des journaux d’activité enregistrent qui accède à quel document à une date et une heure donnée. La personne usagère peut recevoir des notifications chaque fois qu’un nouvel accès est détecté. Ces journaux permettent donc de détecter un potentiel mésusage de l’accès aux données. Cependant, cette fonctionnalité ne peut aider à protéger les accès qu’après coup : si on se rend compte qu’une personne soignante a eu accès à un document et que cela ne nous convient pas, on ne pourra que limiter ses accès futurs.

Le système de droit d’accès de Mon Espace Santé n’a pas été pensé pour permettre aux utilisateur·ices de gérer simplement et de manière éclairée l’accès à leurs données. On pourrait par exemple imaginer un système où par défaut seule la personne usagère et la liste de soignant·es qu’elle a désignées auraient accès aux documents la concernant, l’usagère pouvant ensuite choisir de démasquer certains documents à d’autres professionnel·les de santé (en bénéficiant par exemple de conseils de la part des soignant·es pour faire ce choix de manière éclairée). Dans ce cas, c’est la personne usagère qui aurait véritablement la main sur ses données, et non pas les professionnel·les de santé comme c’est le cas avec la conception actuelle de Mon Espace Santé.

Une mise en danger du secret médical pour certains ouvrants droits ?

Dans le cas des enfants et des adolescent·es, les ouvrants droits (c’est-à-dire les assuré·e·s) auront accès aux espace de santé des personnes qui leur sont rattachées. C’est-à-dire que, concrètement, toutes les informations de santé de leurs enfants et adolescent·es, ainsi que les rendez-vous et les courriels passant par la messagerie sécurisée leur seront accessibles.

En théorie, certaines infos peuvent ne pas être versées dans le dossier. Par exemple, dans le cas d’une IVG, le ou la soignant·e est en charge d’expliquer et de proposer à la personne mineure de ne pas ajouter les infos de l’IVG dans le dossier. La personne peut répondre qu’elle ne veut pas que ce soit versé. Aucune donnée de remboursement relatif à cet acte ne sera remontée. Cet exemple fait partie des motifs légitimes que peut invoquer une usagère pour refuser qu’un·e professionel·le verse un document sur l’espace santé.

Ceci implique que les soignant·es pensent à demander, et respectent, le souhait des personnes. Or, avec Mon Espace Santé, la quantité des données versées est multipliée et surtout normalisée : par fatigue ou par oubli à force de répétition, il est probable que le consentement pour verser une information dans Mon Espace Santé ne soit pas récolté à chaque fois. De plus, comme le recueil du consentement est oral et informel (il ne laisse donc aucune trace), la décision pourra difficilement être contestée.

Cet outil multiplie donc malheureusement les chances de mettre en danger le secret médical de ces personnes, et potentiellement la sécurité des personnes au sein de leur foyer ou de leur famille : que se passe-t-il si une enfant/ado ne souhaite pas parler d’un sujet (contraception, dépistage de MSTs, grossesse, avortement, transition) avec la personne à laquelle son compte est rattaché (que cela soit par pudeur ou par crainte de violences en représailles) ?

Le dossier Informatique et Libertés fourni par la Délégation du numérique en santé précise par ailleurs que l’opposition à la création du compte Mon Espace Santé appartient aux représentants légaux. Une personne mineure ne peut donc supprimer ou s’opposer à la création de son espace santé.
En revanche, lorsque la personne devient ayant droit autonome, les accès des représentants légaux sont clôturés par le service. La personne peut gérer son compte, le fermer ou le créer s’il n’existait pas avant si elle le souhaite. Notons qu’une personne peut demander, à partir de 16 ans, de devenir ayant droit autonome auprès de la CPAM de son domicile. On peut imaginer que le scénario de clôture des accès des anciens représentants légaux s’applique également dans ce cas.

Par ailleurs, la notion d’ayant droit existe toujours dans certains régimes tels que la Mutualité sociale agricole (MSA) ou le régime local d’Alsace-Moselle (personnes mariées, pacsées, concubines et enfants jusqu’à 24 ans sans activités). La documentation à laquelle nous avons eu accès ne permet pas de dire si les ouvrants droits auront accès aux espaces santé des ayants-droits majeurs. Nous attirons l’attention sur le fait que si tel était le cas, cela représenterait un danger pour les personnes qui vivent des violences ou des conflits dans leur vie familiale (personnes en instance de divorce par exemple).

Enfin, au delà des soignant·es et des utilisateur·ices, des personnes tierces peuvent avoir accès aux données de santé pour des fonctions de support. Les niveaux 2 et 3 de ce support pourront avoir accès aux données de santé. Ceci implique notamment des agent·es de la CPAM et le personnel de prestataires (Atos/Wordline) et de l’hébergement. L’accès aux informations doit en théorie recueillir le consentement de la personne usagère dans le cadre du support, mais là encore impossible d’assurer que ce consentement sera bien demandé et non forcé techniquement. Concrètement, des personnes qui ne sont pas professionnelles de santé peuvent accéder aux informations médicales personnelles des usagères. Mais cela est-il vraiment nécessaire pour une fonction support ? Ceci pose la question également de savoir si les documents sont stockées de manière chiffrée et lisibles uniquement par les personnes habilitées, ou pas. Difficile de répondre à cette question en l’état de nos connaissances.

Un futur écosystème d’applications aux nombreuses inconnues

La description du catalogue de services numériques de santé à venir implique la possibilité d’ajouter des applications d’entreprises privées au sein de l’espace santé. Ceci pose un grand nombre de questions concernant le partage des données d’activités et des contenus stockés dans l’espace santé. Pour l’instant, nous n’avons pas les réponses à ces questions, et nous soulignons notre inquiétude sur ce sujet : comment l’usagère pourra-t-elle déterminer à quelles données l’application accède, et si cela est légitime ? Pourra-t-on limiter les données auxquelles chaque application a accès (comme sur un smartphone) ? Lors des mises à jour des applications, les changements de permissions ou de fonctionnement seront-ils notifiés et comment ? Et enfin, quels usages de nos données feront les « startups » d’objets connectés et autres grandes entreprises et plateformes de prise de rendez-vous (monétisation, profilage) ? Au-delà de ces problèmes d’implémentation, il faut dénoncer la direction générale animée par cette évolution : le remplacement du soin par la technique industrielle.

Un futur accès plus difficile au service public de santé ?

Mon Espace Santé s’inscrit dans une tradition de numérisation et de centralisation en ligne des données : ceci fait du service une cible idéale pour les piratages de données. Le stockage est géré par une entreprise privée. Le code du service n’est ni public ni accessible, ce qui pose la question de la transparence pour un outil du service public.

Nous nous interrogeons, aujourd’hui comme dans un futur plus ou moins proche, sur l’accès à la santé des personnes ne pouvant ou ne voulant pas utiliser ce service de santé. Et si d’aventure nous nous retrouvions dans une situation où il nous est impossible d’avoir rendez-vous sans passer par cet espace ? Ou que nos remboursements sont rendus difficiles sans l’utilisation de cet espace ?

La fiabilité et la sécurité informatique de ce service doivent aussi être considérées : si la plateforme se retrouve la cible d’un défaut de fonctionnement ou d’un piratage, que deviennent alors nos données ? Souvenons-nous du piratage des services de l’AP-HP en 2021 dans le contexte du Covid-19, suite auquel la réponse apportée par les autorités de santé a été insuffisante, voire nulle. Plus récemment encore, les données d’au moins 510 000 personnes ont été volées à l’Assurance maladie via Amelipro. À vouloir faciliter l’accès à la santé en imposant un outil numérique, n’y a-t-il pas erreur sur la façon de procéder ? Autant de questions auxquelles cet outil numérique ne répond pas tout en persistant dans la même direction.

Conclusion

Mon Espace Santé est un service manipulant des données sensibles qui est déployé à l’ensemble de la population française. Or, sa conception et son déploiement ne sont clairement pas au niveau des services les plus respectueux en matière de protection de la vie privée.

Selon le Ségur du numérique en santé, son ambition est de « généraliser le partage fluide et sécurisé de données de santé entre professionnels et usagers pour mieux soigner et accompagner. »

Mais pour cela, les besoins en terme de consentement et de gestion des données des usagères devraient être au cœur d’une expérience utilisatrice respectueuse, fiable et réaliste, ce qui à notre sens n’est pas le cas avec Mon Espace Santé. Sans oublier que ce service s’inscrit dans un processus de numérisation des services publics qui, trop souvent, ne tient pas compte des difficultés d’accès et d’utilisation d’Internet par de nombreuses personnes.

Pour ces raisons, nous ne pouvons que remercier les nombreuses associations qui ont déjà alerté sur ce sujet et, comme elles, vous proposer des guides pour demander la suppression de votre espace santé.


Qu’est-ce que la vidéosurveillance algorithmique ?

Wed, 23 Mar 2022 13:01:24 +0000 - (source)

La semaine dernière, La Quadrature du Net a transmis à la CNIL sa position relative à la vidéosurveillance dite « algorithmique », ainsi que plus de 170 contributions de personnes nous ayant mandatées dans le cadre d’une contre-consultation populaire. Nous allons revenir prochainement sur le détail des arguments qui conduisent, selon nous, à combattre toute légitimation de ces dispositifs. En attendant, il est essentiel de revenir sur ce que signifie ce terme et sur la nature exacte de ces technologies déployées depuis plusieurs années en France. Alors, de quoi parle t-on ?

Définitions

Selon la CNIL, la « vidéo augmentée désigne ici des dispositifs vidéo auxquels sont associés des traitements algorithmiques mis en œuvre par des logiciels, permettant une analyse automatique, en temps réel et en continu, des images captées par la caméra. »

Vidéosurveillance/Vidéoprotection « augmentée » ou « intelligente », comme l’écrivent les institutions et les industriels ou encore vidéosurveillance « algorithmique » ou « automatisée » (VSA) comme nous préférons la nommer. Tous ces termes recouvrent une même réalité aux contours plus ou moins flous et aux promesses plus ou moins concrétisées. Il s’agit de l’ajout d’une couche d’algorithme aux caméras de vidéosurveillance dites « classiques ». Et ce, dans le but de rendre automatique l’analyse des images captées par caméras, jusqu’à présent réalisée par des humains, des opérateurs vidéo au sein de centres de supervision urbains (CSU). Alors pourquoi ces différences de langage ?

Parce que les mots ont un poids fort, nous préférons « automatisation » – ce terme déconstruit la notion d’intelligence qu’apporterait soi-disant la technologie. L’automatisation n’est pas un procédé neutre et en dehors du monde social mais qui transporte1Florent Castagnino, Rendre « intelligentes » les caméras : déplacement du travail des opérateurs de vidéosurveillance et redéfinition du soupçon, Sciences Po, 2019. avec lui les représentations et normes de celui-ci. Et « algorithmique » pour rendre visible l’ajout de ces logiciels fabriqués par des start-ups et multinationales dont on ne sait pas grand-chose.

Cette surcouche algorithmique vise à faire de l’analyse vidéo, que ce soit en temps réel ou après coup, et à repérer… ce que la police a envie de repérer. Cela va de la « détection de comportement suspect », au « maraudage » (le fait d’être statique dans l’espace public), en passant par le « dépassement d’une ligne », le suivi de personne, la détection d’objet abandonné, d’une bagarre, d’un vol, etc.

Le déploiement de la VSA dans les villes

Que ce soit à Toulouse en 2016 avec IBM (projet abandonné en 2019), à Nîmes depuis 2015 avec Briefcam, à Marseille dès 2018 avec la SNEF, à Paris avec la RATP qui autorise des entreprises à tester leurs algos sur les utilisateur·ices des métros, ou encore avec la municipalité de Suresnes qui met à disposition sa population en tant que cobaye pour la start-up parisienne XXII, la vidéosurveillance algorithmique se déploie un peu partout en France. S’il reste compliqué de quantifier le nombre de villes qui utilisent la VSA, en raison du manque criant de transparence de ces dernières, il est possible d’en repérer au moins une cinquantaine, le vrai nombre devant malheureusement dépasser la centaine, rien qu’en France.

Depuis plusieurs années, nous suivons ce déploiement, souvent très opaque (toutes les municipalités ne sont pas aussi loquaces que celle d’Estrosi). Alors que la VSA faisait l’objet jusqu’il y a peu de très nombreuses expérimentations sauvages, la CNIL a explicitement demandé en janvier 2022 aux industriels du secteur de lui faire des retours sur l’usage de ces technologies « afin d’accompagner leur déploiement », prenant clairement un parti : celui des industriels de la sécurité. La VSA semble en passe d’inonder le marché de la sécurité urbaine numérique.

Et ce marché de la VSA prend forme : si des acteurs comme IBM à Toulouse n’ont pas réussi à rendre efficace leur produit et semblent s’être retirés, l’entreprise israélienne Briefcam (entité du groupe Canon) prétend dominer le marché en France tandis que des villes signent des partenariats avec des start-up ou firmes françaises, soutenues par les décideurs politiques, afin de rendre les industries françaises concurrentielles sur le marché international de la sécurité urbaine numérique.

Les exemples de Briefcam et Two-I

Briefcam est une entreprise qui produit des logiciels de vidéosurveillance algorithmique très bien implantée en France, aux États-Unis et dans une quarantaine de pays. En 2020, déjà plus de 35 villes françaises utilisaient son logiciel, dont voici une démonstration assez révélatrice.

Dans cette vidéo, l’entreprise affirme être capable de condenser des heures de vidéos en quelques minutes, de pouvoir faire du suivi de personnes en fonction d’attributs (femme, homme, sac, chapeaux, couleurs d’habits…). On sait aussi que le logiciel de Briefcam est doté d’une option de reconnaissance faciale, que les élus à la sécurité sont très impatients d’enclencher.

Two-I de son côté est une start-up française, basée du côté de Metz. Ayant d’abord tenté de se faire une place dans la détection d’émotions (notamment l’expérimentation avortée à Nice de détection d’émotions dans les tramways), elle s’est finalement lancée dans la vidéosurveillance algorithmique et la conception de ce que les industriels appellent une « plateforme d’hypervision ». Ces plateformes mettent en carte et traduisent les nombreuses données collectées par les caméras et les algorithmes, dans le but « d’optimiser la gestion de la ville ». En somme, ces plateformes permettent de rendre utilisable la vidéosurveillance algorithmique, via une mise en carte des données et alertes captées par les caméras et algorithmes.


Hyperviseur de Two-I, voir la vidéo de présentation ici.

L’exemple des logiciels de Briefcam ou encore de Two-I (qui ne sont que deux exemples parmi une dizaine d’autres entreprises sécuritaires du même type) est révélateur de ce nouveau marché de la sécurité mais aussi d’un basculement dans le concept de sécurité. Dorénavant, ce sont des entreprises privées qui, concevant les algorithmes vendus aux collectivités territoriales, décident ce qu’il y a derrière une alerte pour « comportement anormal ou suspect ». À travers l’automatisation, les entreprises acquièrent un pouvoir de police et d’édiction des normes et des comportements dans l’espace public, s’inscrivant parfaitement dans l’expansion des politiques sécuritaires.

Les effets de la vidéosurveillance algorithmique

L’ajout d’algorithme à la vidéosurveillance « classique » n’est pas anodin. Cela témoigne d’un changement d’échelle dans la surveillance par les caméras qui, jusqu’à présent, comme le décrit Tanguy Le Goff2Tanguy Le Goff, « Dans les « coulisses » du métier d’opérateur de vidéosurveillance », Criminologie, vol. 46, n°2, 2013, p. 91-108., était un « travail de surveillance […] jugé ennuyeux et monotone » au sein duquel les opérateurs vidéo mettaient en place des stratégies pour réaliser ce travail de manière partielle.

L’automatisation de cette surveillance est censée décupler les yeux derrière l’écran des caméras. Et cela se traduit notamment par la criminalisation de comportements jusqu’alors anodins ou presque comme le dépôt d’ordures sauvage, le non port du masque ou encore les déjections canines. L’automatisation permet à la police d’étendre sa capacité d’action à de nouveaux champs sur lesquels elle a maintenant un pouvoir de répression. La police peut décupler sa capacité à normaliser l’espace public : si le maraudage, c’est-à-dire le fait de rester statique plus de 300 secondes, alerte les forces de l’ordre, on peut craindre pour les personnes qui ne peuvent pas voir la rue comme un « simple endroit de passage », car ils y vivent ou en font un repère social nécessaire. Nous reviendrons dans un prochain article sur le fait que les algorithmes sur les caméras augmentent la répression policière sur les populations déjà particulièrement ciblée par les forces de l’ordre.

Un autre aspect de la VSA est la tendance croissante à être mis en données. Au-delà de la surveillance de l’espace public et de la normalisation des comportements qu’accentue la VSA, c’est tout un marché économique de la data qui se frotte les mains. Le prétendu « encadrement » des dispositifs promis par la CNIL permettrait aux entreprises de la Technopolice d’utiliser les espaces publics et les personnes qui les traversent ou y vivent comme des « données sur pattes ». Et aux industries de la sécurité de se faire de l’argent sur nous, d’améliorer leurs algorithmes de répression et ensuite de les vendre sur le marché international. C’est ce que fait la multinationale française Idémia, qui affine ses dispositifs de reconnaissance faciale aux aéroports français avec les dispositifs PARAFE ou MONA pour ensuite vendre des équipements de reconnaissance faciale à la Chine et ainsi participer à la surveillance de masse et au génocide des Ouïghours, ou encore pour remporter les appels d’offres de l’Union Européenne en vue de réaliser de la biométrie aux frontières de l’UE.

De quoi la VSA est-elle le nom ?

Vidéosurveillance automatisée et Smart City nourrissent la même fiction : celle d’une ville dont les capteurs mettent en données, où les algorithmes trient et détectent et où une plateforme centrale permettrait à la police de gérer la ville à distance.

La vidéosurveillance algorithmique, c’est un marché de la sécurité qui tente de s’accroître en devenant « numérique » c’est-à-dire avec de l’IA et des algorithmes. Et comme le montre Myrtille Picaud3 Myrtille Picaud Peur sur la ville. La sécurité numérique pour l’espace urbain en France [Rapport de recherche] 01/2021, Chaire « Villes et numérique », École urbaine de Sciences Po, 2021., les industriels et décideurs politiques français font pression pour structurer une filière industrielle sécuritaire forte afin d’être concurrentielle sur le marché international, qui représente un marché économique énorme. Les grands événements sportifs comme les Jeux Olympiques de Paris en 2024 ou encore la coupe du monde de Rugby en 2023 représentent une aubaine pour accélérer le développement de technologies sécuritaires, offrir une vitrine aux industriels français et normaliser ces dispositifs.

Pour les industriels, la VSA représente la possibilité de justifier le déploiement de centaines de milliers de caméras en France. Déploiement largement décrié4Voir ces trois études : celle de Guillaume Gormand commandée par le CREOGN, l’étude sur la vidéosurveillance dans les villages, novembre 2021 et le rapport sur les polices municipales, d’octobre 2020. même par les institutions publiques, mais qui, par un tour de magie, prendrait tout son sens avec l’ajout d’algorithmes (argument absurde, nous y reviendrons dans un prochain article). La VSA permettrait d’utiliser les caméras à leur plein potentiel et même d’accélérer leur déploiement : il en faudra plus et il faudra aussi remplacer les anciennes qui ne seraient pas d’assez bonne qualité pour les algorithmes ; et surtout s’assurer de poursuivre l’installation démesurée de caméras qui continueront à rapporter beaucoup d’argent aux entreprises du secteur.

En plus de constituer une justification à la multiplication des caméras de vidéosurveillance, la VSA forme une ressource rentable5Laurent Mucchielli, Vous êtes filmés, Armand Colin, 2018, page 80. politiquement, expliquant l’engouement immodéré des élus locaux pour la vidéosurveillance. La VSA est une mesure de court terme que les élus locaux peuvent mobiliser pour montrer qu’ils agissent. La sécurité numérique constitue6Guillaume Faburel, Les métropoles barbares, Paris, Le passager clandestin, 2020 [2018], page 46. également une source d’attractivité et de distinction dans la concurrence territoriale, dans la recherche de capital symbolique pour attirer tourisme et classe créative.

La vidéosurveillance algorithmique, c’est un renouveau dans la croyance en la « prophétie technologique7Ibid. » intégrée dans la Smart City. Cette croyance permet de continuer à déployer des caméras et, surtout, de trouver toujours plus de débouchés économiques.

Pour conclure :

En somme, la vidéosurveillance algorithmique est une technologie en passe d’être largement déployée en France et qui l’est peut être déjà beaucoup plus que ce que nous pouvons en douter, qui sert à justifier l’existence de l’immense parc de vidéosurveillance français, en tentant de le rendre plus performant, via l’automatisation de la détection d’infractions. Cette technologie s’intègre dans la fiction plus large de la Smart City, qui base la gestion de la ville sur l’IA et représente un énorme marché économique. Ces technologies d’automatisation réduisent encore les espaces de liberté dans les rues et sur les places des villes, augmentant la répression sur les populations les plus visées déjà par la police. Nous reviendrons plus en détail sur ce pour quoi nous sommes contre cette technologie et comment il est possible de lutter contre son déploiement.

References

References
1 Florent Castagnino, Rendre « intelligentes » les caméras : déplacement du travail des opérateurs de vidéosurveillance et redéfinition du soupçon, Sciences Po, 2019.
2 Tanguy Le Goff, « Dans les « coulisses » du métier d’opérateur de vidéosurveillance », Criminologie, vol. 46, n°2, 2013, p. 91-108.
3 Myrtille Picaud Peur sur la ville. La sécurité numérique pour l’espace urbain en France [Rapport de recherche] 01/2021, Chaire « Villes et numérique », École urbaine de Sciences Po, 2021.
4 Voir ces trois études : celle de Guillaume Gormand commandée par le CREOGN, l’étude sur la vidéosurveillance dans les villages, novembre 2021 et le rapport sur les polices municipales, d’octobre 2020.
5 Laurent Mucchielli, Vous êtes filmés, Armand Colin, 2018, page 80.
6 Guillaume Faburel, Les métropoles barbares, Paris, Le passager clandestin, 2020 [2018], page 46.
7 Ibid.

Données de connexion : une victoire en retard

Fri, 25 Feb 2022 16:06:44 +0000 - (source)

Dans sa décision de ce matin, le Conseil constitutionnel vient de censurer, comme Franciliens.net et La Quadrature le lui demandaient, une partie de l’obligation de conservation généralisée et indifférenciée des données de connexion, c’est-à-dire la surveillance de masse des télécommunications. Cette censure est une bonne nouvelle, mais ne va pas, en pratique, mettre tout de suite fin à cette surveillance illégale.

Depuis sept ans, La Quadrature du Net et d’autres associations se battent contre cette surveillance des réseaux de télécommunications. Celle-ci permet aux services de police, de renseignement et à la Hadopi/Arcom d’accéder, pendant une année, à toutes les traces numériques que nous laissons en utilisant un téléphone ou un ordinateur. Pourtant, l’obligation imposée aux opérateurs et hébergeurs de conserver toutes ces données pour les besoins de la police était jugée illégale et disproportionnée depuis 2014 par la Cour de justice de l’Union européenne.

En sept ans de procédure, nous avons essuyé mépris et échec devant les juridictions françaises. Mépris de l’État de droit, d’abord, mis à mal par le gouvernement. Celui-ci ne veut pas respecter cette jurisprudence européenne confirmée par la victoire obtenue difficilement par La Quadrature, FDN, FFDN et igwan.net devant la Cour de Justice de l’Union européenne en 2020. En invoquant des inepties juridiques, la France demandait au Conseil d’État de ne pas appliquer une décision de justice qui, pourtant, s’impose sans discussion à elle.

Échec, ensuite, parce qu’en 2021, prétextant un état d’urgence permanent qui justifierait les pires mesures de surveillance, le Conseil d’État préféra finalement donner raison aux velléités sécuritaires du gouvernement.

Aujourd’hui, le Conseil constitutionnel vient toutefois de prendre un autre chemin. Il avait à se prononcer sur la question de la constitutionnalité d’une précédente version de la loi encadrant cette obligation de conservation généralisée et indifférenciée. En considérant que celle-ci est disproportionnée, le Conseil constitutionnel s’aligne donc avec la ligne jurisprudentielle européenne que nous défendons depuis le début de cette bataille. Après toute cette résistance de la part du gouvernement et du Conseil d’État, ce sursaut est une bonne nouvelle.

Cette censure arrive toute fois un peu tard. Déjà, le Conseil constitutionnel n’était saisi que de l’ancienne version de l’article L. 34-1 du code des postes et des communications électroniques. Celle-ci constituait la base juridique de l’affaire pénale à l’occasion de laquelle la question avait été posée. Mais, entre-temps, cet article a été réécrit à l’été 2021 par l’adoption de la loi renseignement. Si la conservation des données est toujours prévue par les nouvelles dispositions, la manière dont elle est encadrée est plus complexe et suit l’interprétation opportuniste du Conseil d’État. Nous ne pouvons donc pas affirmer que la décision d’aujourd’hui amène forcément à une inconstitutionnalité de la nouvelle version de cet article.

Ensuite, le Conseil constitutionnel a décidé de se limiter au champ pénal seulement, ce qui veut dire que ni la surveillance à des fins de lutte contre le piratage, ni celle à des fins de renseignement ne sont concernées par la décision d’aujourd’hui. Or, comme on le voit depuis 2015, et plus récemment avec la question du partage de renseignements, le Conseil constitutionnel n’a jamais voulu entraver le travail de ces services de renseignement, quitte à nier les droits fondamentaux.

Nous accueillons donc positivement la décision du Conseil constitutionnel qui permet de poser une nouvelle pierre à l’édifice de protection de la vie privée mais nous devons garder à l’esprit ses limites pratiques. L’effet et le coût politique sont à relativiser : il est facile pour le Conseil constitutionnel de censurer des dispositions qui ne sont plus en vigueur. De fait, cette victoire juridique arrive trop tard puisque les pratiques de surveillance ont été validées par les initiatives du Conseil d’État, du gouvernement et de sa majorité au Parlement. Nous allons suivre de près les suites qui pourraient être données à cette décision, ce travail n’étant possible que grâce à votre aide.


Powered by VroumVroumBlog 0.1.31 - RSS Feed
Download config articles